Integritetspolicy, BankID

Allmänt

BankID är en e-identifierings- och underskriftstjänst (”BankID”) som utfärdas av någon av de banker som ingår i samarbetet kring BankID och det är som huvudregel den bank (”Banken”) som utfärdat ditt BankID som är ensamt, eller tillsammans med de andra bankerna i samarbetet kring BankID gemensamt, personuppgiftsansvarig för dina personuppgifter. Finansiell ID-Teknik BID AB (”vi” eller ”vår”) är personuppgiftsbiträde till Banken avseende behandlingen av dina personuppgifter inom ramen för BankID. Vi tillhandahåller även andra tjänster inom ramen för samarbetet kring BankID, exempelvis digitalt ID-kort. Vi behandlar uteslutande dina personuppgifter på uppdrag av Banken och i enlighet med Bankens instruktioner, med undantag för den behandling vi utför som personuppgiftsansvarig och som beskrivs vidare nedan i avsnitt ”Vår behandling som personuppgiftsansvarig”.

Vi värnar om din personliga integritet och strävar efter att alltid skydda dina personuppgifter på bästa sätt. Denna integritetspolicy (”Integritetspolicyn”) beskriver vilken slags information om dig som behandlas, hur vi får den, hur den används, hur den delas och vilka åtgärder som har vidtagits för att skydda dina personuppgifter. Vi beskriver också vilka rättigheter du har beträffande dina personuppgifter.

När du använder BankID kan ett flertal aktörer involveras, som Banken eller den aktör som tillhandahåller den e-tjänst du väljer att använda ditt BankID hos. Vi rekommenderar dig därför att även läsa andra aktörers integritetspolicy som du kan komma att beröras av i samband med att du använder BankID, exempelvis Banken och den aktör som tillhandahåller den e-tjänst som företag, banker, myndigheter eller andra organisationer, som du väljer att använda ditt BankID hos.

För information om hur vi behandlar personuppgifter i egenskap av personuppgiftsansvarig för vår övriga verksamhet, se vår integritetspolicy för Finansiell ID-Teknik.

Vilka vi är

Finansiell ID-Teknik BID AB startades år 2002 och är ett teknikbolag som äger, förvaltar och vidareutvecklar BankID. Vi ägs av Danske Bank, Handelsbanken, Länsförsäkringar Bank, SEB, Skandiabanken och Swedbank. Våra kunder är de flesta av de stora svenska bankerna, som i sin tur säljer och förmedlar BankID till myndigheter, företag, organisationer och privatpersoner. Se vilka banker som utfärdar BankID

Finansiell ID-Teknik BID AB har följande organisationsnummer och kontaktuppgifter:

• Organisationsnummer: 556630-4928

• Telefon: +46 8 411 81 50

• Mejl: info@bankid.com

• Adress: Kungsgatan 33, 111 56 Stockholm.

Om du har frågor om hur dina personuppgifter samlas in, används, skyddas och delas eller om du vill utöva dina rättigheter enligt avsnitt 9 är du välkommen att höra av dig till Banken eller vårt dataskyddsombud. Du kan nå dataskyddsombudet på:

• Telefon: +46 8 411 81 50

• Mejl: dpo@bankid.com

Hur dina personuppgifter samlas in

Banken genomför en noggrann fysisk identifiering av dig och registrerar dina uppgifter när du blir kund i Banken och kontrollerar dessa uppgifter mot folkbokföringen. På uppdrag av Banken behandlar vi personuppgifter som du lämnat till Banken eller som vi samlar in när du använder BankID. Vid exempelvis utgivning av ditt BankID är det Banken som för över dina personuppgifter till oss så att ditt BankID kan skapas.

Vi får också uppdateringar från Statens personadressregister (SPAR) med information om förändringar i folkbokföringen för att kunna utföra den registervård som beskrivs nedan i avsnitt ”Registervård”.

