sou · H9B362 · 2021-06-29 00:00:00 — 1.2Förslag till förordning om erkännande av medel för elektronisk identifiering Härigenom föreskrivs följande. 1 § Denna förordning innehåller bestämmelser som kompletterar lagen om erkännande av medel för elektronisk identifiering. 2 § Ord och uttryck i denna förordning har samma innebörd som i lagen om erkännande av medel för elektronisk identifiering. Undantag från kravet på erkännande av medel för elektronisk identifiering 3 § En statlig myndighet behöver inte erkänna medel för elektronisk identifiering enligt 5 § lagen om erkännande av medel för elektronisk identifiering om 1.tillgång till den aktuella nättjänsten ges genom ett sektorspecifikt system för erkännande av elektronisk identifiering, 2.användning av medlet är förenat med allvarliga säkerhetsrisker, 3.nättjänsten enbart riktar sig till enskilda. System för erkännande av medel för elektronisk identifiering 4 § Statliga myndigheter som tillhandahåller nättjänster som omfattas av kravet på erkännande av medel för elektronisk identifiering i 5 § lagen om erkännande av medel för elektronisk identifiering ska ansluta sådana nättjänster till systemet för erkännande av medel för elektronisk identifiering (systemet) som avses i 6 § samma lag. Vid användning av medel för elektronisk identifiering som avses i 5 § lagen om erkännande av medel för elektronisk identifiering får personnummer endast överföras i systemet om 1.krav på användning av personnummer föreskrivs i lag eller annan författning, eller 2.användning av annan identitetsbeteckning inte är möjlig. 5 § Myndigheten för digital förvaltning ska tillhandahålla systemet. Myndigheten för digital förvaltning får efter samråd med Myndigheten för samhällsskydd och beredskap meddela föreskrifter om krav på medel för elektronisk identifiering som ingår i systemet och krav som avser förlitande parter. 6 § Myndigheten för digital förvaltning får efter ansökan godkänna ett medel för elektronisk identifiering för användning i systemet. Myndigheten ska vid en sådan ansökan granska medlet utifrån de krav som har meddelats med stöd av 5 § andra stycket. Myndigheten för digital förvaltning ska offentliggöra att ett medel för elektronisk identifiering har godkänts för användning i systemet. Myndigheten för digital förvaltning får efter samråd med Myndigheten för samhällsskydd och beredskap meddela föreskrifter om ansöknings- och granskningsförfarandet i första stycket. 7 § Medel för elektronisk identifiering som inte är godkänt enligt 6 § första stycket får ingå i systemet om utfärdaren bedömer att medlet lever upp till de krav som meddelats med stöd av 5 § andra stycket. Utfärdaren ska anmäla till Myndigheten för digital förvaltning att medlet ska ingå i systemet. Utfärdaren ska till förlitande parter i systemet eller Myndigheten för digital förvaltning på begäran lämna ut uppgifter som ligger till grund för bedömningen att medlet för elektronisk identifiering lever upp till de krav som meddelats med stöd av 5 § andra stycket. Myndigheten för digital förvaltning ska efter anmälan offentliggöra att ett medel för elektronisk identifiering som inte är godkänt ingår i systemet. Myndigheten för digital förvaltning får efter samråd med Myndigheten för samhällsskydd och beredskap meddela föreskrifter om förfarandet för anmälan och anslutning av medel som inte är godkända till systemet. 8 § Utfärdare av medel för elektronisk identifiering som ingår i systemet ska utan dröjsmål rapportera säkerhetsincidenter till Myndigheten för digital förvaltning samt till förlitande parter som påverkas av incidenten. 9 § Myndigheten för digital förvaltning får besluta att det godkända medel för elektronisk identifiering som en säkerhetsincident avser tills vidare eller är godkänt för användning i systemet. Om en säkerhetsincident avser ett medel för elektronisk identifiering som inte är godkänt får Myndigheten för digital förvaltning besluta att medlet tills vidare eller inte längre ingår i systemet. Om Myndigheten för digital förvaltning bedömer att en säkerhetsincident är allvarlig får den besluta att medlet för elektronisk identifiering inte längre ska ingå i systemet. Myndigheten för digital förvaltning får bestämma att beslut enligt denna paragraf ska gälla . 