sou · GYB3104 · 2010-12-23 00:00:00 — Att en fysisk person i juridisk mening är behörig att företräda annan innebär som framgått att huvudmannen, t.ex. ett aktiebolag, blir direkt bunden av en rättshandling som företrädaren företar. Det vilar emellertid på förlitande part att kontrollera att behörighet verkligen föreligger. Förlitande part står normalt också risken om det godtas att en person är behörig men detta senare visar sig felaktigt. Här bör nämnas att det av regler i bl.a. skuldebrevslagen (SkbrL), framgår att motparten står risken om -uppgiven företrädare för en part inte är den han eller hon ger sig ut för att vara (kan kontrolleras med e-legitimation), eller saknar behörighet att företräda uppgiven huvudman (kan kontrolleras med registreringsbevis), -urkunder, t.ex. skriftliga avtal, registreringsbevis eller fullmakter är falska (kan kontrolleras med e-legitimation om de försetts med elektronisk underskrift),3 3 Enligt 17 § skuldebrevslagen (SkbrL) får förfalskning och bristande behörighet åberopas även mot den som är i god tro och i detta hänseende ger SkbrL uttryck för en allmän förmögenhetsrättslig princip som tillämpas analogt även utanför skuldebrevsrätten. Visserligen avser denna bestämmelse löpande skuldebrev men i lagmotiven har det, med avseende på enkla skuldebrev, uttalats att en gäldenär som regel har att på egen risk pröva (RB), framgår att resning kan beviljas sedan dom i tvistemål eller brottmål vunnit laga kraft, om en falsk skriftlig handling har åberopats till bevis och handlingen kan antas ha inverkat på utgången och att detsamma torde gälla om talan förts för en juridisk persons räkning där dennes anspråk t.ex. eftergivits helt utan behörighet att agera för denne,4 aktiebolagslagen och aktiebolagsförordningen, framgår att register ska föras av , att verket ska lämna utdrag men att verkets ansvar i princip är begränsat till att lämnade utdrag som rätt återger innehållet i aktiebolagsregistret – den som mottar och brukar utdrag avgör för vilka kontroller utdragen ska användas, hur kontrollerna ska utföras och står risken om behörighet felaktigt antas föreligga. Författningsregleringen innebär alltså något förenklat att det är E- tjänsteleverantören (förlitande part) som står risken om det finns brister i behörighetskontrollerna. Vissa ärenden rör känsliga uppgifter eller stora värden. I sådana fall görs vanligtvis en fullständig kontroll av juridisk behörighet, där det på ett tillförlitligt sätt granskas både vem som agerat och om denne var behörig att företa rättshandlingen för angiven huvudmans räkning. I praktiken gör emellertid förlitande parter riskbedöm- ningar utifrån vilka de utformar sina kontroller. Sådana bedömningar kan i många fall leda till att ingen kontroll görs av t.ex. registreringsbevis eller fullmakter. Förlitande part utgår från att den som utger sig för att vara behörig företrädare verkligen är det. Skulle påståendet om behörighet vara felaktigt kan den som utgett sig för att ha behörighet bli skadeståndsskyldig mot förlitande part. Som exempel på uttalanden rörande behovet av balanserade risk- bedömningar kan nämnas att justitierådet i en äldre monografi Obehöriga förfaranden med värdepapper uttalat att praktiskt taget alla transaktioner enligt sakens natur innebär att aktörerna måste ta vissa risker för att allt inte har gått rätt till och att det knappast är möjligt att helt eliminera dessa risker; i allt fall huruvida den med vilken han har att skaffa är rätt borgenär eller behörig att på dennes vägnar uppbära betalning. 