挪威数字身份管理：一场被忽视的系统性危机

挪威奥斯陆大学私法系教授 Marte Eidsand Kjørven 及其领导的 SODI 项目（Societal Security and Digital Identities，社会安全与数字身份）发布了一份极具冲击力的报告。该报告指出，尽管挪威在数字身份管理方面取得了显著成就，但其治理模式存在严重缺陷，甚至被形容为“灾难（Catastrophe）”。

Kjørven 教授因这项工作获得了 2024 年的法治奖（Rule of Law Award / Rettssikkerhetsprisen）。以下是对该资讯的深度解读。

背景

挪威的电子身份解决方案（如 BankID、Buypass 和 Comfides）已成为社会运行的基石。这些被称为“万能钥匙”的工具，让大部分人口能够便捷地访问银行、税务、医疗保健以及 Altinn（政府服务门户）等关键公共服务。

然而，这种快速数字化的背后隐藏着巨大的风险。SODI 项目是一个由挪威和爱沙尼亚四家研究机构合作，并联合挪威税务局（Skatteetaten）等公私合作伙伴共同参与的跨学科项目，始于 2021 年，由挪威研究委员会资助。

项目最终报告对挪威数字身份管理的公共治理提出了严厉批评，指出当前的法律框架未能充分应对数字化带来的严重后果，导致责任推诿、法律保护缺失、人权侵犯以及民主和国家安全的挑战。

核心内容

1. “万能钥匙”的双刃剑效应

挪威的数字身份生态系统由多个行为者、技术解决方案和法律法规组成，运作复杂。虽然 BankID 等方案极大地促进了公私部门的数字化，但也带来了社会排斥、身份滥用和法律保护失效等严峻挑战。

Kjørven 教授指出，旨在确保负责任数字化的法律规则，并未充分考虑到其引发的严重社会后果。这种治理缺失导致了责任分散、协调失败以及缺乏民主锚点。

2. 数字排斥与社会边缘化

当前体系的一个核心矛盾是：部分群体享受数字化红利，而弱势群体则承担成本和劣势。

• 弱势群体困境：许多老年人和残障人士在没有协助的情况下无法使用电子身份解决方案。
• 案例：Bendik：报告讲述了一个患有唐氏综合症的年轻人 Bendik 的故事。由于诊断结果，他被拒绝发放 BankID，从而失去了访问数字公共服务和参与社会生活的权利。
• 政府缺位：挪威当局将决定谁有权访问数字公共服务、谁将被排除在外的权力，留给了私人行为者。这导致那些没有“万能钥匙”的人被剥夺了权力，甚至被“送回过去”，无法享受与他人相同的基本服务，这在人权视角下是一个极其严重的问题。

3. 金融犯罪与司法不公

数字身份被盗用或滥用导致了严重的后果，包括个人财务崩溃、刑事起诉甚至司法误判。

• 大规模诈骗：钓鱼攻击是犯罪分子获取用户名、密码和信用卡信息的常用手段。去年，针对 DNB 客户的诈骗尝试金额超过 33 亿挪威克朗（NOK），同比增长 30%。虽然银行阻止了 30 亿挪威克朗的损失，但仍有大量资金流入犯罪团伙。
• 身份盗用的连锁反应：犯罪分子窃取电子身份后，可以操纵公共登记信息、申请贷款、转移资金、设立公司并骗取公共福利。这不仅造成个人和企业巨大损失，还导致数百万福利国家资金流向有组织犯罪，加剧了整体犯罪率。
• 熟人诈骗与法律困境：亲密关系内的诈骗也不罕见。最高法院正在审理一起案件：一名男子因心理健康问题将 BankID 交给前伴侣以协助日常事务，结果对方滥用权限申请了多笔大额消费贷款并被定罪。然而，信贷公司起诉该男子要求赔偿损失。最高法院需裁定：在受害者身份被盗用的情况下，自愿交出 BankID 是否意味着他必须承担法律责任。
• 安全漏洞：BankID 代码设备多年来通过邮政系统寄送给客户，且在领取时未进行任何身份验证，这为盗窃提供了便利。

4. 缺乏国家层面的整体治理

报告认为，这些挑战的根源在于挪威缺乏数字身份管理的整体战略和治理。决策过程不透明，利益相关者参与不足。报告提出了一系列目标和措施，建议以更整体的方式管理这一领域，其形式类似于挪威官方报告（NOU）。

关键要点

• 定性严厉：SODI 项目报告直接将挪威数字身份管理的公共治理现状描述为“灾难”，指出存在责任推诿、法律保护缺失、人权侵犯及对民主和国家安全的威胁。
• 社会排斥严重：私人公司决定谁拥有数字身份，导致老年人、残障人士等弱势群体被排除在基本社会服务之外，造成实质性的社会不公和人权问题。
• 金融安全漏洞巨大：针对 BankID 等工具的诈骗金额巨大（仅 DNB 去年涉及超 33 亿 NOK），且身份盗用可导致受害者面临刑事指控和财务破产。
• 法律界定模糊：在“自愿交出身份凭证”导致的诈骗案件中，法律责任归属尚存争议，最高法院的判决将具有标志性意义。
• 治理结构碎片化：缺乏国家层面的整体战略、协调机制和民主锚点，导致决策不透明，多方责任主体未能形成有效合力。
• 官方认可批评：挪威税务局（Skatteetaten）及其董事 Marianne Henriksen 认为 SODI 项目的批评是建设性且合理的，该项目基于与税务局在国民登记册（Folkeregisteret）所有权角色上的合作。

意义与影响

SODI 项目的报告不仅是对挪威现有数字身份体系的警钟，也为全球其他依赖私营部门提供数字身份服务的国家提供了重要参考。

1. 政策转向的催化剂：报告建议的措施类似于官方报告（NOU），暗示挪威政府可能需要重新审视并加强国家对数字身份管理的监管力度，从“放任市场”转向“强化公共治理”。
2. 人权与数字权利的重新定义：报告强调了在高度数字化的社会中，获得数字身份已不再是便利问题，而是基本人权和社会参与的前提。忽视这一点将导致系统性的社会排斥。
3. 法律框架的重塑需求：随着 AI 和数字技术带来的新型诈骗和身份滥用，现有的法律框架在责任认定、受害者保护和预防机制上显得捉襟见肘。最高法院对 BankID 案件的裁决可能成为确立数字身份法律责任边界的关键判例。
4. 公众意识的觉醒：通过媒体广泛报道的诈骗案例和专家解读，公众对数字身份安全风险的认知正在提高，这将推动社会对更安全的身份验证机制和更完善的法律保护的需求。

总之，挪威的数字身份管理正处于一个关键的十字路口。如何在保持数字化效率的同时，确保包容性、安全性和法治，将是未来政策制定者、技术提供商和法律界共同面临的重大挑战。