sou · H5B3114 · 2018-01-01 00:00:00 — Förslaget genomförs genom lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elek- tronisk identifiering. kommer den nya dataskyddsförord- ningen47 att gälla i EU:s medlemsstater vilket innebär att dataskydds- förordningens regler är grunden för all behandling av personuppgifter i . I förslag om personuppgiftshantering och personuppgifts- ansvar måste därför alla bedömningar göras gentemot detta regelverk. Dataskyddsförordningen förutsätter att varje behandling av per- sonuppgifter ska utgå från en rättslig grund. Personuppgifter får därför bara behandlas under de omständigheter som särskilt anges i förordningen. I dataskyddsförordningen räknas dessa rättsliga grun- der upp i artikel 6.1. Behandling är enligt denna bestämmelse endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. 47 och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Europeiska elektroniska identitetshandlingar i svenska e-tjänster e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning. f)Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Uppräkningen i artikel 6.1 är uttömmande. Om inget av dessa villkor är uppfyllda är behandlingen inte laglig och får därmed inte utföras. De olika villkoren är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. Den personuppgiftsansvarige måste också uppfylla kraven i övriga bestämmelser i förordningen, t.ex. de allmänna principerna i artikel 5. a)Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet). b)De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av all- mänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning). c)De ska vara adekvata, relevanta och inte för omfattande i förhåll- ande till de ändamål för vilka de behandlas (uppgiftsminimering). d)De ska vara korrekta och om nödvändigt uppdaterade. Alla rim- liga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de be- handlas raderas eller rättas utan dröjsmål (korrekthet). e)De får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskap- Europeiska elektroniska identitetshandlingar i svenska e-tjänster liga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tek- niska och organisatoriska åtgärder som krävs enligt denna förord- ning genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). f)De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olycks- händelse, med användning av lämpliga tekniska eller organisato- riska åtgärder (integritet och konfidentialitet). Den personuppgiftsansvarige ska enligt artikel 5.2 även ansvara för och kunna visa att principerna efterlevs (ansvarsskyldighet). Artiklarna 5 och 6 i dataskyddsförordningen är grundläggande och kumulativa. Dels måste någon av de rättsliga grunder som anges i artikel 6.1 vara tillämplig, dels måste samtliga principer i artikel 5.1 följas. Det är endast om någon av de rättsliga grunder som anges i artikel 6.1 är tillämplig som behandling av personuppgifter över huvud taget får utföras. Om behandlingen är laglig enligt artikel 6 ska kraven i artikel 5 uppfyllas.48 I dataskyddsförordningens artikel 4.7 definieras personuppgiftsan- svarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unions- rätten eller i medlemsstaternas nationella rätt. 48 SOU 2017:39, Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsför- ordning, s. 108. Europeiska elektroniska identitetshandlingar i svenska e-tjänster Regler om noder finns i kommissionens genomförandeförordning om interoperabilitetsramverket enligt eIDAS-förordningen.49 Interopera- bilitet mellan medlemsstaterna är en förutsättning för att gränsöver- skridande elektronisk identifiering ska kunna genomföras. I genom- förandeförordningen sägs bland annat i artikel 6.2 att noderna inte får lagra några personuppgifter, utom för det ändamål som anges i arti- kel 9.3. Ändamålet i artikel 9.3 gäller att uppgifter ska lagras för att kunna rekonstruera ordningsföljden av händelser vid incidenter. har skyldighet enligt artikel 6 i eIDAS-förordningen att under vissa förhållanden erkänna utländska elektroniska identitets- handlingar. För att kunna göra det krävs att det finns minst en nod som förmedlar uppgifter enligt vad som har beskrivits i avsnitt 17.1. Utredningen bedömer därför att personuppgiftsbehand- lingen