prop · GR0340 · 2003-12-16 00:00:00 — I fråga om sådan försäkran för föräldrapenning finns inget uttryckligt krav på skrift- lighet i lagen (1962:381) om allmän försäkring, men i praktiken finns dock ett sådant krav till följd av att uppgifter om faktiska förhållanden skall lämnas på heder och samvete. Det föreligger således i detta fall ett implicit formkrav. Som berörts ovan kan en sådan försäkran lämnas via Internet med stöd av särskild lagstiftning. Det kanske mest centrala formkravet som enligt de flestas bedömning kan anses hindra elektroniska rutiner är kravet på egenhändig underskrift, som i vissa fall i lagar och förordningar uttrycks som krav på namnteck- ning, undertecknande m.m. Eftersom krav på egenhändig underskrift förekommer i fråga om bl.a. ansökan om sådana förmåner som kan för- väntas omfattas av självbetjäningstjänster (se exempelvis 3 § förordning- en (2002:782) om ansökan och utbetalning av pension m.fl. förmåner) föreligger till följd därav ett klart behov av reglering i författning om att sådana rättshandlingar får ske via självbetjäningstjänst utan hinder av sådana krav. I de fall uppgifter skall lämnas på heder och samvete torde det dess- utom, som ovan berörts, vara praxis att kräver att upp- gifter skall lämnas på papper och bekräftas med en egenhändig under- skrift för att säkra identiteten på uppgiftslämnaren och eftersom det eventuella straffansvaret vid lämnande av oriktiga uppgifter annars kan ifrågasättas. Kravet på att uppgifter om faktiska förhållanden skall lämnas på heder och samvete gäller i princip generellt inom hela socialförsäkringen. I regel anges i de författningar enligt vilka uppgifter skall lämnas på heder och samvete även ett krav på skriftlighet. Med hänsyn till det i princip generella kravet på att uppgifter om faktiska förhållanden skall lämnas på heder och samvete och vikten av en säker identifiering av uppgiftslämnaren kan det diskuteras om dessa krav på skriftlighet hör till de normalfall som enligt FORMEL-gruppens bedömning kan uppfyllas genom elektroniska rutiner och om det inte i dessa fall i själva verket lig- ger ett implicit krav om egenhändig underskrift på papper i kraven på skriftlighet. Skriftlighet är vidare föreskriven beträffande vissa andra förfoganden över rättigheter inom socialförsäkringen. Vad beträffar föräldraförsäk- ringen föreskrivs således i 4 kap. 3 § 6 st. lagen (1962:381) om allmän försäkring att avstående av rätt att uppbära föräldrapenning till förmån för den andra föräldern skall ske genom skriftlig anmälan till försäk- ringskassan. FORMEL-gruppen har i sin rapport även redovisat vissa synpunkter på anpassning av formkrav till elektroniska rutiner. Vid anpassning av hind- rande formkrav för att medge elektroniska rutiner bör man enligt grup- pens uppfattning eftersträva -långsiktighet och teknikneutralitet, t.ex. genom att undvika onödig teknisk terminologi, och -reglering på låg nivå, dvs. man bör inte ge överdrivet detaljerade föreskrifter i lag eller förordning när andra styrmedel är mer ända- målsenliga. En väsentlig fråga är enligt FORMEL-gruppen hur generell man bör göra en reglering som tillåter elektroniska rutiner på områden som om- fattas av formkrav. Den ena extrempunkten utgörs av att man ändrar varje bestämmelse som innehåller formkrav så att det tydliggörs att elek- troniska rutiner kan användas och vilka krav dessa måste uppfylla. Det motsatta angreppssättet innebär att man inför en generell bestämmelse som föreskriver att samtliga formkrav av en viss typ (t.ex. namnunder- skrift) skall anses uppfyllda med vissa elektroniska rutiner (t.ex. elektro- nisk signatur). Man kan även exempelvis tänka sig regler med generell verkan inom ett begränsat område, t.ex. en viss myndighet eller en viss typ av ärenden. Ett exempel på detta är regleringen i lagen (2001:1113) om försöksverksamhet med 24-timmarsmyndighet inom socialförsäk- ringsadministrationen. I den lagen föreskrivs att vissa