sou · H9B362 · 2021-06-29 00:00:00 — Vidare har flertalet myndigheter, kommuner och regioner vi talat med sett det som att en nationell katalog inte är en lösning som är önskvärd ur ett säkerhets- eller dataskyddsperspektiv. De ser heller inte att behörighetshantering i respektive e-tjänst är en bra lösning eftersom det är svårt att underhålla när personer slutar eller byter roller inom en organisation. Flertalet pekar även på att behörighetsinformationen borde komma från respektive arbetsgivare som då får betydligt färre register att hantera gällande behörigheter. Det finns dock undantag till det inom t.ex. hälso- och sjukvården som har ett centralt register, HSA- katalogen.11 Vidare finns det önskemål om att vissa grundläggande attribut, som t.ex. uppgifter om firmatecknare tillhandahålls centralt. 7.6.4Anställda och uppdragstagare utan personnummer Eftersom det som regel krävs ett svenskt personnummer för att kunna få en privat e-legitimation riskerar personer som saknar personnummer att stängas ute från e-tjänster som förvaltningen tillhandahåller. Kartläggningen visar att det inte är ett problem enbart avseende privata e-legitimationer. Det är också förenat med svårigheter för anställda och uppdragstagare inom förvaltningen som saknar personnummer att få en e-tjänstelegitimation. Det rör sig både om nyanlända personer och personer från andra länder som arbetar inom offentlig sektor och därför inte folkbokförs i . Problematiken uppstår även för s.k. gränsgångare som bor i ett annat land men som arbetar i . 11Det kan här noteras att vissa regioner också har lokala kataloger med attribut. Den offentliga förvaltningens behov avseende e-legitimation i tjänsten uppstå inom de flesta delar av förvaltningen men problemen förefaller vanligast förekommande inom utbildningssamt hälso- och sjukvårdssektorerna. Exempelvis krävs personnummer för att vårdpersonal ska kunna få som uppfyller kraven enligt tillitsnivå 3. Dessa personer är därför förhindrade att använda vissa tjänster där kraven på autentisering är satta på denna nivå. 7.6.5Åtkomst för privata utförare En stor andel av välfärden inom offentlig sektor tillhandahålls genom privata utförare. Dessa utförare behöver ges samma förutsättningar som aktörer inom det offentliga vad gäller tillgång till olika e-tjänster som krävs för att de ska kunna fullgöra sina uppdrag. 7.6.6Oklarheter avseende i förhållande till tillitsnivåerna i eIDAS-förordningen Det har under kartläggningsarbetet framkommit att det både inom förvaltningen och hos utfärdare finns en osäkerhet kring hur förhåller sig till tillitsnivåerna i eIDAS-förordningen. Svenska myndigheter verkar i stor utsträckning tillämpa när de fattar beslut om vilken tillitsnivå de ska kräva för åtkomst till en e-tjänst. Likaså verkar ramverket vara utgångspunkt när myndigheterna anskaffar e-tjänstelegitimationer. Vid gränsöverskridande användning av e-legitimationer ska emellertid tillitsnivåerna i eIDAS-förordningen tillämpas (se avsnitt 4.2.3). 7.6.7Säker grundidentifiering och möjlighet till id-växling Ett robust och tillförlitligt e-legitimationssystem förutsätter att det går att lita på grundidentifieringen av respektive användare. Det har under kartläggningen tydligt framkommit att för att e-tjänstelegiti- mationer ska kunna användas över organisationsgränserna måste organisationerna känna tillit till den grundidentifiering som sker. Det har vidare framkommit att det kan vara svårt för myndigheter att bedöma de metoder som används samt att grundidentifieringen är invecklad och kostsam för utfärdarna. Den offentliga förvaltningens behov avseende e-legitimation i tjänsten Därtill visar kartläggningen att behovet av att kunna skapa nya elektroniska identitetshandlingar, s.k. id-växling, är stort. En säker grundidentifiering som tillåter id-växling har av många myndigheter framförts som önskvärt eftersom de dels slipper göra en ny grundidentifiering när en ny handling