sou · H9B362 · 2021-06-29 00:00:00 — För statliga myndigheter vars e-tjänster är anslutna till befintliga identitetsfederationer finns det inte heller någon uppenbar anledning att även kräva obligatorisk anslutning till det föreslagna systemet. E-tjänster som omfattas av den föreslagna lagen och som är anslutna till en sådan federation ska därför undantas från kravet om att erkänna e-tjänstelegitimationer. Det finns emellertid inga hinder mot att en statlig myndighet låter en e-tjänst vara ansluten både till det nu aktuella systemet och en annan identitetsfederation. Utredningens förslag: Utfärdare av medel för elektronisk identifiering ska rapportera säkerhetsincidenter till Myndigheten för digital förvaltning samt till förlitande parter som påverkas av incidenten. Myndigheten för digital förvaltning kan besluta om det godkända medel för elektronisk identifiering en säkerhetsincident avser, tills vidare eller , är godkänt. Myndigheten för digital förvaltning kan besluta att det medel för elektronisk identifiering som inte är godkänt för systemet som en säkerhetsincident avser tills vidare eller inte längre ingår i systemet. Vid allvarliga säkerhetsincidenter ska Myndigheten för digital förvaltning kunna besluta att medlet för elektronisk identifiering inte längre ska ingå i systemet. Skälen för utredningens förslag I syfte att upprätthålla tillit för systemet är det viktigt att eventuella säkerhetsincidenter rapporteras och hanteras. Denna incidentrapportering kan i vissa fall sammanfalla med annan rapporteringsskyldighet som följer av andra författningar eller avtal.36 Det bör poängteras att rapporteringsskyldighet då ska fullföljas enligt alla de regelverk som en uppkommen incident omfattas av. Säkerhetsincidenter avseende en e-tjänstelegitimation som ingår i det system vi föreslår ska anmälas av utfärdaren till DIGG. Det gäller oavsett om e-legitimationen är godkänd av DIGG eller inte. Säkerhetincidenter även rapporteras till förlitande parter som påverkas av incidenterna. Det går inte att formulera en uttömmande lista över vad som utgör säkerhetsincidenter. Det är incidenter som 36Jfr t.ex. (hämtad ). påverkar e-tjänstelegitimationernas eller systemet för erkännande av medel för elektronisk identifierings tillgänglighet, riktighet eller konfidentialitet. Det kan röra sig om exempelvis tekniska sårbarheter eller andra sårbarheter, faktiska intrång eller att någon av de organisationer som använder den aktuella e-tjänstelegitimationen inte hanterar dem på ett tillförlitligt sätt. En säkerhetsincident kan föreligga även när sårbarheten är teoretisk. Det krävs således inte att en sårbarhet ska ha utnyttjats av någon. Det faktum att sårbarheten finns kan räcka för att det anses vara en säkerhetsincident som ska rapporteras. När en säkerhetsincident rapporteras behöver DIGG skyndsamt bedöma hur allvarlig incidenten är eller hur allvarlig den kan komma att bli, för att sedan besluta om vilka åtgärder som ska vidtas. DIGG kan komma överens med utfärdaren om vilka åtgärder som måste vidtas. För godkända e-tjänstelegitimationer gäller vidare att DIGG får besluta att e-tjänstelegitimationer tillfälligt eller tills vidare är godkända för användning i systemet. Ett sådant beslut kan avse grupper av e-tjänstelegitimationer från samma utfärdare eller alla e-tjänstelegitimationer från samma utfärdare fram till dess att incidenten anses åtgärdad. Grupper av e-tjänstelegitimationer kan exempelvis vara legitimationer för användare vid en viss offentlig aktör där bristande säkerhet har identifierats eller en grupp användare för vilka attribut hämtas från ett register där säkerhetsbrister eller felaktigheter har identifierats. För e-tjänstelegitimationer som ingår i systemet men som inte är godkända får DIGG fatta beslut sådana e-tjänste- legitimationer tillfälligt eller tills vidare inte får ingå i systemet. Även ett sådant beslut kan avse grupper av e-tjänstelegitimationer från samma