sou · H5B3114 · 2018-01-01 00:00:00 — har gått ut med en enkät till alla statliga myndigheter, kommuner och landsting för att mäta behov av elektroniska identitetshandlingar och i viss mån även betrodda tjänster.5 Syftet har också varit att skapa en tyd- ligare bild av hur statliga myndigheter, kommuner och landsting ligger till i arbetet med att förbereda sig för eIDAS-förordningens krav, samla in deras frågeställningar och behov samt även sprida kunskap till dem som har svarat på enkäterna. 4Här förutsätter utredningen att det i praktiken blir den nya digitaliseringsmyndigheten som väntas ta över verksamhet fr.o.m. som får personuppgiftsansvar i detta led. 5www.elegnamnden.se/omoss/enkater, , enkätunder- sökning . Enkäten skickades ut till alla 500 registraturer och hade 146 svar inkommit, varav hälften av svaren var från sektor och hälften från statliga myndigheter. Europeiska elektroniska identitetshandlingar i svenska e-tjänster Av de svar som har kommit in 2017 drar bl.a. följande slutsatser. Den offentliga sektorns transaktionsvolym för elektroniska identifiering och underskrifter går från 148 miljoner 2016 till 178 miljoner 2017. Hos av de statliga myndigheterna, kommunerna och landstingen finns e-tjänster där man identifierar sig med hjälp av elektroniska identitetshandlingar men det är åtta myn- digheter som står för av transaktionerna. I av de offentliga myndigheterna finns e-tjänster där användaren skriver under med elektronisk underskrift men det är fem av de offentliga myndigheterna som står för av transaktio- nerna. Av de berörda har skaffat fristående underskrift- tjänst. av de berörda känner till eIDAS-förord- ningens krav om erkännande av utländska elektroniska underskrifter. Enkätsvaren visar också att det finns behov av kvalificerade elek- troniska underskrifter, samt behov av elektroniska stämplar och tids- stämplingar. De tio organisationer som har störst transaktionsvolymer när det gäller elektronisk identifiering och elektroniska underskrifter är Skatte- verket, , , Arbetsförmedlingen, , , , Bo- lagsverket, och . De eIDAS-relaterade frågorna visar att ungefär tre fjärdedelar av de berörda svarande myndigheterna känner till eIDAS-förordningen och det är få som har påbörjat arbetet med att förbereda för att kunna erkänna utländska elektroniska identitetshandlingar och underskrifter i sina e-tjänster. av de berörda svarande offentliga myndigheterna planerar att hinna med förberedelsearbetet till tredje kvartalet 2018. Som exempel på möjliga framtida användningsområden för euro- peiska elektroniska identitetshandlingar anges: •Ansökan om kontaktfamilj, familjehem, språkvän, •Ansökan om stipendium, •Ansökan om arbetstillstånd, Europeiska elektroniska identitetshandlingar i svenska e-tjänster •Ansöka om elektronisk identitetshandling inom högskolesektorn, •Tillstånd om att få ställa ut container och annat begagnande av offentlig plats, •Ansöka om tillstånd för skolverksamhet, •Intresseanmälningar av olika slag, •Lämna synpunkter, göra felanmälan, De offentliga myndigheter som har svarat på frågor om framtida tänkbara transaktionsvolymer av utländska e-legitimeringar bedömer att dessa kommer att öka stort . 17.2.2Vad säger de offentliga myndigheterna själva? Utredningen har träffat företrädare för offent- liga myndigheter av olika slag och storlek för att få en uppfattning om vad de själva ser för konsekvenser av eIDAS-förordningens krav. Ut- redningen har även skickat ut en enkät till ett tjugotal offentliga myndigheter som har påbörjat sitt förberedelsearbete. Av svaren framkommer bl.a. följande. Konsekvenserna av eIDAS-förordningen varierar beroende på de offentliga myndigheternas verksamhet, storlek och digitaliseringsgrad men också på hur de organiserar sin anpassning. Det finns flera exem- pel på kommuner som har gått samman, tio–tolv stycken, i geografisk närhet och med liknande storlek och förutsättningar i övrigt, och i gemensamma upphandlingar köpt elektronisk