sou · H3B333 · 2015-03-30 00:00:00 — Utredningen pekar också på att myndigheterna som ett led i arbetet med att minska och förenkla företagens uppgiftslämnande systematiskt och regelbundet bör gå igenom varje uppgiftskrav och noga överväga vilka grundläggande uppgifter om företaget som är nödvändiga för myndighetens handläggning och om dessa verkligen måste lämnas av företagaren. Utredningens delredovisning och betänkande En utgångspunkt för utredningen är att användarnas myndighets- kontakter inte i större utsträckning än bör kunna kartläggas genom den föreslagna infrastrukturen. Om företagen upplever att de på ett negativt sätt kartläggs när de använder Servicetjänsten riskerar användandet att minska och de positiva effekterna både för företagen och myndigheterna att gå förlorade. kommer att behandla personuppgif- ter men myndighetens behandling av personuppgifter går att förena med kraven på skydd mot kränkning av den personliga integriteten. föreslås få behandla personuppgifter bara i den utsträckning som krävs för att kunna driva Service- tjänsten. har inte behov av att behandla känsliga personuppgifter. 4.3.4Organisation, finansiering och samhällsekonomiska effekter I vårt tidigare betänkande (SOU 2013:80) föreslår utredningen att det bör inrättas en ny myndighet – – med den överordnade uppgiften att verka för att uppnå regeringens mål att minska och förenkla uppgiftslämnandet för företagen. ska genom samråd och tillsyn bidra till att underlätta företagens uppgiftslämnande. Företagsdatamyndig- heten ska ansvara för och Servicetjänsten. Till Företagsdatamyndigheten ska knytas ett råd med av regeringen utsedda representanter för såväl större som mindre myndigheter liksom näringslivet med företagens bästa i centrum. Förslaget ska finansieras genom avgifter från anslutna myndig- heter. övriga verksamhet får finansieras genom omdisponeringar i statsbudgeten. Myndigheternas kartlägg- ningsarbete, anpassningar av sina IT-system till Servicetjänsten och övrigt arbete att samordna uppgiftskraven får ske inom ramen för myndigheternas anslag. I betänkandet konstateras att det är förknippat med stora osäkerhetsfaktorer att beräkna nyttan med de förslag som lämnades. gjorda samhällsekonomiska bedömningar talar emellertid samtliga för att inrättandet av ett uppgiftskravsregister och ett aktivt Utredningens delredovisning och betänkande arbete med att samordna uppgiftskraven för att minska och förenkla företagens uppgiftslämnande är samhällsekonomiskt lönsamt. Kost- naderna kommer uteslutande ligga på staten medan nyttorna uppstår hos företagen. Utredningen fick tilläggsdirektiv med uppdrag att genomföra sitt förslag som det tidigare betänkandet remitterades till 64 instanser. Målsättningen var att arbetet skulle fortgå och att syn- punkter skulle omhändertas under arbetes gång. Majoriteten av de tillfrågade, 55 instanser, lämnande yttranden till . 37 instanser, både myndigheter och företagarorganisationer, var positiva eller delvis positiva till för- slaget medan 18 avstyrkte förslaget helt eller delvis. Framför allt bildandet av en ny företagsdatamyndighet kritiserades av myndig- heter. Det starkaste stödet för utredningens förslag kom från före- tagsorganisationerna vilket tyder på att utredningen hade ett per- spektiv som tilltalade näringslivet. Myndigheterna å sin sida har belyst svårigheterna utifrån sin egen verksamhet, resurser m.m. Nedan återges kortfattat det som bedömts vara centrala syn- punkter för det efterföljande arbetet med Uppgiftslämnarservice för företagen. Närmare om hur synpunkterna från remissbehand- lingen har omhändertagits återfinns i avsnitt 5.3. Flertalet remissinstanser framhöll pågående initiativ såsom verk- och Mina meddelanden och menade att utredningens för- slag borde samordnas med dessa. Flera remissvar ifrågasatte ansat- sen i uppdraget uttryckt som ”en dörr in” och menade att det är viktigt att kontakter till myndigheter inte begränsas till en enda kommunikationskanal. Utredningens