Parecer do Comité Económico e Social sobre a «Proposta de directiva do Parlamento Europeu e do Conselho relativa a um quadro comum para as assinaturas electrónicas»

(1999/C 40/10)

Em 30 de Julho de 1998, o Conselho decidiu, em conformidade com o artigo 100.°-A do Tratado que institui a Comunidade Europeia, consultar o Comité Económico e Social sobre a proposta supramencionada.

A Secção do Mercado Único, Produção e Consumo, incumbida de preparar os correspondentes trabalhos, emitiu parecer em 28 de Outubro de 1998. Foi relator U. Burani.

Na 359.a reunião plenária realizada em 2 de Dezembro de 1998, o Comité Económico e Social adoptou por unanimidade o seguinte parecer.

1. Introdução

1.1. A iniciativa da Comissão de apresentar uma proposta de directiva sobre o quadro regulamentar e jurídico das assinaturas electrónicas constitui o seguimento concreto da comunicação intitulada «Garantir a segurança e a confiança nas comunicações electrónicas - contribuição para a definição de um quadro europeu para as assinaturas digitais e a cifragem» ().

1.2. Na sua comunicação, a Comissão punha em evidência o surgimento de uma situação que exige a atenção das autoridades europeias: alguns Estados-Membros adoptaram, ou estão a adoptar, abordagens diferentes em matéria de regulamentação das assinaturas electrónicas. A inexistência de reconhecimento mútuo é susceptível de provocar a fragmentação do mercado interno do comércio electrónico e dos serviços em linha na União Europeia. Torna-se, assim, urgente definir um quadro comum no respeito de dois requisitos principais: criação de um quadro jurídico preciso e flexibilidade suficiente para evitar dar a esta matéria um enquadramento que não tenha em conta a contínua evolução da técnica.

1.3. O Comité Económico e Social concordou com as considerações da Comissão (), avançando propostas de uma abordagem regulamentar respeitadora dos princípios de auto-regulamentação e de subsidiariedade dentro dos limites muito precisos de uma legislação comum. Comentando uma posterior comunicação da Comissão sobre «A Globalização e a Sociedade da Informação - Necessidade de reforçar a coordenação internacional» (), o Comité salientou, todavia, que a harmonização de um quadro jurídico europeu com o resto do mundo - necessária se se quiser proporcionar segurança a um comércio electrónico que, pela sua natureza, não conhece fronteiras - avança com demasiada lentidão devido a uma multiplicidade de iniciativas não coordenadas.

1.4. A decisão da Comissão de apresentar uma proposta de directiva é uma iniciativa no bom sentido, sobretudo porque revela a flexibilidade necessária com vista à coordenação internacional.

2. Observações na generalidade

2.1. A assinatura electrónica permite que o receptor de dados enviados electronicamente verifique a origem dos mesmos (autenticidade) e confirme que os dados originais estão completos e inalterados (integridade). A verificação da autenticidade e da integridade dos dados não prova necessariamente a identidade do signatário que criou a assinatura electrónica; é necessária a confirmação por terceiros, designados «fornecedores de serviços de certificação». A utilização do sistema de certificação das assinaturas torna-se, pois, um meio indispensável para proporcionar segurança às partes contratantes e promover a confiança no comércio electrónico.

2.2. Para assegurar o reconhecimento mútuo dos princípios de segurança jurídica que estão na base da certificação das assinaturas electrónicas, a Comissão inspirou-se em conceitos coerentes com uma situação em constante evolução:

- a regulamentação é neutra do ponto de vista técnico e está aberta a mecanismos de autenticação diferentes da criptografia de chaves públicas; teve-se em conta o possível surgimento de novos sistemas;

- os Estados-Membros devem evitar adoptar regimes de autorização prévia dos fornecedores de serviços de certificação; todavia, poderá revelar-se útil a adopção de regimes de acreditação facultativa;

- a directiva diz apenas respeito às assinaturas electrónicas contidas em mensagens trocadas em redes abertas; quanto às redes fechadas, os fornecedores de serviços terão a faculdade de a respeitar ou não;

- a necessidade de assegurar o reconhecimento jurídico das assinaturas electrónicas impõe que se precisem os requisitos essenciais e as responsabilidades dos fornecedores de serviços.

