Prop. 52 L

(2023–2024)
Proposisjon til Stortinget (forslag til lovvedtak)

Endringer i lov om elektroniske tillitstjenester (adgang til innhenting av opplysninger fra Folkeregisteret)

Tilråding fra Digitaliserings- og forvaltningsdepartementet 1. mars 2024, godkjent i statsråd samme dag. (Regjeringen Støre)

Dokumentet på regjeringen.no

1 Proposisjonens hovedinnhold

Digitaliserings- og forvaltningsdepartementet fremmer i denne proposisjonen forslag til endringer i lov 15. juni 2018 nr. 44 om gjennomføring av EUs forordning om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked (lov om elektroniske tillitstjenester). Formålet med lovforslaget er å gi tilbydere av elektroniske tillitstjenester mulighet til å innhente opplysninger om utenlandske identifikasjonsnumre fra Folkeregisteret uten hinder av taushetsplikt i forbindelse med utstedelse og bruk av elektronisk identifikasjon (eID).

Endringen innebærer at det fastsettes en hjemmel i lov om elektroniske tillitstjenester for utstedere av elektroniske identitetsbevis til uten hinder av taushetsplikt å innhente opplysninger fra Folkeregisteret når det er nødvendig for å utføre oppgaver etter loven. Departementet gis myndighet til å fastsette nærmere i forskrift hvilke opplysninger som kan innhentes.

Endringen som foreslås i denne proposisjonen, vil gi adgang for tilbydere av elektroniske tillitstjenester til innhenting av opplysninger fra Folkeregisteret som er nødvendig for utstedelse og bruk av eID. Nærmere konkretisering av adgangen til å innhente opplysninger om utenlandske identifikasjonsnumre vil bli fastsatt i forskrift.

2 Bakgrunnen for lovforslaget

2.1 Behovet for å innhente opplysninger om en persons utenlandske identifikasjonsnummer fra Folkeregisteret

Bakgrunnen for forslaget er eID-tilbyderes behov for å kunne innhente opplysninger om en persons utenlandske identifikasjonsnummer fra Folkeregisteret uten hinder av taushetsplikt i forbindelse med utstedelse og bruk av norsk elektronisk identifikasjon (eID).

Det ble vedtatt en midlertidig bestemmelse i selvdeklarasjonsforskriften § 18 fjerde punktum i forbindelse med utbruddet av covid-19. Dette ga tilbydere av elektronisk identifikasjon hjemmel til å innhente opplysninger fra folkeregistermyndigheten om en persons utenlandske identifikasjonsnummer uten hinder av taushetsplikt. Hjemmelen ble første gang vedtatt 28. mai 2020 med virkning til 31. desember 2020, men har senere blitt forlenget to ganger, senest i vedtak av 26. april 2022 med virkning til 31. desember 2023.

Utenlandske identifikasjonsnumre er opplysninger som registreres i Folkeregisteret, for eksempel i forbindelse med at en person får tildelt et norsk identitetsnummer. Etter dagens praksis kan dette for eksempel være et utenlandsk personnummer eller passnummer.

Utenlandske identifikasjonsnumre er underlagt taushetsplikt etter lov om folkeregistrering. Den midlertidige hjemmelen ble vedtatt for å gjøre det mulig å utstede eID til EØS-borgere som var blitt permittert pga. pandemien og hadde reist tilbake til hjemlandet. Det ble utviklet en løsning for digital ID-kontroll, MinID Passport, som forutsatte kontroll av personens pass opp mot opplysninger om personens utenlandske identifikasjonsnummer registrert i Folkeregisteret.

Det viser seg fortsatt å være et behov for innhenting av utenlandske identifikasjonsnumre i forbindelse med utstedelse av eID til utlendinger. Hjemmelen bør fastsettes i lov for å tilfredsstille folkeregisterlovens krav om lovhjemmel. Hvilke opplysninger som kan innhentes for å oppnå en sikker og entydig identifikasjon i forbindelse med utstedelse og bruk av eID, kan konkretiseres nærmere i forskrift.

2.2 Behovet for en permanent hjemmel og for endringer

2.2.1 Erfaringer fra tidligere høring og kartlegging

I forbindelse med høringen av forslaget om den midlertidige hjemmelen ga flere av høringsinstansene uttrykk for at det er behov for tilgang til utenlandske identifkasjonsnumre også ved ordinær utstedelse av eID til utlendinger i Norge. Det ble også pekt på at det kan være behov for identitetsmatching i forbindelse med bruk av utenlandske eID-er i Norge, jf. eIDAS-forordningen.

Digitaliseringsdirektoratet og Skattedirektoratet foretok i forkant av høringen en egen utredning på oppdrag fra Kommunal- og distriktsdepartementet og Finansdepartementet. Her ble det vurdert hvilke behov som foreligger og hvilke konsekvenser det vil ha å etablere en permanent hjemmel.

I forbindelse med utstedelse og re-utstedelse av eID vil det, som en del av identitetskontrollen som skal gjennomføres, være behov for å sammenligne utenlandske identifkasjonsnumre som innhentes av eID-utstederne opp mot utenlandske identifikasjonsnumre som er registrert i Folkeregisteret. Ved en eventuell «match» vil kravet i selvdeklarasjonsforskriften om entydig kobling til folkeregistrert person kunne være oppfylt.

Kartleggingen av behovet hos de ulike eID-utstederne viser at det fortsatt er behov for å kunne gjennomføre en slik identitetskontroll for å muliggjøre eID-utstedelse til enkelte grupper som per i dag har utfordringer med å få eID. Dette gjelder blant annet EØS-borgere med d-nummer. Enkelte brukere i denne gruppen vil ikke kunne bevise eierskap til et norsk identitetsnummer i henhold til kravene i selvdeklarasjonsforskriften uten at eID-utstedere har tilgang til utenlandske identifikasjonsnumre i Folkeregisteret.

