Re: [DFRI-listan] Integritetsvänlig identifiering

[Linus Nordberg <linus@xxxxxxx>]

Hej!

tl;dr Den som lagrar och behandlar information om dig borde inte kräva
legitimation utan säkerställa din identitet _hos_dom_ (!) på ett sätt
som inte utsätter dig för risker.


När du säger legitimera sig, menar du uttryckligen att bevisa sin
statliga identitet, dvs den administrativa identitet som Sverige gett
dig? Isf borde det bero på två saker: Vilken/vilka identitetsutfärdare
("IDP") som accepteras samt vilken tillitsnivå ("Assurance Level",
"Level of Assurance") som krävs.

Ett exempel på IDP är Finansiell ID-Teknik med tjänsten BankID. Eller så
är det bankerna som är medlemmar som formellt är IDP här och Finansiell
ID-Teknik bara är teknikleverantören? BankID har tillitsnivå 3 ("AL3")
vilket räcker "för det mesta" (se något från DIGG för detaljer).

Ett annat exempel är Freja eID (som verkar blockera Tor-användare på
sina websidor).

Ett tredje exempel är eduID för att komma åt tjänster inom
högskolesektorn.

Så beroende på vem du vill autentisera dig hos så kan kraven vara
olika. Det är ju smidigt att bara kräva BankID men det är som du säger
inte integritetsvänligt, bl.a. pga det du nämner men också att jag
lockas att installera en app som jag inte vet vad den gör,
alt. exekverar någons javascript i en webläsare som dessutom måste
fungera med den aktuella sidan (något Tor Browser har problem med på
flera sidor, särskilt på sistone när fler och fler går över till att
visa QR-kod istf att be om personnummer). Att över huvud taget "ha
BankID" måste anses som en risk i sig. Det öppnar upp för ytterligare
ett sätt att autentisera sig som dig. Jag skulle gärna opta ut om det
var tekniskt och praktiskt möjligt.


En annan sak som GDPR kräver är väl att dataägaren (du) ska bli
informerad om datat hamnar på vift? Är inte det skäl nog att lagra någon
slags kontaktuppgift till dig? Som kan användas för att lämna ut
information om dig menar jag.


Sist så finns det ytterligare en risk för skada med ett system som Simon
beskriver, om jag kan ta reda på _att_ en person finns i ett register
eller ej. Jag hade föredragit om Svenska Kyrkan inte berättade för vem
som helst som kontaktade dom huruvida jag är medlem eller ej. Kanske
gjorde dom rätt när Simon ringde och sade inte "vi skickar dina
medlemsupggifter till din adress" utan något smartare, men kanske
exponerar dom medlemsinformation om man frågar "rätt".



Peter Michanek <peter@xxxxxxx> wrote
Sat, 27 Jun 2020 16:25:40 +0200:

> En av tankarna med Dataskyddsförordningen är ju att inte lagra mer än
> nödvändigt. Om organisationen som jag skickar min förfrågan till ändå
> har kontaktuppgifter till mig, av andra skäl, så kan ju dessa användas
> för att skicka svaret bara till mig. En annan variant som används är
> att bara skicka till min adress enligt folkbokföringen.
>
> Men min fråga gäller de situationer då jag trots allt måste legitimera
> mig på något sätt. BankID och fotokopia av legitimationen är de enda
> sätt jag kan komma på. Finns det fler sätt? Vad har ni stött på? Vilket
> av dessa är mest integritetsvänligt?
>
> Peter.
>
>> 26 juni 2020 kl. 20:39 skrev Simon Josefsson <simon@xxxxxxxxxxxxx>:
>> 
>> fre 2020-06-26 klockan 18:46 +0200 skrev Peter Michanek:
>>> Jag behöver lite hjälp med att resonera kring vad som är det mest
>>> integritetsvänliga sättet att identifiera sig på distans.
>>> 
>>> Enligt Dataskyddsförordningen (GDPR) så har jag ju rätt att få ut
>>> mina personuppgifter från en organisation som behandlar dem. Det är
>>> då rimligt att jag måste identifiera mig, så att inte uppgifterna
>>> lämnas till någon annan än till mig.
>> 
>> Hej!
>> 
>> Man skulle kunna resonera som så att det strikt sett inte är nödvändigt
>> att identifiera begäran om personuppgifter.  Organisationer kan se till
>> att de har kontaktuppgifter sparade för sina individer, och då skicka
>> materialet till den adress de har lagrad, vid begäran från vilket håll
>> som helst.  Ingen identifiering behöver då ske -- enda risken är det
>> missbrukas genom att någon annan beställer information för en annan
>> person som inte begärt det, men informationen går till den person som
>> redan har rätt till sin information så skadan är begränsad.
>> 
>> Jag roade mig med att beställa ut vad Svenska Kyrkan har lagrat om mig,
>> och (kanske utan att förstå det) så använde de sig av den här metoden.
>> De sa per telefon att de inte kunde säga något per telefon av
>> integritetsskäl, mer än att de bekräftade att de mottagit en begäran om
>> utdrag och sedan damp det ner ett brev på posten.
>> 
>>> BankID är ju smidigt men ger samtidigt bankerna information om när
>>> och till vem jag identifierar mig. Det förekommer (kanske främst i
>>> andra länder) att de vill ha ett foto av din legitimation men detta
>>> foto kan ju hamna i orätta händer och då missbrukas.
>>> 
>>> Vad är egentligen det mest integritetsvänliga sättet att identifiera
>>> sig?
>> 
>> Att inte identifiera sig alls!
>> 
>> Ett problemet med mitt resonemang är att det medför att alla som
>> använder sig av metoden måste ha kontaktuppgifter som lämpar sig för
>> att skicka information till, t.ex. postadress eller email.  Det kan
>> finnas situationer då man inte vill lagra den informationen, men jag
>> tror det är sällsynt.
>> 
>> /Simon
>> 
-- 
DFRI-listan är öppen för alla.
Listan arkiveras och publiceras öppet på internet.
Arkiv: https://lists.dfri.se/listan/
Listpolicy: https://www.dfri.se/regler-for-listan