prop · GN03117 · 2000-01-01 00:00:00 — Det skall också föreskrivas att en anordning som anges vara en säker anordning får släppas ut på marknaden eller användas för att skapa en kvalificerad signatur endast om ett för ändamålet anmält organ inom Europeiska ekonomiska samarbetsområdet (EES) avgjort att anordningen upp- fyller kraven. Vidare skall det anges att anordningar som överens- stämmer med vissa standarder skall presumeras uppfylla kraven. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller lämnar det utan erinran. Skälen för regeringens förslag: På samma sätt som för de kvalifice- rade certifikaten bör de krav som anges i direktivets bilaga III anges i den svenska lagtexten beträffande de säkra anordningar för signaturframställ- ning, som krävs för att skapa en kvalificerad signatur. I den svenska versionen av direktivet sägs i 1.a i bilagan att signaturframställningsdata praktiskt taget skall kunna förekomma bara en gång. Uttrycket tycks dock grunda sig på en felöversättning av engelskans practically . Regeringen menar, liksom flera remissinstanser, att orden i praktiken bättre uttrycker vad som avses och föreslår att de orden används i lagtexten i stället. Artikel 3.4 i direktivet anger att vissa organ skall avgöra om säkra anordningar överensstämmer med kraven i bilaga III. Det får förstås som ett krav på att endast anordningar som av ett sådant organ bedömts över- ensstämma med kraven får användas för att framställa kvalificerade signaturer eller släppas ut på marknaden under beteckningen säkra anordningar för signaturframställning . anges i artikel 3.5 att medlemsstaterna skall utgå från att produkter som uppfyller standarder som kommissionen refererat till i Europeiska gemenskapernas officiella tidning överensstämmer med kraven i bilaga III. Någon möjlighet att tolka direktivet som att det kan räcka med en tillverkardeklaration om att en produkt uppfyller de aktuella standarderna torde inte finnas. Den sist- nämnda regeln måste anses vara riktad till de aktuella organen. Denna bedömning görs också i de övriga nordiska länderna. En regel om obli- gatorisk kontroll av anordningarna kompletterad med presumtionen för produkter som uppfyller de nämnda standarderna bör alltså införas i den svenska lagen. Den möjligen kostsamma och tidskrävande obligatoriska certifiering som det här är fråga om torde dock inte nödvändigtvis innebära alltför negativa konsekvenser, då det ju räcker med att produkten godkänns i ett av länderna inom EES. Tillverkaren eller marknadsföraren är dessutom inte hänvisad till ett organ i hemlandet. Detta följer också av artikel 3.4 i direktivet där det stadgas att ett beslut som fattats av ett organ i en med- lemsstat skall erkännas av samtliga medlemsstater. Även detta bör anges i lagtexten. Enligt direktivet skall medlemsstaterna, i enlighet med kriterier som kommissionen senare skall fastställa, utse sådana organ som skall avgöra om säkra anordningar för signaturframställning överensstämmer med kraven i direktivets bilaga III. Regeringen föreslår att det görs en hänvis- ning till lagen om teknisk kontroll, där det i 3 § föreskrivs att regeringen eller den myndighet som regeringen bestämmer utser de organ som skall anmälas till EU för uppgifter i samband med bedömning av överens- stämmelse enligt bestämmelser som gäller inom EES (se avsnitt 4.4). Regeringen eller myndigheten (SWEDAC) har därvid att ta hänsyn till de kriterier som kommissionen kommer att fastställa. Regeringen kan vid behov utfärda närmare bestämmelser om detta enligt ett bemyndigande i 5 § lagen om teknisk kontroll. 