prop · GN03117 · 2000-01-01 00:00:00 — Artikel 8.2 i direktivet innehåller dock regler som innebär strängare krav än de som uppställs i personuppgiftslagen. Det skall därför i den föreslagna lagen införas en regel om att certifikatutfärdare som utfärdar certifikat till allmänheten endast under dessa strängare förutsättningar får behandla personuppgifter. Regeln skall inte vara begränsad till dem som utfärdar kvalificerade certifikat. 6.11 Kvalificerade elektroniska signaturer Regeringens förslag: Lagen skall innehålla en regel som anger de kvalificerade elektroniska signaturernas särställning. Regeln innebär att om det i lag eller annan författning ställs krav på egenhändig underskrift eller motsvarande och om det är tillåtet att uppfylla kravet med elektroniska medel, skall en kvalificerad elektronisk signatur alltid anses uppfylla kravet. Användningen av elektroniska signaturer inom eller vid kommunikation med myndigheter skall dock kunna vara förenad med ytterligare krav. Promemorians förslag: Överensstämmer med regeringens förslag. I promemorian föreslogs dock ingen särskild bestämmelse om använd- ningen av elektroniska signaturer inom eller vid kommunikation med myndigheter.. Remissinstanserna: Flertalet remissinstanser tillstyrker eller har ingen invändning mot att bestämmelsen införs, men menar att formuleringen i promemorians förslag är otydlig. Hovrätten över och , Statskontoret, vid , IT-kom- missionen och ifrågasätter dock om bestämmelsen fyller någon praktisk funktion och om den inte borde utgå. Flera remiss- instanser invänder att bestämmelsens rubrik kan leda till missförstånd om vad bestämmelsen egentligen innebär. , Patent- och registre- ringsverket, , Statskontoret och menar att det, i vart fall tills vidare, måste finnas vissa möjligheter att ställa ytterligare krav på användningen av elektroniska signaturer inom offentlig sektor. Skälen för regeringens förslag Bakgrund Som tidigare nämnts finns det en mängd författningar som ställer krav på underskrift för att en rättshandling skall anses giltig eller en åtgärd anses vidtagen etc. I svensk rätt finns dock inga regler som anger hur ett författningsenligt krav på underskrift skall uppfyllas. Det sägs ingenstans att underskriften skall vara läslig på det sättet att personens namn kan utläsas av underskriften. Det sägs vidare inget om att personen skall använda sitt fulla namn eller sina initialer eller enbart ett bomärke eller kryss. Kravet på underskrift uttrycks också på olika sätt i skilda författningar. Exempelvis krävs det i vissa författningar underskrift medan det i andra författningar krävs namnunderskrift . Även om det saknas regler om vad som krävs för att uppfylla ett formkrav på underskrift måste det åtminstone i vissa situationer finnas en gräns för vad som kan godtas när det ställs ett sådant krav. Någon form av angivelse om vem som avses med underskriften torde krävas. Är det en skrivkunnig person kan det möjligen krävas att det är ett allvarligt försök att forma namnet i skrift. I vissa situationer torde därför inte vilket avtryck som helst från exempelvis en penna anses konstituera en underskrift eller namnunderskrift. Frågan har nog tämligen sällan ställts på sin spets eller vållat några problem. När det gäller elektroniska signaturer förhåller det sig något annorlunda. Den som förlitar sig på en elektronisk signatur ser inte tekniken i systemet och hur kontrollen går till. I princip får de mottagare som förlitar sig på en elektronisk signatur endast ett meddelande på sin dator om att identitet och innehåll stämmer eller inte stämmer. Som tidigare nämnts bygger direktivet på elektroniska signaturer enligt det s.k. öppna nyckelsystemet. Även om detta koncept har en viss given struktur kan tekniken ha olika hög säkerhetsnivå. I artikel 5.1 beskrivs en typ av elektroniska signaturer med särskilt hög säkerhetsnivå, i den föreslagna lagen benämnda kvalificerade elektro- niska signaturer. Enligt artikel 5.1.a skall medlemsländerna