sou · H1B324 · 2013-04-22 00:00:00 — Det måste också, med hänsyn till att valen hålls med långa mellanrum, vara brukarvänligt. Brukargränssnittet bör vidare baseras på de kriterier som gäller för personer med funktionsnedsättning. Ett e-röstningsförfarande måste uppfylla nu nämna kriterier. E-röstningsförfaranden har som tidigare nämnts sina fördelar: hög tillgänglighet, okomplicerad valhandling, effektiv samman- räkning. Men med elektroniska lösningar följer också ett antal tekniska utmaningar. Den valda lösningen måste, som också fram- hålls i våra direktiv, kunna säkerställa att: väljaren får avge sin röst, väljaren inte får avge mer än en godkänd röst, rösten hålls hemlig och inte kan härledas till väljaren, rösten inte kan ändras eller förfalskas, en avgiven röst inte går förlorad, det inte förekommer röster som ingen väljare har avgett, sammanräkningen av röster blir korrekt, resultatet går att verifiera och kontrollera i efterhand. Vårt nuvarande förfarande för röstning med pappers- valsedlar har högt förtroende hos väljarna. Det är enkelt och okomplicerat, går att förstås av alla och envar och är öppet för lekmannakontroll. Behandlas rösterna av en dator ersätts lekmanna- kontroll av en tillit till de experter som har utformat, programmerat, testat, kontrollerat och certifierat systemet. Bristande transparens och svårigheter att förstå systemet i kombination med bortfallet av lekmannakontrollen väcker frågan om det kan leda till minskat förtroende hos väljarna för valsystemet. Ny teknik ger som regel upphov till nya problem. Även om vårt nuvarande pappersbaserade valsystem inte är utan fel, så krävs det ofta ett stort antal av varandra oberoende fel eller ett stort antal illojala valfunktionärer för att valresultatet ska påverkas. Med elektroniska lösningar finns det riks för att enda person, med erforderlig access till systemet, kan genomföra små ändringar i systemlösningen som kan påverka ett stort antal röster. Även maskinell lagring av avgivna röster kan öppna för sådana manipu- lationer. Med elektroniska lösningar finns också en risk för programme- ringsfel eller tekniska sammanbrott. Vidare öppnas för rena hand- havandefel på grund av bristande kunskap och förståelse för systemet (den mänskliga faktorn). 3.8.2Vilka hot kan identifieras och vilka är motåtgärderna? Ett e-röstningssystem består i huvudsak av Den dator som väljaren använder Den eller de datorer i valsystemet som tar emot väljarens röst. Nätverket mellan väljarens dator och den eller de datorer i val- systemet som tar emot väljarens röst. Ett bakomliggande system med en eller flera datorer som tar emot rösterna från den eller de datorer som tagit emot väljarens röster för vidarebehandling (sammanräkning, mandatfördelning och utseende av ledamöter och ersättare). Det torde inte vara möjligt att garantera att ett elektroniskt system är helt fritt från fel. Frågan är vilken säkerhetsnivå som kan godtas för olika tekniska lösningar och vilka åtgärder som kan vidtas om något skulle gå fel. Säkerhetsproblemen vi användningen av inter- net är väl kända och belysta i ett stort antal rapporter. Det finns också i valsammanhang ett stort antal utvärderingar och säkerhets- analyser för såväl rena internetlösningar som för röstningsmaskiner i vallokaler och röstningslokaler2. System som bygger på att röst- ningen sker i vallokaler och röstningslokaler anses allmänt vara väsentligt mindre utsatta för fusk och fel. Hoten när det gäller röstning via internet från andra platser än vallokaler och röstnings- lokaler och tänkbara motåtgärder kan sammanfattas enligt följande. Hot riktade mot väljarens dator Virusangrepp innefattar bl.a. program som angriper maskinens hårddisk och som kan stoppa datorn, övervaka väljarens använd- ning av data, ta över delar av datorn och få den att uppföra sig i strid mot väljaren avsikt, utan att väljaren själv är medveten om detta, samt manipulera data i hårddisk och i överföring. Ett sätt att garantera rena väljardatorer kan vara att starta datorn från en sär- skild version av operativsystemet på cd-rom som distribueras väljarna. Lösningen ställer dock krav inte bara på väljarens dator- utrustning utan också på väljarens kompentens. Programmeringsfel kam leda till att väljarens röst går förlorad eller att väljaren inte får avge någon röst. Ett sätt att undvika detta kan vara ett genomföra kontrollerade tester. 