sou · H5B3114 · 2018-01-01 00:00:00 — att det i lagen förs in en begreppslista. Det förekommer många olika begrepp i sammanhang med elektro- nisk identifiering. Det är också många olika yrkeskategorier som ska tolka och förstå de begrepp som avses. Med en begreppslista i lag menar utredningen att det skapas en större tydlighet för samtliga in- blandade aktörer. De begrepp som utredningen bedömer ska ingå i lagen, med begreppsförklaringar är: 1.användare: den som har en elektronisk identitetshandling, 2.elektronisk identitetshandling: en värdehandling som en användare kan använda för att identifiera sig elektroniskt, 3.fysisk bärare: en fysisk identitetshandling, en koddosa eller liknande, 4.mobil bärare: exempelvis en smarttelefon eller en surfplatta, 5.förlitande aktör: den som behöver verifiera en användares upp- gifter vid identifiering mot en e-tjänst, 6.utfärdare: den som utfärdar en elektronisk identitetshandling till en användare, 7.tillitsramverk: ett graderat ramverk för tillförlitlighet i utfärdade elektroniska identitetshandlingar, 8.tillitsnivå: en nivå inom tillitsramverket, 9.tekniska specifikationer: tekniska krav som ställs på en elektronisk identifiering, En infrastruktur för elektronisk identifiering 10. modell för dialogruta med valbara elektroniska identitetshandlingar: gruppering av elektroniska identitetshandlingar som har kvalitets- märket Svensk elektronisk identitetshandling och som presenterar dessa i en dialogruta för användaren när denne ska identifiera sig elektroniskt. att ett tillitsramverk som är gemensamt för offentliga och privata aktörer skapar förutsättningar för säkra och tillförlitliga elektro- niska identitetshandlingar. att det i lag anges att det ska finnas ett tillitsramverk samt att digitaliseringsmyndigheten ges i uppgift att förvalta och ut- veckla tillitsramverket. En elektronisk identitetshandling ska vara utformad, skyddas och an- vändas enligt en viss tillitsnivå. Utfärdare av elektroniska identitets- handlingar ska tillämpa sådana regler och rutiner att det utifrån tillämplig tillitsnivå finns fog för att lita på de elektroniska identi- tetshandlingar som tillhandahålls. tar fram ett tillitsramverk för elektroniska identitetshandlingar. Tillits- ramverket och de tekniska specifikationerna utformas med beaktande av internationellt framtagna standarder. Det bör ankomma på digitali- seringsmyndigheten att säkerställa att det finns ett tillitsramverk samt att detta är följsamt med de standarder och utvecklingen i övrigt samt de hot och risker som kan uppkomma på området. Utredningen be- dömer att förekomsten av ett tillitsramverk ska regleras i lag. Den när- mare utformningen av tillitsramverket, dvs. utvecklingen och förvalt- ningen av tillitsramverket ska lämnas till digitaliseringsmyndigheten. En infrastruktur för elektronisk identifiering att det i lag ska anges att det ska finnas tekniska specifikationer för elektronisk identitetskontroll, dvs. identitetsintyg kopplade till användning av elektroniska identitetshandlingar, samt att digitaliseringsmyndigheten ges i uppdrag att utveckla och förvalta sådana tekniska specifikationer. Elektronisk identitetskontroll kräver att utfärdare av elektroniska identitetshandlingar och förlitande aktörer samverkar. Ju enhetligare sätt att angripa elektronisk identitetskontroll på, desto högre grad av effektivitet skapas. Utredningen bedömer att det är lämpligt att en myndighet ansvarar för att ta fram tekniska specifikationer som gäller för elektronisk identitetskontroll på marknaden. Detta i syfte att underlätta för samtliga aktörer, alltså för såväl utfärdare som för- litande aktörer. Liksom för tillitsramverket ska de tekniska specifikationer som tas fram vara följsamma mot väletablerade standarder och utveck- lingen i övrigt samt de hot och risker som kan uppkomma på om- rådet. De tekniska specifikationerna ska också utformas på så sätt att regler om regler om personuppgiftshantering beaktas. Utredningen bedömer att förekomsten av tekniska specifika- tioner ska regleras i lag. Den närmare utformningen av de tekniska specifikationerna, dvs. förvaltningen och utvecklingen av dem ska lämnas till digitaliseringsmyndigheten. 