delredovisning och betänkande Flertalet remissinstanser efterlyste ytterligare utredning av rättsliga frågeställningar kring möjligheten till direktåtkomst, utbyte av sekretesskyddade uppgifter, behandling av personuppgifter m.m. En annan viktig synpunkt var att utredningen borde ha för- djupat sin analys av de krav på informationssäkerhet som den före- slagna lösningen för hantering av uppgifter om företag kommer att ställa. Organisation, finansiering och samhällsekonomiska effekter Medan flertalet av myndigheterna visade stor tveksamhet mot för- slaget om och menade att arbetet med minskat och förenklat uppgiftslämnande sker bäst inom ramen för befintlig samverkan mellan myndigheter, instämde flertalet närings- livsorganisationer i utredningens analys om att förenklingsarbetet kräver samordning, som görs bäst inom ramen för en oberoende myndighet. Ett antal instanser menade att utredningen inte i tillräcklig utsträckning hade tagit tillvara på E-delegationens arbete vad gäller t.ex. förutsättningar för framtida digital samverkan. Flera av myndigheterna såg behov av en tydligare analys av kost- nads- och nyttobalansen. 5Vidareutveckling av den tekniska lösningen Utredningen tog fram en prototyp av en servicetjänst för minskat och förenklat uppgiftslämnande (SOU 2013:80, kapitel 10). Syftet med prototypen var främst att testa hur olika lösningar fungerar tekniskt och juridiskt för att i ett tidigt skede i processen kunna upptäcka eventuella fallgropar, demonstrera hur servicetjänsten kommer att se ut och fungera för såväl företag som myndigheter, ge en mer exakt uppskattning av kostnaden för att bygga en fullskalig servicetjänst, och ge utredningen underlag för ett förslag som går att omsätta i drift utan ytterligare grundläggande utvecklingsarbete. I arbetet med att uppskatta investeringskostnaderna tog utred- ningen fram en lista på drygt 20 så kallade användningsfall som ligger till grund för den funktionalitet som servicetjänsten bör ha. De tio mest centrala fallen implementerades i prototypen. Metoden med användningsfall beskrivs närmare i avsnitt 6.1.2 och 6.1.3. Användningsfallen i sin aktuella lydelse finns i bilaga 6. Prototypen har sedan demonstrerats för och testats av utred- ningens expertgrupp och även i andra sammanhang. Erfarenheter därifrån har använts i det fortsatta utredningsarbetet. Vidareutveckling av den tekniska lösningen Ambitionen med prototypen har inte varit att göra en första version av servicetjänsten, utan enbart att utgöra underlag för utredningens arbete enligt ovan. I tilläggsdirektiven (dir. 2013:111) beskrevs att utredningen skulle ta fram ett förslag på hur ett system för företagens uppgifts- lämnande ska genomföras och att det i detta ligger en vidare- utveckling av prototypen inför användandet i ett fullskaligt system. Utredningen har genomfört denna del av uppdraget främst genom att vidareutveckla de användningsfall som ligger till grund för prototypen, men inte genom att bygga vidare på den faktiska tekniska plattformen. För att Servicetjänsten ska kunna användas är ett första nödvändigt steg att den fysiska person som använder tjänsten identifierar sig och styrker sin behörighet att agera för ett visst företag. Detta hanteras genom autentisering och auktorisation. Att autentisera någon betyder att säkerställa att personen är den han eller hon utger sig vara. Den självklara metoden för att autentisera en fysisk person är via e-legitimation. Såväl i prototypen som i ett fullskaligt system förutsätter i stort sett all funktionalitet att användaren är autentiserad. I prototypen gjordes inte någon fullständig e-legitimations- autentisering eftersom det bedömdes öka komplexiteten och svårig- heten att testa systemet. En korrekt e-legitimationsautentisering kräver exempelvis installation av programvara på den dator som används, vilket sällan är möjligt för en enskild användare i en myndighets it-miljö. För att testa de olika rollerna i systemet måste användaren också kunna