sou · H5B3114 · 2018-01-01 00:00:00 — För att stimulera utveckling av e-tjänster anser utredningen att det ska vara enkelt för statliga myndigheter, kommuner och landsting att veta hur de ska anskaffa en funktion för elektronisk identitetskontroll. Tid och resurser ska inte i onödan behöva läggas på bedömningar av vilka sätt att anskaffa de funktioner som passar myndigheten bäst, än mindre på att ta fram krav som leverantörer ska uppfylla eller för att anpassa egna system utifrån olika leverantörers lösningar. För statliga myndigheter, kommuner och landsting är det dessutom viktigt att det finns möjlighet att skapa förutsättningar för att individer ska kunna identifiera sig genom de nya lösningar som uppstår på marknaden. Det ska givetvis göras med beaktande av att det vid myndighetskon- takter måste ställas säkerhetskrav på teknik och tillförlitlighet. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll 13.1”Peka med hela handen” Utredningen har i sitt arbete träffat företrädare för statliga myndig- heter, kommuner och landsting och pratat om hur de ser på sättet att anskaffa funktioner för elektronisk kontroll. Det har inte varit en enhetlig bild, men på det stora hela anser de företrädare som utred- ningen träffat att regelverket för anskaffning av funktioner för elek- tronisk identitetskontroll är komplicerat. Eftersom avtal som myndig- heterna sluter är mångåriga och dessutom förlängningsbara har också risker med att vara fastlåst i ett avtal lyfts fram. Det har beskrivits som svårt för upphandlande myndigheter att avgöra vilket alternativ som är bäst för verksamheten. 13.2Vad kan en elektronisk identitetshandling användas till? En elektronisk identitetshandling kan utfärdas av olika aktörer men syftet är alltid detsamma – att intyga identitetsuppgifterna hos en indi- vid. En elektronisk identitetshandling kan också användas för olika åtgärder. eSamverkansprogrammet (eSam) har närmare beskrivit detta.1 I det följande beskriver utredningen i korthet vad en elektronisk identitetshandling kan användas till. Beskrivningarna utgår från eSams vägledning, men använder de begrepp som utredningen har bedömt ska användas. 13.2.1En elektronisk identitetshandling kan användas för … En elektronisk identitetshandling kan användas för att få tillgång till uppgifter som lämnats ut till honom eller henne i exempelvis en e- tjänst och få skydd mot att någon annan släpps in under sken av att vara den som har identifierat sig. 1 eSam:s skrivelse Juridisk vägledning för införande av e-legitimering och e-underskrifter. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll En elektronisk identitetshandling kan användas för att lämna in upp- gifter elektroniskt och få skydd mot att någon annan lämnar uppgif- ter under sken av att vara användaren. En elektronisk identitetshandling kan användas som ett led för att skapa en s.k. indirekt underskrift hos t.ex. en myndighet med en från den elektroniska identitetshandlingen fristående underskriftstjänst. Med detta menas en underskrift för att skydda en elektronisk hand- ling mot förfalskning och förnekande av underskrift på motsvarande sätt som om handlingen hade undertecknats på papper.2 Beroende på den typ av e-tjänst som användaren nyttjar och informationsinne- hållet i tjänsten kan en viss minsta skyddsnivå krävas för den elektro- niska identitetshandlingen. 13.2.2Identifiering och inloggning är inte samma sak att elektronisk identifiering och inloggning, som begrepp, bör skiljas åt. Den som ska kontrollera identiteten är ofta den som har en e-tjänst i vilken individer som vill använda e-tjänsten måste identifiera sig. Vid en genomgång av e-tjänster i den offentliga sektorn kan utredningen konstatera att det man gränssnittsmässigt oftast möts av är att man ska logga in i en e-tjänst.3 Vid inloggning kan individen välja vilken identifieringslösning som han eller hon vill använda. Utredningen anser att sådana gränssnitt gör att individen ofta tolkar elektronisk identifiering som synonymt med inloggning. Utredningen bedömer dock att det är viktigt att skilja på elektronisk identifiering och in- 2Om elektroniska handlingar, se vidare E-delegationens vägledning Elektroniska original, kopior och avskrifter, . /, , /, , /, . Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll Risken är annars att individen betraktar identifieringen endast som ett sätt att logga in, och inte är uppmärksam på att han eller hon faktiskt använder sig av en elektronisk värdehandling, se också avsnitt 12.3.4 Utredningen lämnar därför ett förslag som inne- bär att det måste tydliggöras för individen att när han eller hon använder sig av en elektronisk identitetshandling så identifierar han eller hon sig. 13.3Process för elektronisk identifiering Den aktör som har e-tjänsten och alltså ska kontrollera identiteten kallas i eSams vägledning för förlitande part. Utredningen väljer att kalla aktören för förlitande aktör. Part som begrepp kan leda tanken fel. Utredningen anser att aktör är ett mer neutralt begrepp. För- litande kommer av att aktören förlitar sig på att uppgifterna i den elektroniska identitetshandlingen är korrekta och att det är rätt indi- vid som använder sig av den. När en individ använder sin elektroniska identitetshandling för att identifiera sig i en e-tjänst ser identifieringsprocessen ut som följer: Den förlitande aktören skickar en begäran om identitetsintyg som hen vill använda för att till utfärdaren av den identifiera sig mot en e-tjänst hos en viss förlitande aktör. Användarens behörighet att se uppgifter och vidta åtgärder i e- tjänsten styrs av den förlitande aktören, och finns alltså inte i den elektroniska identitetshandlingen. Utfärdaren av den elektroniska identitetshandlingen skickar ett identitetsintyg till den förlitande aktören. Användaren släpps in i e- tjänsten. En individ som använder sin elektroniska identitetshandling, kallas för användare. När avtal av detta slag sluts mellan en utfärdare och en offentlig myndighet kallas utfärdaren för leverantör. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll 13.3.1Val av identitetshandling i en e-tjänst En användare som vill identifiera sig mot en e-tjänst måste först välja vilken identitetshandling som han eller hon vill använda sig av. [Vill identifiera sig med viss elektronisk id-handling] ID 3 ID 4 [har en e-tjänst] Utfärdare av elektronisk identitetshandling [har utfärdat en elektronisk identitetshandling till användaren] En e-tjänst tillhandahålls av en förlitande aktör. Den förlitande aktö- ren kan vara en offentlig myndighet eller ett företag. För vissa e- tjänster kräver förlitande aktörer att en användare ska identifiera sig elektroniskt innan användaren släpps in i e-tjänsten. För att en användare ska kunna identifiera sig elektroniskt måste han eller hon ha en elektronisk identitetshandling. Användare måste ansöka om en sådan hos någon utfärdare av elektroniska identitets- handlingar. Mellan utfärdaren och användaren sluts ett avtal.5 Det finns flera utfärdare av elektroniska identitetshandlingar i 5 Läs mer om detta avtal i eSam:s skrivelse Juridisk vägledning för införande av e-legitimering och e-underskrift. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll Bankernas BankID är den som används mest, men det finns också andra utfärdare av elektroniska identitetshandlingar.6 För att en förlitande aktör ska kunna erbjuda användaren elektro- nisk identifiering måste den förlitande aktören ha slutit avtal om en funktion för elektronisk identitetskontroll med en eller flera utfärdare av elektroniska identitetshandlingar. Dessa avtal kan – för offentliga myndigheter slutas på flera sätt. Utredningen återkommer till detta. 