Hur dina personuppgifter behandlas

Vi behandlar bara dina personuppgifter om behandlingen är tillåten enligt tillämplig dataskyddslagstiftning. Detta innebär bland annat att vi måste ha stöd för ändamålen med behandlingen i form av en så kallad rättslig grund. För mer information om rättsliga grunder för personuppgiftsbehandling, besök IMY:s lista över rättsliga grunder enligt GDPR.

Nedan redogör vi närmare för de kategorier av personuppgifter vi behandlar, för vilka ändamål och i förhållande till vilken tjänst vi behandlar dem och vilka rättsliga grunder som vår behandling av dina personuppgifter stödjer sig på, inklusive hur länge uppgifterna om dig sparas hos oss och vilka vi delar dem med.

Dessa kategorier av personuppgifter ska förstås enligt följande:

Lista över personuppgiftsbehandling

Användning och utgivning av BankID

Dina personuppgifter behandlas för att Banken ska kunna tillhandahålla dig BankID och säkerställa att bara du själv använder ditt BankID för elektronisk identifiering eller underskrift hos tillhandahållare av e-tjänster. Notera att vi inte får någon information om syftet med identifieringen eller underskriften eller vad det är som skrivs under.

Digitalt ID-kort

Dina personuppgifter behandlas för att kunna aktivera digitalt ID-kort i BankID-appen och möjliggöra för dig att använda digitalt ID-kort för att legitimera dig som ett alternativ till att visa upp din fysiska ID-handling. Om du lämnar ditt samtycke till förstärkningsåtgärden som anges i avsnitt ”Identifiering med ansiktsigenkänning” nedan, kommer dina personuppgifter som rör din fysiska ID-handling även behandlas för förstärkning med ansiktsigenkänning.

Se även mer information under avsnitt ”Vid skanning av ett digitalt ID-kort” gällande personuppgiftsbehandling vid skanning av ett digitalt ID-kort med hjälp av en BankID-app utan ett aktivt BankID.

Förstärkningsåtgärder

Kontroll av ID-handling

Dina personuppgifter behandlas för att utföra en förstärkningsåtgärd för vissa nya utgivningar av BankID eller vid viss användning, identifiering eller underskrift, i syfte att förhindra missbruk eller annan obehörig användning av BankID. Vid denna förstärkningsåtgärd ombeds du därför att fotografera och blippa ditt svenska pass eller nationella ID-kort utfärdat av polisen.

Extra kontroll med ansiktsigenkänning

Dina personuppgifter behandlas för att du ska kunna aktivera och använda extra kontroll med ansiktsigenkänning, som innebär en förstärkningsåtgärd när du förnyar ditt BankID, skaffar ett nytt BankID eller använder ditt BankID. Syftet med extra kontroll med ansiktsigenkänning är att förhindra obehörig användning av ditt BankID.

Extra kontroll med ansiktsigenkänning innebär en biometrisk behandling av dina personuppgifter och består i en matchning i realtid av en nytagen jämförelsebild av dig med en ursprungsbild från din ID-handling. Funktionen innehåller på detta sätt en personuppgiftsbehandling som förutsätter ditt samtycke. Det är frivilligt att samtycka och använda extra kontroll med ansiktsigenkänning och som alternativ har du alltid möjlighet att skaffa och använda BankID på samma sätt som du gjort tidigare. Du kan läsa mer om hur du gör det på Bankens hemsida.

På uppdrag av Banken kommer vi även att göra manuella stickprov på ursprungsbild, jämförelsebild och resultatet av ansiktsigenkänningen för att kunna verifiera och påvisa att tekniken fungerar och ger ett korrekt resultat.

Om du redan har ett digitalt ID-kort i BankID-appen kommer vi hämta ursprungsbilden från ditt digitala ID-kort för behandlingen vid extra kontroll med ansiktsigenkänning. I annat fall kommer vi att använda ursprungsbilden från det pass eller nationella ID-kort du väljer att skanna.

