sou · GYB3104 · 2010-12-23 00:00:00 — Artikel 29-gruppen har konstaterat att det blivit svårt att göra de rättsliga bedömningarna och att tillämpa berörda begrepp i kom- plexa miljöer, där olika scenarier kan tänkas som omfattar person- uppgiftsansvariga och personuppgiftsbiträden, ensamma eller tillsammans, med olika grader av självständighet och ansvar. Gruppen har härvid betonat att efterlevnaden av bestämmelserna om persondataskydd måste kunna garanteras. har gruppen konstaterat att den konkreta tillämpningen blivit svårare när berörda IT-miljöer blivit alltmer komplexa och tjänster utvecklats över organisationsgränser och lagts ut på entreprenad för att nyttja specialiseringar och skalfördelar. Detta måste beaktas när en ny Infrastruktur för identifiering ska införas. Det följer emellertid också av Artikel 29-gruppens yttrande att parter som agerar tillsammans har en viss flexibilitet när det gäller att fördela skyldigheter och ansvar sinsemellan, så länge de garanterar en fullständig efterlevnad av reglerna om persondataskydd (s. 23). Denna möjlighet att skapa en sund fördelning av personuppgifts- ansvaret bör tas tillvara så att regeringens intentioner med att införa en ny Infrastruktur för Svensk e-legitimation blir verklighet. Hit hör att förenkla, bredda och effektivisera denna struktur som ett ökat skydd ges för enskildas personliga integritet. Vilka aktörer som skulle kunna ha ett personuppgiftsansvar framgår något förenklat av följande figur. Figur 7.2 Aktörer med personuppgiftsansvar (Typ SPAR) Bevarar uppgifter i elektronisk akt – även från registerkoll, regleras för att undgå känsliga Utfärdaren(av e-leg och identitetsintyg) – kan behöva regleras för att undgå uppgiftssamlingar (=lagringsförbud i (lagringsförbud i intygsdelen) E-tjänsteleverantörerna kan behöva regleras för att undgå känsliga uppgiftssamlingar Ansökan om e-leg – lämnar uppgifter om sig Användaren – behöver inte regleras Som framgått uppkommer inget personuppgiftsansvar för beträffande Utfärdar- eller E-tjänsteregistren så länge registren inte innehåller några personuppgifter. Det föreslås emellertid att nämnden också ska tillhandahålla anvisnings- och signaturtjänster se vidare avsnitt 7.2.6. De som för register som ska användas av Identitets- och Attri- butsutfärdare för vissa kontroller (registerföraren i figuren ovan) är personuppgiftsansvariga för sina register och de behandlingar som de utför för att lämna ut uppgifter till utfärdarna. För detta behövs inte någon särskild reglering. De behandlingar som innehavare av e- legitimationer (se användaren i figuren ovan) utför med sin e- legitimation behöver inte heller regleras särskilt. Utformas denna hantering rätt bör den kunna avgränsas så att det varken upp- kommer någon tvekan om vem som har personuppgiftsansvaret för de olika behandlingarna eller några särskilda risker från persondata- skyddssynpunkt. Därmed återstår E-tjänsteleverantörerna och Identitets- och Attributsutfärdarna (se de fyrkantiga blå rutorna i figuren ovan). Här blir det av central betydelse att respektive utfärdares system för att utfärda intyg inte utformas så att de kan bli en samlingsplats för nya och gamla Identitetsintyg eller för loggar och liknande som kan användas för att kartlägga en eller flera användare. Det enda som bör få bevaras är debiteringsunderlag och liknande i aggregerad form, avidentifierat så att elektroniska spår inte kan återskapas. Denna begränsning bör gälla också för vad som loggas och annars bevaras i brandväggar, intrångsdetekteringssystem och liknande som är knutna till respektive system för utfärdande av Identitetsintyg. På motsvarande sätt bör det i system för utfärdan- de av Attributsintyg och i kringliggande säkerhets- och kommu- nikationssystem få bevaras endast debiteringsunderlag och liknande i aggregerad form, avidentifierat så att elektroniska spår inte kan återskapas. En sådan begränsning föreslås i 14 § förslaget till förordningen om Infrastrukturen för svensk