prop · GN03117 · 2000-01-01 00:00:00 — 5.7 Skadestånd Direktivet fastställer en undre gräns för skadeståndsskyldighet för tillhandahållare av certifikattjänster som utfärdar kvalificerade certifikat eller som garanterar att andras certifikat är kvalificerade. Medlems- staterna skall se till att tillhandahållaren är ansvarig för skada som orsakas den som har rimlig anledning att förlita sig på ett certifikat. Tillhandahållaren skall ansvara för skada som uppkommit på grund av att det förelegat felaktigheter eller brister i den information som lämnats i ett kvalificerat certifikat, att den undertecknare som anges i certifikatet vid utfärdandet inte var i besittning av de uppgifter för att skapa en signatur som påstås, att uppgifter för signaturskapande respektive signatur- verifiering inte stämmer överens samt att återkallandet av ett certifikat inte registrerats. Tillhandahållaren kan dock undgå skadeståndsskyldighet om han kan visa att han inte har handlat försumligt. Tillhandahållare av certifikattjänster skall kunna ange begränsningar i ett certifikats tillämpningsområde eller för värdet av de transaktioner som certifikatet får användas för. Tillhandahållaren är då inte ansvarig för skador som härrör från att ett certifikat använts i strid med dessa begränsningar, under förutsättning att begränsningarna varit identifier- bara för tredje man. 5.8 Internationella aspekter Kvalificerade certifikat som utfärdats av en tillhandahållare av certifikattjänster som är etablerad i tredje land (utanför Europeiska ekonomiska samarbetsområdet) skall enligt direktivet i tre situationer betraktas som rättsligt likvärdiga med kvalificerade certifikat utfärdade inom unionen, nämligen - då tillhandahållaren i tredje land uppfyller kraven i direktivet och är ackrediterad i en medlemsstat, - då en tillhandahållare inom gemenskapen som utfärdar kvalificerade certifikat och uppfyller kraven i direktivet garanterar certifikatet, eller - då certifikatet eller tillhandahållaren är erkänd genom ett bilateralt eller multilateralt avtal mellan gemenskapen och tredje land eller en internationell organisation. Direktivet föreskriver också som uppgift för kommissionen att lägga förslag till standarder och internationella avtal som underlättar gränsöverskridande certifikattjänster och rättsligt erkännande av signaturer med ursprung i tredje land. 5.9 Dataskydd och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter är tillämpligt på tillhandahållare av certifikattjänster och på nationella organ med ansvar för ackreditering och övervakning. Tillhandahållare av certifikattjänster som utfärdar certifikat till allmänheten får endast samla in uppgifter direkt från den berörda personen eller med dennes uttryckliga medgivande och endast för att utfärda och bibehålla certifikatet. Uppgifterna får inte samlas in eller behandlas för andra ändamål utan ett uttryckligt medgivande från den berörda personen. Vidare får medlemsstaterna inte hindra tillhandahållare av certifikattjänster från att ange en pseudonym i stället för undertecknarens namn i certifikatet. För kvalificerade certifikat ställs dock krav på att det anges när det rör sig om en pseudonym. 5.10 Kommitté En förvaltande kommitté, bestående av företrädare för medlemsstaterna och under ordförandeskap av en representant för kommissionen, skall konsulteras för att klargöra kraven i direktivets bilagor, kriterierna för utseende av de organ som skall avgöra om säkra anordningar för skapande av signaturer överensstämmer med kraven i bilaga III samt innehållet i de allmänt erkända standarder för produkter för elektroniska signaturer som kommissionen skall fastställa och offentliggöra. Beslutsproceduren för förvaltande kommittéer framgår av artikel 4 i rådets beslut /468/EG av om de förfaranden som skall tillämpas vid utövandet av kommissionens genomförande- befogenheter. 