Införande av digitalt identitetsbevis

Denna lag innehåller bestämmelser om de tjänster för digital identitet som produceras av Myndigheten för digitalisering och befolkningsdata och om nyttjande av sådana tjänster.

I denna lag avses med

1) tjänster för digital identitet ett informationssystem för digital identitet, bevis för kärnidentitet, e-tjänstverktyg för utlänningar, en tjänst för hantering av digital identitet, ett avläsargränssnitt och kontrollapplikationer,

2) kärnidentitet en sådan helhet av personuppgifter registrerade i befolkningsdatasystemet med vars hjälp identiteten allmänt kan specificeras och som består av de uppgifter som avses i 13 § 1 mom. 1 och 2 punkten i lagen om befolkningsdatasystemet och de certifikattjänster som tillhandahålls av Myndigheten för digitalisering och befolkningsdata (661/2009),

3) bestyrkta uppgifter personuppgifter som verifierats av en myndighet på elektronisk väg,

4) e-legitimation en identitetshandling som avses i 3 § 1 mom. i lagen om e-legitimation ( / ),

5) teknisk plattform en mobil terminal som innehavaren av en e-legitimation eller av ett e-tjänstverktyg för utlänningar förfogar över,

6) applikation för digital identitet en applikation som innehavaren av en identitetshandling har på sin mobila terminal och som gör det möjligt att använda en e-legitimation eller ett e-tjänstverktyg för utlänningar,

7) förlitande part en fysisk eller juridisk person för vilken innehavaren av en e-legitimation eller av ett e-tjänstverktyg för utlänningar styrker sin identitet eller visar bestyrkta uppgifter,

8) uträttande av ärenden på plats uträttande av ärenden på så sätt att innehavaren av en e-legitimation och den förlitande parten är samtidigt närvarande på samma plats och innehavaren av e-legitimationen styrker sin identitet eller visar andra bestyrkta uppgifter som gäller honom eller henne till den förlitande parten.

Myndigheten för digitalisering och befolkningsdata är personuppgiftsansvarig för tjänster för digital identitet. Myndigheten för digitalisering och befolkningsdata har dock inte rätt att till en förlitande part lämna ut personuppgifter som behandlas i samband med produktionen av tjänster för digital identitet.

Myndigheten för digitalisering och befolkningsdata ska producera en applikation för digital identitet samt ett sådant informationssystem för digital identitet som består av ett bakomliggande system för applikationen. I informationssystemet ingår ett identifieringssystem med hjälp av vilket bestyrkta uppgifter kan visas i anslutning till e-tjänster och vid uträttande av ärenden på plats.

Avsikten med informationssystemet är att göra det möjligt att producera och nyttja e-legitimationer och e-tjänstverktyg för utlänningar.

Informationssystemet för digital identitet ska alltid vara tillgängligt, och det ska ha de reservsystem som behövs med tanke på störningar.

Myndigheten för digitalisering och befolkningsdata ska genom administrativa och tekniska åtgärder sörja för informationssystemets informationssäkerhet så att

1) informationssystemet och den information som behandlats där är tillgängliga endast för dem som har rätt att använda systemet och informationen,

2) informationen och informationssystemet inte kan ändras av andra än dem som har rätt till detta,

3) informationen och informationssystemet kan nyttjas av dem som har rätt att använda informationen och systemet,

4) informationssystemet tål sådana avancerade hot mot informationssäkerheten som kan förväntas, och

5) sådana betydande kränkningar av och hot mot informationssäkerheten som riktas mot informationssystemet kan upptäckas.

Myndigheten för digitalisering och befolkningsdata beslutar om närmare tekniska krav på informationssystemet och om krav på informationssäkerhet. Kraven ska grunda sig på allmänt kända nationella eller internationella standarder. Myndigheten för digitalisering och befolkningsdata ska höra Transport- och kommunikationsverket och Polisstyrelsen innan den meddelar ett beslut om krav på informationssäkerhet.

Det identifieringssystem som ingår i informationssystemet för digital identitet ska åtminstone uppfylla kraven för tillitsnivån väsentlig enligt artikel 8.2 b i Europaparlamentets och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG.

Identifieringssystemet behöver vid produktion av e-tjänstverktyg för utlänningar inte uppfylla registreringskraven för tillitsnivån väsentlig enligt 1 mom.

Innan Myndigheten för digitalisering och befolkningsdata gör det möjligt att nyttja informationssystemet för digital identitet ska den offentliggöra följande information:

1) datum från och med vilket det är möjligt för en förlitande part att nyttja informationssystemet,

2) informationssystemets egenskaper och en beskrivning av de tekniska gränssnitt och metoder för testning som tillhandahålls dem som nyttjar systemet,

3) uppgift om utförd bedömning av överensstämmelse med kraven,

4) eventuella andra än i 1–3 punkten avsedda villkor som är nödvändiga med tanke på nyttjandet av informationssystemet.

Myndigheten för digitalisering och befolkningsdata ska göra det möjligt att nyttja informationssystemet för digital identitet i enlighet med den information som offentliggjorts. Myndigheten för digitalisering och befolkningsdata ska utan dröjsmål offentliggöra ändringar i den information som avses i 1 mom.

Genom applikationen för digital identitet ska en förlitande part som avses i 26 § autentiseras med hjälp av certifikat eller på ett annat informationssäkert sätt när en innehavare av applikationen visar sina bestyrkta personuppgifter med en e-legitimation eller ett e-tjänstverktyg för utlänningar.

Myndigheten för digitalisering och befolkningsdata bestämmer vilka certifikat eller andra autentiseringsmekanismer som ska godkännas i ett beslut som avses i 5 §, som en del av övriga närmare tekniska krav på informationssystemet för digital identitet och krav på informationssäkerhet.