säkerställa att dessa kvalifi- cerade elektroniska signaturer uppfyller de rättsliga kraven på en signa- tur i förhållande till uppgifter i elektronisk form, på samma sätt som en handskriven signatur uppfyller samma krav i förhållande till uppgifter på papper . Medlemsstaterna är vidare enligt artikel 5.1.b skyldiga att se till att kvalificerade signaturer godtas som bevis vid rättsliga förfaranden. I artikel 5.2 sägs att medlemsstaterna skall se till att inga elektroniska sig- naturer förvägras rättslig verkan eller giltighet som bevis vid rättsliga förfaranden enbart på vissa särskilt angivna grunder. Frågan är vad artikel 5 egentligen innebär och om det krävs några åtgärder för att svensk rätt skall leva upp till direktivet i denna del. Innebörden av artikel 5 i direktivet och menar att inne- börden av artikel 5 är att verkan av en elektronisk signatur måste jäm- ställas med verkan av en egenhändig namnteckning. De menar därför att direktivet på denna punkt är mer långtgående än promemorians förslag. Enligt regeringens mening kan dock artikeln inte läsas och tolkas isolerat från övriga artiklar i direktivet. Av särskild betydelse för hur artikel 5 skall uppfattas är artikel 1 i direktivet som reglerar direktivets tillämp- ningsområde. Av artikel 1 framgår att syftet med direktivet är att underlätta använd- ningen av elektroniska signaturer och bidra till deras rättsliga erkän- nande. Av artikeln framgår vidare att direktivet inte omfattar frågor som avser ingående eller giltighet av avtal eller andra rättsliga förpliktelser, om den nationella lagstiftningen eller gemenskapslagstiftningen föreskri- ver vissa formkrav. Direktivet påverkar inte heller bestämmelser och begränsningar i nationell lagstiftning eller gemenskapslagstiftning som reglerar användningen av dokument. Enligt regeringens uppfattning är det sålunda klart att direktivet inte inom något rättsområde föreskriver att elektronisk kommunikation måste accepteras. Vidare innebär artikel 1 enligt regeringens bedömning att direktivet inte på något rättsområde förbjuder medlemsstaterna att ha formkrav på egenhändiga namnunderskrifter som utesluter användning av elektroniska signaturer. Flertalet remissinstanser synes dela den bedömningen. Innebörden av artikel 5.1.a kan därför inte vara att medlemsstaterna måste godta kvalificerade elektroniska signaturer i alla de fall där det finns ett krav på underskrift i nationell rätt eller gemenskapsrätt. Därför måste artikel 5.1.a uppfattas så att om det enligt nationell rätt antingen på grund av lagstiftning eller andra föreskrifter eller på grund av tolkning av formkravsregler över huvud taget är tillåtet att uppfylla ett formkrav på traditionell underskrift e.d. med elektroniska rutiner, måste de kvalifi- cerade elektroniska signaturerna alltid godtas. På detta sätt skapas inom hela gemenskapen en standard för elektroniska signaturer, vilket kan vara gynnsamt för den inre marknaden. Därför bör det i den svenska lagen införas en bestämmelse som klargör detta förhållande. När det gäller artikel 5.1.b dvs. att kvalificerade elektroniska signatu- rer skall godtas som bevis vid rättsliga förfaranden behövs knappast några lagstiftningsåtgärder. Av principen om den fria bevisprövningen som gäller i följer att det inte finns något hinder mot att använda vissa kunskapskällor eller medier som bevisning. Något hinder mot att använda elektroniska signaturer som bevis finns således inte. I artikel 5.2 ges regler för alla slags elektroniska signaturer, dvs. inte enbart de som är kvalificerade. Där sägs att medlemsstaterna skall se till att en elektronisk signatur inte förvägras rättslig verkan eller giltighet som bevis vid rättsliga förfaranden enbart på den grunden att signaturen är i elektronisk form, inte är baserad på ett kvalificerat certifikat, inte är baserad på ett kvalificerat certifikat utfärdat av en ackrediterad tillhandahållare av certifikattjänster, eller inte är skapad av en säker anordning för skapande