sou · H5B3114 · 2018-01-01 00:00:00 — Denna verksamhet bedöms av utredningen falla inom ramen för det anslag som digitaliseringsmyndigheten får i övrigt för verksamheten kopplad till eIDAS-förordningen, noden och gräns- överskridande identifiering. Kapitel 19 – Betrodda tjänster enligt eIDAS-förordningen Av eIDAS-förordningen följer bl.a. en skyldighet för svenska myndig- heter, kommuner och landsting att erkänna europeiska anmälda elek- troniska underskrifter. I kapitel 19 föreslår utredningen att regeringen ska ge digitaliseringsmyndigheten i uppdrag att specificera, tillhanda- hålla eller upphandla en gemensam valideringstjänst för att statliga myndigheter, kommuner och landsting ska kunna validera elektro- niska underskrifter från andra länder. Skälen för detta förslag behand- las närmare i avsnitt 19.5.2. Även detta förslag bedöms av utredningen falla inom ramen för det anslag som digitaliseringsmyndigheten får i övrigt för verksamheten kopplad till eIDAS-förordningen. Kapitel 20 – Framtida användning av europeiska identitetshandlingar i myndigheternas e-tjänster Utredningen bedömer i kapitel 20 bl.a. att digitaliseringsmyndigheten bör prioritera deltagande i samarbetsnätverket för elektroniska identi- tetshandlingar och sakkunnigbedömningar. Det är svårt att uppskatta de ekonomiska konsekvenserna av detta eftersom ingen vet i vilken takt medlemsländerna kommer att anmäla sina elektroniska identi- tetshandlingar för gränsöverskridande identifiering. Av ett aktivt deltagande bör dock följa insikter om vad som är på väg att hända och kunskaper om de andra medlemsstaternas processer för att ta fram lämpliga elektroniska identitetshandlingar. Vetskap om detta kan underlätta i prioriteringsarbetet och även ge indikationer på om digitaliseringsmyndigheten i sitt budgetunderlag behöver begära ökade anslag för att sköta uppgiften på ett tillfredsställande sätt. När det gäller konsekvenser av förslaget om kopplingsregister hänvisar utredningen till den konsekvensanalys som har genomförts av i promemorian Koppling mellan europeiska eID- handlingar och svenska personnummer eller styrkta samordnings- nummer.11 11 Dnr 131 184020-16/113, s. 68 ff. Kapitel 21 – En lag om infrastruktur för digital post För konsekvensanalysen avseende förslaget om lag om infrastruktur för digital post hänvisar utredningen till delbetänkandet12 och kom- pletterar här med konsekvenserna av de kompletterande förslag som utredningen lämnar i detta slutbetänkande. I konsekvenshänseende är det framför allt två viktiga skillnader mellan det tidigare förslaget och det förslag som utredningen nu lämnar. Dels öppnar förslagen för att privata utförare av kommunala angelägenheter ska kunna vara avsändare i infrastrukturen, dels ska även företag inom andra verksamheter kunna vara avsändare i infra- strukturen. Det innebär alltså att fler aktörer kan vara avsändare, fler avtal måste skrivas för att det ska stå klart vad varje aktör ansvarar för och mer uppgifter behöver registreras i förmedlingsadressregistret. För statliga myndigheter innebär utredningens förslag om en ny lag om Mina meddelanden i detta slutbetänkande inte någon sub- stantiell förändring jämfört med förslaget i delbetänkandet.13 För kommuner och landsting innebär utredningens förslag i detta slut- betänkande ingen förändring utom i det avseende som gäller möj- ligheter för privata utförare att ansluta som avsändare i infrastruk- turen. Kommunerna och landstingen ska enligt förslaget ansvara för att anmäla de privata utförare som de bedömer ska vara avsändare i infrastrukturen. De ska även avanmäla de privata utförarna när det blir aktuellt och dessutom ansvara för att de privata utförarna använder infrastrukturen till det den ska användas och inte för några andra syften. Genom förslaget möjliggörs principen om likabehandling som har lyfts fram bl.a. av kommuner och SKL. Det spelar