sou · H5B3114 · 2018-01-01 00:00:00 — 12Denna lag föreslås i ett annat kapitel byta namn till lag om valfrihetssystem i fråga om funktio- ner för elektronisk identitetskontroll. Det förslaget kan dock inte väntas träda i kraft så snart som de ändringar som föreslås i lagen (2016:561) med kompletterande bestämmelser till EU:s förord- ning om elektronisk identifiering. Utredningen benämner därför lagen med sitt nuvarande namn i detta kapitel. Anmälan av svenska elektroniska identitetshandlingar 4.vara utfärdad av en aktör som har tecknat försäkring som täcker ersättning för skada som åsamkats fysiska eller juridiska personer avsiktligt eller på grund av oaktsamhet genom under- låtenhet att uppfylla de skyldigheter som avses i artikel 7 i eIDAS-förordningen. Förslaget genomförs genom lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. Utredningen föreslår ett antal kriterier som måste uppfyllas för att en elektronisk identitetshandling ska få anmälas för gränsöverskri- dande identifiering. Såsom utredningen har beskrivit kvalitetsgranskar elektroniska identitetshandlingar mot ett natio- nellt tillitsramverk som bygger på internationell standard. En elektronisk identitetshandling som anmäls måste vara kvalitets- granskad och godkänd av digitaliseringsmyndigheten. En kvalitets- märkt elektronisk identitetshandling går att lita på för offentliga och privata aktörer med e-tjänster som kräver elektroniska identitets- handlingar. Även användare kan känna sig trygga med att en kvalitets- märkt elektronisk identitetshandling är en säker identitetshandling.13 Vidare får den elektroniska identitetshandlingen endast utfärdas till medborgare eller folkbokförda i . Det innebär att innehavarna av identitetshandlingen har ett svenskt personnummer. I den svenska folkbokföringen är personnummer en bas för vidare identifiering. Ut- redningen bedömer att svenska samordningsnummer inte uppnår den nivå av säkerhet som krävs för att ska kunna uppfylla kraven i artikel 7 d) och e) om att de personidentifieringsuppgifter som unikt representerar personen i fråga tillskrivs den fysiska person som avses för utfärdandet samt att den elektroniska identitets- handlingen faktiskt tilldelas den person som avses. Mer information om samordningsnummer och dess säkerhetsbrister finns i avsnitt 17.5. Den elektroniska identitetshandlingen måste även ingå i valfrihets- system enligt lagen om valfrihetssystem i fråga om tjänster för elek- tronisk identifiering. Det är ett sätt att låta användaren välja vilken Anmälan av svenska elektroniska identitetshandlingar elektronisk identitetshandling hon eller han föredrar att använda och det är en garant för att alla utfärdare av elektroniska identi- tetshandlingar för gränsöverskridande identifiering ska erhålla samma ersättning av staten. Slutligen ska utfärdaren av den elektroniska identitetshandlingen även teckna en försäkring som täcker ersättning för skada som åsam- kats fysiska eller juridiska personer avsiktligt eller på grund av oakt- samhet genom underlåtenhet att uppfylla de skyldigheter som avses i artikel 7 i eIDAS-förordningen. Om något inträffar som innebär sådan skada kommer den anmälande medlemsstaten i många fall att hållas ansvarig enligt eIDAS-förordningen. För att ska kunna anmäla privat utfärdade elektroniska identitetshandlingar behövs därför en försäkring som täcker eventuella skador så att staten inte behöver betala för en skada som är orsakad av en privat utfärdare. att den myndighet som anmäler de elektroniska identitetshand- lingarna för gränsöverskridande identifiering också ska ansvara för att tillfälligt upphäva, återkalla, återinföra och dra tillbaka elektroniska identitetshandlingar vid säkerhetsincidenter enligt artikel 10 i eIDAS-förordningen. Förslaget genomförs genom lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elek- tronisk identifiering. Utöver de frågor som redan har behandlats ovan när det gäller an- svarsfrågor