Når kommunen udsteder digitale signaturer, videregiver de borgernes CPR-nummer til TDC, der opretter signaturen og videresender den på en CD. Dette har fundet sted siden februar 2007 og frem til nu, og omkring 98 procent af alle borgere over 18 år i kommunen har modtaget en signatur.
Men det er måske ulovligt, da TDC er en privat virksomhed. Hvis Datatilsynet vurderer, at TDC - og ikke Holbæk Kommune - er dataansvarlig i forhold til udsendelsen af signaturerne, skulle der derfor være indhentet samtykke fra hver enkelt borger forud for overleveringen af cpr-numrene.
Og efter et møde mellem Holbæk Kommune, Datatilsynet og TDC torsdag den 4. oktober 2007, hvor proceduren drøftedes generelt, synes det mest sandsynligt, at TDC ikke vil blive anset som databehandler.
- Jeg vil gerne understrege, at vi hele tiden har handlet i god tro, og at vi først blev bekendt med problematikken i uge 37, da vi modtog en række spørgsmål fra Datatilsynet i forbindelse med den opståede sag, siger Claus Westergaard, som er kommunikationschef i Holbæk Kommune og fortsætter:
- Det har derfor været vores - og vores leverandørers - opfattelse, at der var hjemmel til at udstede og distribuere cd-kort til alle kommunens borgere over 18 år. Da det nu har vist sig, at dette måske ikke er tilfældet, har vi naturligvis øjeblikkeligt stoppet udsendelsen, fortæller Claus Westergaard og fortsætter:
- Jeg vil dog godt påpege, at det alene er cpr-numre, der er udleveret til TDC, og at disse på intet tidspunkt er blevet anvendt til andet end udstedelse af Digitale Signaturer.