utfärdare eller alla e-tjänstelegitimationer från samma utfärdare. Beroende på säkerhetsincidentens art samt hur den hanteras kan DIGG behöva vidta åtgärder i de tekniska komponenter som finns i systemet för att hindra användningen av berörda e-tjänstelegitimationer i systemet. Om incidenten bedöms som allvarlig får DIGG besluta att e-tjänstelegitimationer inte längre får ingå i systemet. Om e-tjänste- legitimationen är godkänd av DIGG för användning i systemet ska myndigheten återkalla godkännandet (se avsnitt 9.4.12 vad gäller överklagande av beslut). Det kan krävas bestämmelser om hur säkerhetsincidenter ska hanteras och hur de ska rapporteras. Sådana bestämmelser bedömer vi kommer vara på en sådan detaljerad nivå att de lämpar sig bäst i DIGG bör därför bemyndigas att efter samråd med MSB meddela sådana föreskrifter. Det är viktigt att den som förlitar sig på e-tjänstelegitimationerna har planerat för hur de hanterar sådana fall. Det kan handla om att, om det sker internt, ha alternativa sätt för att autentisera sina medarbetare och om det rör extern användning, att de medarbetare som verkligen behöver det kan anskaffa alternativa e-tjänstelegitimationer eller lösa arbetsuppgiften med andra metoder. För att förlitande parter ska kunna veta om de sårbarheter och de incidenter som inträffar behöver det finnas en informationsdelning mellan de parter som ingår i federationen. Informationen om incidenter och sårbarheter kan vara säkerhetskänslig och därför svår att dela. Det kan därför behöva skapas ett arrangemang kring hur informationsdelningen kan gå till. DIGG bör därför skapa ett sådant arrangemang. Om det krävs föreskrifter om arrangemanget kan de meddelas med stöd av det bemyndigande som redogörs för ovan. Utredningens förslag: Personnummer får endast överföras i systemet om krav på användning av personnummer föreskrivs i lag eller i annan författning eller om användning av annan identitetsbeteckning inte är möjlig. Skälen för utredningens förslag Inom ramen för vår kartläggning har det av många framförts att de ser fördelar med att deras anställda eller uppdragstagare inte behöver använda sina personnummer vid organisationsöverskridande användning av e-legitimationer. Det kan i vissa fall vara direkt olämpligt eller otillåtet att använda personnummer (jfr avsnitt 9.2.1). En anställd eller uppdragstagare som använder en e-tjänst inom ramen för sin anställning eller sitt uppdrag gör det dessutom på den offentliga aktörens vägnar. Vi anser att personnummer som huvudregel inte bör överföras i systemet vid organisationsöverskridande användning av e-tjänstelegitimationer. En annan unik personidentifieringsuppgift som är bestående i form av exempelvis tjänsteidentiteter bör Om behov finns att fastställa hur en sådan personidentifieringsuppgift bör vara uppbyggd och vad den bör innehålla föreskrivs det lämpligen i myndighetsföreskrifter som avser krav på e-tjänstelegitimationer i systemet. Det bör vara ovanligt att de åtgärder en anställd eller uppdragstagare vidtar i en e-tjänst är förknippat med att förlitande part måste veta personens personnummer. En nättjänst kan visserligen vara byggd så att personnummer används, men det bör vara ovanligt att det förfarande tjänsten används till, i sig kräver personnummer. Det kan emellertid finnas sådana krav. Vidare kan det finns situationer där det inte går att använda en annan identitetsbeteckning än personnummer. Det kan således finnas behov av undantag från huvudregeln att personnummer inte ska överföras i systemet. Undantag bör gälla för det fall krav på användning av personnummer föreskrivs i lag eller annan författning, exempelvis om det förfarande e-tjänsten används för är reglerat på ett sådant sätt att det krävs personnummer. Det andra undantaget ska avse situationer då det inte är möjligt att använda en annan identitetsbeteckning än personnummer. En sådan situation kan t.ex. vara att det uppstår tekniska problem för vissa e-tjänstelegitimationer eller i systemet som innebär att andra beteckningar inte kan användas. Undantaget är avsett att endast omfatta situationer då användningen rent faktiskt inte är möjlig och ska inte tillämpas på situationer då en e-tjänst eller ett bakomliggande system är skapade på ett sådant sätt att de endast kan hantera personnummer. 