inte längre någon roll om det är en privat utförare som tar hand om den kommunala angelägenheten, den digitala posten kan skickas på precis samma sätt som om det är kommunen eller som själv utför ange- lägenheten. För mottagaren blir det ingen skillnad om man har valt en privat utförare eller inte. All digital post från dessa avsändare kan hamna i samma digitala brevlåda. När det gäller ansvaret för de privata utfärdarna regleras det i kommunallagen att kommunen eller ska kontrollera och 12Kapitel 7.2 i SOU 2017:23 digitalforvaltning.nu. 13SOU 2017:23, digitalforvaltning.nu, s. 264 ff. följa upp verksamheten.14 Dessutom ska de kommuner och landsting som sluter avtal med en privat utförare, genom avtalet tillförsäkra sig information som gör det möjligt att ge allmänheten insyn i den verk- samhet som lämnas över.15 Det innebär att kommuner och landsting som sluter avtal med privata utförare redan har ansvar för att kontrollera och följa upp deras verksamhet. De ska också få den information som behövs för insyn i den överlämnade verksamheten. Detta torde även innefatta den analoga postgång som de privata utförarna använder sig av . Utredningens förslag medför att vissa rutiner kan behöva ändras och kommuner och landsting behöver vara medvetna om att använd- ningen av Mina meddelanden ingår i den verksamhet som de enligt kommunallagen ska kontrollera och följa upp. är detta ett ansvar som kommuner och landsting redan har men som genom för- slagen kan få ny inriktning. Det beskrivna förslaget ska ses som en möjlighet som har efter- frågats av många. De kommuner och landsting som bedömer att de inte kan ta det ansvar som krävs behöver inte anmäla privata utförare som avsändare i infrastrukturen. Ett krav för anmälan är att kom- munen eller också själva ska vara anslutna som avsändare. När de är anslutna och själva använder sig av infrastrukturen får de kunskap i hur det fungerar och kan då lättare avgöra hur de ska kunna ansvara för sina respektive privata utförares användning. är 17 kommuner anslutna som avsändare i Mina meddelanden med ganska få flöden. Utredningen bedömer att anslutningen av privata utförare inte kommer att bli särskilt omfattande, i vart fall inte i det korta perspektivet. Privata utförare som avsändare kommer antingen att anslutas på grund av att den privata utföraren inför säker e-post till brukare som en del av sitt tjänsteutbud och erbjuder det som en del av paketet, eller att kommunerna kräver det i sin upphand- ling. Detta talar för att det kommer att ta tid innan det blir någon märkbar volym. Vad som talar för en anslutning är att företag som är privata ut- förare kanske inte har byggt ut e-tjänster såsom mina sidor för bru- karna. Detta kan särskilt gälla små företag. Mina meddelanden kan därmed uppfattas som ett bra sätt att säkert kommunicera med bru- 1410 kap. 8 § kommunallagen (2017:725). 1510 kap. 9 § kommunallagen (2017:725). innebär ju den relativt låga anslutningsgraden bland mottagare att företaget inte kan vara säker på att nå alla sina brukare via Mina meddelanden. Detta talar emot ett mer omfattande intresse så länge som inte den större delen av befolkningen kan nås. Företag och organisationer som utför uppgifter av allmänt intresse Utredningen föreslår att företag och organisationer som utför upp- gifter av allmänt intresse också ska tillåtas ansluta sig som avsändare i infrastrukturen för digital post. Enligt förslaget ska regeringen be- sluta om vilka typer av verksamheter som ska släppas in i infrastruk- turen. Utredningen föreslår att man börjar med friskolor, banker, för- säkringsföretag, pensionsförvaltare, kreditupplysningsföretag, apotek, bilbesiktningsföretag och bostadsföretag. Förslaget bedöms inte medföra några särskilda konsekvenser för vare sig statliga myndigheter, kommuner eller landsting. Förutom de aktuella företag som tillåts skicka digital post genom