sou · GYB3104 · 2010-12-23 00:00:00 — För det första behöver det bedömas om engångscertifikatet och de tekniska hjälpmedel som i övrigt tillhandahålls åt under- tecknaren i signaturtjänsten kan användas så att en elektronisk underskrift blir att anse som en kvalificerad elektronisk signatur enligt lagen (2000:832) om kvalificerade elektroniska signaturer (signaturlagen); dvs. för att underteckna med en avancerad elek- tronisk signatur, baserad på ett kvalificerat certifikat och skapad av en säker anordning för signaturframställning. Det behöver för det andra bedömas vem som i juridisk mening ska anses som utfärdare av engångscertifikaten och tillhandahållare av den säkra anordningen samt vad som i övrigt kan ingå i signaturtjänsten. Frågan om den planerade signaturtjänsten kan användas för kvalificerade elektroniska signaturer behöver bedömas i två led. Det första ledet rör huruvida definitioner och rekvisit i signatur- lagen och bakomliggande direktiv kan förenas med en signatur- tjänst. Om så är fallet behöver det, som ett andra led, bedömas om de säkerhetslösningar som krävs inom Infrastrukturen för Svensk e- legitimation kan nå upp till signaturlagens och direktivets krav. De definitioner som främst berörs är avancerad elektronisk signatur, kvalificerat certifikat, och säker anordning för signaturframställning (hit hör även definitionen av anordning för signaturframställning). Kvalificerad elektronisk signatur definieras nämligen som en avancerad elektronisk signatur som är baserad på ett kvalificerat certifikat och som är skapad av en säker anordning för signaturframställning. I signaturlagen ges uppräkningar av krav för att sådana signaturer, certifikat och anordningar ska anses föreligga. En översiktlig granskning har visat att dessa krav är utformade så att hinder i princip inte synes föreligga mot att använda en signerings- tjänst för att skriva under med en kvalificerad elektronisk signatur. Ett regelverk för infrastrukturen för Svensk e-legitimation Det finns emellertid skäl att närmare överväga vad som enligt lagen och direktivet menas med att 1.en avancerad elektronisk signatur måste vara skapad med hjälp- medel som endast undertecknaren kontrollerar (2 §), och 2.den som tillhandahåller certifikattjänster inte ska lagra eller kopiera uppgifter för skapande av signaturer (direktivet Bilaga II j). Kravet på att signaturerna ska vara skapade med hjälpmedel som endast undertecknaren kontrollerar kan tolkas antingen så att undertecknaren ensam måste ha fysisk kontroll över hjälpmedlet (den privata nyckeln) eller så att det räcker att undertecknaren ensam har logisk kontroll över detta hjälpmedel. Vår preliminära bedömning är att varken den svenska lagstiftningen eller direktivet utesluter en lösning som bygger på att undertecknaren, till följd av logiska lösningar, ensam får anses ha kontrollen över den privata nyckeln.2 På detta stadium i utredningsarbetet torde emellertid underlag saknas för att bedöma om de säkerhetslösningar som väljs kan antas uppfylla signaturlagens krav. Kravet i signaturdirektivet på att den som tillhandahåller certifikattjänster inte ska lagra eller kopiera uppgifter för skapande av signaturer har enligt lagmotiven införts genom såväl 9 § som 11 § signaturlagen. Av 9 § följer bl.a. att en certifikatutfärdare som utfärdar kvalificerade certifikat, se bilaga 10, till allmänheten ska bedriva verksamheten tillförlitligt och i förekommande fall se till att framställandet av signaturframställningsdata sker konfidentiellt (dessa data måste genereras på ett sådant sätt att de inte röjs för obehöriga, prop. 1999/2000:117 s. 73). I 11 § andra stycket föreskrivs vidare att certifikatutfärdaren inte får lagra eller kopiera signaturframställningsdata. Det är nämligen väsentligt för tilltron till elektroniska signaturer att det verkligen bara är undertecknaren 1999/2000:117 s. 74). Rättsläget får anses oklart. Vår preliminära bedömning är emellertid att