sou · H5B3114 · 2018-01-01 00:00:00 — Utredningen har i tidigare kapitel beskrivit hur den elektroniska iden- tifieringsprocessen ser ut gentemot en e-tjänst. Kortfattat innebär identifieringsprocessen då att användaren väljer vilken elektronisk identitetshandling som han eller hon vill använda för att identifiera sig för inloggning. Den förlitande aktören (alltså den som tillhanda- håller e-tjänsten) ställer en fråga till utfärdaren av den elektroniska identitetshandlingen om användarens identitet och får ett s.k. identi- tetsintyg tillbaka. Identitetsintyget innehåller uppgifter om använda- rens identitet. innehåller identitetsintygen oftast personnummer och namn. Identitetsintygen innehåller inte uppgift om användarens (individens) roll eller ställning. Inom E-delegationen etablerades en princip för organisationstillit i syfte att effektivisera arbetet med informationsutbyte mellan offent- liga aktörer. Principen bygger på att det vid informationsutbyte inom ramen för myndigheternas samverkans- och serviceskyldighet räcker att kontrollera att den andra parten är den myndighet som den upp- ger sig vara, eftersom en myndighet vanligtvis kan lita på att en handläggare som agerar för en annan myndighets räkning är behörig att företräda myndigheten. Principen bygger på förvaltningslagens regler om myndigheternas samverkansskyldighet samt att varje myn- dighet själv ansvarar för sin interna kontroll.3 Ett exempel på organi- sationstillit är den system-till-system-lösning som finns inom rätts- väsendets informationsförsörjning, RIF. I RIF skickas information direkt mellan myndigheternas verksamhetsstöd. Någon särskild iden- tifieringslösning har därför inte bedömts nödvändig eftersom utby- tena bygger på att varje mottagande myndighet litar på att den infor- mation som förmedlas kommer från en behörig tjänsteman hos den avsändande myndigheten.4 Det är i den avsändande myndighetens eget stöd som tjänstemännens behörigheter kontrolleras. 3eSam:s , s. 63. 4Ett exempel på hur lagstiftningen kan sägas ha följt principen om organisationstillit är 45 kap. Av bestämmelsen följer att en stämningsansökan som huvudregel ska vara egenhändigt undertecknad. En stämningsansökan som ges in elektroniskt ska emellertid vara undertecknad med en sådan elektronisk underskrift som avses i artikel 3 i eIDAS-förordningen eller överföras på ett sätt som uppfyller motsvarande grad av säkerhet. Det sista ledet i bestäm- melsen menar utredningen utgör en författningsreglerad organisationstillit. Arbetstagare, student, ställföreträdare – och elektronisk identitiering tagande myndigheten behöver därför inte göra några särskilda kon- troller av avsändande tjänsteman. 15.3Vad är behörighets- och attributstjänster? 15.3.1E-legitimationsnämnden och Svensk e-legitimation I betänkandet och Svensk e-legitimation be- skrev utredningen om bildande av en att attri- butsintyg var elektroniska intyg som lämnade uppgift om behörighet, uppdrag, roll eller andra egenskaper som i traditionell miljö lämnas genom att visa upp en legitimation eller ge in registreringsbevis, full- makter eller liknande handlingar. Utredningen om bildande av en anförde också följande: Genom attributsintyg ska myndigheters och företags e-tjänster smidigt kunna förses med ytterligare information om användare som legitimerar sig. Attribut kan vara ett eller flera och kan innehålla vilken information som helst, inom rimliga gränser – och de paketeras ”på samma sätt” som i ett identitetsintyg, dvs. i ett standardiserat format kallat SAML 2.0.5 Utredningen om bildande av en beskrev vidare att det från juridiska utgångspunkter kunde tas olika perspektiv på hur information om en individ skulle inhämtas eller bifogas en identifie- ring. Det anfördes att olika lösningar kan komma att väljas utifrån olika praktiska situationer (vilka regler som gäller för personuppgifts- hantering etc.). Dessa lösningar bör i praktiken begränsas till vissa ty- pfall som lämpligen kan beskrivas från den praktiska situationen. Om man utgick från individen kunde attributsintyg innehålla information om i vilken form individen är behörig att företräda ett visst företag eller har någon annan egenskap. I de fallen är det upp till den för- litande aktören att utvärdera informationen för att bedöma frågan om behörighet. Om man i stället tog utgångspunkt i ett företag kunde det finnas behov av att bedöma om en viss individ är behörig och genom kompletterande sökningar hos exempelvis för att in- hämta registreringsbevis.6 5SOU 2010:104, och Svensk e-legitimation, s. 38. 