I regjeringens eID-strategi for offentlig sektor, som ble publisert i april 2023, er det en viktig målsetting at alle relevante brukergrupper enkelt skal kunne skaffe seg en eID på det sikkerhetsnivået de har behov for, og at regjeringen vil sørge for at staten på en sikker måte kan koble en identitet fra utlandet mot en norsk identitet som brukeren allerede har. En hjemmel for eID-utstedere til å få utlevert opplysninger om utenlandske identifikasjonsnumre fra Folkeregisteret vil også gjøre det mulig med en automatisert og selvbetjent prosess, som igjen medfører effektivitetsgevinster og økt tilgjengelighet. Samlet bidrar dette til å oppfylle flere mål og tiltak i ny nasjonal strategi for eID i offentlig sektor.

2.2.2 Andre formål enn utstedelse og re-utstedelse av eID

Digitaliseringsdirektoratet har identifisert formål som ikke ble dekket av den midlertidige hjemmelen, dvs. andre formål med innhenting av utenlandske identifikasjonsnumre enn utstedelse og re-utstedelse av eID. Det gjelder etterlevelse av regelverk i finanssektoren, herunder rapportering og etterlevelse av hvitvaskingsreglene.

Dette gjelder imidlertid kun for BankID og er ikke et formål som gjelder eID-utstedere generelt i forbindelse med ID-kontroll eller utstedelse av eID. Det gjelder også bruk av utenlandsk eID-ordning i Norge og oppfyllelse av anerkjennelsesplikten i eIDAS-forordningen artikkel 6, dvs. plikten til å anerkjenne notifiserte eID-er på tvers av EU/EØS.

Forslag til revidert eIDAS-forordning innebærer et forsterket lovkrav i tilknytning til dette. Et siste formål er «matching» av identiteter for oppfyllelse av Single Digital Gateway-forordningen for å gi en person tilgang til en tjeneste i et annet land. Dette forutsetter mulighet for å koble personens identitet fra hjemlandet med identiteten i landet tjenesten skal ytes.

Utenlandske identifikasjonsnumre i Folkeregisteret vil derfor kunne ha en rolle ved gjennomføring og oppfyllelse av både någjeldende og kommende europeisk regelverk.

2.2.3 Behovet for endringer i folkeregisterregelverket

Skattedirektoratet konkluderer i sin utredning med at det ikke er avdekket behov som tilsier at folkeregisterregelverket må endres for at eID-tilbyderne skal kunne få en permanent tilgang til utenlandske identifikasjonsnumre. Skattedirektoratet ser likevel at det kan være behov for enkelte forbedringer i regelverk og rutiner. Direktoratet påpeker at det er en forutsetning for å kunne imøtekomme eID-tilbydernes behov at opplysninger om utenlandske identifikasjonsnumre faktisk registreres og er tilgjengelig og har tilstrekkelig kvalitet.

Skattedirektoratet foreslår derfor tiltak som kan bedre datakvaliteten og føre til økt tilfang av opplysningen, tiltak som det er behov for uavhengig av om utenlandske identifikasjonsnumre skal benyttes til nye formål.

Direktoratet bemerker at det ikke vil være mulig å registrere utenlandske identifikasjonsnumre i alle sammenhenger, fordi ikke alle har legitimasjonsdokumenter eller tilsvarende der dette fremgår.

Skattedirektoratet bemerker ellers at det ved innføring av en permanent hjemmel antagelig vil bli behov for minimum én ny rettighetspakke for deling av utenlandske identifikasjonsnumre til eID-tilbydere. Etter den midlertidige hjemmelen fikk eID-tilbyderne tilgang til rettighetspakken «Offentlige og private virksomheter med hjemmel», dvs. en rettighetspakke som inneholder alle taushetsbelagte opplysninger i Folkeregisteret. Denne løsningen innebærer tilgang til overskuddsinformasjon, noe som kan være i strid med dataminimeringsprinsippet i personvernforordningen.

Finansdepartementet legger til grunn at det ikke er aktuelt å omklassifisere utenlandske identifikasjonsnumre til opplysninger som ikke er underlagt taushetsplikt i Folkeregisteret, slik tilfellet er med fødsels- og d-nummer. Dette har sammenheng med at utenlandske identifikasjonsnumre omfatter forskjellige opplysningstyper (passnummer, nasjonalt ID-nummer, Tax Identification Number og trygdenummer), og at flere land har begrensninger på bruk og deling av identifikasjonsnumre. Blant annet er opplysningene taushetsbelagt i enkelte EU-land.

2.3 Gjeldende rett

2.3.1 Lov om elektroniske tillitstjenester og forskrift om selvdeklarasjon

Lov 15. juni nr. 44 om gjennomføring av EUs forordning om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked (lov om elektroniske tillitstjenester) gjennomfører forordning (EU) nr. 910/2014 (eIDAS-forordningen).

Forordningen skal legge til rette for økt elektronisk samhandling mellom næringsdrivende, borgere og offentlige myndigheter på tvers av landegrensene i EU/EØS og bidra til sterkere økonomisk vekst i det indre marked. Forordningen er todelt og regulerer gjensidig aksept av løsninger for eID og gjensidig aksept av elektronisk signatur og andre tillitstjenester.

Det er vedtatt en rekke gjennomføringsrettsakter til forordningen, bl.a. en gjennomføringsrettsakt som fastsetter sikkerhetsnivåer, forordning (EU) 2015/1502 om fastsettelse av tekniske minstespesifikasjoner for elektroniske identifikasjonsmidler (identifikasjonsnivåforskriften). Gjennomføringsrettsaktene er gjennomført i forskrift av 21. november 2019 nr. 1577 om tillitstjenester for elektroniske transaksjoner, fastsatt med hjemmel i lov om elektroniske tillitstjenester § 1 annet ledd, jf. delegeringsvedtak 8. november 2019 nr. 1491.

Norske tilpasninger til de konkrete kravene som skal oppfylles etter identifikasjonsnivåforskriften går frem av forskrift 21. november 2019 nr. 1578 om selvdeklarasjon av ordninger for elektronisk identifikasjon (selvdeklarasjonsforskriften) del III. De norske sikkerhetsnivåene bygger på kravene som er nedfelt i identifikasjonsnivåforskriften.