6.9 Skadestånd 6.9.1 Allmänt om skadestånd och användning av elektroniska signaturer Det öppna nyckelsystemet Direktivet bygger som nämnts på ett tekniskt och organisatoriskt system för elektroniska signaturer som benämns det öppna nyckelsystemet (se avsnitt 4.3.4). Systemet är för dagen det helt förhärskande för elektro- niska signaturer. kan dock något annat komma att gälla. Det öppna nyckelsystemet bygger på medverkan av tre aktörer, näm- ligen undertecknare, certifikatutfärdare och mottagare. Det kan dock förekomma och det är inte ovanligt att en och samma person eller företag är mer än en aktör i denna kedja. Det är t.ex. vanligt att en bank är både certifikatutfärdare och mottagare. Så är fallet när en bank utfärdar certifikat för att sedan förlita sig på elektroniska signaturer som används av bankens kunder. Undertecknaren kan också benämnas nyckelinnehavaren , dvs. den som innehar det unika nyckelpar som utgörs av en hemlig nyckel och en öppen nyckel (se avsnitt 4.3.1). Nyckelinnehavaren/undertecknaren är den behörige , som har kontroll över signaturframställningsdata och anordningen för signaturframställning. Det öppna nyckelsystemet reser i huvudsak tre olika särskilda skade- ståndsrättsliga ansvarsförhållanden, nämligen a. undertecknarens ansvar vid obehörig användning av den elektroniska signaturen, b. certifikatutfärdarens ansvar gentemot undertecknaren, och c. certifikatutfärdarens ansvar gentemot mottagaren. Undertecknarens ansvar vid obehörig användning Det kan inträffa att någon annan än den egentlige undertecknaren obehö- rigen använder den hemliga nyckeln och med hjälp av denna vidtar rätts- handlingar i undertecknarens namn. Det betyder alltså att någon falskeli- gen uppträder som undertecknare. Ett sådant missbruk kan t.ex. ha möjliggjorts genom att undertecknaren handskats vårdslöst med sin säkerhetskod eller sitt smarta kort. Det kan också vara så att den elektro- niska signaturen missbrukas utan undertecknarens förskyllan, t.ex. av en s.k. hacker eller av att certifikatutfärdaren lämnat ut den hemliga nyckeln till fel person. De ansvarsfrågor som aktualiseras här regleras över huvud taget inte i direktivet. Det kan ändå finnas skäl att något behandla problemet. Enligt svensk rätt torde som utgångspunkt gälla att undertecknaren inte blir bunden av rättshandlingar som inte har företagits av honom eller henne. I rättspraxis har man visserligen i vissa fall låtit den som åberopar ogiltigheten bli skadeståndsskyldig om han eller hon genom vårdslöshet möjliggjort förfalskningen (jfr t.ex. NJA 1935 s. 646). Huruvida en undertecknare skulle kunna bli skadeståndsskyldig enligt dessa principer om denne varit oaktsam och därigenom möjliggjort det obehöriga använ- dandet måste dock betecknas som mycket osäkert. Det är viktigt att komma ihåg att det alltid råder ett avtalsförhållande mellan undertecknaren och certifikatutfärdaren. Undertecknaren måste ju vända sig till certifikatutfärdaren för att få ett certifikat utfärdat. Det finns således alltid möjligheter att reglera ansvarsfrågor i avtalet mellan parterna. De här aktuella problemen uppvisar vissa likheter med obehörig användning av kontokort. För dessa fall finns en särskild reglering i 34 § konsumentkreditlagen (1992:830). Bestämmelsen har införts för att komma till rätta med stränga avtalsvillkor rörande konsumenternas betal- ningsansvar vid obehöriga uttag med kontokort. Det kan finnas skäl att överväga en särskild reglering på detta område i svensk rätt. Det kan nämnas att i den modellag för elektroniska signaturer som man arbetar fram inom UNCITRAL (jfr modellagen för elektronisk handel, avsnitt 4.2) diskuteras just principer för under- tecknarens ansvar för obehörig användning. Frågan är dock komplicerad och bör lämpligen övervägas i något annat sammanhang än vid genom- förandet av direktivet. Certifikatutfärdarens ansvar gentemot undertecknaren Som ovan nämnts är förhållandet mellan certifikatutfärdaren och under- tecknaren kontraktsrättsligt. Frågan om certifikatutfärdarens ansvar gentemot undertecknaren kompliceras dock av att det kan vara svårt att ange vad som är avtalets objekt och vilken typ av avtal det är frågan om. Den hemliga nyckeln kan vara lagrad på ett smart kort, på en hårddisk, på en diskett osv. och man kan tänka sig att certifikatutfärdaren genererar ett nyckelpar till