4 Se 58 kap. 1 och 2 §§ RB. skulle rigorösa försök i denna riktning sannolikt resultera i att verksamheten blev orimligt tungrodd. tillade bl.a. följande, som torde anses vara en självklarhet i pappersmiljö: I åtskilliga situationer kan dock (banken) blott genom utvisande av skälig aktsamhet och sålunda utan någon krävande försiktighetsapparat skydda sig mot förlustrisk. Ett klarläggande så långt möjligt av i vilka lägen en sådan aktsamhet är på sin plats samt kanske fram för allt vad den bör gå ut på och hur långt den behöver sträckas torde därför vara av praktiskt värde till underlättande av verksamhetens bedrivande; det förekommer väl icke blott att erforderlig aktsamhet eftersätts utan ej sällan också att man i brist på säker kännedom om rättsläget drivs att iakttaga en större försiktighet än nöden i själva verket kräver, vilket blir en onödig belastning på rörelsen. Detta uttalande passar väl in på dagens hantering av kontroller i elektronisk miljö. E-tjänsteleverantörerna, som ska ställa upp de krav som en e-tjänst ska uppfylla bl.a. beträffande kontroll av behörighet, tenderar att ställa synnerligen höga krav så snart IT- stöd införs. En orsak kan vara en sammanblandning av de behov som finns av juridisk prövning av bl.a. identitet och behörighet med behov från informationssäkerhetssynpunkt av att skydda E- tjänsteleverantörens IT-miljö.5 Myndigheter kan emellertid i många fall – i vart fall initialt – förväntas införa e-tjänster utifrån enklare lösningar med inslag. Här bör resonemang från pappersmiljön ofta kunna återan- vändas så att förenklingar anses möjliga. I många fall bör en identifiering med t.ex. e-legitimation kunna räcka, utifrån enkla, närmast självklara resonemang. Som exempel kan nämnas att ärenden där t.ex. telefaxmeddelanden eller kanske till och med uppgiftslämnande per telefon godtas utan några behörighetskon- troller knappast kan anses kräva fullständiga behörighetskontroller bara för att hanteringen har överförts till elektronisk miljö. Begränsningar av behörighetskontroller godtas också enligt lag. Varken i förvaltningslagen (1986:223) eller lagen (1996:242) om domstolsärenden föreskrivs att en myndighet som handlägger ett ärende måste begära in och granska registreringsbevis eller fullmakt för ett ombud.6 Däremot får myndigheten begära in behörig- hetshandlingar om myndigheten finner skäl för en sådan kontroll. 5En del i detta kan antas vara att automatiseringen medför att det saknas motsvarighet till den sociala kontroll som finns i pappersmiljö, så att handläggare reagerar om något verkar misstänkt. Vidare tar sig informationssäkerhetsarbetet ofta sådana uttryck att det inte görs några jämförelser med motsvarande riskbedömningar i pappersmiljö. 6Motsatsen gäller emellertid i tvistemål och brottmål enligt . Visserligen innebär det ett risktagande när en myndighet använder sig av möjligheten att begränsa behörighetskontrollerna. Det har emellertid i praktiken visat sig fungera i pappersmiljö. På motsvar- ande sätt godtar företag ofta beställningar av varor per telefon, telefax o.l. – utan någon identitets- eller behörighetskontroll. Samma synsätt bör kunna tillämpas för e-tjänster. Har Användaren identifierats med stöd av e-legitimation och detta kontrollerats med hjälp av Identitetsintyg torde dessa åtgärder ofta räcka. Här bör motsvarande praktiska synsätt kunna tillämpas som i tradi- tionell miljö – med de anpassningar som behövs till särskilda risker som IT kan föra med sig. I traditionell miljö är det som framgått vanligt att identitets- och behörighetskontroller inte görs. För dessa fall skulle ett förenklat förfarande för IT-miljö där identifiering sker med Identitetsintyg men registerutdrag från inte krävs innebära en noggrannare kontroll än den som görs i traditionell miljö när underskrifter godtas utan kontroller. Därmed bör det i många fall – i kombination med det skadeståndsansvar som följer av felaktiga påståenden om behörighet – räcka att den som agerar identifieras med stöd av Identitetsintyg samt att e-tjänsten utformas så att det otvetydigt framgår om personen agerar för egen eller för annans räkning, och för vem ett agerande för annans räkning sker. I andra sammanhang kan en fullständig behörighetskontroll framstå som självklar, jfr de kontroller som görs av en ansökan om lagfart, i rättegång eller när betalning beordras av betydande belopp från ett konto i en bank. Vanligtvis finns inga särskilda regler om vilken dokumentation av behörighet som ska finnas och vilka kontroller som ska göra.7 Det blir då upp till E-tjänsteleverantören att, utifrån det skyddsvärde som respektive e-tjänst anses ha, bedöma vilka krav som ska ställas på behörighetskontroller. Hanteringen av Attributsintyg får utformas utifrån dessa förutsättningar. 