sou · GYB3104 · 2010-12-23 00:00:00 — Gemensamma avtal för inrättande av valfrihetssystem bör därför anses uppfylla krav på ramavtal eller andra gemensamma avtal enligt förordningen om statlig inköpssamordning. Några författnings- ändringar behövs därmed inte i denna del. Detta innebär vidare att myndigheter under regeringen ska använda sig av sådant gemensamt avtal om myndigheten inte finner att en annan form av avtal sammantaget är bättre. 5Se även prop. 1997/98:136, Statlig förvaltning i medborgarnas tjänst, s. 41, Statskontorets rapport effektivare statlig inköpssamordning (2009:12), information på . 5Ett regelverk för infrastrukturen för Svensk e-legitimation I detta avsnitt beskrivs hur den Infrastruktur för Svensk e- legitimation som föreslås ska kunna realiseras genom författnings- reglering och civilrättslig reglering. För att den föreslagna modellen till en ny Infrastruktur för Svensk e-legitimation ska kunna bli verklighet behövs som framgått både författningsreglering och civilrättslig reglering. Två grundläggande komponenter i en författningsreglering av området har redan berörts, nämligen 1.Förslag till lag om valfrihet för Svensk e-legitimation, och 2.Beslutad förordning med instruktion för . Ytterligare reglering genom förordning kan dock visa sig behövas genom dels kompletteringar i instruk- tion, när uppdraget utkristalliserats närmare (jfr avsnitt 3.4), dels en särskild förordning om Infrastrukturen för Svensk E-legitima- tion. I den särskilda förordningen kan närmare regler ges för bl.a. statliga myndigheters mellanhavanden vid införande och användning av den nya infrastrukturen. Eftersom myndigheter under regeringen är en del av samma juridiska person regleras deras mellanhavanden normalt i författning. De utgör ett och samma rättssubjekt och kan därför inte sluta bindande civilrättsliga avtal med varandra eller få en tvist om en överenskommelse prövad i domstol. Ett regelverk för infrastrukturen för Svensk e-legitimation Det planeras vidare att ska ta ut en avgift för handläggningen av ärenden rörande Infrastrukturen för Svensk e-legitimation – dels en ansökningsavgift vid anslutning, dels en årlig avgift för administration och tillsyn. Dessa avgifter kan behöva regleras i förordning. Vissa förfaranderegler och regler om infrastrukturen kan också behöva ges i förordning. Det blir dessutom viktigt, med hänsyn till utvecklingstakten på området, att normgivningskompetens delegeras till . Tekniskt och administrativt komplicerade frågor rörande elektronisk identifiering och elektroniska underskrifter bör så långt det är möjligt inte regleras i lag eller förordning, bl.a. för att nya tekniska landvinningar och förbättrade produkter ska kunna tas i bruk utan hinder av teknikrelaterade regler i lag eller förordning. Till detta kommer de civilrättsliga regler som behövs inom Infrastrukturen för Svensk e-legitimation. Dessa regler kan införas som en del i parternas mellanhavanden genom att tas in i de avtal som ingår med dem som ansluts till Infra- strukturen för Svensk e-legitimation. Denna infrastruktur byggs därmed genom flera samverkande regelverk. Frågan är emellertid hur dessa närmare bör utformas. Utredningens arbete har fokuserat på att finna och utvärdera alternativ till en ny modell, vilket gör att regelarbetet ägnats mindre tid. I det följande kan därför endast en övergripande bild ges av dessa frågor och av hur en rättslig reglering av en Infrastruktur för Svensk e-legitimation skulle kunna fördelas mellan lag, förordning, myndighets- föreskrifter, civilrättsliga regler i avtal mellan aktörerna samt icke bindande allmänna råd, riktlinjer och tekniska specifikationer. Det bör noteras att det inte finns några vedertagna författningstekniska eller avtalstekniska lösningar för hur en infrastruktur av aktuell omfattning och betydelse bör regleras. Erfarenheter från området för e-legitimationer har dessutom visat att många och omfattande dokument lätt växer fram där det delvis framstår som oklart vad som