PARECER DA COMISSÃO nos termos do n° 2 alinea c) do artigo 251° do Tratado CE, sobre as emendas do Parlamento Europeu à posição comum do Conselho respeitante à Proposta de DIRECTIVA DO PARLAMENTO EUROPEU E DO CONSELHO relativa a um quadro legal comunitário para as assinaturas electrónicas QUE ALTERA A PROPOSTA DA COMISSÃO nos termos do n° 2 do artigo 250° do Tratado CE

EXPOSIÇÃO DOS MOTIVOS

O nº 2, alínea c), do artigo 251º exige que a Comissão exprima o seu parecer sobre as emendas propostas pelo Parlamento Europeu em segunda leitura.

A Comissão apresenta de seguida o seu parecer relativamente a essas emendas à posição comum do Conselho sobre a proposta de directiva do Parlamento Europeu e do Conselho relativa a um quadro comunitário para as assinaturas electrónicas.

A proposta alterada incorpora as emendas propostas pelo Parlamento Europeu em segunda leitura que foram aceites pela Comissão.

As emendas à proposta da Comissão foram realçadas através da utilização de riscado para o texto suprimido e negrito e sublinhado para texto novo ou alterado.

1. INTRODUÇÃO

1.1. a) Antecedentes

Em 13 de Maio de 1998, a Comissão adoptou uma proposta de directiva do Parlamento Europeu e do Conselho intitulada "Um quadro comum para as assinaturas electrónicas" (COM (1998)297 final) [1] e transmitiu-a formalmente ao Parlamento Europeu e ao Conselho em16 de Junho de 1998.

[1] JO C 325 de 23.10.1998, p. 5.

O Comité Económico e Social emitiu o seu parecer em 2/3 de Dezembro de 1998 [2] e o Comité das Regiões, em 13/14 de Janeiro de 1999 [3].

[2] JO C 40 de 15.2.1999, p. 29.

[3] JO C 93 de 06.4.1999, p. 33.

O Parlamento Europeu adoptou uma resolução favorável em primeira leitura, em 13 de Janeiro de 1999, e propôs 32 emendas à proposta da Comissão [4].

[4] JO C 104 de 14.4.1999, p. 49.

Em conformidade com o nº 2 do artigo 250º do Tratado, a Comissão adoptou, em 29 de Abril de 1999, uma proposta alterada [5] que inclui 22 das emendas na totalidade, em parte ou no seu princípio;

[5] COM(1999) 195 final de 29.4.1999.

O Conselho, deliberando em conformidade com o artigo 251º do Tratado, adoptou formalmente uma posição comum em 28 de Junho de 1999 [6], sobre a qual a Comissão emitiu um parecer em 16 de Julho de 1999 [7].

[6] JO C 243 de 27.8.1999, p. 33.

[7] SEC(1999) 1154 final de 16.7.1999 (ainda não publicada)

Na sua segunda leitura em 27 de Outubro de 1999, o Parlamento Europeu propôs 5 emendas à posição comum [8].

[8] Doc. A5-0034/1999

1.2. b) Finalidade da proposta da Comissão

A finalidade da directiva é facilitar a utilização das assinaturas electrónicas e contribuir para o seu reconhecimento legal. A directiva pretende estabelecer um quadro legal para as assinaturas electrónicas e para alguns serviços de certificação, que garanta o correcto funcionamento do mercado interno. A base jurídica da proposta é o nº 2 do artigo 47º e os artigos 55º e 95º do Tratado.

Baseada numa abordagem neutra em termos tecnológicos, a directiva proposta incide nos certificados fornecidos ao público e destinados a identificar o remetente de dados electrónicos. Para encorajar o desenvolvimento de serviços de certificação, a directiva impede os Estados-Membros de submeterem os prestadores de serviços de certificação (PSC) a regimes de autorização prévia. Todavia, os Estados-Membros são livres de criar sistemas voluntários de acreditação. A directiva também prevê o reconhecimento jurídico das assinaturas electrónicas como equivalente às assinaturas manuscritas e estabelece regras de responsabilidade para os PSC. Finalmente, a directiva proposta prevê mecanismos de cooperação com países terceiros para satisfazer os requisitos das comunicações electrónicas globais.

2. PARECER DA COMISSÃO SOBRE AS EMENDAS DO PE

A Comissão aceitou na totalidade as 5 emendas adoptadas pelo Parlamento Europeu em segunda leitura.

A Comissão aceitou essas emendas porque melhoram a clareza e consistência do texto.

3. CONCLUSÃO

A Comissão aceitou todas as emendas propostas pelo Parlamento Europeu em segunda leitura na sua totalidade.

De acordo com o nº 2 do artigo 250º do Tratado CE, a Comissão altera a sua proposta inicial, incorporando essas emendas.

4. PROPOSTA ALTERADA

a) Princípios

Em reacção à segunda leitura do Parlamento Europeu, foram aceites algumas novas disposições. A maioria destas serve quer para remover ambiguidades ou melhorar a clareza e consistência do texto. Além disso, há algumas ideias novas, que completam o texto original mas não alteram os princípios fundamentais.

b) Explicação das principais emendas

1. Alteração do considerando 16:

Conforme sugerido pela emenda nº 1 do Parlamento Europeu, clarificou-se o facto de a directiva não pretender regulamentar sistemas que são regidos por acordos de direito privado. A alteração proposta tem por objectivo introduzir mais explicitamente o "princípio da autonomia das partes" através da afirmação de que, em primeiro lugar, os sistemas "regidos por acordos voluntários de direito privado entre um número limitado de participantes" não exigem um quadro regulamentar e, em segundo, que não se deve negar às assinaturas electrónicas utilizadas dentro de tais sistemas validade jurídica e admissibilidade como meios de prova em processos judiciais.

