Ny lag om statlig e-legitimation och krav på erkännande i offentliga aktörers nättjänster

Riksdagen har beslutat att anta en ny lag om statlig e-legitimation och elektronisk identifiering. Lagen reglerar dels hur en statlig e-legitimation ska utfärdas och användas, dels hur personuppgifter och biometriska uppgifter får behandlas i verksamheten. Offentliga aktörer blir dessutom under vissa förutsättningar skyldiga att erkänna medel för elektronisk identifiering som tillhandahålls inom ramen för ett auktorisationssystem. Lagen träder i kraft den 1 december 2026.  

Ett statligt alternativ för elektronisk identifiering 

Svenska e-legitimationer utfärdas i dag huvudsakligen av privata aktörer. Regeringen bedömer att beroendet av ett begränsat antal utfärdare innebär en sårbarhet och att det behövs ett statligt alternativ för att öka tillgängligheten, konkurrensen och redundansen inom elektronisk identifiering. 

Den statliga e-legitimationen ska vara ett medel för elektronisk identifiering i den mening som avses i EU:s förordning om elektronisk identifiering (910/2014). Regeringen bedömer att den ska kunna utformas på tillitsnivån hög. Den är därmed också avsedd att bidra till att Sverige kan uppfylla kraven i den reviderade EU-förordningen om att tillhandahålla en europeisk digital identitetsplånbok. 

Den närmare tekniska utformningen bestäms inte i lagen. Regeringen eller den myndighet som regeringen bestämmer ska kunna meddela föreskrifter om bland annat e-legitimationens innehåll, bärare, aktivering och villkoren för dess användning. Föreskrifterna kan exempelvis ange vilken fysisk handling e-legitimationen ska finnas på och hur den ska aktiveras, exempelvis för användning genom en mobilapplikation. 

Vilka ska kunna få en statlig e-legitimation? 

En statlig e-legitimation ska kunna utfärdas till 

• svenska medborgare
• utlänningar som är folkbokförda i Sverige 
• personer som har tilldelats ett så kallat immunitetsnummer och fortfarande omfattas av lagen om immunitet och privilegier i vissa fall. 

Sökanden ska ha fyllt eller under det aktuella kalenderåret fylla nio år. För den som är under 18 år krävs som huvudregel vårdnadshavarens medgivande. E-legitimation ska dock kunna utfärdas utan ett sådant medgivande om det finns synnerliga skäl. 

Utländska medborgare som endast har ett samordningsnummer och inte är folkbokförda omfattas inte av den nya lagen. Regeringen hänvisar till praktiska svårigheter men har aviserat att den avser att återkomma i fråga om möjligheten för utländska medborgare med styrkt samordningsnummer att få en statlig e-legitimation. 

Personlig ansökan och säker grundidentifiering 

E-legitimationen ska utfärdas efter ansökan. Ansökan ska lämnas vid personlig inställelse, och sökanden ska styrka sin identitet och de övriga personuppgifter som krävs för utfärdandet. Förfarandet bygger därmed på en fysisk grundidentifiering och inte enbart på identifiering på distans. 

Polismyndigheten ska vara utfärdande myndighet inom riket. Utom riket ska beskickningar och karriärkonsulat fullgöra uppgifter som utfärdande myndighet i den utsträckning som beslutas av regeringen eller den myndighet som regeringen bestämmer. Den utfärdande myndigheten kommer därmed som utgångspunkt att ansvara för såväl grundidentifieringen som utfärdandet. 

Om förutsättningarna i lagen och anslutande föreskrifter är uppfyllda ska e-legitimationen utfärdas och skyndsamt göras tillgänglig för utlämnande. En ansökan ska avslås om kraven inte är uppfyllda och sökanden inte följer en uppmaning att rätta till bristen. Tidigare brottslighet eller misstanke om framtida missbruk utgör inte någon självständig avslagsgrund enligt den nya regleringen. 

Utfärdande myndighet får ta ut avgifter för ansökan om statlig e-legitimation. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om avgifterna, bland annat om deras storlek. Regeringens utgångspunkt är att verksamheten ska avgiftsfinansieras. 

Ansiktsbild, fingeravtryck och biometriska kontroller 

Sökanden ska i samband med ansökan låta den utfärdande myndigheten ta en ansiktsbild och fingeravtryck. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från skyldigheten att lämna fingeravtryck, exempelvis för barn i en viss ålder eller personer som har skador på fingrarna. Ansiktsbilden och, om fingeravtryck har tagits, även dessa ska sparas i ett lagringsmedium i e-legitimationens bärare. 

