sou · H5B3114 · 2018-01-01 00:00:00 — Elektroniska identitetshandlingar på tillitsnivå 2 ska enligt E-legiti- mationsnämndens tillitsramverk utformas så att användaren har en eller flera personliga koder som han eller hon sedan kan använda för att styrka sin identitet.19 Med koder avses lösenord, lösenfraser, siffer- kombinationer eller annan informationsmängd som inte är knuten till en särskild utrustning eller programvara.20 Detta är alltså någon- ting man vet. Elektroniska identitetshandlingar på tillitsnivå 3 ska enligt E-legitima- tionsnämndens tillitsramverk utformas enligt en sådan tvåfaktors- princip som består dels av elektroniskt lagrad information som an- vändaren ska inneha, dels av något som användaren ska bruka för att aktivera den elektroniska identitetshandlingen.21 En elektronisk iden- titetshandling på tillitsnivå 3 kan finnas på en fysisk eller en mobil bärare. Elektroniska identitetshandlingar på tillitsnivå 4 ska enligt E-legiti- mationsnämndens tillitsramverk utformas enligt en sådan tvåfaktors- princip som består dels av en personlig säkerhetsmodul som använda- ren ska inneha, dels av det som användaren ska bruka för att aktivera säkerhetsmodulen.22 En elektronisk identitetshandling på tillitsnivå 4 måste finnas på en fysisk bärare, alltså ett exempelvis ett s.k. smart- kort. 19Se K6.1 i tillitsramverk. 20Vägledning för uppfyllande av tillitsramverkets krav för Svensk e-legitimation, s. 17. 21Vägledning för uppfyllande av tillitsramverkets krav för Svensk e-legitimation, s. 17. 22Se K6.1 i tillitsramverk. 12.5.4Gemensamt för tillitsnivå 3 och 4 I de fall tvåfaktorsautentisering krävs (nivå 3 och 4) bör koder kom- bineras med innehav (fysisk kontroll) av en lagrad datastruktur. Av den anledningen är personliga koder den huvudregel som bör tilläm- pas, men andra lösningar kan godtas då säkerheten i övrigt upprätt- hålls genom andra kompletterande kontroller.23 Utöver dessa krav finns det också krav i tillitsramverket på att det ska finnas möjlighet för användaren att på eget initiativ kunna byta eller begära ny per- sonlig kod. 12.6Processer för utfärdande av elektroniska identitetshandlingar Av E-legitimationsnämndens tillitsramverk följer att processerna för utfärdande av elektroniska identitetshandlingar skiljer sig åt, beroende på vilken tillitsnivå en elektronisk identitetshandling har. Tillitsram- verket beskriver olika processer för såväl identitetskontrollen av en individ som ansöker om en elektronisk identitetshandling, som för utlämnande av den elektroniska identitetshandlingen till individen. En elektronisk identitetshandling utfärdas enligt tillitsramverket efter ansökan från en individ. Individen kallas då sökande. Utgångspunkten är att utfärdare ska kontrollera sökandens identitet vid ett personligt besök, på likvärdigt sätt som vid utgivning av en fullgod identitetshandling. Med detta avses att identitetskontrollen följer en dokumenterad process och utförs av särskilt utbildad perso- nal i utfärdarens organisation. Det förväntas också att identitetskon- trollen i samband med utfärdande av den elektroniska identitets- handlingen grundas i att individen har en fullgod identitetshandling med vilken hon eller han kan styrka sin identitet.24 23Vägledning för uppfyllande av tillitsramverkets krav för Svensk e-legitimation, s. 18. 24Vägledning till uppfyllande av tillitsramverkets krav för Svensk e-legitimation, s. 14. För elektroniska identitetshandlingar på tillitsnivå 2 och 3 är det emellertid möjligt att kontrollera en individs identitet på distans en- ligt de närmare bestämmelserna i tillitsramverket.25 Även förfarandet vid utlämnande av en elektronisk identitetshand- ling skiljer sig åt beroende på tillitsnivå. Liksom vid identifiering vid ansökan om en elektronisk identitetshandling medger tillitsram- verket att elektroniska identitetshandlingar på tillitsnivå 2 och 3 kan lämnas ut på distans under vissa förutsättningar. Identitetshandlingar på tillitsnivå 4 kan inte lämnas ut på distans.26 