sou · GYB3104 · 2010-12-23 00:00:00 — 1 Här avses myndigheters, landstings, kommuners och vissa andra organs e-tjänster. Den närmare avgränsningen av dessa organ har inte genomlysts ännu i utredningsarbetet men en avgränsning kan eventuellt utformas med 2 kap 3-4 §§ offentlighets- och sekretesslagen (2009:400) som förebild. 9.Attributsintyg; ett av en attributsutfärdare utställt intyg i elektronisk form med uppgifter om användares juridiska behörighet, organisatoriska roll eller andra egenskaper, 10.Centralt utfärdarregister; ett register som för över identitets- och attributsutfärdare som är anslutna till infrastrukturen för identifiering, 11.Centralt e-tjänsteregister; ett register som för över e-tjänsteleverantörer som är anslutna till infrastrukturen för identifiering, 12.Tillitsnivå; den skyddsklass till vilken en e-legitimation hänförs, och 13.Signaturtjänsten; det tekniska och administrativa stöd som lämnar åt en e-tjänsteleverantör för att användare ska kunna skriva under handlingar elektroniskt, och 14.Anvisningstjänsten; det tekniska och administrativa stöd som lämnar åt en e-tjänsteleverantör för att användare ska kunna välja e-legitimation. Utkast till förordning om infrastrukturen för Svensk e-legitimation Härigenom föreskrivs följande. 1 § I denna förordning finns bestämmelser om 1.definitioner (2 §) 2.syfte och tillämpningsområde (3 och 4 §§), 3.register och persondataskydd (5–14 §§), 4.anvisningstjänst, signeringstjänst och underleverantörer (15– 17 §§), 5.anslutning (18–31 §§), 6.tjänsternas utformning och aktivering (32–35 §§), 7.tjänsternas användning (36–40 §§), 8.avgifter (41 §), och 9.bemyndigande (42 §). 2 § I denna förordning menas med Svensk e-legitimation; de certifikat, säkerhetsdosor eller andra hjälpmedel för identifiering som har anslutits till infrastrukturen för svensk e-legitimation, 2.Infrastrukturen för svensk e-legitimation; den infrastruktur för elektronisk legitimering och elektronisk underskrift som inrättat för samverkan mellan identitets- utfärdare, e-tjänsteleverantörer och användare av svensk e- legitimation, 3.Infrastrukturen för identifiering; en del av infrastrukturen för svensk e-legitimation där e-tjänsteleverantörer kan erhålla identitets- och attributsintyg för att granska om uppgifter som lämnats om identitet eller juridisk behörighet eller andra attribut är riktiga, 4.Identitetsutfärdare; den som utfärdar e-legitimationer och tillhörande identitetsintyg inom infrastrukturen för identifiering, 5.Attributsutfärdare; den som utfärdar attributsintyg inom infrastrukturen för identifiering eller en annan anknytande infrastruktur, 6.E-tjänsteleverantör; den som tillhandahåller en e-tjänst som stöds av svensk e-legitimation, 7.Användare; den som har en privat e-legitimation eller en e- tjänstelegitimation som godtas som svensk e-legitimation, 8.Identitetsintyg; ett av en identitetsutfärdare utställt intyg i elektronisk form med uppgifter om en användares identitet och attribut, 9.Attributsintyg; ett av en attributsutfärdare utställt intyg i elektronisk form med uppgifter om användares juridiska behörighet, organisatoriska roll eller andra egenskaper, 10.Utfärdarregister; ett register som identitets- och attributsutfärdare som är anslutna till infrastrukturen för identifiering, 11.E-tjänsteregister; ett register som e-tjänsteleverantörer som är anslutna till infrastrukturen för identifiering, 12.Tillitsnivå; den skyddsklass till vilken en e-legitimation hänförs, och 13.Signaturtjänsten; det tekniska och administrativa stöd som lämnar åt en e-tjänsteleverantör för att användare ska kunna skriva under handlingar elektroniskt, 14.Anvisningstjänsten; det tekniska och administrativa stöd som lämnar åt en e-tjänsteleverantör för att användare ska kunna välja e-legitimation, Förordningens syfte och tillämpningsområde 3 § Denna förordning syftar till att etablera en infrastruktur för Svensk e-legitimation inom offentlig förvaltning och att samordna och förenkla e-tjänsteleverantörernas användning av funktioner för elektronisk legitimering och elektronisk underskrift. 