varken den svenska lagstiftningen eller direktivet bör anses utesluta en lösning där de privata nycklarna finns på en central server, förutsatt att det tekniska och administrativa skyddet 2 Jfr även professor , , Notat om anvendelsen af serverbaserede losninger for kvalificerede elektroniske signaturer Ett regelverk för infrastrukturen för Svensk e-legitimation utformats så att utfärdaren inte kan kopiera eller annars missbruka de privata nycklarna utan att detta upptäcks.3 Vi får i det fortsatta arbetet återkomma till den rättsliga bedömningen av dessa fysiska respektive logiska skydd. Användare måste ges möjlighet till elektronisk underskrift inom ramen för en infrastruktur för Svensk e-legitimation enligt utredningens förslag. Om resultatet av en utvärdering av signeringstjänsten visar att underskrift i en central tjänst inte är en lämplig lösning, så kan även infrastrukturen för identifiering samverka med en lösning där användare skriver under elektroniskt i sin lokala datormiljö. En närmare beskrivning av en sådan lösning samt dess för- och nackdelar presenteras närmare i bilaga 17 (Central signeringstjänst). 5.6Utfärdarens ansvar för intyg Den föreslagna Infrastrukturen för identifiering innebär som framgått att Identitets- och At-tributsutfärdare – efter erforderliga kontroller – ska gå E-tjänsteleverantörer till handa med att i intyg bestyrka identitet eller elektronisk underskrift eller bekräfta att en person är behörig att vidta vissa tjänsteåtgärder, har en viss tjänsteställning eller kompetens eller är behörig att företräda någon annan. Dessa formuleringar, som delvis är hämtade ur lagen (1981:1363) om publicus, tydliggör den roll vi föreslår för Identitetsutfärdare. De avses alltså fylla motsvarande funktion som den publicus har tilldelats enligt författning, nämligen att gå allmänheten tillhanda med officiella bevis om vissa faktiska förhållanden. En skillnad är visserligen att en juridisk person inte kan förordnas till publicus – rollen som utfärdare är tänkt att fullgöras av juridiska personer – en annan att det i allt väsentligt 3Jfr i föregående not anfört arbete, med hänvisningar. 4Genom förordningen (1982:327) om publicus säkerställs dessutom att det finns tillgång till sådana befattningshavare (de förordnas av ) och att de som förordnas har tillräcklig kompetens och är lämpliga för uppdraget. Det föreskrivs också att publicus skall fullgöra sitt uppdrag med redlighet, noggrannhet och opartiskhet och inte får befatta sig med ett ärende, om det angår honom själv eller om någon annan särskild omständighet föreligger som är ägnad att rubba förtroendet till hans opartiskhet. Ett regelverk för infrastrukturen för Svensk e-legitimation blir fråga om helt automatiserade kontroller där intyg förses med en elektronisk stämpel. Den juridiska modellen bör emellertid kunna bli densamma. Det kan inte heller uteslutas att en Identitetsutfärdare i undantagsfall, när en funktion fallerat eller ifrågasatts, kan behöva utföra åtgärder och upprätta elektroniskt underskrivna intyg eller intyg på papper. Införandet av den nya infrastrukturen bör därmed kunna förenklas genom att beskriva Identitetsutfärdare som en slags motsvarigheter till publicus och knyta an till de rättsregler som gäller för publicus verksamhet. Att affärsmodellen för denna infrastruktur kan påverkas av valet mellan öppna respektive slutna system för e-legitimationer behöver inte bli ett hinder. Dagens affärsmodell för de e-legitimationer som myndigheter godtar förutsätter förlitandeavtal, medan ett införande av kvalificerade certifikat enligt signaturlagen måste ske inom ett öppet system; dvs. ett system där förlitande parter inte har avtal med utfärdaren. Vårt förslag om att införa ett valfrihetssystem och tillhörande hantering av Identitetsintyg leder emellertid till avtal mellan alla berörda aktörer, även för de fall där kvalificerat certifikat använts vid legitimering eller för underskrift. Ansvaret