A nova redacção não menciona explicitamente os chamados "grupos fechados de utilizadores". Este facto é avantajoso porque o texto da directiva em si não menciona "sistemas fechados" mas refere-se a acordos entre pessoas privadas, o que ajuda a evitar a incerteza jurídica relativa à definição exacta de grupos fechados de utilizadores, desconhecida no direito civil.

2. Alteração do considerando 23:

A emenda nº 3 do Parlamento Europeu introduz uma nova frase ao considerando 23, que dá ênfase ao facto de acordos multilaterais com países terceiros sobre o reconhecimento mútuo de serviços de certificação poderem ser benéficos para assegurar a interoperabilidade a nível global. Esta situação está em linha com as disposições do artigo 7º da directiva proposta, que aborda especificamente a dimensão global. O nº 2 do artigo 7º prevê que a Comissão apresente propostas destinadas a facilitar a certificação transfronteiras, em especial em relação à implementação de normas e acordos internacionais relevantes.

Dada a natureza global do comércio electrónico, é importante trabalhar para o reconhecimento mútuo de certificados no mercado global. A nova frase proposta pretende sublinhar o importância desta questão.

3. Alteração do artigo 6º:

Conforme sugerido pelas emendas nos 4 e 5 do Parlamento Europeu, foram introduzidas duas alterações no artigo 6º.

Em primeiro lugar, foi incluída uma nova frase no nº 1, alínea a), do artigo 6º para assegurar que um prestador de serviços de certificação é não só responsável pela exactidão de todas as informações incluídas num certificado qualificado mas também pelo grau de completamento de todas as informações prescritas para um certificado qualificado.

Isto é especialmente significativo porque para um consumidor é não só importante que as informações incluídas num certificado sejam correctas mas também que um certificado contenha todas as informações necessárias para poder ser classificado como certificado qualificado. Assim sendo, esta alteração contribui para uma redacção mais clara do nº 1 do artigo 6º.

Em segundo lugar, a emenda nº 5 do Parlamento Europeu introduziu uma nova frase no nº 4 do artigo 6º, que estipula que um prestador de serviços de certificação não será responsável por prejuízos decorrentes da utilização de um certificado qualificado que exceda os limites dos valores das transacções para os quais o certificado pode ser utilizado. Assim sendo, a disposição torna claro que um prestador de serviços de certificação não é responsável por uma utilização excessiva do certificado.

Esta emenda contribui para uma maior consistência entre o nº 3 do artigo 6º, em que uma disposição semelhante já foi incluída, e o nº 4 do artigo 6º.

4. Clarificações do texto:

Conforme sugerido pela emenda nº 2 do Parlamento Europeu, a redacção do considerando 21 foi alterada. Este considerando refere-se ao nº 1 do artigo 5º e pretende dar ênfase ao facto de ser a legislação nacional que determina os domínios em que os Estados-Membros podem permitir a utilização de documentos electrónicos e de assinaturas electrónicas. O considerando faz parte de um compromisso entre a Comissão e os Estados-Membros no sentido de abrandar a "forte" redacção do nº 1 do artigo 5º, que afirma que os Estados-Membros assegurarão que as assinaturas electrónicas avançadas obedecem aos requisitos legais de uma assinatura do mesmo modo que uma assinatura manuscrita.

A frase alterada exprime de um modo mais explícito que a legislação nacional rege os domínios em que os documentos electrónicos e as assinaturas electrónicas podem ser utilizados.

Proposta alterada de DIRECTIVA DO PARLAMENTO EUROPEU E DO CONSELHO relativa a um quadro legal comunitário para as assinaturas electrónicas

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o nº 2 do artigo 47º e os artigos 55º e 95º,

Tendo em conta a proposta da Comissão [9],

[9] JO C 325 de 23.10.1998, p. 5.

Tendo em conta o parecer do Comité Económico e Social [10],

[10] JO C 40 de 15.2.1999, p. 29.

Tendo em conta o parecer do Comité das Regiões [11],

[11] Parecer emitido em 14 Janeiro de 1999 (JO C 93 de 06.4.1999, p. 33).

Deliberando nos termos do artigo 251º do Tratado [12],

[12] Parecer do Parlamento Europeu de 13 Janeiro de 1999 (JO C 104 de 14.4.1999, p. 49). Posição comum de 28.06.99 (JO C 243 de 27.8.1999, p.33) (ainda não publicada no Jornal Oficial) e Decisão do Parlamento Europeu de ... (JO C ...) (ainda não publicada no Jornal Oficia).

(1) Considerando que a Comissão apresentou, em 16 de Abril de 1997, ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social e ao Comité das Regiões uma comunicação relativa a uma iniciativa europeia em matéria de comércio electrónico;

(2) Considerando que a Comissão apresentou, em 8 de Outubro de 1997, ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social e ao Comité das Regiões a Comunicação "Garantir a segurança e a confiança nas comunicações electrónicas contribuição para a definição de um quadro europeu para as assinaturas digitais e a cifragem";

(3) Considerando que, em 1 de Dezembro de 1997, o Conselho convidou a Comissão a apresentar o mais rapidamente possível uma proposta de directiva do Parlamento Europeu e do Conselho relativa às assinaturas digitais;

