Lov om MitID og NemLog-in

Lov om MitID og NemLog-in Lov om MitID og NemLog-in VI MARGRETHE DEN ANDEN, af Guds Nåde Danmarks Dronning, gør vitterligt: Folketinget har vedtaget og Vi ved Vort samtykke stadfæstet følgende lov: Generelle bestemmelser Lovens anvendelsesområde Loven finder anvendelse på følgende infrastrukturløsninger samt nationale digitale identiteter og elektroniske identifikationsmidler udstedt i medfør heraf: Den danske nationale elektroniske identifikationsordning (MitID-løsningen). Den fællesoffentlige digitale infrastrukturløsning (NemLog-in). Definitioner I denne lov forstås ved: MitID-løsningen: Den danske nationale elektroniske identifikationsordning. MitID: Den nationale digitale identitet af en privatperson og tilhørende elektroniske identifikationsmidler, som kan tilknyttes privatpersoners og erhvervsbrugeres digitale identiteter. MitID er den nationale identitetsgarant for privatpersoner. Autentifikation: En proces, som genkender og verificerer en digital identitet gennem anvendelse af et elektronisk identifikationsmiddel. Sikringsniveau: Graden af tillid til en autentificeret digital identitet. Der sondres mellem tre forskellige sikringsniveauer for autentifikation, henholdsvis niveau lav, betydelig og høj. Sikker autentifikation: Autentifikation på sikringsniveau betydelig eller høj. NemLog-in: Den fællesoffentlige digitale infrastrukturløsning, som sætter privatpersoner og erhvervsbrugere med digitale identiteter i stand til at interagere med digitale selvbetjeningsløsninger. NemLog-in er endvidere den nationale identitetsgarant for erhvervsidentiteter. NemLog-in indeholder de serviceområder, som angives i § 8, stk. 2 og 3. Privatperson: Fysisk person, der udelukkende agerer på vegne af sig selv uden forbindelse til en juridisk enhed, og som ikke er en erhvervsbruger. Erhvervsbruger: Fysisk person, der er associeret med en offentlig myndighed, et offentligretligt organ eller en juridisk enhed, som er oprettet med en eller flere erhvervsidentiteter i serviceområdet Erhvervsadministration i NemLog-in. Juridisk enhed: Juridisk enhed med et cvr-nummer, jf. lov om Det Centrale Virksomhedsregister, der hverken er en offentlig myndighed eller et offentligretligt organ. Offentlig myndighed: Statslige, regionale og kommunale myndigheder. Offentligretligt organ: Organer, der er oprettet specielt med henblik på at imødekomme almenhedens behov, dog ikke behov af industriel eller kommerciel karakter, der er juridiske personer, og som for mere end halvdelens vedkommende finansieres af staten, af regionale eller kommunale myndigheder eller af andre offentligretlige organer eller er underlagt ledelsesmæssig kontrol af disse myndigheder eller organer eller har en bestyrelse eller direktion eller et tilsynsråd, hvor mere end halvdelen af medlemmerne udpeges af staten, regionale eller kommunale myndigheder eller andre offentligretlige organer. Digital selvbetjeningsløsning: Et it-system, hvor privatpersoner eller erhvervsbrugere med digitale identiteter kan tilgå digital selvbetjening efter at være blevet autentificeret. Digital identitet: En samling af data, der unikt identificerer en privatperson eller en erhvervsbruger. Elektronisk identifikationsmiddel: En materiel enhed, en immateriel enhed eller en kombination af disse, der indeholder personidentifikationsdata, og som bruges til autentifikation i digitale selvbetjeningsløsninger. Et elektronisk identifikationsmiddel består af et eller flere elementer, der hver især er et elektronisk identifikationsmiddel. Tjenesteudbyder: En offentlig myndighed, et offentligretligt organ eller en juridisk enhed, der er ansvarlig for en eller flere digitale selvbetjeningsløsninger. Brugerorganisation: En offentlig myndighed, et offentligretligt organ eller en juridisk enhed, der er tilsluttet og anvender serviceområdet Erhvervsadministration i NemLog-in til deres erhvervsbrugere. Broker: En offentlig myndighed, et offentligretligt organ eller en juridisk enhed, der videreformidler autentifikation af digitale identiteter. MitID-løsningen Tilrådighedsstillelse af MitID-løsningen og MitID Digitaliseringsstyrelsen stiller MitID-løsningen til rådighed for offentlige myndigheder, offentligretlige organer og juridiske enheder. Digitaliseringsstyrelsen sikrer udvikling, drift