I forbindelse med utstedelse av eID må identifikasjonspåstanden gjelde en person som finnes i Folkeregisteret, og utstederen av eID må kunne gi en sikker og entydig kobling til denne personens identifikator i Folkeregisteret (fødsels- eller d-nummer), jf. selvdeklarasjonsforskriften § 18, første og annet punktum. At koblingen er «sikker og entydig» innebærer at koblingen ikke kan baseres på personens navn eller andre kjennetegn som kan være i bruk av flere personer, jf. tredje punktum.

Ved fremvisning av utenlandske identitetsbevis må det i tillegg «godtgjøres» en entydig knytning til et fødsels- eller d-nummer i Folkeregisteret, jf. selvdeklarasjonsforskriften § 19 første ledd, første strekpunkt, annet alternativ. For ordens skyld gjøres det oppmerksom på at ikke alle med behov for det vil kunne få tildelt fødsels- eller d-nummer.

Dersom det for eksempel skal utstedes en eID til en utenlandsk borger, som viser frem et utenlandsk pass og passet inneholder tilsvarende opplysninger som er registrert i Folkeregisteret – for eksempel samme personidentifikator eller samme passnummer – så vil det kunne opprettes en sikker og entydig forbindelse mellom det utenlandske identifikasjonsnummeret og det norske fødsels- eller d-nummeret i Folkeregisteret.

Her vil tre ulike krav i selvdeklarasjonsforskriften være oppfylt: Personidentifikatoren eller passnummeret går frem av både passet og av den registrerte identiteten i Folkeregisteret, og det skjer en gjenkjenning av nummeret (det «matcher»). Den utenlandske borgeren har derfor «godtgjort» en entydig knytning til et slik fødsels- eller d-nummer, og oppfyller derfor kravet i både selvdeklarasjonsforskriften § 18 første punktum, og selvdeklarasjonsforskriften § 19 første ledd, første strekpunkt, annet alternativ.

Denne «knytningen» er ikke utelukkende basert på personens navn eller andre kjennetegn som kan være i bruk av flere personer, men et identifikasjonsnummer. Utenlandske personnumre eller personidentifikatorer vil være unike og persistente, mens et passnummer normalt også er unikt og stabilt over en gitt tid og oppfyller derfor kravet i selvdeklarasjonsforskriften § 18 annet punktum.

Den midlertidige hjemmelen i selvdeklarasjonsforskriften § 18 fjerde punktum innebar at eID-tilbydere kunne innhente opplysninger fra folkeregistermyndigheten om en persons utenlandske identifikasjonsnummer uten hinder av taushetsplikt. Den midlertidige hjemmelen ble vedtatt under covid-19-pandemien fordi det var viktig å få raskt på plass en løsning for digital ID-kontroll. Den midlertidige løsningen skulle sikre hjemreiste EØS-borgere norsk eID, i en tid hvor reiserestriksjoner gjorde det umulig eller svært vanskelig å gjennomføre fysisk ID-kontroll og utlevere eID på ordinær måte.

2.3.2 Folkeregisterloven

I lov 9. desember 2016 nr. 88 om folkeregistrering (folkeregisterloven) skilles det mellom utlevering av taushetsbelagte opplysninger og utlevering av opplysninger som ikke er underlagt taushetsplikt. Etter lovens § 10-1 første ledd kan offentlige myndigheter og virksomheter få utlevert ikke-taushetsbelagte opplysninger fra Folkeregisteret, mens utlevering av taushetsbelagte opplysninger krever hjemmel i særlov, jf. folkeregisterloven § 10-2 første ledd.

Folkeregisterloven § 9-1 fastsetter i første ledd at enhver som behandler personopplysninger etter loven, har taushetsplikt om det han eller hun får kjennskap til i sitt arbeid. I § 9-1 annet ledd er det gjort konkrete unntak fra taushetsplikten. Det følger av folkeregisterloven § 9-1 annet ledd at

«Taushetsplikten omfatter ikke opplysninger om en persons fulle navn, fødselsdato, kjønn, fødsels- og d-nummer, grunnlaget for registrert identitet etter § 3-2, adresse, fødested, statsborgerskap, sivilstand, vergemål, stadfestet fremtidsfullmakt og dødsdato, med mindre slike opplysninger røper et klientforhold eller andre forhold som gjør at opplysningene må anses personlige. Det samme gjelder historiske opplysninger om navn og adresse.»

Opplysningene som listes opp i folkeregisterloven § 9-1 annet ledd, anses som ikke-taushetsbelagte opplysninger og kan utleveres til offentlige myndigheter og virksomheter, og visse private virksomheter og aktører, etter søknad til Skatteetaten, jf. folkeregisterloven § 10-1 første og annet ledd. Privatpersoner og andre private aktører kan også få utlevert ikke-taushetsbelagte opplysninger fra Folkeregisteret om navngitte og identifiserbare personer gjennom entydige søk. Listen i § 9-1 annet ledd anses som uttømmende, med unntak for underkategorier av hovedkategoriene som er nevnt i opplistingen.

Etter folkeregisterloven § 3-1 første ledd bokstav u, kan det til hvert enkelt fødsels- eller d-nummer i Folkeregisteret registreres opplysninger om utenlandske identifikasjonsnumre. Utenlandske identifikasjonsnumre kan for eksempel være nasjonalt ID-nummer, Tax Identification Number og Social Identification Number, jf. merknader til folkeregisterloven § 3-2 og folkeregisterforskriften § 3-1-1 første ledd bokstav u i Folkeregisterhåndboken, kapittel 3 under § 3-2. Her vises det også til at utenlandske identifikasjonsnumre kan være opplysninger om utenlandsk legitimasjonsdokument som f.eks. passnummer.

