sou · GXB386 · 2009-10-19 00:00:00 — En lösning för åtkomst- kontroll är till för alla som använder en organisations IT-resurser medan juridisk behörighet att rättshandla för en organisations räkning endast ges vissa särskilt betrodda personer. Till detta kommer att information om vem som är firmateck- nare lämnas med rättsverkan genom vissa myndighetsregister – t.ex. det av förda aktiebolagsregistret. Kontroller av att den som påstår sig agera med stöd av fullmakt är juridiskt behörig att företräda angiven huvudman blir på motsvarande sätt beroende av att hanteringen görs förenlig med bestämmelserna i bl.a. avtalslagen om fullmakt m.m. så att juridisk behörighet verkligen föreligger. Dessa frågor tas sällan upp när nya tekniska system övervägs. I en dansk lösning för identitetsfederationer, som redan finns i drift, får varje organisation på egen hand registrera de användare som har rätt att företräda organisationen, samt med vilken e-legitimation som respektive användare identifieras. Dessa uppgifter används av identitetsfederationen för att skapa identitetsintyg som motsvarar e-tjänsternas krav. Modellen medger även ett reservförfarande genom att organisationen tillfälligt eller permanent kopplar en alternativ e-legitimation till en befintlig användarprofil. En sådan lösning kan fungera för hantering och inlämning av vissa typer av information – t.ex. när det räcker att kunna konstatera att det finns en anknytning till en viss organisation. I andra sammanhang kan lösningen emellertid ifrågasättas från juridiska utgångspunkter. Be- dömningar av detta slag kräver därför en närmare förståelse för såväl teknik som juridik. Elektronisk underskrift i tjänsten När en personlig e-legitimation eller en e-tjänstelegitimation används för att skriva under en elektronisk handling i tjänsten gäller samma förhållanden som vid legitimering i tjänsten med undantag för att kontrollen av elektronisk underskrift följer ett annat flöde. E-tjänstelegitimationer bör tas i bruk för att tillgodose vissa grund- läggande behov. Personnummer bör kunna utmönstras i e-legitima- tioner för anställda och uppdragstagare. Myndigheter och företag bör dessutom på ett enhetligt och smidigt sätt kunna förse anställda och uppdragstagare med elektroniska legitimationshand- lingar så att personliga e-legitimationer inte behöver användas i Ansökan om att utfärda en e-tjänstelegitimation bör härvid göras av behörig företrädare för organisationen, som bör kunna bestämma om användningen av legitimationen samt spärra den när anställningen eller uppdraget har upphört eller innehavaren annars inte längre avses ha tillgång till den. Till dessa grundläggande behov kommer frågor om juridisk be- hörighet och om roller m.m. Genom en federationslösning kommer frågan om att ta in sådana uppgifter i själva legitimationen i ett nytt läge. Kompletterande information om juridisk behörighet att agera för i legitimationen angivet organs räkning kan lämnas i identitetsintyg som utfärdas inom ramen för en federationslösning. Därmed bör frågor om behörighet skiljas från e-tjänstelegitima- tionerna på så vis att e-tjänstelegitimationens funktion blir begränsad till att identifiera individ och dennes koppling till en organisation, men utelämnar uppgifter om individens behörighet. Identitetsintygsgivarna kan, om e-tjänsten så kräver, inhämta sådana uppgifter från t.ex. register över firmatecknare som myndig- heter enligt lag för med rättsverkan. På liknande sätt öppnas mera flexibla möjligheter att införa funktioner baserade på fullmakter som förvaras och dokumenteras i register eller yttre kännetecken som kan ge juridisk grund för s.k. ställningsfullmakt. Dessa komplexa frågor bör emellertid enligt e-delegationens mening inte tillåtas försena införandet av e-tjänstelegitimationens grundläggande funktioner utan bör hanteras i särskild ordning. Bland dessa frågor bör nämnas om en federationslösning för e- tjänstelegitimering bör utformas så att varje organisation ges möjlighet att