sou · H6B325 · 2018-03-27 00:00:00 — Att en enskilds personnummer utgör den enda unika identitets- markören mellan dennes digitala identitet och det verktyg han eller hon använder för identifiering, t.ex. en e-legitimation, kan vara pro- blematiskt. Exempel: En enskild näringsidkare har inte något organisationsnummer utan driver sin verksamhet under sitt personnummer. En individ kan emellertid ha fler än en enskild firma vilket kan leda till otydligheter vid myndighetskontakter. I de fall den enskilde företräder sin firma är det ett problem att personnumret är den enda identifieraren. Hur ska myndigheten veta i vilken roll den enskilde agerar när denne använder sig av myndigheternas digitala tjänsteutbud? Företräder den enskilde sig själv som privatperson eller något av sina bolag? framhåller att det vore önskvärt att näringsidkare, i stället för personnummer, till- delas en annan typ av identitetsmarkör t.ex. ett löpnummer. Exempel: Inom utbildningsväsendet skulle det underlätta om varje elev hade en digital identitet som kan användas i alla skol- och utbildnings- sammanhang, oavsett vilken skola eller utbildning eleven deltar i. En digital identitet möjliggör bl.a. för eleven att lagra sin information och kunna ta den med sig vid ett skolbyte. Inom ramen för kartläggningsarbetet har några framfört uppfatt- ningen att det ur vissa perspektiv är lättare att utveckla digitala tjänster som riktar sig till privatpersoner, t.ex. för socialförsäk- ringsförmåner, studiestöd, ansökan om förskola m.m. När det gäller digitala tjänster riktade till juridiska personer verkar utvecklingen ha gått långsammare. En förklaring kan vara att det saknas en utpekad myndighet som ensam ansvarar för att registrera alla typer av juridiska personer. Registreringsansvaret är i stället fördelat på flera olika aktörer, bl.a. , , länsstyrelser och Lantmäteriet. För vissa juridiska personer saknas krav på registre- ring, t.ex. för föreningar, nätverk, klubbar och andra liknande sam- manslutningar. En konsekvens av det splittrade ansvaret är att det saknas ett centralt register eller decentraliserat system över samtliga juridiska personer dit det också skulle gå att koppla uppgifter om behöriga Kartläggning av hindrande eller hämmande lagstiftning På samma gång är det orimligt att behörig firmatecknare i ett stort bolag själv ska utföra alla ärenden som rör registrering, avregistrering eller redovisning och som kräver behörig firma- tecknares signering. När enskilda individer tvingas identifiera sig i rollen som privatperson, fast de företräder ett företag, väcks bl.a. frågor om vem som skulle bära det rättsliga ansvaret om ansvars- frågor uppkommer under det aktuella digitala förfarandet. Myndigheternas förutsättningar att utveckla e-tjänster där en behörig företrädare tillåts att agera för en juridisk persons räkning ser olika ut. Exempel: Inom ramen för programmet Serverat13 har man identifierat att det finns behov av en nationell och tvärfunktionell behörighets- lösning. Många av de ansökningar och anmälningar som kan göras till kommuner genom Serverat behöver utföras av behöriga företrädare för bolag. En behörig företrädare kan vara en fysisk person som har fått ledningens ansvar att agera för bolagets räkning. Det kan också vara ett externt företag som på uppdrag av ett annat bolag ska utföra en uppgift som kräver en ansökan eller anmälan, t.ex. ett skyltföretag som ska montera en skylt på en restaurangfasad och som behöver ansöka om bygglov hos kommunen. Även myndigheter behöver utse behöriga företrädare för att utföra rättshandlingar digitalt i myndighetens namn, t.ex. i bygglovs- ärenden. Därtill kan även fysiska personer ha behov av att låta ett ombud agera i deras ställe. En del av de myndighetsrepresentanter som deltagit i kartläggnings- arbetet menar att ett centralt fullmaktsregister skulle underlätta digitala processer och möjliggöra fler automatiserade myndighetsbeslut. Det förtjänar dock att nämnas att även motsatta synpunkter har lagts fram. Frågan om digitala fullmakter är kom- plex, oavsett om de finns att tillgå i ett centralt register eller inte. Hur återkallas en digital fullmakt? Går det att använda blockkedje- teknik14 för att upprätta en rättsligt giltig fullmakt? 