bet · GO01TU3 · 2000-10-10 00:00:00 — Lag om kvalificerade elektroniska signaturer, m.m. I betänkandet tillstyrks regeringens förslag tilllag om kvalificerade elektroniska signaturer. Syftetmed lagen, som baseras på och rådetsdirektiv om ett gemenskapsramverk för elektroniskasignaturer, är att underlätta användningen avelektroniska signaturer. Som regeringen anför ipropositionen kan elektronisk handel och annankommunikation mellan enskilda, myndigheter ochföretag förväntas öka, förutsatt att det finns ettallmänt förtroende för att den elektronisktöverförda informationen är tillförlitlig. Lagenskall bidra till detta förtroende genom att främjaanvändandet av elektroniska signaturer på sådansäkerhetsnivå att de får ett allmänt erkännande ochdärmed kan användas för säker kommunikation.Samtidigt tillstyrker utskottet ett förslag om enmindre ändring i sekretesslagen (1980:100).Till betänkandet har fogats två reservationer. Regeringen () föreslår iproposition 1999/2000:117 att antarregeringens förslag till1. lag om kvalificerade elektroniska signaturer,2. lag om ändring i sekretesslagen (1980:100).Lagförslagen är fogade som bilaga till betänkandet.Propositionens huvudsakliga innehållFör genomförande av ett EG-direktiv om ettgemenskapsramverk för elektroniska signaturer(1999/93/EG) föreslås i propositionen en ny lag oms.k. Vidare föreslås enmindre ändring i sekretesslagen (1980:100) för atttillgodose behovet av sekretesskydd för koder o.d.som möjliggör säkerhetskontroll.En elektronisk signatur kan användas för attsäkerställa att elektroniskt överförd informationinte har förändrats, att informationens avsändare ärden som uppges samt att avsändaren inte senareförnekar att han eller hon sänt informationen.För att kunna använda en elektronisk signatur i ettöppet system, dvs. ett system där parterna intekänner varandra i förväg, såsom Internet, behöverparterna kunna inhämta information om kopplingenmellan en elektronisk signatur och en bestämdperson. Därför har utvecklats ett system förelektroniska signaturer vilket kan benämnas detöppna nyckelsystemet (Public ,PKI). I detta system utfärdas ett elektroniskt intyg(certifikat) av en betrodd tredje part. Ettcertifikat innehåller uppgifter om vem som ärinnehavare av en elektronisk signatur.Direktivets reglering bygger på elektroniskasignaturer enligt det öppna nyckelsystemet. Detinnehåller främst näringsrättsliga regler om dem somutfärdar vissa certifikat, men även regler omskadeståndsansvar och om rättsverkan av elektroniskasignaturer.Den föreslagna lagen innehåller regler om krav på,tillsyn över och skadeståndsansvar för den somutfärdar certifikat för elektroniska signaturer tillallmänheten, om certifikaten anges ha en visssäkerhetsnivå. Sådana certifikat kallas i lagen förkvalificerade certifikat. En särställning ges vidareåt elektroniska signaturer med en visssäkerhetsnivå, s.k. kvalificerade elektroniskasignaturer. Lagens regler omfattar inte certifikatsom utfärdas inom s.k. slutna system. Lagen reglerarinte heller frågor om ingående eller giltighet avavtal.Enligt direktivet kan medlemsstaterna införafrivilliga ackrediteringssystem som syftar till atthöja nivån på tillhandahållandet avcertifikattjänster. Lagen (1992:1119) om tekniskkontroll ger möjlighet till frivillig ackrediteringav certifieringsorgan med det syfte som anges idirektivet.En tillsynsmyndighet förutses utöva tillsyn överefterlevnaden av bestämmelserna i lagen ochföreskrifter som meddelas med stöd av lagen.Regeringen bemyndigas att införa ett avgiftssystemför att bekosta myndighetens verksamhet.Den nya lagen föreslås träda i kraft den 1 januari2001. 