2.3. O Comité concorda com esta abordagem geral, que se inspira nos princípios de um mercado livre. Considera, porém, que não foi dedicada suficiente atenção à protecção dos utilizadores. Reserva-se, pois, o direito de formular observações ou apresentar sugestões no decurso da análise do documento da Comissão.

2.4. No que concerne à inserção da regulamentação europeia num contexto mundial, a comunicação frisa que «estão em curso muitas actividades e debates» (), aludindo nomeadamente às iniciativas da UNCITRAL, da OCDE e da OMC. Como já foi sublinhado pelo Comité (), estas iniciativas - louváveis em si mesmas - demonstram que existe um risco concreto de sobreposição de competências entre as instituições e de duplicações - ou, pior ainda, de contradições - entre as diversas regulamentações. Em última análise, tudo isto se traduz em lentidão burocrática, atrasos e custos para o contribuinte. Ao pretenderem tudo fazer de imediato, as instituições mundiais estão a obter o efeito oposto, criando confusão e incerteza. É com mágoa que o Comité o constata.

3. Observações na especialidade sobre a proposta de directiva

3.1. Artigo 1.°

A directiva visa criar um quadro jurídico para os serviços de certificação acessíveis ao público: facilitar a utilização das assinaturas electrónicas e assegurar o seu reconhecimento jurídico. Não cobre outros aspectos ligados à conclusão e à validade dos contratos. À luz das disposições deste artigo e dos esclarecimentos contidos no décimo «considerando», a directiva apenas se aplica aos sistemas abertos. No que respeita aos sistemas fechados, a Comissão confere às partes a faculdade de acordarem entre si as condições em que a assinatura electrónica será aceite e reconhecida.

3.1.1. O Comité expressa algumas dúvidas a este respeito: se, por um lado, esta abordagem, que respeita a liberdade contratual, é louvável, não se pode, por outro lado, deixar de salientar que certos sistemas fechados estão abertos a um público cada vez mais vasto que não está necessariamente ao corrente das normas de cada sistema. É verdade que um sistema fechado tem a faculdade de se submeter às normas da directiva. O Comité interroga-se, todavia, sobre se não seria mais prudente - no próprio interesse dos utilizadores e dos gestores de sistemas fechados - alargar o âmbito de aplicação da directiva aos sistemas fechados acessíveis ao público.

3.2. Artigo 3.°, n.os 1 e 2

Os Estados-Membros não podem submeter a prestação de serviços de certificação a um regime de autorização prévia. Podem, contudo, instaurar ou manter regimes facultativos de acreditação, mas sem limitar o número de fornecedores de serviços.

3.2.1. O Comité propõe que se reflicta seriamente sobre o alcance destas disposições. A função de certificação é válida não apenas entre as partes como também, se necessário, perante terceiros. Sendo ponto assente o «carácter voluntário» do pedido de acreditação, dever-se-ia prever - como melhor se precisará a seguir - a possibilidade de se fazer uma distinção clara entre os actos certificados por fornecedores de serviços de certificação acreditados e não acreditados. O n.° 2 do artigo 5.° deveria preceituar com precisão que a validade das assinaturas electrónicas admitidas como prova em juízo (processos judiciais e extra-judiciais) apenas é oponível a terceiros se apoiada num certificado emitido por um fornecedor de serviços de certificação acreditado.

3.2.2. A situação actual não suscita grandes motivos de preocupação. Todavia, a legislação não pode ignorar as imprevisíveis evoluções futuras. Os escassos e bem conhecidos fornecedores de hoje poderão multiplicar-se em consequência da possível «banalização» das técnicas de autenticação. Se é aceitável que o número de certificadores não seja limitado, não é desejável que fiquem isentos de controlo prévio e de acreditação. No interesse dos utilizadores e de terceiros, afigura-se assim necessário estabelecer que os «requisitos aplicáveis aos fornecedores de serviços de certificação» enumerados no Anexo II deverão ser controlados por uma autoridade pública quando os fornecedores em questão operem em sistemas abertos ou em sistemas fechados acessíveis ao público.