6SOU 2010:104, och Svensk e-legitimation, s. 39. Arbetstagare, student, ställföreträdare – och elektronisk identitiering eSam har i sin rapport effektiv informationsförsörjning beskrivit följande om identitetshantering och behörighetshantering. Områden som identitetshantering och behörighetshantering blir därmed centrala och behöver en gemensam utformning för hur det ska fungera såväl mellan offentliga aktörer som mellan offentliga aktörer, privatper- soner och företag. Privatpersoner kan agera i olika roller mot det offent- liga; t.ex. som ordförande i en samfällighet, firmatecknare i ett bolag eller som privatperson. Privatpersoner kan även agera som ombud i olika former för andra privatpersoner, vilket även behöver kunna hanteras digitalt. Informationsförsörjningen behöver generellt ha stöd för att urskilja i vilken roll en enskild person har kontakt med det offentliga och vilka förutsättningar som föreligger i den specifika rollen.7 eSam anför vidare i samma rapport att det behöver tydliggöras om en gemensam attributstjänst för hantering av roller i relation till be- hörigheter kan vara en effektiv och ändamålsenlig lösning. 15.4Identifiering i en e-tjänst eller annan identifieringslösning? Utredningen om bildande av en beskrev attri- butstjänster som tog sikte på fler roller än den som arbetstagare. Be- skrivningarna omfattade också ombuds- och ställföreträdarrelatio- ner. Detsamma gäller eSams angreppssätt i rapporten effektiv informationsförsörjning. Utredningen bedömer att den beskrivning av attributstjänster som Utredningen om bildande av en gjorde huvudsakligen utgick från att identifieringen skulle göras mot en e-tjänst. Det beskrivs att identitetskontrollen resulterar i ett identi- tetsintyg, som kan förses med attributsintyg av olika slag.8 Implemen- teringen av utredningen om bildande av en tankar har emellertid inte blivit på det sätt som beskrivits. Utred- ningen har erfarit att det i stället har blivit fråga om en standardupp- sättning i identitetsintygen som består av namn och personnummer. 7eSam, En effektiv informationsförsörjning s. 32. 8SOU 2010:104, och Svensk e-legitimation, s. 38 ff. Arbetstagare, student, ställföreträdare – och elektronisk identitiering Ovan har utredningen beskrivit att det inte är alla elektroniska identifieringar som ska göras mot e-tjänster och att detta särskilt gäller sådana elektroniska identifieringar som utförs i tjänsten. 15.5Viktigt att utgå från praktiska fall, men dessa är inte generiska Utredningen instämmer i den bedömning som Utredningen om bil- dande av en gjorde, dvs. att man i analysen av attributs- och behörighetstjänster måste utgå från olika praktiska fall. Utredningen konstaterar att processer för förmedling och inhäm- tande av uppgifter med bäring på olika roller, främst de som avser ombud eller ställföreträdarskap, kan skilja sig åt mellan olika offentliga myndigheter. Vid en jämförelse mellan förvaltningslagens och rätte- gångsbalkens bestämmelser framgår följande. Av förvaltningslagen följer att myndigheter vid handläggning av ärenden ska beakta möjlig- heten att själv inhämta upplysningar och yttranden från andra myn- digheter, om sådana behövs.9 Av följer att parters första inlaga ska innehålla uppgifter som både visar domstolens be- hörighet samt kan tjäna som underlag för delgivning.10 Part som vill ställa ett ombud för sig ska lämna ombudet fullmakt. Fullmakten ska visas