prop · GN03117 · 2000-01-01 00:00:00 — Regeringens proposition 1999/2000:117 Lag om kvalificerade elektroniska signaturer, m.m. Regeringen överlämnar denna proposition till . Propositionens huvudsakliga innehåll För genomförande av ett EG-direktiv om ett gemenskapsramverk för elektroniska signaturer (1999/93/EG) föreslås i propositionen en ny lag om s.k. kvalificerade elektroniska signaturer. Vidare föreslås en mindre ändring i sekretesslagen (1980:100) för att tillgodose behovet av sekretesskydd för koder o.d. som möjliggör säkerhetskontroll. En elektronisk signatur kan användas för att säkerställa att elektroniskt överförd information inte har förändrats, att informationens avsändare är den som uppges samt att avsändaren inte senare förnekar att han eller hon sänt informationen. För att kunna använda en elektronisk signatur i ett öppet system där parterna inte känner varandra i förväg, såsom Internet, behöver parterna kunna inhämta information om kopplingen mellan en elektronisk signatur och en bestämd person. Därför har det utvecklats ett system för elektro- niska signaturer som kan benämnas det öppna nyckelsystemet (Public , PKI). I detta system utfärdas ett elektroniskt intyg (certifikat) av en betrodd tredje part. Ett certifikat innehåller uppgifter om vem som är innehavare av en elektronisk signatur. Direktivets reglering bygger på elektroniska signaturer enligt det öppna nyckelsystemet. Det innehåller främst näringsrättsliga regler om dem som utfärdar vissa certifikat, men även regler om skadeståndsansvar och om rättsverkan av elektroniska signaturer. Den föreslagna lagen innehåller regler om krav på, tillsyn över och skadeståndsansvar för den som utfärdar certifikat för elektroniska signa- turer till allmänheten, om certifikaten anges ha en viss säkerhetsnivå. Sådana certifikat kallas i lagen för kvalificerade certifikat. En särställning ges vidare åt elektroniska signaturer med en viss säkerhetsnivå, s.k. kvalificerade elektroniska signaturer. Lagens regler omfattar inte certifikat som utfärdas inom s.k. slutna system. Lagen reglerar inte heller frågor om ingående eller giltighet av avtal. Enligt direktivet kan medlemsstaterna införa frivilliga ackrediterings- system som syftar till att höja nivån på tillhandahållandet av certifikat- tjänster. Lagen (1992:1119) om teknisk kontroll ger möjlighet till frivillig ackreditering av certifieringsorgan med det syfte som anges i direktivet. En tillsynsmyndighet förutses utöva tillsyn över efterlevnaden av bestämmelserna i lagen och föreskrifter som meddelas med stöd av lagen. Regeringen bemyndigas att införa ett avgiftssystem för att bekosta myndighetens verksamhet. Den nya lagen föreslås träda i kraft . Innehållsförteckning 1 Förslag till riksdagsbeslut 5 2 Lagtext 6 2.1 Förslag till lag om kvalificerade elektroniska signaturer 6 2.2 Förslag till lag om ändring i sekretesslagen (1980:100) 12 3 Ärendet och dess beredning 13 4 Bakgrund och utgångspunkter 14 4.1 Varför behövs elektroniska signaturer? 14 4.2 Rätts- och bevisverkan av signaturer 15 4.3 Tekniska grunder 18 4.3.1 Kryptografisk teknik med hemliga och öppna nycklar 20 4.3.2 Utrustning för att signera elektroniskt 21 4.3.3 Certifikat 21 4.3.4 Infrastruktur för öppna nycklar 22 4.3.5 Vissa säkerhetsfrågor för system med elektroniska signaturer 22 4.4 Standardisering, ackreditering, certifiering 24 5 Direktivet om ett gemenskapsramverk för elektroniska signaturer 26 5.1 Allmänt 26 5.2 Tillämpningsområde 28 5.3 Definitioner 28 5.4 Marknadstillträde 29 5.5 Fri rörlighet 30 5.6 Rättslig verkan 30 5.7 Skadestånd 31 5.8 Internationella aspekter 31 5.9 Dataskydd 32 5.10 Kommitté 32 5.11 Anmälan, genomförande och översyn 32 6 Genomförande av direktivet 32 6.1 En ny lag 33 6.2 Lagens syfte och tillämpningsområde 34 6.3 Definitioner 37 6.4 Kvalificerade certifikat 41 6.5 Utfärdande av kvalificerade certifikat 42 6.6 Standardisering 43 6.7 Ackreditering och certifiering 44 6.8 