2017-19. Forvaltningen af NemID gav anledning til spørgsmål om tilstrækkelig lovhjemmel m.v.

2017-19.

Forvaltningen af NemID gav anledning til spørgsmål om tilstrækkelig lovhjemmel m.v.

Efter henvendelse fra en kommunal borgerrådgiver rejste ombudsmanden en række spørgsmål over for Digitaliseringsstyrelsen og Finansministeriet om det retlige grundlag for NemID.

Ombudsmanden spurgte Digitaliseringsstyrelsen og Finansministeriet om lovgrundlaget for, at det offentlige kan overlade opgaver vedrørende NemID til den private virksomhed Nets DanID.

Han spurgte også til lovgrundlaget for, at Nets DanID har indgået aftaler med de kommunale borgerservicecentre om at registrere og udstede NemID.

I den forbindelse spurgte han til de juridiske rammer, når borgerservicecentre f.eks. afviser at udstede NemID til nogle borgere.

På baggrund af ombudsmandens henvendelse tilkendegav Digitaliseringsstyrelsen, at det som følge af udviklingen i anvendelsen af NemID og af hensyn til borgernes retssikkerhed ville være hensigtsmæssigt med klare lovgivningsmæssige rammer for ansvar og rettigheder i forhold til NemID.

Digitaliseringsstyrelsen oplyste til ombudsmanden, at Finansministeriet allerede havde påbegyndt et lovarbejde, og at der ville blive fremsat et lovforslag i det kommende folketingsår med forventet ikrafttræden i 2018.

Lovforslaget ville kunne tage hånd om de spørgsmål med hensyn til NemID, som ombudsmanden havde peget på.

Ombudsmanden meddelte på den baggrund myndighederne, at han ikke foretog sig mere i sagen.

(Sag nr. 15/04765)

I det følgende gengives ombudsmandens redegørelse i sagen, efterfulgt af en sagsfremstilling

Borgerrådgiveren i Faxe Kommune rettede i en e-mail af 4. november 2015 med bilag henvendelse til mig om afslag på anmodning om udstedelse af NemID og klageadgang i den forbindelse.

Det fremgik af borgerrådgiverens henvendelse, at hun i begyndelsen af 2015 modtog oplysninger fra RA-administrator (Registration Authority) i Faxe Kommunes Borgerservice om, at flere ældre borgere havde søgt om NemID til brug for en selvbetjeningsløsning hos NaturErhvervstyrelsen vedrørende fornyelse af bortforpagtningsaftaler.

De pågældende havde imidlertid fået mundtligt afslag på deres anmodning om NemID, fordi de ikke var i stand til selv at bruge og forstå NemID.

Borgerservice havde oplyst borgerrådgiveren om, at Nets DanID i en e-mail af 12. januar 2015 med emnet ”RA-info: Sproglige barrierer og NemID reglerne på flere sprog” havde informeret RA-administrator om klagemulighed på følgende måde

”Er borgeren utilfreds med en afgørelse i forbindelse med udstedelsen af NemID, kan borgeren skrive til Digitaliseringsstyrelsen: info@digitalsignatur.dk.

”

Borgerrådgiveren rettede derfor henvendelse til Digitaliseringsstyrelsen og Finansministeriet og spurgte, hvor hjemlen for den beskrevne klageadgang til Digitaliseringsstyrelsen fremgår.

I et brev af 3. juli 2015 skrev Finansministeriet bl.a. således til borgerrådgiveren

”Opgaven om udvikling og drift af den offentlige digitale signatur, NemID, har været konkurrenceudsat ved et EU-udbud i 2008, hvor Nets DanID vandt opgaven.

Der er således ikke nogen lovregler, der regulerer NemID eller udstedelse heraf, men Digitaliseringsstyrelsen er kontraktholder og sikrer, at Nets DanID lever op til kontraktens bestemmelser, ligesom styrelsen på baggrund af aftalen om overholdelse af OCES-standarden fører tilsyn med, at kravene i OCES-standarden for blandt andet udstedelse af NemID overholdes.

Som ansvarlig for OCES-standarden og kontrakten med Nets DanID har Digitaliseringsstyrelsen det forvaltningsretlige ansvar for NemID, hvilket er årsagen til, at klager over Nets DanID’s varetagelse af opgaven omkring NemID-løsningen skal rettes til Digitaliseringsstyrelsen.

Som også nævnt i Digitaliseringsstyrelsens svar til dig har Nets DanID indgået aftale med hver enkelt kommune om at være registreringsenhed for Nets DanID og varetage registrering og udstedelse af NemID på vegne af Nets DanID.

Det betyder, at utilfredshed med udstedelsesprocessen i første omgang rettes til Nets DanID som leverandør af NemID, men i tilfælde hvor en borger vil klage over Nets DanID vil det være Digitaliseringsstyrelsen som ansvarlig myndighed for kontrakten og reglerne (OCES-standarden), der kan rettes henvendelse til.

I overensstemmelse med almindelige forvaltningsretlige principper vil det herefter være Finansministeriet, der er klageinstans i forhold til afgørelser truffet af Digitaliseringsstyrelsen.

”

I en e-mail af 4. november 2015 rettede borgerrådgiveren henvendelse til mig, idet myndighederne efter hendes opfattelse ikke havde forholdt sig til problematikken om en ”regelret klageadgang”.

På baggrund af borgerrådgiverens henvendelse holdt jeg den 27. maj 2016 et møde med Finansministeriet og Digitaliseringsstyrelsen om sagen.

Jeg modtog herefter den 15. august 2016 og 2. marts 2017 Digitaliseringsstyrelsens udtalelser om de spørgsmål, som fremgår af pkt. 1-4 nedenfor.

1.

Har den opgavevaretagelse, som Nets DanID/borgerservicecentrene (RA) udfører på vegne af Nets DanID på området for udstedelse af NemID, karakter af afgørelsesvirksomhed i forvaltningslovens forstand?

Udstedelse af NemID

Digitaliseringsstyrelsen har oplyst, at borgerservicecentrene udsteder NemID til borgere på baggrund af en aftale med Nets DanID om at agere som registreringsenhed for Nets DanID.

Aftalen indeholder kommunernes accept af, at de i deres egenskab af registreringsenhed for Nets DanID skal overholde de regler og udstedelsesprocesser, som er udstukket af Nets DanID, og at de er underlagt revision fra Nets DanID.

I forbindelse med udstedelse af NemID skal borgeren tillige acceptere et regelsæt (NemID’s vilkår) udstedt af Nets DanID for, hvordan NemID skal administreres og anvendes.

Regelsættet er udarbejdet på baggrund af kravene i OCES-certifikatpolitik for personcertifikater, som er en offentlig standard, der udstikker kravene til udstedelse af NemID.

Digitaliseringsstyrelsen ejer OCES-certifikatpolitikken og har godkendt indholdet i regelsættet.

Styrelsen har oplyst, at udstedelse af NemID ikke er lovreguleret, og at rammerne for udstedelse af NemID derfor har været sat af OCES-certifikatpolitikken.

Digitaliseringsstyrelsen indgår aftale med udstedere om overholdelse af standarden og fører efterfølgende tilsyn med, at kravene i standarden overholdes.

Rammerne for kommunernes udstedelse af NemID har siden indførelsen af NemID været meget præcist udformet med udgangspunkt i OCES-standarden med særligt fokus på bl.a. sikkerheden ved udstedelse af NemID.

Kommunernes udstedelse af NemID er således nøje beskrevet i individuelle standardiserede aftaler mellem den enkelte kommune og Nets DanID – såkaldte RA-aftaler.

Digitaliseringsstyrelsen har videre oplyst, at udvikling og udstedelse af NemID er en opgave, som det offentlige har finansieret for at fremme digitalisering af den offentlige digitale forvaltning.

Opgaven har været konkurrenceudsat ved et EU-udbud og er tildelt en privat certifikatudsteder (Nets DanID), som driver løsningen som en kommerciel løsning med både offentlige og private kunder.

Udstedelse af NemID er en del af Nets’ forretning, som en udsteder i henhold til OCES-certifikatpolitikken kan uddelegere udførelsen af, men ikke ansvaret for.

Der er således tale om en opgave, som kommunerne udfører på vegne af Nets DanID.

Kommunernes borgerservicecentre udgør på vegne af Nets

DanID det fysiske registreringspunkt for borgere, som ønsker at få udstedt NemID.

Digitaliseringsstyrelsen har anført, at det er afgørende for sikkerheden og troværdigheden omkring NemID, at der ikke udstedes NemID til borgere, som ikke er i stand til at forstå reglerne og administrere og anvende NemID korrekt.

Kommunerne foretager i deres egenskab af registreringsenhed på vegne af Nets DanID en vurdering af, om en borger kan opfylde kravene til udstedelse af NemID.

Disse regler bliver løbende revideret af Digitaliseringsstyrelsen og Nets DanID i fællesskab for at sikre en tilstrækkelig høj sikkerhed og troværdighed for løsningen.

Kommunerne bliver altid varslet og orienteret om ændringer i reglerne.

Endvidere bliver RA-aftalerne mellem kommunerne og Nets DanID løbende revideret og opdateret, i takt med at udstedelsesprocedurerne mv. ændres.

NemID og regelsættet for NemID tager udgangspunkt i OCES-standarden (Offentlige Certifikater til Elektroniske Services), som er en offentlig standard for offentlig digital signatur, som i princippet er åben for enhver, der ønsker at udstede offentlig digital signatur.

Standarden er udarbejdet og ejet af Digitaliseringsstyrelsen, som indgår aftale med udstedere om overholdelse af standarden og efterfølgende fører tilsyn med, at kravene i standarden overholdes.