upp i original när ombudet första gången för talan i målet.11 När det gäller förvaltningslagen innebär bestämmelsen att myndigheten själv ska inhämta uppgifter, medan föreskriver att parten ska förse domstolen med uppgifterna.12 De refererade bestäm- melserna beskriver inte samma situation, men angreppssätten är enligt utredningen intressanta på så sätt att det finns processregler som med- för att ansvaret för att förse myndigheter med uppgifter kan skilja sig åt mellan myndigheter. I bland måste myndigheten aktivt hämta och eftersöka uppgifter om en individs roll, andra gånger måste individer förse myndigheter med dessa uppgifter. 97 § förvaltningslagen (1986:223). Motsvarande bestämmelse finns också i 8 § andra stycket i den nya förvaltningslagen (2017:900) som träder i kraft . 1033 kap. (1942:740). 1112 kap. (1942:740. 12Det ska dock påpekas att många domstolar också inhämtar sådana uppgifter från centrala register, om inte annat för att kontrollera att uppgifterna stämmer. Motsvarande bestämmelse som i FL saknas dock i RB. Arbetstagare, student, ställföreträdare – och elektronisk identitiering Utredningen kan vidare konstatera att frågan om behörigheter är komplex. Behörigheter kan bedömas utifrån olika perspektiv och behörighet handlar i bland också om befogenhet. En individ – tjänsteman eller ombud – kan vara behörig att vidta vissa åtgärder i tjänsten eller inom ramen för sitt uppdrag. I de fallen bestäms be- hörigheten av arbetsgivaren eller huvudmannen, som också är den som bäst kan förmedla information om behörigheten till andra. En sådan förmedling kan göras genom en behörighetstjänst. Behörighet kan också bestämmas hos mottagaren och handlar då främst om vilken information en utomstående kan få åtkomst till. När det gäller behovet av att kunna identifiera individer i en kontext med elektroniska medel finns det flera pågående arbeten. Vissa initiativ gäller utfärdande av elektroniska identitetshandlingar. Andra gäller att skapa identitetsfederationer. De pågående initiativen inne- fattar inte endast elektronisk identifiering i tjänsten, utan också elek- tronisk identifiering i skolans värld och i högskolesektorn. 15.7.1Elektroniska identitetshandlingar i en kontext har arbetat med it-tjänsten Myndighets CA13 (MCA), som började utvecklas i och med att Servicekontoren öppna- des . Med den lösning som MCA innebär kan en arbetstagare signera exempelvis word- och PDF-dokument eller e-postmeddelan- den. Det är också möjligt att med MCA kryptera meddelanden samt att ställa ut s.k. servercertifikat för att säkerställa en maskins äkthet i den egna domänen eller på internet. används tjänsten av servicekontoren, Statens servicecenter, , Försäk- ringskassan, och . 13 CA står för Certificate Authority, dvs. en certifikatutfärdare, /myndigheter/e-tjanster/myndighets-ca, . Arbetstagare, student, ställföreträdare – och elektronisk identitiering säkringskassan som ansvarar för drift, förvaltning och vidareutveck- ling av lösningen, i samverkan med anslutna myndigheter.14 Enligt uppgifter från Försäkringskassan15 är kostnaderna för MCA fördelade på en utvecklingskostnad och en driftskostnad. Den totala summan är 185 kro- nor per användare, och av det beloppet fördelar sig på driftskostnader och på nyutveckling. Beloppen är föremål för revidering och att de sätts utifrån hur många som använder dem. Inera AB16 har tagit fram för personer som är anställda eller uppdragstagare inom landsting, kommuner och privata vård- givare. Kortet är personligt och används tillsammans med en personlig PIN-kod.17 kan arbetstagaren/uppdragstagaren identifiera sig för inloggning i datorer, olika system och e-tjänster, framför allt inom vården men också hos myndigheter. Det är vidare möjligt att signera e-postmeddelanden, avtal, fakturor, journalhand- lingar och recept med . Kortet kan dessutom användas vid inpassering och utskrifter. Kortet är både en fysisk och en elektro- nisk identitetshandling.18 E-identitet för offentlig sektor – samverkan mellan Inera AB19 och har på eget initiativ drivit ett samverkansprojekt som handlar om tjänsten E- identitet för offentlig sektor. Avsikten med samverkansprojektet är att ersätta både SITHS och . E-identitet för offentlig sektor ska lanseras . 