infrastrukturen påverkar förslagen främst mottagare, alltså individer som har anmält att de vill ha digital post. De kommer kunna samla allt mer post från olika sorters avsändare i samma digitala brevlåda. För de mottagare som exempelvis har barn i olika skolformer, kan de ta emot digital post på samma sätt oavsett om barnet går i skola eller fri- skola. Utredningen har i föregående kapitel redogjort för de överväganden som ligger bakom de förändringar av bestämmelser som utredningen föreslår i detta betänkande. Av den anledningen är författningskom- mentarerna begränsade till att i huvudsak avse hänvisningar till de avsnitt i betänkandet där respektive bestämmelse behandlas. 23.1Förslag till lag om statlig elektronisk identitetshandling I denna lag finns bestämmelser om statliga elektroniska identitets- handlingar. Förslaget behandlas i avsnitt 12.7 och 12.8. En statlig elektronisk identitetshandling kan utfärdas till den som är svensk medborgare eller folkbokförd i enligt folkbokförings- lagen (1991:481). Förslaget behandlas i avsnitt 12.8. En statlig elektronisk identitetshandling innehåller följande uppgifter om en individ: Regeringen eller den myndighet som regeringen bestämmer får besluta om att lägga till andra uppgifter om en person i den elektroniska iden- titetshandlingen. Förslaget behandlas i avsnitt 12.8.1. En statlig elektronisk identitetshandling ska utfärdas på den högsta svenska tillitsnivån enligt tillitsramverket i lagen om infrastruktur för elektronisk identifiering och kvalitetsmärket elektronisk identi- tetshandling. En statlig elektronisk identitetshandling ska utformas enligt de tek- niska specifikationerna i lagen om infrastruktur för elektronisk identi- fiering och kvalitetsmärket elektronisk identitetshandling. Förslaget behandlas i avsnitt 12.7.2. En statlig elektronisk identitetshandling ska finnas på de fysiska identi- tetshandlingar som regeringen bestämmer. En statlig elektronisk identitetshandling har samma giltighetstid som den fysiska identitetshandling som den finns på. Förslaget behandlas i avsnitt 12.7. Ansökan om en statlig elektronisk identitetshandling ska göras hos de myndigheter (utfärdande myndigheter) som regeringen bestämmer. Förslaget behandlas i avsnitt 12.8.3. Ansökan om en statlig elektronisk identitetshandling ska göras i samband med ansökan om en fysisk identitetshandling. Uppgifterna i ansökan ska avges på heder och samvete eller under annan sådan försäkran. Sökanden är skyldig att inställa sig personligen. Förslaget behandlas i avsnitt 12.8.3. Sökanden är skyldig att i samband med ansökan om en statlig elektro- nisk identitetshandling styrka sin identitet och övriga personuppgifter. Förslaget behandlas i avsnitt 12.8.3. En ansökan om en statlig elektronisk identitetshandling ska avslås om förutsättningarna i 8 § inte är uppfyllda eller det som har föreskrivits av regeringen i fråga om ansökan inte har iakttagits och sökanden inte har följt en uppmaning att avhjälpa bristen. Förslaget behandlas i avsnitt 12.8.3. Regeringen eller de myndigheter som regeringen bestämmer får med- dela ytterligare föreskrifter om ansökan och utfärdande av statliga elektroniska identitetshandlingar. Förslaget behandlas i avsnitt 12.8.3. Statliga myndigheter, kommuner och landsting ska erkänna identifie- ring med den statliga elektroniska identitetshandlingen i de e-tjänster där myndigheten, kommunen eller kräver elektronisk identifiering. Förslaget behandlas i avsnitt 12.8.4. Användare får använda den statliga elektroniska identitetshandlingen som underlag vid ansökan om en annan elektronisk identitetshand- ling. Förslaget behandlas i avsnitt 12.8.5. Regeringen eller de myndigheter som regeringen bestämmer får upp- ställa villkor för när en statlig elektronisk identitetshandling får an- vändas som underlag för ansökan om en annan elektronisk identitets- handling. Förslaget behandlas