sou · GMB314 · 1999-01-01 00:00:00 — De tekniska och administrativa arrangemang som används för att skydda digitala värde- enheter är emellertid synnerligen sammansatta och komplicerade och känsliga uppgifter kan om de kommer på avvägar skapa luckor i säkerheten av en art och omfattning som torde sakna motsvarighet i traditionell miljö. Saken underlättas inte av att kan komma att behöva anlita extern expertis för att bedöma tekniskt kompli- cerade system. Exempelvis bör hemliga nycklar naturligtvis inte avhandlas när det är tillräckligt att granska t.ex. nyckellängder, kryptologiska koncept och andra principiellt hållna frågor. Någon reglering härav, utöver skyddet enligt sekretesslagen, är natur- ligtvis inte aktuell. Det behöver emellertid övervägas, när förutsättningarna klarnat, om ändringar behövs i sekretesslagen; jfr SOU 1996:40 s. 38. Mitt förslag: Den som har tillstånd att ge ut e-pengar bör normalt inte få driva annan verksamhet än utgivning och administration av betalningsmedel. Frågan om vilken verksamhet en utgivare bedriver är betydelsefull i sam- band med tillståndsgivningen och verksamheten behöver bevakas mer eller mindre kontinuerligt. En betydelsefull fråga är härvid om den som ger ut e- pengar och som föreslås vara underkastad tillståndsplikt skall få driva annan verksamhet inom ramen för samma juridiska person; t.ex. industriell verksamhet eller detaljhandel. Enligt min mening kan e-penningsystemen få en sådan systembärande roll att utgivarnas förpliktelser mot användarna inte bör få sättas i fara genom risker för underskott i annan verksamhet. Till detta kommer att tillståndsprövning och tillsyn avsevärt skulle försvåras om blandade verksamheter skulle behöva granskas och bedömas från t.ex. soliditets- och likviditetssynpunkt. Jag föreslår därför som huvudregel att den som ges tillstånd enligt den föreslagna lagen inte får driva annan verksamhet än utgivning och administration av betalningsmedel. En sådan reglering utan undantag kan dock bli alltför stelbent. Därför bör ges rätt att tillåta att en utgivare driver annan verksamhet om denna inte kan antas äventyra utgivarens finansiering eller betalningsberedskap. En annan fråga är om det bör krävas att tillståndspliktiga utgivare av e- pengar driver sin verksamhet i viss associationsform. Aktiebolagsformen utgör här, liksom på det finansiella området i övrigt, en tydlig och väl fungerande bas. Regelverket är klart och det är lätt att anskaffa nytt kapital, om det skulle behövas. Det finns dock risk för att en uttrycklig begränsning till aktiebolag som utgivare av e-pengar undantagsvis skulle kunna leda till begränsningar som inte är sakligt motiverade. Enligt min mening bör i denna del istället kunna uppställa särskilda krav vid tillståndsprövningen, om en annan associationsform aktualiseras, så att berörda skyddsintressen tillgodoses. Insättningsgaranti eller liknande skydd Mitt förslag: E-pengar i större system kan behöva omfattas av någon form av garanti. Frågan behöver dock övervägas närmare. En fråga är om någon särskild garanti bör finnas för att skydda kunder mot risker i e-penningsystemen. Tanken går härvid i första hand till lagen (1995:1571) om insättningsgaranti. När det gäller de större systemen dvs. tillståndspliktiga system eller motsvarande system som banker och kreditmarknadsföretag tillhandahåller kan det finnas skäl att ställa krav på någon form av garantiordning, till skydd för både konsumenter och det finansiella systemet. För mindre system behövs däremot knappast något sådant skydd; berörda belopp är alltför begränsade. Härvid bör genomlysas hur insättningsgarantilagens regelsystem skulle kunna anpassas till e-pengar, t.ex. hur reglerna om maximalt ersätt- ningsbelopp skulle kunna tillämpas på helt eller delvis anonyma värdeenheter. Även andra lösningar än en insättningsgaranti kan tänkas, t.ex. att ett finansiellt institut går i borgen eller ställer en bankgaranti för utgivarens förpliktelser. Ett skydd baserat på försäkringar