tillkommer några ytterligare situationer där det krävs att ansvaret från början är fördelat mellan aktörerna på ett godtagbart och förutsebart sätt. Artikel 10 behandlar säkerhetsincidenter och i 10.1 anges att den anmälande medlemsstaten utan dröjsmål tillfälligt ska upphäva eller återkalla den elektroniska identitetshandling eller gränsöverskri- dande autentisering som utsätts för intrång eller delvis äventyras på ett sätt som påverkar tillförlitligheten. Vidare beskrivs i artikel 10.2 SOU 2017:114 Anmälan av svenska elektroniska identitetshandlingar och 10.3 förutsättningar för att återinföra eller dra tillbaka den elektroniska identitetshandlingen. Utredningen anser att det bör ankomma på digitaliseringsmyn- digheten att vara behörig myndighet för att utföra sådana uppgifter. Det är digitaliseringsmyndigheten som har varit involverad i anmälan av den elektroniska identitetshandlingen och har insyn i detaljerna om hur den fungerar. Det är även digitaliseringsmyndigheten som ingår avtal med utfärdare av elektroniska identitetshandlingar där in- cidentsituationer bör regleras och ge digitaliseringsmyndigheten tek- niska möjligheter att utföra uppgifterna. När det gäller skadeståndsfrågor har utredningen i avsnitt 18.2.2 be- handlat skadeståndsansvar enligt artikel 11.1 och 11.2. Det återstår frågor om ansvarsfördelning i situationer enligt artikel 11.3, 11.4 och 11.5. Enligt artikel 11.3 ska den part som handhar autentiserings- förfarandet ha skadeståndsansvar för skada som åsamkats en fysisk och juridisk person avsiktligt eller på grund av oaktsamhet genom underlåtenhet att säkerställa korrekt handhavande av den autentiser- ing som avses i artikel 7 f vid en gränsöverskridande transaktion. Enligt artikel 7 f ska den anmälande medlemsstaten se till att auten- tisering är tillgänglig via internet så att alla förlitande parter som är etablerade på någon annan medlemsstats territorium kan bekräfta de personidentifieringsuppgifter som tas emot i elektronisk form. Svårigheten här är att det kan vara flera aktörer som handhar olika delar av autentiseringsförfarandet. Så länge det är fråga om en statlig aktör får staten (genom digitaliseringsmyndigheten) ta skadestånds- ansvaret. Det gäller med andra ord alla uppgifter som utförs av noden. Om noden ligger nere, skickar fel uppgifter eller på något annat sätt orsakar skada enligt 11.3 är staten ansvarig enligt eIDAS-förord- ningens lydelse. Om skadan handlar om kontroll av äkthet och eventuell spärr av den elektroniska identitetshandlingen eller något annat som utfärda- ren står för är det utfärdaren som har skadeståndsansvar enligt sam- ma bestämmelse. Anmälan av svenska elektroniska identitetshandlingar I artikel 11.4 och 11.5 hänvisas till att de tidigare reglerna om skadestånd (artikel 11.1, 11.2 och 11.3) ska tillämpas i enlighet med nationella bestämmelser samt att nationell rätt dessutom har före- träde framför förordningstexten. Här är svårigheten att det inte anges vilken nationell rätt som avses. I frågor om gränsöverskridande identi- fiering ligger det i sakens natur att den skadelidande kan befinna sig i en medlemsstat och den skadeståndsansvarige i en annan. Dessa re- spektive medlemsstater kan ha nationell rätt som ger motstående lös- ningar på problemen. Enligt huvudregeln i artikel 4.1 i den s.k. II-förordningen14 ska i fråga om en utomobligatorisk15 förpliktelse som har sin grund i en skadeståndsgrundande händelse, lagen i det land där skadan upp- kommer tillämpas oavsett i vilket land den skadevållande händelsen inträffade och oavsett i vilket eller vilka länder indirekta följder av händelsen uppkommer. Det finns dock undantagsbestämmelser i artikel 4.2 och 4.3. Av artikel 4.2 följer att om både den person vars ansvar görs gällande och den skadelidande har sin vanliga vistelseort i samma land då skadan uppkommer ska lagen i det landet tillämpas. I artikel 4.3 beskrivs ytterligare en situation