angivna rättshand- lingar får företas via Internet, förutsatt att formkraven som angetts i den lagen om användning av elektroniska dokument har iakttagits, dvs. formkrav som gäller för den ordinarie kommunikationen mellan enskilda och myndigheter hindrar inte användningen av självbetjäningstjänster. Det mer generella angreppssätt som tillämpats i lagen (2001:1113) om försöksverksamhet med 24-timmarsmyndighet inom socialförsäkrings- administrationen har utan tvivel stora fördelar. Det innebär otvivelaktigt en enkelhet, tydlighet och överskådlighet i regleringen som är svår att uppnå vid en reglering som innebär att man ändrar varje bestämmelse som innehåller formkrav så att det framgår att elektroniska rutiner kan användas och vilka krav dessa måste uppfylla. En generell reglering av det slaget som har bäring på hela socialförsäkringen förutsätter naturligt- vis ett ställningstagande för att de för självbetjäningstjänsterna före- skrivna formkraven och övriga regler är förenliga med det förvaltnings- förfarande som de kommer att omfatta och även medför att ärendehand- läggningen går till på ett godtagbart sätt. Inte minst gäller det sistnämnda så till vida att de för självbetjäningstjänsterna föreskrivna formerna på ett bra sätt måste tillgodose behoven av dokumentation, identifiering och skydd mot förvanskning som ligger bakom nu gällande formkrav för tra- ditionell ärendehantering. I detta sammanhang är naturligtvis erfarenheterna av den verksamhet med 24-timmarsmyndighet som bedrivits av myndigheterna inom social- försäkringens administration av avgörande betydelse. I de utvärderingar som gjorts av denna verksamhet har inte framkommit några skäl som talar mot en sådan generell lösning inom ett begränsat område. Tvärtom har exempelvis försöksverksamheten inom föräldraverksamhe- ten visat sig fungera relativt problemfritt i de ovan berörda avseendena. Inte heller självbetjäningstjänster har såvitt framkommit föranlett några problem av betydelse. Av vikt är även att den närmare regleringen av vilka förmåner respektive tjänster som skall omfattas av självbetjäningstjänster via Internet föreslås delegeras till myndighetsnivå. Härigenom ges förutsättningar för en utbyggnad av självbetjäningstjänster i takt med att genomgående analyser av vilka krav som skall ställas på identifiering, dokumentation m.m. genomförs. En lösning av det slag som föreslås har också den fördelen att den medger en flexibilitet vad avser vilka formkrav som skall ställas vid an- vändning av nya former för kommunikation. Man kan mycket väl tänka sig att identifiering av en enskild via en webbplats på Internet i vissa fall kan ske på ett godtagbart sätt genom exempelvis pinkod, trots att det finns ett krav på egenhändig underskrift i gällande lag. I andra fall kan det mycket väl vara motiverat med ett kvalificerat formkrav vid använd- ning av självbetjäningstjänster via Internet trots att det i gällande lagstift- ning inte ges några föreskrifter om formkrav för den aktuella rättshand- lingen. S.k. analogilösningar som utgår från gällande formkrav om ex- empelvis egenhändig underskrift och anger hur dessa skall uppfyllas ge- nom elektroniska rutiner kan leda till onödigt begränsande regler i detta avseende. Som redovisats ovan har RSV, PPM och avstyrkt att en sådan reglering som föreslås införs på lagnivå. Den redovisade in- ställningen synes grundad på uppfattningen att krav på underskrift utgör det enda uttryckliga hindret på lagnivå mot elektroniska förfaranden inom socialförsäkringsadministrationen och att en generell reglering av det slag som föreslås kan leda till osäkerhet om rättsläget inom andra Som redovisats ovan ger dock inte bedömningarna i FORMEL- Prop. 2003/04:40 gruppens rapport uttryck för ett sådant kategoriskt förhållningssätt. heller inom doktrinen synes enighet råda på detta område. Som redovi- sats ovan och i promemorian kan det vidare med hänsyn till det i princip generella kravet inom