2 Se t.ex. International Experience with E-voting (, Goldsmith & , 2012; (), och E-valg i ett demokratiskt perspektiv(Segaard, Baldersheim & Saglie, 2012:5); (). Hot riktade mot valsystemets datorer Överbelastningsangrepp kan leda till att valsystemet blir helt eller delvis blockerat över och att väljaren inte kan rösta. Tänkbara lösningar kan vara att avsluta e-röstningen före valdagen för att ge väljarna möjlighet att rösta i vallokal på valdagen, planera för stora trafikvolymer, ha reservsystem eller ha rutiner för att flytta valets nätsida till andra IP-adresser. Insiderangrepp innebär att någon inom valadministrationen ändrar programvaran. Lösningen kan vara att programvaran för att behandla rösterna måste vara certifierad enligt nationella eller internationella regler. Certifieringen ger en formell dokumentation att systemet har testats och uppfyller de krav som gäller för systemet. Dataintrång innebär att någon obehörigen skaffar sig tillgång till systemet och ändrar programvaran. Det öppnar för att väljare kan avge mer än en röst eller att avgivna röster ändras. Lösningar för att minska risken för dataintrång är att fortlöpande kontrollera syste- mets säkerhet, hålla sig noga informerad om systemets svagheter, övervaka datatrafiken, använda sig av riktade kontroller, utbilda personalen som ansvarar för genomförandet av valet och driften av systemet i de säkerhetsrutiner som måste iakttas, m.m. Sabotage kan riktas mot centrala funktioner som lagringen av väljar- nas röster och processorer för behandlingen av rösterna. Sabotage kan också riktas mot strömförsörjning och lokaler. Det kan inne- bära att väljaren inte får rösta eller att avgivna röster kan ändras. Lösningen är hög fysisk säkerhetsnivå för centrala funktioner i systemet. I detta innefattas även backup för centrala komponen- ter och för strömförsörjning. Fel i programvaran innebär att ett stort antal röster kan gå för- lorade. Lösningen är som tidigare nämnts kontrollerade tester. Hot riktade mot överföringen av röster Brister i säkerheten vid överföringen innebär risk för att någon annan kan få tillgång till väljarens röst. För att gardera sig mot den typen av risker kan lösningen vara att använda sig av krypterings- rutiner. Man in the middle innebär att någon annan genom att ändra val- systemets domännamn eller använda sig av förväxlingsbart domän- namn ändrar dataöverföringen så att ursprungligen avgivna röster raderas eller ersätts av andra röster. För att gardera sig mot den typen av risker kan man införa digitala signaturer så att det går att verifiera vem som har avgett rösten, men utan att valhemligheten riskeras. Det innebär vidare att någon form av säkerhets- eller kvitteringslösning måste införas. Det kan t.ex. innebära att väljare får en kvittering via en alternativ kanal som liknar de lösningar som valts i och i där väljaren får en kvittering via mobil- telefonen eller, som i , där väljarens röstkort innehåller omfattande kontrollinformation som ingår i dialogen mellan väljar- ens dator och den centrala röstmottagningsdatorn. Fortlöpande tillgång till it-system och inter- net är nödvändig vid ett e-röstningsförfarande. Det måste därför förutsättas att alla centrala delar av den infrastruktur som används är robust och säker. Behovet av säkerhet får bestämmas efter vad som kan anses vara en acceptabel risk. måste uppmärk- sammas att man inte kan slå sig till ro med att ett system uppfyller säkerhetskraven när det tas i bruk. Det måste uppfylla kraven under hela sin livslängd. Det pågår kontinuerligt arbete med att utveckla fysiska