prop · GN03117 · 2000-01-01 00:00:00 — För att inte riskera att sådana register kommer i strid med personuppgiftslagen (1998:204) har tillsynsmyndigheten, på Lagrådets inrådan, ålagts en skyldighet att föra och offentliggöra dessa register (jfr PUL 10 § e). Vidare torde bestämmelsen, såsom Lagrådet påpekar, även fylla funktionen att förstärka intresset hos dem som vill utfärda kvalificerade certifikat att fullgöra sin anmälningsskyldighet enligt 8 §. 19 § I paragrafen ges myndigheten vissa befogenheter som är nödvändiga för att en effektiv tillsyn skall kunna utövas. Det kan vara fråga om att inhämta uppgifter som myndigheten anser att den behöver för att kunna bedöma verksamheten. Initiativet kan vara myndighetens eget, men det kan också ha sin grund i en anmälan till myndigheten. Uppgifter torde i många fall kunna hämtas in formlöst vid kontakter mellan myndigheten och aktörer på marknaden. Enligt 20 och 21 §§ finns dock möjlighet för myndigheten att begära uppgifter efter föreläggande som får förenas med vite. I sista hand kan myndigheten få verkställighet hos kronofogdemyndigheten. Genom hänvisningen till utsökningsbalken blir bl.a. dennas bestämmelser om tvång i 2 kap. 17 § tillämpliga. 20 21 §§ 20 § första stycket anger tillsammans med 21 § vilka sanktioner som får tillgripas av myndigheten. Den får själv bestämma när ett föreläggande skall förenas med vite. Det normala torde vara att myndigheten försökt få till stånd en frivillig rättelse. Enligt 20 § andra stycket ges tillsynsmyndigheten möjlighet att förelägga den som utfärdar certifikat till allmänheten och påstår att de är kvalificerade certifikat, att upphöra med verksamheten. Möjligheten är således inte begränsad till att avse endast dem som anmält sig enligt 8 §. Ett sådant beslut kan givetvis i vissa fall få långtgående konsekvenser och får därför meddelas endast sedan andra mindre ingripande åtgärder visat sig verkningslösa. Detta är inte minst viktigt med hänsyn till att ett alltför snabbt eller svagt motiverat ingripande skulle kunna strida mot direktivets förbud mot krav på förhandstillstånd. kan, och bör, därvid föreskriva hur verksamheten skall avvecklas. Ett föreläggande skall givetvis inte avse mer än den del av verksamheten som omfattas av tillsynen. Det väsentliga är att certifikatutfärdaren inte utan att uppfylla lagens krav påstår att till all- mänheten utfärdade certifikat är kvalificerade. Det är därför naturligt att tillsynsmyndigheten koncentrerar sig på detta. Om certifikatutfärdaren väljer att fortsätta att utfärda certifikat till allmänheten, men inte längre påstår att de är kvalificerade, omfattas verksamheten inte av tillsyn enligt denna lag. I fråga om föreläggande och utdömande av vite är lagen (1985:206) om viten tillämplig. Avgifter 22 § Paragrafen ger möjlighet för regeringen eller, efter regeringens bemyndi- gande, tillsynsmyndigheten att införa ett avgiftssystem för bekostande av tillsynsmyndighetens verksamhet, se avsnitt 8. Överklagande 23 § Paragrafen reglerar rätten att överklaga tillsynsmyndighetens beslut enligt lagen och enligt föreskrifter som meddelats med stöd av lagen. Myndighetens beslut får överklagas till allmän förvaltningsdomstol. Krav på prövningstillstånd gäller vid överklagande till kammarrätten. Övergångsbestämmelserna Lagen föreslås träda i kraft . För att certifikatutfärdare som redan före ikraftträdandet utfärdar sådana certifikat som medför anmälningsplikt enligt 8 § skall få en rimlig tid på sig att hinna anmäla sin verksamhet till tillsynsmyndigheten stadgas i punkt 2 att de inte behöver anmäla verksamheten före . Tredje punkten, som har tillkommit på Lagrådets inrådan, innebär att villkor i avtal som har träffats före inte kan förklaras utan verkan med stöd av 15 §. 