Advies van het Economisch en Sociaal Comité over het "Voorstel voor een richtlijn van het Europees Parlement en van de Raad betreffende een gemeenschappelijk kader voor elektronische handtekeningen"

(1999/C 40/10)

De Raad heeft op 30 juli 1998 besloten, overeenkomstig artikel 100 A van het Verdrag tot oprichting van de Europese Gemeenschap het Economisch en Sociaal Comité te raadplegen over het voornoemde voorstel.

De Afdeling "Interne markt, productie en consumptie", die met de voorbereiding van de desbetreffende werkzaamheden was belast, heeft haar advies op 28 oktober 1998 goedgekeurd. Rapporteur was de heer Burani.

Het Economisch en Sociaal Comité heeft tijdens zijn 359e Zitting (vergadering van 2 december 1998) het volgende advies uitgebracht, dat met algemene stemmen is goedgekeurd.

1. Inleiding

1.1. Met onderhavig richtlijnvoorstel inzake een normatief rechtskader voor elektronische handtekeningen geeft de Commissie concreet gevolg aan haar Mededeling "Zorgen voor veiligheid van en vertrouwen in elektronische communicatie - Naar een Europees kader voor digitale handtekeningen en encryptie" ().

1.2. In deze Mededeling wees de Commissie op het ontstaan van een situatie die de Europese autoriteiten niet onverschillig mag laten, nl. dat de regulering van elektronische handtekeningen door lid-staten op verschillende manieren is of wordt aangepakt. Het ontbreken van wederzijdse erkenning kan tot versnippering van de interne markt voor elektronische handel en on line-diensten in de EU leiden. Het is derhalve hoog tijd dat er een gemeenschappelijk kader wordt uitgewerkt dat aan twee essentiële eisen voldoet: enerzijds moeten de juridische randvoorwaarden nauwkeurig worden afgebakend, anderzijds dienen zij flexibel genoeg te zijn om rekening te kunnen houden met de voortdurende technologische ontwikkelingen.

1.3. In zijn advies () over deze Mededeling stemde het Comité in met de overwegingen van de Commissie en formuleerde het voorstellen voor een wetgevingsaanpak waarbij het zelfregulerings- en het subsidiariteitsbeginsel in acht worden genomen binnen nauwkeurig vastgelegde grenzen van gemeenschappelijke minimumnormen. In zijn advies over de latere Commissiemededeling "Mondialisering en de informatiemaatschappij - De behoefte aan een versterking van de internationale coördinatie" () wees het Comité erop dat de pogingen om tot een geharmoniseerd Europees rechtskader te komen dat is aangepast aan wat er wereldwijd gebeurt - noodzakelijk om de veiligheid van de elektronische handel, die van nature geen grenzen kent, te garanderen - te traag verlopen doordat er een veelheid van niet op elkaar afgestemde initiatieven bestaat.

1.4. Het besluit van de Commissie om een richtlijnvoorstel in te dienen gaat in de gewenste richting, vooral omdat hieruit een streven spreekt naar flexibiliteit, die met het oog op internationale coördinatie noodzakelijk is.

2. Algemene opmerkingen

2.1. Aan de hand van een elektronische handtekening kan de ontvanger van elektronisch verzonden gegevens de oorsprong van die gegevens nagaan ("authenticiteit") en controleren of de gegevens volledig zijn en niet zijn veranderd ("integriteit"). Verificatie van authenticiteit en integriteit van de gegevens houdt echter niet automatisch een bewijs in van de identiteit van de afzender die de elektronische handtekening heeft aangemaakt; daarvoor is de bevestiging nodig van derden, die "certificatiedienstverleners" worden genoemd. Gebruikmaking van een systeem voor certificering van handtekeningen is absoluut noodzakelijk om contracterende partijen zekerheid te bieden en voor vertrouwen in de elektronische handel te zorgen.

