prop · GN03117 · 2000-01-01 00:00:00 — Detta innebär att certifikatutfärdaren skall 1. ha personal med tillräcklig kompetens för de tjänster som erbjuds, särskilt vad avser ledning, teknik och säkerhetsrutiner, 2. använda sådana rutiner för administration och ledning som uppfyller erkända standarder, 3. använda pålitliga system och produkter som är skyddade mot ändringar och som garanterar teknisk och kryptografisk säkerhet, 4. förfoga över tillräckliga ekonomiska medel för att kunna bedriva verksamheten enligt denna lag och bära risken för skadeståndsskyldighet, 5. ha säkra rutiner för identitetskontroll av de undertecknare som kvalificerade certifikat utfärdas till, 6. förfoga över ett snabbt och säkert system för registrering och omedelbar spärrning av kvalificerade certifikat, och 7. vidta åtgärder mot förfalskning av kvalificerade certifikat och i före- kommande fall garantera att tillhandahållandet av signaturframställnings- data sker konfidentiellt. Kraven i första stycket 3 skall anses uppfyllda för sådan maskin- eller programvara som överensstämmer med harmoniserade standarder för produkter för elektroniska signaturer till vilka Europeiska gemen- skapernas kommission fastställt och offentliggjort referensnummer i Europeiska gemenskapernas officiella tidning. 9 § En certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten skall 1. spärra ett certifikat när undertecknaren begär det eller när det annars finns anledning till det, 2. säkerställa att exakt tidpunkt kan anges för utfärdande och spärrning av certifikat, och 3. endast framställa signaturframställningsdata och signaturverifie- ringsdata som kan användas som komplement till varandra. 10 § En certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten skall bevara all relevant information om certifikaten . Certifikatutfärdaren skall även använda tillförlitliga system för lagring av kvalificerade certifikat i verifierbar form, så att 1. endast behöriga personer kan göra tillägg och ändringar, 2. uppgifternas äkthet kan kontrolleras, 3. certifikaten är offentligt tillgängliga endast när innehavarna av certifikaten har lämnat sitt samtycke, och 4. tekniska förändringar som äventyrar säkerhetskraven är synbara för den som handhar systemet. Certifikatutfärdaren får inte lagra eller kopiera signaturframställnings- data. 11 § Innan en certifikatutfärdare ingår avtal om att utfärda ett kvalifi- cerat certifikat skall certifikatutfärdaren skriftligen informera motparten om 1. villkoren och begränsningarna för användning av certifikatet, 2. förekomsten av frivilliga ackrediterings- eller certifieringssystem enligt lagen (1992:1119) om teknisk kontroll, och 3. förfaranden för klagomål och avgörande av tvister. Informationen enligt första stycket får överföras elektroniskt, om det sker i en för motparten läsbar form. Informationen skall på begäran också göras tillgänglig för annan som är beroende av certifikatet. 12 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig- heten får utfärda närmare bestämmelser om krav enligt 8 11 §§. Skadestånd 13 § En certifikatutfärdare som till allmänheten utfärdar certifikat som anges vara kvalificerade skall ersätta den skada som åsamkats den som förlitat sig på certifikatet, om skadan uppkommit genom att 1. certifikatutfärdaren inte har uppfyllt kraven i 9 §, 2. certifikatet inte uppfyller kraven i 3 § första stycket, eller 3. certifikatet vid utfärdandet innehöll felaktiga uppgifter. Vad som sägs i första stycket 2 och 3 gäller även en certifikatutfärdare som garanterar att en annan certifikatutfärdares certifikat är kvalificerade. Certifikatutfärdaren är dock inte skyldig att betala ersättning om utfärdaren kan visa att skadan inte har orsakats av vårdslöshet hos utfärdaren själv. Certifikatutfärdaren är inte heller ersättningsskyldig för en skada som härrör från att ett kvalificerat certifikat använts i strid med begränsningar som gäller användningsområde eller transaktionsbelopp och som tydligt angetts i certifikatet. 