sou · H9B362 · 2021-06-29 00:00:00 — Om e-legitimationen används för autentisering i interna system eller i samband med elektroniskt undertecknade av handlingar som sker inom den egna organisationen bör arbetsgivaren således anses vara personuppgiftsansvarig för denna behandling. Om den privata e-legitimationen däremot exempelvis används för att logga in i en tjänst hos en extern förlitande part och e-legitimationen är installerad på en privat mobiltelefon är förhållandet dock mer oklart. Arbetsgivaren har anvisat denna användning och den sker i tjänsten men den faktiska behandlingen sker helt och hållet mellan e-legitima- tionsutfärdaren och den förlitande parten. Även om arbetsgivaren rent formellt skulle bedömas ha personuppgiftsansvaret är det förenat med betydande svårigheter för arbetsgivaren att faktiskt utöva kontroll över den behandling som sker. Utredningen om effektiv styrning av nationella digitala tjänster bedömde att om personuppgifter behandlas i tjänsten på en privat anordning har arbetsgivaren personuppgiftsansvaret och är därför skyldig att kontrollera utrustningen i fråga. Något som enligt utredningen kan innebära att arbetsgivaren får del av den anställdes privata information.8 All behandling av personuppgifter måste enligt dataskyddsförordningen ha stöd i en rättslig grund. En arbetsgivare måste alltså säkerställa att det finns stöd för den behandling som sker. Även om sådant stöd finns måste även 3 kap. 10 § dataskyddslagen beaktas. En omständighet som enligt de ovan redovisade förarbetsuttalandena kan tillmätas betydelse vid intresseavvägningen är som ovan nämns om det eftersträvade syftet med behandlingen kan uppnås på annat sätt. Vad gäller användning av privata e-legitimationer i tjänsten får omständigheten att exponering av personnummer i många fall kan undvikas genom användning av e-tjänstelegitimationer där personnummer inte exponeras enligt vår bedömning anses starkt tala emot användningen vid en sådan intresseavvägning. 7www.imy.se/verksamhet/dataskydd/dataskydd-pa-olika-omraden/arbetsliv/arbetsgivarens- personuppgiftsansvar/ (hämtad ). 8reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 272. 9.2.2Banksekretess vid användning av BankID Vid användning av BankID överförs utöver namn och personnummer ytterligare en uppgift av relevans ur integritetshänseende. Detta då det indirekt går att dra slutsatsen att användaren är kund i en viss bank eftersom den utfärdande banken anges på certifikatet. Denna uppgift omfattas av den s.k. banksekretessen som framgår av 1 kap. 10 § lagen (2004:297) om bank- och finansieringsrörelse. Av paragrafens första stycke följer att enskildas förhållanden till kreditinstitut inte obehörigen får röjas. Banksekretessen är inte absolut eftersom endast obehörigt röjande av kundinformation är förbjuden. Av förarbetena till bestämmelsen framgår även att regeln om banksekretess är dispositiv så till vida att en kund i ett särskilt fall kan lämna sitt uttryckliga eller underförstådda samtycke till att banken lämnar ut uppgifter. Samtycke anses dock inte kunna lämnas på förhand genom att banken förelägger kunden allmänna villkor med ett sådant innehåll.9 I utfärdande bankers användarvillkor för BankID finns bl.a. följande exempel på skrivningar rörande detta. Skandinaviska Enskilda Bankens användarvillkor för BankID Kunden är medveten om och medger att: -Kundens användning av BankID/Mobilt BankID hos någon annan än medför att den parten kommer att få kännedom om vem som utfärdat Kundens BankID/Mobila BankID och att detta i sin tur innebär att Kundens sekretesskyddade uppgift om med vilken har ett avtalsförhållande avslöjas10 När du använder ditt BankID registreras ditt namn, personnummer och kort- eller certifikatsnummer samt uppgift om vilken bank som utfärdat kortet eller det elektroniska certifikatet hos Banken eller hos annan där du använder ditt BankID. Detta medför att när du använder BankID 2002/03:139, s. 