sou · H5B3114 · 2018-01-01 00:00:00 — Kommissionen uppmanas att verka för att europeiska elek- troniska identitetshandlingar ska erkännas även utanför samt att fortsätta stödja utvecklingen och användningen av standards inom ramen för eIDAS-förordningen.2 Även om ministerdeklarationer inte har en bindande verkan så finns det starka skäl för att ta fasta på de möjligheter som ges av ett förverkligande av syftena bakom eIDAS-förordningen. Det ger möjlighet till bättre service medlemsstaternas offentliga myndigheter och det medför att svenska offentliga myndigheter kan ge en bättre och mer kostnadseffektiv service till såväl utländska medborgare som till svenskar bosatta utomlands. Vidare kan ökat erkännande av elek- troniska identitetshandlingar och betrodda tjänster skapa möjligheter för svenska företag att utveckla tjänster och produkter. 1https://ec.europa.eu/digital-single-market/en/news/second-eastern-partnership- ministerial-meeting-digital-economy, . 2https://ec.europa.eu/digital-single-market/en/news/ministerial-declaration-egovernment- tallinn-declaration, . Framtida användning av elektroniska identitetshandlingar inom 20.2Sverige bör prioritera deltagandet i nätverk och sakkunnigbedömningar Kommissionen har i ett särskilt genomförandebeslut3 etablerat ett nätverk för samarbete med syfte att vara ett forum för informations- utbyte, med kapacitet att yttra sig över anmälningar och utarbeta riktlinjer för sakkunnighetsbedömningar. Deltagande i nätverket är obligatoriskt för medlemsstaterna. Samma beslut reglerar närmare hur sakkunnighetsbedömningarna ska gå till. Sakkunnighetsbedömningarna ska inte bara vara en grund för ömsesidigt erkännande. De ska också enligt beslutet ses som en möjlighet till gemensamt lärande. Deltagandet i bedömningarna är dock frivilligt. Utredningen bedömer det som angeläget att prioriterar deltagande i sakkunnighetsbedömningarna. Det ger en möjlighet till insyn i andra länders system för elektroniska identitetshandlingar, vilket ger en grund för tillit eller för att framföra befogade invänd- ningar. ambitionsnivå bör, enligt utredningen, vara att ut- nyttja fördelarna med den inre digitala marknaden fullt ut. Då är det viktigt att svenska offentliga myndigheter befinner sig i fronten på utvecklingen. Det bidrar till att höja kompetensnivån hos de offent- liga myndigheterna. Vidare ger det bättre förutsättningar för att via nätverket påverka hur bedömningarna görs. Utredningen föreslår i kapitel 18 att ska ha ett öppet system för anmälan. Det inne- bär att det i ett lite längre perspektiv kan finnas mer än en svensk elektronisk identitetshandling anmäld. Andra länder kan i så fall uppleva detta som att ianspråktar en oproportionellt stor del av deras resurser för bedömningar. Eftersom även har ett öppet system för kvalitetsgranskning av elektroniska identitetshand- lingar kommer process för anmälan att skilja sig från många övriga länders. Ett aktivt deltagande i samarbetsnätverk torde bidra till att höja acceptansen för den svenska modellen. 3 Kommissionens genomförandebeslut (EU) 2015/296 av om inrättande av förfaranden för samarbete mellan medlemsstaterna om elektronisk identifiering i enlighet med artikel 12.7 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden. Framtida användning av elektroniska identitetshandlingar inom Att öppna offentliga myndigheters e-tjänster för andra länders med- borgare är ett på många sätt komplicerat åtagande. Det handlar inte bara om att tekniskt bekräfta ett annat lands elektroniska identitets- handling. Det måste också kunna fastställas, som tidigare anförts, om den som vill identifiera sig för inloggning får använda e-tjänsten. Vidare måste det finnas sådana uppgifter som gör att identiteten kan matchas mot de uppgifter som redan finns i systemet. För att kunna dra nytta av de möjligheter eIDAS-förordningen erbjuder måste etableras ett djupare samarbete mellan olika länder. Eftersom förändringar av de aktuella systemen kan vara