tillföra organisationsuppgifter till federationen, som federationen sedan lämnar vidare i identitetsintyg, eller om förfar- andet närmare bör knyta an till de metoder som när används av jurister när de ska bedömer om en individ är behörighet att företräda annan. Oavsett vilka begränsningar som görs, t.ex. av praktiska skäl när en lösning för Svensk e-tjänstelegitimation tas fram, bör det redan i den inledande fasen säkerställas att anknytande funktioner för identitetsintygsgivare utformas så att de – med stöd av e- legitimationen – kan koppla identitetsuppgifter som e-tjänster behöver till respektive användare. Dessutom bör vissa större organisationer och myndigheter redan inledningsvis kunna ges möjlighet att agera som identitetsintygsgivare för sina medarbetare. På så sätt kan behoven av e-tjänstelegitimering delvis tillgodoses genom redan införda lösningar, förutsatt att de utformats och administreras på ett tillförlitligt sätt. Resterande organisationer behöver ha tillgång till identitetsin- tygsgivare som, med stöd av nödvändiga uppgifter från anslutna organisationer och andra tillämpliga register, kan utfärda identi- tetsintyg för respektive organisations medarbetare. I samverkan mellan identitetsintygsgivare och anslutna organisationer fastställs vilka e-legitimationer som godtas för legitimering och vid behov vilka alternative e-legitimationer som kan godtas vid tillfällig förlust av e-legitimation. På motsvarande sätt är det en förutsättning för en effektiv tjänstelegitimering att såväl stora organisationer och myndigheter som mindre sådana, ges möjlighet att ge ut eller anskaffa e-tjänste- legitimationer, som uppfyller ställda kvalitetskrav, till sina medarbetare så att dessa kan användas inom ramen för en svensk identitetsfederation. Frågan om upphandling får från dessa utgångspunkter avgöras utifrån bl.a. vilken affärsmodell som etableras på området. Vi föreslår alltså att e-tjänstelegitimationer ska utformas så att de kan användas inom hela den offentliga sektorn och näringslivet samt att de anpassas för en federationslösning som ska kunna ge stöd även för juridisk behörighetskontroll. 7.8Bevarande av underskrivna elektroniska handlingar utvecklar en strategi för bevarande med inriktning på elektroniskt underskrivna handlingar. vidareutvecklar sina föreskrifter på området och tar i samverkan med andra myndigheter fram en vägledning. Skälen för delegationens förslag: När e-tjänster införs ersätts traditionella arkiv av elektroniska arkiv. Därmed ändras förutsät- tningar för bevarande och gallring som nya hot och risker framträder från informationssäkerhetssynpunkt. För att stats- förvaltningens informationstillgångar ska säkerställas behöver bevarandet av elektroniska handlingar integreras med myndigheternas e-strategier. Myndigheterna behöver ta ställning till frågor om bevarande och gallring redan på förhand så att inkomna och upprättade allmänna elektroniska handlingar kan presenteras i ursprungligt skick . Åtgärder bör vidtas i handlingarnas livscykel. Detta behov blir särskilt framträdande när handlingar skrivs under elektroniskt. En snabb och säker åtkomst över tiden till en myndighets informationstillgångar är en förutsätt- ning för en väl fungerande e-förvaltning. Många myndigheter skulle kunna hantera sina elektroniska handlingar på ett bättre sätt. Väl fungerande och rättsligt anpassade system för bevarande – e-arkivsystem – behöver främjas. Riks- arkivet bör därför ges i uppdrag att ta fram vägledningar som möj- liggör och underlättar myndigheternas framtagande av strategi och system för bevarande samt att integrera dessa med de egna e- strategierna. Härvid bör särskilt uppmärksammas hur elektroniskt underskrivna handlingar ska framställas, hanteras och bevaras. Vägledningarna bör lyfta fram goda exempel från myndigheter som har kommit långt inom området och utarbetas i samverkan med berörda myndigheter, bl.a. , och . har utfärdat föreskrifter rörande bl.a. arkivredovisning, elektroniska handlingar och tekniska krav för elektroniska handlingar som har anpassats till e-förvaltningens krav.27 Dessa föreskrifter kan sägas utgöra ett kvalitetssystem för myndigheternas dokumenthantering. Genom en kombination av krav på klassificering av handlingar, dokumentation och strategier, standardiserade format och informationssäkerhet är föreskrifterna avsedda att bidra till effektivare informationsflöden och säker- ställande av informationens tillgänglighet. bör vidareutveckla sina föreskrifter om e-handlingar med avseende på elektroniskt underskrivna handlingar. 