ska skapas, dels kan lita på elektroniska identitetshandlingar eftersom den identifiering som ligger till grund för dem är säker. av de som besvarade uppgav att de har behov av mer information om e-legitimation i tjänsten.12 Denna bild bekräftas av våra kontakter med DIGG, Kammarkollegiet och SKR. Behovet kommer framför allt från mindre aktörer och de frågor som ställs rör allt från kostnader till grundläggande tekniska och juridiska aspekter. Frågor om e-legitimation i tjänsten är också ofta sammankopplad med frågor om elektroniska underskrifter. Det framstår bland vissa aktörer finnas stor begreppsförvirring och en osäkerhet kring vad det är de egentligen behöver. De har därmed svårt att anskaffa rätt tjänster med anknytning till både elektronisk identifiering och elektroniska underskrifter. 12DIGG, E-legitimering inom den offentliga förvaltningen – Enkätundersökning 2019 (dnr 2019-389), s. 24. I är det obligatoriskt för invånare att använda digitala självbetjäningstjänster samt att ta emot digital post från myndigheter.1 NemID är den dominerande e-legitimations- lösningen i och den används av ca 4,7 miljoner personer.2 E-legitimationerna utfärdas av företaget på uppdrag av danska staten.3 pågår arbete med att gå över från NemID till den nya lösningen MitID, som också kommer att utfärdas av Nets DanID. Till NemID är ett register kopplat som innehåller s.k. kärnidentiteter som avser varje person. Varje person har ett unikt nummer och till det numret finns andra uppgifter kopplade, exempelvis personnummer och namn. Det är emellertid inte personnumret som är det unika nummer som används för att identifiera en enskild individ inom ramen för NemID. NemID utfärdas till en person i egenskap av privatperson men den kan också användas inom ramen för en anställning. För anställda finns möjlighet att använda NemID medarbejdersignatur som är ett certifikat som kan användas till att identifiera sig som medarbetare från en verksamhet eller en organisation. Detta ska inte förväxlas med en elektronisk underskrift, men med NemID medarbejdersignatur går det att bl.a. skriva under elektroniskt, logga in i e-tjänster och, i vissa fall, även logga in i interna it-system.4 Genom att använda NemID medarbejdersignatur kopplas identiteten till ett organisationsnummer, som medför att en person kan vidta handlingar på en 1https://en.digst.dk/policy-and-strategy/mandatory-digitisation/self-service/ (hämtad ). 2https://en.digst.dk/digitisation/eid/next-generation-nemid/ (hämtad ). 4www.nemid.nu/dk-da/om-nemid/erhverv/ (hämtad ). organisations vägnar.5 Det finns ca 1,5 miljoner NemID medarbejdersignatur utfärdade. De används främst av offentligt anställda men det finns också användare inom privat sektor. För tillgång till e-tjänster som tillhandahålls av offentliga aktörer, såsom statliga myndigheter och kommuner, finns en gemensam inloggningslösning som heter NemLog-in.6 Genom att använda lösningen behöver användaren endast logga in en gång för att ges tillgång till alla tjänster. Genom att använda NemLog-in går det att koppla ytterligare attribut till det unika nummer som är kopplat till respektive NemID. För den som använder NemID medarbejdersignatur går det alltså att koppla fler attribut än organisationen till identiteten. Läkare eller revisorer i kommuner kan exempelvis autentisera sig utifrån sin yrkesroll för att få tillgång till offentliga register eller andra tjänster som endast personer med rätt behörighet har tillgång till. Attribut om en enskild person kan hämtas från olika källor såsom centrala register (t.ex. danska patientsäkerhetsregistret vad gäller läkare). Dessutom kan arbetsgivare lägga till attribut för sina anställda. Eftersom NemID ska ersättas av MitID pågår arbete med att fasa ut NemID medarbejdersignatur. Den kommer att ersättas med en lösning som benämns MitID Erhverv.7 I har staten tagit ett helhetsansvar vad gäller digitala identiteter och lösningar för autentisering. Det är obligatoriskt för medborgare i och medborgare från andra EU-länder som bor i permanent att ha ett nationellt som tillhandahålls av staten.8 Kortet är försett med ett chip och kan användas som e- legitimation för autentisering gentemot en stor mängd e-tjänster, både offentliga och sådana som tillhandahålls av företag eller andra organisationer. Det finns också lösningar för andra bärare, såsom mobiltelefoner. 