og vedligeholdelse af løsningen. Digitaliseringsstyrelsen stiller MitID til rådighed for privatpersoner og erhvervsbrugere, hvis disse opfylder betingelserne for udstedelse af MitID fastsat i medfør af § 4, stk. 2. Forvaltning af MitID-løsningen og MitID Digitaliseringsstyrelsen sikrer følgende forvaltningsopgaver: Identitetssikring af privatpersoner, registrering af identiteter og udstedelse, suspension, spærring og genåbning af MitID til privatpersoner efter reglerne fastsat i medfør af stk. 2. Udstedelse, spærring, suspension og genåbning af identifikationsmidler til erhvervsbrugere efter reglerne fastsat i medfør af stk. 2. Finansministeren fastsætter regler om forvaltning af MitID-løsningen og MitID, herunder regler om identitetssikring af privatpersoner, registrering af identiteter og udstedelse, spærring, suspension og genåbning af MitID til privatpersoner og erhvervsbrugere og om adgang til at klage til Digitaliseringsstyrelsen over afgørelser truffet i medfør af disse regler. Digitaliseringsstyrelsen kan udpege offentlige myndigheder, offentligretlige organer eller juridiske enheder til på vegne af Digitaliseringsstyrelsen at varetage opgaver i medfør af § 3, stk. 1, 2. pkt., og opgaver i medfør af § 4, stk. 1. Kommunalbestyrelsen skal på vegne af Digitaliseringsstyrelsen varetage opgaver i medfør af § 4, stk. 1. Anvendelse af MitID-løsningen og MitID Når offentlige myndigheder og offentligretlige organer anvender digitale selvbetjeningsløsninger til at udføre en myndighedsopgave, skal de sikre, at privatpersoner og erhvervsbrugere med MitID gives adgang til selvbetjeningsløsningen, hvis adgangen kræver sikker autentifikati‍o‌n. Mi‌‍tID-løsningen skal i dette tilfælde anskaffes fra Digitaliseringsstyrelsen. Når offentlige myndigheders og offentligretlige organers digitale selvbetjeningsløsninger ikke anvendes til at udføre en myndighedsopgave, eller hvis adgangen til løsningerne ikke kræver sikker autentifikation, kan de offentlige myndigheder og offentligretlige organer give privatpersoner og erhvervsbrugere adgang til løsningerne med MitID. Mi‌‍tID-løsningen kan i dette tilfælde anskaffes fra Digitaliseringsstyrelsen. Juridiske enheder kan i rollen som tjenesteudbydere anvende MitID-løsningen. NemLog-in Tilrådighedsstillelse af NemLog-in Digitaliseringsstyrelsen stiller NemLog-in til rådighed for offentlige myndigheder, offentligretlige organer og juridiske enheder. Digitaliseringsstyrelsen sikrer udvikling, drift og vedligeholdelse af NemLog-in. NemLog-in indeholder følgende serviceområder til tjenesteudbydere: Login og autentifikation, som sikrer den service, at privatpersoner og erhvervsbrugere kan tilgå digitale selvbetjeningsløsninger. Digital repræsentation, som sikrer følgende servicer: Digital repræsentation af en privatperson, således at privatpersonen ved anvendelse af en digital selvbetjeningsløsning kan lade sig repræsentere digitalt af en anden privatperson, af en erhvervsbruger eller af en juridisk enhed over for en offentlig myndighed eller et offentligretligt organ, som udbyder en digital selvbetjeningsløsning. Digital repræsentation af en juridisk enhed, således at en erhvervsbruger, der selvstændigt kan repræsentere en juridisk enhed, kan repræsentere enheden ved anvendelse af en digital selvbetjeningsløsning over for en offentlig myndighed eller et offentligretligt organ, som udbyder en digital selvbetjeningsløsning. Digital signering, som sikrer følgende servicer: At offentlige myndigheder, offentligretlige organer og juridiske enheder kan udstille digital signering af dokumenter i digitale selvbetjeningsløsninger. At privatpersoner og erhvervsbrugere kan signere digitale dokumenter og validere signerede dokumenters digitale signatur og integritet. NemLog-in indeholder serviceområdet Erhvervsadministration til brugerorganisationer, som sikrer følgende servicer: At offentlige myndigheder, offentligretlige organer og juridiske enheder kan oprette, administrere og anvende digitale erhvervsidentiteter samt tildele og administrere elektroniske identifikationsmidler, hvis de opfylder betingelserne for identitetssikring ved oprettelse som brugerorganisation som nærmere fastsat i medfør af § 9, stk. 4. At offentlige myndigheder, offentligretlige organer og juridiske enheder kan tildele