Utlämnandet av en elektronisk identitetshandling är en särskilt kritisk fas i utfärdandeprocessen. Det kan finnas risker att den som ska lämna ut en elektronisk identitetshandling utsätts för otillbörliga påtryckningar, liksom att det inte genomförs en tillräckligt säker iden- titetskontroll i samband med utlämnandet av en elektronisk identi- tetshandling till en individ.27 12.7En statlig elektronisk identitetshandling att staten utfärdar en elektronisk identitetshandling att staten skapar en säker grundidentifieringsprocess som kan användas av andra aktörer. Många individer i har redan en eller flera elektroniska identi- tetshandlingar. Befolkningen är, som grupp betraktad, van att identi- fiera sig elektroniskt. På den svenska marknaden för elektroniska identitetshandlingar finns en dominant marknadsaktör; BankID. Det finns uppgifter om 25Se K5.11 i tillitsramverk. För att kunna ge ut en elektronisk identitetshandling på tillitsnivå 3 på distans, krävs att utfärdaren själv står en betydande rättslig eller ekonomisk risk kopplad till distansrelationen. Detta innebär i normalfallet att utfärdaren tillhandahåller en e-tjänst gentemot sökanden, där konsekvenserna för utfärdaren vid en felaktig identifiering kan komma att leda till betydande skador. 26Se K.6.6 i tillitsramverk. 27Vägledning för uppfyllande av tillitsramverkets krav för Svensk e-legitimation, s. 20 ff. att cirka 7,5 miljoner personer har BankID och att antalet använd- ningstillfällen med BankID uppskattas till 2,5 miljarder . När det gäller den offentliga sektorns del i den totala användningen kan dock konstateras att den är , varav kommuner och landsting står för och statliga myndigheter för 5,2 pro- cent.28 Utredningen anser att det är på grund av BankID som den svenska befolkningen har en utbredd vana att identifiera sig elektro- niskt och att svenska e-tjänster är förhållandevis välutvecklade. Trots den goda vanan hos befolkningen att identifiera sig elektro- niskt finns det utmaningar på den svenska marknaden för elektro- niska identitetshandlingar. En utmaning är att en aktör har en så stor marknadsandel (jfr statistiken från BankID ovan). Det leder till att andra aktörer har svårare att ta marknadsandelar. En annan utmaning är grundidentifieringen. För att elektroniska identitetshandlingar ska vara tillförlitliga måste aktörer på markna- den vara säkra på att en elektronisk identitetshandling pekar på rätt individ. En kritisk fas i utfärdandet av elektroniska identitetshand- lingar är grundidentifieringen, dvs. den identifiering som görs när en individ ska styrka sin identitet för utfärdande av en identitets- handling. En annan kritisk fas är i samband med utlämnandet, dvs. när en individ hämtar ut sin elektroniska identitetshandling.29 Det är viktigt att dessa kritiska faser hålls samman av en ansvarig aktör, för att minska risken för att en individ får ut en identitetshandling med uppgifter om en annan person än honom eller henne själv. Krav i tillitsramverket på fysisk identitetskontroll medför att utfärdare måste finnas tillgängliga på många ställen i landet och ha personal som kan utföra en identitetskontroll på ett tillförlitligt sätt.30 Ytterligare en aspekt är att det ur ett beredskaps- och kontinui- tetsperspektiv finns behov av riskspridning genom att etablera ett komplement till det dominerande systemet med bankutgivna elektroniska identitetshandlingar. Det är också önskvärt att ha en elektronisk basidentitet som individen kan vara säker på kan användas för att identitetsväxla. Det innebär att individen kan använda en elektronisk identitetshandling 28https:///assets/bankid/stats/2017/statistik-2017-10.pdf. 29Vägledning för uppfyllande av tillitsramverkets krav för Svensk e-legitimation, s. 20. 