Afslag på NemID og klageadgang

Digitaliseringsstyrelsen har oplyst, at når en kommune afviser at udstede NemID til en borger, sker det på baggrund af den aftale, som kommunen har indgået med Nets DanID om at sikre overholdelse af krav til udstedelse af NemID.

Hvis en kommunes medarbejder i forbindelse med udstedelse af NemID af sproglige eller forståelsesmæssige årsager er i tvivl om en borgers evne til at administrere eller anvende NemID eller om validiteten af legitimationsdokumentationen, skal udstedelse afvises.

Borgeren oplyses i den forbindelse mundtligt om begrundelsen for afslaget og om klageadgang.

Digitaliseringsstyrelsen har som ressortansvarlig myndighed aftalt med Nets DanID, at klager kan videresendes til Digitaliseringsstyrelsen, som besvarer generelle klager over Nets DanID og udførelsen af opgaven med drift og udstedelse af NemID.

Digitaliseringsstyrelsen behandler således som ansvarlig for OCES-standarden og kontrakten med Nets DanID klager i relation til NemID, herunder bl.a. utilfredshed med afvisning af udstedelse af NemID.

Digitaliseringsstyrelsen behandler således også klager fra borgere, som er utilfredse med ikke at kunne få udstedt NemID hos kommunerne.

Dette fremgår af Nets DanID’s e-mail af 12. januar 2015 kaldet ”RA-info: Sproglige barrierer og NemID reglerne på flere sprog”, som er udsendt af Nets DanID efter aftale med Digitaliseringsstyrelsen.

Nets DanID henviser således blot til Digitaliseringsstyrelsen som ansvarlig myndighed på baggrund af de ovenfor beskrevne kontraktlige rammer.

Digitaliseringsstyrelsen har oplyst, at både kommunerne og Nets DanID er blevet orienteret om, at såfremt de modtager klager vedrørende NemID både i forhold til afslag og generelt, skal klagen videresendes til Digitaliseringsstyrelsen med henblik på behandling.

Digitaliseringsstyrelsen kan i konkrete sager rette henvendelse til en kommune eller Nets DanID med henblik på at få klarlagt fakta i f.eks. en klagesag.

Når Digitaliseringsstyrelsen har behandlet en klage fra en utilfreds borger, bliver svaret meddelt til borgeren og den konkrete kommune skriftligt.

Digitaliseringsstyrelsen har videre oplyst, at det hidtil har været styrelsens og kommunernes opfattelse, at den opgavevaretagelse, som kommunerne udfører på vegne af Nets DanID i forbindelse med udstedelse af NemID, ikke er afgørelsesvirksomhed i forvaltningslovens forstand.

Styrelsen har bl.a. henvist til, at der er tale om udstedelse af NemID fra en privat virksomhed og en privatretlig aftale mellem kommunerne og Nets DanID om udstedelse.

Det har således hidtil været opfattelsen, at kommunernes udstedelse af NemID har været en service for borgerne, hvor de har kunnet få assistance til udstedelse af NemID, og at udstedelse eller afvisning af udstedelse af NemID ikke i sig selv har ændret borgernes retsstilling.

Det skyldes, at borgere, der ikke har NemID, skal betjenes på anden vis af kommunerne.

2.

Hvad er hjemmelsgrundlaget for det offentliges overladelse af ovennævnte opgavevaretagelse til den private virksomhed Nets DanID?

Digitaliseringsstyrelsen har oplyst, at NemID er baseret på OCES-standarden, som er udarbejdet og ejet af Digitaliseringsstyrelsen.

Kravene til udstedelse af NemID fremgår af OCES-standarden, som er fastlagt i fire Certifikatpolitikker for Offentlige Certifikater til Elektroniske Services (OCES-CP’er).

For at kunne udstede OCES-certifikater skal udsteder (i dette tilfælde Nets DanID) have indgået en aftale (OCES-standardaftale) med Digitaliseringsstyrelsen, hvori udsteder bl.a. forpligter sig til at opfylde kravene i OCES-certifikatpolitikken, herunder at være underlagt Digitaliseringsstyrelsens tilsyn baseret på ekstern statsautoriseret revision.

Baggrunden for udarbejdelsen af OCES-standarden var efter det oplyste en regeringsbeslutning om at udbrede og fremme digital forvaltning og om, at en sikker måde at identificere sig på over internettet er en forudsætning for digital forvaltning.

Der blev ligeledes indgået politiske fællesoffentlige aftaler om at anvende NemID i selvbetjeningsløsninger, hvor der var behov for sikker autentifikation.

Styrelsen har oplyst, at opgaven med udvikling, udstedelse og drift af NemID har været konkurrenceudsat ved et EU-udbud i 2008, hvor Nets DanID vandt opgaven, og at der således er indgået en kommerciel kontrakt med Nets DanID, som har udviklet og i dag driver NemID-infrastrukturen og udsteder den offentlige digitale signatur på vegne af den offentlige sektor.

Nets DanID ejer løsningen bortset fra enkelte elementer, og Nets DanID er dataansvarlig for data i løsningen.

Udbuddet og dermed kontrakten indeholder krav om, at leverandøren i hele kontraktperioden skal have en OCES-standardaftale med Digitaliseringsstyrelsen, overholde kravene i OCES-standarden og være underlagt styrelsens tilsyn.

Digitaliseringsstyrelsen har oplyst, at styrelsen – på baggrund af den øgede digitalisering og den meget centrale rolle, som NemID spiller i den forbindelse – løbende har vurderet forholdene på området og behovet for lovgivning om NemID.

Styrelsen har bl.a. peget på, at anvendelsen af NemID har bevæget sig imod en mere betydelig og central rolle for de offentlige selvbetjeningsløsninger og borgernes adgang til at tilgå disse end det oprindelige udgangspunkt.

Digitaliseringsstyrelsen har videre oplyst, at det af hensyn til borgernes retssikkerhed, og henset til at der er tale om en væsentlig infrastrukturkomponent, som giver adgang til mange centrale offentlige selvbetjeningsløsninger, vil være hensigtsmæssigt at sikre klare lovgivningsmæssige rammer for ansvar og rettigheder i forhold til NemID.

På den baggrund er Finansministeriet påbegyndt et lovarbejde med henblik på udarbejdelse af et lovforslag, der fastsætter rammerne for NemID.

Lovforslaget forventes fremsat i Folketingsåret 2017/18 med ikrafttræden i 2018.

3.

Hvad er hjemmelsgrundlaget for Nets DanID’s aftaler med de kommunale borgerservicecentre, hvorved borgerservicecentrene (RA) får overdraget opgaven med registrering og udstedelse af NemID?

Digitaliseringsstyrelsen har anført, at det følger af certifikatpolitikken, at udstedelse af NemID varetages af Nets DanID selv eller af en selvstændig registreringsenhed.

Det er dog Nets DanID, som har ansvaret for hele udstedelsesprocessen, herunder validering af ansøgers identitet.

For at blive registreringsenhed indgås en aftale med Nets DanID, som indeholder bestemmelser for revision, uddannelse og teknisk understøttelse.

Nets DanID stiller derefter sit registrerings- og udstedelsesmodul (RA-portalen) til rådighed og uddanner medarbejderne fra registreringsenheden til at kunne udstede NemID.

Det er i den forbindelse en forudsætning for medarbejdere, der skal udstede NemID, at de selv er indehavere af NemID-medarbejdersignaturer, hvilket er nødvendigt for at sikre sporbarhed.

Som led i den fællesoffentlige aftale om udbredelse og anvendelse af NemID (eDag 1-3) blev det aftalt med KL, at de kommuner, der ønskede at tilbyde den service at kunne udstede NemID ved fysisk fremmøde til deres borgere, kunne indgå bilaterale aftaler herom med Nets DanID.

Nets DanID har således indgået en bilateral aftale om udstedelse af NemID med kommunerne, og kommunernes borgerservicecentre er udpeget som selvstændige registreringsenheder, hvor betroede registreringsmedarbejdere (kommunale medarbejdere) med gyldige medarbejdersignaturer udsteder NemID til borgere på vegne af Nets DanID.

Digitaliseringsstyrelsen anfører i den forbindelse, at kommunernes virke som registreringsenhed for Nets DanID efter det oplyste aldrig er blevet betragtet som led i kommunal sagsbehandling.

Udstedelse i kommunerne er i stedet blevet sidestillet med andre services, som kommunerne tilbyder deres borgere som led i den almindelige folkeoplysning, bl.a. via bibliotekerne, for at lette borgernes adgang til at benytte f.eks. de digitale selvbetjeningsløsninger.

4.

Hvorfor sker der ikke en ”automatisk kobling” mellem afslag på udstedelse af NemID på den ene side og fritagelse for Offentlig Digital Post og obligatoriske offentlige selvbetjeningsløsninger på den anden side, således at et afslag på udstedelse af NemID på det offentliges foranledning medfører fritagelse for anvendelse af Offentlig Digital Post og obligatoriske offentlige selvbetjeningsløsninger, som forudsætter anvendelse af NemID?

Digitaliseringsstyrelsen har anført, at en automatisk kobling mellem afslag på NemID og fritagelse for Digital Post og obligatorisk digital selvbetjening må forudsætte, at fritagelsesmulighederne er ens.

Digitaliseringsstyrelsen har i den forbindelse peget på, at mulighederne for fritagelse i forbindelse med Digital Post og obligatorisk digital selvbetjening ikke er ens.

En borger kan således fritages generelt for Digital Post, fordi borgeren uopfordret og også uventet kan modtage breve fra det offentlige i sin digitale postkasse.

Derfor er det vigtigt at sikre, at borgeren er i stand til at anvende digital post og løbende har mulighed for at læse digital post.

På den baggrund er der fastsat konkrete fritagelsesgrunde, som eksempelvis kan være manglende adgang til computer i eget hjem, sproglige barrierer og fysiske eller kognitive handicap.

