2229293GN031171999/2000117propproppropProposition 1999/2000:117PropositionPropositionNäringsdepartementet11702000-05-18 00:00:002025-12-19 14:06:092000-01-01 00:00:00Lag om kvalificerade elektroniska signaturer, m.m.digitaliseradhtmlskarvenhttps://data.riksdagen.se/dokument/GN03117/texthttps://data.riksdagen.se/dokument/GN03117https://data.riksdagen.se/dokumentstatus/GN03117
<h1><a name="caption1"></a>Regeringens proposition<br>1999/2000:117</h1>
<h2>Lag om kvalificerade elektroniska signaturer, m.m.</h2><img src="https://data.riksdagen.se/fil/GN03117/prop_19992000__117-1.png" style="width:38pt;height:41pt;"/>
<p>Prop.</p>
<p>1999/2000:117</p>
<p>Regeringen överlämnar denna proposition till riksdagen.</p>
<p>Malmö den 18 maj 2000</p>
<p>Göran Persson</p>
<p>Mona Sahlin</p>
<p>(Näringsdepartementet)</p>
<h2>Propositionens huvudsakliga innehåll</h2>
<p>För genomförande av ett EG-direktiv om ett gemenskapsramverk för<br>elektroniska signaturer (1999/93/EG) föreslås i propositionen en ny lag<br>om s.k. kvalificerade elektroniska signaturer. Vidare föreslås en mindre<br>ändring i sekretesslagen (1980:100) för att tillgodose behovet av<br>sekretesskydd för koder o.d. som möjliggör säkerhetskontroll.</p>
<p>En elektronisk signatur kan användas för att säkerställa att elektroniskt<br>överförd information inte har förändrats, att informationens avsändare är<br>den som uppges samt att avsändaren inte senare förnekar att han eller hon<br>sänt informationen.</p>
<p>För att kunna använda en elektronisk signatur i ett öppet system där<br>parterna inte känner varandra i förväg, såsom Internet, behöver partema<br>kunna inhämta information om kopplingen mellan en elektronisk signatur<br>och en bestämd person. Därför har det utvecklats ett system för elektro-<br>niska signaturer som kan benämnas det öppna nyckelsystemet (Public<br>Key Infrastructure, PKI). I detta system utfärdas ett elektroniskt intyg<br>(certifikat) av en betrodd tredje part. Ett certifikat innehåller uppgifter om<br>vem som är innehavare av en elektronisk signatur.</p>
<p>Direktivets reglering bygger på elektroniska signaturer enligt det öppna<br>nyckelsystemet. Det innehåller främst näringsrättsliga regler om dem som<br>utfärdar vissa certifikat, men även regler om skadeståndsansvar och om<br>rättsverkan av elektroniska signaturer.</p>
<p>Den föreslagna lagen innehåller regler om krav på, tillsyn över och<br>skadeståndsansvar för den som utfärdar certifikat för elektroniska signa-<br>turer till allmänheten, om certifikaten anges ha en viss säkerhetsnivå.<br>Sådana certifikat kallas i lagen för kvalificerade certifikat. En särställning<br>ges vidare åt elektroniska signaturer med en viss säkerhetsnivå, s.k.</p>
<p>1 Riksdagen 1999/2000. 1 saml. Nr 117<br></p>
<p>kvalificerade elektroniska signaturer. Lagens regler omfattar inte Prop. 1999/2000:117<br>certifikat som utfärdas inom s.k. slutna system. Lagen reglerar inte heller<br>frågor om ingående eller giltighet av avtal.</p>
<p>Enligt direktivet kan medlemsstaterna infora frivilliga ackrediterings-<br>system som syftar till att höja nivån på tillhandahållandet av certifikat-<br>tjänster. Lagen (1992:1119) om teknisk kontroll ger möjlighet till frivillig<br>ackreditering av certifieringsorgan med det syfte som anges i direktivet.</p>
<p>En tillsynsmyndighet förutses utöva tillsyn över efterlevnaden av<br>bestämmelserna i lagen och föreskrifter som meddelas med stöd av lagen.<br>Regeringen bemyndigas att införa ett avgiftssystem för att bekosta<br>myndighetens verksamhet.</p>
<p>Den nya lagen föreslås träda i kraft den 1 januari 2001.</p>
<h2>Innehållsförteckning</h2>
<p>Prop. 1999/2000:117</p>
<p>1 Förslag till riksdagsbeslut.................................................................5</p>
<p>2 Lagtext...............................................................................................6</p>
<p>2.1 Förslag till lag om kvalificerade elektroniska signaturer... 6</p>
<p>2.2 Förslag till lag om ändring i sekretesslagen (1980:100)... 12</p>
