Jag behöver lite hjälp med att resonera kring vad som är det mest integritetsvänliga sättet att identifiera sig på distans.
Enligt Dataskyddsförordningen (GDPR) så har jag ju rätt att få ut mina personuppgifter från en organisation som behandlar dem. Det är då rimligt att jag måste identifiera mig, så att inte uppgifterna lämnas till någon annan än till mig.
BankID är ju smidigt men ger samtidigt bankerna information om när och till vem jag identifierar mig. Det förekommer (kanske främst i andra länder) att de vill ha ett foto av din legitimation men detta foto kan ju hamna i orätta händer och då missbrukas.
Vad är egentligen det mest integritetsvänliga sättet att identifiera sig?
Peter.-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: https://lists.dfri.se/listan/ Listpolicy: https://www.dfri.se/regler-for-listan
fre 2020-06-26 klockan 18:46 +0200 skrev Peter Michanek:
Jag behöver lite hjälp med att resonera kring vad som är det mest integritetsvänliga sättet att identifiera sig på distans.
Enligt Dataskyddsförordningen (GDPR) så har jag ju rätt att få ut mina personuppgifter från en organisation som behandlar dem. Det är då rimligt att jag måste identifiera mig, så att inte uppgifterna lämnas till någon annan än till mig.
Hej!
Man skulle kunna resonera som så att det strikt sett inte är nödvändigt att identifiera begäran om personuppgifter. Organisationer kan se till att de har kontaktuppgifter sparade för sina individer, och då skicka materialet till den adress de har lagrad, vid begäran från vilket håll som helst. Ingen identifiering behöver då ske -- enda risken är det missbrukas genom att någon annan beställer information för en annan person som inte begärt det, men informationen går till den person som redan har rätt till sin information så skadan är begränsad.
Jag roade mig med att beställa ut vad Svenska Kyrkan har lagrat om mig, och (kanske utan att förstå det) så använde de sig av den här metoden. De sa per telefon att de inte kunde säga något per telefon av integritetsskäl, mer än att de bekräftade att de mottagit en begäran om utdrag och sedan damp det ner ett brev på posten.
BankID är ju smidigt men ger samtidigt bankerna information om när och till vem jag identifierar mig. Det förekommer (kanske främst i andra länder) att de vill ha ett foto av din legitimation men detta foto kan ju hamna i orätta händer och då missbrukas.
Vad är egentligen det mest integritetsvänliga sättet att identifiera sig?
Att inte identifiera sig alls!
Ett problemet med mitt resonemang är att det medför att alla som använder sig av metoden måste ha kontaktuppgifter som lämpar sig för att skicka information till, t.ex. postadress eller email. Det kan finnas situationer då man inte vill lagra den informationen, men jag tror det är sällsynt.
/Simon
On 26/06/2020 19:39, Simon Josefsson wrote:
Att inte identifiera sig alls!
Om jag inte minns fel försökte John Gilmore försvara den idén* rättsligt men det gick dåligt.
Borde finnas mer i arkiven på https://papersplease.org/
Bra projekt f.ö., och just nu står det om ny amerikansk lagstiftning om ansiktsigenkänning som verkar vara bra!
Känns lite ovant med goda nyheter :-)
mvh
//Erik
*) "IDP explores and defends the fundamental American right to move freely around our country and to live without constantly having to prove who we are or why we are here."
En av tankarna med Dataskyddsförordningen är ju att inte lagra mer än nödvändigt. Om organisationen som jag skickar min förfrågan till ändå har kontaktuppgifter till mig, av andra skäl, så kan ju dessa användas för att skicka svaret bara till mig. En annan variant som används är att bara skicka till min adress enligt folkbokföringen.
Men min fråga gäller de situationer då jag trots allt måste legitimera mig på något sätt. BankID och fotokopia av legitimationen är de enda sätt jag kan komma på. Finns det fler sätt? Vad har ni stött på? Vilket av dessa är mest integritetsvänligt?
Peter.
26 juni 2020 kl. 20:39 skrev Simon Josefsson simon@josefsson.org:
fre 2020-06-26 klockan 18:46 +0200 skrev Peter Michanek:
Jag behöver lite hjälp med att resonera kring vad som är det mest integritetsvänliga sättet att identifiera sig på distans.
Enligt Dataskyddsförordningen (GDPR) så har jag ju rätt att få ut mina personuppgifter från en organisation som behandlar dem. Det är då rimligt att jag måste identifiera mig, så att inte uppgifterna lämnas till någon annan än till mig.
Hej!
Man skulle kunna resonera som så att det strikt sett inte är nödvändigt att identifiera begäran om personuppgifter. Organisationer kan se till att de har kontaktuppgifter sparade för sina individer, och då skicka materialet till den adress de har lagrad, vid begäran från vilket håll som helst. Ingen identifiering behöver då ske -- enda risken är det missbrukas genom att någon annan beställer information för en annan person som inte begärt det, men informationen går till den person som redan har rätt till sin information så skadan är begränsad.
