prop · H80381 · 2021-01-19 00:00:00 — Vidare bedömer regeringen att myndigheten ska ansvara för anmälan av system för elektronisk identifiering enligt EU:s förordning om elektronisk identifiering och de rättsakter som meddelas med stöd av förordningen och få meddela föreskrifter om anslutning till noderna för elektronisk identifiering (se avsnitt 6 och 8). Myndigheten för digital förvaltnings uppgifter och ansvar för frågor som rör noderna för gränsöverskridande elektronisk identifiering är därmed tydligt utpekade. Det har inte framkommit någon osäkerhet i fråga om vem som har personuppgiftsansvaret. Regeringen bedömer därför att det inte finns något behov av att införa särskilda bestämmelser om att Myndigheten för 2020/21:81 digital förvaltning är personuppgiftsansvarig för den behandling av personuppgifter som sker vid tillhandahållandet av noder för gränsöverskridande elektronisk identifiering. Rättslig grund och principer för behandling av personuppgifter i myndighetens verksamhet i fråga om noderna för gränsöverskridande elektronisk identifiering EU:s dataskyddsförordning utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. En uttömmande uppräkning av de rättsliga grunderna finns i artikel 6.1. En av de rättsliga grunderna är att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1e, måste behandlingen vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Av artikel 6.3 framgår vidare att vid behandling enligt artikel 6.1 c och e ska den rättsliga grunden fastställas i unionsrätten eller i nationell rätt. Där anges också att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen. I dataskyddslagen tydliggörs att en uppgift av allmänt intresse utgör en rättslig grund för behandling av personuppgifter enligt artikel 6.1 e i dataskyddsförordningen om uppgiften följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning eller är ett led i den personuppgiftsansvariges myndighetsutövning om myndighetsutövningen sker enligt lag eller annan författning (2 kap. 2 §). I förarbetena till dataskyddslagen uttalas att den verksamhet som en statlig eller myndighet bedriver inom ramen för sin befogenhet är av allmänt intresse och att det vanligen är den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen som bör tillämpas av myndigheter. Detta utesluter dock inte att andra rättsliga grunder kan vara tillämpliga i vissa fall (prop. 2017/18:105 s. 56 f.). I artikel 5 i EU:s dataskyddsförordning ställs det vidare upp ett antal allmänna principer för behandlingen. Personuppgifterna ska bl.a. behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De får inte senare behandlas på ett sätt som är oförenligt med dessa ursprungliga ändamål. Uppgifterna ska vidare vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. De ska vara korrekta och, om nödvändigt, uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Vidare får personuppgifter inte förvaras än vad som är nödvändigt och de måste behandlas på ett sätt som säkerställer lämplig säkerhet. Artiklarna 5 och 6 är kumulativa. Det innebär att en personuppgiftsbehandling måste ha stöd i någon av de rättsliga grunderna i artikel 6 och alla principer i artikel 5 ska följas. Av EU:s förordning om elektronisk identifiering följer en skyldighet för att under vissa i förordningen beskrivna förhållanden erkänna utländska elektroniska identitetshandlingar i svenska nättjänster. För att kunna göra det krävs att det i finns noder som klarar av att dirigera trafiken av inkommande elektroniska identitetshandlingar för att kunna bekräfta identiteten på de användare som vill ha tillträde till svenska nättjänster. Det kräver i sin tur behandling av de personuppgifter som anges i kommissionens genomförandeförordning (EU) 2015/1501. Inga personuppgifter utöver dem som anges där får behandlas av noden. I bilagan till genomförandeförordningen anges att en minimiuppsättning av uppgifter för en fysisk person ska innehålla följande: nuvarande efternamn, nuvarande förnamn, födelsedatum samt en unik identitetsbeteckning som satts samman av den utsändande medlemsstaten i enlighet med de tekniska specifikationerna för gränsöverskridande identifiering och som är mest beständig . En minimiuppsättning för en fysisk person kan dessutom innehålla ett eller flera av följande: förnamn och efternamn vid födseln, födelseort, nuvarande adress och kön. Myndigheten måste vidare se till att de personuppgifter som behandlas hålls korrekta och att säkerheten upprätthålls för att skydda integritet och konfidentialitet. I artikel 6.2 i samma genomförandeförordning anges att noderna