(4) Considerando que as comunicações e o comércio electrónicos necessitam de "assinaturas electrónicas" e de serviços a elas associados, que permitam a autenticação dos dados; que a existência de regras divergentes quanto ao reconhecimento legal das assinaturas electrónicas e à acreditação dos prestadores de serviços de certificação nos Estados-Membros pode criar um obstáculo importante à utilização das comunicações electrónicas e do comércio electrónico, dificultando assim o desenvolvimento do mercado interno; que, por outro lado, a existência de um quadro comunitário claro para as assinaturas electrónicas reforça a confiança e a aceitação geral das novas tecnologias; que a existência de legislações divergentes nos Estados-Membros cria obstáculos à livre circulação de bens e serviços no mercado interno;

(5) Considerando que deve ser promovida a interoperabilidade dos produtos associados às assinaturas electrónicas; que, nos termos do artigo 14º do Tratado, o mercado interno compreende um espaço no qual a livre circulação das mercadorias é assegurada; que devem ser satisfeitos os requisitos essenciais específicos dos produtos de assinatura electrónica, de modo a garantir a livre circulação no mercado interno e criar confiança nas assinaturas electrónicas, sem prejuízo do disposto no Regulamento (CE) nº 3381/94 do Conselho, de 19 de Dezembro de 1994, que institui um regime comunitário de controlo da exportação de bens de dupla utilização [13], e da Decisão 94/942/PESC do Conselho, relativa à acção comum, adoptada pelo Conselho com base no artigo J.3 do Tratado da União Europeia, respeitante ao controlo da exportação de bens de dupla utilização [14];

[13] JO L 367 de 31.12.1994, p. 1. Regulamento com a redacção que lhe foi dada pelo Regulamento (CE) n° 837/95 (JO L 90 de 21.4.1995, p. 1).

[14] JO L 367 de 31.12,1994, p. 8. Decisão com a última redacção que lhe foi dada pela Decisão 99/193/PESC (JO L 73 de 19.3.1999, p. 1)

(6) Considerando que a presente directiva não procura harmonizar a prestação de serviços no que diz respeito à confidencialidade da informação quando estes são abrangidos por disposições nacionais em matéria de ordem pública ou de segurança pública;

(7) Considerando que o mercado interno implica a livre circulação de pessoas, em resultado da qual os cidadãos e residentes na União Europeia necessitam cada vez mais de entrar em contacto com autoridades de Estados-Membros diferentes daquele em que residem; que a disponibilidade de comunicações electrónicas pode prestar um grande serviço nesta matéria;

(8) Considerando que o rápido desenvolvimento tecnológico e o carácter global da Internet exigem uma abordagem aberta às diversas tecnologias e serviços, capazes de autenticar electronicamente os dados;

(9) Considerando que as assinaturas electrónicas serão utilizadas em circunstâncias e aplicações muito variadas, dando origem a uma ampla gama de novos serviços e produtos relacionados com, ou utilizando, assinaturas electrónicas; que a definição desses produtos e serviços não se deve limitar à emissão e gestão de certificados, devendo igualmente abarcar todos os outros serviços e produtos que utilizam ou são auxiliares das assinaturas electrónicas, tais como serviços de registo, serviços de aposição de datas, serviços de repertório, serviços informáticos ou serviços de consultadoria relacionada com assinaturas electrónicas;

(10) Considerando que o mercado interno permite que os prestadores de serviços de certificação desenvolvam as suas actividades transfronteiras a fim de aumentarem a sua competitividade, oferecendo assim aos consumidores e às empresas novas oportunidades de intercâmbio de informação e de comércio por meios electrónicos de modo seguro, independentemente das fronteiras; que, para estimular a oferta de serviços de certificação à escala comunitária através de redes abertas, os prestadores de serviços de certificação devem poder fazê-lo sem necessidade de autorização prévia; a autorização prévia significa não só uma autorização pela qual o prestador de serviços de certificação obteve uma decisão das autoridades nacionais antes de ser autorizado a prestar serviços de certificação, referindo--se igualmente a quaisquer outras medidas que produzam o mesmo efeito;

(11) Considerando que os regimes de acreditação facultativa visando níveis mais elevados na oferta de serviços podem proporcionar aos prestadores de serviços de certificação o quadro adequado para desenvolverem os seus serviços, de modo a atingirem os níveis de confiança, segurança e qualidade exigidos por este mercado em evolução; que tais regimes devem encorajar o desenvolvimento de boas práticas entre os prestadores de serviços de certificação; que os prestadores de serviços de certificação devem ter a liberdade de aderir a estes regimes de acreditação e deles beneficiar;

(12) Considerando que deve existir a possibilidade de os serviços de certificação serem prestados tanto por uma entidade pública, como por uma pessoa singular ou colectiva, quando estabelecida nos termos da legislação nacional; que os Estados--Membros não devem proibir os prestadores de serviços de certificação de operarem fora dos regimes de acreditação voluntários; que deve garantir--se que esses regimes de acreditação não reduzam a concorrência nos serviços de certificação;

(13) Considerando que os Estados-Membros podem decidir o modo como procedem ao controlo da observância das disposições da presente directiva; que a presente directiva não impede a criação de sistemas de controlo baseados no sector privado; que a presente directiva não obriga os prestadores de serviços de certificação a solicitarem que eles próprios sejam objecto de controlo, de acordo com eventuais disposições aplicáveis em matéria de sistemas de acreditação;

(14) Considerando que é importante obter um equilíbrio entre as necessidades dos consumidores e as das empresas;

