prop · GN03117 · 2000-01-01 00:00:00 — Det är alltså inte acceptabelt att den mottagare som skall förlita sig på certifikatet utöver den information han eller hon kan hämta i detta måste vända sig särskilt till certifikatutfärdaren eller någon annan för att få tillgång till signatur- verifieringsdata. I sjätte punkten stadgas att certifikatets giltighetstid måste anges. Av paragrafens inledning framgår också att certifikaten alltid skall vara utfärdade för en bestämd tid. Teknikutvecklingen på området kan för- väntas vara fortsatt snabb och en elektronisk signatur som är säker kan mycket väl sakna samma skydd mot förfalskningar . Det finns anledning att överväga om handlingar, där det finns behov av att säkert identifiera undertecknaren även efter det att certifikatets giltig- hetstid löpt ut, lämpar sig för att kommuniceras elektroniskt. Under alla förhållanden bör man i sådana fall på annat sätt dokumentera att identifiering skett (jfr avsnitt 6.11). Kravet i åttonde punkten innebär att certifikatutfärdaren skall signera certifikatet med sin avancerade elektroniska signatur eller motsvarande. Därigenom kan den som förlitar sig på certifikatet identifiera certifikat- utfärdaren och avslöja om det skett några förändringar i certifikatet sedan certifikatutfärdaren signerat det. Enligt andra stycket kan regeringen eller, efter regeringens bemyndigande, tillsynsmyndigheten precisera kraven och ange hur de skall uppfyllas. Kraven i 6 § har nära samband med skadeståndsbestämmelserna, se kommentaren till 14 §. 7 § Genom bestämmelsen genomförs andra meningen i artikel 4.1 och artikel 7.1 i direktivet. Bestämmelsen innebär att även certifikat utfärdade av någon etablerad i något annat EES-land (punkt 1) och under vissa förutsättningar även i tredje land (punkterna 2 och 3), skall anses vara kvalificerade om de uppfyller kraven i 6 § första stycket 1 9. Utfärdande av kvalificerade certifikat 8 § I paragrafen föreskrivs en skyldighet för den som vill utfärda kvalifice- rade certifikat till allmänheten att anmäla detta hos den myndighet rege- ringen bestämmer (tillsynsmyndigheten). Detta står inte i strid med direktivets förbud mot förhandstillstånd för certifikatutfärdare. Det är inte fråga om att certifikatutfärdaren skall godkännas eller ges något tillstånd av tillsynsmyndigheten. Syftet är endast att tillsynsmyndigheten skall kunna veta vilka certifikatutfärdare myndigheten skall ha tillsyn över. ges endast förutsättningar att kontrollera efterlevnaden av lagen. Om en certifikatutfärdare underlåter att anmäla sin verksamhet och detta kommer till tillsynsmyndighetens kännedom torde det sällan finnas anledning att i det läget förelägga utfärdaren att anmäla verksamheten. Frågan om vilka certifikatutfärdare som omfattas av anmälnings- skyldigheten behandlas i avsnitt 6.5 och 6.12. 9 § Genom paragrafen genomförs delvis artiklarna 2.10 och 3.5 samt punkt- erna a, b, d, e, f, g, h och j i bilaga II till direktivet. Bestämmelsen, som innehåller krav på en sådan certifikatutfärdare som utfärdar kvalificerade certifikat, behandlas i avsnitt 6.5 6.7. Första stycket innehåller en allmän regel om att certifikatutfärdarens verksamhet måste bedrivas tillförlitligt. På förslag från Lagrådet används begreppet tillförlitligt i stället för med den pålitlighet som krävs som anges i punkt a i bilaga II till direktivet. Någon saklig skillnad avses dock inte. Kraven i första och andra punkterna första stycket motsvarar till- sammans med det inledande allmänna kravet i paragrafen i praktiken de krav som återfinns i befintliga standarder vad gäller ledning för informa- tionssäkerhet (se avsnitt 6.7). På förslag från Lagrådet anges att personalen inte bara skall ha tillräcklig kompetens utan även tillräcklig erfarenhet. Därigenom följs direktivtexten i bilaga II punkt e på ett bättre sätt. Tredje punkten korresponderar med tredje stycket där det stadgas att sådana produkter som uppfyller vissa standarder som Europeiska kom- missionen senare skall