13.3.2Fråga till utfärdaren om identitetsuppgifter [Behöver kontrollera Identiteten] Utfärdare av elektronisk identitetshandling När användaren har valt vilken elektronisk identitetshandling som han eller hon vill använda för att identifiera sig, måste den förlitande aktören kontrollera användarens identitet. Detta görs genom att den förlitande aktören ställer en fråga till utfärdaren/leverantören om 6 AB Svenska Pass, , eID. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll användarens uppgifter stämmer.7 Utfärdaren har ett åtagande att in- tyga personens identitet under den elektroniska identitetshandlingens livslängd. 13.3.3Svar med ett s.k. identitetsintyg Utfärdare av elektronisk identitetshandling [Ska validera användarens identitet] I det föregående steget ställde den förlitande aktören en fråga till ut- färdaren om användarens identitet. Utfärdaren svarar genom att skicka ett s.k. identitetsintyg, som innehåller de uppgifter som den för- litande aktören behöver för att lita på att användaren är den som han eller hon utger sig för att vara. Ett identitetsintyg är en elektronisk handling som garanterar spårbarhet och säkerhet i e-tjänsten. Identi- tetsintyget kan användas endast en gång vilket innebär att ett nytt identitetsintyg måste utfärdas vid varje identitetskontroll. 7 I sammanhanget bör den konstruktion som BankID har valt särskilt uppmärksammas. har BankID-kollektivet formerat sig så att det finns fyra säljande banker som tecknar avtal i fri konkurrens med varandra. Den förlitande aktör som har tecknat ett avtal med en säljande bank får sedan tillgång till samtliga kunder som har BankID som elektronisk identitetshandling, oavsett vilken bank som har utfärdat BankID:t. Gentemot myndigheter är det tre av dessa säljande banker, , och Nordea, som agerar parallellt. De myndigheter som finns med på Kammarkollegiets ramavtal erbjuder t.ex. avtal med alla tre . Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll I bland kan en annan aktör än utfärdaren/leverantören skicka identitetsintyget. Denna aktör kallas för identitetsintygsutfärdare. [släpper in användaren i e-tjänsten] När den förlitande aktören har tagit emot identitetsintyget kan användaren släppas in i e-tjänsten. Den förlitande aktören behöver inte göra egna kryptografiska kontroller av vem som har identifierat sig eller om den elektroniska identitetshandlingen är spärrad. För den förlitande aktören är det tillräckligt att ta del av uppgifterna i identitetsintyget.8 13.3.5Behörighet finns i systemen, inte i den elektroniska identitetshandlingen Den elektroniska identitetshandlingen bör inte innehålla uppgifter om användarens behörighet eller roll. Med behörighet avses vad använd- aren får göra, dvs. vilken åtkomst och rätt att vidta åtgärder som han eller hon har. Sådana uppgifter bör finnas hos den förlitande aktören i register, som kan ändras utan att den elektroniska identitetshand- lingen behöver ändras. Med behörighet avses också uppgifter om företrädarskap, exempelvis att en användare tecknar ett visst företags firma. Sådana uppgifter finns normalt sett i andra myndigheters regis- ter, vem som exempelvis tecknar ett företags firma finns i bolagsregist- 8 eSam:s skrivelse Juridisk vägledning för införande av e-legitimering och e-underskrift, s. 16. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll ren.9 Den sortens uppgifter kan e-tjänsten utforma för att inhämta på ett automatiserat sätt. 13.4Närmare om relationen mellan förlitande aktör och utfärdare av elektronisk identitetshandling Statliga myndigheter, kommuner och landsting behöver i regel an- skaffa funktioner för elektronisk identitetskontroll från andra aktörer, dvs. utfärdare av elektroniska identitetshandlingar.10 I de samman- hangen kallas den aktör som säljer funktionen för elektronisk identi- tetskontroll för leverantör. Statliga myndigheter, kommuner och lands- ting med behov av funktioner för elektronisk identitetskontroll har tre valmöjligheter. •upphandla en funktion för elektronisk identifiering på egen hand, •avropa en funktion för elektronisk identifiering på ramavtal som Kammarkollegiet tillhandahåller, eller •besluta om att tillhandahålla valfrihetssystem samt ansluta sig till det system för säker elektronisk identifiering som har. De två första möjligheterna omfattas av lagen (2016:1145) om offent- lig upphandling (), medan användning av den tredje möjligheten regleras i lagen (2013:311) om valfrihetssystem i fråga om tjänster för elektronisk identifiering (eLOV). I det följande beskrivs i korthet vad de olika alternativen innebär. Utredningen återkommer med bedöm- ning av om alternativen är ömsesidigt uteslutande, eller om de kan vara parallella. 