sou · H7B314 · 2019-03-27 00:00:00 — Utredningen om effektiv styrning av nationella och digitala tjänster har lämnat förslag på en ny lag om statlig elektronisk identitetshandling. I den lagen föreslås följande regleras. Den stat- liga elektroniska identitetshandlingen ska kunna utfärdas till den som är svensk medborgare eller folkbokförd i och innehålla innehavarens namn, födelsedatum och personnummer. Den ska ut- färdas på den högsta svenska tillitsnivån enligt tillitsramverket i den av den utredningen föreslagna lagen om infrastruktur för elektronisk identifiering och kvalitetsmärket elektronisk identitetshand- ling. Den ska också utformas enligt de tekniska specifikationerna i sistnämnda lag och ha samma giltighetstid som den fysiska identi- tetshandling som den finns på, dvs. Den ska godtas vid elektronisk identifiering inom den offentliga sektorn och få användas som underlag vid ansökan om en annan elektronisk identitetshandling. I sistnämnda fallet ska den utfärdande myndig- heten informeras om användningen. Den utfärdande myndigheten ska registrera uppgift om den andra elektroniska identitetshandling- en i syfte att kunna informera den andra utfärdaren om en eventuell spärr av den statliga elektroniska identitetshandlingen. Det föreslås även bestämmelser om ansökan som i stora delar stämmer överens med vad som gäller för fysiska identitetshandlingar och regler om under vilka förutsättningar den statliga elektroniska identitetshand- lingen ska spärras som påminner om regleringen om återkallelse av fysiska identitetshandlingar. Det föreslås också vissa processuella be- stämmelser. Förslaget innehåller inte några bestämmelser om utfär- dare eller bärare av den statliga elektroniska identitetshandlingen eftersom utredningen avstått från att lämna sådana förslag i avvaktan på vår utrednings slutsatser. Som skäl för en särskild reglering har utredningen anfört att den statliga e-legitimationen ska utgöra en egen handling, som dock an- vänder en fysisk identitetshandling som bärare. Ett annat skäl som En statlig e-legitimation på fysiska identitetshandlingar anförts är att en e-legitimation, till skillnad från en fysisk handling, kräver tekniska hjälpmedel för att uppfattas. Utredningen menar att detta utgör goda skäl för att särreglera den statliga e-legitimationen och inte låta den ingå som en delmängd i informationen på fysiska identitetshandlingar.16 Vi är också av uppfattningen att den statliga e-legitimationen utgör en egen handling, även om den lagras på det fysiska id-kortet. Enligt vår uppfattning saknar detta dock betydelse vid bedömningen av om regler om handlingen bör införas i en egen lag eller i den för- fattning som reglerar det fysiska id-kortet. Det är i stället en fråga om vad som blir mest överskådligt och hanterligt när bestämmel- serna ska införas och utformas. Ett stort antal av de bestämmelser som finns i den föreslagna lagen om statlig elektronisk identitetshandling avser bestämmelser om ansökningsförfarandet. Bestämmelserna har i stort sett samma innehåll som bestämmelserna som finns både i nuvarande reglering av fysiska identitetshandlingar och i den av oss föreslagna lagen om statliga identitetshandlingar. Eftersom utfärdandet av den statliga e- legitimationen ska följa processen för utfärdande av det statliga iden- titetskortet och ske i ett samordnat förfarande menar vi att utfär- dandet av e-legitimationen i huvudsak bör omfattas av samma regel- system som gäller för det fysiska kortet. En gemensam reglering underlättar också för utfärdaren som då endast behöver tillämpa ett och samma regelverk. Regler kring den statliga e-legitimationen bör därför tas in i den nya lagen om statliga identitetshandlingar. Genom detta undviks onödig dubbelreglering eftersom endast de bestämmelser som specifikt gäller för e-legiti- mationen, och som avviker från vad som gäller för det fysiska id- kortet, behöver föras in i lagen. Ett skäl som skulle kunna anföras emot en sådan lösning är att det inte