Opplysninger om utenlandske identifikasjonsnumre er ikke nevnt i opplistingen over opplysninger som er unntatt taushetsplikt, og regnes derfor som en taushetsbelagt opplysning etter folkeregisterloven. Det vil si at alle former for slike utenlandske identifikasjonsnumre vil være omfattet av taushetsplikten etter folkeregisterloven. For utenlandske identifikasjonsnumre følger det derfor av folkeregisterloven § 10-2 første ledd at offentlige og private myndigheter og virksomheter må ha hjemmel i særlov for å kunne innhente slike opplysninger fra Folkeregisteret uten hinder av taushetsplikt.

Deling av opplysninger fra Folkeregisteret reguleres av folkeregisterloven kapittel 10. Folkeregisteret benytter rettighetspakker som regulerer hvilke opplysninger som tilgjengeliggjøres og hvordan opplysningene kan innhentes. Hvorvidt opplysningene er taushetsbelagt, har betydning for om og hvordan opplysningstypen kan deles med Folkeregisterets konsumenter. Utenlandske identifikasjonsnumre, som er taushetsbelagt, er kun inkludert i rettighetspakken til konsumenter som har hjemmel i egen lov til å innhente taushetsbelagte opplysninger, jf. folkeregisterloven § 10-2.

Alle registrerte opplysninger om utenlandske identifikasjonsnumre i Folkeregisteret deles med konsumenter med tilgang til rettighetspakken med taushetsbelagte opplysninger fra Folkeregisteret, så lenge slike opplysninger er registrert.

Pga. den ekstraordinære situasjonen som var under pandemien, ble det ikke opprettet en egen rettighetspakke, men eID-tilbyderne fikk tilgang til den allerede eksisterende rettighetspakken «Offentlige og private virksomheter med hjemmel».

Et norsk fødsels- eller d-nummer (en identifikator) benyttes for å identifisere en bestemt person i Norge. Dersom vi skal gjenkjenne en utenlandsk borger, trenger vi også en eller annen form for identifikator som gjør det mulig å gjenkjenne vedkommende. Dette kan være ulike utenlandske identifikasjonsnumre.

Fødsels- og d-numre betegnes som unike og persistente identifikatorer, i det disse kan benyttes over tid (persistent) for å gjenkjenne en person uten forvekslingsfare (unik). Praksisen fra Folkeregisteret tilsier at utenlandske identifikasjonsnumre også omfatter opplysninger som er mindre persistente og unike, siden passnummer og lignende dokumentidentifikatorer omfattes av begrepet. I likhet med nasjonale identifikatorer, kan det ikke uten videre legges til grunn at utenlandske identifikatorer unikt identifiserer en person utover landegrenser.

Utenlandske identifikasjonsnumre har ingen legaldefinisjon eller noe entydig innhold. Begrepet omfatter data som kan benyttes som identifikator, er noenlunde persistente og er utstedt av en utenlandsk myndighet.

Folkeregisterloven § 3-1 første ledd bokstav u, gir adgang til å registrere utenlandske identifikasjonsnumre. Departementet kan i forskrift gi nærmere regler om «hvilke underkategorier og tilleggsopplysninger» som kan registreres til den enkelte opplysning. Til folkeregisterloven § 3-1 er det gitt en bestemmelse i folkeregisterforskriften § 3-1-1. Her fremgår det at det «i tilknytning til» opplysning om utenlandske identifikasjonsnumre i bokstav u, kan registreres «opplysninger om utenlandsk legitimasjonsdokument».

I tillegg til å gi anledning til å registrere passnummer eller ID-kortnummer, omfattes også enkelte andre opplysninger som står i legitimasjonsdokumentet, som utenlandsk nasjonalt ID-nummer eller skattenummer.

2.3.3 Forholdet til personvern

Lov 15. juni 2018 nr. 38 (personopplysningsloven), fastslår at personvernforordningen (GDPR) gjelder som norsk lov og setter rammer for behandling av personopplysninger. Enhver opplysning om en identifisert eller identifiserbar fysisk person regnes som en personopplysning, jf. personvernforordningen artikkel 4 nr. 1.

Behandling av personopplysninger er bare lovlig dersom minst ett av behandlingsgrunnlagene i personvernforordningen artikkel 6 nr. 1 bokstavene a til f er oppfylt. Det følger av personvernforordningen artikkel 6 nr. 3 at «grunnlaget for behandlingen» som nevnt i artikkel 6 nr. 1 bokstav c og e «skal fastsettes» i unionsretten eller i medlemsstatenes nasjonale rett. Dette innebærer at bokstav c eller e ikke alene kan utgjøre behandlingsgrunnlag. Den behandlingsansvarlige må i tillegg kunne vise til et supplerende rettsgrunnlag for behandlingen. Den foreslåtte hjemmelen i lov om elektroniske tillitstjenester, vil utgjøre et slikt supplerende rettsgrunnlag.

3 Høringen

3.1 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å gjøre den midlertidige hjemmelen i selvdeklarasjonsforskriften § 18 fjerde punktum permanent gjennom en ny § 1 a i lov om elektroniske tillitstjenester. Den midlertidige hjemmelen som ble vedtatt i forbindelse med covid-19-pandemien, ville bli opphevet 31. desember 2023, og behovsutredninger har vist at det fortsatt er et behov for tilsvarende hjemmel for eID-tilbydere til å kunne innhente opplysninger om utenlandske identifikasjonsnumre fra Folkeregisteret uten hinder av taushetsplikt. Etter forslaget skulle hjemmelen fastsettes i lov, mens nærmere konkretisering av hvilke opplysninger som kan innhentes, skulle fastsettes i forskrift.