13SKL driver programmet Serverat tillsammans med kommuner, och Bolags- verket. Syftet med Serverat är att utveckla digitala lösningar för att förenkla för restaurang- företagare att starta och driva företag. Se även kapitel 5.11.5. 14Se kapitel 7.3.4 för beskrivning av blockkedjetekniken. Kartläggning av hindrande eller hämmande lagstiftning går det att åstadkomma nödvändiga rättsliga förutsättningar för en aktör att tillhandahålla ett centralt register över fullmakter? 5.3.4Underskrifter och andra liknande rättsinstitut Kartläggningsarbetet visar att det inte alltid är tydligt när en fysisk underskrift kan ersättas med en digital. är det juridiska förut- sättningar i kombination med andra svårlösta frågor som gör att det tar tid att utveckla nya lösningar. Exempel: har utvecklat en tjänst för digitala ansökningar om vårdlegitimation, bl.a. läkarlegitimation. Det kvarstår dock vissa moment kopplade till underskrifter som måste kunna lösas tekniskt innan hela förfarandet kan digitaliseras. Den som ansöker om läkarlegitimation ska bifoga en s.k. vari klinikernas verksam- hetschefer ska lämna fyra separata intyganden om den utförda allmän- tjänstgöringen. En förutsättning för att ska kunna skickas in digitalt är att verksamhetscheferna kan lämna digitala intyganden, t.ex. med stöd av digitala underskrifter. måste dessutom ha anpassad teknik som ger möjlighet att hantera och verifiera de digitala underskrifterna. Exemplet är belysande i så måtto att det pekar på svårigheterna, juridiskt och tekniskt, med att implementera digitala underskrifter i en i övrigt automatiserad process. Ett flertal myndighetsrepresentanter vittnar om problematiken i att avgöra när det befintliga regelverket medger, kräver eller hindrar an- vändning av elektroniska underskrifter. Om uppgifter ska lämnas på heder och samvete – innebär det att den enskilde måste bekräfta upp- gifternas riktighet med stöd av en elektronisk underskrift? Eller går det lika bra att bekräfta att uppgifterna är riktiga genom att klicka i en ruta i webbläsaren eller att lämna ett muntligt intygande per telefon? Det kan dessutom finnas behov av att kunna koppla både digitala och analoga underskrifter till ett och samma dokument utan att behöva framställa dubbletter av dokumentet i fråga, t.ex. när flera olika individer med sinsemellan olika tekniska förutsättningar ska signera samma handling. Frågor om hur andra traditionellt analoga rättsinstitut kan över- föras till digitala processer har också lyfts fram. Det är t.ex. oklart hur ett bestyrkande kan göras i en digital process. Inom fastighets- rättens område används också s.k. makemedgivanden. Kartläggning av hindrande eller hämmande lagstiftning dagsläget finns rättsliga förutsättningar att lämna ett sådant med- givande digitalt är ännu inte utrett. Behovet av att använda nya tekniska lösningar för att delge enskilda personer handlingar med t.ex. kallelse till domstolsförhandling har framhållits under kartläggningen. Inställda domstolsförhandlingar är ett stort problem för rättsväsendet, nästan en fjärdedel av alla förhandlingar ställs in och huvudorsaken är bristande delgivning. En förändring av delgivningssystemet i linje med den danska modellen, där varje medborgare utrustas med en officiell e-postbrevlåda och där man anses delgiven om meddelandet skickats dit har diskuterats av vissa. Nuvarande delgivningsmöjligheter beskrivs ha flera brister som, i vart fall delvis, skulle kunna åtgärdas med hjälp av rättslig reglering som stödjer digitala förfaranden. Exempel: Delgivningslagen15 innehåller flera regler med koppling till analoga förfaranden. hanteras delgivningshandlingar på papper i stängda kuvert. Det rör sig om brådskande ärenden, t.ex. en kallelse till en förhandling, som