som kan avgöra vilket lands lagstiftning som ska tillämpas. Om det framgår av alla om- ständigheter i fallet att den skadeståndsgrundande händelsen har en uppenbart närmare anknytning till ett annat land än det som anges i punkt 1 eller 2, ska lagen i det landet tillämpas. En uppenbart när- mare anknytning till ett annat land kan särskilt grundas på att det redan finns ett rättsförhållande mellan parterna, såsom ett avtal som har nära anknytning till den skadeståndsgrundande händelsen i fråga. De beskrivna undantagssituationerna är inte något som privata leverantörer kan räkna med. Den återgivna regleringen måste därmed innebära att en svensk privat utfärdare eller leverantör som är an- svarig i något led av autentiseringsförfarandet kan behöva förhålla sig till skadeståndsbestämmelser i alla de länder som omfattas av eIDAS- förordningen (28 medlemsstater och ytterligare fyra som skrivit avtal 14Europaparlamentet och Rådets förordning (EG) nr 864/2007 av om tillämp- lig lag för utomobligatoriska förpliktelser (II). 15När två parter står i kontraktsförhållande till varandra bestäms skadeståndsskyldigheten dem emellan av avtalet eller åtminstone av regler som anknyter till kontraktsförhållandet. När ett kontraktsförhållande inte finns eller inte inverkar – en ofta viktig modifikation – befinner man sig på området för den utomobligatoriska skadeståndsrätten. Skadeståndsrätt, och , upplaga 9, publicerad i Zeteo, , s. 23. Anmälan av svenska elektroniska identitetshandlingar om att få ingå i regelverket) beroende på var den elektroniska identi- tetshandlingen används och var skadan således kan sägas uppstå. Skadeståndsansvaret regleras alltså när det gäller elektronisk iden- tifiering i stora drag på samma sätt som när det gäller andra varor och tjänster. Det behöver inte vara ett problem men utredningen vill ändå belysa frågan i detta sammanhang för att inblandade aktörer ska känna till den. 18.4Vilka svenska uppgifter ska överföras? måste ta ställning till vilka personuppgifter om svenska an- vändare som ska överföras till utländska noder och e-tjänster vid gränsöverskridande identifiering. I artikel 11.1 i genomförandeförordningen 2015/150116 anges att en minimiuppsättning av personidentifieringsuppgifter som är unika för en fysisk eller juridisk person ska uppfylla kraven i bilagan vid användning i ett gränsöverskridande sammanhang. finns inga elektroniska identitetshandlingar för juridiska personer i . I eIDAS-förordningen behandlas inte heller frågor om behörighet för att företräda juridiska personer. Därför kommer i det följande enbart uppgifter för fysiska personer att behandlas. Enligt första punkten i bilagan är kraven följande: Minimiuppsättning av uppgifter för fysisk person En minimiuppsättning av uppgifter för en fysisk person ska innehålla följande obligatoriska attribut: h)nuvarande efternamn, i)nuvarande förnamn, j)födelsedatum, k)en unik identitetsbeteckning som satts samman av den ut- sändande medlemsstaten i enlighet med de tekniska specifikatio- 16 Kommissionens genomförandeförordning (EU) 2015/1501 av om interoperabilitetsramverket enligt artikel 12.8 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska trans- aktioner på den inre marknaden. Anmälan av svenska elektroniska identitetshandlingar nerna för gränsöverskridande identifiering och som är mest be- ständig . En minimiuppsättning för en fysisk person kan innehålla ett eller flera av följande ytterligare attribut: a)förnamn och efternamn vid födseln, b)födelseort, c)nuvarande adress, d)kön. De första fyra attributen måste ingå och de senare fyra attributen är valfria. behöver ta ställning till dels hur den unika identi- tetsbeteckningen ska utformas, dels om några valfria attribut ska översändas. 