EU’s store forsøg på at give alle borgere en fælles digital pung til pas, kørekort og andre officielle papirer er stødt ind i sin første rigtige krise. Ifølge en rapport fra Brussels Signal, offentliggjort 16. september 2026, er udrulningen af EU Digital Identity Wallet (EUDI Wallet) bremset i 24 af de 27 medlemslande, samtidig med at privatlivsorganisationer anklager EU-Kommissionen for at udvande de tekniske garantier, der skulle forhindre tegnebogen i at blive et overvågningsredskab. For danske brugere, der allerede er vant til digital legitimation gennem MitID, er sagen særligt relevant: den samme logik, de samme svagheder og de samme politiske kompromiser venter forude, når den europæiske løsning skal kobles på danske systemer.
Sagen rammer kernen af et spørgsmål, databeskyttelseseksperter har rejst siden 2024: kan man bygge en digital identitet, der virker i alle 27 lande, uden at skabe et nyt overvågningslag oven på borgernes liv? Denne artikel gennemgår, hvad der er sket, hvorfor det er gået i stå, og hvad det kommer til at betyde for danske myndigheder, virksomheder og almindelige brugere i de kommende måneder.
Hvad er EU’s digitale ID-tegnebog helt konkret?
EU Digital Identity Wallet er en app, borgere i alle medlemslande skal kunne downloade til deres smartphone, og som skal samle officielle dokumenter et sted: pas, kørekort, uddannelsesbeviser, sundhedsdata og snart også betalingsoplysninger. Retsgrundlaget er den reviderede eIDAS 2.0-forordning, som EU vedtog i 2024, og som forpligter alle medlemslande til at stille en fungerende tegnebog til rådighed for deres borgere. Kommissionens erklærede mål er, at 80 procent af EU’s borgere skal kunne bruge en digital identitet senest i 2030, ifølge Kommissionens egen beskrivelse af projektet.
Tanken er enkel på papiret. I stedet for at vise sit fysiske kørekort for at bevise sin alder i en netbutik, åbner brugeren appen og sender kun det nødvendige bevis uden at afsløre navn, adresse eller cpr-nummer. Det er den samme kerneidé, som ligger bag Danmarks eget MitID, bare hævet til europæisk skala og med krav om, at systemerne skal kunne tale sammen tværs af grænser. Problemet er, at et system, der skal virke i 27 forskellige retssystemer, tekniske infrastrukturer og politiske kulturer, er langt sværere at få til at holde de samme lovord i praksis end i lovtekst.
Tidslinjen: fra eIDAS 2.0 i 2024 til krisen i september 2026
eIDAS 2.0 blev vedtaget i 2024 efter flere års forhandling om, hvordan EU skulle løse det problem, den oprindelige eIDAS-forordning fra 2014 aldrig for alvor kom i mål med: at skabe én digital identitet, der reelt blev brugt over grænser. Kravet var klart, medlemslandene skulle have en fungerende tegnebog klar i løbet af 2026. Gennem foråret og sommeren 2026 arbejdede Kommissionen på de tekniske “implementing acts”, de detaljerede regler, der fastlægger, hvordan de brede principper i selve forordningen skal omsættes i kode og infrastruktur.
Det er netop i de tekniske detaljer, kritikken er opstået. I midten af september 2026 begyndte flere medier, blandt andet Euronews, at rapportere, at rettighedsorganisationer havde fundet konkrete ændringer i udkastene til de tekniske regler, som efter deres vurdering svækker de privatlivsgarantier, forordningen selv lover. Kort efter fulgte rapporten fra Brussels Signal om, at 24 af de 27 medlemslande var gået i stå med deres nationale udrulning, mens de venter på klarhed om de endelige tekniske krav.
De tre garantier, der skal forhindre overvågning
Hele projektets legitimitet hænger på tre tekniske principper, Kommissionen har bygget ind i regelsættet fra starten. Det første er selective disclosure, selektiv videregivelse: brugeren skal kunne bevise et enkelt faktum, for eksempel at være over 18 år, uden at afgive resten af sin identitet. Det andet er unlinkability, uafhængighed mellem transaktioner, som skal forhindre, at to forskellige brug af tegnebogen kan kobles sammen og afsløre et bevægelsesmønster. Det tredje er issuer blindness, at den myndighed, der har udstedt et bevis, ikke bagefter kan se, hvor eller hvornår borgeren har brugt det.