14.3.4Kvalitetsmärket Svensk elektronisk identitetshandling att individer måste ges bättre möjligheter att kunna avgöra vilka elektroniska identitetshandlingar som är säkra och tillförlitliga, att en kvalitetsmärkning av elektroniska identitetshandlingar kan bidra till att individer lättare kan välja bland flera utfärdare. En infrastruktur för elektronisk identifiering SOU 2017:114 att staten ska ansvara för att granska elektroniska identitetshand- lingar mot tillitsramverket och elektronisk identitetskontroll mot de tekniska specifikationerna. att det i lag anges att det ska finnas ett kvalitetsmärke för elek- troniska identitetshandlingar som heter Svensk elektronisk iden- titetshandling, att digitaliseringsmyndigheten ges i uppgift att kvalitetsgranska elektroniska, samt att digitaliseringsmyndigheten ges i uppgift att marknadsföra kvalitetsmärket. Kvalitetsmärket heter Svensk e-legitimation. Utredningen har som tidigare beskrivits valt att använda begreppet elektronisk identi- tetshandling. Eftersom utredningen konsekvent förhåller sig till be- greppet elektronisk identitetshandling i beskrivningen av förslagen, ska ett kvalitetsmärke inte heta Svensk e-legitimation. Utredningen föreslår att kvalitetsmärket ska heta Svensk elektronisk identitets- handling. Utredningen har tidigare beskrivit att det finns en spretighet på marknaden för elektroniska identitetshandlingar. Vissa elektroniska identitetshandlingar, de som AB Svenska Pass och kom- mun, utfärdar är kvalitetsmärkta. Andra, som BankID, är inte kvali- tetsmärkta men har trots det en mycket hög andel användare. Det är få utfärdare av elektroniska identitetshandlingar som låter sig granskas av . Det beror sannolikt på en rad saker. En anledning är att individer ännu inte frågar efter kvalitetsmärkta elektroniska identitetshandlingar. Kvalitetsmärket är sannolikt inte känt bland allmänheten, och vanan att använda sig av etablerade lös- ningar för elektronisk identifiering innefattar inte sådana elektroniska identitetshandlingar som är kvalitetsmärkta. BankID har som ovan beskrivits inte låtit sig granskas av . Eftersom det redan finns en vana hos den svenska befolkningen att identifiera sig elektroniskt och anskaffa elektroniska identitetshandlingar som saknar kvalitetsmärket måste befolkningen uppmärksammas på vad kvalitetsmärkningen innefattar. Det måste skapas incitament hos indi- vider att fråga efter elektroniska identitetshandlingar som har kvalitets- märket. En infrastruktur för elektronisk identifiering En annan anledning är, enligt utredningen, att en granskning i sig inte leder till att den elektroniska identitetshandlingen kan användas hos statliga myndigheter, kommuner och landsting eller på den privata marknaden. Det finns ingen direkt koppling mellan att få kvalitets- märket och att få sälja sin funktion till en viss målgrupp. En ut- färdare av elektroniska identitetshandlingar kan alltså låta bli att låta sig granskas och kan ändå sälja sina funktioner för elektronisk identi- fiering till offentliga myndigheter, såväl inom ramen för valfrihets- system enligt eLOV, som inom ramen för upphandlingsförfaranden enligt . Vad som beskrivits föranleder utredningen att dra slutsatsen att kvalitetsmärket saknar status, både hos individer men också hos utfärdare av elektroniska identitetshandlingar. Slutsatsen kan föranleda olika åtgärder. Det första är givetvis ett ifrågasättande om det alls ska finnas något kvalitetsmärke för elektroniska identitets- handlingar i . Såsom regelverket ser ut menar utred- ningen att det finns goda skäl att överväga det alternativet. Utred- ningen bedömer emellertid att det finns anledning att behålla och stärka kvalitetsmärket. Skälen till det är följande. En elektronisk identitetshandling är en värdehandling. Den an- vänds för