undertecknaren. Certifikatutfärdaren och undertecknaren kan efter gottfinnande reglera relevanta frågor i avtalet såsom ansvarsgrunder, ansvarets omfatt- ning och ansvarsbegränsningar. Avtalsfriheten begränsas ytterst av 36 § lagen (1915:218) om avtal och andra rättshandlingar på förmögenhetens område (avtalslagen). Om certifikatutfärdaren inte uppfyller sina för- pliktelser enligt avtalet med undertecknaren kan ett avtalsbrott föreligga. Förhållandet mellan certifikatutfärdaren och undertecknaren regleras i viss mån genom artikel 6 i direktivet. Certifikatutfärdarens ansvar gentemot mottagaren Om uppgifterna i ett certifikat är felaktiga t.ex. eftersom certifikat- utfärdaren inte har kontrollerat identiteten hos undertecknaren på det sätt som påstås i certifikatet kan mottagaren lida en skada om denne vid en ekonomisk transaktion förlitar sig på den elektroniska signaturen. Rela- tionen mellan certifikatutfärdaren och mottagaren kan vara av olika slag. De kan ha en kontraktsrättslig relation, men vanligen torde det inte finnas något avtal mellan dem. När det inte finns något avtal mellan certifikatutfärdaren och mottaga- ren gäller utomkontraktuella regler. I utomkontraktuella förhållanden är huvudregeln att skadeståndsskyldighet för ren förmögenhetsskada (dvs. ekonomisk skada som uppkommit utan att någon lidit person- eller sak- skada) föreligger endast om skadan orsakats genom brott. Det framgår av 2 kap. 4 § skadeståndslagen (1972:207). För att ren förmögenhetsskada skall vara ersättningsgill i andra fall krävs i princip en specialbestäm- melse i lag. Av förarbetena till 2 kap. 4 § skadeståndslagen framgår dock att avsikten inte varit att lägga hinder i vägen för en rättsutveckling i praxis i riktning mot ett vidgat ansvar för ren förmögenhetsskada (jfr prop. 1972:5 s. 568). har också i rättspraxis skadestånds- ansvar godtagits beträffande t.ex. felaktiga vederhäftighets- och vittnes- intyg samt beträffande soliditetsupplysningar. Särskilt intressant i detta sammanhang är rättsfallet NJA 1987 s. 692 där en värderingsman som av oaktsamhet utfärdat ett oriktigt värderingsintyg ansågs skadestånds- skyldig gentemot en långivare som förlitat sig på intyget. Det kan diskuteras i vilken utsträckning en mottagare kan göra gällande att en certifikatutfärdare är skadeståndsskyldig i enlighet med principerna fall. När certifikatutfärdaren utfärdar ett certifikat sker det normalt i syfte att tredje man skall kunna förlita sig på uppgift- erna i certifikatet. Certifikatet riktar sig ju ofta just till tredje man. I så måtto finns likheter med fall. Av betydelse är dock att mål- gruppen för certifikatet i regel kan vara obegränsad. Det är omöjligt för en certifikatutfärdare att överblicka de transaktioner som signaturen kommer att användas till och vem som kan förväntas förlita sig på certi- fikatet. I normalfallet saknar certifikatutfärdaren vetskap om för vilka ändamål signaturen kommer att användas. Så behöver dock inte vara fallet om certifikatutfärdaren har begränsat t.ex. certifikatets använd- ningsområde. Rättsläget måste hur som helst betecknas som osäkert. I de fall det trots allt finns ett avtal mellan certifikatutfärdaren och mottagaren är det fritt för dem att sinsemellan reglera förutsättning- arna för ansvar. Avtalsfriheten begränsas också här ytterst av 36 § avtalslagen. Om certifikatutfärdaren inte uppfyller sina förpliktelser en- ligt avtalet med mottagaren kan ett avtalsbrott föreligga. Ansvarsförhållandet mellan certifikatutfärdaren och mottagaren regle- ras i artikel 6 i direktivet. 6.9.2 Genomförandet av direktivets artikel om skadestånd Regeringens förslag: I lagen skall det föreskrivas ett skadestånds- rättsligt presumtionsansvar för den som utfärdar kvalificerade certi- fikat till allmänheten gentemot den som förlitar sig på certifikatet. Det skall även föreskrivas att bestämmelsen är tvingande till fördel för den som förlitar sig på certifikatet. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. I promemorian föreslogs dock ingen bestämmelse om att skade- ståndsbestämmelsen skulle vara tvingande. Remissinstanserna: Flertalet remissinstanser tillstyrker i huvudsak förslaget eller lämnar det utan erinran. anser dock att det finns skäl att överväga ett strikt ansvar. och vid menar att det bör klargöras om skadeståndsbestämmelsen är tvingande eller inte. Skälen för regeringens förslag Ansvarets omfattning Artikel 6 i direktivet föreskriver som ett minimikrav att medlemsstaterna skall säkerställa att de certifikatutfärdare som utfärdar certifikat som uppges vara kvalificerade eller som garanterar att någon annans certifikat är kvalificerade har ett s.k. presumtionsansvar. Det innebär att om den som förlitar sig på certifikatet lider en skada till följd av t.ex. en felaktig- het i certifikatet skall certifikatutfärdaren ersätta skadan såvida inte certi- fikatutfärdaren kan visa att felaktigheten beror på något annat än att denne varit vårdslös. Certifikatutfärdaren skall alltså antas presumeras ha orsakat skadan genom vårdslöshet, men om utfärdaren lyckas bevisa att skadan inte beror på vårdslöshet på dennes sida skall utfärdaren kunna undgå skadeståndsansvar. Eftersom detta i direktivet formulerats som ett minimikrav är det möjligt för medlemsstaterna att i stället föreskriva ett strikt ansvar för certifikatutfärdaren, dvs. att denne skall vara skade- ståndsskyldig oberoende av eget vållande. Vid bestämmande av vilken omfattning certifikatutfärdarens ansvar skall ha finns flera hänsyn att ta. Det är viktigt att betona att certifikatets funktion är att skapa trygghet. Den som tar del av innehållet skall kunna förlita sig på att det är riktigt. Ett viktigt syfte med regleringen måste vidare vara att gynna förekomsten av elektroniska signaturer och certi- fikattjänster. Regleringen får inte riskera att i onödan hämma framväxten av certifikattjänster. Det är därvid väsentligt att komma ihåg att certifikat är något som certifikatutfärdarna normalt tar betalt för. Det vore natur- ligtvis olyckligt med en utveckling där certifikatutfärdarna tog så mycket betalt för certifikaten att elektroniska signaturer endast skulle komma att användas av företag och inte av privatpersoner. En annan aspekt som inte är oväsentlig i sammanhanget är att man bör försöka uppnå nordisk rättslikhet på området. I övriga nordiska länder har man planerat att genomföra direktivet så att certifikatutfärdarna åläggs ett presumtionsansvar. Vid ett presumtionsansvar måste certifikatutfärdaren, sedan t.ex. en felaktighet i certifikatet och en därtill knuten skada för den som förlitar sig på certifikatet har konstaterats, bevisa att skadan inte uppkommit på grund av dennes vårdslöshet. Detta är rimligt eftersom certifikatutfärda- ren torde ha lättast att föra fram bevisning i detta avseende. Om däremot certifikatutfärdarna skulle sakna möjlighet att visa att man vidtagit alla rimliga åtgärder för att förhindra en felaktighet skulle utvecklingen av sådana tjänster hämmas på ett olyckligt sätt. Från angivna utgångspunkter framstår enligt regeringens mening ett presumtionsansvar som det lämpligaste alternativet. Ett strikt ansvar bör därför inte föreskrivas. Hovrätten över och samt vid ifrågasätter betydelsen av att den skadelidande skall ha haft rimlig anledning att förlita sig på certifikatet, såsom angavs i promemorians lagförslag. Hovrätten menar att begränsningen borde kunna hanteras inom adekvansbedömningen, inom läran om skyddat intresse eller med hjälp av allmänna regler om jämkning vid medvållande, med i huvudsak samma utfall som om begränsningen uttryckligen anges i lagtexten. Hovrätten menar vidare att skyddet för den skadelidande i vart fall inte lär hamna under den miniminivå som direktivet kräver. anser att utgångspunkten vid tolkningen av bestämmelsen rimligen måste vara att den som förlitar sig på ett kvalificerat certifikat har alla skäl att göra det och att situationen måste vara mycket speciell för att