2.2. Om wederzijdse erkenning van de rechtszekerheidsbeginselen die aan de certificering van elektronische handtekeningen ten grondslag liggen te garanderen, heeft de Commissie gekozen voor een benadering die is afgestemd op een situatie die aan voortdurende ontwikkelingen onderhevig is:

- de regeling is uit technisch oogpunt neutraal en beslaat verschillende authentificatiemechanismen, waaronder cryptografie met openbare sleutels; voorts is rekening gehouden met de mogelijkheid dat er nieuwe systemen ontstaan;

- de lid-staten zouden geen regelingen mogen uitwerken waarbij de verlening van certificatiediensten aan voorafgaande machtiging wordt onderworpen; wel zou het zinvol kunnen zijn vrijwillige accrediteringsregelingen uit te werken;

- de richtlijn geldt uitsluitend voor elektronische handtekeningen op documenten die worden uitgewisseld op open netwerken; wat gesloten netwerken betreft, wordt aan de afzonderlijke dienstverleners overgelaten of zij de richtlijn al dan niet willen naleven;

- om de wettelijke erkenning van elektronische handtekeningen te kunnen garanderen, is het zaak dat de essentiële eisen voor en de aansprakelijkheid van dienstverleners duidelijk worden omschreven.

2.3. Het Comité onderschrijft deze algemene aanpak, die gebaseerd is op de beginselen van de vrije markt, maar vindt dat te weinig aandacht is geschonken aan de bescherming van de gebruikers. Daarom wil het een aantal kanttekeningen bij het Commissiedocument plaatsen en enkele suggesties doen.

2.4. De Commissie merkt op dat er thans "vele activiteiten en besprekingen" () lopen over plaatsing van de Europese regelgeving in de mondiale context. Zij noemt onder meer de initiatieven van UNCITRAL, OESO en WTO. Zoals reeds door het Comité is uiteengezet (), blijkt uit deze - op zich prijzenswaardige - initiatieven dat er een reëel gevaar bestaat dat de taakverdeling van dergelijke organisaties elkaar overlapt en dat hun werkzaamheden resulteren in regelingen die identiek of, erger nog, met elkaar in tegenspraak zijn. Uiteindelijk vertaalt dit alles zich in bureaucratische rompslomp, vertragingen en kosten waarvoor de belastingbetaler moet opdraaien. De pogingen van de mondiale organisaties om met grote haast alles te regelen, sorteren een averechts effect: zij leiden slechts tot verwarring en onduidelijkheid. Het Comité betreurt dit.

3. Bijzondere opmerkingen over het richtlijnvoorstel

3.1. Artikel 1

Met de richtlijn wordt beoogd, een wettelijk kader te scheppen voor openbaar toegankelijke certificatiediensten, teneinde het gebruik van elektronische handtekeningen te vereenvoudigen en de wettelijke erkenning daarvan te waarborgen. Zij heeft geen betrekking op aspecten die verband houden met het afsluiten en de geldigheid van contracten. Uit artikel 1 en de tiende considerans blijkt dat de richtlijn alleen op open systemen van toepassing is; voor gesloten systemen laat de Commissie de partijen vrij om onderling afspraken te maken over de voorwaarden waaronder elektronische handtekeningen aanvaard en erkend worden.

3.1.1. Het Comité plaatst in dit verband enkele kanttekeningen: de opzet, waarbij de vrijheid van contractsluiting wordt gerespecteerd, is weliswaar lovenswaardig, maar er zij op gewezen dat er ook gesloten systemen bestaan die toegankelijk zijn voor een steeds groter publiek, dat niet altijd noodzakelijkerwijs op de hoogte is van de voorschriften die er voor ieder systeem gelden. Een gesloten systeem kan weliswaar aan de richtlijnvoorschriften worden onderworpen, maar het Comité vraagt zich af of het - in het belang van de gebruikers en de beheerders van de gesloten systemen - niet gewoon verstandiger zou zijn het toepassingsgebied van de richtlijn tot voor het publiek toegankelijke gesloten systemen uit te breiden.

3.2. Artikel 3, lid 1 en 2

De lid-staten mogen het verlenen van certificatiediensten niet aan een regeling inzake voorafgaande machtiging onderwerpen; wel mogen zij vrijwillige accreditatieregelingen invoeren of in stand houden, zonder evenwel het aantal dienstverleners te beperken.