referera till skall presumeras uppfylla kraven i tredje punkten (jfr avsnitt 6.5) För att närmare följa direktivtexten i bilaga II punkt f klargörs, på Lagrådets inrådan, att det är certifikatutfärdaren som har ansvar för att teknisk och kryptografisk säkerhet upprättshålls. På vilket sätt certifikatutfärdaren skall uppfylla kravet i fjärde punkten varierar givetvis med vilken typ av certifikat utfärdaren tillhandahåller. Är det fråga om certifikat som kan komma att användas för transaktioner som kan innebära stora ekonomiska konsekvenser för parterna måste den ekonomiska beredskapen vara högre än om certifikaten endast kan användas för smärre transaktioner. Kravet kan exempelvis, som också anges i direktivet, uppfyllas genom att certifikatutfärdaren tecknar en lämplig försäkring. I femte punkten föreskrivs en skyldighet för certifikatutfärdaren att säkert kontrollera identiteten hos den undertecknare till vilken ett kvalifi- cerat certifikat utfärdas. I sjätte punkten åläggs certifikatutfärdaren att ha ett snabbt och säkert system för registrering och återkallelse av certifikat, jfr 10 §. Kraven i sjunde punkten kan delvis uppfyllas genom att certifikat- utfärdaren påför certifikatet sin egen avancerade elektroniska signatur eller motsvarande (jfr 6 § 8). Andra ledet i punkten tar sikte på det fallet att certifikatutfärdaren också framställer signaturframställningsdata (den hemliga nyckeln). Genereringen av dessa data måste då ske på ett sådant sätt att de inte röjs för obehöriga. På förslag från Lagrådet används ordet framställandet i stället för tillhandahållandet som regeringen först föreslog. Ordet framställandet torde stämma bättre överens med ordet genereringen som används i direktivtexten. Regeringen eller tillsynsmyndigheten kan enligt 13 § utfärda närmare bestämmelser om kraven i paragrafen. 10 § Genom paragrafen genomförs punkten c i bilaga II och delvis artikel 6.1 c och 6.2 i direktivet. Av första punkten framgår att certifikatutfärdaren är skyldig att återkalla ett certifikat när undertecknaren begär det eller när det annars finns anledning till det. En sådan anledning kan vara att det står klart för certifikatutfärdaren att den hemliga nyckeln används av någon annan än den rättmätige innehavaren. På Lagrådets inrådan används ordet återkalla i stället för spärra som regeringen först föreslog. Med ordbytet avses dock ingen saklig förändring. Återkallelsen kan vara antingen temporär eller permanent. Andra punkten innebär att det skall vara möjligt att slå fast när ett certifikat är utfärdat eller återkallat. Detta kan vara av betydelse vid eventuella tvister mellan undertecknaren och mottagaren. Det typiska fall som kraven i tredje punkten tar sikte på är att certifi- katutfärdaren framställer både signaturframställningsdata och signatur- verifieringsdata, exempelvis genom att utställa ett s.k. smart kort där den elektroniska signaturen finns. Det är då certifikatutfärdarens skyldighet att försäkra sig om att endast sådana signaturframställningsdata och signaturverifieringsdata framställs som kan användas som komplement till varandra. Kraven i 10 § har nära samband med skadeståndsbestämmelserna, se kommentaren till 14 §. Regeringen eller tillsynsmyndigheten kan enligt 13 § utfärda närmare bestämmelser om kraven i paragrafen. 11 § Genom paragrafen, som behandlar certifikatutfärdarens skyldighet att registrera relevant information om ett kvalificerat certifikat samt använda tillförlitliga system för lagring av certifikat, genomförs punkterna i, j och l i bilaga II till direktivet. Det inledande kravet på registrering av information syftar bl.a. till att vid rättsliga förfaranden kunna lägga fram bevis om utfärdande av certi- fikat. Registreringen får ske elektroniskt. Det är önskvärt att parter som inte har något tidigare avtal om hur man skall kommunicera kan kommunicera elektroniskt på ett säkert sätt. En metod för att möjliggöra detta är att man kan hämta t.ex. en framtida avtalspartners certifikat