Myndigheten för digitalisering och befolkningsdata ska föra och offentliggöra en förteckning över godkända autentiseringsmekanismer och en förteckning över icke-godkända certifikat och andra autentiseringsmekanismer som är tillgängliga för förlitande parter.

Myndigheten för digitalisering och befolkningsdata ska utan obefogat dröjsmål underrätta förlitande parter, dem som nyttjar e-legitimationer och e-tjänstverktyg för utlänningar samt innehavare av applikationen för digital identitet om upptäckta betydande hot och störningar som riktas mot tjänsternas funktion, informationssäkerheten eller användningen av tjänsterna och om avbrott i dem. I underrättelsen ska det redogöras för de åtgärder som olika aktörer har tillgång till för att avvärja hot och störningar samt de beräknade kostnaderna för åtgärderna. I underrättelsen ska det uppges hur länge störningen eller hotet beräknas pågå. När störningen eller hotet har upphört ska Myndigheten för digitalisering och befolkningsdata dessutom underrätta om detta.

Det att informationssystemet för digital identitet överensstämmer med kraven ska visas med ett intyg som utfärdas av ett sådant bedömningsorgan för informationssäkerhet som avses i 2 § i lagen om bedömningsorgan för informationssäkerhet (1405/2011).

Bedömningsorganet för informationssäkerhet bedömer i enlighet med denna lag och lagen om bedömningsorgan för informationssäkerhet efter ansökan av Myndigheten för digitalisering och befolkningsdata om informationssystemet uppfyller de krav som ställs på det. Som bedömningsgrunder ska kraven i denna lag och de krav som ställs av Myndigheten för digitalisering och befolkningsdata användas.

Bedömningsorganet för informationssäkerhet ska utfärda ett intyg över sin bedömning och ge en tillhörande kontrollrapport. Myndigheten för digitalisering och befolkningsdata ska begära ett utlåtande om bedömningen av Transport- och kommunikationsverket.

Ett intyg från bedömningsorganet för informationssäkerhet är i kraft högst två år. Bedömningsorganet för informationssäkerhet har rätt att trots sekretessbestämmelserna av Myndigheten för digitalisering och befolkningsdata kräva alla de uppgifter som förutsätts för bedömningen och för upprättandet och upprätthållandet av intyget. På utfärdande av intyget tillämpas i övrigt 9 § 3 mom. i lagen om bedömningsorgan för informationssäkerhet.

Ett bevis för kärnidentitet är ett tekniskt tillförlitligt sätt att visa att den som förfogar över beviset har fått den identitet som kärnidentiteten omfattar registrerad i befolkningsdatasystemet.

Ett bevis för kärnidentitet ska innehålla följande uppgifter:

en identifikationskod som avses i 11 a § i lagen om befolkningsdatasystemet och de certifikattjänster som tillhandahålls av Myndigheten för digitalisering och befolkningsdata,

serienummer,

det land som utfärdat beviset,

bevisets giltighetstid,

en öppen nyckel för innehavaren av beviset, och

uppgifter om undertecknaren av beviset.

Ett bevis för kärnidentitet ska åtminstone uppfylla kraven för tillitsnivån väsentlig enligt artikel 8.2 b i den förordning som nämns i 6 § 1 mom.

Myndigheten för digitalisering och befolkningsdata utfärdar ett bevis för kärnidentitet när en person tar i bruk ett e-tjänstverktyg för utlänningar eller en e-legitimation.

Myndigheten för digitalisering och befolkningsdata har rätt att, trots sekretessbestämmelserna, för bestämmande av giltighetstiden för ett bevis för kärnidentitet som ska fogas till en e-legitimation få uppgifter om giltigheten för en persons pass eller identitetskort ur det identitetskortsregister som avses i 31 § i lagen om identitetskort (663/2016) eller det passregister som avses i 29 § i passlagen (671/2006).

En förutsättning för registrering av ett bevis för kärnidentitet är att personen finns registrerad i befolkningsdatasystemet.

I registret över bevis för kärnidentitet ska den identifikationskod som avses i 11 a § i lagen om befolkningsdatasystemet och de certifikattjänster som tillhandahålls av Myndigheten för digitalisering och befolkningsdata samt andra nödvändiga tekniska uppgifter som behövs vid användningen av beviset föras in.

I registret över tekniska plattformar med koppling till personer ska det föras in identifieringsuppgifter som specificerar en person, tekniska uppgifter om en teknisk plattform med koppling till personen, uppgifter om utrustningen och andra nödvändiga uppgifter som behövs för att producera bevis för kärnidentitet.

Myndigheten för digitalisering och befolkningsdata ska producera och tillhandahålla e-tjänstverktyg för utlänningar. E-tjänstverktyget för utlänningar är ett verktyg som är avsett för att visa uppgifter om identitet och andra styrkta uppgifter i anslutning till e-tjänster, och det tillhandahålls med hjälp av applikationen för digital identitet.

Myndigheten för digitalisering och befolkningsdata utfärdar ett e-tjänstverktyg för utlänningar antingen i samband med att personen personligen besöker myndigheten eller i samband med det förfarande för distansregistrering som anges i 9 a § i lagen om befolkningsdatasystemet och de certifikattjänster som tillhandahålls av Myndigheten för digitalisering och befolkningsdata.

Myndigheten för digitalisering och befolkningsdata ska identifiera en person med hjälp av ett resedokument som avses i den bestämmelse som nämns i 1 mom. och försäkra sig om att uppgifter om personen har registrerats i befolkningsdatasystemet och om att personen har en personbeteckning, när ett e-tjänstverktyg för utlänningar utfärdas för personen i samband med att personen uträttar ärenden personligen.