nu går att förutse om den statliga e-legitimationen i fram- tiden kan komma att finnas på andra bärare. En framtida utveckling av den statliga e-legitimationen skulle möjligen kunna underlättas av att regleringen inte är så tätt sammankopplad med regleringen av det statliga identitetskortet. Enligt vår mening torde dock innehållet i bestämmelserna sannolikt vid en sådan utveckling ändå behövas an- passas. Vi kan därför inte se att en eventuell framtida förändring av 16SOU 2017:114 s. 194. En statlig e-legitimation på fysiska identitetshandlingar hanteringen medför att vi nu inte bör föreslå att regleringen av e- legitimationen inordnas i lagen om statliga identitetshandlingar. I de följande avsnitten berör vi frågan om vilka bestämmelser om den statliga e-legitimationen som bör finnas i den nya lagen om stat- liga identitetshandlingar. 12.7Personer som kan få en statlig e-legitimation Utredningens förslag: En statlig e-legitimation kan utfärdas till en person som har fyllt . Som anges i avsnitt 12.4 ska den statliga e-legitimationen kunna ut- färdas till svenska medborgare och personer som är folkbokförda i . I det förslag till lag som Utredningen om effektiv styrning av nationella digitala tjänster lämnat finns en bestämmelse om att den statliga e-legitimationen ska kunna utfärdas till den person- kretsen. Som en följd av att den statliga e-legitimationen ska regleras genom bestämmelserna i lagen om statliga identitetshandlingar be- höver några särskilda bestämmelser om vem som kan få e-legitima- tionen inte införas. Detta kommer i stället att framgå genom de be- stämmelser som anger vem som kan få ett statligt identitetskort. Någon åldersgräns för att få den statliga e-legitimationen har inte föreslagits av Utredningen om effektiv styrning av nationella digitala tjänster. Vi har i avsnitt 10.2.4 föreslagit att det inte ska finnas någon åldersgräns för att få det statliga identitetskortet. Det bör dock över- vägas om en åldersgräns för den statliga e-legitimationen ska införas. I den utredning som föregick införandet av identitetskort för folkbokförda i angavs att behovet av det id-kortet var kopp- lat till behovet av att kunna utöva sin rättshandlingsförmåga. Id- kortsutredningen föreslog med hänvisning till en bestämmelse i 9 kap. 3 § , som innebär att den som har fyllt själv får råda över vad han eller hon förvärvat genom eget arbete, att personer som fyllt skulle kunna få id-kortet.17 Åldersgränsen kom dock att sättas till . Även behovet av den statliga e-legi- timationen kan kopplas till den rättsliga handlingsförmågan. För- utom den situation som hänvisade till finns det 17SOU 2007:100 s. 104. En statlig e-legitimation på fysiska identitetshandlingar även andra situationer i vilka underåriga tillerkänns viss rättshand- lingsförmåga utan att det föreskrivs någon nedre åldersgräns. Exem- pel på en sådan situation är det som föreskrivs i 9 kap. 1 § föräldra- balken om underårigs rätt att råda över egendom på grund av villkor vid förvärv genom gåva m.m. Underåriga kan alltså i vissa fall ha behov av en e-legitimation. måste det beaktas att den underårige bör ha uppnått en sådan mognad att han eller hon kan hantera en e-legitimation på ett säkert sätt. Den e-legitimation som finns på identitetskort för folkbokförda i utfärdas till samma personkrets som kan få id-kortet, dvs. till personer som har fyllt . Åldersgränsen för BankID bestäms av de utfärdande bank- erna men normalt utfärdas den till personer från 13 eller ålder.18 Det har inte framkommit några synpunkter på åldersgränsen för den e-legitimation som finns på identitetskort för folkbokförda i . Enligt vår bedömning utgör den en lämpligt avvägd ålders- gräns med beaktande av de behov och risker som finns. Den statliga e-legitimationen bör därför kunna utfärdas till personer som har fyllt . Eftersom utfärdandet av den statliga e-legitimationen ska följa processen för utfärdande av det statliga identitetskortet kommer det att krävas medgivande från vårdnadshavare om ansökan görs av sökande som är . Det innebär att vårdnadshavarna har möjlighet att välja att endast medge ansökan om id-kort för det fall dessa anser att den underårige i något fall inte uppnått den mognad som krävs för att hantera e-legitimationen på ett omsorgsfullt sätt. Utredningens förslag: Den statliga e-legitimationen ska utfärdas på den högsta tillitsnivån enligt tillitsramverket i lagen om infra- struktur för elektronisk identifiering och kvalitetsmärket elektronisk identitetshandling. Den ska utformas enligt de tek- niska specifikationerna i den lagen. 