säker- hetslösningar. Det innebär att man måste ställa krav på internet- leverantörerna om bl.a. återkommande värdering av risker, fort- löpande uppgradering av teknik och rutiner till acceptabel nivå i förhållande till aktuella hot och dokumenterade beredskapsplaner. Kunskaps- och kompetensbrister hos väljarna innebär i sig säkerhets- problem. Ett elektroniskt röstningssystem i okontrollerade miljöer förutsätter att väljarna tar ansvar för säkerheten i sin egen miljö. Säkerhetsproblem relaterade till it-användning är emellertid ofta komplexa. För att väljarna ska kunna uppfylla sin del av ansvaret förutsätter det att väljarna har förståelse för och kunskap om de problem de möter. Det förutsätter informationsinsatser före varje val där väljarna informeras detaljerat och med illustrationer om hur det elektroniska röstningsförfarandet går till i praktiken, vilka säkerhetsmekanismerna är och vilka åtgärder som väljarna själva förutsätts vidta när det gäller säkerheten. 3.9Vilka krav ska då ställas på ett elektroniskt röstningssystem? 3.9.1Nationella regler och internationella förpliktelser I regeringsformens portalparagraf, 1 kap. 1 §, slås fast att den svenska folkstyrelsen bygger på fri åsiktsbildning och på allmän och lika rösträtt. I 3 kap. 1 § slås vidare fast att utses genom fria, hemliga och direkta val. Att valen är allmänna innebär att alla som uppfyller vissa all- männa krav har rösträtt. Att rösträtten ska vara lika innebär att varje röstberättigad har samma röststyrka. Att valen är fria syftar på den fria åsiktsbildningen. Det allmänna ska inte påverka valen och dessa ska vara fria från inblandning från det allmännas sida. Att valen är fria hindrar inte att det allmänna tillhandahåller praktiska arrangemang för att underlätta valförfarandet. Rösträtten är också hemlig i den meningen att man ingen annan ska kunna utröna hur väljaren röstat. Mot principen om valhemligheten står offentlighets- principen, dvs. att det allmännas verksamhet ska vara öppen för insyn. Denna princip kommer bl.a. till uttryck i vallagens regler om att valurnan ska visas (dvs. att den är tom) när röstningen börjar och att röstsammanräkningen är offentlig. I 17 kap. 8 och 9 §§ finns straffbestämmelser som knyter an till politiska val. Enligt dessa bestämmelser är det straff- bart bl.a. att köpa och sälja röster, hindra röstningen eller förvanska utgången av röstningen eller skaffa sig kännedom om hur någon har röstat. De viktigaste internationella förpliktelserna för val är i detta sammanhang FN:s konvention om civila och politiska rättigheter (artikel 25) och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna – Europa- konventionen, första tilläggsprotokollet (artikel 3). Båda konventionerna säkerställer väljarnas rätt till hemliga val och möjlighet att kunna rösta fritt utan otillbörlig påverkan eller tvång. Enligt artikel 25 i ska val be held by secret ballot, guaranteeing the free expression of the will of the electors. Enligt artikel 3 i första tilläggsprotokollet till Europa- konventionen ska fria och hemliga val anordnas med skäliga tidsintervaller under förhållanden som tillförsäkrar folket rätten att fritt ge uttryck åt sin mening beträffande sammansättningen av den lagstiftande församlingen. Rättigheterna i artikel 3 är dock inte absoluta. Begränsningar får göras men bara under förutsättning att de tjänar ett legitimt ändamål. Huruvida rättigheterna enligt artikel 3 också gäller val till kommunala beslutande församlingar beror av hur omfattande församlingarnas beslutanderätt är. Svenska kommuner torde därför också omfattas av bestämmelsen. har utarbetat en standard för elektronisk röstning i form av en rekommendation, Rec (2004) 11 av . Rekommendationen, som innehåller rättsliga, tekniska och operation- ella standarder, bygger på internationella förpliktelser och standar- der. Rekommendationen får ses som en minimistandard. De rätts- liga standarderna tar sin utgångspunkt i de principer som vårt demokratiska