4 § Förordningen gäller för statliga myndigheter under regeringen. Den tillämpas också på myndigheter under och kommunala myndigheter som anslutit sig till infrastrukturen för Svensk e-legitimation. Register och behandling av personuppgifter 5 § ska föra register över 1.de identitetsutfärdare och attributsutfärdare som är anslutna till infrastrukturen för identifiering (utfärdarregister), och 2.de e-tjänsteleverantörer som är anslutna till infrastrukturen för identifiering (e-tjänsteregister). 6 § I utfärdarregister och e-tjänste- register får uppgifter finnas om 1.elektronisk adress till anslutna identitetsutfärdare, attributs- utfärdare och e-tjänsteleverantörer, 2.vilken identitets- och attributsinformation en e-tjänste- leverantör behöver för en viss e-tjänst, 3.vilka uppgifter en identitets- eller en attributsutfärdare kan tillhandahålla i identitets- eller attributsintyg, och 4.de certifikat och publika nycklar som behövs för att skydda uppgifter i utfärdade identitets- och attributsintyg och att kontrollera om intyg som tagits emot är äkta. 7§ Utfärdar- och e-tjänsteregistren får inte innehålla 1.information om kommunikation mellan användare och e- tjänsteleverantörer, 2.innehållet i identitets- eller attributintyg eller handlingar som ska undertecknas eller har undertecknats, eller 3.uppgifter som direkt eller indirekt kan hänföras till en fysisk person som är i livet. 8 § E-tjänsteleverantörer och användare ska ha elektronisk åtkomst till utfärdar- och e-tjänsteregistren i den omfattning som behövs för att infrastrukturen för identifiering ska fungera. 9 § får göras tillgängligt elektroniskt så att det kan användas för att utfärda identitets- eller attributintyg utanför infrastrukturen för svensk e-legitimation. 10 § De tekniska och administrativa lösningarna ska ges en sådan utformning att så få personuppgifter som möjligt samlas in, lämnas ut eller annars behandlas och att inte fler uppgifter än nödvändigt samlas in eller bevaras så att de blir direkt tillgängliga. 11 § Uppgifter i utfärdarregistret får användas utanför infra- strukturen för identifiering för att stödja motsvarande tjänster åt företag och andra organisationer som tillhandahålls genom e- tjänsteregister som inte är en del av infrastrukturen för identifiering. E-tjänsteleverantörers och identitets- och attributsutfärdares behand- ling av personuppgifter 12 § En identitets- eller attributsutfärdare får inhämta person- uppgifter endast direkt från en användare eller med dennes uttryckliga samtycke och endast i den utsträckning som är nödvändig för att utfärda eller upprätthålla certifikat eller identitets- eller attributsintyg. Uppgifterna får inte samlas in eller behandlas för andra ändamål utan uttryckligt samtycke från användaren. 13 § En identitets- eller attributsutfärdare får inte bevara uppgifter som kan användas för att kartlägga en användares nyttjande av tillhandahållna tjänster i större utsträckning än vad som är nödvändigt för att avtalet med användaren ska kunna fullgöras. 14 § Personuppgifter hos en identitets- eller attributsutfärdare eller en e-tjänsteleverantör får inte sambearbetas med uppgifter hos en annan identitets- eller attributsutfärdare eller e-tjänsteleverantör om det inte krävs för att Infrastrukturen för Svensk e-legitimation ska fungera. Anvisningstjänst, signeringstjänst och underleverantörer 15 § ska tillhandahålla en tjänst genom vilken användare av e-tjänster ges stöd i valet av vilken e- legitimation som ska brukas (anvisningstjänst). ska ansvara gentemot användaren för denna tjänst. 16 § ska tillhandahålla en tjänst för elek- tronisk underskrift av handlingar (signaturtjänst). ska ansvara gentemot användaren för denna tjänst. 