Forslag til Europa-Parlamentets og Rådets direktiv om en fælles ramme for elektroniske signaturer (98/C 325/04) (EØS-relevant tekst) KOM(1998) 297 endelig udg. - 98/0191(COD)

(Forelagt af Kommissionen den 16. juni 1998)

EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR -

under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab, særlig artikel 57, stk. 2, artikel 66 og artikel 100 A,

under henvisning til forslag fra Kommissionen,

under henvisning til udtalelse fra Det Økonomiske og Sociale Udvalg,

under henvisning til udtalelse fra Regionsudvalget,

i henhold til fremgangsmåden i traktatens artikel 189 B, og

ud fra følgende betragtninger:

(1) Kommissionen forelagde den 16. april 1997 Europa-Parlamentet, Rådet, Det Økonomiske og Sociale Udvalg og Regionsudvalget en meddelelse med titlen »Et europæisk initiativ inden for elektronisk handel« (1);

(2) Kommissionen forelagde den 8. oktober 1997 Europa-Parlamentet, Rådet, Det Økonomiske og Sociale Udvalg og Regionsudvalget en meddelelse med titlen »Sikkerhed og tillid i elektronisk kommunikation - Imod europæiske rammer for elektroniske signaturer og kryptering« (2);

(3) den 1. december 1997 opfordrede Rådet Kommissionen til snarest muligt at forelægge Europa-Parlamentet og Rådet et forslag til direktiv om digitale signaturer;

(4) elektronisk kommunikation og handel kræver elektroniske signaturer og dertil knyttede tjenesteydelser til autentifikation af data; afvigende regler for retlig anerkendelse af elektroniske signaturer og akkreditering af certificeringstjenesteudbydere i medlemsstaterne kan skabe betydelige hindringer for elektronisk kommunikation og handel og dermed hæmme det indre markeds udvikling; initiativer i medlemsstaterne, der peger i forskellig retning, viser, at der er behov for harmonisering på fællesskabsniveau;

(5) elektronisk signatur-produkters interoperabilitet skal fremmes; ifølge traktatens artikel 7 A indebærer det indre marked et område med fri bevægelighed for varer; væsentlige krav, der er specifikke for elektronisk signatur-produkter, der anvendes af certificeringstjenesteudbydere, skal opfyldes for at sikre fri bevægelighed inden for det indre marked og opbygge tilliden til elektroniske signaturer;

(6) den hastige teknologiske udvikling og Internettets globale karakter kræver, at den valgte metode er åben for forskellige teknologier og tjenester til elektronisk autentifikation af data; digitale signaturer baseret på offentlig nøgle-kryptering er på nuværende tidspunkt den mest anerkendte form for elektronisk signatur;

(7) det indre marked giver certificeringstjenesteudbydere mulighed for med henblik på øget konkurrenceevne at udvikle deres aktiviteter hen over grænserne og dermed tilbyde forbrugere og erhvervsliv nye muligheder for sikker elektronisk informationsudveksling og handel uden hensyn til grænser; certificeringstjenesteudbydere bør for at stimulere udbuddet af certificeringstjenesteydelser via åbne net i hele Fællesskabet i almindelighed frit kunne tilbyde deres tjenesteydelser uden forudgående autorisation; der er ikke noget umiddelbart behov for at sikre fri udveksling af certificeringstjenester ved at harmonisere berettigede og rimelige nationale begrænsninger i det frie udbud af sådanne tjenester;

(8) frivillige akkrediteringsordninger, hvis sigte er et tjenesteydelsesudbud på et mere avanceret niveau, kunne være den rette ramme for certificeringstjenesteudbyderne til at udvikle deres tjenester yderligere i retning af det tillids-, sikkerheds- og kvalitetsniveau, som et marked i hastig udvikling kræver; sådanne ordninger kunne anspore udviklingen af bedste praksis blandt certificeringstjenesteudbydere; det bør stå certificeringstjenesteudbydere frit, om de ønsker at tilslutte sig og nyde godt af sådanne ordninger; medlemsstaterne bør ikke forhindre certificeringstjenesteudbydere i at holde sig uden for sådanne akkrediteringsordninger; det bør sikres, at akkrediteringsordninger ikke svækker konkurrencen blandt certificeringstjenester; det er vigtigt at finde den rigtige balance mellem forbrugernes og erhvervslivets behov;