bör inte heller uteslutas. För system som inte kommer att omfattas av garantin blir det betydelsefullt att lämna tydlig information till användarna om att det inte finns något sådant skydd (se bilaga 3). En jämförelse med förslaget till ep-direktiv Jag har inte från näringsrättsliga utgångspunkter funnit skäl för en så långt- gående och detaljerad reglering som den i kommissionens förslaget till ep- direktiv. Förslaget till direktiv om tillhandahållande av elektroniska penningtjänster (ep-direktivet) har behandlats i avsnitt 4.3.2. Frågan är då om mitt förslag till näringsrättslig reglering, vid en närmare jämförelse, kan anses förenligt med direktivförslaget. Jag har ansett det vara tillräckligt att låta utgivare av e-pengar omfattas, medan direktivförslaget även innefattar den som investerar intäkterna från sådan verksamhet utan att omfattas av direktivet 93/22/EEC. Enligt min mening bör en så omfattande reglering kunna undvikas genom att ställa erforderliga krav på utgivaren och dennes val av mellanaktörer och överenskommelser med dessa. Direktivförslagets definition av e-pengar (se avsnitt 3.7.1.1) är visser- ligen i huvudsak förenlig med min, men en närmare studie visar att definitionen i direktivet är både vidare och smalare. I direktivet görs till skillnad från mitt förslag en begränsning till e-penningsystem som syftar till överföringar av mindre belopp (limited value payments). Enligt min mening är en begränsning till en sådan i huvudsak konsumenträttslig reglering inte lämplig. En annan fråga är vad som då skall gälla för betalningar med digitala värdeenheter av betydande belopp inom t.ex. industrin och vad de skall kallas om de inte benämns e- pengar? Vidare omfattas, enligt direktivförslaget, berörda betalningsmedel så snart de godtas av andra än utställaren, medan jag föreslår ett undantag i enlighet med den vidare krets som anges i 1 kap. 2 a § bankrörelselagen. för kontobaserade betalningar därmed vara undantagna från tillstånd och tillsyn medan motsatsen skall gälla för sådana rutiner baserade på e-pengar? 101Slutligen kan den teknikaliteten nämnas att direktivets krav på att det monetära värdet skall vara lagrat på en teknisk anordning såsom chip eller datorminne, synes innebära att digitala värdeenheter mister egenskapen av e-pengar när de distribueras via t.ex. nät eller från kort till betalterminal, men återfår denna egenskap när lagring på nytt sker; något som jag har undvikit i mitt förslag (jfr avsnitt 2.4.3 om datas karaktär). Vad härefter beträffar de verksamheter som ett ep-institut får ägna sig åt föreslås i princip, som i min skiss till reglering (bilaga 3), en begränsning till utgivning och administration av betalningsmedel. Enligt direktivförslaget skall ep-institut emellertid dessutom få tillhandahålla icke-finansiella tjänster som levereras via det elektroniska lagringsmediet ¾ med vilket förmodligen har avsetts chip på kort. Chipet innehåller emellertid vanligtvis en hel dator. Den i direktivet föreslagna begränsningen kan därför komma att medföra att alla de olika typer av tjänster som kan tillhandahållas elektroniskt blir medgivna. En sådant synsätt förefaller ologiskt. Det kan istället antas att bestämmelsen avses klargöra att chipet och för den delen även en hårddisk där e-pengar lagras får innehålla även annat; t.ex. de uppgifter som brukar finnas på ett vanligt eller patientrelaterade uppgifter. Slutligen ges i art. 1 en uttrycklig begränsning av rätten för ep-institut att inneha andelar i andra företag, medan risker till följd av sådana engagemang, enligt min mening, bör kunna beaktas genom föreskrifter i samband med tillståndsgivningen. I ep-direktivet föreslås en uttrycklig bestämmelse om att medel som mottas i utbyte mot e-pengar inte är att anse som deposits enligt art. 3 i andra banksamordningsdirektivet, om bakomliggande avtal klart slår fast att e-pengarna avses ersätta mynt och sedlar vid betalningar inom detaljhandeln och inte erbjuder möjligheter att förskottera medel för att senare få dem ersatta med e-pengar. 