sou · H9B362 · 2021-06-29 00:00:00 — Även om ett samordningsnummer inte ger några rättigheter eller förmåner i sig, kan det finnas ett behov av numren t.ex. för handläggning av förmåner som ska betalas ut.11 Utredningen om effektiv styrning av nationella digitala tjänster bedömde vidare att identitetskontrollen vid tilldelning av samordningsnummer inte är av den kvalitet som önskas för att samhällsfunktionerna ska kunna lita på att samordningsnummersystemet fungerar som det ska och att detta också påverkar folkbokföringens förmåga att upprätthålla god registerkvalitet.12 Personnummer och samordningsnummer utgör inte känsliga personuppgifter i dataskyddsförordningens mening, men behandlingen av dessa uppgifter omfattas genom nationell lagstiftning av särskilda villkor (se mer om detta i avsnitt 9.2.1). Av artikel 3.1 i eIDAS-förordningen framgår att elektronisk identifiering är en process inom vilken personidentifieringsuppgifter i elektronisk form, som unikt avser en fysisk eller juridisk person eller en fysisk person som företräder en juridisk person, används. I artikel 3.5 i eIDAS-förordningen definieras autentisering som en elektronisk process som gör det möjligt att bekräfta den elektroniska identifieringen för en fysisk eller juridisk person, eller ursprunget för och integriteten hos uppgifter i elektronisk form. Svenska datatermgruppen definierar det som kontroll av uppgiven identitet, t.ex. vid inloggning, vid kommunikation mellan två system eller vid utväxling av meddelande mellan användare.13 å sin sida definierar autentisering som att helt enkelt kunna visa upp och styrka sin identitet för en annan part.14 11Kvalificerad välfärdsbrottslighet – förebygga, förhindra, upptäcka och beivra (SOU 2017:37), s. 248 och s. 293. 12reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 334. 13www.termado.com/DatatermSearch/?ss=autentisering (hämtad ). 14https:///guide/digitala-identiteter/ordlista/ (hämtad ). Definitioner av vissa centrala begrepp och termer Det förekommer flera olika metoder av autentisering. I samband med autentisering brukar det talas om en-, två- eller flerfaktorsautentisering. Användning av lösenord eller PIN-kod brukar ses som enfaktorsautentisering som baseras på något en person vet eller kan. Med dessa metoder går det egentligen bara att veta att lösenordet och PIN-koden används, men inte av vem, särskilt inte eftersom många personer använder samma lösenord till flera tjänster och att flera tjänster drabbats av intrång som har medfört åtkomst till lösenord. Tvåfaktorsautentisering kan vara en kombination av lösenord, dvs. något som personen kan med något som personen har, exempelvis ett smartkort eller en applikation i en mobiltelefon, alternativt i kombination med någon form av inloggning med biometrisk avläsning, t.ex. med fingeravtryck. Även andra autentiseringslösningar kan användas som koddosor, USB-stickor, engångslösenord via sms m.m. En mer generell definition av tvåfaktors- eller flerfaktorsautentisering är autentisering där det krävs två respektive flera olika tekniska lösningar för att en användare ska kunna styrka sin identitet.15 Ett annat begrepp som förekommer med koppling till autentisering är stark autentisering. Det förekommer även reglering som ställer krav på stark autentisering eller flerfaktorsautentisering (se mer om detta i avsnitt 4.3). Med stark autentisering avses ofta kontroll av uppgiven identitet på två olika sätt.16 Kommissionens lämnade förslag till ändringar i eIDAS-förordningen innehåller även en definition av stark autentisering.17 I 1 kap. 4 § lagen (2010:751) om betaltjänster definieras ”stark kundautentisering” som en autentisering som grundas på användning av två eller flera komponenter, kategoriserade som kunskap (något som bara användaren vet), innehav (något som bara användaren har) och unik egenskap (något som användaren är), som är fristående från varandra så att det förhållandet att någon har kommit över en av komponenterna inte äventyrar de andra komponenternas tillförlit- 16Se t.ex. definitionen av stark autentisering i 2 kap. föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (HSLF-FS 2016:40). 