478 f. 10Skandinaviska , Villkor Betalkonton och Betaltjänster, m.m. – Privat, gällande fr.o.m. , s. 15 f. hos någon annan än Banken får denne kännedom om vilken bank som har utfärdat BankID:t, vilket annars är en uppgift som omfattas av sekretess.11 Av dessa två exempel på användarvillkor framgår att skrivningarna skiljer sig åt men att grundprincipen är att användaren, vid varje användningstillfälle som inte sker hos den utfärdande banken, underförstått lämnar sitt medgivande till att uppgiften om kundförhållandet med den utfärdande banken lämnas till tredje part. Således innebär varje användning av BankID i tjänsten, som inte sker hos den utfärdande banken, att en medarbetare lämnar sitt samtycke till att banksekretessen frångås. 9.2.3Villkor för användning av privata e-legitimationer Vid all användning av privata e-legitimationer förbinder sig användaren att följa vissa villkor. Som framgår av exemplen nedan varierar detaljnivån på användarvillkoren vad avser användarens skyldigheter. Ett eID är personligt och får inte användas av annan än Innehavaren. eID är att betrakta som en värdehandling och ska därför förvaras och hanteras på ett betryggande sätt. Innehavaren ansvarar för all användning av Tjänsten och för att sina inloggningsuppgifter skyddas mot obehörig åtkomst. Innehavaren ansvarar även för att skydda sin mobiltelefon, läsplatta eller motsvarande enhet mot otillåten användning och står för risken om någon obehörig använt Tjänsten.12 Nordeas användarvillkor för BankID Ett BankID är personligt och får endast användas av dig. Du ska vidta nödvändiga åtgärder för att skydda dig mot att BankID används obehörigt. I miljöer där stöldrisken är stor ska särskild vaksamhet iakttas och BankID ska hållas under kontinuerlig uppsikt. Du ansvarar för hur BankID används och står för risken om någon obehörig använt ditt BankID. Det innebär att du är ansvarig för skada eller förlust som åsamkas Banken, tredje man eller dig själv om du uppsåtligen eller genom oaktsamhet inte iakttar dessa villkor. 11Swedbank, VILLKOR BankID-privat, , s. 2. 12https:///allmanna-villkor/ (hämtad ). BankID är att betrakta som en värdehandling och ska därför förvaras och hanteras på ett betryggande sätt. a)endast ladda ner BankID till enhet som du har kontroll över; b)inte ladda ner BankID till enhet på oskyddad plats, t.ex. dator i offentlig miljö till vilken fler personer än du har tillgång; d)inte överlåta möjligheten att disponera över BankID till annan (eller använda annans BankID); e)inte använda BankID, eller möjliggöra annans användning av BankID, på ett sätt som bryter mot användarvillkoren, lag eller annan författning eller som ett led i brottslig handling av något slag, exempelvis bedrägeri, penningtvätt eller finansiering av terrorism; Du ska även: - säkert förvara Mobilt BankID, BankID på fil och BankID på kort. -inte använda Mobilt BankID, BankID på fil eller BankID på kort på ett sätt som ger annan än dig möjlighet att använda ditt BankID för legitimerings- och underskriftsändamål, -skydda din mobila enhet och dator mot obehörigt intrång t.ex. använda antivirusprogram, brandvägg samt använda de tillämpliga säkerhetsanordningar, exempelvis den mobila enhetens låskod, som den mobila enheten har, -radera BankID på fil som nedladdats och lagrats på oskyddad plats (t.ex. dator till vilken andra personer har tillgång), 13Nordea, Allmänna villkor BankID (9681V008). Som framgår av de exemplifierade användarvillkoren är det användaren som står risken vid obehörig användning som skett uppsåtligen eller av grov oaktsamhet. Vid användning av privata e-legitimationer i tjänsten måste därför innehållet i dessa villkor beaktas av arbetsgivaren och en riskbedömning göras. Eftersom det är vanligt att sådana villkor regelbundet uppdateras är detta en kontroll som vidare behöver ske löpande. Sådana aspekter som särskilt bör beaktas är hur en mobiltelefon eller dator som tillhandahålls och ägs av