sou · H9B362 · 2021-06-29 00:00:00 — Det svenska tillitsramverket ställer för tillitsnivå 3 och 4 krav som medför att användaren måste ha ett svenskt personnummer, eller samordningsnummer som bygger på styrkt identitet, för att kunna få en e-legitimation som är godkänd på dessa nivåer eftersom en kontroll måste göras mot ett officiellt register. Det är e-legitima- tionsutfärdaren som ska visa för DIGG att utfärdandet görs baserat på tillräcklig grundidentifiering. Till följd av svårigheter med att identifiera personer med samordningsnummer krävs det oftast i praktiken personnummer. Avsaknad av personnummer skapar utanförskap för olika grupper i samhället. Detta kan gälla både nyanlända och unionsmedborgare. Vad gäller unionsmedborgare har återkommande fått kritik för de hinder för den fria rörligheten som de ofta förekommande kraven på personnummer skapar.43 Mot bakgrund av klagomålen har kommissionen i ett s.k. EU-pilotärende ställt ett antal frågor till svenska myndigheter.44 Regeringen har med anledning av detta åtagit sig att utreda vilka möjligheter det finns att bättre säkerställa att unionsmedborgare hanteras i enlighet med bestämmelserna om fri rörlighet. Inom ramen för ett annat EU-pilotärende har kommissionen även ställt liknande frågor rörande tredjelandsmedborgare.45 har i en rapport om hinder för den fria rörligheten för EU-medborgare funnit att digitaliseringen av samhällstjänster förstärker personnumrets betydelse eftersom det lett till att personnumret efterfrågas i allt fler sammanhang. Myndigheten lyfter även den ökade användningen av e-legitimationer som kräver personnummer som ett hinder.46 Något som även bekräftas av vår kartläggning där det framgår att detta skapar problem då anställda utan personnummer inte kan få tillgång till för tjänsten centrala e-tjänster som kräver autentisering med en e-legitimation (se mer om detta i avsnitt 7.6.4). 43Se bl.a. , Genereldirektoratet för intern politik, Hinder för rätten att fritt röra sig och att fritt uppehålla sig för unionsmedborgare och deras familjer: för , 15juni 2016, s. 15 ff. och , Regler och rutiner i folkbokföringsärenden, , s. 8 f. 44Fi2016/03726/S3. 45Fi2019/03178/S3. 46Kommerskollegium, Att flytta till – hinder för den fria rörligheten för EU-medborgare (2013:8), , s. 13. Nuvarande tillitsramverk gäller för både privata e-legitimationer och e-tjänstelegitimationer och någon åtskillnad görs inte mellan vilken typ av e-legitimation det rör sig om. Vad gäller utfärdande av giltiga fysiska id-handlingar godtas exempelvis pass utfärdade av andra EU-länder samt , , och som identitetshandling både vid utfärdande av identitetskort för folkbokförda i samt i samband med förarprov som är den identifiering som sker inför utfärdande av körkort. Även pass från godtas vid förarprov.47 I fråga om tjänstekort som utfärdas av statliga eller kommunala myndigheter framgår av 7 § PMFS 2020:4 att sökanden bl.a. kan styrka sin identitet med EU-pass eller pass utfärdat av , , eller . Både vid utfärdande av vissa svenska identitetshandlingar samt statliga eller kommunala myndigheters tjänstekort godtas således identifiering med pass utfärdade av andra EU-länder samt , , eller . Krav på koppling till officiella register som indirekt innebär krav om innehav av personnummer kan vara befogat vad gäller privata e-legitimationer. Vad gäller e-tjänste- legitimationer har dessa emellertid ett mycket mer begränsat användningsområde vilket minskar riskerna för missbruk avsevärt i motsats till privata e-legitimationer. Vi anser därför att det kan ifrågasättas om inte identifiering vid utfärdande likt ovan angivna exempel åtminstone borde godta EU-pass samt pass utfärdat av , , eller och att någon annan unik personidentifieringsuppgift med koppling till ett register (t.ex. hos arbetsgivaren) hade kunnat användas i stället för personnummer. Detta hade även undanröjt ett befintligt hinder mot den fria rörligheten för EU-medborgare som tillitsramverkets krav på personnummer medför. Av kartläggningsarbetet har framgått att behoven även gäller personer som inte är medborgare i antingen ett EU-land respektive , , eller . Det bör därför utredas om även andra utländska passhandlingar bör godtas under förutsättning att de bedöms tillförlitliga.48 474 § föreskrifter om identitetskort (SKVFS 2009:14) och 2 kap. 2 § Transportstyrelsens föreskrifter och allmänna råd om förarprov, gemensamma bestämmelser (TSFS 2012:41). 