NRIC-Nummern sollten nicht als Passwörter verwendet werden, sagt PDPC

Die nationale Datenschutzbehörde warnte außerdem davor, dass Organisationen NRIC-Nummern verwenden, um die Identität einer Person zu authentifizieren oder Standardkennwörter festzulegen.

The Personal Data Protection Commission (PDPC) has stated that National Registration Identity Card (NRIC) numbers should not be used as passwords.

Die Personal Data Protection Commission (PDPC) hat erklärt, dass NRIC-Nummern (National Registration Identity Card) nicht als Passwörter verwendet werden sollten.

The data privacy watchdog also warned against organisations using NRIC numbers to authenticate an individual’s identity or set default passwords.

Der Datenschutzbeauftragte warnte außerdem davor, dass Organisationen NRIC-Nummern verwenden, um die Identität einer Person zu authentifizieren oder Standardkennwörter festzulegen.

PDPC's statement on Dec. 14 comes after public attention was drawn to the disclosure of NRIC numbers on the Accounting and Corporate Regulatory Authority's (ACRA) new Bizfile portal.

Die Erklärung von PDPC vom 14. Dezember erfolgte, nachdem die Öffentlichkeit auf die Offenlegung von NRIC-Nummern auf dem neuen Bizfile-Portal der Accounting and Corporate Regulatory Authority (ACRA) aufmerksam gemacht wurde.

Earlier, the Ministry of Digital Development and Information (MDDI) had said in a statement on Dec. 13 that it intends to move away from the practice of masking NRIC numbers.

Zuvor hatte das Ministerium für digitale Entwicklung und Information (MDDI) in einer Erklärung vom 13. Dezember erklärt, dass es beabsichtige, von der Praxis der Maskierung von NRIC-Nummern Abstand zu nehmen.

"As a unique identifier, the NRIC number is assumed to be known, just as our real names are known. As such, there should "not be any sensitivity in having one's full NRIC number made public," MDDI had stated.

„Als eindeutige Kennung wird davon ausgegangen, dass die NRIC-Nummer bekannt ist, genau wie unsere echten Namen. Daher sollte es „keine Sensibilität bei der Veröffentlichung der vollständigen NRIC-Nummer geben“, hatte MDDI erklärt.

However, PDPC reiterated that like any personal identifier, the NRIC number will still be subjected to the data protection obligations in the Personal Data Protection Act (PDPA).

PDPC bekräftigte jedoch, dass die NRIC-Nummer wie jede persönliche Kennung weiterhin den Datenschutzverpflichtungen des Personal Data Protection Act (PDPA) unterliegt.

Use of NRIC numbers by individuals as passwords

Verwendung von NRIC-Nummern durch Einzelpersonen als Passwörter

According to PDPC, the NRIC number should not be used as a password, just as personal names are not used as passwords.

Laut PDPC sollte die NRIC-Nummer nicht als Passwort verwendet werden, ebenso wie persönliche Namen nicht als Passwörter verwendet werden.

"Anyone who has done so should immediately change their password," the commission emphasised.

„Wer dies getan hat, sollte umgehend sein Passwort ändern“, betonte die Kommission.

“If the change function cannot be found on the service portal, it is best to contact the service provider immediately for advice to change the password," it added.

„Falls die Änderungsfunktion nicht auf dem Service-Portal zu finden ist, wenden Sie sich am besten umgehend an den Dienstanbieter und lassen Sie sich zur Änderung des Passworts beraten“, heißt es weiter.

Use of NRIC numbers by organisations for authentication

Verwendung von NRIC-Nummern durch Organisationen zur Authentifizierung

PDPC stated that as the NRIC number is not a secret, it should not be used by an organisation for authentication purposes.

PDPC erklärte, dass die NRIC-Nummer kein Geheimnis sei und daher von einer Organisation nicht zu Authentifizierungszwecken verwendet werden dürfe.

"A person’s name and NRIC number identifies who the person is. Authentication is about proving you are who you claim to be. This requires proof of identity, for example, through a password, a security token or biometric data," it explained.

„Der Name und die NRIC-Nummer einer Person identifizieren, wer die Person ist. Bei der Authentifizierung geht es darum, zu beweisen, dass Sie der sind, für den Sie sich ausgeben. Dazu ist ein Identitätsnachweis erforderlich, beispielsweise durch ein Passwort, einen Sicherheitstoken oder biometrische Daten“, heißt es erklärt.

The watchdog added that action will be taken against organisations who have used NRIC numbers for authentication.

Die Aufsichtsbehörde fügte hinzu, dass Maßnahmen gegen Organisationen ergriffen werden, die NRIC-Nummern zur Authentifizierung verwendet haben.

PDPC also advised that the NRIC number should not be used as the default password for services provided to an individual and organisations that have such practices are advised to phase them out as soon as possible.