3.2.3. A acreditação dos fornecedores de serviços sob a responsabilidade das autoridades públicas deveria ser condicionada ao cumprimento dos requisitos enumerados no Anexo II. É uma condição necessária mas não suficiente: importa assegurar que tais requisitos continuarão a ser cumpridos, preceituando-se para tanto uma verificação periódica. As autoridades públicas não podem eximir-se das suas responsabilidades: uma vez adoptada uma regulamentação, cabe-lhes assegurar que a mesma será respeitada.

3.3. Artigo 3.°, n.° 4

Com esta disposição, dá-se aos Estados-Membros a possibilidade de admitirem a utilização da assinatura electrónica no sector público, eventualmente submetendo-a a requisitos adicionais.

3.3.1. O Comité expressa o seu acordo. Interroga-se, contudo, sobre se não seria de ir mais longe, impondo a aceitação da assinatura electrónica no sector público dos Estados-Membros que reconhecem a sua validade no sector privado. Se as autoridades públicas - às quais cabe garantir a segurança dos institutos jurídicos e proteger os cidadãos - assumem a responsabilidade de reconhecer a validade jurídica de uma assinatura electrónica nos actos entre privados, não se vê razão para que não seja adoptada a mesma atitude nos actos entre privados e a administração pública, ainda que mediante a introdução de «requisitos adicionais».

3.4. Artigo 4.°

Este artigo, que versa sobre os princípios relativos ao mercado interno, preceitua que os Estados-Membros não podem restringir a oferta de serviços de certificação com origem noutro Estado-Membro.

3.4.1. O Comité salienta que a norma supracitada é certamente coerente com os princípios do mercado interno, mas não protege o público da prestação de serviços por operadores não acreditados de outros Estados-Membros. Se já é difícil para o utilizador distinguir entre operadores acreditados e não acreditados do seu próprio país, mais difícil se torna fazer essa distinção quando o fornecedor está estabelecido num país terceiro. Há aqui uma analogia evidente com a abordagem adoptada na segunda directiva bancária: a liberdade de prestação de serviços existe apenas para as instituições abrangidas pela directiva; quanto às restantes, a prestação de serviços (financeiros) circunscreve-se aos países de origem.

3.4.2. No caso em apreço, e sem prejuízo da liberdade de circulação dos produtos de assinatura electrónica, a sua admissibilidade nos processos judiciais e extra-judiciais apenas deveria ser reconhecida se a certificação fosse emitida por um organismo acreditado.

3.5. Artigo 5.°

Os Estados-Membros deverão introduzir na sua legislação normas que prevejam a impossibilidade de contestar a aplicabilidade, os efeitos ou a validade jurídica de uma assinatura electrónica apenas pelo facto de essa assinatura estar sob forma electrónica ou não se basear num certificado acreditado. Devem ainda assegurar que as assinaturas certificadas por um fornecedor de serviços de acreditação tenham o mesmo valor jurídico que as assinaturas manuscritas e sejam admitidas como prova em juízo.

3.5.1. O Comité chama a atenção da Comissão para uma consideração que deveria reforçar a validade das observações aduzidas nos pontos 3.4.1 e 3.4.2 precedentes: a única diferença entre assinaturas certificadas por operadores acreditados e não acreditados reside no valor probatório da certificação. A este propósito, o n.° 2 do artigo 5.° parece pouco claro e deveria ser revisto. Com efeito, este número preceitua que os Estados-Membros assegurarão que as assinaturas electrónicas baseadas num certificado qualificado emitido por um fornecedor de serviços de certificação «que cumpre os requisitos estabelecidos no Anexo II» sejam admitidas como prova em juízo. Daqui se poderia inferir que qualquer fornecedor de serviços de certificação, desde que cumpra os requisitos estabelecidos no Anexo II, pode emitir certificados válidos em juízo. Se não for essa a intenção, dever-se-á utilizar o termo inequívoco «fornecedor de serviços de certificação acreditado».