att visa en individs identitet elektroniskt, utan att individen behöver visa upp sin person. Hela det digitala samhället bygger på att inblandade aktörer kan lita på att individer är de som de utger sig för att vara elektroniskt. En elektronisk identitetshandling kan ses som en elektronisk urkund om den har en utställarangivelse som kan kontrolleras på ett tillförlitligt sätt.18 Mot den bakgrunden är det viktigt att de elektroniska identitets- handlingar som utfärdare tillhandahåller är säkra och tillförlitliga. Det är också viktigt att individer vet vilka elektroniska identitetshand- lingar, och vilka utfärdare, som de kan lita på. Detsamma gäller för förlitande aktörer. Kvalitetsmärket kan tjäna sådana syften. 18 Jfr 14 kap. 1 § (1962:700): En elektronisk handling som upprättats till bevis eller annars är av betydelse som bevis och som har en utställarangivelse som kan kontrolleras på ett tillförlitligt sätt. Härmed avses enligt propositionen att angivelsen ska ha en inte obetydlig grad av säkerhet, vilket i nuvarande skede i it-utvecklingen anges innebära att den elektroniska under- skriften uppfyller kraven på kvalificerade eller avancerade signaturer i lagen (2000:832) om kvalificerade elektroniska signaturer (prop. 2012/13:74 s. 45). Lagen om kvalificerade elektroniska signaturer upphävdes och ersattes av lagen (2016:561) med kompletterande be- stämmelser till EU:s förordning om elektronisk identifiering, se prop. 2015/16:72. En infrastruktur för elektronisk identifiering Utredningen anser därför att kvalitetsmärket tjänar ett angeläget syfte i det digitala samhället, och i synnerhet för den digitala offent- liga förvaltningen. Därför föreslår utredningen att kvalitetsmärket och uppgiften att utfärda detta författningsregleras i den nu föreslagna lagen. Utredningen föreslår att digitaliseringsmyndigheten ska granska elektroniska identitetshandlingar. Granskningen ska göras mot så- väl tillitsramverket som de tekniska specifikationerna. En elektro- nisk identitetshandling som motsvarar de krav som ställs får som tillägg till sitt eget namn använda kvalitetsmärket elektro- nisk identitetshandling. Det är som efter ansökan prövar elektroniska identitetshandlingar mot tillitsramverket. Det framgår inte av instruktion att nämnden har denna uppgift. Utredningen bedömer att det är lämpligt att det i den före- slagna lagen också regleras att ansökan om att få kvalitetsmärket ska göras hos den myndighet som regeringen bestämmer. På så sätt reg- leras inte bara att det ska finnas ett kvalitetsmärke, utan också att det finns en statlig myndighet som har ansvar för att tilldela elektroniska identitetshandlingar detta. Utredningen menar att prövningen ska göras mot tillitsramverket vilket innebär att elektroniska identitetshandlingar på samtliga tillits- nivåer som tillitsramverket omfattar kan få kvalitetsmärket. Utred- ningen föreslår att prövningen också ska göras mot de tekniska specifikationer som tas fram. Det blir en skillnad i förhållande till när prövningen endast görs mot tillitstramverket. Utredningen menar emellertid att det på detta sätt blir tydligare för såväl leverantörer som förlitande aktörer vilken teknik som ska användas för de identitets- intyg som skickas på begäran av den förlitande aktören. Utredningen anser att det borde leda till en bättre förutsebarhet på marknaden för samtliga inblandade aktörer. En infrastruktur för elektronisk identifiering 14.3.5Register med utfärdare av elektroniska identitetshandlingar och förlitande aktörer att det i lagen anges att det ska finnas ett register med uppgift om utfärdare av elektroniska identitetshandlingar med kvalitetsmärket elektronisk identitetshandling och förlitande aktörer som är anslutna till valfrihetssystem enligt lagen om valfrihetssystem i fråga om funktion för elektronisk identitetskontroll, att digitaliseringsmyndigheten ges i uppgift att förvalta och utveckla ett sådant register, samt att den närmare regleringen av vilka uppgifter som ska