ska delges en enskild. När personen som ska delges väl påträffas sker det dock inte sällan på en annan plats än där de fysiska delgivningshandlingarna befinner sig. Följden kan bli att delgivning inte kan ske och att t.ex. en domstolsförhandling måste ställas in. , , och Transportstyrelsen är registeransvariga myndigheter för s.k. grunddata.16 I ett grunddata- register lagras uppgifter som på ett eller annat sätt inhämtats från en rad olika aktörer till den registeransvariga myndigheten. Den in- rapporterande aktörens skyldighet att överföra uppgifter till den registeransvariga myndigheten är i regel författningsstyrd. Lagstift- ningen är, såsom vi fått det beskrivet, inte sällan omfattande och fragmenterad. 15Delgivningslagen (2010:1932). 16Det saknas en legaldefinition av begreppet grunddata. I detta sammanhang avses med grund- data sådan grundläggande registerinformation som finns i fastighetsregistret, folkbokförings- registret, vägtrafikregistret, de olika företagsregistren och viss geografisk information. Kartläggning av hindrande eller hämmande lagstiftning Kartläggningsarbetet visar vidare att det inte är helt tydligt vad ett författningsreglerat registeransvar faktiskt innebär. Måste myn- digheten som ska föra registret lagra all information själv? Eller är det tillräckligt att informationen är åtkomlig via den myndigheten genom att myndigheten, när informationen behövs eller efterfrågas, gör ett direktanrop till den aktör som faktiskt producerar infor- mationen i fråga? Flera anser att uppgifter exempelvis bara ska lagras hos den myndighet som ursprungligen har inhämtat eller producerat uppgiften och hämtas där vid behov. Det finns med andra ord en strävan mot att uppgifter ska hämtas vid den ”bästa källan”. Exempel: Lantmäteriet har i uppdrag att tillhandahålla fastighetsre- gistret. fattas tusentals beslut baserade på beslutsunderlag från fastighetsregistret. Uppdateringen av registret sker på olika sätt och med olika handläggnings- och registreringssystem. I vissa fall är uppdateringen helt eller delvis digital men ren analog registrering förekommer fortfarande. Att uppdateringen sker på flera olika sätt och av flera olika aktörer innebär att uppgifterna kan variera i kvalitet och aktualitet. Några myndighetsrepresentanter har också gett uttryck för att insamling och registrering av uppgifter, även när det inte rör sig om grunddata, kan kräva mycket manuellt arbete. Det kan vara en utmaning att se till att registren innehåller uppgifter av god kvalitet och som därtill är aktuella och uppdaterade. Exempel: ansvarar för flera olika register med koppling till hälso- och sjukvård och socialtjänstområdet. Insamlingen av register- uppgifter regleras av flera olika förordningar och i vissa fall finns format- krav för uppgifterna i egna föreskrifter. För vissa av registren krävs det mycket manuellt arbete både hos de aktörer som ska förse med uppgifter och hos för att säkerställa att de uppgifter som tillförs registren håller en godtagbar kvalitet. Den hanteringen medför eftersläpningar i registre- ringen vilket leder till att underlag för rapporter m.m. inte är upp- daterade i den mån som eftersträvas. För och för de aktörer som använder uppgifterna i registren finns stora vinster att vänta om den hanteringen framöver kan minskas. Behovet av ytterligare uppgifter än dem som finns i t.ex. har också framförts. Det gäller särskilt uppgifter om personer, där folkbokföringsadress m.fl. befintliga uppgifter anses behöva kompletteras med kontaktuppgifter för digi- tal kontakt med enskilda. Kartläggning av hindrande eller hämmande lagstiftning kan statliga myndigheter utbyta grunddata avgifts- fritt. har i en rapport föreslagit en ny finansieringsmodell i syfte att även kommuner och landsting ska omfattas av det avgiftsfria grunddatautbytet.17 Även om förslaget genomförs kommer dock avgiftskravet kvarstå i förhållande till pri- vata aktörer. Flera myndigheter påtalar att kravet på att ta ut avgifter för grunddata