18www.bankid.com/om-bankid/privatpersoner-som-kan-fa-bankid. En statlig e-legitimation på fysiska identitetshandlingar I den av Utredningen om effektiv styrning av nationella digitala tjänster föreslagna lagen anges att en statlig e-legitimation ska utfärdas på den högsta svenska tillitsnivån enligt tillitsramverket i den av utred- ningen föreslagna lagen om infrastruktur för elektronisk identifiering och kvalitetsmärket elektronisk identitetshandling. Den ska vidare utformas enligt de tekniska specifikationerna i samma lag. Det tillitsramverk som avses är det som benämns tillitsramverket för Svensk e-legitimation och som förvaltas av Myndigheten för digi- tal förvaltning.19 Utredningen har föreslagit att tillitsramverket ska författningsregleras. Den föreslagna bestämmelsen innebär att den utfärdande myndig- heten ska följa de krav som tillitsramverket ställer upp för den högsta nivån, inte bara när det gäller den tekniska säkerheten i e-legitima- tionen utan även när det gäller informationssäkerhet samt fysisk, administrativ och personorienterad säkerhet. I tillitsramverket finns också ytterligare krav beträffande utfärdandeprocessen, spärrtjänst och tillhandahållande av elektronisk identitetskontroll vid verifie- ring av användarens identitet. Som anges i avsnitt 12.3 ska den statliga e-legitimationen utfärdas på den högsta tillitsnivån. Det är inte lämpligt att i lagen specificera vad det innebär eftersom tillitsnivåerna ständigt utvecklas. Bedöm- ningen av hur tillitsnivåerna ska beskrivas bör i stället, som också Ut- redningen om effektiv styrning av nationella digitala tjänster har anfört, vara en fråga för Myndigheten för digital förvaltning som utvecklar och förvaltar tillitsramverket. Det är däremot lämpligt att i lagen om statliga identitetshandlingar föra in en bestämmelse mot- svarande den som Utredningen om effektiv styrning av nationella digitala tjänster har föreslagit. Skulle det visa sig att den lag om infra- struktur för elektronisk identifiering och kvalitetsmärket elektronisk identitetshandling inte införs måste bestämmelsen an- passas till det som i stället kommer att gälla. Om nuvarande ordning ska upprätthållas, dvs. utan reglering av tillitsramverket, kan då en lämplig lösning vara att direkt i bestämmelsen hänvisa till det tillits- ramverk som förvaltas av Myndigheten för digital förvaltning. Ett annat alternativ skulle kunna vara att i stället föreskriva att den stat- liga e-legitimationen ska utfärdas på den högsta tillitsnivån enligt eIDAS-förordningen. 19Myndigheten för digital förvaltning för Svensk e-legitimation ärendenr . En statlig e-legitimation på fysiska identitetshandlingar är framtaget utifrån den nu rådande situationen på marknaden för elektronisk identifiering. Viss anpassning av tillits- ramverket kan därför behöva göras inför att den statliga e-legitima- tionen ska börja utfärdas. Som exempel kan nämnas att tillitsram- verket bygger på att ett avtal ingås mellan användaren och utfärdaren om utfärdande av e-legitimationen. Utfärdande av den statliga e-legi- timationen kommer däremot att ske i form av myndighetsbeslut. Myndigheten för digital förvaltning bör därför göra en översyn av tillitsramverket och göra de anpassningar som införandet av en stat- lig e-legitimation föranleder med beaktande av de internationella stan- darder som tillitsramverket baseras på. Utredningens förslag: Den statliga