Hur man använder eID:er för beständig användaridentifiering

Digitala plattformar och tjänster förlitar sig på beständig användaridentifiering för att konsekvent känna igen sina användare vid flera interaktioner. Persistent användaridentifiering bygger på att användarens identitet inom applikationens domän associeras med en unik identifierare som förblir konstant över tid. Att implementera detta korrekt är viktigt inte bara för att skapa en optimal användarupplevelse utan också för att säkerställa efterlevnad av de europeiska GDPR-reglerna.

I det här blogginlägget diskuterar vi hur påståenden som utfärdas av eID-leverantörer kan användas för att implementera beständig användaridentifiering i tredjepartsapplikationer. Vi föreslår specifika påståenden som kan användas för detta ändamål och belyser fördelarna med att använda permanenta pseudonyma identifierare som ett alternativ till de vanliga nationella personnumren. Vi använder det danska MitID och det norska BankID som exempel.

Förståelse av anonyma respektive pseudonyma uppgifter

Pseudonymisering och anonymisering är de två tekniker som används för att minska riskerna för dataskydd vid behandling av personuppgifter. De nämns ofta i samband med GDPR.

Anonymisering innebär att personliga identifierare tas bort från uppgifterna på ett sätt som gör det omöjligt att koppla uppgifterna tillbaka till en identifierbar person. När det gäller dataskydd och integritet gör anonymisering personuppgifter icke-personliga. Icke-personliga - eller anonyma - uppgifter omfattas inte av GDPR:s tillämpningsområde.

Ett exempel på anonyma uppgifter kan vara en aggregerad dataset som anger medelhastigheten för fordon på en viss väg utan någon personlig identifieringsinformation.

Pseudonymisering, å andra sidan, är en omvandling som gör personuppgifter oidentifierbara för en specifik individ utan ytterligare information. Denna teknik innebär vanligtvis att direkt identifierande information som namn, personnummer eller födelsedatum ersätts med en pseudonym: ett värde som inte direkt avslöjar individens identitet.

Ett exempel på pseudonymiserade data är en persons körkort där namn och körkortsnummer ersätts med en unik identifierare.

Sammanfattningsvis kan sägas att pseudonymisering gör personuppgifter oidentifierbara om inte kompletterande information finns tillgänglig, medan anonymisering helt förhindrar återidentifiering.

Trots att pseudonymiserade uppgifter fortfarande klassificeras som personuppgifter enligt den europeiska GDPR-lagstiftningen, erkänner GDPR pseudonymisering som en lämplig skyddsåtgärd som minskar risken för missbruk av personuppgifter. När det krävs behandling av personuppgifter är därför pseudonyma identifierare att föredra framför direkt identifierande information.

Använda eID-leverantörers påståenden för användaridentifiering

När en användare loggar in i en applikation med sin nationella e-legitimation får applikationen påståenden som utfärdats av e-legitimationsleverantören. Dessa påståenden innehåller information om användarens identitet, t.ex. personnummer, födelsedatum, namn och andra personuppgifter.

De JWT-anspråk som utfärdas av Idura Verify kan ses i exemplen nedan.

När applikationen tar emot dessa anspråk kan den extrahera användarinformationen från dem och använda den för att autentisera användaren, bestämma åtkomstbehörigheter och anpassa användarupplevelsen.

Exempel: Innehållet i en dansk MitID JWT-token:

{
    "identityscheme": "dkmitid",
    "nameidentifier": "0f9960a0d28d4353a3e2ea07f8ffa185",
    "sub": "{0f9960a0-d28d-4353-a3e2-ea07f8ffa185}",
    "uuid": "74ffcd31-fbaf-4c33-bdac-169f25c1e416",
    "cprNumberIdentifier": "2101270087",
    "birthdate": "1927-01-21",
    "age": "93",
    "name": "Severin Poulsen",
    "country": "DK"
}

Exempel: Norskt BankID JWT Token-innehåll:

{
    "identityscheme": "nobankid-oidc",
    "nameidentifier": "ee9b1bb905a6458e9f3b9d068f1a3765",
    "sub": "{ee9b1bb9-05a6-458e-9f3b-9d068f1a3765}",
    "uniqueuserid": "9578-6000-4-351726",
    "birthdate": "1946-03-27",
    "socialno": "27034698436",
    "family_name": "Olsen",
    "given_name": "Ole",
    "name": "Ole Olsen",
    "country": "NO"
}

Välja användaridentifierare

Alla applikationer som innehåller användarinloggningar lagrar vanligtvis användarprofiler i en databas, där varje användare är associerad med ett unikt och beständigt ID. Med eID-inloggningar är det ett genomförbart alternativ att använda det anspråk som erhållits från en eID-leverantör som detta beständiga ID.

Men vilket krav ska vi välja?

Det danskaCPR-numret (cprNumberIdentifier) och det norska socialförsäkringsnumret(socialno) kan verka som bra alternativ vid första anblicken. Det är dock värt att tänka på följande:

1. Personnummer kan användas för att direkt identifiera en person. Dessa identifierare är inte pseudonyma, vilket ger upphov till ytterligare GDPR-problem.
2. Dessa nummer kan ändras i vissa situationer.

Lyckligtvis tillhandahåller de flesta eID:er pseudonyma värden som kan associeras med användarnas identiteter och som är beständiga under hela eID:ens livslängd.

• För det danska MitID fungerar uuid-anspråket som en beständig pseudonym som unikt identifierar individer. Det är det danska MitID Person-ID som används av myndigheter för att identifiera medborgare och anställda.
  
  
• Med det norska BankID identifierar värdet bankid_altsub den juridiska personen. I Idura claims finns bankid_altsub tillgängligt som unikt användarid.

bankid_altsub och uuid är marknadsspecifika men mäklaragnostiska permanenta pseudonyma personidentifierare. Dessa värden kommer att förbli konstanta även om SSN/CPR-numret ändras och anses inte vara känsliga uppgifter.

• Dessutom tillhandahåller Idura ett sub -anspråk som baseras på permanenta pseudonyma -värden som tillhandahålls av en eID (såsom uuid och bankid_altsub). Det identifierar unikt en eID-användare per Idura Verify-hyresgäst. Detta anspråk fungerar som ett bra alternativ till SSN/CPR-nummer när Idura används som eID-leverantör.

sub, å andra sidan, är en marknadsagnostisk men mäklarspecifik permanent pseudonym personidentifierare.

Eftersom de flesta e-legitimationer erbjuder pseudonyma värden som också är mer robusta än de nationella CPR- och SSN-numren, rekommenderar vi att du väljer dessa identifierare eller använder ett Idura-specifikt sub-krav som användaridentifierare i din applikation.

Slutsats

Det är viktigt att betona att även pseudonymiserade data potentiellt kan användas för att återidentifiera individen om de kombineras med annan information. Därför måste organisationer prioritera att implementera robusta dataskyddsåtgärder när de behandlar någon form av personuppgifter.

När det gäller att använda påståenden från eID-leverantörer för beständig användaridentifiering bör utvecklare dock välja pseudonyma identifierare snarare än direkt identifierande personnummer. Detta tillvägagångssätt bidrar till att minska riskerna för dataskydd och säkerställa efterlevnad av GDPR-reglerna.

Har du några frågor? Tveka inte att kontakta vårt supportteam via e-post.