både tids- och kostnadskrävande finns det skäl att låta några principer vägleda arbetet. Det är därför rimligt att stäva efter gemensam nytta. Samar- bete med andra länder bör i första hand gälla: •Länder som har identitetsbeteckningar som liknar det svenska personnumret i utformning och persistens. •Länder som har anmält eller avser att anmäla ett system för elek- tronisk identifiering. •Svenska e-tjänster som har använts i relativt hög omfattning av andra länders medborgare respektive andra länders e-tjänster som svenskar i stor omfattning använder. •Vidare bör tillgängliggörandet av e-tjänster vara ömsesidigt. bör prioritera samarbete med länder som också öppnar sina e- tjänster för svenskar. i skrev ministrar med an- svar för olika delar av digitaliseringen i , , , , , , , och under en deklaration för att göra den nordisk-baltiska regionen till en digital föregångare. Deklarationen har tre mål: 1.Att stärka möjligheterna till digitalisering av offentlig verksamhet och samhället i övrigt, särskilt genom att skapa gemenskap genom offentliga gränsöverskridande digitala tjänster. Framtida användning av elektroniska identitetshandlingar inom 2.Att stärka konkurrenskraften hos företagen genom digitalisering. 3.Uppmuntra den gemensamma digitala marknaden i den nordisk- baltiska regionen. Under varje mål finns närmare specifikationer om vad målen inne- bär. Det första delmålet innebär att det ska etableras ett närmare samarbete mellan de berörda ländernas myndigheter med syfte att möjliggöra gränsöverskridande e-tjänster. Som en del av detta ska landsöverskridande användning av identitetsbeteckningar möjliggöras. Samverkan mellan ländernas system och säker identifiering inom ramen för eIDAS-förordningen ska också stödjas. Ministrarna utta- lar sig även för ökad nordisk-baltisk samverkan i frågor om lagstift- ning och nationell implementering som gäller digitala inre marknad. Ministrarna uppmanar Nordiska ministerrådets sekretariat att upprätta en plan för att ta fram relevanta initiativ och projekt för att uppnå målen. För att uppnå effektivitet i arbetet förordar man att arbetet drivs decentraliserat genom att ansvaret för olika frågor delas upp mellan länderna.4 De nordiska samarbetsministrarna beslutade att upprätta ett tillfälligt ministerråd för digitalisering (MR-DIGITAL) för perioden –2020. Detta ministerråd består av en minister från varje nordiskt land samt en från , respektive . kommer att sammanträda 1–. De baltiska länderna kommer så långt som möjligt att bjudas in till samarbetet som deltagare i sammanträdena och som partner i gemen- samma projekt. Varje medlemsland har utsett en hög representant som ska representera landet på tjänstemannanivå. En handlingsplan har tagits fram för att förverkliga målen i ministerdeklarationen. Planen sträcker sig 2020. Ansvaret för planen har fördelats på olika länder och aktörer. Norska DIFI har i uppdrag att samordna arbetet med elektroniska identitetshandlingar och eIDAS-förordningen med stöd av referensgrupp. I ett första steg ska e-tjänster som är lämpade för samarbete identifieras. 4 /en/nordic-council-of-ministers/council-of-ministers/nordic-council-of- ministers-for-digitalisation-mr-digital/declarations/the-nordic-baltic-region-a-digital- frontrunner, . Framtida användning av elektroniska identitetshandlingar inom göra en gemensam nordisk ansökan om EU-stöd för utvecklingsin- satserna. kommer 2018 att ha ordförandeskapet i Nordiska minister- rådet och har ställt samman ett program som innehåller beskriv- ningar av de ämnen och punkter som ska behandlas under ordför- andeskapet.5 Utredningen bedömer att det finns goda förutsättningar för sam- arbete mellan de nordiska och baltiska myndigheterna. Även om myndighetsstrukturen och styrningsmodellerna skiljer sig åt länderna emellan så finns det stora likheter i synen på vad som ska vara ett offentligt åtagande och kunskap om hur de andra länderna arbetar. Det är viktigt att de goda intentionerna omsätts i konkreta resul- tat och att respektive lands regering ger särskilda uppdrag till be- rörda myndigheter att delta i samarbetet. 