Anordningar för signaturframställning 46 6.9 Skadestånd 48 6.9.1 Allmänt om skadestånd och användning av elektroniska signaturer 48 6.9.2 Genomförandet av direktivets artikel om skadestånd 50 6.10 Behandling av personuppgifter 54 6.11 Kvalificerade elektroniska signaturer 55 6.12 Tillsyn 60 7 Val av tillsynsmyndighet 64 8 Finansieringen av tillsynsmyndighetens verksamhet 66 9 Sekretessfrågor 67 10 Ikraftträdande 68 11 Kostnader 69 12 Författningskommentar 69 12.1 Förslaget till lag om kvalificerade elektroniska signaturer 69 12.2 Förslaget till lag om ändring i sekretesslagen 81 Bilaga 1 och rådets direktiv /93/EG av om ett gemenskapsramverk för elektroniska signaturer Fel! Bokmärket är inte definierat. Bilaga 2 Promemorians lagförslag 91 Bilaga 3 Förteckning över remissinstanserna avseende Ds 1999:73 96 Bilaga 4 Förteckning över remissinstanserna avseende SOU 1996:40 97 Bilaga 5 Lagrådsremissens lagförslag 98 Bilaga 6 Lagrådets yttrande 105 Utdrag ur protokoll vid regeringssammanträde . 1 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till 1. lag om kvalificerade elektroniska signaturer, 2. lag om ändring i sekretesslagen (1980:100). 2 Lagtext Regeringen har följande förslag till lagtext. 2.1 Förslag till lag om kvalificerade elektroniska signaturer Härigenom föreskrivs följande. Allmän bestämmelse 1 § Syftet med denna lag är att underlätta användningen av elektroniska signaturer, genom bestämmelser om säkra anordningar för signatur- framställning, om kvalificerade certifikat för elektroniska signaturer och om utfärdande av sådana certifikat. Lagen gäller sådana certifikatutfärdare som är etablerade i och som utfärdar kvalificerade certifikat till allmänheten. Definitioner 2 § I lagen avses med elektronisk signatur: data i elektronisk form som är fogade till eller logiskt knutna till andra elektroniska data och som används för att kontrollera att innehållet härrör från den som framstår som utställare och att det inte har förvanskats, avancerad elektronisk signatur: elektronisk signatur som a) är knuten uteslutande till en undertecknare, b) gör det möjligt att identifiera undertecknaren, c) är skapad med hjälpmedel som endast undertecknaren kontrollerar, och d) är knuten till andra elektroniska data på ett sådant sätt att förvansk- ningar av dessa data kan upptäckas, kvalificerad elektronisk signatur: avancerad elektronisk signatur som är baserad på ett kvalificerat certifikat och som är skapad av en säker anordning för signaturframställning, undertecknare: fysisk person som behörigen innehar en anordning för signaturframställning, signaturframställningsdata: unika data, såsom koder eller hemliga krypteringsnycklar, som används för att skapa en elektronisk signatur, anordning för signaturframställning: maskin- eller programvara för användning av signaturframställningsdata, säker anordning för signaturframställning: anordning för signatur- framställning som uppfyller kraven i 3 §, signaturverifieringsdata: data, såsom koder eller öppna krypte- ringsnycklar, som används för att verifiera en elektronisk signatur, certifikat: intyg i elektronisk form som kopplar ihop signatur- verifieringsdata med en undertecknare och bekräftar dennes identitet, kvalificerat certifikat: certifikat som uppfyller kraven i 6 eller 7 §, certifikatutfärdare: den som utfärdar certifikat eller som garanterar att någon annans certifikat uppfyller vissa krav. Säkra anordningar för signaturframställning 3 § En anordning för signaturframställning som anges vara säker skall säkerställa att signaturen är tillfredsställande skyddad mot förfalskning. Anordningen skall även säkerställa att signaturframställningsdata 1. i praktiken kan förekomma endast en gång, 2. med rimlig säkerhet inte kan härledas, och 3. på ett tillfredsställande sätt kan skyddas av den behörige under- tecknaren, så att andra inte kan komma åt eller använda dem. Anordningen får inte förändra de uppgifter som skall signeras elektroniskt eller hindra att de presenteras för undertecknaren före den elektroniska signeringen. 