bedömningen skall bli annorlunda. Regeringen delar remissinstansernas bedömning och föreslår därför inte att någon sådan begränsning uttryckligen anges. Certifikatutfärdare som skall omfattas av skadeståndsregeln Det skadeståndsansvar som föreskrivs i direktivet omfattar endast de certifikatutfärdare som antingen till allmänheten utfärdar certifikat som uppges vara kvalificerade eller som garanterar att en annan certifikat- utfärdares certifikat är kvalificerade. En certifikatutfärdare som inte utger sig för att utfärda kvalificerade certifikat och som inte garanterar att någon annans certifikat är kvalificerade träffas över huvud taget inte av direktivets skadeståndsregler. Inte heller träffas sådana certifikatutfärdare som inte utfärdar certifikat till allmänheten. Frågan är om vi i nu bör införa en regel som går längre än direktivet och ålägga en skade- ståndsskyldighet även för andra certifikatutfärdare. Direktivet torde inte hindra en sådan nationell lagstiftning. Det finns bärkraftiga argument både för att utöka den krets som skall träffas av direktivets skadeståndsregler och för att inte göra det. Som nämnts ovan är det tämligen oklart vad som gäller om certifikat- utfärdares ansvar gentemot mottagaren enligt allmänna skadeståndsrätts- liga regler, i varje fall när de inte har något avtalsförhållande med var- andra, vilket torde vara det vanliga. Denna osäkerhet talar för att kretsen bör utökas i förhållande till direktivet. Det kan förutsättas att många av de certifikat som finns och kommer att finnas på marknaden inte är kvalificerade i direktivets mening. Det kan i dessa fall finnas väl så starka skäl att ha en specialreglering för certifikatutfärdarens ansvar. finns det starka betänkligheter mot en utvidgad krets. Regle- ringen tar såvitt avser förhållandet mellan certifikatutfärdaren och mottagaren huvudsakligen sikte på skadeståndsansvar för ren förmögen- hetsskada i utomobligatoriska förhållanden. På detta område präglas svensk rätt av tämligen stor restriktivitet. Om kretsen skulle utvidgas är det viktigt att den är tydligt identifierbar och definierad. Det skulle kunna föra för långt om skadeståndsansvar för rena förmögenhetsskador i utomkontraktuella förhållanden träffade alla certifikatutfärdare eller alla som i en elektronisk miljö identifierar avsändare av elektroniska medde- landen. Det är förenat med betydande svårigheter att finna tydliga av- gränsningar på området. Vidare bygger direktivet till stor del på att det skapas en slags standard för elektroniska signaturer i och de som baserar sig på kvalificerade certifikat ges en särställning i direktivet (jfr avsnitt 6.11). Det kan därför ses som mest förenligt med tankarna bakom direktivet att begränsa skadeståndsregleringen till de fall certifikat- utfärdaren anger att han utfärdar kvalificerade certifikat eller som garan- terar att någon annans certifikat är kvalificerade. De som förlitar sig på certifikaten får därmed också en tydlig signal om de kvalificerade certifi- katens särskilda kvalitéer. undviker man att förena certifikat som avses att användas på ett sätt som inte kräver så hög säkerhet med avskräckande höga kostnader. Övervägande skäl talar därför för att inte utvidga den krets som träffas av direktivets skadeståndsregler. I sammanhanget kan nämnas att man planerat att lösa frågan på samma sätt i övriga nordiska länder. En jämförelse med övriga nordiska länder i detta avseende haltar dock efter- som vi har delvis olika regler om ansvar för ren förmögenhetsskada utanför kontraktsförhållanden. Reglernas utformning Artikel 6.1 i direktivet föreskriver att certifikatutfärdare som utfärdar påstått kvalificerade certifikat till allmänheten eller som garanterar att någon annans certifikat är kvalificerade har ett skadeståndsrättsligt presumtionsansvar för att uppgifterna i ett certifikatet är korrekta och fullständiga, att undertecknaren för utfärdandet var i besittning av de signaturframställningsdata som motsvarar