10 § Myndigheten för digital förvaltning får efter samråd med Myndigheten för samhällsskydd och beredskap meddela föreskrifter om hantering av säkerhetsincidenter samt rapportering av sådana incidenter. 11 § En statlig myndighet som med stöd av 3 § väljer att inte erkänna ett medel för elektronisk identifiering ska utan dröjsmål rapportera det till Myndigheten för digital förvaltning samt ange skälen till varför myndigheten inte erkänner medlet. 12 § I 40 § förvaltningslagen (2017:900) finns bestämmelser om överklagande till allmän förvaltningsdomstol. Andra beslut än beslut enligt 6 och 9 §§ får dock inte överklagas. Denna förordning träder i kraft . 1.3Förslag till förordning om ändring i förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte Härigenom föreskrivs i fråga om förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte dels att rubriken till förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte ska ha följande lydelse, dels att det ska införas en ny paragraf, 5 §, av följande lydelse. En myndighet ska tillhandahålla medel för elektronisk identifiering för den som tjänstgör vid eller inne- har uppdrag för myndigheten och som för att kunna fullgöra sina arbetsuppgifter behöver styrka sin identitet eller tjänsteställning elek- Användning av en anställds eller för elektronisk identifiering i tjäns- ten får endast ske 1. för identifiering i samband med utfärdande medel för elektro- nisk identifiering som tillhanda- hålls av myndigheten, 1Tidigare 5 § upphävd genom 2018:360. 2. som kontinuitetslösning om medel för elektronisk identifiering som tillhandhålls av myndigheten inte är tillgänglig, eller 3. när arbetsuppgiften inte kan fullgöras med medel för elektronisk identifiering som tillhandahålls av myndigheten. Med medel för elektronisk identifiering avses detsamma som i artikel 3.2 i och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG, i den ursprungliga lydelsen. Denna förordning träder i kraft . Myndigheten får ta ut avgifter 1. av de myndigheter som har anslutit sig till valfrihetssystem för säker elektronisk identifieringenligt 3 § 3,2. för sådan granskning av medel för elektronisk identifiering som avses i 6 § förordningen om erkännande av medel för elektronisk identifiering, och3. 1.4Förslag till förordning om ändring i förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning Härigenom föreskrivs att 18 § i förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning ska ha följande lydelse. Myndigheten får ta ut avgifter av de myndigheter som har anslutit sig till valfrihetssystem för säker elektronisk identifiering enligt 3 § 3 och för utbildningsverksamhet. Denna förordning träder i kraft . 2Utredningens uppdrag och arbete Regeringen beslutade kommittédirektiv om att ge en särskild utredare i uppdrag att utreda förutsättningarna för ökad och standardiserad användning av betrodda tjänster i den offentliga förvaltningen i syfte att höja säkerheten och stärka tilliten när betrodda tjänster används. Av utredningsdirektiven framgår att utredaren ska •kartlägga och analysera den offentliga förvaltningens behov av åtgärder för ökad och standardiserad användning av betrodda tjänster, •lämna förslag på sådana åtgärder, särskilt när det gäller att –tydliggöra när avancerade respektive kvalificerade elektroniska underskrifter bör användas i den offentliga förvaltningen, –kunna validera och bevara elektroniska underskrifter, och –kunna använda e-legitimation i tjänsten, och •lämna nödvändiga författningsförslag. Regeringen beslutade om tilläggsdirektiv. Av tilläggsdirektiven följer att den del av uppdraget som avser åtgärder för ökad och standardiserad användning av betrodda tjänster enligt punktuppställningen ovan, med undantag för strecksatsen om att kunna använda e-legitimation i tjänsten, ska redovisas . Resterande delar av uppdraget som framgår av utredningens ursprungliga direktiv ska enligt tilläggsdirektiven slutredovisas . Utredningens uppdrag och arbete Utredningens direktiv finns bifogade till betänkandet i bilaga 1 och 2. har vi haft åtta sammanträden med expertgruppen. Till följd av den rådande pandemin har alla utredningens möten genomförts digitalt. Utredningen överlämnade delbetänkandet Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen (SOU 2021:9) . Den del av utredningens uppdrag som redovisas i detta betänkande omfattar kartläggning och analys av den offentliga förvaltningens behov av åtgärder avseende