kan verka hindrande för en effektiv och ändamålsenlig användning av informationen. Exempel: Inom ramen för tjänsten Mina meddelanden lämnar Bolags- verket efter begäran ut uppgifter om behöriga företrädare för företag, t.ex. firmatecknare, till . lämnar i sin tur ut uppgifterna i fråga till privata brevlådeoperatörer anslutna till Mina meddelanden. Utlämnandet av uppgifter från till Skatte- verket sker avgiftsfritt liksom utlämnandet från till brev- lådeoperatörerna. saknar dock förutsättningar att utan avgift lämna ut uppgifterna direkt till de privata brevlådeoperatörerna. Det är dock värt att notera att huvudskälet till den valda lösningen är en annan, nämligen att få likformig tolkning av regelverket. Att avgifterna hanteras är en positiv bieffekt av detta. Ett annat rättsligt problem som kan uppstå bl.a. till följd av avgifts- kravet är att det skapas kopior av register med uppgifter av sämre kvalitet hos andra aktörer som t.ex. har begärt ut uppgifterna i fråga med stöd av offentlighetsprincipen. Kopior av register med upp- gifter av sämre kvalitet, och som inte hålls uppdaterade i samma utsträckning, kan vara olämpligt ur dataskyddssynpunkt. I digitaliseringsarbetet står myndigheterna inför många gemen- samma utmaningar. Det gäller inte minst informationssäkerheten. Flera av dem vi träffat har påtalat att ju mer information som samlas in och hanteras desto svårare blir det att leva upp till säkerhets- kraven. 17 Ny finansieringsmodell för grunddatautbyte mellan statliga myndigheter samt kommuner och landsting (ESV 2017:54). Kartläggning av hindrande eller hämmande lagstiftning Varje myndighet ansvarar självständigt för att informationsklassa sin information.18 Men när myndigheter samverkar och utbyter information framhålls att det behövs en enhetlig informations- klassning för att informationen ska få likvärdigt skydd hos alla myndigheter som hanterar den. Inom ramen för myndighetsgemen- samma system uppstår dessutom ofta nya informationsmängder och även dessa måste kunna hanteras korrekt ur ett informationssäker- hetsperspektiv. I kartläggningsarbetet har vissa myndighetsrepresentanter efter- frågat mer styrande reglering kring myndigheternas informations- säkerhetsarbete. Någon har framfört att det vore lämpligt med en förvaltningsgemensam reglering av behörighetsstyrning. På så sätt skulle man kunna säkerställa tillgänglighet till information av god kvalitet till dem som har ett konstaterat behov av att ta del av informationen från en viss källa. Någon annan har framfört att ett bredare tillsynsuppdrag över myndigheters arbete med infor- mations- och cybersäkerhet behövs. En majoritet av dem vi träffat har framhållit att lagstiftningen ofta hindrar eller hämmar myndigheternas önskade informationsutbyten vid digitala utvecklingsarbeten. Problemen beskrivs vara främst hän- förliga till dataskyddsregleringen i särskilda registerförfattningar och sekretessregleringen. Myndighetsrepresentanterna är relativt samstämmiga i uppfatt- ningen att dataskyddsregleringen är svåröverskådlig, komplex, frag- menterad och onödigt detaljerad. Detaljreglering av informations- utbyten har lett till att regelverket har blivit ett lappverk eftersom nya uppgiftsutbyten ideligen kräver författningsändringar. Lagstiftningsarbetet håller inte heller det tempo som myndig- heternas utvecklingsarbeten kräver vilket leder till att arbetena för- dröjs eller genomförs endast delvis, dvs. inte med den fulla potential som först identifierats. Några har framfört att det vore önskvärt att 18 Med informationsklassning avses att genom konsekvensanalys identifiera skyddsbehovet för en viss informationsmängd. Se 4 § Myndigheten för samhällsskydd och beredskaps före- skrifter om statliga myndigheters informationssäkerhet (MSBFS 2016:1). Kartläggning av hindrande eller hämmande lagstiftning författningsreglera digitala informationsutbyten på mer principiell nivå, kanske inom ramen för en generell myndighetsdatalag.19 Två sätt att reglera digitalt