Yttrande från Ekonomiska och sociala kommittén om "Förslag till Europaparlamentets och rådets direktiv om en gemensam ram för elektroniska signaturer"

(1999/C 40/10)

Den 30 juli 1998 beslutade rådet att i enlighet med artikel 100a i EG-fördraget rådfråga Ekonomiska och sociala kommittén om ovannämnda förslag.

Sektionen för inre marknaden, produktion och konsumtion, som ansvarat för det förberedande arbetet, antog sitt yttrande den 28 oktober 1998. Föredragande var Umberto Burani.

Vid sin 359:e plenarsession den 2-3 december 1998 (sammanträdet den 2 december 1998) antog Ekonomiska och sociala kommittén enhälligt följande yttrande.

1. Inledning

1.1. Kommissionens förslag till direktiv om en gemensam juridisk ram för elektroniska signaturer följer upp meddelandet "Om säkerhet och pålitlighet vid elektronisk kommunikation - mot en europeisk ram för digitala signaturer och kryptering" ().

1.2. I meddelandet framhåller kommissionen att det håller på att uppstå en marknadssituation som kräver de europeiska myndigheternas uppmärksamhet. Några medlemsstater har anlagt eller håller på att anlägga olika synsätt när det gäller bestämmelser för elektroniska signaturer. Bristen på ömsesidigt erkännande skulle kunna leda till att den inre marknaden för elektronisk handel och on-line tjänster inom EU fragmenteras. Det är därför angeläget att utforma en gemensam ram med hänsyn till de viktigaste kraven, det vill säga att skapa en klar rättslig ram och tillräcklig flexibilitet för att undvika att den elektroniska marknaden begränsas av bestämmelser som inte överensstämmer med teknikens fortsatta utveckling.

1.3. Ekonomiska och sociala kommittén ser positivt på kommissionens överväganden () och förslag till riktlinjer i enlighet med principerna för självbestämmande och subsidiaritet inom en noggrant avgränsad gemensam minimilagstiftning. När kommittén uttalade sig om kommissionens efterföljande meddelande om "Globaliseringen och informationssamhället - Behovet av stärkt internationell samordning" () framhöll man att harmoniseringen av den europeiska rättsliga ramen med lagstiftningen i resten av världen går alltför sakta till följd av ett stort antal icke samordnade initiativ. Denna harmonisering är dock nödvändigt om man vill uppnå säkerhet när det gäller elektronisk handel som av naturen inte känner några gränser.

1.4. Kommissionens beslut att lägga fram ett förslag till direktiv är ett initiativ som ligger i linje med kommitténs önskningar, framför allt därför att det grundar sig på nödvändig flexibilitet när det gäller internationell samordning.

2. Allmänna kommentarer

2.1. Elektroniska signaturer gör det möjligt för den som tar emot uppgifter på elektronisk väg att kontrollera uppgifternas ursprung (autentisering av källan) och att kontrollera att originaluppgifterna är kompletta och oförändrade (dataintegritet). Autentiserings- och integritetskontrollen visar inte nödvändigtvis vem som har skapat den elektroniska signaturen, det vill säga det kan bli nödvändigt att tredje part - så kallade "tillhandahållare av certifieringstjänster" - bekräftar avsändarens identitet. Användning av certifieringssystem när det gäller signaturer kommer alltså att bli ett nödvändigt medel för att uppnå säkerhet när det gäller de olika parterna och skapa förtroende för den elektroniska handeln.

2.2. För att säkerställa ömsesidigt erkännande av juridiskt hållbara principer, som skall ligga till grund för certifiering av elektroniska signaturer, har kommissionen utgått ifrån följande riktlinjer som tar hänsyn till att marknaden är i ständig utveckling:

- Direktivet skall vara neutralt ur teknisk synvinkel och öppet för auktoriseringsmekanismer som skiljer sig från kryptering med öppen nyckel. Dessutom skall direktivet beakta eventuella nya system.

- Medlemsstaterna skall undvika att anta system för förhandsauktorisering när det gäller tillhandahållare av certifieringstjänster. Däremot skulle det vara lämpligt att anta frivilliga ackrediteringssystem.

- Direktivet omfattar bara elektroniska signaturer för öppna nät. När det gäller slutna nät kommer det att vara frivilligt för de enskilda tillhandahållarna att anpassa sig efter direktivet eller inte.

