Privatlivspolitik

Version 1.7

Oplysninger om vores behandling af dine personoplysninger mv.

Indledning

Denne privatlivspolitik for MitID beskriver, hvordan Digitaliseringsstyrelsen behandler dine personoplysninger i forbindelse med MitID, og hvad dine rettigheder er i den forbindelse.

Hvis du er erhvervsbruger og anvender et særligt dedikeret MitID til erhvervsbrug, henvises du til privatlivspolitik for MitID Erhverv på mitid-erhverv.dk

1. Vi er den dataansvarlige – hvordan kontakter du os?

Digitaliseringsstyrelsen er dataansvarlig for behandlingen af de personoplysninger, som vi har modtaget om dig. Du finder vores kontaktoplysninger nedenfor.

Digitaliseringsstyrelsen
Landgreven 4
1301 København K
CVR-nr.: 34 05 11 78
Telefon: 33 92 52 00
Mail: digst@digst.dk

2. Kontaktoplysninger på databeskyttelsesrådgiveren

Hvis du har spørgsmål til vores behandling af dine oplysninger, er du altid velkommen til at kontakte vores databeskyttelsesrådgiver.

Du kan kontakte vores databeskyttelsesrådgiver på følgende måder:

Via Digital Post: Send en meddelelse til Digitaliseringsstyrelsen i Digital Post med ”Att. Databeskyttelsesrådgiver” i emnefeltet.
Via e-mail: dpo@digst.dk. Såfremt du ønsker at kontakte databeskyttelsesrådgiveren via e-mail, beder vi dig om ikke at oplyse dit CPR-nummer eller andre følsomme/fortrolige oplysninger.
Via brev: Digitaliseringsstyrelsen, att.: Databeskyttelsesrådgiveren, Landgreven 4, 1301 København K.

3. Formål med og retsgrundlaget for behandlingen af dine personoplysninger

Formålet med Digitaliseringsstyrelsens behandling af personoplysninger, er:

Udstedelse, administration og anvendelse af MitID til at kunne tilgå digitale tjenester.

Retsgrundlaget for vores behandling af dine personoplysninger følger af:

Behandlingshjemmel for behandling af dine personoplysninger er loven om MitID og NemLog-in (lov nr. 783 af 4. maj 2021 om MitID og NemLog-in, som ændret ved lov nr. 1559 af 12. december 2023) og databeskyttelsesforordningens artikel 6, stk. 1, litra e for behandling af almindelige personoplysninger samt databeskyttelseslovens § 11, stk. 1 for behandling af cpr-nummer.

Digitaliseringsstyrelsen behandler ikke dine personoplysninger til brug for formål, der ikke er relateret til udstedelse, administration og anvendelse af MitID.

4. Kategorier af personoplysninger

Vi behandler følgende kategorier af personoplysninger om dig:

Fulde navn (obligatorisk)
Fødselsdato (obligatorisk)
Bruger-id (obligatorisk)
Kontaktinformation
- E-mailadresse (frivilligt)
- Mobiltelefonnummer (obligatorisk ved brug af MitID app)
- Bopælsadresse (hentes automatisk fra CPR)
- Alternativ adresse (frivilligt)
Oplysning om anvendte legitimationsdokumenter og kontrolspørgsmål ved oprettelse af MitID
Pseudonymiseret værdi af identifikationsbevisnummer fx pasnummer, kørekortnummer eller opholdstilladelsesnummer
Data, der benyttes til verifikation af en identitet eller genaktivering af et midlertidigt spærret identifikationsmiddel gennem MitID app:
- Foto og personoplysninger fra billedsiden i et pas (eller lignende ICAO kompatibel legitimation).
- Video til detektering af, om der anvendes et rigtigt ansigt (livagtighed) til verifikation.
- Attributter fra 3D ansigtsgenkendelse.
Data, der bruges til at sikre, at begge telefoner/tablets befinder sig i nærheden af hinanden ved kopiering af MitID app eller aktivering af en ny MitID app fra en telefon/tablet til en anden:
- For brugere af Android version 11 eller ældre kræves det, at lokationstjenester er aktiveret. Der sker ingen yderligere behandling af din lokation.
Risikodata
- Netværksoplysninger og detaljer om enhedstypen som anvendes til log-in, netværksoplysninger og information om identiteten og seneste anvendelse.
Autentifikationssvar
- Indeholder dit navn, din unikke identifikationsnøgle, unikt sessions-id, dine anvendte identifikationsmidler i sessionen, risikodata, og øvrige attributter i form af kontaktdata, identitetsdata og autentifikationsdata.
Oplysninger fra CPR

4 A. Vidne

Hvis du optræder som vidne for en anden, der ansøger om MitID
- Oplysninger om vitterlighedsvidne omfatter fx legitimationstype, legitimationsnummer, CPR-nummer, evt. CVR-nummer og vidnetype.