(15) Considerando que o Anexo III contém os requisitos relativos aos dispositivos seguros de criação de assinaturas electrónicas, por forma a garantir a funcionalidade das assinaturas electrónicas avançadas; que o este Anexo não abrange a totalidade da arquitectura do sistema em que esses dispositivos evoluem; que o funcionamento do mercado interno exige que a Comissão e os Estados-Membros actuem rapidamente, a fim de permitir a designação das entidades encarregadas de avaliar a conformidade dos dispositivos seguros de assinatura com os requisitos constantes do Anexo III; que, para satisfazer as necessidades do mercado, a avaliação da conformidade deve ser feita em tempo útil e de forma eficaz;

(16) Considerando que a presente directiva contribui para a utilização e o reconhecimento legal das assinaturas electrónicas na Comunidade; que não é necessário um quadro regulamentar legal para as assinaturas electrónicas utilizadas exclusivamente no âmbito de sistemas que assentam em acordos voluntários de direito privado entre um número definido de participantes; q; que a liberdade de as partes acordarem entre si os termos e condições em que aceitam dados assinados electronicamente deve ser respeitada, dentro dos limites permitidos pela lei nacional; que as assinaturas electrónicas utilizadas no âmbito de tais sistemas deverão ter validade jurídica e ser admitidas como meios de prova em processos judiciais;

(17) Considerando que a presente directiva não tem por objectivo harmonizar as disposições nacionais relativas à legislação contratual, designadamente a celebração e a execução de contratos, ou outras formalidades de natureza não contratual que exigem assinaturas; que, por esse motivo, as disposições relativas aos efeitos legais das assinaturas electrónicas não devem prejudicar os requisitos formais constantes da legislação nacional no que respeita à celebração de contratos ou às regras relativas à forma, que determinam o lugar onde um contrato é validamente celebrado;

(18) Considerando que o arquivo e a cópia de dados de criação de assinaturas pode pôr em causa o reconhecimento legal das assinaturas electrónicas;

(19) Considerando que as assinaturas electrónicas serão utilizadas no sector público no âmbito das administrações nacionais e comunitárias e nas comunicações entre essas administrações, assim como com os cidadãos e os operadores económicos, por exemplo em contratos públicos, em matéria de sistemas de fiscalidade, de segurança social, de saúde e judiciário;

(20) Considerando que a definição de critérios harmonizados relativos aos efeitos legais das assinaturas electrónicas, criará um quadro legal comunitário coerente em toda a Comunidade; que as legislações nacionais determinam os diferentes requisitos para o reconhecimento legal das assinaturas manuscritas; que podem ser utilizados certificados para confirmar a identidade de uma pessoa que assine electronicamente; que a existência de certificados qualificados e de assinaturas electrónicas avançadas tem por objectivo obter um nível de segurança mais elevado; que as assinaturas electrónicas avançadas baseadas num certificado qualificado e criadas por um dispositivo seguro de criação de assinaturas apenas podem ser consideradas como juridicamente equivalentes às assinaturas manuscritas se obedecerem aos requisitos que para estas são exigidos;

(21) Considerando que, para contribuir para uma aceitação generalizada dos métodos de reconhecimento das assinaturas electrónicas, deve garantir--se que estas possam ser utilizadas como elementos de prova para efeitos processuais perante as jurisdições de todos os Estados-Membros; que o reconhecimento legal das assinaturas electrónicas deve basear-se em critérios objectivos e não estar ligado à autorização do prestador de serviços de certificação envolvido; que a os domínios em que podem ser utilizados documentos electrónicos e assinaturas electrónicas são regidos pelas legislações nacionais; que a presente directiva não prejudica o poder de tribunais nacionais decidirem quanto à conformidade com os requisitos da presente directiva, nem afecta as disposições nacionais em matéria de liberdade de apreciação judicial das provas;

(22) Considerando que os prestadores de serviços de certificação que prestam os seus serviços ao público estão sujeitos às disposições nacionais em matéria de responsabilidade;

(23) Considerando que o desenvolvimento do comércio electrónico internacional exige disposições transfronteiras, que envolvem países terceiros; que, a fim de assegurar a interoperabilidade a nível global, poderá ser útil concluir acordos com países terceiros sobre regras multilaterais aplicáveis ao reconhecimento mútuo de serviços de certificação;

(24) Considerando que, para estimular a confiança dos utilizadores nas comunicações electrónicas e no comércio electrónico, os prestadores de serviços de certificação devem observar a legislação relativa à protecção dos dados e da vida privada dos cidadãos;

(25) Considerando que as disposições relativas à utilização de pseudónimos em certificados não deve impedir os Estados-Membros de exigir a identificação das pessoas, nos termos da legislação comunitária ou nacional;

(26) Considerando que, para efeitos de aplicação da presente directiva, a Comissão deve ser assistida por um comité de gestão; dado que as medidas necessárias para a aplicação da presente directiva são medidas de gestão na acepção do artigo 2º da Decisão 1999/468/CE do Conselho, de 28 de Junho de 1999, que fixa as regras de exercício das competências de execução atribuídas à Comissão [15]devem ser adoptadas através do procedimento de gestão previsto no artigo 4º dessa decisão;

[15] JO L 184 de 17.7.1999, p. 23.

(27) Considerando que a Comissão procederá à revisão da presente directiva, no prazo de dois anos após a sua entrada em vigor, nomeadamente para garantir que o progresso da tecnologia ou as modificações do quadro legal não venham a criar obstáculos à prossecução dos objectivos por ela visados; que a Comissão deveria analisar as implicações das questões de ordem técnica conexas e apresentar um relatório sobre esta matéria ao Parlamento Europeu e ao Conselho;

(28) Considerando que, de acordo com os princípios da subsidiariedade e da proporcionalidade, tal como constam do artigo 5º do Tratado, o objectivo da criação de um quadro legal harmonizado para a oferta de assinaturas electrónicas e serviços conexos não pode ser suficientemente realizado pelos Estados--Membros e pode, pois, ser melhor alcançado pela Comunidade; que as disposições da presente directiva não excedem o necessário para atingir esse objectivo,

ADOPTARAM A PRESENTE DIRECTIVA:

Artigo 1º

Âmbito

A presente directiva tem por objectivo facilitar a utilização das assinaturas electrónicas e contribuir para o seu reconhecimento legal. Institui um quadro legal comunitário para assinaturas electrónicas e para serviços de certificação, a fim de garantir o funcionamento adequado do mercado interno.

