prop · H80381 · 2021-01-19 00:00:00 — och rådets förordning (EU) 2018/1724 av om inrättande av en gemensam digital ingång för tillhandahållande av information, förfaranden samt hjälp- och problemlösningstjänster och om ändring av förordning (EU) nr 1024/2012 (EU:s förordning om en gemensam digital ingång) ställer krav på att medlemsstaterna säkerställer att digitala tjänster finns för vissa förfaranden, till exempel att lämna in en inkomstskattedeklaration, och att dessa tjänster kan nås digitalt av invånare i andra medlemsstater. Förordningen har antagits med utgångspunkt i att individen ska identifiera sig med stöd av den tekniska infrastruktur som upprättats med anledning av EU:s förordning om elektronisk identifiering. Den aviserade översynen av EU:s förordning om elektronisk identifiering, som skulle ha presenterats , kan resultera i ökade krav på tillgång till medlemsstaternas digitala tjänster. Det är viktigt att svenska offentliga aktörer är förberedda för sådana krav. Den fråga som lyft, om huruvida kravet på erkännande av utländska elektroniska identitetshandlingar –på grund av EU:s förordning om en gemensam digital ingång – inte bara avser autentiseringen utan även omfattar åtkomst till den digitala tjänsten blir föremål för behandling i samband med översynen. Vidare har genom för digitalisering och deklarationen Digital North förbundit sig att arbeta för utvecklingen av en sammanhängande digital infrastruktur i regionen till nytta för medborgare, företag och offentliga förvaltningar. Det arbetet bygger i stor utsträckning på att svenska aktörer kan hantera elektronisk identifiering via noderna och att digitala tjänster i linje med EU-förordningen om en gemensam digital ingång kan fungera gränsöverskridande. Det är mot denna bakgrund motiverat att införa en skyldighet för de offentliga organ som omfattas av förordningens krav på erkännande av utländska e-legitimationer att ansluta sig till den nod för inkommande gränsöverskridande identifiering som Myndigheten för digital förvaltning tillhandahåller. avstyrker förslaget om obligatorisk anslutning och framhåller att en oberoende säkerhetsgranskning av det tekniska systemet för gränsöverskridande elektronisk identifiering behöver genomföras. Regeringen konstaterar dock att systemet numera har varit i drift . Dessutom har flera externa säkerhetsgranskningar genomförts, vilka har gett systemet ett mycket gott omdöme. Myndigheten för digital förvalt- ning, som ansvarar för tillhandahållandet av noderna, kommer även i fortsättningen att genomföra återkommande säkerhetsgranskningar av systemet. Försvarsmakten föreslår att en nationell informationsvärdering genomförs innan lagreglering sker. Regeringen konstaterar att noden för gränsöverskridande elektronisk identifierings funktion i legitimeringsprocessen är att möjliggöra interoperabilitet vid överföring av identitetsintyg. Den kan liknas vid en katalogtjänst som dirigerar identitetsintygets passage. Som behandlas i avsnitt 9 är det uppgifter om namn, födelsedatum och en unik identitetsbeteckning för den person identifieringen gäller som passerar noden. Noden fungerar inte som en s.k. gateway. Annan information än den som hänför sig till identitetsintyget passerar därför inte vidare in i de anslutna aktörernas system via noden. Noden fungerar inte heller som en brandvägg. De säkerhetsrisker som aktualiseras är de som följer av tillhandahållandet av digitala tjänster genom internet och påverkas inte av en anslutning till noden. Vilka användare som får åtkomst till nättjänsten och den säkerhetsnivå som krävs för åtkomst avgörs i nättjänsten. Det är därför viktigt att berörda aktörer bedriver ett systematiskt informationssäkerhetsarbete. Regeringen vill betona att alla aktörer som tillhandahåller nättjänster som ansluts till noden är ansvariga för att deras informationssäkerhetssystem uppfyller de krav som kan ställas på dem inom deras respektive verksamhetsområde. För utövare av säkerhetskänslig verksamhet finns bestämmelser om säkerhetsskydd i säkerhetsskyddslagen (2018:585) och säkerhetsskyddsförordningen (2018:658). För leverantörer av samhällsviktiga tjänster och digitala tjänster finns särskilt reglerade skyldigheter i lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Det finns även bestämmelser om krav på informationshanteringssystem i förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Det är mot denna bakgrund inte motiverat att genomföra en nationell informationsvärdering innan ett krav på anslutning till noden lagregleras. Sammantaget bedömer