sou · H5B3114 · 2018-01-01 00:00:00 — Genom att i förordningen tillhandahålla en gemensam grund för ett säkert elektroniskt samspel mellan medborgare, företag och offentliga myndigheter vill medlemsstaterna öka förtroendet för elektroniska transaktioner på den inre marknaden. Därigenom ska effektiviteten hos offentliga och privata nättjänster, elektronisk affärs- verksamhet och e-handel öka i unionen. Ömsesidigt erkännande av elektronisk identifiering (skäl 9 och 12) Det konstateras att medborgare i de flesta fall inte kan använda sin elektroniska identifiering för att autentisera sig2 i en annan medlems- stat därför att de nationella systemen för elektronisk identifiering i deras land inte är erkända i andra medlemsstater. Detta elektroniska hinder utestänger enligt skälen tillhandahållare av e-tjänster från möjligheten att fullt ut utnyttja fördelarna med den inre marknaden. Ömsesidigt erkända medel för elektronisk identifiering bör under- lätta tillhandahållandet av en rad olika tjänster över gränserna på den inre marknaden och ge företagen möjlighet att verka över gränserna utan att stöta på en mängd hinder i sina kontakter med offentliga myndigheter. 2 Autentisering innebär en elektronisk process som gör det möjligt att bekräfta den elek- troniska identifieringen för en fysisk eller juridisk person, eller ursprunget för och integri- teten hos uppgifter i elektronisk form. eIDAS – syfte och innebörd Medlemsstaternas självbestämmande (skäl 12–13) Förordningen syftar inte till att ingripa i fråga om elektroniska identi- tetshanteringssystem och tillhörande infrastrukturer som inrättats i medlemsstaterna. Syftet är att se till att säker elektronisk identifie- ring och autentisering för åtkomst till gränsöverskridande nättjänster som erbjuds av medlemsstaterna är möjlig. Medlemsstaterna bör fortsättningsvis ha rätt att för elektronisk identifiering använda eller införa medel för åtkomst till nättjänster. De bör ha möjlighet att själva bestämma om de vill engagera den pri- vata sektorn i tillhandahållandet av dessa medel. De bör inte vara skyldiga att anmäla sina system för elektronisk identifiering till kom- missionen. Det ankommer på medlemsstaterna att välja om de till kommissionen vill anmäla alla, några eller inga av de elektroniska identifieringssystem som används på nationell nivå för att få åtkomst till åtminstone offentliga nättjänster eller särskilda nättjänster. Principer och gränser för ömsesidigt erkännande (skäl 14) Förordningen bör innehålla villkor för vilka medel för elektronisk identifiering som måste erkännas och hur systemen för elektronisk identifiering bör anmälas. Dessa villkor syftar till att hjälpa medlems- staterna att bygga upp det förtroende som krävs för varandras system för elektronisk identifiering. Principen om ömsesidigt erkän- nande bör gälla om den anmälande medlemsstatens system för elek- tronisk identifiering uppfyller villkoren för anmälan och om anmälan har offentliggjorts. Principen om ömsesidigt erkännande bör dock en- dast avse autentisering för en nättjänst. Åtkomsten till nättjänsten och dess slutliga leverans till användaren bör vara nära kopplad till rätten att ta emot sådana tjänster enligt villkoren i nationell lagstiftning. Skadeståndsansvar (skäl 18) I förordningen bör det föreskrivas skadeståndsansvar för den anmäl- ande medlemsstaten, den aktör som utfärdar medlet för elektronisk identifiering och den aktör som har hand om autentiseringsförfaran- det vid underlåtenhet att uppfylla relevanta skyldigheter enligt förord- ningen. Förordningen bör dock tillämpas i enlighet med nationella eIDAS – syfte och innebörd bestämmelser om skadeståndsansvar. Den ska därför inte påverka tillämpningen av nationella bestämmelser om t.ex. definition av skada eller relevanta tillämpliga förfaranderegler exempelvis om bevisbörda. Säkerhet och samarbete (skäl 19–20) Säkerheten i system för elektronisk identifiering är enligt skälen