14www.forsakringskassan.se/myndigheter/e-tjanster/myndighets-ca, . 15Telefonmöte mellan utredningen och . 16Inera ägs av , landsting, regioner och kommuner. Genom att erbjuda kom- petens inom digitalisering stödjer Inera ägarnas verksamhetsutveckling. Inera koordinerar och utvecklar gemensamma digitala lösningar till nytta för invånare, medarbetare och beslutsfattare. att en persons identitet kontrolleras med tvåfaktorsautentisering. 18www.inera.se/tjanster/identifieringstjanst-siths/, . 19Inera ägs av samt landsting och regioner. har nästan samtliga kommuner i valt att köpa aktier i och därmed också bli delägare. Arbetstagare, student, ställföreträdare – och elektronisk identitiering sektor innebär att identifieringslösningen kan användas tillsammans med annan infrastruktur och s.k. lokala identity providers (IdP:er) så länge den lokala lösningen följer referensarkitekturen.20 kommun utfärdar elektroniska identitetshandlingar till sina anställda, som kan användas i tjänsten för samverkan med myn- digheter och medborgare. Deras lösning har granskats och godkänts av på tillitsnivå 3 och utfärdas med kvali- tetsmärket Svensk e-legitimation. En identitetsfederation syftar till att undvika att förlitande aktör måste sluta bilaterala avtal med varje utfärdare av en elektronisk identitetshandling. Syftet med identitetsfederationen är alltså att en aktör utses som ansvarig för federationen, och att varje aktör som vill ansluta sig till federationen måste följa ett uppställt regelverk – såväl tekniskt som tillitsbaserat – samt åtar sig att genomgå prövning och granskning med avseende på säkerhet och uppfyllelse av upp- ställda regelverk. Sambi21 stödjer rollbaserad åtkomst till e-tjänster. Det görs genom att det är användarorganisationen som ansvarar för hanteringen av deras användares roller och behörigheter, medan tjänsteleverantö- rerna ansvarar för att ge tillgång till tjänsten enligt den behörighet som användaren givits av användarorganisationen. En viktig poäng med Sambi är att känsliga uppgifter som använ- darnamn och lösenord inte behöver skickas över internet. De lagras inte heller hos tjänsteleverantören. Inloggningen sker hos användar- organisationen som förser tjänsten med relevant information för be- 20www.inera.se/aktuellt/projekt/e-identitet-for-offentlig-sektor/, . 21Sambi är ett samarbete mellan eHälsomyndigheten, Inera och IIS (i ). Arbetstagare, student, ställföreträdare – och elektronisk identitiering slut om åtkomst. Sambi är ett samarbete mellan eHälsomyndigheten, Inera och i . SWAMID är en identitetsfederation som omfattar de flesta läro- säten, forskningsinstitut och andra myndigheter som är relaterade till svensk forsknings- och utbildningssektor. SWAMID drivs av SUNET.22 SWAMID innehåller uppgifter om både individen och vilken roll denne har, vilket oftast är student eller anställd. har en standardiserad inloggningslösning för att förenkla konto- och lösenordshanteringen för såväl användarna på skolsidan, som för leverantörer av olika läromedel, tjänster och system. Med kan eleverna använda en enda inlogg- ning, single sign-on, för att komma åt tjänster i skolan samt alla de digitala resurser som skolan abonnerar på online (till exempel läro- medel, referensverk eller schemaläggning). Den här lösningen bygger på en internationell öppen standard. har tagits fram under ledning av SIS, , och drivs av i Sverige.23 15.8Skilj på tjänsteutövning och privata ärenden Arbetstagare ska inte använda sina privata elektroniska identi- tetshandlingar i tjänsten. Det är arbetsgivares ansvar att säker- ställa att arbetstagare kan identifiera sig elektroniskt i tjänsten. Utredningen har i föregående avsnitt beskrivit att det finns olika sätt för arbetsgivare att lösa elektronisk identifiering för arbetstagare inom sin organisation och i relation till andra. Sättet som det löses på 22www.sunet.se/swamid/, . 