användning av e-legitimation i tjänsten samt förslag på sådana åtgärder. En del av kartläggningsarbetet har bestått av att ta del av befintligt skriftligt underlag. En central källa i detta arbete har varit den s.k. e- legitimationsenkäten som Myndigheten för digital förvaltning (DIGG), Kommuner och Regioner (SKR) samt genomförde 2019. DIGG och SKR har släppt varsin rapport baserat på resultatet av enkäten.1 Uppgifter om relevanta behov och utmaningar har också inhämtats från andra skriftliga källor.2 För att komplettera det skriftliga underlaget har vi vidare haft ett 50-tal möten och samtal med aktörer i offentlig förvaltning samt med e-legitimationsutfärdare. Vad gäller frågan om användning av privat e-legitimation i tjänsten har vi även haft kontakter med arbetsgivarorganisationer och fackliga centralorganisationer. I syfte att inhämta synpunkter från en bredare grupp av myndigheter och leverantörer har vi också genomfört sammanlagt fem digitala möten med öppen anmälan. Vid det första mötet för representanter för offentlig förvaltning medverkade ca 220 deltagare. Vid detta möte diskuterades bl.a. använd- 1DIGG, E-legitimering inom den offentliga förvaltningen – Enkätundersökning 2019 (dnr 2019-389) och SKR, Rapport enkät e-legitimationer – 2019 Kommuner och Regioner, . reboot – omstart för den digitala förvaltningen (SOU 2017:114), DIGG, eID för medarbetare – Förstudierapport inom byggblock Identitet i regeringsuppdraget Att etablera en förvaltningsgemensam infrastruktur för informationsutbyte (dnr 2019-582), och Inera, IAM Strategi Med kommunernas behov i fokus, . Utredningens uppdrag och arbete ning av e-legitimation i tjänsten. Övriga möten har emellertid varit fokuserade på användning av betrodda tjänster. Vi har enligt våra direktiv haft att beakta relevant arbete som bedrivs inom och utredningsväsendet samt särskilt beakta det arbete som bedrivs hos DIGG. Vi har haft flera möten och kontakter med DIGG. Vi har även haft kontakt med flera statliga utredningar, däribland (Fö 2019:01), (I 2019:03) och utredningen om e-recept inom EES (S 2020:10). Vi har vidare enligt våra direktiv haft att undersöka och översiktligt redovisa hur de frågor som uppdraget omfattar hanteras i andra länder som är jämförbara med . I detta syfte har vi utöver en granskning av tillgängligt material på internet haft kontakter med myndighetsrepresentanter i vissa utvalda länder. Vi har vidare tagit del av den undersökning som genomfördes av Nordic- Baltic co-operation on digital identities (NOBID).3 Vi har också presenterat vårt uppdrag för olika nätverk och arbetsgrupper. I relation till den begränsade tid vi haft till förfogande har vi valt att prioritera frågor som enligt vår bedömning kan åstadkomma störst nytta för den offentliga förvaltningen som helhet. I kapitel 3 definieras några för betänkandet centrala begrepp och termer. I kapitel 4 redogörs för gällande rätt inom området. Kapitel 5 innehåller en kronologisk översikt över användning av e-legitimation i tjänsten i . I kapitel 6 redogörs för e-legitimationsområdet i . I kapitel 7 presenterar vi resultatet av vår kartläggning av den offentliga förvaltningens behov avseende användning av e-legitimation i tjänsten. Kapitel 8 innehåller en översiktlig internationell utblick. 3Hinsberg, m.fl., Study on , 2020. Utredningens uppdrag och arbete I kapitel 9 redogör vi för utredningens bedömningar och förslag. I kapitel 10 redogör vi för konsekvenserna av våra förslag. I kapitel 11 behandlas ikraftträdande och i kapitel 12 finns författningskommentarerna. 3Definitioner av vissa centrala begrepp och termer Det finns inte någon legaldefinition av begreppet identitet. Vad gäller identitetsbegreppet som sådant kan det i vissa sammanhang ha en subjektiv dimension, exempelvis en persons självbild.1 Det kan här även noteras att begreppet identitet också används i förhållande till objekt med koppling till t.ex. sakernas internet och robotiserade processer.2 I detta betänkande avses emellertid med identitet endast viss information rörande en person som är att anse som objektiva fakta. När det gäller vilken typ av information som kan hänföras till objektiva fakta om en person så avses identiteten vid prövning av en ansökan om beviljande av svenskt medborgarskap bestå av sökandens namn, födelsetid och, som huvudregel, medborgarskap.3 Ut- över dessa uppgifter framförde ID-kortsutredning att även uppgift om bostadsadress kan hänföras till identitetsbegreppet.4 lyfte att det inom ramen för deras kartläggning framförts att andra unika identitetsmarkörer såsom biometriska uppgifter kan bli aktuella att använda utöver personnummer.5 Vi kan dock inte se att detta behov föreligger för e-legitimationer som används i tjänsten. Det som för utredningen är av relevans vad gäller en persons identitet är dennes namn och personidentifieringsuppgifter (se avsnitt 3.5). Utöver detta kan vissa attribut med koppling till en person vara av betydelse (se mer om attribut i avsnitt 3.15). 