avgörande för ett tillförlitligt gränsöverskridande ömsesidigt erkän- nande av medel för elektronisk identifiering. Mot denna bakgrund bör medlemsstaterna samarbeta med avseende på säkerheten och interoperabiliteten i systemen för elektronisk identifiering på unions- nivå. Medlemsstaternas samarbete bör underlätta den tekniska inter- operabiliteten för de anmälda systemen för elektronisk identifiering i syfte att främja en hög nivå av förtroende och en säkerhetsnivå som är anpassad till risknivån. Ett utbyte av information och bästa praxis mellan medlemsstaterna med sikte på ömsesidigt erkännande bör bidra till detta samarbete. Betrodda tjänster (skäl 21–67) Liksom när det gäller artiklarna handlar en stor del av skälen till förordningen om betrodda tjänster. Någon allmän skyldighet att an- vända dem eller att installera en accesspunkt för alla befintliga be- trodda tjänster bör enligt skälen inte skapas. I synnerhet bör förord- ningen inte gälla tillhandahållande av tjänster som endast används inom slutna system mellan en avgränsad uppsättning deltagare, och som inte påverkar tredje man. Endast betrodda tjänster som till- handahålls för allmänheten och som påverkar tredje man behöver uppfylla förordningens krav. På grund av den snabba tekniska utvecklingen bör förordningen omfatta en strategi som är öppen för innovation. Förordningen bör även vara teknikneutral. I övrigt behandlar skälen bl.a. tillsynsorgan, skadeståndsansvar och säkerhetsfrågor när det gäller betrodda tjänster. eIDAS – syfte och innebörd Förordningens första kapitel behandlar syfte, tillämpningsområde och definitioner. I artikel 1 anges att i syfte att säkerställa en väl funge- rande inre marknad och uppnå en lämplig säkerhetsnivå för medel för elektronisk identifiering och betrodda tjänster fastställs i förord- ningen a)de villkor på vilka medlemsstaterna erkänner medel för elektronisk identifiering av fysiska och juridiska personer som omfattas av ett anmäl system för elektronisk identifiering hos en annan medlems- stat, b)regler för betrodda tjänster, i synnerhet elektroniska transaktioner, och c)en rättslig ram för elektroniska underskrifter, elektroniska stämp- lar, elektronisk tidsstämpling, elektroniska dokument, elektro- niska tjänster för rekommenderade leveranser och certifikattjän- ster för autentisering av webbplatser. I artikel 2 följer en beskrivning av förordningens tillämpningsområde och artikel 3 innehåller definitioner av 41 centrala begrepp som an- vänds i förordningstexten och i genomförandeakterna. Artikel 4 be- skriver inremarknadsprincipen som bl.a. innebär att produkter och betrodda tjänster som överensstämmer med förordningen ska om- fattas av fri rörlighet på den inre marknaden. Av artikel 5 följer att per- sonuppgifter ska behandlas i enlighet med dataskyddsdirektivet.3 Dess- utom ska användningen av pseudonymer vid elektroniska transaktioner inte förbjudas. Förordningens andra kapitel behandlar elektronisk identifiering och inleds med artikel 6 om ömsesidigt erkännande. Enligt första punk- ten har offentliga organ (myndigheter) skyldighet att erkänna andra 3 Direktiv /46/EG. Dataskyddsdirektivet kommer ersättas av Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). eIDAS – syfte och innebörd medlemsstaters elektroniska identitetshandlingar för gränsöverskri- dande autentisering i e-tjänster som kräver elektronisk identifiering och autentisering för nationell åtkomst, förutsatt att a)den elektroniska identitetshandlingen är utfärdad inom ramen för ett system för elektronisk identifiering som ingår i kommis- sionens förteckning enligt artikel 9, b)tillitsnivån för den elektroniska identitetshandlingen motsvarar en tillitsnivå som är lika hög eller högre än den tillitsnivå som den offentliga myndigheten i fråga kräver för åtkomst till den aktuella e-tjänsten, förutsatt att tillitsnivån för den elektroniska identitetshandlingen motsvarar tillitsnivån väsentlig