i avsnitt 12.8.5. När en statlig elektronisk identitetshandling används som underlag vid ansökan om en elektronisk identitetshandling hos en annan utfärdare av elektroniska identitetshandlingar ska denne informera den utfär- dande myndigheten. Förslaget behandlas i avsnitt 12.8.6. Den utfärdande myndigheten ska registrera vilka andra elektroniska identitetshandlingar som har skapats med den statliga elektroniska iden- titetshandlingen som underlag. Förslaget behandlas i avsnitt 12.8.6. En statlig elektronisk identitetshandling ska spärras om –det fanns hinder mot att utfärda den statliga elektroniska identitets- handlingen vid tiden för utfärdandet och hindret fortfarande består, –någon väsentlig uppgift som framgår av den statliga elektroniska identitetshandlingen är felaktig och inte längre gäller, eller –någon annan än den som den statliga elektroniska identitetshand- lingen är utställd till förfogar över den statliga elektroniska identitets- handlingen. Förslaget behandlas i avsnitt 12.8.7. Om en statlig elektronisk identitetshandling spärras ska den utfärdande myndigheten informera de utfärdare av elektroniska identitetshand- lingar, som har använt den statliga elektroniska identitetshandlingen som underlag om detta. Förslaget behandlas i avsnitt 12.8.7 och 12.8.9. Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om förfarandet vid spärr av statliga elektroniska identi- tetshandlingar. Förslaget behandlas i avsnitt 12.8.7. Beslut enligt denna lag får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätt. Förslaget behandlas i avsnitt 12.8.8. Beslut enligt denna lag gäller , om inte något annat anges i beslutet. Förslaget behandlas i avsnitt 12.8.8. 23.2Förslag till lag om infrastruktur för elektronisk identifiering och kvalitetsmärket elektronisk identitetshandling I denna lag finns bestämmelser om infrastruktur för elektronisk identi- fiering och kvalitetsmärket elektronisk identitetshandling. I infrastrukturen för elektronisk identifiering ingår: 2.tekniska specifikationer för elektronisk identifiering, 3.register med utfärdare och förlitande aktörer samt 4.modell för dialogruta med valbara elektroniska identitetshandlingar. Svensk elektronisk identitetshandling är ett kvalitetsmärke för elektro- niska identitetshandlingar som har granskats och godkänts mot tillits- ramverket och de tekniska specifikationerna. Förslaget behandlas i avsnitt 14.3. I lagen avses med 1.användare: den som har en elektronisk identitetshandling, 2.elektronisk identitetshandling: en värdehandling som en använ- dare kan använda för att identifiera sig elektroniskt, 3.fysisk bärare: en fysisk identitetshandling, en koddosa eller liknande, 4.mobil bärare: exempelvis en smarttelefon eller en surfplatta, 5.förlitande aktör: den som behöver verifiera en användares upp- gifter vid identifiering mot en e-tjänst, 6.utfärdare: den som utfärdar en elektronisk identitetshandling till en användare, 7.tillitsramverk: ett graderat ramverk för tillförlitlighet i utfärdade elektroniska identitetshandlingar, 8.tillitsnivå: en nivå inom tillitsramverket, 9.tekniska specifikationer: tekniska krav som ställs på elektronisk identi- fiering, 10.modell för dialogruta med valbara elektroniska identitetshandlingar: gruppering av elektroniska identitetshandlingar som har kvalitetsmär- ket Svensk elektronisk identitetshandling och som presenterar dessa i en dialogruta för användaren när denne ska identifiera sig elektroniskt. Förslaget behandlas i avsnitt 14.3.1. Det ska finnas ett tillitsramverk för elektroniska identitetshandlingar, som löpande ska anpassas till väletablerade standarder och utveck- lingen i övrigt samt de hot och risker som kan uppkomma på området. Förslaget behandlas i avsnitt 14.3.2. Den myndighet som regeringen bestämmer ska förvalta och utveckla tillitsramverket enligt 3 §. Förslaget behandlas i avsnitt 14.3.2. och 14.3. Det