Et eID er et elektronisk identifikationsmiddel. Nogen har kontrolleret, hvem personen er, før midlet blev udleveret, og bagefter kan personen bevise det online uden at møde op. Det er forskellen på et eID og en brugerkonto, man selv har oprettet med en mailadresse.
De tre dele
Et eID består altid af en udstedelse, et middel og et niveau. Udstedelsen er det tidspunkt, hvor identiteten faktisk bliver kontrolleret. Midlet er det, brugeren har i hånden bagefter: en app på telefonen, en kodeviser eller en chip. Niveauet fortæller, hvor meget de to første dele er værd.
Rækkefølgen er værd at holde fast i. Et login med to faktorer på en konto, der blev oprettet med en tilfældig mailadresse, siger stadig ingenting om, hvem der sidder ved skærmen.
Niveauerne kommer fra eIDAS
eIDAS, forordning (EU) nr. 910/2014, blev anvendt fra 1. juli 2016. Selve sikringsniveauerne står i Kommissionens gennemførelsesforordning (EU) 2015/1502 af 8. september 2015, og kravene er kumulative:
- Lav kræver mindst én autentifikationsfaktor.
- Betydelig kræver mindst to faktorer fra forskellige kategorier og dynamisk autentifikation.
- Høj kræver desuden beskyttelse mod kopiering og manipulation. Ved registreringen skal et fotografisk eller biometrisk identitetsbevis kontrolleres med fysisk sammenligning.
Den danske udmøntning hedder NSIS.
Hvad der er notificeret i Europa
Et land kan notificere sin ordning under eIDAS, og så skal de andre lande anerkende den. MitID blev notificeret 24. oktober 2022 på Betydelig og Høj. Belgiske itsme blev notificeret på Høj 18. december 2019, tjekkiske mojeID 27. september 2021 på alle tre niveauer, og FranceConnect+ på Betydelig 2. februar 2021.
Der er huller, som overrasker folk. Svenske BankID står ikke som notificeret ordning i EU-Kommissionens oversigt, og i Holland er det DigiD der er notificeret, ikke bankernes iDIN. En ordning kan altså være stor og udbredt uden at være notificeret.
Derfor bruges eID til identitetskontrol
Hvidvaskloven § 11 kræver, at kundens oplysninger kontrolleres ud fra en pålidelig og uafhængig kilde, og nævner udtrykkeligt elektroniske identifikationsmidler. Det er hjemlen til at bruge et eID til KYC i stedet for at bede kunden om at uploade et pasfoto.
Til en ren aldersgrænse kan man gå den anden vej og bede om mindre. Så er svaret et ja eller nej på alderen, og der er hverken navn eller CPR-nummer at opbevare bagefter.