regeringen att det i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering bör införas en skyldighet för de offentliga organ som omfattas av kravet i förordningen att ansluta sina nättjänster till den nod för inkommande gränsöverskridande elektronisk identifiering som Myndigheten för digital förvaltning tillhandahåller. Försvarsmakten anför vidare att det av utredningens förslag är svårt att uttyda vilka myndigheter som omfattas av författningskraven. Regeringens förslag är utformat med utgångspunkt i att kravet på ömsesidigt erkännande i artikel 6 i EU:s förordning om elektronisk identifiering är direkt tilllämpligt. Kravets innebörd bör därför inte vara föremål för tolkning i nationell lagstiftning. En aktör som tillhandahåller nättjänster måste själv ta ställning till om tjänsterna omfattas av förordningens tillämpningsområde och om de omfattas av lagens bestämmelser om skyldighet att ansluta till noden. Myndigheten för digital förvaltning har i uppgift att lämna stöd och information till myndigheter i frågor som rör gränsöverskridande elektronisk identifiering enligt EU:s förordning om elektronisk identifiering. Skyldigheten att ansluta till noden bör inte gälla om detta skulle medföra risk för skada för totalförsvaret eller säkerhet i övrigt. Det ankommer på varje berörd aktör att bedöma huruvida en anslutning till noden medför en sådan risk. Det bör dock understrykas att undantaget från skyl- 2020/21:81 digheten att ansluta till noden inte påverkar giltigheten av det krav på erkännande av medel för elektronisk identifiering som följer av artikel 6 i EU:s förordning om elektronisk identifiering. Om en aktör som omfattas av kravet bedömer att en anslutning till noden inte bör ske eller att en befintlig anslutning bör avbrytas med hänsyn till risk för skada för totalförsvaret eller säkerhet i övrigt, får alltså aktören ordna tillgång till de tekniska lösningar som krävs för erkännande på ett annat sätt. Myndigheter som bedriver sådan verksamhet som avser totalförsvaret eller säkerhet i övrigt bör helt undantas från skyldigheten att ansluta till noden. Avgränsningen av vilka myndigheter som ska undantas görs lämpligen i förordning. Regeringen bör därför få meddela föreskrifter om undantag från anslutningsskyldigheten i fråga om verksamhet som avser totalförsvaret eller säkerhet i övrigt. påpekar kräver obligatorisk anslutning till noden att den ansvariga myndigheten kan reglera villkoren för anslutningen. Den ansvariga myndigheten bör bl.a. få ställa krav på säkerhet som en aktör ska uppfylla för att ansluta sina nättjänster till noden. I lagen bör det därför anges att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om förfarandet och kraven för anslutning till noden. Regeringen avser att ge Myndigheten för digital förvaltning rätt att meddela sådana föreskrifter. Övriga offentliga organ och privata aktörer får ansluta till noden Som utredningen anför kan även privata aktörer och offentliga organ som inte omfattas av förordningens krav på erkännande ha ett intresse av att kunna ta emot användare från andra medlemsstater i sina nättjänster. Det gäller sådana offentliga organ som inte kräver elektronisk identifiering på tillitsnivå väsentlig eller hög för inloggning i sina nättjänster utan där det räcker med en lägre tillitsnivå. Regeringen anser att det är angeläget att varje medlemsstat bidrar till att underlätta gränsöverskridande elektronisk identifiering. Utländska personer ska på ett tillförlitligt sätt kunna använda sitt lands godkända e-legitimation vid användning av svenska tjänster, under förutsättning att det finns ett regelverk som garanterar säkerhetsnivå och ansvar (se prop. 2014/15:1 utgiftsområde 22 s. 150 f.). För att uppfylla de kommande kraven i EU:s förordning om en gemensam digital ingång på att digitala tjänster för vissa förfaranden ska kunna nås av invånare i andra medlemsstater behöver identifiering med utländska medel som har blivit godkända för gränsöverskridande elektronisk identifiering vara möjlig. De kommande kraven kan i vissa fall avse offentliga digitala tjänster som inte omfattas av den anslutningsskyldighet som föreslås här. De utländska medel som har blivit godkända för gränsöverskridande elektronisk identifiering enligt förfarandet i EU:s förordning om elektronisk identifiering bör i ljuset av detta även kunna användas för identifiering i övriga offentliga nättjänster och i privata aktörers tjänster. För att möjliggöra det bör Myndigheten för digital förvaltning på begäran även ansluta offentliga aktörer som inte omfattas av