20.4Kopplingsregister en viktig förutsättning Utredningen har i avsnitt 17.1.3 beskrivit förslag om ett centralt kopplingsregister. De svenska offentliga myndigheterna måste kunna lita på att det är samma individ bakom en utländsk elektronisk identitetshandling som bakom ett svenskt personnummer. Annars bör utländska användare inte ges tillträde till e-tjänster som kräver viss säkerhetsnivå. Enligt förslag ska den svenska noden kunna för- medla till den offentliga myndigheten om koppling finns eller inte. För att få en koppling registrerad ska det krävas samma grad av säkerhet som vid utfärdandet av en fysisk identitetshandling. Det inne- bär enligt att koppling kan registreras först efter noggrann kontroll som kan genomföras på tre sätt. För att få till stånd en elektronisk lösning kan i bilaterala avtal komma överens med främst de andra nordiska länderna om att den elektroniska identitetshandlingen ska innehålla personnummer eller motsvarande som kan jämföras med redan registrerade uppgif- ter i folkbokföringsdatabasen. Ett alternativt sätt som också ger en elektronisk lösning är att användaren först loggar in med en redan 5 Nordiska ministerrådets skrift, Ett inkluderande, innovativt och tryggt , ordförandeskap 2018. Framtida användning av elektroniska identitetshandlingar inom registrerad elektronisk identitetshandling och därefter kopplar ytter- ligare en elektronisk identitetshandling till sitt personnummer eller styrkta samordningsnummer. För de användare som inte kan få en koppling registrerad elektroniskt finns slutligen alternativet att använ- daren inställer sig fysiskt för identitetskontroll hos en registrerande myndighet. Den första varianten med bilaterala avtal är det som samarbetet inom kan förväntas leda till. För att arbetet med kopplingsregister ska ta fart föreslår utred- ningen att får i uppdrag att inrätta ett kopplingsregister med utgångspunkt i det förslag som lämnades i rapporten 2016.6 Med anledning av de brister i samordningsnummersystemet som redogjorts för i avsnitt 17.5 anser utredningen att kopplingsregistret till att börja med endast ska omfatta kopplingar mellan utländska elektroniska identitetshandlingar och svenska personnummer. 6 Koppling mellan europeiska eID-handlingar och svenska personnummer eller styrkta samordningsnummer, promemoria från , 131 184020-16/113. 21En lag om infrastruktur för digital post en lag om infrastruktur för digital post som ska reglera de nuvar- ande informationsflödena i infrastrukturen samt det som kan vän- tas uppstå av att infrastrukturen öppnas upp för fler användare. Förslaget genomförs genom lagen om infrastruktur för digital post. I stället för den förordning som utredningen föreslog i delbetänkan- det föreslår utredningen nu en lag om infrastruktur för digital post (Mina meddelanden). Skälen för detta behandlas nedan. Sammanfatt- ningsvis handlar det om att utredningen nu föreslår att öppna upp infrastrukturen för privata aktörer som avsändare samt att person- uppgiftsansvaret i Mina meddelanden bör regleras i en lag. 21.1Utredningens tidigare överväganden och förslag I delbetänkandet föreslog utredningen att en ny förordning skulle införas för att i den samla det regelverk som behövs för infrastruk- turen Mina meddelanden. I delbetänkandet bedömde utredningen att den nuvarande regle- ringen av Mina meddelanden är otillfredsställande på flera plan.1 Det författningsstöd som finns för Mina meddelanden utgörs av 5 § förordningen om statliga myndigheters elektroniska informations- utbyte.2 Där sägs egentligen bara att ska tillhandahålla 1SOU 2017:23, digitalforvaltning.nu, s. 190 f. 2Förordningen (2003:770) om statliga myndigheters informationsutbyte. En lag om infrastruktur för digital post en infrastruktur för säker elektronisk post från myndigheter till enskilda, vilka som får ansluta sig som avsändare