av signaturer. När det gäller kravet att elektroniska signaturer inte får förvägras giltighet som bevis vid rättsliga förfaranden på grund av skäl som anges i artikel 5.2 innebär det med hänvisning till principen om den fria bevis- prövningen inga problem för svensk del. Några lagstiftningsåtgärder krävs inte för att genomföra direktivet i denna del. Frågan är dock vad artikeln kan innebära för svensk del när det gäller kravet att en elektro- nisk signatur inte får förvägras rättslig verkan. Lika lite som artikel 5.1 kan denna bestämmelse anses innebära att medlemsstaterna måste se till att en elektronisk signatur över huvud taget skall kunna användas för att uppfylla formkrav som finns i nationell lag- stiftning. Det följer som tidigare nämnts redan av artikel 1. Till skillnad från artikel 5.1 har inte artikel 5.2 någon hänvisning till handskrivna signaturer på papper . Det sägs bara att elektroniska sig- naturer inte får förvägras rättslig verkan på grund av omständigheter som där anges. I svensk rätt finns inte några regler som kan sägas förvägra elektroniska signaturer rättslig verkan över huvud taget. Visserligen kan det finnas formkrav för rättshandlingar som utesluter användning av elektroniska signaturer, men detta är tillåtet enligt artikel 1. Vidare är det enbart kvalificerade elektroniska signaturer som måste anses uppfylla kraven på en handskriven underskrift i nationell rätt gör en sådan jämställelse. Artikel 5.2 torde därför inte kräva några lagstiftnings- åtgärder i . Regeringens slutsats är alltså att det endast är artikel 5.1.a som kräver någon lagstiftningsåtgärd i svensk rätt. Genomförandet av artikel 5.1.a i svensk rätt Som framgått finns det ett antal formkravsregler i svensk rätt som innebär krav på underskrift, egenhändig namnunderskrift eller liknande. Dessa regler finns främst inom förvaltningsrätten, men det finns också ett begränsat antal sådana regler inom förmögenhets- och familjerätten. Reglerna kan i flera fall antas utesluta elektroniska rutiner eller i vart fall föranleda tveksamhet om sådana rutiner är tillåtna. Angående innebörden av krav på skriftlighet , se prop. 1999/2000:89, s. 91, avsnitt 5.3 och 5.4 i SOU 1996:40 samt lagkommentaren till 11 §. I denna situation bör utgångspunkten vara att det inte bör finnas otids- enliga formkrav som på ett onödigt sätt hindrar elektronisk kommunika- tion. I det förslag till direktiv om elektronisk handel som kommissionen lagt fram, och som rådet antog en gemensam stånd- punkt om, krävs att medlemsstaterna ser till att de rättsliga krav som är tillämpliga på avtalsprocessen inte skapar hinder för att träffa avtal i elektronisk form (artikel 9). Om direktivet antas i den delen kommer det att innebära att de krav på underskrift o.d. som finns på civilrättens område måste ses över och att en del av dessa krav kan behöva avskaffas. Någon generell regel i svensk lagstiftning som likställer vissa typer av elektroniska signaturer med egenhändiga namnunderskrifter torde dock inte vara möjlig (se avsnitt 9 i promemorian). När artikel 5 genomförs i svensk rätt bör man därför inte generellt jäm- ställa vissa elektroniska signaturer med egenhändiga namnunderskrifter i de författningar där det finns formkrav som kräver underskrifter. I stället bör det införas en regel som anger de kvalificerade elektroniska signatu- rernas särställning, i de fall det i lag eller andra författningar finns form- krav som får uppfyllas med hjälp av elektroniska signaturer. Det innebär alltså att det är tillåtet att ha kvar formkrav som förhindrar användningen av elektroniska signaturer. I vissa fall kan dock tänkas att det, uttryckligen eller p.g.a. praxis, är eller kan bli tillåtet att uppfylla t.ex. krav på egenhändig namnunderskrift genom elektroniska rutiner. I sådana fall måste alltid en kvalificerad elektronisk signatur accepteras. Det kan också i vissa bestämmelser uttryckligen ställas krav på att en elektronisk signatur skall användas. Även i de fallen måste