Vanskeligheder ved at opnå NemID er ligeledes en fritagelsesgrund, men selvom en borger ikke kan få NemID, kan borgeren fortsat ønske at modtage sin post digitalt og give en anden læseadgang til posten.

I den forbindelse er der som alternativ til fritagelse fra Offentlig Digital Post mulighed for, at en borger kan anmode om, at borgerservice tildeler læseadgang til f.eks. en pårørende, som derved får mulighed for at læse og organisere den pågældende borgers digitale post, jf. nærmere § 13 i fritagelsesbekendtgørelsen (bekendtgørelse nr. 1553 af 18. december 2013).

I forhold til obligatorisk digital selvbetjening er det derimod borgeren, der primært har behov for at kontakte offentlige myndigheder.

Kan borgeren i den situation ikke anvende en obligatorisk digital selvbetjeningsløsning, skal borgeren derfor som hidtil henvende sig til den ansvarlige myndighed.

Her foretager myndigheden en konkret vurdering af, hvorvidt borgeren skal undtages fra kravet om digital selvbetjening under hensyntagen til borgerens evner og situation.

Borgeren modtager vejledning og vil kunne få udleveret en papirblanket af myndigheden, hvis myndigheden vurderer, at borgeren ikke kan søge digitalt, eksempelvis fordi borgeren ikke kan få NemID.

Digitaliseringsstyrelsen har oplyst, at de to forskellige fritagelsesmodeller er udarbejdet på baggrund af konkrete beslutninger og ud fra de hensyn og behov, der bedst giver mening for henholdsvis Digital Post og obligatorisk digital selvbetjening.

En automatisk kobling vil ikke umiddelbart være en hensigtsmæssig tilgang, henset til at fritagelsesmulighederne og baggrunden for kravene om Digital Post og obligatorisk digital selvbetjening har to forskellige formål for øje.

Styrelsen har videre oplyst, at problemstillingen vil blive inddraget i overvejelserne om mulighed for fritagelse for NemID i forbindelse med udarbejdelse af lovforslag om NemID.

5.

Ombudsmandens bemærkninger

Digitaliseringsstyrelsen har oplyst, at digital signatur i Danmark – og dermed NemID – ikke er underlagt specifik lovgivning, men i høj grad reguleres af OCES-certifikatpolitikker, der bl.a. opstiller krav til certifikaternes indhold, krav til udstedelse af certifikater og krav til certificeringscentrets sikkerhed.

NemID til offentlig digital signatur er udviklet på baggrund af en kontrakt mellem det offentlige og Nets DanID efter et EU-udbud i 2008.

Nets DanID har i den forbindelse indgået en OCES-standardaftale med Digitaliseringsstyrelsen, hvori Nets DanID har forpligtet sig til at overholde kravene i OCES-certifikatpolitikkerne.

Den kompetence, som kommunernes borgerservicecentre udøver på området for NemID, er baseret på såkaldte RA-aftaler med Nets DanID, hvorved borgerservicecentret i sin funktion af RA (Registration Authority) varetager registrering og udstedelse af NemID på vegne af Nets DanID, dvs. på vegne af en privat virksomhed.

Jeg bemærker hertil, at udlicitering af myndighedsopgaver til private må betragtes som en form for delegation, se bl.a. Carsten Henrichsen, Rammebetingelser for udlicitering af myndighedsopgaver, responsum fra 2004 til Udliciteringsrådet (s.

16).

I teori og administrativ praksis er det almindeligt antaget, at delegation af afgørelseskompetence til private kræver udtrykkelig lovhjemmel.

Der er endvidere støtte for, at delegation af andre opgaver i forbindelse med offentlige myndigheders behandling af sager i en vis udstrækning kan ske uden udtrykkelig hjemmel, såfremt delegationen ikke indebærer, at myndighedsopgaver overføres til private.

Jeg henviser bl.a. til FOB 2013-9 om delegation af sagsforberedelse til advokatfirma.

Det fremgår også af et notat om statens udbudspolitik, jf. Moderniseringsstyrelsens hjemmeside, at opgaver vedrørende myndighedsudøvelse ikke må overlades til private uden udtrykkelig lovhjemmel (http://www.modst.dk/Regnskab/Indkoeb-i-staten/Statens-udbudspolitik).

Det er derfor væsentligt at fastlægge, hvornår der er tale om myndighedsopgaver/myndighedsudøvelse.

Hvad der skal betragtes som myndighedsopgaver/myndighedsudøvelse, er bl.a. nærmere beskrevet af Bent Christensen, Myndighedsopgaver og udlicitering, responsum fra 1997 til Udliciteringsrådet.

Carsten Henrichsen lægger i sit ovenfor omtalte responsum (s.

16) samme forståelse af begrebet til grund som Bent Christensen.

Carsten Henrichsen peger i øvrigt bl.a. på (s.

18), at også ”rene myndighedsregistreringer , hvor borgeres eller virksomheders forhold registreres til brug for myndighederne selv eller for private, og som er eller kan være forbundet med udstedelse af dokumentation i form af attester, beviser o.l.

.

for erhvervelse af en vis retligt bestemt status” må anses for omfattet af begrebet myndighedsopgaver/myndighedsudøvelse.

Digitaliseringsstyrelsen har oplyst, at det hidtil har været styrelsens og kommunernes opfattelse, at den opgavevaretagelse, som kommunerne udfører på vegne af den private virksomhed Nets DanID i forbindelse med NemID, ikke har haft karakter af afgørelsesvirksomhed i forvaltningslovens forstand.

Digitaliseringsstyrelsen har samtidig peget på, at den øgede digitalisering har medført, at anvendelsen af NemID har bevæget sig imod en mere betydelig og central rolle for de offentlige selvbetjeningsløsninger og borgernes adgang til at tilgå disse end det oprindelige udgangspunkt, idet NemID nu er en væsentlig infrastrukturkomponent, som giver adgang til mange centrale offentlige selvbetjeningsløsninger.

Digitaliseringsstyrelsen har på den baggrund vurderet, at det af hensyn til borgernes retssikkerhed vil være hensigtsmæssigt med klare lovgivningsmæssige rammer for ansvar og rettigheder i forhold til NemID.

Dette er jeg enig med Digitaliseringsstyrelsen i.

Jeg mener også, at det må tages i betragtning, at NemID – fra at være et frivilligt tilbud til borgere, der ønskede at tilmelde sig ordningen, og som fra starten kun indgik i forholdsvis få offentlige digitale løsninger – er blevet en integreret del af en lang række obligatoriske offentlige digitale løsninger.

NemID er således gået fra at være et tilbud om, at borgere, som ønskede det, i visse tilfælde kunne betjene sig af digitale løsninger, til at være praktisk talt afgørende for, at borgerne kan opnå en tidssvarende betjening i forhold til store dele af det offentlige, både for så vidt angår offentlig servicevirksomhed (faktisk forvaltningsvirksomhed) og for så vidt angår offentlig afgørelsesvirksomhed.

Jeg har noteret mig, at Finansministeriet er påbegyndt et lovarbejde med henblik på udarbejdelse af et lovforslag, der fastsætter rammerne for NemID, og som forventes fremsat i Folketingsåret 2017/18 med ikrafttræden i 2018.

Jeg går i den forbindelse ud fra, at lovforslaget udtrykkeligt vil forholde sig til spørgsmålet om, hvorvidt opgavevaretagelse i tilknytning til NemID er afgørelsesvirksomhed eller anden form for myndighedsudøvelse.

Jeg bemærker desuden, at ordningen med at lade kommunerne fungere som registreringsenheder for Nets DanID også rejser hjemmelsspørgsmål.

Jeg går ud fra, at Finansministeriet i forbindelse med lovarbejdet vil overveje, hvordan det sikres, at der er hjemmel til, at kommunernes borgerservicecentre kan varetage opgaverne i tilknytning til NemID.

På baggrund af det påbegyndte lovarbejde finder jeg ikke grundlag for at foretage mig yderligere i forhold til spørgsmålene om hjemmel og karakteren af opgavevaretagelsen i forhold til NemID under gældende ret.

Jeg har noteret mig, at Digitaliseringsstyrelsen i praksis behandler klager over afslag på udstedelse af NemID, og at styrelsens afgørelser i sådanne tilfælde efter forvaltningsretlige regler om ulovbestemt rekurs kan indbringes for Finansministeriet.

Jeg går imidlertid ud fra, at spørgsmålet om klage til Digitaliseringsstyrelsen over afgørelser om udstedelse af NemID vil indgå i det videre arbejde med lovforslaget om NemID.

På den baggrund foretager jeg mig ikke yderligere i relation til spørgsmålet om klageadgang.

For så vidt angår mulighederne for automatisk kobling mellem på den ene side afslag på udstedelse af NemID og på den anden side fritagelse for Offentlig Digital Post og obligatoriske offentlige selvbetjeningsløsninger, har jeg noteret mig det, som Digitaliseringsstyrelsen har anført om, at Offentlig Digital Post og obligatoriske offentlige selvbetjeningsløsninger er udarbejdet med forskellige formål og ud fra forskellige hensyn.

På denne baggrund – og da Digitaliseringsstyrelsen har tilkendegivet, at problemstillingen om automatisk kobling vil blive inddraget i forbindelse med udarbejdelsen af det kommende lovforslag om NemID – foretager jeg mig ikke yderligere i relation til dette spørgsmål.

Jeg foretager mig herefter ikke mere i anledning af borgerrådgiverens henvendelse.

Sagsfremstilling

Den 4. november 2015 rettede borgerrådgiveren i Faxe Kommune henvendelse til mig om afvisning af udstedelse af NemID og klageadgang i den forbindelse.

Borgerrådgiveren skrev bl.a.

”Hermed beder jeg Ombudsmanden om at forholde sig til Finansministeriets svar af 3. juli 2015 vedrørende klageadgang ved afvisning af udstedelse af NemID i kommunal borgerservice – i den konkrete sag Faxe Kommunes borgerservice.