5Se följande exempel: loyeesignature/ (hämtad ). 6https://en.digst.dk/digitisation/nemlog-in/ (hämtad ). 7https://migrering.nemlog-in.dk/nemlog-in-erhvervslosning/ (hämtad ). 8www.id.ee/en/rubriik/introduction/ (hämtad ). Med e-legitimationen kan en person identifiera sig. Uppgifter som används i processen är namn och en personidentifieringsuppgift som har flera likheter med svenska personnummer. E-legitimationen används både när en person ska utföra handlingar i egenskap av privatperson och när handlingar utförs som representant för en organisation. Information om roller eller behörigheter för personer finns i olika register, exempelvis inom hälso- och sjukvårdsområdet9 och utbildningsområdet.10 Om en person ska logga in i en e-tjänst i egenskap av representant, t.ex. för ett företag eller för en myndighet, görs en förfrågan från e-tjänsten till aktuellt register. För flera av de register som finns går det, utöver automatiserad behandling, också att göra sökningar. I finns ett antal olika e-legitimationer och i likhet med den svenska marknaden utfärdas dessa bl.a. av banker.11 När det gäller lösningar för organisationer tillhandahåller Myndigheten för digitalisering och befolkningsdata s.k. organisationskort, som är ett smartkort avsett för anställda.12 Kortet är knutet både till organisationen och den anställde och kan bl.a. användas för inloggning i organisationens egna datasystem, inloggning i den offentliga förvaltningens e-tjänster samt som ett led i skapandet av elektroniska underskrifter. Certifikatet innehåller bl.a. den anställdes namn, e-postadress, organisation samt enhet inom organisationen. Om en anställning upphör ska det aktuella kortet spärras. Organisationskort används av många aktörer inom den offentliga förvaltningen i . Enligt uppgift används emellertid även andra lösningar av anställda i tjänsten, t.ex. mobila certifikat för anställda samt privata e-legitimationer.13 Inom områdena socialtjänst och hälsa finns gemensamma lösningar som också tillhandahålls av Myndigheten för digitalisering och befolkningsdata som bl.a. möjliggör autentisering. Exempelvis finns ett yrkeskort som är avsett för yrkesutbildade personer inom dessa områden, t.ex. läkare, farmaceuter, sjukskötare och socio- 9Health Board Registers (Terviseameti Registrid): (hämtad ). 10Estonian (): / (hämtad ). 11Hinsberg, m.fl., Study on , 2020, s. 33. 12https://dvv.fi/sv/organisationskort (hämtad ). 13E-post från , . nomer.14 Det rör sig om yrken för vilka det finns register över de som har rätt att utöva yrket.15 Med kortet kan personer inom de yrken som omfattas autentisera sig i datasystem samt skriva under patientjournaler och recept elektroniskt. Yrkeskortet är avgiftsfritt, men det kan tillkomma en avgift för registrering och kontroll av uppgifter kopplade till beställning av kortet. För personal inom social- och hälsoområdet som inte omfattas av de yrken som kan få yrkeskortet finns ett personal- och aktörskort som kan användas för autentisering i it-system och e-tjänster.16 Statens center för informations- och kommunikationsteknik (Valtori) tillhandahåller systemet Virtu som kan användas av anställda vid myndigheter för att logga in i myndighetens egna tjänster och i tjänster som tillhandahålls av andra myndigheter.17 Systemet syftar till att skapa tillit mellan utfärdare av identiteter och förlitande parter. Ett stort antal myndigheter och e-tjänster är ansluta till systemet.18 IFinland finns även tjänsten Suomi.fi-fullmakter genom vilken