utgör bindande regler till skillnad från rekommendationer, vägledningar eller tekniska beskrivningar av använda IT-lösningar. En central del i arbetet med regelverk för den föreslagna infrastrukturen bör därmed vara att införa en regel- hierarki och utforma samverkande regler i lag, förordning och myndighetsföreskrifter som är tydliga, lättillgängliga och förenliga med reglerna om normgivningskompetensens fördelning, i den mån regleringen inte ska ske civilrättsligt i avtal mellan berörda parter. Ett regelverk för infrastrukturen för Svensk e-legitimation 5.2Utkast till förordning om Infrastrukturen för Svensk e-legitimation ska som framgått inte bara utveckla en Infrastruktur för Svensk e-legitimation som myndigheter och vissa därmed jämställda organ avses använda. Nämnden ska också svara för centrala delar av infrastrukturen. Den reglering av det planerade valfrihetssystemet som föreslås i lag och motiven till denna reglering kommer visserligen att ge en övergripande beskrivning av den Infrastruktur för Svensk e-legiti- mation som ett valfrihetssystem är tänkt att betjäna. Där kan emellertid inte mer än en övergripande bild ges och det föreslås inte heller några regler i lag om t.ex. 1.vilka aktörer som ska ingå i denna infrastruktur – att bara myndigheter och vissa jämställda organ inom offentlig sektor ska få anslutas i egenskap av e-tjänsteleverantörer, 2.vilka register som ska ingå i Infrastrukturen för identifiering, vilka som ska få registreras i dessa register och vem som ska svara för dem – att utfärdar- och e-tjänsteregister ska inrättas och föras för offentlig sektor, att ska svara för registren, att endast utfärdare av Svensk e-legitimation och vissa attributsutfärdare ska få registreras där, 3.hur infrastrukturen ska användas – att bl.a. legitimering, elek- tronisk underskrift samt autentisering och äkthetskontroll ska kunna ske, och 4.vilka regler som ska gälla för bl.a. anslutningsförfarandet, avgifter, användning och ansvar. Utvecklingen på området är snabb. En närmare beskrivning i lag skulle därmed, som framgått, snabbt kunna komma i konflikt med och kanske rent av hindra att kommande tekniska landvinningar tas tillvara. Vissa funktioner inom den planerade infrastrukturen blir dessutom av sådan betydelse att en författningsreglering kan ses som en naturlig del av en reglering. En särskild förordning om Infrastrukturen för Svensk e-legitimation kan härvid visa sig lämplig. Vidare bör normgivningskompetens delegeras så att detaljerade och tekniskt relaterade regler för en Infrastruktur för Svensk e- legitimation kan ges genom myndighetsföreskrifter, antingen som Ett regelverk för infrastrukturen för Svensk e-legitimation SOU 2010:104 verkställighetsföreskrifter eller med stöd av den s.k. rest- kompetensen; 8 kap. 13 § regeringsformen (RF). En sådan förordning om Infrastrukturen för Svensk e-legitima- tion bör syfta till att etablera infrastrukturen för svensk e- legitimation inom den offentliga förvaltningen och att samordna och förenkla e-tjänsteleverantörernas användning av funktioner för elektronisk legitimering och elektronisk underskrift. Förordningen bör kunna tillämpas för såväl statliga som kommunala myndig- heter. Som en första del i en sådan förordning bör definitioner ges av centrala begrepp, se bilaga 4. Här kan inte nog betonas vikten av att den föreslagna, delvis komplexa infrastrukturen beskrivs och betecknas på ett enhetligt sätt, inte bara i författning utan även i det civilrättsliga regelverk som ska införs genom avtal vid anslutning till valfrihetssystemet. Regler bör vidare ges, i en förordning om Infrastrukturen för Svensk e-legitimation, se bilaga 5, om de register som behövs inom infrastrukturen för identifiering. Där krävs dels ett utfärdarregister över de identitets- och attributsutfärdare som ansluts, dels ett e- tjänsteregister över e-tjänsteleverantörer som ansluts. I denna del behövs föreskrifter för att tillgodose behovet av persondataskydd, genom att – så långt det är möjligt – förbjuda att personuppgifter behandlas. Det bör dessutom i tydlighetens intresse särskilt anges att uppgifter om vilken kommunikation som ägt rum med eller mellan användare och e-tjänsteleverantörer inte får registreras där och naturligtvis inte heller innehållet i identitets- eller attributintyg eller handlingar som ska eller har skrivits under elektroniskt. Det behöver vidare säkerställas att identitets- eller attributsintyg inte kan finnas loggade eller annars bevarade inom ramen för Infrastrukturen för Svensk e-legitimation. För signatur- tjänsten krävs dessutom regler så att elektroniska meddelanden som ska skrivas under eller har undertecknats inte får finnas bevarade eller loggade – inte ens i säkerhetskopior, brandväggar, intrångsdetekteringssystem eller liknande. Det bör dessutom – med hänsyn till infrastrukturens karaktär – föreskrivas att de tekniska och administrativa lösningarna ska utformas så att så få personuppgifter som möjligt samlas in, lämnas ut eller annars behandlas och att inte fler uppgifter än nödvändigt samlas in och bevaras så att de blir direkt tillgängliga. kan bestämmelser behövas för att säkra sådan åtkomst i elektronisk form Ett regelverk för infrastrukturen för Svensk e-legitimation till de uppgifter i registren som krävs för att infrastrukturen ska kunna användas på ett fungerande sätt. Anslutning till registret torde ske genom beslut av i förvaltningsärenden. Detta gäller för både identi- tetsutfärdare och e-tjänsteleverantörer. Vissa regler om förfarandet och om avgifter m.m. behöver ges i en förordning om Infra- strukturen för Svensk e-legitimation. Vidare kan där erforderliga bemyndiganden ges för att meddela föreskrifter rörande Infrastrukturen för Svensk e-legitimation. Det behöver också övervägas i vilken mån bestämmelserna i 2 kap. 10 och 11 §§ tryckfrihetsförordningen (TF) kan bli tillämpliga på detta material. Möjligen kan vissa föreskrifter behöva ges om uppgiftshanteringen. 5.3Valfrihetslag och civilrättslig reglering 5.3.1En lösning genom avtal Med det valfrihetssystem som föreslagits (kapitel 4) följer att civil- rättsliga avtal sluts med alla identitetsutfärdare. Dessa avtalsslut avses leda till ett kontraktuellt förhållande mellan bl.a. varje identitetsutfärdare och varje e-tjänsteleverantör. Avtalssluten ska ske genom , efter att e-tjänsteleverantörer- na gett nämnden i uppdrag att ingå dessa avtal för deras räkning. Genom att avtal sluts mellan de involverade parterna uppkommer kontraktuella förhållanden direkt mellan dessa och lösningen innebär att sådana konstruktioner som tredjemansavtal kan undgås och därmed den rättsliga osäkerhet som avtal av det slaget lätt för med sig, t.ex. om villkor rörande ansvar eller begränsning av ansvar behöver knytas till en viss rättslig relation. Förenas de avtal som enligt uppdrag tecknar med allmänna villkor som inkorporeras i samtliga avtal kan denna reglering – rätt utformad – delvis bära upp Infrastrukturen för Svensk e-legitima- tion. Genom att ges en central roll i avtalstecknandet och i hanteringen av avtalen med Identitets- utfärdare kan en smidig och praktisk hantering skapas för e- tjänsteleverantörerna. Om en lösning med avtal inte valts hade det dessutom krävts lagstiftning. Med den föreslagna inriktningen får marknaden delvis utforma affärsmodeller och lösningar. Eftersom det till stora delar Ett regelverk för infrastrukturen för Svensk e-legitimation är osäkert hur denna marknad kommer att utvecklas saknas under- lag för att utforma en reglering som har den stabilitet och förankring i vedertagna synsätt som brukar krävas i ett lag- stiftningsärende. Valfrihetssystemet ger dessutom utrymme för anpassningar över tiden, vilket är en viktig del i utvecklingen av en Infrastruktur för Svensk e-legitimation. Genom denna flexibilitet kan t.ex. nya lösningar införas genom tillägg till träffade avtal. Stor hänsyn måste dock tas till identitetsutfärdarna vid förändringar. Olika kontraktuella förhållanden uppstår således direkt