27 Föreskrifter om ändring i föreskrifter och allmänna råd (RA-FS 1991:1) om arkiv hos statliga myndigheter, RA-FS 2008:4, föreskrifter och allmänna råd om elektroniska handlingar (upptagningar för automatiserad behandling), RA-FS 2009:1 och föreskrifter och allmänna råd om tekniska krav för elektroniska handlingar (upptagningar för automatiserad behandling), RA-FS 2009:2. Samordningsfunktionen tillhandahåller funktioner åt anslutna myndigheter mot ersättning. Ett system motsvarande det som tillhandahålls enligt lagen (2008:962) om valfrihetssystem införs på området för elektronisk identifiering. Samordningsfunktionen fyller motsva- rande reglerande och kontrollerande funktion som en myndig- het som beslutat att tillämpa valfrihetssystem enligt lagen om valfrihetssystem. De som tillhandahåller berörda tjänster på marknaden ska behandlas på ett likvärdigt och icke-diskriminerande sätt. Affärsmodellen för legitimering av privatpersoner bör delvis skiljas från en affärsmodell för tjänstelegitimering. Det har i och med de nya regler som införts på upphandlings- området klarlagts att det knappast torde vara möjligt att bygga på ramavtal där flera aktörer parallellt tillhandahåller tjänster för elektronisk identifiering och elektronisk underskrift m.m. Därför har e-delegationen förordat vissa förenklingar och anpassningar av strukturen, som något förenklat framgår av följande figur. 1.Den samordningsfunktion, som föreslås som en självständigt be- slutande nämnd inom , ska sluta civilrättsliga avtal (de blå pilarna) med de identitetsintygsgivare och utfärdare av e-legi- timationer som uppfyller uppställda krav (såväl dagens leverantörer av e-legitimationer, som leverantörer som kan tillkomma inom ramen för en framtida försörjningsmodell där påtalade tekniska och affärsmässiga komplikationer avses bli utmönstrade). 2.Avtalen ska bygga på ett regelverk för denna infrastruktur som avses tillgodose myndigheternas behov; jfr e-nämndens grundläg- gande vägledning för myndigheternas användning av e-legitima- tioner och elektroniska underskrifter (e-nämnden 04:02). Denna struktur bör utformas för att, så långt möjligt, fungera på motsvarande sätt inom näringslivet. Regelverket bör för myndighetsområdet införas i förordning och myndighets- föreskrifter, så att mellanhavandena mellan samordningsfunktionen och förlitande myndigheter hanteras genom författningsreglering, inte genom ett omfattande och kostsamt avtalsskrivande mellan offentligrättsliga subjekt.28 De regler som behövs på detaljnivå bör utarbetas inom samordningsfunktionen, bl.a. i dess egenskap av federationssamordnare.29 3.Skatteverket kan, i egenskap av samordningsfunktion, behöva agera även som Identitetsintygsgivare så att en fungerande hante- ring snabbt kommer igång på området. Eftersom identitetsintygen vanligtvis kommer att grundas på kontroller med e-legitimationer behöver verket förlitandeavtal med berörda leverantörer av spärrkontrolltjänster. 4.Skatteverket kommer – enligt författning – att tillhandahålla identitetsintyg till berörda myndigheter, utfärdade antingen av en egen tjänst eller av ett privaträttsligt subjekt som enligt avtal lämnar identitetsintyg till . Dessa identitetsintyg föreslås kunna innefatta också uppgifter som rör juridisk be- hörighet. Hit kan komma att höra såväl att hämta och infoga uppgifter från andra myndigheters register (t.ex. register över firmatecknare) som att föra ett register, t.ex. över full- makter som lämnats elektroniskt. Så länge denna hantering inte berör privaträttsliga subjekt utan endast myndigheters mellan- 28Jfr vad som sagts om att anslutna myndigheter under regeringen utgör delar av samma juridiska person och därmed inte kan sluta civilrättsligt bindande avtal. 