ska finnas tekniska specifikationer för elektronisk identifiering, som löpande ska anpassas till väletablerade standarder, utvecklingen i övrigt, samt de hot och risker som kan uppkomma på området. Förslaget behandlas i avsnitt 14.3.3. Den myndighet som regeringen bestämmer ska förvalta och utveckla tekniska specifikationerna enligt 5 §. Förslaget behandlas i avsnitt 14.3.3. och 14.3. Kvalitetsmärket Svensk elektronisk identitetshandling Utfärdare av elektroniska identitetshandlingar kan ansöka om att granskas mot tillitsramverket enligt 3 § och de tekniska specifikationerna enligt 5 §. Den som uppfyller kraven på tillitsnivåerna och de tekniska specifikationerna ska godkännas. Förslaget behandlas i avsnitt 14.3.4. Godkända elektroniska identitetshandlingar får som ett tillägg till egen benämning även använda kvalitetsbenämningen Svensk elektro- nisk identitetshandling. Förslaget behandlas i avsnitt 14.3.4. Ansökan om att granskas mot tillitsramverket och de tekniska specifi- kationerna ska göras hos den myndighet som regeringen bestämmer. Samma myndighet ska godkänna att en elektronisk identitetshandling får använda kvalitetsbenämningen Svensk elektronisk identitets- handling. Förslaget behandlas i avsnitt 14.3.4. Register med utfärdare av elektroniska identitetshandlingar och förlitande aktörer Det ska finnas ett register över utfärdare av elektroniska identitetshand- lingar med kvalitetsmärket elektronisk identitetshandling och förlitande aktörer som är anslutna till valfrihetssystem enligt lagen om valfrihetssystem i fråga om funktioner för elektronisk identitetskontroll. Förslaget behandlas i kapitel 13 samt i avsnitt 14.3.5. Den myndighet som regeringen bestämmer ska förvalta och utveckla registret enligt 10 §. Förslaget behandlas i avsnitt 14.3.5 och 14.3. Förlitande aktörer som är ansluta till valfrihetssystem enligt lagen om valfrihetssystem i fråga om funktioner för elektronisk identitetskontroll ska registreras i registret med utfärdare och förlitande aktörer. Förslaget behandlas i avsnitt 14.3.5 Det ska finnas en modell för dialogruta med valbara elektroniska identitetshandlingar. En dialogruta med valbara elektroniska identitets- handlingar ska visa de elektroniska identitetshandlingar som ingår i valfrihetssystem som tillhandahålls enligt lagen om valfrihetssystem i fråga om funktioner för elektronisk identitetskontroll samt den statliga elektroniska identitetshandlingen. Förslaget behandlas i avsnitt 14.3.6. Den myndighet som regeringen bestämmer ska förvalta och utveckla modellen enligt 13 §. Förslaget behandlas i avsnitt 14.3.6. Statliga myndigheter, kommuner och landsting ska använda modellen för dialogruta med valbara elektroniska identitetshandlingar i de e- tjänster där den statliga myndigheten, kommunen eller kräver att individen ska identifiera sig elektroniskt. Förslaget behandlas i avsnitt 14.3.7. Regeringen får besluta om undantag till skyldigheten i 15 § om det finns särskilda skäl. Förslaget behandlas i avsnitt 14.3.7. 23.3Förslag till lag om infrastruktur för digital post Den myndighet som regeringen bestämmer (myndigheten) ska till- handahålla en infrastruktur för digital post. Förslaget behandlas i kapitel 21. Denna lag gäller vid behandling av personuppgifter inom infrastruk- turen. Vid sådan behandling gäller lagen endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förslaget behandlas i avsnitt 21.8. I denna lag avses med 1.ankomstkontroll: att leverantören av brevlådetjänster för digital post utför kontroll mot förmedlingsadressregistret att avsändaren är ansluten. 2.avsändare: myndighet eller en juridisk person som genom avsänd- ningskontroll skickar digital post till en mottagare inom infrastruk- turen. 3.avsändningskontroll: att avsändaren utför kontroll mot förmed- lingsadressregistret att mottagaren är ansluten till infrastrukturen, i så fall hos vilken leverantör mottagarens brevlådetjänst för digital post finns samt att avsändaren får sända digital post till mottagaren. 