1Id-kort för folkbokförda i (SOU 2007:100), s. 25. 2Se t.ex. Inera, IAM Strategi Med kommunernas behov i fokus, , s. 8. 1997/98:178 s. 8 och MIG 2010:17. 4Ett säkert statligt – med e-legitimation (SOU 2019:14), s. 90. 5Juridik som stöd för förvaltningens digitalisering (SOU 2018:25), s. 76 f. Definitioner av vissa centrala begrepp och termer Med personuppgifter avses enligt artikel 4.1 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), härefter kallad dataskyddsförordningen, varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Av artikel 4.5 i dataskyddsförordningen följer att pseudonymisering är behandling av personuppgifter på ett sätt som innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. Skillnaden mellan pseudonymisering och anonymisering är att det senare innebär att avidentifiering skett på ett sådant sätt att uppgifterna kan användas för att identifiera en specifik registrerad.6 6Skäl 26 i dataskyddsförordningens ingress. Definitioner av vissa centrala begrepp och termer En identitetshandling används för att en person ska kunna identifiera sig, eller styrka sin identitet. En identitetshandling är alltså ett dokument som innehåller vissa identitetsuppgifter, med vilket en person kan bevisa sin identitet.7 Begreppet identitetshandling får enligt vår bedömning anses vara teknikneutralt och kan avse både en fysisk identitetshandling eller en e-legitimation. I artikel 3.3 i förordning (EU) 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG, härefter kallad eIDAS-förordningen, definieras personidentifieringsuppgifter som en uppsättning uppgifter som gör det möjligt att fastställa identiteten på en fysisk eller juridisk person eller en fysisk person som företräder en juridisk person. Det rör sig således bl.a. om identitetsbeteckningar för att identifiera en fysisk person och det kan exempelvis vara ett personnummer, samordningsnummer eller annan unik identifierare i form av exempelvis en tjänsteidentitet. Det kan här noteras att det inom EU pågår arbete med det som kallas för ”” (SSI). SSI bygger på tanken att individen själv skapar och har kontroll över sina attribut som används för att identifiera denne och delar med sig av de attribut som behövs för att använda en viss tjänst.8 De vanligaste personidentifieringsuppgifterna i för enskilda individer är personnummer och samordningsnummer. Personnummer är enligt 18 § folkbokföringslagen (1991:481) avsett att utgöra en identitetsbeteckning för varje folkbokförd person. Även om personen skulle avregistreras från folkbokföringen, exempelvis vid utflyttning, behåller personen sitt personnummer. Personnumret och den historiska informationen som är kopplad till detta finns kvar i folkbokföringsdatabasen. Personnummer består av födelsetiden, som anges med sex siffror (ååmmdd), ett tresiffrigt födelsenummer 7Id-kort för folkbokförda i (SOU 2007:100), s. 25 och Ett säkert statligt – med e-legitimation (SOU 2019:14), s. 90. 8Se mer om SSI i Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen (SOU 2021:9), s. 75 f. Definitioner av vissa centrala begrepp och termer och en kontrollsiffra. Födelsenumret är udda för män och jämnt för kvinnor. Mellan födelsetiden och födelsenumret sätts ett bindestreck som byts ut mot ett plustecken när en person fyller . Även personer som omfattas av lagen (1976:661) om immunitet och privilegier i vissa fall och som inte ska folkbokföras, tilldelas enligt 5 och 18 b §§ folkbokföringslagen ett personnummer om han eller hon har rätt att vistas i landet och uppfyller de allmänna kraven för folkbokföring. Med anledning av att födelsenumren för vissa födelsetider tagit slut har det i 18 § tredje stycket folkbokföringslagen införts en möjlighet för att vid sådana