Uppskattningen utfördes på fullbordade brott i augusti 2022 vilket antas gälla för helåret. 1 2 Utöver BankID, så utfärdar även Telia, AB Svenska Pass och Freja e-legitimationer till privatpersoner. Telia e-legitimation innehar inte kvalitetsmärket Svensk e-legitimation. 13 https://digg.se/digitala-tjanster/e-legitimering/tillitsnivaer-for-e-legitimering/ tillitsramverk-for-kvalitetsmarket-svensk-e-legitimation. 14 (EU) 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG. Kapitel II reglerar Elektronisk identifiering och kapitel III Betrodda tjänster. 15 Det finns tre olika tillitsnivåer i eIDAS-förordningen. låg, väsentlig och hög. Dessa skiljer sig något från de tre svenska tillitsnivåerna 2, 3 och 4. 16 Den statliga reboot utredningen (SOU 2017:114) konstaterade att området elektronisk identifiering var underreglerat och föreslog bl.a. införande av ny lag om infrastruktur för elektronisk identifiering och kvalitetsmärket Svensk elektronisk identifiering, för att författningsreglera en godkänd svensk e-legitimation. Förslaget bereds fortfarande i Regeringskansliet. (Observera att utredningen använde termen ”elektronisk identifiering” och inte det idag mer vedertagna begreppet e-legitimation). 17 DIGG: Dnr 2019-540, datum för beslut 2020-10-05. 18 Cooperation Network godkände 2021-09-27 BankID på tillitsnivå väsentlig. BankID är alltså godkända peer review, men ännu inte (januari 2023) ett anmält eID-system enligt eIDAS, den processen pågår. 19 EU 2015/2366 om betaltjänster på den inre marknaden, om ändring av direktiv 2002/65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upphävande av direktiv 2007/64/EG. 20 EU 2018/389 om komplettering av Europaparlamentets och rådets direktiv (EU) 2015/2366 vad gäller tekniska tillsynsstandarder för ”sträng” kundautentisering och gemensamma och säkra öppna kommunikationsstandarder. RTS — Regulatory Technical Standards (”sträng” är en felöversättning). 2 1 Efterfrågan på kvalificerade betrodda tjänster har ännu inte riktigt uppstått i Sverige, troligen på grund av att vi i Sverige redan innan eIDAS-förordningen trädde i kraft hade ett väl fungerande ekosystem för bl.a. elektroniska underskrifter. 22 Det är dock tillåtet, artikel 24.1 b att skapa en kvalificerad elektronisk underskrift baserat på en identifiering med ett anmält eID-system tillitsnivå väsentlig eller hög. Den kopplingen finns mellan anmälda eID-system och betrodda tjänster. 23 Betalningsinstrument definieras i lagen (2010:751) om betaltjänster 1 kap. 4 § 10 st. som ett kontokort eller någon annat personligt instrument eller personlig rutin som enligt avtal används för att initiera en betalningsorder. 24 RTS, artikel 5 med krav att betalaren ska informeras om belopp och mottagare när stark kundautentisering tillämpas för en betalning. Konstruktionen med dynamiska kopplingar är införd för att även hantera bankdosor och andra metoder för stark kundautentisering som ej har inbyggd funktion för elektronisk underskrift. 25 Exempelvis brottsbalken (BrB) 4 kap. 6 b § om olovlig identitetshantering eller BrB 9 kap. 3 c § olovlig befattning med betalningsverktyg kan bli aktuella. 26 Exempelvis kan BrB 15 kap. 12 § missbruk av urkund i vissa fall bli aktuell. 27 Exempelvis BrB 9 kap. 3 c § olovlig befattning med betalningsverktyg men även särskild reglering i betaltjänstlagen kan bli aktuell. 28 Obehörigt innehav av en e-legitimation, alltså att en annan person än innehavaren själv förfogar över både den fysiska e-legitimationen och den personliga behörighetsuppgiften kan falla in under obehörig befattning med betalningsverktyg. Riksdagen har riktat ett tillkännagivande till regeringen om att även e-legitimation ska kunna definieras som ett betalningsverktyg (motion 2020/21:3852). 29 Använder den bredare definition ”bedräglig” som används i Non-cash-direktivet (EU) 2019/713, då obehörig användning inte nödvändigtvis täcker all bedräglig användning. 30 I departementspromemorian Ds 2020:1 användes termen olovlig befattning med betalningsinstrument, men regeringen ändrade termen till betalningsverktyg (prop. 2020/21:73). Betalningsverktyg utgör ett bredare samlingsbegrepp för olika slags anordningar som kan användas för överföring av pengar eller ett penningvärde. 