1999/2000:T30 av m.fl. (m) variyrkas1. att som sin mening ger regeringen tillkänna vad i motionen anförts om omförhandling avdirektivet,2. att som sin mening ger regeringen tillkänna vad i motionen anförts om teknikoberoende tillskillnad från teknikneutralitet i arbetssättet,3. att hos regeringen begär förslag tillsådan ändring avseende digitala stämplar som imotionen anförts,4. att hos regeringen begär förslag tillsådan ändring avseende juridiska personers möjlighetatt använda sig av elektroniska signaturer som imotionen anförts,5. att i enlighet med vad i motionenanförts avslår lagförslagets 15 §,6. att hos regeringen begär förslag tillsådan ändring i enlighet med vad i motionen anförtsavseende val av tillsynsmyndighet,7. att som sin mening ger regeringen tillkänna vad i motionen anförts om behovs- ochkonsekvensanalys i tillsynsmyndighetsfrågan.1999/2000:T31 av () vari yrkas attriksdagen som sin mening ger regeringen till kännavad i motionen anförts om att huvudregeln skall varaatt elektroniska tjänster får tillämpas i samtligasituationer om det inte speciellt reglerats att såinte får ske. 1 Lagförslagen1.1 Lagstiftningens syfteRegeringen lägger i den nu behandlade propositionenfram förslag till lag om kvalificerade elektroniskasignaturer. Syftet med lagen är, som framgår av eninledande allmän bestämmelse i lagförslaget, attunderlätta användningen av elektroniska signaturer,genom bestämmelser om säkra anordningar försignaturframställning, om kvalificerade certifikatför elektroniska signaturer och om utfärdande avsådana certifikat.I propositionen (s. 35) anför regeringen attelektronisk handel och annan kommunikation mellanenskilda, myndigheter och företag kan förväntas öka,förutsatt att det finns ett allmänt förtroende föratt den elektroniskt överförda informationen ärtillförlitlig. Avsikten är att lagen skall bidratill detta förtroende genom att främja användandetav elektroniska signaturer på sådan säkerhetsnivåatt de får ett allmänt erkännande och därmed kananvändas för säker kommunikation.Av propositionen framgår att EU den 30 november1999 antog och rådets direktiv omett gemenskapsramverk för elektroniska signaturer.Direktivet trädde i kraft ochskall vara genomfört i medlemsstaterna senast den 19juli 2001.Under förhandlingarna om direktivet skedde samrådmed en av tillkalladreferensgrupp bestående av företrädare för berördamyndigheter, vissa företag och organisationer.Vidare har ärendet vid fem tillfällen varit föremålför behandling i . Till grund förpropositionen har bl.a. legat endepartementspromemoria, Elektroniska signaturer (Ds1999:73), som har utarbetats inomNäringsdepartementet i samarbete medJustitiedepartementet och som varit föremål förremissbehandling. Samråd har förekommit med övriganordiska länder, såväl inför utarbetandet avdepartementspromemorian som senare.1.2 Lagens tillämpningsområdeSyftet med EG-direktivet är att skapa ett rättsligtramverk för elektroniska signaturer som används inoms.k. I överensstämmelse härmed skallenligt vad regeringen uttalar den svenska lagenenbart avse certifikat som utfärdas "tillallmänheten", däremot inte system som grundar sig påfrivilliga civilrättsliga avtal mellan ett bestämtantal deltagare (slutna system). Emellertid är det,anför regeringen, inte alldeles lätt att avgöra vadsom utgör öppna respektive slutna system. Vissaklara fall kan dock identifieras. Som exempel på ettslutet system nämns bankernas Internettjänster. Därföreligger ett på förhand träffat avtal mellanbanken och kunden och det är endast banken som skallförlita sig på certifikatet. Vidare får ettcertifikat som utfärdats endast för användning inomett visst företag eller en viss organisation normaltanses ingå i ett slutet system. Däremot måste ettsystem få betraktas som öppet i de fall mottagaresom skall förlita sig på certifikatet saknar varjeform av avtal med undertecknaren ellercertifikatutfärdaren. Så är t.ex. fallet med detfinländska systemet med elektroniska somutfärdats av Befolkningsregistercentralen och somskall kunna användas för många olika ändamål vilkainte är kända för vare sig utfärdaren ellerkortinnehavaren vid utfärdandet. Mellan dessa klarafall kan det dock finnas många varianter därgränsdragningen är svår och måste överlämnas tillrättstillämpningen.Vidare krävs att certifikat för att falla