3.2.1. Het Comité beveelt aan om goed na te denken over de reikwijdte van deze bepalingen. De certificatiefunctie is niet alleen van waarde tussen de partijen, maar ook eventueel ten opzichte van derden. Onverminderd het vrijwillige karakter van het accrediteringsverzoek moet er - zoals hieronder zal worden verduidelijkt - een helder onderscheid gemaakt kunnen worden tussen certificaten van geaccrediteerde en van niet-geaccrediteerde dienstverleners. In lid 2 van artikel 5 moet nauwkeurig worden bepaald dat de geldigheid van elektronische handtekeningen, die (in gerechtelijke en buitengerechtelijke procedures) als juridisch bewijsmiddel gebruikt mogen worden, uitsluitend tegenover derden kan worden ingeroepen als zij gebaseerd is op een certificaat dat door een geaccrediteerde dienstverlener is afgegeven.

3.2.2. De huidige situatie geeft vooralsnog geen aanleiding tot bezorgdheid, maar in wetgeving moet altijd rekening worden gehouden met onvoorspelbare toekomstige ontwikkelingen. Momenteel bestaat er nog maar een klein aantal dienstverleners, die bovendien goed bekend zijn, maar in geval van "banalisering" van de authentificatietechnieken zouden er wel eens heel veel bij kunnen komen. Het is aanvaardbaar dat het aantal certificatiedienstverleners niet mag worden beperkt, maar het is niet wenselijk dat zij worden vrijgesteld van voorafgaande controle en van accreditering. In het belang van de gebruikers en van derden dient derhalve te worden vastgelegd dat de overheid moet controleren of dienstverleners die werkzaam zijn in open systemen of in voor het publiek toegankelijke gesloten systemen, voldoen aan de "eisen voor certificatiedienstverleners" die in Bijlage II zijn opgesomd.

3.2.3. Accreditering van certificatiedienstverleners onder verantwoordelijkheid van de overheid zou moeten afhangen van inachtneming van de eisen van Bijlage II. Dit is een noodzakelijke voorwaarde, maar er is meer nodig. Om er namelijk zeker van te zijn dat ook naderhand nog aan genoemde eisen wordt voldaan, dient een periodieke controle te worden ingesteld. De overheden mogen hun verantwoordelijkheden niet uit de weg gaan: als een regeling eenmaal is goedgekeurd, moeten zij er ook voor zorgen worden dat die wordt nageleefd.

3.3. Artikel 3, lid 4

Op grond van deze bepaling mogen de lid-staten voor het gebruik van elektronische handtekeningen in de openbare sector aanvullende eisen stellen.

3.3.1. Het Comité gaat hiermee akkoord, maar vraagt zich af of het niet beter zou zijn een stap verder te gaan door te bepalen dat in lid-staten die elektronische handtekeningen in de privésector als geldig erkennen, ook elektronische handtekeningen in de overheidssector worden geaccepteerd. Als de overheid - die tot taak heeft voor rechtszekerheid te zorgen en de eigen burgers te beschermen - besluit om de rechtsgeldigheid van elektronische handtekeningen in verrichtingen tussen particulieren te erkennen, dan valt niet in te zien waarom zij niet dezelfde houding zou aannemen m.b.t. het verkeer met de overheid, zelfs als daar "aanvullende eisen" voor nodig zijn.

3.4. Artikel 4

In dit artikel is bepaald dat de lid-staten, overeenkomstig de regels van de interne markt, geen beperkingen mogen opleggen ten aanzien van de levering van certificatiediensten die uit een andere lid-staat afkomstig zijn.

3.4.1. Het Comité merkt op dat deze bepaling weliswaar strookt met de beginselen van de interne markt, maar het publiek niet beschermt tegen de levering van diensten door niet-geaccrediteerde operators uit andere lid-staten. Voor gebruikers is het sowieso al lastig om geaccrediteerde en niet-geaccrediteerde operators uit eigen land van elkaar te onderscheiden. Als de dienstverlener in een derde land gevestigd is, wordt dat nog moeilijker. Hier is sprake van een duidelijke analogie met de bij de tweede Bankrichtlijn gevolgde benadering: de vrijheid van dienstverlening geldt uitsluitend voor de instellingen die onder de richtlijn vallen; voor de andere instellingen blijft het verrichten van (financiële) diensten beperkt tot het land van herkomst.

