Signaturgruppen

I januar 2022 kom flere borgere ud for, at de ved login i deres netbank via MitID fik adgang til andre borgeres konti. Dette blev anmeldt til Datatilsynet som brud på persondatasikkerheden af tre pengeinstitutter. Det fik Datatilsynet til at tage en sag op af egen drift for at undersøge det bagvedliggende problem. Fejlen viste sig at skyldes, at login-anmodninger til samme netbank inden for millisekunder i særlige tilfælde kunne medføre, at MitID udstedte et såkaldt (den virksomhed, der formidler autentifikationssvaret - i dette tilfælde Signaturgruppen) havde valideret borgernes login med en teknologi, som kaldes Broker Security Context. Digitaliseringsstyrelsen, som er dataansvarlig for MitID, havde anbefalet dette, men ikke stillet det som et krav. Men det burde have været et krav, vurderer Datatilsynet i afgørelsen - og konkluderer, at Digitaliseringsstyrelsen ikke har haft tilstrækkelige foranstaltninger for at opnå et sikkerhedsniveau, der passer til de risici, der er for borgerne. Samtidig er det Datatilsynets opfattelse, at Signaturgruppen som dataansvarlig for brokerløsningen heller ikke har haft passende sikkerhedsforanstaltninger, fordi de benyttede Broker Security Context på en anden måde end beskrevet i anbefalingen. Datatilsynet har i januar 2022 modtaget anmeldelser fra en række pengeinstitutter, der benytter BEC som databehandler, om brud på persondatasikkerheden, der har relation til MitID. Datatilsynet har på baggrund af anmeldelserne anmodet Digitaliseringsstyrelsen og BEC om yderligere oplysninger.