Det Økonomiske og Sociale Udvalgs udtalelse om »Kommissionens forslag til Europa-Parlamentets og Rådets direktiv om en fælles ramme for elektroniske signaturer« (1999/C 40/10)

Rådet for Den Europæiske Union besluttede den 30. juli 1998 under henvisning til EF-traktatens artikel 100A at anmode om Det Økonomiske og Sociale Udvalgs udtalelse om det ovennævnte emne.

Det forberedende arbejde henvistes til ØSU's Sektion for Det Indre Marked, Produktion og Forbrug, som udpegede Umberto Burani til ordfører. Sektionen vedtog sin udtalelse den 28. oktober 1998.

Det Økonomiske og Sociale Udvalg vedtog på sin 359. plenarforsamling af 2. og 3. december 1998, mødet den 2. december 1998, enstemmigt følgende udtalelse.

1. Indledning

1.1. Det foreliggende direktivforslag fra Kommissionen om en retlig ramme for elektroniske signaturer er den konkrete udmøntning af meddelelsen »Sikkerhed og tillid i elektronisk kommunikation - Imod europæiske rammer for digitale signaturer og kryptering« ().

1.2. I denne meddelelse påpegede Kommissionen, at situationen på dette område nu kræver EU-myndighedernes opmærksomhed. Visse medlemsstater har allerede grebet reguleringen af elektroniske signaturer an på deres egen måde eller er i færd med det. Mangelen på gensidig anerkendelse kan føre til en opsplitning af det indre marked for elektronisk handel og online-tjenester i EU. Det haster derfor med at få fastlagt en fælles ramme, som opfylder følgende to hovedbetingelser: der skal skabes præcise retlige rammer, og de skal være så fleksible, at området ikke låses fast i regler, som er utidssvarende i lyset af den teknologiske udvikling.

1.3. ØSU har givet sin støtte til Kommissionens overvejelser () og fremlagt forslag til en strategi, der overholder principperne om selvregulering og subsidiaritet inden for nogle klare rammer bestående af fælles minimumsregler. I sine bemærkninger til Kommissionens efterfølgende meddelelse om »Globaliseringen og informationssamfundet - Der må stærkere international samordning til« () har ØSU blandt andet understreget, at harmoniseringen af EU's og de internationale bestemmelser - som er nødvendig, hvis den elektroniske handel, der i sin natur er grænseoverskridende - skal kunne foregå sikkert, skrider for langsomt frem, fordi de mange initiativer ikke koordineres.

1.4. Kommissionens beslutning om at fremlægge et direktivforslag er et initiativ, der går i den rigtige retning, især fordi det har indbygget den nødvendige fleksibilitet i afventning af en international koordinering.

2. Generelle bemærkninger

2.1. Med elektroniske signaturer kan modtageren af elektronisk fremsendte data kontrollere disses oprindelse (autentifikation) og undersøge, om dataene er fuldstændige og uændrede (integritet). Verifikation af dataenes autenticitet og integritet beviser ikke nødvendigvis identiteten af den underskriver, der har genereret de elektroniske signaturer. Det er derfor nødvendigt at få identiteten bekræftet af tredjemand, de såkaldte »certificeringstjenesteudbydere«. Certificering af elektroniske signaturer er derfor en uundværlig metode til at yde de kontraherende parter sikkerhed og udvikle tillid inden for elektronisk handel.

2.2. For at sikre gensidig anerkendelse af de retssikkerhedsprincipper, der ligger til grund for certificering af elektroniske signaturer, har Kommissionen taget udgangspunkt i følgende retningslinjer, som tager hensyn til, at situationen er i konstant udvikling:

- direktivet er teknologineutralt og åbent over for andre autentifikationsmekanismer end offentlig nøgle-kryptering, idet der tages højde for, at nye systemer kan vinde frem;

- medlemsstaterne bør undgå forudgående autorisation af certificeringstjenesteudbydere, men frivillige akkrediteringsordninger kan derimod være nyttige;

- direktivet vedrører kun elektroniske signaturer i meddelelser, der sendes via åbne net, mens det for de lukkede nets vedkommende står de enkelte tjenesteudbydere frit for at anvende direktivet eller ej;

- for at sikre retlig anerkendelse af elektroniske signaturer må en række væsentlige krav til certificeringstjenesteudbydere, herunder erstatningsansvar, klarlægges.