31 BrB 4 kap. 6 b §. 32 Även obehörig identifiering med e-legitimation är emellertid värd att hantera och agera på från samhällets sida. Det är en fråga om att skydda innehavarens integritet och rättigheter. Vi känner till att obehörig identifiering med BankID bl.a. har använts som ett verktyg i hederskulturer och för ena partnern i osunda parrelationer, att utöva kontroll, övervakning och inskränkning av den verkliga innehavarens fri och rättigheter. 33 Se NJA 2021 s. 1107. 34 Utgivaren av BankID kan sitta på teknisk information och bevisning som är väsentlig för bedömning av ärendet om det rör sig om obehörig underskrift eller inte. Men på grund av banksekretess så får ej sådan relevant information lämnas över till kreditgivaren. 3 5 Friendly fraud, även kallat First-Party fraud är vanligt begrepp i bankvärlden. Innehavaren agerar svikligt och är själv delaktig eller bidrar till bedrägeriet men nekar till all kännedom om underskriften eller händelsen. 36 ”Casinomålet”; Uppsala tingsrätt mål B 6683-17, Svea hovrätt mål B 1187-20. 37 Uppskattningsvis så används BankID som ett betalningsinstrument i 95% av alla underskrifter. 3 8 I målet som ledde fram till HD:s avgörande i NJA 2022 s. 522 var det nya regler till följd av GDPR som utnyttjades. 39 Polisen: De organiserade bedrägerierna — En rapport om bedrägerier kopplade till organiserade kriminella miljöer. Dnr: A354.340/2021 s. 16. 40 Polisen: De dödliga bedrägerierna — En rapport om bedrägeribrottslighet och skjutvapenvåldet Dnr: A554.314/2022. 4 1 Polisen: Bedrägerier och penningtvätt — Analys av bedrägerier ur ett brottsvinstperspektiv. Dnr: A697.130/2021 s. 10. 42 Polisen: De dödliga bedrägerierna - En rapport om bedrägeribrottslighet och skjutvapenvåldet. Dnr: A554.313/2922 s. 7. 4 3 Då det råder banksekretess, så måste det finnas en sekretessbrytande regel för att information ska kunna utbytas. Brottsutredande myndigheter har frågerätt enligt bank- och finansrörelselagen 1 kap. 11 §, samt lag om åtgärder mot penningtvätt och finansiering av terrorism (PtL) 4 kap. 6 §. Men informationsutbyte mellan verksamhetsutövare är starkt begränsad via PtL 4 kap. 9 § till att enbart röra sig om uppgifter som rör samma kund och samma transaktion. 44 Det ter sig som en onödig belastning att process i domstol först måste påbörjas, innan nödvändig information kan delas. 45 SOU 2019:14 Ett säkert statligt ID-kort — med e-legitimation. 4 6 Se video https://cdn.bankid.com/video/kontrollera-id-handling.mp4. 47 Pass och nationellt ID-kort utfärdat av polisen kan via NFC (Near Field Communication) läsas av en mobiltelefon varefter ID-handlingens äkthet kan valideras elektroniskt och giltigheten automatiskt verifieras mot polisen. 48 Förlitandepart är den term som vanligtvis används för den part som förlitar sig på BankID. Exempelvis tillhandahållaren av själva e-tjänsten där BankID kan användas. 49 Ungefär 3 miljoner medborgare saknar ett giltigt pass (hösten 2022). 5 0 Se video https://cdn.bankid.com/video/instruktion-skaffa-bankid-sv-sub.mp4. 51 Det finns givetvis andra omständigheter exempelvis hot, som kan göra ett ingånget avtal ogiltigt. 52 (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (GDPR) 53 GDPR artikel 7 p 4. 5 4 https://www.bankid.com/foretag/stark-koppling. 55 Se resonemanget i kap. 6.2 då allt för många personer i samhället idag saknar giltigt pass eller nationellt ID-kort utfärdat av polisen. 5 6 Ett sms eller telefonsamtal ser ut att komma från en annan avsändare än den gör, så kallade spoofade nummer. 57 Blockera att det inte länger går att surfa till en specifik webbsida. 5 8 Jag inser att det finns både tekniska och legala utmaningar kring detta. Men varför skulle inte polisen kunna ges befogenheten att förverka ett telefonnummer, IP-adress eller för den delen en e-legitimation som används i brottslig verksamhet? Sen ställa krav på telefonoperatörerna i Sverige som är en reglerad verksamhet.
Hänvisas från p. 4 (s. 431)