7 Jfr dock krav på bl.a. registreringsbevis och fullmakter och den redo- visade särregleringen i patientdatalagen. 1.6Processen för granskning och samverkan När juridisk behörighet ska kontrolleras i elektronisk miljö bör hanteringen kunna förenklas med stöd av den föreslagna Infra- strukturen för identifiering. Denna hantering kan, som en följd av den automatisering som sker i IT-system, beskrivas som ett hand- lings- eller transaktionsmönster – i IT-sammanhang kallat en process (jfr avsnitt 1.1). Denna process kan beskrivas som ett antal steg där berörda aktörer har att 1.bedöma om registreringsbevis eller liknande behövs, 3.sända en beställning till rätt aktör, 5.se vilket intyg som ska lämnas enligt beställningen, 7.sända intyget till rätt aktör, 9.kontrollera att intyget är äkta, och 10.bedöma om intygets innehåll ska anses visa att behörighet föreligger. När en person i traditionell miljö utger sig för att företräda att aktiebolag används vanligtvis registreringsbevis från för en granskning och bedömning. tillhanda- håller emellertid tjänster där elektroniska bevis med utdrag ur aktiebolagsregistret lämnas i XML-format. En förlitande part som mottagit ett sådant elektroniskt utdrag kan behandla det automatiserat enligt programmerade rutiner genom vilka det avgörs om behörighet anses föreligga för att t.ex. logga in i en e-tjänst, få del av uppgifter där eller lämna och skriva under uppgifter. använder sig redan av denna elektroniska tjänst som fungerar som en del i den process som krävs för en helt automatiserad hantering; jfr processtegen i följande figur. har också utformat en egen automatiserad procedur för att avgöra om uppgifterna i ett XML-baserat registreringsbevis visar att personen är behörig att företräda det aktuella bolaget. Utformning och användning av vissa processteg i figuren bestäms i princip av respektive E-tjänsteleverantör, utifrån det skyddsvärde som leverantören anser att e-tjänsten har; se de steg som ligger utanför det röda fältet i följande figur. Däremot tar emot beställningarna, ser vilka intyg som ska utfärdas samt upprättar och sänder dem. Eftersom den föreslagna Infrastrukturen för identifiering avses användas, för dessa beställningar och svar, berörs även som i denna del, i enlighet med sin instruktion, ska utveckla specifikationer och liknande krav som ska vara gemensamma för myndigheter under regeringen. Utformningen av juridiska behörighetskontroller med stöd av Attributsintyg kräver alltså samverkan mellan (A) (som svarar för Infrastrukturen för identifiering via vilken begäran om intyg och utfärdade intyg distribueras), (B) (som svarar för angivna delar i processen för att utfärda Attributsintyg) och de (C) E-tjänsteleverantörer som ansluts till Infrastrukturen för identifiering och som ska kunna beställa, motta och använda Attributsintyg. En del i denna samverkan är att utarbeta samordnade lösningar som är tillräckligt enkla och avgränsade för att kunna införas på bred front, så att även mindre aktörer, inom offentlig sektor kan nyttja dem. Målet bör vara en fullständig automatisering. Här behöver emellertid beaktas att myndigheter i många fall – i vart fall initialt – kan antas införa e-tjänster utifrån enklare lösningar med inslag. I sådana fall bör resonemang från pappersmiljö ofta kunna återanvändas och förenklingar vara möjliga utifrån närmast självklara resonemang som var och en bör kunna förstå. Här kan som exempel nämnas ärenden där t.ex. telefaxmed- delanden eller kanske till och med uppgiftslämnande per telefon godtas. När samma ärenden handläggs i elektronisk miljö kan full- ständiga behörighetskontroller knappast krävas, med e-legi- timationer och attributsintyg, bara för