5 Anerkjennelse av identifikasjonsmidler

5.1 Gjeldende rett

Identifisering av personer og foretak i Foretaksregisteret reguleres av foretaksregisterforskriften § 15. Her fremgår det at personer er «identifisert ved fødselsnummer og foretak ved organisasjonsnummer. Utenlandske fysiske personer uten norsk fødselsnummer identifiseres med D-nummer». Signering av elektronisk melding til Foretaksregisteret er regulert av foretaksregisterforskriften § 9.

Signering av elektronisk registermelding forutsetter at brukeren benytter de elektroniske identifikasjonsmidler som ID-porten og Altinn tilbyr. Det er tale om personlig eID (elektronisk identifikasjon) på betydelig sikkerhetsnivå (nivå 3) eller høyeste sikkerhetsnivå (nivå 4). Personlig eID kan for eksempel være BankID eller MinID.

Betydelig sikkerhetsnivå krever bruk av MinID, mens høyeste sikkerhetsnivå krever bruk av BankID, Buypass eller Commifides. Begge sikkerhetsnivåene innebærer to-faktorautentisering, og forutsetter at personen har norsk fødselsnummer eller d-nummer.

eIDAS-forordningen1 regulerer eID i EØS, og er gjennomført i norsk rett i lov om elektroniske tillitstjenester. Forordningen åpner for at privatpersoner og bedrifter skal kunne bruke sin eID for å få tilgang til elektroniske tjenester fra offentlig sektor i andre stater som tilbyr pålogging med eID. eID-en må i så fall enten være utstedt av en offentlig myndighet eller godkjent av en offentlig myndighet. Rent teknisk støtter ID-porten eID-pålogging med eID fra andre stater, men for å foreta seg noe i Altinn, må brukerens eID kobles mot fødselsnummer eller d-nummer i Folkeregisteret. EØS-borgere som skal logge seg inn på norske offentlige tjenester med sin nasjonale eID, må derfor være registrert i Folkeregisteret med fødsels- eller d-nummer og anvende dette ved innlogging, for å kunne bruke Altinn fullt ut.

EØS-borgere som meldes i selskapsroller til Foretaksregisteret, for eksempel som styremedlem eller daglig leder, kan skaffe d-nummer ved søknad til Brønnøysundregistrene, som rekvirerer et d-nummer fra Skatteetaten, jf. forskrift 14. juli 2017 nr. 1201 til folkeregisterloven (folkeregisterforskriften) § 2-2-3 første ledd bokstav c. Det er opp til rekvirenten å avgjøre om fysisk oppmøte kreves for identitetskontroll, jf. folkeregisterforskriften § 2-2-5. Selv om fysisk oppmøte ikke kreves av Brønnøysundregistrene, er det krav om at det skal vedlegges bekreftet kopi av pass eller tilsvarende legitimasjonsdokument, jf. folkeregisterforskriften § 2-2-4 andre ledd andre punktum. I praksis vil det innebære at utenlandske personer må møte opp fysisk, for eksempel på en norsk ambassade, for å få bekreftet kopi av legitimasjonsdokumentet.

Det gjenstår fortsatt arbeid med å utvikle egnede tekniske løsninger for å kunne benytte eID fullt ut over landegrensene. Dette arbeidet forutsetter et teknisk samarbeid mellom EØS-statene.

5.2 Direktivets krav

Digitaliseringsdirektivet artikkel 13b fastsetter at medlemsstatene skal sikre at visse elektroniske identifikasjonsmidler anerkjennes og kan brukes av EØS-borgere ved bruk av elektroniske løsninger som omfattes av digitaliseringsdirektivet.

Medlemsstatene skal gi alle EØS-borgere mulighet til å benytte seg av anerkjente elektroniske identifikasjonsmidler på tvers av EØS, jf. artikkel 13b nr. 1 bokstav a, eller elektroniske identifikasjonsmidler utstedt i en annen medlemsstat som er anerkjent for grenseoverskridende autentisering etter eIDAS-forordningen artikkel 6 nr. 1, jf. artikkel 13b nr. 1 bokstav b. Elektroniske identifikasjonsmidler fra en annen medlemsstat som ikke oppfyller sikkerhetskravene fastsatt i eIDAS-forordningen artikkel 6 nr. 1, kan avvises, jf. digitaliseringsdirektivet artikkel 13b nr. 2.