17I skrivande stund finns ingen officiell översättning av förslaget (COM(2021) 281 final) men i den engelska språkversionen definieras begreppet på följande sätt: ‘strong user authentication’ means an authentication based on the use of two or more elements categorised as user knowledge, possession and inherence that are independent, in such a way that the breach of one does not compromise the reliability of the others, and is designed in such a way to protect the confidentiality of the authentication data. Definitioner av vissa centrala begrepp och termer lighet, och som är utformad för att skydda autentiseringsuppgifterna mot obehörig åtkomst. I artikel 3.6 i eIDAS-förordningen definieras förlitande part som en fysisk eller juridisk person som förlitar sig på en elektronisk identifiering eller betrodda tjänster. Inom ramen för detta betänkande avser det framför allt aktörer som tillhandahåller e-tjänster. Begreppen e-legitimation och elektronisk identitetshandling förekommer inte eIDAS-förordningen. Där används i stället medel för elektronisk identifiering som i artikel 3.2 definieras som en materiell och/eller immateriell enhet som innehåller personidentifieringsuppgifter och som används för autentisering för nättjänster. Med begreppet e-legitimation avses en identitetshandling som kan användas för att identifiera innehavaren på elektronisk väg. Med hjälp av en e-legitimation kan innehavaren identifiera sig och myndigheter eller andra aktörer som har e-tjänster få en bekräftelse på vem personen är. En e-legitimation innehåller, liksom en fysisk identitetshandling, uppgifter som entydigt kan kopplas till en viss person.18 Alla former av medel för elektronisk identifiering kan således inte anses utgöra en e-legitimation utan det krävs att det rör sig om en handling som har en både tydlig och säker koppling till innehavarens identitet. Detta sker vanligtvis, men inte uteslutande, genom en certifikatbaserad lösning. En e-legitimation kan finnas som en applikation i en mobiltelefon eller surfplatta eller som en fil på en dator. Den kan också finnas på en fysisk bärare, såsom ett smartkort. Kortet innehåller då ett chip där informationen lagras.19 Utredningen om effektiv styrning av nationella digitala tjänster använde begreppet elektronisk identitetshandling i stället för e-legi- timation. Anledningen var att en identitetshandling syftar till att visa en individs identitet och används för att kontrollera att individen är 18Ett säkert statligt – med e-legitimation (SOU 2019:14), s. 129. Definitioner av vissa centrala begrepp och termer den som han eller hon utger sig för att vara medan begreppet legitimation säger något om personens behörighet. Utredningen menade att begreppet e-legitimation är missvisande eftersom det antyder att det rör sig om uppgifter som utvisar både identitet och behörighet.20 ID-kortsutredning använde emellertid begreppet e-legiti- mation med motiveringen att det är ett inarbetat begrepp som bl.a. används i det tillitsramverk som DIGG ansvarar för och som gäller för det kvalitetsmärke som benämns Svensk e-legiti- mation (se mer om tillitsramverket och kvalitetsmärket i avsnitt 6.3). Utredningen noterade vidare att det även är det begrepp som huvudsakligen används av de nuvarande svenska utfärdarna av e-legitima- tioner. Vi delar den bedömning som gjordes av ID-korts- utredning och använder oss därför av begreppet e-legitimation. Vad gäller författningstext är dock medel för elektronisk identifiering eller elektronisk identifiering de uttryck som används både i eIDAS-förordningen och nationella författningar. I författningsförslagen kommer därför dessa begrepp att användas i stället för e-legi- timation eller e-tjänstelegitimation. 