Identifiering med ansiktsigenkänning

Dina personuppgifter behandlas för att Banken ska kunna utföra en säker online-identifiering av dig på distans istället för en fysisk identifiering på plats samt i syfte att förhindra obehörig utgivning av BankID.

Identifiering med ansiktsigenkänning innebär en biometrisk behandling av dina personuppgifter och består av en matchning i realtid av en nytagen jämförelsebild av dig med en ursprungsbild från din ID-handling. Funktionen innehåller på detta sätt en personuppgiftsbehandling som förutsätter ditt samtycke. Samtycket gäller bara för varje enskild online-identifiering, vilket innebär att du behöver samtycka på nytt nästa gång du vill göra en online-identifiering.

Det är frivilligt att samtycka och använda online-identifieringen och som alternativ har du alltid möjlighet att skaffa BankID på samma sätt som du gjort tidigare. Du kan läsa mer om hur du gör det på Bankens hemsida.

På uppdrag av Banken kommer vi även att göra manuella stickprov på ursprungsbild, jämförelsebild och resultatet av online-identifieringen för att kunna verifiera och påvisa att tekniken fungerar och ger ett korrekt resultat.

Supportärenden

Dina personuppgifter behandlas när du söker support för ditt BankID. Behandlingen syftar till att hjälpa dig vid tekniska problem och att stötta vid frågor om funktionalitet eller andra ärenden som rör användningen av BankID och relaterade tjänster. Observera att det i första hand är Banken som ska tillhandahålla dig support angående ditt BankID.

Förbättra och underhålla tjänsterna

Dina personuppgifter behandlas för att ta fram aggregerad/anonym information för att förbättra BankID och relaterade tjänster, göra dessa tjänster mer användarvänliga och säkra genom att exempelvis åtgärda buggar, ta fram faktureringsunderlag mot Banken, statistik, ändra gränssnitt samt övriga förbättringsåtgärder.

Spärr av BankID

Dina personuppgifter behandlas när du själv väljer att spärra ditt BankID eller när Banken spärrar ditt BankID. Bankerna har tillsammans beslutat om vilka situationer som kan ligga till grund för en Bank att spärra ett BankID. Detta kan exempelvis ske om ett BankID använts i strid med användarvillkoren, som vid misstanke om bedrägeri, försök till olovligt användande av annans BankID, olovlig identitetshantering eller annan brottslig handling. Du kan läsa mer i avtalet mellan dig och din Bank där villkoren för användning av BankID framgår Vid en blockering av BankID spärras alla utfärdade BankID automatiskt, se närmare om blockering i avsnitt ”Register för blockering av BankID”.

Register för blockering av BankID

Dina personuppgifter behandlas för kunna skapa ett register som Bankerna kontrollerar för att hindra utfärdande av BankID i de fall Banken självt, eller annan Bank, beslutat att utfärdande inte längre ska kunna ske för viss användare. Detta sker i syfte att vidta säkerhetsåtgärder för att förhindra missbruk eller annan användning av BankID i strid mot användarvillkor mellan dig och Banken. I samband med detta spärras även de BankID som utfärdats för användaren från fortsatt användning. Bankernas register får endast användas av Bankerna för kontroll i samband med utfärdande och innehåller endast de personnummer som Bankerna vid var tid ska neka vid utfärdande av nya BankID, tillsammans med den tidpunkt då personnumret automatiskt gallras från registret.

Det är Bankerna som tillsammans beslutat om vilka situationer som kan ligga till grund för att registrera ett personnummer i registret Detta kan exempelvis ske om ett BankID använts i strid med användarvillkoren, som vid misstanke om bedrägeri, försök till olovligt användande av annans BankID, olovlig identitetshantering eller annan brottslig handling. Du kan läsa mer i avtalet mellan dig och din Bank där villkoren för användning av BankID framgår.