Uppskattningen utfördes på fullbordade brott i augusti 2022 vilket antas gälla för helåret. 1 2 Utöver BankID, så utfärdar även Telia, AB Svenska Pass och Freja e-legitimationer till privatpersoner. Telia e-legitimation innehar inte kvalitetsmärket Svensk e-legitimation. 13 https://digg.se/digitala-tjanster/e-legitimering/tillitsnivaer-for-e-legitimering/ tillitsramverk-for-kvalitetsmarket-svensk-e-legitimation. 14 (EU) 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG. Kapitel II reglerar Elektronisk identifiering och kapitel III Betrodda tjänster. 15 Det finns tre olika tillitsnivåer i eIDAS-förordningen. låg, väsentlig och hög. Dessa skiljer sig något från de tre svenska tillitsnivåerna 2, 3 och 4. 16 Den statliga reboot utredningen (SOU 2017:114) konstaterade att området elektronisk identifiering var underreglerat och föreslog bl.a. införande av ny lag om infrastruktur för elektronisk identifiering och kvalitetsmärket Svensk elektronisk identifiering, för att författningsreglera en godkänd svensk e-legitimation. Förslaget bereds fortfarande i Regeringskansliet. (Observera att utredningen använde termen ”elektronisk identifiering” och inte det idag mer vedertagna begreppet e-legitimation). 17 DIGG: Dnr 2019-540, datum för beslut 2020-10-05. 18 Cooperation Network godkände 2021-09-27 BankID på tillitsnivå väsentlig. BankID är alltså godkända peer review, men ännu inte (januari 2023) ett anmält eID-system enligt eIDAS, den processen pågår. 19 EU 2015/2366 om betaltjänster på den inre marknaden, om ändring av direktiv 2002/65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upphävande av direktiv 2007/64/EG. 20 EU 2018/389 om komplettering av Europaparlamentets och rådets direktiv (EU) 2015/2366 vad gäller tekniska tillsynsstandarder för ”sträng” kundautentisering och gemensamma och säkra öppna kommunikationsstandarder. RTS — Regulatory Technical Standards (”sträng” är en felöversättning). 2 1 Efterfrågan på kvalificerade betrodda tjänster har ännu inte riktigt uppstått i Sverige, troligen på grund av att vi i Sverige redan innan eIDAS-förordningen trädde i kraft hade ett väl fungerande ekosystem för bl.a. elektroniska underskrifter. 22 Det är dock tillåtet, artikel 24.1 b att skapa en kvalificerad elektronisk underskrift baserat på en identifiering med ett anmält eID-system tillitsnivå väsentlig eller hög. Den kopplingen finns mellan anmälda eID-system och betrodda tjänster. 23 Betalningsinstrument definieras i lagen (2010:751) om betaltjänster 1 kap. 4 § 10 st. som ett kontokort eller någon annat personligt instrument eller personlig rutin som enligt avtal används för att initiera en betalningsorder. 24 RTS, artikel 5 med krav att betalaren ska informeras om belopp och mottagare när stark kundautentisering tillämpas för en betalning. Konstruktionen med dynamiska kopplingar är införd för att även hantera bankdosor och andra metoder för stark kundautentisering som ej har inbyggd funktion för elektronisk underskrift. 25 Exempelvis brottsbalken (BrB) 4 kap. 6 b § om olovlig identitetshantering eller BrB 9 kap. 3 c § olovlig befattning med betalningsverktyg kan bli aktuella. 26 Exempelvis kan BrB 15 kap. 12 § missbruk av urkund i vissa fall bli aktuell. 27 Exempelvis BrB 9 kap. 3 c § olovlig befattning med betalningsverktyg men även särskild reglering i betaltjänstlagen kan bli aktuell. 28 Obehörigt innehav av en e-legitimation, alltså att en annan person än innehavaren själv förfogar över både den fysiska e-legitimationen och den personliga behörighetsuppgiften kan falla in under obehörig befattning med betalningsverktyg. Riksdagen har riktat ett tillkännagivande till regeringen om att även e-legitimation ska kunna definieras som ett betalningsverktyg (motion 2020/21:3852). 29 Använder den bredare definition ”bedräglig” som används i Non-cash-direktivet (EU) 2019/713, då obehörig användning inte nödvändigtvis täcker all bedräglig användning. 