3.9E-legitimation i tjänsten m.m. Vad avser fysiska identitetshandlingar som används i tjänsten förekommer i allmänt språkbruk ofta begreppet tjänstelegitimation i kortform (”tjänsteleg”). I författning förekommer dock endast begreppet tjänstekort för de fysiska identitetshandlingar som utfärdas för medarbetare i offentlig sektor. Av 1 § förordningen (1958:272) om tjänstekort följer att tjänstekort får utfärdas för den som tjänstgör vid eller innehar uppdrag för statligt eller kommunalt organ och som för sina tjänsteåligganden regelmässigt behöver kunna styrka sin identitet eller tjänsteställning. Ett tjänstekort ska enligt 4 § samma förordning som huvudregel innehålla uppgifter om innehavarens namn och tjänst eller uppdrag och vara försett med ett välliknande fotografi av innehavaren och med hans eller hennes namnteckning. Uppgiften om namn ska vidare åtminstone omfatta efternamn och första bokstaven i tilltalsnamn. Ett tjänstekort får även innehålla uppgift om personnummer eller annat identifikationsnummer för innehavaren. På kortet ska det anges vilken myndighet som har utfärdat det, var 20reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 171 f. Definitioner av vissa centrala begrepp och termer kontroll av kortet kan göras samt kortets nummer och giltighetstid. Av 13 § andra stycket i förordningen framgår att , efter samråd med Försvarsmakten, får meddela ytterligare föreskrifter om tjänstekort. Enligt 5 § föreskrifter och allmänna råd om tjänstekort (PMFS 2020:4) får tjänstekort förses med elektroniska egenskaper för att kortet ska fungera vid elektronisk identifiering och behörighetskontroll. Tjänstekort är vidare enligt 4 § föreskrifter om identitetskort (SKVFS 2009:14) en godtagbar identitetshandling om det utfärdats av en svensk statlig myndighet eller om det är SIS-märkt.21 Ett SIS-märkt tjänstekort innebär att det tillverkats av en licensierad tillverkare och utfärdats av en godkänd utfärdare enligt vissa standarder.22 Med e-legitimation i tjänsten avses i detta betänkande en e-legi- timation som används för att fullgöra en arbetsuppgift. Det kan både röra sig om en privat e-legitimation eller en e-legitimation som anskaffats av arbetsgivaren. Begreppet e-tjänstelegitimation användes bl.a. av E-delegationen och definierades då som en e-legitimation som knyts både till en organisation (med namn och organisationsnummer) och till en fysisk person (med namn och unik beteckning).23 Även om begreppet kan föra tankarna till en legitimation som behövs för att använda en e-tjänst är det emellertid ett begrepp som tidigare använts och som enligt vår mening tydligt markerar att det rör sig om en e-legitimation med koppling till antingen en anställning eller ett uppdrag. Med e-tjänste- legitimation avses i detta betänkande således en e-legitimation för den som tjänstgör vid eller innehar uppdrag för en organisation och som anskaffats av organisationen. En e-tjänstelegitimation kan, men behöver inte nödvändigtvis, också innehålla uppgifter om användarens anställning och/eller behörighet, dvs. ytterligare uppgifter utöver identiteten. I DIGG:s förstudierapport används uttrycket ”eID för medarbetare” (se mer om förstudien i avsnitt 5.8.1). Medarbetare omfattar enligt DIGG:s definition utöver anställda även uppdragstagare, förtroendevalda, elever och andra som är knutna till en part som vill anskaffa e-legitimationer för sina målgruppers räkning.24 21SIS står för för standarder. 22Ett säkert statligt – med e-legitimation (SOU 2019:14), s. 123 ff. 23Strategi för myndigheternas arbete med e-förvaltning (2009:86), s. 125 ff. 24DIGG, eID för medarbetare – Förstudierapport inom byggblock Identitet i regeringsuppdraget Att etablera en förvaltningsgemensam infrastruktur för informationsutbyte (dnr 2019-582), , s. 3. Definitioner av vissa centrala begrepp och termer För en sammanfattning av hur begreppen ovan används inom ramen för detta betänkande se tabellen nedan. Tabell 3.1 Vissa begrepp rörande e-legitimation i tjänsten Fysisk identitetshandling för den som tjänstgör vid eller innehar uppdrag för statligt