…

Finansministeriets besvarelse forholder sig efter min opfattelse ikke til problematikken omkring en ’regelret klageadgang’.

At den beskrevne certifikatpolitik, version 4 (OCES-standarden) intet nævner om klageadgang, er efter min opfattelse ikke i sig selv en holdbar begrundelse for ikke at indføre en regelret klageadgang eller anden tilsvarende sikring af borgeres retssikkerhed (grundlaget for vurderingen).

Det fremgår således af certifikatpolitikkens pkt. 7.4.10, at

’CA og RA skal sikre overensstemmelse med lovgivningen, herunder særligt lov om behandling af personoplysninger.

’

DanID’s mail af 12. januar 2015 kaldet ’RA-info: Sproglige barrierer og NemID reglerne på flere sprog’ om vurderingen af ansøgere synliggør, at der er et retssikkerhedsmæssigt problem

’Overordnet set gælder den tommelfingerregel: Hvis I af sproglige eller forståelsesmæssige årsager er i tvivl om borgerens hensigt med at få udstedt NemID, skal udstederen afvises.

Vi er opmærksomme på, at det kan betyde, at nogle borgere afvises uretmæssigt, men det er nødvendigt med nøje efterlevelse af reglerne, da det har vist sig, at udstedelse ved personligt fremmøde lige nu er det svageste led.

’

Det er videre mit indtryk, at lige netop muligheden for at klage over et afslag på ansøgning om NemID oprindeligt ikke har haft den allerstørste bevågenhed.

Det indtryk får jeg ved læsning af DanID’s mail af 12. januar 2015 kaldet ’RA-info: Sproglige barrierer og NemID reglerne på flere sprog’, hvor følgende bl.a. er nævnt

’Klagemulighed

Er borgeren utilfreds med en afgørelse i forbindelse med udstedelsen af NemID kan borgeren skrive til Digitaliseringsstyrelsen: info@digitalsignatur.dk’.

Da Nets DanID er en privat virksomhed vil et afslag på ansøgning om NemID truffet af Nets DanID eller på vegne af Nets DanID almindeligvis ikke kunne påklages og realitetsbehandles, medmindre der er udtrykkelig lovhjemmel herfor, fordi Nets DanID og Digitaliseringsstyrelsen ikke står i et hierarkisk forhold til hinanden.

”

Den 18. april 2016 skrev jeg følgende til Finansministeriet

”Jeg har modtaget en henvendelse af 4. november 2015 fra borgerrådgiveren i Faxe Kommune vedrørende afslag på anmodninger om udstedelse af NemID og klageadgang i den forbindelse.

Jeg vedlægger en kopi af borgerrådgiverens henvendelse med bilag.

Efter min opfattelse rejser sagen nogle væsentlige spørgsmål om bl.a. udlicitering af myndighedsopgaver (delegation til private), hvor også det del-spørgsmål om klageadgang, som borgerrådgiveren har peget på, indgår.

Jeg mener, at det vil være hensigtsmæssigt i første omgang mundtligt at drøfte sagen, bl.a. for at sikre, at jeg har en tilstrækkelig forståelse af de faktiske forhold.

På den baggrund vil jeg gerne invitere Finansministeriet og Digitaliseringsstyrelsen til et møde om sagen.

1.

Sagens baggrund

Det fremgår af borgerrådgiverens henvendelse, at hun i begyndelsen af 2015 modtog oplysninger fra RA-administrator (Registration Authority) i Faxe Kommunes Borgerservice om, at flere ældre borgere havde søgt om NemID til brug for en selvbetjeningsløsning hos NaturErhvervstyrelsen vedrørende fornyelse af bortforpagtningsaftaler.

De pågældende havde imidlertid fået mundtligt afslag på deres anmodninger om NemID, fordi de ikke var i stand til selv at bruge og forstå NemID.

Borgernes landboforening havde efterfølgende bedt om, at borgerne fik tilsendt skriftlige afslag.

I et brev af 30. marts 2015 til Digitaliseringsstyrelsen henviste borgerrådgiveren til, at retningslinjerne for Nets DanID’s krav til RA ikke omtaler specifikke regler om klageadgang, ligesom der ikke ses at være omtalt lovgivning, der nærmere beskriver klageadgangen.

Borgerservice havde imidlertid oplyst borgerrådgiveren om, at Nets DanID i en mail af 12. januar 2015 med emnet ’RA-info: Sproglige barrierer og NemID reglerne på flere sprog’ havde informeret RA om klagemulighed på følgende måde

’Er borgeren utilfreds med en afgørelse i forbindelse med udstedelsen af NemID, kan borgeren skrive til Digitaliseringsstyrelsen: info@digitalsignatur.dk.

’

Borgerrådgiveren spurgte Digitaliseringsstyrelsen, hvoraf hjemlen for den beskrevne klageadgang til Digitaliseringsstyrelsen fremgik.

I et brev af 10. april 2015 til borgerrådgiveren skrev Digitaliseringsstyrelsen bl.a. således

’Om NemID

NemID udstedes på baggrund af en offentlig standard for NemID digital signatur, som er udarbejdet af Digitaliseringsstyrelsen.

Tjenesteudbydere, som ønsker at udstede en digital signatur i Danmark, skal indgå aftale med Digitaliseringsstyrelsen for at kunne udstede NemID digital signatur efter denne standard.

Opgaven om udvikling og drift af den offentlige digitale signatur, NemID, har været konkurrenceudsat ved et EU-udbud i 2008, hvor Nets DanID vandt opgaven.

Digitaliseringsstyrelsen er kontraktholder og fører tilsyn med, at kravene i den offentlige standard for udstedelse af NemID overholdes.

Digitaliseringsstyrelsen fører således tilsyn med Nets DanID.

Digitaliseringsstyrelsen har ansvaret for NemID og fungerer, på baggrund af aftalen mellem Nets DanID og Digitaliseringsstyrelsen, som klageinstans for sager vedrørende NemID-løsningen.

I forbindelse med udstedelse af NemID varetager de enkelte kommuner en opgave som registreringsenhed for Nets DanID på baggrund af en aftale indgået med Nets DanID.

Denne aftale forpligter kommunerne til at sikre overholdelse af regler og standarder for NemID i forbindelse med udstedelse.

Klageadgang

Når en kommune afviser udstedelse af NemID til en borger, sker det på baggrund af den aftale, som kommunen har indgået med Nets DanID om at sikre overholdelse af krav til udstedelse af NemID.

Digitaliseringsstyrelsen er som ansvarlig myndighed for NemID klageinstans for afgørelser truffet af kommunerne vedrørende NemID, som det fremgår af Nets DanID’s mail af 12. januar 2015 kaldet ’RA-info: Sproglige barrierer og NemID reglerne på flere sprog’, som er udsendt af Nets DanID efter aftale med Digitaliseringsstyrelsen.

Nets DanID henviser således blot til Digitaliseringsstyrelsen som ansvarlig myndighed på baggrund af de ovenfor beskrevne kontraktlige rammer.

Endvidere kan det oplyses, at både kommuner og Nets DanID er instrueret om, at såfremt de modtager klager vedrørende NemID både i forhold til afslag og generelt, skal klagen videresendes til Digitaliseringsstyrelsen med henblik på behandling.

Digitaliseringsstyrelsen kan i konkrete sager rette henvendelse til en kommune eller Nets DanID med henblik på at få klarlagt fakta i f.eks. en klagesag.

Efter Digitaliseringsstyrelsens behandling af en klage/henvendelse, bliver afgørelsen meddelt til borgeren og den konkrete kommune skriftligt.

Såfremt der gives afslag på udstedelse af NemID, og borgeren ønsker at klage, bliver vedkommende orienteret om, at Finansministeriets departement er rette klageinstans i forhold til afgørelser truffet af Digitaliseringsstyrelsen.

Afslag på udstedelse af NemID

I forhold til den konkrete sag hvor en række ældre borgere har fået afslag på NemID, kan jeg uden at kende de konkrete sager og alene på baggrund af din beskrivelse i brevet oplyse, at det følger af reglerne for udstedelse af NemID, at borgere for at få udstedt NemID skal være i stand til at forstå og efterleve reglerne for NemID, samt selv kunne lave og administrere sin adgangskode.

Denne vurdering foretages af borgerservicemedarbejderne.

Såfremt det vurderes, at en borger ikke er i stand til at forstå og efterleve reglerne for NemID mv., skal der gives afslag.

Dette afslag gives kun mundtligt.

Jeg kan til orientering oplyse, at borgerservicecentrene ud fra en konkret vurdering af den enkelte borgers situation kan undtage vedkommende fra at anvende offentlige digitale selvbetjeningsløsninger.

Dette følger af de såkaldte bølgelove.

’

Borgerrådgiveren bad efterfølgende Finansministeriet om at oplyse, i hvilken lov (eller bekendtgørelse) klageadgangen til Digitaliseringsstyrelsen nærmere var beskrevet.

I et brev af 3. juli 2015 til borgerrådgiveren skrev Finansministeriet bl.a. således

’Som beskrevet i Digitaliseringsstyrelsens svar af 10. april 2015 udstedes NemID på baggrund af en offentlig standard for NemID digital signatur, som er udarbejdet af Digitaliseringsstyrelsen.

OCES-standarden beskriver blandt andet krav til registrering, udstedelse og sikkerhed for den offentlige digitale signatur, NemID.

Udstedere, som ønsker at udstede offentlig digital signatur i henhold til OCES-standarden, skal indgå en aftale med Digitaliseringsstyrelsen, hvor de bekræfter at ville overholde kravene i OCES-standarden herunder at være underlagt tilsyn fra styrelsen.

