sou · H7B314 · 2019-03-27 00:00:00 — För att säkerställa att svenska invånare får tillgång till e-tjänster i andra EU-länder finns det därför ett behov av att anmäla en e-legitimation på tillitsnivå 4. Utredningen om effektiv styrning av nationella digitala tjänster framhåller vidare att det faktum att det är staten som ansvarar för eventuella säkerhetsincidenter och skador även när det gäller e-legi- timationer som utfärdats av en privat aktör talar för att staten be- höver ha största möjliga kontroll över de e-legitimationer som anmäls enligt eIDAS-förordningen.8 Det kan även finnas e-tjänster i där det egentligen finns ett behov av att användarna identifierar sig med en e-legitimation på tillitsnivå 4 men där det inte går att ställa det kravet efter- som det inte utfärdas några e-legitimationer som är allmänt spridda på den nivån. Behovet gör sig särskilt gällande vid e-tjänster där mycket integritetskänsliga uppgifter är tillgängliga. Det kan exempel- vis röra sig om vissa särskilt känsliga tjänster på hälso- och sjukvårds- området. Det finns därför även av detta skäl ett behov av en e-legi- timation på tillitsnivå 4 som utfärdas av staten. En e-legitimation som utfärdas av en statlig myndighet efter en grundidentifiering av en myndighet vid ett personligt besök kan ut- göra underlag vid utfärdande av andra e-legitimationer (s.k. id-växling). Det får till följd att även utfärdandeprocessen beträffande andra e- legitimationer som utfärdas med stöd av den statliga blir säkrare. Därmed minskar risken att någon med brottsliga avsikter på felak- tiga grunder får tillgång till en e-legitimation. Väsentligt i samman- hanget är också att det är tillåtet enligt eIDAS-förordningen att använda en e-legitimation för att få en annan utfärdad. Bankerna till- låter dock inte att BankID används på det sättet.9 Att staten ansvarar för den grundläggande identifieringen som sedan kan utnyttjas vid tillhandahållande av andra e-legitimationer underlättar också för andra utfärdare. Det är både kostsamt och svårt att utföra grund- identifiering. Kravet i för Svensk e-legitimation10, på fysisk identitetskontroll innebär att utfärdaren måste finnas på 8SOU 2017:114 s. 358 ff. 9Förstudierapport på uppdrag av Framtida spelplan för e-legitimering version 1.0 . 10Myndigheten för digital förvaltnings för Svensk e-legitimation En statlig e-legitimation på fysiska identitetshandlingar många ställen i landet och ha personal som kan utföra en identitets- kontroll på ett tillförlitligt sätt. Om utfärdare i stället kan förlita sig på identifiering som görs av en statlig myndighet i samband med ut- färdande av den statliga e-legitimationen underlättar det vid nyutgiv- ning av innovativa och säkra e-legitimationer.11 En annan viktig aspekt är att bankerna som regel utfärdar BankID endast till sina kunder. De har inte någon skyldighet att utfärda en e-legitimation till alla som vill ha en sådan. Det finns därför personer som inte kan få BankID. Med en statligt utfärdad e-legitimation kan fler tillförsäkras tillgång till en sådan handling. En statlig e-legitimation skulle även kunna användas som en extra säkerhetsåtgärd när den enskilde i olika sammanhang identifierar sig vid ett personligt besök. En kontroll av e-legitimationen tillsammans med en kontroll av den fysiska identitetshandlingen innebär att säker- heten i den identitetskontroll som görs vid det personliga mötet höjs. En kontroll av e-legitimationen skulle också kunna ersätta en kontroll av den fysiska handlingen i de fall det bedöms tillräckligt. Kontrollen skulle på så vis kunna effektiviseras. Eftersom en sådan kontroll innebär att en giltighetskontroll sker i realtid mot ett re- gister skulle en kontroll av enbart e-legitimationen i många fall kunna anses säkrare än enbart en kontroll av en fysisk identitetshandling. Det förutsätter dock att den som kontrollerar identiteten har den utrustning som krävs samt upprättar en relation till utfärdaren för att kunna utnyttja utfärdarens funktion