privatpersoner, företag och samfund kan ge någon annan fullmakt att sköta ärenden på deras vägnar.19 Det pågår ett projekt för att utveckla den digitala identiteten i Finland.20 Projektet ska pågå fram till mitten av 2023 och ett av målen är att ge alla som behöver möjlighet att identifiera sig elektroniskt i den offentliga förvaltningens tjänster. Detta ska även gälla vid utförandet av arbetsuppgifter. I finns ett antal utfärdare av e-legitimationer. De flesta utfärdas av privata företag men det finns också en lösning som tillhandahålls av den statliga myndigheten . Myndigheten tillhandahåller även en gemensam inloggningslösning 14https://dvv.fi/sv/yrkeskort-for-social-och-halsovarde (hämtad ). 15Exempelvis Registren över yrkesutbildade personer inom social-, hälso- och sjukvården: (hämtad ). 16https://dvv.fi/sv/personal-och-aktorskort-for-social-och-halsovarden (hämtad ). 17https://valtori.fi/sv/administrationstjanster-for-identiteter-och-atkomst (hämtad ). 18https://wiki.eduuni.fi/display/CSCVIRTU/Organisaatiot (hämtad ) samt (hämtad ). 19www.suomi.fi/fullmakter (hämtad ). 20https://vm.fi/sv/digital-identitet (hämtad ). för offentliga e-tjänster som heter ID-porten.21 Lösningen ger tillgång till över 1 000 statliga och kommunala e-tjänster. Den del av e-legitimationsmarknaden som fokuserar på privatpersoner domineras av norska BankID (inte samma lösning som i ), som tillhandahålls av ett antal norska banker.22 Dessa e-legitima- tioner är privata men används enligt uppgift också när anställda ska använda e-tjänster.23 På den norska marknaden finns emellertid också e- legitimationslösningar som är avsedda för användning i tjänsten. Bestämmelser om användning av e-legitimation i tjänsten av anställda vid myndigheter finns i ”forskrift om elektronisk kommunikasjon med og i forvaltningen” (eForvaltningsforskriften).24 Enligt 17 § i nämnd reglering ska myndigheter ge sina anställda anvisningar om vilka säkerhetstjänster och produkter de ska använda och hur de ska gå tillväga för att införskaffa utrustning och sådant som t.ex. certifikat och PIN-koder. Efter anvisning kan alltså anställda själva anskaffa t.ex. e-legitimationslösningar.25 Enligt 19 § första stycket ska data för underskriftsframställning, certifikat och lösenord/PIN- koder som är ämnade för användning i tjänsten inte användas för andra ändamål. Vidare föreskrivs i 19 § andra stycket att personliga certifikat inte ska användas i tjänsten, med undantag för om de är utställda eller godkända för sådan användning. Slutligen krävs vid användning av elektroniska underskrifter enligt 18 § att myndigheten inhämtar samtycke från den anställda om utställande och utleverans av certifikatet. På hälso- och sjukvårdsområdet finns Helsenettet som är en digital plattform för alla aktörer inom sektorn. Genom Helsenettet kan aktörer kommunicera samt utbyta personuppgifter och patientinformation.26 Helsenettet drivs av Norsk helsenett, som är ett offentligt styrt organ som ägs av omsorgsdepartementet. Inom Helsenettet finns en gemensam inloggningslösning som heter HelseID som också fungerar som en identitetsfederation.27 Det går att använda olika e-legitimationslösningar för autentisering i HelseID. 21https://eid.difi.no/index.php/nb/id-porten (hämtad ). 22Hinsberg, m.fl., Study on , 2020, s. 38. 23E-post från Digitaliseringsdirektoratet, . 24FOR-2004-06-25-988: (hämtad ). 25Se t.ex. Buypass för organisationer (bedrifter), som kan beställas av den anställde själv: /produkter/elektroniskID (hämtad ). 26www.nhn.no/ (hämtad ). 27www.nhn.no/samhandlingsplattform/helseid (hämtad ). 