18.4.1Minimering av behandling av personuppgifter att en princip om minimering av personuppgifter bör råda så att inga valfria attribut sänds över så länge inga särskilda avtal träffas med vissa länder om detta. En lämplig informationssäkerhetsåtgärd är att alltid se till att minimera behandlingen av personuppgifter. Det följer även av dataskyddsför- ordningen. Utgångspunkten bör därför enligt utredningens mening vara att inga valfria attribut sänds över så länge inga särskilda överens- kommelser görs med vissa länder i detta avseende. Anmälan av svenska elektroniska identitetshandlingar 18.4.2Pseudonym i stället för överföring av svenska personnummer att bör använda pseudonymer vid gränsöverskridande identifiering. att regeringen ger i uppdrag att i samråd med digitali- seringsmyndigheten ta fram ett system för pseudonymer för gräns- överskridande identifiering. Artikel 5 eIDAS-förordningen gäller behandling och skydd av upp- gifter. I första punkten anges att personuppgifter ska behandlas i enlighet med direktiv /46/EG.17 Dataskyddsreformen som i skriv- ande stund är under genomförande innebär att personuppgifter ska behandlas i enlighet med dataskydds- förordningen.18 I artikel 5.2 i eIDAS-förordningen anges att utan att det påverkar rättsverkan av pseudonymer enligt nationell rätt ska användningen av pseudonymer vid elektroniska transaktioner inte förbjudas. Det inne- bär att behöver ta ställning till om ett nytt system för pseu- donymer behöver tas fram för ändamålet elektronisk identifiering. Offentlighetsprincipen har en stark ställning i . Den inne- bär enligt 2 kap. 1 § tryckfrihetsförordningen19 att varje svensk med- borgare ska ha rätt att ta del av allmänna handlingar till främjande av ett fritt meningsutbyte och en allsidig upplysning. Offentlighetsprin- cipen kan inskränkas genom sekretessregler men folkbokföringsupp- gifter är normalt offentliga. Dessa uppgifter kan i särskilda fall beläg- gas med sekretess, exempelvis när det rör sig om känsliga uppgifter. Som känsliga uppgifter räknas bl.a. adoption och könsbyte. Person- nummer räknas inte som känsliga uppgifter. 18Europaparlamentet och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Anmälan av svenska elektroniska identitetshandlingar I många andra länder inom EU behandlas motsvarigheten till per- sonnummer med sekretess. I bl.a. och används pseudonymer inom respektive land. Det finns integritetsskäl för att inte föra ut personnummer utanför gränser och man kan argumentera för att dessa integritetsskäl egentligen också gäller inom landets gränser. Offent- lighetsprincipen har lett till att det är enkelt att få tag i person- nummer och därefter kan man begära ut väldigt mycket information om en individ, t.ex. inkomstuppgifter, ägande av fastigheter, familje- förhållanden och brottshistorik. Det gör det också möjligt för be- dragare att kapa identiteter. Utredningen anser att bör använda möjligheten i eIDAS- förordningen att använda pseudonymer vid gränsöverskridande iden- tifiering. Ett uppdrag att ta fram systemet för pseudonymer bör ges till i samråd med digitaliseringsmyndigheten. Det är viktigt att den persistenta20 effekten av personnummer kvar- står. Det behövs därför ett samlat system av pseudonymer i stället för att varje utfärdare av elektroniska identitetshandlingar ska ta fram sitt eget. Om ett nytt begrepp skulle bli aktuellt att införa som pseudo- nym, finns det vissa önskvärda egenskaper att tänka på. Detta har bland annat beskrivits av E-legitimationsnämnden.21 Pseudonym- begreppet bör utformas så att det •inte är värdebärande, t.ex. inte beskriva födelsedag, •är kort och enkelt att förstå, 20Med persistens avses i detta sammanhang att numret ska vara detsamma så att man kan lita på att individen är densamma, helst under hela sin livstid. 