genom valfrihetssystemet. I det följande redogörs översiktligt för dessa och hur regler för denna infrastruktur kan införas genom avtal. tecknar, i egenskap av mellanman, avtal med de identitetsutfärdare som uppfyller kraven och ska anslutas till Infrastrukturen för identifiering. Nämnden företräder därvid ett stort antal aktörer inom den offentliga sektorn; andra myndigheter, kommuner m fl. Detta medför att det uppkommer ett civilrättsligt avtal mellan varje sådant rättssubjekt och varje identitetsutfärdare. Även blir part i dessa avtal. Denna reglering omfattar inte bara ersättningsfrågor utan även mera över- gripande regler som rapporteringsskyldighet, bestämmelser om tillsyn och inspektioner men också bestämmelser om rätt för att frånträda avtalet vid grövre avtalsbrott från en identitetsutfärdares sida. Avtalsregleringen mellan identitetsutfärdare och respektive e- tjänsteleverantörer ska omfatta t.ex. identitetsutfärdarens ansvar för de leveranser som sker. införs genom referens i de avtal som tecknas ett generellt regelverk för infrastrukturen – regelverket för Infrastrukturen för Svensk e-legitimation. På detta sätt införs genom civilrättsliga avtal regler om exempelvis hur e- legitimationer utfärdas och används, anslutning av utfärdare och e- tjänsteleverantörer till infrastrukturen, utformningen av tekniska hjälpmedel, bevarande av vissa handlingar, skydd för e-legitima- tioner och anmälan om spärr, e-tjänsteleverantörernas kontroller, legitimering och underskrift, persondataskydd, säkerhet och tillsyn eller annan granskning. Genom att avtal sluts med alla aktörer inom Infrastrukturen för Svensk e-legitimation och att aktörerna i tillämpliga delar som Ett regelverk för infrastrukturen för Svensk e-legitimation avtalsinnehåll får åta sig att följa regelverket kan mellanhavandena i allt väsentligt hanteras genom civilrättslig reglering. Denna lösning är enligt vår mening den lämpligaste formen för att etablera Infrastrukturen för Svensk e-legitimation. I ett senare skede kan det när förutsättningarna klarnat, genom bl.a. marknadens krav har stabiliserats och kan tydliggöras visa sig lämpligt att införa en reglering i lag. Innehållet i de avtal som sluts mellan identitetsutfärdare och användare bestäms i allt väsentligt av utfärdaren och användaren. Mot bakgrund av den typ av standardiserade tjänster som det blir frågan om får det dock i praktiken antas att identitetsutfärdaren använder sig av standardavtal för e-legitimationstjänster och att utrymmet för individuellt förhandlade villkor är synnerligen begränsat. Priset för att tillhandahålla e-legitimationer bestäms vidare av utfärdaren utan inblandning av . Valfrihetssystemet innebär att dessa priser och villkoren i övrigt måste vara konkurrenskraftiga eftersom användaren ska kunna välja mellan e-legitimationer från flera identitetsutfärdare. I de avtal som ingår med identitets- utfärdare åtar sig emellertid utfärdaren att tillhandahålla e-legitima- tioner som uppfyller kraven för Svensk E-legitimation. Identitets- utfärdaren måste se till att dessa krav i tillämpliga delar återförs i identitetsutfärdarens avtal med användaren. I denna del bör beaktas hur bl.a. finansiella institut, infört friskrivningar som föranlett lagstiftaren att i flera fall agera.1 Regleringen av Infrastrukturen för 1 I 2 kap. 21 § bankrörelselagen (1987:617), som ersatts av 9 kap. 4 § lagen (2004:297) om bank- och finansieringsrörelse infördes begränsningar i lag så att motbok eller annat bevis, som en bank utfärdar om tillgodohavande på räkning, ska ställas till viss man och innehålla att överlåtelse får ske endast till viss man samt att överlåtelsen bör anmälas hos banken, som inte får träffa förbehåll om rätt att åberopa betalning till annan än rätt innehavare av motbok. Bakgrunden var den att enskilda, efter stöld av bankbok blivit av med hela sitt sparkapital genom att det tagits ut och banken kunde åberopa att innehavaren ansågs behörig. På motsvarande sätt har det – till följd av alltför