sou · H5B3114 · 2018-01-01 00:00:00 — ii)på uppdrag av den anmälande medlemsstaten, eller iii)oberoende av den anmälande medlemsstaten och erkännas av den medlemsstaten. b)Medlet för elektronisk identifiering inom systemet för elektro- nisk identifiering ska kunna användas för att få åtkomst till åt- minstone en tjänst som tillhandahålls av ett offentligt organ och som kräver elektronisk identifiering i den anmälande medlems- staten. c)Systemet för elektronisk identifiering och det medel för elektro- nisk identifiering som utfärdats inom ramen för det ska uppfylla kraven för åtminstone en av de tillitsnivåer som anges i den genomförandeakt som avses i artikel 8.3. d)Den anmälande medlemsstaten ska se till att de personidenti- fieringsuppgifter som unikt representerar personen i fråga, i enlighet med de tekniska specifikationer, standarder och förfaranden för den relevanta tillitsnivå som anges i den genomförandeakt som avses i artikel 8.3, tillskrivs den fysiska eller juridiska person som avses i artikel 3.1 för utfärdandet av medlet för elektronisk identifiering inom detta system. e)Den part som utfärdar medlet för elektronisk identifiering inom detta system ska se till att medlet för elektronisk identifiering tilldelas den person som avses i led d i denna artikel i enlighet med de tekniska specifikationer, standarder och förfaranden för den relevanta tillitsnivå som anges i den genomförandeakt som avses i artikel 8.3. f)Den anmälande medlemsstaten ska se till att autentisering är till- gänglig via internet så att alla förlitande parter som är etablerade på någon annan medlemsstats territorium kan bekräfta de per- sonidentifieringsuppgifter som tas emot i elektronisk form. För andra förlitande parter än offentliga organ får den anmälande medlemsstaten fastställa tillträdesvillkoren för autentiseringen. Anmälan av svenska elektroniska identitetshandlingar dan gränsöverskridande autentisering ska tillhandahållas kostnads- fritt när den utförs i samband med en nättjänst som tillhandahålls av ett offentligt organ. Medlemsstaterna får inte ålägga förlitande parter som har för avsikt att utföra en sådan autentisering oproportionella tekniska krav om sådana krav skulle hindra eller avsevärt försvåra kompatibiliteten mellan anmälda system för elektronisk identifiering. g)före anmälan enligt artikel 9.1 ska den anmä- lande medlemsstaten när det gäller den skyldighet som anges i artikel 12.5 förse andra medlemsstater med en beskrivning av detta system i enlighet med de förfaranden som fastställts genom de genomförandeakter som avses i artikel 12.7. h)System för elektronisk identifiering ska uppfylla kraven i den genomförandeakt som avses i artikel 12.8.1 Anmälan av privata utfärdare av elektroniska identitetshandlingar är alltså tillåtet om den elektroniska identitetshandlingen är god- känd i den anmälande medlemsstaten. Den elektroniska identitets- handlingen ska kunna användas för att få åtkomst till åtminstone en e- tjänst som tillhandahålls av en myndighet och som kräver elektronisk identifiering i den anmälande medlemsstaten. Av artikel 9 i eIDAS-förordningen framgår hur anmälan av elek- troniska identitetshandlingar ska gå till. Det är medlemsstaten som anmäler elektroniska identitetshandlingar för gränsöverskridande identifiering enligt eIDAS-förordningens sytem. I artikel 9.1 finns en lista av vad anmälan ska innehålla. Det framgår också att den an- mälande medlemsstaten utan onödigt dröjsmål ska anmäla eventuella ändringar av uppgifterna. Anmälan ska innehålla: a)En beskrivning av systemet för elektronisk identifiering, inbe- gripet dess tillitsnivåer och av utfärdaren eller utfärdarna av medel för elektronisk identifiering inom systemet. 