autentisera sig som flera olika fiktiva fysiska personer, vilket inte heller är möjligt för en enskild användare eftersom det kräver koordinering med den tredje part som står för autentiseringen. Framför allt skulle en fullständig e-legitimations- autentisering inte tillföra utredningen något ytterligare utrednings- underlag eller kunskap. Vidareutveckling av den tekniska lösningen Prototypen använder ett enkelt namn- och lösenordssystem för inloggning. Det gör det enkelt för den som ska testa systemet att logga in som någon av en handfull fiktiva personer. Dessa påhittade identiteter representerar olika tänkta roller i systemet: den enskilda företagaren, revisorn med behörighet att agera för flera olika företag eller myndighetshandläggaren. I det fullskaliga systemet, som realiseras inom ramen för , finns autentisering redan.. Utredningens förslag har inte några ytterligare krav på hur autentisering ska gå till som inte uppfylls av . Att auktorisera betyder att säkerställa att någon har rätt att agera. För det aktuella systemet handlar det om att kunna avgöra för vilken eller vilka företag som en given fysisk person har rätt att agera. Att i en prototyp återskapa den komplexa rättsliga reglering kring firmateckning, fullmakter m.m. som avgör vilken eller vilka fysiska personer som har rätt att exempelvis lämna in ett efterfrågat frågeformulär eller ansöka om en förmån ansågs inte möjligt eller nödvändigt för en prototyp. Prototypen har därför ett inbyggt, mycket enkelt system för behörighet där varje fysisk påhittad person har fullständig behörighet att inom prototypen agera för ett eller flera företag alternativt en eller flera myndigheter. Behörighetslistan är inbyggd i prototypen. I ett fullskaligt system måste auktorisering givetvis hanteras på ett mer fullständigt sätt. Denna fråga är nu under utredning i vidare- utvecklingen av . Även elektroniska fullmaktssystem skulle kunna övervägas för mer träffsäker och finkornig hantering av auktorisering.1 I det fullskaliga systemet, som realiseras inom ramen för , finns även en enklare form av auktorisering som i första hand bygger på register över firmatecknare för företag. Detta system för auktorisering eller behörighetshantering passar inte 1 Jämför pågående arbete på den förvaltningsgemensamma tjänsten ”Mina fullmakter” tjanster/Mina-fullmakter/, som är inriktat på hantering av privatpersoners utställda fullmakter. Vidareutveckling av den tekniska lösningen för många av de tänkta användarna och interaktionerna eftersom det sällan är firmatecknaren för ett företag som skulle sköta dessa. I framtida utvecklingsarbete för ingår nu att se över systemet för behörighetshantering. 5.1.2Centrala användningsfall för företagaren Som nämnts ovan loggar användaren in i prototypen med ett namn som representerar en fiktiv fysisk person och ett lösenord. Har den fiktiva fysiska personen rätt att agera för flera olika företag kan användaren välja vilket av dessa som denna för tillfället vill agera för. Efter inloggning möts man av tre funktioner: Uppgifter, Att göra, samt Ansökningar och anmälningar. Dessa beskrivs nedan. I funktionen uppgifter kan användaren se vilka grundläggande uppgifter för företaget som finns i systemet. I prototypen är detta ett fåtal enkla uppgifter som lagras direkt i systemet. Uppgifterna motsvarar de uppgifter som lagras i det allmänna företagsregistret, ett författningsreglerat register som förs av Statistiska central- byrån.2 Uppgifterna i prototypen gäller fiktiva företag, på samma sätt som de inloggade identiteterna är fiktiva personer. Utöver att uppgifterna kan granskas av företaget (eller rättare sagt de fysiska personer som kan agera för företaget) kan vissa uppgifter ändras. I arbetet med prototypen analyserade vi uppgifterna i det allmänna företagsregistret och bedömde vilka uppgifter företaget skulle kunna ändra, främst kontaktuppgifter. Även den eller de branscher som företaget bedriver verksamhet i kan ändras direkt av företaget. Andra uppgifter kan företagen inte ändra själva. Det är framför allt uppgifter som kräver ett myndighetsbeslut, exempelvis det registrerade företagsnamnet eller i vilken organisationsform (aktie- bolag, handelsbolag, enskild firma, m.m.) som verksamheten bedrivs. 