5.11 Anmälan, genomförande och översyn Medlemsstaterna skall informera varandra och kommissionen om dels de ackrediteringssystem som tillämpas, dels namn på de organ som svarar för ackreditering och övervakning och som avgör om anordningar för signaturskapande överensstämmer med direktivets krav samt dels namn på samtliga ackrediterade tillhandahållare av certifikattjänster. De nationella bestämmelser som behövs för att genomföra direktivet skall vara i kraft senast efter det att direktivet trätt i kraft, dvs. Kommissionen skall göra en översyn av direktivet och överlämna en rapport om denna . 6 Genomförande av direktivet Den stora fördelen med direktivet är att det innebär en gemensam reglering för medlemsstaterna i Europeiska unionen (EU) och övriga länder inom Europeiska ekonomiska samarbetsområdet (EES). Den utveckling med olikartad reglering av elektronisk kommunikation i varje land som hade påbörjats, har därigenom avstyrts. Den marknad som regleras i direktivet har ännu inte vuxit fram i nämnvärd omfattning och det har ännu inte riktigt identifierats vilka problem som kan kräva lagstiftning. Vid det svenska genomförandet av direktivet finns det därför anledning att vara försiktig med att reglera ett bredare område än vad direktivet kräver. Det skulle kunna anföras skäl för att på vissa områden, t.ex. avseende skadestånd, även reglera sådant som inte krävs enligt direktivet. Regeringen föreslår dock inte någon sådan reglering, utan påpekar endast att utvecklingen kan göra det nödvändigt att komplettera lagstiftningen. 6.1 En ny lag Regeringens förslag: EG-direktivet (1999/93/EG) skall genomföras genom en särskild lag om kvalificerade elektroniska signaturer. Promemorians förslag: Överensstämmer med regeringens förslag. I promemorian föreslogs dock att lagen skulle benämnas lagen om vissa elektroniska signaturer m.m. Remissinstanserna: Flertalet remissinstanser är positiva till att direktivet genomförs genom en ny lag. Några remissinstanser påpekar dock att lagens egentliga innehåll inte överensstämmer med lagens namn. , Statskontoret, , , , , Posten och förordar att de krav som anges i bilagorna till direktivet i stället genomförs genom en förordning. Skälen för regeringens förslag: Enligt artikel 249 i EG-fördraget är ett direktiv bindande för medlemsstaterna vad avser det resultat som skall uppnås. Det överlåts dock åt de nationella myndigheterna att bestämma form och tillvägagångssätt för genomförandet. Ett genomförande av direktivet innebär införande av ett tämligen stort antal nya, främst näringsrättsliga, regler. Telelagen (1993:957) innehåller visserligen närliggande regler om förmedling av telemeddelanden via telenät. Elektroniska signaturer utgör dock en ny företeelse och berör en helt ny marknad som inte rör televerksamhet i telelagens mening. På samma sätt finns kopplingar till regleringen av den finansiella sektorn, men direktivet rör ett mycket vidare område än den sektorn. I andra sammanhang har det ansetts naturligt att föreslå ett införande i förvaltningslagen (1986:323) av definitioner och allmänna regler för elektroniska signaturer. Detta kan visserligen mycket väl vara lämpligt, men förvaltningslagen är inte rätt plats för att införa det främst näringsrättsliga regelverk det här är fråga om. Det lämpligaste sättet att genomföra direktivets regler synes därför vara genom en ny särskild lag. I promemorian föreslogs att lagen skulle heta lag om vissa elektroniska signaturer m.m. . Flera remissinstanser påpekar att lagen kommer att handla mer om kvalificerade certifikat för elektroniska signaturer och krav på dem som utfärdar sådana certifikat, än om elektroniska signaturer i sig. Även Lagrådet har menat att lag om kvalificerade certifikat för elektroniska signaturer vore en mer adekvat benämning. Lagens bestämmelser om certifikat, certifikatutfärdare och anordningar för signaturframställning syftar dock sammantaget till att skapa ett regelverk för kvalificerade elektroniska signaturer, för att skapa förtroende för och därigenom underlätta användningen av elektroniska