3 Høringen

3.1 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å gjøre den midlertidige hjemmelen i selvdeklarasjonsforskriften § 18 fjerde punktum permanent gjennom en ny § 1 a i lov om elektroniske tillitstjenester. Den midlertidige hjemmelen som ble vedtatt i forbindelse med covid-19-pandemien, ville bli opphevet 31. desember 2023, og behovsutredninger har vist at det fortsatt er et behov for tilsvarende hjemmel for eID-tilbydere til å kunne innhente opplysninger om utenlandske identifikasjonsnumre fra Folkeregisteret uten hinder av taushetsplikt. Etter forslaget skulle hjemmelen fastsettes i lov, mens nærmere konkretisering av hvilke opplysninger som kan innhentes, skulle fastsettes i forskrift.

3.2 Gjennomføringen av høringen

Høringsnotatet ble offentliggjort på departementets hjemmesider 22. september 2023 med høringsfrist 24. oktober 2023. Høringsnotatet ble også sendt til følgende instanser:

• Departementene

• Statsministerens kontor

• Arkivverket

• Barne- ungdoms- og familiedirektoratet

• Brønnøysundregistrene

• Datatilsynet

• Departementenes sikkerhets- og serviceorganisasjon

• Direktoratet for byggkvalitet

• Direktoratet for forvaltning og økonomistyring

• Direktoratet for høyere utdanning og kompetanse

• Direktoratet for samfunnssikkerhet og beredskap

• Domstoladministrasjonen

• Finanstilsynet

• Forbrukerrådet

• Helsedirektoratet

• Konkurransetilsynet

• Mattilsynet

• Nasjonal kommunikasjonsmyndighet

• Nasjonal sikkerhetsmyndighet

• Nasjonalt ID-senter

• Norges forskningsråd

• Politidirektoratet

• Politiets utlendingsenhet

• Skattedirektoratet

• Statens kartverk

• Statens sivilrettsforvaltning

• Statsforvalterens fellestjenester

• Utdanningsdirektoratet

• Bergen kommune

• Drammen kommune

• Halden kommune

• Oslo kommune

• Helse Midt-Norge RHF

• Helse Nord RHF

• Helse Sør-Øst RHF

• Helse Vest RHF

• KS – Kommunesektorens organisasjon

• Norges teknisknaturvitenskapelige universitet

• Nord Universitet

• Norsk helsenett

• Universitetet i Agder

• Universitetet i Oslo

• Universitetet i Stavanger

• Universitetet i Sørøst-Norge

• Apotekerforeningen

• BankID BankAxept AS

• Bits AS

• Commfides Norge AS

• Delta

• Den norske advokatforening

• Den norske dataforening

• Finans Norge

• Foreningen mot deling av helsedata

• Frihetspartiet

• Funksjonshemmedes fellesorganisasjon

• Landsorganisasjonen i Norge

• Norsk organisasjon for asylsøkere

• Samarbeidsforumet av funksjonshemmedes organisasjoner

• SIKT – kunnskapssektorens tjenesteleverandør

• SMB Norge

• Syv privatpersoner

Departementet mottok 19 høringssvar. Følgende instanser hadde merknader til forslaget:

• Forsvarsdepartementet

• Datatilsynet

• Finanstilsynet

• Skattedirektoratet

• Bergen kommune

• BankID BankAxept AS

• Buypass AS

• Foreningen mot deling av helsedata

• Frihetspartiet

• Syv privatpersoner

3.3 Høringsinstansenes syn

De fleste høringsinstansene støtter forslaget til lovendring.

Buypass AS er positive til forslaget og mener det er viktig at eID-tilbyderne gis permanent tilgang til utenlandske identifikasjonsnumre fra Folkeregisteret for utstedelse av eID til personer registrert med utenlandsk identifikasjonsnummer.

Buypass viser til at de har observert mangelfulle data i Folkeregisteret og setter pris på at Skattedirektoratet nå foreslår tiltak som skal bedre datakvaliteten og gjøre det mulig å finne utenlandske identifikasjonsnumre for flere personer enn det vi ser i dag. De påpeker at det er viktig at identitetsforvaltningen i Norge er helhetlig og god og at dette vil være et viktig tiltak i så måte.