och mottagare samt att får föra register över de anslutna och i vilket ända- mål personuppgifter i registret får behandlas. får även föreskriftsrätt för inrättande och drift av strukturen. Enligt utred- ningens mening är denna reglering otillräcklig. Erfarenheter under uppbyggnaden av funktionen Mina meddelan- den pekar på ett behov av förtydliganden på flera punkter. Vissa delar i infrastrukturen behöver, enligt utredningen, ett tydligare författ- ningsstöd. Det faktum att övriga bestämmelser i den nuvarande förordningen avser elektroniskt informationsutbyte mellan statliga myndigheter talade också för det.3 Den tillkommande regleringen, enligt utredningens förslag i del- betänkandet, var så pass omfattande att det var lämpligt att reglera detta i en egen författning. Utredningen föreslog därför en ny för- ordning om en infrastruktur för säkra elektroniska försändelser. I för- slaget förtydligades bl.a. hur långt personuppgiftsansvaret sträcker sig för avsändaren och vilka befogenheter brevlådeoperatörerna4 har i Mina meddelanden. Förslagen var inte menade att ändra på några av de förutsättningar som ges inom ramen för den befintliga regleringen i, eller i de nu gällande allmänna villkoren för Mina meddelanden. Av- sikten var i stället att tydliggöra det som inte regleras i paragrafen , genom att utöka den till en egen förordning och lägga till de regler som behövs. När det gäller personuppgiftsbehandlingen resonerade utred- ningen enligt följande.5 Dataskyddsförordningen medger enligt arti- kel 4.8 att den personuppgiftsansvarige, eller de särskilda kriterierna för hur denne ska utses, kan föreskrivas i svensk nationell rätt. Enligt regeringsformen6 är var och en gentemot det allmänna – utan samtycke – skyddad mot betydande intrång i den personliga integriteten som innebär övervakning eller kartläggning av den en- skildes personliga förhållanden. Skyddet, enligt denna bestämmelse, kan begränsas endast enligt den särskilda ordning som föreskrivs i regeringsformen.7 3Förordningen (2003:770) om statliga myndigheters informationsutbyte. 4Numera benämnda leverantörer av brevlådetjänster för digital post. 5SOU 2017:23, digitalforvaltning.nu, s. 213 ff. 62 kap. 6 § andra stycket regeringsformen (1974:152). 72 kap. 20–22 §§ regeringsformen (1974:152). En lag om infrastruktur för digital post Bestämmelsen i regeringsformen8 innebär att sådana åtgärder som föreslås ska prövas mot grundlagen och regleras i lag. Det är endast tillåtet med lagar som inskränker integritetsskyddet om det intresse som ska tillgodoses är så starkt och integritetsskyddsintresset så för- hållandevis svagt att inskränkningen framstår som proportionerlig. Bestämmelsen innebär också att lagstiftaren tydligt måste redovisa vilka avvägningar som gjorts vid proportionalitetsbedömningen.9 Utredningen anförde att en anslutning som mottagare till Mina meddelanden inte innebär ett betydande intrång i den personliga inte- griteten, eftersom en sådan anslutning enligt förslaget även fortsätt- ningsvis ska vara frivillig. Ingen kommer att anslutas som mottagare utan samtycke. Det innebär inte heller övervakning eller kartlägg- ning av individens förhållanden utan att någon först har brutit mot gällande regler. Av ovanstående drog utredningen slutsatsen att det skulle räcka att reglera Mina meddelanden i en egen förordning. Efter att del- betänkandet lämnades har en rad utredningar10 behandlat följder av och anpassningar till dataskyddsförordningen. Kunskapen om det nya regelverket har ökat och det har påpekats i remissvar11 över del- betänkandet att en förordning inte är tillräcklig för den reglering som behövs av Mina meddelanden. Utredningen har tagit fasta på de synpunkter om lagreglering fram- för förordningsreglering som framförts i remissvaren. Dessa ligger väl i linje med de behov som utredningen har ansett finnas för en ny, fristående författning. Därför föreslår utredningen nu en lag om infrastruktur för digital post. Enligt direktiven12 skulle utredningen i delbetänkandet lämna för- slag om hur privata utförare av offentligfinansierad verksamhet skulle kunna ansluta som avsändare inom Mina meddelanden. Utredningen fann det i delbetänkandet komplicerat att formulera ett förslag bland annat mot bakgrund av svårigheter att definiera vilka företag som 82 kap. 6 § andra stycket regeringsformen (1974:152). 