eller kommunalt organ och som kan förses med elektroniska egenskaper för att kortet ska fungera vid elektronisk identifiering och behörighetskontroll . En e-legitimation som används för att fullgöra en arbetsuppgift. Det kan både röra sig om en privat e-legitimation eller en e-legitimation som anskaffats av arbetsgivaren. i en applikation eller på en fysisk bärare. En e-legitimation för den som tjänstgör vid eller innehar uppdrag för en organisation och som anskaffats av organisationen. E-tjänstelegitimation kan utöver identitetsuppgifter även innehålla uppgifter om användarens anställning och/eller behörighet. Kan både finnas i en applikation eller på en fysisk bärare. En kontroll av en persons identitet syftar till att utreda om personen är den han eller hon utger sig för att vara, här vanligen i samband med ansökan om en e-legitimation. Identitetskontrollen kan bestå av två delar. Det kan vara fråga om att göra en kontroll av att vissa uppgivna personuppgifter verkligen utgör en identitet och att uppgifterna inte är falska. En sådan kontroll görs som regel genom slagning i officiella register. Det kan också handla om att kontrollera om en viss fysisk person stämmer överens med en viss (registrerad) identitet, dvs. Den sistnämnda kontrollen kan göras genom en jämförelse mellan en person och en identitetshandling.25 En felaktig id-handling kan vara oriktig på i huvudsak två olika sätt. Dels kan det vara fråga om att innehavaren (eller annan) tillverkat en falsk handling eller ändrat en id-handlings ursprungliga, riktiga, personuppgifter och ersatt dessa med falska uppgifter. Dels kan det vara fråga om att innehavaren (eller annan) uppgett oriktiga uppgifter vid utfärdandet av id-handlingen, som då i och för sig är riktigt utfärdad men innehåller felaktiga uppgifter.26 Det senare kan 25Ett säkert statligt – med e-legitimation (SOU 2019:14), s. 90. 26Id-kort för folkbokförda i (SOU 2007:100), s. 25 f. Definitioner av vissa centrala begrepp och termer således ske i samband med det som kallas för grundidentifiering, dvs. den identitetskontroll som sker i samband med utfärdandet av en idhandling. Utredningen om effektiv styrning av nationella digitala tjänster analyserade några av de befintliga grundidentifieringsprocesserna.27 Av genomgången framgick att processerna skilde sig åt och att olika krav ställs inför utfärdande av olika identitetshandlingar. Detta gällde såväl för de fysiska identitetshandlingar som staten respektive privata aktörer utfärdade som för e-legitimationer.28 I nästan alla processer gällde att individen ska styrka sin identitet. Då handlade det om att sammanföra registrerade uppgifter om en viss individ med en viss fysisk person. Med registrerade uppgifter avsågs framför allt sådana uppgifter som framgår av folkbokföringsregistret. Sättet som individen kunde styrka sin identitet på skilde sig åt. Hade individen redan en viss sorts identitetshandling var den ofta tillräcklig för att styrka identiteten. Om individen saknade en identitetshandling av visst bestämt slag krävdes att andra personer med vissa närmare angivna kopplingar till individen intygade dennes identitet.29 Det som skilde de olika identitetshandlingarna åt var primärt ansöknings- och utlämnandeprocessen. Där ställdes i många fall krav på att individen ska inställa sig personligen hos den utfärdande aktören vid såväl ansökan som utlämnande. I vissa fall fanns det dock inga sådana krav, exempelvis var det möjligt att hämta ut ett körkort via ett postombud.30 Ytterligare en skillnad var hur uppgifter om individen dokumenteras, dvs. i vissa fall ansvarade utfärdaren för att fotografera eller ta fingeravtryck av individen, i andra fall kunde individen ta med sig eller skicka in ett fotografi som hade tagits av annan men som ofta skulle uppfylla vissa kriterier. Utredningen bedömde att det inte är alla processer som leder fram till identitetshandlingar som grundar sig på utförd grundidentifiering. För att en process ska innehålla grundidentifiering bedömde 276 § passlagen (1978:302), 3 § andra stycket förordningen (2005:661) om nationellt identitetskort, 2 § lagen (2015:899) om identitetskort för folkbokförda i , 3 kap. 15 § körkortsförordningen (1998:980) samt processen vid utfärdande av BankID. 28reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 173 ff. 29Skatteverkets föreskrifter om identitetskort, SKVFS 2009:14 och föreskrifter och allmänna råd om polismyndigheternas hantering av pass och nationellt identitetskort, RPSFS 2009:14, FAP 530-1. 308 kap. 3 § körkortsförordningen (1998:980) samt Transportstyrelsens föreskrifter om utlämnande av körkort, TSFS 2014:17. Definitioner av vissa centrala begrepp och termer utredningen att vissa styrande principer skulle vara uppfyllda. Dessa principer var att: •ansökan om en identitetshandling måste göras vid ett personligt besök hos den utfärdande aktören, •individen ska styrka sin identitet på ett tillförlitligt sätt, •den utfärdande aktören ansvarar för att dokumentera fysiska kännetecken genom att åtminstone ta ett fotografi av individen, och •identitetshandlingen ska lämnas ut vid ett personligt besök hos utfärdaren.31 Identitetsintygsutfärdare är den som utfärdar identitetsintyg. Ett identitetsintyg är ett av en identitetsintygsutfärdare utställt intyg i elektronisk form med uppgifter om en användares identitet och eventuella attribut.32 Identitetsintyget kan endast användas . Utfärdande av identitetsintyg sker ibland av e-legitimations- utfärdaren, men det förekommer också att identitetsintyget utfärdas av en separat identitetsintygsutfärdare. En identitetsfederation kan antingen syfta till att undvika att en förlitande part måste sluta bilaterala avtal med varje e-legitimations- utfärdare alternativt komplettera de elektroniska identitetshandlingarna med tjänster för ett säkert utbyte av rollbaserade behörighetsstyrande attribut åt federationens e-tjänster. Ytterligare ett syfte med en identitetsfederation är att utbyta teknisk och administrativ information om förlitande parter och identitetsintygsutfärdare på ett säkert och effektivt sätt. En identitetsfederationen innebär alltså att en aktör utses som ansvarig för federationen (federationsoperatör), och att varje aktör som vill ansluta sig till federationen måste följa ett uppställt regelverk – såväl tekniskt som tillitsbaserat – samt åtar sig att genomgå prövning och granskning med avseende på säker- 31reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 175 ff. 32E-legitimationsnämnden och Svensk e-legitimation (SOU 2010:104), s. 173. Definitioner av vissa centrala begrepp och termer het och uppfyllelse av uppställda regelverk.33 Vad som innefattas i detta åtagande och ansvar kan dock variera mellan olika federationer med hänsyn till federationens syfte, vilka aktörer som kan ansluta sig till federationen samt respektive sektors behov och regelverk. Som gemensam nämnare finns emellertid alltid att det i en federativ lösning finns en tredje part som skapar en grund för tillit och effektiviserar administrationen mellan parterna. Identitetsfederationer behandlas ytterligare i avsnitt 6.6. En interfederation är en överenskommelse mellan två eller flera federationsoperatörer som ingår i ett sammansluta federationerna. äger rum när en användare från en federation får åtkomst till en tjänst som är registrerad i en annan federation34. I detta sammanhang bör även den engelska termen ”identity broker/ID-broker” nämnas. Någon allmänt vedertagen svensk översättning av termen finns inte. Denna funktion är dock lik den som en identitetsfederation uppfyller fast i formen av en kommersiell tjänst där en part via ett och samma tekniska gränssnitt kopplar samman förlitande parter med flera olika e-legitimationsutfärdare och därigenom möjliggör för användare att nyttja sin e-legitimation i de anslutna tjänsterna. Med id-växling avses i betänkandet när en e-legitimation som utfärdas efter en grundidentifiering kan utgöra underlag vid utfärdande av andra e-legitimationer.35 Id-växling kan emellertid också förekomma i andra sammanhang. De juridiska begreppen behörighet och befogenhet och den s.k. fullmaktsläran har sin grund i lagen (1915:218) om avtal och andra rättshandlingar på förmögenhetsrättens område (avtalslagen), men har 33reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 270. 