- Behovet att säkerställa rättsligt erkännande av elektroniska signaturer kräver att de viktigaste kraven för tillhandahållarna klargörs, vilket bland annat omfattar deras ansvarsskyldighet.

2.3. Kommittén välkomnar denna generella inställning som utgår ifrån principerna för en fri marknad. Dock anser kommittén att alltför lite uppmärksamhet ägnas åt skydd av användarna och därför tillåter vi oss att kommentera och lägga fram förslag i denna analys av kommissionsdokumentet.

2.4. När det gäller att integrera den europeiska lagstiftningen med lagstiftningen i resten av världen framhåller kommissionen att det "pågår många diskussioner och aktiviteter" () och man nämner bland annat Förenade nationernas kommission för internationella handelslagar (Uncitral), OECD och WTO. Som kommittén redan har påpekat () visar dessa - i sig berömvärda - initiativ att det finns risk att institutionerna utför dubbelarbete och att de olika lagstiftningarna överlappar varandra - eller ännu värre står i motsats till varandra. Resultatet blir segdragen byråkrati, förseningar och ökade kostnader för skattebetalarna. Kommittén beklagar att de internationella institutionerna i ett försök att göra allt snabbt uppnådde motsatt effekt, det vill säga förvirring och osäkerhet.

3. Särskilda kommentarer om direktivförslaget

3.1. Artikel 1

Direktivets målsättning är att införa en rättslig ram för allmänt tillgängliga certifieringstjänster, det vill säga underlätta användningen av elektroniska signaturer och säkerställa deras rättsliga erkännande. Direktivet omfattar dock inte några andra aspekter i samband med ingående av avtal och deras giltighet. Med hänsyn till texten i denna artikel och till det som anges i punkt 10 i direktivets ingress omfattar detta enbart öppna system. När det gäller slutna system låter kommissionen parterna fritt komma överens om villkoren för erkännande av elektroniska signaturer.

3.1.1. Kommittén ställer sig dock frågande till detta. Det är å ena sidan berömvärt att avtalsfriheten respekteras, men å andra sidan måste man påpeka att även vissa slutna system är öppna för ett ständigt ökande antal användare som inte alltid och inte nödvändigtvis känner till reglerna för varje system. Det är dock sant att man har möjlighet att anpassa ett slutet system efter direktivet, men kommittén frågar sig om det inte skulle vara klokare - och ligga både i användarnas och tillhandahållarnas intresse - att också utvidga direktivet till att omfatta slutna system som är öppna för allmänheten.

3.2. Artikel 3.1-3.2

Medlemsstaterna får inte göra tillhandahållandet av certifieringstjänster beroende av förhandstillstånd. Medlemsstaterna kan dock införa eller behålla frivilliga ackrediteringssystem utan att därför begränsa antalet tillhandahållare av tjänster.

3.2.1. Kommittén föreslår att man noggrant överväger bestämmelsernas omfattning. Certifieringsfunktionen är inte bara betydelsefull för avtalsparterna, utan också, i vissa fall, gentemot tredje man. Det skall fortfarande vara frivilligt att ansöka om ackreditering, men det bör vara möjligt att - vilket kommer att preciseras längre fram - klart åtskilja avtal som certifierats av ackrediterade tillhandahållare och avtal som certifierats av icke-ackrediterade tillhandahållare. Artikel 5.2 borde klart ange att de elektroniska signaturer, som godtas som bevis i rättsliga förfaranden (i eller utanför domstol), bara kan göras gällande gentemot tredje man om de stöds av ett certifikat som utfärdats av en ackrediterad tillhandahållare.

3.2.2. För närvarande finns det ingen anledning till oro, men lagstiftningen måste dock beakta den framtida utvecklingen. Till exempel skulle de få och välkända tillhandahållarna idag kunna öka avsevärt till följd av en eventuell "banalisering" av autentiseringstekniken. Även om det är acceptabelt att antalet certifierade tillhandahållare är obegränsat, är det inte önskvärt att dessa undantas från preliminär kontroll och från ackreditering. Med avseende på användarna och tredje part är det nödvändigt att fastställa att kraven på tillhandahållarna av certifieringstjänster - som räknas upp i bilaga II - kontrolleras av en offentlig myndighet när tillhandahållarna verkar i öppna system eller i slutna system som är öppna för allmänheten.