arbetsgivaren förhåller sig till villkoren för det fall en anställd förväntas installera en e-legitimation på dessa. Detta gäller i synnerhet om det fordras att användning av e-legitimationen sker på delade enheter. Något som per definition inte borde vara uteslutet med hänsyn till nu gällande villkor men som kräver att användaren har kontroll över dels enheten, dels användningen av e-legitimationen på den aktuella enheten. Fråga har även väckts under kartläggningsarbetet om installation av programvara som låter arbetsgivaren utöva kontroll över en mobiltelefon skulle kunna anses stå i strid med användarvillkoren. För att använda en e-legitimation krävs tillgång till dator, mobiltelefon eller surfplatta. Enligt 2 kap. 7 § arbetsmiljölagen (1977:1160) ska arbetsgivare tillhandahålla personlig skyddsutrustning. Utöver det finns i svensk rätt ingen författningsreglerad skyldighet för arbetsgivare att tillhandahålla den utrustning som krävs för att en arbetstagare ska kunna utföra sitt arbete. Arbetsgivarens skyldighet att tillhandahålla arbetsutrustning såsom dator, mobiltelefon eller surfplatta brukar i stället regleras i kollektivavtal och det är vanligt förekommande att arbetsgivare enligt avtalen ska tillhandahålla denna typ av utrustning. Det kan sägas råda en princip om att arbetsgivaren tillhandahåller den utrustning arbetet kräver. Vid bedömning av om en person ska anses vara arbetstagare eller uppdragstagare vägs därtill in om arbetsgivaren tillhandahåller arbetsutrustning (jfr AD 2012 nr 24). Arbetsgivare och arbetstagare har dock möjlighet att avtala om att arbetstagarens privata utrustning ska användas. Det finns inga bestämmelser som förbjuder användning av privata e-legitimationer i tjänsten. Arbetsgivare och arbetstagare har således möjlighet att komma överens om att en privat e-legitimation, och för detta syfte, även en eventuell privat mobiltelefon, surfplatta eller dator, ska användas i tjänsten. Det finns inga formkrav för en sådan överenskommelse och den kan vara muntlig. Att privat utrustning nyttjas kan dock i teorin innebära en rätt till ersättning för arbetstagaren. Det finns således inga hinder mot användning av en privat e-legi- timation i tjänsten om överenskommelse om detta finns. Den stora arbetsrättsliga frågan rörande användning av e-legitimation i tjänsten är dock om arbetsgivaren har rätt att kräva att en arbetstagare ska använda sin privata e-legitimation i tjänsten om denne inte vill det. Arbetsgivare har en omfattande rätt att leda arbetet (den s.k. arbetsledningsrätten). Arbetstagaren är skyldig att följa de beslut som arbetsgivaren fattar med stöd av arbetsledningsrätten så länge den utövas inom ramen för arbetstagarens arbetsskyldighet. Ett brott mot denna skyldighet kan utgöra arbetsvägran som kan leda till sanktioner såsom skadestånd, disciplinpåföljd eller till och med uppsägning eller avskedande. Enkelt uttryckt kan man till arbetsledningsrättens område hänföra frågor om vem som ska utföra arbete, vilket arbete som ska utföras samt frågor om var, när och hur arbetet ska utföras. Gränserna för arbetsledningsrätten framgår i huvudsak av Arbetsdomstolens praxis. Arbetsdomstolen uttalade bl.a. följande i avgörandet AD 2015 nr 61. När det gäller arbetsledningsbeslut är den principiella utgångspunkten att arbetsgivaren kan fatta sådana beslut efter fritt val, i den mån inte annat följer av avtal eller lag. En ytterligare utgångspunkt är emellertid att arbetsledningsrätten ska utövas under iakttagande av lag och goda seder på arbetsmarknaden. Vi bedömer att arbetsledningsrätten, och sanktioner vid arbetsvägran, inte kan användas för att förmå en arbetstagare att använda en privat e-legitimation i tjänsten. Bedömningen görs mot bakgrund av de integritetsaspekter som framgår av avsnitt 9.2.2 och 9.2.3 samt det faktum att den privata e-legitimationen är frikopplad från anställningen och utgör privat egendom. Det har under kartläggningsarbetet