att IT-stöd införts. Här behöver också beaktas att kontroller av juridisk behörighet kan bli komplicerade i enskilda fall. Behörighetsfrågan behöver då – om en fullständig kontroll ska göras – bedömas manuellt. I undantagsfall kan rättsutredningar och bedömningar av expertis behövas. Sådana komplicerade juridiska bedömningar kan inte automatiseras eftersom de inte kan styras av på förhand program- merade lösningar. Väljer den förlitande parten att ta en medveten risk kan auto- matisering dock ske även i sådana fall. Tolkningssvårigheterna uppdagas då inte förrän i ett senare skede när transaktionen redan utförts. Ett skäl för att godta sådana förenklingar kan vara ett en uppgiven företrädare har ett strängt personligt skadeståndsansvar gentemot den förlitande parten: Enkelt uttryckt, blir organisa- tionen inte bunden av beställningen kan användaren av e-legi- timationen bli skyldig att ersätta den skada som därmed drabbar den förlitande parten. Dessa regler gäller även för elektronisk miljö så länge inte annat föreskrivs. Den infrastruktur som inför för juridiska behörighetskontroller bör tillhandahålla de funktioner och kontrollnivåer som e-tjänstelevererande myndigheter och före- tag efterfrågar. Det får därefter bli upp till respektive E-tjänste- leverantör att utifrån beskrivna flöden avgöra vilket stöd för behörighetskontroller som ska införas i en e-tjänst. Denna infrastruktur får som framgått inte blandas samman med åtkomst- kontroller inom en organisation eller de kombinationer av kontroller för vilka särskild reglering har införts i patientdatalagen m.fl. författningar. 1.7En samordnad hantering av Attributsintyg har dels en myndighetsutövande funktion, till vilken hör att registrera företag (bl.a. aktiebolag som här används som exempel), dels en servicefunktion som innefattar att tillhandahålla företagsinformation från verkets register (bl.a. Aktiebolags- registret). Informationen tillhandahålls på flera olika sätt till förlitande parter, som t.ex. kan beställa ett traditionellt regi- streringsbevis på papper och få det översänt med vanlig post.8 Den som behöver information om företag kan emellertid också söka fram samma uppgifter i verkets Näringslivsregister och ladda ned e- registreringsbevis i ett format som var och en kan läsa. Det är också möjligt att beställa eller ladda ned ett fullständigt eller tids- begränsat historiskt bevis där alla ändringar, respektive de ändringar som skett redovisas. Den som inte nöjer sig med att få reda på vilka uppgifter som redan har registrerats i kan beställa diariebevis eller ärendebevis, där det i det första fallet framgår om en handling som rör ett visst bolag har kommit in och i det andra fallet dessutom framgår vilket slags ärende som inkommen handling avser. Till detta kommer särskilda beställnings- verksamhet där uppgifter lämnas ur register förpackade i enlighet med en beställares önskemål. Leveranser i elektronisk miljö har även infört tjänster där s.k. XML-paket levereras. En av dessa produkter, betecknad FunktionarerFirmateckning- Vakanser, visar bl.a. firmateckning; dvs. samtliga företrädare som är registrerade. Dessa XML-paket kan levereras även med historik. Automatiserade frågor efter sådana paket ställs med organisations- 8 Beviset innehåller bl.a. företagets namn, registreringsdatum, verksamhet, firmatecknare, styrelse, företrädare samt adressen till företaget och till styrelsen. nummer som sökbegrepp. Den som mottar XML-paket avses kunna låta egna datorprogram bearbeta och visa uppgifter i egna gränssnitt. Dessa tjänster tar liksom de som beskrivits i avsnitt 1.6.1 sin ut- gångspunkt i det aktuella aktiebolaget. Bolagets organisations- nummer används som sökbegrepp. E-tjänsteleverantören avses där- efter utifrån mottagna uppgifter om bolaget kunna sortera fram de uppgifter som rör den individ som legitimerat sig i e-tjänsten och att utifrån dem bedöma om denne är behörig att företräda aktuellt bolag. Visserligen tillhandahåller verket också bevis om funktioner