3.5.2. Acresce que - paralelamente às observações formuladas no ponto 3.4.2 - nada se diz acerca do valor probatório de uma certificação emitida por um operador acreditado num país terceiro. Também neste caso, a directiva deveria conter disposições precisas. O Comité, por seu lado, propõe que seja admitida uma certificação deste tipo, na condição de o país terceiro em questão conceder condições de reciprocidade aos certificados de residentes da União Europeia.

3.6. Artigo 6.°

Em matéria de responsabilidade, o artigo impõe diversas obrigações ao fornecedor de serviços de certificação: exactidão das informações, cumprimento dos requisitos da directiva e verificação do cumprimento dos requisitos técnicos e tecnológicos por parte do titular e do certificador. Estabelece simultaneamente as isenções de responsabilidade admitidas em caso de erros nas informações originais e a possibilidade de impor limites à certificação, quer no que concerne à sua utilização quer no que se refere ao montante certificado.

3.6.1. O Comité considera que as disposições deste artigo respeitam os princípios gerais do direito e a liberdade contratual. Deixa, porém, uma reflexão, ou antes, coloca uma questão: em caso de interrupção ou de cessação do serviço por parte do fornecedor de serviços de certificação, quais são as responsabilidades deste último e de que garantias goza o utilizador? Deveria existir um sistema que de algum modo assegurasse a continuidade da protecção dos direitos dos utilizadores, por exemplo, a obrigação de depositar cópias de reserva («back-up files») junto de terceiros com determinadas garantias.

3.7. Artigo 7.°, n.° 1

Este artigo contém prescrições relativas aos fornecedores estabelecidos num país terceiro. Os certificados por eles emitidos serão considerados juridicamente equivalentes aos certificados europeus, caso o fornecedor tenha sido acreditado no contexto de um regime de acreditação voluntária estabelecido por um Estado-Membro, se um fornecedor estabelecido num Estado-Membro garantir o certificado ou ainda se o certificado ou o fornecedor for reconhecido nos termos de um regime de acordo bilateral entre a Comunidade e países terceiros ou organizações internacionais.

3.7.1. O Comité discorda globalmente destas disposições. Em nome da liberdade das trocas comerciais, ignoram-se os princípios de reciprocidade que deveriam estar na base da integração global do comércio, electrónico ou não. As orientações contidas neste número - particularmente as que dizem respeito à acreditação num Estado-Membro de um fornecedor estrangeiro e à garantia dada por um fornecedor europeu a um certificado emitido por um país terceiro - são aceitáveis desde que o país terceiro conceda tratamento análogo ou equivalente aos fornecedores e aos certificados provenientes de todos os Estados-Membros.

3.7.2. Quanto ao reconhecimento de um certificado ou de um fornecedor de um país terceiro com base num acordo bilateral com um Estado-Membro, o Comité observa que a adopção de tal princípio equivale a introduzir distorções de concorrência entre Estados-Membros, mais explicitamente entre os países dotados de regulamentações mais «liberais» e os outros. A livre circulação de serviços não pode ser utilizada como cavalo de Tróia para introduzir operadores ou produtos de países terceiros na União Europeia através de um acordo bilateral com um só Estado-Membro.

3.7.3. A invocação de determinados precedentes em defesa da tese oposta, como por exemplo a Segunda Directiva bancária, não colhe: neste caso, o Estado-Membro «anfitrião» exerce uma vigilância contínua e garante a solidez e a solvabilidade da empresa do país terceiro, que deve, em qualquer caso, estar fisicamente presente no seu território. Estas condições estão muito longe de estar satisfeitas no caso das garantias relativas às assinaturas electrónicas.

3.8. Artigo 8.°

As disposições deste artigo não suscitam particulares comentários, à excepção das contidas no n.° 4, referentes à utilização de pseudónimos. O fornecedor do serviço deve poder transmitir os dados relativos à identidade do titular do pseudónimo às autoridades públicas quando tal lhe for pedido, com o consentimento prévio do próprio titular. A proposta de directiva não responde à questão de saber qual seria a posição do fornecedor caso o titular não consentisse que fosse revelada a sua identidade às autoridades.