1 Kommissionens genomförandeförordning (EU) 2015/1501 av om interoperabilitetsramverket enligt artikel 12.8 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska trans- aktioner på den inre marknaden. Anmälan av svenska elektroniska identitetshandlingar b)Det tillämpliga systemet för tillsyn och information om syste- met för skadeståndsansvar med avseende på följande: i)Den part som utfärdar medlet för elektronisk identifiering. ii)Den part som handhar autentiseringsförfarandet. c)Den myndighet eller de myndigheter som ansvarar för systemet för elektronisk identifiering. d)Information om den enhet eller de enheter som hanterar regi- streringen av de unika personidentifieringsuppgifterna. e)En beskrivning av hur kraven i den genomförandeakt som avses i artikel 12.82 har uppfyllts. Dessa krav innefattar i synnerhet tekniska minimikrav om tillitsnivåer och kartläggning av natio- nella tillitsnivåer för anmälda elektroniska identitetshandlingar, tekniska minimikrav på interoperabilitet, minimiuppsättningen av personidentifieringsuppgifter, gemensamma standarder för operativ säkerhet och bestämmelser för tvistlösning. f)En beskrivning av den autentisering som avses i artikel 7 f (se beskrivning ovan). g)System för tillfälligt upphävande eller återkallelse av det anmälda systemet för elektronisk identifiering eller autentisering eller av de berörda utsatta delarna. Kommissionen ska enligt artikel 9.2 offentliggöra en förteckning över de elektroniska identitetshandlingar som har anmälts i Euro- peiska unionens officiella tidning. Processen för anmälan ses inte som särskilt svår eller komplicerad. Det är väl beskrivet i förordningstext och genomförandeakter vad som behövs för att göra en anmälan. Dessutom har anmält två elektroniska identitetshandlingar så det finns redan erfarenhet av hur det går till. Svenska representanter från har deltagit i arbetet med att granska anmälda elek- troniska identitetshandlingar och kunnat följa processen på nära håll. 2 Kommissionens genomförandeförordning (EU) 2015/1501 av om interoperabilitetsramverket enligt artikel 12.8 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska trans- aktioner på den inre marknaden. Anmälan av svenska elektroniska identitetshandlingar Processen för avanmälan finns också beskriven i förordningstext och genomförandeakter men den har ännu inte prövats av någon med- lemsstat. Enligt artikel 9.4 i eIDAS-förordningen får en medlemsstat lämna in en begäran till kommissionen om att ta bort ett system för elektronisk identifiering som anmälts av medlemsstaten från förteck- ningen i Europeiska unionens officiella tidning. Kommissionen ska offentliggöra motsvarande ändringar i förteckningen i Europeiska unionens officiella tidning inom en månad från den dag då medlems- statens begäran mottogs. I artikel 2.2.3 i bilagan till genomförandeförordning 2015/15023 finns ytterligare bestämmelser om avanmälan av elektroniska iden- titetshandlingar. Där står att det är möjligt att avbryta och/eller åter- kalla ett medel för elektronisk identifiering och på ett verksamt sätt. Det ska finnas åtgärder för att förhindra att upphä- vande, återkallelse och/eller reaktivering utförs på otillåtet sätt. Åter- aktivering ska utföras endast om samma krav angående tilliten som fastställts före upphävandet eller återkallelsen fortsätter att uppfyllas. 18.2Sverige ska anmäla elektroniska identitetshandlingar att som en del av det offentliga åtagandet ska anmäla elek- troniska identitetshandlingar för gränsöverskridande identifiering enligt eIDAS-förordningen. I skäl (2) till eIDAS-förordningen anges att syftet med förordningen är att öka förtroendet för elektroniska transaktioner på den inre mark- naden genom att tillhandahålla en gemensam grund för ett säkert elek- troniskt samspel mellan medborgare, företag och offentliga myndig- 3 Kommissionens genomförandeförordning (EU) 2015/1502 av om fastställande av tekniska minimispecifikationer och förfaranden för tillitsnivåer för medel för elektronisk identifiering i enlighet med artikel 8.3 i och rådets förord- ning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden. Anmälan av svenska elektroniska identitetshandlingar