9.4.11Behandling av personuppgifter i systemet Utredningens förslag: Stöd för nödvändig behandling av personuppgifter i systemet av Myndigheten för digital förvaltning ska föreskrivas i författning. Skälen för utredningens förslag Systemet för erkännande av medel för elektronisk identifiering kommer medföra behandling av personuppgifter. Behandlingen är nödvändig för att systemet ska kunna användas för erkännande av e-tjänste- Utfärdare av e-legitimationerna måste säkerställa att de har stöd för personuppgiftsbehandlingen, likaså förlitande parter. Det går ännu inte att fastslå hur systemet kommer att vara uppbyggt eller hur det i detalj kommer att fungera då detta enligt förslaget ska beslutas av DIGG. Det är dock troligt att DIGG kommer att tillhandahålla tekniska komponenter som används när en person ska identifieras elektroniskt. Att myndigheten ska tillhandahålla systemet kommer att föreskrivas i författning. Behandlingen är vidare nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Något som enligt artikel 6.1 e i dataskyddsförordningen utgör en rättslig grund för behandling. I dataskyddslagen tydliggörs i 2 kap. 2 § att en uppgift av allmänt intresse utgör en rättslig grund för behandling av personuppgifter enligt artikel 6.1 e i dataskyddsförordningen om uppgiften följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning eller är ett led i den personuppgiftsansvariges myndighetsutövning om myndighetsutövningen sker enligt lag eller annan författning. I förarbetena till dataskyddslagen uttalas att den verksamhet som en statlig eller myndighet bedriver inom ramen för sin befogenhet är av allmänt intresse och att det vanligen är den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen som bör tillämpas av myndigheter. Detta utesluter dock inte att andra rättsliga grunder kan vara tillämpliga i vissa fall.37 När DIGG kommer att behandla personuppgifter inom ramen för sitt uppdrag att tillhandahålla systemet för erkännande av medel för elektronisk identifiering kommer detta således att ske för att utföra uppgifter av allmänt intresse som följer av lag eller annan författning. Vi anser emellertid att det för tydlighetens skull bör föreskrivas i lagen att personuppgifter får behandlas av den myndighet som tillhandahåller systemet, dvs. Sådan behandling får ske om den är ett nödvändigt led i att identifiera användare elektroniskt. Sådan behandling kan avse personuppgifter kopplade till en enskild e-tjänstelegitimation men det kan också vara nödvändigt för DIGG att behandla personuppgifter med koppling till den administrativa hanteringen av systemet. Den författningsreglering vi föreslår avser 2017/18:105 s. 56 f. endast den eventuella personuppgiftsbehandling DIGG kommer att utföra och inte andra aktörers användning av systemet. Utredningens förslag: Om DIGG genom sin granskning bedömer att medlet för elektronisk identifiering inte lever upp till kraven ska myndigheten genom beslut avslå ansökan om godkännande. Ett sådant beslut ska kunna överklagas till allmän förvaltningsdomstol. Beslut om att medel för elektronisk identifiering som tillfälligt eller tills vidare inte är godkända för användning i systemet samt beslut om att medel inte får ingå i systemet, får överklagas till allmän förvaltningsdomstol. DIGG får bestämma att beslut enligt ovan ska gälla . Prövningstillstånd krävs vid överklagande till kammarrätten. Skälen för utredningens förslag I avsnitt 9.4.6 redogörs för våra förslag avseende granskning och godkännande av e-tjänstelegitimationer. Om en utfärdare av en e- tjänstelegitimation ansöker om att få den godkänd