34Enligt ordlista från konferensen tekniksnack om digitala nationella prov, %20Skolverkets%20tekniksnack.pdf. 35reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 321. Definitioner av vissa centrala begrepp och termer även relevans utanför det civilrättsliga området. Skillnaden mellan dessa begrepp brukar förenklat beskrivas som att behörighet betecknar vad en fullmäktig kan göra och befogenhet vad en fullmäktig får göra.36 Av 10 § andra stycket avtalslagen följer att där någon såsom anställd i annans tjänst eller eljest i följd av avtal med annan intager en ställning, varmed enligt lag eller sedvänja följer viss behörighet att handla å dennes vägnar, anses han hava fullmakt att företaga rättshandlingar, som falla inom gränserna för denna behörighet. Detta kallas för en ställningsfullmakt. Även en anställd eller uppdragstagare inom den offentliga förvaltningen som inte har behörighet att företa sådana rättshandlingar som avses i avtalslagen har inom ramen för dennes anställning eller uppdrag behörighet att utföra olika åtgärder eller ta del av viss information. Med behörighet avses således vad medarbetaren eller uppdragstagaren kan göra och befogenheten är vad denne person får göra. En sådan behörighet kan också vara kopplad till en kvalifikation man har, exempelvis att en person är licensierad sjuksköterska. En offentliganställd som överskrider sin behörighet eller befogenhet kan drabbas av olika påföljder.37 Med attribut avses i relation till e-legitimationer uppgifter om exempelvis behörighet, uppdrag, roll eller andra egenskaper, som i traditionell miljö lämnas genom att visa upp en legitimation eller ge in registreringsbevis, fullmakter eller liknande handlingar. Det kan vara fråga om sådana attribut som t.ex. behörighet att agera för en juridisk persons räkning i egenskap av ställföreträdare eller fullmäktig, en särskild roll såsom lärare, läkare eller sjuksköterska eller någon annan uppgift av betydelse om en individ, t.ex. uppgift om anställning inom visst företag eller visst uppdrag för en angiven huvudman. Attribut kan vara ett eller flera och kan innehålla vilken information 36Grönfors, , , , Avtalslagen En kommentar, : 5A, Kommentar till 2 kap. 10 § första stycket avtalslagen. När makten gör fel – Den offentliga tjänstemannens ställning och ansvar (SOU 1996:173). Definitioner av vissa centrala begrepp och termer som helst.38 Kommissionens lämnade förslag till ändringar i eIDAS-förordningen innehåller även en definition av attribut.39 Mottagande av handlingar eller åtkomst till system eller uppgifter som sker mellan myndigheter behöver inte innebära att någon autentisering av enskild medarbetare sker eller någon kontroll av dennes rätta behörighet eller befogenhet. Det brukar benämnas som organisationstillit. Det var E-delegationen som etablerade denna princip i syfte att effektivisera arbetet med informationsutbyte mellan offentliga aktörer. Principen bygger på att det vid informationsutbyte inom ramen för myndigheternas samverkans- och serviceskyldighet räcker att kontrollera att den andra parten är den myndighet som den uppger sig vara, eftersom en myndighet vanligtvis kan lita på att en handläggare som agerar för en annan myndighets räkning är behörig att företräda myndigheten.40 38E-legitimationsnämnden och Svensk e-legitimation (SOU 2010:104), s. 26 och 37 f. 39I skrivande stund finns ingen officiell översättning av förslaget (COM(2021) 281 final) men i den engelska språkversionen definieras begreppet på följande sätt: ‘attribute’ is a feature, characteristic or quality of a natural or legal person or of an entity, in electronic form.