Kritik for manglende risikovurdering
Datatilsynet har udtalt kritik af Digitaliseringsstyrelsen for ikke at dokumentere, at risici ved brugen af JavaScript i MitID er identificeret og håndteret. Tilsynet vurderer, at en særskilt risikovurdering af teknologien er påkrævet, når den indgår i kritisk infrastruktur, og der findes kendte misbrugsscenarier.
Styrelsen henviste til en overordnet MitID-risikovurdering og tidligere sikkerhedsvurderinger fra NemID, men Datatilsynet fandt dette utilstrækkeligt, fordi vurderingen ikke specifikt adresserede JavaScripts designsvagheder og angrebsvektorer i relation til de registreredes rettigheder.
Interesseret i forvaltningsret? Deltag i Forvaltningskonferencen 2026
Læs mere her →Krav til passende sikkerhedsforanstaltninger
Tilsynet præciserer, at databeskyttelsesforordningen kræver et dokumenteret sikkerhedsniveau, der er passende i lyset af konkrete risici og anvendt teknologi, jf. bl.a. GDPR art. 24, art. 25 og art. 32. Anvendelse af standardteknologier kan ikke i sig selv begrunde fravalg af yderligere foranstaltninger eller redesign.
For dataansvarlige indebærer afgørelsen et skærpet fokus på scenariegennemgang, evidens for risikobehandling og løbende opdatering i takt med trusselsbilledet. Hvor behandlingen kan medføre høj risiko, bør behovet for konsekvensanalyse efter art. 35 vurderes. Den fulde afgørelse kan læses hos Datatilsynet.