102 Om man ser till hur denna bestämmelse vuxit fram utifrån generella uttalanden av kommissionens tjänstemän och medlemsländerna att medel mottagna för e-pengar inte utgör deposits kan en tolkning e contrario utanför området för limited value payments knappast komma i fråga. Frågan är då om en användning av digitala värdeenheter för t.ex. industrins inköp från leverantörer varken skulle omfattas av banksamordningsdirektiven eller av förslaget till ep-direktiv. De regler om bl.a. kapitalkrav, investeringsbegränsningar och sund och ansvarsfull ledning m.m. som föreslås i ep-direktivet (art. 3, 4, 6 och 7) motsvaras i mitt förslag av de allmänt hållna kraven på tillfredsställande finansiering och betalningsberedskap, ägarprövning m.m. samt garanti för mottagna medel (se bilaga 3). 102I direktivförslaget tilläggs också att en avtalad rätt att växla tillbaka e-pengar till lagliga betalningsmedel inte i sig är tillräckligt för att bedöma förskotterade medel som deposits. En väsentlig skillnad mellan mitt förslag och utkastet till direktiv är dock synen på lokala eller tillfälliga system som godtas av andra än utgivaren. Banksamordningsdirektiven avses enligt direktivförslaget med vissa undantag tillämpas även på dessa system (art. 2); kraven på tillstånd och tillsyn kvarstår, förfaranden som torde bli resurskrävande (se t.ex. art. 5). Direktivförslaget är vidare omfattande och delvis detalj- betonat. Jag har från näringsrättsliga utgångspunkter inte kunnat finna skäl för en så långt gående reglering, som dessutom står i motsats till min syn på hur regelverket bör utformas på detta nya och snabbt föränderliga område. Istället har jag, som framgått, föreslagit att regleringen i bankrörelselagen och lagen om finansieringsverksamhet inte skall tillämpas på andra än banker och kreditmarknadsföretag och att en särskild reglering för e- pengar skall tillämpas endast på system som är av viss omfattning och skall begränsas till en grundläggande ram för detta område. Det synsätt som direktivförslaget ger uttryck för kan antas leda till att e-pengar ges ut endast av banker, med de begränsningar detta kan innebära för konkurrensen och utvecklingen av nya tjänster på området. 4.10.1.Kryptografi och gränsöverskridande hantering Enligt direktiven har jag att kartlägga om problem kan uppkomma på grund av att de s.k. krypteringsalgoritmer103 som används i anslutning till elektroniska pengar kan vara att anse som krigsmateriel och därmed vara föremål för exportförbud. Bakgrunden är att ett trettiotal stater inom ramen för det s.k. Wassenaar-arrangemanget har kommit överens om att motverka spridning av vissa produkter till länder där de kan ha en destabiliserande verkan. deltar i detta samarbete, som rör s.k. strategiska produkter, dvs. 103Enligt en standardiserad definition är en algoritm en uppsättning av väldefinierade regler för lösning av ett problem i ett ändligt antal steg; jfr avsnitt 2.4.4 angående kryptografi. varor med dubbla användningsområden ¾ inte vad som betecknas krigs- materiel.104 Grundläggande regler för export och utförsel av varor med dubbla använd- ningsområden finns i ·rådets förordning (EG) nr 3381/94 av om upp- rättandet av en gemenskapsordning för kontroll av export av varor med dubbla användningsområden (rådsförordningen; EGT nr L 367, 31.12.1994, s. 1), och ·lagen (1991:341) om strategiska produkter (den svenska lagen). Syftet med rådsförordningen som gäller som svensk rätt är å ena sidan att säkerställa den fria rörligheten inom gemenskapen för varor med dubbla användningsområden, å andra sidan att se till att sådana varor om- fattas av en effektiv kontroll vid export från gemenskapen. Regleringen har utformats så att tillstånd krävs för export medan varor som endast passerar genom gemenskapens territorium inte omfattas (art. 3 pp. 1 och 3).105 Rådsförordningen innehåller emellertid även regler för sändningar inom gemenskapen, dvs. från en medlemsstat till en annan. 