3.8.1. A segunda parte do n.° 4 do artigo 8.° levanta outras dúvidas: caso a legislação nacional exija - no caso de uma investigação para esclarecimento de suspeitas de infracções à utilização da assinatura electrónica sob pseudónimo - que o fornecedor transmita os dados que revelam a identidade da pessoa em causa, esta apenas é informada da transmissão de tais dados após a conclusão da investigação.

3.8.2. O Comité interroga-se sobre a oportunidade de entrar em tais pormenores: uma vez concluída a investigação, o interessado estará já perfeitamente ao corrente de que os seus dados foram revelados. Esta disposição afigura-se, pois, desnecessária. Observa, por outro lado, que, quando se fala de «legislação nacional», se deveria especificar claramente se se trata da legislação do país do fornecedor de serviços - como se presume -, da legislação do país do titular do pseudónimo (na suposição de que seja conhecida) ou ainda de outro Estado-Membro. Dado que nos situamos - claramente, ainda que não explicitamente - no domínio do combate à criminalidade, a directiva deveria ser mais precisa quanto aos procedimentos a adoptar e aos direitos e obrigações do fornecedor de serviços.

3.8.3. Em suma, o CES interroga-se sobre se não seria conveniente rever toda a redacção deste artigo, prevendo-se simplesmente a aplicação integral das disposições contidas nas directivas relativas à protecção dos dados pessoais e contra o branqueamento de capitais. Neste aspecto, não existem, afinal, diferenças entre transacções em papel ou por via electrónica.

3.9. Artigos 9.° e 10.°

Este artigo prevê a criação de um «Comité da Assinatura Electrónica», composto por representantes dos Estados-Membros e presidido pela Comissão, que é consultado sobre os requisitos aplicáveis aos fornecedores de serviços e sobre as normas reconhecidas para a produção de assinaturas electrónicas. Este comité é informado pela Comissão sobre os resultados dos encontros periódicos desta com as empresas, os utilizadores e os consumidores.

3.9.1. O Comité toma boa nota desta iniciativa. Questiona, porém, se será verdadeiramente necessário criar um comité quando a própria Comissão, no âmbito das suas funções institucionais, poderia facilmente consultar os Estados-Membros e as partes interessadas sem necessidade de uma interface que acaba por constituir uma duplicação das competências da Comissão. Trata-se, de mais a mais, de um procedimento adoptado regularmente pela Comissão. Não se vê necessidade de uma sobrecarga burocrática que, no entender do Comité, nada acrescentaria do ponto de vista da eficiência.

3.10. Artigos 12.° e 13.°

Estes dois artigos - cuja ordem parece invertida do ponto de vista da sequência temporal e da lógica - preceituam que a directiva deverá ser adoptada pelos Estados-Membros até 31 de Dezembro de 2000 e que a Comissão deverá apresentar um primeiro relatório sobre a sua aplicação ao Parlamento Europeu e ao Conselho até 31 de Dezembro de 2002. O Comité salientou, por diversas vezes (), a urgência da adopção de legislação uniforme no vasto domínio da sociedade da informação. Interroga-se sobre se será efectivamente necessário conceder aos Estados-Membros um prazo tão dilatado para adoptarem a directiva, uma vez que muitos deles deram provas de grande diligência na introdução, em brevíssimo tempo, da sua própria legislação. A instauração de medidas de harmonização - na verdade poucas - não deverá exigir esforços excessivos nem longos períodos de tempo aos legisladores nacionais. O período de um ano a contar da data da adopção da directiva seria, na óptica do Comité, suficiente para a introdução de eventuais - e modestas - alterações nas legislações existentes ou para redigir novos textos.

Bruxelas, 2 de Dezembro de 1998.

A Presidente do Comité Económico e Social

Beatrice RANGONI MACHIAVELLI

() COM(97) 503 final de 8.10.1997.

() JO C 157 de 25.5.1998.

() JO C 284 de 14.9.1998.

() Cfr. COM(98) 297 final, ponto 7.

() JO C 284 de 14.9.1998.

() JO C 284 de 14.9.1998; JO C 157 de 25.5.1998; JO C 19 de 21.1.1998.