i en öppen databas. Direktivet föreskriver emellertid att certifikatutfärdaren får göra certifikaten offentligt tillgäng- liga för hämtning av uppgifter endast i de fall för vilka certifikatinneha- varens uttryckliga samtycke har inhämtats (jfr 16 §). Andra stycket tar sikte på det fallet att certifikatutfärdaren tillhanda- håller signaturframställningsdata. Det är väsentligt för tilltron till elektro- niska signaturer att det verkligen bara är undertecknaren som har tillgång till signaturframställningsdata. Certifikatutfärdaren förbjuds därför att bevara eller kopiera sådana data. Regeringen eller tillsynsmyndigheten kan enligt 13 § utfärda närmare bestämmelser om kraven i paragrafen. 12 § Genom paragrafen genomförs punkten k) i bilaga II till direktivet. Paragrafen ålägger certifikatutfärdare som utfärdar kvalificerade certifikat att till den som certifikatet utfärdas till ge de upplysningar som gör det möjligt för denne att värdera tjänsten. Upplysningarna skall lämnas skriftligt , dvs. i betydelsen inte muntligt och med ett språkbruk som är lättbegripligt. Inget hindrar att de lämnas elektroniskt. Att hänvisa till en webbplats på Internet under certifikatutfärdarens kontroll, där denne från tid till annan kan ändra i villkoren, är givetvis inte tillräckligt. Informationen skall också tillhandahållas andra som begär att få den, t.ex. mottagaren av en signatur baserad på certifikatet. På Lagrådets inrådan utformas bestämmelsen i närmare överens- stämmelse med direktivtexten, jämfört med den utformning som föreslogs i lagrådsremissen. Regeringen eller tillsynsmyndigheten kan enligt 13 § utfärda närmare bestämmelser om kraven i paragrafen. 13 § Paragrafen ger regeringen eller, efter regeringens bemyndigande, till- synsmyndigheten, möjlighet att närmare reglera kraven i 9 12 §§. Skadestånd Genom bestämmelsen i 14 § genomförs artikel 6 i direktivet. Genom 15 § klargörs att bestämmelsen är tvingande till förmån för den som förlitar sig på certifikatet. Bestämmelserna behandlas i avsnitt 6.9. Förhållanden som inte omfattas av det särskilda skadeståndsansvaret i paragraferna får bedömas i enlighet med allmänna skadeståndsrättsliga regler. 14 § I paragrafen anges vilka certifikatutfärdare som omfattas av den särskilda skadeståndsskyldighet som anges i direktivet, se närmare avsnitt 6.9.2. Det bör betonas att även certifikat som inte uppfyller kraven på ett kvali- ficerat certifikat dvs. inte uppfyller kraven i 6 § omfattas, om de utges för att vara kvalificerade certifikat. Även certifikatutfärdare som garanterar att någon annan certifikat- utfärdares certifikat är kvalificerade omfattas, i de fall certifikatet inte uppfyller kraven i 6 § eller vid utfärdandet innehåller felaktiga uppgifter. Detta har samband med den särskilda möjlighet som beskrivs i artikel 7 i direktivet, nämligen att en certifikatutfärdare inom Europeiska unionen garanterar ett certifikat som utfärdats av en certifikatutfärdare som är etablerad utanför unionen. Den skada som kan bli aktuell att ersätta enligt 14 § torde vara ren för- mögenhetsskada. Huvudregeln vad gäller utomkontraktuella förhållanden enligt svensk skadeståndsrätt är enligt 2 kap. 4 § skadeståndslagen (1972:207) att ren förmögenhetsskada endast ersätts om skadan vållats genom brott. Enligt förarbetena till skadeståndslagen är dock inte avsik- ten att denna bestämmelse skall utgöra hinder för en utveckling i praxis i riktning mot ett vidgat ansvar för ren förmögenhetsskada. Som nämnts i avsnitt 6.9.1 har skadeståndsansvar för vissa felaktiga intyg godtagits i praxis . De här aktuella skadeståndsreglerna är inte heller avsedda att läsas motsatsvis på sådant sätt att skadeståndsskyldighet för ren förmögenhetsskada enligt allmänna principer är utesluten utanför deras tillämpningsområde, t.ex. när det är en certifikatutfärdare som utfärdar ett certifikat som inte utges för att vara kvalificerat. Se vidare avsnitt 6.9.2. Artikel 6.1.a i direktivet stadgar att en tillhandahållare av