Jag roade mig med att beställa ut vad Svenska Kyrkan har lagrat om mig, och (kanske utan att förstå det) så använde de sig av den här metoden. De sa per telefon att de inte kunde säga något per telefon av integritetsskäl, mer än att de bekräftade att de mottagit en begäran om utdrag och sedan damp det ner ett brev på posten.
BankID är ju smidigt men ger samtidigt bankerna information om när och till vem jag identifierar mig. Det förekommer (kanske främst i andra länder) att de vill ha ett foto av din legitimation men detta foto kan ju hamna i orätta händer och då missbrukas.
Vad är egentligen det mest integritetsvänliga sättet att identifiera sig?
Att inte identifiera sig alls!
Ett problemet med mitt resonemang är att det medför att alla som använder sig av metoden måste ha kontaktuppgifter som lämpar sig för att skicka information till, t.ex. postadress eller email. Det kan finnas situationer då man inte vill lagra den informationen, men jag tror det är sällsynt.
/Simon
Hej!
tl;dr Den som lagrar och behandlar information om dig borde inte kräva legitimation utan säkerställa din identitet _hos_dom_ (!) på ett sätt som inte utsätter dig för risker.
När du säger legitimera sig, menar du uttryckligen att bevisa sin statliga identitet, dvs den administrativa identitet som Sverige gett dig? Isf borde det bero på två saker: Vilken/vilka identitetsutfärdare ("IDP") som accepteras samt vilken tillitsnivå ("Assurance Level", "Level of Assurance") som krävs.
Ett exempel på IDP är Finansiell ID-Teknik med tjänsten BankID. Eller så är det bankerna som är medlemmar som formellt är IDP här och Finansiell ID-Teknik bara är teknikleverantören? BankID har tillitsnivå 3 ("AL3") vilket räcker "för det mesta" (se något från DIGG för detaljer).
Ett annat exempel är Freja eID (som verkar blockera Tor-användare på sina websidor).
Ett tredje exempel är eduID för att komma åt tjänster inom högskolesektorn.
Så beroende på vem du vill autentisera dig hos så kan kraven vara olika. Det är ju smidigt att bara kräva BankID men det är som du säger inte integritetsvänligt, bl.a. pga det du nämner men också att jag lockas att installera en app som jag inte vet vad den gör, alt. exekverar någons javascript i en webläsare som dessutom måste fungera med den aktuella sidan (något Tor Browser har problem med på flera sidor, särskilt på sistone när fler och fler går över till att visa QR-kod istf att be om personnummer). Att över huvud taget "ha BankID" måste anses som en risk i sig. Det öppnar upp för ytterligare ett sätt att autentisera sig som dig. Jag skulle gärna opta ut om det var tekniskt och praktiskt möjligt.
En annan sak som GDPR kräver är väl att dataägaren (du) ska bli informerad om datat hamnar på vift? Är inte det skäl nog att lagra någon slags kontaktuppgift till dig? Som kan användas för att lämna ut information om dig menar jag.
Sist så finns det ytterligare en risk för skada med ett system som Simon beskriver, om jag kan ta reda på _att_ en person finns i ett register eller ej. Jag hade föredragit om Svenska Kyrkan inte berättade för vem som helst som kontaktade dom huruvida jag är medlem eller ej. Kanske gjorde dom rätt när Simon ringde och sade inte "vi skickar dina medlemsupggifter till din adress" utan något smartare, men kanske exponerar dom medlemsinformation om man frågar "rätt".
Peter Michanek peter@dfri.se wrote Sat, 27 Jun 2020 16:25:40 +0200:
En av tankarna med Dataskyddsförordningen är ju att inte lagra mer än nödvändigt. Om organisationen som jag skickar min förfrågan till ändå har kontaktuppgifter till mig, av andra skäl, så kan ju dessa användas för att skicka svaret bara till mig. En annan variant som används är att bara skicka till min adress enligt folkbokföringen.
Men min fråga gäller de situationer då jag trots allt måste legitimera mig på något sätt. BankID och fotokopia av legitimationen är de enda sätt jag kan komma på. Finns det fler sätt? Vad har ni stött på? Vilket av dessa är mest integritetsvänligt?
Peter.
26 juni 2020 kl. 20:39 skrev Simon Josefsson simon@josefsson.org:
fre 2020-06-26 klockan 18:46 +0200 skrev Peter Michanek:
Jag behöver lite hjälp med att resonera kring vad som är det mest integritetsvänliga sättet att identifiera sig på distans.
Enligt Dataskyddsförordningen (GDPR) så har jag ju rätt att få ut mina personuppgifter från en organisation som behandlar dem. Det är då rimligt att jag måste identifiera mig, så att inte uppgifterna lämnas till någon annan än till mig.
Hej!
Man skulle kunna resonera som så att det strikt sett inte är nödvändigt att identifiera begäran om personuppgifter. Organisationer kan se till att de har kontaktuppgifter sparade för sina individer, och då skicka materialet till den adress de har lagrad, vid begäran från vilket håll som helst. Ingen identifiering behöver då ske -- enda risken är det missbrukas genom att någon annan beställer information för en annan person som inte begärt det, men informationen går till den person som redan har rätt till sin information så skadan är begränsad.