14 § Avtalsvillkor som i jämförelse med 13 § är till nackdel för den som förlitar sig på certifikatet är utan verkan mot denne. Behandling av personuppgifter 15 § En certifikatutfärdare som utfärdar certifikat till allmänheten får inhämta personuppgifter endast direkt från den som uppgifterna avser eller med dennes uttryckliga samtycke och endast i den utsträckning som är nödvändig för att utfärda eller upprätthålla ett certifikat. Uppgifterna får inte samlas in eller behandlas för andra ändamål utan uttryckligt samtycke från den som uppgifterna avser. Kvalificerade elektroniska signaturer 16 § Om det i lag eller annan författning ställs krav på egenhändig underskrift eller motsvarande och om det är tillåtet att uppfylla kravet med elektroniska medel, skall en kvalificerad elektronisk signatur alltid anses uppfylla kravet. Användningen av elektroniska signaturer inom eller vid kommunikation med den offentliga sektorn kan vara förenad med ytterligare krav. Tillsyn 17 § skall ha tillsyn över certifikatutfärdare som till allmänheten utfärdar certifikat som anges vara kvalificerade och över anordningar som anges vara säkra anordningar för signaturframställning. 18 § har rätt att på begäran få de upplysningar och ta del av de handlingar som behövs för tillsynen. har också rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, där verksamhet som står under tillsyn bedrivs. har rätt att få verkställighet hos kronofogde- myndigheten av de beslut som avser åtgärder för tillsynen enligt första och andra styckena. För sådana beslut gäller bestämmelserna i utsökningsbalken. 19 § får meddela de förelägganden och förbud som behövs för efterlevnaden av denna lag eller av föreskrifter som meddelats med stöd av lagen. 20 § får förelägga certifikatutfärdare som till allmänheten utfärdar certifikat som anges vara kvalificerade att helt eller delvis upphöra med denna verksamhet. Sådana beslut får dock fattas endast om mindre ingripande åtgärder visat sig vara verkningslösa. Myndigheten får besluta hur verksamheten skall avvecklas. 21 § Förelägganden och förbud enligt denna lag får förenas med vite. Avgifter 22 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig- heten får föreskriva om skyldighet för certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten att betala avgift för tillsyns- myndighetens verksamhet enligt denna lag. Överklagande 23 § beslut enligt denna lag eller enligt före- skrifter som meddelats med stöd av lagen får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. får bestämma att beslut enligt denna lag skall gälla . Denna lag träder i kraft . Bestämmelsen i 7 § skall inte börja tillämpas förrän i fråga om certifikatutfärdare som redan före ikraftträdandet utfärdar sådana certifikat som medför anmälningsplikt. Förslag till lag om ändring i sekretesslagen (1980:100) Härigenom föreskrivs att 5 kap. 3 § sekretesslagen (1980:100)1 skall ha följande lydelse. Nuvarande lydelse Föreslagen lydelse 5 kap. 3 §2 Sekretess gäller för uppgift som lämnar eller kan bidra till upplys- ning om chiffer, kod eller liknande metod som har till syfte att under- lätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, om det kan antas att syftet med metoden motverkas om uppgiften röjs. Sekretess gäller för uppgift som lämnar eller kan bidra till upplys- ning om chiffer, kod eller liknande metod som har till syfte att 1. underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, eller 2. göra det möjligt att kontroll- era om uppgifter har förvanskats, om det kan antas att syftet med metoden motverkas om uppgiften röjs. Sekretess gäller i verksamhet som avser förande av eller uttag ur körkortsregistret för uppgift om körkorts referensnummer, om det inte står klart att uppgiften kan röjas utan fara för att kontrollen av körkorts äkthet motverkas