utlämnande I registerförfattningar regleras inte sällan i vilken utsträckning det är tillåtet med utlämnande på medium för automatiserad behandling eller med direktåtkomst till personuppgifter. Det saknas legal- definition av såväl begreppet utlämnande på medium för auto- matiserad behandling som begreppet direktåtkomst. Frågan om vad som är direktåtkomst och vad som är utlämnande på medium för automatiserad behandling har emellertid börjat klarna efter Högsta förvaltningsdomstolens (HFD) dom om För- säkringskassans fråga/svartjänst LEFI Online.20 I regel synes myn- digheternas målsättning nu vara att de system som utvecklas för informationsöverföring ska spegla den tekniska lösningen i LEFI Online. På så sätt blir det inte fråga om direktåtkomst för den mottagande myndigheten. Uppgifterna anses i stället utlämnade på medium för automatiserad behandling och myndigheterna slipper den särskilda problematik med överskottsinformation som blir en effekt av direktåtkomst.21 En konsekvens av HFD:s dom är att visst informationsutbyte, som tidigare förmodats vara direktåtkomst och reglerats därefter, snarare utgör utlämnande på medium för automatiserad behandling med den teknik som används. Som en följd härav har viss reglering av direktåtkomst kommit att bli överflödig. Någon av dem vi talat med menar dock att bestämmelser om direktåtkomst ändå kan ha ett signalvärde trots att bestämmelserna inte tillämpas i praktiken. 19Se betänkande Myndighetsdatalag (SOU 2015:39). 20Se HFD 2015 ref. 61. Frågan i målet gällde om socialnämndernas åtkomst till uppgifter i socialförsäkringsdatabasen genom datasystemet LEFI Online var att anse som direktåtkomst i socialförsäkringsbalkens mening. I målet fann HFD att innebörden av begreppet direkt- åtkomst i socialförsäkringsbalken skulle bestämmas med utgångspunkt i bestämmelserna i 3 § andra stycket tryckfrihetsförordningen. 21Överskottsinformation uppstår därför att det på förhand inte går att avgöra vilka specifika uppgifter i den utlämnande myndighetens informationssamling som den mottagande myndig- heten kan komma att behöva ta del av. Oaktat det förhållandet att den mottagande myndig- heten inte behöver ta del av vissa uppgifter gäller enligt tryckfrihetsförordningen att uppgif- terna anses vara inkommen allmän handling hos den mottagande myndigheten. Se mer om överskottsinformation i betänkande Överskottsinfor- mation vid direktåtkomst (SOU 2012:90). Kartläggning av hindrande eller hämmande lagstiftning Reglering om direktåtkomst är ofta detaljerad. Inom ramen för kartläggningsarbetet vittnar flera om att en sådan reglering i prak- tiken inte alltid uppfyller sitt syfte. Det kan bl.a. bero på att det är svårt att förutse exakt vilka uppgifter den mottagande myndigheten faktiskt har behov av. Om behovet förändras krävs en författnings- ändring som tar tid. När direktåtkomsten inte uppfyller den mottagande myndighetens informationsbehov kan det få effekten att den utlämnande myndigheten, vid sidan av direktåtkomsten, också manuellt måste hantera begäran om utlämnande av uppgifter. Exempel: Transportstyrelsen har direktåtkomst till uppgifter i Polis- myndighetens misstanke- och belastningsregister. I vissa ärenden, t.ex. körkortstillstånd, har dock Transportstyrelsen behov av ytterligare information än den som ges via direktåtkomsten. Detta leder till att , vid sidan av det utlämnande som sker genom direktåtkomsten, behöver hantera över 30 000 begäran om utlämnande till Transportstyrelsen rörande kompletterande ärendeinformation. Det förekommer också att den mottagande myndighetens direkt- åtkomst är inskränkt genom sökbegränsningar, dvs. att myndighe- ten saknar rättsligt stöd för att använda vissa sökbegrepp i den ut- lämnande myndighetens informationssamling. Om det gjorts av- sevärda sådana sökbegräsningar kan det innebära att den mottagande myndigheten inte kan få den information som den har behov av. Exempel: I lagen om fastighetsregister22 finns ett förbud mot att använda personnummer