3.2 Gjennomføringen av høringen

Høringsnotatet ble offentliggjort på departementets hjemmesider 22. september 2023 med høringsfrist 24. oktober 2023. Høringsnotatet ble også sendt til følgende instanser:

Departementene

Statsministerens kontor

Arkivverket

Barne- ungdoms- og familiedirektoratet

Brønnøysundregistrene

Datatilsynet

Departementenes sikkerhets- og serviceorganisasjon

Direktoratet for byggkvalitet

Direktoratet for forvaltning og økonomistyring

Direktoratet for høyere utdanning og kompetanse

Direktoratet for samfunnssikkerhet og beredskap

Domstoladministrasjonen

Finanstilsynet

Forbrukerrådet

Helsedirektoratet

Konkurransetilsynet

Mattilsynet

Nasjonal kommunikasjonsmyndighet

Nasjonal sikkerhetsmyndighet

Nasjonalt ID-senter

Norges forskningsråd

Politidirektoratet

Politiets utlendingsenhet

Skattedirektoratet

Statens kartverk

Statens sivilrettsforvaltning

Statsforvalterens fellestjenester

Utdanningsdirektoratet

Bergen kommune

Drammen kommune

Halden kommune

Oslo kommune

Helse Midt-Norge RHF

Helse Nord RHF

Helse Sør-Øst RHF

Helse Vest RHF

KS – Kommunesektorens organisasjon

Norges teknisknaturvitenskapelige universitet

Nord Universitet

Norsk helsenett

Universitetet i Agder

Universitetet i Oslo

Universitetet i Stavanger

Universitetet i Sørøst-Norge

Apotekerforeningen

BankID BankAxept AS

Bits AS

Commfides Norge AS

Delta

Den norske advokatforening

Den norske dataforening

Finans Norge

Foreningen mot deling av helsedata

Frihetspartiet

Funksjonshemmedes fellesorganisasjon

Landsorganisasjonen i Norge

Norsk organisasjon for asylsøkere

Samarbeidsforumet av funksjonshemmedes organisasjoner

SIKT – kunnskapssektorens tjenesteleverandør

SMB Norge

Syv privatpersoner

Departementet mottok 19 høringssvar. Følgende instanser hadde merknader til forslaget:

Forsvarsdepartementet

Datatilsynet

Finanstilsynet

Skattedirektoratet

Bergen kommune

BankID BankAxept AS

Buypass AS

Foreningen mot deling av helsedata

Frihetspartiet

Syv privatpersoner

3.3 Høringsinstansenes syn

De fleste høringsinstansene støtter forslaget til lovendring.

Buypass AS er positive til forslaget og mener det er viktig at eID-tilbyderne gis permanent tilgang til utenlandske identifikasjonsnumre fra Folkeregisteret for utstedelse av eID til personer registrert med utenlandsk identifikasjonsnummer.

Buypass viser til at de har observert mangelfulle data i Folkeregisteret og setter pris på at Skattedirektoratet nå foreslår tiltak som skal bedre datakvaliteten og gjøre det mulig å finne utenlandske identifikasjonsnumre for flere personer enn det vi ser i dag. De påpeker at det er viktig at identitetsforvaltningen i Norge er helhetlig og god og at dette vil være et viktig tiltak i så måte.

BankID BankAxept AS støtter høringsforslaget og viser til at muligheten for eID-utstedere til å innhente utenlandske identifikasjonsnumre i noen tilfeller kan gi bedre identitetskontroll og dermed muliggjøre eID-utstedelse til enkelte grupper som i dag har utfordringer med å få eID.

Oslo kommune støtter forslaget og er positive til at typen av opplysninger som kan innhentes skal spesifiseres i forskrift. Oslo kommune påpeker at adgang for eID-utstedere til å få tilgang til opplysninger om utenlandske identifikasjonsnumre fra Folkeregisteret vil gi styrket mulighet for kontroll, og vil sikre at det utstedes eID til rett person som er registrert i Folkeregisteret.

Oslo kommune uttaler videre at å sørge for at personopplysninger kobles til rett person er i tråd med personvernprinsippet om at personopplysninger skal være korrekte og oppdaterte, og at det faktum at innhenting av opplysninger om utenlandske identifikasjonsnumre skjer i begrenset grad i dag, ikke er god nok grunn til å fjerne muligheten for innhenting.

Oslo kommune uttaler også at de er enige i at hjemmelen som foreslås for eID-tilbydere avgrenses til å gjelde innhenting av opplysninger om utenlandske identifikasjonsnumre, og at hjemmelen ev. kan utvides etter hvert dersom eID-tilbyderne fremover vil ha behov for ytterligere opplysninger.

Bergen kommune finner at forslaget er godt begrunnet og at departementet har gjort vurderinger av registrertes personvern, men etterlyser en presisering av hvilke formål utenlandske identifikasjonsnumre kan innhentes for i selvdeklarasjonsforskriften § 18 nytt fjerde punktum, da dette etter Bergen kommunes oppfatning vil styrke forskriftens klarhet og forutberegnelighet. Bergen kommune støtter departementets vurdering av at dataminimeringsprinsippet tilsier at det bør utarbeides nye rettighetspakker.

Politidirektoratet støtter de foreslåtte lov- og forskriftsendringene som vil innebære at eID-tilbydere får en permanent hjemmel til å innhente utenlandsk identifikasjonsnummer i Folkeregisteret.

Politidirektoratet viser til innspill fra Oslo politidistrikt om praksis for registrering av utenlandsk identifikasjonsnummer og utenlandsk passnummer. Oslo politidistrikt viser til at det ikke blir overført opplysning om utenlandske identifikasjonsnumre fra utlendingsdatabasen til Folkeregisteret, og påpeker at dersom politidistriktet ved utlendingsforvaltningen i større grad skal bidra med innhenting av slike opplysninger og ha adgang til å utlevere dette til Folkeregisteret, fordrer dette endringer i utlendingsloven.

Politidirektoratet viser også til innspill fra Politiets utlendingsenhet (PU) som påpeker at utenlandske identifkasjonsnumre ikke har noen legaldefinisjon og heller ikke et entydig innhold. PU peker på at dette er uheldig med tanke på oppfyllelse av felles europeisk regelverk om elektronisk samhandling og uttaler at det etter deres vurdering bør gis bestemmelser som kan gi nærmere angivelse av innholdet i utenlandske identifikasjonsnumre.