om uppgiften röjs. Denna lag träder i kraft . Lagrådets yttrande Utdrag ur protokoll vid sammanträde Närvarande: f.d. justitierådet . , regeringsrådet , justitierådet . Enligt en lagrådsremiss () har regeringen beslutat inhämta Lagrådets yttrande över förslag till 1. lag om kvalificerade elektroniska signaturer, 2. lag om ändring i sekretesslagen (1980:100). Förslagen har inför Lagrådet föredragits av hovrättsassessorn . Förslagen föranleder följande yttrande av Lagrådet: Förslaget till lag om kvalificerade elektroniska signaturer Enligt 1 § innehåller lagen bestämmelser om kvalificerade certifikat för elektroniska signaturer, om anordningar för signaturframställning och om certifikatutfärdare som är etablerade i och som utfärdar kvali- ficerade certifikat för allmänheten. Det vore en mera adekvat benämning på lagen om denna fick rubriken lag om kvalificerade certifikat för elektroniska signaturer , vilket är lagens huvudsakliga ämnesområde. 1 § Den allmänna bestämmelsen i 1 § skall enligt författningskommentaren ange lagens tillämpningsområde. Därvid åsyftas det sista ledet i bestäm- melsen som avser certifikatutfärdare som är etablerade i och som utfärdar kvalificerade certifikat. led av bestämmelsen är närmast att uppfatta som någon form av innehållsdeklaration, som dock inte är fullständig. För att skilja de två olika delarna av paragrafen åt torde det sista ledet böra bilda ett andra stycke i paragrafen med förslagsvis följan- de lydelse: Lagen gäller sådana certifikatutfärdare som utfärdar kvalificerade certifikat och som är etablerade i . I så fall kan första stycket ange att syftet med lagen är att underlätta användningen av elektroniska signaturer genom bestämmelser om säkra anordningar för signaturframställning, kvalificerade certifikat för sådana signaturer och utfärdare av certifikat. 3 § I paragrafen finns föreskrifter om vad ett kvalificerat certifikat skall in- nehålla. I de följande 4 6 §§ har tagits in bestämmelser om säkra anord- ningar för signaturframställning. Därefter har i 7 12 §§ förts in regler om certifikatutfärdare. Enligt Lagrådets mening skulle förståelsen av be- stämmelserna underlättas om de paragrafer som behandlar certifikat och certifikatutfärdare fördes samman i ett avsnitt. Lagrådet föreslår därför att 3 § flyttas ner efter 6 § i lagförslaget. Första stycket i 3 § innehåller bestämmelserna om vad ett kvalificerat certifikat skall innehålla. Andra stycket däremot reglerar när certifikat utfärdade av någon som är etablerad i annat EES-land eller i tredje land skall anses vara kvalificerade. Med hänsyn till att styckena reglerar helt olika frågor bör andra stycket brytas ut till en särskild paragraf. Den nya paragrafen bör efter en viss omredigering ges följande lydelse: Om ett certifikat som uppfyller kraven i (3 §) första stycket 1 9 ut- färdats av en certifikatutfärdare som inte är etablerad i skall certifikatet anses kvalificerat om 1. certifikatutfärdaren är etablerad i en annan stat inom Europeiska ekonomiska samarbetsområdet och där får utfärda kvalificerade certi- fikat, 2. certifikatutfärdaren uppfyller krav som motsvarar dem som anges i (8 11 §§) och föreskrifter meddelade med stöd av (12 §), och är ackre- diterad i en annan stat inom Europeiska ekonomiska samarbetsområdet, eller 3. certifikatet garanteras vara kvalificerat av en certifikatutfärdare som avses i 1 eller i (3 § första stycket). 10 § I paragrafen föreskrivs en skyldighet för certifikatutfärdare att bevara all relevant information om certifikaten . Enligt författ- ningskommentaren får vad som är rimlig tid avgöras med hänsyn till vilken typ av certifikat som utfärdas och med beaktande av krav som kan följa av t.ex. bokföringslagen. Lagrådet anser att lagtexten bör innehålla någon mer ledning för tillämparen än enbart uttrycket rimlig tid. För- slagsvis kan första meningen ges följande lydelse. En certifikatutfärdare som utfärdar kvalificerade certifikat till allmän- heten skall bevara all relevant information om certifikaten som är motiverad med hänsyn till typen av certifikat och övriga omstän- digheter. 