48Vad gäller tillförlitlighet se t.ex. /Privatpersoner/Bli-svensk- medborgare/Medborgarskap-for-vuxna/Styrkt-identitet/Migrationsverkets-bedomning-av- identitetsdokument.html (hämtad ). 9.7En framtida lösning för attributshantering Utredningens bedömning: En framtida lösning för attributshantering bör i huvudsak bygga på att attributen med behörighetsinformation tillhandahålls av arbets- eller uppdragsgivaren. Skälen för utredningens bedömning I flertalet e-tjänster räcker det inte med att en användare autentiserar sig utan det kan även krävas vissa andra attribut för att tillgång till tjänsten ska ges. Attributen kan vara sådana som framkommer direkt av identitetsintyget, som personnummer för privatpersoner eller koppling till arbetsgivare eller anställd respektive uppdragstagare vid användning i tjänsten. Det har under vårt kartläggningsarbete framkommit att förlitande parter inom förvaltningen, när e-tjänstelegi- timationer används, har det gemensamma behovet att få information om både användaren och organisationen som denne företräder. Utöver den informationen är det däremot svårare att identifiera om och i så fall vad förlitande part behöver för information om användaren av en e-tjänst. Vissa har angett att person och organisation räcker medan andra har indikerat att de behöver mer information än så, exempelvis mer specifik information om var i en organisation personen är anställd. För att e-tjänstelegitimationer ska kunna möta behoven hos förlitande parter kan de därmed behöva förenas med ytterligare attribut. Det finns olika möjliga sätt att lösa attributs- och behörighetshanteringen. Det kan ske genom centrala register, lokala register i respektive e-tjänst eller genom att användarens uppdragsgivare tillhandahåller informationen. Vi anser att den sistnämnda lösningen är den önskvärda. Det finns sektorer med centrala register såsom hälso- och sjukvården via . Det finns även vissa attribut där det kan vara lämpligt att dessa tillhandahålls på nationell nivå, exempelvis uppgifter om firmatecknare. För att hanteringen av attribut ska bli så enhetlig och effektiv som möjligt kan det vara nödvändigt att närmare reglera hanteringen och lösningen i föreskrifter. DIGG kan meddela sådana föreskrifter med stöd av bemyndigandet avseende krav på e-tjänstelegitimationer i systemet och krav avseende förlitande parter. Det är enligt vår upp- fattning generellt olämpligt att skapa stora nationella register över anställda och deras roller, såväl ur säkerhetssynpunkt som utifrån skyddet av den personliga integriteten. Att underhålla behörighetsinformation gällande en organisations anställda och uppdragstagare samt deras respektive roller är därtill ett omfattande arbete som kräver regelbundna uppdateringar. Det är därför olämpligt att sprida ut behörighetsinformationen i flera register och källor som behöver underhållas, särskilt då de finns hos andra organisationer. Behörighetsinformation är en färskvara som behöver underhållas av den organisation som en anställd eller uppdragstagare företräder. viatt behörighetsinformation och attribut bäst tillhandahålles av arbetsgivaren eller uppdragsgivaren. För att detta ska fungera behöver det finnas en infrastruktur för att tillhandahålla attribut och för att en förlitande part ska kunna ta emot och använda attributen. En sådan lösning kommer också att kräva att varje offentlig aktör som vill att sina anställda eller uppdragstagare ska kunna använda e-tjänstelegitimationer i systemet