inte får lagra några personuppgifter, utom för det ändamål som anges i artikel 9.3. I artikel 9.3 anges att nodoperatören ska lagra uppgifter så att det, vid en incident, går att rekonstruera ordningsföljden i utbytet av meddelanden för att fastställa platsen för incidenten och dess art. När Myndigheten för digital förvaltning behandlar personuppgifter inom ramen för sitt uppdrag att ansvara och tillhandahålla noderna för gränsöverskridande elektronisk identifiering sker detta för att utföra uppgifter av allmänt intresse (artikel 6.1 e) som följer av lag eller annan författning. Myndighetens behandling av personuppgifter vid tillhandahållandet av noderna är nödvändig för att utföra en uppgift av allmänt intresse och därigenom möjliggöra den gränsöverskridande elektroniska identifiering som följer av EU:s förordning om elektronisk identifiering. Därmed är även kravet i artikel 6.3 uppfyllt. Bestämmelserna i förordning om elektronisk identifiering och kommissionens genomförandeförordning (EU) 2015/1501 föreskriver hur noderna ska tillhandahållas och hur personuppgifterna ska behandlas i noderna. Som nämnts ovan framgår ändamålet för behandlingen av personuppgifter, vilka personuppgifter som får behandlas, skyddet av personuppgifter och vad som gäller i fråga om lagring av personuppgifter av rättsakterna. Regeringen bedömer att 3 § 4 förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning i förening med bestämmelserna i förordning om elektronisk identifiering och kommissionens genomförandeförordning (EU) 2015/1501 reglerar nödvändig personuppgiftsbehandling i frågor som rör noderna för gränsöverskridande elektronisk identifiering på ett tydligt sätt. Det finns därför inte behov av att införa särskilda bestämmelser om sådan personuppgiftsbehandling. Regeringens förslag: Lagändringarna ska träda i kraft . Utredningens förslag överensstämmer inte med regeringens. Utredningen föreslår ett ikraftträdande . Remissinstanserna har inga synpunkter. Skälen för regeringens förslag: För att ska kunna uppfylla förordningens krav är det viktigt att de berörda aktörerna ansluter sina nättjänster till noden för inkommande gränsöverskridande elektronisk identifiering som Myndigheten för digital förvaltning tillhandahåller. Även om anslutningen i de flesta fall inte är resurskrävande, bör hänsyn tas till att situationen hos många offentliga aktörer är mycket ansträngd med anledning av utbrottet av covid-19. Ett lämpligt datum för ikraftträdande är därför . 11.1Konsekvenser för statliga myndigheter Bestämmelserna om ömsesidigt erkännande av medel för elektronisk identifiering i EU:s förordning om elektronisk identifiering innebär i praktiken att offentliga organ som för åtkomst till sina nättjänster ställer krav på användning av en e-legitimation måste erkänna medel för elektronisk identifiering utfärdade i en annan medlemsstat för autentisering i tjänsten. Kravet på de offentliga organen att ansluta nättjänster till den nod för inkommande gränsöverskridande identifiering som tillhandahålls av Myndigheten för digital förvaltning innebär att organen kommer att behöva utföra en viss verksamhetsutveckling, i huvudsak av it-relaterad karaktär. Anslutningsprocessen är dock relativt enkel. Tidsåtgången för anslutningen bedöms variera till . Processen behöver i normalfallet bara genomföras en gång. För aktörer som har flera nättjänster finns det lösningar som möjliggör en gemensam anslutning för alla tjänster . Regeringen bedömer att de berörda statliga myndigheterna kan genomföra åtgärderna inom befintliga utgiftsramar, med försumbar påverkan på myndighetens verksamhet. Myndigheten för digital förvaltning har i uppgift att ansvara för den offentliga förvaltningens tillgång till infrastruktur och tjänster för elektronisk identifiering och underskrift och att främja användningen av sådana tjänster. Därutöver ska myndigheten lämna stöd och information till myndigheter i frågor som rör gränsöverskridande elektronisk identifiering enligt EU:s förordning om elektronisk identifiering. Anslutning av nya offentliga aktörer till noden för inkommande gränsöverskridande identifiering ingår alltså i myndighetens fortlöpande verksamhet. Med hänsyn till myndighetens erfarenhet och kunskap på området bedöms myndigheten kunna hantera anslutningarna inom ordinarie verksamhet och befintliga utgifts- Privata aktörers anslutning till och användning av noden är frivillig. För att kunna hantera arbetet för sådan anslutning föreslås myndigheten få Prop. 2020/21:81 rätt att ta ut avgifter från sådana privata aktörer. Övriga förslag – om underrättelseskyldighet i fråga om händelser av betydelse för funktionaliteten och säkerheten i noderna och om anmälan av system för elektronisk identifiering – får främst konsekvenser för Myndigheten för digital förvaltning. Myndigheten behöver ta fram föreskrifter och anpassa sin verksamhet för att sköta anmälan av system för elektronisk identifiering. Även dessa uppgifter bedöms kunna hanteras inom befintliga utgiftsramar. Förslagen bedöms inte öka statens kostnader. Staten bör inte bekosta de gränsöverskridande transaktioner som genomförs av svenska e-legitimations- utfärdare, vilket utesluter risken att en kraftigt ökad användning skulle leda till en ökning av statens kostnader. 11.2Konsekvenser för kommuner, regioner och andra offentliga organ som berörs Även för kommuner, regioner och andra offentliga organ som berörs – till exempel vissa statliga bolag – bedöms de åtgärder som kravet på anslutning till noden som Myndigheten för digital förvaltning tillhandahåller och underrättelseskyldigheten medför rymmas inom ramen för normalt verksamhetsarbete och inom befintliga ekonomiska ramar. Kommuner och Regioner, SKR (tidigare Kommuner och Landsting) efterfrågar i sitt remissvar en tydlig och utförlig vägledning till stöd för bl.a. kommuner och regioner i deras arbete för att erkänna utländska e- legitimationer i sina digitala tjänster. SKR har därefter tagit fram en vägledning som beskriver tillvägagångssättet för anslutning till noden och de olika alternativ som finns beroende på hur aktören har valt att bygga sin eller sina digitala tjänster. För en kommun med flera förvaltningar som har separata digitala tjänster finns exempelvis lösningar som möjliggör gemensam anslutning av alla digitala tjänster vid samma tillfälle. Anslutningen behöver bara ske en gång. Tidsåtgången för anslutningsarbetet beror på valt tillvägagångssätt och varierar mellan och . Kostnaden för anslutningen varierar beroende på vilken typ av lösning för digitala tjänster aktören har. Vidare har Myndigheten för digital förvaltning, och tidigare , haft i uppdrag att sprida information om EU:s förordning om elektronisk identifiering och om anslutningsprocessen. De berörda aktörerna bör därför ha kännedom om EU- förordningen och om var information om anslutningsprocessen finns. Enligt 14 kap. 3 § regeringsformen bör en inskränkning i den kommunala självstyrelsen inte gå utöver vad som är nödvändigt med hänsyn till de ändamål som har föranlett den. Förslaget om obligatorisk anslutning till noden för inkommande gränsöverskridande elektronisk identifiering påverkar den kommunala självstyrelsen. Anslutningskravet fråntar kommuner och regioner möjligheten att utveckla egna tekniska lösningar för att uppfylla de krav som förordningen ställer på dem. Som framgår av avsnitt 6 är det ett begränsat antal aktörer som har vidtagit nödvändiga åtgärder för att uppfylla förordningens krav på erkännande av medel för Av de kommuner och regioner som kräver e- 2020/21:81 legitimation på tillitsnivå hög eller väsentlig för åtkomst till sina digitala tjänster bedöms enbart en tredjedel ha möjliggjort för gränsöverskridande elektronisk identifiering. Förslagets ändamål att ska leva upp till de krav EU:s förordning om elektronisk identifiering ställer bedöms emellertid inte kunna uppnås på ett mindre ingripande sätt. Vidare anses en anslutning till den nod som det offentliga åtar sig att upprätthålla via Myndigheten för digital förvaltning vara det mest effektiva sättet att uppnå ändamålet. Regeringen bedömer mot denna bakgrund att inskränkningen i den kommunala självstyrelsen är proportionerlig. 11.3Konsekvenser för näringsliv och privatpersoner Privata aktörer kommer att få en möjlighet att ansluta sina digitala tjänster till noden för inkommande gränsöverskridande elektronisk identifiering som Myndigheten för digital förvaltning tillhandahåller. De kan på så sätt ta emot medel för elektronisk identifiering utfärdade i andra medlemsstater i sina digitala tjänster, vilket kan underlätta för digital kommunikation och leda till nya digitala tjänster då nya målgrupper i andra länder kan nås. Privata utfärdare av medel för elektronisk identifiering får också möjlighet att tillhandahålla e-legitimationstjänster i andra länder via infrastrukturen för elektronisk identifiering. Detta kan i sin tur öka möjligheterna till e-handel och tillgång till digitala tjänster inom EU för både företag och privatpersoner. Att svenska e-legitimationer kan användas för gränsöverskridande elektronisk identifiering ger enskilda möjlighet att använda