12.2 Förslaget till lag om ändring i sekretesslagen 5 kap. 3 § I en ny punkt föreskrivs om sekretess för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod som har till syfte att göra det möjligt att kontrollera om data i elektronisk form har förvanskats. Härigenom sekretessbeläggs t.ex. hemliga nycklar som används för att verifiera om en handling härrör från angiven undertecknare eller för att skydda vissa datamängder mot manipulation. Skälen för bestämmelsen redovisas i avsnitt 9. På förslag från Lagrådet används begreppet data i elektronisk form i stället för uppgifter , eftersom bestämmelsen inte avser alla typer av uppgifter utan just elektroniska sådana, och för att detta begrepp överensstämmer med det som används i bl.a. definitionen av elektronisk signatur i 2 §. Av 16 kap. 1 § sekretesslagen följer att meddelarfriheten är begränsad när tystnadsplikt följer av 5 kap. 3 § sekretesslagen. Sekretess för uppgifter om bl.a. enskilds affärs- och driftförhållanden och vissa andra ekonomiska eller personliga förhållanden som tillsyns- myndigheten får tillgång till kan föreskrivas med stöd av 8 kap. 6 § sekretesslagen. Promemorians lagförslag Förslag till lag om vissa elektroniska signaturer m.m. Inledande bestämmelse 1 § Denna lag innehåller bestämmelser om vissa elektroniska signaturer, om certifikat för elektroniska signaturer och om certifikatutfärdare som är etablerade i . Definitioner 2 § I lagen avses med elektronisk handling: en bestämd mängd data i digital form som kan läsas, avlyssnas eller på annat sätt uppfattas med tekniskt hjälpmedel, elektronisk signatur: data i elektronisk form som är fogade till eller logiskt knutna till en elektronisk handling och som används för att kon- trollera om innehållet härrör från den som framstår som undertecknare, avancerad elektronisk signatur: en elektronisk signatur som a) är knuten uteslutande till undertecknaren, b) undertecknaren kan identifieras genom, c) är skapad med medel som endast undertecknaren kontrollerar, och d) är knuten till en elektronisk handling på ett sådant sätt att alla efter- följande ändringar av den elektroniska handlingen kan upptäckas, kvalificerad elektronisk signatur: en avancerad elektronisk signatur som är baserad på ett kvalificerat certifikat och som är skapad av en säker anordning för signaturframställning, undertecknare: den som har kontroll över en anordning för signatur- framställning, signaturframställningsdata: unika data, såsom koder eller privata krypteringsnycklar, som undertecknaren använder för att skapa en elek- tronisk signatur, anordning för signaturframställning: en konfigurerad maskin- eller programvara för att använda signaturframställningsdata, signaturverifieringsdata: data, såsom koder eller öppna krypte- ringsnycklar, som används för att verifiera en elektronisk signatur, certifikat: ett intyg i elektronisk form som kopplar ihop signaturverifieringsdata med en undertecknare och bekräftar dennes identitet, certifikatutfärdare: den som utfärdar certifikat. Kvalificerade certifikat 3 § Ett kvalificerat certifikat skall vara utfärdat av en certifi- katutfärdare som uppfyller kraven i 8 12 §§ och innehålla 1. uppgift om att det utfärdats som ett kvalificerat certifikat, 2. certifikatutfärdarens identitet och hemvist, 3. undertecknarens namn eller pseudonym med uppgift om att det är en pseudonym, 4. särskilda uppgifter om undertecknaren, om de är relevanta för ända- målet med certifikatet, 5. signaturverifieringsdata som motsvarar de signaturframställnings- data som undertecknaren för utfärdandet har kontroll över, 6. start- och sluttidpunkt för certifikatets giltighet, 7. certifikatets identifieringskod, 8. certifikatutfärdarens avancerade elektroniska signatur, och 9. uppgift om eventuella begränsningar av certifikatets användnings- område eller av värdet på de transaktioner för vilka certifikatet kan användas (transaktionsbelopp). Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig- heten, får meddela närmare föreskrifter om krav enligt första stycket. Säkra anordningar för signaturframställning 4 § En säker anordning för signaturframställning skall säkerställa att signaturen är tillfredsställande skyddad mot förfalskning samt att signa- turframställningsdata 1. praktiskt taget kan förekomma endast en gång och att sekretessen beträffande dessa data är tillfredsställande, 2. med rimlig säkerhet inte kan härledas, och 3. kan skyddas på ett tillfredsställande sätt av undertecknaren så att obehöriga inte kan använda dem. Anordningen får inte förändra den elektroniska handling som skall sig- neras eller hindra att handlingen presenteras för undertecknaren före sig- neringen. 5 § Kraven på en säker anordning för signaturframställning i 4 § skall anses uppfyllda beträffande sådan maskin- eller programvara som över- ensstämmer med standarder för produkter för elektroniska signaturer som Europeiska gemenskapernas kommission fastställt och offentliggjort referensnummer till i Europeiska gemenskapernas officiella tidning. 6 § En anordning som anges vara en säker anordning för signaturfram- ställning får släppas ut på marknaden eller användas för att skapa en kva- lificerad signatur endast om ett för ändamålet anmält organ avgjort att anordningen uppfyller kraven i 4 §. Organ som avses i första stycket utses enligt bestämmelserna i lagen (1992:1119) om teknisk kontroll. Med ett avgörande enligt första stycket likställs ett avgörande av ett organ, som utsetts för detta ändamål i en annan stat inom Europeiska ekonomiska samarbetsområdet. Utfärdande av kvalificerade certifikat 7 § En certifikatutfärdare får utfärda kvalificerade certifikat till allmän- heten först efter anmälan hos den myndighet som regeringen bestämmer (tillsynsmyndigheten). 8 § En certifikatutfärdare som utfärdar kvalificerade certifikat skall bedriva verksamheten med den pålitlighet som krävs för att utfärda certi- fikat. Certifikatutfärdaren skall därvid 1. ha personal med erforderlig kompetens för de tjänster som erbjuds, särskilt vad avser ledning, teknik och säkerhetsrutiner, 2. använda adekvata administrativa rutiner och ledningsrutiner som uppfyller erkända standarder, 3. använda pålitliga system och produkter som är skyddade mot änd- ringar och garanterar teknisk och kryptografisk säkerhet i de förfaranden som stöds av dem, 4. förfoga över tillräckliga medel för att kunna bedriva verksamheten enligt denna lag och bära risken för skadeståndsskyldighet, 5. genom säkra rutiner kontrollera identiteten hos den undertecknare till vilken ett kvalificerat certifikat utfärdas, 6. förfoga över ett snabbt och säkert system för registrering och ome- delbar spärrning av certifikat, och 7. vidta åtgärder mot förfalskning av certifikat och i förekommande fall garantera att tillhandahållandet av signaturframställningsdata sker konfidentiellt. Certifikatutfärdaren får inte lagra eller kopiera signaturframställnings- data. Kraven i första stycket 3 skall anses uppfyllda beträffande sådan maskin- eller programvara som överensstämmer med standarder för produkter för elektroniska signaturer som Europeiska gemenskapernas kommission fastställt och offentliggjort referensnummer till i Europeiska gemenskapernas officiella tidning. 9 § En certifikatutfärdaren som utfärdar kvalificerade certifikat skall 1. spärra ett certifikat när undertecknaren begär det eller när det annars finns anledning till det 2. säkerställa att exakt tidpunkt kan anges för utfärdande och spärrning av certifikat, och 3. i förekommande fall endast framställa signaturframställningsdata och signaturverifieringsdata som kan användas som komplement till varandra. 10 § En certifikatutfärdaren som utfärdar kvalificerade certifikat skall registrera all relevant information om ett kvalificerat certifikat samt använda tillförlitliga system för lagring av kvalificerade certifikat i verifierbar form så att 1. endast behöriga personer kan göra tillägg och ändringar, 2. uppgifternas äkthet kan kontrolleras, 3. ett certifikat är offentligt tillgängligt endast när innehavaren av certifikatet har lämnat sitt samtycke, och 4. tekniska förändringar som äventyrar säkerhetskraven är uppenbara för den som handhar systemet. 