för identitetskontroll. Det finns som nämnts en e-legitimation på identitets- kort för folkbokförda i . E-legitimationen utfärdas inte av utan av företaget . Det är dock Skatte- verket som utför den identifiering av sökanden som föregår utfärd- andet. AB Svenska Pass har som utfärdare det juridiska ansvaret gent- emot innehavaren och de förlitande aktörerna. Detta är enligt vår bedömning inte tillräckligt för att staten ska få den kontroll som krävs för att kunna säkerställa att invånarna har tillgång till en säker e-legitimation. En e-legitimation på tillitsnivå 4 måste finnas på en personlig säker- hetsmodul som skyddar uppgifterna från obehörig åtkomst, vanligen ett kort, se avsnitt 5.3. För att e-legitimationen ska vara enkel att 11E-legitimationsnämnden rapport försörjning av tjänster för e-legitimering och e- underskrift dnr 131 645711-15/9513 . En statlig e-legitimation på fysiska identitetshandlingar bära med sig är det naturligt att placera den på en fysisk identitets- handling. Det underlättar för den enskilde som endast behöver ha en handling med sig. Det är också mer effektivt att utfärda den fysiska identitetshandlingen och e-legitimationen samordnat eftersom samma process kan användas. E-legitimationer på fysiska kort är visserligen ofta krång- ligare för användaren än mobila lösningar eftersom det krävs någon form av tekniskt hjälpmedel för att använda dem. Man kan därför ställa sig frågan om en statlig e-legitimation som finns på en fysisk identitetshandling kommer att användas i någon större utsträckning. En statlig e-legitimation på ett fysiskt kort som komplement till mobila varianter bidrar dock till att systemet som helhet blir mer stabilt eftersom det finns en alternativ lösning på en stabil bärare. Att endast ha en mobil e-legitimation är en sårbar lösning. Om mobiltelefonen exempelvis blir stulen eller slutar fungera krävs en reservlösning för att den enskilde inte ska stå utan e-legitimation det tar till dess att en ny finns tillgänglig. Av det skälet och mot bakgrund av den omfattande användningen av e-legitima- tion som sker behöver det finnas en säker och stabil e-legitima- tion att använda som ett alternativ. Det finns också tekniska lös- ningar som kan underlätta användandet, se nedan. Mot bakgrund av de skäl som angetts ovan, menar vi att det är av stor vikt att staten säkerställer tillgången till en säker och stabil lös- ning för elektronisk identifiering som inte är beroende av privata aktörer eller mobila lösningar. I ett allt mer digitaliserat samhälle är det viktigt att medborgarnas elektroniska identitet kan skyddas från missbruk. Vi bedömer därför, i likhet med Utredningen om effektiv styrning av nationella digitala tjänster12, att staten bör ta ansvar för att utfärda en e-legitimation på högsta tillitsnivå som ska finnas på någon eller några av de statliga fysiska identitetshandlingarna. Att e- legitimationen utfärdas av en statlig myndighet innebär att myndig- heten har det juridiska ansvaret både gentemot innehavaren och de förlitande aktörerna. Det är av stor vikt att det säkerställs att den statliga e-legitima- tionen kan användas på ett enkelt sätt. För att e-legitimationen ska komma till användning är det angeläget att underlätta för den en- skilde så långt det är möjligt. För att kunna använda en e-legitima- 12SOU 2017:114 s. 187 ff. En statlig e-legitimation på fysiska identitetshandlingar tion som finns på ett id-kort behövs någon form av kortläsare. Kort- läsare finns inbyggd i många datorer. Det finns också fristående kortläsare som kan kopplas till en dator. finns det dessutom tekniska lösningar som skulle kunna användas som alternativ till en traditionell kortläsare. Ett alternativ kan vara en applikation i mobil- telefonen som läser av informationen på kortets chip genom s.k. NFC-teknik13. Genom att läsa av kortet i en sådan applikation kan användaren, precis som vid användning av en mobil e-legitimation, identifiera sig i en e-tjänst. De tekniska lösningarna och