Om ett e-tjänstverktyg för utlänningar utfärdas, får sökanden inte något separat förvaltningsbeslut eller någon besvärsanvisning.

I samband med att ett e-tjänstverktyg för utlänningar utfärdas ska Myndigheten för digitalisering och befolkningsdata lämna innehavaren av verktyget en kopia av de uppgifter i befolkningsdatasystemet som gäller personen i fråga till hans eller hennes eget förfogande. Följande personuppgifter ska lämnas till innehavaren av verktyget:

1) förnamn,

2) efternamn,

3) födelsetid,

4) personbeteckning,

5) åldersbevis som grundar sig på födelsetiden.

Innan uppgifterna lämnas till personens eget förfogande är Myndigheten för digitalisering och befolkningsdata skyldig att bestyrka dem på ett sådant sätt att den förlitande parten kan försäkra sig om att uppgifterna är riktiga och aktuella genom att kontrollera giltigheten för beviset för kärnidentitet. Myndigheten för digitalisering och befolkningsdata har inte rätt att behandla de bestyrkta uppgifter som har lämnats till innehavaren av ett e-tjänstverktyg för utlänningar efter det att uppgifterna har lämnats till personen i fråga.

Om ett e-tjänstverktyg för utlänningar har utfärdats i samband med det förfarande för distansregistrering som anges i 9 a § i lagen om befolkningsdatasystemet och de certifikattjänster som tillhandahålls av Myndigheten för digitalisering och befolkningsdata, får en förlitande part nyttja verktyget i sina elektroniska tjänster i de fall då det inte i lag förutsätts stark autentisering som avses i lagen om stark autentisering och betrodda elektroniska tjänster (617/2009).

Om Myndigheten för digitalisering och befolkningsdata har identifierat innehavaren av ett e-tjänstverktyg för utlänningar i enlighet med 17 § i den lag som nämns i 1 mom., får den förlitande parten nyttja detta verktyg för stark autentisering med iakttagande av bestämmelserna i den lagen.

I anslutning till e-tjänster väljer innehavaren av ett e-tjänstverktyg för utlänningar själv vilka bestyrkta uppgifter som han eller hon vill visa den förlitande parten, om inte något annat föreskrivs i någon annan lag. I anslutning till e-tjänsterna ges emellertid alltid information om verktygets tillitsnivå.

Myndigheten för digitalisering och befolkningsdata ska för tillhandahållande och produktion av e-tjänstverktyg för utlänningar föra ett register över sådana verktyg och över verktygens innehavare och giltighet.

Ett e-tjänstverktyg för utlänningar är i kraft högst fem år från utfärdandet.

Myndigheten för digitalisering och befolkningsdata kan förlänga giltigheten för ett e-tjänstverktyg för utlänningar på begäran av innehavaren av verktyget. När verktygen förnyas ska kraven i avsnitt 2.2.4 i bilagan till kommissionens genomförandeförordning (EU) 2015/1502 om fastställande av tekniska minimispecifikationer och förfaranden för tillitsnivåer för medel för elektronisk identifiering i enlighet med artikel 8.3 i Europaparlamentets och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden uppfyllas.

Myndigheten för digitalisering och befolkningsdata ska utan dröjsmål dra in ett e-tjänstverktyg för utlänningar på begäran av dess innehavare.

Myndigheten för digitalisering och befolkningsdata kan utan begäran dra in e-tjänstverktyget för utlänningar eller förhindra användningen av det, om myndigheten har skäl att misstänka att verktyget används av någon annan än den det har utfärdats för eller att säkerheten vid användningen av verktyget annars har äventyrats. Myndigheten för digitalisering och befolkningsdata ska utan obefogat dröjsmål underrätta innehavaren av verktyget om att det har dragits in eller användningen av det förhindrats samt om tidpunkten för och orsakerna till detta.

Utöver vad som i 6 § i lagen om samservice inom den offentliga förvaltningen (223/2007) föreskrivs om uppgifter som sköts inom ramen för samservice, får Myndigheten för digitalisering och befolkningsdata överföra biträdande uppgifter som gäller utfärdande och indragning av e-tjänstverktyg för utlänningar och uppdatering av registeruppgifter om sådana verktyg till att skötas inom ramen för samservice. I dessa uppgifter kan det ingå att

1) ta i bruk e-tjänstverktyg,

2) koppla e-tjänstverktyg till en teknisk plattform,

3) dra in e-tjänstverktyg på begäran av innehavaren.

Om samservicens uppdragstagare inte ens efter ytterligare utredning kan aktivera e-tjänstverktyget, koppla innehavarens identitet till verktyget eller på begäran av innehavaren dra in verktyget, ska uppdragstagaren överföra ärendet till Myndigheten för digitalisering och befolkningsdata för behandling.

Myndigheten för digitalisering och befolkningsdata ska producera en tjänst för hantering av digital identitet med hjälp av vilken bevis för kärnidentitet, e-legitimationer och e-tjänstverktyg för utlänningar hanteras.

Myndigheten för digitalisering och befolkningsdata producerar och tillhandahåller ett avläsargränssnitt och en kontrollapplikation med vilka identitet och bestyrkta uppgifter kan kontrolleras i e-legitimation vid uträttande av ärenden på plats.

Myndigheten för digitalisering och befolkningsdata kan också godkänna att en kontrollapplikation som produceras av någon annan aktör används för kontroll av identitet och bestyrkta uppgifter vid uträttande av ärenden på plats.

Myndigheten för digitalisering och befolkningsdata meddelar närmare föreskrifter om de krav som ska ställas på de kontrollapplikationer som produceras av andra aktörer. Det ska krävas informationssäkerhet på motsvarande nivå som i fråga om Myndigheten för digitalisering och befolkningsdatas eget avläsargränssnitt.