4.brevlådetjänster för digital post: den del inom infrastrukturen som lagrar digitala post efter att den har gjorts tillgänglig för mottagaren. 5.digital post: meddelanden genom digitala kanaler mellan olika aktörer i infrastrukturen. 6.förmedlare: en fysisk eller juridisk person som utför uppdrag åt en avsändare genom att vidarebefordra digital post. 7.förmedlingsadressregister: det register som innehåller uppgifter, däri- bland personuppgifter, om de anslutna i infrastrukturen. 8.leverantör av brevlådetjänster för digital post: en juridisk person eller en individ som tillhandahåller brevlådetjänster för digital post. 9.mottagare: individer och företag som anslutit sig till förmedlings- adressregistret och i sin brevlådetjänst för digital post tar emot digi- tal post inom infrastrukturen. 10.privat utförare: en juridisk person eller en individ som har hand om en angelägenhet. I övrigt gäller definitioner i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Förslaget behandlas i avsnitt 21.2. Infrastrukturen utgörs av förmedlingsadressregister, brevlådetjänster för digital post, valfrihetssystem enligt lagen om valfrihet om elektro- niska brevlådor samt vad regeringen, eller den myndighet regeringen bestämmer, har beslutat i form av föreskrifter. Förslaget behandlas i kapitel 21. Myndigheten får tillhandahålla brevlådetjänster för digital post till mottagare som enbart tar emot digital post från avsändare enligt 11 §. Förslaget behandlas i avsnitt 21.3. Till stöd för förmedling av digital post får myndigheten föra ett för- medlingsadressregister över anslutna enligt 11–15 §§. Syftet med regis- tret är att ge de som är anslutna till infrastrukturen möjlighet att be- handla personuppgifter i sin digitala postverksamhet på ett ända- målsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Förslaget behandlas i kapitel 21. Om rätten att få meddelande från myndighet via infrastrukturen Om en ansluten mottagare begärt att en statlig myndighet ska sända digital post genom infrastrukturen får detta underlåtas endast om sär- skilda skäl finns. Förslaget behandlas i avsnitt 21.4. Förhållandet till annan lagstiftning Denna lag innehåller bestämmelser som kompletterar Europaparla- mentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning). Vid behandling av personuppgifter enligt denna lag gäller lagen med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna förordning eller föreskrifter som har meddelats i anslutning till den. Förslaget behandlas i avsnitt 21.5. Personuppgifter får bara behandlas om det behövs för att 1.hantera digital post i syfte att kunna utföra en arbetsuppgift inom en författningsreglerad verksamhet hos någon av de som anslutit sig till infrastrukturen, eller 2.lagra och bearbeta digital post som avses i 1 p. i syfte att erbjuda tilläggstjänster för brevlådeinnehavarna. Förslaget behandlas i avsnitt 21.7. Personuppgifter som behandlas eller har behandlats enligt 9 § får även behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I ett enskilt fall får personuppgifter som behandlas eller har behand- lats enligt 9 § även behandlas för att tillhandahålla information för något annat ändamål än det som anges, under förutsättning att ända- målet inte är oförenligt med det ändamål för vilket uppgifterna sam- lades in. Förslaget behandlas i avsnitt 21.7. Till infrastrukturen ska som avsändare anslutas myndigheter under regeringen om inte regeringen har beslutat annat. Till infrastrukturen får kommuner och landsting ansluta sig som avsändare. Vidare får privata utförare av kommunala angelägenheter ansluta sig som avsändare enligt vad som föreskrivs i denna lag. Regeringen får besluta att som avsändare får företag och organisa- tioner som utför en uppgift av allmänt intresse ansluta sig.