identifiering. Denna form av samarbete bedöms av de inblandade fungera mycket bra och underlättar både kostnads- och kompetensmässigt. En direkt konsekvens för de tillfrågade offentliga myndigheterna är behovet av att anpassa sina berörda e-tjänster. Det kräver insatser av befintliga resurser som t.ex. kravanalytiker, experter och utvecklare samt inom informationssäkerhet och juridik. Flera offentliga myndigheter efterfrågar besked om huruvida reger- ingen avser att gå vidare med utvecklingen av ett centralt kopplings- register eller förslag om kopplingsregister. Europeiska elektroniska identitetshandlingar i svenska e-tjänster serna för dessa offentliga myndigheter varierar mycket beroende av om det kommer att finnas en gemensam lösning eller inte. Konsekvenserna av eIDAS-förordningen medför ökade behov av nationell samordning mellan offentliga myndigheter gällande fler områden, t.ex. gemensam arkitektur, federativa modeller för åtkomst och behörighetsstyrning. Även harmonisering av viss lagstiftning inom EU bedöms nöd- vändig, t.ex. dataskyddsförordningen6 möjliggör en samsyn gällande personuppgiftshanteringen i alla medlemsländer. Det inbegriper frå- gor om lagring av personuppgifter för utländska användare som an- vänder svenska e-tjänster och om utländska användare ska kunna titta på information som är lagrad i svenska register. I flera avseenden är konsekvenserna svåra att överblicka eftersom det är oklart vilken hållning regeringen kommer att inta till vilken nivå av service svenska offentliga myndigheter ska hålla. Det gäller t.ex. språkliga anpassningar av e-tjänster och information till utländska an- vändare som inte bedöms kunna släppas in i den offentliga myndig- hetens e-tjänster. Konsekvenserna beskrivs också medföra möjligheter till förbätt- ring. Offentliga myndigheter kan med hjälp av eIDAS-förordningen ytterligare öka och förenkla utvecklingen av interoperabla e-tjänster, både självbetjänande och helt automatiserade. Det ger även möjlighet att utveckla e-tjänster som är interoperabla internt inom och externt i och mot EU. Ur ett verksamhetsperspektiv medför eIDAS- förordningen möjligheter att både billigare och effektivare hantera användare som inte har någon form av svensk elektronisk identitets- handling. Indirekt ger det möjlighet att utveckla e-tjänster som för användaren blir mer självbetjänande och enklare eftersom de offentliga myndigheterna kan bygga användarcentrerade tjänsteportaler. An- vändaren kan hitta allt från olika leverantörer i en och samma e-tjänst. Detta bygger på att tjänsteleverantörerna har interoperabla funktioner. Digitalisering och automatisering bedöms även frigöra personella re- surser hos de offentliga myndigheterna och personalens process- specifika kompetens kan koncentreras till andra delar i en verksam- hetsprocess. En konsekvens av förordningen kan bli att de offentliga 6 och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Europeiska elektroniska identitetshandlingar i svenska e-tjänster myndigheterna gemensamt levererar e-tjänster till användare där an- vändaren står i centrum och inte de offentliga myndigheterna själva. Möjlighet till fler e-tjänster kan höja säkerheten avseende vem som äger transaktionen i tjänster som inte har möjlighet att hantera EU-medborgare som inte har svensk elektronisk identitets- handling. Det påpekas även att fler e-tjänster kan innebära en för- höjd risk för bedrägligt beteende gentemot olika offentliga myn- digheter, såväl systematiskt som engångsföreteelser. De offentliga myndigheterna identifierar särskilt en potential för gränsöverskridande e-tjänster i norra mellan och , mellan och i , turister i samt svenska pensionärer som bor i södra . 