5. Modtagere eller kategorier af modtagere

Vi videregiver eller overlader dine personoplysninger til følgende modtagere:

Digitaliseringsstyrelsen kan i visse tilfælde være forpligtet til at overføre oplysninger til andre offentlige myndigheder. Overførslen vil være begrænset til de personoplysninger, der er nødvendige for myndighedsudøvelsen.

IN Groupe Denmark A/S er databehandler for Digitaliseringsstyrelsen og leverandør af MitID-løsningen. Erhvervsstyrelsen er databehandler i forbindelse med håndtering af support.

RA’er er registreringsenheder (RA) og underdatabehandlere i forhold til MitID-løsningen.

MitID Brokers er i visse situationer ligeledes underdatabehandlere i forhold til MitID-løsningen.

Digitaliseringsstyrelsen videregiver oplysninger om risikodata og autentifikationssvar om den konkrete og enkelte transaktion til en offentlig myndighed eller en virksomhed i rollen som MitID Broker til brug for validering og sikring af passende niveau for sikkerhed.

Digitaliseringsstyrelsen overlader dine personoplysninger til Digitaliseringsstyrelsens databehandlere, der bistår med drift og administration af IT-systemer relateret til MitID-løsningen.

Digitaliseringsstyrelsen videregiver IP-adresser, URL på besøgte websteder med tidsstempler (med en tilknyttet IP-adresse), geografisk placering baseret på IP-adresse og oplysning om browser-version/-motor og operativsystem-version/-motor til Akamai Danmark (Akamai Technologies Denmark ApS, CVR 36 02 66 50) til brug for Akamais trafik- og sikkerhedsanalyse af trafikken mod MitID med henblik på løbende forbedring af deres samlede løsning med det formål at hindre masseangreb på MitID og til problemudbedring/-support. Dette sker navnlig for at sikre, at Akamai kan levere sin service korrekt.

6. Overførsel til modtagere i tredjelande, herunder internationale
organisationer

Vi overfører som udgangspunkt ikke dine personoplysninger til modtagere uden for EU og EØS.

Bemærk dog, hvis du får MitID i Grønland eller på Færøerne: Ved overførsel af personoplysninger til Grønland eller Færøerne er overførselsgrundlaget standardkontraktbestemmelser om databeskyttelse, jf. databeskyttelsesforordningens art. 46, stk. 2, litra c).

7. Hvor dine personoplysninger stammer fra

Den Borgerservice enhed eller bank, hvor du anmoder om oprettelse af MitID, indsamler dine personoplysninger direkte fra dig.

Via din eventuelle bestilling af fysisk identifikationsmiddel ved online bestilling forud for eller i forbindelse med din oprettelse som MitID bruger indsamles dine personoplysninger direkte fra dig. Dine personoplysninger indsamles også direkte fra dig, hvis du anvender MitID app til at gennemføre verifikation af din identitet.

Under administration af din anvendelse af MitID opdateres dine stamdata løbende ved synkronisering med dine CPR-oplysninger eller ved din egen opdatering af valgfri opgivne ekstra oplysninger om alternativ adresse, mobilnummer og mailadresse.

Som en del af behandlingen af personoplysninger indgår indhentning af oplysninger fra centrale offentlige registre som eksempelvis pas/kørekort registret, CPR registret og Danmarks adresseregister.

8. Opbevaring af dine personoplysninger

Digitaliseringsstyrelsen opbevarer og behandler dine personoplysninger, så længe det er nødvendigt i forhold til formålet om at udstede, administrere og anvende MitID med henblik på at tilgå digitale tjenester.

Ved verifikation af en identitet gennem MitID app bliver personoplysninger fra registrering af livagtighed og 3D-ansigtsgenkendelse, samt personoplysninger fra billedsiden i pas (eller lignende ICAO kompatibel legitimation) der ikke er udstedt i Danmark, opbevaret krypteret i højst én dag, hvorefter oplysningerne slettes. Personoplysninger fra billedsiden i pas, der er udstedt i Danmark, opbevares krypteret i midlertidig hukommelse, mens sessionen er aktiv, og i højst én time, hvorefter oplysningerne slettes.