i noden är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Därmed uppfylls villkoret i artikel 6.1 c i dataskyddsförordningen. Det kan också hävdas att villkoret i artikel 6.1 e är uppfyllt efter- som behandlingen kan ses som nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Enligt är statliga och kommunala myndig- heters verksamhet i allt väsentligt av allmänt intresse. Det är därmed den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen som van- ligen bör tillämpas av myndigheter, även utanför området för myndig- hetsutövning. De offentliga myndigheternas uppdrag och skyldigheter framgår av författningar, regeringsbeslut och kommunala reglemen- ten, antagna i enlighet med grundlagens bestämmelser om normgiv- ningskompetens och kommunalt självstyre. De åtgärder som de offentliga myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa skyldigheter har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler. 49 Kommissionens genomförandeförordning (EU) 2015/1501 av om interoperabilitetsramverket enligt artikel 12.8 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska tran- saktioner på den inre marknaden. Europeiska elektroniska identitetshandlingar i svenska e-tjänster dig behandling av personuppgifter kan därmed göras med stöd av artikel 6.1 e i dataskyddsförordningen.50 Enligt dataskyddsförordningens artikel 6.3 ska den grund för behand- lingen som avses i punkt 1 c och e fastställas i enlighet med unionsrät- ten, eller en medlemsstats nationella rätt som den personuppgiftsansva- rige omfattas av. Enligt andra stycket sista meningen ska unionsrätten eller medlemsstaternas nationella rätt uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Det innebär att en proportionalitetsbedömning måste göras av den kompletterande lagstiftning som föreslås för att se till att de legitima mål som eftersträvas genom aktuella behandlingar av personuppgifter står i proportion till det intrång i integriteten som behandlingen inne- bär. Endast då kan behandlingen tillåtas. Enligt eIDAS-förordningens krav har skyldighet att under vissa i förordningen beskrivna förhållanden erkänna utländska elektroniska identitetshandlingar i svenska e-tjänster. För att kunna göra det krävs att det i finns en nod som klarar av att dirigera trafiken av inkommande elektroniska identitetshandlingar för att kunna bekräfta identiteten på de användare som vill ha tillträde till svenska e-tjänster. Det kräver i sin tur den föreslagna behandlingen av de personuppgifter som anges i kommissionens genomförande- förordning (EU) 2015/1501. Det är användaren själv som initierar identifieringsprocessen. Även om inte alla användare känner till exakt vad som händer när de använder elektroniska identitetshandlingar får det förutsättas att användaren förstår att någon form av behandling av personuppgifter kommer att behövas. Avsikten är att den föreslagna lagstiftningen ska tillåta minsta möjliga personuppgiftsbehandling för att ändå lösa uppgiften att dirigera den information som behövs för att kunna identifiera användaren. Utredningen bedömer att detta måste anses stå i proportion till det eventuella intrång i integriteten som använ- daren kan uppleva. 50 SOU 2017:39, Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsför- ordning, s. 128 f. Europeiska elektroniska identitetshandlingar i svenska e-tjänster Ändamål och allmänna principer Den personuppgiftsansvariga offentliga myndigheten ska även kunna visa att principerna i artikel 5 efterlevs. Ändamålet med nodens personuppgiftsbehandling är att använ- dare som vill ha tillträde till svenska e-tjänster ska kunna identifieras. Identitetskontrollen utförs av den offentliga myndighet som tillhan- dahåller e-tjänsten men noden behöver behandla uppgifter genom att dirigera dem till rätt aktör innan identitetskontrollen kan genomföras. Uppgifterna måste vidare behandlas på ett lagligt och korrekt sätt genom att nodmyndigheten följer bestämmelserna i eIDAS-förord- ningen och dess genomförandeakter om hur noden ska byggas upp och fungera. När det gäller öppenhet kan det diskuteras om förfarandet för inloggning med elektroniska identitetshandlingar är tillräckligt öppet i förhållande till användaren. Det är