av DIGG för användning i systemet ska DIGG granska legitimationen. För det fall DIGG bedömer att den inte lever upp till de krav som ställs ska myndigheten avslå ansökan. Ett sådant beslut ska kunna överklagas till allmän förvaltningsdomstol. Av avsnitt 9.4.9 framgår att vi föreslår att DIGG, om det uppstår säkerhetsincidenter, ska kunna besluta att e-tjänstelegitimationer som är godkända tillfälligt eller tills vidare inte är godkända samt att myndigheten ska kunna besluta att legitimationer som inte är godkända, men som ingår i systemet, tillfälligt eller tills vidare inte ingår i systemet. Vidare föreslår vi att DIGG vid allvarliga säkerhetsincidenter kan besluta att en e-tjänstelegitimation inte längre ska ingå i systemet. Om e-tjänstelegitimationen är godkänd för användning i systemet ska godkännandet återkallas. Även dessa beslut ska kunna överklagas till allmän förvaltningsdomstol. Myndigheten får bestämma att besluten ska gälla eftersom vissa säkerhetsincidenter kan vara av en sådan karaktär att det innebär stora risker att låta det vara möjligt att fortsatt använda e-tjänstelegitimationerna. I likhet med vad som är huvudregeln för överklagande av förvaltningsbeslut bör prövningstillstånd krävas för överprövning i kammarrätten. 9.5En samverkande infrastruktur mellan offentlig och privat sektor Utredningens bedömning: Systemet för erkännande av e-tjänste- legitimationer bör utvecklas till att även omfatta privat sektor och denna fråga bör utredas vidare. Skälen för utredningens bedömning Utredningens uppdrag är begränsat till användning av e-legitimation i tjänsten i den offentliga förvaltningen. Inom den offentliga förvaltningen finns emellertid behov av åtkomst med e-tjänstelegitima- tioner till tjänster som tillhandahålls av privata aktörer och det finns även behov av sådan åtkomst mellan aktörer i privat sektor samt från en privat aktör mot e-tjänster som tillhandahållas inom den offentliga sektorn. Utredningen om bildande av en e-legitimationsnämnd lämnade förslag om en infrastruktur för den offentliga sektorn men påtalade vikten av att verkade för att en motsvarande och samverkande infrastruktur etablerades även för den privata sektorn. Utredningen framförde bl.a. följande. (E)-legitimationer som godtas inom Infrastrukturen för Svensk e-legi- timation (ska inte) begränsas så att de får användas endast för e-tjänster inom offentlig sektor. Det är i stället, såsom inom dagens system för e- legitimationer, väsentligt och centralt att en ny infrastruktur resulterar i motsvarande lösning för den privata sektorn. Detta bör kunna uppnås genom att det bildas två samverkande infrastrukturer för identifiering – en för den offentliga sektorn och en för den privata – som i princip använder sig av samma regelverk. samverkande infrastrukturer bör från ett användarperspektiv uppfattas som enhetliga. Hit hör rent praktiska frågor som att samma e-legitima- tioner, användargränssnitt och transaktionsmönster bör införas. Härigenom kan sådana för informationssamhället grundläggande funktioner som elektronisk legitimering hanteras enhetligt. En sådan samordning är viktig även från juridiska utgångspunkter. Enskildas behov av rättssäkerhet och persondataskydd måste tillgodoses enhetligt och det samma gäller för tolknings- och tillämpningsfrågor. Genom en sådan samordning kan det säkerställas att det uppkommer samverkande lösningar i stället för parallella icke samverkande lösningar. Utredningen har därför i olika avseende sökt lösningar för att åstadkomma samverkande infrastrukturer. Bland annat har det föreslagna regelverket för Infrastrukturen för Svensk e-legitimation utformats så att det ska kunna fungera inom både offentlig och privat sektor och stödja samverkande infrastrukturer. Detsamma gäller för de framtagna tekniska specifikationerna och tillitsramverket. En identitetsutfärdare som godkänts inom en ny infrastruktur för offentlig sektor bör, med samma e-legitima- tioner och identitetsintyg, kunna verka inom en infrastruktur för privat sektor.38 Vi delar utredningens bedömning och ser det som viktigt för både digitaliseringen av offentlig sektor som samhällets digitalisering i stort att det skapas förutsättningar för en samverkande infrastruktur mellan offentlig och privat sektor vad gäller elektronisk identifiering. Då detta är en fråga som ligger utanför utredningens uppdrag lämnar viemellertid inga förslag i denna del utöver att vi anser att denna fråga bör utredas vidare. 