Den Europæiske Tilsynsførende for Databeskyttelse har tidligere beskrevet ideen bag systemet som en form for godkendelse uden identifikation. En tjenesteudbyder skal kunne stole på et bevis uden at få adgang til hele personens identitet, som Euronews beskriver det i sin dækning fra 17. september 2026. Det er en elegant konstruktion i teorien. Spørgsmålet, der nu splitter Bruxelles, er, om den overlever kontakten med virkelighedens servere, logfiler og myndighedskrav.
Sådan bliver garantierne udvandet, ifølge kritikerne
European Digital Rights (EDRi) og den østrigske søsterorganisation epicenter.works har i september 2026 rejst konkret kritik af, hvordan Kommissionen har formuleret de tekniske regler. Deres pointe er ikke, at principperne er forsvundet fra lovteksten, men at de bliver udhulet i de tekniske “implementing acts”, som vedtages uden samme grad af parlamentarisk kontrol som selve forordningen. Det gør det muligt at ændre den praktiske betydning af et løfte, uden at et folkevalgt parlament for alvor får set det igennem, ifølge Brussels Signals gennemgang af sagen.
Spærringsmekanismen, der kun “hindrer” frem for at forhindre
Et af de konkrete eksempler handler om spærringsmekanismen (revocation), altså den funktion, der bruges, hvis et bevis skal trækkes tilbage eller opdateres. I et tidligere udkast skulle mekanismen forhindre, at systemet kunne kobles sammen på tværs af brug. I det seneste udkast er kravet ændret til, at mekanismen blot skal hindre en sådan kobling, ikke forhindre den fuldstændigt. Det er en lille sproglig ændring med stor teknisk betydning. Den åbner for, at en tilstrækkeligt velfinansieret aktør stadig kan spore mønstre, systemet ellers var designet til at skjule.
Ansigtsbilledet, der kom med i det obligatoriske datasæt
Den anden konkrete ændring er, at et ansigtsbillede nu er tilføjet til det minimumsdatasæt, hver enkelt tegnebog skal indeholde. Biometriske data er per definition sværere at udskifte end et password eller et cpr-nummer. Kritikere peger på, at et centralt krav om ansigtsbilleder i alle 27 landes systemer skaber en langt større og mere attraktiv målskive for både statslige aktører og kriminelle, end hvis dataen forblev valgfri eller decentral.
24 ud af 27 lande sætter tempoet ned
Det mest konkrete og målbare tal i sagen er, at 24 af EU’s 27 medlemslande har sat deres nationale implementering på pause, mens de venter på, at Bruxelles lander de tekniske regler endeligt. Kun tre lande er dermed reelt i gang med en fuld udrulning efter planen. Det er et usædvanligt højt tal for et projekt, der egentlig skulle være klar i løbet af 2026, og det sender et klart signal om, at medlemslandenes tekniske myndigheder ikke har tillid til, at de nuværende udkast er det endelige billede.
Konsekvensen er en form for stilstand, hvor ingen part vil investere fuldt ud i en infrastruktur, der kan blive ændret igen af den næste forhandlingsrunde. For borgere betyder det i praksis, at de brede løfter om en samlet digital tegnebog til alt fra banklogin til sundhedsjournal rykker længere ud i horisonten, mens juristerne i Bruxelles forhandler de sidste detaljer.