signaturer. Lagens syfte anges, på förslag från Lagrådet, i den inledande bestämmelsen (se kommentaren till 1 §). Regeringen föreslår därför att lagen skall heta lag om kvalificerade elektroniska signaturer . Med hänsyn till direktivets karaktär blir det ofrånkomligt att delar av direktivet mer eller mindre ordagrant måste tas in i lagen. Flera remiss- instanser ifrågasätter om det inte vore lämpligare att bilagorna till direktivet som rör de krav som skall ställas på kvalificerade certifikat, utfärdare av certifikattjänster och säkra anordningar för signaturfram- ställning i stället borde genomföras genom en förordning. Som skäl för denna uppfattning anför de i huvudsak att lagen därmed skulle framstå som mer teknikneutral och att kraven lättare skulle kunna anpassas efter den tekniska utvecklingen. Regeringen har noga övervägt frågan, men kommit fram till att argumenten för en sådan uppdelning inte väger tyngre än argumenten emot. En hänvisning i lagen till en förordning där kraven regleras skulle inte innebära att regleringen som helhet blev mer teknikneutral. Det finns inte heller någon särskild procedur som gör det lättare att ändra i direktivets bilagor än i själva direktivtexten. Den kommitté som skall tillsättas (se avsnitt 5.10) skall inte föreslå ändringar i bilagorna, utan endast klargöra innebörden av dem. Det finns därför inga skäl att tro att de krav som ställs i bilagorna kommer att ändras särskilt snabbt eller ofta. Till största delen är kraven också ganska allmänt hållna, vilket innebär att den närmare innebörden av dem ändå måste klargöras genom föreskrifter av regeringen eller tillsynsmyndig- heten och genom rättstillämpningen. Vidare blir regleringen mer lättläst om de krav som ställs finns samlade direkt i lagen. Även i övriga nordiska länder föreslås att kraven skall anges i själva lagen, och det är enligt regeringens mening en fördel om de nordiska lagarna blir så lika varandra som möjligt. 6.2 Lagens syfte och tillämpningsområde Regeringens förslag: Lagen skall innehålla regler om krav på, tillsyn över och skadeståndsansvar för den som utfärdar certifikat för elektroniska signaturer, om certifikaten anges ha en viss säkerhetsnivå och om de utfärdas till allmänheten. Lagen skall vidare ge en särställning åt elektroniska signaturer med en viss säkerhetsnivå (s.k. kvalificerade elektroniska signaturer). Lagen skall inte reglera frågor om ingående eller giltighet av avtal. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Remissinstanserna tillstyrker i huvudsak prome- förslag. Några är dock kritiska till den gränsdragning som gjorts av begreppet till allmänheten . och menar att lagen bör utvidgas till att avse alla som utfärdar någon form av certifikat för elektroniska signaturer. Flertalet remissinstanser tillstyrker dock promemorians förslag om vilka certifikatutfärdare som skall om- fattas av lagen. Skälen för regeringens förslag: Handel och annan kommunikation mellan enskilda, myndigheter och företag kan förväntas ske elektroniskt i ökad utsträckning, om det finns ett allmänt förtroende för att den information som skickas via Internet och andra öppna nät är tillförlitlig. Avsikten är att lagen skall bidra till detta genom att den främjar användandet av elektroniska signaturer som har en sådan säkerhetsnivå att de får ett allmänt erkännande och därmed kan användas för säker kommunikation, även mellan parter som inte har ett tidigare avtal om hur deras inbördes kommunikation skall gå till. I direktivet läggs stor vikt vid resonemanget om elektroniska signaturers rättsliga verkan. För del, där principerna om den fria bevisprövningen och den fria bevisvärderingen är etablerade , intar denna fråga inte en central roll vad gäller lagstiftningen. Vad som kommer i fokus är i stället vilka regler som skall gälla för dem som vill tillhandahålla certifikattjänster, såsom på vilka villkor deras verksamhet får bedrivas, hur de ska övervakas, vilket ansvar de har etc. Målsättningen