finnas i registret måste tas fram i samband med utvecklingen av registret. Utredningen bedömer att det behövs ett register med de utfärdare av elektroniska identitetshandlingar som har kvalitetsmärket elektronisk identitetshandling och de förlitande aktörer som är an- slutna till valfrihetssystem enligt eLOV. Ett sådant register kan bestå bl.a. av uppgifter om de anslutna aktörernas elektroniska adresser. Utredningen föreslår att digitaliseringsmyndigheten ska ges i uppgift att ta fram och förvalta ett sådant register. Registrets utformning, vilka uppgifter som behöver behandlas, vem som ska ges åtkomst till upp- gifterna och hur åtkomsten ska regleras är frågor som bör ingå i upp- giften. Utgångspunkten bör vara att personuppgifter inte ska behandlas i registret. Undantag från den huvudregeln kan behöva göras för de som är ombud för aktörerna i registret. En annan utgångspunkt för registret bör vara att det inte ska innehålla information om den kom- munikation som förekommer mellan användare och förlitande aktörer. Utredningen lämnar inget förslag till reglering av personupp- giftsansvaret när det gäller detta register eftersom det förslag utred- ningen lämnar avser ett kommande register. Utredningen vill emeller- tid framhålla vikten av att ett register av detta slag förhåller sig till dataskyddsförordningen.19 Det måste alltså parallellt med utveck- lingen av registret tas fram ett förslag om hur eventuella person- uppgifter i det ska behandlas. 19 Förordning (EU) 2016/679 om skydd för enskilda personer med avseende på behov av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). En infrastruktur för elektronisk identifiering 14.3.6Modell för dialogrutor med valbara elektroniska identitetshandlingar att en individs användarupplevelse vid elektronisk identifiering ska vara densamma, oavsett vilken offentlig myndighet som indi- viden vill identifiera sig elektroniskt mot. att det av användarupplevelsen ska framgå att individen identifie- rar sig för åtkomst till en e-tjänst. att det i lag anges att det ska finnas en modell för hur dialogrutor för valbara elektroniska identitetshandlingar ska se ut, samt att digitaliseringsmyndigheten ges i uppgift att utveckla och för- valta modellen. När individer använder e-tjänster hos olika myndigheter möts de av olika dialogrutor för att välja elektronisk identitetshandling. Hos och ser det ut på följande sätt: Källa: www.forsakringskassan,se En infrastruktur för elektronisk identifiering Anledningen till att det ser olika ut är att varje myndighet själv be- stämmer hur denna dialogruta ska se ut. Dessutom kan de olika alter- nativen för identifiering också skilja sig åt mellan myndigheterna eftersom det inte är samordnat vilka funktioner för elektro- nisk identifiering, alltså vilka elektroniska identitetshandlingar, som myndigheterna ska använda sig av. I ser det ut som följer när en individ ska identifiera sig i e-tjänster i den offentliga förvaltningen. En infrastruktur för elektronisk identifiering Individer ska känna igen sig oavsett offentlig myndighet Utredningen lämnar förslag om att alla offentliga myndigheter ska erkänna den statliga elektroniska identitetshandlingen, liksom att de ska ansluta sig till de valfrihetssystem som digitaliseringsmyndigheten anordnar. Därmed skapas förutsättningar för att offentliga myndig- heter kommer att erbjuda individer samma valmöjligheter för elektro- nisk identifiering. De alternativ för elektronisk identifiering som där- med skapas bör erbjudas individer på ett för offentliga myndigheter ensat sätt. Utredningen bedömer att det är lämpligt att individer som ska använda sig av e-tjänster hos offentliga myndigheter får samma an- vändarupplevelse, dvs. att de känner igen den dialogruta de möts av vid identifieringsmomentet och att samtliga valbara elektroniska identi- tetshandlingar visas för användaren på samma sätt. En infrastruktur för elektronisk identifiering för valbara elektroniska identitetshandlingar ska såväl den statliga