digitala tjänster i andra EU-medlemsstater, vilket kan minska behovet av resor, underlätta snabbare service och minska kostnader för pappershantering. Förslagen förväntas inte få några konsekvenser för jämställdheten mellan kvinnor och män men kan få en positiv miljöpåverkan om möjligheterna till digital kommunikation med offentliga organ i andra stater ökar. Förslagen bidrar till möjligheter att uppfylla kraven i EU:s förordning om en gemensam digital ingång. Förslaget till lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering 1 a § Ett offentligt organ som tillhandahåller en nättjänst är skyldigt att ansluta tjänsten till den svenska förbindelsepunkten (noden) för inkommande gränsöverskridande elektronisk identifiering, om nättjänsten omfattas av kravet i artikel 6 i EU:s förordning om elektronisk identifiering på erkännande av medel för elektronisk identifiering som utfärdats i en annan medlemsstat. Detta gäller dock inte om anslutningen medför risk för skada för totalförsvaret eller säkerhet i övrigt. Paragrafen, som är ny, reglerar offentliga organs skyldighet att ansluta sina nättjänster till den svenska noden för inkommande gränsöverskridande elektronisk identifiering. Övervägandena finns i avsnitt 6. Enligt första meningen ska ett offentligt organ som omfattas av kravet på erkännande av medel för elektronisk identifiering i artikel 6 i EU:s förordning om elektronisk identifiering ansluta till den svenska förbindelsepunkten (noden) för inkommande gränsöverskridande elektronisk identifiering. Noden tillhandahålls av Myndigheten för digital förvaltning. Vilka aktörer som avses med offentligt organ definieras i artikel 3.7 i EU:s förordning om elektronisk identifiering, jfr 1 § andra stycket i förevarande lag. Förordningens krav gäller för sådana nättjänster där det krävs elektronisk identifiering på tillitsnivå väsentlig eller hög för inloggning. Tillitsnivåerna för system för elektronisk identifiering beskrivs i artikel 8 i förordningen. Ett offentligt organ som tillhandahåller nättjänster måste självt ta ställning till om en nättjänst omfattas av förordningens tillämpningsområde och av lagens bestämmelser om skyldighet att ansluta till noden. I andra meningen finns ett undantag från anslutningsskyldigheten i fall då anslutningen medför risk för skada för totalförsvaret eller säkerhet i övrigt. Det ankommer på varje berörd aktör att göra en bedömning av huruvida en anslutning till noden medför en sådan risk. Undantaget påverkar inte giltigheten av kravet på ömsesidigt erkännande av medel för elektronisk identifiering som följer av artikel 6 i EU:s förordning om elektronisk identifiering. 1 b § Regeringen får meddela föreskrifter om undantag från anslutningsskyldigheten i fråga om verksamhet som avser totalförsvaret eller säkerhet i övrigt. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om förfarandet och kraven för anslutning till noden. Paragrafen, som är ny, innehåller bemyndiganden att meddela föreskrifter i frågor som anknyter till 1 a §. Övervägandena finns i avsnitt 6. I första stycket finns ett bemyndigande för regeringen att meddela föreskrifter om undantag från anslutningsskyldigheten i fråga om verksamhet som avser totalförsvaret eller säkerhet i övrigt. föreskrift kan t.ex. myndigheter som bedriver verksamhet som avser total- försvaret eller säkerhet i övrigt helt undantas från anslutnings- skyldigheten i 1 a §. Andra stycket innehåller ett bemyndigande för regeringen eller den myn- dighet som regeringen bestämmer att meddela föreskrifter om förfarandet och kraven för anslutningen till noden. Genom sådana föreskrifter kan det exempelvis ställas krav på säkerhet som en aktör ska uppfylla för att an- sluta sina nättjänster till noden. Sådana krav för anslutning kan även riktas mot en aktör som inte omfattas av anslutningsskyldigheten i 1 a §. 1 c § Den som är ansluten till en svensk nod för inkommande eller utgå- ende gränsöverskridande elektronisk identifiering ska underrätta den myndighet som ansvarar för noden om händelser som kan ha betydelse för nodens funktionalitet eller säkerhet. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om underrättelseskyldigheten. Paragrafen, som är ny, reglerar en underrättelseskyldighet för aktörer an- slutna till någon av noderna för gränsöverskridande elektronisk identifie- ring som Myndigheten för digital förvaltning tillhandahåller. dena finns i avsnitt 7. I första stycket finns en skyldighet för aktörer som är anslutna till en nod för gränsöverskridande elektronisk identifiering att underrätta Myndig- heten för digital förvaltning om händelser som kan ha betydelse för funktionaliteten eller säkerheten i noden. som kan påverka den fysiska noden och dess funktion eller de processer som sker i noden. Det kan finnas situationer där underrättelseskyldighet följer även av andra författningar, t.ex. säkerhetsskyddslagen (2018:585). Det förevarande stycket påverkar inte sådan underrättelseskyldighet. Andra stycket innehåller ett bemyndigande till regeringen eller den myn- dighet som regeringen bestämmer att meddela föreskrifter om underrättelse- Genom sådana föreskrifter kan det exempelvis preciseras vilka händelser som anses påverka funktionaliteten respektive säkerheten i noderna och hur underrättelsen ska ske. 1 d § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vilka krav som ska gälla för att ett system för elek- tronisk identifiering ska få anmälas för gränsöverskridande elektronisk identifiering enligt EU:s förordning om elektronisk identifiering och de rättsakter som meddelas med stöd av förordningen. I paragrafen, som är ny, ges regeringen eller den myndighet som rege- ringen bestämmer ett bemyndigande att meddela föreskrifter om de krav som ska gälla för att ett system för elektronisk identifiering ska få anmälas för gränsöverskridande elektronisk identifiering. Föreskrifterna kan exempelvis avse krav gällande säkerheten inom syste- met för elektronisk identifiering, krav på kvalitetsgranskning, att medlet för elektronisk identifiering ska ingå i ett valfrihetssystem för gränsöver- skridande elektronisk identifiering enligt lagen (2013:311) om valfrihets- system i fråga om tjänster för elektronisk identifiering eller krav som ska uppfyllas för anslutning till noden för utgående gränsöverskridande elektronisk identifiering. Bemyndigandet kan också avse tekniska krav på medlet för elektronisk identifiering och andra nödvändiga preciseringar för att kraven för anmälan i EU:s förordning om elektronisk identifiering och de rättsakter som har meddelats med stöd av den ska uppfyllas. Det rör sig främst om Kommissionens genomförandebeslut (EU) 2015/1984 av om förutsättningar, format och förfaranden för anmälan enligt artikel 9.5 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden. 2020/21:81 Bilaga 1 Sammanfattning av slutbetänkandet reboot – omstart för den digitala förvaltningen (SOU 2017:117) Utredningen bedömer att regeringen genom en serie olika initiativ har markerat en tydlig förändring av inriktningen av politiken för den digitala förvaltningen. I flera avseenden innebär initiativen en tydlig omprövning av tidigare ställningstaganden. Det som pågår kan därför beskrivas som en omstart – reboot – av politiken för digitalisering inom den offentliga sektorn. De förslag som återges i detta slutbetänkande, liksom förslagen i utredningens delbetänkande, bygger vidare på dessa åtgärder och är avsedda att komplettera dem. Om styrningen ska vara effektiv måste den riktas direkt till den eller de offentliga myndigheter som ska styras. Styrningen behöver anpassas både till den eller de som ska styras och till den typ av verksamhet eller de förvaltningsgemensamma digitala funktioner som avses. För detta behöver och regeringen använda och utforma en väl balanserad kombination av flera olika styrmedel, både bindande och icke-bindande, liksom finansiella och legala. En effektiv finansiell styrning och finansiering av förvaltningsgemensamma digitala funktioner innebär att och regeringen måste styra resurserna utifrån ett förvaltningsövergripande perspektiv och att kraven på kvalitet och effektivitet i dessa funktioner måste tillgodoses och bedömas på en förvaltningsövergripande nivå. Det måste finnas formella beslut om vad som ska vara det offentliga åtagandet i den nationella digitala infrastrukturen. Av det skälet bör lägga fast ett mål för den offentliga förvaltningens digitalisering. Detta ska ligga till grund för regeringens redovisning till och styrningen av de offentliga myndigheterna. Det bör också finnas ett digitaliseringsmål för alla statliga myndigheter. Regeringen behöver fastställa en särskild intern process för att bereda initiativ till samt utvärdera förvaltningsgemensamma digitala funktioner. Regeringen bör vidare besluta om en tidsbestämd övergripande plan – en strategi – för digitalisering och it i den offentliga förvaltningen samt förnya avsiktsförklaringen om digitalisering med Kommuner och Landsting. Utredningen bedömer att det bör vara ett statligt åtagande att det finns en tillförlitlig process för grundidentifiering, det vill säga att säkerställa individers identitet.