2 Se Förordning (1984:692) om det allmänna företagsregistret och SCB:s informationssidor på . Vidareutveckling av den tekniska lösningen När ett företag ändrar sina uppgifter sparas de gamla upp- gifterna undan (arkiveras) tillsammans med tidpunkten för ändring och vad ändringen bestod i. De äldre uppgifterna kan inte längre användas för uppgiftsinlämning, men företaget kan ta fram en logg (fortlöpande register) över alla ändringar. En administratör för systemet kan med en aktiv handling utplåna (gallra) äldre uppgifter, vilket i sig kräver författningsstöd. I det fullskaliga system för företagens uppgiftslämnande som ska lanseras kommer tjänsten vid visningstillfället hämta upp- gifterna från en sammansatt bastjänst, som i sin tur hämtar uppgifter från flera olika datakällor (se avsnitt 6.2). Detta får betydelse för processen med att ändra uppgifter. Där uppgifterna visas kommer i stället finnas information om hur man gör för att ändra uppgiften och en hänvisning till en e-tjänst för att göra detta där så är möjligt (jfr användningsfall AF 39). I ett färdigt system, där informationen lagras i olika underliggande datakällor, skulle en ändring av uppgifter effektueras i dessa källor. Arkivering och gallring blir därför en fråga för dem som är register- förare för dessa källor. För att den ändringslogg som finns i proto- typen ska kunna realiseras i ett färdigt system, krävs att äldre uppgifter bevaras i de underliggande datakällorna och att integrationen mellan tjänsten och dessa källor stödjer hämtning av denna information. Något sådant användningsfall finns inte med i kravspecifikationen. ”Att göra” I funktionen ”Att göra” kan företaget få en översikt över vilka upp- giftskrav som olika myndigheter har aviserat att företaget ska fullgöra. Varje inkommen avisering innehåller företagets organisationsnummer samt ett id-nummer för uppgiftskravet. Varje avisering visas som en rad i en ”att göra”-lista. Alla upp- giftskrav kan inte uppfyllas genom en e-tjänst, men för de krav där detta är möjligt finns en länk till motsvarande e-tjänst. För andra krav, där det finns allmänna informationssidor, en pdf-blankett, eller annan information på webben, kan en länk gå till sådan information. I prototypen har byggts ett separat system vars funktion är att skicka aviseringar till huvudtjänsten. Vidareutveckling av den tekniska lösningen SOU 2015:33 system motsvarar de olika verksamhetssystem hos myndigheterna som skulle behöva skicka aviseringarna i ett fullt utvecklat system. Huvudtjänsten tar emot dessa aviseringar utan att göra någon validering utöver att id-numret för ett uppgiftskrav faktiskt existerar i uppgiftskravsdatabasen. Det är det aviserande systemets ansvar att skicka aviseringar för rätt krav till rätt mottagare och att exempelvis ett uppgiftskrav som endast är tillämpligt för aktiebolag inte aviseras till en enskild firma. Som en del av prototyparbetet har två simulerade e-tjänster skapats för de två uppgiftskraven med id-nummer SKV17 och SJV156 (motsvarande för kontrolluppgift KU25, respektive för ansökan om stöd för miljöinvestering). När en avisering för ett visst företag aktualiseras och något av dessa uppgiftskrav lämnats in visas den i ”att göra”-listan med en länk till motsvarande simulerade e-tjänst. Användaren behöver bara klicka på länken för att starta e-tjänsten. När användaren slutför inlämnandet skickas en avisering till huvudsystemet att ett visst uppgiftskrav nu är uppfyllt. Uppgiftskravet tas då bort från ”att göra”-listan. I prototypen lagras alla aviseringar inom systemet. I det färdiga systemet kommer i stället den myndighetsgemensamma infra- strukturtjänsten Mina meddelanden användas som aviseringskanal. Det får dock effekten att