BankID eller Freja eID: räckvidd möter ett starkare reservspår

BankID är det praktiska förstahandsvalet för många bankärenden och andra vardagstjänster. Freja+ kan fungera som en separat reserv för en e-tjänst som erbjuder båda alternativen, men kan inte ersätta BankID hos en mottagare som bara tar emot BankID. Det är alltså mottagarens inloggningsval, inte vilken app du har installerat, som avgör om Freja fungerar för ärendet.

För den som saknar en svensk bankrelation kan Freja vara en väg till e-legitimation utan att en bank utfärdar den. Det förutsätter att personen kan styrka sin identitet och uppfylla kraven för den nivå som tjänsten kräver. Den som redan har BankID får störst nytta av Freja+ som reserv om kontot är aktiverat och de viktiga e-tjänsterna faktiskt tar emot det.

Räckvidden: stor skillnad i användning, men äldre siffror

Den statliga betalningsutredningen redovisade att Freja eID+ hade 8,3 miljoner identifieringar och underskrifter under 2022, motsvarande 0,12 procent av BankID:s transaktionsvolym samma år. Det är ett mått på användning vid den tiden, inte en aktuell förteckning över anslutna tjänster. Siffran bör därför inte användas som svar på om Freja fungerar i ett visst ärende i dag.

Den praktiska skillnaden framträder när en tjänst kräver identifiering. En bank kan erbjuda BankID för inloggning och signering utan att erbjuda Freja som alternativ i samma flöde. En offentlig e-tjänst som erbjuder båda kan däremot låta användaren välja. Samma person kan följaktligen behöva BankID för ett bankärende och ändå ha nytta av Freja+ för en myndighetstjänst.

En reserv har dessutom olika värde vid olika slags avbrott. Om problemet gäller BankID:s inloggning kan ett fungerande Freja-alternativ hos mottagaren ge en annan väg in. Om själva e-tjänsten inte är tillgänglig hjälper inget byte av e-legitimation. Därför är två utfärdare en mer precis beskrivning av reserven än två appar på samma telefon.

Myndigheter: anslutning avgör vad användaren får välja

För offentliga aktörer inom auktorisationssystemet anger Diggs tekniska anvisningar att e-legitimationer som ingår i systemet och uppfyller e-tjänstens krav på tillitsnivå ska kunna erbjudas. Aktören behöver genomföra och testa sin tekniska anslutning. När den är klar ska användaren kunna välja mellan de alternativ som aktören ska erbjuda.

Detta gör skillnad mellan ett regelverk och en färdig inloggningssida. Att BankID och Freja+ finns inom systemet innebär inte i sig att varje enskild offentlig tjänst redan visar båda valen. För ett konkret ärende är tjänstens egen inloggning den avgörande uppgiften. Kravet på tillitsnivå spelar också roll: mottagaren måste kunna ta emot den legitimation och den identifiering som är avsedd för ärendet.

För myndigheter och företag är acceptans två skilda beslut. Den ena frågan är om organisationen accepterar Freja+ för digital inloggning eller underskrift. Den andra är om en fysisk mottagare godtar ett digitalt id-kort som visas upp i mobilen. Ett ja på den ena frågan ger inget automatiskt svar på den andra.

Utfärdande: Frejas nivåer styr vad kontot kan användas till

Frejas beskrivning av kontonivåerna skiljer mellan registrering med verifierad e-postadress, identitet verifierad med giltig id-handling och Freja+. På nivån med id-handling ingår ett foto och en kontroll av att den sökande är en levande person. Ett konto som bara registrerats med e-post räcker därför inte för att dra slutsatsen att användaren kan logga in i en offentlig tjänst som kräver starkare identifiering.

Freja+ är tillgängligt för personer med svenskt personnummer och för vissa personer med styrkt samordningsnummer. Den som har svenskt personnummer och använder pass eller svenskt nationellt id-kort får enligt Freja i de flesta fall Plus direkt efter identitetskontrollen. Den som registrerar sig med svenskt körkort eller Skatteverkets id-kort behöver en fysisk id-kontroll för Plus, om personen inte kompletterar med en godtagbar biometrisk id-handling. För styrkt samordningsnummer ingår ytterligare en säkerhetskod som skickas till användarens adress.

Detta är den viktiga öppningen för någon utan svensk bankrelation: Freja utfärdas genom en egen identitetsprocess. Möjligheten är ändå beroende av handlingarna, registreringsuppgifterna och den aktuella e-tjänstens regler. En person med samordningsnummer kan exempelvis ha Freja+ men möta en tjänst som bara kan hantera användare med svenskt personnummer. Tillitsnivå, kontonivå och tjänstens förmåga att behandla användarens uppgifter måste därför hållas isär.

Digitala id-kort: vad fungerar vid disken?

För att aktivera BankID:s digitala id-kort krävs enligt BankID:s instruktion ett giltigt svenskt pass eller nationellt id-kort; körkort fungerar inte. Användaren identifierar sig i BankID-appen innan kortet visas upp. Aktiveringskravet gäller id-kortet i appen och ska inte förväxlas med bankens beslut om att utfärda själva e-legitimationen.

Frejas information om mobillegitimation anger att ett digitalt id-kort skapas när identiteten har verifierats med foto och giltig id-handling. Freja nämner bland andra ATG, PostNord, Kronans Apotek och Stadium som mottagare där mobillegitimationen kan visas. Exemplen gäller identifiering hos mottagaren och säger inte att samma företag erbjuder Freja för alla digitala inloggningar eller betalningar.

Vid en disk avgör mottagarens rutiner vilket id-kort personalen kan kontrollera. Vid digital inloggning avgör tjänstens anslutning och krav på identifiering. Det gör id-korten användbara i en annan situation än e-legitimationernas inloggningsfunktion, även om båda finns i respektive app.

Vilket alternativ passar ärendet?

• Bankärenden och betalningar: Utgå från bankens egna inloggnings- och signeringsalternativ. Behövs BankID där är Freja+ ingen ersättning för just det flödet, oavsett om Freja fungerar hos andra mottagare.
• Myndighetsärenden: Titta på alternativen i den aktuella e-tjänsten. Visas både BankID och Freja+ kan den senare ge en separat inloggningsväg, förutsatt att ditt Freja-konto uppfyller tjänstens krav.
• Legitimering i butik eller hos ombud: Frågan gäller vilket digitalt id-kort mottagaren tar emot och kan kontrollera. Stöd för ett mobilkort säger inget om företagets digitala kontoinloggning.
• Utan svensk bankrelation: Frejas utfärdande är ett möjligt spår om identitet och övriga uppgifter kan verifieras på rätt nivå. Tillgång till Freja ger däremot inte tillgång till tjänster som enbart erbjuder BankID.
• Reservåtkomst: Freja+ är mest användbart när det redan är aktiverat och accepterat av de tjänster där du behöver en alternativ inloggning. Reserven är knuten till dessa tjänster, inte till alla ärenden som annars använder BankID.

Läs också:

• Azure OpenAI eller direkt API: dataplaceringen kan kosta 10 procent