för Identitetsintygen bör härvid regleras i avtal så att utfärdare får bära samma risk som inom dagens system. Hur detta närmare ska utformas får genomlysas i det fortsatta arbetet med att upphandla ett valfrihetssystem. Beträffande Attributsintygen är situationen delvis en annan. För utfärdare som ställer ut intyg i enlighet med regler i författning – t.ex. registreringsutdrag utfärdade av – finns en vedertagen syn på ansvarets gränser och fördelningen av risker. Dessa förutsättningar bör inte ändras bara för att elektroniska rutiner införs. För andra som ska börja utfärda intyg kan frågan om ansvarsfördelning inte bedömas utifrån redan införda rutiner. Dessa olika bedömningar av hur risker ska fördelas torde inte kunna göras generellt. Frågan bör i stället bedömas från tillämpning till tillämpning. I detta avsnitt presenteras utredningens förslag till tillitsramverk för Svensk e-legitimation. Ett väl fungerande tillitsramverk som är i samklang med den internationella utvecklingen och standardise- ringen är centralt för att bygga nödvändigt förtroende för Svensk e- legitimation. Praktiskt utgör det vidare en central del för att definiera vilka aktörer som kan bli leverantörer i Svensk e- legitimation. En Infrastruktur för identifiering bör ta sin utgångspunkt i ett tillitsramverk byggt på internationell standard och medge den flexibilitet som den föreslagna Infrastrukturen för Svensk e- legitimation och internationell samverkan kräver. De flesta av de internationella ansträngningar som gjorts för att definiera nivåer av tillit vid användning av e-legitimationer har sin grund i en publikation (SP 800-63) från det amerikanska (). De riktlinjer som beskrivs där är emellertid relativt allmänt hållna. Fördjupande arbeten har därför bedrivits inom bl.a. Europeiska unionen, där det storskaliga s.k. utgjort en viktig del1 Ett betydelsefullt arbete för att utarbeta ett internationellt tillitsramverk bedrivs nu också inom och International Electrotechnical Commis- sion (ISO/IEC). Det kommande resultatet av detta arbete, ISO/IEC 29115, som förväntas bli internationell norm på området, 1 har tagit fram en handlingsplan som ska underlätta för medlemsstaterna att införa ömsesidigt godkända och kompatibla system för e-signaturer och e-legitimationer i syfte att göra det lättare att tillhandahålla elektroniska offentliga tjänster över gränserna [KOM(2008) 798]. Arbetet för ömsesidigt erkännande av elektronisk identifiering inom EU genomförs inom . bygger på dokument som publicerats inom det s.k. Kantara Initiative Identity Framework (Kantara IAF). Under förutsättning att det fortsatta arbetet inom ISO/IEC leder till resultat som är förenliga med behoven inom den föreslagna Infrastrukturen för identifiering bör följa denna interna- standard. bör därför, liksom E- delegationen, verka för att resultatet av standardiseringsarbetet blir förenligt med svenska intressen på området. I avvaktan på detta resultat bör ett tillitsramverk införas som har sin förankring i de tidigare nämnda publikationerna. De har alla gemensamt att de definierar fyra tillitsnivåer (AL)2 för e- legitimering, i syfte att möta olika nivåer av risk och olika krav på användbarhet. Dessa tillitsnivåer svarar mot olika grader av teknisk och operationell säkerhet hos utfärdaren och olika grader av kontroll av att en person som tilldelas en elektronisk identitet verkligen är den han eller hon utger sig för att vara. Något förenklat kan tillitsnivåerna beskrivas som en måttstock, där en lägre indikering på skalan motsvarar enklare användning och utgivning, lägre kostnader, men också en lägre skyddsnivå. Högre klassificering medför högre kostnader för såväl utgivande som användande, men leder till att en högre grad av tillit kan fästas vid identifieringen. Vid en tillämpning av dessa internationella normer har det, såvitt framkommit, visat sig ändamålsenligt att för Svensk e- legitimation kräva en tillitsnivå som motsvarar nivå 