17.3Omfattningen av kravet på erkännande När det gäller bedömningar av hur förordningstexten ska tolkas är det svårt att förutspå den rättsliga utvecklingen. Utredningen kan analy- sera vissa frågor, göra avvägningar av alternativa tolkningssätt och även lämna rekommendationer för hur utredningen anser att offentliga myndigheter bör förbereda sig och agera när användare vill identifiera sig i deras e-tjänster med en utländsk elektronisk identitetshandling. Utredningen kan däremot inte med säkerhet veta hur kommer att agera i eventuella framtida tvister om hur förordnings- texten ska tolkas. Utredningen kan därför inte uttala sig om hur för- ordningstexten ska tolkas i specifika fall utan på ett mer generellt plan uppskatta de rimliga konsekvenserna av förordningens lydelse. 17.3.1Vem ska erkänna den elektroniska identitetshandlingen? att varje offentlig myndighet som tillhandahåller en e-tjänst får avgöra om en elektronisk identitetshandling ska erkännas eller inte. I artikel 6 i eIDAS-förordningen står det att medel för elektronisk identifiering som utfärdats i en annan medlemsstat under vissa för- Europeiska elektroniska identitetshandlingar i svenska e-tjänster hållanden ska erkännas i den första medlemsstaten för gränsöver- skridande autentisering för att få åtkomst till en nättjänst. Det speci- ficeras inte vem som har skyldighet att erkänna den elektroniska identitetshandlingen. Det kan vara medlemsstaten i fråga eller varje myndighet i medlemsstaten. Det finns inte någon central funktion för erkännande i . Det har enligt utredningens vetskap inte heller lyfts några förslag om en sådan funktion. I praktiken blir det därför varje e-tjänst eller offentlig myndighet bakom e-tjänsten som kommer att ställas inför ställningstagandet att erkänna den elektroniska identitetshandlingen eller inte. Eftersom det är tydligt specificerat vilka elektroniska identi- tetshandlingar som ska erkännas blir det inget svårt ställningstagande att göra. Om de offentliga myndigheterna i är dåligt förberedda när användare med europeiska elektroniska identitetshandlingar vill iden- tifiera sig är det möjligt att på något sätt anmodar att se till att de offentliga myndigheterna kan erkänna euro- peiska elektroniska identitetshandlingar. 17.3.2När krävs det att utländska elektroniska identitetshandlingar ska erkännas? att utländska godkända elektroniska identitetshandlingar ska er- kännas när det enligt svensk rätt eller den offentliga myndighetens administrativa förfaranden krävs en elektronisk identitetshandling för att få åtkomst till en e-tjänst som tillhandahålls av den offent- liga myndigheten. Enligt artikel 6 om ömsesidigt erkännande ska utländska godkända elektroniska identitetshandlingar erkännas när det enligt nationell rätt eller nationella administrativa förfaranden krävs elektronisk identi- tetshandling för att få åtkomst till en e-tjänst som tillhandahålls av ett offentligt organ. Om det finns nationella författningskrav på att elektronisk iden- titetshandling ska användas för att få åtkomst till e-tjänsten ska alltså även utländska elektroniska identitetshandlingar erkännas. Dess- utom måste de offentliga myndigheterna avgöra när det ska krävas Europeiska elektroniska identitetshandlingar i svenska e-tjänster elektronisk identitetshandling för att få åtkomst till en e-tjänst. Nationella administrativa förfaranden är inget formaliserat begrepp utan borde enligt utredningens mening innebära att varje offentlig myndighet analyserar behovet av säkerhet vid identitetskontroll av användaren. I e-tjänster som inte har höga säkerhetsbehov kan man använda sig av andra inloggningsmetoder såsom användarnamn och lösenord. Vid inloggning till sådana e-tjänster krävs inte elektronisk identitetshandling och följden borde således bli att det inte heller upp- står något krav på att erkänna utländska elektroniska identitetshand- lingar i sådana e-tjänster. Det finns exempel på e-tjänster hos offentliga myndigheter där det är valfritt för användaren att identifiera sig med elektronisk identitetshandling eller logga in med användarnamn och lösenord. Inte heller i dessa fall bör det enligt utredningens mening uppstå ett krav på erkännande av utländska elektroniska identitetshandlingar eftersom det inte krävs elektronisk identitetshandling för att få åt- komst till e-tjänsten i fråga. 