eller hög, c)den offentliga myndigheten i fråga använder tillitsnivån väsentlig eller hög i samband med åtkomst till nättjänsten. Det innebär alltså en skyldighet för offentlig sektor att erkänna andra anmälda elektroniska identitetshandlingar för gränsöverskri- dande autentisering om tillitsnivån på den utländska notifierade elektroniska identitetshandlingen är minst nivå väsentlig och minst samma eller högre än vad som krävs nationellt, och det nationellt krävs minst tillitsnivå väsentlig.4 Enligt andra punkten får en offentlig myndighet erkänna en elek- tronisk identitetshandling som ingår i kommissionens förteckning och som motsvarar tillitsnivå låg. Det är alltså valfritt för den offentliga myndigheten. Artikel 7 beskriver vad som krävs för att ett system för elektro- nisk identifiering ska kunna anmälas enligt artikel 9.1. Bland annat följande villkor ska vara uppfyllda: a)Den elektroniska identitetshandlingen ska vara utfärdad i)av den anmälande medlemsstaten, ii)på uppdrag av den anmälande medlemsstaten, eller iii)oberoende av den anmälande medlemsstaten och erkännas av den medlemsstaten. 4 Tillitsnivå väsentlig har bedömts motsvara svensk tillitsnivå 3, se avsnitt 12.7 om svenska tillitsnivåer. eIDAS – syfte och innebörd Anmälan av privata utfärdare av elektroniska identitetshandlingar är alltså tillåtet om den elektroniska identitetshandlingen är godkänd i den anmälande medlemsstaten. b)Den elektroniska identitetshandlingen ska kunna användas för att få åtkomst till åtminstone en tjänst som tillhandahålls av en offentlig myndighet och som kräver elektronisk identifiering i den anmälande medlemsstaten. c)Den elektroniska identitetshandlingen ska uppfylla kraven för åt- minstone en av de tillitsnivåer som anges i den genomförandeakt som avses i artikel 8.3. Därefter regleras fördelning av ansvar mellan anmälande medlemsstat och den aktör som utfärdar elektroniska identitetshandlingar när det gäller personidentifieringsuppgifter och tilldelning av elektroniska identitetshandlingar. Den anmälande medlemsstaten ska se till att en autentiseringstjänst erbjuds samtliga förlitande aktörer. Tjänsten får förenas med särskilda villkor för den privata sektorn och ska vara kostnadsfri för förlitande aktörer i den offentliga sektorn. I artikel 8 beskrivs systemet med tillitsnivåer för elektroniska identitetshandlingar. Tillitsnivåerna låg, väsentlig eller hög ska speci- ficeras för anmälda elektroniska identitetshandlingar. Vad varje tillits- nivå innebär förtydligas i en genomförandeförordning.5 Artikel 9 handlar om hur elektroniska identitetshandlingar anmäls till kommissionen för att kunna inkluderas i förteckningen av elek- troniska identitetshandlingar som ska erkännas i medlemsstaternas offentliga e-tjänster. Anmälan ska bland annat innehålla en beskriv- ning av den elektroniska identitetshandlingen inbegripet dess tillits- nivåer och av utfärdaren eller utfärdarna av den elektroniska identitets- handlingen. Anmälan ska även innehålla uppgift om det tillämpliga systemet för tillsyn och information om systemet för skadestånds- ansvar när det gäller både utfärdare och den aktör som handhar auten- tiseringsförfarande. Dessutom ska den eller de offentliga myndigheter som ansvarar för den elektroniska identitetshandlingen anges samt 5 Kommissionens genomförandeförordning (EU) 2015/1502 av om fastställande av tekniska minimispecifikationer och förfaranden för tillitsnivåer för medel för elektronisk identifiering i enlighet med artikel 8.3 i och rådets förord- ning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden. eIDAS – syfte och innebörd information om den eller de enheter som hanterar registreringen av de unika personuppgifterna. I övrigt krävs också bl.a. uppgift om system för tillfälligt upphävande eller återkallelse av den anmälda elektroniska identitetshandlingen. En medlemsstat får själv lämna in begäran till kommissionen om att ta bort en elektronisk