har en fullgod behörighetshantering. Det framtida arbetat på området behöver vidare beakta den utveckling som sker inom EU. I kommissionens förslag till ändringar ieIDAS-förordningen föreslås en ny betrodd tjänst, elektronisk attestering av attribut (”electronic attestation of attributes”).49 Tjänsten är enligt förslaget tänkt att användas tillsammans med den föreslagna digitala identitetsplånboken (se mer om förslaget i avsnitt 4.2.5). Enligt förslaget ska attribut kunna hämtas för att användas tillsammans med den digitala identitetsplånboken. Kvalificerade betrodda tjänster för elektronisk attestering av attribut ska på förfrågan från användare kunna verifiera attributen som ska kunna hämtas elektroniskt från en autentisk källa på nationell nivå som tillhandahålls av offentlig förvaltning eller via en utsedd källa, som t.ex. folkbokföringsregistret. De attribut som ska kunna tillhandahållas på detta sätt listas i bilaga VI till förslaget och inkluderar bl.a. adress, ålder, kön, nationalitet, professionella- och utbildningskvalifikationer, titlar och licenser m.m. 49COM(2021) 281 final. 9.8Ökat stöd avseende användning av e-tjänstelegitimationer Utredningens bedömning: Det bör ges mer stöd till den offentliga förvaltningen vad avser användning av e-tjänstelegitimationer. Skälen för utredningens bedömning Som framgår av avsnitt 7.6.8 finns det ett behov av ökat stöd inom e-tjänstelegitimationsområdet. Det stöd som behövs gäller i huvudsak grundläggande vägledning med koppling till både tekniska och juridiska frågor. Det är vidare framför allt mindre aktörer inom den offentliga förvaltningen som har behov av sådant stöd. DIGG har enligt 3 § 2 förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning i uppgift att främja användningen av elektronisk identifiering och underskrift. Vi har i delbetänkandet föreslagit att DIGG ska få en utökad roll vad avser att främja användningen av betrodda tjänster.50 För det stöd som avser de tekniska aspekterna rörande betrodda tjänster bedömde viatt myndighetens anslag, genom tillskott via reformutrymmet, behövde ökas med motsvarande två årsarbetskrafter eller tre miljoner kronor.51 DIGG:s anslag ökades även med för att finansiera att myndigheten ska ge ett rättsligt stöd till den offentliga förvaltningen.52 Utifrån DIGG:s befintliga uppgift att främja användningen av elektronisk identifiering och då tekniska frågor rörande e-tjänste- legitimationer ofta är sammankopplade med användning av elektroniska underskrifter bedömer vi att DIGG, med de ökade anslag vi föreslår i delbetänkandet, bör kunna möta upp det behov av ökat stöd som finns vad gäller de tekniska aspekterna. De juridiska frågorna bör därtill kunna hanteras inom ramen för det ökade rättsliga stöd DIGG nu ska erbjuda. Mot denna bakgrund lämnar vi inget förslag vad gäller ökat stöd. 50Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen (SOU 2021:9), s. 199 ff. 2020/21:1 Utgiftsområde 22 s. 117. 9.9Bättre förutsättningar för id-växling Utredningens bedömning: En statlig e-legitimation som kan användas för id-växling bör i enlighet med förslaget års ID-kortsutredning införas för att skapa förutsättningar för enklare och billigare utfärdande av e-tjänstelegitimationer samt en mer diversifierad marknad. Skälen för utredningens bedömning Som framgår av avsnitt 5.6 föreslog ID-kortsutredning att skulle ha ansvaret för grundidentifiering och utfärdande av statliga fysiska identitetshandlingar, dvs. pass och statligt identitetskort. Utredningen föreslog även att skulle utföra grundidentifiering samt utfärdande av den statliga e- legitimationen som enligt utredningens förslag, efter ansökan, skulle finnas på det statliga identitetskortet. Utredningen lyfte även fram att e-legitimationen hade kunnat användas för id-växling.53 Förslaget bereds inom . Det finns begränsade möjligheter att genomföra id-växling då e-legitimationsutfärdaren måste godkänna detta. ID-korts- utredning konstaterade