underlagens tillämpning skall vara "kvalificerade".Härmed menas att de skall hålla en i lagen närmareangiven säkerhetsnivå.1.3 DefinitionerI 2 § förslaget till lag om kvalificeradeelektroniska signaturer definieras vissa isammanhanget centrala begrepp. Av propositionenframgår att definitionerna i lagförslaget i alltväsentligt följer EG-direktivet.Sålunda avses med elektronisk signatur data ielektronisk form vilka är fogade till eller logisktknutna till andra elektroniska data och som användsför att kontrollera att innehållet härrör frånutställaren och inte har förvanskats.En avancerad elektronisk signatur kännetecknas avatt den är knuten uteslutande till en undertecknaresom kan identifieras. Vidare har den åstadkommitsmed hjälpmedel som endast undertecknarenkontrollerar och som gör det möjligt att upptäckaförvanskningar av de data signaturen är fogad till.En kvalificerad elektronisk signatur är enavancerad elektronisk signatur som baseras på ettkvalificerat certifikat och som är skapad av ensäker anordning för signaturframställning (maskin-eller programvara).Ett certifikat är ett intyg i elektronisk form somkopplar ihop signaturverifieringsdata med enundertecknare och bekräftar dennes identitet.Ett kvalificerat certifikat är ett certifikat somdels innehåller vissa i lagen närmare angivnauppgifter, dels är utfärdat av encertifikatutfärdare som uppfyller vissa i lageneller med stöd av lagen uppställda krav.1.4 Utskottets ställningstagandeEnligt utskottets uppfattning är det utomordentligtangeläget att de möjligheter till utveckling avelektronisk handel och annan kommunikation sominformationsteknologin ger tas till vara. Somregeringen anför förutsätter emellertid en sådanutveckling att det finns ett allmänt förtroende föratt den information som sänds via Internet och andranät är tillförlitlig. Mot den bakgrunden välkomnarutskottet att regeringen nu föreslår lagstiftning isyfte att främja användandet av säkra elektroniskasignaturer. Utskottet anser att bör antaregeringens förslag till lag om kvalificeradeelektroniska signaturer och lag om ändring isekretesslagen (1980:100).I det följande behandlar utskottet närmare defrågor som har aktualiserats i motionerna.2 Omförhandling av EG-direktivet m.m.2.1 MotionsförslagI motion 1999/2000:T30 av m.fl.(m) föreslås att skall ta initiativ till enomförhandling av direktivet (yrkande 1). Som skälanförs bl.a. att EG-direktivet blandar ihoporganisationsformer och elektroniska signaturersrättsliga innebörd. Direktivet borde enligtmotionärerna ha begränsats till näringsrättsligafrågor medan frågor om elektroniska signaturersrättsliga verkan borde ha reglerats i annan ordning.I motionen uttalas vidare att regeringen utgår frånatt alla tekniska lösningar redan finns. Direktivetborde ha gjorts mer "teknikoberoende", ansermotionärerna (yrkande 2).2.2 Utskottets ställningstagande2.2.1 Omförhandling av EG-direktivetLiksom regeringen konstaterar utskottet för sin delatt och rådets direktiv1999/93/EG om ett gemenskapsramverk för elektroniskasignaturer antogs och trädde ikraft . Det skall vara genomförti medlemsstaterna senast den 19 juli 2001.Direktivet är bindande för medlemsstaterna medavseende på det resultat som skall uppnås.Enligt utskottets mening är det positivt att EU:smedlemsstater har kunnat enas om en gemensamtramregelverk för elektroniska signaturer. Därmed hargemenskapen kunnat förhindra uppkomsten av skildajuridiska och tekniska strategier, vilket skulle hakunnat utgöra ett hinder för den elektroniskahandelns utveckling. Att mot denna bakgrund begäraen omförhandling av direktivet ser inte utskottetsom en vare sig möjlig eller önskvärd åtgärd. Motden bakgrunden avstyrks yrkande 1 i motion1999/2000:T30 (m).2.2.2 Direktivets förhållande till teknikenAv ställningstagandet under avsnitt 3.2.1 följer attutskottet avstyrker förslaget i samma motion(yrkande 2) om en mer teknikoberoende utformning avdirektivet. I propositionen redovisas attdefinitionerna i direktivet