deras till- gänglighet är under ständig utveckling. En fördjupad analys av frågor kopplade till användbarhetsaspekter behöver därför göras. Analysen bör omfatta hur den statliga e-legitimationen ska utformas för att säkerställa en hög användbarhet vid användning i e-tjänster. En så- dan analys är varken möjlig eller lämplig att göra i denna utredning. Det är därför av stor vikt att den myndighet som kommer att ansvara för utfärdandet av den statliga e-legitimationen noga överväger vilka alternativ för läsning av e-legitimationen som ska finnas tillgängliga för användarna. Särskilt möjligheterna till användning av kortläsning genom mobil- telefon bör analyseras. Tekniska lösningar kan exempelvis upphand- las av samma leverantör som levererar e-legitimationen och behöver självklart inte utvecklas av personal hos den utfärdande myndighe- ten. En annan sak är att ansvaret för att de tas fram ligger hos myn- digheten. Om det förutsätts att särskilda kortläsare används bör myndigheten särskilt analysera hur en bred spridning och enkel an- vändning av sådana kan åstadkommas på ett säkert och kostnads- effektivt sätt. Att det införs en statlig e-legitimation på en fysisk identitets- handling hindrar inte att staten även utfärdar en e-legi- timation som finns i exempelvis en mobiltelefon, om det bedöms lämpligt. Den skulle då kunna utfärdas på grundval av identifiering med den statliga e-legitimation som finns på den fysiska identitets- handlingen, precis som e-legitimationer som utfärdas av andra aktörer. Genomförandet sker naturligen i nära samarbete eller samråd med andra myndigheter såsom Myndigheten för digital förvaltning och myndigheter som tillhandahåller e-tjänster i stor omfattning. 13NFC står för och innebär kontaktlös överföring av data på kort avstånd. En statlig e-legitimation på fysiska identitetshandlingar 12.4Den statliga e-legitimationen ska finnas på det statliga identitetskortet Utredningens förslag: Den statliga e-legitimationen ska finnas på det statliga identitetskortet. Vi har i avsnitt 8.6 föreslagit att endast pass och statligt identitets- kort (statliga fysiska identitetshandlingar) ska vara godtagbara fysis- ka identitetshandlingar i alla situationer. Det är alltså endast dessa handlingar som kan vara aktuella som bärare av den statliga e-legiti- mationen. Utredningen om effektiv styrning av nationella digitala tjänster har, mot bakgrund av vårt uppdrag, inte lämnat förslag när det gäller frågan om på vilka fysiska identitetshandlingar den statliga e-legitimationen ska finnas. Den utredningen har föreslagit att den statliga e-legitimationen ska kunna utfärdas till personer som kan få de identitetshandlingar som staten utfärdar och vars huvudsakliga syfte inte är att utvisa en behörighet. De har bedömt att e-legitima- tionen ska kunna utfärdas både till svenska medborgare och personer som är folkbokförda i . Detta motiveras med att dessa per- soner har sådan anknytning till som bör krävas för att få en statlig e-legitimation.14 De fysiska identitetshandlingar som kan vara aktuella som bärare av den statliga e-legitimationen enligt den utredningens ställnings- taganden är alltså pass och det id-kort som vi i avsnitt 10.2.1 föreslår ska benämnas statligt identitetskort. Den avgränsning som har gjorts av Utredningen om effektiv styrning av nationella digitala tjänster stämmer överens med den bedömning vi har gjort när det gäller frå- gan om för vilken personkrets staten bör ansvara för utfärdandet av fysiska identitetshandlingar, se avsnitt 8.5.4. Det är rimligt att sta- tens ansvar för att tillhandahålla e-legitimationer omfattar samma personkrets som de statliga fysiska identitetshandlingarna (se dock i avsnitt 12.7 angående våra bedömningar när det gäller ålder). Vi in- stämmer därför i utredningens bedömning. Både det statliga identitetskortet med och utan funktion som rese- handling bör således innehålla en statlig e-legitimation. Härigenom kommer både personer som är folkbokförda i och svenska