en kvalifice- rad elektronisk signatur godtas. Den föreslagna bestämmelsen innebär alltså att det inte får ställas högre krav på en elektronisk signatur än vad som ställs på en kvalificerad elektronisk signatur. Såsom flera remissinstanser påpekar är det dock i många situationer fullt tillräckligt med en elektronisk signatur med en lägre säkerhetsnivå. Bestämmelsen hindrar inte på något sätt att även sådana elektroniska signaturer kan godtas. Det är tvärtom naturligt att olika slags elektroniska signaturer med olika säkerhetsnivå utvecklas och accepteras beroende på i vilket syfte de används. Flertalet remissinstanser menar att den åsyftade innebörden av be- stämmelsen inte framgår av promemorians förslag. Regeringen föreslår därför att bestämmelsen omformuleras i förhållande till promemorians förslag. Bestämmelsen utgör självfallet inget hinder mot att ifrågasätta signatu- rens härkomst, dvs. om det är rätt person som ligger bakom signaturen. Liksom vid användning av traditionella egenhändiga namnunderskrifter kan alltid härkomsten ifrågasättas om det finns anledning till det. Lagrådet har föreslagit att bestämmelsens rubrik bör lyda Användningen av elektroniska signaturer i vissa fall . Med hänsyn till att bestämmelsen dels endast avser kvalificerade elektroniska signaturer och inte elektroniska signaturer i allmänhet, dels inte rör användningen endast i vissa fall menar regeringen dock att en sådan rubrik skulle riskera att bli missvisande. Regeringen har därför inte följt Lagrådets förslag i denna del. Användning av elektroniska signaturer vid kommunikation med myndigheter I direktivets artikel 3.7 anges att medlemsstaterna får förena använd- ningen av elektroniska signaturer i den offentliga sektorn med eventuella ytterligare krav. Sådana krav skall vara objektiva, tydliga, proportionella och icke-diskriminerande. Inom den offentliga sektorn är det tänkbart att problem kan uppstå bl.a. om en myndighet inte har utrustning som kan tyda ett elektroniskt med- delande, om avsändaren eller innehållet kan verifieras, om meddelandena inte är tidsstämplade eller om de inte kan arkiveras på det sätt som önskas. Vissa typer av uppgifter, såsom tull- och inkomstdeklarationer, får lämnas elektroniskt, men endast efter särskilt medgivande av respektive myndighet. Medgivandena kan då förenas med villkor om bl.a. det tekniska förfarandet för uppgiftslämnandet. Bland andra , och uttrycker viss oro för att den föreslagna 16 § skall hindra dem från att uppställa sådana villkor. De krav som ställs kan avse t.ex. tekniska beskrivningar över filinnehåll, format och adressering. Syftet med sådana krav kan vara att deklarationsuppgifter skall inges på ett enhetligt och kontrollerat sätt och att den elektroniska kommunikationen inte skall försvåra långtidslagring. menar att bestämmelsen i 16 § torde få den effekten att hårt särreglerade myndigheter, som t.ex. tullen och skatteförvaltningen, skulle bli skyldiga att godta vilka kvalificerade signaturer som helst, även om myndigheten saknar utrustning för att hantera och lagra dem och även om de inte är kompatibla med myndighetens informationssystem. menar vidare att detta riskerar att leda till att myndigheter ifrågasätter ett införande av IT, i stället för att stödja en utveckling mot elektroniska signaturer. I den mån de krav som ställs inte utgör högre krav på den elektroniska signaturen än vad som krävs för att en signatur skall anses vara kvalifice- rad, så hindrar bestämmelsen inte att sådana krav ställs. Frågan om ett visst krav utgör ett krav på själva signaturen eller ett krav på något annat är dock inte helt lätt att besvara. Det torde finnas situationer där det är svårt att skilja mellan krav på själva signaturen och krav på den handling eller de data som signeras. Det är i detta sammanhang viktigt att beakta betydelsen av de tekniska formaten på dokument som signeras. Regeringen gav i uppdrag åt Statskontoret att utreda behoven av åtgärder för att tillgodose kraven på