bör vara att bygga upp ett system som inte i onödan hämmar marknadens utveckling, t.ex. genom att låsa fast användning av en viss teknik eller skapa etableringshinder. skall systemet vara uppbyggt på ett sådant sätt att det långsiktigt skapas en tilltro till det hos konsumenter, näringsidkare och andra användare. Därigenom underlättas utvecklingen mot en allt större användning av elektroniska signaturer, vilket sannolikt kommer att stimulera den elektroniska handeln och medföra en rationalisering av förvaltningsväsendet baserad på elektroniska rutiner. Av ingressen till direktivet (punkt 16) framgår att syftet med direktivet inte är att skapa något rättsligt ramverk för elektroniska signaturer som endast används inom system som grundar sig på frivilliga civilrättsliga avtal mellan ett bestämt antal deltagare (slutna system). Det anges vidare att parternas frihet att sinsemellan komma överens om på vilka villkor de godkänner elektroniskt signerade uppgifter bör respekteras, i den utsträckning det är förenligt med den nationella lagstiftningen. Det skall med andra ord stå var och en fritt att komma överens om vilken säkerhetsnivå som accepteras inbördes för att sluta avtal etc. I överensstämmelse med direktivets syfte skall lagen därför inte omfatta andra certifikat än sådana som utfärdas inom öppna system, eller till allmänheten , vilket är det begrepp som används i direktivtexten och i lagen. I förhållande till promemorians lagförslag har detta förtydligats genom att tillämpningsområdet redan i inledningsbestämmelsen avgränsas till certifikat som utfärdas till allmänheten. Svårigheten ligger i att definiera vad som utgör slutna respektive öppna system, för att kunna avgöra när ett certifikat skall anses utfärdat till allmänheten . Vissa klara fall kan dock identifieras. När det är helt klart att certifikatutfärdaren är den ende som skall förlita sig på certifikatet och signaturen, är det utan tvekan frågan om ett slutet system. Ett exempel på en sådan situation är bankernas Internettjänster, där det föreligger ett på förhand träffat avtal mellan banken och kunden och banken själv är den ende som skall förlita sig på certifikatet. Ett annat exempel på ett system som normalt torde vara slutet är när ett certifikat utfärdats för att enbart användas inom ett visst företag eller en viss organisation. Ett system måste däremot anses vara öppet i de fall de mottagare som skall förlita sig på certifikatet saknar varje form av avtal med undertecknaren eller certifikatutfärdaren. Ett exempel på ett sådant system är det finska initiativet med elektroniska . På kortet finns ett certifikat utfärdat av Befolkningsregistercentralen och tanken är att kortet skall kunna användas för många olika ändamål, som vid utfärdandet inte är kända för vare sig utfärdaren eller kortinnehavaren. I ett sådant fall är det tydligt att certifikatet är utfärdat till allmänheten . Däremellan kan det dock finnas många olika varianter där avgränsningen kan vara svår att göra. Direktivet saknar närmare vägledning om hur begreppet till allmänheten skall tolkas. I promemorian angavs att storleken på den grupp till vilken certifikatet erbjuds skulle ha betydelse för bedömningen. Flera remissinstanser, bl.a. och , har dock riktat stark kritik mot den inställningen. De har bl.a. anfört att syftet med att reglera certifikat som utfärdas till allmänheten är att tillvarata tredje mans skyddsintresse och att detta är lika stort oavsett om denne agerar ensam eller tillhör en större grupp. Enligt dessa remissinstanser bör därför det avgörande för bedömningen vara om certifikatet är avsett att användas gentemot tredje man, med vilken utfärdaren inte har någon tidigare relation. Regeringen delar remissinstansernas synpunkter att storleken på den grupp till vilken ett certifikat erbjudits inte bör vara avgörande för bedömningen av om det är utfärdat till allmänheten eller inte. I stället kan det vara rimligt att som huvudregel utgå från att