4 § Kraven i 3 § på en säker anordning för signaturframställning skall anses uppfyllda för sådan maskin- eller programvara som överens- stämmer med sådana standarder för produkter för elektroniska signaturer som Europeiska gemenskapernas kommission fastställt och offentliggjort referensnummer till i Europeiska gemenskapernas officiella tidning. 5 § En anordning som anges vara en säker anordning för signatur- framställning får släppas ut på marknaden eller användas för att skapa en kvalificerad elektronisk signatur endast om den uppfyller kraven i 3 §. En prövning av om kraven är uppfyllda skall göras av ett organ som anmälts för detta ändamål enligt lagen (1992:1119) om teknisk kontroll. Med en prövning enligt första stycket likställs en prövning av ett organ som anmälts för samma ändamål av en annan stat inom Europeiska ekonomiska samarbetsområdet. Kvalificerade certifikat 6 § För att ett certifikat skall få kallas kvalificerat skall det vara utfärdat av en certifikatutfärdare, som uppfyller kraven i 9 12 §§ och föreskrifter meddelade med stöd av 13 §, samt innehålla 1. uppgift om att det utfärdats som ett kvalificerat certifikat, 2. certifikatutfärdarens namn och adress samt uppgift om etablerings- land, 3. undertecknarens namn eller pseudonym med uppgift om att det är en pseudonym, 4. särskilda uppgifter om undertecknaren, om de är relevanta för ända- målet med certifikatet, 5. signaturverifieringsdata som motsvarar de signaturframställnings- data som undertecknaren för utfärdandet har kontroll över, 6. uppgift om certifikatets giltighetstid, 7. certifikatets identifieringskod, 8. certifikatutfärdarens avancerade elektroniska signatur eller en elek- tronisk signatur med motsvarande säkerhetsnivå, och 9. uppgift om eventuella begränsningar av certifikatets användnings- område eller av värdet på de transaktioner för vilka certifikatet kan användas (transaktionsbelopp). Regeringen eller, efter regeringens bemyndigande, tillsynsmyndigheten får meddela närmare föreskrifter om krav enligt första stycket. 7 § Om ett certifikat som uppfyller kraven i 6 § första stycket 1 9 utfärdats av en certifikatutfärdare som inte är etablerad i skall certifikatet anses kvalificerat om 1. certifikatutfärdaren är etablerad i en annan stat inom Europeiska ekonomiska samarbetsområdet och där får utfärda kvalificerade certifikat, 2. certifikatutfärdaren uppfyller krav som motsvarar dem som anges i 9 12 §§ och föreskrifter meddelade med stöd av 13 § och är ackrediterad i en annan stat inom Europeiska ekonomiska samarbetsområdet, eller 3. certifikatet garanteras vara kvalificerat av en certifikatutfärdare som avses i 1 eller i 6 § första stycket. Utfärdande av kvalificerade certifikat 8 § En certifikatutfärdare som avser att utfärda kvalificerade certifikat till allmänheten är skyldig att anmäla detta hos den myndighet som regeringen bestämmer (tillsynsmyndigheten) innan verksamheten påbörjas. 9 § En certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten skall bedriva verksamheten tillförlitligt och 1. ha personal med tillräcklig kompetens och erfarenhet för verk- samheten, särskilt vad avser ledning, teknik och säkerhetsrutiner, 2. använda sådana rutiner för administration och ledning som uppfyller erkända standarder, 3. använda pålitliga system och produkter som är skyddade mot ändringar och se till att teknisk och kryptografisk säkerhet upprätthålls, 4. förfoga över tillräckliga ekonomiska medel för att kunna bedriva verksamheten enligt denna lag och bära risken för skadeståndsskyldighet, 5. ha säkra rutiner för identitetskontroll av de undertecknare som kvalificerade certifikat utfärdas till, 6. förfoga över ett snabbt och säkert system för registrering och omedelbar återkallelse av kvalificerade certifikat, och 7. vidta åtgärder mot förfalskning av kvalificerade certifikat och i före- kommande fall se till att framställandet av signaturframställningsdata sker konfidentiellt. Kraven i första stycket 3 skall anses uppfyllda för sådan maskin- eller programvara som överensstämmer med sådana standarder för produkter för elektroniska signaturer som Europeiska gemenskapernas kommission fastställt och offentliggjort referensnummer till i Europeiska gemen- skapernas officiella tidning. 