Opgaven om udvikling og drift af den offentlige digitale signatur, NemID, har været konkurrenceudsat ved et EU-udbud i 2008, hvor Nets DanID vandt opgaven.

Der er således ikke nogen lovregler, der regulerer NemID eller udstedelse heraf, men Digitaliseringsstyrelsen er kontraktholder og sikrer, at Nets DanID lever op til kontraktens bestemmelser, ligesom styrelsen på baggrund af aftalen om overholdelse af OCES-standarden fører tilsyn med, at kravene i OCES-standarden for blandt andet udstedelse af NemID overholdes.

Som ansvarlig for OCES-standarden og kontrakten med Nets DanID har Digitaliseringsstyrelsen det forvaltningsretlige ansvar for NemID, hvilket er årsagen til, at klager over Nets DanID’s varetagelse af opgaven omkring NemID-løsningen skal rettes til Digitaliseringsstyrelsen.

Som også nævnt i Digitaliseringsstyrelsens svar til dig har Nets DanID indgået aftale med hver enkelt kommune om at være registreringsenhed for Nets DanID og varetage registrering og udstedelse af NemID på vegne af Nets DanID.

Det betyder, at utilfredshed med udstedelsesprocessen i første omgang rettes til Nets DanID som leverandør af NemID, men i tilfælde hvor en borger vil klage over Nets DanID vil det være Digitaliseringsstyrelsen som ansvarlig myndighed for kontrakten og reglerne (OCES-standarden), der kan rettes henvendelse til.

I overensstemmelse med almindelige forvaltningsretlige principper vil det herefter være Finansministeriet, der er klageinstans i forhold til afgørelser truffet af Digitaliseringsstyrelsen.

Ministeriet henviser i øvrigt til Digitaliseringsstyrelsens brev af 10. april, hvor udstedelsesprocesserne og kommunernes rolle er beskrevet mere detaljeret.

Afslutningsvis vil ministeriet gerne understrege, at borgere der ikke kan få udstedt NemID, kan blive fritaget for Digital Post, ligesom de kan blive undtaget for obligatorisk digital selvbetjening.

Borgere skal i den forbindelse henvende sig til kommunen.

’

Ved brev af 4. november 2015 rettede borgerrådgiveren henvendelse til mig, idet myndighederne efter hendes opfattelse ikke havde forholdt sig til problematikken om en ’regelret klageadgang’.

Borgerrådgiveren har bl.a. omtalt Nets DanID’s mail af 12. januar 2015 med emnet ’RA-info: Sproglige barrierer og NemID reglerne på flere sprog’, der efter hendes opfattelse synliggør, at der er et retssikkerhedsproblem.

Borgerrådgiveren citerer bl.a. følgende fra mailen af 12. januar 2015 (jeg er ikke selv i besiddelse af mailen)

’Overordnet set gælder den tommelfingerregel: Hvis I af sproglige eller forståelsesmæssige årsager er i tvivl om borgerens hensigt med at få udstedt NemID, skal udstederen afvises.

Vi er opmærksomme på, at det kan betyde, at nogle borgere afvises uretmæssigt, men det er nødvendigt med nøje efterlevelse af reglerne, da det har vist sig, at udstedelse ved personligt fremmøde lige nu er det svageste led.

’

2.

Borgerservicecentrenes (RA) kompetence på området for udstedelse af NemID

På baggrund af den foreliggende brevveksling samt oplysninger på Digitaliseringsstyrelsens hjemmeside www.digst.dk og hjemmesiden www.nemid.nu må jeg forstå, at digital signatur i Danmark – og dermed NemID – ikke er underlagt nogen specifik lovgivning, men i høj grad reguleres af OCES-certifikatpolitikker (Offentlige Certifikater til Elektronisk Service), der bl.a. opstiller krav til certifikaternes indhold, krav til udstedelse af certifikater og krav til certificeringscentrets sikkerhed.

Certifikatpolitikkerne er dog i et vist omfang baseret på lov om elektroniske signaturer (lov nr. 417 af 31. maj 2000 med senere ændringer).

NemID til offentlig digital signatur er udviklet på baggrund af en kontrakt mellem det offentlige og Nets DanID efter et EU-udbud.

Nets DanID har i den forbindelse indgået en OCES-standardaftale med Digitaliseringsstyrelsen, hvori Nets DanID har forpligtet sig til at overholde kravene i OCES-certifikatpolitikkerne.

Jeg forstår endvidere forholdet sådan, at den kompetence, som kommunernes borgerservicecentre udøver på området for NemID, er baseret på en såkaldt RA-aftale med Nets DanID, hvorved borgerservicecentret i sin funktion af RA (Registration Authority) varetager registrering og udstedelse af NemID på vegne af Nets DanID, dvs. på vegne af en privat virksomhed.

Jeg må endvidere forstå, at borgerservicecentret som led i opgaven med registrering og udstedelse af NemID bl.a. træffer afgørelser – ligeledes på vegne af Nets DanID – om afslag på borgeres anmodninger om udstedelse af NemID.

3.

Generelt om hjemmelskravet for udlicitering af myndighedsopgaver (delegation til private)

Delegation til private er omtalt flere steder i den juridiske litteratur.

Spørgsmålet er også behandlet i flere ombudsmandsudtalelser.

Se bl.a. FOB 2008.463 og FOB 2013-9 med henvisning til juridisk litteratur på området.

Også FOB 2015-40 indeholder spørgsmål om delegation til private.

Udlicitering af myndighedsopgaver til private må betragtes som en form for delegation, se bl.a. Carsten Henrichsen, Rammebetingelser for udlicitering af myndighedsopgaver, responsum fra 2004 til Udliciteringsrådet (s.

16).

I teori og administrativ praksis er det almindeligt antaget, at delegation af afgørelseskompetence til private kræver udtrykkelig lovhjemmel.

Der er endvidere støtte for, at delegation af andre opgaver i forbindelse med offentlige myndigheders behandling af sager i en vis udstrækning kan ske uden udtrykkelig hjemmel, såfremt delegationen ikke indebærer, at myndighedsopgaver overføres til private.

Se bl.a. den ovenfor omtalte FOB 2013-9 om lovlig delegation af sagsforberedelse til advokatfirma.

Det fremgår også af et notat om statens udbudspolitik, jf. Moderniseringsstyrelsens hjemmeside, at opgaver vedrørende myndighedsudøvelse ikke må overlades til private uden udtrykkelig lovhjemmel (http://www.modst.dk/ Regnskab/Indkoeb-i-staten/Statens-udbudspolitik).

Det er derfor væsentligt at fastlægge, hvornår der er tale om myndighedsopgaver/myndighedsudøvelse, da delegation heraf som nævnt kræver udtrykkelig lovhjemmel.

Hvad der skal betragtes som myndighedsopgaver/myndighedsudøvelse, er nærmere beskrevet af Bent Christensen, Myndighedsopgaver og udlicitering, responsum fra 1997 til Udliciteringsrådet.

Carsten Henrichsen lægger i sit ovenfor omtalte responsum (s.

16) samme forståelse af begrebet til grund som Bent Christensen.

Carsten Henrichsen peger i øvrigt bl.a. på (s.

18), at også ’rene myndighedsregistreringer , hvor borgeres eller virksomheders forhold registreres til brug for myndighederne selv eller for private, og som er eller kan være forbundet med udstedelse af dokumentation i form af attester, beviser o.l.

for erhvervelse af en vis retligt bestemt status’ må anses for omfattet af begrebet myndighedsopgaver/myndighedsudøvelse.

4.

Den delegerende myndigheds ansvar, klageadgang mv.

Carsten Henrichsen anfører i sit responsum (s.

36), at den kontraherende virksomhed, hvortil opgaven er delegeret, er forpligtet af gældende regler om myndigheders sagsbehandling (forvaltningslov mv.)

Om kontrol af myndighedsudøvelsens lovlighed skriver Carsten Henrichsen bl.a. følgende (s.

39 f.)

’Som ovenfor nævnt varetages den udliciterede virksomhed på den udliciterende myndigheds ansvar.

Det er derfor også denne myndighed, der som 1. instans i det administrative system skal forholde sig til eventuelle klager over de afgørelser, der bliver truffet af den kontraherende virksomhed, henholdsvis de myndighedshandlinger der bliver udført af samme.

Den udliciterende myndighed er retligt set ikke nogen klagemyndighed, men i givet fald netop alene organ for genoptagelse af en sag i 1. instans efter borgerens anmodning (såkaldt remonstration ).

I praksis vil klager dog normalt blive håndteret på den måde, at disse oversendes til den kontraherende virksomhed til fornyet behandling og afgivelse af indstilling til myndigheden, der herefter beslutter, om afgørelsen skal fastholdes eller ændres.

’

5.

Punkter til drøftelse på møde

Som nævnt indledningsvis mener jeg, at det vil være hensigtsmæssigt at holde et møde om sagen.

Jeg forestiller mig, at vi på mødet bl.a. kommer ind på følgende emner

A.

Har den opgavevaretagelse, som Nets DanID/borgerservicecentrene (RA) udfører på vegne af Nets DanID på området for udstedelse af NemID, karakter af afgørelsesvirksomhed i forvaltningslovens forstand?

Under denne drøftelse vil også indgå spørgsmål om sagsbehandlingen, herunder hvordan afslag på NemID bliver meddelt borgeren, og om der gives klagevejledning og begrundelse mv.

B.

Hvad er hjemmelsgrundlaget for det offentliges overladelse af ovennævnte opgavevaretagelse til den private virksomhed Nets DanID?

C.

Hvad er hjemmelsgrundlaget for Nets DanID’s aftaler med de kommunale borgerservicecentre, hvorved borgerservicecentrene (RA) får overdraget opgaven med registrering og udstedelse af NemID?