<p>3 Ärendet och dess beredning............................................................13</p>
<p>4 Bakgrund och utgångspunkter.........................................................14</p>
<p>4.1 Varför behövs elektroniska signaturer?............................14</p>
<p>4.2 Rätts- och bevisverkan av signaturer................................15</p>
<p>4.3 Tekniska grunder..............................................................18</p>
<p>4.3.1 Kryptografisk teknik med hemliga och</p>
<p>öppna nycklar.................................................20</p>
<p>4.3.2 Utrustning för att signera elektroniskt............21</p>
<p>4.3.3 Certifikat.........................................................21</p>
<p>4.3.4 Infrastruktur för öppna nycklar......................22</p>
<p>4.3.5 Vissa säkerhetsfrågor för system med</p>
<p>elektroniska signaturer....................................22</p>
<p>4.4 Standardisering, ackreditering, certifiering......................24</p>
<p>5 Direktivet om ett gemenskap sramverk för elektroniska</p>
<p>signaturer.........................................................................................26</p>
<p>5.1 Allmänt.............................................................................26</p>
<p>5.2 Tillämpningsområde.........................................................28</p>
<p>5.3 Definitioner.......................................................................28</p>
<p>5.4 Marknadstillträde..............................................................29</p>
<p>5.5 Fri rörlighet.......................................................................30</p>
<p>5.6 Rättslig verkan..................................................................30</p>
<p>5.7 Skadestånd........................................................................31</p>
<p>5.8 Internationella aspekter.....................................................31</p>
<p>5.9 Dataskydd.........................................................................32</p>
<p>5.10 Kommitté..........................................................................32</p>
<p>5.11 Anmälan, genomförande och översyn..............................32</p>
<p>6 Genomförande av direktivet............................................................32</p>
<p>6.1 En ny lag...........................................................................33</p>
<p>6.2 Lagens syfte och tillämpningsområde..............................34</p>
<p>6.3 Definitioner.......................................................................37</p>
<p>6.4 Kvalificerade certifikat.....................................................41</p>
<p>6.5 Utfärdande av kvalificerade certifikat..............................42</p>
<p>6.6 Standardisering.................................................................43</p>
<p>6.7 Ackreditering och certifiering..........................................44</p>
<p>6.8 Anordningar för signaturffamställning.............................46</p>
<p>6.9 Skadestånd........................................................................48</p>
<p>6.9.1 Allmänt om skadestånd och användning av</p>
<p>elektroniska signaturer....................................48</p>
<p>6.9.2 Genomförandet av direktivets artikel om</p>
<p>skadestånd.......................................................50</p>
<p>6.10 Behandling av personuppgifter.........................................54</p>
<p>6.11 Kvalificerade elektroniska signaturer...............................55</p>
<p>6.12 Tillsyn...............................................................................60</p>
<p>7 Val av tillsynsmyndighet.................................................................64</p>
<p>8 Finansieringen av tillsynsmyndighetens verksamhet......................66</p>
<p>9 Sekretessfrågor................................................................................67</p>
<p>10 Ikraftträdande..................................................................................68</p>
<p>11 Kostnader........................................................................................69</p>