förhållanden i stället ange födelsedagen med en närliggande dag . För att tilltron till personnumret som identifikationsbegrepp skulle upprätthållas ansågs tilldelningen av personnummer behöva grundas på en identitetskontroll som uppfyllde höga anspråk på säkerhet. Det var därför även med hänsyn till att identiteten ofta var osäker för personer som fick personnummer utan att vara folkbokförda som det beslutades att personnummer skulle reserveras för de som folkbokfördes i landet. Risken för personförväxling och behovet av en säker kommunikation mellan myndigheter ansågs dock kräva en enhetlig personbeteckning även beträffande personer som inte är folkbokförda. För dessa personer skulle i stället fastställas en annan unik beteckning än personnummer och därför infördes samordningsnummer.9 Av 18 a § folkbokföringslagen följer att ett samordningsnummer tilldelas en person som inte är eller har varit folkbokförd efter begäran från en myndighet eller ett annat organ som regeringen bestämmer. får enligt 5 § folkbokföringsförordningen (1991:749) tilldela samordningsnummer på begäran av en statlig myndighet eller en enskild utbildningsanordnare som har tillstånd att utfärda vissa examina enligt lagen (1993:792) om tillstånd att utfärda examina, och som i sin verksamhet behöver ett samordningsnummer för en person för att undvika personförväxling eller för att utbyta information om personen med andra myndigheter eller organisationer. får också på eget initiativ tilldela samordningsnummer för registrering i beskattningsdatabasen. Samordningsnummer får enligt 18 a § folkbokföringslagen även efter 1997/98:9 s. 78 ff. Definitioner av vissa centrala begrepp och termer ansökan av enskild tilldelas personer som har en sådan anknytning till att denne kan antas behöva en identitetsbeteckning. Personen måste då inställa sig personligen hos och styrka sin identitet. I likhet med vad som gäller för personnummer är det viktigt att en persons identitet är klarlagd när han eller hon får ett samordningsnummer. Den enskildes identitet ska därför som huvudregel vara fastställd även för att denne ska kunna tilldelas ett samordningsnummer. Det organ som begär att en person ska tilldelas samordningsnummer har enligt 5 a och 5 b §§ folkbokföringsförordningen till uppgift att bedöma om hans eller hennes identitet kan anses fastställd. Även om det råder osäkerhet om en persons identitet, får samordningsnummer tilldelas för vissa angivna ändamål. Så är enligt 5 a § folkbokföringsförordningen exempelvis fallet när det gäller personer som ska registreras i beskattningsdatabasen och inom rättsväsendet. Ungefär hälften av alla personer som tilldelats samordningsnummer tillhör dessa grupper där någon identitet inte har fastställts. Samordningsnumret är konstruerat som ett personnummer men med sifferkombinationer som inte kan förekomma i ett personnummer på så sätt att siffrorna för dag adderas med 60. Motsvarigheten till personnumrets födelsenummer benämns i samordningsnumret individnummer. Kontrollsiffran beräknas med samma metod som beträffande personnumret. På motsvarande sätt som personnummer är samordningsnummer unika såtillvida att två identiska samordningsnummer inte förekommer. Om en person med ett samordningsnummer senare blir folkbokförd ersätts samordningsnumret med ett personnummer. Individens koppling till samordningsnumret finns emellertid kvar i registret. tillsatte regeringen en utredning för att bl.a. föreslå åtgärder som åstadkommer ett säkrare system för samordningsnummer och ökar numrens användbarhet i samhället.10 Uppdraget ska redovisas . I direktiven lyfter regeringen fram att det för majoriteten av tilldelade samordningsnummer råder en osäkerhet om den enskildes identitet och uppgifterna är därmed pålitliga. kan vissa tilldelade samordningsnummer grunda sig på en fullgod identitetskontroll. Skillnaden i den kontroll som görs av de aktörer som begär ett samordningsnummer varierar och samhällets kunskap om Definitioner av vissa centrala begrepp och termer vilken identifiering som ligger till grund för ett samordningsnummer är bristfällig. Utredningen om organiserad och systematisk ekonomisk brottslighet mot välfärden beskrev bl.a. att flera myndigheter uppmärksammat att falska uppgifter lämnas i syfte att få samordningsnummer som i sin tur kan leda till utbetalningar från välfärdssystemen.