3 (AL3) eller högre. Detta innebär att utgivare av Svensk e-legitimation ska ha dokumenterade och fungerande ledningssystem för informations- säkerhet i enlighet med erkända standarder, att innehavares identiteter verifieras på ett ändamålsenligt sätt, att metoden för legitimering baseras på starka kryptografiska mekanismer och utgivaren ska kunna påvisa att de når upp till och efterlever kraven enligt AL3. Tillitsnivå 3 är också den nivå som ligger närmast de av ram- avtalsleverantörerna utgivna e-legitimationerna. Den öppnar emellertid även nya typer av e-legitimationer som inte är 2 AL är en förkortning av den internationella termen för tillitsnivå, Level, som används såväl i Kantara IAF som i . Detta förväntas kunna leda till en högre använd- barhet och större spridning inom fler samhällsgrupper. Om det visar sig att en betydande del av de redan utgivna e-legitimationerna inte uppfyller kraven för nivå 3 i tillitsramverket kan det komma att bli nödvändigt att etablera övergångsregler så att dessa kan godtas inom infrastrukturen för Svensk e-legitimation till dess att en anpassning skett. Kvalificerade certifikat utgivna i enlighet med lagen (2000:832) om kvalificerade elektroniska signaturer kan, bland annat beroende på metod för utgivning, komma att uppfylla kraven för nivå 2, 3 eller 4, och därmed också användas inom infrastrukturen för Svensk e-legitimation. Då kraven i tillits- ramverket är väsentligt mer specifikt framställda än de som återfinns i 4 kap. signaturlagen, följer att kvalificerade certifikat inte med automatik uppfyller någon tillitsnivå högre än 2. För en analys av konsekvenser om identitetsutfärdare endast ska tillhandahålla kvalificerade certifikat, se bilaga 10. En förutsättning för att en Svensk e-legitimation ska få utfärdas föreslås dessutom vara att användaren har svenskt person- eller samordningsnummer. En e-tjänsteleverantör kan därför, när Svensk e-legitimation använts, veta att det finns möjlighet att få sådan information, i ett identitetsintyg eller efter en förfrågan om en sådan påkallas från persondataskyddssynpunkt. Dessa krav införs liksom regleringen i övrigt genom avtal mellan och utfärdare för anslutning till Infra- strukturen för Svensk e-legitimation, i den mån detta inte följer av författningsreglering. ska utöva tillsyn över utfärdare av Svensk e-legitimation så att tillgänglighet, kvalitet och informa- tionssäkerhet blir säkerställda i enlighet med ett regelverk för Infrastrukturen för Svensk e-legitimation. I enlighet med regel- verket ska nämnden också kunna ingripa mot missförhållanden – ytterst avveckla en utfärdare om omständigheterna är sådana att de riskerar att leda till oacceptabla konsekvenser för användare, e- tjänsteleverantörer eller andra eller rubba förtroendet för Infra- strukturen för Svensk e-legitimation. Tillitsnivåerna specificeras närmare i bilaga 9. I detta avsnitt beskrivs att informationssäkerheten behöver prioriteras. Det betonas att det är av central betydelse för den föreslagna modellen för e-legitimationer att persondataskyddet kan säkerställas inom Infrastrukturen för identifiering. I avsnittet beskrivs hur flödet av personuppgifter ser ut inom infrastrukturen och vilka konsekvenser det får för personuppgiftsansvar och begränsningar av elektroniska spår, betydelsen av bättre skydd genom tekniska anpassningar, kopplingar till anvisnings- och signaturtjänster samt slutligen en bedömning av eventuell relevans i lagen om elektronisk kommunikation. Enligt utkastet till regelverk för Infrastrukturen för Svensk e-legiti- mation ska e-tjänsteleverantörer och Identitets- och Attributs- utfärdare tillämpa ett ledningssystem för informationssäkerhet, på sätt som närmare anges där (bilaga 6). Även i övriga delar av regelverket finns regler som är av direkt betydelse från säker- hetssynpunkt. Dessa regler har i huvudsak hämtat sin förebild i föreskrifter av Myndigheten för samhällsskydd och beredskap (MSB). Regler