23www.skolfederation.se/om/, . Arbetstagare, student, ställföreträdare – och elektronisk identitiering är en teknisk fråga. Tekniken bör emellertid följa de strukturer som finns i fråga om ansvar för att arbetstagare har de medel som behövs för att utföra sin tjänst. På de allra flesta arbetsplatser finns det digitala verksamhetsstöd. Arbetstagare kan behöva identifiera sig elektroniskt mot dessa, men också mot andra organisationers e-tjänster och i vissa fall andra organisationers verksamhetsstöd. Utredningen anser att arbetsgivare som ställer krav på elektronisk identifiering för att en individ ska kunna utföra sina arbetsuppgifter också ska förse individen med det medel som krävs för att göra detta. En elektronisk identitetshandling som arbetstagare använder i tjänsten är alltså att betrakta som ett verktyg för tjänsten. 15.8.1Den statliga elektroniska identitetshandlingen är bara för privat bruk … Utredningen föreslår att alla statliga myndigheter, kommuner och landsting ska godta identifiering med den statliga elektroniska iden- titetshandlingen. Detta kan tolkas på så sätt att den statliga elek- troniska identitetshandlingen kan användas av individer också för att identifiera sig i tjänsten. Utredningen menar emellertid att den statliga elektroniska identitetshandlingen inte ska användas av indi- vider i tjänsten, med det undantag som redovisas i det följande. Om en arbetsgivare kräver att en anställd använder privat utrust- ning i arbetet måste detta framkomma av anställningsavtalet. Annars gäller principen att arbetsgivaren tillhandahåller den utrustning arbetet kräver. Vad gäller it-utrustning måste även arbetsgivarens personupp- giftsansvar vägas in. Om personuppgifter behandlas i tjänsten på en privat utrustning så har arbetsgivaren personuppgiftsansvaret och är därför skyldighet att kontrollera utrustningen i fråga. Detta kan inne- bära att arbetsgivaren får del av den anställdes privata information. Det torde därför vara mindre lämpligt att arbetsgivare kräver att anställda ska använda elektronisk identitetshandling på en privat mobiltelefon. Vid användning av privat elektronisk identitetshandling på kort upp- står inte samma komplikation. Däremot finns en annan omständighet att ta i beaktande. Den statliga elektroniska identitetshandlingen kan tillhandahållas antingen genom upphandling eller genom att en myndighet utvecklar den själv. I fallet upphandling kan det innebära att den leverantör staten Arbetstagare, student, ställföreträdare – och elektronisk identitiering väljer får en dominerande ställning även på marknaden för identitets- handlingar i tjänsten. Om den elektroniska identitetshandlingen leve- reras av en myndighet innebär det i stället att staten konkurrerar med leverantörer på denna marknad. I de flesta fall torde arbetsgivare vilja att det fysiska kort som den elektroniska identitetshandlingen finns på även optiskt förmedlar den behörighet arbetstagaren har, t.ex. genom företagsnamn, avdelning osv. Arbetstagarens behörighet kan nämligen behöva bedömas i så- dana sammanhang där kortet inte kan läsas elektroniskt. Sammantaget innebär detta att det inte är lämpligt att arbetstagare använder samma elektroniska identitetshandling i tjänsten som de använder privat. En arbetsgivare som kräver att en anställd – i sin tjänsteutövning – ska identifiera sig elektroniskt gentemot det egna verksamhetsstödet eller i e-tjänster hos andra aktörer måste enligt ut- redningens bedömning tillhandahålla den anställde en särskild identi- fieringslösning. 