A presente directiva não cobre aspectos relacionados com a celebração e a validade de contratos ou a constituição de outras obrigações legais para os quais a legislação nacional ou comunitária preveja determinados requisitos em matéria de forma, nem afecta as normas e as restrições constantes da legislação, nacional ou comunitária, que regem a utilização de documentos.

Artigo 2º

Definições

Para efeitos do disposto na presente directiva, entende-se por:

(1) "Assinatura electrónica", os dados sob forma electrónica, ligados ou logicamente associados a outros dados electrónicos, e que sejam utilizados como método de autenticação;

(2) "Assinatura electrónica avançada", uma assinatura electrónica que obedeça aos seguintes requisitos:

(a) Estar associada inequivocamente ao signatário;

(b) Permitir identificar o signatário;

(c) Ser criada com meios que o signatário pode manter sob seu controlo exclusivo; e;

(d) Estar ligada aos dados a que diz respeito, de tal modo, que qualquer alteração subsequente dos dados seja detectável;

(3) "Signatário", uma pessoa singular que detém um dispositivo de criação de assinaturas e o utiliza em seu próprio nome, ou em nome da pessoa singular ou colectiva ou da entidade que representa;

(4) "Dados de criação de assinaturas", um conjunto único de dados, como códigos ou chaves criptográficas privadas, usado pelo signatário para a criação de uma assinatura electrónica;

(5) "Dispositivo de criação de assinaturas", um logicial configurado ou dispositivo de equipamento utilizado para possibilitar o tratamento dos dados de criação de assinaturas;

(6) "Dispositivo seguro de criação de assinaturas", um dispositivo de criação de assinaturas conforme com os requisitos constantes do Anexo III;

(7) "Dispositivo de verificação de dados", um conjunto de dados, como códigos ou chaves criptográficas públicas, usado para verificar a assinatura electrónica;

(8) "Dispositivo de verificação de assinaturas", um logicial configurado ou dispositivo de equipamento utilizado no tratamento dos dados de verificação de assinaturas;

(9) "Certificado", um atestado electrónico que liga os dados de verificação de assinaturas a uma pessoa e confirma a identidade dessa pessoa;

(10) "Certificado qualificado", um certificado que obedece aos requisitos constantes do Anexo I e é fornecido por um prestador de serviços de certificação que cumpre os requisitos constantes do Anexo II;

(11) "Prestador de serviços de certificação", uma entidade ou uma pessoa singular ou colectiva que emite certificados ou presta outros serviços relacionados com assinaturas electrónicas;

(12) "Produto de assinatura electrónica", os meios físicos ou lógicos, ou seus componentes quer destinados a ser utilizados por um prestador de serviços de certificação na prestação dos seus serviços de assinatura electrónica, quer destinados a ser utilizados na criação ou verificação de assinaturas electrónicas;

(13) "Acreditação facultativa", qualquer autorização que estabeleça direitos e obrigações específicos para a prestação de serviços de certificação, concedida, a pedido do prestador, pela entidade pública ou privada encarregada da elaboração desses direitos e obrigações e do controlo do seu cumprimento, quando o prestador de serviços de certificação não possa exercer os direitos decorrentes da autorização antes de ser informado da decisão daquela entidade;.

Artigo 3º

Acesso ao mercado

1. Os Estados-Membros não devem sujeitar a prestação de serviços de certificação a autorização prévia.

2. Sem prejuízo do disposto no nº 1, os Estados-Membros podem introduzir ou manter regimes de acreditação facultativos que se destinem a obter níveis mais elevados na oferta dos serviços de certificação. Todas as condições relacionadas com estes regimes devem ser objectivas, transparentes, proporcionadas e não discriminatórias. Os Estados-Membros não devem limitar o número de prestadores de serviços de certificação acreditados por motivos abrangidos pela presente directiva.

3. Os Estados-Membros assegurarão a criação de um sistema adequado de controlo de prestadores de serviços de certificação estabelecidos no seu território que procedem à emissão de certificados qualificados destinados ao público.

4. A conformidade dos dispositivos seguros de criação de assinaturas com os requisitos constantes do Anexo III é avaliada pelas entidades públicas ou privadas competentes designadas pelos Estados--Membros. A Comissão, nos termos do artigo 9º, estabelecerá os critérios que os Estados--Membros devem observar para decidir se uma entidade pode ser designada.

A determinação da conformidade com os requisitos constantes do Anexo III, efectuada por estas entidades, será reconhecida por todos os Estados--Membros.

5. A Comissão pode, nos termos do artigo 9º, estabelecer e publicar no Jornal Oficial das Comunidades Europeias números de referência de normas largamente reconhecidas para produtos de assinatura electrónica. Os Estados-Membros presumirão a conformidade com os requisitos constantes da alínea f) do Anexo II e do Anexo III, sempre que um produto de assinatura electrónica obedeça a estas normas.

6. Os Estados-Membros e a Comissão cooperarão na promoção do desenvolvimento e utilização de dispositivos de verificação de assinaturas, à luz das recomendações relativas à verificação segura de assinaturas, constantes do Anexo IV, e dos interesses dos consumidores.