Det følger av artikkel 13b nr. 3 at medlemsstatene skal offentliggjøre hvilke identifikasjonsmidler de anerkjenner.

Artikkel 13b nr. 4 åpner for at det kan kreves fysisk oppmøte for å bekrefte identitet i det enkelte tilfellet, dersom det er grunnlag for mistanke om identitetsmisbruk. Krav om fysisk oppmøte må begrunnes med grunnlag i det offentliges interesse i å forhindre identitetstyveri og identitetsforfalskning.

5.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotat 21. februar 2022 å ta inn en bestemmelse i foretaksregisterloven § 10-7 som gir hjemmel til å fastsette nærmere regler om identifikasjonsmidler i forskrift. Departementet viste til at det kan vurderes om det skal fastsettes regler om at identifikasjonsmidler fra EØS-stater som ikke oppfyller sikkerhetskravene i eIDAS-forordningen, kan avvises av registrene. I tillegg pekte departementet på at det i forskrift kan reguleres hvordan Foretaksregisteret skal offentliggjøre hvilke identifikasjonsmidler som er anerkjent i Norge. Til slutt vurderte departementet at det burde vurderes å fastsette en unntaksregel som nevnt i artikkel 13b nr. 4, for å forhindre identitetstyveri og forfalskning. Departementet la til grunn at reguleringen vil være av teknisk og detaljert karakter, og derfor egner seg best i forskrift.

I høringsnotatet viste departementet til ulike arbeider med tekniske løsninger knyttet til europeisk eID, som på sikt kan gjøre at slik eID kan brukes for innlogging på norske tjenester, uavhengig av norsk fødselsnummer eller d-nummer.

5.4 Høringsinstansenes syn

Skattedirektoratet skriver at digitaliseringsdirektivet artikkel 13b burde gjennomføres i lov istedenfor forskrift. Skattedirektoratet viser til at Norge allerede har forpliktet seg til å anerkjenne eID fra andre stater, jf. eIDAS-forordningen artikkel 6 nr. 2, og at en detaljert særregulering av det aktuelle forholdet i foretaksregisterforskriften ikke «vil skape den nødvendige rettssikkerheten».

Skattedirektoratet viser også til at høringsnotatet ikke berører problemstillingen knyttet til at visse tillitspersoner skal være oppført med fødselsnummer eller d-nummer i henholdsvis Foretaksregisteret og Enhetsregisteret, men at det ikke er gjort unntak for EØS-borgere.

Til slutt peker Skattedirektoratet på at det fortsatt vil kunne være oppmøteplikt i forbindelse med utstedelse av d-nummer, da utenlandske personer vil måtte fremlegge identifikasjonspapirer ved en norsk utenriksstasjon eller ved bruk av apostille2.

Brønnøysundregistrene skriver at «det er fornuftig å se hen til det pågående arbeidet i Europa på dette området», men at dette ikke vil løse «de umiddelbare utfordringene som oppstår som følge av direktivets krav».

Revisorforeningen fremholder at det er viktig å ha trygge mekanismer for å motvirke misbruk og svik.

5.5 Departementets vurdering

Departementet opprettholder forslaget i høringsnotatet om at det fastsettes en forskriftshjemmel i foretaksregisterloven ny § 10-7, som gir departementet myndighet til å fastsette nærmere regler om anerkjennelse av elektroniske identifikasjonsmidler. Basert på høringssvarene, har departementet justert ordlyden i forslaget for å tydeliggjøre hva det kan gis forskrift om.