9Bolagsverket ansvarar för att registrera uppgifter om företag, bl.a. ansvarar för aktiebolagsregistret och handelsregistret i vilka det finns uppgifter om aktiebolag respektive handelsbolag, enkla bolag, enskilda näringsidkare, kommanditbolag, trossamfund som utövar näringsverksamhet och ideella föreningar som utövar näringsverksamhet. 10Det finns exempel på myndigheter som har tagit fram egna lösningar för elektronisk iden- tifiering. kommun har t.ex. utvecklat en egen elektronisk identitetshandling för sina anställda. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll 13.4.1Offentlig upphandling – upphandlande myndighet tilldelar kontrakt eller avropar på ramavtal Regler om offentlig upphandling ska tillämpas när en upphandlande myndighet eller enhet tilldelar en leverantör ett kontrakt eller ingår ramavtal för varor, tjänster, byggentreprenader samt bygg- och tjänste- koncessioner. Offentlig upphandling syftar till att beskriva hur sådana kontrakt eller ramavtal sluts. Regler om offentlig upphandling bygger på EU-direktiv och är till stor del lika inom hela EU. Svenska domstolar är skyldiga att följa rättspraxis och möjligheterna till nationella undantag är små. Vid tillämpningen av bestämmelserna om offentlig upphandling gäller enligt upphand- lingsdirektiven de grundläggande EU-rättsliga principerna om likabe- handling, icke-diskriminering, öppenhet, proportionalitet och ömse- sidigt erkännande.11 Dessa grundläggande principer har sitt ursprung i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) och i rättspraxis. Principerna följer alltså ytterst av fördraget och de artiklar som reglerar rätten till de fria rörligheterna.12 antogs tre nya EU-direktiv på upphand- lingsområdet.13 Direktiven har föranlett förändringar i det svenska upphandlingsrättsliga regelverket, genom en ny lag (2016:1145) om offentlig upphandling och lag (2016:1146) om upphandling inom försörjningssektorerna samt lagen (2016:1147) om upphandling av koncessioner. De två första lagarna har ersatt tidigare lagstiftning på området,14 medan den senare lagen är helt ny. 11Artikel 18 i LOU-direktivet, artikel 36 i LUF-direktivet och artikel 3 i LUK-direktivet. 12SOU 2016:78, Ordning och reda i välfärden, s. 488 ff. 13Europaparlamentets och rådets direktiv /24/EU av om offentlig upphandling och om upphävande av direktiv /18/EG (nya klassiska direktivet), Europa- parlamentets och rådets direktiv /25/EU om upphandling av enheter som är verksamma på områdena vatten, energi, transporter och posttjänster och om upphävande av direk- tiv 2004/17/EG (nya försörjningsdirektivet) samt och rådets direk- tiv 2014/23/EU av om tilldelning av koncessioner (koncessionsdirektivet). 14 Lagen (2007:1091) om offentlig upphandling och lagen (2007:1092) om upphandling inom områdena vatten, energi, transporter och posttjänster. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll En upphandlande myndighet ska tilldela den leverantör vars anbud är det ekonomiskt mest fördelaktiga för myndigheten ett kontrakt.15 Vilket anbud som är det ekonomiskt mest fördelaktiga ska utvärde- ras på någon av grunderna •bästa förhållandet mellan pris och kvalitet, Myndigheten ska i något av upphandlingsdokumenten ange den grund för utvärdering av anbud som den avser att använda. En följd av dessa bestämmelser är att genom upphandling kan endast en leverantör tilldelas kontraktet. Av E-legitimationsnämndens enkätundersökning om behov av elektroniska identitetshandlingar framgår att av den totala volymandelen elektroniska identifieringar och elektroniska under- skrifter motsvarade egen upphandling av volym- andelen. Av andelen upphandlande myndigheter var det som hade upphandlat funktionerna på egen hand.16 Kammarkollegiet ansvarar för att upphandla samordnade ramavtal som är avsedda för andra statliga myndigheter.17 Inom området infor- mationsteknik gäller ansvaret för den offentliga förvaltningen. I upp- giften ingår att tillhandahålla stödverksamhet för inköp vid avrop från de samordnade ramavtal som Kammarkollegiet har upphandlat. Kammarkollegiet ska verka för att bästa möjliga villkor skapas för myndigheternas anskaffning av varor och tjänster. Inom området in- formationsteknik ska myndigheten särskilt beakta förvaltningsgemen- 1516 kap. 1 § . Enkäten skickades ut till alla 500 regi- straturer och hade 146 svar inkommit, varav hälften av svaren var från sektor och hälften från statliga myndigheter. 18.515a6be615c637b9aa4150e1/1505211922933/2017-09-11+E-legtimationsenk%C3% A4ten+2017+resultat.pdf, . 178 a § förordningen (2007:824) med instruktion för Kammarkollegiet. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll samma standarder samt intresset av innovationer och teknikneutrala lösningar. Kammarkollegiet ansvarar för ramavtal där bl.a. elektro- nisk identifiering och e-underskrift ingår. Det är möjligt att avropa funktioner för identifiering på Kammar- kollegiets ramavtal Programvaror och tjänster Informationsförsörj- ning 2014 (PT14-IF). är inte inriktat på de funktioner för identifiering som används och inte heller avgränsade till funktioner för elektronisk identifiering. PT14-IF är mycket brett till sitt omfång och är i många hänseenden mer ett kommersiellt ramverk än konkret kravställning för specifika tjänster. Även om det finns exempelavrop och specifikationer ställer avrop på ramavtalet höga krav på den förli- tande aktören att själv konkretisera och specificera kravställningen. Många leverantörer, t.ex. CGI, och tillhandahåller helhetslösningar där tillhörande avrop och kombinationer av avtal innefattar även avtal med en eller flera leverantörer av identitetsintyg. De agerar alltså återförsäljare av funktioner för identitetskontroll som de har upphandlat från t.ex. en bank.18 Funktionen ligger ofta inbakad i leveransen från dessa leverantörer och syns inte som en separat del för den upphandlande myndigheten. Av E-legitimationsnämndens enkätundersökning fram- går att av den totala volymandelen elektroniska identifieringar och elektroniska underskrifter motsvarade avrop på ramavtal av volymandelen. Av andelen upphandlande myndigheter var det som avropade tjänsterna.19 Ändringar i ett kontrakt Ett kontrakt eller ett ramavtal får ändras utan en ny upphandling, om det exempelvis rör sig om ändringar som är av mindre värde eller om det finns en ändrings- eller optionsklausul med visst innehåll i något av upphandlingsdokumenten i den ursprungliga upphandlingen.20 En ändring får också göras genom en kompletterande beställning under vissa förhållanden eller om den inte är väsentlig.21 18eSam:s Juridiska vägledning för införande av e-legitimering och e-underskrifter, s. 37. 2017 kap. 8–14 §§ . 2117 kap. 14 § . Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll 13.4.2Valfrihetssystem i fråga om funktioner för elektronisk identifiering Vad är ett valfrihetssystem? Utredningen har i delbetänkandet beskrivit de befintliga regelverken för valfrihetssystem.22 När valfrihetssystem får anordnas är särskilt reglerat i lag. finns det fem lagar som reglerar under vilka för- hållanden och på vilket sätt upphandlande myndigheter får anordna valfrihetssystem. Valfrihetssystem bygger på att det är individen som har möjlighet att välja vilken, bland många, leverantörer som erbjuder det bästa alternativet. Med