socialförsäkringen på att uppgifter om faktiska förhållanden skall lämnas på heder och samvete och vikten av en säker identifiering av uppgiftslämnaren diskuteras om krav på skriftlighet inom socialförsäkringen hör till de normalfall som enligt FORMEL-gruppens bedömning kan uppfyllas genom elektroniska rutiner och om det inte i dessa fall i själva verket ligger ett implicit krav om egenhändig under- skrift på papper i kraven på skriftlighet. Den slutliga tolkningen av hur olika rättsregler skall tolkas ankommer dessutom på domstolarna. Att avvakta att de aktuella frågorna skall lösas i rättspraxis är dock inte en tillfredsställande lösning när det som i före- varande fall är aktuellt att reglera en verksamhet som inom en inte alltför avlägsen framtid kan komma att omfatta ett mycket stort antal användare. Mot bakgrund av det anförda anser regeringen att övervägande skäl talar för införandet av en sådan generell reglering som föreslagits i pro- memorian vad avser socialförsäkringsområdet. Regeringen vill dock framhålla att den föreslagna regleringen inte bör föranleda några som helst slutsatser om huruvida befintliga formkrav i annan lagstiftning är förenliga eller oförenliga med elektroniska rutiner i allmänhet. Sammanfattningsvis föreslås här en generell regel som innebär att självbetjäningstjänster via Internet får användas inom i princip hela det spektrum av ärendeslag som handläggs inom socialförsäkringens admi- nistration, förutsatt att det sker i linje med den föreslagna lagen och de föreskrifter som meddelas i anslutning till lagen. Att närmare precisera vilka rättshandlingar som skall få utföras vid användning av en självbe- tjäningstjänst överlåts till regeringen eller den myndighet regeringen be- stämmer. På så sätt uppnås enligt regeringens uppfattning en lämplig balans i fråga om formerna för regleringen. I föreskrifter angivna rätts- handlingar skall alltså enligt den föreslagna lagen få företas via myndig- heternas webbplatser med samma rättsverkningar som om de företagits i enlighet med formkraven i de olika författningarna om förmåner m.m., dvs. även sådana formkrav som krav på underskrift som anses hindra an- vändning av elektroniska rutiner. I promemorians förslag till bestämmelse omfattas även en enskilds tillgång till uppgifter vid användning av självbetjäningstjänster av den generella regleringen. I enlighet med vad som anförs i avsnitt 4.5.5 bör emellertid inte frågan om en enskilds tillgång till uppgifter beröras i den aktuella bestämmelsen. Lagtexten i promemorian är enligt regeringens uppfattning utformad på ett sådant sätt att det inte framstår som helt klart att uppgifter alltid skall lämnas på heder och samvete vid användning av självbetjänings- tjänsten i de fall så skall ske enligt de olika bestämmelserna om förmåner och ersättningar som handläggs inom socialförsäkringens administration. Ett tillägg som klargör detta bör därför göras i lagtexten. 4.5.5Utlämnande av personuppgifter vid användning av självbetjäningstjänster Regeringens bedömning: De föreskrifter som behövs för att personupp- gifter skall få lämnas ut vid användning av självbetjäningstjänster via Internet kommer med hänsyn till bestämmelserna i lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration att behöva meddelas av regeringen. Promemorians bedömning överensstämmer i princip med regering- ens. Remissinstanserna: Datainspektionen påtalar att det i avsnitt 7.4 i promemorian anges att de föreskrifter som behövs för att personuppgifter skall få lämnas ut vid användning av självbetjäningstjänster via Internet, med hänsyn till bestämmelserna i lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration, kommer att be- höva meddelas av regeringen. Av 1 § andra stycket förslaget till lag om självbetjäningstjänster via Internet inom socialförsäkringens administra- tion kan man dock få uppfattningen att föreskrifter om utlämnande av personuppgifter kan meddelas av den myndighet