e-legitimation. Bestämmelsen får naturligtvis inte förstås så att den skulle hindra bevarande eller andra behandlingar som är nödvändiga för att infrastrukturen ska fungera. På så sätt undviks att personuppgifter samlas in när det inte är nödvändigt och att känsliga personuppgiftssamlingar uppkommer hos Identitets- och Attributsutfärdare. Dessa risker skulle bli sär- skilt kännbara om t.ex. en utfärdare blir helt dominerande på marknaden eller dessa funktioner utkontrakteras till en och samma Ges sådana system en olämplig utformning skulle det kunna skapas en närmast komplett bild av Användares kon- takter och kommunikationsvägar i elektronisk miljö. Det bör härvid föreskrivas att sambearbetningar av uppgifter, som rör kom- munikation för elektronisk legitimering eller elektronisk under- skrift, inte får ske mellan olika Identitets- eller Attributsutfärdare. Dessa system behöver istället avgränsas och skyddas så att de kan vinna allmänhetens tillit från både säkerhets- och persondata- skyddssynpunkt; se 15 § förslaget till förordningen om Infrastrukturen för svensk e-legitimation. En sambearbetning som krävs för att Infrastrukturen för Svensk e-legitimation ska fungera ska dock naturligtvis få äga rum. Beträffande system för att utfärda Svensk e-legitimation gäller delvis detsamma. En granskning av dagens system har också visat att endast ett fåtal uppgifter lagras i dessa system och att de i praktiken inte används så att Användares transaktionsmönster eller annat liknande kan tas fram. Det utfärdaren ser är själva slagningen mot en server för att se att e-legitimationen inte är spärrad. Utfärdaren ser därvid endast vilken förlitande part som ställer frågan och – genom serienummer – vilken e-legitimation som slagningen gäller. Här kan emellertid, närmast av ordningsskäl, den begränsning som gäller för s.k. öppna system enligt 16 § lagen (2000:832) om kvalificerade elektroniska signaturer, utvidgas genom bestämmelser i förordning till att gälla även för dagens slutna system där alla aktörer är anslutna genom avtal. Enligt 16 § signaturlagen får en utfärdare inhämta personuppgifter endast direkt från den som uppgifterna avser eller med dennes uttryckliga samtycke och endast i den utsträckning som är nödvändig för att utfärda eller upprätthålla ett certifikat. Vidare föreskrivs att uppgifterna inte får samlas in eller behandlas för andra ändamål utan uttryckligt samtycke från den som uppgifterna avser. Mot- svarande bör gälla för Användare av s.k. slutna system; dvs. när alla berörda aktörer är anslutna genom avtal. Identitetsintyg kan utfärdas med stöd av e-legitimationer från såväl öppna som slutna system och samma persondataskydd bör för dessa fall ges inom Infrastrukturen för identifiering. En sådan anpassning föreslås genom 13 § förslaget till förordningen om Infrastrukturen för svensk e-legitimation. En detalj i detta sammanhang är att bestämmelsen i 16 § signaturlagen – så som den formulerats – skulle kunna uppfattas som ett förbud mot behandlingar som behövs för att utfärda Identitets- eller Attributsintyg, men inte är nödvändiga för att utfärda eller upprätthålla själva certifikatet. I denna del bör emellertid signaturlagen och bakomliggande direktiv tolkas så att utfärdande och användning av Identitets- och Attributsintyg får ses som en integrerad del i hanteringen av e- legitimationer, som inom föreslagen infrastruktur får anses nödvändig, även för att upprätthålla e-legitimationerna. Till denna fråga om hur 16 § andra meningen signaturlagen ska förstås kommer de fall där en utfärdare vill tillhandahålla uppgifter som kan uppfattas som bra att ha för Användare eller utfärdare, men som inte är nödvändiga för att utfärda eller upprätthålla certifikat eller intyg. Användningen i paragrafens andra mening av uppgifterna i bestämd form skulle visserligen kunna läsas så att inga andra uppgifter än de som avses i första meningen skulle få användas för andra ändamål. Detta kan emellertid knappast ha varit avsikten. Har den