förordningens krav och privata aktörer till noden för inkommande gränsöverskridande elektronisk identifiering. Regeringen avser att i förordning ge Myndigheten för digital förvaltning en sådan uppgift. Som anges ovan avser regeringen att ge Myndigheten för digital förvaltning rätt att meddela föreskrifter om anslut- ning till noden. Genom sådana föreskrifter kan det bl.a. ställas krav på Prop. 2020/21:81 säkerhet som en aktör som inte omfattas av anslutningsskyldigheten ska uppfylla för att få ansluta sina nättjänster till noden. De svenska nodernas utveckling och drift finansieras med offentliga medel, och anslutning av aktörer till noderna kräver arbetsinsatser av Myndigheten för digital förvaltning. Det är därför motiverat med ett avgiftssystem som säkerställer att det offentliga inte belastas med kostnader för de privata aktörernas användning av noden. Myndigheten bör därför ges rätt att ta ut avgifter av de privata aktörer som har anslutit sig till noden för inkommande gränsöverskridande elektronisk identifiering som myndigheten tillhandahåller. Regeringen avser att ge Myndigheten för digital förvaltning rätt att ta ut sådana s.k. frivilliga avgifter från de privata aktörerna. 7Underrättelse om händelser av betydelse för funktionaliteten och säkerheten i noderna Regeringens förslag: Den som är ansluten till en svensk nod för inkommande eller utgående gränsöverskridande elektronisk identifiering ska underrätta den myndighet som ansvarar för noden om händelser som kan ha betydelse för nodens funktionalitet eller säkerhet. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om underrättelseskyldigheten. Utredningens förslag: Överensstämmer i huvudsak med regeringens Utredningen föreslår inte något bemyndigande. Remissinstanserna: De flesta av de remissinstanser som kommenterar förslaget tillstyrker det eller har ingen invändning mot det. radioanstalt, Myndigheten för samhällsskydd och beredskap och Säker- hetspolisen anser att underrättelseskyldigheten inte bör gälla i de fall en sådan skyldighet följer av annan författning. Skälen för regeringens förslag: De noder som upprättats med anledning av EU:s förordning om elektronisk identifiering är en del av den svenska digitala infrastrukturen och möjliggör gränsöverskridande elektronisk Noderna är dock inte att betrakta som samhällsviktiga enligt och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. För att Myndigheten för digital förvalt- ning ska kunna upprätthålla en god informationssäkerhetsnivå är det av vikt att de aktörer som använder sig av noderna rapporterar händelser som kan ha betydelse för nodernas funktionalitet eller säkerhet till myndigheten. , Myndigheten för samhällsskydd och beredskap och Säkerhetspolisen påpekar att det finns flera författningar som ställer krav på rapportering vid it-relaterade incidenter, bl.a. säkerhetsskydds- lagen (2018:585). Myndigheterna framhåller att det är viktigt att det inte sker en fragmentering av rapporteringsskyldigheten vid incidenter i it- 2020/21:81 system, eftersom det skulle göra det svårt att överblicka informationssäkerhetsområdet. Vidare påpekar de att det förhållandet att samma incident kan rapporteras till flera tillsynsmyndigheter kan försämra möjligheten till en tillbörlig reaktion. Regeringen instämmer i att det är viktigt att det inte sker en fragmentering av informationssäkerhetsområdet. Myndigheten för digital förvaltning behöver dock som ansvarig för infrastrukturen för gränsöverskridande elektronisk identifiering snabbt få kännedom om brister i säkerheten eller funktionaliteten i noderna. Att samma händelse i vissa fall kan komma att rapporteras till olika myndigheter bör därför inte leda till en mindre tillförlitlig hantering av incidenten inom myndigheternas egna ansvarsområden. Bestämmelser som närmare preciserar vad underrättelseskyldigheten avser blir både detaljerade och av teknisk karaktär. De är därför mindre lämpliga att regleras i lag. I lagen bör det i stället anges att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om underrättelseskyldigheten. Regeringen avser att i förordning ge Myndigheten för digital förvaltning rätt att meddela föreskrifter om den. 8Anmälan av system för elektronisk identifiering Regeringens förslag: Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vilka krav som ska gälla för att system för elektronisk identifiering ska få anmälas för gränsöverskridande elektronisk identifiering enligt EU:s förordning om elektronisk identifiering och de rättsakter som meddelas med stöd av förordningen. Regeringens bedömning: Myndigheten för digital förvaltning bör ansvara för anmälan av system för elektronisk identifiering enligt EU:s förordning om elektronisk identifiering och de rättsakter som meddelas med stöd av förordningen. Myndigheten bör också ansvara för åtgärder vid säkerhetsincidenter enligt artikel 10 i EU:s förordning om elektronisk identifiering. Utredningens förslag: Överensstämmer i huvudsak med regeringens förslag. Utredningen föreslår att kraven ska anges direkt i lagen. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller har ingen invändning mot det. Skälen för regeringens förslag och bedömning: För att en svensk e- legitimation ska kunna användas inom infrastrukturen för EU:s förordning om elektronisk identifiering måste ett svenskt system för elektronisk identifiering, där minst ett medel för elektronisk identifiering (e-legitimation) ingår, anmälas enligt det förfarande som framgår av artiklarna 7–9 i förordningen och de rättsakter som meddelats med stöd av den. Kraven är i huvudsak av teknisk karaktär och processen bygger på att en eller flera aktörer som den anmälande medlemsstaten har pekat ut utför granskningar på begäran av den utfärdare som vill få sin e-legitimation anmäld. utfallet av granskningen positivt, kan systemet för elektronisk identifiering anmälas till Europeiska kommissionen. Systemet tas därefter upp i den förteckning över system för elektronisk identifiering som anmälts, vilken offentliggörs i Europeiska unionens officiella tidning. Därefter kan e- legitimationen användas för åtkomst till nättjänster i andra medlemsstater. Myndigheten för digital förvaltning ansvarar för de svenska noderna för gränsöverskridande elektronisk identifiering. Som Statskontoret framför är det lämpligt att samma myndighet ansvarar för anmälan av svenska system för gränsöverskridande identifiering. På så sätt samlas rätt kompetens hos Myndigheten för digital förvaltning och myndigheten får möjlighet att överblicka hela den process för elektronisk identifiering som följer av EU:s förordning om elektronisk identifiering. Myndigheten bör av samma skäl ansvara för åtgärder vid säkerhetsincidenter enligt artikel 10 i EU:s förordning om elektronisk identifiering. Det gäller bland annat att tillfälligt upphäva eller återkalla en gränsöverskridande autentisering och att informera kommissionen och andra medlemsstater om att ett system för elektronisk identifiering har dragits tillbaka på grund av säkerhetsbrister. Utredningen föreslår att myndighetens ansvarsområde ska pekas ut i lag. Regeringen anser dock att detta med fördel regleras i förordning. Bestämmelser om Myndigheten för digital förvaltnings ansvar för anmälan av system för elektronisk identifiering och för åtgärder vid säkerhetsincidenter bör därför införas i förordning. I EU:s förordning om elektronisk identifiering och de rättsakter som meddelas med stöd av den finns bl.a. regler för hur en anmälan ska gå till och de krav som ställs på de system för elektronisk identifiering som medlemsstater anmäler. Kraven anges särskilt i kommissionens genomförandebeslut (EU) 2015/1984 av om förutsättningar, format och förfaranden för anmälan enligt artikel 9.5 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden. påpekar kan det finnas behov av att ställa ytterligare krav med hänsyn till det ansvar som medlemsstaterna tar som garant för att det anmälda systemet uppfyller förordningens krav. Utredningen föreslår ett antal lagkrav som ett svenskt medel för elektronisk identifiering bör uppfylla för att bli anmält för gränsöverskridande identifiering. Medlet ska enligt utredningens förslag bl.a. ingå i valfrihetssystem enligt lagen (2013:311) om valfrihetssystem i fråga om tjänster för elektronisk identifiering och vara utfärdat av en aktör som har tecknat försäkring som täcker ersättning för det skadeståndsansvar som följer av artikel 7 i EU:s förordning om elektronisk identifiering. De närmare krav som ska ställas för en anmälan är av så detaljerad och teknisk karaktär att de lämpar sig mindre väl att reglera i lag. De bör i stället fastställas i förordning eller myndighetsföreskrifter. Det ger ökad flexibilitet inför eventuella ändringar av bl.a. tekniska specifikationer och standarder. I lagen bör det därför anges att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för att system för elektronisk identifiering ska anmälas för gränsöverskridande elektronisk identifiering enligt EU:s förordning om elektronisk identifiering och de rättsakter som meddelas med stöd av förordningen. 