Tabel: de tre garantier og deres svage punkter i praksis
| Garanti | Hvad den skal sikre | Svaghed rapporteret september 2026 |
|---|---|---|
| Selective disclosure | Brugeren viser kun ét faktum, for eksempel alder over 18 | Kræver stadig, at et fuldt datasæt findes centralt hos udsteder |
| Unlinkability | To brug af tegnebogen kan ikke kobles sammen | Spærringsmekanisme skal nu kun “hindre”, ikke forhindre kobling |
| Issuer blindness | Udsteder ser ikke, hvor eller hvornår beviset bruges | Servere kan logge tidsstempler og kryptografiske nøgler, der afslører mønstre |
| Minimum datasæt | Kun nødvendige data skal indgå i tegnebogen | Ansigtsbillede er tilføjet som obligatorisk felt i alle lande |
Danmark, MitID og den nordiske sammenhæng
Danmark er sjovt placeret i denne debat, fordi landet allerede har en af Europas mest udbredte digitale legitimationsløsninger i MitID. Det giver danske myndigheder et forspring i erfaring, men det betyder også, at de danske systemer skal kunne kobles sammen med EU-tegnebogen uden at give køb på det tillidsniveau, danskerne allerede har til MitID. MitID er allerede i gang med at blive testet som digitalt aldersbevis i flere EU-lande. Det viser, at dansk digital infrastruktur reelt indgår som byggesten i den bredere europæiske dagsorden, snarere end blot at være tilskuer til den.
Det skaber en dobbelt interesse for danske myndigheder. På den ene side vil en velfungerende EU-tegnebog kunne gøre det lettere for danskere at bruge deres legitimation i udlandet. På den anden side er der en reel risiko for, at svagheder i den europæiske ramme, som de nu diskuterede spærringsmekanismer, kan smitte af på systemer, danskerne allerede stoler fuldt ud på. Jo tættere MitID kobles til den fælleseuropæiske infrastruktur, jo mere afhænger dansk digital tillid af beslutninger, der reelt tages i Bruxelles.
Datatilsynet arbejder allerede på flere fronter samtidig
Mens forhandlingerne om tegnebogen kører, har det danske Datatilsynet en fyldt kalender i øvrigt. Ifølge en opdatering fra advokatfirmaet Gibson Dunn fra september 2026 følger Datatilsynet aktivt med i, hvordan den amerikanske højesteretsdom i sagen Trump mod Slaughter kan påvirke gyldigheden af EU-US Data Privacy Framework, ordningen der i dag holder databehandling mellem EU og amerikanske virksomheder lovlig. Det er relevant for tegnebogssagen, fordi enhver europæisk digital identitetsløsning i sidste ende skal kunne stå distancen, hvis internationale dataoverførselsregler igen udfordres i retten.
Samtidig har Datatilsynet i 2026 markeret cookie-samtykke som en af sine tilsynsprioriteter for året og har i flere konkrete sager taget stilling til, om virksomheder har efterlevet borgeres ret til indsigt korrekt. Et eksempel er en sag mod Vend Marketplaces AS, hvor Datatilsynet endte med at afvise at gå videre med en klage, fordi den norske tilsynsmyndighed var udpeget som ledende myndighed. Disse sager viser en tilsynsmyndighed, der løbende håndterer komplekse, grænseoverskridende spørgsmål, netop den type kompleksitet EU-tegnebogen vil multiplicere, når den ruller ud fuldt ud.
Historisk kontekst: fra eIDAS 1.0’s fiasko til eIDAS 2.0’s ambition
Det er værd at huske, at dette ikke er EU’s første forsøg. Den oprindelige eIDAS-forordning fra 2014 skulle allerede dengang gøre det muligt at bruge national digital legitimation i andre EU-lande. I praksis blev den brugt af en lille del af befolkningen, fordi de nationale systemer var teknisk uforenelige, og fordi der ikke var noget presserende behov, der tvang borgere til at bruge den grænseoverskridende funktion. eIDAS 2.0 er et forsøg på at rette op på den fiasko med en langt mere ambitiøs, brugerdrevet app-model og et hårdt deadline-krav til medlemslandene.
Samtidig har danske domstole i årevis skærpet kravene til, hvordan personoplysninger skal behandles, når de først er samlet et sted. Den danske Højesteret hævede i august 2026 en kompensation til 30.000 kroner i en sag om videregivelse af følsomme psykiatriske oplysninger til en privatperson, ifølge en gennemgang af dansk databeskyttelsesret fra RecordingLaw. Sagen handlede ikke om EU-tegnebogen, men den illustrerer en dansk retspraksis, der tager alvorligt, hvad det betyder, når følsomme data slipper ud af de rigtige hænder, netop den type data EU-tegnebogen nu skal samle centralt for hundredvis af millioner mennesker.