har utformats med siktepå att vara teknikneutrala, dock med den begränsningsom följer av att man låtit det s.k. öppnanyckelsystemet ligga till grund för den valdastrukturen. Systemet bygger på användningen av s.k.asymmetriska algoritmer, vilket innebär att tvåolika nycklar används, en privat nyckel som förvarashemligt hos ägaren, och en publik (öppen) nyckel somär tillgänglig för envar. Tekniken har uppenbarafördelar jämfört med det s.k. ennyckelsystemet somutnyttjar s.k. symmetriska algoritmer och sominnebär att avsändare och mottagare utnyttjar sammanyckel. Fördelarna ligger i en avsevärt säkrare ochförenklad nyckeladministration, eftersom det endastär en nyckel som måste förvaras hemligt. Nackdelenmed ennyckelsystemet är att algoritmerna blir merkomplicerade.3 Elektronisk kommunikation mellanmedborgare och myndigheter3.1 MotionsförslagI motion 1999/2000:T31 uttalar () attsyftet med direktivet och den svenska lagstiftningen- att skapa grundläggande förutsättningar och eninfrastruktur för elektronisk kommunikation mellanparter som inte känner varandra - motverkas genomatt propositionen endast innehåller ett elementärtregelverk av främst näringsrättslig art. Därmedräcker inte reglerna för kommunikation mellanmedborgarna och myndigheter. Motionären befarar attdenna brist leder till att regelmässig elektroniskkommunikation av sådant slag kommer att försenas.Regeringen synes ha en grundläggande uppfattning omatt otidsenliga formkrav inte skall tillåtas hindraelektronisk kommunikation. Mot den bakgrunden bör,menar motionären, regeringen stipulera attelektroniska signaturer skall godtas i allasituationer utom dem som är uttryckligen undantagna.3.2 Utskottets ställningstagandeFör närvarande gäller att elektroniska signaturernormalt inte får användas om det i en författningställs krav på att en handling skall vara förseddmed underskrift. För att det skall vara tillåtet attanvända elektronisk signatur gäller antingen att deti författningen uttryckligen anges att en signaturfår eller t.o.m. måste användas, eller att ett kravpå egenhändig underskrift eller något liknandeuttryck i rättstillämpningen har tolkats så attkravet kan uppfyllas genom en elektronisk signatur.Frågan, om det kan vara möjligt att med generellabestämmelser införa en ordning som innebär attkravet på underskrift, undertecknande eller liknandetillgodoses genom en elektronisk signatur, hardiskuterats i de utredningar som föregåttpropositionen. Därvid har konstaterats att denna väginte synes framkomlig. I stället torde det varanödvändigt att successivt gå igenom berördaförfattningar för att i varje enskilt fall klarläggabehovet av en lagändring, bl.a. medbeaktande av de syften som legat bakom formkravet. Ipropositionen ansluter sig regeringen till dennauppfattning.Nästa fråga gäller vilken säkerhetsnivå enelektronisk signatur skall ha för att motsvaraförfattningskrav på underskrift. Syftet medstadgandet i 17 § lagförslaget är att ange en övresäkerhetsgräns. Sålunda skall det enligt förslaget idenna del inte vara möjligt att i författningarställa högre krav på den elektroniska signaturen änvad som ställs på en kvalificerad elektronisksignatur. Någon lägsta säkerhetsnivå specificerasinte. I specialmotiveringen till 17 § (s. 78)betonar regeringen att paragrafen inte utgör någothinder mot att elektroniska signaturer med lägresäkerhetsnivå än kvalificerade godtas.Utskottet har ingen annan uppfattning än denregeringen redovisar i frågan. utgårutskottet från att genomgången av berördaförfattningar sker med skyndsamhet samt medutgångspunkt i dels att elektroniska signaturer sålångt det av säkerhetsskäl är möjligt skalljämställas med krav på namnunderskrifteller motsvarande, dels att säkerhetskraven påelektroniska signaturer i sådana fall inte skallställas så högt att de onödigtvis försvårarkommunikationen mellan medborgare och myndigheter.Med det anförda torde syftet med motion1999/2000:T31 (s) bli tillgodosett utan någotsärskilt ställningstagande