11 § Innan en certifikatutfärdare ingår avtal om att utfärda ett kvalifice- rat certifikat skall certifikatutfärdaren skriftligen informera motparten om 1. villkoren och begränsningarna för användning av certifikatet, 2. förekomsten av ett frivilligt ackrediterings- eller certifieringssystem, och 3. förfaranden för klagomål och avgörande av tvister. Informationen enligt första stycket får överföras elektroniskt, om det sker i en för motparten läsbar form. Informationen skall på begäran också göras tillgänglig för annan. 12 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig- heten får utfärda närmare bestämmelser om krav enligt 8 11 §§. Skadestånd 13 § När en certifikatutfärdare till allmänheten utfärdar certifikat som anges vara kvalificerade eller när en certifikatutfärdare till allmänheten garanterar en annan certifikatufärdares certifikat som kvalificerade är utfärdaren skadeståndsskyldig i enlighet med 14 §. 14 § Om en certifikatutfärdare inte har uppfyllt kraven i 9 § eller om ett certifikat vid utfärdandet innehåller felaktiga uppgifter eller inte uppfyller kraven i 3 § första stycket, skall certifikatutfärdaren ersätta den skada som därigenom åsamkas den som har rimlig anledning att förlita sig på certifikatet. Certifikatutfärdaren är dock inte skyldig att utge ersättning om utfärdaren kan visa att skadan inte har orsakats av vårdslöshet hos denne. Trots vad som föreskrivs i första stycket är certifikatutfärdaren inte ersättningsskyldig för skada som härrör från att ett certifikat använts i strid med tydliga begränsningar avseende användningsområde eller trans- aktionsbelopp som angetts i certifikatet. Behandling av personuppgifter 15 § En certifikatutfärdare som utfärdar certifikat till allmänheten får endast inhämta personuppgifter direkt från den som uppgifterna avser eller med dennes uttryckliga samtycke och endast i den utsträckning som är nödvändig för att utfärda eller upprätthålla ett certifikat. Uppgifterna får inte samlas in eller behandlas för andra ändamål utan uttryckligt samtycke från den som uppgifterna avser. Rättslig verkan för elektroniska signaturer 16 § Om det av lag eller annan författning följer vissa formkrav för att en rättshandling skall anses giltig eller en förpliktelse fullgjord och om dessa krav kan uppfyllas genom elektronisk kommunikation med användning av någon form av elektronisk signatur, skall en kvalificerad elektronisk signatur godtas. Tillsyn 17 § skall ha tillsyn över certifikatutfärdare som till allmänheten utfärdar certifikat som anges vara kvalificerade och över anordningar som anges vara säkra anordningar för signaturframställning. 18 § har rätt att på begäran få de upplysningar och handlingar som behövs för tillsynen. har också rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, där verksamhet som står under tillsyn bedrivs. har rätt att få verkställighet hos kronofogdemyn- digheten av de beslut som avser åtgärder för tillsynen enligt första och andra styckena. Därvid gäller bestämmelserna om sådan verkställighet som avses i 16 kap. 10 § utsökningsbalken. 19 § får meddela de förelägganden och förbud som behövs för efterlevnaden av denna lag eller av föreskrifter som meddelats med stöd av lagen. 20 § får förelägga certifikatutfärdare som till all- mänheten utfärdar certifikat som anges vara kvalificerade att helt eller delvis upphöra med verksamheten. Myndigheten får därvid besluta hur verksamheten skall avvecklas. 