2.3. ØSU er enig i denne generelle indfaldsvinkel, som bygger på de frie markedsprincipper. Dog mener ØSU, at der lægges for lidt vægt på brugerbeskyttelsen. Under gennemgangen af Kommissionens forslag vil ØSU derfor fremsætte bemærkninger og forslag vedrørende dette spørgsmål.

2.4. Med hensyn til EU-lovgivningens placering i international sammenhæng anfører Kommissionen, at »mange aktiviteter og diskussioner er i gang« (). Den henviser bl.a. til arbejdet i Uncitral, OECD, og WTO. Som ØSU tidligere har påpeget () indebærer disse - i sig selv positive - initiativer, at der er en reel fare for kompetenceoverlap mellem de forskellige instanser og for overlapning - eller konflikt - mellem forskellige regelsæt. Alt dette medfører langsommelig administration, forsinkelser og omkostninger for skatteyderne. ØSU beklager, at de internationale organisationer i deres bestræbelser på at løse alle problemer i en håndevending er ved at opnå det stik modsatte, nemlig forvirring og usikkerhed.

3. Særlige bemærkninger

3.1. Artikel 1

Direktivet skal etablere en retlig ramme for de certificeringstjenester, som offentligheden kan benytte, så det bliver lettere at anvende elektroniske signaturer og sikre juridisk anerkendelse af dem. Det vedrører ikke andre aspekter angående kontrakters indgåelse og gyldighed. I medfør af denne artikel og indholdet i den tiende betragtning omfatter direktivet kun åbne net. Inden for de lukkede systemer kan parterne ifølge Kommissionens forslag selv aftale betingelserne for, at en elektronisk signatur kan accepteres og anerkendes.

3.1.1. ØSU har visse tvivlsspørgsmål med hensyn til anvendelsesområdet. På den ene side er det prisværdigt at ville respektere aftalefriheden, på den anden side kan man ikke se bort fra, at også visse lukkede systemer er tilgængelige for et stadig større publikum, som ikke altid og ikke nødvendigvis er bekendt med reglerne for hvert enkelt system. Ganske vist kan parterne vælge at lade et lukket system være omfattet af direktivets bestemmelser, men efter ØSU's mening ville det være mere fornuftigt - og i brugernes og i tjenesteudbydernes egen interesse - at udvide direktivets anvendelsesområde til de lukkede systemer, hvortil offentligheden har adgang.

3.2. Artikel 3, stk. 1 og 2

Det forbydes medlemsstaterne at gøre udbud af certificeringstjenesteydelser afhængig af forudgående autorisation. De kan dog indføre eller opretholde frivillige akkrediteringsordninger uden at begrænse antallet af tjenesteudbydere.

3.2.1. ØSU opfordrer til nærmere at overveje rækkevidden af disse bestemmelser. Certificering har betydning ikke kun for de to (direkte berørte) parter, men også i visse tilfælde for tredjemand. Det står fast, at det skal være frivilligt at ansøge om akkreditering, men der bør - som det præciseres i det følgende - være mulighed for at operere med to forskellige kategorier af certificering afhængigt af, om den foretages af akkrediterede eller ikke-akkrediterede tjenesteudbydere. I artikel 5, stk. 2, bør det udtrykkeligt fastsættes, at elektroniske signaturer, der godtages som bevis (i forbindelse med retssager og andre retshandlinger) kun kan gøres gældende over for tredjemand, hvis certifikatet er udstedt af en akkrediteret tjenesteudbyder.

3.2.2. Den aktuelle situation giver ikke specielt anledning til bekymring, men ved indførelse af en ny lovgivning skal der tages højde for, at udviklingen kan gå i en anden uforudset retning. Måske vil de få og velkendte tjenesteudbydere, der findes i dag, blive mangedoblet i fremtiden, hvis autentifikationsteknikkerne bliver »hvermandseje«. Ganske vist bør antallet af certificeringsudbydere ikke begrænses, men det er på den anden side heller ikke ønskeligt, at de fritages for forudgående kontrol og akkreditering. I brugernes og tredjeparternes interesse forekommer det derfor nødvendigt at fastsætte, at de »krav til certificeringstjenesteudbydere«, der anføres i bilag II, kontrolleres af en offentlig myndighed, når tjenesteudbyderne opererer i åbne net eller i lukkede net, hvortil offentligheden har adgang.