3.4.2. In onderhavig geval zouden elektronische handtekeningen, onverminderd het vrije verkeer van de "producten voor elektronische handtekeningen", alleen in gerechtelijke en buitengerechtelijke procedures als bewijsmiddel gebruikt mogen worden als het certificaat door een geaccrediteerde instantie is afgegeven.

3.5. Artikel 5

De lid-staten dienen in hun wetgeving bepalingen op te nemen op grond waarvan het onmogelijk wordt een elektronische handtekening afdwingbaarheid, rechtsgevolgen of rechtsgeldigheid te ontzeggen louter en alleen omdat die handtekening in elektronische vorm is gegoten of niet op een certificaat van een geaccrediteerde dienstverlener is gebaseerd. Voorts moeten zij ervoor zorgen dat de door een geaccrediteerde dienstverlener gecertificeerde handtekeningen juridisch dezelfde waarde hebben en in gerechtelijke procedures op dezelfde wijze als bewijsmiddel worden toegelaten als handgeschreven handtekeningen.

3.5.1. Het Comité vestigt de aandacht van de Commissie op een overweging die de relevantie van hetgeen hierboven in de paragrafen 3.4.1 en 3.4.2 is opgemerkt, kracht zou moeten bijzetten: het enige verschil tussen een door een geaccrediteerde operator gecertificeerde handtekening en een door een niet-geaccrediteerde operator gecertificeerde handtekening, ligt in de bewijskracht van de certificering. In dit verband zou het goed zijn, de niet geheel duidelijke tekst van lid 2 van artikel 5 anders te formuleren. Volgens de huidige formulering moeten de lid-staten certificaten die door "een aan de in bijlage II genoemde eisen beantwoordende certificatiedienstverlener" zijn afgegeven, in gerechtelijke procedures als bewijsmiddel toelaten. Hierdoor zou de indruk kunnen ontstaan dat iedere dienstverlener die aan de eisen van bijlage II voldoet, certificaten kan afgeven die in gerechtelijke procedures bewijskracht hebben. Als dit niet de bedoeling is, moet bovengenoemde zinsnede worden vervangen door "een geaccrediteerde dienstverlener", een formulering die niet voor tweeërlei uitleg vatbaar is.

3.5.2. Bovendien wordt - in aansluiting op wat in paragraaf 3.4.2 is opgemerkt - niets gezegd over de bewijskracht van een certificaat dat is afgeleverd door een operator die in een derde land is geaccrediteerd; ook hierover zouden in de richtlijn duidelijke bepalingen moeten worden opgenomen. Het Comité stelt voor, dergelijke certificaten toe te staan op voorwaarde dat het derde land in kwestie op gelijke wijze omgaat met certificaten van in de EU gevestigde dienstverleners.

3.6. Artikel 6

Dit artikel bevat een aantal verplichtingen voor de certificatiedienstverlener op het gebied van aansprakelijkheid: hij moet erop toezien dat de gegevens juist zijn, dat de richtlijnvoorschriften in acht worden genomen en dat houder en certificateur aan de technische en technologische geschiktheidseisen voldoen. Voorts is in dit artikel bepaald dat een certificatiedienstverlener niet aansprakelijk is voor fouten in de oorspronkelijke gegevens, en dat er grenzen gesteld kunnen worden aan het gebruik van het certificaat en aan de waarde van de transacties waarvoor het certificaat geldig is.

3.6.1. Het Comité acht de inhoud van dit artikel in overeenstemming met de algemene rechtsbeginselen en met het beginsel van vrijheid van contractsluiting. Het wil hierbij echter wel een kanttekening plaatsen, of liever gezegd een vraag stellen: hoe zit het met de aansprakelijkheid van de certificatiedienstverlener en met de garanties voor de gebruiker als de dienstverlening onderbroken of stopgezet wordt? Er zou op de een of andere manier een systeem moeten bestaan om de rechten van de gebruikers blijvend te kunnen beschermen, b.v. door de verplichting back-ups te maken die, met bepaalde garanties, bij derden in bewaring worden gegeven.