certi- fikattjänster som till allmänheten utfärdar certifikat som anges vara kva- lificerade eller garanterar att någon annans certifikat är kvalificerade, genom det särskilda skadeståndsansvaret svarar för att all information i certifikatet är korrekt för utfärdandet och att certifikatet innehåller alla de uppgifter som föreskrivs för ett kvalificerat certifikat. I 6 § första stycket föreskrivs vad ett kvalificerat certifikat skall innehålla. Genom att det i denna paragrafs första stycke föreskrivs att certifikatutfärdaren är skadeståndsskyldig om certifikatet innehåller felaktiga uppgifter vid utfärdandet eller inte uppfyller kraven i 6 § första stycket, täcks artikel 6.1.a i direktivet. I artikel 6.1.b stadgas att certifikatutfärdaren svarar för att den under- tecknare som anges i det kvalificerade certifikatet för utfärdandet var i besittning av de signaturframställningsdata som motsva- rar de signaturverifieringsdata som anges i certifikatet. Genom 6 § första stycket 5 föreskrivs att det är certifikatutfärdarens skyldighet att se till att certifikatet innehåller signaturverifieringsdata som motsvarar de signa- turframställningsdata som undertecknaren för utfärdandet har kontroll över. Om inte undertecknarens signaturframställningsdata motsvarar de signaturverifieringsdata som anges i certifikatet, innehåller certifikatet felaktiga uppgifter och certifikatutfärdaren är således skade- ståndsskyldig för den skada detta kan orsaka. I artikel 6.1.c stadgas att certifikatutfärdaren svarar för att signatur- framställningsdata och signaturverifieringsdata kan användas som kom- plement till varandra om certifikatutfärdaren framställer båda dessa. Genom att det genom 10 § 3 fastställs att det är certifikatutfärdarens skyldighet att, i förekommande fall, säkerställa att sådana signaturframställningsdata och signaturverifieringsdata som utfärdaren framställer kan användas som komplement till varandra, täcks även detta fall av 14 §. I artikel 6.2 stadgas att en certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten också skall svara för skada som åsamkats genom underlåtenhet att registrera återkallande av certifikatet. Om certifikatutfärdaren inte iakttar sin skyldighet enligt 10 § 1 att återkalla ett certifikat, eller enligt 10 § 2 att säkerställa att exakt tidpunkt för när så har skett kan anges, innebär det att certifikatutfärdaren kan vara skadeståndsskyldig enligt 14 §. Uttrycket den som förlitar sig på certifikatet är inte begränsat till mottagaren av en elektronisk signatur. Även undertecknaren, som ingått avtal med certifikatutfärdaren att den sistnämnde skall möjliggöra för undertecknaren att kunna identifiera sig vid elektronisk kommunikation, kan lida skada på grund av t.ex. felaktigheter eller brister i ett certifikat. Även detta regleras i viss mån genom paragrafen. Det är således inte möjligt för certifikatutfärdaren att genom avtal med undertecknaren begränsa sitt ansvar för att en hemlig och en öppen nyckel (ett nyckelpar) som certifikatutfärdaren tillhandahållit verkligen fungerar, dvs. kan användas som komplement till varandra. Av första meningen i andra stycket framgår att certifikatutfärdaren kan undgå skadeståndsansvar om utfärdaren kan visa att skadan inte beror på vårdslöshet hos denne. Certifikatutfärdaren har således ett s.k. presum- tionsansvar med möjlighet att exculpera sig. Enligt allmänna skade- ståndsrättsliga principer är det dock alltid den skadelidande som i dessa fall har att bevisa skadan och sambandet mellan skadan och exempelvis felet i certifikatet, se avsnitt 6.9. Enligt artikel 6.3 och 6.4 i direktivet skall medlemsstaterna säkerställa att det i viss mån är möjligt för certifikatutfärdarna att genom att i certifi- katet ange begränsningar för användningsområde eller transaktionsbelopp begränsa sitt skadeståndsansvar. Begränsningarna måste då vara tydliga för tredje man. Genom andra meningen i andra stycket i paragrafen regleras denna möjlighet. I 6 § 9 anges att eventuella