medborgare att omfattas. För att omfatta den personkrets som bör 14SOU 2017:114 s. 195 f. En statlig e-legitimation på fysiska identitetshandlingar omfattas krävs det inte att passen förses med en e-legitimation. Det är inte heller önskvärt. Passets format gör att det är mindre lämpligt som bärare. Passet är inte är lika smidigt att bära med sig och det kan inte användas i en vanlig kortläsare. Som anges i avsnitt 12.11 bör det krävas att en ansökan om en statlig e-legitimation görs för att en sådan ska kunna utfärdas. Vidare menar vi att det bör krävas att sökanden uppnått en viss ålder för att få en statlig e-legitimation, se avsnitt 12.7. Regleringen av den stat- liga e-legitimationen bör därför lämna utrymme för att ett statligt identitetskort kan utfärdas även utan att innehålla en e-legitimation eftersom en sådan inte kommer att kunna utfärdas i samtliga fall då ett identitetskort utfärdas. Av andra bestämmelser i lagen kommer det sedan att framgå vad som krävs för att e-legitimationen ska kunna utfärdas. Som anges i avsnitt 11.4.4 har lagt fram förslag om en id-kortsförordning som syftar till att höja säker- heten i id-kort som utfärdas till unionsmedborgare. Förslaget inne- bär att fingeravtryck och ansiktsbild ska lagras i ett lagringsmedium på id-korten. Förslaget hindrar inte att medlemsstaterna, i enlighet med nationell lagstiftning, även lagrar en e-legitimation i ett lagrings- medium på id-kortet. Sådana uppgifter måste dock enligt förslaget vara fysiskt eller logiskt separerade från fingeravtrycken och ansikts- bilden. Utredningens förslag: ska utfärda den statliga e-legitimationen. I avsnitt 9.4 har vi föreslagit att de statliga fysiska identitetshand- lingarna, dvs. pass och statligt identitetskort, ska utfärdas av Polis- myndigheten. Frågan är om även ska utfärda den statliga e-legitimationen eller om ansvaret ska läggas på någon annan myndighet. Utredningen om effektiv styrning av nationella digitala tjänster har, på grund av vårt uppdrag, inte lagt något förslag i fråga om vilken statlig myndighet som ska utfärda den statliga e-legitima- tionen. En statlig e-legitimation på fysiska identitetshandlingar Att träffar avtal med en privat aktör som utfär- dar en e-legitimation som läggs på id-korten, på det sätt har gjort med den e-legitimation som finns på identitetskort för folkbokförda i , är enligt vår mening inte tillräckligt för att staten ska få den kontroll som krävs för att kunna säkra invånarnas rätt till tillgänglighet. Om en privat aktör är utfärdare av e-legitima- tionen är det den privata aktören, och inte myndigheten, som har det juridiska ansvaret. För att staten ska kunna få den kontroll som krävs måste det juridiska ansvaret gentemot innehavaren och de förlitande aktörerna ligga på staten och då måste det också vara en statlig myn- dighet som är utfärdare. Att en myndighet ska utfärda den statliga e-legitimationen inne- bär naturligtvis inte att myndigheten också måste utveckla den eller hantera alla andra aspekter av den löpande förvaltningen av e-legiti- mationen, exempelvis användarsupport. Myndigheten kan upphandla själva handhavandet av e-legitimationen från en leverantör. Det som måste finnas hos den utfärdande myndigheten är emell- ertid kompetens att utforma kraven vid upphandlingen av e-legiti- mationen. Myndigheten måste också kontinuerligt följa upp hanter- ingen, särskilt säkerheten, för att kunna åtgärda eventuella risker kopplade till e-legitimationen. I övrigt bör upphandlingen kunna utformas på olika sätt beroende på hur stor del av arbetet som läggs ut på en leverantör och omfatta exempelvis utveckling, förvaltning, support och elektronisk identitetskontroll. Även tekniska hjälp- medel som underlättar användningen av e-legitimationen skulle kun- na omfattas av en sådan upphandling. Skillnaden mellan att en utfärdande myndighet upphandlar e-legi- timationen och den lösning har är att det juridiska ansvaret gentemot innehavaren och de förlitande aktörerna ligger på en statlig