17.3.3Vad innebär erkännandet? att målsättningen bör vara att erkännande av utländska elektroniska identitetshandlingar i svenska offentlig myndigheters e-tjänster innebär att – utan att göra avsteg från säkerhetsmässiga hänsyns- taganden – ge användaren tillgång till de e-tjänster hon eller han har behov av. att erkännandet ska avse identifieringen men inte den slutliga åtkomsten till e-tjänsten. att om användaren inte ges tillträde till e-tjänsten ska ett er- kännande ändå alltid innebära att den offentliga myndigheten hälsar användaren välkommen och informerar om vad som gör att användaren inte kan ges tillträde och vad som krävs för att kunna ges tillträde. Användaren bör också alltid kunna hänvisas till analog service med sitt ärende. Det finns olika uppfattningar i medlemsstaterna om vad det ömse- sidiga erkännandet innebär. Att erkänna en elektronisk identitets- handling kan innebära att användaren hälsas välkommen till den Europeiska elektroniska identitetshandlingar i svenska e-tjänster offentliga myndighetens e-tjänst men att där inte finns något i övrigt som användaren kan nyttja. Att erkänna en elektronisk identitets- handling kan också innebära att ge användaren full rätt att utnyttja alla e-tjänster som den offentliga myndigheten erbjuder mot krav på identifiering med elektronisk identitetshandling. Utredningen anser att målsättningen bör vara att erkännande av utländska elektroniska identitetshandlingar i svenska offentliga myn- digheters e-tjänster innebär att – utan att göra avsteg från säkerhets- mässiga hänsynstaganden – ge användaren tillgång till de e-tjänster hon eller han har behov av. I skäl 14 till eIDAS-förordningen anges att principen om ömsesi- digt erkännande endast bör avse autentisering för en nättjänst. Åt- komsten till nättjänsten och dess slutliga leverans till användaren bör vara nära kopplad till rätten att ta emot sådana tjänster enligt villkoren i nationell lagstiftning. En användare med svensk elektronisk identitetshandling har inte användning av alla svenska e-tjänster och får därför inte tillgång till allt trots att den elektroniska identitetshandlingen erkänns av den offent- liga myndigheten. Det kan gälla e-tjänster i en kommun som använ- daren inte har någon koppling till eller specifika e-tjänster enbart för användare som har en relation med en offentlig myndighet av någon särskild anledning. Användaren behöver inte tillgång till e-tjänster för egenföretagare om hon eller han inte har något eget företag eller e-tjänster för föräldrar om hon eller han inte är förälder. På samma sätt kan offentliga myndigheter begränsa användare med utländska elektroniska identitetshandlingar om det inte finns någon relation som visar att användaren har behov av att använda en e-tjänst. En sådan relation kan visas genom ett svenskt personnummer eller styrkt samordningsnummer. De offentliga myndigheterna behöver också analysera sin roll och sina e-tjänster när det kommer till säkerhet. Offentliga myndigheter som är utbetalande eller vars e-tjänster är ett led i en kedja som leder till en utbetalning måste naturligtvis vara extra vaksamma. Frågan är här vad skyldigheten att erkänna utländska elektroniska identitets- handlingar innebär i förhållande till den offentliga myndighetens egna säkerhetskrav. Utgångspunkten bör enligt utredningens mening vara att de godkända utländska elektroniska identitetshandlingarna jäm- ställs med de svenska som den offentliga myndigheten redan hanterar. Europeiska elektroniska identitetshandlingar i svenska e-tjänster I svenska offentliga myndigheters e-tjänster med höga säkerhets- krav måste användaren ha ett svenskt personnummer eller styrkt samordningsnummer. Det svenska personnumret bekräftas genom identitetskontrollen via den elektroniska identitetshandlingen. Om användaren med en utländsk elektronisk identitetshandling kan