viktigt att användaren infor- meras om vad som händer och vilken aktör som är ansvarig i olika skeden av inloggningsförfarandet. Personuppgifterna är minimerade enligt kommissionens genom- förandeförordning (EU) 2015/1501. Inga personuppgifter utöver de som anges där får behandlas av noden. I bilagan till genomförande- förordningen anges att en minimiuppsättning av uppgifter för en fysisk person ska innehålla följande obligatoriska attribut: nuvarande efternamn, nuvarande förnamn, födelsedatum samt en unik identi- tetsbeteckning som satts samman av den utsändande medlemsstaten i enlighet med de tekniska specifikationerna för gränsöverskridande identifiering och som är mest beständig . En minimiuppsättning för en fysisk person kan dessutom innehålla ett eller flera av följande ytterligare attribut: förnamn och efternamn vid födseln, födelseort, nuvarande adress och kön. måste se till att personuppgifterna som behand- las hålls korrekta och att säkerheten upprätthålls för att skydda integ- ritet och konfidentialitet. Enligt artikel 6.2 i kommissionens genomförandeförordning (EU) 2015/1501 får noderna inte lagra några personuppgifter utom för att det vid en incident ska gå att rekonstruera ordningsföljden i det som har hänt för att fastställa platsen för incidenten och dess art. Regeringen eller, efter regeringens bemyndigande, nodmyndig- heten får enligt utredningens förslag meddela föreskrifter om noden. Europeiska elektroniska identitetshandlingar i svenska e-tjänster Det kan komma att visa sig att ytterligare föreskrifter krävs för att nodmyndigheten ska kunna visa att de ovanstående principerna upp- fylls. Vad säger de andra medlemsstaterna? De medlemsstater som besvarade utredningens enkät som beskrivits i avsnitt 17.3.4 svarade också på frågan om de upptäckt några tänk- bara konflikter mellan dataskyddsförordningen och eIDAS-förord- ningen. Ingen av de svarande hade identifierat någon sådan konflikt men uttryckte tydligt intresse av att få veta om gjort det. De förutsätter att medlemsstaterna ska leva upp till sina skyldig- heter enligt dataskyddsförordningen när det gäller behandlingen av personuppgifter för att möta eIDAS-förordningens krav. bedömer att dataskyddsförordningens krav kan komma att begränsa deras lösningar medan anser att eIDAS-för- ordningen i sig ger laglig rätt att behandla åtminstone minimiupp- sättningen av uppgifter och valfria tilläggsdata från varje medlemsstat. 17.6.3Alla offentliga myndigheter som omfattas av eIDAS-förordningens krav ska ansluta till noden att alla statliga myndigheter, kommuner och landsting som har e-tjänster där det krävs elektronisk identifiering på tillitsnivå väsent- lig eller hög för att få tillträde ska ansluta till den svenska offentliga noden. att övriga statliga myndigheter, kommuner och landsting får an- sluta till den svenska offentliga noden. Förslaget genomförs genom lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elek- tronisk identifiering. De offentliga myndigheter som omfattas av eIDAS-förordningens krav när det gäller erkännande av utländska elektroniska identitets- handlingar kommer att behöva ansluta sig till noden. Europeiska elektroniska identitetshandlingar i svenska e-tjänster utredningen att alla offentliga myndigheter som, för att ge åtkomst till sina e-tjänster, omfattas av kraven på elektronisk identifiering enligt eIDAS-förordningen, ska ansluta till den svenska offentliga noden. Kravet att ansluta till noden gäller alltså de offentliga myndigheter som kräver elektronisk identifiering på tillitsnivå väsentlig eller hög för att ge användare tillträde till någon av sina e-tjänster. Offentliga myndigheter som inte omfattas av förordningens krav får enligt förslaget också ansluta till den svenska offentliga noden men det är på frivillig basis. Detta gäller alltså offentliga myndigheter som inte kräver elektronisk identifiering på tillitsnivå väsentlig eller hög för att logga in användare i någon e-tjänst utan där det räcker med en lägre tillitsnivå. Även dessa offentliga myndigheter kan ha intresse av att identifiera utländska användare elektroniskt för att ge tillträde och ges på detta sättet möjlighet att använda noden. 