106 Reglerna för sändningar mellan medlemsländer skall dock tillämpas endast och behovet av dessa åtgärder skall tas upp till förnyad granskning från rådsförordningens ikraftträdande (art. 19 pp. 1 och 5). Bestämmelserna om export gäller enligt art. 3 för de varor som har förtecknats i bilaga I till rådets beslut 94/942/GUSP, medan föreskrifterna om sändningar, enligt art. 19, gäller för varor som har förtecknats i bilaga IV till samma rådsbeslut. 104Se vidare den nämnda rapporten från referensgrupp för kryp- teringsfrågor, Kryptopolitik möjliga handlingslinjer, s. 57 ff. 105Med export menas enligt art. 2 att varan lämnar gemenskapens tullområde. 106För sändningar av här aktuella varor föreskrivs i art. 19.1 b att tillstånd skall krävas av samtliga medlemsstater (jfr den engelska texten shall be required by all memberstates) och dessa tillstånd får inte utgöras av generella tillstånd. Bestämmelsen innebär att en sändning får ske endast efter tillstånd av den behöriga myndigheten i avsändarlandet. Den skall alltså inte, trots ordalydelsen, förstås så att en sändning från en medlemsstat till en annan skall medges av samtliga medlemsstater. 107Även andra varor kan dock omfattas; se art. 4 och 5. Denna reglering återkommer delvis i den svenska lagen, som också kompletterar rådsförordningen och innehåller föreskrifter om tillverk- ningsrätt och tillhandahållande som inte har någon motsvarighet i rådsför- ordningen.108 Den svenska lagen gäller enligt 2 § 9 och 10 i den utsträckning regeringen föreskriver bl.a. högteknologiska produkter som direkt eller indirekt kan användas i förstörelsebringande syfte och programvaror särskilt utformade för produkter, utrustning och material av visst slag. I 3 § samma lag sägs vidare att regeringen meddelar föreskrifter om vilka strategiska produkter enligt 2 § som skall omfattas av krav på tillstånd till utförsel enligt rådsförordningen. Med utförsel menas här såväl export som sändningar enligt den terminologi som används i rådsförord- ningen. Frågor om tillstånd, tillsyn och kontroll beträffande här aktuella produkter handhas, enligt 1 b och 16 §§ lagen om strategiska produkter, av . Enligt 1 § förordningen (1994:2060) om strategiska produkter (den svenska förordningen) tillämpas den svenska lagen och rådsförordningen på bl.a. sådana produkter som finns upptagna i bilaga 1 och 4 till den svenska förordningen. I 4 och 5 §§ den svenska förordningen anges genom vilken typ av beslut tillstånd kan ges enligt art. 3 rådsförordningen och att tillstånd krävs enligt art. 19-21 rådsförordningen för produkter som finns upptagna i bilaga 4 till den svenska förordningen. Föreskrifter ges vidare om bl.a. tillståndens utformning, deklarationer, anmälan om utförsel och tillsyn. Förteckningarna i bilaga 1 och 4 till den svenska förordningen över varor med dubbla användningsområden motsvarar med gjorda ändringar de nämnda bilagorna till rådets beslut 94/942/GUSP, som det hänvisas till i rådsförordningen. De innehåller följande bestämmelser som kan beröra produkter för e-pengar. Enligt bilaga 1 till den svenska förordningen omfattas bl.a. datorer och programvaror (kategori 4A och 4D) om de har egenskaper eller kan utföra 108Strategiska produkter som finns i utlandet får inte här i landet tillhandahållas åt någon i utlandet utan tillstånd. Vidare får svenska myndigheter och företag samt den som är bosatt eller stadigvarande vistas här inte utan tillstånd tillhandahålla sådana produkter i utlandet (6 §). På motsvarande sätt krävs tillstånd för upplåtelse eller överlåtelse av tillverkningsrätt till bl.a. högteknologiska produkter (2 § 9), men inte till sådana åtgärder rörande programvaror enligt 2 § 10. funktioner som överskrider vissa begränsningar. 