Politidirektoratet ber departementet vurdere PUs forslag om at det er behov for en bestemmelse om at departementet i forskrift kan gi bestemmelser om krav til opplysningenes kvalitet, herunder konkrete krav til personkontroll og dokumentkontroll, som må gjennomføres både hos folkeregistermyndigheten og hos eID-tilbyderen.

Finanstilsynet støtter forslaget og viser til at en videreføring av den midlertidige hjemmelen vil innebære en styrket mulighet for kontroll for eID-utstederne i forbindelse med utstedelse av eID.

Datatilsynet mener at forslaget vil være til gunst for registrerte som ønsker å være digitale og påpeker at de ikke kan se noen vesentlig personvernmessig grunn til at opplysninger om utenlandske identifikasjonsnumre skal være underlagt andre restriksjoner enn fødsels- og d-nummer. Videre er Datatilsynet positive til at forslaget ikke innebærer innhenting av overskuddsinformasjon, og forutsetter at eventuelle nye rettighetspakker som utvikles vil være i tråd med prinsippet om dataminimering.

Datatilsynet støtter også at det skal fastsettes nærmere i forskrift hvilke opplysningstyper som kan innhentes, siden dette vil gjøre det mer forutsigbart for de registrerte, så vel som tydelig for tilbyderne av eID, hvilke opplysningstyper som er relevante i forbindelse med utstedelse og bruk av eID.

Skattedirektoratet slutter seg til at utenlandske identifikasjonsnumre vil kunne bidra til sikker og entydig kobling til fødsels- eller d-nummer, men påpeker at datakvaliteten på utenlandske identifikasjonsnumre i Folkeregisteret er varierende og således ikke vil kunne gi en slik kobling i alle tilfeller. Skattedirektoratet vil derfor ikke kunne garantere for at kvaliteten er tilstrekkelig for å kunne danne grunnlag for utstedelse av eID på høyt sikkerhetsnivå per i dag.

Skattedirektoratet påpeker at Folkeregisteret inneholder dubletter og falske og fiktive identiteter, at en person kan være registrert med flere fødsels- eller d-numre og at det kreves tiltak og ajourhold av opplysningene, men at slike kvalitetshevende tiltak ikke vil kunne være på plass innen det foreslåtte ikrafttredelsestidspunktet 1. januar 2024.

Skattedirektoratet skriver i sin høringsuttalelse at forslaget innebærer at to nye private aktører får tilgang til utenlandske identifikasjonsnumre fra Folkeregisteret. De viser også til at Digitaliseringsdirektoratets behov for opplysningene vil ivaretas gjennom ny lov om Digitaliseringsdirektoratets tilgang til taushetsbelagte opplysninger i Folkeregisteret.

Skattedirektoratet påpeker at utformingen av lovtekst og forskrift vil ha betydning for hvordan eID-tilbyderne skal få tilgang til utenlandske identifikasjonsnumre, og at det i utgangspunktet ikke er ønskelig at det utvikles egne rettighetspakker til enkeltkonsumenters behov. Det vises til at forslaget vil innebære at det må utvikles en egen rettighetspakke for eID-tilbydere, og at det er ønskelig at nye rettighetspakker som utvikles er skalerbare og standardiserte, slik at løsningen også kan benyttes til andre formål dersom andre konsumenter får tilsvarende behov i fremtiden.

Skattedirektoratet mener departementet ikke har vurdert tilstrekkelig inngående om kravene i personvernforordningen er oppfylt i forbindelse med utlevering av opplysninger fra Folkeregisteret, og viser til at forslaget til permanent hjemmel innebærer mer omfattende behandling av opplysninger om utenlandske identifikasjonsnumre i Folkeregisteret.

Skattedirektoratet mener også det er uklart om utleveringen er i samsvar med folkeregisterloven § 1-2 tredje punktum, som setter rammer for hva opplysningene i Folkeregisteret kan brukes til, herunder å «ivareta grunnleggende samfunnsbehov», og savner en nærmere redegjørelse for dette i høringsnotatet slik at det kan tas stilling til om utlevering av utenlandske identifikasjonsnumre vil være i medhold av personvernforordningens artikkel 6 nr. 3 eller 4.

Skattedirektoratet viser ellers til at det vil være nødvendig å innføre status UNIK i Folkeregisteret for å unngå at én fysisk person får tilgang til eID på flere identiteter, og at sammen med nasjonalt ID-kort, vil innføring av status UNIK kunne garantere for at en person kun har én unik identitet registrert i Folkeregisteret og dermed danne et sikrere grunnlag for utstedelse av eID. Skattedirektoratet viser ellers til at manglende mulighet til å bevise eierskap til norsk identitetsnummer gjelder flere enn EØS-borgere, og at de er usikre på om tilgang til utenlandske identifikasjonsnumre vil løse målsettingen i regjeringens eID-strategi for offentlig sektor om eID til alle.

Syv privatpersoner har uttalt seg mot forslaget, hovedsakelig ut fra personvernhensyn.

4 Departementets vurderinger og forslag

For utenlandske borgere som ikke har et norsk fødselsnummer, vil det i mange tilfeller kunne utstedes en eID basert på vedkommendes utenlandske identifikasjonspapirer, som regel pass, i kombinasjon med kontroll av at oppgitt d-nummer stemmer overens med hva som er registrert på vedkommende i Folkeregisteret. Departementet har kommet til at forslaget bør følges opp.

Utenlandske identifikasjonsnumre skal benyttes som sammenligningsgrunnlag i forbindelse med utstedelse og re-utstedelse av eID, og høringsinnspillene fra eID-utstederne viser at det fortsatt foreligger et behov for å kunne innhente denne opplysningen fra Folkeregisteret.

Undersøkelsene som ble foretatt av Digitaliseringsdirektoratet og Skattedirektoratet forut for høringen, viser at eID-tilbyderne i utgangspunktet ikke har behov for andre opplysninger enn de som allerede registreres i Folkeregisteret til dette formålet. Undersøkelsene viste også at opplysninger om utenlandske identifikasjonsnumre innhentes i begrenset grad.