17 § får överlämna den tekniska driften och skötseln av register och tjänster till underleverantörer men ska svara för verksamheten som om nämnden hade utfört åtgärderna själv. Anslutning av identitetsutfärdare till infrastrukturen för identifiering 18 § Efter ansökan ansluter en identitets- utfärdare till infrastrukturen för identifiering och registrerar utfärdaren i utfärdarregistret. Anslutning sker genom att nämnden tecknar avtal med utfärdaren. Registrering sker efter ansökan i ett förvaltningsärende. 19 § Den som uppfyller kraven i ett förfrågningsunderlag enligt lagen (2011:000) om valfrihet för svensk e-legitimation och godtar de juridiska, tekniska och administrativa villkoren ska ha rätt att anslutas till infrastrukturen för identifiering. Anslutning av attributsutfärdare till infrastrukturen för identifiering 20 § Efter ansökan ansluter en attributs- utfärdare till infrastrukturen för identifiering och registrerar utfärdaren i utfärdarregistret. Anslutning av attributsutfärdare som är en myndighet under regeringen sker genom beslut i ett förvaltningsärende. Anslutning av annan sker genom att nämnden tecknar avtal med attributsutfärdaren. Registrering sker efter ansökan i ett förvaltningsärende. 21 § En attributsutfärdare får anslutas till infrastrukturen för identifiering om utfärdaren 1.enligt lag eller författning ska registrera och tillhandahålla de uppgifter som lämnas i attributsintygen och uppgifterna är av generell betydelse från kontrollsynpunkt, eller 2.det finns särskilda skäl från kontrollsynpunkt att ett visst slag av attribut från en viss utfärdare ska kunna lämnas inom infrastrukturen för identifiering. 22 § Särskilda skäl från kontrollsynpunkt föreligger om det finns ett utbrett behov inom offentlig förvaltning av tillförlitlig åtkomst till uppgiften och den inte finns tillgänglig på fungerande sätt i annan ordning. 23 § får i ett beslut om anslutning som villkor ange att attributsutfärdaren ska följa de juridiska, tekniska och administrativa villkor som nämnden bestämmer. 24 § får ingå avtal om anslutning av en attributsutfärdare endast om utfärdaren accepterar de juridiska, tekniska och administrativa villkoren för anslutning till infrastrukturen för identifiering. Anslutning av e-tjänsteleverantörer till infrastrukturen för identifiering 25 § Efter ansökan ansluter en e-tjänste- leverantör till infrastrukturen för identifiering. Anslutning av e- tjänsteleverantör som är en myndighet under regeringen sker genom beslut i ett förvaltningsärende. Anslutning av annan sker genom att nämnden tecknar avtal med e-tjänsteleverantören. Registrering sker efter ansökan i ett förvaltningsärende. 26 § får i ett beslut om anslutning som villkor ange att e-tjänsteleverantören ska följa de juridiska, tekniska och administrativa villkor som nämnden bestämmer 27 § får ingå avtal om anslutning av en e- tjänsteleverantör endast om utfärdaren accepterar de juridiska, tekniska och administrativa villkoren för anslutning till infrastrukturen för identifiering. Anslutning av e-tjänsteleverantörer till signaturtjänsten 28 § Efter ansökan ansluter en e-tjänste- leverantör till signaturtjänsten. Anslutning av en e-tjänste- leverantör som är en myndighet under regeringen sker genom beslut i ett förvaltningsärende. Anslutning av annan sker genom att nämnden tecknar avtal med e-tjänsteleverantören. Registrering i e- tjänsteregistret sker efter ansökan i ett förvaltningsärende. 29 § får i ett beslut om anslutning som villkor ange att e-tjänsteleverantören ska följa de juridiska, tekniska och administrativa villkor som nämnden bestämmer. 30 § får ingå avtal om anslutning av en e- tjänsteleverantör endast om utfärdaren accepterar de juridiska, tekniska och administrativa villkoren för anslutning till infra- strukturen för identifiering. 31 § En ansökan om anslutning ska ges in till . Tjänsternas utformning och aktivering 32 § En svensk e-legitimation ska vara utformad, skyddas och an- vändas enligt en viss tillitsnivå. Utfärdare av svensk e-legitimation, identitetsutfärdare och attributsutfärdare ska tillämpa sådana regler och rutiner att det utifrån tillämplig tillitsnivå finns fog för att lita på de e-legitimationer, identitetsintyg och attributsintyg som tillhandahålls. 