identitetshandling från förteckningen. Fler definitioner av hur anmälan och avanmälan ska gå till finns i ett genomförandebeslut.6 Artikel 10 behandlar säkerhetsincidenter och vilka åtgärder som ska vidtas om en anmäld elektronisk identitetshandling utsätts för intrång eller delvis äventyras på ett sätt som påverkar tillförlitlig- heten i systemets gränsöverskridande autentisering. Den anmälande medlemsstaten ska då utan dröjsmål tillfälligt upphäva eller återkalla denna gränsöverskridande autentisering eller de berörda utsatta delarna och informera andra medlemsstater och kommissionen. När incidenten har åtgärdats kan den gränsöverskridande autentiseringen återinföras och de andra medlemsstaterna ska informeras om det. Om problemet inte har åtgärdats ska den elektro- niska identitetshandlingen dras tillbaka. I artikel 11 berörs frågor om skadeståndsansvar. I princip bär varje aktör skadeståndsansvar för det man ansvarar för. Den anmä- lande medlemsstaten har skadeståndsansvar för skada som åsamkats genom dess underlåtenhet att uppfylla sina skyldigheter enligt arti- kel 7. Den aktör som utfärdat den elektroniska identitetshandlingen har skadeståndsansvar för skada som åsamkats genom underlåtenhet att uppfylla sina skyldigheter enligt artikel 7. Den aktör som handhar autentiseringsförfarandet har skadeståndsansvar för skada som åsam- kats genom underlåtenhet att säkerställa korrekt handhavande av autentisering enligt artikel 7. Ovanstående regler ska enligt artikel 11.4 tillämpas i enlighet med nationella regler om skadeståndsansvar. Det är dock inte specificerat vilka nationella regler som avses. Det kan vara reglerna i den med- lemsstat som ansvarar för den elektroniska identitetshandlingen eller i den eller de medlemsstater där incident har uppstått. 6 Kommissionens genomförandebeslut (EU) 2015/1984 av om förut- sättningar, format och förfaranden för anmälan enligt artikel 9.5 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden. eIDAS – syfte och innebörd Artikel 12 behandlar samarbete och interoperabilitet. Anmälda elektroniska identitetshandlingar ska följa ett interoperabilitetsramverk som ska uppfylla vissa kriterier. Det ska vara teknikneutralt, följa euro- peiska och internationella standarder och främja integritetsskydd samt säkerställa persondataskydd. Vidare anges i artikel 12 att medlemsstaterna ska samarbeta när det gäller säkerhet, tillitsnivåer och interoperabilitet. De ska utbyta er- farenheter inom områden som berör sakkunnighetsbedömningar, minimikrav på teknik för interoperabilitet och minimikrav på attribut. Vidare definitioner när det gäller interoperabilitet och samarbete finns i en genomförandeförordning.7 Genomförandeförordningen innehåller regler om bland annat tek- niska minimikrav rörande tillitsnivåer och kartläggning av nationella tillitsnivåer för anmälda medel för elektronisk identifiering som utfär- dats inom ramen för anmälda system för elektronisk identifiering, tekniska minimikrav på interoperabilitet, minimuppsättningen av per- sonidentifieringsuppgifter som är unika för en fysisk eller juridisk person, gemensamma standarder för operativ säkerhet och bestäm- melser för tvistlösning. Förordningens kapitel III om betrodda tjänster omfattar 32 artiklar indelade i åtta avsnitt. Nedan följer en översiktlig beskrivning av reglernas innebörd. Artikel 13 behandlar skadeståndsansvar och bevisbörda när det gäller betrodda tjänster. Även här ansvarar varje aktör för åsamkad skada. Kvalificerade tillhandahållare av betrodda tjänster har bevisbörda för att visa att skadan uppstått utan avsikt eller oaktsamhet hos den kvalificerade tillhandahållaren. Däremot är det den som gör gällande 7 Kommissionens genomförandeförordning (EU) 2015/1501 av om interoperabilitetsramverket enligt artikel 12.8 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska tran- saktioner på den inre marknaden. eIDAS – syfte och innebörd skada som har