9.6Översyn av det svenska tillitsramverket Utredningens förslag: Regeringen ska ge Myndigheten för digital förvaltning i uppdrag att se över det svenska tillitsramverket med beaktande av den behovsbild som föreligger för e-tjänstelegitima- tioner. 38E-legitimationsnämnden och Svensk e-legitimation (SOU 2010:104), s. 145 f. Skälen för utredningens förslag Som konstaterats i avsnitt 6.7 är ett tillitsramverk av central betydelse för att bl.a. skapa tillit och gemensamma referensramar inom e-legitimationsområdet. Med beaktande av de skäl som anges nedan vad gäller behovet av harmonisering med eIDAS-förordningens tillitsnivåer samt om andra krav på kontroll av en användares identitet bör gälla för e-tjänstelegitimationer anser vi att regeringen ska ge DIGG i uppdrag att göra en översyn av tillitsramverket. Harmonisering med eIDAS-förordningens tillitsnivåer finns det i två generella ramverk som existerar parallellt i form av (se avsnitt 6.3) och eIDAS- förordningens tillitsnivåer (se avsnitt 4.2.3). Båda bygger på samma internationella standard (ISO/IEC 29115) och består av tre tillitsnivåer: 2, 3 och 4 respektive låg, väsentlig och hög. Även om kraven i stora delar överensstämmer för respektive nivå finns det emellertid vissa skillnader mellan nivåerna i och nivåerna Eftersom det enligt förordningen finns en skyldighet för svenska offentliga e-tjänster att erkänna anmälda utländska e-legitimationer på tillitsnivå väsentlig och hög måste myndigheter som tillhandahåller sådana tjänster förhålla sig till båda ramverk. Den svenska tillitsnivån 3 bedöms överensstämma med nivån väsentlig i eIDAS-förordningen. Dock ställer den svenska tillitsnivån 4 högre krav på e-legitimationen än nivån hög i eIDAS-förordningen, detta eftersom nivå 4 kräver personlig inställelse vid utfärdande eller förnyande . Något som är möjligt att genomföra på distans för nivå hög i eIDAS-förordningen. framförde 2016 i en rapport att det i och med de högre kraven i den svenska nivå 4 finns en säkerhetsventil för offentliga myndigheter som har tjänster med behov av den nivån.39 DIGG har emellertid angett att om en e-tjänst kräver svenska e-legi- timationer på tillitsnivå 3 eller 4, måste e-tjänsten också acceptera utländska e-legitimationer som har tillitsnivå väsentlig eller hög.40 39E-legitimationsnämnden, Fortsatt försörjning av tjänster för e-legitimering och e-underskrift (Dnr: 131 645711-15/9513), , s. 23. 40www.digg.se/digital-identitet/e-legitimering/offentlig-aktor/internationell-e-legitimering (hämtad ). Som vi tidigare bedömt är det möjligt för medlemsstaterna att ha nationella tillitsramverk (se avsnitt 4.2.3). Det är emellertid tillitsnivåerna i eIDAS-förordningen som styr vid gränsöverskridande användning av e-legitimationer. En svensk myndighet är mot bakgrund av det förhindrad att ställa ett högre krav på en enligt förordningen anmäld e-legitimation än nivå hög. Att kräva den svenska nivån 4 vid gränsöverskridande användning är enligt vår bedömning inte förenligt med eIDAS-förordningen då det saknas stöd för ett sådant undantag för erkännande. Det finns e-legitimationer i som är godkända utifrån tillitsnivå 4 i det svenska ramverket. Vi har däremot under kartläggningsarbetet inte sett något exempel på en e-tjänst inom den offentliga förvaltningen som kräver att autentisering sker med en e-legitima- tion som är godkänd enligt tillitsnivå 4. Vidare kan vissa krav, såsom krav på personlig