21 § Förelägganden och förbud enligt denna lag får förenas med vite. Avgifter 22 § Regeringen eller, om regeringen bestämmer det, tillsynsmyndig- heten får föreskriva om skyldighet för certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten att betala avgift för tillsynsmyn- dighetens verksamhet enligt denna lag. Överklagande 23 § beslut enligt denna lag eller enligt före- skrifter som meddelats med stöd av lagen får överklagas hos allmän för- valtningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. får bestämma att beslut enligt denna lag skall gälla . Denna lag träder i kraft . Beträffande certifikatutfärdare som redan före ikraftträdandet utfär- dar kvalificerade certifikat till allmänheten skall föreskriften i 7 § om anmälan tillämpas först . Förteckning över remissinstanserna avseende Ds 1999:73 Följande remissinstanser har beretts tillfälle att avge synpunkter på departementspromemorian Ds 1999:73 Elektroniska signaturer. ombudsmän (), Hovrätten över och , Kammarrätten i , , Länsrätten i , Justitiekanslern, , , Data- inspektionen, Statskontoret, Styrelsen för ackreditering och teknisk kontroll (SWEDAC), , , , , , Finans- inspektionen, , , Juridiska fakultets- nämnden vid , vid Handels- högskolan vid , , , , , , SIS Standardi- seringen i , , , , , , , Gemenskapen för elektroniska affärer (), SEIS, IT-företagen, , , , , Akademikers , , , , , Telefonaktiebolaget , , , iD2 , Network Information Center, ISOC-SE, , , , Advokat- firman , Nordbanken , , , och . Härutöver har synpunkter lämnats in av , och . Förteckning över remissinstanserna avseende SOU 1996:40 Följande remissinstanser har beretts tillfälle att avge synpunkter på betänkandet SOU 1996:40 Elektronisk dokumenthantering. ombudsmän (), , , Kammar- rätten i , Länssrätten i , Justitiekanslern, , Riksåklagaren, , Datainspektionen, (endast avd. III), , , (endast avd. III), , (endast avd. III), Kommunikationsforskningsberedningen, Statskontoret, , , , Riks- revisionsverket, , Statens löne- och pensionsverk, Skol- verket (endast avd. III), , Arbetsmarknads- styrelsen, Ombudsmannen mot etnisk diskriminering (endast avd. III), , , Sprängämnesinspek- tionen (endast avd. III), , Konsument- verket, i , , vid , vid , (endast avd. III), , , , kommun, , , , , , , Centralorganisationen /SR, i , , Företagens Uppgiftslämnardelegation, Föreningen , (endast avd. III), (endast avd. III), (endast avd. III), Allmänhetens pressombudsman (endast avd. III), , Föreningen i Samhället, i , , , i , i , , , (endast avd. III), (endast avd. III), (endast avd. III), BAS (endast avd. III), Agora Nätverket (endast avd. III), SAPnet (endast avd. III), NUBBS (endast avd. III), BBS-Moderat (endast avd. III), (endast avd. III), Swebizz, , Svensk bygg- tjänst, , Swedman och Advokatfirman . Lagrådsremissens lagförslag Lagtext Regeringen har följande förslag till lagtext. Förslag till lag om kvalificerade elektroniska signaturer Härigenom föreskrivs följande1. Allmän bestämmelse 1 § Denna lag innehåller bestämmelser om kvalificerade certifikat för elektroniska signaturer, om anordningar för signaturframställning och om certifikatutfärdare som är etablerade i och som utfärdar kvalificerade certifikat till allmänheten. Definitioner 2 § I lagen avses med elektronisk signatur: data i elektronisk form som är fogade till eller logiskt knutna till andra elektroniska data och som används för att kontrollera att innehållet härrör från den som framstår som utställare och att det inte har förvanskats, avancerad elektronisk signatur: elektronisk signatur som är a) knuten uteslutande till en undertecknare, b) möjlig att identifiera undertecknaren genom, c) skapad med hjälpmedel som endast undertecknaren kontrollerar, och d) knuten till andra elektroniska data på ett sådant sätt att ändringar av dessa data kan upptäckas, kvalificerad elektronisk signatur: avancerad elektronisk signatur som är baserad på ett kvalificerat certifikat och som är skapad av en säker anordning för signaturframställning, undertecknare: fysisk person som innehar en anordning för signatur- framställning, signaturframställningsdata: unika data, såsom koder eller hemliga krypteringsnycklar, som används för att skapa en elektronisk signatur, anordning för signaturframställning: maskin- eller programvara för användning av signaturframställningsdata, säker anordning för signaturframställning: anordning för signatur- framställning som uppfyller kraven i 4 §, signaturverifieringsdata: data, såsom koder eller öppna krypte- ringsnycklar, som används för att