(9) dette direktiv bør bidrage anvendelse og retlig anerkendelse af elektroniske signaturer i Fællesskabet; der er ikke behov for en regulatorisk ramme for elektroniske signaturer, der udelukkende anvendes inden for lukkede systemer; parternes frihed til selv indbyrdes at aftale, på hvilke betingelser, de vil acceptere elektronisk signerede data, bør respekteres i det omfang, national ret tillader det; dette direktiv har ikke til formål at harmonisere national aftaleret, som vedrørende f.eks. kontraktindgåelse og -opfyldelse, eller andre ikke-kontraktlige formaliteter, hvor underskrift er påkrævet; bestemmelserne om elektroniske signaturers retsvirkninger bør ikke berøre nationale retlige formkrav med hensyn til indgåelse af kontrakter eller regler til bestemmelse af, hvor en kontrakt er indgået;

(10) for at bidrage til generel accept af elektroniske signaturer, bør en elektronisk signatur ikke nægtes gyldighed alene med den begrundelse, at underskriften har form af elektroniske data, ikke er baseret på et autoriseret certifikat eller på et certifikat, der er udstedt af en akkrediteret certificeringstjenesteudbyder, eller at tjenesteudbyderen, der har udstedt det pågældende certifikat, er fra en anden medlemsstat; elektroniske signaturer, der støttes på en pålidelig certificeringstjenesteudbyder, som overholder de væsentlige krav, bør have samme retsvirkninger som håndskrevne underskrifter; det må sikres, at elektroniske signaturer kan anvendes som bevis ved retshandlinger i alle medlemsstater; den retlige anerkendelse af elektroniske signaturer bør hvile på objektive kriterier og ikke være knyttet til den berørte tjenesteudbyders eventuelle autorisation; harmoniserede regler for elektroniske signaturers retsvirkninger vil bevare en sammenhængende retlig ramme i hele Fællesskabet;

(11) certificeringstjenesteudbydere, der udbyder certificeringstjenester til offentligheden, er underkastet nationale erstatningsansvarsregler; forskelle i sådanne erstatningsansvarsreglers rækkevidde og indhold kan forårsage retlig usikkerhed, navnlig for tredjemand, som forlader sig på deres tjenester; sådan usikkerhed vil skade udviklingen af handel på tværs af grænserne og være en hæmsko for, at det indre marked kan fungere, som det skal; harmoniserede erstatningsansvarsregler giver både certificeringstjenesteudbydere og forbrugere retssikkerhed og forudsigelighed; sådannne regler ville bidrage til generel accept og anerkendelse af elektroniske signaturer i Fællesskabet og dermed have en gunstig virkning på det indre marked;

(12) udviklingen af international elektronisk handel kræver grænseoverskridende systemer, der involverer tredjelande; sådanne systemer bør udvikles i erhvervslivet; aftaler med tredjelande om multilaterale regler for anerkendelse af certificeringstjenester kunne være gavnlige med henblik på sikring af interoperabilitet på globalt niveau;

(13) med henblik på at stimulere elektronisk kommunikation og elektronisk handel gennem sikring af brugernes tillid skal medlemsstaterne forpligte certificeringstjenesteudbyderne til at overholde retsregler om databeskyttelse og privatlivets fred; det bør pålægges certificeringstjenesteudbyderne på underskrivers anmodning også at yde certificeringstjenester for pseudonymer; det bør i national ret fastsættes, om, og under hvilke omstændigheder data vedrørende en registrerets identitet skal overføres med henblik på kriminalefterforskning; certificeringstjenesteudbydere bør på forhånd skriftligt og i et umiddelbart forståeligt sprog samt under anvendelse af et bestandigt kommunikationsmedium underrette deres brugere om deres forretningsbetingelser, navnlig om den præcise brug af deres certifikater og begrænsninger i deres erstatningsansvar;

(14) med henblik på anvendelsen af dette direktiv bør Kommissionen bistås af et rådgivende udvalg;

(15) målet at skabe en harmoniseret retlig ramme for udbud af elektroniske signaturer og beslægtede tjenester, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne og kan derfor i overensstemmelse med subsidiaritetsprincippet, jf. traktatens artikel 3 B, bedre gennemføres på fællesskabsplan; dette direktiv er i overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, begrænset til de minimumsforskrifter, der er nødvendige for at nå dette mål -

UDSTEDT FØLGENDE DIREKTIV:

Artikel 1

Anvendelsesområde

Dette direktiv vedrører den retlige anvendelse af elektroniske signaturer.