<p>12 F örfattningskommentar...................................................................69</p>
<p>12.1 Förslaget till lag om kvalificerade elektroniska</p>
<p>signaturer..........................................................................69</p>
<p>12.2 Förslaget till lag om ändring i sekretesslagen...................81</p>
<p>Bilaga 1 Europaparlamentets och rådets direktiv 1999/93/EG av den</p>
<p>13 december 1999 om ett gemenskapsramverk for<br>elektroniska signaturer..........................................................82</p>
<p>Bilaga 2 Promemorians lagförslag.......................................................91</p>
<p>Bilaga 3 Förteckning över remissinstanserna avseende Ds 1999:73... 96<br>Bilaga 4 Förteckning över remissinstanserna avseende</p>
<p>SOU 1996:40.........................................................................97</p>
<p>Bilaga 5 Lagrådsremissens lagförslag.................................................98</p>
<p>Bilaga 6 Lagrådets yttrande...............................................................105</p>
<p>Utdrag ur protokoll vid regeringssammanträde den 18 maj 2000.........109</p>
<p>Rättsdatablad.........................................................................................110</p>
<p>Prop. 1999/2000:117</p>
<h2>1 Förslag till riksdagsbeslut</h2>
<p>Regeringen föreslår att riksdagen antar regeringens förslag till</p>
<p>1. lag om kvalificerade elektroniska signaturer,</p>
<p>2. lag om ändring i sekretesslagen (1980:100).</p>
<p>Prop. 1999/2000:117</p>
<h2>Lagtext</h2>
<p>Prop. 1999/2000:117</p>
<p>Regeringen har följande förslag till lagtext.</p>
<h3>2.1 Förslag till lag om kvalificerade elektroniska<br>signaturer</h3>
<p>Härigenom föreskrivs<sup>1</sup> följande.</p>
<h4>Allmän bestämmelse</h4>
<p>1 § Syftet med denna lag är att underlätta användningen av elektroniska<br>signaturer, genom bestämmelser om säkra anordningar för signatur-<br>framställning, om kvalificerade certifikat för elektroniska signaturer och<br>om utfärdande av sådana certifikat.</p>
<p>Lagen gäller sådana certifikatutfardare som är etablerade i Sverige och<br>som utfärdar kvalificerade certifikat till allmänheten.</p>
<h4>Definitioner</h4>
<p>2 § I lagen avses med</p>
<p>elektronisk signatur: data i elektronisk form som är fogade till eller<br>logiskt knutna till andra elektroniska data och som används för att<br>kontrollera att innehållet härrör från den som framstår som utställare och<br>att det inte har förvanskats,</p>
<p>avancerad elektronisk signatur: elektronisk signatur som</p>
<p>a) är knuten uteslutande till en undertecknare,</p>
<p>b) gör det möjligt att identifiera undertecknaren,</p>
<p>c) är skapad med hjälpmedel som endast undertecknaren kontrollerar,<br>och</p>
<p>d) är knuten till andra elektroniska data på ett sådant sätt att förvansk-<br>ningar av dessa data kan upptäckas,</p>
<p>kvalificerad elektronisk signatur: avancerad elektronisk signatur som<br>är baserad på ett kvalificerat certifikat och som är skapad av en säker<br>anordning för signaturframställning,</p>
<p>undertecknare: fysisk person som behörigen innehar en anordning för<br>signaturframställning,</p>
<p>signaturframställningsdata: unika data, såsom koder eller hemliga<br>krypteringsnycklar, som används för att skapa en elektronisk signatur,</p>
<p>anordning for signaturframställning: maskin- eller programvara för<br>användning av signaturframställningsdata,</p>
<p>säker anordning for signaturframställning: anordning för signatur-<br>framställning som uppfyller kraven i 3 §,</p>
<p>signaturverifieringsdata: data, såsom koder eller öppna krypte-<br>ringsnycklar, som används för att verifiera en elektronisk signatur,</p>
<p><sup>1</sup> Jfr Europaparlamentets och rådets direktiv 1999/93/EG av den 13 december 1999 om ett<br>gemenskapsramverk för elektroniska signaturer (EGT L 13, 19.1.2000, s. 12, Celex<br>399L0093).</p>
<p>certifikat: intyg i elektronisk form som kopplar ihop signatur- Prop. 1999/2000:117<br>verifieringsdata med en undertecknare och bekräftar dennes identitet,</p>