30Framtida spelplan för e-legitimering, förstudierapport på uppdrag av E-legitimationsnämn- den, version 1, s. 14. på tillitsnivå 3 och 4 som underlag vid ansökan om en annan elektro- nisk identitetshandling på tillitsnivå 3 eller lägre. Det är dessutom önskvärt att veta att det ska finnas minst en svensk elektronisk iden- titetshandling som kan anmälas för användning för gränsöver- skridande identifiering enligt eIDAS-förordningen31 och det är inte givet att bankerna kommer att vilja anmäla BankID eller Mobilt BankID för detta ändamål. Utredningen menar att det är ett statligt ansvar att grundidentifiera individer och utfärda fysiska identitetshandlingar. Det är viktigt att hålla samman grundidentifieringen med utfärdandet av en elektronisk identitetshandling. Mot den bakgrunden bedömer utredningen att staten ska utfärda en elektronisk identitetshandling. En sådan statlig elektronisk identitetshandling ska ses som ett grundläggande under- lag som kan användas antingen för identifiering i e-tjänster, eller – och mest troligt – som underlag för att kunna ansöka om andra elektroniska identitetshandlingar. Syftet med en statlig elektronisk identitetshandling är alltså att skapa förutsättningar för andra aktörer att utnyttja de resurser och den kompetens som staten har när det gäller att kontrollera individers identitet. Syftet är vidare att garntan- tera att kan anmäla en elektronisk identitetshandling för an- vändning i enligt eIDAS-förordningen. Krav på den statliga elektroniska identitetshandlingen Utredningen bedömer att de krav som ska ställas på en statlig elek- tronisk identitetshandling är följande. •En statlig elektronisk identitetshandling ska vara en säker och till- förlitlig elektronisk identitetshandling på den högsta tillgängliga tillitsnivån. •En statlig elektronisk identitetshandling ska vara en stabil lösning, som inte är beroende av att individer själva har vare sig dator, kortläsare eller mobiltelefon. •En statlig elektronisk identitetshandling ska kunna användas hos alla offentliga myndigheter, men tanken är inte att en statlig 31 Se vidare avsnitt 18.2. elektronisk identitetshandling ska vara den enda elektroniska iden- titetshandlingen som individer har. •En statlig elektronisk identitetshandling ska finnas på en fysisk bärare. •En statlig elektronisk identitetshandling ska kunna användas som en back-up-lösning för individer om deras andra elektro- niska identitetshandlingar fallerar. 12.7.1Särskild grundidentifiering eller utnyttja befintlig? att det är lämpligt att utnyttja befintliga grundidentifieringar i sta- ten för att utfärda en elektronisk identitetshandling. att frågan om vilken eller vilka fysiska identitetshandlingar som ska bära den statliga elektroniska identitetshandlingen hanteras av ID-kortsutredning. Utredningen bedömer att det ska vara ett offentligt åtagande att grundidentifiera individer och utfärda en elektronisk identitetshand- ling. För att åstadkomma detta finns det enligt utredningen i huvudsak två olika tillvägagångssätt. Det ena är att etablera en särskild grund- identifiering i staten som resulterar i en elektronisk identitetshandling, som fästs på en nyetablerad fysisk bärare. För denna nya grundidenti- fiering skulle någon statlig myndighet ansvara. Det andra är att ut- nyttja befintliga statliga grundidentifieringar. När det gäller det första alternativet bedömer utredningen att det inte är aktuellt. Att etablera en helt ny process för att utfärda en elek- tronisk identitetshandling, med tillkommande ansvar för en myn- dighet och dessutom att få tillräcklig spridning på den elektroniska identitetshandlingen hos befolkningen, är vare sig lämpligt eller ett effektivt sätt att hantera de offentliga resurserna. Utredningen anser i stället att befintliga statliga grundidentifie- ringar ska utnyttjas. Det medför att de fysiska identitetshandlingar som staten utfärdar bör vara bärare av den statliga elektroniska iden- titetshandlingen. De befintliga statliga processer som innefattar grundidentifiering och som utredningen bedömer lämpliga, utifrån de principer som utredningen bedömer ska gälla och det nuvarande regelverket, är de som gäller för passet, det nationella identitetskortet och identitets- kortet för folkbokförda i