Datatilsynet har taget stilling til en række spørgsmål vedrørende OCES certifikatet, herunder om certifikatpolitikken (CP’en) og om registreringsprocedurerne. Derudover har Datatilsynet generelt udtalt sig om behovet for at beskytte personoplysninger i de løsninger, der bliver etableret, og hvor OCES certifikatet vil kunne bruges.

Indholdet af certifikatpolitikken (særligt mht. personnumre)

I relation til udstedelse af OCES certifikater har Datatilsynet særligt henledt opmærksomheden på, at persondatalovens § 11, stk. 2, medfører, at et certificeringscenter (CA) kun må indsamle og registrere oplysninger om en borgers personnummer, hvis borgeren har givet sit udtrykkelige samtykke hertil.

I CP’en henvises i øvrigt generelt til persondataloven.

Persondataloven sætter således grænser for, hvad TDC må gøre med de personoplysninger, som virksomheden som certificeringscenter kommer i besiddelse af.

Registreringsprocedurer

Datatilsynet lægger overordentlig stor vægt på, at sikkerheden i OCES er tilstrækkelig høj. Efter det oplyste ønskes OCES certifikaterne således fortsat anvendt til alle typer af oplysninger, f.eks. også til udlevering af følsomme oplysninger omfattet af persondataloven §§ 7 og 8.

Datatilsynet har forudsat, at brugerne gives mulighed for at få en oversigt over udstedte, udløbne og spærrede certifikater, f.eks. ved opslag på certifikat.dk. En sådan service er efter Datatilsynets opfattelse et væsentligt element i den samlede sikkerhedsløsning.

I forbindelse med TDC’s udstedelse af OCES certifikater anvendes følgende registreringsprocedurer:

TastSelv kode + mobil telefon SMS kode samt postadresse match

Følgende elementer indgår i proceduren:

• ToldSkat udsender selvangivelse til folkeregisteradresse. Selvangivelsen indeholder en TastSelv kode.
• Borgeren går ind på ToldSkat’s hjemmeside og oplyser CPR-NR + TastSelv kode.
• ToldSkat redirigerer borger til TDC CA med en unik kode. På TDC CA hjemmeside oplyser borgeren sit mobilnummer.
• TDC kalder webservice hos ToldSkat, som bekræfter brugerens CPR-NR samt postadresse. TDC sammenholder denne postadresse med postadressen hørende til mobilnummeret. Hvis der er match, udsendes en engangskode via SMS til borgerens mobiltelefon.
• Borgeren modtager SMS, indtaster engangskode på TDC CA hjemmeside og OCES certifikat udstedes.
• Der udsendes umiddelbart efter oprettelsen et velkomstbrev til borgeren.

Løsningen er midlertidig og anvendes kun i dens nuværende form indtil den 1. maj 2003.

Efter Datatilsynets opfattelse er denne registreringsprocedure tilstrækkelig sikker.

Udsendelse af PIN brev

Følgende elementer indgår i denne registreringsprocedure:

• Borgeren oplyser CPR-NR og e-mail adresse til TDC CA
  TDC CA slår folkeregister navn og adresse op, udsender velkomst e-mail samt fysisk PIN brev til borgeren.
• Borgeren modtager PIN brev, klikker på link i e-mail og indtaster PIN kode på CA hjemmeside. Hvis PIN koden er korrekt, udstedes OCES certifikat til borgeren.

Datatilsynet finder også denne metode tilstrækkelig sikker.

Datatilsynet har i forhold til begge løsninger forbeholdt sig sin stillingtagen, hvis der i praksis i relation til persondataloven skulle vise sig uhensigtsmæssigheder ved brugen af de skitserede sikkerhedsløsninger.

Beskyttelse af følsomme oplysninger med stærk kryptering

Ansvaret for, at oplysninger, som udveksles ved hjælp af en selvbetjeningsløsning, er tilstrækkeligt beskyttede, påhviler den dataansvarlige myndighed eller virksomhed, der stiller servicen til rådighed.

Efter Datatilsynets opfattelse bør selvbetjeningsløsninger ikke give borgerne mulighed for at fravælge de sikkerhedsforanstaltninger, som skal beskytte oplysningerne. Datatilsynet har således tidligere udtalt, at sikkerhedsreglerne hverken kan fraviges ved en orientering af borgeren om sikkerhedsmanglerne eller ved indhentelse af et samtykke fra borgeren til fravigelsen.

Efter Datatilsynets opfattelse bør den myndighed eller virksomhed, der er dataansvarlig i forbindelse med en selvbetjeningsløsning, sikre sig, at anvendelsen af selvbetjeningsløsningen sker med de fornødne sikkerhedsforanstaltninger. Dette er navnlig relevant ved transmission af følsomme oplysninger over internet, hvor oplysningerne efter Datatilsynets opfattelse skal beskyttes ved stærk kryptering.

Efter Datatilsynets opfattelse afhænger sikkerheden i forbindelse med brug af digital signatur således ikke kun af, om det benyttede certifikat, f.eks. OCES, er tilstrækkelig sikkert, men tillige af, om myndigheder og borgere ved deres brug af certifikatet er opmærksomme på at beskytte oplysningerne.

Det er derfor vigtigt, at såvel borgere som myndigheder informeres om, hvordan OCES certifikater anvendes med henblik på at opnå den ønskede grad af sikkerhed ved udveksling af oplysninger i konkrete situationer.

Tilsynet har noteret sig, at IT- og Telestyrelsen vil offentliggøre såvel borgerrettet information som vejledninger og informationsmateriale til myndigheder. En del materiale er allerede tilgængeligt på styrelsens hjemmeside om digital signatur: www.signatursekretariatet.dk. Endvidere er der en del information tilgængelig på TDC’s hjemmesider, f.eks. http://www.certifikat.dk/.