heter, och därigenom öka effektiviteten hos offentliga och privata nättjänster, elektronisk affärsverksamhet och e-handel i unionen. För att svenska användare ska kunna ta del av detta syfte och ta tillvara eIDAS-förordningens nytta och potential behöver se till att medborgare och folkbokförda har möjlighet att använda e- tjänster i andra medlemsstater genom gränsöverskridande identifier- ing. Därför behöver det ingå i det offentliga åtagandet att det i finns minst en elektronisk identitetshandling som kan användas för detta ändamål. Det finns privata aktörer på den svenska marknaden som har uttryckt intresse för att utveckla elektroniska identitetshandlingar för gränsöverskridande identifiering enligt eIDAS-förordningen. Ut- redningen anser dessutom att det finns goda skäl för staten att låta det ingå i det offentliga åtagandet tillsammans med åtagandet att till- handahålla statliga elektroniska identitetshandlingar för användning inom landet4 att erbjuda dessa även för gränsöverskridande identifiering. Jämförelse kan här göras med det offentliga åtagandet att utfärda pass för utrikes resor. Behovet av att kunna kommunicera med utländska myndigheter kan likställas med detta. 18.2.1Behov av elektronisk identitetshandling i utländska e-tjänster att det finns behov av minst en svensk elektronisk identitetshand- ling för gränsöverskridande identifiering enligt eIDAS-förord- ningen. Under utredningens arbete har det i flera sammanhang lyfts att användare av svenska elektroniska identitetshandlingar behöver an- vända dessa även i e-tjänster i . Det följande är ingen uttöm- mande lista över de behov som finns men det visar att behovsbilden är stor och diversifierad. 4 Se avsnitt 12.7.5. Anmälan av svenska elektroniska identitetshandlingar •Studenter som studerar eller avser studera utomlands kan komma att behöva tillträde till e-tjänster i studielandet. •Patienter som behöver vård utomlands. •Företagare som vill etablera sig i en annan medlemsstat. •Pensionärer som bor utomlands. •Arbetssökande i andra medlemsstater. •Boende i gränstrakter till andra länder och vill kunna nyttja e- tjänster på båda sidorna gränsen. •Resenärer som tillfälligt befinner sig i andra medlemsstater och upptäcker att de behöver använda e-tjänster där. •Individer som står inför att flytta utomlands. •Skattskyldiga i andra medlemsstater. Utredningens uppfattning är att det finns behov av en svensk elek- tronisk identitetshandling för gränsöverskridande identifiering enligt eIDAS-förordningen. att det finns både rättsliga och ekonomiska risker med att anmäla elektroniska identitetshandlingar, framför allt om de är utfärdade av en privat aktör. att staten behöver ha största möjliga kontroll över de elektroniska identitetshandlingar som anmäls för gränsöverskridande identifier- ing enligt eIDAS-förordningen. att skadeståndsansvarets fördelning måste regleras tydligt i avtal mellan staten och privata utfärdare. Avtalet bör också innehålla uppgift om regress av skadeståndsanspråk för de fall skador upp- kommer senare i processen. att ansvaret vid säkerhetsincidenter måste regleras tydligt mellan staten och privata utfärdare i avtal så att staten kan ges förutsätt- ningar att ta det ansvar som eIDAS-förordningen kräver. Anmälan av svenska elektroniska identitetshandlingar Det är den anmälande medlemsstaten som går i god för de anmälda elektroniska identitetshandlingarna. Det innebär att staten får svara för eventuella säkerhetsincidenter och skador även när det är en privat utfärdare som står för den elektroniska identitetshandlingen. Det är staten som är part i medlemsstaternas granskningsförfarande av anmälda elektroniska identitetshandlingar och det är staten som måste upphäva eller återkalla en elektronisk identitetshandling som har utsatts för intrång eller äventyras på ett sätt som påverkar tillför- litligheten enligt artikel 10.1. Detta talar för att staten behöver ha största möjliga kontroll