eller del av personnummer som sökbegrepp vid direkt- åtkomst. Vissa myndigheter har emellertid behov av att kunna söka på personnummer i fastighetsregistret. Eftersom nuvarande lagstiftning inte medger detta inom ramen för regleringen av tillåten direktåtkomst behöver den uppgiftshämtande parten kontakta Lantmäteriet för att få stöd med sådana sökningar i varje enskilt fall. Ett annat alternativ som tillämpas i stället för direktåtkomst är att begära ut kopior av relevanta delar av registret för att möjliggöra verksamhetsanpassade sökningar hos den mottagande aktören. En reglering som har till syfte att skydda den enskildes personliga integritet kan på det sättet, dvs. genom att vara alltför restriktiv, leda till ökat utlämnande. Inom ramen för kartläggningsarbetet har ett par myndighetsrepre- sentanter också lämnat exempel på oönskad direktåtkomst, dvs. 22 Lagen (2000:224) om fastighetsregister. Kartläggning av hindrande eller hämmande lagstiftning myndigheterna om val funnits hellre hade fått uppgifterna ut- lämnade på medium för automatiserad behandling i stället för genom direktåtkomst. På så sätt slipper mottagande myndighet bl.a. att hantera problemet med överskottsinformation. Utlämnande på medium för automatiserad behandling Det finns inte någon enhetlig systematik för hur utlämnanden på medium för automatiserad behandling är reglerade. I vissa register- författningar, t.ex. 114 kap. socialförsäkringsbalken, är regleringen om utlämnande på medium för automatiserad behandling för- hållandevis tillåtande.23 I andra registerförfattningar, t.ex. studie- stödsdatalagen och studiestödsdataförordningen, finns en uttöm- mande reglering av vilka uppgifter som får lämnas ut under vilka förutsättningar. En sådan detaljerad reglering kan hindra digitala informationsutbyten. Detaljreglering avseende tillåtligheten av utlämnande på medium för automatiserad behandling kan hindra myndigheter från att exem- pelvis digitalisera masshantering av ärenden som innefattar informa- tionsöverföring till en annan myndighet, t.ex. överklagandeärenden till domstol eller nämnd. Digitalisering av stora ärendeflöden ger betydande effektivitetsvinster för myndigheterna men kan bara ske under förutsättning att den rättsliga regleringen stödjer elektroniskt utlämnande. Även sekretessregleringen kan uppställa hinder mot nödvändiga och ändamålsenliga informationsutbyten mellan myndigheter. I kart- läggningsarbetet har vissa myndighetsrepresentanter framhållit problematiken med sekretessgränser mellan olika verksamheter i förvaltningen. Sekretessgränser uppstår delvis som en följd av hur statsförvaltningen är organiserad med självständiga myndigheter. Men sekretessgränser kan dessutom finnas inom skilda verksam- hetsområden hos en och samma myndighet. Sekretessgränser uppstår också som en effekt av hur en verksamhet väljer 23 114 kap. 24–26 a §§ socialförsäkringsbalken och Behandling av personuppgifter inom social- försäkringens administration, prop. 2002/07:135 s. 97 f. Kartläggning av hindrande eller hämmande lagstiftning att organisera sig. Varje enskild nämnd utgör en egen myndighet med egna sekretessgränser. Det kan ifrågasättas om förvaltningens val av organisation verkligen ska ha den betydelsen som sekretess- gränserna medför. En förutsättning för att en myndighet ska kunna lämna ut en upp- gift till en annan myndighet är att utlämnandet inte hindras av sekretess. Som utgångspunkt gäller sällan sekretess i förhållande till den enskilde som berörs av ett ärende. I myndighetsgemensamma tjänster som tillhandhålls enskilda har därför i vissa fall valet gjorts att sekretessbelagda uppgifter lämnas ut till den enskilde först. Denne får i sin tur välja om uppgifterna ska lämnas vidare till en annan myndig- het. Den enskilde har då själv kontroll över processtegen. Men några har framfört att de tekniska processer som utvecklas blir onödigt tillkrånglade, särskilt med tanke på att digitaliseringen ska förenkla enskildas kontakter med myndigheter.