bevisbördan för avsikt eller oaktsamhet hos en icke- kvalificerad tillhandahållare av betrodda tjänster. Reglerna ska tillämpas i enlighet med nationella bestämmelser om skadeståndsansvar men inte heller när det gäller betrodda tjänster specificerar förordningen vilken medlemsstats nationella bestämmel- ser som ska gälla. De allmänna bestämmelserna innehåller även artiklar som behand- lar vissa internationella aspekter, tillgänglighet för personer med funk- tionshinder och sanktioner. I artikel 17 finns regler om tillsynsorgan. Medlemsstaterna ska utse ett tillsynsorgan. Tillsynsorganet ska utöva tillsyn över kvalificerade tillhandahållare av betrodda tjänster och även vid behov vidta åtgär- der avseende icke-kvalificerade tillhandahållare av betrodda tjänster om tillsynsorganet tar del av påståenden att dessa inte uppfyller för- ordningens krav. Artikelns lydelse specificerar vilka uppgifter som ingår i tillsynen. I är () utsedd till tillsynsorgan. Tillsynsorganen ska enligt artikel 18 samarbeta och ge varandra bistånd men har också möjlighet att under vissa förutsättningar vägra sådant bistånd. Artikel 19 innehåller regler om säkerhetskrav på tillhandahållare av betrodda tjänster. Enligt första punkten ska kvalificerade och icke kvalificerade tillhandahållare av betrodda tjänster vidta lämpliga tek- niska och organisatoriska åtgärder för att hantera säkerhetsriskerna hos de betrodda tjänster som de tillhandahåller. Åtgärderna ska säker- ställa att säkerhetsnivån står i proportion till graden av risk. Enligt 19.2 ska kvalificerade och icke kvalificerade tillhandahållare av betrodda tjänster, utan otillbörligt dröjsmål och under alla omstän- digheter efter upptäckt, underrätta tillsynsorganet och i förekommande fall andra relevanta organ, såsom det behöriga nationella organet för informationssäkerhet eller dataskyddsmyndig- heten, om alla säkerhetsincidenter och integritetsförluster som i be- tydande omfattning påverkar den betrodda tjänst som tillhandahålls eller på de personuppgifter som ingår i denna. eIDAS – syfte och innebörd När det är troligt att säkerhetsincidenten eller integritetsförlusten kommer att ha negativ inverkan på en fysisk eller juridisk person till vilken den betrodda tjänsten har tillhandahållits, ska tillhandahållaren av betrodda tjänster utan onödigt dröjsmål även underrätta den fysi- ska eller juridiska personen om säkerhetsincidenten eller integritets- förlusten. Tillsynsorganet har vid sådana säkerhetsincidenter eller integri- tetsförluster i uppgift att, om det är lämpligt, informera övriga med- lemsstater, allmänheten samt Europeiska byrån för nät- och informa- tionssäkerhet (). Kraven på kvalificerade betrodda tjänster är högre än på icke kvalifi- cerade betrodda tjänster. Därför är det i högre grad specificerat vad som gäller för kvalificerade betrodda tjänster. I förordningens arti- kel 20 regleras hur tillsyn av kvalificerade betrodda tjänster ska gå till. Minst en gång och på egen bekostnad ska kvalifi- cerade tillhandahållare av betrodda tjänster granskas. Tillsynsorganet får dessutom när som helst utföra granskning. Om den kvalificerade tillhandahållaren underlåter att åtgärda något som tillsynsorganet har påpekat kan tillsynsorganet komma att återkalla tjänstens status som kvalificerad. Artikel 21 innehåller krav för att sätta igång en kvalificerad be- trodd tjänst. Detta ska anmälas till tillsynsorganet som, om tillhanda- hållaren uppfyller förordningens krav, ska bevilja status som kvalific- erad och föra upp tillhandahållaren på förteckningen över kvalifice- rade tillhandahållare. Varje medlemsstat ska enligt artikel 22 upprätta, underhålla och offentliggöra förteckningar med uppgifter om kvalificerade tillhanda- hållare av betrodda tjänster som den ansvarar för, tillsammans med uppgifter om de kvalificerade betrodda tjänster som dessa tillhanda- håller. Detta görs i på PTS webbplats. Kvalificerade tillhandahållare av