registrerade lämnat sitt uttryckliga samtycke till att andra uppgifter behandlas torde dessa behandlingar således få äga rum. Samma tolkning får göras av den bestämmelse som föreslagits i 13 § förslaget till förordningen om Infrastrukturen för svensk e-legitimation. Det framstår däremot som naturligt att E-tjänsteleverantörer som mottar Identitets- och Attributsintyg ska få använda dessa inte bara för att initialt kontrollera en persons identitet och behörighet eller handlingars äkthet. De bör också få bevara intygen så länge det behövs för att styrka sådana uppgifter, t.ex. om en tvist skulle uppkomma eller behov annars skulle uppkomma av att visa att åtkomst till uppgifter och system skett på lovligt sätt eller att handlingar undertecknats av en behörig person och att texten inte har ändrats. Detta torde inte kräva någon särskild reglering. Mot dessa begränsningar får ställas de behov av spårbarhet som kan visa sig finnas för att motverka och beivra förfalskningar och andra missbruk. E-tjänsteleverantören ställer upp de krav som en e- tjänst behöver uppfylla utifrån det skyddsvärde som den enskilda e- tjänsten anses ha. Denna bedömning blir avgörande för vilka krav på spårbarhet som ställs. Detta bör emellertid lösas genom att infrastrukturen utformas så att Identitets- och Attributsintygen kompletteras med uppgifter som visar sig nödvändiga för att skapa erforderlig spårbarhet när denna saknas hos Identitets- och Attri- butsutfärdare som en följd av det föreslagna förbudet mot loggar och liknande. Skulle sambearbetningar därvid behövas av uppgifter hos flera aktörer får detta ske inom ramen för den brottsutredning och de straffprocessuella tvångsmedel som kan aktualiseras. Utformas Infrastrukturen för Identifiering på detta sätt bör frågan om fördelning av personuppgiftsansvar kunna bli förhållan- devis enkel genom att personuppgiftsansvaret flyttas över stegvis som i en slags stafett när en transaktion för legitimering, underskrift, identifiering av den som legitimerat sig eller kontroll av en underskrifts äkthet flödar genom Infrastrukturen för Svensk E-legitimation. Användaren (personlig e-legitimation) eller Användarens arbets- eller uppdragsgivare (e-tjänstelegitimation) blir personuppgiftsansvarig för de behandlingar som sker hos denne, t.ex. för att hantera e-legitimationen och eventuellt bevara ett exemplar av en elektroniskt underskriven handling. Utfärdaren svarar som för behandlingar vid utfärdande och i tjänster för spärr och spärrkontroll samt för de uppgifter som utfärdaren i övrigt behandlar i sitt system för e-legitimationer. På liknande sätt svarar Attributsutfärdare för sina tjänster medan E-tjänste- leverantören svarar för sina behandlingar av personuppgifter i e- tjänsten – däribland för identifiering och kontroll av underskrifter samt bevarande och senare användning om behov av kontroller skulle uppkomma. Genomförs en sådan enkel lösning i enlighet med personupp- giftslagens reglering – utan något för aktörer gemensamt person- uppgiftsansvar – och stöds den av en systemuppbyggnad i enlighet med denna modell, så att gränserna blir tydliga, krävs ingen särskild författningsreglering av personuppgiftsansvaret inom Infrastrukturen för Identifiering. Även i övrigt bör personuppgiftslagens regler kunna tillämpas utan någon särreglering. På en punkt bör emellertid e-legitimationshanteringens och identitets- och attributsintygshanteringens många led särskilt beaktas. Om en personuppgiftsansvarig utfärdare lämnar de Användare som tilldelas e-legitimationer tydlig information om de behandlingar för identifiering och kontroll av underskrift som kan komma att ske i senare led torde myndigheter och andra som i egenskap av förlitande part behandlar personuppgifter i e-legitima- tioner m.m. normalt inte behöva lämna samma information på nytt. Förslag bör tas fram till hur sådan information kan utformas så att den blir tydlig och för att begränsa behovet av återkommande upprepningar i senare led (i varje e-tjänst). Själva informationen bör kunna lämnas till Användarna redan i samband med att avtal sluts med utfärdare. 