Bakgrund

1. Det som går under beteckningen "tillitsmärken" är en joker i leken och det har visat sig vara av särskild betydelse att förstå hur EHM tänker sig att använda sådana. Vid ett möte den 8 oktober beskrevs på hög juridisk abstraktionsnivå två exempel,
   1. dels användning för kommunikation mellan två vårdgivare, och
   2. dels användning för tillgång till uppgifter i den nationella läkemedelslistan (NLL).
2. Innan det beskrivs ska emellertid beröras
   1. hur metadata hanteras inom en behörighetsinfrastruktur, och
   2. vad som i juridiska sammanhang avses med behörighetskontroll.

Metadatahantering nu och i framtiden 

Beskrivning av funktionssätt

1. En identitetsintygstjänst respektive en behörighetsintygstjänst kan beskrivas genom metadata. Metadata för id & behörighet är inte integrerade utan stämplade för sig, dvs. olika digitalt stämplade handlingar som därmed är digitala urkunder och åtnjuter straffrättsligt skydd mot förfalskningar och andra manipulationer.

2. Med ”gammal” standard 

   1. stämplas alla metadata för e-identifiering av en aktör

      1. Digg granskar idag viss del av metadata (stämplas inte särskilt), 

      2. Metadata ger i princip tillgång till parts adress och nycklar.

3. Med "ny” standard (det som nu planeras för en behörighetsinfrastruktur)

   1. stämplas visserligen alla metadata av en aktör (den Federationsområdesansvarige, här EHM),

i) så att det går att veta vad som är en parts (här vårdaktörs) metadata, men

b) delmängder av metadata kan nu förses med särskild stämpel,

i) så att ett visst intygande kan ske av något i metadata, och

ii) denna stämplade uppgift därmed verifieras automatiserat,

iii) efter att ha intygats vid straffansvar av den som stämplat (aktören själv eller en granskare).

4. Detta skapar oändliga möjligheter att informera via metadata. Endast fantasin sätter gränserna. Det man då glömmer är att juridiken och den tekniska verkligheten kräver gränser.

a) Medan det tidigare i princip bara var fråga om adress- och nyckelinformation,

b) kan metadata nu byggas ut, vad avser innehåll och ändamål, för att upplysa på ett säkert sätt om aktörens 

i) förmåga att uppfylla krav på informationssäkerhet 

a) vid själva behörighetskontrollerna,

b) i den tjänst som får användas när behörighet visats,

c) vid direktåtkomst (om tjänsten utformats för sådan).

ii) uppfyllelse av andra villkor

a) vid själva behörighetskontrollerna,

b) när en tjänst används efter att behörighet visats

a. t.ex. ändamål för nyttjande eller att vara omfattad av en sekretessbrytande regel

c) vid direktåtkomst till den digitala tjänst som nyttjas, efter en behörighetskontroll (i de fall tjänsten används med gammalt teknik, dvs. direktåtkomst).

iii) ingångna (tilläggs)avtal(spaket) med den aktör som tillhandahåller den digitala tjänst som brukas efter en juridisk behörighetskontroll.

Preliminära slutsatser

1. Med ”tillitsmärke” menas därmed ett stämplat intyg där texten (data som stämplats) utgörs av vissa delar av en aktörs metadata – delar av den helhet av metadata som den Federationsområdesansvarige stämplat i syfte att skapa ett bevis för vad som är en viss parts samlade metadata.
2. Experter på teknik, arkitektur och verksamhetsutveckling är kreativa och ser många nya möjligheter att lösa tidigare manuella uppgifter strukturerat och automatiserat.

3. Juristers och verksamhetsansvarigas roll är bl.a  att sätta gränser och fördela ansvar efter att ha tydliggjort inom vilka gränser något ska användas och vem som ska ansvara för vad.

4. Endast metadata av betydelse för behörighetskontroll? Min tanke är att det verkar gå att fördela ansvar korrekt och att uppfatta det som en naturlig del av en behörighetsinfrastruktur om nya stämplade intyg införs, som innehåller uppgifter/data som utgör en delmängd av den metadatasträng som en federationsområdesansvarig har stämplat, och utgör uppgifter som behövs för en juridisk behörighetskontroll, dvs. för att kunna genomföra tillräckliga kontroller av en medarbetares eller en digital aktörs juridiska behörighet. Även beskrivande metadata bör således få införas enligt standard i den mån det krävs för kontrollen av den juridiska behörigheten.

5. Användning av metadata för att på annat sätt stödja handläggningen av ett ärende i den digitala tjänsten än att förenkla och automatisera kontroll av juridisk behörighet hör inte primärt till en behörighetsinfrastruktur.

a) Det är något annat om vi, generellt för hela behörighetsinfrastruklturen, ska utforma stöd via metadata för att

i) producera och förmedla bevis exempelvis för att

- förlitande part bara använder mottagna uppgifter för visst ändamål,

- omfattas av en sekretessbrytande regel, eller

- uppfyller tillräckliga säkerhetskrav för att kunna erbjudas direktåtkomst till en viss digital tjänst hos en vårdgivare.

ii) ingå tilläggsavtal rörande digitala tjänster,

b) Det kan uppkomma nya partsförhållanden vid en sådan vidgad användning och det kan bli komplicerat att utforma en reglering för en så omfattande hantering.