30 I departementspromemorian Ds 2020:1 användes termen olovlig befattning med betalningsinstrument, men regeringen ändrade termen till betalningsverktyg (prop. 2020/21:73). Betalningsverktyg utgör ett bredare samlingsbegrepp för olika slags anordningar som kan användas för överföring av pengar eller ett penningvärde. 31 BrB 4 kap. 6 b §. 32 Även obehörig identifiering med e-legitimation är emellertid värd att hantera och agera på från samhällets sida. Det är en fråga om att skydda innehavarens integritet och rättigheter. Vi känner till att obehörig identifiering med BankID bl.a. har använts som ett verktyg i hederskulturer och för ena partnern i osunda parrelationer, att utöva kontroll, övervakning och inskränkning av den verkliga innehavarens fri och rättigheter. 33 Se NJA 2021 s. 1107. 34 Utgivaren av BankID kan sitta på teknisk information och bevisning som är väsentlig för bedömning av ärendet om det rör sig om obehörig underskrift eller inte. Men på grund av banksekretess så får ej sådan relevant information lämnas över till kreditgivaren. 3 5 Friendly fraud, även kallat First-Party fraud är vanligt begrepp i bankvärlden. Innehavaren agerar svikligt och är själv delaktig eller bidrar till bedrägeriet men nekar till all kännedom om underskriften eller händelsen. 36 ”Casinomålet”; Uppsala tingsrätt mål B 6683-17, Svea hovrätt mål B 1187-20. 37 Uppskattningsvis så används BankID som ett betalningsinstrument i 95% av alla underskrifter. 3 8 I målet som ledde fram till HD:s avgörande i NJA 2022 s. 522 var det nya regler till följd av GDPR som utnyttjades. 39 Polisen: De organiserade bedrägerierna — En rapport om bedrägerier kopplade till organiserade kriminella miljöer. Dnr: A354.340/2021 s. 16. 40 Polisen: De dödliga bedrägerierna — En rapport om bedrägeribrottslighet och skjutvapenvåldet Dnr: A554.314/2022. 4 1 Polisen: Bedrägerier och penningtvätt — Analys av bedrägerier ur ett brottsvinstperspektiv. Dnr: A697.130/2021 s. 10. 42 Polisen: De dödliga bedrägerierna - En rapport om bedrägeribrottslighet och skjutvapenvåldet. Dnr: A554.313/2922 s. 7. 4 3 Då det råder banksekretess, så måste det finnas en sekretessbrytande regel för att information ska kunna utbytas. Brottsutredande myndigheter har frågerätt enligt bank- och finansrörelselagen 1 kap. 11 §, samt lag om åtgärder mot penningtvätt och finansiering av terrorism (PtL) 4 kap. 6 §. Men informationsutbyte mellan verksamhetsutövare är starkt begränsad via PtL 4 kap. 9 § till att enbart röra sig om uppgifter som rör samma kund och samma transaktion. 44 Det ter sig som en onödig belastning att process i domstol först måste påbörjas, innan nödvändig information kan delas. 45 SOU 2019:14 Ett säkert statligt ID-kort — med e-legitimation. 4 6 Se video https://cdn.bankid.com/video/kontrollera-id-handling.mp4. 47 Pass och nationellt ID-kort utfärdat av polisen kan via NFC (Near Field Communication) läsas av en mobiltelefon varefter ID-handlingens äkthet kan valideras elektroniskt och giltigheten automatiskt verifieras mot polisen. 48 Förlitandepart är den term som vanligtvis används för den part som förlitar sig på BankID. Exempelvis tillhandahållaren av själva e-tjänsten där BankID kan användas. 49 Ungefär 3 miljoner medborgare saknar ett giltigt pass (hösten 2022). 5 0 Se video https://cdn.bankid.com/video/instruktion-skaffa-bankid-sv-sub.mp4. 51 Det finns givetvis andra omständigheter exempelvis hot, som kan göra ett ingånget avtal ogiltigt. 52 (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (GDPR) 53 GDPR artikel 7 p 4. 5 4 https://www.bankid.com/foretag/stark-koppling. 55 Se resonemanget i kap. 6.2 då allt för många personer i samhället idag saknar giltigt pass eller nationellt ID-kort utfärdat av polisen. 5 6 Ett sms eller telefonsamtal ser ut att komma från en annan avsändare än den gör, så kallade spoofade nummer. 57 Blockera att det inte länger går att surfa till en specifik webbsida. 5 8 Jag inser att det finns både tekniska och legala utmaningar kring detta. Men varför skulle inte polisen kunna ges befogenheten att förverka ett telefonnummer, IP-adress eller för den delen en e-legitimation som används i brottslig verksamhet? Sen ställa krav på telefonoperatörerna i Sverige som är en reglerad verksamhet.s. 431