17.6.4Övriga aktörer får ansluta till noden att privata aktörer får ansluta till den svenska offentliga noden. att regeringen eller, efter regeringens bemyndigande, digitali- seringsmyndigheten får meddela föreskrifter om skyldighet för privata aktörer att betala avgift för att ansluta till noden. Förslaget genomförs genom lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elek- tronisk identifiering. har det framkommit att aktörer i privat sek- tor också har intresse av att kunna ansluta till noden och på så sätt hantera utländska användare i sina e-tjänster. Därför föreslår utred- ningen att även privata aktörer får ansluta till den svenska offentliga noden. Noden kommer att finansieras med offentliga medel. Den byggs upp för att i första hand tillgodose ett behov inom offentlig sektor. Inledningsvis förväntas trafiken genom noden inte bli särskilt om- fattande, varken av offentliga eller privata aktörer. Utvecklingen kan dock gå snabbt, särskilt inom den privata sektorn. Det kan därför komma att bli aktuellt att ta ut avgifter från privata aktörer för att de ska kunna utnyttja noden. Utredningen föreslår därför att Europeiska elektroniska identitetshandlingar i svenska e-tjänster regeringen eller, efter regeringens bemyndigande, nodmyndigheten får meddela föreskrifter om skyldighet för privata aktörer att betala avgift för att ansluta till noden. att alla aktörer som är anslutna till noden utan otillbörligt dröjs- mål ska underrätta digitaliseringsmyndigheten om alla händelser som påverkat funktionalitet och säkerhet i noden. Förslaget genomförs genom lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elek- tronisk identifiering. För att noden ska fungera på bästa möjliga sätt krävs det enligt utredningens mening att de inblandade aktörerna bidrar och tar ansvar för det de kan i förhållande till sina respektive roller. Ett sätt att praktiskt upprätthålla säkerhetsnivån är att informera nodmyn- digheten om alla incidenter som på något sätt påverkar säkerhet eller funktionalitet av noden. Utredningen föreslår därför att alla som är anslutna till noden utan otillbörligt dröjsmål ska underrätta nod- myndigheten om alla händelser som påverkat funktionalitet eller säkerhet i noden. ska utföra tekniska säkerhetsgranskningar att regeringen ger i uppdrag att utföra en teknisk säkerhetsgranskning av det system som den svenska noden omfattar innan det sätts i drift. att digitaliseringsmyndigheten vid större förändringar av det sy- stem som den svenska noden omfattar, ska begära en teknisk säkerhetsgranskning av . Granskningsför- farandet får ta max från det att digitaliseringsmyndig- heten ansökt om granskning. Europeiska elektroniska identitetshandlingar i svenska e-tjänster Förslaget genomförs genom förordning om ändring i förord- ningen (2016:576) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. Noden är en viktig del i infrastrukturen för elektronisk identifiering och det är därför viktigt att den skyddas mot användning på ett bedrägligt sätt. Noden ses inte som samhällsviktig enligt det s.k. NIS-direktivet51 bilaga II, men konsekvenserna av eventuella angrepp kan bli allvarliga. För att skydda noden mot angrepp föreslår utredningen ett granskningsförfarande av en it-säkerhetsexpertmyndighet, , . Den första granskningen ska genomföras innan systemet sätts i drift och kan initieras direkt av regeringen eftersom digitaliseringsmyndigheten inte kommer att ha tagit över uppgifterna från innan en sådan granskning behöver begäras. bör även under processen med att ta fram noden involvera FRA för att processen ska bli så smidig som möjligt. Vid större förändringar av det system som den svenska noden omfattar ska digitaliseringsmyndigheten därefter be- gära att FRA utför en sådan teknisk säkerhetsgranskning. Utredningen föreslår även att FRA ska ha på sig att utföra sin granskning efter digitaliseringsmyndighetens begäran. att digitaliseringsmyndigheten ska ha rätt att behandla tekniska uppgifter för de aktörer vars uppgifter ska behandlas av noden. att digitaliseringsmyndigheten ska få behandla de personuppgifter som är nödvändiga för att säkerställa behörigheter för aktörernas ombud. Förslaget genomförs genom lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elek- tronisk identifiering. 