Sverige.32 tillsattes ID-kortsutredning, med uppdrag att utreda och lämna förslag till förändringar av de krav och rutiner som gäller för svenska identitetshandlingar. Av direktiven framgår att den utredningen ska föreslå hur antalet identitetshandlingar och utfärdare ska begränsas, analysera och föreslå hur verifieringen av äktheten och giltigheten av identitetshandlingar kan förbättras, ut- reda och vid behov föreslå hur identitetshandlingar bör utfärdas och utformas för att bli säkrare samt analysera och ta ställning till om fysiska identitetshandlingar bör innehålla en e-legitimation på högsta tillitsnivå. Utredningen har samrått med ID-kortsutredning. Med anledning av ID-kortsutrednings uppdrag avstår utredningen från att lämna förslag på vilken myndighet som ska utfärda statliga elektroniska identitetshandlingar, eller vilken alternativt vilka fysiska bärare som sådana elektroniska identitetshandlingar ska finnas på. 12.7.2Den statliga elektroniska identitetshandlingen ska vara på den högsta tillitsnivån att staten inte ska utfärda mobila elektroniska identitetshandlingar. att statliga elektroniska identitetshandlingar ska vara på den högsta tillitsnivån, tillitsnivå 4. 32 Passlagen (1978:302) med tillhörande passförordningen (1979:664), förord- ningen (2005:661) om nationellt identitetskort och lagen (2015:899) om identitetskort för folkbokförda i med tillhörande förordningen (2015:904) om identitetskort för folkbokförda i . Tillitsnivån förutsätter fysisk bärare Tillitsnivå 4 förutsätter att den elektroniska identitetshandlingen finns på en fysisk bärare, exempelvis ett smartkort. Utredningen anser att någon eller några av de befintliga utfärdandeprocesser som innefattar grundidentifiering ska utnyttjas för att utfärda en elektro- nisk identitetshandling. Ur dessa processer kommer fysiska identi- tetshandlingar som kan, eller bör kunna, bära en elektronisk identi- tetshandling. Utredningen lämnar inte förslag på en mobil statlig elektronisk identitetshandling Utredningen har tidigare beskrivit att en elektronisk identitetshand- ling kan finnas som en fil på en dator eller en applikation i mobiltele- fonen. Bland de som använder sig av BankID, är det 90,9 pro- cent som har mobilt BankID. Antalet utfärdade mobila BankID var nästan 6,5 miljoner, jämfört med när det var drygt 3 miljoner.33 De mobila lösningarna för elektroniska identitetshandlingar är alltså tilltalande för många. De erbjuder möj- ligheter att sköta sina ärenden gentemot banker, statliga myndig- heter och andra aktörer var som helst. Genom en mobil lösning för den statliga elektroniska identitets- handlingen skulle användandet givetvis underlättas. Utredningen be- dömer emellertid den statliga elektroniska identitetshandlingen ska vara ett komplement och inte konkurrent till redan existerande eller kommande mobila plattformar. Det bästa sättet att stödja innovation är att lämna öppet för olika aktörer att presentera sina lösningar och låta brukarnas val avgöra. Ur ett nationellt säkerhetspektiv är det viktigt att undvika starka beroenden av enskilda aktörer och tekniska lösningar. Mobilitetstrenden i är stark34 och många invånare i har en smart mobil, surfplatta och/eller dator. Här finns det utrymme för fler aktörer. 33Statistik från BankID, . 34Internetstiftelsen i (IIS) har konstaterat att av befolkningen har tillgång till en smart mobil, vilket är en ökning i förhållande då hade tillgång till en smart mobil. Vidare har tillgång till en dator hemma, IIS rapport skarna och internet 2017 – undersökning om svenskarnas internetvanor, s. 10. 