Jag roade mig med att beställa ut vad Svenska Kyrkan har lagrat om mig, och (kanske utan att förstå det) så använde de sig av den här metoden. De sa per telefon att de inte kunde säga något per telefon av integritetsskäl, mer än att de bekräftade att de mottagit en begäran om utdrag och sedan damp det ner ett brev på posten.
BankID är ju smidigt men ger samtidigt bankerna information om när och till vem jag identifierar mig. Det förekommer (kanske främst i andra länder) att de vill ha ett foto av din legitimation men detta foto kan ju hamna i orätta händer och då missbrukas.
Vad är egentligen det mest integritetsvänliga sättet att identifiera sig?
Att inte identifiera sig alls!
Ett problemet med mitt resonemang är att det medför att alla som använder sig av metoden måste ha kontaktuppgifter som lämpar sig för att skicka information till, t.ex. postadress eller email. Det kan finnas situationer då man inte vill lagra den informationen, men jag tror det är sällsynt.
/Simon
Bra tankar!
Finns det intresse av att ta fram en mall för svenskar att begära ut information om sig själva från företag? Om DFRI publicerar en mall för det, och även publicerar information till företag hur de bör bete sig, så kanske vi kan bidra till hur GDPR efterlevs på ett bra sätt. Om det nu är något meningsfullt, vilket man kan fundera kring. Vi skulle kunna ha en Wall of Fame och Wall of Shame med info om hur olika företag hanterar förfrågningar.
En liten kommentar angående Svenska Kyrkan: när jag ringde kändes de paranoida och inte ville bekräfta om jag var medlem eller ej. Detta gjorde jag när lagarna precis hade införts så möjligen var dom på tårna då. Jag tyckte det var fantastiskt att det ens gick att prata med någon i telefon som kunde förstå vad jag ville och verkade pålästa kring regelverket. Ett antal företag som jag ringde fick jag aldrig någon respons från, och har nog glömt nu vilka de var.
/Simon
28 juni 2020 kl. 14:11 skrev Linus Nordberg linus@dfri.se:
Hej!
tl;dr Den som lagrar och behandlar information om dig borde inte kräva legitimation utan säkerställa din identitet _hos_dom_ (!) på ett sätt som inte utsätter dig för risker.
När du säger legitimera sig, menar du uttryckligen att bevisa sin statliga identitet, dvs den administrativa identitet som Sverige gett dig? Isf borde det bero på två saker: Vilken/vilka identitetsutfärdare ("IDP") som accepteras samt vilken tillitsnivå ("Assurance Level", "Level of Assurance") som krävs.
Ett exempel på IDP är Finansiell ID-Teknik med tjänsten BankID. Eller så är det bankerna som är medlemmar som formellt är IDP här och Finansiell ID-Teknik bara är teknikleverantören? BankID har tillitsnivå 3 ("AL3") vilket räcker "för det mesta" (se något från DIGG för detaljer).
Ett annat exempel är Freja eID (som verkar blockera Tor-användare på sina websidor).
Ett tredje exempel är eduID för att komma åt tjänster inom högskolesektorn.
Så beroende på vem du vill autentisera dig hos så kan kraven vara olika. Det är ju smidigt att bara kräva BankID men det är som du säger inte integritetsvänligt, bl.a. pga det du nämner men också att jag lockas att installera en app som jag inte vet vad den gör, alt. exekverar någons javascript i en webläsare som dessutom måste fungera med den aktuella sidan (något Tor Browser har problem med på flera sidor, särskilt på sistone när fler och fler går över till att visa QR-kod istf att be om personnummer). Att över huvud taget "ha BankID" måste anses som en risk i sig. Det öppnar upp för ytterligare ett sätt att autentisera sig som dig. Jag skulle gärna opta ut om det var tekniskt och praktiskt möjligt.
En annan sak som GDPR kräver är väl att dataägaren (du) ska bli informerad om datat hamnar på vift? Är inte det skäl nog att lagra någon slags kontaktuppgift till dig? Som kan användas för att lämna ut information om dig menar jag.
Sist så finns det ytterligare en risk för skada med ett system som Simon beskriver, om jag kan ta reda på _att_ en person finns i ett register eller ej. Jag hade föredragit om Svenska Kyrkan inte berättade för vem som helst som kontaktade dom huruvida jag är medlem eller ej. Kanske gjorde dom rätt när Simon ringde och sade inte "vi skickar dina medlemsupggifter till din adress" utan något smartare, men kanske exponerar dom medlemsinformation om man frågar "rätt".
Peter Michanek peter@dfri.se wrote Sat, 27 Jun 2020 16:25:40 +0200:
En av tankarna med Dataskyddsförordningen är ju att inte lagra mer än nödvändigt. Om organisationen som jag skickar min förfrågan till ändå har kontaktuppgifter till mig, av andra skäl, så kan ju dessa användas för att skicka svaret bara till mig. En annan variant som används är att bara skicka till min adress enligt folkbokföringen.