11 § Paragrafen innehåller bestämmelser om information som certifikat- utfärdaren skall lämna. Genom paragrafen implementeras punkten k) i bilaga II till direktivet. Lagtexten bör emellertid utformas i närmare överensstämmelse med direktivtexten. Lagrådet förordar att paragrafen ges följande lydelse: Innan en certifikatutfärdare ingår avtal om att utfärda ett kvalificerat certifikat skall certifikatutfärdaren skriftligen och på ett lättbegripligt språk informera motparten om 1. begränsningar och andra villkor för användning av certifikatet, 2. frivillig ackreditering eller certifiering som avses i lagen (1992:1119) om teknisk kontroll, och 3. förfaranden för klagomål och avgörande av tvister. Informationen enligt första stycket får överföras elektroniskt. Informationen skall göras tillgänglig också för annan som är beroende av certifikatet och som begär att få den. 16 § I andra stycket av den föreslagna paragrafen anges att användningen av elektroniska signaturer inom eller vid kommunikation med den offentliga sektorn kan vara förenad med ytterligare krav. Formuleringen ansluter till uttryckssättet i det aktuella EG-direktivet. Uttrycket den offentliga sek- torn är dock vagt. Det synes t.ex. tveksamt om avsikten är att strängare bestämmelser skall kunna uppställas för statliga eller kommunala bolag med enbart affärsmässig eller förvaltande verksamhet. Enligt Lagrådets mening bör övervägas att ge bestämmelsen en något snävare utformning vilken tydligare anknyter till myndighetsfunktionen snarare än till ett offentligt ägande. Detta synes bättre överensstämma med såväl direk- tivets syfte som svensk lagstiftningstradition. Lagrådet föreslår att första och andra styckena i paragrafen sammanförs, varefter bestämmelsen kan formuleras enligt följande. Vid kommunikation med eller mellan myndigheter kan dock använd- ningen av elektroniska signaturer vara förenad med ytterligare krav. Rubriken närmast före paragrafen bör omformuleras så att den bättre återspeglar innehållet i paragrafen. Lagrådet föreslår att rubriken ges följande lydelse. Användning av elektroniska signaturer i vissa fall 17 § I paragrafen finns bestämmelser om tillsyn. Denna skall enligt förslaget omfatta dels certifikatutfärdare som till allmänheten utfärdar certifikat som anges vara kvalificerade, dels anordningar som anges vara säkra anordningar för signaturframställning. Enligt Lagrådets mening bör und- vikas att utforma bestämmelsen så att tillsynen tycks avse de tekniska anordningarna som sådana. Svårigheten kan undvikas genom att tillsynen anges avse efterlevnaden av lagen och med stöd därav utfärdade före- skrifter. I författningskommentaren till paragrafen anges vidare att tillsynsmyn- digheten torde kunna offentliggöra en förteckning över anmälda certi- fikatutfärdare och även ange vilka certifikatutfärdare som förelagts att upphöra med verksamheten eller att kalla sina certifikat för kvalificerade. Lagrådet vill med anledning härav framhålla att myndigheten självfallet har rätt att föra de förteckningar som den behöver för sin verksamhet. Sådana förteckningar torde i allmänhet bli att betrakta som allmänna handlingar. Härmed är dock inte sagt att myndigheten på eget initiativ kan offentligöra den ifrågavarande förteckningen (t.ex. på Internet), vari kan finnas uppgifter som eventuellt omfattas av personuppgiftslagen. Om avsikten är att förteckningen skall offentliggöras - vilket förefaller rimligt med hänsyn till allmänhetens behov av att kunna kontrollera någon som uppger sig utfärda kvalificerade certifikat - bör enligt Lagrådets mening paragrafen kompletteras med en bestämmelse som klargör detta. En sådan bestämmelse fyller även funktionen att förstärka intresset hos dem som vill utfärda kvalificerade certifikat att fullgöra sin anmälningsskyl- dighet enligt 7 §. Lagrådet förordar med hänvisning till det anförda att paragrafen ges följande lydelse. skall ha tillsyn över efterlevnaden av denna lag och föreskrifter som utfärdats med stöd av lagen. skall föra och ge offentlighet åt en förteckning över certifikatutfärdare som anmält sig enligt 7 § och som enligt denna lag får utfärda kvalificerade certifikat. 