om informationssäkerhet finns dessutom i den bilaga där en närmare redovisning ges av ett tillitsramverk (bilaga 9). Här har emellertid det internationella standardiseringsarbetet rörande e- legitimationer och identitetsfederationer varit den främsta inspirationskällan. Reglerna i dessa två utkast överlappar delvis varandra. Materialet ska emellertid ses som ett första underlag inför en grundläggande genomlysning där inte bara Infrastrukturen för identifiering utan hela Infrastrukturen för Svensk e-legitimation måste sättas in i sitt organisatoriska och samhälleliga informationssäkerhetssamman- hang. Härvid behöver också närmare övervägas hur Infrastrukturen för Svensk e-legitimation ska fungera i förhållande till redan existerande lösningar, t.ex. dagens lösningar för e-legitimationer (under en övergångstid) och landstingens tjänstekort (SITHS). Här finns även andra kontaktytor såsom system som tillhanda- håller attribut, t.ex. uppgifter om juridisk behörighet. Flera sådana system har tillkommit enligt lag eller författning – t.ex. aktie- bolagsregistret – och behöver kunna verka inom ramen för den nya nationella modellen. Utöver en skyldighet att införa fungerande ledningssystem bör krav också ställas på revision och rapporteringsskyldighet; jfr redovisningen av ett tillitsramverk. En närmare analys behövs också av hur standarderna för informationssäkerhet ska kunna tillämpas i detta sammanhang där huvudfrågan är identifiering med stöd av e-legitimationer och Identitetsintyg samt hur den praktiska hanteringen hos respektive myndighet ska kunna bli tillräckligt enkel. Härmed avses både den principiella frågan, om hur en riskanalys kan göras av system för identifiering och underskrift, och hur mindre organisationer utan egen särskild kompetens på IT-säkerhetsområdet ska kunna hantera dessa frågor inom tillgängliga kostnadsramar. Dessa frågor, som bör genomlysas i nära samverkan mellan berörda aktörer, behöver prioriteras i det fortsatta arbetet. 7.2.1Frågor av central betydelse Det är av central betydelse för den föreslagna modellen för e-legi- timationer att persondataskyddet kan säkerställas inom Infra- strukturen för identifiering. I avsnitt 5.2 har också förklarats att det behövs vissa föreskrifter i denna del, bl.a. förbud mot registrering av vissa uppgifter och bevarande av vissa uppgifter och handlingar. Där har också en allmän föreskrift föreslagits om att så få person- uppgifter som möjligt ska samlas in, lämnas ut eller annars behandlas och att inte fler uppgifter än nödvändigt får samlas in och bevaras. Efter att utredningens delredovisning II lämnats har den registrering och annan behandling av personuppgifter som kan bli följden av Infrastrukturen för Svensk e-legitimation analyserats och flödet av uppgifter granskats. En central fråga i detta sammanhang är vem eller vilka som ska anses vara personuppgiftsansvariga för de behandlingar som avses ske inom olika delar av Infrastrukturen för Svensk e-legitimation. 7.2.2Inga personuppgifter i registren Det föreslås som framgått att ska föra ett Utfärdarregister över de Identitets- och Attributsutfärdare som ansluts till Infrastrukturen för identifiering, och ett E-tjänsteregister över de E-tjänsteleverantörer som ansluts till infrastrukturen för identifiering. I dessa register ska uppgifter finnas om elektronisk adress till anslutna aktörer, vilken information respektive E-tjänsteleverantör behöver, vilka uppgifter en Identitets- eller en Attributsutfärdare kan tillhandahålla och certifikat och publika nycklar som behövs för att skydda uppgifter och kontrollera att intyg är äkta. Dessa register ska därmed inte innehålla information om kommunikation mellan användare och E-tjänsteleverantörer, innehållet i Identitets- eller Attributintyg, handlingar som ska undertecknas eller har undertecknats eller andra uppgifter som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Dessa begränsningar är av sådan betydelse från