Men min fråga gäller de situationer då jag trots allt måste legitimera mig på något sätt. BankID och fotokopia av legitimationen är de enda sätt jag kan komma på. Finns det fler sätt? Vad har ni stött på? Vilket av dessa är mest integritetsvänligt?
Peter.
26 juni 2020 kl. 20:39 skrev Simon Josefsson simon@josefsson.org:
fre 2020-06-26 klockan 18:46 +0200 skrev Peter Michanek:
Jag behöver lite hjälp med att resonera kring vad som är det mest integritetsvänliga sättet att identifiera sig på distans.
Enligt Dataskyddsförordningen (GDPR) så har jag ju rätt att få ut mina personuppgifter från en organisation som behandlar dem. Det är då rimligt att jag måste identifiera mig, så att inte uppgifterna lämnas till någon annan än till mig.
Hej!
Man skulle kunna resonera som så att det strikt sett inte är nödvändigt att identifiera begäran om personuppgifter. Organisationer kan se till att de har kontaktuppgifter sparade för sina individer, och då skicka materialet till den adress de har lagrad, vid begäran från vilket håll som helst. Ingen identifiering behöver då ske -- enda risken är det missbrukas genom att någon annan beställer information för en annan person som inte begärt det, men informationen går till den person som redan har rätt till sin information så skadan är begränsad.
Jag roade mig med att beställa ut vad Svenska Kyrkan har lagrat om mig, och (kanske utan att förstå det) så använde de sig av den här metoden. De sa per telefon att de inte kunde säga något per telefon av integritetsskäl, mer än att de bekräftade att de mottagit en begäran om utdrag och sedan damp det ner ett brev på posten.
BankID är ju smidigt men ger samtidigt bankerna information om när och till vem jag identifierar mig. Det förekommer (kanske främst i andra länder) att de vill ha ett foto av din legitimation men detta foto kan ju hamna i orätta händer och då missbrukas.
Vad är egentligen det mest integritetsvänliga sättet att identifiera sig?
Att inte identifiera sig alls!
Ett problemet med mitt resonemang är att det medför att alla som använder sig av metoden måste ha kontaktuppgifter som lämpar sig för att skicka information till, t.ex. postadress eller email. Det kan finnas situationer då man inte vill lagra den informationen, men jag tror det är sällsynt.
/Simon
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: https://lists.dfri.se/listan/ Listpolicy: https://www.dfri.se/regler-for-listan
Många "personuppgiftsansvariga" har ju andra skäl att lagra kontaktuppgifter till användarna/kunderna/registrerade, och då kan man ju använda dessa om en "personuppgiftincident" skulle inträffa. Jag skulle dock hävda att "det är bra att ha" om en incident skulle inträffa, inte ensamt är ett tillräckligt starkt skäl för att lagra kontaktuppgifter. Dessa uppgifter kan ju i sig göra att skadan från incidenten blir värre.
Då är det nog bättre att titta på dataminimering, kryptering, handhavanderutiner och annat för att minska risken för incidenter och skador.
Peter.
28 juni 2020 kl. 14:10 skrev Linus Nordberg linus@dfri.se:
Hej!
tl;dr Den som lagrar och behandlar information om dig borde inte kräva legitimation utan säkerställa din identitet _hos_dom_ (!) på ett sätt som inte utsätter dig för risker.
När du säger legitimera sig, menar du uttryckligen att bevisa sin statliga identitet, dvs den administrativa identitet som Sverige gett dig? Isf borde det bero på två saker: Vilken/vilka identitetsutfärdare ("IDP") som accepteras samt vilken tillitsnivå ("Assurance Level", "Level of Assurance") som krävs.
Ett exempel på IDP är Finansiell ID-Teknik med tjänsten BankID. Eller så är det bankerna som är medlemmar som formellt är IDP här och Finansiell ID-Teknik bara är teknikleverantören? BankID har tillitsnivå 3 ("AL3") vilket räcker "för det mesta" (se något från DIGG för detaljer).
Ett annat exempel är Freja eID (som verkar blockera Tor-användare på sina websidor).
Ett tredje exempel är eduID för att komma åt tjänster inom högskolesektorn.
Så beroende på vem du vill autentisera dig hos så kan kraven vara olika. Det är ju smidigt att bara kräva BankID men det är som du säger inte integritetsvänligt, bl.a. pga det du nämner men också att jag lockas att installera en app som jag inte vet vad den gör, alt. exekverar någons javascript i en webläsare som dessutom måste fungera med den aktuella sidan (något Tor Browser har problem med på flera sidor, särskilt på sistone när fler och fler går över till att visa QR-kod istf att be om personnummer). Att över huvud taget "ha BankID" måste anses som en risk i sig. Det öppnar upp för ytterligare ett sätt att autentisera sig som dig. Jag skulle gärna opta ut om det var tekniskt och praktiskt möjligt.
En annan sak som GDPR kräver är väl att dataägaren (du) ska bli informerad om datat hamnar på vift? Är inte det skäl nog att lagra någon slags kontaktuppgift till dig? Som kan användas för att lämna ut information om dig menar jag.