12.7.3Ska ansvariga statliga myndigheter själva utveckla den elektroniska identitetshandlingen? att de statliga myndigheter som ges i uppdrag att tillhandahålla en statlig elektronisk identitetshandling också ges i uppdrag att sam- verka i genomförandet av detta uppdrag. att den statliga elektroniska identitetshandlingen ska vara statlig egendom och att ansvariga statliga myndigheter ska kunna be- stämma över dess användning, oavsett om de tillhandahåller den själva eller upphandlar den. ansvarar för att utfärda pass och nationella identi- tetskort. ansvarar för att utfärda identitetskort för folk- bokförda. Varken eller tillverkar de bärare av identitetshandlingarna som passet, det nationella identitets- kortet eller identitetskortet för folkbokförda finns på. Dessa bärare upphandlas av respektive myndighet. På identitetskort för folkbokförda finns en elektro- nisk identitetshandling. utfärdas den av AB Svenska Pass och tidigare av . Den elektroniska identitetshandlingen är upphand- lad av , men utfärdas av AB Svenska Pass i eget namn. Utredningen lämnar inte förslag på vilka statliga myndigheter som ska utfärda en elektronisk identitetshandling. Oavsett vilken myndighet det blir bedömer utredningen att de statliga myndig- heter som ges i uppdrag att ta fram en statlig elektronisk identitets- handling måste samverka om hur den utformas. Det kan finnas olika leverantörer av fysiska identitetshandlingar, men knappast mer än en leverantör av den statliga elektroniska identitetshandlingen. Det är viktigt att den statliga elektroniska identitetshandlingen ges ut under ett enhetligt namn. Dessutom menar utredningen att det är de ansvariga myndigheterna som, oavsett leverantör av den elektro- niska identitetshandlingen, måste kunna bestämma över hur den elektroniska identitetshandlingen får användas. Utredningen läm- nar också förslag om att den statliga elektroniska identitetshand- lingen ska följa det tillitsramverk och de tekniska specifikationer som digitaliseringsmyndigheten tar fram enligt förslaget till lag om infrastruktur och kvalitetsmärket elektronisk identitets- handling. Se mer om det nedan. 12.7.4Den statliga elektroniska identitetshandlingen – en del av en fysisk identitetshandling eller en egen handling? att den statliga elektroniska identitetshandlingen ska särregleras i förhållande till de författningar som reglerar dess fysiska bärare. Den statliga elektroniska identitetshandlingen ska utformas på ett sätt så att den blir en elektronisk urkund. Den ska därmed vara en egen handling, som använder en fysisk identitetshandling som bärare. Den elektroniska identitetshandlingen kräver emellertid tekniska hjälpmedel för att kunna användas för identifiering. Den går inte att uppfatta okulärt. Det finns därför enligt utredningens bedömning goda skäl att särreglera den statliga elektroniska identitetshand- lingen, och inte låta den ingå som en delmängd i informationen på fysiska identitetshandlingar. Utredningen bedömer att den statliga elektroniska identitetshand- lingen måste omgärdas av en egen författningsreglering Detta för att veta vilka uppgifter om en individ som samlas in i grundidentifie- ringsprocessen i syfte att ingå i respektive identitetshandling. 12.7.5Den statliga elektroniska identitetshandlingen och eIDAS-förordningen att den statliga elektroniska identitetshandlingen ska anmälas för gränsöverskridande identifiering (användning inom ) en- ligt eIDAS-förordningen. Den statliga elektroniska identitetshandlingen som utredningen före- slår bör vara för användningsområden som kommer att utvecklas inom den närmsta framtiden. Genom eIDAS-förordningen kommer individer att kunna kommunicera med myndigheter i andra medlemsstater på ett enklare sätt än vad som varit möjligt. Det ligger i svenska medborgares intresse att denna möjlighet reali- seras. Utredningen återkommer till vilka användningsområden som Situationen kan jämföras med att staten utfärdar pass till svenskar som vill resa utomlands. För att säkerställa att det ska finnas tillgång till åtminstone en sådan elektronisk identitetshandling anser utredningen att det offent- liga åtagandet när det gäller den statliga elektroniska identitetshand- lingen ska omfatta att den ska kunna användas för gränsöverskri- dande identifiering. Det finns även säkerhetsskäl för att bör anmäla en statligt utfärdad elektronisk identitetshandling för gränsöverskridande iden- tifiering. Mer om detta i kapitel 18. 