elektroniska identitetshandlingen finnas som alternativet ”foreign eID” dvs. utländsk elektronisk identitetshandling. Det alternativet ska väljas av de användare som har en elektronisk identitetshandling som är anmäld för gränsöverskridande identifiering enligt eIDAS- förordningen.20 Därtill bedömer utredningen att alla de elektroniska identitetshandlingar som finns inom valfrihetssystem ska visas i dialogrutan. Utredningen föreslår därför att digitaliseringsmyndigheten ska ta fram en modell för hur en dialogruta för valbara elektroniska iden- titetshandlingar21 ska se ut. Denna modell ska sedan kunna användas av offentliga myndigheter för att ta fram egna dialogrutor som ger förutsättningar för att individer får samma användarupplevelse oavsett vilken offentlig myndighet det handlar om. Det blir alltså digitaliser- ingsmyndighetens uppgift att ta fram modellen för dialogrutan, medan respektive offentlig myndighet ska ansvara för att tillhandahålla sin en dialogruta. Utredningen bedömer att det kan vara lämpligt att digita- liseringsmyndigheten verkar för att mindre offentliga myndigheter samverkar om framtagandet av dialogrutan. Information om att en individ identifierar sig elektroniskt Utredningen bedömer också att de dialogrutor för valbara elektro- niska identitetshandlingar som tillhandahålls utifrån modellen ska inne- hålla information om att individen identifierar sig för att få komma åt en e-tjänst. Det är enligt utredningen viktigt att göra det tydligt för användare att de vid elektronisk identifiering faktiskt använder sig av en elektronisk identitetshandling. Som många dialogrutor är utfor- made , inleds förfarandet med att användaren ska logga in.22 För användaren kan det innebära en otydlighet om användaren inte förstår att han eller hon använder sig av en elektronisk värdehandling. Därför är det enligt utredningen viktigt att offentliga myndigheters dialogruta för valbara elektroniska identitetshandlingar innehåller information 20Dessa användare behöver en egen gemensam dialogruta där de får välja land och därefter dirigeras via den svenska noden för bekräftelse av identiteten. 21Tidigare kallad anvisningstjänst. 22https://computersweden.idg.se/2.2683/1.693238/e-id-varning?queryText=legitimering, . En infrastruktur för elektronisk identifiering om att användaren identifierar sig genom att använda någon av de alternativa elektroniska identitetshandlingar som visas. 14.3.7Skyldighet att använda dialogruta för valbara elektroniska identitetshandlingar att offentliga myndigheter som kräver att användare av e-tjänster ska identifiera sig elektroniskt ska tillhandahålla en dialogruta för valbara elektroniska identitetshandlingar utifrån den modell för ändamålet som digitaliseringsmyndigheten tar fram, att regeringen får besluta om undantag för en offentlig myndighet att använda den modell för hur dialogrutor för valbara elektroniska identitetshandlingar ska se ut, om det finns särskilda skäl. Modellen ska användas … Utredningen bedömer att det är viktigt ur ett användarperspektiv att individer får samma upplevelse av dialogen att välja elektronisk identi- tetshandling oavsett vilken offentlig myndighet de vänder sig till. Utredningen har övervägt på vilket sätt offentliga myndigheter ska styras till att ensa användarupplevelsen av valbara elektroniska iden- titetshandlingar. Härvid har utredningen övervägt att reglera detta genom föreskriftsrätt eller lagstiftning. För att det ska få genomslag på alla offentliga myndigheter har utredningen kommit fram till att lag- formen är den mest ändamålsenliga. Den betonar att det är fråga om att säkerställa att alla individer som ska identifiera sig mot offentliga myndigheter möts av samma dialogruta, i vilken de elektroniska iden- titetshandlingar som finns inom ett valfrihetssystem presenteras, liksom den statliga elektroniska identitetshandlingen. Utredningen har vidare övervägt hur en bestämmelse för offentliga myndigheter ska utformas. Härvid kan konstateras att