51 och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. Europeiska elektroniska identitetshandlingar i svenska e-tjänster När det gäller den svenska noden har utredningen utgått från den definition som ges i eIDAS-förordningen. I eIDAS-förordningen regleras det som händer mellan den svenska noden och de utländska noderna. Den nationella delen av noden är vidare än denna defini- tion. Det medför att inte allt som det är tänkt att nodmyndigheten ska utföra täcks av den reglering som utredningen föreslår. arbetar parallellt med utredningen med att ta fram specifikationer för och bygga upp ett s.k. metadata- register. I metadataregistret kommer att lagras t.ex. tekniska upp- gifter för de aktörer vars uppgifter ska behandlas av noden och även personuppgifter som är nödvändiga för att säkerställa behörighet för aktörernas ombud. kommer att behöva finnas på plats när noden ska tas i bruk. I skrivande stund är det dock inte helt klart hur det kommer att fungera, vad som kommer att omfattas av det och hur det behöver regleras. Utredningen föreslår dock redan nu en regel som ger nodmyndigheten rätt att behandla tekniska upp- gifter för de aktörer vars uppgifter ska behandlas av noden. Nod- myndigheten ska även få behandla de personuppgifter som är nöd- vändiga för att säkerställa behörigheter för aktörernas ombud. att de föreslagna kompletterande reglerna till EU:s förordning om elektronisk identifiering (eIDAS-förordningen) träder i kraft . kommer svenska offentliga myndigheter som har e-tjänster som kräver identifiering med elek- troniska identitetshandlingar att ha skyldighet att erkänna europeiska elektroniska identitetshandlingar i sina e-tjänster. Därför behöver den föreslagna kompletterande regleringen till eIDAS-förordningen också gälla från samma tidpunkt. 18Anmälan av svenska elektroniska identitetshandlingar På samma sätt som beskrivits ovan när det gäller utländska använ- dare som ska identifiera sig i svenska e-tjänster kommer det också att fungera för svenska användare som ska identifiera sig i utländska e- tjänster. Nedan följer en förenklad beskrivning av vad som händer när en användare med svensk elektronisk identitetshandling identi- fierar sig i en utländsk e-tjänst. Användaren med svensk elektronisk identitetshandling får ange att hon eller han vill identifiera sig med en svensk elektronisk identi- tetshandling. Begäran om identitetsintyg skickas via den utländska noden som dirigerar begäran vidare till den svenska noden. Den svenska noden skickar begäran om identitetsintyg till den utfärdare som har utfärdat den elektroniska identitetshandlingen i . Identitetsintyget ska innehålla användarens nuvarande förnamn, nu- varande efternamn, födelsedatum och landets unika identitetsbeteck- ning. Det kan också innehålla några ytterligare attribut som behöver ta ställning till om de ska skickas med eller inte. Identitets- intyget levereras tillbaka från utfärdaren via den svenska noden till den utländska noden. I vissa medlemsstater kommer det att finnas en motsvarighet till förslaget om det . Identitetsintyget kan komma att berikas med användarens eventuella utländska identitets- beteckning innan det levereras till e-tjänsten. Detta kan utformas på olika sätt i olika medlemsstater. Liksom i kan det även i andra medlemsstater vara avgörande att användaren har en nationell identitetsbeteckning för att få tillgång till offentliga myndigheters e- tjänster. I figuren nedan är det den utländska noden som gör en slag- ning mot ett eventuellt kopplingsregister men denna funktion kan Anmälan av svenska elektroniska identitetshandlingar vara utformad på flera andra sätt. Uppgifterna om koppling kan vara integrerade med folkbokföringen och det kan vara e-tjänstmyndig- heten som gör slagningen. (eventuellt berikat) För att en elektronisk identitetshandling ska kunna anmälas för gräns- överskridande identifiering enligt eIDAS-förordningen måste samtliga villkor i artikel 7 vara uppfyllda. Det innebär följande: Anmälan av svenska elektroniska identitetshandlingar a)Medlet för elektronisk identifiering inom ramen för systemet för elektronisk identifiering ska vara utfärdat i)av den anmälande medlemsstaten,