En förlitande part som nyttjar i lagen om e-legitimation avsedda e-legitimationer eller e-tjänstverktyg för utlänningar med hjälp av ett direkt tekniskt gränssnitt ska göra en anmälan till Myndigheten för digitalisering och befolkningsdata innan nyttjandet inleds.

I anmälan ska åtminstone följande uppgifter ingå:

1) tjänsteleverantörens namn,

2) tjänsteleverantörens fullständiga kontaktuppgifter,

3) uppgifter om de tillhandahållna tjänster där e-legitimationer eller e-tjänstverktyg för utlänningar kommer att nyttjas.

Den förlitande parten ska utan dröjsmål göra en anmälan om ändringar i de uppgifter som avses i 2 mom.

Myndigheten för digitalisering och befolkningsdata är personuppgiftsansvarig i fråga om de uppgifter som avses i 2 mom., och myndigheten ska föra och offentliggöra en förteckning över de förlitande parter som avses i 1 mom.

En innehavare av applikationen för digital identitet ska använda applikationen omsorgsfullt och får inte överlåta den för att användas av någon annan. Innehavaren är skyldig att ansvara för applikationen efter att ha tagit den i bruk.

Innehavaren av applikationen ska göra en anmälan till Myndigheten för digitalisering och befolkningsdata, om den tekniska plattformen har förkommit eller obehörigen har kommit i någon annans besittning, eller om applikationen obehörigen har använts. Anmälan ska göras utan obefogat dröjsmål efter det att saken har upptäckts. Myndigheten för digitalisering och befolkningsdata ska se till att det är möjligt att när som helst göra en anmälan.

En innehavare av applikationen för digital identitet ansvarar för obehörig användning av applikationen endast om

1) innehavaren har överlåtit applikationen till någon obehörig,

2) den tekniska plattformen har förkommit eller obehörigen har kommit i någon annans besittning eller applikationen obehörigen har använts på grund av innehavarens vårdslöshet, som inte är lindrig, eller

3) innehavaren har försummat att utan obefogat dröjsmål efter det att saken har upptäckts göra en anmälan till Myndigheten för digitalisering och befolkningsdata om att den tekniska plattformen har förkommit eller obehörigen har kommit i någon annans besittning eller att applikationen obehörigen har använts.

Innehavaren av applikationen ansvarar dock inte för obehörig användning av applikationen

1) till den del applikationen har använts efter det att innehavaren har gjort en anmälan till Myndigheten för digitalisering och befolkningsdata om att den tekniska plattformen har förkommit eller obehörigen har kommit i någon annans besittning eller att applikationen obehörigen har använts,

2) om innehavaren av applikationen inte utan obefogat dröjsmål efter det att saken har upptäckts har kunnat göra en anmälan om att den tekniska plattformen har förkommit eller obehörigen har kommit i någon annans besittning eller att applikationen obehörigen har använts, på grund av att Myndigheten för digitalisering och befolkningsdata har försummat sin skyldighet enligt 27 § 2 mom. att se till att innehavaren av applikationen har möjlighet att när som helst göra en sådan anmälan.

Omprövning får begäras i fråga om beslut av Myndigheten för digitalisering och befolkningsdata som gäller sådant utfärdande av e-tjänstverktyg för utlänningar som avses i 15 § eller sådan indragning av e-tjänstverktyg för utlänningar som avses i 22 § 2 mom. Bestämmelser om begäran om omprövning finns i förvaltningslagen (434/2003).

Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019).

Denna lag träder i kraft den xx xxxx 20 .

Myndigheten för digitalisering och befolkningsdata ska meddela de föreskrifter som avses i 25 § 3 mom. inom 4 månader från ikraftträdandet av denna lag.

Denna lag innehåller bestämmelser om e-legitimationer som tillhandahålls finska medborgare samt utlänningar som vistas i Finland.

I denna lag avses med

bestyrkta uppgifter personuppgifter som verifierats av en myndighet på elektronisk väg,

förlitande part en fysisk eller juridisk person för vilken innehavaren av en e-legitimation styrker sin identitet eller visar bestyrkta uppgifter,

innehavare av en e-legitimation en person som har tagit i bruk en e-legitimation,

teknisk plattform en mobil terminal som innehavaren av en e-legitimation förfogar över,

uträttande av ärenden på plats uträttande av ärenden på så sätt att innehavaren av en e-legitimation och den förlitande parten är närvarande samtidigt och på samma plats och innehavaren av e-legitimationen visar upp sin i identitetshandlingen bestyrkta identitet eller andra bestyrkta uppgifter gällande honom eller henne till den förlitande parten,

bevis för kärnidentitet ett bevis som avses i 11 § i lagen om de tjänster för digital identitet som tillhandahålls av Myndigheten för digitalisering och befolkningsdata ( / ).

En e-legitimation är en identitetshandling som är avsedd för att styrka identiteten och visa bestyrkta uppgifter i anslutning till e-tjänster och vid uträttande av ärenden på plats. Bestämmelser om rätten till en e-legitimation finns i lagen om identitetskort (663/2016) och passlagen (671/2006). E-legitimationer produceras av polisen.

E-legitimationer tillhandahålls med hjälp av en sådan applikation för digital identitet som avses i 2 § 6 punkten i lagen om de tjänster för digital identitet som tillhandahålls av Myndigheten för digitalisering och befolkningsdata ( / ).

Med avvikelse från vad som i 34 § i passlagen och i 34 § i lagen om identitetskort föreskrivs om avgifter för pass och identitetskort kan det bestämmas att avgiften för e-legitimation underskrider självkostnadsvärdet.