funktionen inte levereras som en del av utan i stället i en kommande uppdatering av tjänsten Min myndighetspost (se vidare avsnitt 6.5). I ett färdigt system ska en avisering från en myndighet till ett företag utöver organisationsnummer och id-nummer för uppgifts- kravet även innehålla ett sista inlämningsdatum, dvs. när uppgifterna senast ska lämnas. I de inledande faserna av servicetjänstens utveckling kommer de flesta myndigheter inte ha hunnit utveckla rutiner för att skicka aviseringar. Ett enklare sätt att få en likande funktion bygger på att information om när ett visst uppgiftskrav ska lämnas in finns i uppgiftskravsdatabasen. Med denna lösning får användaren en ”att göra”-lista med uppgiftskrav generellt riktade till företag av rätt typ. Användaren får själv ta bort krav från denna lista efter att de fullgjorts. En sådan funktion är under utredande inom det generella arbetet med . Vidareutveckling av den tekniska lösningen Funktionen Ansökningar och anmälningar påminner om funktionen Att göra, men de uppgiftskrav som listas är sådana som initieras av företagen själva. Det handlar typiskt sett om anmälningar av olika förfaranden eller ansökningar om förmåner som kan bli aktuella . Prototypen filtrerar uppgiftskraven utifrån före- tagsform och den eller de branscher3 som företaget verkar i. För varje krav i uppgiftskravsdatabasen finns bland annat angivet vilken eller vilka företagsformer samt branscher det är tillämpligt för. I prototypen leder detta till att användaren möts av ett mycket stort antal uppgiftskrav (ansökningar eller anmälningar) som skulle kunna vara aktuella för företaget. Beroende på företagsform och bransch kan det röra sig om 300–700 uppgiftskrav. Det finns en enkel sökfunktion där man kan begränsa listan till alla krav som i sin beskrivning innehåller ett visst sökord (exempelvis ”bidrag” eller ”tillstånd”). I ett färdigt system både kan och behöver detta förbättras på flera sätt, exempelvis kan kartläggning av uppgiftskraven göras mer detaljerat. För sådana branscher som omfattas av många företags- initierade uppgiftskrav skulle hela SNI-kodssystemet kunna användas för att exempelvis ange att ett visst uppgiftskrav som träffar jordbruksbranschen endast är tillämpligt för köttproduktion. På så vis kan en jordbrukare som endast är spannmålsproducent slippa få upp just detta krav. Uppgiftskraven skulle även kunna grupperas på aktuell myndighet och knyta an till en viss livscykelhändelse hos företagen, såsom bildande, anställande av personal, redovisning eller avslutande. Som nämnts ovan skapades två simulerade e-tjänster för att användas tillsammans med servicetjänstprototypen. Interaktionen mellan servicetjänsten och de simulerade e-tjänsterna följer i prototypen följande arbetsgång. 1.En avisering skickas (från e-tjänst eller på annat sätt) till service- tjänsten. 3 Bransch beskrivs från den översta nivån av SNI 2007 vilket innebär att uppgiftskraven i prototypen sorteras på 21 branscher. Vidareutveckling av den tekniska lösningen 2.Användaren får upp ett uppgiftskrav i sin ”att göra”-lista med en länk till den simulerade e-tjänsten. 3.Användaren förs över till e-tjänsten. Det organisationsnummer som är auktoriserat i servicetjänsten skickas med till e-tjänsten i form av en parameter i länken. 4.E-tjänsten gör en förfrågan till servicetjänsten över SHS- systemet om att få de grundläggande uppgifterna för det medskickade organisationsnumret.4 5.Servicetjänsten levererar dessa uppgifter över SHS. 6.E-tjänsten använder de levererade uppgifterna för att fylla i ett formulär och därigenom minska och förenkla företagets uppgiftslämnande. 7.Användaren matar in övriga uppgifter och skickar in allt. 8.E-tjänsten tar emot uppgifterna och skickar en avisering till servicetjänsten om att uppgiftskravet nu är uppfyllt. I det färdiga systemet kan framför allt steg 3–6 komma att ändras. För autentisering och auktorisering litar den simulerade e-tjänsten på att servicetjänstprototypen har utfört såväl autentisering som auktorisering på ett korrekt sätt, och gör därför inga motsvarande åtgärder. Här kommer det vara upp till varje myndighet att bedöma vilken säkerhetsnivå och vilka krav på autentisering och auktorisering som man har för den aktuella e-tjänsten, men som huvudregel kommer många myndigheter att vilja göra egen autentisering. 