säker elektronisk över- föring av dokument och meddelanden till, från och inom statsförvalt- ningen. En delrapport lämnades till regeringen (Statskontoret 2000:7). Statskontoret skall i det fortsatta arbetet närmare utreda frågor som rör bevarande av signerad information. Statskontoret skall därför i samverkan med , , och närmare utreda detal- jerna i de krav som bör ställas på en elektronisk signatur som kan accep- teras i offentlig sektor. Arbetet skall redovisas för regeringen . Med hänsyn till de möjliga problem som remissinstanserna pekar på och till att det är oklart i vilken mån det kan finnas behov av att ställa ytterligare krav på elektroniska signaturer inom och vid kommunikation med myndigheter, föreslår regeringen att användningen av elektroniska signaturer skall kunna vara förenad med ytterligare krav. Vid avgörandet av om det på ett visst område eller i vissa sammanhang är nödvändigt att ställa högre krav bör utgångspunkten vara att kvalificerade elektroniska signaturer i normalfallet skall vara tillräckligt säkra för att kunna godtas. Endast om det kan pekas på särskilda problem eller behov bör bedömningen bli en annan. Genom den föreslagna bestämmelsen uppställs alltså en standard som innebär att kvalificerade elektroniska signaturer alltid måste godtas, så länge det inte på ett visst område uttryckligen ställs ytterligare krav på signaturen. Enligt artikel 11.1.a i direktivet skall alla ytterligare krav som ställs anmälas till kommissionen och till de övriga medlemsstaterna. En mer ingående diskussion om arkivfrågor återfinns i betänkandet Elektronisk dokumenthantering (SOU 1996:40, avsnitt 6.4) och i pro- memorian Digitala signaturer (Ds 1998:14, avsnitt 7.1.5.2). 6.12 Tillsyn Regeringens förslag: En tillsynsmyndighet skall utöva tillsyn över efterlevnaden av denna lag och föreskrifter som har meddelats med stöd av lagen. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller läm- nar det utan erinran. Skälen för regeringens förslag Direktivets förbud mot förhandstillstånd Utgångspunkten i direktivet är att det inte får införas några krav på för- handstillstånd för att få verka som certifikatutfärdare. Frivilliga ackredi- teringssystem får däremot förekomma. är medlemsstaterna skyldiga att införa ett system för övervakning av certifikatutfärdare. Kravet på övervakning begränsas till de certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten. Direktivet ger dock ingen möj- lighet att begränsa övervakningen endast till dem som är ackrediterade eller certifierade. Det är således inte möjligt att tillfredsställa kravet på övervakning genom att nöja sig med den övervakning som utförs av ackrediterings- och certifieringsorgan. Däremot kommer naturligtvis till- synsuppgifterna att i hög grad underlättas om ett system med frivillig ackreditering av aktörerna på marknaden får genomslag. I den svenska diskussionen har ibland möjligheten och behovet av en s.k. toppnod förts fram. En sådan utgörs, förenklat beskrivet, av en (ev. statlig) certifikatutfärdare som utfärdar certifikat för andra certifikat- utfärdare och signerar deras öppna nycklar. I ett sådant system skulle toppnoden på ett effektivt sätt kunna utöva tillsyn över anslutna certifi- katutfärdare. Direktivets regel om förbud mot förhandstillstånd innebär dock att man inte kan kräva att alla certifikatutfärdare som utfärdar kvalificerade certi- fikat skall ansluta sig till en toppnod och få sina öppna nycklar signerade av denne. Detta krav innebär ju att en certifikatutfärdare inte kan verka på marknaden utan att ansluta sig till toppnoden, vilket är att jämställa med ett krav på förhandstillstånd. Ett sådant krav innebär vidare att certi- fikatutfärdaren måste anpassa sina tekniska lösningar till toppnoden för att kunna verka i dess underliggande struktur. Detta strider mot direkti- vets strävan mot teknikneutralitet, vilket innebär att direktivets krav skall kunna uppfyllas på flera olika sätt med hjälp av olika typer av teknik. Omfattningen