10 § En certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten skall 1. återkalla ett certifikat när undertecknaren begär det eller när det annars finns anledning till det, 2. säkerställa att exakt tidpunkt kan anges för utfärdande och åter- kallelse av certifikat, och 3. säkerställa att av utfärdaren framställda signaturframställningsdata och signaturverifieringsdata kan användas som komplement till varandra. 11 § En certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten skall bevara all relevant information om certifikaten som är motiverad med hänsyn till typen av certifikat och övriga omständigheter. Certifikatutfärdaren skall även använda tillförlitliga system för lagring av kvalificerade certifikat i verifierbar form, så att 1. endast behöriga personer kan göra tillägg och ändringar, 2. uppgifternas äkthet kan kontrolleras, 3. certifikaten är offentligt tillgängliga endast när innehavarna av certifikaten har lämnat sitt samtycke, och 4. tekniska förändringar som äventyrar säkerhetskraven framgår för den som handhar systemet. Certifikatutfärdaren får inte lagra eller kopiera signaturframställnings- data. 12 § Innan en certifikatutfärdare ingår avtal om att utfärda ett kvali- ficerat certifikat skall certifikatutfärdaren skriftligen och på ett lätt- begripligt språk informera motparten om 1. begränsningar och andra villkor för användning av certifikatet, 2. frivillig ackreditering eller certifiering som avses i lagen (1992:1119) om teknisk kontroll, och 3. förfaranden för klagomål och avgörande av tvister. Informationen enligt första stycket får överföras elektroniskt. Informationen skall göras tillgänglig också för annan som är beroende av certifikatet och som begär att få den. 13 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig- heten får utfärda närmare bestämmelser om krav enligt 9 12 §§. Skadestånd 14 § En certifikatutfärdare som till allmänheten utfärdar certifikat som anges vara kvalificerade skall ersätta den skada som åsamkats den som förlitat sig på certifikatet, om skadan uppkommit genom att 1. certifikatutfärdaren inte har uppfyllt kraven i 10 §, 2. certifikatet inte uppfyller kraven i 6 § första stycket, eller 3. certifikatet vid utfärdandet innehöll felaktiga uppgifter. Certifikatutfärdaren är dock inte skyldig att betala ersättning om utfärdaren kan visa att skadan inte har orsakats av vårdslöshet hos utfärdaren själv. Certifikatutfärdaren är inte heller ersättningsskyldig för en skada som härrör från att ett kvalificerat certifikat använts i strid med begränsningar som gäller användningsområde eller transaktionsbelopp och som tydligt angetts i certifikatet. Vad som sägs i första stycket 2 och 3 samt i andra stycket gäller även en certifikatutfärdare som garanterar att en annan certifikatutfärdares certifikat är kvalificerade. 15 § Avtalsvillkor som i jämförelse med 14 § är till nackdel för den som förlitar sig på certifikatet är utan verkan mot denne. Behandling av personuppgifter 16 § En certifikatutfärdare som utfärdar certifikat till allmänheten får inhämta personuppgifter endast direkt från den som uppgifterna avser eller med dennes uttryckliga samtycke och endast i den utsträckning som är nödvändig för att utfärda eller upprätthålla ett certifikat. Uppgifterna får inte samlas in eller behandlas för andra ändamål utan uttryckligt samtycke från den som uppgifterna avser. Kvalificerade elektroniska signaturer 17 § Om det i lag eller annan författning ställs krav på egenhändig underskrift eller motsvarande och om det är tillåtet att uppfylla kravet med elektroniska medel, skall en kvalificerad elektronisk signatur anses uppfylla kravet. Vid kommunikation med eller mellan myndigheter kan dock användningen av elektroniska signaturer vara förenad med ytterligare krav. Tillsyn 18 § skall ha tillsyn över efterlevnaden av denna lag och föreskrifter som har utfärdats med stöd av lagen. skall föra och ge offentlighet åt en förteckning över certifikatutfärdare som anmält sig enligt 8 § och som enligt denna lag får utfärda kvalificerade certifikat. 