begränsningar måste anges i certifikatet. I förevarande paragraf anges att begränsningarna måste vara tydliga. Detta innefattar att de måste vara tydliga för den som certifikatet utfärdas till och, inte minst, för den mottagare som skall förlita sig på certifikatet. Certifikatutfärdaren är inte skadeståndsskyldig för skada som härrör från att certifikatet använts i strid med de begränsningar som på detta sätt angivits för det. Av tredje stycket framgår att även den som garanterar att någon annans certifikat är kvalificerat omfattas av skadeståndsbestämmelsen med möjlighet att exculpera sig. Av begränsningen till punkterna 2 och 3 i första stycket följer dock att garanten inte kan göras skadeståndsskyldig för att utfärdaren inte har uppfyllt sina skyldigheter enligt 10 §. Se vidare avsnitt 6.9.2. 15 § Normalt torde det inte finnas något avtalsförhållande mellan certifikat- utfärdaren och den som förlitar sig på ett certifikat. I undantagsfall kan det dock förekomma att parterna har ett avtal där certifikatet utgör ett moment. Av bestämmelsen följer att certifikatutfärdaren i dessa fall inte kan avtala bort någon del av sitt skadeståndsansvar. Naturligtvis är dock parterna fria att träffa avtal om ett större ansvar för certifikatutfärdaren om så önskas. Se avsnitt 6.9.2. Behandling av personuppgifter 16 § Genom paragrafen, som behandlas i avsnitt 6.10, genomförs artikel 8.2 i direktivet. Personuppgiftslagen (1998:204) är tillämplig på certifikatutfärdare. I paragrafen anges i vilka avseenden begränsningarna för hur den som utfärdar certifikat till allmänheten får behandla personuppgifter är snävare än vad som stadgas i personuppgiftslagen. Bestämmelsen är inte begränsad till att avse endast den som utfärdar kvalificerade certifikat. Självfallet gäller bestämmelsen endast i den mån inte annat följer av yttrandefrihetsgrundlagen eller tryckfrihetsförordningen. Kvalificerade elektroniska signaturer 17 § Första meningen i bestämmelsen behandlar den särställning som kvalificerade elektroniska signaturer ges enligt artikel 5 i direktivet. Frågan om i vilken mån artikel 5 i direktivet kräver lagstiftningsåtgärder i behandlas i avsnitt 6.11. Bestämmelsen innebär att kvalificerade elektroniska signaturer dvs. elektroniska signaturer som uppfyller en viss säkerhetsnivå ges en viss särställning i de fall krav på underskrift, egenhändigt undertecknande och motsvarande får uppfyllas med elektroniska medel. I de fall det över huvud taget är tillåtet att använda en elektronisk signatur så får det i författningar inte ställas högre krav på den elektroniska signaturen i sig, än vad som ställs på en kvalificerad elektronisk signatur. Det kan vara tillåtet att använda en elektronisk signatur antingen genom att det i en viss bestämmelse uttryckligen anges att en elektronisk signatur får eller t.o.m. måste användas. Det kan också vara tillåtet att använda en elektronisk signatur genom att ett krav på egenhändig underskrift eller något liknande uttryck i rättstillämpningen har tolkats så att kravet kan uppfyllas genom en elektronisk signatur. Med uttrycket krav på egenhändig underskrift eller motsvarande avses alltså såväl krav på underskrift, undertecknande och liknande uttryck, som krav på elektronisk signatur. Bestämmelsen påverkar alltså inte formkrav i lag eller annan författning som utesluter användning av elektroniska medel. Om det i en författning ställs krav på att en handling skall vara försedd med underskrift torde det normalt innebära att elektroniska medel och därmed elektroniska signaturer är uteslutna (jfr SOU 1996:40 s. 95). Om det däremot av författningen, uttryckligen eller genom tolkning, följer att kravet på underskrift kan uppfyllas med en elektronisk signatur får 17 § sin betydelse. Paragrafen utgör vidare inget hinder mot att, när elektroniska signaturer får användas, godta elektroniska signaturer med lägre säkerhetsnivå än kvalificerade. Det får dock inte i författningar utom i de fall som avses i andra stycket ställas