Ett första försök till beskrivning av metadataanvändning inom EHM

Vid vårt möte den 8 oktober beskrevs följande två exempel översiktligt.

Två vårdgivare kommunicerar (PDL)

En läkare hos vårdgivare A vill ha åtkomst till en journalhandling hos vårdgivare B och läkaren finner att de juridiska förutsättningarna är uppfyllda för att få ta del av handlingen. Det är då tillräckligt för vårdgivare B att kontrollera från vilken vårdgivare (vilket system) anropet kommer och att ett tillitmärke utfärdats för vårdgivaren. Informationsutbytet bygger därmed på att vårdgivare B litar på vårdgivare A:s hantering av behörigheter för åtkomst till A:s vårdsystem; alltså organisationstillit. Jag uppfattade beskrivningen så att en behörighetsinfrastruktur därmed bara behöver erbjuda

1. rätt adress och nyckel för att det ska kunna kontrolleras från vilken aktör kommunikationen kommer, och
2. stöd för att kommunicera ett tillitsmärke. – Frågan är om detta blir rättsenligt och om beskrivningen blivit korrekt.

Kommunikation med den nationella läkemedelslistan (NLL)

En läkare hos vårdgivare A vill ha åtkomst till den nationella läkemeddelslistan beträffande en patient. Läkaren finner att de juridiska förutsättningarna uppfyllda för att få ta del av listan. EHM, som tillhandahåller listan för behöriga aktörer, behöver då utöver att kunna kontrollera från vilken vårdgivare (vilket system) anropet kommer och uppgifter i intyg om läkarens identitet och yrkesroll samt sjukvårdsinrättning där denne är verksam. Om ett tillitsmärke levereras med stöd av behörighetsinfrastrukturen fattar EHM automatiserat beslut om behörighet att få direktåtkomst, utan kontroll av uppgifterna i intyget. 

Den planerade behörighetsinfrastrukturen behövs därmed för att ett behörighetsintyg och ett tillitsmärke ska kunna levereras, en hantering som sker utanför behörighetsinfrastrukturen (Henric, är det rätt och vad fattas?) – Frågan är om detta blir rättsenligt och om beskrivningen blivit korrekt.

Vad menas med behörighetskontroll

Hur projektet hos Digg uppfattat frågan

1. Digg har uppfattat sitt uppdrag så att myndigheten, när den nya infrastrukturen finns på plats, ska ansvara för tillgången till infrastruktur och tjänster för juridisk behörighetskontroll.
2. Digg har vidare definierat juridisk behörighetskontroll som en granskning av om en medarbetare, i juridisk mening
   1. är behörig att agera för angiven huvudmans räkning, eller
   2. har en yrkesroll som innefattar en rätt att agera på det sätt som sker.
   3. Till detta har tillagts följande, "eller c) deltar i verksamhet hos huvudmannen där medarbetaren behöver vidta en åtgärd eller agera på annat sätt", med tanke på att hantera behov som rör elever vid skola, även om det i den delen inte handlar om en juridisk behörighet att agera för annan eller en yrkesroll i egentlig mening utan bara om att få direkt tillgång till system.

3. Den huvudsakliga begränsning till a- och b-fallen har att göra med vad jurister brukar mena med behörighetskontroll.

2.    Tanken har också varit att behörighetskontroll ska ske inom vedertagna juridiska ramar – det vill säga hur det går till enligt lag, förordning och rättspraxis. Det beror på att uppdraget är att etablera en nationell infrastruktur och det en jurist i första hand tänker på när den behörighetskontroll sker är registreringsbevis från Bolagsverket och fullmakter. Vi parkerar dessutom den här viktiga frågan om behörighetskontroll av en digital aktör, exempelvis en robot, för att hantera den i senare avsnitt.

3. När ett mål eller ett ärende kommer in till en myndighet ska först en formell prövning ske, bland annat av om den som agerar är behörig att göra det (t.ex. att initiera ett ärende hos en myndighet, exempelvis genom att använda en digital tjänst). Finns inte sådan behörighet avvisas målet (efter att tillfälliga getts att styrka sin behörighet). En handläggning i sak (t.ex. en sekretessprövning eller en ändamålsprövningsprövning enligt registerförfattning) ska äga rum först efter att dessa formalia har klarats av.

3. Samma mönster följs i princip genom att en digitala aktör, exempelvis en robot, inte ska få använda en digital tjänst om den tillhandahåller uppgifter som är juridiskt skyddade annat än om en kontroll  som bedöms vara juridiskt tillräcklig har ägt rum av robotens behörighet att agera för "huvudmannen".

4. Jag tror att vi alla har tänkt att den nya infrastrukturen inte ska användas för att handlägga själva ärendet, t.ex. om en handling ska lämnas ut utan hinder av sekretess, utan för den initiala formella kontrollen av om ärendet eller transaktionen har initierats av en behörig medarbetare eller teknisk aktör, exempelvis en robot, och att vi haft förvaltningslagens (och rättegångsbalkens) regler i tankarna.

Andra regler gäller för behörighetskontroll inom hälso- och sjukvård

1. Frågan blir då vad som gäller för en behörighetskontroll i de två exemplen i avsnitten 3.1 och 3.2, enligt bl.a. PDL och NLL.