9. Personoplysninger i forbindelse med support af MitID

Digitaliseringsstyrelsen er også dataansvarlig for de personoplysninger, som vi behandler om dig, hvis du kontakter MitID Supporten. MitID Supporten hjælper brugerne med at finde information om og bruge MitID løsningen. MitID Supporten kan hjælpe via telefon, e-mail, skærmdeling og livechat. Du har som bruger desuden mulighed for at modtage en kundetilfredshedsundersøgelse i forbindelse med din henvendelse til MitID Supporten. Hvis du samtykker til dette indgår opkaldet også i en anonymiseret undersøgelse af trends i de telefonopkald, som MitID Support modtager.

Formålet med Digitaliseringsstyrelsens behandling af personoplysninger, når du kontakter MitID Supporten, er: Ydelse af support i forbindelse med brugen af MitID og forbedring af supportens service.

Retsgrundlaget for vores behandling af dine oplysninger følger af:

Retsgrundlaget for behandlingen af dine oplysninger i forbindelse med henvendelser via telefon, e-mail eller livechat følger af databeskyttelsesforordningens artikel 6, stk. 1, litra e om offentlig myndighedsudøvelse.
Retsgrundlaget for behandlingen af dine personoplysninger i forbindelse med kundetilfredshedsundersøgelser, herunder anonymiseret undersøgelse af opkalds-trends, skærmdeling og/eller i forbindelse med optagelse af telefonsamtaler følger af databeskyttelsesforordningens artikel 6, stk. 1, litra a om samtykke.
Retsgrundlaget for behandling af dine oplysninger, hvis du indtaster dit CPR-nummer i supportens telefonmenu, er databeskyttelseslovens § 11, stk. 1 for behandling af CPR-nummer.

Supportmedarbejderen vil i forbindelse med skærmdeling kunne se de personoplysninger, som eventuel fremgår af den side, hvor du skal have support.

Du kan til enhver tid trække dit samtykke tilbage i forbindelse med skærmdeling og/eller kundetilfredshedsundersøgelser. Hvis du vælger at trække dit samtykke tilbage, påvirker det ikke lovligheden af vores behandling af dine personoplysninger på baggrund af dit tidligere meddelte samtykke op til tidspunktet for tilbagetrækningen. Hvis du tilbagetrækker dit samtykke, har det derfor først virkning fra dette tidspunkt.

Vi videresender så vidt muligt e-mails, der er fejlsendt til MitID Supporten, til rette myndighed/enhed.

Opbevaring af dine personoplysninger i forbindelse med support af MitID

Ved samtykke optages telefonsamtalen og gemmes i 30 dage, hvorefter den slettes. Samtalen optages med henblik på uddannelse og kvalitetssikring.
Ved samtykke til modtagelse af kundetilfredshedsundersøgelse slettes dit telefonnummer efter 90 dage og din kommentar slettes efter 180 dage. Kundetilfredshedsundersøgelsen fremsendes på baggrund af din telefoniske henvendelse.
Hvis du vælger at indtaste dit CPR-nummer i supportens telefonmenu, vil dit CPR-nummer blive vist for supporteren, når dit kald kommer igennem. Dit CPR-nummer vil ikke blive gemt, og forsvinder fra supporterens skærm, når kaldet afsluttes.
I databehandlerens telefonsystem slettes data om opkaldene efter 90 dage (data omfatter telefonnummer, dato og tidspunkt, kaldslængde, valg af kø, evt. genkald, ventetid og navn på supporter)
Til brug for statistik gemmes data i anonymiseret form i op til 5 år.
Ved samtykke til skærmdeling i skærmdelingsværktøjet, gemmes videosessionen i 90 dage, hvorefter den slettes automatisk. Sessionen optages med henblik på uddannelse og kvalitetssikring.
Alle skriftlige henvendelser gemmes i 6 måneder og slettes herefter.
Ved samtykke til modtagelse af kundetilfredshedsundersøgelse ifm. skriftlige henvendelser slettes din e-mail efter 90 dage og din kommentar i kundetilfredshedsundersøgelsen slettes efter 180 dage. Kundetilfredshedsundersøgelsen fremsendes på baggrund af din skriftlige henvendelse.
Alle skriftlige henvendelser (inkl. livechat), som MitID Supporten videresender til en anden myndighed, journaliseres og gemmes. Eventuelle klager vil også blive journaliseret og gemt.
I livechat-systemet slettes data efter 6 måneder (data omfatter samtalen mellem borger og supporter samt navnet, som kunden indtaster i feltet).
Databehandleren anvender en underdatabehandler til at undersøge trends i brugeropkald. Dette gøres med henblik på at forbedre supportens service. Samtalerne overføres til underdatabehandleren, der umiddelbart efter modtagelse omdanner talen til tekst og anonymiserer teksten. Den anonymiserede tekst anvendes derefter til analyse af trends. Underdatabehandleren opbevarer lydoptagelsen af samtalen i 30 dage hvorefter den slettes.