långtgående friskrivningar – i 34 § konsumentkreditlagen (1992:830) föreskrivits att avtalsvillkor som innebär att en kontohavare ska vara betalningsskyldig för ett belopp som har påförts kontot genom att ett kontokort har använts av någon obehörig person får göras gällande endast om kontohavaren eller någon annan som enligt kontoavtalet är behörig att använda kontokortet har (1.) lämnat ifrån sig kortet till någon annan, (2.) genom grov oaktsamhet förlorat kortet eller (3.) på något annat sätt förlorat besittningen av kortet och inte efter upptäckten anmält förlusten hos kreditgivaren. Denna bestämmelse, som upphävts , har ersatts med lagen (2010:738) om obehöriga transaktioner med betalningsinstrument. Ett regelverk för infrastrukturen för Svensk e-legitimation Svensk e-legitimation bör, så långt det kan ske, ges en balanserad utformning, bl.a. så att korrigeringar genom lag för att motverka mindre lämpliga friskrivningar kan undgås. Även i övriga delar kan tydlighet och balans behöva säkerställas. De allmänna villkor som införs för Infrastrukturen för Svensk e- legitimation bör kunna spela en roll även i denna del genom att det där ställs krav även på avtalen mellan identitetsutfärdare och användare. Juridisk samordning och anpassning till vad som är en rimlig riskfördelning kan därmed uppnås även i denna del. Det kvarstår emellertid att E-tjänsteleverantören, såvitt avser ut- färdande och nyttande av e-legitimationen, inte kommer att ha någon avtalsrelation med användaren. En annan sak är att avtals- villkor eller författningsreglering kan bli tillämplig för själva den e- tjänst där användaren brukar sin e-legitimation. Något förenklat kan hävdas att regleringen av själva e-tjänsten inte ska omfattas av det regelverk som införs för Infrastrukturen för Svensk e- legitimation. Även i denna del finns paralleller mellan regleringen i avtal av Infrastrukturen för Svenska E-legitimation och den avtalsreglering som gäller för betal- och kreditkort. De finansiella instituten sluter avtal med användare om tillhandahållande och nyttjande av kort för betalningar (jämförbart med avtalet mellan identitetsutfärdaren och användaren), institutet träffar avtal med inköpsställen om att acceptera korten för betalning av de varor eller tjänster som inköpsstället tillhandahåller (jämförbart med avtal mellan e- tjänsteleverantörer och identitetsutfärdare). Något avtal mellan an- vändaren och inköpsstället (eller e-tjänsteleverantören) avseende själva användningen av betal- eller kreditkortet (eller Svensk e- legitimation) träffas emellertid inte. För att infrastrukturen med ett stort antal finansiella aktörer ska hålla samman och ansvaret fördelas på ett balanserat sätt finns dessutom ett bakomliggande regelverk för anslutna institut (i någon mån jämförbart med de allmänna villkoren för Infrastrukturen för Svensk e-legitimation). Inom ramen för det arbete som ledde fram till dagens e-legi- timationslösning genomfördes en analys av användarvillkor, i samverkan mellan ett projekt som myndigheterna bedrev inom ramen för ett regeringsuppdrag (det s.k. ) och berörda utfärdare av e-legitimationer, i syfte att bereda väg för samordnade enkla och balanserade regler för användare. Motsvarande samordning bör ske inför ett införande av en ny infrastruktur. Härvid bör emellertid regler införas också i allmänna Ett regelverk för infrastrukturen för Svensk e-legitimation villkor som ska gälla för Infrastrukturen för Svensk e-legitimation. Dessa regler bör göras till avtalsinnehåll genom hänvisning i de avtal som sluts till följd av ett införande av det planerade valfrihets- systemet. 