regeringen bestämmer. Enligt Datainspektionens mening måste det klargöras vilken av de två angivna regleringarna som skall råda. RSV ifrågasätter behovet av att i 1 § andra stycket i förslaget i promemorian uttryckligen ge en enskild en rätt att ha tillgång till uppgifter. Den rätten kommer enskilda i stället att ges genom bestämmelser i särskild registerlagstiftning. SamSol anser att det bör tydliggöras att det inte föreslås några förändringar av de lagar som skyddar den personliga integriteten. Skälen för regeringens bedömning: Självbetjäningstjänsterna inne- bär att personuppgifter i personuppgiftslagens (1998:204) mening kom- mer att lämnas ut till användarna via Internet. I personuppgiftslagen åter- finns inte någon särskild reglering om i vilka former personuppgifter får lämnas ut av en personuppgiftsansvarig. I s.k. registerförfattningar finns ofta bestämmelser som syftar till att reglera om och i vilka fall person- uppgifter får lämnas ut i elektronisk form. Sådana regler finns i lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration, som trätt i kraft . I lagen finns i 17 § en bestämmelse som föreskriver att direktåtkomst till uppgifter i socialförsäkringsdatabasen är tillåten endast i den ut- sträckning som anges i lag eller förordning. I 21 § finns en bestämmelse som innebär att personuppgifter i socialförsäkringsdatabasen som får lämnas ut till den registrerade får lämnas ut till denne på medium för automatiserad behandling. personuppgifter om en enskild fysisk person skall alltid få lämnas ut till denne på medium för automatiserad behandling om hinder inte möter på grund av sekretess. Personuppgifter i socialförsäkringsdatabasen får i övrigt lämnas ut på medium för automa- tiserad behandling endast om det behövs för något av de ändamål som anges i 8 § i lagen. Ett sådant ändamål är att tillhandahålla information på grund av sådant medgivande att lämna ut uppgifter som följer av sär- skilda bestämmelser i lag eller förordning. Naturligtvis är det vid användning av självbetjäningstjänsterna i första hand fråga om utlämnande av uppgifter som avser användaren själv. kan dock tänkas att en användare kan få ta del av uppgifter som rör även andra personer om hinder inte föreligger på grund av sekretess. I av- snitt 4.5.1 har denna fråga berörts ytterligare. Av den ovan lämnade redovisningen av bestämmelserna i lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration följer att regeringen i förordning kan meddela föreskrifter om direktåtkomst och om medgivande till utlämnande av uppgifter på medium för automatiserad behandling. Någon ytterligare reglering i lag behövs därför inte för självbetjäningstjänsterna. Av detta skäl bör inte den här föreslagna lagen innehålla några bestämmelser om utlämnande av uppgifter, utom vad avser krav på identifiering. 4.5.6Formkrav beträffande identifiering vid användning av självbetjäningstjänsterna Regeringens förslag: Vid användning av självbetjäningstjänster som in- nebär lämnande av uppgifter skall sådan elektronisk signatur som avses i 2 § lagen (2000:832) om kvalificerade elektroniska signaturer användas. Om det är fråga om att få tillgång till personuppgifter skall certifikat till vilket en säker identifieringsfunktion är knuten användas för kontroll av användarens identitet. Är någon annan metod för identifiering eller skydd mot förvanskning av uppgifter tillräckligt säker med hänsyn till risken för integritetsintrång eller annan skada får dock den användas. När upp- gifter skall lämnas på heder och samvete skall dock alltid elektronisk signatur användas. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om användningen av elektroniska signaturer, certifikat och andra metoder för identifiering. Promemorians förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: föreslår att det i förtydligande syfte förs in en ny paragraf mellan 1 § och 2 § lagförslaget. I den para- grafen bör anges att begreppen "elektronisk signatur" och "certifikat" har samma innebörd som motsvarande begrepp i 2 § lagen (2000:832) om kvalificerade elektroniska signaturer. Datainspektionen instämmer i be- dömningen att kravet på elektronisk signatur skall gälla som huvudregel. Enligt Datainspektionens mening ligger det med hänsyn till den tekniska utvecklingen en fara i att i lag peka ut en särskild teknisk lösning för identifiering för tillgång till uppgifter. Det kan vara lämpligare att ange den valda metoden i en författning av lägre valör som enklare kan anpas- sas vid ändrade förutsättningar. () och Riks- skatteverket (RSV) anser att begreppen elektronisk underskrift och elek- tronisk legitimation bör användas i stället för elektronisk signatur och certifikat. De båda förstnämnda begreppen har getts en enhetlig defini- tion genom de riktlinjer för myndigheternas användning av e-legitima- tioner och elektroniska underskrifter som tagits fram av SAMSET. Be- greppet elektronisk signatur kan enligt verken avse alla möjliga varianter av underskrifter på elektroniskt medium, t.ex. en namnangivelse i ett vanligt e-mail. Begreppen elektronisk signatur och certifikat används dessutom på ett missvisande sätt i lagförslaget eftersom den föreslagna lydelsen ger sken av att certifikat endast skulle användas vid identifiering i sådana fall då något egentligt meddelande inte översänds från använda- ren. Statskontoret anför att utformningen av bestämmelsen i lagförslaget är tekniskt otydlig. Bestämmelsen bör enligt Statskontorets mening för- tydligas genom att termen certifikat helt utgår. Den föreslagna bestäm- melsen innebär också att valet av säkerhetsnivå delvis bestäms i lag, vil- ket Statskontoret i enlighet med vad som sagts ovan anser bör undvikas. CSN och PPM anser att den föreslagna bestämmelsen inte ger mycket ledning för hur elektronisk signering och identifiering skall gå till och bör utgå. SamSol konstaterar att det i lagförslaget saknas en definition av begreppet elektronisk signatur. Eftersom innebörden av begreppet inte är allmänt veterlig bör, enligt SamSol:s uppfattning, en definition av be- greppet finnas i lagtexten. Ett alternativ är att hänvisa till den definition av begreppet elektronisk signatur som finns i 2 § lagen (2000:832) om kvalificerade elektroniska signaturer. Ett annat alternativ är, för det fall begreppet elektronisk signatur i förslaget inte ryms inom den definitio- nen, att i förslaget skapa en egen definition av begreppet. Detta medför dock att det kommer att finnas mer än en definition av begreppet elektro- nisk signatur. anser att det är olämpligt att införa en reglering om säkerhetsnivåer i en övergripande lagstiftning. Den före- slagna bestämmelsen är därutöver tämligen innehållslös, eftersom den i princip tillåter varje metod för identifiering som är tillräckligt säker med hänsyn till risken för integritetsintrång eller annan skada. Om en sådan reglering skall ske i lag förordar att de begrepp som används definieras så att inga oklarheter uppkommer om de krav på sä- kerhet som uppställs. anser att det är viktigt med närmare föreskrifter om användning av certifikat, elektroniska sig- naturer och andra metoder för identifiering. in- stämmer i bedömningen att de ansvariga myndigheterna, i de fall elek- tronisk signatur är föreskriven, bör kunna välja mellan avancerad elek- tronisk signatur och kvalificerad elektronisk signatur eftersom det är myndigheterna själva som bäst känner till vilka risker som finns i verk- samheten. Skälen för regeringens förslag: Föreskrifter om formkrav är natur- ligtvis inget självändamål. De syften som ligger bakom olika formkrav som är relevanta med avseende på självbetjäningstjänster via Internet torde i huvudsak vara -att kontrollera identiteten hos den som företar en rättshandling etc., -att upprätthålla ett skydd mot förvanskning av de uppgifter m.m. som lämnats av en person, -att säkra att information kan lagras för senare användning, -att utgöra