12.8Lag om statlig elektronisk identitetshandling att det införs en lag om statlig elektronisk identitetshandling. att målgruppen för den statliga elektroniska identitetshand- lingen ska vara svenska medborgare och de som är folkbokförda i . Förslaget genomförs genom lagen om statlig elektronisk iden- titetshandling. Utredningen föreslår en lag om statlig elektronisk identitetshand- ling. Utöver att reglera vad en statlig elektronisk identitetshandling är, samt hur den får användas, föreslår utredningen bl.a. att alla offentliga myndigheter som kräver att individer ska identifiera sig elektroniskt ska godkänna identifiering med den statliga elektroniska identitetshandlingen. Målgruppen för en statlig elektronisk identitetshandling kan delas in på olika sätt. Indelning kan göras utifrån individers behov. Då framförs oftast att individer behöver en elektronisk identitets- handling för sina privata ärenden och en annan som de använder i tjänsten. En annan indelning, som delvis överlappar, är vem individen är i relation till något annat objekt, exempelvis relationen individen har i förhållande till staten, en annan individ eller en organisation. En tredje indelning är vad individen har rätt att göra, exempelvis framföra ett fordon eller utöva en viss yrkesroll. Utredningen föreslår att målgruppen för en statlig elektronisk identitetshandling ska vara densamma som målgruppen för de fysiska identitetshandlingar som staten utfärdar, och vars primärsyfte inte är att utvisa en viss behörighet. Utredningen bedömer att det bör krävas att en individ har en viss form av anknytning till det svenska samhället för att få en statlig elektronisk identitetshandling. För de fysiska identitetshandlingarna bedömde id-kortsutredning att personer som saknar personnummer inte har en sådan anknyt- ning och därför inte skulle vara föremål för en statligt utfärdad fysisk identitetshandling.35 Utredningen instämmer i den bedömningen. Det innebär att målgruppen för den statliga elektroniska identitets- handlingen bör vara de som är svenska medborgare och de som är folkbokförda i . Utanför den målgruppen faller således exem- pelvis arbetstagare, skolelever och individer med vissa behörigheter. Utredningen beskriver mer om dessa målgrupper i kapitel 15. Utred- ningens förslag om målgrupp för den statliga elektroniska identitets- handlingen omfattar inte heller de som har ett samordningsnummer eller är asylsökande. Det finns emellertid ingenting som hindrar att andra utfärdare av elektroniska identitetshandlingar tar fram lös- ningar också för individer i den målgruppen. 12.8.1Personidentitetsuppgifter i den statliga elektroniska identitetshandlingen att det i lagen regleras vilka personidentitetsuppgifter som ska finnas i en statlig elektronisk identitetshandling. I de författningar som reglerar passet, det nationella identitetskortet och identitetskortet för folkbokförda i saknas bestämmelser som anger vilka uppgifter om en person som ska finnas i respektive identitetshandling.36 Det som regleras är i stället att sökanden (indi- viden) ska styrka sin identitet och – när det gäller passet och det nationella identitetskortet – sitt svenska medborgarskap. Sedan finns det regler för hur detta ska gå till. Vilka uppgifter om en individ som 35SOU 2007:100, för folkbokförda i , s. 78 ff. 36Passlagen (1978:302) med tillhörande passförordningen (1979:664), förordningen (2005:661) om nationellt identitetskort och lagen (2015:899) om identitetskort för folkbokförda i med tillhörande förordningen (2015:904) om identitetskort för folkbokförda i . ska ingå i respektive identitetshandling framgår bl.a. av internatio- nella regelverk och standarder på området. Utredningen anser att det är viktigt att beskriva vilka personiden- titetsuppgifter som den statliga elektroniska identitetshandlingen ska innehålla. Utredningen föreslår att den statliga elektroniska identi- tetshandlingen ska finnas på en fysisk bärare, som är en fysisk identi- tetshandling.