Polisen ska lämna innehavaren av en e-legitimation en kopia av de uppgifter i identitetskortsregistret enligt 31 § i lagen om identitetskort eller i passregistret enligt 29 § i passlagen som gäller personen i fråga till hans eller hennes eget förfogande. Följande personuppgifter ska lämnas till innehavaren av en e-legitimation:

1) förnamn,

2) efternamn,

3) födelsetid,

4) uppgift om personens könstillhörighet,

5) uppgift om finskt medborgarskap,

6) personbeteckning eller någon annan identifikationskod på nationell nivå,

7) ansiktsbild som har sparats i pass- eller identitetskortsregistret,

8) giltighetstid för ett giltigt finskt pass eller identitetskort, och

9) e-legitimationens identifieringskod.

Innan uppgifterna lämnas till personens eget förfogande i e-legitimationen är polisen skyldig att verifiera dem på ett sådant sätt att den förlitande parten kan försäkra sig om att uppgifterna är riktiga och aktuella genom att kontrollera certifikatets giltighet. Polisen har inte rätt att behandla de bestyrkta uppgifter som har lämnats till innehavaren av en e-legitimation efter det att uppgifterna har lämnats till personen i fråga.

Certifikat som hänför sig till säkerställandet av äktheten och integriteten hos uppgifterna utfärdas av Myndigheten för digitalisering och befolkningsdata. Dessutom lämnar Myndigheten för digitalisering och befolkningsdata innehavaren av en e-legitimation åldersbevis som grundar sig på födelsetiden.

Uppgifterna i en e-legitimation uppdateras på innehavarens uttryckliga begäran. En förutsättning för användningen av en e-legitimation är emellertid att de uppgifter som ingår i den är aktuella och motsvarar de uppgifter som finns i de register som nämns i 1 mom.

Polisen för ett register över e-legitimationer. I registret får de uppgifter som avses i 4 § 1 mom. 1–9 punkten föras in till den del det är fråga om en person som har rätt att ta i bruk en e-legitimation. I registret förs det dessutom in uppgifter om e-legitimationerna och om deras innehavare och giltighet.

Uppgifterna i registret ska raderas senast tio år efter det att en persons rätt till en e-legitimation har upphört.

En person kan ta i bruk en e-legitimation i samband med uträttande av ärenden hos en annan behörig passmyndighet eller behörig myndighet som utfärdar identitetskort än utrikesministeriet eller genom användning av stark autentisering enligt 2 § 1 punkten i lagen om stark autentisering och betrodda elektroniska tjänster (617/2009). Användning av stark autentisering förutsätter att uppgifterna i den tekniska delen på personens giltiga pass eller identitetskort har blivit fjärravlästa och motsvarar uppgifterna enligt den starka autentiseringen.

I samband med ibruktagandet av en e-legitimation kopplar polisen det bevis för kärnidentitet som har utfärdats av Myndigheten för digitalisering och befolkningsdata till den fysiska personen.

En minderårig kan ta i bruk e-legitimation, om dennes vårdnadshavare ger sitt samtycke.

Bestämmelsen i 1 mom. gäller inte minderåriga som har fyllt 15 år.

En e-legitimation upphör att gälla ett år efter det att den identitetshandling som e-legitimationen grundar sig på har upphört att gälla.

Med identitetshandling avses den handling som har utfärdats i enlighet med passlagen eller lagen om identitetskort och med stöd av vilken en person har rätt till en e-legitimation.

Polisen drar in en e-legitimation om innehavaren begär det. Om innehavaren av e-legitimationen anmäler att den tekniska plattformen har förkommit eller obehörigen har kommit i någon annans besittning, kan också Myndigheten för digitalisering och befolkningsdata dra in e-legitimationen.

Polisen kan dra in en e-legitimation om den innehåller ett uppenbart fel, om den identitetshandling som e-legitimationen grundar sig på dragits in, om e-legitimationen används av någon annan än innehavaren eller om säkerheten vid användningen av e-legitimationen annars har äventyrats.

I anslutning till e-tjänster väljer innehavaren av en e-legitimation själv vilka bestyrkta uppgifter som han eller hon vill visa den förlitande parten, om inte något annat föreskrivs i någon annan lag.

I anslutning till e-tjänster lämnas emellertid alltid information om den koppling som polisen gjort till personens kärnidentitet.

Vid uträttande av ärenden på plats väljer innehavaren av en e-legitimation själv de bestyrkta uppgifter som han eller hon vill visa den förlitande parten. Vid uträttande av ärenden på plats ska en ansiktsbild emellertid alltid visas.

Den förlitande part som tar emot uppgifterna har rätt att kontrollera giltigheten för det bevis för kärnidentitet som gäller innehavaren av e-legitimationen i det register över bevis för kärnidentitet som avses i 13 § 1 mom. i lagen om de tjänster för digital identitet som tillhandahålls av Myndigheten för digitalisering och befolkningsdata.

Omprövning får begäras i fråga om beslut av polisen som gäller sådan indragning av e-legitimationer som avses i 9 § 2 mom. Bestämmelser om begäran om omprövning finns i förvaltningslagen (434/2003).

Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019).

Denna lag träder i kraft den xx xxxx 20 .

I denna lag avses med

1) stark autentisering identifiering av en person, av en juridisk person eller av en fysisk person som företräder en juridisk person och verifiering av identifikatorns autenticitet och riktighet genom tillämpning av ett verktyg för digital identitet eller en annan elektronisk metod som motsvarar tillitsnivån väsentlig enligt artikel 8.2 b i EU:s förordning om elektronisk identifiering eller tillitsnivån hög enligt artikel 8.2 c i den förordningen,

11) organ för bedömning av överensstämmelse ett av Transport- och kommunikationsverket godkänt organ enligt artikel 2.13 i Europaparlamentets och rådets förordning (EG) nr 765/2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93, som är ackrediterat i enlighet med den förordningen,

12) leverantör av tjänster för digital identitet den aktör som producerar i lagen om de tjänster för digital identitet som tillhandahålls av Myndigheten för digitalisering och befolkningsdata ( / ), nedan lagen om tjänster för digital identitet , avsedda tjänster för digital identitet och som inte är en sådan leverantör av identifieringstjänster som avses i 3 punkten,

13) verktyg för digital identitet en sådan e-legitimation enligt 3 § i lagen om e-legitimation och ett sådant e-tjänstverktyg för utlänningar enligt 14 § i lagen om tjänster för digital identitet vars innehavare har identifierats i enlighet med 17 § i denna lag.