109 Vilka dessa begräns- ningar är synes emellertid inte framgå av bilagan. Vidare omfattas enligt bilaga 1 bl.a. system, utrustning och komponenter (kategori 5A2) som är konstruerade för att använda digital kryptoteknik 110 samt programvaror som fyller motsvarande funktioner (kategori 5D2).111 Bland de allmänna anmärkningar som inledningsvis ges i bilaga 1 görs emellertid undantag för vissa programvaror som är generellt tillgängliga för allmänheten eller allmänt tillgängliga 112 samt för viss utrustning och vissa komponenter som avses i Kategori 5A2113. 109I varuförteckningen i bilaga 1 under KATEGORI 4 DATORER, anges att elektroniska datorer och tillhörande utrustning och elektroniska sammansättningar och därtill specialtillverkade komponenter omfattas, bl.a. när de har egenskaper eller kan utföra funktioner som överskrider begränsningarna i kategori 5, del 2 (4A001). Vidare omfattas speciell programvara, bl.a. om den har egenskaper eller möjliga funktioner som överskrider begränsningarna i kategori 5, del 2 (4D003). 110Under rubriken 5 TELEKOMMUNIKATIONER OCH IN- FORMATIONSSÄKERHET anges i del 2 (5A2) att system, utrustning, använd- ningsspecifika enheter, moduler och integrerade kretsar för informationssäkerhet samt för sådana speciellt konstruerade komponenter innefattas bl.a. om de är konstruerade för att använda kryptografi som innehåller digital teknik för att tillgodose informationssäkerheten (5A002 a.) 111Under kategori 5 innefattas vidare programvara (5D002) som är speciellt utformad eller modifierad för utveckling, produktion eller användning av utrustning eller programvara som omfattas av bl.a. de just nämnda bestämmelserna om informa- tionssäkerhet 5A002 och specifik programvara som, såvitt här är av intresse, har samma egenskaper eller kan utföra eller simulera funktionen hos utrustning som omfattas av 5A002 (och programvara som bestyrker sådana program). Programvaror som erfordras för användningen av utrustning, som i avsnitt 5A002 har undantagits från kontroll, och programvaror som erbjuder någon av funk- tionerna hos sådan utrustning, omfattas dock inte av regelverket (anm. till 5D002). 112Enligt de allmänna anmärkningarna i bilaga 1 omfattas inte programvara som beskrivs i kategorierna 0-9 ·om den är generellt tillgänglig för allmänheten genom att 1.den säljs från lager via en detaljists försäljningsställe utan restriktioner a)över disk b)via postorderförsäljning, eller c)via telefonförsäljning, och 2.den är konstruerad så att användaren själv kan installera programvaran utan väsentlig medverkan av försäljaren, eller ·om den är allmänt tillgänglig, dvs. utan restriktioner för dess vidare spridning (se vidare de allmänna definitionerna i bilaga 1). I anknytning till denna anmärkning anges att den har företräde framför bestäm- melserna i kategorierna 0-9 avsnitt D. 113 Undantag föreskrivs för bl.a. följande utrustning: I bilaga 4 till förordningen om strategiska produkter upptas, under , de regler i avsnitten 4A001 och 4D003 om datorer och programvaror som har redovisats ovan. Undantag görs därvid för datorer och programvaror för personligt bruk som medföljer användaren. I bilaga 1 anges alltså vilka produkter som står under kontroll vid export, men som i princip skall få föras fritt mellan medlemsländerna. Vissa undantag från rätten att fritt föra produkter mellan medlemsländerna följer dock av bilaga 4, från vilken undantag i sin tur görs, t.ex. för programvaror för personligt bruk som medföljer användaren. Kryptografi är en förutsättning för att erbjuda säkra rutiner för e-pengar. Sådana rutiner används dock i många olika tjänster för informationssäkerhet och det är viktigt att skilja tjänster som avser autenticering dvs. att säkerställa att uppgiften om utställare är riktig och att innehållet är omanipulerat från tjänster för konfidentialitet; dvs. att hindra insyn i digitalt representerade uppgifter. Å ena sidan kan den finansiella sektorn utvecklas på ett säkrare sätt om marknaden har fri tillgång till kryptografi. Å andra sidan kan en fri tillgång till sådana rutiner underlätta kriminell verksamhet. Den berörda regleringen av export och utförsel tar sikte på produkter som kan erbjuda konfidentialitet. Eftersom de säkerhetstjänster som behövs i system för