3.2.3. Ved akkreditering af tjenesteudbydere, der henhører under offentlige myndigheders ansvar, bør kravene i bilag II opfyldes. Dette er en nødvendig, men ikke tilstrækkelig forudsætning. Man må også have sikkerhed for, at disse krav opfyldes fremover, og de bør derfor underkastes regelmæssig kontrol. De offentlige myndigheder kan ikke skubbe deres ansvar til side. Hvis der indføres en lovgivning, må de også håndhæve den.

3.3. Artikel 3, stk. 4

Denne bestemmelse giver medlemsstaterne mulighed for at stille supplerende krav til anvendelsen af elektroniske signaturer i den offentlige sektor.

3.3.1. ØSU erklærer sig enig heri, men rejser spørgsmålet, om man ikke bør gå et skridt videre og kræve, at medlemsstater, som anerkender elektroniske signaturers gyldighed i den private sektor, også accepterer deres anvendelse i den offentlige sektor. Hvis de offentlige myndigheder - som skal være garant for retsprincipperne og beskytte borgerne - påtager sig det ansvar at anerkende retsgyldigheden af en elektronisk signatur i et dokument, der udveksles mellem privatpersoner, bør de indtage samme holdning i forbindelse med dokumenter, som indgives til det offentlige. Der er jo stadig mulighed for at stille supplerende krav.

3.4. Artikel 4

Denne artikel vedrørende det indre marked fastsætter, at medlemsstaterne ikke kan indføre begrænsninger for ydelse af certificeringstjenester med oprindelse i en anden medlemsstat.

3.4.1. ØSU understreger i denne forbindelse, at nok er ovennævnte bestemmelse i overensstemmelse med principperne for det indre marked, men den giver ikke offentligheden nogen beskyttelse, når certificeringstjenester ydes af ikke-akkrediterede operatører fra andre medlemsstater. Det kan i forvejen være svært for brugerne at skelne mellem akkrediterede operatører og ikke-akkrediterede operatører i deres eget land, men det giver for alvor problemer, når tjenesteleverandøren er etableret i et tredjeland. Der er her en klar lighed med den løsning, der er valgt i det andet bankdirektiv: friheden til at levere tjenesteydelser gælder kun for pengeinstitutter, som er omfattet af direktivet. For de andres vedkommende er (finansielle) tjenesteydelser begrænset til oprindelseslandet.

3.4.2. Der skal ikke røres ved den fri bevægelighed for elektroniske signatur-produkter, men de bør kun godtages som bevis i retssager og udenretslige handlinger, hvis certificeringen er foretaget af et akkrediteret organ.

3.5. Artikel 5

Medlemsstaterne skal indføre lovbestemmelser, der sikrer, at elektroniske signaturer ikke nægtes eksekutionskraft, retsvirkning eller gyldighed alene med den begrundelse, at underskriften er i elektronisk form eller ikke er ledsaget af et akkrediteret certifikat. Endvidere skal de sikre, at elektroniske signaturer, der er certificeret af en akkrediteret tjenesteudbyder, har samme retsgyldighed som håndskrevne underskrifter og kan godtages som bevis i retssager.

3.5.1. ØSU henleder her Kommissionens opmærksomhed på et forhold, som yderligere underbygger bemærkningerne i punkt 3.4.1 og 3.4.2. Den eneste forskel mellem signaturer, der er certificeret af henholdsvis akkrediterede og ikke-akkrediterede operatører, ligger i certificeringens beviskraft. Den uklare formulering af artikel 5, stk. 2, bør strammes op. Ifølge den nuværende ordlyd skal medlemsstaterne som bevis i retssager godtage certifikater, som er udstedt af en tjenesteudbyder, »der opfylder kravene i bilag II«. Dette kan fortolkes således, at en hvilken som helst tjenesteudbyder, som opfylder kravene i bilag II, kan udstede certifikater med retsgyldighed. Hvis dette ikke er meningen, bør den nævnte ordlyd erstattes af det entydige udtryk »akkrediteret tjenesteudbyder«.

3.5.2. Endvidere siges der - jf. bemærkningerne i punkt 3.4.2 - intet om beviskraften af et certifikat udstedt af en akkrediteret operatør i et tredjeland. Direktivet bør også om dette forhold indeholde klare bestemmelser. ØSU foreslår, at disse certifikater anerkendes på betingelse af, at det pågældende tredjeland gensidigt anerkender certifikater udstedt i EU.