33 § Skyddet för infrastrukturen för svensk e-legitimation ska närmare bestämmas i ett tillitsramverk. Detta ramverk ska löpande anpassas till tekniska standarder och utvecklingen i övrigt samt de hot och risker som kan uppkomma på området. 34 § Identitetsutfärdares, attributsutfärdares och e-tjänste- leverantörers anslutningar och funktioner, som samverkar med infrastrukturen för svensk e-legitimation, får inte aktiveras förrän de testats och funnit att de fungerar på ett tillförlitligt sätt i enlighet med tillitsramverket och tekniska specifikationer. ska tillhandahålla stöd för att testa att en tjänst som ska anslutas uppfyller kraven enligt de tekniska specifikationerna och att den kan samverka med infrastrukturen för identifiering. 35 § ska bestämma rutiner för hur angrepp mot informationssäkerheten inom Infrastrukturen för Svensk e-legitimation ska hanteras. får genom beslut för enskilda fall avbryta en anslutning eller en funktion som inte fungerar på ett tillförlitligt sätt. 36 § En användare som tilldelats en privat e-legitimation eller en e- tjänstelegitimation brukar den för 1. legitimering vid tillträde, för att elektroniskt få tillgång till uppgifter som får lämnas ut till honom eller henne och för att få skydd mot att obehöriga får tillgång till uppgifterna under sken av att vara honom eller henne, eller 2.legitimering vid uppgiftslämnande, för att få lämna uppgifter elektroniskt och för att få skydd mot att obehöriga lämnar uppgifter under sken av att vara honom eller henne, 3.elektronisk underskrift, för att ställa ut elektroniska handlingar som är skyddade mot förfalskning och förnekande av elektronisk underskrift på liknande sätt som en handling som är undertecknad på traditionellt sätt. 37 § En myndighet använder identitetsintyg för 1.identifiering vid tillträde, för att kunna ge tillgång till uppgifter elektroniskt så att inte obehöriga får ut uppgifterna, 2.identifiering vid uppgiftslämnande, för att kontrollera vem som är ansluten när vissa uppgifter lämnas, och 3.kontroll av elektronisk underskrift, för att granska att en handling som undertecknats elektroniskt är utställd av den som anges som undertecknare och att texten inte har ändrats. 38 § En myndighet använder ett attributsintyg för att kontrollera om en person har juridisk behörighet att agera för annans räkning, viss befattning eller annan roll eller egenskap eller på annat sätt är förknippad med något som en attributsutfärdare kan intyga. 39 § Privat e-legitimation får användas av fysiska personer när de kommunicerar för egen räkning och när de kommunicerar i egenskap av företrädare för annan. E-tjänstelegitimation får användas av fysiska personer när de kommunicerar i egenskap av anställda eller uppdragstagare och, om arbets- eller uppdragsgivaren godtar det, när de kommunicerar för egen räkning. 40 § Identitetsutfärdares, attributsutfärdares och e-tjänste- leverantörers anslutningar och funktioner, som samverkar med infrastrukturen för Svensk e-legitimation, får inte aktiveras förrän de testats och funnit att de fungerar på ett tillförlitligt sätt. 41 § [ ]. 42 § får meddela föreskrifter om 1.tillitsnivåer och tillitsramverk för Svensk e-legitimation, 2.e-legitimationernas, anvisnings- och signaturtjänsternas och identitets- och attributsintygens utformning och användning, 3.ansökan om anslutning enligt denna förordning och beredning av sådana ärenden, 4.certifiering och andra förfaranden för att visa överens- stämmelse med tillitsnivåer och tillitsramverk, 5.aktivering av identitetsutfärdares, attributsutfärdares och e- tjänsteleverantörers anslutningar och funktioner, och 6.skydd för infrastrukturen för Svensk e-legitimation och samordnade åtgärder och anpassningar med anledning av missbruk eller angrepp. Denna förordning träder i kraft den [ ] 2011 Regelverk för Infrastrukturen för Det samordnade området .......................................... Utfärdande, m.m. .................................................... Regler för användare, m.m. ...................................... 