Det vedrører ikke andre aspekter i forbindelse med kontrakters indgåelse og gyldighed eller andre ikke-kontraktlige formaliteter, hvor underskrift er påkrævet.

Det etablerer en retlig ramme for visse certificeringstjenester, som offentligheden kan anvende.

Artikel 2

Definitioner

I dette direktiv forstås ved:

1) »elektronisk signatur« en underskrift i digital form i, vedføjet eller logisk tilknyttet data og brugt af en underskriver til at angive underskriverens vedkendelse af indholdet i disse data, og som opfylder følgende krav:

a) den er entydigt knyttet til underskriveren

b) den kan identificere underskriveren

c) den tilvejebringes med midler, som underskriveren kan bevare den fulde kontrol med, og

d) den er knyttet til de data, den vedrører, på en sådan måde, at enhver efterfølgende ændring af disse data afsløres

2) »underskriver« en person, der afgiver en elektronisk signatur

3) »signaturgenereringssystem« unikke data, som f.eks. koder eller private krypteringsnøgler eller et unikt konfigureret fysisk system, som anvendes af underskriveren til generering af en elektronisk signatur

4) »signaturkontrolsystem« unikke data, som f.eks. koder eller offentlige krypteringsnøgler eller et unikt konfigureret fysisk system, som anvendes til kontrol af den elektroniske signatur

5) »autoriseret certifikat« en digital attestering, som knytter et signaturkontrolsystem til en person, bekræfter denne persons identitet og opfylder kravene i bilag I

6) »certificeringstjenesteudbyder« person eller organ, der udsteder certifikater eller leverer andre tjenesteydelser i forbindelse med elektronisk signatur til offentligheden

7) »elektronisk signatur-produkt« hardware eller software eller relevante komponenter heri, som er beregnet til at blive brugt af en certificeringstjenesteudbyder til tjenesteydelser i forbindelse med elektronisk underskrift.

Artikel 3

Markedsadgang

1. Medlemsstaterne må ikke gøre udbud af certificeringstjenesteydelser afhængig af forudgående autorisation.

2. Uanset bestemmelserne i stk. 1 kan medlemsstaterne indføre eller opretholde frivillige akkrediteringsordninger med henblik på ydelse af certificeringstjenester på avanceret niveau. Alle vilkår i forbindelse med sådanne ordninger skal være objektive, gennemsigtige, rimelige og ikke-diskriminerende. Medlemsstaterne kan ikke af årsager, der falder ind under dette direktivs anvendelsesområde, begrænse antallet af certificeringstjenesteudbydere.

3. Kommissionen kan efter proceduren i artikel 9 fastsætte og i De Europæiske Fællesskabers Tidende offentliggøre referencenumre på almindeligt anerkendte standarder for elektronisk signatur-produkter. Medlemsstaterne anser et elektronisk signatur-produkt for at overholde kravene i bilag II, litra e), hvis det overholder sådanne standarder.

4. Medlemsstaterne kan gøre anvendelse af elektroniske signaturer i den offentlige sektor afhængig af opfyldelsen af supplerende krav. Sådanne krav skal være objektive, gennemsigtige, rimelige og ikke-diskriminerende og må kun være affødt af den pågældende anvendelses særlige karakter.

Artikel 4

Principper vedrørende det indre marked

1. Alle medlemsstater anvender de nationale bestemmelser, de vedtager i henhold til dette direktiv, på certificeringstjenesteudbydere, der er etableret på deres område, og på disses tjenesteydelser. Medlemsstaterne kan ikke på områder, der er omfattet af dette direktiv, pålægge ydelse af certificeringstjenester med oprindelse i en anden medlemsstat begrænsninger.

2. Medlemsstaterne sikrer fri bevægelighed inden for det indre marked for elektronisk signatur-produkter, der overholder bestemmelserne i dette direktiv.