Bankerna är gemensamt personuppgiftsansvariga för hanteringen av registret och har samordnade rutiner för att så sker på korrekt sätt enligt gällande personuppgiftslagstiftning oavsett vilken Bank du är kund i. Notera gärna att registret hanteras av Bankerna med stöd av särskilt tillstånd av Integritetsskyddsmyndigheten. Har du frågor om en Banks beslut att hindra dig från att använda BankID ska du vända dig till den Bank som fattade beslutet om blockering. Ingen annan Bank än den som fattade beslutet om blockering kan hantera dessa frågor.

Transaktionsövervakning

Dina personuppgifter behandlas för att kunna analysera uppgifter om ditt användarbeteende för att förhindra att BankID missbrukas eller används på ett obehörigt sätt, till exempel för att skydda dig mot identitetsbedrägerier eller ID-stöld. Vidare behandlas även uppgifter baserat på din historiska användning av BankID för att förhindra, förebygga eller utreda brott. Banken kan använda den information vi delar för att blockera eller spärra din fortsatta användning av BankID.

Automatiserat beslutsfattande vid utgivning av BankID

Vi använder oss av ett så kallat automatiskt beslutsfattande för att stödja Banken vid utgivning av BankID. Det innebär att utgivning av BankID kan nekas baserat på automatiserat beslutsfattande i det centrala system som används för utgivning av BankID och som vi tillhandahåller på uppdrag och instruktion av Banken.

Vänligen kontakta Banken för mer information om eller för att utöva dina rättigheter avseende det automatiserade beslutfattandet.

Vår behandling som personuppgiftsansvarig

Registervård

Dina personuppgifter behandlas för att kunna genomföra vård av det register som består av utfärdade BankID. Behandlingen görs i säkerhetssyften och innebär att vi genomför regelbundna kontroller av samtliga förändringar Statens personadressregister (SPAR) i syfte att spärra utfärdade BankID för avlidna användare eller andra användare som avskrivits från folkbokföringen som falsk identitet eller försvunnen, för att förhindra att BankID utnyttjas i sådan användares namn. Denna hantering sker varje gång dina uppgifter i folkbokföringen ändras.

Vid skanning av ett digitalt ID-kort

Dina personuppgifter behandlas för att möjliggöra ditt användande av digitalt ID-kort i avsnitt ” Digitalt ID-kort” och legitimering hos tredje parter som alternativ till att visa upp din fysiska ID-handling när tredje parter inte har ett aktivt BankID på samma telefon.

Mottagare av personuppgifter

Nedan finner du information om vilka mottagare vi delar dina personuppgifter med. 

(a) Tjänsteleverantörer. Banken använder tredje parter för att hantera en eller flera aspekter av sin verksamhet, inklusive behandling eller hantering av personuppgifter. Banken har i detta syfte anlitat oss för att tillhandahålla BankID till dig och Bankens övriga kunder. Vi använder också tredje parter för samma syften. Vi delar alla dina uppgifter med vår driftsleverantör. Vidare delar vi den information som du själv lämnar i ditt supportärende till vår supportleverantör. När Banken eller vi använder oss av tjänsteleverantörer inom ramen för BankID, upprättar Banken och/eller vi personuppgiftsbiträdesavtal och utför andra lämpliga åtgärder för att säkerställa att dina personuppgifter behandlas på ett sätt som överensstämmer med denna Integritetspolicy.

(b) Till annan bank i samarbetet kring BankID. Banken delar Uppgifter om blockering med andra banker i samarbetet inom ramen för upprätthållandet av register för blockering. Uppgifterna delas för att det är nödvändigt för uppfyllandet av det berättigade intresset hos Bankerna i samarbetet av att undvika att ditt BankID missbrukas och för att Bankerna ska kunna vidta säkerhetsåtgärder i förhållande till BankID, försvara rättsliga anspråk eller bevaka sin rätt.