205 Regler för e-tjänsteleverantörer .................................. Bevarande, säkerhet och tillsyn ................................. 1.1Av lagen (2011:000) om valfrihet för Svensk e- legitimation följer att får tillhandahålla ett valfrihetssystem för en Infrastruktur för Svensk e-legitimation. Användare av e-legitimationer ska kunna välja leverantör bland dem som anslutits till denna infrastruktur. 1.2E-legitimationsnämnden ska enligt förordningen (2010:1497) med instruktion för nämnden stödja och samordna elektronisk identifiering och signering i den offentliga förvaltningens e-tjänster samt utveckla specifikationer och liknande krav som ska vara gemensamma för myndigheter under regeringen i deras användning av e-legitimationer. 1.3Detta regelverk tillämpas inom Infrastrukturen för Svensk e-legitimation. Till denna infrastruktur hör att a)utfärda, använda, verifiera och spärra Svensk e- legitimation, b)tillhandahålla en Infrastruktur för identifiering där i.e-tjänsteleverantörer kan erhålla identitets- och attributs- intyg för att granska om uppgifter som lämnats om identitet eller juridisk behörighet eller andra attribut är riktiga, ii.centrala register över aktörer förmedlar uppgifter om aktörernas tjänster och funktioner för tillit och säkert informationsutbyte, iii.en anvisningstjänst kan ge användaren av en e-tjänst hjälp att välja e-legitimation att bruka i e-tjänsten, c)tillhandahålla en signeringstjänst som gör det möjligt för användaren att skriva under elektroniska handlingar. 1.4Dessa regler har till syfte att etablera funktioner för e- legitimationer, elektroniska underskrifter och identitets- och attributsintyg som är enkla att förstå och använda och som på ett balanserat sätt kan tillgodose skyddet för rättssäkerheten, informationssäkerheten och enskildas personliga integritet. 1.5De tekniska och administrativa lösningarna ska utformas så att så få personuppgifter som möjligt samlas in, lämnas ut eller annars behandlas och att inte fler uppgifter än nödvändigt samlas in och bevaras så att de blir direkt tillgängliga. 1.6Den som tillhandahåller tjänster för identifiering inom Infrastrukturen för Svensk e-legitimation ska få till- handahålla motsvarande tjänster åt företag och andra organisationer inom ramen för en anknytande infra- struktur för näringslivet. Detta regelverk har utformats i syfte att underlätta införandet av en sådan parallell infra- struktur. I detta regelverk används följande beteckningar i nedan angiven betydelse. 1.Svensk e-legitimation; de certifikat, säkerhetsdosor eller andra hjälpmedel för identifiering som har anslutits till Infra- strukturen för Svensk e-legitimation, 2.Infrastrukturen för Svensk e-legitimation; den Infrastruktur för elektronisk legitimering och elektronisk underskrift som inrättat för samverkan mellan identitets- utfärdare, e-tjänsteleverantörer och användare av Svensk e- legitimation, 3.Infrastrukturen för identifiering; en del av Infrastrukturen för Svensk e-legitimation där e-tjänsteleverantörer kan erhålla identitets- och attributsintyg för att granska om uppgifter som lämnats om identitet eller juridisk behörighet eller andra attribut är riktiga, 4.Identitetsutfärdare; den som utfärdar identitetsintyg inom Infra- strukturen för identifiering, 5.Attributsutfärdare; den som utfärdar attributsintyg inom Infra- strukturen för identifiering eller en annan anknytande infra- struktur, 6.E-tjänsteleverantör; den som tillhandahåller en e-tjänst som stöds av Svensk e-legitimation, 7.Användare; den som har en privat e-legitimation eller en e- tjänstelegitimation som godtas som Svensk e-legitimation, 8.Identitetsintyg; ett av en identitetsutfärdare utställt intyg i elek- tronisk form med uppgifter om en användares identitet och attribut, 9.Attributsintyg; ett av en attributsutfärdare utställt intyg i elektronisk form med uppgifter om