att det är både kostsamt och svårt att utföra grundidentifiering. Vi delar denna bedömning och olika utfärdare har också påtalat olika utmaningar vad avser grundidentifiering. Det är även en väldigt kostsam hantering som skapar en hög tröskel för inträde på marknaden för både utfärdare av privata e-legitimationer och e-tjänstelegitimationer. Att arbetsgivare i förhållande till e-legitimationsutfärdaren kan ikläda sig delansvaret för att grundidentifiera användaren i samband med ansökan om utfärdande av en e-tjänstelegitimation är något vi under kartläggningen stött på frågor kring. E-legitimationsutfärdare har sett ett antal praktiska och juridiska problem med en sådan hantering. Dessa problem innefattade bl.a. möjligheterna att upprätthålla den processmässiga och tekniska standarden , möjligheten att göra brottsregisterutdrag kring den personal som ska utfärda en e-legitimation, att medarbetare utsätts för ökad hotbild samt ansvarsfrågan – det vill säga ifall en offentlig aktör vill lägga 53Ett säkert statligt – med e-legitimation (SOU 2019:14), s. 321 f. ansvaret på en enskild medarbetare att utfärda en identitetshandling som kan användas till en lång rad känsliga och värderelaterade ärenden. Vi ser sammanfattningsvis att en statlig e-legitimation som kunde användas för id-växling avsevärt hade förenklat utfärdandet av e- tjänstelegitimationer och minskat kostnaderna. Det skulle även sänka tröskeln för marknadsinträde för nya utfärdare och därigenom leda till en mer diversifierad marknad än . Det hade därtill väsentligen underlättat utfärdande av e-legitimationer i samband med en sådan situation som föreligger under pandemin eftersom utfärdandet hade kunnat ske helt och hållet på distans om id-växling kunnat ske från en statlig e-legitimation. Ett nollalternativ innefattar en bedömning av vad som händer om de i betänkandet föreslagna åtgärderna inte genomförs. Både Utredningen om effektiv styrning av nationella digitala tjänster och konstaterade att den digitala utvecklingen har begränsningar vad gäller förutsebarhet.1 Vi delar denna bedömning. Det är av denna anledning svårt att bedöma påverkan av ett nollalternativ på . I synnerhet då det, som framgår av avsnitt 9.1, är så att den önskade utvecklingen inom den offentliga förvaltningen är att röra sig från utbyten som sker genom extern inloggning med e-legitimationer till utbyten som sker från system till system. Detta ligger emellertid framåt i tiden och det är givetvis svårt att med exakthet bedöma hur detta kommer ta eller om det ens realiseras fullt ut. Ett nollalternativ skulle troligen innebära en bibehållen eller ökad användning av privata e-legitimationer i tjänsten. Något vi med beaktande av de aspekter det redogörs för i avsnitt 9.2 ser som negativt. Ett genomförande av förslagen i DIGG:s rapport om eID för medarbetare skulle kunna leda till en ökad användning av e-tjänste- legitimationer.2 Den avtalsmodell som föreslås i rapporten bygger dock på frivillighet och det riskerar att resultera i en låg anslutningsgrad eller en långsam anslutningstakt som medför att de avsedda effekterna med förslaget inte uppnås. 1reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 433 och Juridik som stöd för förvaltningens digitalisering (SOU 2018:25), s. 521. 2DIGG, eID för medarbetare – Förstudierapport inom byggblock Identitet i regeringsuppdraget Att etablera en förvaltningsgemensam infrastruktur för informationsutbyte (dnr 2019-582), . Dagens lösningar för att möjliggöra organisationsöverskridande elektronisk kommunikation inom den offentliga förvaltningen är förenad med kostnader. Det rör sig bl.a. om kostnader för tekniska integrationer och för hantering, exempelvis behörighetshantering. Vi har inte haft möjlighet att bilda oss en heltäckande bild av hur stora dessa kostnader är. Dessa kostnader finns inte minst i integrationen mellan respektive myndighets autentiseringslösningar och centrala system som t.ex. sådana system som tillhandahålls av Statens servicecenter där anpassningar mot respektive myndighet som ansluter sker . Om förslaget från kommissionen om ändringar i eIDAS-förord- ningen genomförs kan det även leda till att den europeiska digitala identitetsplånboken används för organisationsöverskridande åtkomst i den offentliga förvaltningen (se mer om förslaget i avsnitt 4.2.5). 