esam juridik Samverkan mellan myndigheter och SKL om digitaliseringen av det offentliga Sverige

Transkript

1 esam juridik Samverkan mellan myndigheter och SKL om digitaliseringen av det offentliga Sverige Juridisk vägledning för införande av e-legitimering och e-underskrifter E-legitimationsdagen 2017 Per Furberg

2 esam är medlemsdrivet Ett samverkansprogram för digitalisering 21 medlemmar (20 myndigheter och SKL) Finansieras med årliga medlemsavgifter Pensionsmyndigheten värdmyndighet 2

3 Kort om esam

4 esam - Fokus för juridikarbetet första året (2016) 1. Vägledning Outsourcing och sekretess beslut januari Från ett JO-uttalande Rättsliga uttalanden om röjande och sekretess enligt 40:5 2. Vägledning Eget utrymme beslut mars Rättsligt uttalande om 40:5 OSL i maj? 3. Vägledning Utlämnande i elektronisk form beslut maj LEFI online (när föreligger direktåtkomst/allmän handling) Därefter ett omfattande och komplext arbete rörande e-legitimering och e-underskrifter 4

5 Rättsligaexpertgruppenm.fl. i här aktuell vägledning 5

6 Problemet Det behövs 1. ett sammanhållet e-legitimationssystem Svensk e-legitimation blev inte av Det blev olika legitimeringslösningar Det blev olika upphandlingssätt Det blev olika kravspecifikationer 2. en sammanhållen lösning för undertecknande E-legitimationsnämndens lösning för underskriftstjänst blev inte av Det blev olika lösningar (direkt/indirekt och olika specar) Det blev olika upphandlingssätt (olika system) 3. en gemensam juridisk förklaringsmodell för legitimering/underskrift Hur sorteras det som i praktiken etablerades in under gällande rätt t.ex. beträffande straffansvar vid missbruk? esams grundläggande vägledning 6

7 Uppmärksammat redan av Nu upprepa och utvidga den grundläggande vägledningen för förra e-legitimationssystemet 7

8 Förutsättningarna har ändrats A) Rättsutredning av E-legitimationsnämnden år 2011 B) SAML 2.0 biljetter Vad är det i juristens ögon? identitetsintyg C) Underrättelse från BankID-bankerna år

9 Den nya vägledningenssyfte Att underlätta förståelse och samsyn E-legitimering och e-underskrift är komplexa funktioner Att förklara hur dessa funktioner är uppbyggda, vilka rättsfrågor som aktualiseras och i vissa delar hur de kan lösas vilka säkerhetsåtgärder som behöver vidtas hur ansvar kan utkrävas vid missbruk och vad som behöver göras för att säkerställa juridiskt ansvar 9

10 esam juridik fann en delvis ny rollfördelning utfärdare av e-leg förser användare med (inte bara) e-leg (utan även) en legitimeringsfunktion (jfr app för Mobilt BankID styrs till en tjänst från e-tjänsten) leverantör av identitetsintyg gör dessutom kontroller i en identifierings- och intygsfunktion (4.9) och förser förlitande part med identitetsintyg (4.10) 10

11 Strukturen visade sig se ut såhär från ett juridisk perspektiv Kan vara samma aktör då enklare Har användargränssnitt Inte användargränssnitt Har användargränssnitt

12 Nytt direkt eller indirekt leverans Direkt leverans = bara en aktör som kontrollerar och intygar (exempel bank) förlitande myndighet använder det materialet Indirekt leverans = först en aktör som kontrollerar och intygar (typ en bank), därefter en annan aktör som kontrollerar och gör ett nytt intyg (exempel CGI, Visma och Cybercom)

13 Legitimering leverans direkt Utfärdaren av e-leget en legitimeringsfunktion Ofta samma part Leverantör av identitetsintyg identifierar och intygar Användaren förs hit och aktiverar) CGI/Visma/Cybercom Tillhandahållare av e- tjänst kontrollerar intyget och släpper in ANVÄNDARE av e-tjänst Förlitande part förser med eget utrymme Väljer e-leg