2020/21:81 att ge Myndigheten för digital förvaltning rätt att meddela sådana föreskrifter. Myndigheten för digital förvaltnings Regeringens bedömning: Det behövs inga särskilda bestämmelser för utpekande av personuppgiftsansvaret och för behandling av person- uppgifter i Myndigheten för digital förvaltnings verksamhet i frågor som rör hanteringen av noderna för gränsöverskridande elektronisk Bestämmelserna i dataskyddsförordningen, dataskydds- lagen och EU:s förordning om elektronisk identifiering och de rättsakter som har meddelats med stöd av den är tillräckliga. Utredningens förslag och bedömning överensstämmer inte med rege- Utredningen föreslår att särskilda bestämmelser införs som pekar ut nodmyndigheten som personuppgiftsansvarig för behand- lingen av personuppgifter i noden och som anger att myndigheten får be- handla de personuppgifter som kommer till noden. ningen att nodmyndigheten ska ha rätt att behandla tekniska uppgifter om de aktörer vars uppgifter ska behandlas av noden och de personuppgifter som är nödvändiga för att säkerställa behörigheter för aktörernas ombud. Remissinstanserna: De remissinstanser som kommenterar förslaget till- styrker eller har ingen invändning mot det. Skälen för regeringens bedömning Regelverk för skydd för behandling av personuppgifter antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad EU:s dataskyddsförordning. (1998:204), och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, nedan kallad dataskyddslagen, trädde i kraft. EU:s dataskyddsförordning utgör den generella regleringen av person- uppgiftsbehandling inom unionen. Den är tillämplig på sådan behandling av personuppgifter som helt eller delvis sker på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. område undantas bl.a. behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten eller som utförs av med- lemsstaterna när de bedriver verksamhet som omfattas av den gemen- samma utrikes- och säkerhetspolitiken. I EU:s dataskyddsförordning finns flera bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika I finns kompletterande bestämmelser som behövs eller är lämpliga och som är av generell karaktär i dataskyddslagen. I dataskydds- Prop. 2020/21:81 lagen förtydligas bl.a. under vilka förutsättningar personuppgifter får be- handlas med stöd av dataskyddsförordningen. Vidare innehåller lagen bestämmelser om bl.a. rapportering av personuppgiftsincidenter, administrativa sanktionsavgifter, begränsningar av de registrerades rättigheter, skadestånd och överklagande. EU:s dataskyddsförordning och dataskyddslagen är tillämpliga på behandling av personuppgifter vid Myndigheten för digital förvaltning. Personuppgiftsansvar vid tillhandahållandet av noder för gränsöverskridande elektronisk identifiering Den som är personuppgiftsansvarig enligt EU:s dataskyddsförordning har en skyldighet att se till att personuppgifter behandlas i enlighet med tillämpliga bestämmelser. Enskilda ska alltid kunna vända sig till den personuppgiftsansvarige för att göra sina rättigheter gällande. Med personuppgiftsansvarig avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter (artikel 4.7). Den personuppgiftsansvarige har en rad skyldigheter enligt förordningen, bl.a. ska den se till och kunna visa att principerna om behandlingen av personuppgifter i artikel 5 följs (se närmare om principerna nedan). Ett annat exempel är den personuppgiftsansvariges skyldighet att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter utförs i enlighet med förordningen (artikel 24). För myndigheter är en reglering av vem som är personuppgiftsansvarig av störst vikt när det är fråga om en myndighet som är en del av en större myndighetsstruktur, om det finns utrymme för tvekan kring vilken myndighet som har ansvaret för behandlingen av personuppgifter. En sådan särskild reglering av personuppgiftsansvaret kan också i andra fall förenkla för rättstillämparen och undvika otydligheter i fråga om identifiering av den ansvarige (jfr prop. 2019/20:106 s. 34). De uppdrag som Myndigheten för digital förvaltning ska utföra och myndighetens befogenheter framgår bl.a. av myndighetens instruktion. Enligt 3 § 4 förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning ansvarar myndigheten för de svenska förbindelsepunkterna (noderna) för gränsöverskridande elektronisk identifiering i enlighet med EU:s förordning om elektronisk identifiering samt rättsakter som har meddelats med stöd av förordningen. Som anges i avsnitt 5 innefattar myndighetens ansvar enligt instruktionen även tillhandahållandet av noderna för elektronisk identifiering.