de signatur- verifieringsdata som anges i certifikatet samt att signaturfram- ställningsdata och signaturverifieringsdata kan användas som komple- ment till varandra om certifikatutfärdaren framställer båda. Vidare har certifikatutfärdare som utfärdar sådana certifikat enligt artikel 6.2 ett presumtionsansvar för skada som genom underlåtenhet att registrera ett återkallande av ett certifikat åsamkats den som förlitat sig på certifikatet. De i lagen ställda kraven på kvalificerade certifikat och den som utfär- dar sådana till allmänheten (se avsnitt 6.5) kan utformas bl.a. som hand- lingsregler för certifikatutfärdaren, som motsvarar vad certifikat- utfärdaren enligt direktivet skall ha ett skadeståndsrättsligt presumtions- ansvar för. Skadeståndsreglerna i lagen kan då lämpligen utformas så att certifikatutfärdaren bär det särskilda skadeståndsansvaret om uppgifterna i ett certifikat som anges vara kvalificerat är felaktiga eller ofullständiga, eller certifikatutfärdaren inte har uppfyllt vissa handlingsregler. Artikel 6 stadgar också att medlemsstaterna skall föreskriva att en certifikatutfärdare får ange begränsningar för områden eller transaktions- belopp som certifikatet får användas för samt att certifikatutfärdaren inte skall vara ansvarig för skador som härrör från ett överskridande av dessa begränsningar. Även detta bör anges i lagtexten. Några remissinstanser menar att promemorians lagförslag är otydligt i fråga om vilka certifikatutfärdare som omfattas av skadeståndsbestäm- melsen. Såsom framgått ovan omfattas bara sådana certifikatutfärdare som utfärdar påstått kvalificerade certifikat till allmänheten. Certifikat- utfärdare som garanterar att någon annans certifikat är kvalificerade om- fattas av bestämmelsen i den mån certifikaten inte uppfyller kraven i 3 § eller innehåller felaktiga uppgifter (första stycket 2 och 3). Dessa s.k. certifikatgaranter åläggs dock inte något skadeståndsansvar för någon annan certifikatutfärdares underlåtenhet att uppfylla kraven i 9 § (första stycket 1). Detta har förtydligats i regeringens förslag, bl.a. genom att sammanfoga 13 och 14 §§ och genom det tillagda andra stycket i 13 §. och vid menar att det bör klargöras om rätten till skadestånd är tving- ande eller om certifikatutfärdaren i avtal kan friskriva sig från ansvar i förhållande till sådana personer som är kunder till certifikatutfärdaren. De anför att om regeln är avsedd att vara tvingande, bör detta anges uttryckligen i lagen. menar att en tvingande regel torde stämma bäst överens med formuleringen av ingressen till artikel 6 i direktivet och att det vore det lämpligaste alternativet. Regeringen delar den uppfattningen och föreslår därför en särskild bestämmelse som klar- gör detta. Bestämmelsen bör utformas i enlighet med motsvarande bestämmelser i konsumentlagstiftningen. 6.10 Behandling av personuppgifter Regeringens förslag: I lagen skall det anges begränsningar för hur den som utfärdar certifikat till allmänheten får behandla person- uppgifter. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller läm- nar det utan erinran. Skälen för regeringens förslag: och rådets direk- tiv 95/46/EG av om skydd för enskilda med avse- ende på behandling av personuppgifter och om det fria flödet av sådana uppgifter har genomförts i svensk rätt genom personuppgiftslagen (1998:204). Lagen innehåller bestämmelser om när behandling av per- sonuppgifter är tillåten. Enligt lagen gäller bl.a. följande. Personuppgifter får behandlas (inkluderande insamlas) bara om den registrerade har lämnat sitt sam- tycke till behandlingen, eller om behandlingen är nödvändig av vissa närmare angivna skäl. Personuppgifter som samlats in för ett ändamål får inte behandlas för något annat oförenligt ändamål. Fler personuppgifter än som är nödvändiga med hänsyn till ändamålet får inte behandlas. Personuppgiftslagen är tillämplig på certifikatutfärdare, SWEDAC och tillsynsmyndigheten, utan att detta särskilt behöver anges.