21E-legitimationsnämndens , E-legitimationsnämn- dens analys av EU-förordningen om elektronisk identifiering och betrodda tjänster (EU nr 910/2014), regeringsuppdrag (N2015/2620/EF), dnr: 131 182017-15/9513 | , s. 19 f. Anmälan av svenska elektroniska identitetshandlingar •är möjligt att verifiera med kontrollsiffra, •inte krockar med annan nummerserie av betydelse, •är uppbyggt så att det innehåller både bokstäver och siffror, •skapas enligt en slumpmässig metod och inte till exempel är ett serienummer. Dessutom menar att det är viktigt för in- dividen att känna till sin eventuella pseudonym och att spårbarheten behöver säkras. Nästa fråga är vem som ska ha ansvar för att omvandla person- nummer till pseudonym. Det kan vara , som ansvarar för folkbokföringen. Det kan också vara utfärdarna av elektroniska identi- tetshandlingar. Det skulle även kunna vara digitaliseringsmyndigheten som via noden omvandlar personnummer till pseudonym. 18.5Ersättningsmodell till privata utfärdare av anmälda elektroniska identitetshandlingar som används i utländska e-tjänster att privata utfärdare av anmälda elektroniska identitetshandlingar som används i utländska e-tjänster i offentlig sektor ska ersättas av statliga medel och fakturera Kammarkollegiet för det antal identitetsintyg som utländska offentliga myndigheter har begärt. att privata utfärdare av anmälda elektroniska identitetshandlingar som används i utländska e-tjänster i privat sektor inte ska ersättas av statliga medel. När det gäller ersättningsmodell är det önskvärt att systemen inom och i korrelerar med varandra. Enligt vad som tidi- gare har beskrivits i avsnitt 13.7 ska privata utfärdare av elektroniska identitetshandlingar som används i fakturera Kammarkollegiet för det antal identitetsintyg som utländska offentliga myndigheter har begärt. Staten ska stå för kostnaden när det gäller användning av privat utfärdade elektroniska identitetshandlingar i alla offentliga e-tjänster. Anmälan av svenska elektroniska identitetshandlingar I linje med det förslag som gäller användandet av privat utfärdade elektroniska identitetshandlingar i svenska offentliga e-tjänster före- slår utredningen att staten ska stå för kostnaden även när det gäller användningen av privat utfärdade elektroniska identitetshandlingar i utländska e-tjänster inom offentlig sektor. Den privata utfärdaren kan fakturera Kammarkollegiet för den användning som förekommit i utländska offentliga e-tjänster. Den svenska noden kan avgöra om e-tjänsten är offentlig eller privat och meddela aktörerna (utfärdaren och Kammarkollegiet) när det är fråga om offentliga e-tjänster. När det gäller privata e-tjänster bör dock inte det offentliga åtag- andet sträcka sig längre än vad det ska göra inom . Det får till följd att privata utfärdare av elektroniska identitetshandlingar inte får ersättning av staten när de elektroniska identitetshandlingarna an- vänds i e-tjänster i privat sektor utomlands. Kostnaden för sådan an- vändning av elektroniska identitetshandlingar får privata utfärdare i stället täcka på annat sätt, genom att ta betalt av användarna eller inkludera kostnaden i andra tjänster till användarna, precis som det fungerar i . 19Betrodda tjänster enligt eIDAS-förordningen 19.1Svenska offentliga myndigheters användning av betrodda tjänster 19.1.1Betrodda tjänster enligt eIDAS-förordningen Syftet med eIDAS-förordningen är enligt artikel 1 att säkerställa en väl fungerande marknad och uppnå en lämplig säkerhetsnivå för medel för elektronisk identifiering och betrodda tjänster. I artikel 4 i förordningen slås principen om en inre marknad fast. Den som tillhandahåller betrodda tjänster i en medlemsstat får inte hindras att tillhandahålla sådana tjänster i en annan medlemsstat av skäl som anges i förordningen. Anordningar för underskrifter och stämplar, och betrodda tjänster som överensstämmer med förord- ningen ska omfattas av fri rörlighet på den inre marknaden. I förordningen finns allmänna bestämmelser om betrodda tjänster och kvalificerade betrodda tjänster samt särskilda bestämmelser om elektroniska underskrifter, elektroniska stämplar, elektroniska tids- stämplingar, elektroniska tjänster för rekommenderade leveranser och autentisering av webbplatser. Dessutom finns det bestämmelser