5.1.4Centrala användningsfall för myndigheter Myndigheter kan på samma sätt som företag logga in i prototypen med användarnamn och lösenord. I prototypen har vissa användar- identiteter skapats för tänkt myndighetspersonal. Den huvud- sakliga funktionen som kan användas för dessa är att administrera de uppgiftskrav som en myndighet har. 4 För information om SHS (spridnings- och hämtningssystem) se Vidareutveckling av den tekniska lösningen När en behörig myndighetshandläggare är inloggad kan han eller hon välja att få upp en lista på myndighetens samtliga uppgiftskrav. Information om varje uppgiftskrav kan fritt redigeras, och nya uppgiftskrav kan läggas till. För varje uppgiftskrav finns i proto- typen ett tiotal egenskaper, exempelvis beskrivning av uppgifts- kravet, vilka grundläggande uppgifter kravet omfattar och vilka branscher det gäller. I ett färdigt system är tanken att varje deltagande myndighet ska hantera sina uppgiftskrav själv. Men det kan inte uteslutas att en myndighet vill ha teknisk assistans från den myndighet som tillhandahåller uppgiftskravstjänsten när ett nytt uppgiftskrav läggs till eller ett befintligt modifieras. Sådan teknisk assistans kan tillhanda- hållas på flera sätt. Ett alternativ är att denna myndighet, utifrån en beskrivning av uppgiftskravet som den andra, deltagande, myndig- heten tillhandahåller, själv matar in uppgiftskravet i databasen. Ett annat alternativ är att den deltagande myndigheten matar in uppgifts- kravet men att det markeras ”för granskning”, och att den myndighet som tillhandahåller uppgiftskravstjänsten därefter granskar uppgifts- kravet så att exempelvis beskrivning, hänvisning till lagrum och länk till e-tjänst är godtagbart. Efter granskning kan kravet läggas in i den riktiga uppgiftskravsdatabasen. Sådana assistanslösningar förändrar inte att det är myndigheten som ansvarar för att innehållet i registret är korrekt. Som en del av utredningens uppdrag att vidareutveckla prototypen inför användandet i ett fullskaligt system togs en noggrannare krav- specifikation fram. Arbetet, som framför allt pågick , var inriktat på att ta fram ett underlag som kunde användas för upphandling av en sådan teknisk lösning. Inriktningen blev sedermera ändrad (se avsnitt 5.3 och 5.4 samt avsnitt 6 för den aktuella realiseringen) men nedan redogörs för den initiala ansatsen. Vidareutveckling av den tekniska lösningen Flertalet remissinstanser uttalade sig om olika aspekter av det föreslagna systemets tekniska utformning. Ett genomgående tema i synpunkterna var att systemet i högre grad borde återanvända befintlig infrastruktur och e-förvaltningsgemensamma principer. Särskilt framhölls att Mina meddelanden, som ett system för meddelandeförmedling från myndigheter till företag och enskilda, borde användas i ett system för företagens uppgiftslämnande som bland annat innehåller aviseringar från myndigheter till företag. Flera remissvar tog även upp att frågan om behörighet (auktorisering) var av stor vikt. Även frågor om säkerhet, användar- vänlighet och tillgänglighet lyftes fram som viktiga. Slutligen framhöll flera av remissinstanserna vikten av att främja maskin-till-maskin- lösningar för uppgiftslämnande. Med anledning av att ett genomförande av utredningens tidigare förslag krävde fördjupad kompetens om framför allt myndigheters it-system och it-arkitektur förordnade regeringen ett antal experter med teknisk bakgrund. hölls tre sammanträden med tillhörande arbete kring konkreta frågeställningar för att anpassa utredningens förslag till de informationstekniska förutsättningarna på de myndigheter som experterna hade erfarenhet av.