Skattedirektoratet har spilt inn at hensynet til rettssikkerhet tilsier at reguleringen av anerkjennelse av elektroniske identifikasjonsmidler etter eIDAS-forordningen bør stå i lov, og ikke i forskrift. Etter departementets vurdering vil en forskriftsregulering kunne sikre likebehandling og forutberegnelighet for brukerne av Brønnøysundregistrenes tjenester på lik linje med lovregulering. I dette tilfellet vil det være snakk om regler om hvordan Brønnøysundregistrene eventuelt skal tilrettelegge for bruk av eID. Et av hensynene bak legalitetsprinsippet er å styrke og gi trygghet for den enkeltes stilling overfor myndighetene. Slike forskriftsbestemmelser vil derfor måtte utformes på en måte som gjør at enhver bruker av Brønnøysundregistrenes tjenester ved pålogging automatisk likebehandles, uavhengig av identifiseringsmetode (forutsatt høyt nok sikkerhetsnivå). De må også utformes i tråd med annet regelverk knyttet til eID. I tillegg vil det kunne være behov for hyppig å oppdatere reguleringer, dersom det kommer endringer i eIDAS-forordningen eller annet tilknyttet regelverk. Departementet opprettholder derfor forslaget om at slike regler fastsettes i forskrift. Forslag til forskriftsbestemmelser vil bli sendt på offentlig høring. Det vil gi næringslivet, offentlige myndigheter og andre berørte aktører mulighet til å komme med innspill om innretningen av forskriftsreguleringen.

Departementet har imidlertid kommet til at forslaget til ordlyd i ny § 10-7 andre punktum bør justeres noe, sammenlignet med høringsforslaget. Justeringen innebærer å tydeliggjøre i bestemmelsen at formålet med forskriftsbestemmelser om elektroniske identifikasjonsmidler skal være at Brønnøysundregistrene som tjenesteeier for eksempel skal kunne regulere nærmere krav til sikkerhetsnivå som er nødvendig for å ta i bruk Brønnøysundregistrenes elektroniske tjenester mv. Hensynet til registerkvalitet og riktige opplysninger tilsier at det kan være behov for å regulere nærmere hvordan utenlandsk eID knyttes opp mot Brønnøysundregistrenes systemer for å sikre at personers identitet er verifisert. Dessuten skal informasjon fra Foretaksregisteret deles med andre europeiske foretaksregistre gjennom BRIS. Også dette krever at Foretaksregisteret avgir riktig informasjon, herunder at identiteten til aktuelle personer er verifisert. Brønnøysundregistrene har også som mål at registervirksomheten skal føre til at registrerte data i størst mulig grad og til enhver tid er sikre og korrekte. Etaten skal ha kvalitet i registerforvaltningen, slik at registerdataene er korrekte, beskyttet mot uautorisert bruk og/eller endring, gjengis korrekt og er tilgjengelig for de som trenger.

Til Skattedirektoratets merknad om at det fortsatt vil kunne være fysisk oppmøteplikt for utenlandske personer, bemerker departementet at direktivet åpner for at myndighetene kan kreve at personer møter fysisk for å dokumentere sin identitet, jf. artikkel 13b nr. 4. I direktivfortalen punkt 21 står følgende om hensynet bak bestemmelsen:

«Where justified by reason of the public interest in preventing identity misuse or alteration, or in ensuring that the rules on legal capacity and on applicants’ authority to represent a company are complied with, Member States should be allowed to take measures, in accordance with national law, which could require the physical presence of the applicant before any authority or person or body mandated under national law to deal with any aspect of online procedures, of the Member State in which the company is to be formed or a branch is to be registered. […] Member States should ensure that any other steps of the procedure can be completed online.»

Artikkel 13b nr. 4 innebærer at det vil kunne kreves fysisk oppmøte for å dokumentere identitet i forbindelse med utstedelse av d-nummer for utenlandske personer. Når d-nummer er utstedt, viser departementet til at alle steg av stiftelses- og registreringsprosesser kan gjøres elektronisk og uten fysisk tilstedeværelse i Norge. Et eventuelt fysisk oppmøte er med andre ord ikke direkte knyttet til stiftelse og registrering av foretak.

Hensynet til registerkvalitet og viktigheten av at riktige opplysninger registreres i Foretaksregisteret, herunder at det er rettmessige rolleinnehavere med riktig identitet som registreres, tilsier etter departementets syn at det bør kunne gis regler som krever fysisk oppmøte for å bekrefte identitet. Slike regler vil kunne hindre identitetsmisbruk. Dette vil være i det offentliges interesse. Samtidig vil det kunne beskytte andre interessenter.