från sida.Motionen avstyrks följaktligen.4 Digitala stämplar för juridiska personer4.1 MotionsförslagEnligt vad som uttalas i motion 1999/2000:T30 (m)öppnar regeringen med sitt lagförslag möjlighetenför juridiska personer att använda icke-kvalificerade elektroniska signaturer. Mot denbakgrunden ifrågasätter motionärerna om lagenuppfyller syftet med direktivet. Eftersom lagensbestämmelse om signaturers rättsverkan endastkoncentreras på kvalificerade elektroniskasignaturer finns en risk att andra typer avelektroniska signaturer kommer att behandlas medskepsis i domstolarna även om de tekniskt sett ärlika bra eller bättre än de kvalificeradesignaturerna. Propositionens uttalanden innebärnämligen att elektroniska signaturer kan användas avjuridiska personer för att signera dokument. Dettabryter mot den etablerade ordningen att endastfysiska personer kan underteckna dokument. När nuregeringen suddar ut gränsen mellan fysisk ochjuridisk person finns, menar motionärerna, risk föratt de elektroniska signaturerna inte betraktas somersättare för den traditionella namnteckningen. Motden bakgrunden bör lagen ändras så att elektroniskasignaturer förbehålls fysiska personer och att s.k.digitala stämplar införs som begrepp för juridiskapersoner. Sådana stämplar bygger på samma tekniskaprocess, men en skiljelinje skulle få stor betydelseför det allmänna medvetandet (yrkandena 3 och 4).4.2 Utskottets ställningstagandeFrågan om införande av begreppet digital stämpeldiskuteras i propositionen. Regeringen erinrar omatt förslaget lanserades i betänkandet Elektroniskdokumenthantering (SOU 1996:40). Enligtutredningsförslaget skulle vissa grundläggandebegrepp tas in i förvaltningslagen (1986:223), bl.a.digital signatur, om handlingen härrörde från enfysisk person, och digital stämpel, om handlingenvar utställd av juridisk person eller myndighet. Somframgår av propositionen fick betänkandet ettblandat remissutfall och ledde inte till någonlagstiftning i den delen. Regeringen framhåller attSverige visserligen inte är bundet av denterminologi och systematik som angivits i direktivetmen att direktivets utformning ändå avsevärtbegränsar utrymmet för avvikelser. Vidare anserregeringen att det saknas behov av att införabegreppet digital stämpel. Direktivet förutsätteratt en fysisk person är knuten till signaturen.Detta utgör visserligen inget hinder för ett systemmed elektroniska stämplar för juridiska personereller certifikat som anger att signaturen innehas aven identifierad person som är firmatecknare för enjuridisk person. Men enligt regeringen finns intenågot särskilt behov av att reglera detta. I ställetkan redan nu gällande regler omrättshandlingsförmåga, fullmakt och behörighet attföreträda juridiska personer tillämpas. Utskottetdelar regeringens uppfattning och avstyrkerföljaktligen motion 1999/2000:T30 (m) yrkandena 3och 4.5 Skadeståndsfrågor5.1 MotionsförslagI lagförslaget finns två paragrafer som behandlarskadeståndsfrågor. I 14 § stadgas skyldighet för encertifikatutfärdare att under vissa förutsättningarersätta den skada som drabbat den som förlitat sigpå certifikatet. Enligt 15 § är avtalsvillkor som ijämförelse med 14 § är till nackdel för den somförlitar sig på certifikatet utan verkan mot denne.I motion 1999/2000:T30 (m) noteras att det enligtregeringen normalt inte finns någotavtalsförhållande som reglerar certifikatet men attdet kan förekomma avtal där certifikatet utgör ettmoment. Motionärerna menar att detta synsätt stridermot den grundläggande förutsättningen för när ettcertifikat skall anses utgivet till allmänheten ochnär lagen således skall vara tillämplig. Ettcertifikat är utgivet när utfärdaren erbjuder detför användning vid kommunikation med andra änutfärdaren, alltså tredje part, och när det inteföreligger något kontraktsförhållande mellanutfärdaren och tredje parten. Därmed kan 15 § ilagförslaget utmönstras, hävdar motionärerna(yrkande 5).5.2 Utskottets ställningstagandeUtskottet ansluter