verifiera en elektronisk signatur, certifikat: intyg i elektronisk form som kopplar ihop signatur- verifieringsdata med en undertecknare och bekräftar dennes identitet, kvalificerat certifikat: certifikat som uppfyller kraven i 3 §, certifikatutfärdare: den som utfärdar certifikat eller som garanterar att någon annans certifikat uppfyller vissa krav. Kvalificerade certifikat 3 § För att ett certifikat skall få kallas kvalificerat skall det vara utfärdat av en certifikatutfärdare som uppfyller kraven i 8 11 §§ och föreskrifter meddelade med stöd av 12 § samt innehålla 1. uppgift om att det utfärdats som ett kvalificerat certifikat, 2. certifikatutfärdarens namn och adress samt uppgift om etablerings- land, 3. undertecknarens namn eller pseudonym med uppgift om att det är en pseudonym, 4. särskilda uppgifter om undertecknaren, om de är relevanta för ända- målet med certifikatet, 5. signaturverifieringsdata som motsvarar de signaturframställnings- data som undertecknaren för utfärdandet har kontroll över, 6. uppgift om certifikatets giltighetstid, 7. certifikatets identifieringskod, 8. certifikatutfärdarens avancerade elektroniska signatur eller en elek- tronisk signatur med motsvarande säkerhetsnivå, och 9. uppgift om eventuella begränsningar av certifikatets användnings- område eller av värdet på de transaktioner för vilka certifikatet kan användas (transaktionsbelopp). Om ett certifikat som uppfyller kraven i första stycket utfärdats av en certifikatutfärdare som inte är etablerad i skall certifikatet anses kvalificerat om 1. certifikatutfärdaren är etablerad inom Europeiska ekonomiska sam- arbetsområdet, 2. certifikatutfärdaren uppfyller kraven i 7 11 §§ och föreskrifter meddelade med stöd av 12 § och har ackrediterats inom Europeiska ekonomiska samarbetsområdet, eller 3. certifikatet garanteras vara kvalificerat av en certifikatutfärdare som uppfyller kraven i 7 11 §§ och föreskrifter meddelade med stöd av 12 § och som är etablerad inom Europeiska ekonomiska samarbetsområdet. Regeringen eller, efter regeringens bemyndigande, tillsynsmyndigheten får meddela närmare föreskrifter om krav enligt första stycket. Säkra anordningar för signaturframställning 4 § En anordning för signaturframställning som anges vara säker skall säkerställa att signaturen är tillfredsställande skyddad mot förfalskning. Anordningen skall även säkerställa att signaturframställningsdata 1. i praktiken kan förekomma endast en gång, 2. med rimlig säkerhet inte kan härledas, och 3. på ett tillfredsställande sätt kan skyddas, så att obehöriga inte kan komma åt eller använda dem. Anordningen får inte förändra de uppgifter som skall signeras eller hindra att de presenteras för undertecknaren före signeringen. 5 § Kraven på en säker anordning för signaturframställning i 4 § skall anses uppfyllda för sådan maskin- eller programvara som överens- stämmer med standarder för produkter för elektroniska signaturer som Europeiska gemenskapernas kommission fastställt och offentliggjort referensnummer till i Europeiska gemenskapernas officiella tidning. 6 § En anordning som anges vara en säker anordning för signatur- framställning får släppas ut på marknaden eller användas för att skapa en kvalificerad elektronisk signatur endast om ett för ändamålet anmält organ bedömt att anordningen uppfyller kraven i 4 §. Organ som avses i första stycket utses enligt bestämmelserna i lagen (1992:1119) om teknisk kontroll. Med ett avgörande enligt första stycket likställs ett avgörande av ett organ som utsetts för detta ändamål i en annan stat inom Europeiska ekonomiska samarbetsområdet. Utfärdande av kvalificerade certifikat 7 § En certifikatutfärdare som avser att utfärda kvalificerade certifikat till allmänheten är skyldig att anmäla detta hos den myndighet som regeringen bestämmer (tillsynsmyndigheten) innan verksamheten på- börjas. 8 § En certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten skall bedriva verksamheten med den pålitlighet som krävs.