som tar sin utgångspunkt i en viss individ och visar vilka uppdrag denne har i olika företag eller föreningar. Dessa bevis utvisar emellertid inte i vilken mån individen är behörig firmatecknare i dessa företag och föreningar. Den som beställt och mottagit XML-paket för behörighets- kontroller måste emellertid sortera och tolka informationen. Efter- som XML-paketen tar sin utgångspunkt i företaget – inte i den individ som besöker en e-tjänst – blir informationen omfattande. Samtliga uppgifter om firmateckningsrätt finns med och en mängd andra uppgifter. Materialet har visserligen försetts med koder, avsedda att förenkla en automatisering, men komplexiteten blir betydande och det behövs juridisk kompetens för att kravställa funktioner för kontroller. Det har visat sig svårt för E-tjänsteleverantörer att sortera sådan omfattande information och att göra de tolkningar och det utvecklingsarbete som krävs för att införa en automatiserad kontrollrutin i en e-tjänst. ska leverera utdrag – inte tolka innehållet Till bakgrunden vid utveckling av dessa lösningar hör att verket inom ramen för sin servicefunktion endast ska lämna uppgifter ur registret – registerutdrag. ska naturligtvis inte göra tolkningar av innehållet åt förlitande parter. E-tjänste- leverantörerna ska alltså själva granska och juridiskt bedöma om den som använder e-tjänsten är behörig – alternativt välja att ta en viss risk. I praktiken synes denna närmast självklara utgångspunkt emellertid ha lett till en alltför begränsad syn på vad som är ett registerutdrag till skillnad från en tolkning av registrets innehåll. Av regleringen i lag och förordning framgår nämligen endast följande. Enligt 8 kap. 43 § första stycket 3 ABL ska varje aktiebolag för registrering anmäla av vilka och hur bolagets firma tecknas. I paragrafens andra stycke sägs att anmälan ska innehålla uppgift om bl.a. postadress för de personer som anges i första stycket 3 och de angivna personernas personnummer. På liknande sätt föreskrivs i 1 kap. 3 § aktiebolagsförordningen (2005:559; ABF) att en anmälan för registrering enligt 2 kap. 22 § ABL ska innehålla uppgift om hur bolagets firma tecknas. I 2 kap. 14 § ABF sägs vidare att de uppgifter som avses i 8 kap. 43 § ABL ska antecknas när ett aktiebolag registreras. Cirkeln är därmed sluten och det finns inte några myndighetsföreskrifter på området Kraven i författning på registreringens utformning går alltså inte längre än att det ska noteras av vilka och hur bolagets firma tecknas. Dessa uppgifter registreras i maskinläsbar form. Varje presentation för vanlig läsning av en människa kräver alltså omvandling av digitala data till text på t.ex. papper eller bildskärm. Redan detta innefattar en tolkning från ett maskinspråk till ett uppfattbart språk. Dessutom görs vissa urval genom att fullständiga registerutdrag är ovanliga och att de begränsade utdragen innefattar viss sortering. Även om det inte finns någon knivskarp gräns för samtliga fall mellan vad som utgör en juridisk tolkning av registrets innehåll, till skillnad från ett rent utdrag som begränsats till en delmängd av uppgifter, bör avgränsningar kunna ske så att även en träffsäkert begränsad mängd uppgifter ur t.ex. aktiebolagsregistret kan betraktas som utdrag ur registret; inte en juridisk tolkning. Begränsade, kodade uppgifter i förfinade registerutdrag Det har visat sig komplicerat för E-tjänsteleverantörer att tolka komplex information från , särskilt när den ska användas automatiserat. Genom dessa utdrag överförs som fram- gått betydligt mer information än E-tjänsteleverantören behöver. Informationen måste därför sorteras och tolkas. Den förlitande parten (E-tjänsteleverantören) har själv haft att sortera fram de uppgifter som behövs och har dessutom haft att utveckla ett automatiserat stöd för kontroller. synes endast Skatte- verket ha infört en teknisk lösning för kontroller där det automatiserat bedöms om en person är behörig att företa en viss rättshandling. Dessutom är denna funktion