Sist så finns det ytterligare en risk för skada med ett system som Simon beskriver, om jag kan ta reda på _att_ en person finns i ett register eller ej. Jag hade föredragit om Svenska Kyrkan inte berättade för vem som helst som kontaktade dom huruvida jag är medlem eller ej. Kanske gjorde dom rätt när Simon ringde och sade inte "vi skickar dina medlemsupggifter till din adress" utan något smartare, men kanske exponerar dom medlemsinformation om man frågar "rätt".
Peter Michanek peter@dfri.se wrote Sat, 27 Jun 2020 16:25:40 +0200:
En av tankarna med Dataskyddsförordningen är ju att inte lagra mer än nödvändigt. Om organisationen som jag skickar min förfrågan till ändå har kontaktuppgifter till mig, av andra skäl, så kan ju dessa användas för att skicka svaret bara till mig. En annan variant som används är att bara skicka till min adress enligt folkbokföringen.
Men min fråga gäller de situationer då jag trots allt måste legitimera mig på något sätt. BankID och fotokopia av legitimationen är de enda sätt jag kan komma på. Finns det fler sätt? Vad har ni stött på? Vilket av dessa är mest integritetsvänligt?
Peter.
26 juni 2020 kl. 20:39 skrev Simon Josefsson simon@josefsson.org:
fre 2020-06-26 klockan 18:46 +0200 skrev Peter Michanek:
Jag behöver lite hjälp med att resonera kring vad som är det mest integritetsvänliga sättet att identifiera sig på distans.
Enligt Dataskyddsförordningen (GDPR) så har jag ju rätt att få ut mina personuppgifter från en organisation som behandlar dem. Det är då rimligt att jag måste identifiera mig, så att inte uppgifterna lämnas till någon annan än till mig.
Hej!
Man skulle kunna resonera som så att det strikt sett inte är nödvändigt att identifiera begäran om personuppgifter. Organisationer kan se till att de har kontaktuppgifter sparade för sina individer, och då skicka materialet till den adress de har lagrad, vid begäran från vilket håll som helst. Ingen identifiering behöver då ske -- enda risken är det missbrukas genom att någon annan beställer information för en annan person som inte begärt det, men informationen går till den person som redan har rätt till sin information så skadan är begränsad.
Jag roade mig med att beställa ut vad Svenska Kyrkan har lagrat om mig, och (kanske utan att förstå det) så använde de sig av den här metoden. De sa per telefon att de inte kunde säga något per telefon av integritetsskäl, mer än att de bekräftade att de mottagit en begäran om utdrag och sedan damp det ner ett brev på posten.
BankID är ju smidigt men ger samtidigt bankerna information om när och till vem jag identifierar mig. Det förekommer (kanske främst i andra länder) att de vill ha ett foto av din legitimation men detta foto kan ju hamna i orätta händer och då missbrukas.
Vad är egentligen det mest integritetsvänliga sättet att identifiera sig?
Att inte identifiera sig alls!
Ett problemet med mitt resonemang är att det medför att alla som använder sig av metoden måste ha kontaktuppgifter som lämpar sig för att skicka information till, t.ex. postadress eller email. Det kan finnas situationer då man inte vill lagra den informationen, men jag tror det är sällsynt.
/Simon
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: https://lists.dfri.se/listan/ Listpolicy: https://www.dfri.se/regler-for-listan
Faktum är att vi just nu håller på att bli klara med en svensk översättning av ett verktyg som gör det lättare för alla att utnyttja sina rättigheter under Dataskyddsförordningen (GDPR) för att hämta, radera, korrigera eller flytta sina personuppgifter. Det arbetas parallellt och flitigt på 13 olika språk just nu.
Jag kommer återkomma när det börjar närma sig lansering. Vi kommer också behöva hjälp med att fylla databasen med kontaktuppgifter till svenska företag och organisationer. Börja gärna redan nu fundera över detta så återkommer jag.
Jag såg av en händelse att ett bostadsbolag hade löst sitt behovet av att kräva legitimering genom att kräva att man skulle åka till deras huvudkontor i Vällingby och legitimera sig på plats för att få ut några personuppgifter. Jag sitter här i sommarvärmen och funderar över om jag orkar börja bråka med dem om detta.
Peter.
28 juni 2020 kl. 14:25 skrev Simon Josefsson simon@josefsson.org:
Bra tankar!
Finns det intresse av att ta fram en mall för svenskar att begära ut information om sig själva från företag? Om DFRI publicerar en mall för det, och även publicerar information till företag hur de bör bete sig, så kanske vi kan bidra till hur GDPR efterlevs på ett bra sätt. Om det nu är något meningsfullt, vilket man kan fundera kring. Vi skulle kunna ha en Wall of Fame och Wall of Shame med info om hur olika företag hanterar förfrågningar.