9.1Utgångspunkter för utredningens förslag Utredningen har, i den del som är aktuell för slutbetänkandet, i uppdrag att kartlägga och analysera den offentliga förvaltningens behov av åtgärder för att kunna använda e-legitimation i tjänsten samt att lämna förslag på sådana åtgärder. E-legitimationsområdet som helhet är som tidigare konstaterats underreglerat. Detta har i sin tur lett till att det finns många olika lösningar och samarbeten inom e-tjänstelegitimationsområdet men att de olika delarna inte skapar en sammanhållen helhet. I efterföljande avsnitt presenteras de åtgärder vi, med beaktande av de prioriteringar den begränsade utredningstiden medfört, anser behövs för att tillgodose de identifierade behoven och som kan bidra till att skapa ett mer sammanhållet system. Våra förslag utgår vidare utifrån hur det svenska e-legitimations- området är utformat. Identifierade behov hade kunnat tillgodoses genom den typen av mer centraliserad lösning som bl.a. återfinns i och (se mer om dessa lösningar i kapitel 8). Detta hade emellertid krävt genomgripande förändringar som hade haft mycket stor påverkan på både offentlig och privat sektor. Om en sådan utveckling anses önskvärd behöver det enligt vår bedömning därför utredas i särskild ordning. Som framgår av avsnitt 7.2.3 är organisationsöverskridande åtkomst ett av användningsområdena för e-legitimationer i tjänsten. Vad gäller sådan användning är det flera aktörer inom den offentliga förvaltningen som under kartläggningsarbetet betonat att de helst ser att informationsutbyten sker system till system i stället för att medarbetare loggar in i en annan aktörs e-tjänster. Vi ser även att utvecklingen rör sig i denna riktning och att det av olika anledningar är att föredra framför extern autentisering med e-tjänstelegitimationer. Frågeställningar med koppling till sådana utbyten ligger dock utanför ramen för detta utredningsuppdrag. I avvaktan på en sådan övergång är extern autentisering med e-tjänstelegitimationer inom den offentliga förvaltningen dock en nödvändig lösning som det kommer finnas behov av framöver. Vi har i delbetänkandet berört frågan om digital delaktighet.1 Det får, utifrån de olika författningar som berör tillgänglighet och diskriminering i arbetslivet, förutsättas att de e-legitimationer som används i tjänsten uppfyller sådana tillgänglighetskrav att en ökad användning av e-tjänstelegitimationer inte utesluter vissa grupper från att nyttja dem. 9.2Användning av privata e-legitimationer i tjänsten Utredningens bedömning: Användning av privata e-legitimationer i tjänsten är tillåten men det kräver att det finns en överenskommelse om detta. Privata e-legitimationer i tjänsten bör endast användas när det inte är möjligt att använda e-tjänstelegitimationer för att fullgöra en arbetsuppgift eller när det av annan anledning är befogat. Skälen för utredningens bedömning Det har funnits frågor kring lämpligheten av användning av privata e-legitimationer i tjänsten. Utredningens kartläggningsarbete visar att både e-tjänstelegitimationer och privata e-legitimationer används av anställda eller uppdragstagare i den offentliga förvaltningen. Utredningen om effektiv styrning av nationella digitala tjänster bedömde att arbetsgivare som ställer krav på elektronisk identifiering för att en individ ska kunna utföra sina arbetsuppgifter också ska förse individen med det medel som krävs för att göra detta. Samt att en elektronisk identitetshandling som arbetstagare använder i tjänsten är att betrakta som ett verktyg för tjänsten. Om en arbetsgivare kräver att anställda ska använda privata e-legitimationer krävdes det enligt utredningens bedömning att det 1Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen (SOU 2021:9), s. 138 ff. framgår av anställningsavtalet. Flera remissinstanser, framför allt inom den kommunala sektorn, motsatte sig denna bedömning. I samband med vår kartläggning har vi också kommit i kontakt med aktörer som anser att användning av privata e-legitimationer bör vara tillåten. Det är även tydligt i våra kontakter med offentliga aktörer, arbetsgivarorganisationer och centrala fackliga organisationer att detta är en fråga som aktualiseras med jämna mellanrum. Vi ser det därför som påkallat att närmare gå igenom de olika aspekter som