om elektroniska dokument som är innehåll lagrat i elektronisk form som även omfattar ljud- och bildinspelningar och audiovisuella in- spelningar. Förordningen gäller enligt artikel 2.1 system för elektronisk identifi- ering som en medlemsstat har anmält och tillhandahållare av be- trodda tjänster som är etablerade inom unionen. Betrodda tjänster enligt eIDAS-förordningen SOU 2017:114 däremot inte tillhandahållande av betrodda tjänster som till följd av nationell lagstiftning eller avtal mellan en avgränsad krets deltagare endast används inom slutna system. Detta framgår av artikel 2.2. I skäl (21) utvecklas vad som menas med slutna system. Där anges att förordningen inte gäller tillhandahållare av tjänster som endast an- vänds inom slutna system mellan en avgränsad uppsättning deltagare och som inte påverkar tredje man. Som exempel nämns system som inrättats i företag eller offentlig förvaltning för hantering av interna förfaranden. I skälet anges vidare att endast betrodda tjänster som till- handahålls för allmänheten och som påverkar tredje man bör uppfylla de krav som ställs i förordningen. Enligt artikel 2.3 påverkar förordningen inte heller bestämmelser i nationell lagstiftning eller unionslagstiftningen som avser ingående av avtal och deras giltighet eller andra rättsliga eller förfarandemässiga skyldigheter avseende formkrav. Förordningen bör enligt skäl (21) inte heller inverka på nationella formkrav avseende offentliga regis- ter, i synnerhet inte kommersiella register eller fastighetsregister. I svensk lagstiftning ställs inte några krav på att an- vända kvalificerade betrodda tjänster vare sig mellan enskilda eller gentemot offentliga organ. I artikel 3 återfinns vissa definitioner. Där anges bl.a. att med en be- trodd tjänst avses en elektronisk tjänst som vanligen tillhandahålls mot ekonomisk ersättning och som består av skapande, kontroll och validering av elektroniska underskrifter, elektroniska stämplar eller elektroniska tidsstämplingar samt elektroniska tjänster för rekom- menderade leveranser och certifikat med anknytning till dessa tjäns- ter. Med betrodda tjänster avses också skapande, kontroll och vali- dering av certifikat för autentisering av webbplatser samt bevarande av elektroniska underskrifter, stämplar och certifikat med anknyt- ning till dessa tjänster. Betrodda tjänster enligt eIDAS-förordningen 19.1.4Vilka betrodda tjänster regleras i eIDAS-förordningen? I förordningen finns ett antal betrodda tjänster reglerade genom full- ständig harmonisering. Flera av dessa betrodda tjänster är beroende av certifikat och certifikatutfärdare. En förutsättning för att kunna skapa en avancerad eller kvalificerad elektronisk underskrift är att ett certifikat med tillhörande privat nyckel har utfärdats av en certifikat- utfärdare. Med hjälp av nycklarna och certifikaten kan certifikat- innehavaren med sin privata nyckel skapa en avancerad eller elektro- nisk underskrift som sedan kan kontrolleras med den publika nyckeln och personen kan identifieras genom uppgifterna i certifikatet. Flera av kraven i förordningen i artikel 24 är riktade till kvalificerade till- handahållare av betrodda tjänster som utfärdar kvalificerade certifikat. Följande bild har tagits fram av () och kan förenkla förståelsen av vilka de fullständigt harmoniserade be- trodda tjänsterna är. En elektronisk stämpel är för en juridisk person motsvarigheten till en elektronisk underskrift av en fysisk person. Med elektronisk tidsstämpling avses uppgifter i elektronisk form som binder andra uppgifter i elektronisk form till en viss tidpunkt och därmed utgör bevis för att de senare uppgifterna existerade vid den angivna tidpunkten. Elektroniska tjänster för rekommenderade leveranser gör det möj- ligt att överföra uppgifter mellan tredje män på elektronisk väg på ett sätt som tillhandahåller bevis om uppgifternas hantering, inklusive Betrodda tjänster enligt eIDAS-förordningen