3.6. Artikel 6

Der fastsættes en række krav til certificeringstjenesteudbydere, som medfører erstatningsansvar, hvis de ikke er opfyldt: oplysningerne skal være korrekte; udstedelsen skal være i overensstemmelse med direktivets bestemmelser; der skal være sikkerhed for, at den person, til hvem certifikatet er udstedt, og udstederen af certifikatet er i besiddelse af de nødvendige tekniske forudsætninger. Tjenesteudbyderen har dog ikke erstatningsansvar for fejl i oplysninger afgivet af indehaveren af certifikatet, og der gives mulighed for at begrænse et certifikats anvendelsesområde samt fastsætte en beløbsgrænse for erstatningspligten.

3.6.1. ØSU anser disse bestemmelser for at være i overensstemmelse med de generelle retsprincipper og aftalefriheden. Imidlertid vil ØSU gerne tage følgende spørgsmål eller rettere problem op. Hvilket erstatningsansvar har tjenesteyderen og hvilken garanti har brugeren, hvis tjenesteyderen afbryder eller ophører med sin aktivitet? Der bør derfor være en form for garantiordning, som kan sikre vedvarende beskyttelse af brugernes rettigheder. For eksempel kunne det kræves, at der deponeres back up-filer hos en tredjepart med visse garantier.

3.7. Artikel 7, stk. 1

Denne artikel indeholder bestemmelser om tjenesteudbydere, der er etableret i tredjelande. Certifikater udstedt af disse vil blive retligt sidestillet med certifikater udstedt i EU, hvis tjenesteudbyderen er akkrediteret i en medlemsstat ifølge en frivillig akkrediteringsordning i den pågældende medlemsstat, hvis en tjenesteudbyder, der er etableret i en medlemsstat, står inde for certifikatet, eller hvis certifikatet eller tjenesteudbyderen er anerkendt ifølge en bilateral eller multilateral aftale mellem Fællesskabet og tredjelande eller internationale organisationer.

3.7.1. ØSU erklærer sig generelt uenig i disse bestemmelser. I den frie samhandels navn tilsidesættes principperne om gensidighed, som bør være grundlaget for en global integration på handelsområdet som helhed og ikke kun inden for elektronisk handel. De betingelser, der opstilles i denne artikel - især vedrørende en udenlandsk tjenesteyders akkreditering i en medlemsstat og en EU-tjenesteyders garanti for et certifikat, der er udstedt i et tredjeland - er acceptable under forudsætning af, at det pågældende tredjeland behandler tjenesteudbydere og certifikater fra samtlige medlemsstater på samme eller tilsvarende måde.

3.7.2. Hvad angår anerkendelsen af et certifikat eller en tjenesteudbyder fra et tredjeland på grundlag af en bilateral aftale med et medlemsland bemærker ØSU, at indførelsen af et sådant princip uvægerligt vil medføre konkurrenceforvridning mellem medlemslande med mere »liberale« ordninger og de andre. Fri udveksling af tjenesteydelser skal ikke bruges som en trojansk hest til at sluse operatører og produkter fra tredjelande ind i EU via bilaterale aftaler med et enkelt medlemsland.

3.7.3. Som modargument nytter det ikke at henvise til visse fortilfælde såsom det andet bankdirektiv. I dette tilfælde skal »værtsmedlemslandet« udøve løbende kontrol og garantere for soliditeten og likviditeten i tredjelandsvirksomheder, som under alle omstændigheder skal være fysisk til stede i det pågældende medlemsland. Disse betingelser er langt fra opfyldt i forbindelse med elektroniske signaturer.

3.8. Artikel 8

Bestemmelserne i denne artikel kræver ingen særlige kommentarer bortset fra stk. 4 om anvendelse af pseudonymer. Tjenesteleverandøren bør kunne udlevere data om personer, der er registreret under pseudonym, til offentlige myndigheder, som anmoder herom, hvis den registrerede giver sit samtykke hertil. Direktivforslaget indeholder ingen retningslinjer om tjenesteleverandørens stilling i de tilfælde, hvor den registrerede nægter at oplyse sin identitet til myndighederne.