inställelse, försvåra för utövandet av den fria rörligheten för personer som befinner sig i andra länder än Sverige.41 Sammantaget framstår behovet av tillitsnivå 4 som högst oklar då det argument som tidigare framförts av om att denna nivå skulle kunna nyttjas som en ”säkerhetsventil” vid gränsöverskridande användning inte är förenlig med eIDAS-förordningen. Det är värt att i detta sammanhang notera att ID-korts- utredning gjorde bedömningen att den statliga e-legitimationen som enligt utredningens förslag, efter ansökan, skulle finnas på det statliga identitetskortet skulle uppfylla kraven enligt tillitsnivå 4 och att utfärdandet skulle ske vid ett personligt besök.42 Även om kravet på personlig inställelse i tillitsnivå 4 skulle tas bort från tillitsramverket hade det inte hindrat att en kommande svensk statlig e-legitimation endast hade utfärdats efter personlig inställelse. Detta eftersom godkännande enligt en viss tillitsnivå endast innebär att e-legitimationen uppfyller de krav som den är granskad och godkänd utifrån. Det finns därmed inget hinder mot att en e-legitimation utfärdas på ett sätt som går utöver dessa krav. Ytterligare ett skäl till varför det svenska tillitsramverket bör harmoniseras med förordningens tillitsnivåer är att det under vårt kartläggningsarbete framkommit att det bl.a. inom e-hälsa pågår arbete på EU-nivå som syftar till att underlätta det digitala gränsöverskridande samarbetet genom gemensamma krav på vilken tillitsnivå som 41Deloitte, Looking ahead – The user experience of eIDAS-based eID, s. 24. 42Ett säkert statligt – med e-legitimation (SOU 2019:14), s. 319 ff. ska krävas till uppgifter om hälsa. Eftersom det rör sig om EU-sam- arbeten är det naturligt att dessa utgår från eIDAS-förordningens tillitsnivåer. Att tillämpa ett annat ramverk med andra nivåer som ställer andra krav kan försvåra sådana samarbeten och den praktiska användningen av e-legitimationerna. EU:s förordning om en gemensam digital ingång ställer därtill krav på att medlemsstaterna säkerställer att e-tjänster finns för vissa förfaranden, t.ex. att lämna in en inkomstskattedeklaration, och att dessa tjänster kan nås digitalt av invånare i andra medlemsstater. Förordningen har antagits med utgångspunkt i att individen ska identifiera sig med stöd av den tekniska infrastruktur som upprättats med anledning av eIDAS-förordningen. Det kan även noteras att det av kommissionen lämnade förslaget om ändringar i eIDAS-förordningen anger att en digital identitetsplånbok ska uppfylla kraven för ”hög” enligt förordningens tillitsnivå. De svenska förlitande parter vars e-tjänster omfattas av förslaget kommer därmed vara skyldiga att låta användare med en sådan plånbok nyttja dessa tjänster. I skäl 14 i eIDAS-förordningen i dess nuvarande lydelse förtydligas att principen om ömsesidigt erkännande endast avser autentisering för en nättjänst och att den inte ger en rätt till åtkomst till tjänsten. Åtkomsten till tjänsterna och deras slutliga leverans till den sökande är kopplad till rätten att ta emot sådana tjänster enligt villkoren i nationell lagstiftning. Varje offentligt organ får inom ramen för den tillämpliga nationella lagstiftningen avgöra vilka krav som ska ställas för åtkomst till tjänsterna. I det förslag som lämnats är ansatsen från kommissionens sida dock tydlig i att EU-medborgare med e-identitetsplånboken utöver autentiseringen även ska kunna använda de berörda e-tjänsterna. Vårt kartläggningsarbete har visat att det är en utbredd uppfattning bland både aktörer inom den offentliga förvaltningen och utfärdare att det är förvirrande med två parallella begreppsapparater för vad som i grunden är samma sak. Flera är därför av uppfattningen att det svenska ramverket bör harmoniseras med tillitsnivåerna i eIDAS-förordningen. Med beaktande av de omständigheter som anges ovan delar vi denna bedömning. Krav på personnummer uppställer hinder för vissa arbets- och uppdragstagare