og administrere rettigheder og certifikater til erhvervsidentiteter. Forvaltning af NemLog-in Digitaliseringsstyrelsen sikrer, at der sker forvaltning af NemLog-in, herunder identitetssikring af offentlige myndigheder, offentligretlige organer og juridiske enheder, når de oprettes som brugerorganisationer i serviceområdet Erhvervsadministration i NemLog-in. Digitaliseringsstyrelsen sikrer, at brugerorganisationers adgang til serviceområdet Erhvervsadministration i NemLog-in og erhvervsbrugeres digitale identiteter kan spærres og genåbnes efter reglerne fastsat i medfør af stk. 4. En privatperson, der skal registreres som erhvervsbruger i serviceområdet Erhvervsadministration, kan anvende sit MitID udstedt til privatbrug til identitetssikring ved registreringen. En erhvervsbruger kan få tilknyttet sit elektroniske identifikationsmiddel, som er tilknyttet privatpersonens MitID-identitet, til sin erhvervsidentitet, således at erhvervsbrugeren kan anvende førnævnte identifikationsmiddel til at autentificere en eller flere erhvervsidentiteter. Tilknytningen er frivillig for erhvervsbrugeren og frivillig for brugerorganisationen, som erhvervsbrugeren er tilknyttet. Finansministeren fastsætter regler om forvaltning af NemLog-in, herunder regler om identitetssikring af brugerorganisationer og spærring og genåbning af erhvervsbrugeres digitale identiteter og om adgang til at klage til Digitaliseringsstyrelsen over afgørelser truffet i medfør af disse regler. Digitaliseringsstyrelsen kan udpege offentlige myndigheder, offentligretlige organer eller juridiske enheder til på vegne af Digitaliseringsstyrelsen at varetage opgaver i medfør af § 8, stk. 1, 2. pkt., og opgaver i medfør af § 9, stk. 1. Anvendelse af NemLog-in Offentlige myndigheder og offentligretlige organer, som anvender en digital selvbetjeningsløsning til at udføre en myndighedsopgave, skal i rollen som tjenesteudbydere anvende følgende serviceområder: Login og autentifikation, jf. § 8, stk. 2, nr. 1, hvis adgangen til den digitale selvbetjeningsløsning kræver sikker autentifikation. Digital repræsentation, jf. § 8, stk. 2, nr. 2. Offentlige myndigheder og offentligretlige organer kan i rollen som tjenesteudbydere anvende følgende serviceområder: Login og autentifikation, jf. § 8, stk. 2, nr. 1, hvis adgangen til den digitale selvbetjeningsløsning ikke kræver sikker autentifikation, eller hvis der ikke udføres en myndighedsopgave. Digital signering, jf. § 8, stk. 2, nr. 3. Offentlige myndigheder og offentligretlige organer kan i rollen som brugerorganisationer anvende serviceområdet Erhvervsadministration, jf. § 8, stk. 3. Offentlige myndigheder og offentligretlige organer skal i de i stk. 1 anførte tilfælde anskaffe serviceområderne fra Digitaliseringsstyrelsen. Offentlige myndigheder og offentligretlige organer kan i de i stk. 2 og 3 anførte tilfælde anskaffe serviceområderne fra Digitaliseringsstyrelsen. Juridiske enheder kan indgå aftale med Digitaliseringsstyrelsen om anvendelse af serviceområderne nævnt i § 8, stk. 2, nr. 1 og 3, og stk. 3. Behandling af personoplysninger Behandling af personoplysninger og videregivelse af risikodata Ved en privatpersons anvendelse af MitID eller en erhvervsbrugers anvendelse af det elektroniske identifikati‌‍onsmiddel i MitID til login og autentifikation kan Digitaliseringsstyrelsen videregive autentifikationssvar, herunder risikodata vedrørende den konkrete og enkelte transaktion, til en broker, der er tilsluttet MitID-løsningen eller NemLog-in. En broker kan foretage automatiske afgørelser om log-in på baggrund af risikodata videregivet efter stk. 1. En broker, der i medfør af stk. 1 har modtaget autentifikationssvar, kan videregive det modtagne og behandlede autentifikationssvar til en tjenesteudbyder, der modtager autentifikationer fra MitID-løsningen. Ved en erhvervsbrugers anvendelse af et elektronisk identifikationsmiddel fra en lokal identitetsgarant tilsluttet NemLog-in kan Digitaliseringsstyrelsen videregive autentifikationssvar vedrørende den konkrete og enkelte transaktion til en broker, der er tilsluttet NemLog-in. En broker, der i medfør af stk. 4 har modtaget autentifikationssvar, kan videregive det modtagne og behandlede autentifikationssvar til en tjenesteudbyder, der gennem en broker modtager