av tillsynen Anledning saknas att gå längre än direktivet och låta en tillsyn omfatta även de certifikatutfärdare som inte utfärdar certifikat till allmänheten. Ingenting hindrar emellertid att man i den svenska lagstiftningen före- skriver att övervakningen inte skall begränsas till att gälla dem som ut- färdar kvalificerade certifikat, utan omfatta alla som utfärdar certifikat till allmänheten. Detta skulle dock kunna leda till att marknaden påverkas negativt. Det ekonomiska värdet av elektroniska signaturer ligger inte främst i utfärdande av certifikat, utan i en ökad säkerhet för underteckna- ren och mottagaren av det signerade meddelandet (parterna). Det är där- för viktigt att det finns en hög grad av valfrihet på marknaden så att par- terna kan välja den form av certifikat som passar för olika typer av trans- aktioner. En transaktion som rör högre värden och där man önskar hög säkerhet kan motivera användandet av ett kvalificerat certifikat (eller ett certifikat med ännu högre säkerhet), även om detta leder till en viss kost- nad för parterna. För många fall kan emellertid förutses att signaturer används på en marknad för masstransaktioner med lågt värde. Obligato- riska krav och en obligatorisk tillsyn av alla certifikatutfärdare skulle kunna innebära en alltför hög kostnad för certifikaten. Detta skulle i sin tur leda till att parterna väljer andra, mindre säkra lösningar, eller avstår från elektronisk kommunikation. Det finns därför inte anledning att gå längre vad gäller tillsyn än vad direktivet kräver. I promemorian föreslogs att det skulle anges att tillsynsmyndigheten skall ha tillsyn över vissa certifikatutfärdare och anordningar för signaturframställning. På inrådan från Lagrådet föreslår regeringen dock att det i stället, som brukligt, anges att tillsynsmyndigheten skall ha tillsyn över efterlevnaden av denna lag och föreskrifter som har utfärdats med stöd av lagen. Formen för tillsynen För den som vill uppträda som certifikatutfärdare är det helt avgörande att han bygger upp en tillit till sina certifikat. Utan det förtroendet finns inget användningsområde för de elektroniska signaturer som är baserade på hans certifikat. Detta talar för att marknaden i hög grad kommer att reglera sig själv. kan det för tilliten till systemet i sin helhet vara värdefullt med en instans som kan ingripa mot missförhållanden. För att denna tillsyn skall ha något reellt innehåll bör instansen ha möjlighet till myndighetsutövning. Detta, i kombination med berättigade krav på insyn, rättssäkerhet, möjlighet till överprövning etc. talar för att övervakningen bör anförtros en statlig myndighet, även om direktivet ger en möjlighet till att låta övervakningen skötas av en privat institution. Frågan om vilken myndighet som skall utses diskuteras i avsnitt 7. Den tillsyn som utövas bör vara så marknadsorienterad som möjligt. Med hänsyn till att verksamheten för en certifikatutfärdare är beroende av att det finns ett förtroende för certifikaten, kan tillsynssystemet utformas så att det inte lägger några onödiga administrativa bördor på certifikatutfärdaren, utan inriktas på att vid klagomål kontrollera en utfärdare närmare. Regeringen har övervägt en mer ambitiös övervakningsmodell, som bl.a. skulle innefatta ett krav på certifikatutfärdaren att till tillsyns- myndigheten ge in ett certifikatsprogram . Där skulle certifikatutfärda- ren utförligt redogöra för hur han uppfyller kraven i lagstift- ningen/direktivet. Detta program skulle ges in i samband med att verk- samheten startade och därefter en gång . Detta system skulle möjligen, beroende på hur hårt tillsynsmyndigheten kan ingripa vid ett uteblivet program, kunna förenas med förbudet mot förhandstillstånd. Mer tveksamt är det dock med den tungrodda och kostsamma apparat detta skulle innebära, i viss mån för myndigheten men framförallt för certifikatutfärdaren. Det skulle stå i kontrast till de mer marknads- orienterade system som övervägs i andra länder.