över de elektroniska identitetshandlingar som anmäls enligt eIDAS-förordningen. Skadeståndsansvaret behandlas i artikel 11 i eIDAS-förordningen. En- ligt artikel 11.1 ska den anmälande medlemsstaten ha skadeståndsan- svar för skada som åsamkats en fysisk eller juridisk person avsiktligt eller på grund av oaktsamhet genom dess underlåtenhet att uppfylla sina skyldigheter enligt artikel 7 d och f vid en gränsöverskridande transaktion.5 Utfärdaren har enligt artikel 11.2 skadeståndsansvar för skada som åsamkats en fysisk eller juridisk person avsiktligt eller på grund av oaktsamhet genom underlåtenhet att uppfylla den skyldighet som avses i artikel 7 e vid en gränsöverskridande transaktion.6 Den part som handhar autentiseringsförfarandet (här avses både nodmyndigheten och utfärdaren av den elektroniska identitetshand- lingen i sina respektive delar av autentiseringen) har enligt artikel 11.3 skadeståndsansvar för skada som åsamkats en fysisk eller juridisk per- son avsiktligt eller på grund av oaktsamhet genom underlåtenhet att säkerställa korrekt handhavande av den autentisering som avses i artikel 7 f vid en gränsöverskridande transaktion. Därefter hänvisar eIDAS-förordningen till nationella regler om skadeståndsansvar. 5Artikel 7 d gäller den anmälande medlemsstatens skyldighet att se till att unika person- identifieringsuppgifter tillskrivs rätt person för utfärdandet av den elektro- niska identitetshandlingen. Artikel 7 f gäller den anmälande medlemsstatens skyldighet att se till att autentisering är tillgänglig via internet. 6Artikel 7 e gäller att utfärdaren ska se till att den elektroniska identitetshandlingen tilldelas den person som avses i led d. Anmälan av svenska elektroniska identitetshandlingar Av skadeståndsansvaret som är beskrivet ovan följer vissa konse- kvenser. Om staten har anlitat en privat aktör för att utföra något led i den gränsöverskridande identifieringen (t.ex. identitetskontrollen) är det viktigt att avtalet mellan staten och den privata aktören reglerar en eventuell ansvarskedja som uppstår om en skada inträffar. Det är framför allt anmälan av elektroniska identitetshandlingar utfärdade av privata aktörer som aktualiseras här men det finns även andra situationer där staten kan anlita privata underleverantörer för att uppfylla sina åtaganden, t.ex. när det gäller uppbyggnad av noden. När det blir aktuellt att anmäla privat utfärdade elektroniska identi- tetshandlingar behöver tydliga avtal som reglerar skadeståndsansvar utformas mellan staten och de privata utfärdarna. Annars finns det risk för att staten tvingas ta ett skadeståndsansvar som man inte har tänkt sig eller att tvist uppstår mellan staten och de privata aktörerna. Avtalen behöver också behandla ansvaret vid eventuella säkerhets- incidenter. Det är medlemsstaten som ansvarar enligt artikel 10.1, eIDAS-förordningen för att upphäva eller återkalla den elektroniska identitetshandlingen som är utsatt för intrång eller äventyras. måste därför ges förutsättningar att ta sådant ansvar när avtal sluts med privata utfärdare. En ekonomisk risk utgörs av skadeståndsansvaret som är beskrivet ovan. Att staten har skadeståndsansvar för dessa situationer är i sig inget anmärkningsvärt. Det faller sig naturligt att staten får ta ansvar för skada som orsakats på grund av statens agerande eller brist på age- rande. Däremot är det naturligtvis ändå en ekonomisk risk som följer av att anmäler elektroniska identitetshandlingar för gräns- överskridande identifiering enligt eIDAS-förordningen. Risken måste vägas in i bedömningen när det ska avgöras vilka elektroniska identi- tetshandlingar som ska anmäla för gränsöverskridande identi- fiering. En annan ekonomisk risk med anmälan är att tar fram en statlig elektronisk identitetshandling för gränsöverskridande identi- fiering utan att den blir använd i någon större utsträckning. Det kan visa sig att behovet av gränsöverskridande elektronisk identifiering