En liten kommentar angående Svenska Kyrkan: när jag ringde kändes de paranoida och inte ville bekräfta om jag var medlem eller ej. Detta gjorde jag när lagarna precis hade införts så möjligen var dom på tårna då. Jag tyckte det var fantastiskt att det ens gick att prata med någon i telefon som kunde förstå vad jag ville och verkade pålästa kring regelverket. Ett antal företag som jag ringde fick jag aldrig någon respons från, och har nog glömt nu vilka de var.
/Simon
28 juni 2020 kl. 14:11 skrev Linus Nordberg linus@dfri.se:
Hej!
tl;dr Den som lagrar och behandlar information om dig borde inte kräva legitimation utan säkerställa din identitet _hos_dom_ (!) på ett sätt som inte utsätter dig för risker.
När du säger legitimera sig, menar du uttryckligen att bevisa sin statliga identitet, dvs den administrativa identitet som Sverige gett dig? Isf borde det bero på två saker: Vilken/vilka identitetsutfärdare ("IDP") som accepteras samt vilken tillitsnivå ("Assurance Level", "Level of Assurance") som krävs.
Ett exempel på IDP är Finansiell ID-Teknik med tjänsten BankID. Eller så är det bankerna som är medlemmar som formellt är IDP här och Finansiell ID-Teknik bara är teknikleverantören? BankID har tillitsnivå 3 ("AL3") vilket räcker "för det mesta" (se något från DIGG för detaljer).
Ett annat exempel är Freja eID (som verkar blockera Tor-användare på sina websidor).
Ett tredje exempel är eduID för att komma åt tjänster inom högskolesektorn.
Så beroende på vem du vill autentisera dig hos så kan kraven vara olika. Det är ju smidigt att bara kräva BankID men det är som du säger inte integritetsvänligt, bl.a. pga det du nämner men också att jag lockas att installera en app som jag inte vet vad den gör, alt. exekverar någons javascript i en webläsare som dessutom måste fungera med den aktuella sidan (något Tor Browser har problem med på flera sidor, särskilt på sistone när fler och fler går över till att visa QR-kod istf att be om personnummer). Att över huvud taget "ha BankID" måste anses som en risk i sig. Det öppnar upp för ytterligare ett sätt att autentisera sig som dig. Jag skulle gärna opta ut om det var tekniskt och praktiskt möjligt.
En annan sak som GDPR kräver är väl att dataägaren (du) ska bli informerad om datat hamnar på vift? Är inte det skäl nog att lagra någon slags kontaktuppgift till dig? Som kan användas för att lämna ut information om dig menar jag.
Sist så finns det ytterligare en risk för skada med ett system som Simon beskriver, om jag kan ta reda på _att_ en person finns i ett register eller ej. Jag hade föredragit om Svenska Kyrkan inte berättade för vem som helst som kontaktade dom huruvida jag är medlem eller ej. Kanske gjorde dom rätt när Simon ringde och sade inte "vi skickar dina medlemsupggifter till din adress" utan något smartare, men kanske exponerar dom medlemsinformation om man frågar "rätt".
Peter Michanek peter@dfri.se wrote Sat, 27 Jun 2020 16:25:40 +0200:
En av tankarna med Dataskyddsförordningen är ju att inte lagra mer än nödvändigt. Om organisationen som jag skickar min förfrågan till ändå har kontaktuppgifter till mig, av andra skäl, så kan ju dessa användas för att skicka svaret bara till mig. En annan variant som används är att bara skicka till min adress enligt folkbokföringen.
Men min fråga gäller de situationer då jag trots allt måste legitimera mig på något sätt. BankID och fotokopia av legitimationen är de enda sätt jag kan komma på. Finns det fler sätt? Vad har ni stött på? Vilket av dessa är mest integritetsvänligt?
Peter.
26 juni 2020 kl. 20:39 skrev Simon Josefsson simon@josefsson.org:
fre 2020-06-26 klockan 18:46 +0200 skrev Peter Michanek:
Jag behöver lite hjälp med att resonera kring vad som är det mest integritetsvänliga sättet att identifiera sig på distans.
Enligt Dataskyddsförordningen (GDPR) så har jag ju rätt att få ut mina personuppgifter från en organisation som behandlar dem. Det är då rimligt att jag måste identifiera mig, så att inte uppgifterna lämnas till någon annan än till mig.
Hej!
Man skulle kunna resonera som så att det strikt sett inte är nödvändigt att identifiera begäran om personuppgifter. Organisationer kan se till att de har kontaktuppgifter sparade för sina individer, och då skicka materialet till den adress de har lagrad, vid begäran från vilket håll som helst. Ingen identifiering behöver då ske -- enda risken är det missbrukas genom att någon annan beställer information för en annan person som inte begärt det, men informationen går till den person som redan har rätt till sin information så skadan är begränsad.
Jag roade mig med att beställa ut vad Svenska Kyrkan har lagrat om mig, och (kanske utan att förstå det) så använde de sig av den här metoden. De sa per telefon att de inte kunde säga något per telefon av integritetsskäl, mer än att de bekräftade att de mottagit en begäran om utdrag och sedan damp det ner ett brev på posten.