19 § har rätt att på begäran få de upplysningar och ta del av de handlingar som behövs för tillsynen. har också rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, där verksamhet som står under tillsyn bedrivs. har rätt att få biträde av kronofogdemyndigheten för tillsyn enligt första och andra styckena. 20 § får meddela de förelägganden och förbud som behövs för efterlevnaden av denna lag eller av föreskrifter som meddelats med stöd av lagen. får förelägga en certifikatutfärdare, som till allmänheten utfärdar certifikat som anges vara kvalificerade, att helt eller delvis upphöra med denna verksamhet, endast om mindre ingripande åtgärder visat sig vara verkningslösa. Myndigheten får besluta hur verksamheten skall avvecklas. 21 § Förelägganden och förbud enligt denna lag får förenas med vite. Avgifter 22 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig- heten får meddela föreskrifter om skyldighet för certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten att betala avgift för tillsynsmyndighetens verksamhet enligt denna lag. Överklagande 23 § beslut enligt denna lag eller enligt före- skrifter som meddelats med stöd av lagen får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. får bestämma att beslut enligt denna lag skall gälla . Denna lag träder i kraft . Certifikatutfärdare som redan före ikraftträdandet utfärdar sådana certifikat som medför anmälningsplikt enligt 8 § behöver inte göra anmälan före . 15 § tillämpas inte i fråga om avtal som träffats före ikraftträdandet. 2.2 Förslag till lag om ändring i sekretesslagen (1980:100) Härigenom föreskrivs att 5 kap. 3 § sekretesslagen (1980:100)1 skall ha följande lydelse. Nuvarande lydelse Föreslagen lydelse 5 kap. 3 §2 Sekretess gäller för uppgift som lämnar eller kan bidra till upplys- ning om chiffer, kod eller liknande metod som har till syfte att under- lätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, om det kan antas att syftet med metoden motverkas om uppgiften röjs. Sekretess gäller för uppgift som lämnar eller kan bidra till upplys- ning om chiffer, kod eller liknande metod som har till syfte att 1. underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, eller 2. göra det möjligt att kontroll- era om data i elektronisk form har förvanskats, om det kan antas att syftet med metoden motverkas om uppgiften röjs. Sekretess gäller i verksamhet som avser förande av eller uttag ur körkortsregistret för uppgift om körkorts referensnummer, om det inte står klart att uppgiften kan röjas utan fara för att kontrollen av körkorts äkthet motverkas om uppgiften röjs. Denna lag träder i kraft . 3 Ärendet och dess beredning antogs och rådets direktiv /93/EG av om ett gemenskapsramverk för elektroniska signaturer. Direktivet innehåller bestämmelser om elektro- niska signaturers rättsliga verkan och en reglering av de organ som avser att erbjuda elektroniska intyg om signaturers äkthet. Direktivet trädde i kraft och skall vara genomfört i medlemsstaterna . Direktivet bifogas som bilaga 1. Under förhandlingarna om direktivet skedde samråd med en av tillkallad referensgrupp bestående av företrädare för , Statskontoret, , SWEDAC, , , , , , , Handels- kammare, SEIS, , , , Svenska IT-företagen, Advokatfirman , , , , , iD2 och . Inför antagandet av direktivet var detta föremål för behandling i riks- dagens inför teleråden , 1998 samt 1999. utarbetades inom , i nära samarbete med , departementspromemorian Elek- troniska