BankID BankAxept AS støtter høringsforslaget og viser til at muligheten for eID-utstedere til å innhente utenlandske identifikasjonsnumre i noen tilfeller kan gi bedre identitetskontroll og dermed muliggjøre eID-utstedelse til enkelte grupper som i dag har utfordringer med å få eID.

Oslo kommune støtter forslaget og er positive til at typen av opplysninger som kan innhentes skal spesifiseres i forskrift. Oslo kommune påpeker at adgang for eID-utstedere til å få tilgang til opplysninger om utenlandske identifikasjonsnumre fra Folkeregisteret vil gi styrket mulighet for kontroll, og vil sikre at det utstedes eID til rett person som er registrert i Folkeregisteret.

Oslo kommune uttaler videre at å sørge for at personopplysninger kobles til rett person er i tråd med personvernprinsippet om at personopplysninger skal være korrekte og oppdaterte, og at det faktum at innhenting av opplysninger om utenlandske identifikasjonsnumre skjer i begrenset grad i dag, ikke er god nok grunn til å fjerne muligheten for innhenting.

Oslo kommune uttaler også at de er enige i at hjemmelen som foreslås for eID-tilbydere avgrenses til å gjelde innhenting av opplysninger om utenlandske identifikasjonsnumre, og at hjemmelen ev. kan utvides etter hvert dersom eID-tilbyderne fremover vil ha behov for ytterligere opplysninger.

Bergen kommune finner at forslaget er godt begrunnet og at departementet har gjort vurderinger av registrertes personvern, men etterlyser en presisering av hvilke formål utenlandske identifikasjonsnumre kan innhentes for i selvdeklarasjonsforskriften § 18 nytt fjerde punktum, da dette etter Bergen kommunes oppfatning vil styrke forskriftens klarhet og forutberegnelighet. Bergen kommune støtter departementets vurdering av at dataminimeringsprinsippet tilsier at det bør utarbeides nye rettighetspakker.

Politidirektoratet støtter de foreslåtte lov- og forskriftsendringene som vil innebære at eID-tilbydere får en permanent hjemmel til å innhente utenlandsk identifikasjonsnummer i Folkeregisteret.

Politidirektoratet viser til innspill fra Oslo politidistrikt om praksis for registrering av utenlandsk identifikasjonsnummer og utenlandsk passnummer. Oslo politidistrikt viser til at det ikke blir overført opplysning om utenlandske identifikasjonsnumre fra utlendingsdatabasen til Folkeregisteret, og påpeker at dersom politidistriktet ved utlendingsforvaltningen i større grad skal bidra med innhenting av slike opplysninger og ha adgang til å utlevere dette til Folkeregisteret, fordrer dette endringer i utlendingsloven.

Politidirektoratet viser også til innspill fra Politiets utlendingsenhet (PU) som påpeker at utenlandske identifkasjonsnumre ikke har noen legaldefinisjon og heller ikke et entydig innhold. PU peker på at dette er uheldig med tanke på oppfyllelse av felles europeisk regelverk om elektronisk samhandling og uttaler at det etter deres vurdering bør gis bestemmelser som kan gi nærmere angivelse av innholdet i utenlandske identifikasjonsnumre.

Politidirektoratet ber departementet vurdere PUs forslag om at det er behov for en bestemmelse om at departementet i forskrift kan gi bestemmelser om krav til opplysningenes kvalitet, herunder konkrete krav til personkontroll og dokumentkontroll, som må gjennomføres både hos folkeregistermyndigheten og hos eID-tilbyderen.

Finanstilsynet støtter forslaget og viser til at en videreføring av den midlertidige hjemmelen vil innebære en styrket mulighet for kontroll for eID-utstederne i forbindelse med utstedelse av eID.

Datatilsynet mener at forslaget vil være til gunst for registrerte som ønsker å være digitale og påpeker at de ikke kan se noen vesentlig personvernmessig grunn til at opplysninger om utenlandske identifikasjonsnumre skal være underlagt andre restriksjoner enn fødsels- og d-nummer. Videre er Datatilsynet positive til at forslaget ikke innebærer innhenting av overskuddsinformasjon, og forutsetter at eventuelle nye rettighetspakker som utvikles vil være i tråd med prinsippet om dataminimering.