15.8.2… men kan användas som underlag för arbetsgivaren att skapa en annan elektronisk identitetshandling Som arbetsgivare behöver man i många fall kontrollera identiteten hos sina anställda, åtminstone i samband med att de anställs. I de fall arbetsgivaren kontrollerar identiteten på en arbetstagare görs det genom att individen visar upp en fysisk identitetshandling. I bland måste arbetsgivaren också göra säkerhetskontroller på individen. De fysiska identitetshandlingar som staten utfärdar har alltså en betydelse i den identitetskontroll som arbetsgivare gör av sina arbetstagare. är det oftast så att anställningsförfaranden innefattar personliga besök hos arbetsgivaren, men utredningen bedömer att den statliga elektro- niska identitetshandlingen kan användas på motsvarande sätt. Arbetstagare, student, ställföreträdare – och elektronisk identitiering att regeringen ger digitaliseringsmyndigheten i uppdrag att när- mare bedöma om E-identitet för offentlig sektor skulle kunna an- vändas i hela den offentliga förvaltningen. Utredningen bedömer att det är viktigt med samordning av elektro- nisk identifiering i tjänsten. De lösningar som tas fram ska fungera såväl inom den egna organisationen som i relation till andra aktörer. Det som och tar fram inom ramen för E-identitet för offentlig sektor kan komma att utvecklas till en funktion som kan användas i hela den offentliga förvaltningen. Det är möjligt att den med tiden blir att bedöma som en förvaltningsgemen- sam digital funktion. Eftersom arbete alltjämt pågår och en lansering av E-identitet för offentlig sektor inte är planerad bedömer utredningen att det är bäst att avvakta den fortsatta utveck- lingen av arbetet. Utredningen föreslår därför att regeringen ger digi- taliseringsmyndigheten i uppdrag att närmare bedöma om E-identitet i offentlig sektor kan användas i hela den offentliga förvaltningen, dvs. om arbetet utvecklas till att vara en förvaltningsgemensam digital funktion. 16 eIDAS – syfte och innebörd Enligt utredningens direktiv ska de rättsliga, ekonomiska och verk- samhetsmässiga konsekvenserna för svenska offentliga myndigheter av att erkänna anmälda europeiska elektroniska identitetshandlingar och elektroniska underskrifter i nationella e-tjänster utredas. Det inbegriper bland annat att lämna förslag på hur processen för till- delning av samordningsnummer till utländska medborgare på distans kan möjliggöras och automatiseras, hur personuppgiftsansvaret bör fördelas samt dess omfattning. Dessutom ska utredningen även utreda behoven av och förutsättningarna för anmälan av svenska elektroniska identitetshandlingar enligt eIDAS-förordningen. Här ingår bland annat att ta ställning till ett eventuellt offentligt åtagande, ekonomiska och rättsliga risker, ersättningsmodell till privata utfärdare av elek- troniska identitetshandlingar samt om pseudonym bör användas. Slut- ligen ska utredningen i denna del även översiktligt kartlägga vilka svenska tjänster som kan komma att omfattas av eIDAS-förord- ningens krav på betrodda tjänster och den offentliga förvaltningens förväntade framtida behov av sådana tjänster. I följande kapitel (16–20) behandlar utredningen de förutsättningar, bedömningar och förslag som har att göra med eIDAS-förordningen och dess följder. I skälen till eIDAS-förordningen1 (1–77) anges anledningarna till att förordningen skapades och de syften som eftersträvades när förord- ningstexten formulerades. 1 och Rådets förordning (EU) nr 910/2014 av om elek- tronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre mark- naden och om upphävande av direktiv /93/EG. eIDAS – syfte och innebörd Skälen till förordningen är inte tvingande reglering och ska därför inte blandas samman med förordningens artiklar som följer efter skälen. För förståelsen av eIDAS-förordningen återges nedan ändå några av de skäl som ledde fram till förordningens lydelse. Förtroende för nätmiljön (skäl 1–2) Medlemsstaterna vill genom förordningen bygga upp förtroendet för nätmiljön för att främja den ekonomiska och sociala utvecklingen. Bristande förtroende, särskilt på grund av upplevd brist på rättssäker- het, anses göra att konsumenter, företag och offentliga myndigheter tvekar att utföra transaktioner på elektronisk väg och att använda nya tjänster.