system bygger på och anger de krav som måste uppfyllas i samma stund som man öppnar för ett e-röstnings- förfarande. De operationella kraven handlar om vilka tekniska krav som gäller för maskin- och programvara i ett e-röstningssystem för att säkerställa teknisk säkerhet, tillgänglighet och interoperabilitet i systemet. Närmare riktlinjer ges i om elektronisk röstning (). Vidare har genom Europa- rådet tagits fram riktlinjer: Guidelines on certification of e-voting systems och Guidelines on transparency of e-enabled elections. Av sist nämnda riktlinjer framgår att elektronisk röstning bör införas endast om det redan finns ett stort förtroende hos befolk- ningen för det sätt på vilket valen genomförs. (ett rådgivande lagtolkningsorgan inom ) har värderat krav på hemliga val när det gäller e-röstningsförfaranden i okontrollerade miljöer. Enligt kommissionens bedömning finns ingen konflikt under för- utsättning att vissa förhållningsregler gäller och förfarandet är säkert och pålitligt (dok. CDL-AD [2004] 012-e). kodex för god valpraxis ger standarder och riktlinjer för genomförande av val i . De fem huvud- principerna, som också vår egen regeringsform ger uttryck för, är allmän och lika rösträtt samt fria, hemliga och direkta val. Den närmare innebörden av principerna beskrivs i kodexen. Kodexen är inte rättsligt bindande. Enligt kodexen ska en väljare alltid ha möjlighet att rösta i en vallokal. Elektronisk röstning kan godtas när det anses säkert och pålitligt och ger väljarna möjlighet att ändra sina röster för att säkerställa valhemligheten: electronic voting should be used only if it is safe and reliable; in particular, voters should be able to obtain a confirmation of their votes and to correct them, if necessary, respecting secret suffrage; the system must be transparent. Som tidigare nämnts accepteras brevröstning och budröstning so former för röstning i okontrollerade miljöer. Men det rör sig då om särregleringar för att göra det möjligt för vissa kategorier av väljare att rösta, något som de i avsaknad av sådan reglering inte heller skulle ha kunnat. Utgångspunkten är alltså att alla väljare ska garanteras rätten att rösta hemligt. Detta innebär att alla väljare enligt lag har rätt att rösta hemligt och under sådana förhållanden att de inte utsätts för tvång eller annan otillbörlig påverkan och att valmyndigheterna har en skyldighet att skapa sådana förhållanden att väljarna kan utöva denna rätt. 3.9.2Grundläggande principer som valsystemet bygger på måste kunna upprätthållas Kommitténs bedömning: Diskussionen kring valhemligheten rör i första hand e-röstning i okontrollerade miljöer, men den gäller också för vissa andra röstningsformer som brevröstning och budröstning. Vår utgångspunkt är att valhemligheten måste kunna säkerställas vid e-röstning. En annan huvudfråga gäller den tekniska utformningen – innefattande operationella och tekniska standarder som måste uppfyllas – av ett e-röstningssystem. Vår utgångspunkt är att ett e-röstningssystem ska vara lika tillförlitligt och säkert när det gäller tekniken som val som hålls utan användning av elektro- niska hjälpmedel. En förutsättning för att e-röstning ska kunna införas är att de grundläggande principer som valsystemet bygger på kan upprätt- hållas. Det innebär att högt ställda krav på tillförlitlighet måste kunna uppfyllas. Det måste vidare vara möjligt att verifiera och kontrollera resultatet i efterhand. Valhemligheten måste också kunna säkerställas. Det krävs dessutom att systemet är utformat så att inga andra än de som har rösträtt kan rösta och att väljarna bara kan utnyttja sin röst en gång i ett val. En avgiven röst ska inte heller kunna ändras av någon annan. Slutligen måste systemet säkerställa att sammanräkningen av röster blir korrekt på alla nivåer i valen. Kraven i rekommendation om en gemensam standard för elektronisk röstning (Rec. [2004] 11) bör beaktas vid utformningen av förfarandet (se bilaga 2). Rekommendationen tar sin