e-legitimationen ska kunna användas för att skapa en avancerad elektronisk underskrift enligt eIDAS-förordningen. Som framgår av avsnitt 5.9 fyller e-legitimationen även en viktig funktion för framställande av elektroniska underskrifter. En mycket stor andel av de förlitande aktörerna i såväl offentlig som privat sektor använder sig av e-legitimationens funktion för e-underskrift i sina digitala tjänster. Statistik från visar att av de tillfrågade myndigheterna, kommunerna och landstingen har digitala tjänster som användaren kan skriva under i. Av de tillfrågade som hade sådana digitala tjänster, hade anskaffat en fristående underskriftstjänst för hantering av e-under- skrifter via det indirekta förfarande som beskrivs översiktligt i av- snitt 5.9.20 Majoriteten hanterar således fortsatt e-underskrifter i sina e-tjänster via det direkta förfarandet där ett särskilt underskrifts- certifikat på e-legitimationen används för att framställa e-under- skriften. En statlig e-legitimation som inte kan framställa en e-underskrift skulle således inte möta de behov och förväntningar som finns. Det är därför rimligt att uppställa krav på att den statliga e-legitimationen 20E-legitimationsnämnden Resultat från e-legitimationsenkäten . En statlig e-legitimation på fysiska identitetshandlingar bör utformas på ett sådant sätt att den även kan användas för att framställa e-underskrifter. Frågan är då vidare vilken nivå e-underskriften ska uppnå. Som framgår av avsnitt 5.9 görs det i eIDAS-förordningen en uppdelning i avancerade och kvalificerade elektroniska underskrifter. Det finns inga författningsreglerade krav på användning av kvalificerade elektroniska underskrifter i svensk rätt. De formkrav som finns tar antingen sikte på avancerade elektroniska underskrifter eller elektro- niska underskrifter i mer allmän bemärkelse utan att nivån specifi- ceras (se avsnitt 5.9). Det finns inte heller några aktiva svenska ut- färdare av kvalificerade elektroniska certifikat för att framställa kvalificerade elektroniska underskrifter.21 till svenska e-tjänster sträcker sig därmed inte behoven av elektronisk underskrift i dags- läget rimligtvis längre än till nivån avancerad elektronisk underskrift. Utgångspunkten bör därför vara att den statliga e-legitimationen i vart fall ska leva upp till de krav som ställs i eIDAS-förordningen på avancerade elektroniska underskrifter. Det finns dock vissa skäl som talar för att den e-underskrift som ska kunna framställas ändå bör uppfylla den högre nivån. Inom EU är kvalificerade elektroniska underskrifter vanligt förekommande. Om den statliga e-legitimationen även uppfyller de krav som ställs på framställande av kvalificerade elektroniska underskrifter möjlig- görs elektronisk underskrift i sådana utländska e-tjänster. Både den finska och den estniska statliga e-legitimationen uppfyller kraven för kvalificerade elektroniska underskrifter.22 För att utfärda kvalificerade elektroniska certifikat krävs att ut- färdaren beviljas status som kvalificerad tillhandahållare av betrodda tjänster av den nationella tillsynsmyndigheten (artikel 20 och 21 i eIDAS-förordningen). Den kvalificerade tillhandahållaren av betrodda tjänster står därefter under tillsyn av den nationella tillsynsmyndig- heten, , och ska bl.a. löpande genomgå för- nyade bedömningar. Som framgår av avsnitt 5.9 ställs även särskilda krav på de tekniska egenskaperna för framställning av kvalificerade elektroniska underskrifter. 21Europeiska unionens eIDAS Trusted list Hämtad . 