Datatilsynet støtter også at det skal fastsettes nærmere i forskrift hvilke opplysningstyper som kan innhentes, siden dette vil gjøre det mer forutsigbart for de registrerte, så vel som tydelig for tilbyderne av eID, hvilke opplysningstyper som er relevante i forbindelse med utstedelse og bruk av eID.

Skattedirektoratet slutter seg til at utenlandske identifikasjonsnumre vil kunne bidra til sikker og entydig kobling til fødsels- eller d-nummer, men påpeker at datakvaliteten på utenlandske identifikasjonsnumre i Folkeregisteret er varierende og således ikke vil kunne gi en slik kobling i alle tilfeller. Skattedirektoratet vil derfor ikke kunne garantere for at kvaliteten er tilstrekkelig for å kunne danne grunnlag for utstedelse av eID på høyt sikkerhetsnivå per i dag.

Skattedirektoratet påpeker at Folkeregisteret inneholder dubletter og falske og fiktive identiteter, at en person kan være registrert med flere fødsels- eller d-numre og at det kreves tiltak og ajourhold av opplysningene, men at slike kvalitetshevende tiltak ikke vil kunne være på plass innen det foreslåtte ikrafttredelsestidspunktet 1. januar 2024.

Skattedirektoratet skriver i sin høringsuttalelse at forslaget innebærer at to nye private aktører får tilgang til utenlandske identifikasjonsnumre fra Folkeregisteret. De viser også til at Digitaliseringsdirektoratets behov for opplysningene vil ivaretas gjennom ny lov om Digitaliseringsdirektoratets tilgang til taushetsbelagte opplysninger i Folkeregisteret.

Skattedirektoratet påpeker at utformingen av lovtekst og forskrift vil ha betydning for hvordan eID-tilbyderne skal få tilgang til utenlandske identifikasjonsnumre, og at det i utgangspunktet ikke er ønskelig at det utvikles egne rettighetspakker til enkeltkonsumenters behov. Det vises til at forslaget vil innebære at det må utvikles en egen rettighetspakke for eID-tilbydere, og at det er ønskelig at nye rettighetspakker som utvikles er skalerbare og standardiserte, slik at løsningen også kan benyttes til andre formål dersom andre konsumenter får tilsvarende behov i fremtiden.

Skattedirektoratet mener departementet ikke har vurdert tilstrekkelig inngående om kravene i personvernforordningen er oppfylt i forbindelse med utlevering av opplysninger fra Folkeregisteret, og viser til at forslaget til permanent hjemmel innebærer mer omfattende behandling av opplysninger om utenlandske identifikasjonsnumre i Folkeregisteret.

Skattedirektoratet mener også det er uklart om utleveringen er i samsvar med folkeregisterloven § 1-2 tredje punktum, som setter rammer for hva opplysningene i Folkeregisteret kan brukes til, herunder å «ivareta grunnleggende samfunnsbehov», og savner en nærmere redegjørelse for dette i høringsnotatet slik at det kan tas stilling til om utlevering av utenlandske identifikasjonsnumre vil være i medhold av personvernforordningens artikkel 6 nr. 3 eller 4.

Skattedirektoratet viser ellers til at det vil være nødvendig å innføre status UNIK i Folkeregisteret for å unngå at én fysisk person får tilgang til eID på flere identiteter, og at sammen med nasjonalt ID-kort, vil innføring av status UNIK kunne garantere for at en person kun har én unik identitet registrert i Folkeregisteret og dermed danne et sikrere grunnlag for utstedelse av eID. Skattedirektoratet viser ellers til at manglende mulighet til å bevise eierskap til norsk identitetsnummer gjelder flere enn EØS-borgere, og at de er usikre på om tilgang til utenlandske identifikasjonsnumre vil løse målsettingen i regjeringens eID-strategi for offentlig sektor om eID til alle.

Syv privatpersoner har uttalt seg mot forslaget, hovedsakelig ut fra personvernhensyn.