är Anmälan av svenska elektroniska identitetshandlingar överskattat eller att användarna av någon anledning väljer att inte nyttja systemet. De förslag som utredningen lämnar i kapitel 12 handlar dock om att ta fram statliga elektroniska identitetshandlingar som kan fylla flera syften. Även om den gränsöverskridande verksam- heten inte skulle utvecklas i takt med förhoppningarna finns ändå stora värden, beskrivna i kapitel 12, i att staten tillhandahåller elektro- niska identitetshandlingar på den högsta tillitsnivån. för anmälan av elektroniska identitetshandlingar att digitaliseringsmyndigheten ska ansvara för att anmäla svenska elektroniska identitetshandlingar till kommissionen för gräns- överskridande identifiering enligt eIDAS-förordningen. Förslaget genomförs genom lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elek- tronisk identifiering samt förordning om ändring i förordningen (2016:576) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. Enligt eIDAS-förordningens lydelse7 är det medlemsstaterna som anmäler elektroniska identitetshandlingar för gränsöverskridande identifiering till . I bör denna uppgift dele- geras till en lämplig statlig myndighet. En anmälningsprocess av elektroniska identitetshandlingar för granskning inom är lång och kostnadskrävande. Enligt uppgift från kan en sådan process ta på grund av de anpassningar ut- färdarna kan behöva genomföra för att nå upp till de krav som gäller för att få bli kvalitetsmärkta. Utredningen anser att regeringen bör utse den nya digitaliserings- myndigheten att ha denna uppgift tillsammans med övriga admini- strativa och granskande uppgifter som rör gränsöverskridande iden- tifiering enligt eIDAS-förordningen. 7 Artikel 9.1, eIDAS-förordningen. Anmälan av svenska elektroniska identitetshandlingar 18.3.1Vilka elektroniska identitetshandlingar får anmälas? att tillämpar ett öppet system för anmälan. Utfärdare som ansöker om att bli anmälda ska bli det om de uppfyller uppställda krav. När det finns en statlig svensk elektronisk identitetshand- ling ska den anmälas. att digitaliseringsmyndigheten ska tillhandahålla ett parallellt valfrihetssystem för elektroniska identitetshandlingar för gräns- överskridande identifiering. Nästa fråga att ta ställning till är hur lämpliga elektroniska identitets- handlingar ska utses för anmälan. Utredningen konstaterar att Tysk- land, som redan har anmält elektroniska identitetshandlingar, och merparten av de länder som står i begrepp att anmäla någon elek- tronisk identitetshandling väljer att anmäla statligt utfärdade elek- troniska identitetshandlingar.8 Det kan bero på att de inte har in- hemska privata alternativ men också på de skäl som anges ovan om att det ändå i flera avseenden är den anmälande medlemsstaten som ansvarar för den elektroniska identitetshandlingen. I saknas en statligt utfärdad elektronisk identitetshandling. Utredningen föreslår i kapitel 12 att det ska ingå i det offentliga åtagandet att tillhandahålla en statlig elektronisk identitetshandling som ska fästas på en fysisk bärare i form av en befintlig identitets- handling. Eftersom ID-kortsutredning9 har i uppdrag att se över vilka identitetshandlingar som ska betraktas som sådana behöver processen för statliga elektroniska identitetshandlingar invänta denna utrednings förslag om vilka fysiska identitetshandlingar som ska finnas kvar. ID-kortsutredning ska lämna sina förslag . Det innebär att det dröjer innan det i finns någon statligt utfärdad elektronisk identitetshandling att anmäla. En konsekvens av att använda ett öppet system för anmälan kan bli att kan komma att anmäla många elektroniska identitets- handlingar för gränsöverskridande identifiering, till skillnad från 8Den anmälde som andra land i EU ett system för elektroniska identitetshandlingar för gränsöverskridande identifiering. Det anmälda systemet innehåller åtta elektroniska identitetshandlingar. Utfärdaren, SPID, är en privat aktör. 