en varningsfunktion till individen angående de uppgifter han eller hon lämnar och det ansvar som kan komma att följa om uppgifterna är oriktiga, -att medföra att en individ på ett annat sätt än vid muntlig kommunikation ges möjlighet att överväga en rättshandling innan den företas, -att säkra bevisning så att den som avger en oriktig utsaga kan göras ansvarig för detta, -att underlätta handläggningen hos administrativa myndigheter. Dessa syften kan på fullt godtagbara sätt tillgodoses även i fråga om användning av självbetjäningstjänster via Internet, låt vara att de tillgo- doses på andra sätt än genom de traditionella formkraven. I själva verket är det så att hela den tekniska konstruktionen av självbetjäningstjänsterna är uppbyggd så att handlingar och uppgifter som kommit in till de olika myndigheterna från användarna kan både lagras på ett tillfredställande sätt och skyddas mot förvanskning. Ett starkt skäl för införandet av självbetjäningstjänster är naturligtvis dessutom att de medför betydande möjligheter till rationalisering av myndigheternas ärendehantering ge- nom att ärenden i högre grad kan handläggas med hjälp av automatiserad behandling. Även sådana funktioner som syftar till att utgöra en varning till individen angående de uppgifter han eller hon lämnar och det ansvar som kan komma att följa om uppgifterna är oriktiga eller till att en indi- vid ges möjlighet att överväga en rättshandling innan den företas läggs in i de program som används vid användning av tjänsterna. Det får förut- sättas att de myndigheter som ansvarar för utformningen av självbetjä- ningstjänsterna utan särskild reglering kommer att tillgodose förelig- gande behov av sådana funktioner. Det finns dock ett intresse av att det råder en viss enhetlighet i fråga om formerna för identifiering av användare som använder sig av självbe- tjäningstjänster. Inte minst gäller detta eftersom den föreslagna lagen innehåller bestämmelser om att vid användning av självbetjä- ningstjänsterna så får en rad olika rättshandlingar företas utan hinder av i andra författningar angivna formkrav. En bestämmelse i lag om vilka krav som skall ställas på identifieringen föreslås därför. En sådan be- stämmelse är i det berörda avseendet att anse som en precisering av be- stämmelsen i 31 § personuppgiftslagen (1998:204). Enligt regeringens uppfattning är den föreslagna bestämmelsen fullt förenlig med bestäm- melserna i och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). I första hand är bestämmelsens syfte att på ett övergripande sätt reglera myndigheternas verksamhet. En sådan bestämmelse bör av naturliga skäl inte innebära alltför snäva gränser för vilka metoder som används för identifiering. Innebörden av den föreslagna regeln är att huvudregeln skall vara att elektronisk signatur skall användas för säkring av identite- ten vid olika rättshandlingar. Regeringen delar den av ett flertal remissin- stanser framförda uppfattningen att en hänvisning till definitionen av motsvarande begrepp i lagen (2000:832) om kvalificerade elektroniska signaturer bör göras i lagtexten. I 2 § nämnda lag anges att med elektronisk signatur avses data i elek- tronisk form som är fogade till eller logiskt knutna till andra elektroniska data och som används för att kontrollera att innehållet härrör från den som framstår som utställare och att det inte har förvanskats. I lagen defi- nieras även vissa särskilda typer av elektronisk signatur. Med avancerad elektronisk signatur avses enligt lagen elektronisk signatur som är -knuten uteslutande till en undertecknare, -gör det möjligt att identifiera undertecknaren, -är skapad med hjälpmedel som endast undertecknaren kontrollerar, och - är knuten till andra elektroniska data på ett sådant sätt att förvansk- ningar av dessa data kan upptäckas. Med kvalificerad elektronisk signatur avses enligt lagen en avancerad elektronisk signatur som är a)baserad på ett kvalificerat certifikat och som