betrodda tjänster får enligt arti- kel 23 använda sig av EU-förtroendemärket för att på ett enkelt, igenkännligt och tydligt sätt ange de kvalificerade betrodda tjänster som de tillhandahåller. eIDAS – syfte och innebörd Kommissionens genomförandeförordning (EU) 2015/806 av om fastställande av specifikationer för utformningen av EU-förtroendemärket för kvalificerade betrodda tjänster, bilaga I och II. I artikel 24 behandlas kraven på kvalificerade tillhandahållare av be- trodda tjänster. Tillhandahållaren ska, när den utfärdar ett kvalifi- cerat certifikat för en betrodd tjänst, på lämpligt sätt och i enlighet med nationell rätt kontrollera identiteten och i förekommande fall eventuella särskilda attribut för den fysiska eller juridiska person till vilken det kvalificerade certifikatet utfärdas. Detta kan göras genom fysisk närvaro, elektronisk identitetshandling med tillitsnivå väsent- lig eller hög, certifikat för kvalificerad elektronisk underskrift eller en kvalificerad elektronisk stämpel, eller slutligen med hjälp av andra identifieringsmetoder som erkänns på nationell nivå och som erbjuder garantier som är likvärdiga med fysisk närvaro. Likvärdiga garantier ska då bekräftas av ett organ för bedömning av överensstämmelse. Övriga krav inkluderar bland annat informationsplikt, kunskap hos personal och underleverantörer, ekonomiska medel eller försäk- ring för att täcka risk för ansvar vid skador, säkerhet, tillförlitlig lag- ring av uppgifter, plan för verksamhetens upphörande samt att säker- ställa laglig behandling av personuppgifter. Rättslig verkan av elektroniska underskrifter beskrivs i artikel 25. En elektronisk underskrift får inte förvägras rättslig verkan eller giltig- het som bevis vid rättsliga förfaranden enbart på grund av att under- skriften har elektronisk form eller inte uppfyller kraven för kvalifi- cerade elektroniska underskrifter. eIDAS – syfte och innebörd En kvalificerad elektronisk underskrift ska ha motsvarande rättsliga verkan som en handskriven underskrift och erkännas som en kvalifi- cerad elektronisk underskrift i samtliga medlemsstater. I artikel 26 återfinns de krav som ställs på en avancerad elektro- nisk underskrift. Den ska vara knuten till undertecknaren, underteck- naren ska kunna identifieras genom den, den ska vara skapad så att undertecknaren med hög grad av tillförlitlighet kan använda den ute- slutande under sin egen kontroll och slutligen ska efterföljande änd- ringar av de undertecknade uppgifterna kunna upptäckas. Elektroniska underskrifter i offentliga tjänster är enligt artikel 27 föremål för ömsesidigt erkännande på motsvarande nivå. Medlems- staterna ska för gränsöverskridande användning av nättjänster som erbjuds av ett offentligt organ inte kräva en elektronisk underskrift med en högre säkerhetsnivå än den som gäller för kvalificerade elek- troniska underskrifter. Vissa regler när det gäller kvalificerade certifikat för elektroniska underskrifter finns i artikel 28 men kraven de ska uppfylla finns i bilaga I till förordningen. Där specificeras vad certifikaten ska inne- hålla. En liknande konstruktion har valts när det gäller anordningar för skapande av kvalificerade elektroniska underskrifter i artikel 29– 30 och bilaga II. Kommissionen ska enligt artikel 31 offentliggöra en förteckning över certifierade anordningar för skapande av kvalificerade elektro- niska underskrifter. Giltigheten för en kvalificerad elektronisk underskrift kan bekräf- tas genom validering. Artikel 32 innehåller krav för sådan validering och artikel 33 reglerar kvalificerade valideringstjänster för kvalifice- rade elektroniska underskrifter. I artikel 34 finns en regel om vem som får tillhandahålla en kvalifi- cerad tjänst för bevarande av kvalificerade elektroniska underskrifter. Elektroniska stämplars rättsliga verkan beskrivs i artikel 35. Den får inte förvägras rättslig verkan enbart på grund av att den har elektro- nisk form.