utgångspunkt i att e-röstning ska följa alla principer för demokratiska val och folkomröstningar. Vidare att e-röstning ska vara lika tillförlitliga och säkra som demokratiska val som hålls utan användning av elektroniska hjälpmedel. Hur valhemligheten ska kunna säkerställas är en av huvud- frågorna i diskussionen om möjligheterna att införa e-röstning. Principen om fria och hemliga val innebär att en väljare ska kunna avge sin röst osett, att väljaren inte ska utsättas för otillbörlig påverkan och att väljaren inte ska tvingas rösta mot sin vilja eller på ett bestämt sätt. Hemliga val innebär dessutom att väljarens röst måste kunna hemlighållas även efter det att den har avgetts, det vill säga att väljarens identitet inte ska kunna kopplas samman med den avgivna rösten. När väljaren e-röstar kan detta göras antingen på ett röstmot- tagningsställe (i en vallokal eller i en röstningslokal för förtids- röstning) eller från någon annan plats, t.ex. väljarens bostad eller arbetsplatsen. Vallokaler och röstningslokaler kan betecknas som kontrollerade miljöer i den meningen att röstningen äger rum där det finns valfunktionärer. När röstningen äger rum utanför kon- trollerade miljöer innebär det att det inte finns någon valfunktionär på plats när väljaren röstar. Denna skillnad har betydelse för diskussion kring skyddet för valhemligheten. Denna diskussion rör i första hand e-röstning i okontrollerade miljöer, men den gäller också för andra röstningsformen som brev- röstning och budröstning. Vår utgångspunkt är att valhemligheten måste kunna säkerställas vid e-röstning. En annan huvudfråga gäller den tekniska utformningen – innefattande operationella och tekniska standarder som måste upp- fyllas – av ett e-röstningsförfarande. Vår utgångspunkt är att ett e-röstningsförfarande ska vara lika tillförlitligt och säkert när det gäller tekniken som val som hålls utan användning av elektroniska hjälpmedel. 3.9.3Är e-röstning i okontrollerade miljöer förenlig med kravet på hemliga val? Kommitténs bedömning: Ett system för e-röstning i okon- trollerade miljöer torde kunna utformas på ett sådant sätt att ett erforderligt skydd för valhemligheten uppnås. För att uppnå detta skydd bör väljarna ges möjlighet att ändra en avgiven e-röst med en ny e-röst eller genom att avge en röst på traditionellt sätt i en röstningslokal eller vallokal. Vidare bör gälla att en pappersröst alltid har företräde framför en e-röst. En sådan ordning skulle också ge väljarna skydd mot otillbörlig påverkan och också hindra köp och försäljning av röster. Kravet på fria och hemliga val innebär, som tidigare nämnts, att väljaren ska ha möjlighet att avge sin röst ensam, osett och utan att bli utsatt för otillbörlig påverkan. I vallagen kommer kravet på hemliga val till uttryck på flera sätt. Vid traditionell röstning i vallokal och röstningslokal föreskrivs att väljare ska göra i ordning sina röster bakom en valskärm (7 kap. 3 § vallagen). Att utsätta någon för otillbörligt påverkan är straffbart enligt 17 kap. 8 och 9 §§ . Att säkerställa kravet på fria och hemliga val vid e-röstning i kontrollerade miljöer anses oproblematiskt. Frågan är om det går att trygga genomförandet av fria och hemliga val om man tillåter e-röstning i okontrollerade miljöer, t.ex. i bostaden, på arbets- platsen eller från vilken annan plats som helst. Vid sådana för- hållanden finns det inte någon röstmottagare på plats under själva valhandlingen. Frågan har som nämnts övervägts av . Problemställningen för kommissionen var om röstning i okon- trollerade miljöer var förenligt med den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Enligt konventionen har väljare rätt till att avge sin röst vid hemlig röstning. Till denna rätt har det ställts upp krav på att myndigheterna ska se till att röstningen sker under förhållanden som säkerställer att folket fritt får uttrycka sin mening. Samma problemställning är aktuell också vid brevröstning. Kommissionen hänvisar i sina överväganden