myndighet och inte som på en privat aktör. Det inne- bär att det är myndigheten som ansvarar för e-legitimationen under hela dess livslängd. Myndigheten ansvarar inte bara för att säkerställa att e-legitimationen utfärdas på rätt sätt utan också för den identi- tetskontroll som görs vid varje användningstillfälle. Den privata e- legitimationsleverantören kan naturligtvis vara ansvarig gentemot den utfärdande myndigheten för sådant som leverantören åtagit sig enligt avtalet men det är myndigheten som har det skadeståndsrätts- liga ansvaret gentemot innehavare och förlitande aktörer. En statlig e-legitimation på fysiska identitetshandlingar sak är att den utfärdande myndigheten kan ha regressrätt mot leve- rantören. Man kan också tänka sig att den utfärdande myndigheten uppdrar åt en annan myndighet att ta fram e-legitimationen. Oavsett vem som är leverantör av e-legitimationen måste dock den ansvariga myn- digheten vara utfärdare och bestämma villkoren för den. Eftersom vi föreslår att ska utfärda de statliga fysiska identitetshandlingarna, ligger det närmast till hands att den myndigheten också ansvarar för utfärdande av den statliga e-legiti- mationen. Det finns stora samordningsvinster med att en och samma myndighet utfärdar såväl den fysiska identitetshandlingen som den elektroniska. Den största fördelen är att samma utfärdandeprocess kan användas. Det innebär att endast en myndighet utför det mest centrala momentet i utfärdandeprocessen, nämligen identifieringen. Detta medför inte bara vinster ur ett säkerhetsperspektiv, utan är även det alternativ som är minst resurskrävande. Att upprätthålla ytterligare en process för utfärdande av identitetshandlingar hos en annan myndighet bedöms både mer kostsamt och mindre lämpligt. Att lägga ansvaret för utfärdande på två olika myndigheter mot- verkar också vår ambition att begränsa antalet utfärdare i syfte att höja kvaliteten i utfärdandeprocessen, se avsnitt 9.3. Att endast en myndighet ansvarar för utfärdandet medför bättre förutsättningar för en enhetlig hantering av hela processen från ansökan till utläm- nande. Samma eller liknande rutiner kan användas och alla som ar- betar med utfärdandet kan få samma utbildning. Risken att det före- kommer skillnader i bedömningen av om en identitet är styrkt är större om ansvaret läggs på olika myndigheter. Det är dessutom en fördel för den enskilde att bara behöva vända sig till en myndighet. Tillgängligheten hos är god, identitetshand- lingar utfärdas på över 100 platser i landet. har vidare stor erfarenhet av att utfärda identitetshandlingar och göra identitetsbedömningar. En stor fördel med att lägga ansvaret på är att det möjliggör för myndigheten att få bättre insyn och arbeta före- byggande när det gäller brottslighet kopplad till användande av e-legi- timation på ett sätt som inte är möjligt . Det har förekommit att bedragare via telefon lurar personer att använda sitt BankID och på så sätt får tillgång till personens internetbank. Polis- myndigheten arbetar därför intensivt med dessa frågor. En statlig e-legitimation på fysiska identitetshandlingar De riskanalyser som behöver göras inom ramen för det löpande säkerhetsarbetet är även till nytta i den brottsbekämpande verksam- heten. På motsvarande sätt är de kunskaper om risker som finns inom den polisiära verksamheten värdefulla för utfärdandeverksam- heten. Om utfärdar den statliga e-legitimationen kan det alltså leda till samordningsvinster i båda delarna av verk- samheten. Det är därför enligt vår uppfattning en stor fördel om kontroll och närvaro på området kan öka. Det finns andra alternativ än att låta utfärda den statliga e-legitimationen. Två myndigheter som ligger långt fram när det gäller digitalisering och e-förvaltningsfrågor är och . Båda dessa myndigheter tillhandahåller ett stort antal e-tjänster på sina webb-sidor i vilka e-legitimation används för att identifiera användaren. utvecklar vidare e- legitimationer för anställda inom offentlig sektor. Detta