Jeg henviser herved til, at kommunernes dispositioner – medmindre de falder inden for rammene af den såkaldte kommunalfuldmagt – kræver hjemmel i lov eller tilsvarende grundlag.

Se bl.a. Jens Garde og Karsten Revsbech, Kommunalret, 3. udgave (2011), s.

12.

D.

Hvorfor sker der ikke en ’automatisk kobling’ mellem afslag på udstedelse af NemID på den ene side og fritagelse for Offentlig Digital Post og obligatoriske offentlige selvbetjeningsløsninger på den anden side, således at et afslag på udstedelse af NemID på det offentliges foranledning medfører fritagelse for anvendelse af Offentlig Digital Post og obligatoriske offentlige selvbetjeningsløsninger, som forudsætter anvendelse af NemID?

Jeg henviser herved til, at borgeren i tilfælde af en ’automatisk kobling’ ikke selv vil skulle søge fritagelse og dokumentere afslaget på udstedelse af NemID i relation til både Offentlig Digital Post og hver enkelt selvbetjeningsløsning.

”

Den 27. maj 2016 blev der afholdt et møde mellem repræsentanter for Digitaliseringsstyrelsen, Finansministeriet og ombudsmandsinstitutionen.

I fortsættelse af mødet afgav Digitaliseringsstyrelsen den 15. august 2016 følgende udtalelse

”Finansministeriet modtog den 18. april 2016 en henvendelse fra Folketingets Ombudsmand på baggrund af en klage fra borgerrådgiveren i Faxe Kommune vedrørende kommunens afslag på anmodninger om udstedelse af NemID og borgerens klageadgang i den forbindelse.

Det fremgår af Folketingets Ombudsmands henvendelse, at sagen rejser nogle væsentlige spørgsmål om bl.a. udlicitering af myndighedsopgaver mv.

Den 27. maj 2016 blev der afholdt møde mellem Folketingets Ombudsmand, Finansministeriet og Digitaliseringsstyrelsen om sagen.

På mødet blev det aftalt, at Digitaliseringsstyrelsen på vegne af Finansministeriet senest den 15. august 2016 skulle fremsende sine skriftlige bemærkninger til Folketingets Ombudsmand, herunder besvare de spørgsmål A-D, som fremgår af Ombudsmandens henvendelse af 18. april 2016.

Endvidere blev det på mødet aftalt, at Digitaliseringsstyrelsen skulle indhente en udtalelse fra KL i forhold til kommunernes udstedelse af NemID.

Digitaliseringsstyrelsen har derfor til brug for sagen indhentet en udtalelse fra KL, der er vedlagt som bilag 1 .

Af KL’s udtalelse fremgår det blandt andet, at kommunernes borgerservicecentre på vegne af Nets DanID udgør det fysiske registreringspunkt for borgere, som ønsker at få udstedt NemID, at det er kommunernes opfattelse, at der ikke har været tale om en afgørelse i forvaltningsretlig forstand, da borgerens retsstilling ikke er blevet ændret af en manglende udstedelse af NemID, og at hvis en borger ikke har NemID og dermed ikke kan tilgå post og ansøge om ydelser mv. digitalt, kan borgeren få personlig hjælp i hjemkommunen.

Digitaliseringsstyrelsen har ingen bemærkninger til KL’s beskrivelse og tilgang.

Nedenfor følger Digitaliseringsstyrelsens besvarelse af Folketingets Ombudsmands henvendelse inddelt under emnerne A-D.

Ad A: Har den opgavevaretagelse, som Nets DanID/borgerservicecentrene (RA) udfører på vegne af Nets DanID på området for udstedelse af NemID, karakter af afgørelsesvirksomhed i forvaltningslovens forstand, herunder hvordan afslag på NemID bliver meddelt borgeren, og om der gives klagevejledning og begrundelse mv.?

Udstedelse af NemID og afgørelsesbegrebet

Borgerservicecentrene udsteder NemID til borgere på baggrund af en aftale med Nets DanID om at agere som registreringsenhed for Nets DanID.

Aftalen indeholder kommunernes accept af, at de i deres egenskab af registreringsenhed for Nets DanID skal overholde de ’regler’ og udstedelsesprocesser, som er udstukket af Nets DanID, og at de er underlagt revision fra Nets DanID.

I forbindelse med udstedelse af NemID skal borgeren tillige acceptere et ’regelsæt’ (NemID’s vilkår) udstedt af Nets DanID for, hvordan NemID skal administreres og anvendes.

’Regelsættet’ er udarbejdet på baggrund af kravene i OCES-certifikatpolitik for personcertifikater, som er en offentlig standard, der udstikker kravene til udstedelse af NemID.

Digitaliseringsstyrelsen ejer OCES-certifikatpolitikken og har godkendt indholdet i ’regelsættet’.

Udstedelse af NemID er ikke lovreguleret.

Rammerne for udstedelse af NemID har derfor været sat af OCES-certifikatpolitik for personcertifikater, som er en offentlig standard udarbejdet og ejet af Digitaliseringsstyrelsen.

Digitaliseringsstyrelsen indgår aftale med udstedere om overholdelse af standarden og fører efterfølgende tilsyn med, at kravene i standarden overholdes.

Siden indførelsen af NemID har rammerne for kommunernes udstedelse af NemID været meget præcist udformet med udgangspunkt i OCES-standarden.

Rammerne for udstedelse har særligt fokus på sikkerheden omkring udstedelse og anvendelse af NemID-løsningen med henblik på at skabe troværdighed omkring løsningen og kommunernes udstedelse af NemID.

Kommunernes udstedelse af NemID er nøje beskrevet i individuelle standardiserede aftaler mellem den enkelte kommune og Nets DanID.

Vedlagt som bilag 2 er et eksempel på RA-aftale mellem Nets og en kommune.

Bilagene til RA-aftalen indeholder instrukser, arbejdsgangsbeskrivelse mv.

Som det fremgår af bilagene til RA-aftalen, er der en meget udførlig og detaljeret beskrivelse af rammerne for udstedelsesproceduren og arbejdsgange for udstedelse af NemID.

Det er Digitaliseringsstyrelsens vurdering, at særligt bilag 4 til RA-aftalen indeholder klare instrukser til RA-medarbejderne (de udstedende medarbejdere) om, hvordan og under hvilke betingelser NemID kan udstedes.

Disse instrukser støtter medarbejderne i deres skøn, når de forholder sig til, hvorvidt der kan udstedes NemID til en borger.

Kriterier for, hvornår der kan udstedes NemID til en borger, fremgår tydeligt af RA-aftalen.

Udvikling og udstedelse af NemID er en opgave, som det offentlige har finansieret for at fremme digitalisering af den offentlige digitale forvaltning.

Opgaven har været konkurrenceudsat ved et EU-udbud og er tildelt en privat certifikatudsteder (Nets DanID), som driver løsningen som en kommerciel løsning med både offentlige og private kunder.

Udstedelse af NemID er en del af Nets’ forretning, som en udsteder i henhold til OCES-certifikatpolitikken kan uddelegere udførelsen af, men ikke ansvaret for.

Der er således tale om en opgave, som kommunerne udfører på vegne af Nets DanID.

Kommunernes borgerservicecentre udgør på vegne af Nets DanID det fysiske registreringspunkt for borgere, som ønsker at få udstedt NemID.

Det er afgørende for sikkerheden og troværdigheden omkring NemID, at der ikke udstedes NemID til borgere, som ikke er i stand til at forstå ’reglerne’ og administrere og anvende NemID korrekt.

Kommunerne foretager i deres egenskab af registreringsenhed på vegne af Nets DanID en vurdering af, om en borger kan opfylde kravene til udstedelse af NemID.

Disse ’regler’ bliver løbende revideret af Digitaliseringsstyrelsen og Nets DanID i fællesskab for at sikre en tilstrækkelig høj sikkerhed og troværdighed for løsningen.

Kommunerne bliver altid varslet og orienteret om ændringer i ’reglerne’.

Endvidere bliver RA-aftalerne mellem kommunerne og Nets DanID løbende revideret og opdateret, i takt med at udstedelsesprocedurerne mv. ændres.

NemID og ’regelsættet’ for NemID tager udgangspunkt i OCES-standarden (Offentlige Certifikater til Elektroniske Services), som er en offentlig standard for offentlig digital signatur, som i princippet er åben for enhver, der ønsker at udstede offentlig digital signatur.

Standarden er udarbejdet og ejes af Digitaliseringsstyrelsen, som indgår aftale med udstedere om overholdelse af standarden og efterfølgende fører tilsyn med, at kravene i standarden overholdes.

Der er endvidere indgået aftale mellem Nets DanID og bankerne om udstedelse af NemID til netbank.

NemID til netbank kan kun benyttes til borgerens netbank.

Såfremt borgeren ønsker at benytte det samme NemID til offentlige selvbetjeningsløsninger og til netbank, skal borgeren opfylde de udstedelseskriterier, som gælder for udstedelse af NemID offentlig digital signatur.

’Reglerne’ for udstedelse af NemID til netbank og udstedelse af NemID til offentlige selvbetjeningsløsninger er således ikke ens, idet bankerne blandt andet udsteder NemID til kunder uden cpr.nr., som ikke kan få NemID til offentlige selvbetjeningsløsninger.

Ved udstedelse til netbankkunder, skal bankerne overholde kravene i Lov om hvidvaskning.

Det har været Digitaliseringsstyrelsens og kommunernes opfattelse, at den opgavevaretagelse, som kommunerne udfører på vegne af Nets DanID i forbindelse med udstedelse af NemID ikke er afgørelsesvirksomhed i forvaltningslovens forstand, da der er tale om udstedelse af NemID fra en privat virksomhed og en privatretlig aftale mellem kommunerne og Nets DanID om udstedelse.

Jf. også KL’s udtalelse i bilag 1 .