29Se avsnitt 7.6.5, under rubriken . havanden bör det vara möjligt att ge även denna reglering i förordning och genom myndighetsföreskrifter. Samordningsfunktionen ska tillhandahålla funktioner åt anslutna myndigheter mot ersättning. Myndigheter som redan tillhandahåller e-tjänster som stöds av e-legitimationer bör inom ramen för en framtida lösning kunna betala motsvarande ersättning till samordningsfunktionen som de betalar till utfärdare av e-legitimationer. Risker för oförut- sedda utgifter bör kunna hanteras genom att samordnings- funktionen avtalar om, samt svarar för kostnaderna för, kontroll av e-legitimationer och därefter fördelar dessa på ett balanserat sätt. För att förenkla dessa mellanhavanden bör en reglering ges i författning. I den mån kvalificerade certifikat används i öppna system be- höver berörda myndigheter emellertid, med hänsyn till signatur- lagen, kunna göra spärrkontroll utan överenskommelser på för- hand. Därmed synes ingen avgift kunna tas ut för sådana kontroller. Förslaget innebär som framgått att genom sitt sam- ordningsfunktion ska fungera som förlitande part även när kontrol- ler av identitet och av underskrifters äkthet inte avser verkets e- tjänster utan sker som en följd av legitimering eller underskrift med användning av någon annan myndighets e-tjänst. Det är således som genom ett upphandlingsförfarande ska teckna avtal med identitetsintygsgivare och utfärdare av e-legitimationer. En fråga är emellertid hur en sådan upphandling ska kunna ske utan risk för att någon av de påtalade olägenheterna uppkommer; t.ex. att en utfärdare av e-legitimationer som kan tillhandahålla identifiering av ett stort antal medborgare råkar missa ett s.k. skall- krav och därmed inte kan brukas för myndigheters e-tjänster, att nya aktörer med användbara tjänster för identifiering har svårt att komma in på myndighetsområdet eller att reglerna om offentlig upphandling lägger hinder i vägen för att flera tillhandahållare av tjänster används parallellt. Andra frågor är om samordningsfunktionens funktion att till- handahålla tjänster åt övriga myndigheter för med sig komplika- tioner från upphandlingssynpunkt och om behöver vidta särskilda åtgärder för att hålla isär sina olika roller, bl.a. som federationssamordnare och identitetsintygsgivare. upphandling från privaträttsliga aktörer Det finns uppenbara likheter mellan de tjänster som tillhandahålls enligt lagen (2008:962) om valfrihetssystem (LOV) och de tjänster som behöver upphandlas för att en samordningsfunktion ska kunna fylla sin funktion. Ett kontrakt inom ramen för ett valfrihetssystem enligt LOV anses utgöra en tjänstekoncession. Med tjänstekoncession avses enligt 2 kap. 17 § lagen (2007:1091) om offentlig upphandling () ett kontrakt av samma slag som ett tjänstekontrakt men som innebär att ersättningen för tjänsterna helt eller delvis utgörs av rätt att utnyttja tjänsten. Sådana koncessioner tilldelas genom ett upphandlingsförfarande men är, enligt 1 kap. 2 § femte stycket , i princip undantagna från lagens tillämpningsområde.30 Valfrihetssystemet enligt LOV innebär att den enskilde har rätt att välja den leverantör som ska utföra tjänsten, om en upp- handlande myndighet godkänt och tecknat kontrakt med leve- rantören. På motsvarande sätt väljer den enskilde vilken utfärdare av e-legitimation som denne anlitar som utfärdare, förutsatt att leverantören är en av dem som myndigheterna godtar i sina e-tjänster. Motsvarande valfrihet föreslås gälla när identitetsin- tygsgivare ska användas. En myndighet kan därmed i praktiken inte begränsa en e-tjänst så att varje användare måste ha e-legitimation från en viss utfärdare. I så fall skulle alla användare