skulle kun- na tala för att i stället lägga ansvaret på någon av dessa myndigheter. En lösning med två statliga utfärdare har valts i . Där utfärdar id-korten medan e-legitimationen som finns på korten utfärdas av Befolkningsregistercentralen. Polismyn- dighetens utfärdandeprocess används dock även för e-legitimationen vilket innebär att identifieringen av sökanden endast görs av en myn- dighet. Processen påminner om den ordning som gäller för e- legitimationen på identitetskort för folkbokförda i med den skillnaden att det i alltså är en statlig myndighet och inte en privat aktör som utfärdar e-legitimationen. Genom att på detta sätt dra nytta av den utfärdandeprocess som gäller för det fysiska id-kortet även vid utfärdandet av e-legitimationen skulle många av de samord- nings- och säkerhetsvinster vi pekat på ovan uppnås. Även detta alternativ skulle därför kunna vara en möjlig lösning. Vi har trots det stannat för att föreslå att ska utfärda även den statliga e-legitimationen. Genom att lägga ansvaret på kan kvaliteten och säkerheten som kringgärdar utfärdandet av de fysiska identitetshandlingarna utnyttjas fullt ut och de kostnadsmässiga konsekvenserna begränsas. Detta alternativ medför inte heller samma behov av samordning som skulle uppstå om ansvaret att utfärda e-legitimationen i stället skulle läggas på en annan myndighet. Ett system med två olika utfärdare motverkar också syftet med vårt uppdrag att minska antalet utfärdare. En statlig e-legitimation på fysiska identitetshandlingar Vi ser dessutom stora fördelar för det brottsförebyggande arbetet om är utfärdare av den statliga e-legitimationen. Därtill kommer det som Utredningen om effektiv styrning av natio- nella digitala tjänster har påtalat om att processen för utfärdande av de statliga identitetshandlingarna bör utnyttjas vid utfärdande av e- legitimationen. I en förstudierapport från har dessutom gjorts bedömningen att är den myndighet som bör ansvara för en statlig e-legitimation. Som skäl har bl.a. anförts att myndigheten redan utfärdar pass och id-kort och därför är väl lämpad att göra identitetsbedömningar samt att den dessutom har god tillgänglighet.15 Det kan även tilläggas att både och Skatte- verket är av uppfattningen att ansvaret för att utfärda såväl de statliga fysiska identitetshandlingarna som den statliga e-legitimationen bör läggas på . bör därför utfärda den statliga e-legitimationen. Som anges ovan kan ansvaret som utfärdare utföras på olika sätt. kan antingen utveckla e-legitimationen i egen regi eller uppdra åt någon annan aktör att göra detta. Även andra former av samarbete med andra myndigheter kan vara aktuella. Hur mycket av arbetet med den statliga e-legitimationen som själv ska utföra och hur mycket som kan eller bör läggas på en annan aktör bör dock analyseras vidare av myndigheten. får genom vårt förslag en ny arbetsuppgift. Någon ändring behöver dock inte göras i in- struktion. Enligt 1 § förordningen (2014:1102) med instruktion för framgår nämligen att huvud- sakliga uppgifter och ansvar framgår av polislagen (1984:387). Myn- dighetens uppgifter och ansvar framgår också av polisförordningen (2014:1104) och av andra författningar. Bestämmelser om att Polis- myndigheten ska utfärda den statliga e-legitimationen kommer enligt vårt förslag att finnas i de nya författningarna om statliga iden- titetshandlingar. Som anges i avsnitt 9.4.3 kommer utlandsmyndigheterna även fortsättningsvis att kunna utfärda id-kort till svenska medborgare. Även dessa id-kort bör kunna innehålla en statlig e-legitimation. 15Förstudierapport på uppdrag av Framtida spelplan för e-legitimering version 1.0 . En statlig e-legitimation på fysiska identitetshandlingar 12.6Regleringen av den statliga e-legitimationen förs in i lagen om statliga identitetshandlingar Utredningens förslag: Den statliga e-legitimationen ska regleras i den nya lagen om statliga identitetshandlingar. Vi ska enligt utredningsdirektiven även lämna nödvändiga författ- ningsförslag.