10. Dine rettigheder

Du har efter databeskyttelsesforordningen en række rettigheder i forhold til vores behandling af oplysninger om dig.

Hvis du vil gøre brug af dine rettigheder, skal du kontakte os.

Ret til at se oplysninger (indsigtsret)

Du har ret til at få indsigt i de oplysninger, som vi behandler om dig samt en række yderligere oplysninger.

Du kan sende en indsigtsanmodning til Digitaliseringsstyrelsen på en af følgende måder:

Via Digital Post til Digitaliseringsstyrelsen
Via fysisk post til Digitaliseringsstyrelsen, Landgreven 4, 1301 København med titlen ”Indsigt i behandling af MitID personoplysninger”

Du kan også til enhver tid se de personoplysninger, som Digitaliseringsstyrelsen har registreret om dig vedrørende dit aktive MitID. Det gøres via selvbetjening på MitID.dk. Her kan du også trække en automatisk GDPR-rapport, hvor du kan se de oplysninger, der er registreret i MitID om dig.

Ret til berigtigelse (rettelse)

Du har ret til at få urigtige oplysninger om dig selv rettet.

Du kan til enhver tid ændre din e-mailadresse og mobiltelefonnummer via selvbetjening på MitID.dk. Det samme gælder, hvis du har angivet en adresse, som alternativ til CPR-adresse. Ved berigtigelse af øvrige oplysninger, som måtte være forkerte fx fejl i cpr-oplysninger, skal du henvende dig til Borgerservice.

Ret til sletning

Du kan dog altid anmode om at få slettet oplysninger om din e-mailadresse, alternative adresse og/eller mobilnummer. Hvis du anvender MitID app skal du dog være opmærksom på, at sletter du dit mobilnummer, vil du ikke længere kunne anvende MitID app.

Ret til begrænsning af behandling

Du har i visse tilfælde ret til at få behandlingen af dine personoplysninger begrænset. Begrænsning af behandling af dine personoplysninger kan dog betyde, at du ikke kan bruge MitID.

Hvis du vil anmode om begrænsning af behandling af dine personoplysninger, skal du rette henvendelse til Digitaliseringsstyrelsen. Se kontaktoplysninger nedenfor.

Ret til indsigelse

I særlige situationer har du som bruger ret til at gøre indsigelse mod behandling af de personoplysninger, som Digitaliseringsstyrelsen har registreret om dig.

Du kan kontakte Digitaliseringsstyrelsen på en af følgende måder:

Via Digital Post til Digitaliseringsstyrelsen
Via fysisk post til Digitaliseringsstyrelsen, Landgreven 4, 1301 København med titlen ”Klage over behandling af MitID personoplysninger"

Ret til at transmittere oplysninger (dataportabilitet)

Denne rettighed finder ikke anvendelse for MitID, da behandlingen sker som led i myndighedsudøvelse, som den dataansvarlige har fået pålagt ved lov.

Retten til at trække samtykke tilbage

Retten til at trække samtykke tilbage er relevant i forbindelse med support. Når du anmoder om support vil du nogle gange blive bedt om samtykke til, at dine personoplysninger behandles i forbindelse med kundetilfredshedsanalyser, skærmdeling og undersøgelse af opkaldsanalyse. Hvis du vælger at trække dit samtykke tilbage, påvirker det ikke lovligheden af vores behandling af dine personoplysninger på baggrund af dit tidligere meddelte samtykke og op til tidspunktet for tilbagetrækningen. Hvis du tilbagetrækker dit samtykke, har det derfor først virkning fra dette tidspunkt.

Du skal desuden være opmærksom på, at der eksisterer undtagelser til rettighederne, hvorfor du ikke altid vil kunne gøre brug af alle dine rettigheder. Dette skyldes, at vi som offentlige myndigheder i mange tilfælde behandler personoplysninger som led i sin myndighedsudøvelse.

11. Klage til Datatilsynet

Du har ret til at indgive en klage til Datatilsynet, hvis du er utilfreds med den måde, vi behandler dine personoplysninger på. Du finder Datatilsynets kontaktoplysninger på www.datatilsynet.dk

Du er også velkommen til at rette henvendelse til Digitaliseringsstyrelsen.

Her kan du læse tidligere versioner af privatlivspolitikken for MitID