också framförts att ett tvång att använda en privat e-legitimation skulle kunna stå i strid med artikel 8 i Europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Enligt artikel 8 i har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Rättigheten är inte absolut och får under vissa förutsättningar inskränkas. Sådan inskränkning får endast ske med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till ett antal uppräknade ändamål. Rätten till skydd för privatlivet enligt artikel 8 är mångfacetterad och omfattar skydd mot en mängd åtgärder och företeelser. Även om artikeln givetvis måste beaktas anser vi det inte uppenbart att ett tvång att använda en privat e-legitimation i tjänsten hade kunnat utgöra en överträdelse av den aktuella artikeln. Ytterligare en aspekt med arbetsrättslig koppling är att det vanligen krävs att arbetstagaren har ett svenskt personnummer för att få en privat e-legitimation och för att få BankID krävs även att denne är kund i en bank. Detta skapar ett digitalt utanförskap för vissa grupper i samhället eftersom de inte kan söka eller utföra arbetsuppgifter där det uppställs krav på användning av en privat e-legiti- mation. Detta skulle även kunna anses utgöra diskriminering av en arbetstagare. Vid användning av privata e-legitimationer i tjänsten måste en bedömning göras av arbetsgivaren om användningen är förenad med informationssäkerhetsrisker. En sådan bedömning måste bl.a. beakta relevanta författningskrav avseende informationssäkerhet. Enligt 19 § förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap ansvarar varje myndighet för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Lagen kompletteras av MSB:s föreskrifter om informationssäkerhet för statliga myndigheter (MSBFS 2020:6). Av 8 § i föreskrifterna framgår att en myndighet ska, innan den låter en extern aktör behandla information, utifrån informationsklassning och riskbedömning, hantera de risker en sådan behandling innebär. Myndigheten ska i avtal ställa krav på vilka säkerhetsåtgärder den externa aktören ska vidta och hur myndigheten följer upp dessa krav. En myndighet måste således överväga de potentiella informationssäkerhetsrisker som användningen av privata e-legitimationer kan leda till. Det måste exempelvis säkerställas att den anställda inte kan fortsätta att använda sin privata e-legitimation på arbetsgivarens vägnar efter det att personen har slutat sin anställning vid myndigheten, eller kanske har bytt befattning som också innebär att personen inte längre har samma behörighet. Vidare kan det vara förenat med risker att myndigheten inte har full kontroll på och inte heller kan påverka vilka uppgifter som genom förfarandet lämnas ut om den anställde. Ytterligare en omständighet som följer av att en privat e-legiti- mation används i tjänsten är att utfärdaren av den privata e-legiti- mationen vid varje användningstillfälle får reda på hos vilken förlitande part användaren har identifierat sig. Uppgifter som beroende på myndighet och befattning potentiellt skulle kunna anses vara känsliga ur ett informationssäkerhetsperspektiv. Det får även generellt anses vara förenat med en större risk att någon obehörig får åtkomst till en privat e-legitimation eller den enhet som e-legitimationen finns på än vad som är fallet med en e- tjänstelegitimation som lagras på t.ex. ett smartkort eller en av arbetsgivaren tillhandahållen mobiltelefon där arbetsgivaren kan utöva en större kontroll över enheten. Om man ser till risker på en mer övergripande nivå finns det även en fara i att förlita sig på enbart en tillhandahållare, bl.a. för förlitande parter och den offentliga förvaltningen i stort.14 För det fall endast en e-legitimation i praktiken kan användas blir systemet sårbart om sådana e-legitimationer av någon anledning inte går att använda eller om förutsättningarna för användningen ensidigt ändras av e-legitimationsutfärdaren. Den aktuella e-legitimationen kan