Datatilsynet forbyder NemID som login for kommunalt ansatte
Det er i strid med persondataloven, hvis en kommune beder medarbejderne logge på it-systemerne ved hjælp af medarbejdernes personlige NemID. Det vurderer Datatilsynet i en ny afgørelse.
Problemet ved at bruge medarbejdernes personlige NemID er ifølge Datatilsynet, at kommunen dermed ikke har fuld kontrol over medarbejdernes adgang til systemerne. Kommunen har nemlig ikke autorisation til at spærre en medarbejders NemID.
Tilsvarende skal medarbejderen selv kunne spærre sit NemID, og det vil i så fald betyde, at medarbejderen ikke kan logge på kommunens systemer. Det er også i strid med, at kommunen skal have fuld kontrol over brugerautorisationen.
Medarbejderne skal også selv have kontrol over de fysiske rammer, hvor NemID anvendes, og det vil ikke være tilfældet, hvis medarbejderen skal logge på med NemID på kommunens pc'er på rådhuset, vurderer Datatilsynet.
Tilsvarende har kommunen ikke kontrol over sikkerheden på de systemer, hvor medarbejderen i øvrigt bruger sit personlige NemID.
En af de kommuner, som har implementeret adgang til intranettet via NemID, er Frederikshavns Kommune.
Den løsning er implementeret af Signaturgruppen, men direktør Morten Storm Petersen mener ikke umiddelbart, at Datatilsynets afgørelse gælder den fremgangsmåde, der bliver brugt i Frederikshavn Kommune.
»Vi mener, at Datatilsynet udtaler sig om en anden løsningsmodel, end den, vi laver, hvor medarbejderne bruger NemID til at logge på intranettet hjemmefra og ikke på arbejdspladsen. Desuden understøtter vores løsning et efterfølgende netværkslogon, så arbejdsgiveren er i fuld kontrol med adgangsstyringen,« siger Morten Storm Petersen til Version2.
Han er enig i, at arbejdsgiveren ikke bør kræve, at medarbejderen anvender sit personlige NemID, men vil dog gerne være med i en diskussion om, hvordan NemID gerne må bruges til denne type løsninger.
»NemID er jo netop designet til at give os en sikker adgang til personlige oplysninger og digital forvaltning hos blandt andet skat.dk, sundhed.dk og borger.dk, og så det ville da være underligt, hvis NemID ikke måtte anvendes til at give en sikker adgang til personlige oplysninger om ens ansættelsesforhold på arbejdsgiverens intranet,« siger Morten Storm Petersen til Version2.
Datatilsynet har specifikt set på den situation, hvor en myndighed stiller krav om, at medarbejderne skal anvende deres personlige NemID til login. Ifølge Signaturgruppens vurdering er det ikke det samme som i de tilfælde, hvor NemID kan bruges sideløbende med andre login-metoder.
Udtalelsen fra Datatilsynet sker efter henvendelse fra Kommunernes Landsforening KL, hvor foreningen umiddelbart ikke finder det hensigtsmæssigt at blande brugernes personlige NemID med en decideret medarbejdersignatur til digital signering af dokumenter.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