aktualiseras vid användning av en privat e-legitimation i tjänsten. Den personuppgiftsbehandling som sker vid användning av privata e-legitimationer är vanligtvis en överföring av namn och personnummer till den förlitande parten. Om e-legitimationen använts för identifiering för att sedan underteckna en handling elektroniskt är dessa uppgifter även i regel möjliga att ta del av från den undertecknade handlingen och alla som har tillgång till den. Detta gäller emellertid inte om underskriftstjänsten är utformad på ett sådant sätt att dessa uppgifter inte inkluderas i underskriften. Personnummer och samordningsnummer utgör inte känsliga personuppgifter i dataskyddsförordningens mening, men har ändå getts en särställning genom att medlemsstaterna med stöd av artikel 87 getts möjlighet att införa särskilda villkor för behandlingen. Villkoren ska i sådana fall säkerställa att identifikationsuppgifterna bara får användas med iakttagande av lämpliga skyddsåtgärder för de registrerades fri- och rättigheter.2 I har en sådan bestämmelse förts in i 3 kap. 10 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (härefter dataskyddslagen). Av paragrafen framgår att personnummer och samordningsnummer endast får behandlas utan samtycke när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Bestämmelsen motsvarar den som återfanns i 22 § i den numera upphävda personuppgiftslagen (1998:204). I 3 kap. 11 § dataskyddslagen anges att regeringen får meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och sam- 2017/18:105, s. 101. ordningsnummer är tillåten. Några sådana föreskrifter har i skrivande stund inte meddelats. En bestämmelse om behandling av personnummer och samordningsnummer kan, oavsett om den tas in direkt i sektorsspecifik lag eller i förordning med stöd av bemyndigandet, tillåta behandling i andra fall än de som tillåts enligt den föreslagna bestämmelsen i dataskyddslagen. En avvikande bestämmelse måste dock leva upp till förordningens krav på lämpliga skyddsåtgärder för de registrerades fri- och rättigheter.3 Av förarbetena till 3 kap. 10 § dataskyddslagen framgår att bestämmelsen innebär att en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär ska göras. Omständigheter som bör tillmätas betydelse vid intresseavvägningen är exempelvis om det eftersträvade syftet med behandlingen kan uppnås på annat sätt, behandlingens omfattning och om den förutsätter samkörning av register. Bestämmelsen bör enligt förarbetena även tolkas och tillämpas på ett likartat sätt som 22 § personuppgiftslagen. Praxis kring tillämpningen av bestämmelsen i personuppgiftslagen bör således vara vägledande.4 har med beaktande av bestämmelsen uttalat att personnummer bör exponeras så lite som möjligt.5 Bestämmelsen i 3 kap. 10 § dataskyddslagen rör när behandling utan samtycke är tillåten. Det bör noteras att arbetsgivare i de flesta fall inte kan använda sig av samtycke som rättslig grund vid behandling av arbetstagares personuppgifter.6 Vid användning av en privat e-legitimation är det enligt vår bedömning inte självklart vem som har personuppgiftsansvaret för den behandling som sker. Det är de faktiska omständigheterna i det enskilda fallet som avgör vem som är personuppgiftsansvarig. har framfört att arbetsgivaren måste se till att all behandling av personuppgifter som utförs i tjänsten uppfyller dataskyddsförordningens krav, t.ex. i fråga om ändamål med behandlingen, gallring och säkerhet. Detta gäller enligt oavsett om behandlingen sker på arbetsplatsen, i hemmet eller på en tjänsteresa. 2017/18:105, s. 199. 5www.imy.se/verksamhet/dataskydd/det-har-galler-enligt-gdpr/introduktion-till- gdpr/personuppgifter/personnummer/ (hämtad ). 6www.imy.se/verksamhet/dataskydd/dataskydd-pa-olika-omraden/arbetsliv/tillaten- behandling--vilka-krav-galler/rattslig-grund/ (hämtad ). behöver därför enligt myndigheten lämna tydliga instruktioner som beskriver hur de anställda får behandla personuppgifter.7