t.ex. utsättas för attacker som innebär att den inte går att använda under kortare eller i värsta fall . Det skulle i förlängningen kunna resultera i stora problem för den offentliga förvaltningen i stort om det finns ett alltför starkt beroende av att kunna använda en viss e-legitimation. Om ett flertal aktörer finns på marknaden och förser den offentliga förvaltningen med e-legitimationer sprids riskerna vilket också bör resultera i att riskerna totalt sett för den 14För mer om denna typ av övergripande risker och hur de kan hanteras se Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen (SOU 2021:9), s. 221 ff. offentliga förvaltningen minskar på området eftersom en diversifiering av aktörer minskar landets sårbarhet för bl.a. cyberattacker. Om en arbetsgivare låter anställda eller uppdragstagare använda sin privata e-legitimation i tjänsten bör med beaktande av omständigheterna ovan en riskanalys utföras. Användning av privata e-legitimationer i tjänsten är inte förbjuden och det är möjligt för arbetstagare och arbetsgivare att komma överens om sådan användning. Vi bedömer emellertid inte att det finns något stöd för att en arbetsgivare kan tvinga en arbetstagare att använda sin privata e-legitimation i tjänsten. De dataskyddsaspekter som följer av att personnumret överförs till tredje part samt, för det fall det rör sig om BankID, det även kräver att medarbetaren medger avsteg från banksekretessen, får anses ge starkt stöd för att det hör till den privata sfären. Om en arbetsgivare uteslutande förlitar sig på användning av privata e-legitimationer skapas därmed en sårbarhet genom att arbetstagare inte kan arbetsledas att använda dem. 10 § dataskyddslagen får även starkt anses tala för att arbetsgivaren bör, när det är möjligt, använda sig av lösningar som inte innebär att arbetstagarens personnummer exponeras. Andra aspekter som talar emot användning av privata e-legitima- tioner i tjänsten är informationssäkerhetsaspekterna. Om register inte uppdateras i direkt anslutning till att en person avslutar en anställning kan detta medföra fortsatt tillgång till uppgifter eftersom autentisering sker med ett medel som arbetsgivaren saknar kontroll över. Även de övriga i avsnitt 9.2.5 angivna informationssäkerhetsaspekterna talar emot användningen av privata e-legitimationer i tjänsten. Vi har vid ett flertal tillfällen stött på att arbetsgivare gör liknelser vid krav om att arbetstagare ska inneha körkort när de förordar användning av privata e-legitimationer i tjänsten. Ett körkort är dock ett bevis om att man innehar en viss kvalifikation, dvs. att man får framföra olika typer av fordon. Det finns även i endast en myndighet som utfärdar körkort. När det gäller e-legitimationer finns det e-tjänstelegitimationer som en arbetsgivare kan anskaffa och det finns därmed, i motsats till körkortsliknelsen, andra alter- nativ till användning av privata e-legitimationer. Inte heller när det gäller användningen av en annan privat fysisk id-handling i tjänsten är omständigheterna jämförbara. Detta då varken användningen av en sådan id-handling eller ett körkort kan ge upphov till överföring av sådana integritetskänsliga uppgifter eller medföra sådana informationssäkerhetsrisker som användningen av en privat e-legitimation. Sammanfattningsvis anser vi att användning av privata e-legitima- tioner i tjänsten endast bör förekomma när det inte är möjligt att använda e-tjänstelegitimationer för att fullgöra en arbetsuppgift eller när det av annan anledning är befogat (jfr avsnitt 9.3). 