en bestämmelse kan skilja sig åt beroende på om det avser en statlig myndighet, en kommun eller ett landsting. Exempelvis skulle det kunna regleras att statliga myndigheter ska använda modellen, medan kommuner och landsting får använda den. En sådan utformning påminner då om det sätt som utredningen föreslår att statliga myndigheter, kommuner En infrastruktur för elektronisk identifiering och landsting ska respektive får ansluta sig till infrastrukturen för Mina meddelanden. Bestämmelsen skulle också kunna utformas uti- från hur stor volym en statlig myndighet, en kommun eller ett lands- ting står för när det gäller elektronisk identifiering. Det är då tänkbart att utforma regelverket på så sätt att stora offentliga myndigheter ska använda modellen, medan små får använda den. En dialogruta för valbara elektroniska identitetshandlingar är någonting som alla offentliga myndigheter med e-tjänster måste ha. Med beaktande av utredningens förslag att offentliga myndigheter ska ansluta sig till valfrihetssystem som digitaliseringsmyndigheten till- handahåller finner utredningen att det är lämpligt att utforma styr- ningen av de offentliga myndigheterna på samma sätt när det gäller an- vändningen av modellen för utformning av dialogruta för valbara elektroniska identitetshandlingar. Utredningen anser att individers an- vändarupplevelse ska vara densamma oavsett vilken offentlig myndig- het som han eller hon identifierar sig mot. … om det inte finns särskilda skäl Många offentliga myndigheter är bundna av avtal för tjänster för elektronisk identifiering. Dessa avtal har slutits på olika sätt, och med olika lång bindningstid. Det gör att offentliga myndigheter kan ha svårt att följa bestämmelsen som utredningen föreslår som de är bundna av andra avtal. Utredningen bedömer att avtal som hindrar att en offentlig myn- dighet använder sig av modellen kan vara särskilda skäl. En infrastruktur för elektronisk identifiering att den föreslagna lagen ska träda i kraft . Lagen reglerar många av de uppgifter som utför samt nya uppgifter som utredningen har bedömt nödvän- diga. Utredningen föreslår att lagen ska träda i kraft . Därmed skulle den författningsreglering som utredningen föreslår för elektroniska identitetshandlingar och elektronisk identifiering träda i kraft . 15Arbetstagare, student, ställföreträdare – och elektronisk identifiering 15.1Identitetshandling i tjänsten eller behörighetskontroller? Individer behöver identifiera sig i många sammanhang. I vissa fall är det tillräckligt att identifiera sig, dvs. visa vem man är. I andra fall måste man visa vem man är i en viss kontext, exempelvis att man är anställd hos en viss arbetsgivare. I de fallen uppkommer ofta fråga om en åtgärd som en individ vidtar är i tjänsten eller som privat- person. Att en individ förekommer i en viss kontext är heller inte unikt för relationen arbetstagare och arbetsgivare. Personer som stu- derar har en relation till sin skola, liksom personer som agerar som ombud1 eller ställföreträdare2 har en relation till sin uppdragsgivare. I samtliga nämnda fall är det intressant att bedöma vem som ska ha information om detta; individen, den som ska kontrollera iden- titeten eller den som utfärdar en identitetshandling. Kontext innebär en relation mellan en individ och något annat; en organisation, ett företag eller en annan person. I stället för kontext kan man beskriva det som att individen intar olika roller. I utredningen ingår främst att lämna förslag som avser elektroniska identitetshand- lingar i tjänsten. 1Med ombud menar utredningen exempelvis den som uppträder som rättegångsombud eller agerar på fullmakt för en individ. 2Med ställföreträdare menar utredningen här exempelvis den som för talan för en person som saknar processhabilitet (t.ex. en förvaltare) eller den som tecknar en juridisk persons firma. Arbetstagare, student, ställföreträdare – och elektronisk identitiering 15.2Processen för identifiering när en individ har en roll eller ställning