De fleste høringsinstansene var positive til forslaget om en permanent hjemmel for innhenting av opplysninger om utenlandske identifikasjonsnumre fra Folkeregisteret. Departementet mener det ikke er et argument mot forslaget at opplysninger om utenlandske identifikasjonsnumre ikke innhentes i særlig stor grad i dag. Som BankID BankAxept AS skriver i sin høringsuttalelse, så vil muligheten for eID-utstedere til å innhente utenlandske identifikasjonsnumre i noen tilfeller gi bedre identitetskontroll og dermed muliggjøre eID-utstedelse til enkelte grupper som i dag har utfordringer med å få eID.

Selv om opplysninger om utenlandske identifikasjonsnumre innhentes i begrenset grad i dag, mener departementet at det vil være uheldig å fjerne muligheten. Departementet anser muligheten til å innhente utenlandske identifikasjonsnumre som viktig i de tilfellene der det skjer, fordi dette innebærer utstedelse av eID til personer som ellers ikke ville hatt mulighet til å skaffe seg dette.

Noe av årsaken til at hjemmelen ikke har blitt benyttet i større utstrekning, er at datakvaliteten på utenlandske identifikasjonsnumre i Folkeregisteret er av varierende kvalitet og derfor ikke vil kunne gi en sikker kobling i alle tilfeller, slik Skattedirektoratet skriver i sin høringsuttalelse. Også Buypass påpeker at de har observert mangelfulle data i Folkeregisteret, men imøteser tiltak som kan bedre datakvaliteten og gjøre det mulig å finne utenlandske identifikasjonsnumre for flere personer enn hva som er mulig i dag.

Departementet mener at lovforslaget vil innebære en styrket mulighet for kontroll for eID-utstederne, som er underlagt strenge krav til identitetskontroll, i forbindelse med utstedelse av eID. Hjemmelen som foreslås, vil avgrenses gjennom forskrift til å gjelde eID-tilbyderes innhenting av utenlandske identifikasjonsnumre fra Folkeregisteret.

Behovsanalysene som ble foretatt forut for høringen, viser at behovet for en entydig identifikator også kan gjelde andre grupper enn eID-tilbydere. De samme analysene viser imidlertid at det er flere ting som bør være på plass eller utredes nærmere, før man kan ha en fullgod og varig løsning som dekker flere behov. Høringsinstansene ga ikke uttrykk for spesifikke behov utover hva som har blitt dekket av den midlertidige hjemmelen. Departementet foreslår derfor ikke at hjemmelen skal gjelde for andre enn eID-tilbydere eller omfatte flere opplysninger enn utenlandske identifikasjonsnumre.

Skattedirektoratet og flere privatpersoner mente i høringen at personvernkonsekvensene av forslaget ikke er tilstrekkelig utredet eller omtalt. Departementet viser til at det med innføringen av en lovhjemmel for innhenting av taushetsbelagte opplysninger fra Folkeregisteret, sammen med en konkretisering i forskrift av hvilke opplysninger som kan innhentes, vil foreligge et lovlig behandlingsgrunnlag.

Kun tre private og én offentlig aktør, BankID BankAxept AS, Commfides Norge AS, Buypass AS og Digitaliseringsdirektoratet (MinID), hadde tilgang etter den midlertidige hjemmelen i selvdeklarasjonsforskriften, og det kun til bruk i forbindelse med utstedelse og re-utstedelse av eID. Den permanente hjemmelen som nå foreslås, vil i praksis bare være aktuell å benytte for de private aktørene, siden Digitaliseringsdirektoratet har fått hjemmel i lov av 9. juni 2023 om Digitaliseringsdirektoratets tilgang til taushetsbelagte opplysninger i Folkeregisteret.

Etter departementets vurdering er forslaget lite inngripende. Relevant for vurderingen er bl.a. at opplysninger om utenlandske identifikasjonsnumre ikke er å anse som opplysninger om personlige forhold etter forvaltningsloven, selv om de er taushetsbelagt etter folkeregisterloven.

Innhenting av utenlandske identifikasjonsnumre er etter departementets vurdering nødvendig for å ivareta den registrertes interesser og for å utføre oppgaver av allmenn interesse. Departementet vurderer det slik at den foreslåtte nye hjemmelen i § 1 a i lov om elektroniske tillitstjenester, kombinert med forskrift, gir eID-utstederne supplerende hjemmelsgrunnlag i nasjonal rett for behandling av taushetsbelagte opplysninger innhentet fra Folkeregisteret, jf. personvernforordningen art. 6 nr. 1.

Det vil gagne innbyggeren å kunne få tilgang til digitale tjenester fra offentlig sektor. Manglende tilgang vil kunne føre til risiko for tap av økonomiske rettigheter. I de tilfellene der utenlandske identifikasjonsnumre kan benyttes, vil derfor fordelene for den registrerte langt overgå eventuelle ulemper som følge av økt bruk av opplysningene.

Departementet viser til at Datatilsynet i sin høringsuttalelse skriver at de mener forslaget vil være til gunst for registrerte som ønsker å være digitale, og påpeker at de ikke kan se noen vesentlig personvernmessig grunn til at opplysninger om utenlandske identifikasjonsnumre skal være underlagt andre restriksjoner enn fødsels- og d-nummer.

Datatilsynet er positive til at forslaget ikke innebærer innhenting av overskuddsinformasjon, og støtter at det skal fastsettes nærmere i forskrift hvilke opplysningstyper som kan innhentes. Datatilsynet viser til at dette vil gjøre det mer forutsigbart for de registrerte, så vel som tydelig for tilbyderne av eID, hvilke opplysningstyper som er relevante i forbindelse med utstedelse/bruk av eID.

Dersom det på et senere tidspunkt blir aktuelt å utvide hjemmelen til å omfatte flere opplysninger, må det eventuelt foretas ny vurdering av personvernkonsekvenser av et slikt forslag.

