Indsigelse mod overgang fra sikkerhedsløsningen NemID til MitID ved brug af indklagedes selvbetjeningssystemer.
| Sagsnummer: | 131/2022 |
| Dato: | 20-10-2022 |
| Ankenævn: | Bo Østergaard, Inge Kramer, Mette Lindekvist Højsgaard, Ti-na Thygesen, Finn Borgquist. |
| Klageemne: |
Netbank - tekniske forhold
|
| Ledetekst: | Indsigelse mod overgang fra sikkerhedsløsningen NemID til MitID ved brug af indklagedes selvbetjeningssystemer. |
| Indklagede: | Djurslands Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod overgang fra sikkerhedsløsningen NemID til MItID ved brug af indklagedes selvbetjeningssystemer.
Sagens omstændigheder
Klageren var kunde i Djurslands Bank, hvor hun blandt andet havde en konto og adgang til bankens selvbetjeningssystemer.
Klageren blev på et ikke nærmere oplyst tidspunkt af banken bedt om at skifte fra sikkerhedsløsningen NemID til MitID i forbindelse med anvendelse af bankens selvbetjeningsløsninger.
Herefter indgav klageren en klage til banken, idet hun ønskede at fortsætte med at benytte bankens selvbetjeningssystemer ved brug af NemID og ikke ønskede at overgå til MitID.
Banken fastholdt, at klageren skulle overgå til MitID begrundet i det faktum, at NemID udfases og erstattes af Den danske nationale elektroniske identifikationsordning (Mit- ID), jf. lov nr. 783 af 4. maj 2021 om MitID og NemLog-in (lov om MitID).
Parternes påstande
Den 5. april 2022 har klageren indbragt sagen for Ankenævnet med påstand om, at Djurslands Bank skal give hende mulighed for fortsat at betjene sin konto i bankens selvbetjeningssystemer med NemID, uden at hun skal overgå til MitID.
Djurslands Bank har principalt nedlagt påstand om afvisning, subsidiært frifindelse.
Parternes argumenter
Klageren har anført, at hun ikke ønsker ikke at overgå til MitID, idet hun har ret til at kunne tilgå sin ejendom (sine penge) frit.
Hvis MitID udelukkende var et login-system, skrev hun gerne under, men eftersom hun giver samtykke til flere ting, som intet har med hendes bank og dens funktion at gøre, bør hun som minimum fortsat have adgang til sin konto og de funktioner, hun har på nuværende tidspunkt. Hun ønsker, at hun kan betjene sine midler, sin ejendom frit, uden afgifter og yderligere gebyr og uden at give samtykke til, hvad der ligger bagved MitID.
Med de sager, som er kommet frem i lyset vedrørende usikkerhed omkring netop sikkerheden af MitID, er meget af det, som banken har anført, useriøst og ikke korrekt.
Desuden må hun ikke blive stillet dårligere, end da hun indgik kontrakt med banken, hvilket hun gør med MitID-løsningen.
Hun ved, at der findes anden løsning, så hun kan benytte netbank mm. uden MitID, hvilket banken har bekræftet. Det er denne eksisterende løsning, som hun ønsker at få adgang til, så hun kan bibeholde de rettigheder, som hun havde, da hun indgik kontrakt med banken.
Djurslands Bank har til støtte for afvisningspåstanden anført, at Ankenævnet ikke er rette klageinstans vedrørende afgørelser om MitID. Ifølge bekendtgørelse nr. 1778 af 1. september 2021 om MitID til privatpersoner (bekendtgørelsen) § 10, stk. 1, kan sådanne klager påklages til Digitaliseringsstyrelsen, jf. § 4, stk. 2 i lov om MitID. Det fremgår endvidere af lov nr. 439 af 8. maj 2018 om udstedelse af NemID med offentlig digital signatur til fysiske personer og til medarbejdere i juridiske enheder § 5, stk. 1, at klager vedrørende NemID kan indbringes for Digitaliseringsstyrelsen.
Banken har subsidiært anført, at sagen bør afvises i henhold til Ankenævnets vedtægter § 5, stk. 3, nr. 2, idet klageren ikke har konstateret et økonomisk tab. Der er således intet konkret økonomisk mellemværende.
Til støtte for frifindelsespåstanden har banken anført, at lovgiver har fastlagt, at Nem- ID erstattes af MitID, og banken har ageret derefter.
Intet sted i lovgivningen pålægges det banken at acceptere forældede og udfasningsmodne sikringsforanstaltninger.
Endvidere fremgår det af bekendtgørelsen § 2, stk. 3, sidste punktum, at ”Tjenesteudbydere(banken) gennemfører en risikovurdering og fastsætter på den baggrund krav til sikringsniveauet for autentifikation i deres digitale selvbetjeningsløsninger”. Det er således alene banken, der kan fastsætte, hvilke autentifikationsløsninger, der kræves anvendt for fortsat adgang til og brug af bankens selvbetjeningsløsninger.
Banken vil blandt andet af sikkerhedsmæssige grunde ikke tilbyde uautentificeret adgang til de tilbudte selvbetjeningsløsninger og stiller sig uforstående over for nødvendigheden af at skulle forsvare migreringen til MitID, som vil være ”den anmeldte ordning”, jf. artikel 9 i eIDAS-forordningen. Der henvises endvidere til Lov om MitID § 2, stk. 1, nr. 1 og 2, hvoraf fremgår, at MitID-løsningen er Den danske nationale elektroniske identifikationsordning (§ 2, stk. 1, nr. 1), og at MitID er den nationale digitale identitetsgarant for privatpersoner (§ 2, stk. 1, nr. 2), og som sådan formodes at være den mest sikre og forbrugerbeskyttende ordning, som aktuelt er tilgængelig.
Det af klageren anførte om, at hun ikke må blive stillet dårligere, end da hun indgik kontrakt med banken, tyder på, at hun forveksler banken med en offentlig virksomhed. Banken er ikke underlagt offentligretlige grundsætninger om forbud mod ændringer til ugunst. I øvrigt er der ikke tale om ”ændring til ugunst”, men derimod om en forbedring af sikkerhedsniveauet.
Det af klageren anførte om, at banken har bekræftet, at netbanken kan benyttes uden MitID, beror på en misforståelse. Det fremgår tydeligt af bankens mailkorrespondance med klageren, at adgang til bankens selvbetjeningsløsninger uden autentifikation ikke vil komme på tale, og at MitID vil være den autentifikationsmetode, der bliver gældende, som det er tilfældet i alle øvrige digitale sammenhænge – private som offentlige.
Ankenævnets bemærkninger
Klagen vedrører indsigelse mod overgang fra sikkerhedsløsningen NemID til MitID ved brug af Djurslands Banks selvbetjeningssystemer.
Det følger af lov nr. 783 af 4. maj 2021 om MitID og NemLog-in, at NemID skal udfases og erstattes af MitID.
Ankenævnet finder ikke grundlag for at pålægge banken at lade klageren anvende bankens selvbetjeningssystemer uden brug af MitID.
Klageren får derfor ikke medhold i klagen.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.