persondata- skyddssynpunkt att de bör framgå av författning. I en förordning om Infrastrukturen för svensk e-legitimation föreslås därför före- skrifter om att ska föra Utfärdar- och E- tjänsteregister. Vidare anges vad dessa register ska få innehålla. I tydlighetens intresse föreslås också en uttrycklig föreskrift om att registren inte får innehålla information om kommunikation mellan användare och E-tjänsteleverantörer, innehållet i intyg eller hand- lingar som undertecknas eller uppgifter som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Dessa register får alltså inte innehålla några personuppgifter. Så länge inga person- uppgifter förekommer i dessa register blir personuppgiftslagen inte tillämplig. För de fall det skulle förekomma personuppgifter i registren, blir personuppgiftsansvarig. När utvecklingen av Infrastrukturen för identifiering kommit så långt att förutsättningarna klarnat i detalj bör frågan om person- uppgifter kan förekomma övervägas på nytt. Skulle det därvid visa sig att det inte kan uteslutas att en uppgift kan förekomma som indirekt kan hänföras till en individ bör den föreslagna föreskriften om förbud mot behandling av personuppgifter begränsas till sådana som direkt kan hänföras till en person som är i livet. Inom Infrastrukturen för identifiering ska e-legitimationer och Identitets- och Attributsintyg utfärdas och brukas så att E-tjänste- leverantörer kan göra de kontroller som behövs. Det flöde av uppgifter och handlingar som därmed uppkommer kan något förenklat beskrivas genom följande figur. Figur 7.1 Flöde av uppgifter och handlingar (Typ SPAR) Bevarar uppgifter i elektronisk akt – även från registerkoll, System för utfärdande av System för utfärdande av System för utfärdande av Ansökan om e-leg – lämnar 1.Användare ansöker om Svensk e-legitimation och lämnar de uppgifter som behövs till en Identitetsutfärdare som kontroll- erar uppgifterna, t.ex. via , och förser sina användare med privata e-legitimationer eller e-tjänstelegitima- tioner. 2.Utfärdaren bevarar uppgifter om sökanden i en elektronisk akt, håller dem uppdaterade och registrerar de uppgifter som be- hövs om spärr. 3.Utöver det system som Identitetsutfärdaren behöver för att hantera e-legitimationerna krävs med föreslagen lösning också ett system för att utfärda Identitetsintyg. När användaren loggar in i en e-tjänst som begär identifiering styrs användaren till rätt utfärdare och legitimerar sig, varefter ett Identitetsintyg skapas i dennes system för att utfärda Identitetsintyg och överförs via nät till e-tjänsten. 4.Behövs även attribut i e-tjänsten – t.ex. uppgifter från aktie- bolagsregistret om juridisk behörighet – sänder e-tjänsten en begäran till via Infrastrukturen för identifiering. 5.Hos Attributsutfärdaren finns ett system för utfärdande av Attributsintyg där utfärdaren skapar ett intyg och sänder det till E-tjänsteleverantören. I de här beskrivna delarna blir det fråga om personuppgifter. Hela hanteringen tar nämligen sikte på att knyta uppgifter till en viss individ, att på tillräckligt säkert sätt se till att intyg är utfärdade av angiven utställare (en Identitets- eller Attributsutfärdare) och att säkerställa en sådan hantering att det finns skäl för mottagaren att lita på att uppgifterna är riktiga. 7.2.4Personuppgiftsansvar och begränsningar av elektroniska spår Enligt 3 § personuppgiftslagen (1998:204; PUL) är den personupp- giftsansvarig som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Den som behandlar personuppgifter för en personuppgiftsansvarigs räkning betecknas personuppgiftsbiträde. Bedömningar av dessa gränsdragningar med anknytning till komplex infrastruktur har gjorts av den s.k. Artikel 29-gruppen (yttrande , WP 169). Liknande frågor har prövats av Kammarrätten i i en dom i mål mellan och Datainspektionen (mål nr 1191-09). Vidare har Artikel 29-gruppen i ett arbetsdokument behandlat frågor om autentiseringstjänster på Internet (WP 68).