14 Legitimering leverans indirekt Ofta samma part Utfärdare av e-leg med legitimeringsfunktion Leverantör 1 av identitetsintyg identifierar och intygar Leverantör 2 av identitetsintyg kollar intyg gör nytt intyg Användaren förs hit och aktiverar) Tillhandahållare av e- tjänst kontrollerar intyget och släpper in ANVÄNDARE av e-tjänst Förlitande part förser med eget utrymme Väljer e-leg

15 Ny rollfördelning för underskrift Strukturen ser ut såhär 15

16 Avtal, roller och ansvar (kap. 7) 7.1 Parter Aktörernas mellanhavanden vid legitimering och underskrift regleras genom avtal Följande aktörer kan vara parter i dessa avtal: (1) Användare (2) Förlitande part (3) Utfärdare av e-legitimation (4) Leverantör av identitetsintyg (5) Leverantör av underskriftstjänst (6) Myndigheter med en samordnande roll (7) Underleverantörer till 2-6

17 I många fall är två eller tre av dem samma juridiska person Utfärdare av e-legitimation (legitimeringsfunktion) Leverantör av identitetsintyg Leverantör av underskriftstjänst E-legnämnden Kammark. Samordnare ANVÄNDARE av e-tjänst Förlitande part (2) förser med eget utrymme

18 Alltså ser det ut såhär 7.1 Parter (1) Användare. (2) Förlitande part. (3) Utfärdare av e-legitimation. (4) Leverantör av identitetsintyg. (5) Leverantör av underskriftstjänst. (6) Myndigheter med en samordnande roll. (7) Underleverantörer till 2-6. Vilka avtal blir då aktuella?

19 7.2 Grundläggande typer av avtal Genom följande typer av avtal etablerar parterna de e- legitimations- och underskriftssystem som numera används: A. Användare (1), som upprättar utkast i eget utrymme, sluter avtal om eget utrymme med förlitande part (2). B. Användare (1), som legitimerar sig och skriver under elektroniskt, sluter e-legitimationsavtal med utfärdare av e-legitimation (3). C. Förlitande part (2), som identifierar användare och kontrollerar om underskrifter är äkta, sluter förlitandeavtal med leverantör av identitetsintyg (4). D. Förlitande part (2), som beställer underskrifter, sluter avtal om underskriftstjänst med leverantör av underskriftstjänst (5). I praktiken dock avtalsdokument för olika kombinationer av tjänster vanliga (vilka tjänster ingår i en viss myndighets avtal och hur är en tjänst reglerad?)

20 Avtalen ska reglera två områden Dels de rättshandlingar som utförs med stöd av e-legitimationssystemet Dels tillhandahållandet av tjänster för legitimering och underskrift Det är alltså inte bara fråga om att utkontraktera funktioner eller att köpa tjänster i it-miljö De olika avtalstyperna beskrivs i vägledningen Där beskrivs att komplexa avtalskonstruktioner och villkor behöver förenklas och förtydligas

21 Rättsfrågorna beskrivs från ett helhetsperspektiv Urkundsbrotten anpassades för e-leg 2013; bl.a. missbruk av urkund genom att ge sig ut för att vara någon annan (15 kap. 12 BrB) Förnekande av underskrift (15 kap. 13 BrB) Viktigt att ta tillvara straffskyddet pga nya missbruk (se kap. 8) Ett systematiskt informationssäkerhetsarbete (kap. 9) Bevarande och gallring (kap. 10) Persondataskydd (kap. 11) eidas-förordningen (kap. 12)

22 I vägledningen beskrivs också vad myndigheter och andra bör göra Praktiska råd och rekommendationer för att samordna och underlätta i (kap. 13) Uppdelat i tre delar med checklistor som stöd för införande av e-legitimering, införande av e-underskrifter, och hantering av bevarande och gallring Råden och rekommendationerna tar höjd för såväl de juridiska som de säkerhetsmässiga perspektiven Grunden för råden och rekommendationerna finns i vägledningens tidigare kapitel