7. Os Estados-Membros podem submeter a utilização de assinaturas electrónicas no sector público a eventuais requisitos adicionais. Esses requisitos devem ser objectivos, transparentes, proporcionados e não discriminatórios e dizer apenas respeito às características específicas da utilização específica em causa. Esses requisitos não devem constituir para o cidadão um obstáculo aos serviços transfronteiriços.

Artigo 4º

Princípios relativos ao mercado interno

1. Cada Estado-Membro aplicará as disposições nacionais que adoptar de acordo com a presente directiva aos prestadores de serviços de certificação estabelecidos no seu território e aos serviços por eles prestados. Os Estados-Membros não podem restringir a prestação de serviços de certificação com origem noutro Estado-Membro nos domínios abrangidos pela presente directiva.

2. Os Estados-Membros assegurarão que os produtos de assinatura electrónica que sejam conformes com a presente directiva possam circular livremente no mercado interno.

Artigo 5º

Efeitos legais das assinaturas electrónicas

1. Os Estados-Membros assegurarão que as assinaturas electrónicas avançadas baseadas num certificado qualificado e criadas através de dispositivos seguros de criação de assinaturas:

a) Obedecem aos requisitos legais de uma assinatura no que se refere os dados sob forma digital, do mesmo modo que uma assinatura manuscrita obedece aqueles requisitos em relação aos dados escritos, e,

b) São admissíveis como meio de prova para efeitos processuais.

2. Os Estados--Membros assegurarão que não sejam negados a uma assinatura electrónica os efeitos e a admissibilidade como meio de prova para efeitos processuais apenas pelo facto de:

- se apresentar sob forma electrónica;

- não se basear num certificado qualificado;

- não se basear num certificado qualificado emitido por um prestador de serviços de certificação acreditado;

- não ter sido criada através de um dispositivo seguro de criação de assinaturas.

Artigo 6º

Responsabilidade

1. Os Estados-Membros assegurarão, no mínimo, que, ao emitir um certificado qualificado destinado ao público ou ao apor a garantia num certificado destinado ao público, um prestador de serviços de certificação seja responsável por prejuízos causados a qualquer entidade ou pessoa singular ou colectiva que confie, de forma razoável, no certificado, no que respeita:

(a) À exactidão de todas as informações constantes do certificado qualificado no momento da emissão e à inclusão, no certificado, de todas as informações prescritas para um certificado qualificado;

(b) À garantia de que, no momento da emissão do certificado, a assinatura identificada no certificado qualificado obedecia aos dados de criação de assinaturas correspondentes aos dados de verificação de assinaturas incluídos ou identificados no certificado;

(c) À garantia de que os dados de criação de assinaturas e os dados de verificação de assinaturas podem ser utilizados de modo complementar, nos casos em que o prestador de serviços de certificação gira ambos os dispositivos,

excepto se o prestador de serviços de certificação provar que não actuou de forma negligente.

2. Os Estados-Membros assegurarão, no mínimo, que um prestador de serviços de certificação que tenha emitido um certificado qualificado destinado ao público, seja responsável pelos prejuízos causados a qualquer entidade ou pessoa singular ou colectiva que confie razoavelmente no certificado, por omissão do registo da retirada do certificado, excepto se o prestador de serviços de certificação provar que não actuou de forma negligente.

3. Os Estados-Membros assegurarão que um prestador de serviços da certificação possa indicar no certificado qualificado os limites da sua utilização. Estes limites devem ser identificáveis por terceiros. O prestador de serviços de certificação não será responsável por prejuízos decorrentes da utilização de um certificado qualificado que exceda os limites que lhe são próprios.

4. Os Estados-Membros assegurarão que um prestador de serviços de certificação possa indicar no certificado qualificado um limite para o valor das transacções nas quais o certificado pode ser utilizado, desde que esse limite seja identificável por terceiros. O prestador de serviços de certificação não será responsável por prejuízos decorrentes da utilização de um certificado qualificado que exceda os limites que lhe são próprios.

5. As disposições dos nos 1 a 4 não prejudicam o disposto na Directiva 93/13/CEE do Conselho, de 5 de Abril de 1993, relativa às cláusulas abusivas nos contratos celebrados com os consumidores [16].

[16] JO L 95 de 21.4.1993, p. 29.

Artigo 7º

Aspectos internacionais

1. Os Estados-Membros assegurarão que os certificados emitidos ao público, enquanto certificados qualificados, por um prestador de serviços de certificação estabelecido num país terceiro sejam considerados legalmente equivalentes aos certificados emitidos por um prestador de serviços de certificação estabelecido na Comunidade, desde que:

(a) O prestador de serviços de certificação obedeça aos requisitos constantes da presente directiva e tenha sido acreditado sob um regime de acreditação voluntária vigente num Estado--Membro; ou

(b) O prestador de serviços de certificação estabelecido na Comunidade e que cumpre os requisitos da presente directiva garanta o certificado; ou

(c) O certificado ou o prestador de serviços de certificação seja reconhecido com base num regime de acordo bilateral ou multilateral entre a Comunidade e países terceiros ou organizações internacionais.

2. Para facilitar os serviços de certificação transfronteiras que envolvam países terceiros e o reconhecimento legal de assinaturas electrónicas avançadas originárias de países terceiros, a Comissão deverá apresentar, sempre que adequado, propostas destinadas a obter a aplicação efectiva de normas e acordos internacionais aplicáveis aos serviços de certificação. Em especial, sempre que necessário, deverá apresentar ao Conselho propostas de mandatos adequados de negociação de acordos bilaterais e multilaterais com países terceiros e organizações internacionais. O Conselho decidirá por maioria qualificada.