Leverantörer av identifieringstjänster har trots sekretessbestämmelserna rätt att via ett gränssnitt eller på något annat sätt i elektronisk form få information ur polisens informationssystem om giltighet för pass och identitetskort som används vid inledande identifiering. Information om giltighet för bevis för kärnidentitet i e-legitimationer som används vid inledande identifiering kan kontrolleras via en kontrollapplikation som avses i 25 § i lagen om tjänster för digital identitet och i det register över bevis för kärnidentitet som avses i 13 § i den lagen.

Leverantörer av identifieringsverktyg är skyldiga att säkerställa den i 1 mom. avsedda informationen om giltigheten för de handlingar som används vid inledande identifiering. Leverantörerna ska säkerställa att ett identifieringsverktyg inte är tillgängligt förrän handlingens giltighet har säkerställts.

Leverantören av tjänster för digital identitet ska avgiftsfritt erbjuda leverantörer av tjänster för identifieringsförmedling tillträdesrätt till det informationssystem för digital identitet som avses i 4 § i lagen om tjänster för digital identitet, så att leverantörerna kan förmedla de identifieringstransaktioner som grundar sig på ett verktyg för digital identitet till en part som förlitar sig på en elektronisk identifiering. Bestämmelser om den information som ska offentliggöras innan informationssystemet för digital identitet tas i bruk finns i 7 § i den lagen.

Leverantören av tjänster för digital identitet ska bestämma vilka tekniska gränssnitt och standarder som ska användas vid tillhandahållandet av informationssystemet för digital identitet.

Leverantören av identifieringstjänster ska trots sekretessbestämmelserna utan obefogat dröjsmål lämna den information som avses i 1 mom. också till leverantören av tjänster för digital identitet. Dessutom får leverantören av identifieringstjänster trots sekretessbestämmelserna lämna leverantören av tjänster för digital identitet information som avses i 2 mom. och information som hänför sig till utredning av hot och störningar.

Leverantören av tjänster för digital identitet ska trots sekretessbestämmelserna utan obefogat dröjsmål till de leverantörer av identifieringstjänster som är medlemmar i förtroendenätet och till Transport- och kommunikationsverket anmäla betydande hot och störningar som riktas mot funktionen hos verktyg för digital identitet, informationssäkerheten, dataskyddet eller användningen av en digital identitet och anmäla avbrott i tjänsterna samt lämna information som hänför sig till utredning av hot och störningar. I anmälan ska det redogöras för de åtgärder som olika aktörer har tillgång till för att avvärja hot och störningar samt de beräknade kostnaderna för åtgärderna.

En leverantör av identifieringstjänster och leverantören av tjänster för digital identitet får använda sådana uppgifter om varandra som de fått med stöd av 1 mom. och 16 § 3 mom. endast för det ändamål för vilket uppgifterna har lämnats. Uppgifterna får behandlas endast av den som arbetar hos eller för en leverantör av identifieringstjänster och som nödvändigt behöver uppgifterna i sitt arbete.

Dokument som godkänns vid inledande identifiering, när identifieringen endast sker utifrån en identitetshandling som utfärdats av en myndighet, är ett giltigt pass eller identitetskort som har utfärdats av en myndighet i en medlemsstat inom Europeiska ekonomiska samarbetsområdet, i Schweiz eller i San Marino. En leverantör av identifieringsverktyg som så önskar kan också vid kontrollen av identiteten använda ett giltigt pass som har utfärdats av en myndighet i någon annan stat eller en e-legitimation som avses i 3 § i lagen om e-legitimation.

En leverantör av identifieringsverktyg ska göra det möjligt för en annan leverantör av identifieringsverktyg eller för leverantören av tjänster för digital identitet att använda ett identifieringsverktyg för stark autentisering som beviljats av den förstnämnda för inledande identifiering vid ansökan om ett identifieringsverktyg för stark autentisering eller ett verktyg för digital identitet på motsvarande eller lägre tillitsnivå. Vad som i 12 a och 12 b § föreskrivs om överlåtelse av tillträdesrätt till identifieringstjänsten och offentliggörande av leveransvillkoren tillämpas också på i detta moment avsedd användning av identifieringsverktyg vid inledande identifiering.

Leverantören av tjänster för digital identitet ska göra det möjligt för en leverantör av identifieringsverktyg att avgiftsfritt använda en e-legitimation enligt 3 § i lagen om e-legitimation för inledande identifiering vid ansökan om ett identifieringsverktyg för stark autentisering på motsvarande eller lägre tillitsnivå. Vad som i 7 § i lagen om tjänster för digital identitet föreskrivs om den information som ska offentliggöras innan informationssystemet för digital identitet tas i bruk tillämpas också på användning av e-legitimation vid inledande identifiering.

Transport- och kommunikationsverket ska i enlighet med EU:s förordning om elektronisk identifiering

2) anmäla de system för elektronisk identifiering som anmälts i enlighet med 10 § till Europeiska kommissionen i enlighet med artiklarna 7–10 i förordningen,

Denna lag träder i kraft den xx xxxx 20 . Bestämmelserna i 7 b § 2 mom. tillämpas dock först från och med den 1 december 2023.