Konklusion

Digitaliseringsstyrelsen kan oplyse, at det således hidtil har været opfattelsen, at kommunernes udstedelse af NemID har været en service for borgerne, hvor de har kunnet få assistance til udstedelse af NemID, og hvor borgere, der ikke har kørekort eller pas har haft mulighed for at få udstedt NemID ved personligt fremmøde.

Det har ligeledes været opfattelsen, at udstedelse eller afvisning af udstedelse af NemID ikke i sig selv har ændret borgerens retsstilling, idet borgere, der ikke har NemID, skal betjenes på anden vis af kommunerne.

Det har derfor været opfattelsen, at afvisningen ikke har været en afgørelse i forvaltningsretlig forstand.

Se i øvrigt pkt. D for en beskrivelse af mulighederne for fritagelse for henholdsvis Digital Post og obligatorisk digital selvbetjening.

Afslag på NemID og efterfølgende klageadgang

Digitaliseringsstyrelsen har ansvaret for kontrakten med Nets DanID, OCES-standarden og tilsynet med Nets DanID.

Når en kommune afviser at udstede NemID til en borger, sker det på baggrund af den aftale, som kommunen har indgået med Nets DanID, om at sikre overholdelse af krav til udstedelse af NemID.

Det er afgørende for den generelle troværdighed og sikkerhed i løsningen, at disse krav overholdes.

Klager over et afslag skal derfor i første omgang adresseres til Nets DanID.

Digitaliseringsstyrelsen har som ressortansvarlig myndighed aftalt med Nets DanID, at klager kan videresendes til Digitaliseringsstyrelsen, som besvarer generelle klager over Nets DanID og udførelsen af opgaven om drift og udstedelse af NemID.

Digitaliseringsstyrelsen behandler således, som ansvarlig for OCES-standarden og kontrakten med Nets DanID klager i relation til NemID, herunder bl.a. utilfredshed med afvisning af udstedelse af NemID, selvom dette ikke har været opfattet som en afgørelse i forvaltningslovens forstand.

Således behandler Digitaliseringsstyrelsen også klager fra borgere, som er utilfredse over ikke at kunne få udstedt NemID hos kommunerne.

Dette fremgår af Nets DanID’s mail af 12. januar 2015 kaldet ’RA-info: Sproglige barrierer og NemID reglerne på flere sprog’, som er udsendt af Nets DanID efter aftale med Digitaliseringsstyrelsen.

Nets DanID henviser således blot til Digitaliseringsstyrelsen som ansvarlig myndighed på baggrund af de ovenfor beskrevne kontraktlige rammer.

Endvidere kan det oplyses, at både kommunerne og Nets DanID er blevet orienteret om, at såfremt de modtager klager vedrørende NemID både i forhold til afslag og generelt, skal klagen videresendes til Digitaliseringsstyrelsen med henblik på behandling.

Digitaliseringsstyrelsen kan i konkrete sager rette henvendelse til en kommune eller Nets DanID med henblik på at få klarlagt fakta i f.eks. en klagesag.

Hvis kommunens medarbejder i forbindelse med udstedelse af NemID af sproglige eller forståelsesmæssige årsager er i tvivl om borgerens evne til at administrere eller anvende NemID eller er i tvivl om validiteten af legitimationsdokumentationen, skal udstedelse afvises.

Borgeren oplyses i den forbindelse mundtligt om grunden til afslaget.

På nuværende tidspunkt registreres det ikke, at en borger ikke har fået udstedt NemID, så vedkommende har altid mulighed for at vende tilbage, for eksempel med de rigtige legitimationsdokumenter eller eventuelt med et vitterlighedsvidne.

Endvidere er der mulighed for, at borgeren kan benytte en tolk.

Når Digitaliseringsstyrelsen har behandlet en klage fra en utilfreds borger, bliver svaret meddelt til borgeren og den konkrete kommune skriftligt.

Konklusion

Digitaliseringsstyrelsen kan oplyse, at det er forventningen, at borgeren i forbindelse med et mundtligt afslag på NemID gives en mundtlig begrundelse for årsagen til afslaget og klageadgang.

Ad B: Hvad er hjemmelsgrundlaget for det offentliges overladelse af ovennævnte opgavevaretagelse til den private virksomhed Nets

DanID?

Den offentlige digitale signatur NemID er baseret på OCES-standarden.

OCES-standarden er udarbejdet og ejes af Digitaliseringsstyrelsen.

Kravene til udstedelse af NemID fremgår således af denne offentlige standard, som er fastlagt i fire Certifikatpolitikker for Offentlige Certifikater til Elektroniske Services (OCES-CP’er).

Disse kan eftersendes efter anmodning.

For at kunne udstede OCES-certifikater skal udsteder (i dette tilfælde Nets DanID) have indgået en aftale med Digitaliseringsstyrelsen (OCESstandardaftale), hvori udsteder bl.a. forpligter sig til at opfylde kravene i OCES-certifikatpolitikken herunder at være underlagt Digitaliseringsstyrelsens tilsyn baseret på ekstern statsautoriseret revision.

Baggrunden for udarbejdelsen af OCES-standarden var en regeringsbeslutning om at udbrede og fremme digital forvaltning.

En sikker måde at identificere sig på over internettet er en forudsætning for digital forvaltning.

Der blev ligeledes indgået politiske fællesoffentlige aftaler om at anvende NemID i selvbetjeningsløsninger, hvor der var behov for sikker autentifikation.

Opgaven om udvikling, udstedelse og drift af NemID har været konkurrenceudsat ved et EU-udbud i 2008, hvor Nets DanID vandt opgaven.

Der er således indgået en kommerciel kontrakt med Nets DanID, som har udviklet og i dag driver NemID infrastrukturen og udsteder den offentlige digitale signatur på vegne af den offentlige sektor.

Det er således Nets DanID, der ejer løsningen bortset fra enkelte elementer.

Nets DanID er dataansvarlig for data i løsningen.

Udbuddet og dermed kontrakten indeholder krav om, at leverandøren i hele kontraktperioden skal have en OCES-standardaftale med Digitaliseringsstyrelsen, overholde kravene i OCES-standarden og være underlagt styrelsens tilsyn.

Som det fremgår ovenfor er NemID ikke lovreguleret.

Konklusion

Digitaliseringsstyrelsen kan oplyse, at på baggrund af den øgede digitalisering og den meget centrale rolle, som NemID spiller i den forbindelse, har Digitaliseringsstyrelsen løbende overvejet, hvorvidt der bør lovgives om NemID.

Styrelsen er opmærksom på, at anvendelsen af NemID har bevæget sig imod en mere betydelig og central rolle for de offentlige selvbetjeningsløsninger og borgernes adgang til at tilgå disse, end det oprindelige udgangspunkt.

På den baggrund forventes det, at det vil være nødvendigt at regulere forholdene omkring udstedelse og anvendelse m.v. af NemID, herunder om og under hvilke betingelser, det skal være obligatorisk at have et NemID.

Det har i den forbindelse været styrelsens vurdering, at det vil være mest hensigtsmæssigt af hensyn til den nuværende kontrakt og det igangværende udbud af næste generation af NemID at gennemføre lovgivning, som kan træde i kraft i forbindelse med genudbud og indgåelse af kontrakt om næste generation af NemID.

Det forventes på nuværende tidspunkt, at næste generation af NemID kan være færdigudviklet til implementering og afløsning af det eksisterende NemID i løbet af 2019.

Et eventuelt lovforslag om NemID vil på denne baggrund kunne udarbejdes med henblik på fremsættelse i Folketingsåret 2018/19.

Ad C: Hvad er hjemmelsgrundlaget for Nets DanID’s aftaler med de kommunale borgerservicecentre, hvorved borgerservicecentrene (RA) får overdraget opgaven med registrering og udstedelse af NemID?

Nets DanID har indgået en bilateral aftale om udstedelse af NemID med kommunerne.

Derfor er kommunernes borgerservicecentre udpeget som selvstændige registreringsenheder, hvor betroede registreringsmedarbejdere (kommunale medarbejdere) med gyldige medarbejdersignaturer udsteder NemID til borgere på vegne af Nets DanID.

Udstedelse af NemID kan ifølge certifikatpolitikken varetages af Nets DanID selv, eller af en selvstændig registreringsenhed.

Nets DanID har under alle omstændigheder ansvaret for hele udstedelsesprocessen herunder validering af ansøgers identitet.

For at blive registreringsenhed indgås en aftale med Nets DanID.

Aftalen indeholder bestemmelser for revision, uddannelse og teknisk understøttelse.

Nets DanID stiller derefter deres registrering- og udstedelsesmodul (RA-portalen) til rådighed, og uddanner medarbejderne fra registreringsenheden til at kunne udstede NemID.

Det er en forudsætning for medarbejdere, der skal udstede NemID, at de selv er indehaver af NemID medarbejdersignatur.

Dette er nødvendigt for at sikre sporbarhed.

Der henvises i øvrigt til bilag 2 .

Kommunernes virke som registreringsenhed for Nets DanID er efter det oplyste aldrig blevet betragtet som led i den kommunale sagsbehandling.

Kommunerne har dog en stor interesse i at fremme udbredelse af NemID for at muliggøre og støtte digitalisering af kommunikation med borgerne, ligesom kommunerne i forvejen har fysiske borgerservicecentre, som borgerne kender og er i kontakt med løbende.

Derfor er borgerservicecentrene et naturligt sted at etablere et let og bekvemt fysisk fremmøde for borgerne.

Som led i den fællesoffentlige aftale om udbredelse og anvendelse af NemID (eDag 1-3) blev det aftalt med KL, at de kommuner, der ønskede at tilbyde den service at kunne udstede NemID ved fysisk fremmøde til deres borgere, kunne indgå bilaterale aftaler herom med Nets DanID.