(c) Tillhandahållare av e-tjänst. När du använder ditt BankID i en e-tjänst delas dina personuppgifter med denna tillhandahållare av e-tjänst som du använder BankID hos, det vill säga den part du identifierar dig mot eller signerar dokument hos. De personuppgifter som delas är följande: Grundläggande uppgifter, Enhetsinformation, Uppgift om biometrisk åtgärd och Uppgift om förstärkningsåtgärd. Dina uppgifter delas för att det är nödvändigt för att Banken ska kunna fullgöra sitt avtal med dig. Tillhandahållare av e-tjänsten behandlar personuppgifter som personuppgiftsansvariga enligt deras egna villkor och riktlinjer för hantering av personuppgifter.

(d) Myndigheter och övriga aktörer. Banken och vi delar dina personuppgifter i de fall då Banken eller vi är skyldig att göra det enligt till lag eller annan författning eller domstols- eller myndighetsbeslut.

Hur dina uppgifter skyddas

Dina personuppgifter lagras i system som endast är tillgängliga för Banken, våra anställda och de tjänsteleverantörer som behöver uppgifterna för sin tjänsteutövning. För att skydda dina personuppgifter mot obehörig åtkomst, obehörigt utlämnande och missbruk vidtas lämpliga skyddsåtgärder och säkerhetsnormer upprätthålls. System där personuppgifter behandlas ligger på säkra servrar med begränsad åtkomst och all kommunikation skyddas med kryptering. Vidare används tekniska verktyg som exempelvis brandväggar och övervakningsverktyg och all personal som kan komma i kontakt med dina personuppgifter är utbildade i vikten av att upprätthålla säkerhet och sekretess i förhållande till de personuppgifter som behandlas.

Varje gång personuppgifter lämnas över till den tillhandahållare av e-tjänst där du väljer att använda ditt BankID mot sker överföringen av personuppgifterna krypterat och enbart till en säkert identifierad tillhandahållare av e-tjänst med giltigt avtal att använda BankID i sin verksamhet.

Via inloggning till din internetbank kan du själv komma åt och se information om de BankID som har ställts ut till dig. Din användningshistorik kan du själv komma åt via BankID-säkerhetsprogram eller BankID-appen under ”Min historik” och dessa uppgifter presenteras till dig via krypterad förbindelse, så att ingen obehörig kan komma åt uppgifterna.

Dina rättigheter

Du har ett antal rättigheter beträffande behandlingen av dina personuppgifter som du kan göra gällande mot Banken eller oss. Dessa rättigheter beskrivs i detta avsnitt. För att göra gällande dessa rättigheter måste du vända dig till Banken, med undantag för de behandlingar som Finansiell ID-Teknik BID AB är personuppgiftsansvarig för. I huvudsak är vi personuppgiftsbiträde i förhållande till Banken och du ska nästan alltid vända dig till Banken avseende behandlingen av dina personuppgifter.

Du har rätt att få besked och information om vilka av dina personuppgifter som behandlas, oavsett hur dessa samlats in. Du kan till exempel göra detta genom att vända dig till Banken. Du kan även nyttja Bankens självbetjäningstjänst, dels genom att logga in på din internetbank för att se vilka BankID som har blivit utställda med ditt personnummer, dels genom att i ditt BankID-säkerhetsprogram eller i din BankID-app välja ”Min historik” för att se all din användningshistorik oavsett från vilken telefon eller dator den skett från.

Du har alltid möjlighet att utan dröjsmål rätta dina personuppgifter om de är felaktiga genom att vända dig till Banken eller oss. Du har även rätt att komplettera ofullständiga uppgifter. Enklast gör du detta genom att kontakta Banken eller genom att via din internetbank spärra ditt BankID och sedan skaffa ett nytt BankID med rätt personuppgifter. Är namnuppgifterna i ett BankID inte längre aktuella, måste alltid ett nytt BankID utfärdas och ditt gamla inaktuella BankID spärras.