signaturer (Ds 1999:73). Promemorian föregicks av samråd med berörda departement i övriga nordiska länder, då tolkningen och genom- förandet av direktivet diskuterades. Promemorians lagförslag bifogas som bilaga 2. Promemorian har remissbehandlats. En förteckning över remissinstan- serna finns i bilaga 3. Remissyttrandena och en sammanställning av dessa finns tillgängliga i (dnr N1999/12677/ITFoU). Av sammanställningen framgår att flertalet remissinstanser i huvudsak tillstyrker den i promemorian föreslagna lagen. De nordiska överläggningarna har fortsatt även efter remissbehand- lingen. Den s.k. överlämnade betänkandet Elektronisk dokumenthantering (SOU 1996:40). Där föreslogs bl.a. en ändring i sekretesslagen med anledning av användningen av elektroniska signaturer (se avsnitt 9). Betänkandet har remissbehandlats. En förteck- ning över remissinstanserna finns i bilaga 4. Remissyttrandena och en sammanställning av dessa finns tillgängliga i (dnr Ju1996/1260/L6). Av sammanställningen framgår att remissinstanserna i denna del tillstyrker förslaget eller i allt väsentligt lämnar det utan erinran. Lagrådet Regeringen beslutade att inhämta Lagrådets yttrande över de förslag som finns i bilaga 5. Lagrådet har i huvudsak godtagit förslagen, men föreslagit vissa justeringar. Regeringen har i allt väsentligt följt Lagrådets förslag, vilket bl.a. har medfört en omnumrering av 3 20 §§. Dessutom har vissa redaktionella ändringar gjorts i lagtexten. Lagrådets synpunkter behandlas i avsnitt 6.1, 6.11 6.12, 9 och 10 samt i författnings- kommentarerna under respektive lagrum. Lagrådets yttrande finns i bilaga 6. 4 Bakgrund och utgångspunkter 4.1 Varför behövs elektroniska signaturer? En elektronisk signatur kan användas för att säkerställa att elektroniskt överförd information inte har förändrats, för att identifiera informatio- nens avsändare och för att förhindra avsändaren att förneka att han eller hon sänt informationen. Långt innan informationstekniken (IT) började förändra vårt sätt att hantera och kommunicera information har den personliga namnteck- ningen varit en väsentlig del av den ekonomiska och juridiska verklig- heten. Namnteckningar eller signaturer tillgodoser flera olika behov vid skriftlig informationshantering. En signatur kan ge uttryck för en vilja att handla på ett visst sätt. När- mast avser undertecknaren att acceptera innehållet i den text som är placerad före namnteckningen. Nära knuten till denna viljefunktion är den varningsfunktion som är förbunden med namnteckningen. Ett krav på underskrift klargör på ett tydligt sätt att en bindande förpliktelse kan vara för handen. Genom att skriva en namnteckning på en handling som innehåller en text, knyts texten på visst sätt till namnteckningen och därmed till den person som utpekas av namnteckningen. Namnteckningen kan sålunda användas för att identifiera den person som skall knytas till texten. Det faktum att både texten och namnteckningen fästs på papperet medför ett visst skydd mot manipulation och talar för att handlingen är äkta. Identifieringsfunktionen och äkthetsfunktionen kan användas i situa- tioner där behov av bevisning uppkommer, t.ex. för att i efterhand styrka rättshandlingar. Att förse en pappershandling med en namnteckning kan sägas vara ett sätt att säkra eventuellt framtida behov av att kunna bevisa såväl identiteten på som avsikten hos den som undertecknat en handling. Uttryckt på ett annat sätt kan namnteckningen sägas ha en funktion som hinder för undertecknaren att med framgång hävda att han eller hon inte står bakom en handling (s.k. oavvislighet). Den omständigheten att en person är närvarande i ett IT-system innebär oftast bara att denne via någon form av förbindelse är i direkt kontakt med det tekniska systemet. Det finns därför ofta ett behov av att kunna verifiera användarens identitet. Det behövs för att man skall kunna styra behörighet att ta del av information som inte skall vara allmän.