PDPC weist außerdem darauf hin, dass die NRIC-Nummer nicht als Standardpasswort für Dienste verwendet werden sollte, die einer Einzelperson bereitgestellt werden, und Organisationen, die solche Praktiken anwenden, wird empfohlen, diese so schnell wie möglich einzustellen.

While the government is moving away from masking the NRIC number, the number is still subject to the data protection obligations in the Personal Data Protection Act (PDPA), PDPC said.

Während die Regierung davon absieht, die NRIC-Nummer zu verschleiern, unterliegt die Nummer weiterhin den Datenschutzverpflichtungen im Personal Data Protection Act (PDPA), sagte PDPC.

Therefore, organisations collecting NRIC data must still obtain valid consent and comply with reasonable use and ensure protection, it added.

Daher müssen Organisationen, die NRIC-Daten sammeln, weiterhin eine gültige Einwilligung einholen, eine angemessene Nutzung einhalten und den Schutz gewährleisten, fügte sie hinzu.

PDPC's advisory guidelines

Beratungsrichtlinien des PDPC

Following MDDI's statement on the appropriate use and mis-use of NRIC numbers, PDPC has received questions and feedback from the public, it said.

Nach der Stellungnahme von MDDI zur angemessenen Verwendung und zum Missbrauch von NRIC-Nummern habe PDPC Fragen und Rückmeldungen aus der Öffentlichkeit erhalten, hieß es.

"We recognise that the PDPC advisory guidelines for NRIC and National Identification Numbers needs to be updated to be aligned with the statement," it said.

„Wir sind uns bewusst, dass die PDPC-Beratungsrichtlinien für NRIC und nationale Identifikationsnummern aktualisiert werden müssen, um sie an die Erklärung anzupassen“, hieß es.

"We are sorry for the confusion caused to the public and will fully address the public’s concerns and questions as soon as possible."

„Wir bedauern die Verwirrung, die in der Öffentlichkeit entstanden ist, und werden so schnell wie möglich umfassend auf die Bedenken und Fragen der Öffentlichkeit eingehen.“

The commission said it will not be making any further changes until they have completed consultations with industry and members of the public.

Die Kommission sagte, sie werde keine weiteren Änderungen vornehmen, bis sie die Konsultationen mit der Industrie und der Öffentlichkeit abgeschlossen habe.

The guidelines will then be updated to align with the new policy intent, PDPC added.

Die Richtlinien werden dann aktualisiert, um sie an die neue politische Absicht anzupassen, fügte PDPC hinzu.

NRIC numbers publicly listed on new ACRA website

NRIC-Nummern auf neuer ACRA-Website öffentlich aufgeführt

A recently-launched digital portal by the Accounting and Corporate Regulatory Authority (ACRA) was found to have a somewhat alarming new feature: the ability to search for citizens' NRIC numbers.

Es wurde festgestellt, dass ein kürzlich von der Accounting and Corporate Regulatory Authority (ACRA) gestartetes digitales Portal über eine etwas alarmierende neue Funktion verfügt: die Möglichkeit, nach den NRIC-Nummern von Bürgern zu suchen.

Through the platform's new "People Profile" feature, Singaporeans' full NRIC numbers can be searched, simply by keying in the citizen's name.

Über die neue „People Profile“-Funktion der Plattform können die vollständigen NRIC-Nummern der Singapurer durchsucht werden, indem einfach der Name des Bürgers eingegeben wird.

This included politicians and people who were deceased.

Dazu gehörten Politiker und Verstorbene.

The feature was described as a means to help users "search for business information" and "[track] the business entities a person is/was involved in", according to the website.

Laut der Website wurde die Funktion als ein Mittel beschrieben, um Benutzern dabei zu helfen, „nach Geschäftsinformationen zu suchen“ und „die Geschäftseinheiten [zu verfolgen], an denen eine Person beteiligt ist/war“.

In a Frequently Asked Questions segment about the platform, ACRA explained that the NRIC numbers are not masked to allow for "clear and unambiguous identification of individuals associated with businesses".

In einem Abschnitt mit häufig gestellten Fragen zur Plattform erklärte ACRA, dass die NRIC-Nummern nicht maskiert seien, um eine „klare und eindeutige Identifizierung von mit Unternehmen verbundenen Personen“ zu ermöglichen.

In 2019, the Personal Data Protection Commission (PDPC) announced that organisations would be legally barred from collecting, using, or disclosing NRIC numbers.

Im Jahr 2019 kündigte die Personal Data Protection Commission (PDPC) an, dass es Organisationen gesetzlich untersagt sei, NRIC-Nummern zu sammeln, zu verwenden oder weiterzugeben.

Top photo from ICA

Top-Foto von ICA