BankID är ju smidigt men ger samtidigt bankerna information om när och till vem jag identifierar mig. Det förekommer (kanske främst i andra länder) att de vill ha ett foto av din legitimation men detta foto kan ju hamna i orätta händer och då missbrukas.
Vad är egentligen det mest integritetsvänliga sättet att identifiera sig?
Att inte identifiera sig alls!
Ett problemet med mitt resonemang är att det medför att alla som använder sig av metoden måste ha kontaktuppgifter som lämpar sig för att skicka information till, t.ex. postadress eller email. Det kan finnas situationer då man inte vill lagra den informationen, men jag tror det är sällsynt.
/Simon
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: https://lists.dfri.se/listan/ Listpolicy: https://www.dfri.se/regler-for-listan
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: https://lists.dfri.se/listan/ Listpolicy: https://www.dfri.se/regler-for-listan
Detta är ju jätteintressant! Jag har haft ett antal småduster i dessa frågor. Tycker att det är jätteintressant när företag/ organisationer ber mig identifiera mig med leg - när de inte har (eller iaf inte borde ha) mitt personnummer , och det på mitt leg står ett namn som jag aldrig använder. Skulle de lämna ut info till någon bara för att hen legitimerar sig, men de fortfarande inte kan säkerställa att den som legitimerat sig är den de har uppgifter om i sitt register...? Och detta med att skicka in kopia på sitt id-kort... Vem som helst (tex en organisation som tidigare krävt det) kan ha kopia på mitt id, skicka in det och be att få ut info till en epostadress som ser ut att vara min - det känns som ganska låg säkerhet på såna lösningar... Har tyvärr inga supersmarta lösningar. En variant på identifiering skulle ju kunna vara att be den som vill ha ut info om uppgifter som bara den det gäller och uppgiftssamlaren kan veta, tex senaste kontakt, vad den gällde o dyl. Problemet med det är att det kanske jag kommer ihåg om postorderfirman jag handlade av i förra veckan, men inte om det är en organisation jag inte haft kontakt med på flera år. Ser fram emot fortsättning om bostadsbolaget i Vällingby (det ska ju bli svalare i veckan) Sus 070 953 0166 -------- Originalmeddelande --------Från: Peter Michanek peter@dfri.se Datum: 2020-06-28 16:37 (GMT+01:00) Till: DFRI Listan listan@lists.dfri.se Kopia: Simon Josefsson simon@josefsson.org Ämne: Re: [DFRI-listan] Integritetsvänlig identifiering Faktum är att vi just nu håller på att bli klara med en svensk översättning av ett verktyg som gör det lättare för alla att utnyttja sina rättigheter under Dataskyddsförordningen (GDPR) för att hämta, radera, korrigera eller flytta sina personuppgifter. Det arbetas parallellt och flitigt på 13 olika språk just nu.
Jag kommer återkomma när det börjar närma sig lansering. Vi kommer också behöva hjälp med att fylla databasen med kontaktuppgifter till svenska företag och organisationer. Börja gärna redan nu fundera över detta så återkommer jag.
Jag såg av en händelse att ett bostadsbolag hade löst sitt behovet av att kräva legitimering genom att kräva att man skulle åka till deras huvudkontor i Vällingby och legitimera sig på plats för att få ut några personuppgifter. Jag sitter här i sommarvärmen och funderar över om jag orkar börja bråka med dem om detta.
Peter.
28 juni 2020 kl. 14:25 skrev Simon Josefsson simon@josefsson.org:
Bra tankar!
Finns det intresse av att ta fram en mall för svenskar att begära ut information om sig själva från företag? Om DFRI publicerar en mall för det, och även publicerar information till företag hur de bör bete sig, så kanske vi kan bidra till hur GDPR efterlevs på ett bra sätt. Om det nu är något meningsfullt, vilket man kan fundera kring. Vi skulle kunna ha en Wall of Fame och Wall of Shame med info om hur olika företag hanterar förfrågningar.
En liten kommentar angående Svenska Kyrkan: när jag ringde kändes de paranoida och inte ville bekräfta om jag var medlem eller ej. Detta gjorde jag när lagarna precis hade införts så möjligen var dom på tårna då. Jag tyckte det var fantastiskt att det ens gick att prata med någon i telefon som kunde förstå vad jag ville och verkade pålästa kring regelverket. Ett antal företag som jag ringde fick jag aldrig någon respons från, och har nog glömt nu vilka de var.
/Simon
28 juni 2020 kl. 14:11 skrev Linus Nordberg linus@dfri.se:
Hej!
tl;dr Den som lagrar och behandlar information om dig borde inte kräva legitimation utan säkerställa din identitet _hos_dom_ (!) på ett sätt som inte utsätter dig för risker.
När du säger legitimera sig, menar du uttryckligen att bevisa sin statliga identitet, dvs den administrativa identitet som Sverige gett dig? Isf borde det bero på två saker: Vilken/vilka identitetsutfärdare ("IDP") som accepteras samt vilken tillitsnivå ("Assurance Level", "Level of Assurance") som krävs.