valfrihetssystem avses alltså ett förfarande där indi- viden har rätt att välja leverantör bland de leverantörer som en statlig myndighet, kommun eller landsting har godkänt och tecknat kontrakt med för att få en tjänst utförd. Det är den som köper tjänsten – den statliga myndigheten, kommunen eller – som bestämmer villkor – krav – för hur ett kontrakt ska fullgöras liksom grunderna för den ekonomiska ersättningen. En leverantör ansöker om att få an- slutas till valfrihetssystemet. Den statliga myndigheten, kommunen eller ska godta alla leverantörer som uppfyller de fastställda kraven. När godkännande lämnats tecknar den statliga myndigheten, kommunen eller kontrakt med leverantören. I valfrihetssystem finns det ingen priskonkurrens mellan leveran- törerna, eftersom ersättningen är bestämd på förhand. Det är vidare möjligt för leverantörer att ansluta sig till valfrihetssystemet löpande och den som anordnar valfrihetssystem måste löpande annonsera på en nationell webbplats för valfrihetssystem. 22SOU 2017:23, digitalforvaltning.nu, s. 230 f. 23Lagen (2008:962) om valfrihetssystem, LOV, som gäller för vissa tjänster inom hälso- och sjukvård och socialtjänster, lagen (2010:536) om valfrihet hos Arbetsförmedlingen, lagen (1993:1651) om läkarvårdsersättning och lagen (1993:1652) om ersättning för fysioterapi samt lagen (2013:311) om valfrihetssystem i fråga om tjänster för elektronisk identifiering. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll Lagen (2013:311) om valfrihetssystem i fråga om tjänster för elektronisk identifiering eLOV trädde 2013. Lagen utformades med lagen (2008:962) om valfrihetssystem (LOV) som förebild. LOV reglerar valfrihets- system för tjänster inom hälsovård och socialtjänster. I förarbetena till LOV angavs att det kontrakt som tilldelades var att bedöma som en tjänstekoncession som inte omfattades av de då gällande EU- rättsliga upphandlingsdirektiven.24 Regeringen uttalade i förarbetena till eLOV att upphandling av det som då kallades för eID-tjänster (utredningen använder funktion för elektronisk identitetskontroll) skulle utformas på ett sätt som gjorde det möjligt för flera leverantörer att ansluta. Med eID-tjänster avsågs, såvitt utredningen kan bedöma, det som utredningen kallar funktion för elektronisk identitetskontroll. Det skulle vidare, enligt regeringen, vara användaren som hade makten att bestämma vem som skulle tillhandahålla funktionen. Därmed stod utfärdaren/leverantören risken för att användaren skulle välja en konkurrerande lösning. Ut- färdare/leverantör kunde inte heller på förhand bedöma hur mycket, eller hur ofta, en användare skulle komma att använda funktionen. Dessutom var det inte säkert att utfärdarnas ersättning i valfrihets- systemet skulle motsvara den investering som utfärdaren haft i sin verksamhet eller de driftskostnader de hade för verksamheten. På dessa grunder bedömde regeringen att utfärdarna var utsatta för mark- nadens nycker och att de kontrakt som skulle ingås inom ramen för valfrihetssystemet var att bedöma som av samma karaktär som kon- trakt som tilldelas enligt LOV.25 I betänkandet E-legitimationsnämn- den och Svensk e-legitimation beskrevs att anordnandet av valfrihets- system var en form av upphandling.26 Utredningen återkommer i ett senare avsnitt med förslag om att regeringen ska låta se över den rätts- liga klassificeringen av eLOV. Redan här kan emellertid framhållas att valfrihetssystem inte bedöms vara en form av upphandling, utan att det är fråga om en nationell lagstiftning som ska följa de upphand- lingsrättsliga principerna, men som inte är upphandling. 2008/09:29 s. 55 ff och artikel 17 i och rådets direktiv /18/EG om samordning av förfarandena vid offentlig upphandling av byggentreprenader, varor och tjänster. 2012/13:123, s. 31. 26SOU 2010:104, s. 114. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll eLOV kom att utformas som en helt fristående författning från LOV.