18 § I tredje stycket talas om verkställighet av beslut som avser åtgärder för tillsyn enligt första och andra styckena i paragrafen. Det synes mindre adekvat att använda detta uttryckssätt eftersom det inte är fråga om verk- ställighet av några egentliga beslut utan om biträde att genomföra till- synen. Enligt Lagrådets mening bör tredje stycket lyda: Tillsyns- myndigheten har rätt att få biträde av kronofogdemyndigheten för tillsyn enligt första och andra styckena. Övergångsbestämmelserna Enligt 14 § är avtalsvillkor, som i jämförelse med 13 § är till nackdel för den som förlitar sig på certifikatet, utan verkan mot denne. Bestämmelsen bör inte vara tillämplig på avtal som ingåtts före ikraftträdandet. Något annat torde inte heller ha avsetts i lagrådsremissen. I övergångsbestämmelserna bör emellertid tas in en uttrycklig bestäm- melse härom. Lagrådet föreslår att till övergångsbestämmelserna fogas en punkt 3 av följande lydelse: 14 § tillämpas inte på avtal som ingåtts före ikraftträdandet. Förslaget till lag om ändring i sekretesslagen Den nya punkten 2 i första stycket av 5 kap. 3 § gäller sekretessbelägg- ning av uppgifter om metoder som har till syfte att göra det möjligt att kontrollera om uppgifter har förvanskats. Ändringen är föranledd av be- hovet att kunna skydda hemliga nycklar och anknytande uppgifter för bl.a. elektronisk signering och autenticering mot insyn (se avsnitt 9). Den avfattning som punkten har fått gäller dock uppgifter över huvud taget, vilket kan föra för långt. Det bör därför övervägas om inte det i punkten 2 bör talas om data i elektronisk form eller liknande (jfr 2 § i den nya lagen) i stället för uppgifter . Lagrådet vill anmärka att behov av sekretess i tillsynsmyndighetens verksamhet kan föreligga också beträffande annan information än sådan som avses i punkten 2. I så fall kan sekretess föreskrivas genom ett till- lägg till bilagan till sekretessförordningen (1980:657), jfr t.ex. punkt 109 i denna bilaga. Utdrag ur protokoll vid regeringssammanträde . Närvarande: statsministern , ordförande, och statsråden , , , , , , , , , , , , och . Regeringen beslutar proposition 1999/2000:117 Lag om kvalificerade elektroniska signaturer, m.m. Författningsrubrik Bestämmelser som inför, ändrar, upp- häver eller upprepar ett normgivnings- bemyndigande Celexnummer för bakomliggande EG- regler Lag om kvalificerade elektroniska signaturer 6, 13, 22 §§ 399L0093 Jfr och rådets direktiv /93/EG av om ett gemenskapsramverk för elektroniska signaturer (EGT L 13, , s. 12, Celex 1 Lagen omtryckt 1992:1474. 2 Senaste lydelse 1994:595. 1 United Nations Commission on International Trade . 2 Model on Electronic Commerce , antagen 1996. 3 Resolutionen om en helhetssyn på bedömning av överensstämmelse (EGT C 10, , s. 1). Se även beslutet om moduler för olika stadier i förfaranden vid bedömning av överensstämmelse, avsedda att användas i tekniska harmoniseringsdirektiv (EGT L 380, 31.12.1990, s. 13). 4 Se t.ex. 2 kap. 2 § lagen (1990:325) om självdeklaration och kontrolluppgifter, 2 a § indrivningsförordningen (1993:1229) och 17 § lagen (1994:448) om pantbrevsregister. 1 Jfr och rådets direktiv /93/EG av om ett gemenskapsramverk för elektroniska signaturer (EGT L 13, , s. 12, Celex 1 Lagen omtryckt 1992:1474. 2 Senaste lydelse 1994:595. 1999/2000: 1999/2000:117 Bilaga 1 1999/2000:117 Bilaga 2 1999/2000:117 Bilaga 3 1999/2000:117 Bilaga 4 1999/2000:117 Bilaga 5 1999/2000:117 Bilaga 6