22Europeiska unionens eIDAS Trusted list Hämtad . En statlig e-legitimation på fysiska identitetshandlingar Om som utfärdare av den statliga e-legitima- tionen blir en kvalificerad tillhandahållare av betrodda tjänster och står under tillsyn och krav på löpande revision innebär det en till- kommande kostnad. Även kostnaden för varje enskild e-legitimation ökar eftersom den behöver uppfylla särskilda tekniska krav. Mot bakgrund av den nuvarande behovsbilden när det gäller elek- troniska underskrifter i svenska e-tjänster är det enligt vår mening svårt att motivera den ökade komplexitet och kostnad som följer av kraven på särskilda tekniska och säkerhetsmässiga egenskaper i e- legitimationen för att kunna framställa kvalificerade elektroniska underskrifter. Ett mer kostnadseffektivt alternativ kan i stället vara att myndig- heten vid särskilt behov kan utfärda den statliga e-legitimationen med ett kvalificerat elektroniskt certifikat och anordning för skap- ande av kvalificerade elektroniska underskrifter. Då kan en kvalifi- cerad elektronisk underskrift vid användning av utländska digitala tjänster tillhandahållas de personer och företag som har behov av det, utan att det orsakar onödiga kostnader för utfärdande av majori- teten av e-legitimationerna. En fördjupad analys vid utvecklingen av den statliga e-legitimationen kan dock visa att kostnaden för att förse samtliga e-legitimationer med förmåga att framställa kvalifi- cerade elektroniska underskrifter är så pass låg att det ändå kan vara samhällsekonomiskt motiverat trots den nuvarande behovsbilden. Vi föreslår mot denna bakgrund att det uppställs ett krav på att den statliga e-legitimationen ska kunna användas för att skapa en avancerad elektronisk underskrift enligt eIDAS-förordningen. Det är dock lämpligt att i enlighet med vad vi anfört ovan utreder förutsättningarna för att utfärda en statlig e-legitimation som kan användas för att framställa en kvalificerad e-underskrift. Det är viktigt att den terminologi som används i den nationella regleringen följer begreppsutvecklingen inom EU och att e-under- skriften uppfyller de krav som vid var tid uppställs i eIDAS-förord- ningen. Hänvisningen till eIDAS-förordningen bör därför göras dynamisk vilket innebär att den avser förordningen i dess gällande lydelse. En statlig e-legitimation på fysiska identitetshandlingar 12.10 Den statliga e-legitimationens innehåll Utredningens förslag: Regeringen eller den myndighet som reger- ingen bestämmer ska kunna meddela föreskrifter om vilka upp- gifter som den statliga e-legitimationen ska innehålla. Den statliga e-legitimationen ska enligt det förslag till lag som Ut- redningen om effektiv styrning av nationella digitala tjänster lämnat innehålla uppgift om innehavarens nuvarande efternamn och för- namn, födelsedatum samt personnummer. Detta är uppgifter som, enligt minimikrav som gäller enligt en genomförandeförordning till eIDAS-förordningen23, ska finnas vid gränsöverskridande identifie- ring. Eftersom syftet är att den statliga e-legitimationen ska kunna anmälas för användning inom EU enligt eIDAS-förordningen är det nödvändigt att den innehåller de uppgifter som krävs enligt det regel- verket. De flesta personer som kommer att kunna få en statlig e-legiti- mation har ett personnummer. Eftersom e-legitimationen ska kunna utfärdas till alla svenska medborgare finns det dock ett behov av att den även innehåller samordningsnummer i vissa fall. Svenska med- borgare som är födda utomlands och som aldrig har varit folkbok- förda i har nämligen inte något personnummer. Den statliga e-legitimationen måste därför utfärdas med samordningsnummer i stället för personnummer för dessa personer. Enligt vår bedömning är det dock inte nödvändigt att i lag reglera e-legitimationens innehåll. För det fall det uppstår behov av att upp- ställa krav på e-legitimationens innehåll bör detta kunna göras ge- nom föreskrifter som meddelas av regeringen eller den myndighet regeringen bestämmer. 