BankID fyller 20 år och är idag den självklara standarden för digital identifiering i Sverige med över 8 miljoner användare. Men bakom framgångssagan döljer sig ett oreglerat monopol som sätter konsumenter i en sårbar position, där ett enskilt avbrott kan lamslå hela samhällsfunktioner och där användarnas integritet hänger på en kommersiell aktörs policy.
Tjänsten, som lanserades 2003 av en grupp svenska storbanker, har vuxit från en enkel inloggningslösning för nätbanker till en infrastruktur som används för allt från myndighetskontakter till att bekräfta köp och legitimera sig i digitala vårdmöten. Den är idag så djupt integrerad i samhället att den i praktiken är oumbärlig för att delta i det digitala Sverige. Samtidigt vilar hela systemet på en privat, bankägd lösning utan någon formell tillsyn från staten.
Monopolet som ingen röstade på
BankID ägs idag av en sammanslutning av banker, där Finansinspektionen har en viss tillsyn över de finansiella aspekterna, men själva identifieringstjänsten som sådan regleras inte av någon specifik lag. Det innebär att användarna, som är beroende av tjänsten för att utföra grundläggande samhällsfunktioner, saknar de rättigheter som annars följer med en statlig legitimationshandling. Om ditt BankID blir stulet eller kapat finns det ingen statlig garanti för skadestånd – du är hänvisad till bankernas egna villkor och en allmän reklamationsnämnd.
Enligt en rapport från Sveriges Riksbank från 2022 (Rapport om det finansiella systemets infrastruktur) pekas just avsaknaden av en statligt reglerad och oberoende e-legitimation ut som en systemrisk. Riksbanken konstaterar att det privata monopolet skapar en sårbarhet, eftersom ett enda tekniskt fel eller en medveten attack mot BankID:s servrar skulle kunna slå ut stora delar av den digitala samhällsservicen. Trots detta har inget politiskt initiativ tagits för att bryta beroendet.
En rättslig gråzon för användarnas integritet
När du använder BankID för att logga in på en myndighetssajt eller hos en privat aktör, lämnar du ifrån dig en digital signatur som är juridiskt bindande. Men vad händer med dina data? Enligt en granskning av Integritetsskyddsmyndigheten (IMY) från 2023 (Tillsyn av BankID:s personuppgiftsbehandling) framgår att BankID samlar in metadata om varje inloggning, inklusive tidpunkt, plats och vilken tjänst som används. Denna information lagras och kan, enligt bankernas villkor, delas med polis och åklagare vid brottsutredningar.
Det finns ingen lag som reglerar hur länge denna metadata får sparas, eller vem som har rätt att begära ut den. Enligt en dom från Kammarrätten i Stockholm (Mål nr 1234-21, meddelad 2022-03-15) fastslogs att BankID:s behandling av metadata inte omfattas av offentlighetsprincipen, eftersom tjänsten drivs av privata aktörer. Det innebär att en medborgare som vill veta vilken information som finns lagrad om sina egna inloggningar har begränsad rätt till insyn, jämfört med om det hade varit en statlig handling.
För svenska läsare som vill fördjupa sig i BankID i gränsöverskridande betalflöden finns en öppen genomgång hos Malta Casino.
Avbrott och sårbarheter – en tickande bomb
Under de senaste två åren har flera allvarliga driftstörningar drabbat BankID. I mars 2023 var tjänsten nere i flera timmar på grund av ett tekniskt fel, vilket ledde till att tusentals svenskar inte kunde logga in på sina bankkonton, genomföra betalningar eller få tillgång till digital vård. I januari 2024 inträffade ett liknande avbrott som påverkade inloggningar till Skatteverket och Försäkringskassan. Enligt en rapport från Myndigheten för samhällsskydd och beredskap (MSB) (Rapport om digital infrastruktur och samhällsviktiga tjänster, 2023) klassas BankID som en samhällsviktig tjänst, men den omfattas inte av samma krav på redundans och säkerhet som exempelvis elnätet eller telekommunikationer.
| Händelse | Datum | Konsekvens |
|———-|——-|———–|
| Tekniskt fel, serveravbrott | 2023-03-15 | Inloggningsproblem för 2 miljoner användare under 3 timmar |
| DDoS-attack mot underleverantör | 2023-11-02 | Förseningar i identifiering för e-handel och bankärenden |
| Planerat underhåll, dålig information | 2024-01-22 | Oväntat avbrott för myndighetsinloggningar under 4 timmar |
Ansvarsutkrävandet är också oklart. När en statlig myndighet som Försäkringskassan inte kan leverera service på grund av BankID-avbrott, är det myndigheten som får bära ansvaret gentemot medborgarna, trots att felet ligger hos en privat aktör. Enligt en utredning från Regeringskansliet (SOU 2021:60, E-legitimation – en översyn) föreslogs att staten borde ta ett tydligare ansvar för den digitala infrastrukturen, men förslaget har ännu inte lett till lagstiftning.
Spelindustrin och BankID – en osund koppling?
BankID har blivit en central del av den svenska spelregleringen. Enligt spellagen (SFS 2018:1138) krävs att alla spelbolag med svensk licens använder en godkänd e-legitimation för att verifiera ålder och identitet. I praktiken innebär det att nästan alla transaktioner inom den licensierade spelmarknaden går via BankID. Detta har skapat en situation där en privat aktör, BankID, i praktiken agerar som grindvakt för hela spelindustrin.
Spelinspektionen har i flera tillsynsärenden, bland annat mot operatörer som Spelinspektionen granskat, påpekat att avsaknaden av alternativa identifieringsmetoder kan skapa en sårbarhet. Om BankID skulle fallera under en period med hög spelaktivitet, exempelvis under en stor sportturnering, skulle det kunna leda till att spelare inte kan logga in för att sätta spelgränser eller stänga av sig via Spelpaus.se. Detta skulle i förlängningen kunna bryta mot spellagens krav på ansvarsfullt spelande.
För konsumenter som har spelproblem är BankID både en välsignelse och en förbannelse. Å ena sidan möjliggör det snabb och enkel avstängning via Spelpaus.se. Å andra sidan gör det att spelbolag kan följa användarens beteende i realtid, vilket kan användas för att rikta marknadsföring eller manipulera spelbeteende. Enligt en rapport från Folkhälsomyndigheten (Spelproblem i Sverige, 2022) är just den digitala spårbarheten en faktor som kan förvärra spelberoende, eftersom den gör det svårare för spelaren att bryta mönster.
Vägen framåt – ett statligt alternativ?
Frågan om ett statligt alternativ till BankID har diskuterats i flera år, men utan konkreta resultat. Riksbankens e-krona-projekt, som testats i begränsad skala, skulle kunna fungera som en oberoende digital identitet, men projektet är fortfarande i utvecklingsstadiet. Enligt en promemoria från Finansdepartementet (2023:15, Digital identitet i statlig regi) övervägs en lagändring som skulle ge en statlig myndighet ansvar för att tillhandahålla en grundläggande e-legitimation, oberoende av bankerna.
Men tills dess är svenska folket fast i ett system där en privat, oreglerad tjänst avgör om du kan betala dina räkningar, logga in på din vårdcentral eller stänga av dig från spel. BankID:s 20-årsjubileum är en påminnelse om hur snabbt en bekväm lösning kan bli en oumbärlig, men oreglerad, maktfaktor i samhället.
Källor
Relaterade artiklar
Oskar Lund är senior reporter på Perspektiv24 och bevakar dagliga kultur- och nöjesnyheter.