7.2.5Bättre skydd genom tekniska anpassningar När personuppgifter ska behandlas av olika aktörer, på olika platser och med olika skyddsmekanismer och skilda administrativa lösningar har det visat sig att författningsregleringens teknik- neutrala bestämmelser inte alltid fungerat som ett tillräckligt styrmedel. Persondataskyddet har kunnat motverkas redan vid valet av teknisk lösning. Forskning har därför initierats för att ta fram tekniska lösningar, byggda för att främja persondataskyddet; s.k. integritetsfrämjande teknik (eng. Privacy-Enhancing Tech- nologies; PETs). Genom sådana lösningar kan -behandlingen av personuppgifter minimeras, -avidentifierade uppgifter eller pseudonymer används, -vissa uppgifter krypteras eller blockeras, och -policies för integritetsskydd analyseras automatiserat så att den som t.ex. besöker en webbplats enkelt kan göra välgrundade bedömningar av vilket skydd som ges. Den Infrastruktur för identifiering som föreslås bygger på en standard (SAML) som är särskilt utformad för att kunna tillgodose sådana behov. Rätt utformad kan alltså Infrastrukturen för identifiering göra det svårare rent tekniskt att genomföra kränkningar av den personliga integriteten. Som exempel på integritetsfrämjande teknik kan nämns bl.a. användningen av e-legitimationer med pseudonym (jfr 6 § första stycket 3 signaturlagen) som hindrar direkt identifiering och möjliggör anonyma betaltjänster till skillnad från kontokorts- baserade betalningar. I ett meddelande från Europeiska Kommissionen till och Rådet (KOM(2007) 228), om främjande av dataskydd genom integritets- främjande teknik, har Kommissionen som sin mening uttalat bl.a. att integritetsfrämjande teknik bör utvecklas och få en bredare användning och att en sådan utveckling skulle förbättra integritets- skyddet och bidra till att bestämmelserna om persondataskydd följs. Kommissionen har vidare i ett meddelande om e- förvaltningens roll i framtid (KOM(2003) 567) förklarat att teknik som höjer skyddet för privatlivet bör främjas inom e- förvaltningen i syfte att skapa tilltro och förtroende så att e- förvaltningen utvecklas på ett framgångsrikt sätt. Frågor om integritetsfrämjande teknik har behandlats också i offentliga utredningar (NOU 2009:1) Individ og integritet – Personvern i det digitale samfunnet samt i en akademisk avhandling från . Den fokusering på frågor om informationssäkerhet och auten- tisering som präglat utvecklingen av e-legitimationer och elektroniska underskrifter bör – när området samordnas nationellt genom och vidgas till utfärdande av Identitets- och Attributsintyg – kompletteras med en strategi för integritetsfrämjande teknik. Teknikens möjligheter behöver tas tillvara för att förena en framtida infrastruktur med ett effektivt persondataskydd. Vi föreslår därför att det i varje skede för att utveckla en Infrastrukturen för Svensk e-legitimation ska genom- lysas om eftersträvad informationssäkerhet, effektivitet, användar- vänlighet och rättssäkerhet kan uppnås genom en alternativ teknisk lösning, där riskerna för enskildas personliga integritet blir mera begränsade. Någon författningsreglering behövs inte i denna del, utöver den redan föreslagna bestämmelsen om att så få personuppgifter som möjligt ska samlas in, lämnas ut eller annars behandlas och att inte fler uppgifter än nödvändigt får samlas in och bevaras. Däremot bör det i t.ex. arbetsordning anges att en granskning ska göras i varje fas i utvecklingen av Infrastrukturen för Svensk e-legitimation av om eftersträvade mål kan uppnås genom en alternativ teknisk lösning där risken blir mindre för att enskildas personliga integritet kränks. Dessa tekniska begränsningar blir långtgående, särskilt om de ses tillsammans med de föreslagna begränsningarna enligt författ- ning. Ett sådant skydd är emellertid av central betydelse för att den framtida infrastrukturen ska vinna allmän