23Kommissionens genomförandeförordning (EU) 2015/1501 av om interoperabilitetsramverket enligt artikel 12.8 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transak- tioner på den inre marknaden. En statlig e-legitimation på fysiska identitetshandlingar Utredningens förslag: En statlig e-legitimation ska utfärdas efter ansökan. Ansökningsförfarandet ska följa processen för ansökan om statligt identitetskort. Av tillitsramverket följer att en e-legitimation får utfärdas endast på begäran av sökanden eller genom annat likvärdigt acceptförfarande och först sedan sökanden har uppmärksammats på villkoren för ut- färdandet och det ansvar som kan komma att vila på sökanden. Syftet med att utfärdandet ska ske på sökandens initiativ är att motverka att någon tilldelas en e-legitimation per automatik utan att det står klart för personen att så sker. Mot den bakgrunden anser vi att det i lagen om statliga identitetshandlingar bör införas ett krav om att utfärdande endast får ske efter ansökan. Utredningen om effektiv styrning av nationella digitala tjänster har föreslagit bestämmelser som innehåller krav på den ansökan som ska göras. Det föreskrivs bl.a. att sökanden ska inställa sig person- ligen och styrka sin identitet. Att sökanden ska identifieras vid ett personligt besök följer av de krav som ställs enligt tillitsramverket. Där anges att utfärdaren ska kontrollera sökandens identitet vid ett personligt besök, på likvärdigt sätt som vid utgivning av en fullgod identitetshandling. I den vägledning24 som kompletterar tillitsram- verket anges att kravet innebär att det förväntas att sökanden styrker sin identitet med en fullgod identitetshandling som han eller hon redan innehar. De alternativa sätt som utfärdare av fysiska identitets- handlingar tillämpar för att identifiera personer som saknar en full- god identitetshandling bör i normalfallet inte tillämpas. Saknas full- god identitetshandling bör i stället sökanden skaffa en sådan innan e-legitimationen utfärdas. Vi föreslår att utfärdande av den statliga e-legitimationen ska följa processen för utfärdande av det statliga identitetskortet. Lagen om statliga identitetshandlingar kommer enligt vårt förslag att innehålla krav på personlig inställelse och styrkande av identiteten. Om sök- anden inte har en statlig fysisk identitetshandling föreslår vi att iden- titeten ska kunna styrkas på andra sätt. 24E-legitimationsnämndens Vägledning till uppfyllande av tillitsramverkets krav för Svensk e-legitimation version . En statlig e-legitimation på fysiska identitetshandlingar att sådana alternativa sätt att identifiera sig normalt inte ska tillämpas vid utfärdande av e-legitimation utan att sökanden normalt bör skaffa en identitetshandling innan en e-legitimation utfärdas är inte relevant i den situation som är aktuell. Skrivningen torde handla om situationer där det inte är samma aktör som utfärdar identitets- handlingen och e-legitimationen. Eftersom utfärdandet av den stat- liga e-legitimationen ska göras i samma förfarande som utfärdandet av det statliga identitetskortet åstadkoms den säkerhet som är syftet med skrivningen i vägledningen. Det gäller även den e-legitimation som finns på identitetskort för folkbokförda i . Det inne- bär att även alternativa sätt att styrka identiteten tillämpas vid utfär- dande av den e-legitimationen. Vi bedömer att identitetskontrollen kommer att uppnå den säkerhet som krävs enligt tillitsramverket. Som framgått ovan uppställer alltså tillitsramverket krav på att utfärdaren ska kontrollera sökandens identitet vid ett personligt be- sök, på likvärdigt sätt som vid utgivning av en fullgod identitets- handling. Vi har i avsnitt 10.2.7 föreslagit att personer som på grund av sjukdom, funktionsnedsättning eller hög ålder inte kan ta sig till den utfärdande myndigheten under vissa förutsättningar ska kunna göra en ansökan om statligt identitetskort genom bud. Dessa per- soner kommer alltså inte själva besöka den utfärdande myndigheten. Det är enligt vår mening av stor vikt att staten tar ansvar för att se till att de som har behov av en e-legitimation ska kunna få en stat- lig e-legitimation utfärdad. Det är sannolikt så att personer som på grund av svårighet att röra sig utanför hemmet eller vårdinrättningen har störst behov att ta del av samhällets tjänster digitalt med hjälp av e-legitimation. Det kan t.ex. gälla beställning av medicin och andra varor på internet, bankärenden eller ärenden hos och .