En identitetsintygstjänst respektive en behörighetsintygstjänst kan beskrivas genom metadata. Metadata för id & behörighet är inte integrerade utan stämplade för sig, dvs. olika digitalt stämplade handlingar som därmed är digitala urkunder och åtnjuter straffrättsligt skydd mot förfalskningar och andra manipulationer.
Med ”gammal” standard
stämplas alla metadata för e-identifiering av en aktör
Digg granskar idag viss del av metadata (stämplas inte särskilt),
Metadata ger i princip tillgång till parts adress och nycklar.
Med "ny” standard (det som nu planeras för en behörighetsinfrastruktur)
stämplas visserligen alla metadata av en aktör (den Federationsområdesansvarige, här EHM),
i) så att det går att veta vad som är en parts (här vårdaktörs) metadata, men
b) delmängder av metadata kan nu förses med särskild stämpel,
i) så att ett visst intygande kan ske av något i metadata, och
ii) denna stämplade uppgift därmed verifieras automatiserat,
iii) efter att ha intygats vid straffansvar av den som stämplat (aktören själv eller en granskare).
4. Detta skapar oändliga möjligheter att informera via metadata. Endast fantasin sätter gränserna. Det man då glömmer är att juridiken och den tekniska verkligheten kräver gränser.
a) Medan det tidigare i princip bara var fråga om adress- och nyckelinformation,
b) kan metadata nu byggas ut, vad avser innehåll och ändamål, för att upplysa på ett säkert sätt om aktörens
i) förmåga att uppfylla krav på informationssäkerhet
a) vid själva behörighetskontrollerna,
b) i den tjänst som får användas när behörighet visats,
c) vid direktåtkomst (om tjänsten utformats för sådan).
ii) uppfyllelse av andra villkor
a) vid själva behörighetskontrollerna,
b) när en tjänst används efter att behörighet visats
a. t.ex. ändamål för nyttjande eller att vara omfattad av en sekretessbrytande regel
c) vid direktåtkomst till den digitala tjänst som nyttjas, efter en behörighetskontroll (i de fall tjänsten används med gammalt teknik, dvs. direktåtkomst).
iii) ingångna (tilläggs)avtal(spaket) med den aktör som tillhandahåller den digitala tjänst som brukas efter en juridisk behörighetskontroll.
Juristens och verksamhetsansvarigs roll blir istället att sätta gränser och fördela ansvar efter att det tydliggjorts inom vilka gränser något nytt ska användas och vem som ska ansvara för vad.
Endast metadata av betydelse för behörighetskontroll: Min tanke är att det verkar gå att fördela ansvar korrekt och att uppfatta det som en naturlig del av en behörighetsinfrastruktur om nya stämplade intyg (beträLande uppgifter/data som ingår i den metadatasträng som operatör stämplat) införs beträffande uppgifter som krävs för en juridisk behörighetskontroll, dvs. för att kunna genomföra kontroller tillräckliga kontroller av en medarbetares eller en digital aktörs behörighet. Även beskrivande metadata bör införas enligt standard i den mån det krävs för själva kontrollen av juridisk behörighet.
Användning av metadata för att på annat sätt stödja en digital tjänst än att förenkla och automatisera kontroll av juridisk behörighet hör inte till en behörighetsinfrastruktur.
a) Det är något helt annat om vi generellt för hela behörighetsinfrastruklturen ska utforma stöd via metadata för att
i) ingå tilläggsavtal rörande digitala tjänster,
ii) producera och förmedla bevis exempelvis för att
- förlitande part bara använder mottagna uppgifter för visst ändamål,
- omfattas av en sekretessbrytande regel, eller
- uppfyller tillräckliga säkerhetskrav för att kunna erbjudas direktåtkomst till en viss digital tjänst hos en vårdgivare.
b) Det uppkommer helt nya (omfattande) partsförhållanden vid en sådan vidgad användning och det kan antas bli komplicerat och tidskrävande att utforma en reglering för en så omfattande hantering.
Följande exempel beskrevs.