Utöver vad som föreskrivs annanstans i lag har polisen trots sekretessbestämmelserna rätt att ur vissa register genom en teknisk anslutning eller som en datamängd få information för att utföra sina uppgifter och föra sina personregister, på det sätt det avtalas om tillvägagångssättet med den personuppgiftsansvarige, enligt följande:

15) av samfund och sammanslutningar uppgifter ur register som gäller passagerare och fordons personal, för förhindrande, avslöjande och utredning av brott och förande av brott till åtalsprövning samt för att nå efterlysta personer; bestämmelser om rätten att få uppgifter ur flygtrafikens PNR-uppgifter finns i lagen om användning av flygpassageraruppgifter för bekämpning av terroristbrott och grov brottslighet (657/2019),

16) ur register som avses i lagen om de tjänster för digital identitet som tillhandahålls av Myndigheten för digitalisering och befolkningsdata ( / ) sådana uppgifter som är nödvändiga för produktion av e-legitimationer samt uppgifter för utredning av misstänkt missbruk av personuppgifter, identitetsstölder eller andra motsvarande brott och för förebyggande av sådana brott.

Polisen får trots sekretessbestämmelserna genom en teknisk anslutning eller som en datamängd lämna ut sådana personuppgifter som avses i 5–8, 11 och 12 § för en uppgift som myndigheten har enligt lag, enligt följande:

17) till Försvarsmakten, Tullen, Gränsbevakningsväsendet och Brottspåföljdsmyndigheten för bedömning av om en hos dessa anställd med rätt att bära skjutvapen i sina tjänste-, arbets- eller tjänstgöringsuppdrag är lämplig att bära skjutvapen,

18) till Myndigheten för digitalisering och befolkningsdata sådana personuppgifter som avses i 11 och 12 § för produktion och administration av det informationssystem för digital identitet och de bevis för kärnidentitet som avses i lagen om de tjänster för digital identitet som tillhandahålls av Myndigheten för digitalisering och befolkningsdata.

Denna lag träder i kraft den xx xxxx 20 .

Ett identitetskort ger rätt att ta i bruk en e-legitimation som avses i lagen om e-legitimation ( / ).

Vad som föreskrivs i 1 mom. gäller inte ett temporärt identitetskort eller ett sådant identitetskort för minderårig som har utfärdats för en person som är under 15 år.

Denna lag träder i kraft den xx xxxx 20 .

Rätten att ta i bruk en e-legitimation i enlighet med 1 a § i denna lag tillämpas även på giltiga identitetskort som har utfärdats före ikraftträdandet av denna lag.

Ett pass ger rätt att ta i bruk en e-legitimation som avses i lagen om e-legitimation ( / ).

Vad som föreskrivs i 1 mom. gäller inte ett tillfälligt pass eller ett nödpass.

Denna lag träder i kraft den xx xxxx 20 .

Rätten att ta i bruk en e-legitimation i enlighet med 3 d § i denna lag tillämpas även på giltiga pass som har utfärdats före ikraftträdandet av denna lag.

Myndigheten för digitalisering och befolkningsdata ska bevilja sådana identifieringsverktyg för elektronisk identifiering av fysiska personer som motsvarar tillitsnivån väsentlig enligt artikel 8.2 b i EU:s förordning om elektronisk identifiering eller tillitsnivån hög enligt artikel 8.2 c i den förordningen.

Ett identifieringsverktyg för fysiska personer är ett fysiskt verktyg som kan användas utan mobil terminal och chipkort.

Myndigheten för digitalisering och befolkningsdata tillhandahåller identifieringsverktygen för fysiska personer i form av identifieringsverktyg i enlighet med EU:s förordning om elektronisk identifiering, för att användas via den stödtjänst som avses i 3 § 1 mom. 4 punkten i lagen om stödtjänster.

Myndigheten för digitalisering och befolkningsdata ska för tillhandahållande och produktion av identifieringsverktyg för fysiska personer föra ett register över identifieringsverktygen och över verktygens innehavare. I registret får följande uppgifter om innehavare av identifieringsverktyg registreras:

1) de personuppgifter som ingår i den av en myndighet utfärdade identitetshandling som använts för kontroll av identiteten samt uppgifter som specificerar identitetshandlingen,

2) de personuppgifter som förmedlas i samband med den elektroniska identifieringsmetod som använts för kontroll av identiteten samt uppgifter om den elektroniska identifieringsmetoden,

3) en identifikationskod som avses i 11 a §,

4) en identifieringskod för identifieringsverktyget,

5) kontaktuppgifter,

6) andra än i 1–5 punkten avsedda uppgifter som behövs för tillhandahållandet av identifieringsverktyget.

Bestämmelser om behandling av personuppgifter inom tjänsteproduktionen i fråga om identifieringsverktyg för fysiska personer, om krav som gäller identifieringsverktyget och användningen av det och om styrningen av tjänsteproduktionen finns i 3–5 kap. i lagen om stödtjänster.

Myndigheten för digitalisering och befolkningsdata beviljar på ansökan ett identifieringsverktyg till en fysisk person.

Vid inledande identifiering ska identifieringen av en fysisk person göras personligen eller elektroniskt på ett sådant sätt att de krav uppfylls som gäller för tillitsnivån väsentlig eller hög enligt avsnitt 2.1.2 i bilagan till kommissionens genomförandeförordning (EU) 2015/1502 om fastställande av tekniska minimispecifikationer och förfaranden för tillitsnivåer för medel för elektronisk identifiering i enlighet med artikel 8.3 i Europaparlamentets och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden. Kontrollen av en persons identitet kan grunda sig på en identitetshandling som utfärdats av en myndighet eller på stark autentisering enligt 2 § 1 punkten i lagen om stark autentisering och betrodda elektroniska tjänster.