Skattedirektoratet stiller i sin høringsuttalelse spørsmål om utlevering av utenlandske identifikasjonsnumre er i samsvar med folkeregisterloven § 1-2 tredje punktum som setter rammer for hva opplysninger i Folkeregisteret kan brukes til. I folkeregisterloven § 1-2 siste punktum heter det at «Loven skal bidra til at opplysningene i Folkeregisteret skal kunne brukes til myndighetsoppgaver og offentlig forvaltning, forskning, statistikk og til å ivareta grunnleggende samfunnsbehov.»

Den foreslåtte hjemmelen vil etter departementets vurdering bidra til at «grunnleggende samfunnsbehov» ivaretas, gjennom å bidra til at det vil kunne utstedes eID til flere personer enn om innhenting av utenlandske identifikasjonsnumre ikke var mulig. En eID gjør det enklere for den enkelte å ivareta sine rettigheter og plikter i samfunnet, samtidig som den ved å bidra til økt bruk av digitale tjenester også bidrar til en mer effektiv offentlig sektor.

Departementet har merket seg Skattedirektoratets påpekning av at det er behov for bedre kvalitet på opplysningene om utenlandske identifikasjonsnumre uansett bruk, og deres forslag til tiltak som vil øke datakvaliteten. Departementet legger til grunn at slike tiltak vil kunne føre til økt bruk og dermed økt måloppnåelse når det gjelder utstedelse av eID til personer med d-nummer.

Departementet foreslår at hjemmelen for eID-utstedere for innhenting av utenlandske identifikasjonsnumre fastsettes i lov om gjennomføring av EUs forordning om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked (lov om elektroniske tillitstjenester). Forordningen (eIDAS-forordningen) gjelder for tilbydere av elektronisk ID og elektroniske tillitstjenester.

Formålet med forordningen er sikker elektronisk samhandling mellom borgere, foretak og offentlige myndigheter på tvers av landegrensene i EU/EØS. Sentralt i forordningen er krav til bekreftelse og kontroll av identitet. Gjennomføringsrettsakten (EU) 2015/1502 om fastsettelse av tekniske minstespesifikasjoner for elektroniske identifikasjonsmidler (identifikasjonsnivåforskriften) er gjennomført i forskrift 21. november 2019 nr. 1577 om tillitstjenester for elektroniske transaksjoner, fastsatt med hjemmel i lov om elektroniske tillitstjenester § 1 annet ledd, jf. delegeringsvedtak 8. november 2019 nr. 1491.

Norske tilpasninger til de konkrete kravene som skal oppfylles etter identifikasjonsnivåforskriften, fremgår av forskrift 21. november 2019 nr. 1578 om selvdeklarasjon av ordninger for elektronisk identifikasjon (selvdeklarasjonsforskriften) del III. Det forutsettes i selvdeklarasjonsforskriften at eID-innehaveren må være registrert i det norske folkeregisteret, og at det foreligger en entydig knytning til personens fødsels- eller d-nummer.

Departementet foreslår at lovhjemmelen gir departementet kompetanse til å fastsette nærmere i forskrift hvilke opplysninger som uten hinder av taushetsplikt kan utleveres fra Folkeregisteret til eID-tilbydere i forbindelse med utstedelse og re-utstedelse av eID.

5 Økonomiske og administrative konsekvenser

Den foreslåtte hjemmelen vil føre til at et økt antall personer vil kunne få utstedt en eID, og følgelig innebære mer effektiv saksbehandling og spare tjenesteeiere for ekstraarbeid knyttet til manuell saksbehandling for disse personene. Forslaget vil kunne ha økonomiske og administrative konsekvenser for Skatteetaten i forbindelse med tilrettelegging og forvaltning, herunder utvikling av en ny rettighetspakke og teknisk tilrettelegging.

Utvikling av en ny rettighetspakke estimeres av Skattedirektoratet til mellom halvannen og to millioner kroner. I tillegg estimeres årlig forvaltningskostnad til 20 % av utviklingskostnaden.

6 Merknader til lovforslaget

Til lov om elektroniske tillitstjenester § 1 a

Etter forslaget til § 1 a første ledd gis tilbydere av elektroniske tillitstjenester hjemmel til å innhente og behandle opplysninger fra Folkeregisteret som er nødvendige for å løse eID-tilbydernes oppgaver etter lov om elektroniske tillitstjenester, uten hinder av taushetsplikt. I praksis vil dette gjelde tilbydere av elektronisk identifikasjon (eID) og bruk i forbindelse med utstedelse og re-utstedelse av eID.

Hvilke taushetsbelagte opplysninger som kan innhentes fra Folkeregisteret, skal konkretiseres i forskrift. Departementet gis i § 1 a annet ledd myndighet til å fastsette slik forskrift.

Til ikrafttredelsesbestemmelsen

Forslaget til ny § 1 a er i hovedsak en hjemmelsbestemmelse for nærmere konkretisering i forskrift. Departementet foreslår derfor at loven trer i kraft straks.

Tilråding

Digitaliserings- og forvaltningsdepartementet

tilrår:

At Deres Majestet godkjenner og skriver under et framlagt forslag til proposisjon til Stortinget om endringer i lov om elektroniske tillitstjenester (adgang til innhenting av opplysninger fra Folkeregisteret).

Vi HARALD, Norges Konge,

stadfester:

Stortinget blir bedt om å gjøre vedtak til lov om endringer i lov om elektroniske tillitstjenester (adgang til innhenting av opplysninger fra Folkeregisteret) i samsvar med et vedlagt forslag.

Forslag
til lov om endringer i lov om elektroniske tillitstjenester (adgang til innhenting av opplysninger fra Folkeregisteret)

I

I lov 15. juni 2018 nr. 44 om gjennomføring av EUs forordning om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner skal ny § 1 a lyde:

§ 1 a Innhenting av opplysninger fra Folkeregisteret

Utstedere av elektroniske identitetsbevis kan uten hinder av taushetsplikt innhente opplysninger fra Folkeregisteret når det er nødvendig for å utføre oppgaver etter denne loven.

Departementet gir forskrift om hvilke opplysninger som kan innhentes.

II

Loven trer i kraft straks.