Om sökanden styrker sin identitet med en identitetshandling som är försedd med en ansiktsbild eller innehåller lagrade ansiktsbilder eller fingeravtryck, får den utfärdande myndigheten kontrollera att dessa motsvarar den ansiktsbild och de fingeravtryck som tas i ärendet. Vid utlämnandet får myndigheten, om den begär det, ta en ny ansiktsbild och nya fingeravtryck och jämföra dem med uppgifterna i e-legitimationen. 

Fingeravtryck som tas vid ansökan och biometriska uppgifter som tas fram ur avtrycken ska omedelbart förstöras när e-legitimationen har lämnats ut. Om den inte lämnas ut ska uppgifterna förstöras när 90 dagar har gått från utfärdandet. Om ansökningsärendet avslutas på något annat sätt ska uppgifterna också förstöras omedelbart. Uppgifter som tas vid utlämnandet eller hämtas från en uppvisad identitetshandling ska förstöras omedelbart efter kontrollen. 

Ansiktsbilden och biometriska uppgifter som tas fram ur bilden får däremot ingå i registret över ärenden om statlig e-legitimation och användas för sökning. En sådan sökning får endast göras i ett ärende om statlig e-legitimation för att kontrollera sökandens identitet och om personen redan innehar en statlig e-legitimation. Fingeravtryck ska inte lagras i registret över ärenden om statlig e-legitimation. 

Giltighet, användning och spärr 

E-legitimationen ska som huvudregel vara giltig i fem år. För barn som inte har fyllt tolv år ska giltighetstiden vara tre år. En kortare giltighetstid ska kunna föreskrivas i särskilda fall, exempelvis om e-legitimationen finns på en fysisk identitetshandling med kortare giltighetstid. 

En statlig e-legitimation ska återkallas och spärras om 

• det fanns ett hinder mot utfärdandet och hindret fortfarande består
• någon väsentlig uppgift i e-legitimationen är felaktig
• det är nödvändigt av säkerhetsskäl
• den fysiska identitetshandling som e-legitimationen finns på har upphört att gälla eller 
• innehavaren har avlidit. 

Innehavaren ska också kunna begära att e-legitimationen återkallas och spärras. Om begäran avser en innehavare under 18 år krävs som huvudregel vårdnadshavarens medgivande. E-legitimationen ska dessutom spärras när en ny statlig e-legitimation lämnas ut eller när giltighetstiden löper ut. 

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om villkor för användningen. Det kan exempelvis handla om vilka krav som ska ställas på offentliga eller privata aktörer som vill använda e-legitimationen, kontroll av biometriska uppgifter i samband med identifiering eller betalningstransaktioner och tillfälliga begränsningar efter upprepade felaktiga inloggningsförsök. Privata aktörer omfattas inte av någon generell skyldighet att godta den statliga e-legitimationen. 

Särskild reglering av personuppgiftsbehandlingen 

Den nya lagen kompletterar EU:s dataskyddsförordning, förordning (EU) 2016/679, och dataskyddslagen (2018:218). Varje utfärdande myndighet är personuppgiftsansvarig för den behandling som myndigheten själv utför. Polismyndigheten är personuppgiftsansvarig för registret över ärenden om statlig e-legitimation. 

Personuppgifter får behandlas av en utfärdande myndighet när det är nödvändigt för att 

• handlägga ärenden om statlig e-legitimation
• föra ett register över sådana ärenden
• vidta åtgärder för en säker användning av statliga e-legitimationer. 

Uppgifter som behandlas för dessa ändamål får också användas när de behövs i Polismyndighetens arbete med att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, hantera uppbörd eller upprätthålla allmän ordning och säkerhet. Uppgifterna får även behandlas i den utsträckning som behövs när de ska eller får lämnas ut enligt lag eller förordning. Därutöver får uppgifterna behandlas för andra ändamål, under förutsättning att den fortsatta behandlingen inte är oförenlig med det ändamål för vilket de samlades in. 

Ett register hos Polismyndigheten 

Polismyndigheten ska genom automatiserad behandling föra ett register över ärenden om statlig e-legitimation. Registret får endast innehålla följande kategorier av uppgifter: 

• identitets- och kontaktuppgifter
• ansiktsbilder och biometriska uppgifter som har tagits fram ur bilderna
• handlingar eller uppgifter från handlingar som har kommit in eller upprättats i ärendena
• uppgifter om handläggningen
• uppgifter om utfärdade e-legitimationer, såsom identifierare, utfärdandedatum och giltighetstid. 