Konklusion

Digitaliseringsstyrelsen kan oplyse, at KL har oplyst, at udstedelse i kommunerne sidestilles med andre services, som kommunerne tilbyder deres borgere som led i den almindelige folkeoplysning, herunder blandt andet via bibliotekerne for at lette borgernes adgang til eksempelvis at benytte de digitale selvbetjeningsløsninger.

På samme vis afholder kommunerne it-kurser for borgerne, sælger billetter til børneteater mv.

Der henvises i øvrigt til punkt A, hvor der er en udførlig beskrivelse af aftalegrundlaget mellem kommunerne og Nets DanID.

Ad D: Hvorfor sker der ikke en ’automatisk kobling’ mellem afslag på udstedelse af NemID på den ene side og fritagelse for Offentlig Digital Post og obligatoriske offentlige selvbetjeningsløsninger på den anden side, således at et afslag på udstedelse af NemID på det offentliges foranledning medfører fritagelse for anvendelse af Offentlig Digital Post og obligatoriske offentlige selvbetjeningsløsninger, som forudsætter anvendelse af NemID?

Digitaliseringsstyrelsen gør opmærksom på, at mulighederne for fritagelse i forbindelse med Digital Post og obligatorisk digital selvbetjening ikke er ens.

Såfremt der skal ske en ’automatisk kobling’ mellem afslag på NemID og fritagelse for Digital Post og obligatorisk digital selvbetjening, vil det være en forudsætning at fritagelsesmulighederne er ens.

Der er således forskel på Offentlig Digital Post og de obligatoriske offentlige selvbetjeningsløsninger.

En borger kan fritages generelt for Digital Post, da borgeren uopfordret og også uventet kan modtage breve fra det offentlige i sin digitale postkasse.

Det er således vigtigt at sikre, at borgeren er i stand til at anvende digital post og løbende har mulighed for at læse digital post.

På den baggrund er der fastsat konkrete fritagelsesgrunde som eksempelvis kan være manglende adgang til computer i eget hjem, sproglige barrierer og fysiske eller kognitive handicap.

Vanskeligheder ved at opnå NemID er ligeledes en fritagelsesgrund, men selvom en borger ikke kan få NemID, kan borgeren fortsat ønske at modtage sin post digitalt og give en anden læseadgang til posten.

I forhold til obligatorisk digital selvbetjening er det derimod borgeren, der primært har behov for at kontakte offentlige myndigheder.

Kan borgeren i den situation ikke anvende en obligatorisk digital selvbetjeningsløsning, skal borgeren derfor som hidtil henvende sig til den ansvarlige myndighed.

Her foretager myndigheden en konkret vurdering af, hvorvidt borgeren skal undtages fra kravet om digital selvbetjening under hensyntagen til borgerens evner og situation.

Borgeren modtager vejledning og vil kunne få udleveret en papirblanket af myndigheden, hvis myndigheden vurderer, at borgeren ikke kan søge digitalt, eksempelvis fordi borgeren ikke kan få NemID.

De to forskellige fritagelsesmodeller er på baggrund af konkrete beslutninger udarbejdet ud fra de hensyn og behov, der bedst giver mening for henholdsvis Digital Post og obligatorisk digital selvbetjening.

Den 12. maj 2015 forkastede et flertal i Folketinget et beslutningsforslag om at indføre en ensartet fritagelsesmodel i forhold til Digital Post og obligatorisk digital selvbetjening, således at en fritagelse fra Digital Post tillige ville gælde al digital selvbetjening.

Konklusion

Digitaliseringsstyrelsen kan oplyse, at det er Digitaliseringsstyrelsens vurdering, at en ’automatisk kobling’ ikke umiddelbart vil være en hensigtsmæssig tilgang, da fritagelsesmulighederne og baggrunden for kravene om Digital Post og obligatorisk digital selvbetjening har to forskellige formål for øje.

I forbindelse med udarbejdelsen af et eventuelt lovforslag om NemID, vil ovenstående problemstilling blive inddraget i overvejelserne omkring muligheden for fritagelse for NemID.

”

Den udtalelse af 17. juni 2016 fra KL, som Digitaliseringsstyrelsen sendte med sin udtalelse af 15. august 2016, har følgende indhold

”KL er i skrivelse af den 9. juni 2016 blevet anmodet om en udtalelse om kommunernes rolle og opgaver i forbindelse med udstedelse af NemID.

Kommunerne udsteder NemID som en service over for borgerne.

Straksudstedelsen og den efterfølgende hjælp til aktivering af borgernes NemID har været fundamentet for de store digitaliseringsbølger samt indførelsen af Digital Post.

Både kommunernes Borgerservice og folkebibliotekerne har haft en afgørende rolle i at få digitaliseringsgraden hos befolkningen op på det niveau, der er i dag.

Kommunerne har ikke fået kompensation for at udføre denne opgave, men opgaven er efterfølgende tænkt ind som en lille del i udgiftsscenarierne for implementering af Digital Post og obligatorisk digital selvbetjening.

Det er konkret sket ved, at der i de business cases, som har ligget til grund for henholdsvis aftalerne om Digital Post og obligatorisk selvbetjening, har været indlagt forventninger om et væsentligt øget træk på kommunerne.

Det øgede træk på kommunerne i dag er primært hjælp til digital selvbetjening.

Kommunerne har således ikke specifikt fået midler tilført til at hjælpe borgerne med NemID, men opgaven er regnet ind i de samlede skøn ift., hvornår det er muligt at hente gevinster ved de to projekter.

Og det har ikke alene været baseret på arbejdsopgaven med NemID.

Kommunernes praktiske håndtering og straksudstedelse af NemID reguleres af RA-aftalen.

Af RA-aftalen fremgår blandt andet, at det fysiske materiale, som borgeren modtager i forbindelse med straksudstedelsen, skal opbevares på en sikker og forsvarlig måde.

Endvidere skal de medarbejdere, der i det daglige håndterer opgaven, fremvise straffeattest, hvilket i kommunerne normalt kun er et krav inden for visse fagområder.

Endelig skal kommunerne i forbindelse med udstedelsen sikre sig følgende

Hvis ovenstående ikke opfyldes, eller hvis kommunen i forbindelse med tolkebistand oplever, at der er risiko for misbrug, nægtes borgeren at få NemID.

Det er i øvrigt kommunernes opfattelse, at der ikke har været tale om en afgørelse i forvaltningsretlig forstand, da borgerens retsstilling ikke er blevet ændret af en manglende udstedelse.

Hvis en borger ikke har

NemID og dermed ikke kan tilgå post og ansøge om ydelser digitalt, kan borgeren få personlig hjælp i hjemkommunen.

”

På baggrund af telefoniske drøftelser mellem ombudsmanden og Digitaliseringsstyrelsens direktør afgav styrelsen den 2. marts 2017 en supplerende udtalelse, hvor styrelsen bl.a. anførte følgende

”Digitaliseringsstyrelsen besvarede i brev af 15. august 2016 en henvendelse af 18. april 2016 fra Folketingets Ombudsmand til Finansministeriet på baggrund af en klage fra borgerrådgiveren i Faxe Kommune vedrørende kommunens afslag på anmodninger om udstedelse af NemID og borgerens klageadgang i den forbindelse.

Digitaliseringsstyrelsen skriver blandt andet følgende i sit svar

’Digitaliseringsstyrelsen kan oplyse, at på baggrund af den øgede digitalisering og den meget centrale rolle, som NemID spiller i den forbindelse, har Digitaliseringsstyrelsen løbende overvejet, hvorvidt der bør lovgives om NemID.

Styrelsen er opmærksom på, at anvendelsen af NemID har bevæget sig imod en mere betydelig og central rolle for de offentlige selvbetjeningsløsninger og borgernes adgang til at tilgå disse, end det oprindelige udgangspunkt.

På den baggrund forventes det, at det vil være nødvendigt at regulere forholdene omkring udstedelse og anvendelse m.v. af NemID, herunder om og under hvilke betingelser, det skal være obligatorisk at have et NemID.

Det har i den forbindelse været styrelsens vurdering, at det vil være mest hensigtsmæssigt af hensyn til den nuværende kontrakt og det igangværende udbud af næste generation af NemID at gennemføre lovgivning, som kan træde i kraft i forbindelse med genudbud og indgåelse af kontrakt om næste generation af NemID.

Det forventes på nuværende tidspunkt, at næste generation af NemID kan være færdigudviklet til implementering og afløsning af det eksisterende NemID i løbet af 2019.

Et eventuelt lovforslag om NemID vil på denne baggrund kunne udarbejdes med henblik på fremsættelse i Folketingsåret 2018/19.

’

Digitaliseringsstyrelsen har siden løbende vurderet forholdene på området og behovet for lovgivning om NemID.

Digitaliseringsstyrelsen er i den forbindelse kommet frem til, at det blandt andet henset til, at der er tale om en væsentlig infrastrukturkomponent, som giver adgang til mange af de centrale offentlige selvbetjeningsløsninger, og henset til hensynet til borgernes retssikkerhed, vil være hensigtsmæssigt at sikre klare lovgivningsmæssige rammer for ansvar og rettigheder i forhold til NemID.

På denne baggrund har Finansministeriet påbegyndt et lovarbejde med henblik på udarbejdelse af et lovforslag, der fastsætter rammerne for NemID.

Lovforslaget forventes fremsat i Folketingsåret 2017/18 med ikrafttræden i 2018.

”

-

Borgerens identitet skal sikres.

Dette reguleres udførligt af RA-aftalen.

-

Borgeren skal i praksis kunne bruge en computer i tilstrækkeligt omfang til at kunne håndtere log-on proceduren.

-

Borgeren skal være i stand til at lave og administrere en kode.

-

Borgeren skal kunne forstå, at kode og nøglekort er personligt, og at det strider mod reglerne om NemID (og åbner for misbrug) at videregive kode og nøglekort.