3. Sempre que a Comissão seja informada de eventuais dificuldades encontradas pelas empresas comunitárias no que diz respeito ao acesso ao mercado de países terceiros, poderá, se necessário, apresentar, ao Conselho propostas sobre um mandato adequado de negociação de direitos comparáveis para as empresas comunitárias nesses países terceiros. O Conselho decidirá por maioria qualificada.

As medidas adoptadas nos termos do presente número não prejudicarão as obrigações da Comunidade e dos Estados-Membros decorrentes dos acordos internacionais pertinentes.

Artigo 8º

Protecção de dados

1. Os Estados-Membros assegurarão que os prestadores de serviços de certificação e os organismos nacionais responsáveis pela acreditação ou controlo cumpram os requisitos constantes da Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados [17].

[17] JO L 281 de 23.11.1995, p. 31.

2. Os Estados-Membros garantirão que um prestador de serviços de certificação que emite certificados destinados ao público só possa recolher dados pessoais directamente junto da pessoa a quem esses dados dizem respeito, ou depois de obtido o seu consentimento expresso e apenas na medida do necessário para a emissão e manutenção do certificado. Os dados não podem ser recolhidos ou processados para quaisquer outros fins sem o consentimento explícito da pessoa a quem os dados dizem respeito.

3. Sem prejuízo dos efeitos legais dos pseudónimos nas legislações nacionais, os Estados--Membros não poderão impedir que os prestadores de serviços de certificação indiquem no certificado um pseudónimo em vez do nome do signatário.

Artigo 9º

Comité

1. A Comissão é assistida por um comité ["Comité da Assinatura Electrónica"] composto por representantes dos Estados-Membros e presidido por um representante da Comissão.

2. Quando for feita remissão para o presente número, aplica-se o procedimento de gestão estabelecido no artigo 4º da Decisão 1999/468/CE, de acordo com o seu artigo 8º.

3. O período previsto no nº 3 do artigo 4º da Decisão 1999/468/CE é de 3 meses.

Artigo 10º

Competências do Comité

O Comité procederá à clarificação dos requisitos constantes dos Anexos, ao estabelecimento dos critérios referidos no nº 4 do artigo 3º e das normas geralmente reconhecidas para produtos de assinatura electrónica estabelecidos e publicados nos termos do nº 5 do artigo 3º nos termos do artigo 9º.

Artigo 11º

Notificação

1. Os Estados-Membros notificarão a Comissão e os outros Estados-Membros do seguinte:

(a) Elementos relativos aos regimes nacionais de acreditação voluntária, incluindo eventuais requisitos suplementares, nos termos do nº 7 do artigo 3º;

(b) Nomes e endereços dos organismos nacionais responsáveis pela acreditação e controlo e das entidades referidas no nº 4 do artigo 3º;

(c) Nomes e endereços de todos os prestadores de serviços de certificação nacionais acreditados.

2. Todas as informações prestadas nos termos do nº 1 e eventuais alterações respeitantes a essas informações serão notificadas pelos Estados-Membros, no mais breve prazo.

Artigo 12º

Reexame

1. A Comissão procederá à reavaliação do funcionamento da presente directiva e apresentará um primeiro relatório sobre esta matéria ao Parlamento Europeu e ao Conselho, o mais tardar até [...] [18].

[18] Três anos e seis meses a contar da data de entrada em vigor da presente directiva.

2. A reavaliação determinará, nomeadamente, a eventual alteração do âmbito da directiva, tendo em conta a evolução da tecnologia, do mercado e da legislação. O relatório incluirá, em especial, uma avaliação, com base na experiência adquirida, das questões ligadas à harmonização. O relatório será eventualmente acompanhado de propostas legislativas.

Artigo 13º

Execução da directiva

1. Os Estados-Membros porão em vigor as disposições legislativas, regulamentares e administrativas necessárias para darem cumprimento à presente directiva, até [...] [19]. Do facto informarão imediatamente a Comissão.

[19] Um ano e seis meses a contar da data de entrada em vigor da presente directiva.

Sempre que os Estados-Membros adoptarem tais disposições, estas devem incluir uma referência à presente directiva ou ser acompanhadas dessa referência aquando da sua publicação oficial. As modalidades dessa referência serão estabelecidas pelos Estados-Membros.

2. Os Estados-Membros comunicarão à Comissão o texto das principais disposições de direito nacional que venham a adoptar no domínio regido pela presente directiva.

Artigo 14º

Entrada em vigor da presente directiva

A presente directiva entra em vigor na data da sua publicação no Jornal Oficial das Comunidades Europeias.

Artigo 15º

Destinatários

Os Estados-Membros são os destinatários da presente directiva.

Feito em Bruxelas,

Pelo Parlamento Europeu Pelo Conselho

O Presidente O Presidente [...] [...]

ANEXO I

REQUISITOS APLICÁVEIS AOS CERTIFICADOS QUALIFICADOS

Um certificado qualificado deve conter:

(a) Uma indicação de que o certificado é emitido como certificado qualificado;

(b) A identificação do prestador de serviços de certificação e o país em que está estabelecido;

(c) O nome do signatário ou um pseudónimo, que deve ser identificado como tal;

(d) Uma cláusula para a inclusão, se relevante, de um atributo específico do signatário, segundo os objectivos visados com a emissão do certificado;

(e) Os dados de verificação de assinaturas correspondentes aos dados de criação de assinaturas que estejam sob o controlo do signatário;

(f) Identificação da data de início e de fim do prazo de validade do certificado;

(g) O código de identidade do certificado;

(h) A assinatura electrónica avançada do prestador de serviços de certificação que o emite;

(i) As restrições à utilização do certificado, se for o caso; e;

(j) As restrições ao valor das transacções nas quais o certificado pode ser utilizado, se for o caso.