högre krav på elektroniska signaturer än vad som ställs på kvalificerade elektroniska signaturer. Enligt direktivet skall en pseudonym kunna anges i ett certifikat. Denna möjlighet anges också i 6 §. Detta innebär givetvis inte att form- krav på underskrift vid användningen av elektroniska medel kan upp- fyllas genom att en pseudonym används, annat än om detta till äventyrs godtas även i övrigt. Andra meningen avser användningen av elektroniska signaturer vid kommunikation med eller mellan myndigheter. På förslag från Lagrådet används begreppet myndigheter i stället för den offentliga sektorn , eftersom det sistnämnda begreppet är vagt och kan ge upphov till tolkningssvårigheter. Begreppet myndighet har samma innebörd som i regeringsformen, dvs. samtliga statliga och kommunala organ med undantag av och de kommunala beslutande församlingarna (m.fl, Grundlagarna, s. 55). Bestämmelsen, som grundar sig på artikel 3.7 i direktivet, innebär att det vid sådan kommunikation får ställas högre krav på elektroniska signaturer än vad som ställs på kvalificerade elektroniska signaturer, dock endast i de fall det är uttryckligen tillåtet. Bestämmelsen har behandlats i avsnitt 6.11. Tillsyn Genom tillsynsbestämmelserna genomförs direktivets artikel 3.3. Bestämmelserna har behandlats utförligt i avsnitt 6.12. 18 § Första stycket i bestämmelsen har på inrådan av Lagrådet fått en annan utformning. Någon saklig förändring avses dock inte med detta. har i uppgift att övervaka att de certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten uppfyller lagens krav, inbegripet att de kvalificerade certifikaten uppfyller kraven. Däri ligger också att myndigheten skall kunna ingripa mot den som felaktigt påstår att ett certifikat är kvalificerat. Myndigheten skall också utöva marknadskontroll över anordningar som anges vara säkra anordningar för signaturframställning, genom att övervaka att de uppfyller lagens krav och är godkända av ett sådant organ som anges i 5 §. Avsikten är att genom den statliga tillsynen bidra till att certifikat som betecknas som kvalificerade får en sådan kvalitets- och säkerhetsnivå att allmänheten, företagen och andra har förtroende för dem och för de signaturer som baseras på dem. Någon praktisk möjlighet för myndigheten att i detalj granska varje certifikatufärdare och dennes certifikat torde inte finnas och är knappast heller önskvärd. Myndigheten kommer däremot att kunna fungera som en garant för att uppdagade missförhållanden åtgärdas. Myndigheten kommer att kunna ta befintliga och kommande standar- der till hjälp för att bedöma certifikatutfärdarnas verksamhet. Det skall dock vara möjligt att klara lagens krav utan att använda sig av de stan- darder som finns. De certifikatutfärdare som väljer att certifiera sig och sina produkter kommer genom certifieringsorganet att i många avseenden stå under till- räcklig löpande kontroll, även om de givetvis också står under myndig- hetens tillsyn. har också sanktionsmöjligheter som inte står certifieringsorganen till buds. Vidare finns möjlighet för myndigheten att anlita externa konsulter. Det finns anledning att förutse förekomsten av organisationer som i och för sig kommer att ha erforderlig kompetens att certifiera certifikat- utfärdarna, men av olika skäl inte kommer att uppträda som certifierings- organ, t.ex. revisionsbolag och datakonsultföretag. Denna kompetens bör kunna utnyttjas. I andra stycket åläggs tillsynsmyndigheten att föra och offentliggöra en förteckning över anmälda certifikatutfärdare som får utfärda kvalificerade certifikat. I denna förteckning torde myndigheten även kunna ange vilka certifikatutfärdare som förelagts att upphöra med verksamheten eller att kalla sina certifikat för kvalificerade. En sådan förteckning skulle också kunna innehålla signaturverifieringsdata (den öppna nyckeln) för certifikatutfärdarens avancerade elektroniska signatur eller motsvarande, som skall finnas i de kvalificerade certifikaten (jfr kommentaren till 6 §).