Tabel: digital identitet i Danmark og EU, status september 2026
| System | Type | Status september 2026 |
|---|---|---|
| MitID (Danmark) | Nationalt eID, allerede i drift | Bruges dagligt af danskere, testes som aldersbevis i flere EU-lande |
| EU Digital Identity Wallet | Fælleseuropæisk ramme under eIDAS 2.0 | Udrulning bremset i 24 af 27 medlemslande |
| Selective disclosure-funktion | Teknisk privatlivsgaranti i tegnebogen | Under politisk forhandling, kritiseret for at være udvandet |
| eIDAS 1.0 (2014-udgaven) | Forgænger til nuværende regelsæt | Reelt aldrig bredt anvendt, erstattet af eIDAS 2.0 |
| Datatilsynets 2026-prioriteter | Nationalt tilsyn, cookies og indsigtsret | Aktiv sagsbehandling, følger også amerikansk retspraksis |
Markedet: hvem bygger infrastrukturen, og hvem betaler prisen?
Bag kulisserne er der et helt marked af leverandører, der bygger den tekniske infrastruktur, tegnebogen skal køre på. Det tyske statslige trykkeri Bundesdruckerei, som traditionelt har lavet pas og andre officielle dokumenter, positionerer sig som en af de aktører, der bygger sikker digital identifikationsteknologi til det europæiske marked. Den type virksomheder står til at vinde store, langvarige offentlige kontrakter, hvis tegnebogen ender med at blive den standard, alle 27 lande bruger.
Men usikkerheden om de tekniske regler har også en pris. Så længe reglerne kan ændre sig igen, vil banker, teleselskaber, forsikringsselskaber og offentlige myndigheder, der alle skal fungere som “relying parties” (parter, der stoler på og verificerer tegnebogens beviser), holde tilbage med investeringer i integration. Det skaber en gråzone, hvor kun de mest risikovillige aktører bygger videre, mens resten venter på et endeligt regelsæt. For danske it-virksomheder, der leverer løsninger til det offentlige, betyder det i praksis, at store dele af 2026 og sandsynligvis starten af 2027 går med at afklare krav, i stedet for at bygge færdige produkter.
Konkurrencen: EU-tegnebogen mod nationale løsninger og techgiganter
EU-tegnebogen konkurrerer ikke kun med sig selv og sin egen tidsplan. Den konkurrerer også med etablerede nationale løsninger som MitID i Danmark, BankID i Sverige og Norge og lignende systemer i Tyskland og Frankrig, som allerede har opbygget brugertillid over mange år. Hvis EU-tegnebogen ender med at blive langsommere, mindre brugervenlig eller opfattet som mindre sikker end de nationale alternativer, risikerer den at ende som endnu et lag oven på en infrastruktur, borgerne allerede har, i stedet for at erstatte den.
Samtidig ligger der en stiltiende konkurrence med de store amerikanske techplatforme, Apple og Google, der begge har egne systemer til digitale id-kort og kørekort i deres wallet-apps i flere amerikanske stater. Hvis EU ikke får sin egen løsning til at virke smidigt, er der en åbenlys risiko for, at borgere i stedet vænner sig til at opbevare officielle dokumenter i platforme, der er underlagt amerikansk, ikke europæisk, jurisdiktion. Det er en del af den bredere digitale suverænitetsdagsorden, flere EU-lande, inklusive Danmark, har diskuteret intensivt i 2026.
Hvad betyder det for virksomheder og udviklere?
For virksomheder, der arbejder med identitetsverificering, KYC-processer i banksektoren eller aldersbekræftelse i onlinehandel, betyder forsinkelsen både en risiko og en mulighed. Risikoen er, at man bygger integrationer mod et regelsæt, der ændrer sig under hænderne. Muligheden er, at de virksomheder, der forstår de tekniske detaljer tidligt, kan positionere sig som foretrukne leverandører, når de 24 lande til sidst går videre med deres udrulning.