be- kräfta ett svenskt personnummer på motsvarande sätt bör använ- daren kunna nyttja e-tjänsten. För detta behöver en koppling mellan den utländska elektroniska identitetshandlingen och det svenska personnumret göras med mycket hög grad av säkerhet. I de fall användaren inte har något svenskt personnummer eller inte med tillräcklig säkerhet kan bekräfta det använda personnumret kan kravet på erkännande enligt utredningens mening inte innebära att användaren ska ges tillträde till e-tjänsten. Kravet på erkännande bör ändå i praktiken leda till att den svenska offentliga myndigheten hälsar användaren välkommen och informe- rar om vad som gör att användaren inte kan ges tillträde och vad som krävs för att kunna ges tillträde. Användaren bör också i förekom- mande fall kunna hänvisas till den instans som kan hjälpa till med t.ex. en koppling. Detta är i praktiken det som brukar benämnas väntrum i eIDAS- sammanhang. Utredningens uppfattning är att det är viktigt att dessa väntrum inte blir återvändsgränder utan att användaren får den information som behövs för att kunna ta ärendet vidare. Frågan om vad erkännandet innebär har analyserats i olika sam- manhang. I är, enligt utredningens mening, den allmänna uppfattningen att erkännandet ska avse identifieringen men inte den slutliga åtkomsten till e-tjänsten. Det har även beskrivits i eSams vägledning.7 I de övriga medlemsstaterna förekommer dock andra tolkningar av begreppet erkännande. 7 eSam:s vägledning, Juridisk vägledning för införande av e-legitimering och e-underskrifter, s. 57 f. Europeiska elektroniska identitetshandlingar i svenska e-tjänster 17.3.4Vad säger de andra medlemsstaterna? Utredningen har träffat företrädare för några av de andra medlemsstaterna8 bland annat för att få en bild av deras uppfattning om hur eIDAS-förordningen ska tolkas och vad de ser för konsekvenser av eIDAS-förordningens krav. Utredningen har även skickat ut en enkät till ett tiotal medlemsstater vars system liknar de svenska eller som har kommit långt i sitt för- beredelsearbete. Av medlemsstaternas svar framkommer bl.a. följande. håller på att utveckla en eIDAS-nod som alla offentliga organ kan ansluta till. Den blir en del av den nationella digitala infra- strukturen. Man är också i färd med att analysera hur en central kopplingsfunktion kan byggas upp. I avser man att utveckla ett gemensamt centralt väntrum för utländska användare. Detta arbete är dock fortfarande i analys- stadiet. Det kan komma att bli två väntrum, ett för privatpersoner och ett för företag. Väntrummet är tänkt för myndigheter som har e- tjänster och som inte vill hantera väntrumsfrågan individuellt. Det kommer att bero på varje myndighet som har e-tjänster vilka språkanpassningar som ska göras. Vissa affärsorienterade e-tjänster kommer troligtvis att översättas till polska, tyska och andra språk. De flesta kommer troligtvis översättas till engelska. I är folkbokföringssystemet förhållandevis likt det svenska med mycket beständiga s.k. CPR-nummer (motsvarighet till personnummer) och E-nummer (motsvarighet till samordningsnum- mer). Det är ännu inte bestämt om pseudonymer kommer att an- vändas eller inte. Det är heller inte avgjort hur beständigt det danska personidentifieringsnumret kommer att vara. Men det är inte troligt att danskar ska kunna ha mer än ett identitetsnummer. kommer inte att anmäla sin nationella elektroniska identitetshandling eftersom man håller på att implementera ett nytt system för elektroniska identitetshandlingar. 