Utöver vad som i 6 § i samservicelagen föreskrivs om uppgifter som sköts inom ramen för samservice får Myndigheten för digitalisering och befolkningsdata överföra biträdande uppgifter som gäller beviljande av identifieringsverktyg till att skötas inom ramen för samservice. Dessa uppgifter kan omfatta verifiering av identiteten hos dem som ansöker om identifieringsverktyg och hos innehavare av identifieringsverktyg samt rådgivnings- och stödtjänster i samband med ansökan om identifieringsverktyg.

Om samservicens uppdragstagare inte ens efter ytterligare utredning kan verifiera sökandens identitet, ska uppdragstagaren överföra ärendet till Myndigheten för digitalisering och befolkningsdata för behandling.

Myndigheten för digitalisering och befolkningsdata har trots sekretessbestämmelserna rätt att via ett tekniskt gränssnitt eller på något annat sätt i elektronisk form få information ur polisens informationssystem om giltighet för pass och identitetskort som används vid inledande identifiering.

Myndigheten för digitalisering och befolkningsdata ska innan ett identifieringsverktyg beviljas informera sökanden om

1) användningen av identifieringsverktyget,

2) parternas rättigheter och skyldigheter,

3) eventuella ansvarsbegränsningar, och

4) eventuella andra än i 1–3 punkten avsedda villkor för användning av identifieringsverktyget.

De uppgifter som avses i 1 mom. ska lämnas skriftligen eller elektroniskt så att den som ansöker om ett identifieringsverktyg kan spara och återge dem i oförändrad form.

Myndigheten för digitalisering och befolkningsdata kan återkalla eller förhindra användningen av ett identifieringsverktyg, om

1) det finns skäl att misstänka att identifieringsverktyget används av någon annan än den det har beviljats till,

2) identifieringsverktyget innehåller ett uppenbart fel,

3) det finns skäl att misstänka att säkerheten vid användningen av identifieringsverktyget har äventyrats,

4) innehavaren av identifieringsverktyget använder det på ett sätt som väsentligt strider mot villkoren för användningen,

5) innehavaren av identifieringsverktyget har avlidit.

Myndigheten för digitalisering och befolkningsdata ska så snart som möjligt underrätta innehavaren av identifieringsverktyget om att verktyget har återkallats eller användningen av det förhindrats samt om tidpunkten för och orsakerna till detta.

Myndigheten för digitalisering och befolkningsdata ska erbjuda en ny möjlighet att använda identifieringsverktyget eller tillhandahålla innehavaren ett nytt verktyg omedelbart efter det att en sådan orsak som avses 1 mom. 2 eller 3 punkten inte längre föreligger.

Innehavaren av ett identifieringsverktyg för fysiska personer ska använda verktyget i enlighet med villkoren för användningen. Innehavaren ska förvara identifieringsverktyget omsorgsfullt. Innehavaren är skyldig att ansvara för verktyget efter att ha tagit emot det.

Innehavaren av ett identifieringsverktyg får inte överlåta verktyget för att användas av någon annan.

Innehavaren av ett identifieringsverktyg ska göra en anmälan till Myndigheten för digitalisering och befolkningsdata, om verktyget obehörigen har kommit i någon annans besittning eller obehörigen har använts. Anmälan ska göras utan obefogat dröjsmål efter det att saken har upptäckts.

Myndigheten för digitalisering och befolkningsdata ska se till att det är möjligt att när som helst göra en anmälan enligt 3 mom. Myndigheten ska återkalla identifieringsverktyget eller förhindra användningen av det utan dröjsmål efter det att anmälan har mottagits. Innehavaren av ett identifieringsverktyg ansvarar inte för obehörig användning av verktyget efter att ha gjort anmälan till Myndigheten för digitalisering och befolkningsdata.

Omprövning får begäras i fråga om sådana beslut av Myndigheten för digitalisering och befolkningsdata som gäller beviljande av identifieringsverktyg för fysiska personer i enlighet med 69 e § eller återkallelse av identifieringsverktyg för fysiska personer i enlighet med 69 k §. Bestämmelser om begäran om omprövning finns i förvaltningslagen.

Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019).

Denna lag träder i kraft den xx xxxx 20 .

De gemensamma stödtjänsterna för e-tjänster omfattar

4) en sådan tjänst för identifiering av fysiska personer som identifierar en fysisk person som använder den offentliga förvaltningens e-tjänster med hjälp av en tjänst som tillhandahålls av en sådan leverantör av identifieringstjänster som avses i lagen om stark autentisering och betrodda elektroniska tjänster (617/2009) eller med hjälp av en tjänst som avses i 6 b kap. i lagen om befolkningsdatasystemet och de certifikattjänster som tillhandahålls av Myndigheten för digitalisering och befolkningsdata (661/2009), administrerar identifieringstransaktionen och till användarorganisationen lämnar ut identifieringsuppgifter om en person ur befolkningsdatasystemet,

För att fullgöra sina uppgifter enligt denna lag har Myndigheten för digitalisering och befolkningsdata, med iakttagande av detta kapitel, rätt att behandla i denna paragraf avsedda uppgifter som införts i följande informationssystem:

1) i fråga om befolkningsdatasystemet enligt lagen om befolkningsdatasystemet och de certifikattjänster som tillhandahålls av Myndigheten för digitalisering och befolkningsdata, uppgifter om personers namn, personbeteckning, elektroniska kommunikationskod, medborgarskap, kontaktspråk, modersmål, dödsdag, intressebevakning, begränsning av handlingsbehörigheten, intressebevakningsfullmakt och vårdnad om barn samt kontaktuppgifter och uppgifter om spärrmarkering,

Denna lag träder i kraft den xx xxxx 20 .