10.2Konsekvenser för kommuner och regioner I 14 kap. 3 § regeringsformen anges att en inskränkning i den kommunala självstyrelsen inte bör gå utöver vad som är nödvändigt med hänsyn till de ändamål som föranlett den. En lagstiftning som ställer upp krav för en verksamhet minskar generellt sett kommunernas möjligheter att själva göra prioriteringar i sin verksamhet. Vi bedömer att förslagen i detta betänkande inte får några konsekvenser för den kommunala självstyrelsen. Förslagen i detta betänkande innebär inte heller några kommunalekonomiska konsekvenser som enligt den kommunala finansieringsprincipen ska kompenseras genom anslag på statens budget. 10.3Konsekvenser för brottsligheten och det brottsförebyggande arbetet En ökad användning av e-tjänstelegitimationer i stället för enklare former av autentisering kommer leda till ökad informationssäkerhet och kan därigenom ha viss brottsförebyggande effekt. E-tjänstelegitimationer har vidare inte lika många användningsområden som privata e-legitimationer vilket borde betyda att de är mindre intressanta för kriminella att få åtkomst till än privata e-legi- timationer. En e-tjänstelegitimation kommer även att spärras i samband med att någon avslutar en anställning eller ett uppdrag vilket innebär att den spärrade e-legitimationen inte kan användas för åtkomst till andra organisationers e-tjänster. används ofta privata e-legitimationer tillsammans med för e-tjänsten lokalt lagrad behörighetsinformation vilket innebär att om inte de lokala behörighetsuppgifterna i den externa e-tjänsten ändras kan en tidigare anställd eller uppdragstagare fortfarande komma åt information i dessa e-tjänster och verka i sin då tidigare uppdragsgivares namn. Vi bedömer att förslagen inte får några direkta konsekvenser för sysselsättningen. 10.5Konsekvenser för offentlig service i olika delar av landet Vi bedömer att förslagen inte får några direkta konsekvenser för offentlig service i olika delar av landet. 10.6Konsekvenser för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags samt konsekvenser för företag i stort Av 15 § i kommittéförordningen (1998:1474) följer att konsekvenserna av förslagen för små företag särskilt ska anges om de har betydelse för denna grupp. Utredningen ska enligt direktiven även särskilt ange konsekvenser för företag i form av kostnader och ökade administrativa bördor. Nedan presenteras konsekvenserna för små företag. Det som anges om kostnader och administrativ börda kan också appliceras på medelstora och stora företag. Givetvis med den skillnaden att kostnader och administrativa bördor får anses vara mindre betungande för dessa företag. Att som utfärdare av e-tjänstelegitimationer ha med sin e-tjänste- legitimation i det föreslagna systemet kommer sannolikt att vara attraktivt eftersom det troligen kommer uppställas som ett krav från de flesta aktörer i offentlig förvaltning vid anskaffning av e-tjänste- legitimationer. Även om de krav som kommer att gälla för godkännande inte fastställs i betänkandet kommer det att vara förenat med vissa kostnader då DIGG kommer ges möjlighet att ta ut en avgift för den granskning som krävs och en viss administrativ börda tillkommer även i samband med ett sådant förfarande. bedöms det underlätta marknadsinträde och öppna upp möjligheten för den som är ansluten till systemet att utöka sin kundkrets. Utöver e-legitimationsutfärdare berörs också andra företag av vårt förslag om ett system för erkännande, eftersom vi föreslår att även privata utförare inom främst utbildnings-, vård- och omsorgssektorerna ska kunna använda systemet. För