Artikel 5

Retsvirkninger

1. Medlemsstaterne sikrer, at en elektronisk signatur ikke nægtes retsvirkning, gyldighed og eksekutionskraft alene med den begrundelse, at underskriften er i elektronisk form, ikke er baseret på et autoriseret certifikat eller ikke er baseret på et certifikat, der er udstedt af en akkrediteret certificeringstjenesteudbyder.

2. Medlemsstaterne sikrer, at elektroniske signaturer, der er baseret på et autoriseret certifikat, der er udstedt af en certificeringstjenesteudbyder, der opfylder kravene i bilag II, dels anerkendes som opfyldende de retlige krav vedrørende en håndskreven underskrift, dels kan godtages som bevis ved retshandlinger på samme måde som håndskrevne underskrifter.

Artikel 6

Erstatningsansvar

1. Medlemsstaterne sikrer, at en certificeringstjenesteudbyder ved at udstede et autoriseret certifikat ifalder erstatningsansvar over for enhver person, som med rimelighed forlader sig på certifikatet for så vidt angår:

a) korrektheden af alle oplysningerne i det autoriserede certifikat regnet fra udstedelsesdagen, medmindre certificeringstjenesteudbyderen i certifikatet har erklæret noget andet

b) overholdelsen af alle dette direktivs krav med hensyn til udstedelsen af et autoriseret certifikat

c) sikkerhed for at den i det autoriserede certifikat identificerede person på udstedelsesdagen var i besiddelse af det signaturgenereringssystem, der svarer til det i certifikatet indeholdte eller omhandlede signaturkontrolsystem

d) sikkerhed for at signaturgenereringssystem og signaturkontrolsystemet fungerer komplementært med hinanden i de tilfælde, hvor det er certificeringstjenesteudbyderen, der genererer de to systemer.

2. Medlemsstaterne sikrer, at certificeringstjenesteudbyderen ikke ifalder erstatningsansvar for fejl i oplysninger i det autoriserede certifikat, som er afgivet af den person, til hvem certifikatet er udstedt, hvis certificeringstjenesteudbyderen kan godtgøre, at der er taget alle rimelige skridt til at kontrollere disse oplysninger.

3. Medlemsstaterne sikrer, at en certificeringstjenesteudbyder i et autoriseret certifikat kan anføre begrænsninger i et bestemt certifikats anvendelsesområde. Certificeringstjenesteudbyderen hæfter ikke for tab, der skyldes brug, der går ud over anvendelsesområdet for et autoriseret certifikat med begrænsninger i sit anvendelsesområde.

4. Medlemsstaterne sikrer, at certificeringstjenesteudbyderen i et autoriseret certifikat kan sætte en beløbsgrænse for de transaktioner, som certifikatet er gyldigt for. Certificeringstjenesteudbyderen ifalder ikke erstatningspligt, der overstiger denne beløbsgrænse.

5. Stk. 1-4 berører ikke Rådets direktiv 93/13/EØF (3).

Artikel 7

Internationale aspekter

1. Medlemsstaterne sikrer, at certifikater, der er udstedt af en certificeringstjenesteudbyder, der er etableret i et tredjeland, anses at være retligt ligestillede med certifikater, der er udstedt af en certificeringstjenesteudbyder, der er etableret inden for Fællesskabet:

a) hvis certificeringstjenesteudbyderen opfylder kravene i dette direktiv og er akkrediteret i forbindelse med en frivillig akkrediteringsordning, der er fastsat af en medlemsstat, eller

b) hvis en certificeringstjenesteudbyder, der er etableret inden for Fællesskabet, og som opfylder kravene i bilag II, står inde for certifikatet i samme udstrækning som for sine egne certifikater, eller

c) hvis certifikatet eller certificeringstjenesteudbyderen er anerkendt i henhold til ordningen for bilaterale eller multilaterale aftaler mellem Fællesskabet og tredjelande eller internationale organisationer.

2. For at lette certificering på tværs af grænserne med tredjelande og retlig anerkendelse af elektroniske signaturer med oprindelse i tredjelande fremsætter Kommissionen i givet fald forslag med henblik på den faktiske implementering af standarder og internationale aftaler om certificeringstjenester, og kan navnlig, om fornødent, forelægge Rådet forslag til de nødvendige mandater til forhandling af bilaterale og multilaterale aftaler med tredjelande og internationale organisationer. Rådet træffer afgørelse med kvalificeret flertal.