användares juridiska behörighet, organisatoriska roll eller andra egenskaper, 10.Centralt utfärdarregister; ett register som för över identitets- och attributsutfärdare som är anslutna till Infrastrukturen för identifiering, 11.Centralt e-tjänsteregister; ett register som för över e-tjänsteleverantörer som är anslutna till Infrastrukturen för identifiering, 12.Tillitsnivå; den skyddsklass till vilken en e-legitimation hänförs, 13.Signaturtjänsten; det tekniska och administrativa stöd som lämnar åt en e-tjänsteleverantör för att användare ska kunna skriva under handlingar elektroniskt, och 14.Anvisningstjänsten; det tekniska och administrativa stöd som lämnar åt en e-tjänsteleverantör för att användare ska kunna välja e-legitimation. 1.7E-legitimationsnämnden ska utveckla och svara för Infrastrukturen för Svensk e-legitimation. Till nämndens uppgifter hör att a)utarbeta underlag för föreskrifter beträffande Infra- strukturen för Svensk e-legitimation, avtal och allmänna villkor i de delar Infrastrukturen för Svensk e-legitimation regleras genom civilrättsliga överenskommelser samt riktlinjer, vägledningar, dokumentation och tekniska krav för Infrastrukturen för Svensk e-legitimation, b)meddela föreskrifter inom ramen för den normgivnings- kompetens som delegeras till nämnden, c)upphandla leverantörer av tekniska tjänster för Infra- strukturen för Svensk e-legitimation, d)sluta avtal med aktörer inom Infrastrukturen för Svensk e- legitimation, e)inrätta en Infrastruktur för identifiering inom ramen för Infrastrukturen för Svensk e-legitimation, och för denna infrastruktur i.inrätta ett valfrihetssystem för Infrastrukturen för identifiering, och ii.besluta och avtala om anslutning till Infrastrukturen för identifiering. 1.8Identitetsutfärdare som ansluts till Infrastrukturen för identifiering ska tillhandahålla identitetsintyg åt e- tjänsteleverantörer. Den som lämnar identitetsintyg inom Infrastrukturen för identifiering ska ha ställt ut de e- legitimationer som brukas eller – såvitt är av betydelse för ett lämnat intyg – svara för e-legitimationen och anknytande funktioner som om Identitetsutfärdaren själv hade ställt ut e-legitimationen och tillhandahållit anknytande funktioner. 1.9Attributsutfärdare som anslutits till Infrastrukturen för identifiering ska tillhandahålla uppgifter åt e-tjänste- leverantörer om juridisk behörighet, roll, personnummer eller annat av betydelse för en e-tjänsteleverantör som ska kontrollera uppgifter om användare. 1.10Användare brukar privat e-legitimation eller e-tjänste- legitimation i e-tjänster. Användaren väljer en identitets- utfärdare som nämnden anslutit till Infrastrukturen för identifiering. informerar på sin webbplats om vilka identitetsutfärdare som har anslutits. 1.11E-tjänsteleverantörer, anslutna till Infrastrukturen för identifiering, tillhandahåller e-tjänster där det krävs elektronisk legitimering eller elektronisk underskrift. 1.12E-legitimationsnämnden ska föra register över a)de identitetsutfärdare och attributsutfärdare som är anslutna till Infrastrukturen för identifiering (utfärdar- register), och b)de e-tjänsteleverantörer som är anslutna till Infra- strukturen för identifiering (e-tjänsteregister). 1.13I dessa register ska finnas uppgifter om a)elektroniska adresser till anslutna identitets- och attributs- utfärdare och e-tjänsteleverantörer, b)vilka uppgifter en e-tjänsteleverantör behöver för en viss e- tjänst, c)vilka identitetsuppgifter och attribut som en identitets- eller en attributsutfärdare kan tillhandahålla, och d)de certifikat och nycklar som en utfärdare av identitets- eller attributsintyg använder för att stämpla intygen och som e-tjänsteleverantörer använder för att kontrollera om mottagna intyg är äkta. 1.14Uppgifter i utfärdarregistret ska få användas även inom anknytande infrastrukturer för motsvarande tjänster åt företag och andra organisationer, som registreras i e- tjänsteregister som inte är en del av Infrastrukturen för identifiering.