dessa företag innebär tillgång till systemet en möjlighet att kunna använda de e-tjänster som tillhandahålls av statliga myndigheter utan att anställda eller uppdragstagare behöver använda sig av privata e-legitimationer. Det är enligt vår uppfattning svårt att bedöma exakt hur många företag som omfattas av denna möjlighet. Vi kan emellertid konstatera att det enligt finns drygt 4 100 fristående förskolor och skolor i Sverige3 och att det enligt Vårdföretagarna fanns närmare 15400 vårdföretag år 2018.4 Av vårdföretagen hade strax färre än 10 anställda. Vi bedömer att våra förslag avseende systemet inte omfattas av krav på upphandling i enlighet med lagen (2016:1145) om offentlig upphandling. Däremot behöver de aktörer som omfattas av lagen, såsom statliga myndigheter, kommuner och regioner, beakta och ta ställning till bestämmelserna när de anskaffar e-tjänstelegitimationer till anställda och uppdragstagare. 3Friskolornas riksförbund, Fakta om friskolor (2021), s. 6. 4Vårdföretagarna, 2020, s. 17. 10.7Konsekvenser för jämställdheten mellan män och kvinnor Förslagen bedöms inte få några konsekvenser för jämställdheten mellan män och kvinnor. 10.8Konsekvenser för att nå de integrationspolitiska målen Vi bedömer att förslagen inte får några negativa konsekvenser för att nå de integrationspolitiska målen. Vi bedömer att förslagen är förenliga med . Våra förslag påverkar inte kravet på erkännande av utländska e-legitimationer som föreskrivs i artikel 6 i eIDAS-förordningen. Förslagen står heller in i strid med förordningens bestämmelser. Vidare bedömer vi att förslagen är förenliga med bestämmelserna om fri rörlighet i Fördraget om Europeiska unionens funktionssätt. Förslaget om att tillitsramverket ska ses över med beaktande av bl.a. de svårigheter som finns för individer utan personnummer att få tillgång till e-tjänste- legitimationer bedömer vi därtill kan få en positiv inverkan på möjligheten att utöva den fria rörligheten. Vi bedömer att våra förslag inte behöver anmälas till kommissionen enligt de procedurer som fastställs i direktiv (EU) 2015/1535 eller i direktiv /123/EG (tjänstedirektivet). Framtida myndighetsföreskrifter kan emellertid omfattas av krav på anmälan i enlighet med dessa direktiv, något som DIGG måste beakta i sitt fortsatta föreskriftsarbete. 10.10 Närmare om konsekvenserna för enskilda förslag 10.10.1Krav om att statliga myndigheter ska tillhandahålla e-tjänstelegitimationer till sina anställda finns det enligt myndighetsregister sammanlagt 346 statliga myndigheter i och 205 utlandsmyndigheter fördelade enligt tabellen nedan.5 Av dessa ligger fem under och omfattas således inte av förslaget. Tabell 10.1 Svenska statliga myndigheter och utlandsmyndigheter Det är förenat med kostnader för en myndighet att förse anställda och uppdragstagare med e-tjänstelegitimationer. Av kartläggningen framgår att många statliga myndigheter tillhandahåller e-tjänstelegitimationer till sina anställda och att vissa har långt framskridna planer om att göra det. Uppgifter saknas emellertid om exakt hur många av de berörda myndigheterna som redan tillhandahåller e-tjänstelegitimationer. Hur kostnadsbilden ser ut beror dock på ett antal faktorer, t.ex. hur många anställda och uppdragstagare myndigheten har samt vilken eller vilka bärare som ska användas. Vidare kan det tillkomma kostnader i form av anpassning av befintliga system och utbildning av de anställda. Exakt vilka kostnader det rör sig om är således förenat med viss osäkerhet och beror dessutom på vilken utfärdare eller vilka leverantörer myndigheten väljer att använda sig av och det pris som myndigheten får betala. Utifrån våra kontakter med utfärdare av e-tjänstelegitimationer beräknas kostnaden ligga inom spannet till per e-tjänstelegitimation. Det förekommer också att det för 5www.myndighetsregistret.scb.se/Myndighet (hämtad ). större kunder sätts ett tak för hur hög den månatliga kostnaden kan bli oavsett antal användare.