<p>kvalificerat certifikat: certifikat som uppfyller kraven i 6 eller 7 §,<br>certifikatutfärdare: den som utfärdar certifikat eller som garanterar att<br>någon annans certifikat uppfyller vissa krav.</p>
<h4>Säkra anordningar for signaturframställning</h4>
<p>3 § En anordning för signaturframställning som anges vara säker skall<br>säkerställa att signaturen är tillfredsställande skyddad mot förfalskning.<br>Anordningen skall även säkerställa att signaturframställningsdata</p>
<p>1. i praktiken kan förekomma endast en gång,</p>
<p>2. med rimlig säkerhet inte kan härledas, och</p>
<p>3. på ett tillfredsställande sätt kan skyddas av den behörige under-<br>tecknaren, så att andra inte kan komma åt eller använda dem.</p>
<p>Anordningen får inte förändra de uppgifter som skall signeras<br>elektroniskt eller hindra att de presenteras för undertecknaren före den<br>elektroniska signeringen.</p>
<p>4 § Kraven i 3 § på en säker anordning för signaturframställning skall<br>anses uppfyllda för sådan maskin- eller programvara som överens-<br>stämmer med sådana standarder för produkter för elektroniska signaturer<br>som Europeiska gemenskapernas kommission fastställt och offentliggjort<br>referensnummer till i Europeiska gemenskapernas officiella tidning.</p>
<p>5 § En anordning som anges vara en säker anordning för signatur-<br>framställning far släppas ut på marknaden eller användas för att skapa en<br>kvalificerad elektronisk signatur endast om den uppfyller kraven i 3 §. En<br>prövning av om kraven är uppfyllda skall göras av ett organ som anmälts<br>för detta ändamål enligt lagen (1992:1119) om teknisk kontroll.</p>
<p>Med en prövning enligt första stycket likställs en prövning av ett organ<br>som anmälts för samma ändamål av en annan stat inom Europeiska<br>ekonomiska samarbetsområdet.</p>
<h4>Kvalificerade certifikat</h4>
<p>6 § För att ett certifikat skall fa kallas kvalificerat skall det vara utfärdat<br>för viss tid av en certifikatutfärdare, som uppfyller kraven i 9-12 §§ och<br>föreskrifter meddelade med stöd av 13 §, samt innehålla</p>
<p>1. uppgift om att det utfärdats som ett kvalificerat certifikat,</p>
<p>2. certifikatutfärdarens namn och adress samt uppgift om etablerings-<br>land,</p>
<p>3. undertecknarens namn eller pseudonym med uppgift om att det är en<br>pseudonym,</p>
<p>4. särskilda uppgifter om undertecknaren, om de är relevanta för ända-<br>målet med certifikatet,</p>
<p>5. signaturverifieringsdata som motsvarar de signaturframställnings-<br>data som undertecknaren vid tidpunkten för utfärdandet har kontroll över,</p>
<p>6. uppgift om certifikatets giltighetstid,</p>
<p>7. certifikatets identifieringskod, Prop. 1999/2000:117</p>
<p>8. certifikatutfardarens avancerade elektroniska signatur eller en elek-<br>tronisk signatur med motsvarande säkerhetsnivå, och</p>
<p>9. uppgift om eventuella begränsningar av certifikatets användnings-<br>område eller av värdet på de transaktioner for vilka certifikatet kan<br>användas (transaktionsbelopp).</p>
<p>Regeringen eller, efter regeringens bemyndigande, tillsynsmyndigheten<br>far meddela närmare föreskrifter om krav enligt första stycket.</p>
<p>7 § Om ett certifikat som uppfyller kraven i 6 § första stycket 1-9<br>utfärdats av en certifikatutfärdare som inte är etablerad i Sverige skall<br>certifikatet anses kvalificerat om</p>
<p>1. certifikatutfardaren är etablerad i en annan stat inom Europeiska<br>ekonomiska samarbetsområdet och där far utfärda kvalificerade<br>certifikat,</p>
<p>2. certifikatutfärdaren uppfyller krav som motsvarar dem som anges i</p>
<p>9-12 §§ och föreskrifter meddelade med stöd av 13 § och är ackrediterad</p>
<p>i en annan stat inom Europeiska ekonomiska samarbetsområdet, eller</p>
<p>3. certifikatet garanteras vara kvalificerat av en certifikatutfärdare som<br>avses i 1 eller i 6 § första stycket.</p>
<h4>Utfärdande av kvalificerade certifikat</h4>