Du har i vissa fall rätt att begära att dina personuppgifter utan dröjsmål raderas om:

• Personuppgifterna inte längre är nödvändiga för de ändamål de samlats in eller annars behandlats;

• Personuppgiftsbehandlingen sker med stöd av ditt samtycke och du återkallar ditt samtycke till behandlingen i fråga;

• Du invänder mot behandling som genomförs med stöd av intresseavvägning och din invändning väger tyngre än Bankens, vårt eller annans berättigade intresse av behandlingen;

• Personuppgifterna har behandlats på olagligt sätt;

• Personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse.

Notera dock att dina uppgifter kan komma att fortsätta att behandlas i den mån Banken eller vi har en laglig grund att behandla dina personuppgifter, till exempel om det är nödvändigt för att fullgöra ett avtal med dig eller en rättslig förpliktelse.

Du har rätt att begära att behandlingen av dina personuppgifter begränsas om:

• Du bestrider personuppgifternas korrekthet, under en tid som ger Banken eller oss möjlighet att kontrollera om uppgifterna är korrekta eller inte;

• Behandlingen är olaglig och du motsätter dig radering av dina personuppgifter och istället begär att användningen av dem begränsas; 

• Banken eller vi inte längre behöver behandla uppgifterna för de ändamål de samlades in för, samtidigt som du behöver uppgifterna för att kunna fastställa, göra gällande eller försvara rättsliga anspråk;

• Du har invänt mot den behandling som genomförs med stöd av intresseavvägning och väntar på kontroll av om din invändning väger tyngre än Bankens, vårt eller annans berättigade intresse av att fortsätta med behandlingen.

Notera dock att dina uppgifter kan komma att fortsätta att behandlas i den mån Banken eller vi har en laglig grund att behandla dina personuppgifter, till exempel om det är nödvändigt för att fullgöra ett avtal med dig eller en rättslig förpliktelse.

Du har rätt att när som helst invända mot Bankens eller vår behandling av dina personuppgifter om behandlingen grundar sig på en intresseavvägning, det vill säga att Banken eller vi haft ett berättigat intresse av att behandla dina personuppgifter. Om du invänder får dina personuppgifter inte behandlas om inte Banken eller vi kan visa tvingande berättigade skäl som väger tyngre än ditt intresse.

Om behandlingen av dina personuppgifter sker med stöd av ett avtal mellan Banken och dig eller med stöd av ditt samtycke, har du rätt att få ut de personuppgifter som du lämnat till Banken och som rör dig i ett elektroniskt format. Du har rätt att få uppgifterna i fråga överförda från Banken direkt till annan personuppgiftsansvarig, när detta är tekniskt möjligt. Vi ber dig observera att denna rätt till så kallad dataportabilitet inte omfattar sådana uppgifter som behandlas manuellt.

Om behandlingen av dina personuppgifter grundar sig på ditt samtycke har du alltid rätt att när som helst återkalla ditt samtycke. En återkallelse av ditt samtycke påverkar inte lagligheten av den behandling som skett baserat på samtycket innan detta återkallades.

Du har rätt att när som helst spärra ditt BankID hos Banken eller genom inställningsfunktionen i din klient för BankID. Du kan själv spärra ditt BankID via din internetbank, så att det inte längre kan användas.

Om du anser att Banken eller vi inte behandlar dina uppgifter i enlighet med gällande personuppgiftslagstiftning har du möjlighet att klaga till Integritetsskyddsmyndigheten, vars kontaktuppgifter finns på www.imy.se.

Överföring av uppgifter

Banken och vi lagrar och behandlar dina uppgifter enbart inom EU/EES och överför inte dessa till något land utanför EU/EES. Däremot kan den tillhandahållare av e-tjänst som du använder ditt BankID mot bedriva sin verksamhet utanför EU/EES. Vi uppmuntrar dig därför att alltid läsa integritetspolicyn från den som är tillhandahållare av den e-tjänst du avser nyttja.

Ändringar

Vi kan komma att ändra denna Integritetspolicy från tid till annan. Om vi ändrar Integritetspolicyn gäller den nya versionen från den tidpunkt då vi publicerar denna på denna webbplats. Du kan se när vi senast gjorde uppdateringar högst upp på den här sidan.