till att brevröstning i okontrollerade miljöer har blivit en vanlig röstningsform i flera medlemsländer och därför bör definieras som en europeisk standard. När det gäller e-röstning, hänvisar kommissionen till rikt- linjerna för god valpraxis. Enligt denna ska e-röstning tillåtas bara om den är säker och pålitlig. Baserat på en analys av brevröstningen i okontrollerade miljöer, anser kommissionen att liknande standar- der kan utvecklas vid e-röstning. E-röstning är inte generellt tillåtet enligt men inte heller utesluten. Huruvida den kan godtas beror på de rättsliga, processuella och tekniska standarder som tillämpas. Över tid kan det alltså utvecklas standar- der som kan definieras som sedvana. Kommissionens slutsats är således att e-röstning i okontrolle- rade miljöer kan vara förenlig med europeiska standarder och där- med , förutsatt att vissa förhållningsregler iakttas när man utformar procedurerna för en sådan röstning. Vi gör därför bedömningen att ett system för e-röstning i okontrollerade miljöer torde kunna utformas på ett sådant sätt att ett erforderligt skydd för valhemligheten uppnås. För att uppnå detta skydd bör väljarna ges möjlighet att ändra en avgiven e-röst med en ny e-röst eller genom att avge en röst på traditionellt sätt i en röstningslokal eller vallokal. Vidare bör gälla att en pappersröst alltid har företräde framför en e-röst. En sådan ordning skulle också ge väljare skydd mot otillbörlig påverkan och också hindra köp och försäljning av röster. vunna erfarenheter från det norska försöket med e-röstning via internet i okontrollerade miljöer, där en sådan ordning tillämpades, talar för detta. 3.9.4Hemliga och fria val ställer särskilda krav på utformningen av ett e-röstningssystem Kommitténs bedömning: Ett e-röstningssystem måste ut- formas så att valhemligheten inte riskeras i någon del av val- proceduren. Detta innebär att valhemligheten måste säkerställas under hela förloppet, t.ex. vid överföring av pinkoder eller andra elektroniska meddelanden till väljaren inför röstningen, under ifyllandet av e-valsedeln, när valsedeln avges, under överföringen och lagringen av valsedeln och under räkningen av valsedlarna. Detta ställer särskilda krav på val av teknisk lösning. Hemliga och fria val innebär att en väljare ska ha möjlighet att rösta ensam och osett och utan att i själva valögonblicket påverkas på ett otillbörligt sätt. I vallagen kommer detta till uttryck bl.a. i bestäm- melsen att väljare vid röstningen i en vallokal eller en röstningslokal för förtidsröstning ska göra i ordning sina röster bakom en val- skärm och därefter lämna de förslutna valkuverten till röstmot- tagarna (7 kap. 3 §). Traditionellt har kravet uppfattats så att en väljare ska använda sig av valskärmen, även om han eller hon inte själv önskar det. Det finns dock ingen sanktion till bestämmelsen. I 13 kap. 6 och 7 §§ vallagen finns en uttömmande reglering av vilka omständigheter som medför att valsedlar ska förklaras ogil- tiga. Det förhållandet att valhemligheten röjts utgör dock ingen grund för att ogiltigförklara valsedeln. När ett valkuvert har lämnats till en röstmottagare finns krav och rutiner reglerade i vallagen för att säkerställa valhemligheten. Olika krav gäller således för förvaring, transport och rösträkning. Kraven på hemliga och fria val måste också säkerställas om det införs ett e-röstningssystem. Av punkten 9 i rekommendationen Rec (2004) 11 framgår att ett elektroniskt röstningssystem ska säkerställa att väljaren fritt får ge uttryck för sin egen mening och av punkten 16 i rekommendationen framgår att systemet ska utformas så att valhemligheten inte riskeras i någon del av proceduren. Detta innebär alltså att valhemligheten måste säkerställas under hela röstningen, t.ex. vid överföring av pinkoder eller andra elektroniska meddelanden till väljaren inför röstningen, under ifyllandet av valsedeln, när valsedeln avges, under överföringen av valsedeln och under räkningen av valsedlarna.