Artikel 8

Databeskyttelse

1. Medlemsstaterne sikrer, at certificeringstjenesteudbyderne og de nationale akkrediterings- og tilsynsorganer opfylder kravene i de nationale bestemmelser til gennemførelse af Europa-Parlamentets og Rådets direktiv 95/46/EF (4) og 97/66/EF (5).

2. Medlemsstaterne sikrer, at certificeringstjenesteudbyderen kun har tilladelse til at få persondata direkte fra den registrerede og kun i det omfang, det er nødvendigt for udstedelsen af et certifikat. Data må ikke indsamles eller behandles med andre formål uden den registreredes samtykke.

3. Medlemsstaterne sikrer, at certificeringstjenesteudbyderen, når underskriveren anmoder herom, på certifikatet anfører et pseudonym i stedet for underskriverens navn.

4. Medlemsstaterne sikrer, at certificeringstjenesteudbyderen i tilfælde, hvor personer anvender pseudonym, er forpligtet til på anmodning og med den registreredes samtykke at overføre data om sådanne personers identitet til offentlige myndigheder. Når det i henhold til national ret af hensyn til efterforskning i en kriminalsag i forbindelse med brugen af elektronisk signatur under pseudonym er nødvendigt at overføre data, der afslører en registrerets identitet, skal overførslen registreres og den registrerede underrettes om overførslen snarest muligt efter efterforskningens afslutning.

Artikel 9

Udvalg

Kommissionen bistås af et rådgivende udvalg, benævnt Elektronisk Signatur-Udvalget (herefter benævnt »udvalget«), der består af repræsentanter for medlemsstaterne, og som har Kommissionens repræsentant som formand.

Kommissionens repræsentant forelægger udvalget et udkast til de foranstaltninger, der skal træffes. Udvalget afgiver en udtalelse om dette udkast inden for en frist, som formanden kan fastsætte under hensyn til, hvor meget det pågældende spørgsmål haster, i givet fald ved afstemning.

Udtalelsen optages i mødeprotokollen; derudover har hver medlemsstat ret til at anmode om, at dens holdning indføres i mødeprotokollen.

Kommissionen tager størst muligt hensyn til udvalgets udtalelse. Den underretter udvalget om, hvorledes den har taget hensyn til dets udtalelse.

Artikel 10

Høring

Udvalget høres i nødvendigt omfang om kravene til certificeringstjenesteudbydere i bilag II og om alment anerkendte standarder for elektronisk signatur-produkter, jf. artikel 3, stk. 3.

Artikel 11

Underretning

1. Medlemsstaterne meddeler Kommissionen følgende oplysninger:

a) oplysninger om frivillige nationale akkrediteringsordninger, herunder alle supplerende krav i henhold til artikel 3, stk. 4

b) navn og adresse på nationale akkrediterings- og tilsynsorganer

c) navn og adresse på akkrediterede nationale certificeringstjenesteudbydere.

2. Alle oplysninger i henhold til stk. 1 samt ændringer heraf meddeles af medlemsstaterne snarest muligt.

Artikel 12

Revisionsprocedurer

1. Kommissionen foretager en vurdering af, hvordan dette direktiv fungerer, og aflægger rapport herom til Europa-Parlamentet og Rådet senest den 31. december 2002.

2. I vurderingen tages der bl.a. stilling til, om direktivets anvendelsesområde under hensyn til den teknologiske og retlige udvikling bør ændres. Rapporten skal på grundlag af de indhøstede erfaringer navnlig omfatte en bedømmelse af harmoniseringsaspekterne. Rapporten ledsages om fornødent af forslag til supplerende retsforskrifter.

Artikel 13

Gennemførelse

1. Medlemsstaterne sætter de nødvendige love og administrative bestemmelser i kraft for at efterkomme dette direktiv senest den 31. december 2000. De underretter straks Kommissionen herom.

Når medlemsstaterne vedtager disse love og administrative bestemmelser, skal de indeholde en henvisning til dette direktiv, eller de skal ved offentliggørelsen ledsages af en sådan henvisning. De nærmere regler for denne henvisning fastsættes af medlemsstaterne.