9Datainspektionens Vägledning för integritetsanalys, , s. 32. 10Se t.ex. SOU 2017:39, Ny dataskyddslag Kompletterande bestämmelser till EU:s data- skyddsförordning, SOU 2017 :49, EU:s dataskyddsförordning och utbildningsväsendet, SOU 2017:50, Personuppgiftsbehandling för forskningsändamål, SOU 2017:66, Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförord- ning, Ds 2017:19, Ds 2017:33, Ds 2017:41. 11Datainspektionens yttrande , dnr. 2016:39, s. 13. En lag om infrastruktur för digital post skulle anses vara privata utförare samt hur rätten att ansluta skulle avgränsas. Utredningen gör nu en förnyad bedömning och finner att privata utförare kan ansluta genom anmälan av berörda kommuner och lands- ting. Eftersom detta medför vissa skyldigheter för kommunen och måste bestämmelserna även av detta skäl regleras i lag. att lagen ska innehålla bestämmelser om informationsflödet i in- frastrukturen samt definitioner. Den myndighet som regeringen utser ska tillhandahålla en infra- struktur för digital post. I enlighet med vad utredningen föreslog i delbetänkandet föreslår utredningen nu att under ytter- ligare en period ska ansvara för Mina meddelanden. Därefter ska an- svaret tas över av digitaliseringsmyndigheten.13 Lagen ska innehålla en paragraf om definitioner av en rad centrala begrepp i infrastrukturen. De begrepp som definieras är: 1.ankomstkontroll: att leverantören av brevlådetjänster för digital post utför kontroll mot förmedlingsadressregistret att avsändaren är ansluten. 2.avsändare: offentlig myndighet eller en juridisk person som genom avsändningskontroll skickar digital post till en mottagare inom infrastrukturen. 3.avsändningskontroll: att avsändaren utför kontroll mot förmed- lingsadressregistret att mottagaren är ansluten till infrastrukturen, i så fall hos vilken leverantör mottagarens brevlådetjänst för digi- tal post finns samt att avsändaren får sända digital post till mot- tagaren. 13 Kommittédirektiv för inrättande av en myndighet för digitalisering av den offentliga sek- torn, Dir. 2017:117, s. 7. En lag om infrastruktur för digital post 4.brevlådetjänster för digital post: den del inom infrastrukturen som lagrar digital post efter att den har gjorts tillgänglig för mot- tagaren. 5.digital post: meddelanden genom digitala kanaler mellan olika ak- törer i infrastrukturen. 6.förmedlare: en fysisk eller juridisk person som utför uppdrag åt en avsändare genom att vidarebefordra digital post. 7.förmedlingsadressregister: det register som innehåller uppgifter, däribland personuppgifter, om de anslutna i infrastrukturen. 8.leverantör av brevlådetjänster för digital post: en juridisk person eller en individ som tillhandahåller brevlådetjänster för digital post. 9.mottagare: individer och företag som anslutit sig till förmedlings- adressregistret som mottagare och i sin brevlådetjänst för digital post tar emot digital post inom infrastrukturen. 10.privat utförare: en juridisk person eller en individ som har hand om en angelägenhet. Utredningen föreslår även att lagen ska innehålla en bestämmelse om vad som ingår i infrastrukturen: förmedlingsadressregister, brevlåde- tjänster för digital post samt föreskrifter. att den myndighet som regeringen bestämmer ska tillhandahålla brevlådetjänster för digital post till mottagare som enbart tar emot digital post från avsändare som är anslutna till Mina meddelanden. Uppdraget att tillhandahålla brevlådetjänsten Min myndighetspost är inte reglerat i författning, något som utredningen i delbetänk- andet föreslog skulle åtgärdas genom reglering i förslaget till för- ordning om infrastruktur