De versleuteling van DigiD, gebruikt om beveiligd in te loggen op onder meer overheidssites, moet er voor zorgen dat gedeelde gegevens niet toegankelijk zijn voor derde partijen. De eisen waar de versleuteling aan moet voldoen, stammen uit 2004. Aan deze eisen wordt volgens de Rekenkamer niet voldaan. het ministerie van Binnenlandse Zaken vindt de kans op misbruik zo klein, dat het zich erbij neerlegt dat DigiD niet helemaal waterdicht wordt beveiligd. Naar verwachting wordt de nieuwe encryptie voor DigiD begin 2018 ingevoerd.
De Rekenkamer had al bij eerdere gelegenheden geconstateerd dat DigiD tekortschoot bij de beveiliging van gegevens. Zo waren er niet regelmatig veiligheidsonderzoeken, was de versleuteling van gegevens niet afdoende en werden transactiegegevens niet achteraf gecontroleerd. Binnenlandse Zaken heeft deze zaken naar eigen zeggen al wel opgelost. Ruim 13 miljoen Nederlanders maakten in 2016 ongeveer 250 miljoen keer gebruik van DigiD. Dat gebeurt merendeels zonder meerlaagse authenticatie met wachtwoord én sms. Ook dat is eigenlijk onvoldoende, vindt de Rekenkamer.