5.3.4Nämnden, e-tjänsteleverantörerna och regelverket Genom att ingår avtal med identitets- utfärdare för e-tjänsteleverantörernas räkning blir det civilrättsliga regelverket – dvs. de allmänna villkoren för Infrastrukturen för Svensk e-legitimation – bindande inte bara för e-tjänsteleveran- törerna. blir också part i dessa avtal och binds därmed till de allmänna villkoren. Detta regelverk avses innehålla även mera övergripande regler om bl.a. rapporteringsskyl- dighet, inspektioner och rätt för nämnden och e-tjänsteleveran- törer att frånträda avtalet vid grövre avtalsbrott från en identitets- utfärdares sida, se vidare bilaga 6. Därmed skapas, på liknande sätt som på det finansiella området, en infrastruktur utifrån civilrättsliga överenskommelser där vissa centrala funktioner ingår såväl tekniskt som administrativt och i huvudsak regleras genom avtal. I den mån marknadens utveckling skulle medföra att avtal kan utgöra enda styrmedlet kan regler i lag eller förordning övervägas, t.ex. till följd av att särskilt skydd behövs för svagare part eller för persondata. Den planerade infrastrukturen kan också visa sig få sådan betydelse att författningsreglering krävs, t.ex. vid utredningar av brott där elektronisk kommunikation har använts eller där samhällets säkerhet kräver det. På detta stadium har emellertid förutsättningarna inte klarnat tillräckligt för att dessa frågor ska kunna bedömas och det har i tidigare lagstiftningssammanhang visat sig svårt att förutse utvecklingen och införa tydliga regler; jfr t.ex. de komplikationer som särskilda s.k. registerlagar fört med sig. I de delar där ska handlägga och besluta i förvaltningsärenden behövs dock viss författnings- reglering. När en identitetsutfärdare eller en e-tjänsteleverantör ska inleda sin verksamhet behöver denne registreras i något av de register som förs av som ingår i Infrastrukturen för Svensk e-legitimation. Denna offentligrättsliga hantering bör delvis regleras i den föreslagna förordningen om Infrastrukturen för Svensk e-legitimation. Ett regelverk för infrastrukturen för Svensk e-legitimation Anvisningstjänsten fungerar, som framgått av avsnitt 3.6, som ett stöd för användarens val av e-legitimation när han eller hon ska legitimera sig för att få tillträde till en e-tjänst. I vissa fall kan användaren se att en särskild tjänst för anvisning används, i andra fall inte. Så som denna tjänst fungerar blir det naturligt att se som underleverantör av den till respektive tillhanda- hållare av e-tjänster. E-tjänsteleverantören får därmed anses till- handahålla anvisningstjänsten åt användaren. Denna tjänst bör ses endast som en liten kugge i Infrastrukturen för identifiering. På liknande sätt finns certifikat för varje aktör i utfärdar- och e- tjänsteregistren. Vid förfrågningar och svar genom intyg inom Infrastrukturen för identifiering används dessa infrastruktur- certifikat automatiserat, för att motverka förfalskningar eller andra liknande manipulationer. Här involveras emellertid inte användaren. Detta skydd bör därmed i juridisk mening uppfattas som en av de funktioner som tillhanda- håller åt identitetsutfärdare och e-tjänsteleverantörer som är anslutna till Infrastrukturen för identifiering. Enligt avsnitt 3.7 bör de där beskrivna tjänsterna för elektroniska underskrifter (signeringstjänsten) om möjligt utformas dels så att kvalificerade certifikat utfärdas momentant, dels så att en säker anordning för signaturframställning tillhandahålls, så att de elektroniska underskrifterna kan anses vara kvalificerade. Förenklat kan detta beskrivas så att användaren – efter att ha granskat den aktuella texten inför underskrift – vidtar en aktiv handling (att klicka på knappen Jag skriver under). Användaren får därvid legitimera sig för signeringstjänsten med sin ordinarie e-legitima- tion. Efter legitimeringen skapas i signaturtjänsten ett nytt certifikat och kryptografiskt nyckelpar (tekniskt motsvarande dem i dagens e-legitimationer). Användarens privata nyckel i nyckelparet för underskrift aktiveras genast och destrueras när Ett regelverk för infrastrukturen för Svensk e-legitimation På så sätt kan den privata nyckeln inte därefter missbrukas av någon för ytterligare underskrifter. Det använda engångscertifikatet och den publika nyckeln bevaras emellertid detta krävs. Från juridiska utgångspunkter aktualiseras i huvudsak två frågor.