3.2.3. De offentliga myndigheternas ansvar för ackreditering av tillhandahållare borde betingas av de krav som räknas upp i bilaga II. Detta villkor är nödvändigt men inte tillräckligt, utan man måste vara säker på att dessa krav upprätthålls över tiden genom att föreskriva regelbunden kontroll. De offentliga myndigheterna får inte bortse från sitt ansvar och när de väl har antagit lagstiftningen måste de också se till att den respekteras.

3.3. Artikel 3.4

Denna artikel ger medlemsstaterna möjlighet att förena användning av elektroniska signaturer i den offentliga sektorn med eventuella ytterligare krav.

3.3.1. Kommittén ser positivt på detta, men frågar sig också om det inte skulle vara lämpligt att ta steget fullt ut och ålägga de medlemsstater som accepterar elektroniska signaturer i den privata sektorn att även acceptera elektroniska signaturer inom den offentliga sektorn. Om de offentliga myndigheterna - som garanterar säkerheten inom rättsliga instanser och skyddar de egna medborgarna - kan ta på sig ansvaret att erkänna de elektroniska signaturernas rättsliga giltighet när det gäller dokument mellan privatpersoner, har kommittén svårt att förstå varför man inte kan ha samma inställning när det gäller dokument mellan offentliga myndigheter, även om det innebär införande av "ytterligare krav".

3.4. Artikel 4

När det gäller den inre marknadens regler fastställer denna artikel att medlemsstaterna inte kan införa begränsningar när det gäller tillhandahållande av certifieringstjänster som härrör från andra medlemsstater.

3.4.1. I detta sammanhang framhåller kommittén att den ovannämnda regeln visserligen stämmer överens med principerna för den inre marknaden, men den skyddar inte allmänheten från tjänster som tillhandahålls av icke-ackrediterade operatörer i andra medlemsländer. Om det redan är svårt för en användare att skilja mellan ackrediterade och icke-ackrediterade tillhandahållare i det egna landet, blir det ännu värre när tillhandahållaren har sitt ursprung i ett tredje land. Här kan man dra en parallell till det synsätt som antogs i det andra bankdirektivet, det vill säga frihet att tillhandahålla tjänster skall enbart finnas för de institut som är underordnade direktivet, när det gäller andra institut skall tillhandahållandet av finansiella tjänster begränsas till ursprungslandet.

3.4.2. I det aktuella fallet skall den fria rörligheten för produkter med elektroniska signaturer fortsätta att gälla, men de bör endast kunna godtas som bevis vid förfaranden vid domstol eller utom rätta, om certifieringen utfärdas av ett ackrediterat organ.

3.5. Artikel 5

Medlemsstaterna måste införa regler i sin lagstiftning där det föreskrivs att det är omöjligt att bestrida de elektroniska signaturernas verkställbarhet, verkningar eller rättsliga giltighet av den enda anledningen att dessa signaturer är i elektronisk form eller att signaturerna inte är baserade på certifikat som utfärdats av ackrediterade tillhandahållare. Å andra sidan måste medlemsstaterna förfara så att en ackrediterad tillhandahållares certifierade signaturer har samma rättsliga värde som handskrivna signaturer och kan godtas som bevis i domstol.

3.5.1. Kommittén påpekar för kommissionen - vilket också borde förstärka de synpunkter som lagts fram under punkterna 3.4.1 och 3.4.2 - att den enda skillnaden mellan certifierade signaturer som utfärdats av ackrediterade operatörer och signaturer som utfärdats av icke-ackrediterade operatörer är certifieringens bevisvärde. Artikel 5.2 är inte klar i detta avseende och skulle behöva revideras. Enligt den aktuella texten skall medlemsstaterna godta certifikat som utfärdats av en tillhandahållare "som uppfyller kraven i bilaga II" som bevis vid rättsliga förfaranden. Detta skulle kunna leda till att vilken tillhandahållare som helst, förutsatt att tillhandahållaren uppfyller kraven i bilaga II, kan utfärda certifikat som är rättsligt giltiga. Om detta inte är avsikten måste detta uttryckssätt ersättas med den entydiga definitionen "ackrediterad tillhandahållare".