3.7. Artikel 7, lid 1

Dit artikel bevat voorschriften inzake certificatiedienstverleners die in derde landen zijn gevestigd. De door hen afgegeven certificaten worden als juridisch gelijkwaardig aan Europese certificaten erkend wanneer de certificatiedienstverlener in een lid-staat geaccrediteerd is in het kader van een in dat land bestaande vrijwillige accreditatieregeling, wanneer het certificaat gegarandeerd wordt door een in een andere lid-staat gevestigde dienstverlener, of wanneer het certificaat of de certificatiedienstverlener in het kader van een bi- of multilaterale overeenkomst tussen de Gemeenschap en derde landen of internationale organisaties is erkend.

3.7.1. Het Comité is het met geen van deze voorschriften eens. In naam van het vrije verkeer wordt voorbijgegaan aan de beginselen van wederkerigheid, die aan de mondiale integratie van de handel - en niet uitsluitend de elektronische handel - ten grondslag zouden moeten liggen. De in lid 1 van artikel 7 aangegeven richtsnoeren - met name die betreffende accreditering in een lid-staat van dienstverleners uit derde landen, en die betreffende de garanties die door een Europese dienstverlener gegeven worden voor een certificaat dat door een derde land is afgegeven - zijn aanvaardbaar, mits dienstverleners en certificaten uit alle EU-lid-staten door het derde land op analoge of gelijkwaardige wijze behandeld worden.

3.7.2. Met betrekking tot erkenning van een certificaat of een dienstverlener uit een derde land op grond van een bilaterale overeenkomst met een lid-staat, merkt het Comité op dat vaststelling van een dergelijke regel tot concurrentiedistorsies tussen lid-staten zal leiden, in het bijzonder tussen landen met "liberalere" regelingen en andere landen. Het vrije verkeer van diensten mag niet gebruikt worden als een paard van Troje om operators of producten uit derde landen op grond van een bilateraal akkoord met slechts één lid-staat in de EU binnen te brengen.

3.7.3. Ter verdediging van het tegenovergestelde standpunt kan niet worden aangevoerd dat er bepaalde precedenten bestaan, zoals die welke uit de tweede Bankrichtlijn voortvloeien: in het kader van deze richtlijn oefent de lid-staat die als "gastheer" optreedt namelijk voortdurend controle uit en staat hij garant voor de soliditeit en de solvabiliteit van het uit het derde land afkomstige bedrijf, dat hoe dan ook fysiek aanwezig dient te zijn op zijn grondgebied; hierbij is dus sprake van voorwaarden waaraan in het geval van de garanties betreffende elektronische handtekeningen allesbehalve is voldaan.

3.8. Artikel 8

De in dit artikel genoemde voorschriften geven geen aanleiding tot specifiek commentaar, met uitzondering van de bepalingen in lid 4 over het gebruik van pseudoniemen. Desgevraagd moet de dienstverlener de gegevens over de identiteit van de houder van het pseudoniem met instemming van de houder zelf aan de overheid kunnen overleggen. Het richtlijnvoorstel geeft geen antwoord op de vraag naar de positie van de dienstverlener ingeval de pseudoniemhouder geen toestemming geeft om zijn identiteit aan de overheid bekend te maken.

3.8.1. Het tweede deel van lid 4 van artikel 8 roept eveneens vragen op. Wanneer de nationale wetgeving vereist - in het geval van een onderzoek naar strafbare feiten m.b.t. het gebruik van elektronische handtekeningen onder een pseudoniem - dat de dienstverlener de identiteitsgegevens van de persoon in kwestie bekend maakt, wordt deze daarvan na afronding van het onderzoek op de hoogte gesteld.