sig för sin del till regeringensuppfattning att det även i fråga om certifikat somutfärdas till allmänheten (s.k. öppna system) kan haträffats avtalsvillkor mellan undertecknare ochmottagare vilka i jämförelse med 14 § är tillnackdel för den som förlitar sig på certifikatet.Yrkande 5 i motion 1999/2000:T30 (m) avstyrksföljaktligen.6 Val av tillsynsmyndighet6.1 Regeringens förslagRegeringen konstaterar att medlemsstaterna ärskyldiga att införa ett system för övervakning avdem som utfärdar kvalificerade certifikat tillallmänheten. I den svenska diskussionen har,redovisar regeringen, möjligheten att införa en s.k.toppnod förts fram. En toppnod är encertifikatutfärdare som utfärdar certifikat förandra certifikatutfärdare och signerar deras öppnanycklar. I ett sådant system skulle toppnoden kunnautöva en effektiv tillsyn över anslutnacertifikatutfärdare. Men regeringen finner att ensådan ordning skulle komma i konflikt meddirektivets förbud mot förhandstillstånd för att fåverka som certifikatutfärdare. Vidare skullesystemet med toppnod tvinga certifikatutfärdare attanpassa sina tekniska lösningar till toppnoden,vilket skulle strida mot direktivets krav påkonkurrensneutralitet.För tilliten till systemet med elektroniskasignaturer är det enligt regeringen värdefullt attdet finns en instans som kan ingripa motmissförhållanden. Denna instans bör ha möjlighettill myndighetsutövning. Detta, tillsammans medberättigade krav på insyn, rättssäkerhet,möjligheter till överprövning m.m., talar för atttillsynen bör anförtros en statlig myndighet.Regeringen anser att börutses till tillsynsmyndighet. Underremissbehandlingen av departementspromemorianElektroniska signaturer (Ds 1999:73) hade dock någrainstanser förordat SWEDAC, ellerPatent- och registreringsverket. Regeringenkonstaterar att ingen av de nämnda myndigheterna besitter den kompetens som krävs för att utföratillsynsuppgifterna. Vad den förstnämnda myndighetenbeträffar kan, anför regeringen, praktiska skäl talaför att SWEDAC, som ansvarig för tillsyn av deackrediterade organen, också utövar tillsyn övercertifikatutfärdarna. Men detta skulle innebära enolämplig dubbelroll för SWEDAC. Det skulle nämligenbetyda att SWEDAC skulle utöva tillsyn övercertifikatutfärdare som är bedömda av organ somSWEDAC självt ackrediterat. Beträffande Post- ochtelestyrelsen konstaterar regeringen att myndighetenredan i dag förfogar över såväl juridisk som tekniskkompetens på området för elektroniska signaturer.Styrelsen har också stor erfarenhet avstandardiseringsarbete inom telesektorn och en godinsyn i standardiseringsarbetet för elektroniskasignaturer. Vid en samlad bedömning finnerregeringen att är mestlämpad för uppgiften att utöva tillsyn övercertifikatutfärdare som utfärdar kvalificeradecertifikat till allmänheten. Det är dock viktigt attstyrelsen samråder och samarbetar med SWEDAC,och andra berörda myndigheter,framhåller regeringen.6.2 MotionsförslagEnligt vad som sägs i motion 1999/2000:T30 (m)kommer troligen organ som ackrediterats av SWEDACatt certifiera de utfärdare som vill visa att deuppfyller uppställda standarder. Den av SWEDACuppbyggda kompetensen bör utnyttjas även förtillsyn. SWEDAC bör således utses tilltillsynsmyndighet (yrkande 6). I motionen återgesIndustriförbundets farhågor för att en utfärdare kantvingas till dubbla kontroller under två parallellakontrollsystem om blirtillsynsmyndighet. Motionärerna föreslår att fråganom val av tillsynsmyndighet blir föremål för enbehovs- och kostnadsanalys (yrkande 7).6.3 Utskottets ställningstagandeUtskottet anser för sin del att regeringen gjort enkorrekt bedömning vad gäller val avtillsynsmyndighet och avstyrker följaktligen motion1999/2000: T30 (m) yrkandena 6 och 7. Beträffande defarhågor för dubbelkontroll av certifikatutfärdaresom vill bli certifierade noterar utskottet atttillsynsmyndigheten enligt propositionen i alltväsentligt förutsätts kunna koncentrera sin tillsynpå de icke certifierade utfärdarna.