Bekendtgørelse af lov om MitID og NemLog-in § 19

I gældende ret pålægges der tavshedspligt for en række subjekter omfattet af lovens bestemmelse, jf. straffeloven lovbekendtgørelse nr. 1650 af 17. november 2020 i §§ 152-152 f.

Med den foreslåede § 19, bestemmes det, at offentlige myndigheders medarbejdere og enhver, der i øvrigt udøver bistand til offentlige myndigheder, er under ansvar efter straffelovens §§ 152-152 f forpligtet til at iagttage tavshed over for uvedkommende med hensyn til oplysninger om den tekniske og sikkerhedsmæssige indretning samt processer for opretholdelse, vedligeholdelse og drift af sikkerhed i MitID-løsningen og NemLog-in.

Bestemmelsen indfører en særlig tavshedspligt, der medfører, at offentlige myndigheders medarbejdere iagttager tavshed over for uvedkommende med hensyn til oplysninger m.v. om MitID’s og NemLog-in’s systemers tekniske- og sikkerhedsmæssige indretning samt processer for opretholdelse, vedligeholdelse og drift af sikkerheden i systemerne.

Det skal bemærkes, at de subjekter, som er omfattet af straffelovens §§ 152-152 f udvides med den foreslåede bestemmelse. Bestemmelsen regulerer således tavshedspligten for offentlige myndigheders medarbejdere, samt enhver, der i øvrigt gennem bistand til eksempelvis gennemførelse af tilsyn og kontroller, eller til videreudvikling af systemerne, måtte få kendskab til MitID’s og NemLog-in’s systemernes tekniske- og sikkerhedsmæssige indretning samt processer for opretholdelse, vedligeholdelse og drift af sikkerheden i systemerne.

Bestemmelsen pålægger medarbejdere, der fører tilsyn og medarbejdere, der i øvrigt har adgang til oplysninger om den tekniske- og sikkerhedsmæssige indretning, tavshedspligt om disse. Bestemmelsen omfatter også den, der har virket i offentlig tjeneste eller hverv. Dette skyldes, at oplysningerne kan indikere svagheder i både systemer, systeminstallationer samt de sikkerhedsmæssige processer, som kan betyde, at tilsynet vil kræve forbedring af systemer, ændrede sikkerhedsmæssige processer eller lignende. Det er derfor afgørende, at disse oplysninger kan indberettes i fortrolighed til Digitaliseringsstyrelsen, da kendskab til og indsigt i systemers og processers eventuelle svagheder vil øge risikoen for angreb og kompromittering af sikkerheden. Angreb på systemer af så central karakter som fx MitID eller NemLog-in kan have vidtrækkende konsekvenser for borgere og erhvervsdrivende samt hele den offentlige sektor. Denne type angreb vil mindske tilliden til digitale tjenester og kan dermed begrænse den offentlige digitalisering og begrænse mulige gevinster heraf.

Der vurderes samtidig ikke at være hensyn, der tilsiger, at borgere, offentligretlige organer eller juridiske enheder skal være bekendt med de mere specifikke tekniske indretninger og sikkerhedsmæssige procedurer, som er med til at skabe sikkerheden i systemerne.

Bestemmelsen er ikke til hinder for, at offentlige myndigheder kan videregive oplysninger m.v. til andre offentlige myndigheder i det omfang, dette er nødvendigt for at disse kan udføre de opgaver, som de er pålagt.