som inte har e- legitimation från den utfärdaren uteslutas från användningen av den tjänsten. Det föreslås vidare att samordningsfunktionen ska fylla mot- svarande reglerande och kontrollerande funktion som en myndighet som beslutat att tillämpa valfrihetssystem enligt LOV. Att de som tillhandahåller berörda tjänster på marknaden ska behandlas på ett 30 Detsamma gäller enligt 2 kap. 18 § lagen (2007:1092) om upphandling inom områdena vatten, energi, transporter och posttjänster. likvärdigt och icke-diskriminerande sätt och att samordnings- funktionen ska iaktta principerna om öppenhet, ömsesidigt erkännande och proportionalitet är härvid en självklarhet. Till detta kommer den likheten med LOV att utfärdare av e- legitimationer och identitetsintygsgivare ska bära den ekonomiska risken för att etablera och driva sin verksamhet. Ett viktigt led i uppbyggnaden av en nationell infrastruktur på området är att utfärdare av e-legitimationer och identitetsintygsgivare till- handahåller samma tjänster åt företag och andra privaträttsliga subjekt mot betalning av förlitande part och eventuellt även av dem som identifieras. Utfärdare och intygsgivare avses använda tjänsterna även för egen del så som t.ex. banker som tillhandahåller e-legitimation på aktivt kort numera själva använder dessa legitimationer för att identifiera sina kunder och låta dem skriva under elektroniskt när de använder banktjänster. Den för vilken e- legitimationen är utfärdad bidrar härigenom till utfärdarens kostna- der genom bl.a. prissättningen av de banktjänster där e- legitimationen används. Ansluter sig inte användare till tjänsten eller blir den inte använd med någon frekvens får tillhandahållaren inte sina kostnader täckta eftersom ersättningen är relaterad till användning. På motsvarande sätt som det står klart att utföraren av tjänster inom ramen för ett valfrihetssystem enligt LOV avses stå risken ska alltså utfärdare av e-legitimationer och identitetsintygsgivare stå den ekonomiska risken. De enskilda kontrakten avses utformas från dessa utgångspunkter bl.a. så att ersättningens storlek görs beroende av hur många som leverantören av tjänsten för e-legitima- tioner eller identitetsintyg lyckas få att använda den och med vilken frekvens. På motsvarande sätt som t.ex. en sjukgymnast som inte får några patienter inte får ersättning drabbas alltså en leverantör av e-legitimationer eller identitetsintyg om kunderna inte strömmar till eller om kunder upphör att använda tjänsten. En lösning utformad med LOV som förebild bör därmed vara möjlig även på området för elektronisk identifiering. För genom- förandet av en sådan lösning torde en ny författning som motsvarar LOV inte krävas. leverans av tjänster till myndigheter Nästa fråga är om myndigheter (förlitande parter) åt vilka samord- ningsfunktionen ska tillhandahålla tjänster för identifiering och elektronisk underskrift m.m. måste upphandla dessa tjänster i kon- kurrens. Frågan behöver bedömas med avseende på dels andra statliga myndigheter än , dels kommunala myndig- heter. I vart fall initialt torde samordningsfunktionen tillhandahålla dessa tjänster främst åt andra myndigheter under regeringen; t.ex. och . Dessa myndigheter utgör en del av samma rättssubjekt. De kan därför varken sluta avtal sins- emellan eller få en tvist prövad i domstol eller av skiljemän. Upphandlingskontrakt synes därmed inte kunna slutas mellan dem.31 Till detta kommer att lagen om offentlig upphandling inte gäller för tjänstekontrakt som en upphandlande myndighet tilldelar en annan upphandlande myndighet som på grund av lag eller annan författning har ensamrätt att utföra tjänsten (1 kap. 7 § ). På detta område föreslår vi att samordningsfunktionen ges en särskild roll. Syftet är att från främst rättssäkerhets- och person- dataskyddssynpunkt se till att en enhetlig och korrekt kontroll utförs av användares identitet och elektroniska underskrifter, sam- tidigt som berörda uppgifter om identitet m.m. skyddas från an- vändning