för säkra elektroniska försändelser. Utred- ningen föreslår nu att denna statliga brevlådetjänst i stället ska regle- ras i lagen om infrastruktur för digital post. En lag om infrastruktur för digital post 21.4Att underlåta att skicka försändelsen digitalt via Mina meddelanden ska kräva särskilda skäl att mottagare, om de begärt det, har rätt att få digital post från statliga myndigheter om det inte finns särskilda skäl för undantag. Regeln innebär att individer och företag, om de begärt det, har rätt att som mottagare få digital post från statliga myndigheter om det inte finns särskilda skäl för undantag. Sådana särskilda skäl kan t.ex. vara att den statliga myndigheten bedömer att man inte kan ta sitt personuppgiftsansvar eller att den statliga myndighetens verksam- hetskaraktär är olämplig för att använda digital post i det enskilda fallet. Förslaget innebär att det skulle vara en rättighet för alla mot- tagare att få sin post från statliga myndigheter digitalt genom Mina meddelanden. Förslaget lämnades även i delbetänkandet men utred- ningen föreslår nu att regeln ska ingå i lagen om infrastruktur för digital post. att en upplysningsbestämmelse om dataskyddsförordningen och den föreslagna dataskyddslagen ska finnas i den föreslagna lagen om infrastruktur för digital post. Dataskyddslagen föreslås vara subsidiär till lagen om infrastruktur för digital post. När dataskyddsförordningen börjar tillämpas kommer den att vara direkt tillämplig på all personuppgiftsbehandling inom dess mate- riella och territoriella tillämpningsområde i medlemsstaterna. Data- skyddsförordningens bestämmelser kommer därmed att gälla för Mina meddelanden oberoende av om förhållandet till förordningen regleras i lagen om infrastruktur för digital post. För att underlätta för de som ska tillämpa lagen anser utredningen att det bör införas en upplysningsbestämmelse i lagen om infrastruktur för digital post som klargör att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen. En lag om infrastruktur för digital post Till skillnad från dataskyddsförordningen kommer dataskydds- lagen att vara subsidiär till lagen, vilket också framgår av 1 kap. 3 § i författningsförslag.14 Det kan noteras att några av leverantörerna av brevlådetjänster för digital post tillåter företag som avsändare, dvs. sådana företag som inte omfattas av kretsen i den föreslagna 11 § lagen om infrastruktur för digital post. Dessa företag är inte anslutna till infra- strukturen Mina meddelanden, utan skickar digital post ”vid sidan” med stöd av ett civilrättsligt avtal. Denna digitala post träffas inte av den föreslagna lagen om infrastruktur för digital post. I stället tilläm- pas dataskyddsförordningen och dataskyddslagen i sådana situatio- ner fullt ut. Dessa leverantörer av brevlådetjänster för digital post behöver därmed ha allmänna villkor för de anslutna som tar utgångs- punkt i detta. 21.6Rättslig grund för personuppgiftsbehandlingar Infrastrukturen Mina meddelanden bygger på att en rad aktörer i en viss ordning behandlar individers personuppgifter i en förhållandevis stor omfattning. Det är viktigt att klargöra den rättsliga grunden för dessa behandlingar. Innan avsändaren skickar post kontrollerar avsändaren i förmed- lingsadressregistret om mottagaren är ansluten till infrastrukturen. Om mottagaren är ansluten sänds en bekräftelse om detta tillbaka till avsändaren. En sådan bekräftelse är en allmän handling om den skickas från en statlig eller myndighet. Om mottagaren inte är ansluten kommer det inget svar alls och avsändaren får då skicka fysisk post i stället. Detta betyder att slagningar görs av avsändare på i stort sett hela befolkning fastän de inte har anmält sig till infrastrukturen Mina meddelanden eller vill registreras i förmedlingsadressregistret. Frågan är vilken rättslig grund som gäller för dessa slagningar och för övrig personuppgiftsbehandling i infrastrukturen. 14 SOU 2017:39 s. 83 ff. En lag om infrastruktur för digital post