2017:90, Åtgärder för att minska bedrägeribrottsligheten – skärpta krav och rutiner för svenska identitetshandlingar. Anmälan av svenska elektroniska identitetshandlingar andra medlemsstater som kanske nöjer sig med varsin statligt utfär- dad. Det kan leda till att det gemensamma systemet för granskning av anmälda elektroniska identitetshandlingar belastas oproportionerligt mycket av svenska anmälningar vilket i sin tur kan leda till missnöje bland de andra medlemsstaterna. Granskningen kan vara omfattande och resurskrävande. Utredningen bedömer att behöver anmäla åtminstone en svensk elektronisk identitetshandling för gränsöverskridande identi- fiering innan det finns en statligt utfärdad elektronisk identitetshand- ling tillgänglig. Därför behövs ett förfarande för hur det ska gå till. Upphandlingsförfarande är inte lämpligt När en offentlig aktör behöver anlita en privat tjänst eller vara är huvudregeln att detta ska upphandlas enligt LOU.10 Det finns dock möjligheter till undantag och det finns skäl för att undvika ett vanligt upphandlingsförfarande. Ett skäl är att upphandling innebär att endast en leverantör kan vinna upphandlingen och det utesluter därmed att andra leverantörer kan ta del av marknaden. Det gör att marknadsutvecklingen riskerar att hämmas eftersom det i praktiken endast blir en aktör som kan agera per tidsperiod som upphandlingen avser. Dessutom bör förfarandet med elektroniska identitetshandlingar för gränsöverskridande identifiering i möjligaste mån korrelera med elektroniska identitetshandlingar för användning inom . Inom gränser föreslår utredningen fortsatt tillämpning av valfri- hetssystem (se avsnitt 13.5.4) och det är därför lämpligt att göra det även när det gäller gränsöverskridande identifiering. Marknaden för elektroniska identitetshandlingar i beskrivs i flera kapitel ovan. Den domineras av en stark och inom landet väl utbredd aktör, BankID, men det finns även andra aktörer som är in- tresserade av tillgång till den inre marknaden inom EU. För att kunna ge de aktörer som är intresserade chansen att medverka bedö- mer utredningen att ett valfrihetssystem med tydliga villkor är ett 10 Lagen (2016:1145) om offentlig upphandling. Anmälan av svenska elektroniska identitetshandlingar lämpligt sätt att gå tillväga för att ska kunna anmäla elektro- niska identitetshandlingar för gränsöverskridande identifiering. Lagen om valfrihet i fråga om tjänster för elektronisk identifier- ing11 utesluter inte att det kan finnas flera parallella valfrihetssystem. Det valfrihetssystem som används för elektronisk identifiering inom kan därför kompletteras med ytterligare ett valfrihets- system där utfärdare av elektroniska identitetshandlingar får ansluta sig om de vill att deras elektroniska identitetshandling ska kunna användas för gränsöverskridande identifiering. Utfärdare av privata elektroniska identitetshandlingar kan ha olika syften med sina produkter. Vissa kan vilja tillhandahålla sina elek- troniska identitetshandlingar enbart på den svenska marknaden. För dem behöver det finnas ett valfrihetssystem som är utformat som det som finns . Andra utfärdare kan vilja erbjuda elektroniska identitetshandlingar för gränsöverskridande identifiering. För dem behövs då ett separat valfrihetssystem med fler krav än vad som ställs i valfrihetssystemet för den svenska marknaden. Enligt artikel 7 b) eIDAS-förordningen krävs dock att elektro- niska identitetshandlingar ska kunna användas för att få åtkomst till åtminstone en offentlig e-tjänst som kräver elektronisk identifiering i den anmälande medlemsstaten. att för att kunna anmälas av för gränsöverskridande iden- tifiering måste en elektronisk identitetshandling: 1.vara kvalitetsgranskad och godkänd av digitaliseringsmyndig- heten, 2.endast utfärdas till medborgare eller folkbokförda i , 3.ingå i valfrihetssystem enligt lagen om valfrihetssystem i fråga om tjänster för elektronisk identifiering,12