3.5.2. Dessutom - med hänsyn till det som lagts fram under punkt 3.4.2 - sägs ingenting om bevisvärdet av ett certifikat som utfärdats av en ackrediterad operatör i tredje land. Direktivet måste även i detta fall ge klara riktlinjer. Kommittén föreslår dock att ett sådant certifikat skall erkännas på villkor att det tredje landet antar de ömsesidiga villkoren för certifikat inom EU.

3.6. Artikel 6

När det gäller ersättningsansvar föreskriver artikeln en rad skyldigheter för tillhandahållarna av certifieringstjänster, till exempel att informationen skall vara korrekt, att certifikaten skall överensstämma med direktivets krav samt att innehavaren och utfärdaren skall uppfylla de tekniska lämplighetskraven. Samtidigt fastställs det i artikeln att undantag från ansvar kan godtas om orginaluppgifterna är fel och att det finns möjlighet att begränsa användningsområdet och värdet av de transaktioner som certifikatet är giltigt för.

3.6.1. Kommittén anser att artikeln stämmer överens med de allmänna juridiska principerna och respekterar kontraktsfriheten. Samtidigt frågar sig kommittén vad som skulle hända om tillhandahållaren skulle avbryta eller upphöra med certifieringstjänsten? Vilket ersättningsansvar har tillhandahållaren och vilka garantier har användaren? Det borde på något sätt också vara ett system som säkerställer kontinuiteten när det gäller skydd av användarnas rättigheter. Till exempel kunde det krävas att back up-filer upprättas hos tredje man med fastställda garantier.

3.7. Artikel 7.1

I denna artikel finns föreskrifter för tillhandahållare som är etablerade i tredje land. Deras certifikat kommer att bli likvärdiga i rättsligt avseende med de europeiska certifikaten om tillhandahållaren har blivit ackrediterad i ett medlemsland enligt det frivilliga ackrediteringssystemet i detta land, eller om certifikaten garanteras av en tillhandahållare i ett medlemsland, eller om certifikaten eller tillhandahållaren är godkända enligt ett bilateralt eller multilateralt avtal mellan EU och tredje land eller internationella organisationer.

3.7.1. Kommittén är tar avstånd från samtliga bestämmelser i artikel 7.1. I frihandelns namn ignoreras principerna för ömsesidighet som borde ligga till grund för en integrering av såväl den elektroniska handeln som hela världshandeln. De riktlinjer som framhålls i artikel 7.1 - i synnerhet de riktlinjer som rör ackreditering av en utländsk tillhandahållare i ett medlemsland och de som rör den garanti som ges av en europeisk tillhandahållare när det gäller certifikat som utfärdats i tredje land - är acceptabla endast under förutsättning att tredje land beviljar samma eller likvärdig behandling av tillhandahållare eller certifikat som härrör från samtliga medlemsländer.

3.7.2. När det gäller att erkänna certifikat eller tillhandahållare från tredje land på basis av ett bilateralt avtal med ett medlemsland noterar kommittén att en sådan princip är likvärdig med att snedvrida konkurrensen mellan medlemsländerna, i synnerhet mellan länder med liberalare bestämmelser än andra. Den fria rörligheten för tjänster får inte användas som en "trojansk häst" för att föra in operatörer eller produkter från tredje land i EU genom bilaterala avtal med ett enda medlemsland.

3.7.3. Det tjänar ingenting till att som motargument hänvisa till tidigare direktiv, till exempel det andra bankdirektivet. I det fallet utövar värdmedlemslandet ständig kontroll och garanterar betalningsförmågan hos det tredjelandsföretag som dock måste vara fysiskt på plats i värdlandet. Dessa villkor är inte alls uppfyllda när det gäller elektroniska signaturer.

3.8. Artikel 8

De bestämmelser som framhålls i denna artikel kräver inte några särskilda kommentarer med undantag för bestämmelserna under punkt 4 som rör användning av pseudonymer. Tillhandahållaren av tjänsten måste kunna överföra uppgifter om den registrerade personens identitet på begäran av de offentliga myndigheterna och med den registrerade personens samtycke. Direktivförslagen svarar dock inte på vilken ställning tillhandahållarens skulle ha om den registrerade personen inte skulle samtycka till att avslöja sin identitet för myndigheterna.