som inte har varit avsedd. Här krävs särskild kompetens och utbildning för en rättssäker hantering, särskilt när en legitimering eller en underskrift faller utanför ramen för den automatiserade hantering som byggs upp; jfr hur genom en särskild enhet granskar bl.a. underskrifters och urkunders äkthet och lämnar sak- kunnigutlåtanden. På detta område behövs också regler och strukturer för att förhindra att e-legitimationer, identitetsintyg eller anknytande uppgifter användas för att t.ex. kartlägga individers eller företags förehavanden, för marknadsföring eller för andra icke avsedda behandlingar. Den föreslagna hanteringen genom en samordningsfunktion av- ses alltså ytterst fungera som ett styrinstrument för att uppnå de mål för rättssäkerhet och persondataskydd m.m. som ska prägla det allmännas användning av säkra lösningar för identifiering m.m. 31 Jfr dock , , Lag om offentlig upphandling – en kommentar, s. Detta stöd från samordningsfunktionen till förlitande myndigheter föreslås som en tjänst som finansieras med offentliga medel och som inte bedrivs i ekonomiskt vinstsyfte. Denna tjänst avses stödja statliga och kommunala myndigheter vid elektronisk identifiering och kontroll av elektronisk underskrift, vid användning av e- tjänster och för motsvarande tekniska och administrativa hantering i anhängiggjorda mål och ärenden. Till samordningsfunktionens uppgifter bör också höra att utveckla rutiner och metoder samt att utbilda handläggare så att elektronisk identifiering, elektroniska underskrifter och anknytande tjänster införs och används på ett enhetligt sätt – anpassat till skilda juridiska krav i olika kategorier av ärenden och varierande hot och risker från informa- tionssäkerhetssynpunkt. Det föreslås därmed att en författningsreglerad icke ekonomisk tjänst av allmänt intresse ska tillskapas. Sådana tjänster och funk- tioner synes inte vara omfattade av EG-fördraget och inte heller av upphandlingsdirektiven och LOU.32 En smidig myndighetssamverkan bör därmed kunna komma till stånd inom ramen för den författningsreglering som avses tas fram på området. Det bör särskilt påpekas att dessa bedömningar inte gäller för de tjänster som samordningsfunktionen föreslås upphandla från privaträttsliga aktörer, bl.a. utfärdare av e- legitimationer. Affärsmodellen för elektronisk identifiering m.m. får därmed be- handlas som en fråga om dels hur myndigheternas inbördes mellan- havanden bör utformas och finansieras, dels hur det allmännas anskaffning av erforderliga tjänster från privaträttsliga subjekt bör utformas och betalas. Myndigheter som redan tillhandahåller e-tjänster som stöds av e-legitimationer bör inom ramen för en framtida lösning kunna betala motsvarande ersättning till samordningsfunktionen som de betalar till utfärdare av e-legitimationer. Risker för oförut- sedda utgifter som befarats till följd av oväntat höga trans- aktionsvolymer, t.ex. vid en plötslig framgång för en e-tjänst, bör kunna hanteras genom att samordningsfunktionen avtalar om, samt svarar för kostnaderna för, kontroll av e-legitimationer och därefter 32 Se Kammarrättens i , avdelning 1, dom i mål nr 8101-08 m.fl. fördelar dessa på ett balanserat sätt. För att förenkla dessa mellanhavanden bör en reglering ges i författning. Affärsmodellen för legitimering av privatpersoner bör härvid separeras från en affärsmodell för tjänstelegitimering, till följd av de skillnader som föreligger. Vid identifiering av privatpersoner är utrymmet begränsat för att ta ut avgifter av användarna. Identi- tetsintygen begränsas dessutom till uppgifter om personen såsom namn och personnummer. Vid tjänstelegitimering finns dessutom en koppling till organisation som kan integreras med rutiner för reservförfaranden för att hantera förluster av e-tjänstelegitima- tioner. Kostnader för denna hantering kan på ett naturligt sätt belasta användarens organisation och i en del fall motivera att användarens organisation sätter upp en egen tjänst som identitetsintygsgivare.