Skattedirektoratet har også en merknad om at problemstillingen knyttet til at visse tillitspersoner skal være oppført med fødselsnummer eller d-nummer i henholdsvis Foretaksregisteret og Enhetsregisteret, men at det ikke er gjort unntak for EØS-borgere. Departementet vil vurdere dette nærmere i arbeidet med å utarbeide forslag til forskriftsbestemmelser om anerkjennelse av elektroniske identifikasjonsmidler. Departementet viser i denne forbindelse til at identifikasjon av fysiske personer er regulert i foretaksregisterforskriften § 15, og at eventuelle endringer i disse reglene vil bli vurdert i den forbindelse.

Departementet vil også knytte noen kommentarer til Brønnøysundregistrenes høringsinnspill om at det er umiddelbare utfordringer knyttet til direktivets krav.

Dagens tekniske løsninger for elektronisk stiftelse og registrering av selskaper i Foretaksregisteret krever elektronisk identifisering av vedkommende som ønsker selskapet stiftet og registrert. Som nevnt under punkt 5.1 kan ikke utenlandske personer benytte seg av ID-porten og Altinn uten at eID er knyttet til et norsk fødselsnummer eller d-nummer. Ved gjennomføringen av digitaliseringsdirektivet forutsetter departementet at det på sikt vil bli utviklet tekniske løsninger som gjør at europeisk eID kan benyttes, uavhengig av norsk fødselsnummer eller d-nummer. Departementet viser her til at eIDAS-forordningen er under revisjon i EU, og at det foreligger forslag fra Europakommisjonen om en europeisk eID (en lommebokløsning), der hensikten er å løse de utfordringene man har møtt på hittil i arbeidet med europeisk eID. Disse mekanismene kan bidra til å sikre tilgang til sikker verifisering av utenlandske personers identitet.

Departementet viser også til «Nasjonal strategi for eID i offentlig sektor», som var på offentlig høring sommeren 2022. I strategien punkt 3.1 er forholdet til utenlandske personer uten norsk fødselsnummer eller d-nummer problematisert:

«Mangelen på tilgang til det digitale Norge med eID for EØS-borgere med d-nummer kan være til hinder for fri bevegelse. ‘MinID Passport’ er et viktig steg på veien for å løse disse utfordringene, men er ikke en permanent løsning for behovene til EØS-borgere. eIDAS-noden i Norge har gjort det mulig å benytte en eID fra andre europeiske land til å logge seg på til digitale tjenester i Norge. Grunnet utfordringer knyttet til regelverk og tekniske løsninger for å koble utenlandske identiteter til identiteter i Folkeregisteret, er dette imidlertid ikke tatt i bruk av tjenesteeiere. Når identitetsmatching er på plass, vil det kunne bli enklere for en EØS-borger å benytte en eID fra sitt hjemland for tilgang til digitale offentlige tjenester i Norge.»

Det ovennevnte viser at det er behov for at de arbeidene som allerede er iverksatt eller under planlegging, må ferdigstilles før problematikken knyttet til utenlandske personers bruk av eID i Norge kan løses. Etter departementets syn vil en forskriftshjemmel være en hensiktsmessig måte å legge til rette for at det raskt kan fastsettes eventuelle tekniske regler når ovennevnte arbeider, er ferdigstilt.

Departementet fastholder etter dette vurderingen om at regulering av bruk og anerkjennelse av elektroniske identifikasjonsmidler vil være av teknisk og detaljert karakter, og derfor egner seg best i forskriftsbestemmelser gitt med hjemmel i ny § 10-7. Med hjemmel i bestemmelsen vil det fastsettes forskrifter som gjennomfører digitaliseringsdirektivet artikkel 13b, i den grad det er behov for særregulering for adgang og bruk av Brønnøysundregistrenes elektroniske tjenester. Forslag til forskriftsbestemmelser vil bli sendt på offentlig høring.

Se forslaget til foretaksregisterloven ny § 10-7 og merknaden til bestemmelsen. Forslaget innebærer at nåværende § 10-7 i foretaksregisterloven om lovens anvendelse på Svalbard og Jan Mayen må flyttes og blir ny § 10-8. Det foreslås ingen endringer i den paragrafen.