Personuppgifter i registret får inte behandlas längre än tio år från utgången av det kalenderår då det ärende som uppgifterna hänför sig till avslutades. Uppgifter ska under vissa förutsättningar kunna behandlas längre för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, men föreskrifter ska då kunna meddelas om avskiljande och begränsad åtkomst. 

Det ska vara förbjudet att använda ansiktsbilder, biometriska uppgifter, andra känsliga personuppgifter eller uppgifter om lagöverträdelser som sökbegrepp, med undantag för den särskilt reglerade identitetskontrollen vid ansökan. Det ska även vara förbjudet att ta fram urval av personer grundat på känsliga personuppgifter eller uppgifter om lagöverträdelser. 

Tillgången till personuppgifter ska begränsas till vad varje anställd eller annan behörig person behöver för sina arbetsuppgifter. Ytterligare föreskrifter ska kunna meddelas om behörighetsbegränsningar och andra tekniska och organisatoriska säkerhetsåtgärder. 

Offentliga e-tjänster ska godta fler e-legitimationer 

En central förändring för e-förvaltningen är att offentliga aktörer ska bli skyldiga att erkänna medel för elektronisk identifiering som tillhandahålls inom ett auktorisationssystem enligt lagen lagen (2023:704) om auktorisationssystem i fråga om tjänster för elektronisk identifiering och för digital post. 

Skyldigheten gäller när 

• den offentliga aktören kräver elektronisk identifiering för tillgång till en nättjänst 
• nättjänsten helt eller delvis riktar sig till enskilda
• e-legitimationens tillitsnivå är lika hög som eller högre än den nivå som aktören kräver för tjänsten.  

Kravet omfattar statliga och kommunala myndigheter, kommunala och regionala beslutande församlingar samt vissa sammanslutningar av sådana myndigheter eller församlingar. Det omfattar även vissa privata aktörer som yrkesmässigt bedriver verksamhet som till någon del är offentligt finansierad. Hit hör bland annat enskilda huvudmän inom skolväsendet, hälso- och sjukvård, tandvård, socialtjänst, verksamhet enligt LSS och personlig assistans som utförs med assistansersättning. Även vissa enskilda utbildningsanordnare inom högskoleområdet omfattas. 

Skyldigheten innebär att en e-legitimation som uppfyller kraven ska kunna användas för autentisering. Den innebär däremot inte att användaren automatiskt har rätt att få tillgång till tjänsten; aktören får fortfarande kontrollera exempelvis behörighet och andra materiella förutsättningar. 

För de berörda aktörerna kan kravet medföra behov av tekniska anpassningar, framför allt om de inte redan använder samma anslutningsmetod som de aktuella e-legitimationerna. Kravet innebär däremot inte att aktörerna måste ansluta sig till auktorisationssystemet eller anskaffa tjänsterna genom detta; tjänsterna kan exempelvis upphandlas enligt lagen om offentlig upphandling. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om inom vilken tid nytillkomna medel för elektronisk identifiering ska erkännas och om undantag från skyldigheten, exempelvis med hänsyn till rikets säkerhet. 

Överklagande och omedelbar verkställighet 

Beslut enligt lagen eller enligt föreskrifter som har meddelats i anslutning till lagen får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. 

Beslut enligt lagen gäller omedelbart, om inte något annat anges i beslutet. En e-legitimation som har återkallats och spärrats förblir därmed obrukbar under överklagandet, om beslutet inte anger något annat eller domstolen beslutar om inhibition. 

Ikraftträdande och övergångsbestämmelser 

Riksdagen har beslutat att anta lagen om statlig e-legitimation och elektronisk identifiering. Lagen träder i kraft den 1 december 2026. Lagen innehåller inga särskilda övergångsbestämmelser. 

Sammanfattning av förarbete Prop. 2025/26:250 En statlig e-legitimation.

Ursprungligen publicerad i JP Förvaltningsnet.

Ny praxis och lagändringar kan ha tillkommit sedan texten skrevs. De senaste uppdateringarna och hur dessa påverkat rättsområdet hittar du alltid i relevant informationstjänst.

Publicerad 1 sep 2026

Jonatan Nordlander

Jurist, redaktör