tillit och inte riskera att missbrukas genom att elektroniska spår skapas, bevaras och sambearbetas för andra ändamål än dem för vilka den nya infra- strukturen tillskapats. Det blir en viktig uppgift att genomlysa dessa begränsningar och vad som krävs inom den nya infrastruk- turen så att den föreslagna regleringen inte hindrar behandlingar som krävs för att skydda infrastrukturen mot angrepp och att granska och åtgärda fel. Enligt förslaget till definitioner menas med anvisningstjänst det tekniska och administrativa stöd som lämnar åt en E-tjänsteleverantör för att användare ska kunna välja e-legitimation. I vissa fall kommer användaren att kunna se att en särskild tjänst för anvisning används, i andra fall inte. Så som denna tjänst fungerar är det naturligt att se som underleverantör av den till respektive tillhandahållare av e-tjänster (se avsnitt 5.4). Eftersom E-tjänsteleverantören därmed får anses tillhandahålla Anvisningstjänsten och bestämma om och hur den ska införas för aktuell e-tjänst bör ett personuppgiftsansvar för de uppgifter som behandlas där anses vila på respektive E-tjänsteleverantör, med och en eventuell underleverantör till nämnden som personuppgiftsbiträden. Avsikten är emellertid att införa sådana tekniska lösningar att de uppgifter som behandlas i en Anvisningstjänst inte kan kopplas till person så att personuppgifter anses föreligga personuppgiftslagens mening. Det återstår att i det fortsatta arbetet se om persondataskyddet med teknisk hjälp kan drivas så långt. Beträffande en signeringstjänst blir det av avgörande betydelse att ta tillvara de möjligheter som integritetsfrämjande teknik kan ge så att handlingar m.m. inte samlas och bevaras på ett ställe. I denna del har utvecklingsarbetet emellertid inte kommit tillräckligt långt för att en närmare analys av persondataskyddet ska bli verknings- full. Frågan får därför tas upp i det fortsatta arbetet. 7.2.7Lagen om elektronisk kommunikation Enligt 1 kap. 4 § lagen (2003:389) om elektronisk kommunikation (LEK) gäller lagens bestämmelser elektroniska kommunikationsnät och elektroniska kommunikationstjänster med tillhörande installa- tioner1 och tjänster samt annan radioanvändning. Den föreslagna Infrastrukturen för Svensk e-legitimation innefattar inte något tillhandahållande av allmänna kommunikationsnät. Därmed återstår frågan om , Identitets eller Attributs- 1 Med tillhörande installation menas enligt 1 kap. 7 § LEK anordning, funktion eller annat som inte utgör men har samband med en elektronisk kommunikationstjänst eller ett elektroniskt kommunikationsnät, och som möjliggör eller stöder den tjänsten eller tillhandahållandet av tjänster via det nätet. utfärdare eller E-tjänsteleverantörer kan komma att tillhandahålla någon allmänt tillgängliga elektronisk kommunikationstjänst. Enligt 1 kap. 7 § LEK menas med elektronisk kommunikations- tjänst en tjänst som vanligen tillhandahålls mot ersättning och som helt eller huvudsakligen utgörs av överföring av signaler i elek- troniska kommunikationsnät. Den föreslagna Infrastrukturen för Svensk e-legitimation torde falla utanför tillämpningsområdet för LEK redan till följd av att de tjänster som , Identitetsutfärdare, Attributsutfärdare och E-tjänsteleverantörer ska tillhandahålla inte innefattar överföring av signaler. För att sådan överföring ska anses föreligga behöver de ha rådighet över signalen (bäraren av informationen) och därmed ha inflytande över faktorer som t.ex. överföring och kvalitet. Den föreslagna lösningen innebär emellertid att såväl som Identitetsutfärdare, Attributsutfärdare och E-tjänsteleverantörer förlitar sig på att det finns andra kommunikationstjänster som fungerar som bärare för den egna tjänsten; se vidare Post- och (PTS-ER-2009:12) s. 20 ff. Detta avsnitt börjar med att beskriva omvärlds- och marknads- utvecklingen för e-legitimationer samt marknadens drivkrafter. En ny svensk affärsmodell för e-legitimationer beskrivs med start i dess utgångspunkter, nyttor och