Ett exempel på IDP är Finansiell ID-Teknik med tjänsten BankID. Eller så är det bankerna som är medlemmar som formellt är IDP här och Finansiell ID-Teknik bara är teknikleverantören? BankID har tillitsnivå 3 ("AL3") vilket räcker "för det mesta" (se något från DIGG för detaljer).
Ett annat exempel är Freja eID (som verkar blockera Tor-användare på sina websidor).
Ett tredje exempel är eduID för att komma åt tjänster inom högskolesektorn.
Så beroende på vem du vill autentisera dig hos så kan kraven vara olika. Det är ju smidigt att bara kräva BankID men det är som du säger inte integritetsvänligt, bl.a. pga det du nämner men också att jag lockas att installera en app som jag inte vet vad den gör, alt. exekverar någons javascript i en webläsare som dessutom måste fungera med den aktuella sidan (något Tor Browser har problem med på flera sidor, särskilt på sistone när fler och fler går över till att visa QR-kod istf att be om personnummer). Att över huvud taget "ha BankID" måste anses som en risk i sig. Det öppnar upp för ytterligare ett sätt att autentisera sig som dig. Jag skulle gärna opta ut om det var tekniskt och praktiskt möjligt.
En annan sak som GDPR kräver är väl att dataägaren (du) ska bli informerad om datat hamnar på vift? Är inte det skäl nog att lagra någon slags kontaktuppgift till dig? Som kan användas för att lämna ut information om dig menar jag.
Sist så finns det ytterligare en risk för skada med ett system som Simon beskriver, om jag kan ta reda på _att_ en person finns i ett register eller ej. Jag hade föredragit om Svenska Kyrkan inte berättade för vem som helst som kontaktade dom huruvida jag är medlem eller ej. Kanske gjorde dom rätt när Simon ringde och sade inte "vi skickar dina medlemsupggifter till din adress" utan något smartare, men kanske exponerar dom medlemsinformation om man frågar "rätt".
Peter Michanek peter@dfri.se wrote Sat, 27 Jun 2020 16:25:40 +0200:
En av tankarna med Dataskyddsförordningen är ju att inte lagra mer än nödvändigt. Om organisationen som jag skickar min förfrågan till ändå har kontaktuppgifter till mig, av andra skäl, så kan ju dessa användas för att skicka svaret bara till mig. En annan variant som används är att bara skicka till min adress enligt folkbokföringen.
Men min fråga gäller de situationer då jag trots allt måste legitimera mig på något sätt. BankID och fotokopia av legitimationen är de enda sätt jag kan komma på. Finns det fler sätt? Vad har ni stött på? Vilket av dessa är mest integritetsvänligt?
Peter.
26 juni 2020 kl. 20:39 skrev Simon Josefsson simon@josefsson.org:
fre 2020-06-26 klockan 18:46 +0200 skrev Peter Michanek:
Jag behöver lite hjälp med att resonera kring vad som är det mest integritetsvänliga sättet att identifiera sig på distans.
Enligt Dataskyddsförordningen (GDPR) så har jag ju rätt att få ut mina personuppgifter från en organisation som behandlar dem. Det är då rimligt att jag måste identifiera mig, så att inte uppgifterna lämnas till någon annan än till mig.
Hej!
Man skulle kunna resonera som så att det strikt sett inte är nödvändigt att identifiera begäran om personuppgifter. Organisationer kan se till att de har kontaktuppgifter sparade för sina individer, och då skicka materialet till den adress de har lagrad, vid begäran från vilket håll som helst. Ingen identifiering behöver då ske -- enda risken är det missbrukas genom att någon annan beställer information för en annan person som inte begärt det, men informationen går till den person som redan har rätt till sin information så skadan är begränsad.
Jag roade mig med att beställa ut vad Svenska Kyrkan har lagrat om mig, och (kanske utan att förstå det) så använde de sig av den här metoden. De sa per telefon att de inte kunde säga något per telefon av integritetsskäl, mer än att de bekräftade att de mottagit en begäran om utdrag och sedan damp det ner ett brev på posten.
BankID är ju smidigt men ger samtidigt bankerna information om när och till vem jag identifierar mig. Det förekommer (kanske främst i andra länder) att de vill ha ett foto av din legitimation men detta foto kan ju hamna i orätta händer och då missbrukas.
Vad är egentligen det mest integritetsvänliga sättet att identifiera sig?
Att inte identifiera sig alls!
Ett problemet med mitt resonemang är att det medför att alla som använder sig av metoden måste ha kontaktuppgifter som lämpar sig för att skicka information till, t.ex. postadress eller email. Det kan finnas situationer då man inte vill lagra den informationen, men jag tror det är sällsynt.
/Simon
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: https://lists.dfri.se/listan/ Listpolicy: https://www.dfri.se/regler-for-listan
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: https://lists.dfri.se/listan/ Listpolicy: https://www.dfri.se/regler-for-listan
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: https://lists.dfri.se/listan/ Listpolicy: https://www.dfri.se/regler-for-listan
-
Erik Josefsson -
Linus Nordberg -
Peter Michanek -
Simon Josefsson -
Sus Andersson