En digital konto består af mere end et brugernavn og en adgangskode. Bag login ligger beslutninger om, hvordan en person identificeres, hvilke oplysninger der registreres, og hvem der får adgang til dem. På et reguleret spillemarked er disse beslutninger en del af tjenestens grundlæggende infrastruktur, ikke blot en funktion, som bliver tilføjet efter lanceringen.

For den, der undersøger online casino danmark, er det derfor relevant at forstå forskellen mellem en flot grænseflade og et dokumenterbart kontoforløb. Den synlige formular kan være enkel, mens systemerne bag den håndterer flere kontrolpunkter. Teknisk enkelhed for brugeren og organisatorisk enkelhed for virksomheden er ikke nødvendigvis det samme.

Identifikation og login løser forskellige opgaver

Identifikation handler om, hvem personen er. Et efterfølgende login handler om, at den rigtige person får adgang til den rette konto. I en teknisk beskrivelse bør de to funktioner holdes adskilt, også selv om brugeren møder dem som dele af ét samlet forløb. Ellers kan det blive uklart, hvad en kontrol faktisk dokumenterer.

Spillemyndighedens krav om elektronisk identifikation beskriver, at systemet skal kunne anvende en dansk identifikationsordning eller en anden godkendt løsning. Ved brug af MitID angiver myndigheden et bestemt sikringsniveau. Kravet vedrører dermed den anvendte løsning, ikke blot om virksomheden har bedt brugeren skrive et navn i en formular.

Kontroller skal kunne forbindes med kontoen

Et identitetsresultat har kun praktisk værdi, hvis systemet forbinder det korrekt med kontoen. Virksomheden må kunne forklare, hvilken kontrol der blev gennemført, hvornår det skete, og hvordan resultatet blev håndteret. Hvis der opstår en fejl, skal medarbejderne have en arbejdsgang til at undersøge den uden at skabe en ny og ukontrolleret registrering.

Andre kontroller har et andet formål. Spillemyndighedens tekniske krav til onlineudbud omfatter kontrol mod selvudelukkelsesregisteret ROFUS. Det er ikke det samme som at fastslå identitet. En tjeneste kan derfor ikke reducere hele sin adgangskontrol til spørgsmålet om, hvorvidt navnet på kontoen er verificeret.

Fejlhåndtering er en del af infrastrukturen. Hvis en ekstern tjeneste ikke svarer, er der behov for et på forhånd fastlagt forløb. Supporten bør vide, hvad den må undersøge, hvad den ikke må omgå, og hvordan hændelsen dokumenteres. En travl medarbejder skal ikke selv opfinde en alternativ kontrolmetode ud fra en enkelt kundesituation.

Data skal begrænses og beskyttes

Identitetskontrol kan skabe et incitament til at gemme mange oplysninger for at være på den sikre side. Datatilsynets vejledning om dataminimering viser imidlertid, at behandlingen skal kunne begrundes. Den tekniske mulighed for at opbevare en oplysning er ikke det samme som et dokumenteret behov for at beholde den.

Det gør adgangsstyring vigtig. En medarbejder, som hjælper med en glemt adgangskode, har ikke nødvendigvis brug for alle dokumenter og transaktionsoplysninger. Et velorganiseret system kan begrænse forskellige funktioner til de oplysninger, som opgaven kræver. Det giver også bedre mulighed for at undersøge, hvem der har set eller ændret noget, hvis en hændelse senere skal afklares.

Dokumentation bør kunne følges på tværs af leverandører. Hvis hver aktør kun kan forklare sin egen skærm, kan virksomheden stadig mangle en sammenhængende forklaring på forløbet. En samlet hændelsesbeskrivelse hjælper med at placere fejlen og vælge en relevant rettelse.

Identitetskontrol er dermed en sammenhængende proces mellem teknologi, leverandører og medarbejdere. Den fungerer bedst, når virksomheden kan forklare både et normalt forløb og en undtagelse. Det er denne dokumenterbare sammenhæng, som gør registreringen til infrastruktur frem for blot endnu et felt på en skærm.