begränsad till att ange om en person är behörig att ensam teckna firman. har därför inlett ett utvecklingsarbete för att förenkla hanteringen. Tanken är att ska kunna lämna förfinade registerutdrag ur t.ex. aktiebolagsregistret, med endast delmängder av de uppgifter som lämnas i XML-paket. Utvecklingsarbetet är knutet till utredningens förslag om att införa en Infrastruktur för identifiering, där Identitetsintyg ska kunna kompletteras med Attributsintyg som tar sin utgångspunkt i en individ som t.ex. loggar in i en e-tjänst. Från utgångspunkter blir frågan hur förfinade utdrag ska kunna utformas så att de endast blir att anse som registerutdrag – inte som juridiska tolkningar åt förlitande parter av om en viss individ är behörig företrädare för en juridisk person. Sådana intyg avses underlätta och förbättra verkets servicefunktion genom att E-tjänsteleverantörer enkelt, säkert och automatiserat ska kunna begära och få ut registrerade uppgifter samt utföra erforderliga kontroller. För E-tjänsteleverantörerna blir frågan istället hur de ska kunna hantera intyg för automatiserade bedömningar av juridisk behörighet. Till nämndens uppgifter hör att skapa enighet och samordning mellan dessa aktörer inom ramen för en balanserad lösning. För att en sådan samordning ska kunna etableras måste, som ett första steg, ett förslag till en praktisk lösning tas fram. Här har Bolags- verket redan gjort ett omfattande arbete för att införa koder i sina register, bl.a. i . Dessa koder finns redan med i de registerutdrag som lämnas i form av XML-paket. Tanken har varit att E-tjänsteleverantörer ska kunna programmera sina e- tjänster att godta de Användare som har kod(er) som visar att de är behöriga firmatecknare. Redan i denna del har emellertid vissa frågor aktualiserats. Koden (= firman tecknas ensam av) kan enkelt förstås när den knyts till ett personnummer och en auto- matiserad tolkning av detta kan enkelt programmeras. När koden knyts till le (=ledamöter) måste emellertid den automatiserade granskningen kopplas till de fält där bolagets ledamöter anges. Eftersom ett utdrag ur utgör en ögon- blicksbild av registrets innehåll, även vid användning av XML- paket, kan det knappast hävdas att en angivelse av och le skulle utgöra ett registerutdrag, medan en användning av FAVE- koden så att den knyts till personnumret för varje ledamot som har ensam firmateckningsrätt skulle utgöra en tolkning. Uppgifterna kan inte missförstås utan utgör endast två olika språkliga sätt att säga samma sak. Dessa exempel tydliggör den typ av frågor som behöver lösas. Frågor för att få förfinade registerutdrag När funnit lämpliga lösningar rörande innehållet i för- finade registerutdrag behöver det klarläggas hur den standardiserade lösningen (SAML) ska kunna användas för att ställa frågor om juridisk behörighet. Denna standard används vanligtvis för att få svar rörande egenskaper som avser ett enda subjekt. En preliminär genomgång har emellertid visat att de av- gränsningar som krävs till visst företag – är x firmatecknare i bolaget y – bör kunna ske genom att frågan innehåller t.ex. individens personnummer och företagets organisationsnummer. Det behöver härvid genomlysas hur olika strukturer av svar ska kunna lämnas i Attributsintyg så att kontroller kan göras automatiskt i e-tjänsten. Även här aktualiseras frågor om roller. Lösningarna ska utformas så att E-tjänsteleverantörer eller andra inte kan få uppfattningen att eller utför juridiska tolkningar åt E-tjänsteleverantörer. ska inte göra någon bedömning av en individs rätt att företa en viss rättshandling utan endast, genom den Infrastruktur för identifiering som E-legitimationen avses svara för, lämna svar elektroniskt med ett registerutdrag som avgränsats till uppgifter om den individ som agerat. Stöd för automatiserade kontroller För att en sådan lösning ska kunna få spridning behövs också funktioner för att E-tjänsteleverantörer ska kunna ta emot och tolka informationen. Denna samordning bör kunna ske inom