det rör sig om utfärdande till allmänheten när en certifikatutfärdare erbjuder ett certifikat som är avsett att användas vid kommunikation med andra än certifikatutfärdaren, alltså en tredje part, och det inte föreligger något kontraktsförhållande mellan utfärdaren och denne tredje part. När en certifikatutfärdare anger att certifikaten är kvalificerade utan att i certifikaten begränsa kretsen av möjliga mottagare på ett mer precist sätt, kan det finnas anledning att anse att certifikatutfärdaren omfattas av lagens tillämpningsområde. Den närmare tolkningen av begreppet till allmänheten får dock överlämnas till rättstillämpningen. Det är viktigt att framhålla att det inte är alla certifikat utfärdade till allmänheten som regleras, utan endast sådana som anges vara kvalificerade . I lagen anges en säkerhetsnivå för sådana kvalificerade certifikat för elektroniska signaturer. och ställs krav på dem som vill utfärda sådana till allmänheten. De som utfärdar kvalificerade certifikat till allmänheten ställs under viss tillsyn och deras skadeståndsansvar fastställs. Reglerna gäller endast certifikatutfärdare som är etablerade i . Se dock 3 § andra stycket och avsnitt 6.4. Avsikten är inte att i lagen reglera alla tjänster rörande elektroniska signaturer. Det kommer även efter lagens ikraftträdande att vara möjligt att utfärda certifikat för elektroniska signaturer utan att underkasta sig tillsyn eller vara tvungen att använda sig av viss bestämd teknik. Till exempel regleras inte certifikat som avser juridiska personer eller andra sammanslutningar. Sådana certifikat kan med fördel användas i många situationer där det inte anses viktigt att få reda på exakt vilken person som har vidtagit en viss åtgärd. De som utfärdar certifikat till allmänheten och som väljer att beteckna certifikaten som kvalificerade certifikat, väljer dock också att omfattas av den ordning som föreskrivs i lagen. Lagen syftar till att möjliggöra att det på marknaden finns produkter och tjänster som uppfyller vissa minimikrav, som är gemensamma för länderna inom EES-området. Vad gäller uppfyllandet av formkrav på egenhändig underskrift och liknande ges i lagen en särställning åt elektroniska signaturer som har en viss säkerhetsnivå ( kvalificerade elektroniska signaturer ). Lagen reglerar inte frågor om ingående eller giltighet av avtal. 6.3 Definitioner Regeringens förslag: EG-direktivets (1999/93/EG) definitioner skall i allt väsentligt anges också i lagen. Promemorians förslag: Överensstämmer med regeringens förslag. I promemorian föreslogs dock en definition av begreppet elektronisk handling . Däremot föreslogs inga definitioner av begreppen kvalificerat certifikat och säker anordning för signaturframställning . Remissinstanserna: Flertalet remissinstanser lämnar promemorians förslag i huvudsak utan invändning, men har många synpunkter på den närmare utformningen av definitionerna. Flera remissinstanser har bl.a. haft invändningar mot införandet av begreppet elektronisk handling . Skälen för regeringens förslag: Den tekniska utvecklingen och ersättandet av traditionella pappershandlingar med elektroniska data reser en mängd frågor om, och i så fall på vilket sätt, denna företeelse kräver en annan rättslig reglering än den existerande. Dessa frågor har behandlats i flera utredningar och i vissa fall lett till lagstiftning. Användningen av s.k. elektroniska dokument regleras i ett trettiotal svenska författningar. Som exempel kan nämnas 12 § tullagen (1994:1550), enligt vilken kan ge tillstånd till att bl.a. tulldeklarationer får lämnas genom ett elektroniskt dokument. Ett elektroniskt dokument definieras där som en upptagning vars innehåll och utställare kan verifieras genom ett visst tekniskt förfarande. Sådana elektroniska dokument kan också, efter särskilt medgivande, i viss omfattning användas inom skatteområdet och exekutionsväsendet samt för vissa ansökningar gällande registrering av datapantbrev4. Definitionerna i