8 När utredningen använder begreppet medlemsstaterna avses även , , Lichten- stein och som har skrivit avtal om att också få ingå i regelverket. Europeiska elektroniska identitetshandlingar i svenska e-tjänster I är det obligatoriskt enligt lag att alla offentliga organ använ- der befolkningsregistrets officiella lösning för elektronisk identifier- ing. Fr.o.m. kommer befolkningsregistret i att skicka utländska användares attribut enligt eIDAS-förordningen till de myndigheter som klarar och behöver ta emot dessa användare. kommer att ha en speciallösning för de myndigheter som inte hinner förbereda sig genom att använda säker elektronisk post speciellt till de utländska användare som vill ha tillträde till dessa e-tjänster. avser inte att utveckla någon särskild kopplingslösning till sitt nationella identitetsnummer. Man har i startat ett projekt för att utveckla nästa generations identitetsnummer som ska inkludera biometri för att förebygga identitetsstölder. anser sig inte ha kapacitet att klara en central kopplingsservice, vare sig för utländska användare eller för finska användare som bor utomlands. Koppling får i stället utföras lokalt av varje tillhandahållare av e-tjänst efter deras respektive behov. Man planerar inte heller något centralt väntrum. Myndigheterna ska agera enligt befintliga regler och förfaranden för att tilldela finska identitetsnummer till icke-medborgare. Varje myndighet som har e-tjänster får även själv bestämma vilka språk som ska finnas. Alla myndigheters e-tjänster är redan två- språkiga och ska finnas på finska och svenska. kommer inte att använda pseudonym. Man väntar sig att medlemsstaterna behandlar information om identitetsnummer kon- fidentiellt och i enlighet med dataskyddsförordningen. Det finska identitetsnumret är mycket beständigt och ändras bara vid t.ex. identitetsstöld eller könsbyte. Det är omöjligt att samma person från har flera identitetsnummer. I planerar man att erkänna och ge anmälda utländska elektroniska identitetshandlingar i kombination med att individen har ett holländskt identitetsnummer tillträde till önskade e-tjänster i samma utsträckning som om användaren har en nederländsk elektro- nisk identitetshandling. Man kommer att erbjuda en pintjänst som Europeiska elektroniska identitetshandlingar i svenska e-tjänster jämför attributen i den utländska elektroniska identitetshandlingen med uppgifter i folkbokföringen. Både minimi- och valfria attribut kommer att jämföras. I kommer det inte att finnas väntrum. För att få tillgång till en offentlig e-tjänst måste man ha holländskt identitets- nummer (s.k. BSN), tilldelat enligt nederländsk lag. Det innebär att man måste inställa sig fysiskt för identitetskontroll på en myndighet i . Språkanpassningar diskuteras nu men är ännu inte fastställt vad som ska krävas av respektive myndighet. kommer att använda sig av pseudonymer. Neder- ländska personidentifieringsnummer är livslånga i persistens.9 Det är omöjligt att en individ kan ha flera holländska personidentifierings- nummer. Utredningen har fått ta del av en norsk rapport från Skatteetaten där frågan om en central kopplingstjänst och det norska förhållnings- sättet till eIDAS-förordningens krav finns beskrivna.10 En utgångspunkt för det norska anpassningsarbetet är skäl 14 i eIDAS-förorningen enligt vilket kravet om ömsesidigt erkännande bara träffar autentiseringen medan tillträde till e-tjänsterna beror på nationell rätt. vill utveckla möjligheterna med bilaterala överenskommel- ser med i första hand de andra nordiska länderna. Man ser dels att det säkerhetsmässigt skulle fungera eftersom de nordiska länderna har liknande system med mycket persistenta identitetsnummer, dels att en stor del av användarbehovet skulle kunna täckas eftersom många av situationerna med gränsöverskridande identifiering kommer att gälla användare som bor i gränstrakter mellan de nordiska länderna. Det har övervägts om det skulle gå att automatiskt rekvirera s.k. D-nummer (motsvarighet till svenska samordningsnummer) för an- vändare från utvalda samarbetsländer men man har ännu inte kommit 9Med persistens avses i detta sammanhang att numret ska vara detsamma så att man kan lita på att individen är densamma, helst under hela sin livstid. 10Skatteetatens rapport, eIDAS-innloggning med europeisk e-ID til norske tjenester, 1.0. Europeiska elektroniska identitetshandlingar i svenska e-tjänster till något ställningstagande.