ANEXO II

REQUISITOS APLICÁVEIS AOS PRESTADORES DE SERVIÇOS DE CERTIFICAÇÃO

Que Emitem Certificados Qualificados

Os prestadores de serviços de certificação devem:

(a) Demonstrar a fiabilidade necessária para a prestação de serviços de certificação;

(b) Assegurar o funcionamento de um serviço de repertório rápido e seguro e de um serviço de anulação seguro e imediato;

(c) Assegurar com precisão a possibilidade de verificação da data e hora de emissão ou anulação de cada certificado;

(d) Verificar, através dos meios adequados e de acordo com a legislação nacional, a identidade e, se for caso disso, os atributos específicos da entidade ou pessoa singular ou colectiva à qual é emitido um certificado qualificado;

(e) Empregar pessoal que possua os conhecimentos, experiência e qualificações necessários para os serviços prestados, nomeadamente competência em matéria de gestão e das tecnologias de assinaturas electrónicas, bem como familiaridade com os processos de segurança adequados; devem ainda saber aplicar processos administrativos e de gestão que sejam adequados e correspondam a normas reconhecidas;

(f) Utilizar sistemas e produtos fiáveis que estejam protegidos contra modificações e que garantam a segurança técnica e criptográfica dos processos para os quais estejam previstos;

(g) Tomar medidas contra a falsificação de certificados e, nos casos em que o prestador de serviços de certificação gere dados de criação de assinaturas, garantir a confidencialidade durante o processo de criação desses dados;

(h) Ser dotados de recursos financeiros suficientes para actuarem de acordo com o requisitos constantes da presente directiva, nomeadamente para assumirem os riscos decorrentes da responsabilidade por danos, por exemplo através de uma apólice de seguro adequada;

(i) Registar todas as informações relevantes relativas a um certificado qualificado durante um período de tempo adequado, nomeadamente para fornecer elementos de prova de certificação para efeitos processuais. Este registo poderá ser feito electronicamente;

(j) Não armazenar ou copiar dados de criação de assinaturas da pessoa a quem o prestador de serviços de certificação tenha oferecido serviços de gestão de chaves;

(k) Antes de iniciar uma relação contratual com uma pessoa que deseje obter um certificado para a sua assinatura electrónica, informar essa pessoa, através de meios duráveis de comunicação, dos termos e condições exactos de utilização do certificado, incluindo eventuais limitações à utilização deste, da existência de um regime de acreditação facultativa e dos processos de apresentação de queixas e de resolução de litígios. Essas informações devem ser apresentadas por escrito, podendo ser transmitidas por meios electrónicos, e devem utilizar uma linguagem facilmente compreensível. A pedido destes, deverão igualmente ser facultadas a terceiros que confiem no certificado, elementos relevantes desta informação;

(l) Utilizar sistemas fiáveis de armazenagem dos certificados num formato verificável, de modo a que:

- apenas as pessoas autorizadas possam introduzir dados e alterações,

- a autenticidade das informações possa ser verificada,

- os certificados só possam ser consultados pelo público nos casos em que tenha sido obtido o consentimento do detentor do certificado, e

- quaisquer alterações de carácter técnico susceptíveis de prejudicar esses requisitos de segurança sejam imediatamente visíveis pelo operador.

ANEXO III

REQUISITOS RELATIVOS AOS DISPOSITIVOS SEGUROS DE CRIAÇÃO DE ASSINATURAS

1. Requisitos respeitantes aos dispositivos seguros de criação de assinaturas electrónicas. Os dispositivos seguros de criação de assinaturas devem assegurar, pelo menos, através de meios técnicos e processuais adequados, que:

(a) Os dados necessários à criação de uma assinatura utilizados na geração de uma assinatura só podem ocorrer, em termos práticos, uma única vez, e que a confidencialidade desses dados se encontra razoavelmente assegurada;

(b) Os dados necessários à criação de uma assinatura utilizados na geração de uma assinatura não podem, com uma segurança razoável, ser deduzidos de outros dados e que esta está protegida contra falsificações realizadas através das tecnologias actualmente disponíveis;

(c) Os dados necessários à criação de uma assinatura utilizados na geração de uma assinatura podem ser eficazmente protegidos pelo signatário legítimo contra a utilização por terceiros.

2. Os dispositivos seguros de criação de assinaturas não devem modificar os dados que carecem de assinatura, nem impedir que esses dados sejam apresentados ao signatário antes do processo de assinatura.

ANEXO IV

RECOMENDAÇÕES RELATIVAS À VERIFICAÇÃO SEGURA DE ASSINATURAS

Durante o processo de verificação de assinaturas dever--se--á garantir, com uma razoável certeza, que:

(a) Os dados utilizados para verificar as assinaturas correspondem aos dados exibidos ao verificador;

(b) A assinatura é verificada com fiabilidade e o resultado dessa verificação é exibido correctamente;

(c) O verificador pode, se necessário, definir com fiabilidade o conteúdo dos dados assinados;

(d) A autenticidade e a validade do certificado solicitadas no momento da verificação da assinatura são verificadas com fiabilidade;

(e) O resultado da verificação e a identidade do signatário são exibidas de forma correcta;

(f) A utilização de um pseudónimo é claramente indicada; e;

(g) Podem ser detectadas eventuais alterações pertinentes em matéria de segurança.