direktivet har som nämnts utformats i avsikt att vara teknikneutrala. Den teknik som f.n. är förhärskande, där man använder digitala signaturer med ett certifikat som intygar kopplingen mellan en öppen nyckel och en bestämd person (det öppna nyckelsystemet), har dock legat till grund för den struktur som valts i direktivet. Till skillnad från direktivet används i den föreslagna lagtexten ordet data i stället för uppgifter , då det mindre är fråga om uppgifter i betydelsen information som skall förstås av så många som möjligt, än om konstellationer av ettor och nollor som ofta inte i sig ger ett mänskligt öga särskilt mycket upplysning. Det är dessutom ofta önskvärt att hemlighålla dessa data. Jfr definition av data som en representation av fakta och av information som innebörden av data i SOU 1992:110. I betänkandet Elektronisk dokumenthantering (SOU 1996:40) föreslogs att det i förvaltningslagen (1986:223) skulle införas vissa grundläggande begrepp. Elektronisk handling föreslogs där definieras som en bestämd mängd data som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Vidare föreslogs att begreppet digitalt dokument skulle införas (till skillnad från det i befintlig lagstiftning använda begreppet elektroniskt dokument ) Digitalt dokument definierades i betänkandet som en elektronisk handling med digital signatur eller digital stämpel. Digital signatur definierades i sin tur som resultatet av en omvandling av en elektronisk handling, som gör det möjligt att kontrollera om innehållet härrör från den fysiska person som framstår som utställare. Digital stämpel skulle på samma sätt härröra från en juridisk person eller myndighet. Remissutfallet var blandat och betänkandet har inte lett till någon lagstiftning i denna del. är visserligen inte bundet av den terminologi och systematik som angivits i direktivet, om det avsedda resultatet kan uppnås med annan terminologi och systematik. Direktivet är emellertid utformat så att utrymmet att avvika från terminologin är mycket begränsat. En strävan är givetvis att lagtexten skall vara så enkel och begriplig som möjligt. Den tämligen komplicerade verklighet som direktivet beskriver kräver dock en begreppsapparat som, för att kunna fungera, inte kan förenklas alltför mycket. En annan strävan är att i möjligaste mån anknyta till den begreppsbildning som redan existerar i . En tredje är att åtminstone de nordiska länderna skall få en så enhetlig reglering som möjligt. I promemorian föreslogs ett införande av begreppet elektronisk handling . Bland andra Kammarrätten i , Länsrätten i län och menar att begreppet inte är tillräckligt analyserat och att det inte tillför lagen något. Länsrätten påpekar även att begreppet lätt kan leda till förvirring i förhållande till närliggande begrepp som används i andra lagar. De remissinstanser som är positiva till införandet, främst och , pekar främst på att en definition av elektronisk handling kan vara av värde i andra sammanhang. Såsom anfördes i promemorian (s. 60) behövs inte begreppet elektronisk handling för att förklara något i lagen. Begreppet elektronisk signatur kan lika gärna definieras på samma sätt som i direktivet. Vidare framgår av inledningen till 2 § att definitionerna bara förklarar vad som avses med begreppen i just denna lag. En definition i den här lagen har därför inte automatiskt någon betydelse i andra sammanhang. Statskontoret menar av det skälet att definitionen passar bättre i förvaltningslagen. Eftersom begreppet inte behövs för att förklara något i den här lagen och eftersom det riskerar att skapa förvirring i förhållande till närliggande begrepp som används i andra lagar, såsom elektroniska dokument, avstår regeringen från att föreslå att begreppet införs i lagen. Regeringen tar dock inte i detta läge ställning till om det av någon anledning som saknar samband med genomförandet av direktivet finns behov av en definition av elektronisk handling i förvaltningslagen eller någon annanstans.