incitament som skapas, betal- strömmar till nämnden och mellan aktörerna i Svensk e-legitima- tion beskrivs också. förslag till mål för verksamheten tydliggörs, dess roll och nämndens målsättningar vad gäller bearbetning av modellens aktörer samt tjänster. Ett förslag till nämndens ansvarsområden och organisation presenteras följt av en genomförandeplan vilken bland annat lyfter fram vikten av att etablera nära samråd med modellens aktörer för att säkra bästa tänkbara upplägg samt en smidig övergångslösning. Avsnittet avslutas med att gå igenom nämndens ekonomi och budget samt vilka risker som är förknippade med den fortsatta utvecklingen. Ett stort antal länder arbetar aktivt med lösningar för hantering av e-legitimationer. Exempelvis var tidigt ute och introduce- rade ett identitetskort med e-legitimation. Lösningen gavs ut av regeringen till alla medborgare , dock nyttjades inte existerande infrastruktur och lösning som etablerats av de finska bankerna, vilket innebar att spridningen blivit mycket begränsad.1 har skapat en central part för att samordna och hantera e-legitimationer, kallad eHerkenning, vars roll verkar ha stora likheter med i . eHerkenning kommer till en början att överta DigiDs roll som 1 Electronic identity in : ID cards vs. , , 6 2010. autentisering för organisationer och företrädarskap för organisa- tioner vid inloggning till statliga e-tjänster.2 har under försett sina medborgare med elektronisk med e-legitimation som skall omfatta en majoritet av befolkningen. I ger bankerna ut e-legitimationer som baseras på centralt lagrade nycklar för identifiering och signering, det så kallade Norska BankID som främst används för att logga in på och utnyttja tjänster i Norska nätbanker. har ett antal aktörer i en nyligen avgjord upphandling getts uppdraget att ge ut personliga e-legitimationer för åtkomst till myndighetstjänster. SuisseID är en introducerad nationell e-legitimations- modell baserat på federering med SAML. Medborgare som registrerar sig får ett unikt SuisseID som inte är kopplat till personnummer etc. Det finns fyra ackrediterade identitetsutfärdare och antalet tjänster växer kontinuerligt. Den finansiella modellen bygger på att en kostnad är relaterad till utfärdande av e-legitimationer, vilken tas ut av slutanvändarna. Användningen av e-legitimationer stimuleras av att en stor del av den initiala avgiften återbetalas efter ett visst antal användningar.3 Inom EU projektet (Secure idenTity acrOss boRders linKed) utvecklas och testas en lösning för att knyta samman identifieringsinfrastrukturer i medlemsstater för att möjliggöra gränsöverskridande e-förvaltningstjänster för medlemsstaternas medborgare och organisationer. Gränsöverskridande e-legitima- tioner anses nödvändiga för att reducera den administrativa bördan inom , vilket anses kunna förbättra områdets konkurrens- position.4 Prioriterade e-tjänsteområden inom EU är främst riktade mot startande och bedrivande av affärsverksamhet, studier, arbete samt att bo och pensionera sig inom unionens gränser. Inom ramen för samt det så kallade Kantara- initiativet utvecklas ett tillitsramverk som grund för klassning av olika e-legitimationers tillitsnivåer (se även avsnitt 6 rörande tillits- nivåer). Dessa aktiviteter utgör grunden för skapandet av en ny ISO standard (ISO 29115) för ett tillitsramverk som ska vara färdigt . 4STORK, Towards pan-European recognition of electronic IDs (eIDs), D2.2 – Report on legal interoperability, . EU kommissionens IDABC program (Interoperable Delivery of European eGovernment Services to public Administrations, Businesses and Citizens) avslutades och efterföljs av det nya programmet (for ). programmet skall ta vid och bygga på erfarenheterna som vunnits i IDABC-programmet. Vid avslutande kommer ISA- programmet att ta över ansvaret för att den infrastruktur som tagits fram inom drivs vidare. Tjänstedirektivets införande ställer krav på elektronisk utväxling av information med myndigheter, företag och medborgare i .