Udviklere, der arbejder med systemer, der skal verificere tegnebogens beviser, bør især holde øje med den endelige udformning af spærringsmekanismen og kravene til logning af tidsstempler og kryptografiske nøgler. Netop disse to punkter er dem, kritikerne peger på som de steder, hvor et system, der på papiret er anonymt, i praksis kan efterlade et spor, myndigheder eller private aktører senere kan følge. Det er ikke et teoretisk problem, det er et konkret arkitekturvalg, som endnu ikke er endeligt afgjort i september 2026.
Fem forudsigelser for tegnebogen i 2027
- De tekniske regler bliver næppe endeligt låst før tidligt 2027, hvilket skubber en fuld udrulning i alle 27 lande yderligere ud over den oprindelige 2026-tidsplan.
- Flere af de 24 lande, der nu holder pause, vil sandsynligvis kræve skriftlige garantier om revocation-mekanismen, før de genoptager deres nationale implementering.
- Danmark vil trykke på for, at MitID’s eksisterende brugerbase kan overføres til EU-tegnebogen med minimal friktion, snarere end at bygge en helt ny brugeroplevelse fra bunden.
- Rettighedsorganisationer som EDRi vil fortsætte med at lægge pres på, at fremtidige tekniske ændringer skal underlægges den samme offentlige høring som selve forordningen, ikke kun interne Kommissions-processer.
- Interessen fra identitetsverificerings- og KYC-branchen vil stige gradvist gennem 2027, i takt med at de tekniske krav bliver mere stabile og investeringssikre.
Ofte stillede spørgsmål
Hvad er EU Digital Identity Wallet?
Det er en app, medlemslandene under eIDAS 2.0-forordningen skal stille til rådighed for deres borgere, og som skal samle officielle dokumenter som pas, kørekort og uddannelsesbeviser digitalt på en smartphone, gyldig i alle 27 EU-lande.
Er tegnebogen obligatorisk for danskere?
Nej. Medlemslandene er forpligtet til at udbyde løsningen, men den enkelte borger vælger selv, om vedkommende vil bruge den, akkurat som med MitID i dag.
Hvorfor er udrulningen bremset i 24 lande?
Fordi medlemslandenes tekniske myndigheder afventer klarhed om de endelige tekniske regler for tegnebogen, efter at privatlivsorganisationer har rejst kritik af ændringer i udkastene til reglerne, ifølge rapportering fra Brussels Signal fra september 2026.
Hvad betyder selective disclosure i praksis?
Det betyder, at brugeren kan bevise et enkelt faktum, for eksempel at være over 18 år, uden at afgive resten af sin identitet, som navn, adresse eller cpr-nummer, til den tjeneste der spørger.
Kan EU-tegnebogen bruges til at spore borgere?
Det er netop det, kritikere som EDRi og epicenter.works advarer om. De peger på, at ændrede krav til spærringsmekanismen og mulig logning af tidsstempler og kryptografiske nøgler kan gøre det teknisk muligt at spore, hvor og hvornår et bevis bruges, selv om det ikke var hensigten med det oprindelige design.
Hvordan hænger MitID sammen med EU-tegnebogen?
MitID er Danmarks nationale digitale legitimationsløsning og forventes at blive koblet til den europæiske ramme, så danskere kan bruge deres eksisterende legitimation i andre EU-lande. MitID testes allerede som aldersbevis i flere EU-lande.
Hvornår skal tegnebogen være klar i alle EU-lande?
eIDAS 2.0-forordningen satte oprindeligt 2026 som mål for, at alle medlemslande skulle have en fungerende løsning, men forsinkelsen i 24 af 27 lande gør det usikkert, om den tidsplan holder.
Hvem fører tilsyn med, at tegnebogen efterlever GDPR?
De nationale databeskyttelsesmyndigheder, i Danmarks tilfælde Datatilsynet, fører tilsyn sammen med Det Europæiske Databeskyttelsesråd (EDPB), som løbende offentliggør afgørelser om, hvordan konkrete sager om borgeres rettigheder skal håndteres på tværs af landegrænser. Se også Europa-Kommissionens officielle projektside for tegnebogen.
