Whitelabel er en løsning, som en anden har bygget, men som optræder under købers navn. Brugeren ser butikkens logo, butikkens farver og butikkens domæne, og leverandøren står ikke skrevet nogen steder. Ordet siger noget om, hvis navn der står på pakken, og ikke noget om hvem der har lavet indholdet.
Hvorfor det bruges til alderskontrol
Et alderstjek ligger midt i et køb. Bliver kunden pludselig sendt til en side med et fremmed firmanavn, ligner det et databrud eller et forsøg på svindel, og nogle falder fra der. Whitelabel handler i praksis om at fjerne det spring.
Det, whitelabel typisk dækker, er sider og skærme omkring selve verifikationen: introduktionen, kvitteringen, fejlbeskeder og de mails, der bliver sendt. Selve trinnet hos eID-udbyderen er en anden sag, fordi det er udbyderens eget miljø.
Hvor grænsen går ved MitID
En virksomhed kan ikke koble sig direkte på MitID. Kun certificerede brokere får adgang til identiteterne, og alle tjenesteudbydere skal gå gennem en broker. En broker skal blandt andet være NSIS-certificeret på mindst niveau Betydelig, registreres som it-systemleverandør hos NemLog-in og indgå brokeraftale med Digitaliseringsstyrelsen. Pr. juli 2026 er der ti certificerede brokere.
Det betyder, at ansvaret for identiteten ikke kan whitelabelles væk. Uanset hvis logo der står på siden, er det brokeren, der har adgangen, og aftalekæden bagved skal kunne dokumenteres.
EU bruger ordet om noget andet
Kommissionen offentliggjorde 14. juli 2025 retningslinjer efter DSA artikel 28 sammen med første version af en white label age verification-blueprint. Her betyder white label ikke branding for en enkelt butik, men en fælles teknisk løsning, som medlemslandene kan tage og gøre til deres egen. Der køres pilot i blandt andet Danmark, Grækenland, Spanien, Frankrig og Italien, og løsningen bygger på selective disclosure via EUDI-wallet.
Branding ændrer ikke, hvem der behandler hvad
Det samme gælder i KYC. En onboarding kan se ud, som om den foregår hos virksomheden selv, mens kontrollen reelt udføres af en underleverandør. Rollefordelingen efter GDPR følger ikke logoet, og en databehandleraftale efter artikel 28 skal beskrive, hvem der gør hvad med oplysningerne. Sætter man et whitelabel-flow op, er det derfor værd at skrive ned, hvor identitetsdata rent faktisk ender, mens man husker det.