3.8.1. I den andra delen av artikel 8.4 finns fler frågetecken. Om den nationella lagstiftningen kräver att tillhandahållaren - vid brottsutredningar där det föreligger misstanke om brott mot användning av elektroniska signaturer under pseudonym - överför uppgifter om den aktuella personens identitet informeras den sistnämnde om överföringen efter det att utredningen avslutats.

3.8.2. Kommittén frågar sig om det är värt att gå in på detta i detalj. När utredningen väl är avslutad kommer personen i fråga redan att känna till att hans uppgifter har avslöjats - bestämmelsen verkar alltså överflödig. När det gäller "nationell lagstiftning" noterar kommittén också att man klart bör ange vilken nationell lagstiftning som är aktuell: om det är lagstiftningen i tjänsteleverantörens hemland - vilket är troligt - eller lagstiftningen i den registrerade personens land (under förutsättning att personen är känd) eller lagstiftningen i ett annat medlemsland. Eftersom det här - även om det inte anges uttryckligt - handlar om brottsbekämpning borde direktivet vara klarare när det gäller vilka förfaranden som skall tillämpas och vilka tillhandahållarens rättigheter och skyldigheter är.

3.8.3. Med hänsyn till allt detta frågar sig ESK om det inte skulle vara värt att se över hela texten i denna artikel och helt enkelt hänvisa till bestämmelserna i direktivet om skydd av personuppgifter och direktivet mot pengatvätt. I själva verket finns det i detta avseende inga skillnader mellan papperstransaktioner och elektroniska transaktioner.

3.9. Artiklarna 9 och 10

I dessa artiklar föreskrivs inrättande av en "kommitté för elektroniska signaturer" som skall bestå av representanter för medlemsstaterna och ha en företrädare för kommissionen som ordförande. Denna kommitté skall rådfrågas om de krav som är tillämpliga på tillhandahållarna och om de standarder som gäller för produkter inom området elektroniska signaturer. Kommissionen skall informera denna kommitté om resultaten av kommissionens regelbundna sammanträden med företagen, användarna och konsumenterna.

3.9.1. ESK beaktar detta initiativ, men frågar sig om det verkligen är nödvändigt att inrätta en kommitté. Kommissionen skulle lätt inom ramen för sina institutionella funktioner kunna rådfråga medlemsstaterna och de aktuella parterna utan denna samverkan, som också utgör en överlappning av kommissionens befogenheter. Framför allt rör det sig om ett förfarande som kommissionen normalt följer, och därför förstår ESK inte behovet av ökad byråkrati som inte heller skulle förbättra effektiviteten.

3.10. Artiklarna 12 och 13

Dessa två artiklar - som verkar vara omvända både tidsmässigt och logiskt - föreskriver att direktivet skall antas av medlemsstaterna senast den 31 december 2000 och att kommissionen skall meddela Europaparlamentet och rådet om direktivets effektivitet första gången senast den 31 december 2002. Kommittén har vid mer än ett tillfälle () understrukit behovet av att anta en enhetlig lagstiftning när det gäller informationssamhället, som är ett mycket betydande område. Kommittén frågar sig om det verkligen är nödvändigt att ge medlemsstaterna så mycket tid för att anta direktivet med tanke på att vissa medlemsstater har varit snabba när det gäller att på mycket kort tid införa egen lagstiftning. Dessa harmoniseringsåtgärder - som i själva verket är få - borde varken kräva överdrivet stora ansträngningar att genomföra eller lång tid för de nationella lagstiftarna. En period på ett år från direktivets antagande borde räcka, enligt kommitténs åsikt, för att införa eventuella - och anspråkslösa - ändringar i den befintliga lagstiftningen eller för att utarbeta ny lagtext.

Bryssel den 2 december 1998.

Ekonomiska och sociala kommitténs ordförandeBeatrice RANGONI MACHIAVELLI

() KOM(97) 503 slutlig, 8.10.1997.

() EGT C 157, 25.5.1998.

() EGT C 284, 14.9.1998.

() KOM(98) 297 slutlig, punkt 1.7.

() EGT C 284, 14.9.1998.

() EGT C 284, 14.9.1998; EGT C 95, 30.3.1998; EGT C 19, 21.1.1998.