autentifikationer fra NemLog-in. Digitaliseringsstyrelsen kan kortvarigt og i et sikret teknisk miljø behandle følsomme personoplysninger i forbindelse med validering af digitale signaturer i valideringstjenesten i serviceområdet Digital signering. Øvrige bestemmelser Opkrævning af gebyr og vederlag Digitaliseringsstyrelsen indgår aftale med juridiske enheder om vederlag for tilslutning til og anvendelse af MitID-løsningen og NemLog-in. Offentlige myndigheder og offentligretlige organer betaler for MitID-løsningen og NemLog-in gennem fællesoffentlig finansiering eller ved betaling af vederlag fastsat af finansministeren. Finansministeren kan fastsætte regler om opkrævning af gebyr hos privatpersoner for registrering og udstedelse af MitID. Regler om tilrådighedsstillelse og anvendelse for offentlige myndigheder og offentligretlige organer Finansministeren fastsætter regler om tilrådighedsstillelse for offentlige myndigheder og offentligretlige organer, jf. §§ 3 og 8, og om offentlige myndigheder og offentligretlige organers tilslutning til og anvendelse af MitID-løsningen og NemLog-in. Påbud Digitaliseringsstyrelsen kan meddele offentlige myndigheder og offentligretlige organer påbud om at opfylde forpligtelser i henhold til § 6, stk. 1, og § 11, stk. 1. Tilsyn Digitaliseringsstyrelsen fører tilsyn med drift, vedligeholdelse og forvaltning af MitID-løsningen og NemLog-in, herunder med, at løsningerne overholder nationale standarder for e-id-ordninger. Finansministeren kan fastsætte nærmere regler om Digitaliseringsstyrelsens tilsyn efter stk. 1, herunder om Digitaliseringsstyrelsens samarbejde med andre tilsynsmyndigheder efter aftale med vedkommende minister. Tavshedspligt Offentlige myndigheders medarbejdere og enhver, der i øvrigt udøver bistand til offentlige myndigheder, er under ansvar efter straffelovens §§ 152-152 f forpligtet til at iagttage tavshed over for uvedkommende med hensyn til oplysninger om den tekniske og sikkerhedsmæssige indretning og om processer for opretholdelse, vedligeholdelse og drift af sikkerhed i MitID-løsningen og NemLog-in. Forvaltningslovens anvendelse Forvaltningsloven finder anvendelse på afgørelser om udstedelse, spærring og genåbning af MitID, jf. § 4, stk. 2, som træffes af juridiske enheder, der er udpeget i medfør af § 5, stk. 1. Forvaltningsloven finder anvendelse på afgørelser om identitetssikring af juridiske enheder, spærring af brugerorganisationers adgang til Erhvervsadministration i NemLog-in og spærring af digitale identiteter, jf. § 9, stk. 4, som træffes af juridiske enheder, der er udpeget i medfør af

§ 10. Erstatningsansvar Digitaliseringsstyrelsen er erstatningsansvarlig over for privatpersoner, offentlige myndigheder, offentligretlige organer eller juridiske enheder som følge af fejl i forbindelse med registrering og udstedelse af MitID og autentifikation med MitID af en privatperson eller en erhvervsbruger, medmindre Digitaliseringsstyrelsen kan godtgøre, at Digitaliseringsstyrelsen ikke har handlet forsætligt eller uagtsomt. Delegation Finansministeren kan efter aftale med vedkommende minister bemyndige en anden statslig myndighed til at udøve de beføjelser, der i denne lov er tillagt Digitaliseringsstyrelsen. Tilvejebringelse af fremtidige elektroniske identifikationsordninger Digitaliseringsstyrelsen kan samarbejde med offentlige myndigheder, offentligretlige organer og juridiske enheder om at tilvejebringe fremtidige elektroniske identifikati‌‍onsordninger svarende til MitID-løsningen eller andre løsninger, der måtte træde i stedet herfor. Ikrafttræden m.v. Ikrafttræden og overgangsregler Finansministeren fastsætter tidspunktet for lovens ikrafttræden og kan bestemme, at forskellige dele af loven træder i kraft på forskellige tidspunkter. Finansministeren fastsætter tidspunktet for ophævelse af lov nr. 439 af 8. maj 2018 om udstedelse af NemID med offentlig digital signatur til fysiske personer og til medarbejdere i juridiske enheder. Færøerne og Grønland Loven gælder ikke for Færøerne og Grønland, men kan ved kongelig anordning helt eller delvis sættes i kraft for Færøerne og Grønland med de ændringer, som henholdsvis de færøske og de grønlandske forhold tilsiger. Loven kan endvidere sættes i kraft på forskellige tidspunkter. Under Vor Kongelige Hånd og Segl