e-pengar i första hand avser autenticitet synes några ·Personliga smartcards eller speciella komponenter som konstruerats för dessa om de såvitt nu är av intresse inte kan kryptera eller dekryptera meddelanden eller styrnycklar för sådan kryptering eller dekryptering. ·Utrustning som styr åtkomst, såsom bankomater, automatiska saldomaskiner eller varuautomater och som skyddar lösenord eller PIN eller liknande och som används för att förhindra otillbörligt utnyttjande, allt under förutsättning att utrustningen inte tillåter kryptering av texter eller filer utom för att skydda lösenord eller dylikt. ·Utrustning som kalkylerar en kod Message Authentication Code () som används för att kontrollera att en text eller en fil överförts korrekt och att inga förändringar har utförts eller för att verifiera användare, men som inte tillåter kryptering av datatexter eller filer, utom för den som behövs för verifieringen. ·Kryptografisk utrustning speciellt utvecklad och begränsad för användning i maskiner för bank- eller penningtransaktioner såsom bankomater, automatiska saldomaskiner, självbetjänande skrivare för transaktionsredovisning eller varuautomater. 114 Infört genom SFS 1997:669 som trätt i kraft . direkta konflikter inte behöva uppkomma mellan de intressen som regleringen av strategiska produkter har att ta tillvara respektive behovet av säkra rutiner på det finansiella området. Visst skydd mot insyn i elektroniska betalningar behövs dock och algoritmer och nycklar för autenticering kan om rutinerna utformas så användas även för insynsskydd. Gränserna mellan dessa funktioner är därför inte alltid klara. De situationer där bestämmelserna om strategiska produkter aktualiseras i anknytning till e-pengar är följande. 1.En utgivare av e-pengar i ett annat land vill tillhandahålla e-penning- produkter åt en användare i . 2.En Svensk utgivare som har en kund i ett annat land vill förse denne med sådana produkter. 3.En användare som är på resa till ett annat land vill ta med sig t.ex. ett aktivt kort eller en bärbar dator med kryptografiska hjälpmedel för e- pengar. I de fall som avses i 1 och 2 kan produkten tillhandahållas genom att ett föremål ¾ t.ex. ett kort eller en dator ¾ transporteras på traditionellt sätt eller genom överföring via nät; 115 jfr kortpengar och nätpengar. När användare på resa inom EU, för personligt bruk tar med sig t.ex. kort eller dator med kryptobaserade e-penningprodukter, torde det berörda undan- taget i bilaga 4 vanligtvis frita från tillståndsplikt. Motsatsen gäller dock vid resa till länder utanför EU. När en utländsk utgivare av e-pengar vill tillhandahålla krypto- produkter åt en svensk, hindrar den svenska regleringen av strategiska produkter inte att produkten förs in. Däremot kan utgivaren behöva tillstånd av en myndighet i ett annat land för att få exportera/överföra produkten hit. På motsvarande sätt torde en svensk utgivare som har en kund i ett annat land behöva tillstånd för att förse denne med en kryptoprodukt för e- pengar; dvs. för att få exportera/överföra produkten dit. Detta bör emellertid kunna lösas praktiskt genom förenklade förfaranden för tillstånd (se art. 6 rådsförordningen) i avvaktan på regler anpassade för dessa nya tjänster. 115Lagen om strategiska produkter, som kom till innan nu aktuella internationella åtaganden förelåg, innehöll ursprungligen en bestämmelse om att överföring via nät jämställs med utförsel. Den togs emellertid bort vid implementeringen av rådsförordningen (se lagrådets yttrande i prop. 1994/95:159 bil. 2 s. 34). Slutligen vill jag peka på vissa författningstekniska frågor, som fördel- ningen av normgivningen mellan direkt tillämplig EG-rätt respektive svensk författningsreglering på olika nivåer 116 och svårigheterna att tränga in i regelverket så som det har utformats. I detta principbetänkande har arbetet inriktats på att som underlag bl.a. för en svensk ståndpunkt i det internationella arbetet överväga möjliga näringsrättsliga lösningar för e-pengar.