9.3Statliga myndigheter under regeringen ska tillhandahålla e-tjänstelegitimationer till sina anställda Utredningens förslag: E-tjänstelegitimationer ska som huvudregel tillhandahållas den som tjänstgör vid eller innehar uppdrag för en statlig myndighet under regeringen och som för att kunna fullgöra sina arbetsuppgifter behöver styrka sin identitet eller tjänsteställning. Användning av privata e-legitimationer får endast ske för idväxling, som kontinuitetslösning eller för det fall en särskild arbetsuppgift, som kräver användning av e-legitimation hos tredje part, inte kan genomföras med en e-tjänstelegitimation. Nödvändiga bestämmelser ska införas i förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte. Förordningens rubrik ska ändras till förordningen om statliga myndigheters medel för elektronisk identifiering och elektroniska informationsutbyte. Skälen för utredningens förslag I enlighet med den bedömning som görs i avsnitt 9.2 anser vi att användning av privata e-legitimationer i tjänsten som huvudregel inte bör förekomma inom den offentliga förvaltningen. För tjänstekort som utfärdas av statliga eller kommunala myndigheter finns detaljerade bestämmelser i både förordningen (1958:272) om tjänstekort och föreskrifter och allmänna råd om tjänstekort (PMFS 2020:4). Med undantag för att det i 5 § PMFS 2020:4 framgår att tjänstekort får förses med elektroniska egenskaper för att kortet ska fungera vid elektronisk identifiering och behörighetskontroll saknas det reglering rörande användning, utformning och hantering av e-tjänstelegitimationer inom den offentliga förvaltningen. Det finns stora skillnader mellan den statliga och den kommunala sektorn när det gäller regeringens möjligheter att styra inom detta område. För den statliga förvaltningen faller styrningen inom ramen för regeringens normgivningsområde genom den restkompetens som följer av 8 kap. 7 § regeringsformen (RF) då det rör de statliga myndigheternas organisation, arbetsuppgifter och inre verksamhetsformer.15 Vad gäller kommuner och regioner ska principen om självstyrelse beaktas. I 14 kap. 3 § RF anges att en inskränkning i den kommunala självstyrelsen inte bör gå utöver vad som är nödvändigt med hänsyn till de ändamål som föranlett den. En lagstiftning som ställer upp krav för en verksamhet minskar generellt sett kommunernas möjligheter att själva göra prioriteringar i sin verksamhet. Bestämmelsen innebär att en regelmässig prövning av de kommunala självstyrelseintressena ska göras under lagstiftningsprocessen, med tillämpning av en proportionalitetsprincip. Vid införandet av denna bestämmelse i regeringsformen uttalade regeringen att proportionalitetsprövningen bör innefatta en skyldighet att undersöka om det ändamål som regleringen avser att tillgodose kan uppnås på ett för det kommunala självbestämmandet mindre ingripande sätt än det som föreslås. Om olika möjligheter finns för att nå samma mål bör av hänsyn till principen om den kommunala självstyrelsen välja den reglering som lägger minst band på den kommunala självbestämmanderätten. Det bör framhållas att detta givetvis förutsätter att det i lagstiftningsprocessen har gjorts noggranna analyser av den påverkan olika förslag har på den kommunala självstyrelsen.16 Det 15Gröna boken – Riktlinjer för författningsskrivning (Ds 2014:1), s. 11. 2009/10:80 s. 212 f. finns vidare vissa nationella värden som generellt kan anses motivera en inskränkning av den kommunala självstyrelsen.17 Vår kartläggning har visat att många myndigheter, framför allt inom den statliga sektorn, redan tillhandahåller eller avser att tillhandahålla e-tjänstelegitimationer till sina anställda. Trots att användning av privata e-legitimationer i tjänsten från ett arbetsrättsligt perspektiv är tillåten, anser vi att det endast undantagsvis bör förekomma. Vi ser det därför som naturligt att föreslå att regeringen styr sina myndigheter i denna fråga. Inte minst med beaktande av de i avsnitt 9.2.6 angivna informationssäkerhetsaspekterna. Vi ser det emellertid inte som en proportionerlig inskränkning i den kommunala självstyrelsen att staten ska besluta på vilket sätt kommuner och regioner som arbetsgivare ska agera i detta fall med hänsyn till det ändamål som regleringen avser att tillgodose. Den föreslagna regleringen ska därför bara omfatta statliga myndigheter under regeringen.