2. Medlemsstaterne meddeler Kommissionen teksten til de nationale retsforskrifter, som de udsteder på det område, der er omfattet af dette direktiv og på beslægtede områder.

Artikel 14

Ikrafttrædelse

Dette direktiv træder i kraft på tyvendedagen efter offentliggørelsen i De Europæiske Fallesskabers Tidende.

Artikel 15

Adressater

Dette direktiv er rettet til medlemsstaterne.

(1) KOM(97) 157 endelig udg.

(2) KOM(97) 503 endelig udg.

(3) EFT L 95 af 21.4.1993, s. 29.

(4) EFT L 281 af 23.11.1995, s. 31.

(5) EFT L 24 af 30.1.1998, s. 1.

BILAG I

KRAV TIL AUTORISEREDE CERTIFIKATER

Autoriserede certifikater skal indeholde:

a) den udstedende certificeringstjenesteudbyders identifikator

b) indehaverens entydige navn eller entydige pseudonym; i sidstnævnte tilfælde skal det fremgå, at der er tale om et pseudonym

c) særlige oplysninger om indehaveren, som f.eks. vedkommendes adresse, prokura i en virksomhed, kreditværdighed, moms- eller skatteregistreringsnummer, eventuelle betalingsgarantier eller bestemte tilladelser eller fuldmagter

d) et signaturkontrolsystem, som svarer til signaturgenereringssystemet, som er under indehaverens kontrol

e) certifikatets ikrafttrædelses- og udløbsdato

f) certifikatets unikke identifikationskode

g) den udstedende certificeringstjenesteudbyders elektroniske signatur

h) eventuelle begrænsninger i certifikatets anvendelsesområde

i) eventuelle begrænsninger i certificeringstjenesteudbyderens hæftelse og i værdien af de transaktioner, for hvilke certifikatet er gyldigt.

BILAG II

KRAV TIL CERTIFICERINGSTJENESTEUDBYDERE

Certificeringstjenesteudbydere skal/må:

a) udvise den fornødne pålidelighed til at kunne udbyde certificeringstjenester

b) have en hurtig og sikker tilbagekaldelsesservice

c) med hensigtsmæssige midler kontrollere de personers identitet og bemyndigelser, til hvem der udstedes autoriserede certifikater

d) beskæftige personale med de(n) ekspertviden, erfaring og kvalifikationer, som de tilbudte tjenesteydelser kræver, navnlig ledelseskompetence, sagkundskab inden for elektronisk signatur-teknologi og indgående kendskab til korrekte sikkerheds-procedurer; de skal også anvende adækvate administrative og ledelsesmæssige procedurer og processer, som overholder anerkendte standarder

e) anvende pålidelige systemer og elektronisk signatur-produkter, som er sikret mod at blive ændret på en sådan måde, at de kan anvendes til andre end deres oprindelige formål; de skal også anvende elektronisk signatur-produkter, som garanterer de af disse produkter understøttede certificeringsprocessers tekniske og kryptografiske sikkerhed

f) træffe foranstaltninger imod forfalskning af certifikater, og, hvis certificeringstjenesteyderen genererer private kryptografiske signaturnøgler, garantere fortrolighed under genereringsprocessen

g) til stadighed have tilstrækkelige økonomiske ressourcer til at drive virksomheden i overensstemmelse med dette direktivs krav, navnlig til at løfte erstatningsansvaret, f.eks. ved at tegne en passende forsikring

h) registrere alle relevante oplysninger om autoriserede certifikater i en rimelig periode, navnlig for at kunne fremlægge bevis for certificering, når det er påkrævet i retssager. Denne registrering kan ske elektronisk

i) ikke opbevare eller kopiere de personers private kryptografiske signaturnøgler, som certificeringstjenesteyderen har tilbudt nøglehåndteringstjenester, medmindre disse udtrykkelig anmoder herom

j) skriftligt informere forbrugere, der ønsker at indgå en aftale, i et umiddelbart forståeligt sprog og under anvendelse af et bestandigt kommunikationsmedium om de nøjagtige vilkår for anvendelsen af certifikatet, herunder eventuelle begrænsninger i hæftelse, en eventuel frivillig akkreditering og procedurer for klager og bilæggelse af tvister.