3.8.2. Het Comité vraagt zich af of het wel verstandig is zo ver in detail te treden: als het onderzoek voltooid is, weet de persoon in kwestie immers allang dat zijn gegevens bekend zijn gemaakt. Deze regel lijkt dus overbodig. Verder wijst het erop dat wanneer het begrip "nationale wetgeving" wordt gebruikt, duidelijk moet worden aangegeven om welke nationale wetgeving het gaat: die van het land van de dienstverlener, hetgeen waarschijnlijk is, of die van het land van de pseudoniemhouder (ervan uitgaande dat dat bekend is), of die van de overheid van een andere lid-staat. Daar wij ons hier - niet uitdrukkelijk maar wel duidelijk - op het terrein van de criminaliteitsbestrijding bevinden, zou in de richtlijn nauwkeuriger moeten worden aangegeven welke procedures gevolgd moeten worden en wat de rechten en plichten van de dienstverleners zijn.

3.8.3. Alles in aanmerking genomen vraagt het Comité zich af of het niet verstandiger zou zijn de tekst van het gehele artikel te herzien en er hierin simpelweg op te wijzen dat de bepalingen van de richtlijnen over de bescherming van persoonsgegevens en de bestrijding van het witwassen van geld volledig van toepassing zijn; uiteindelijk bestaan er in dit opzicht geen verschillen tussen transacties op papier en transacties langs elektronische weg.

3.9. Artikelen 9 en 10

Deze artikelen gaan over de oprichting van een "Comité voor elektronische handtekeningen", bestaande uit vertegenwoordigers van de lid-staten en voorgezeten door een vertegenwoordiger van de Commissie. Dit comité wordt geraadpleegd over de eisen voor certificatiedienstverleners, alsmede over normen voor de productie van elektronische handtekeningen. Het wordt door de Commissie ingelicht over de uitkomsten van de periodieke ontmoetingen van de Commissie met bedrijven, gebruikers en consumenten.

3.9.1. Het Comité neemt nota van dit initiatief, maar vraagt zich af of zo'n comité wel echt nodig is; op grond van haar institutionele taken kan de Commissie namelijk heel goed zelf de lid-staten en de betrokken partijen raadplegen. Daarvoor is geen tussenliggende instantie nodig met bevoegdheden die de Commissie zelf ook heeft. Bovenal gaat het hierbij om een werkwijze die de Commissie normaal gesproken ook al hanteert. Er valt derhalve niet in te zien waarom een dergelijke verzwaring van de administratieve procedure, die volgens het Comité de efficiency niet ten goede komt, noodzakelijk zou zijn.

3.10. Artikelen 12 en 13

In deze twee artikelen, die wat logica en chronologie betreft in de verkeerde volgorde lijken te staan, is bepaald dat de richtlijn uiterlijk 31 december 2000 door de lid-staten moet zijn omgezet en dat de Commissie uiterlijk 31 december 2002 voor de eerste keer bij het Europees Parlement en de Raad verslag uitbrengt over de werking van de richtlijn. Het Comité heeft er herhaaldelijk op gewezen () dat er voor het zeer brede gebied van de informatiemaatschappij dringend behoefte is aan uniforme wetgeving. Men kan zich afvragen of de lid-staten werkelijk zo veel tijd moet worden gegeven om aan de richtlijn te voldoen, temeer daar verscheidene lid-staten met grote ijver in zeer korte tijd eigen wetgeving hebben ingevoerd. De invoering van - feitelijk maar een klein aantal - harmonisatiemaatregelen zou van de nationale wetgevers niet al te veel tijd en inspanning moeten vragen. Naar het oordeel van het Comité is een periode van één jaar vanaf de datum van goedkeuring van de richtlijn voldoende om eventuele - bescheiden - wijzigingen op de bestaande regels door te voeren of nieuwe teksten op te stellen.

Brussel, 2 december 1998.

De voorzitter van het Economisch en Sociaal Comité

B. RANGONI MACHIAVELLI

() COM(97) 503 def. van 8.10.1997.

() ESC-advies 443/98 van 25 maart 1998: PB C 157 van 25.5.1998.

() PB C 284 van 14.9.1998.

() zie COM(98) 297 def., punt 7.

() PB C 284 van 14.9.1998.

() PB C 284 van 14.9.1998; PB C 157 van 25.5.1998; PB C 19 van 21.1.1998.