3.8.1. Der rejser sig også tvivlsspørgsmål i sidste del af artikel 8, stk. 4. Når det i henhold til national ret kræves, at tjenesteleverandøren udleverer oplysninger om en registrerets identitet i forbindelse med en efterforskning af mulige overtrædelser af lovgivningen om anvendelse af pseudonym, vil den registrerede blive underrettet efter efterforskningens afslutning.

3.8.2. ØSU stiller spørgsmålstegn ved, om denne detailbestemmelse er relevant. Ved efterforskningens afslutning vil den registrerede under alle omstændigheder være bekendt med, at de pågældende data er blevet udleveret. Bestemmelsen forekommer derfor overflødig. Endvidere påpeges det angående udtrykket »national ret«, at det klart bør specificeres, hvilken national ret der er tale om: tjenesteleverandørens opholdsland - som man må formode - eller det land, hvor den person, som gemmer sig bag pseudonymet (forudsat at vedkommendes identitet kendes), er hjemmehørende, eller et helt andet medlemsland. Da der her ganske klart - omend ikke udtrykkeligt - er tale om bekæmpelse af kriminalitet, bør direktivet indeholde mere præcise retningslinjer om procedurerne samt tjenesteleverandørernes rettigheder og pligter.

3.8.3. Alt taget i betragtning rejser ØSU spørgsmålet, om det ikke ville være bedre at revidere hele denne artikel og ganske enkelt henvise til bestemmelserne i direktiverne om beskyttelse af personlige data og hvidvaskning af penge. Når det kommer til stykket er der i denne henseende ingen forskel mellem transaktioner baseret på papirdokumenter og elektroniske transaktioner.

3.9. Artikel 9 og 10

Disse artikler omhandler nedsættelsen af et såkaldt Elektronisk Signatur-Udvalg bestående af repræsentanter for medlemsstaterne og under forsæde af Kommissionen. Udvalget høres om kravene til certificeringstjenesteudbydere og om anerkendte standarder for generering af elektroniske signaturer. Kommissionen underretter udvalget om resultaterne af sine regelmæssige møder med virksomheder, brugere og forbrugere.

3.9.1. ØSU tager dette initiativ til efterretning, men stiller spørgsmålstegn ved, om det virkelig er nødvendigt at nedsætte et udvalg. Kommissionen kunne udmærket selv som led i sine institutionelle beføjelser høre medlemsstaterne og de berørte parter uden dette mellemled, som egentlig blot overlapper Kommissionens kompetenceområde. Det drejer sig i øvrigt om en procedure, Kommissionen normalt følger, så der er ingen grund til at indføre et tungt bureaukrati, som efter ØSU's mening ikke vil forbedre effektiviteten.

3.10. Artikel 12 og 13

Disse to artikler - der såvel kronologisk som logisk synes at komme i omvendt rækkefølge - fastsætter, at medlemsstaterne skal gennemføre direktivet senest den 31. december 2000, og at Kommissionen for første gang den 31. december 2002 skal underrette Europa-Parlamentet og Rådet om, hvorledes direktivet fungerer. ØSU har ved flere lejligheder understreget (), at det haster med at få indført en ensartet lovgivning vedrørende informationssamfundet, der er et meget vidtspændende område. ØSU stiller spørgsmålstegn ved, om medlemsstaterne virkelig har brug for så lang tid til at gennemføre direktivet. Flere medlemsstater har allerede udmærket sig ved at indføre deres egen lovgivning på ganske kort tid. Det kan ikke være særligt arbejds- eller tidskrævende for de nationale lovgivere at gennemføre de få harmoniseringstiltag, der er nødvendige. Efter ØSU's mening ville der med en frist på et år efter direktivets vedtagelse være tilstrækkelig tid til at indføre eventuelle - og under alle omstændigheder beskedne - ændringer i den eksisterende lovgivning eller udforme nye lovbestemmelser.

Bruxelles, den 2. december 1998.

Beatrice RANGONI MACHIAVELLI

Formand for Det Økonomiske og Sociale Udvalg

() KOM(97) 503 endelig udg. af 8.10.1997.

() EFT C 157 af 25.5.1998.

() EFT C 284 af 14.9.1998.

() KOM(98) 297 endelig udg., punkt 7.

() EFT C 284 af 14.9.1998.

() EFT C 284 af 14.9.1998; EFT C 95 af 30.3.1998; EFT C 19 af 21.1.1998.