<p>8 § En certifikatutfärdare som avser att utfärda kvalificerade certifikat<br>till allmänheten är skyldig att anmäla detta hos den myndighet som<br>regeringen bestämmer (tillsynsmyndigheten) innan verksamheten<br>påbörjas.</p>
<p>9 § En certifikatutfärdare som utfärdar kvalificerade certifikat till<br>allmänheten skall bedriva verksamheten tillförlitligt och</p>
<p>1. ha personal med tillräcklig kompetens och erfarenhet för verk-<br>samheten, särskilt vad avser ledning, teknik och säkerhetsrutiner,</p>
<p>2. använda sådana rutiner för administration och ledning som uppfyller<br>erkända standarder,</p>
<p>3. använda pålitliga system och produkter som är skyddade mot<br>ändringar och se till att teknisk och kryptografisk säkerhet upprätthålls,</p>
<p>4. förfoga över tillräckliga ekonomiska medel för att kunna bedriva<br>verksamheten enligt denna lag och bära risken för skadeståndsskyldighet,</p>
<p>5. ha säkra rutiner för identitetskontroll av de undertecknare som<br>kvalificerade certifikat utfärdas till,</p>
<p>6. förfoga över ett snabbt och säkert system för registrering och<br>omedelbar återkallelse av kvalificerade certifikat, och</p>
<p>7. vidta åtgärder mot förfalskning av kvalificerade certifikat och i före-<br>kommande fall se till att framställandet av signaturframställningsdata<br>sker konfidentiellt.</p>
<p>Kraven i första stycket 3 skall anses uppfyllda för sådan maskin- eller<br>programvara som överensstämmer med sådana standarder för produkter<br>för elektroniska signaturer som Europeiska gemenskapernas kommission<br>fastställt och offentliggjort referensnummer till i Europeiska gemen-<br>skapernas officiella tidning. g</p>
<p>10 § En certifikatutfärdare som utfärdar kvalificerade certifikat till Prop. 1999/2000:117<br>allmänheten skall</p>
<p>1. omedelbart återkalla ett certifikat när undertecknaren begär det eller<br>när det annars finns anledning till det,</p>
<p>2. säkerställa att exakt tidpunkt kan anges för utfärdande och åter-<br>kallelse av certifikat, och</p>
<p>3. säkerställa att av utfärdaren framställda signaturframställningsdata<br>och signaturverifieringsdata kan användas som komplement till varandra.</p>
<p>11 § En certifikatutfärdare som utfärdar kvalificerade certifikat till<br>allmänheten skall bevara all relevant information om certifikaten under<br>den tid som är motiverad med hänsyn till typen av certifikat och övriga<br>omständigheter. Certifikatutfärdaren skall även använda tillförlitliga<br>system för lagring av kvalificerade certifikat i verifierbar form, så att</p>
<p>1. endast behöriga personer kan göra tillägg och ändringar,</p>
<p>2. uppgifternas äkthet kan kontrolleras,</p>
<p>3. certifikaten är offentligt tillgängliga endast när innehavarna av<br>certifikaten har lämnat sitt samtycke, och</p>
<p>4. tekniska förändringar som äventyrar säkerhetskraven framgår för</p>
<p>den som handhar systemet.</p>
<p>Certifikatutfärdaren far inte lagra eller kopiera signaturframställnings-</p>
<p>data.</p>
<p>12 § Innan en certifikatutfärdare ingår avtal om att utfärda ett kvali-<br>ficerat certifikat skall certifikatutfärdaren skriftligen och på ett lätt-<br>begripligt språk informera motparten om</p>
<p>1. begränsningar och andra villkor för användning av certifikatet,</p>
<p>2. frivillig ackreditering eller certifiering som avses i lagen</p>
<p>(1992:1119) om teknisk kontroll, och</p>
<p>3. förfaranden för klagomål och avgörande av tvister.</p>
<p>Informationen enligt första stycket far överföras elektroniskt.</p>
<p>Informationen skall göras tillgänglig också för annan som är beroende</p>
<p>av certifikatet och som begär att fa den.</p>
<p>13 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig-<br>heten får utfärda närmare bestämmelser om krav enligt 9—12 §§.</p>
<h4>Skadestånd</h4>
<p>14 § En certifikatutfärdare som till allmänheten utfärdar certifikat som<br>anges vara kvalificerade skall ersätta den skada som åsamkats den som<br>förlitat sig på certifikatet, om skadan uppkommit genom att</p>
<p>1. certifikatutfärdaren inte har uppfyllt kraven i 10 §,</p>
<p>2. certifikatet inte uppfyller kraven i 6 § första stycket, eller</p>
<p>3. certifikatet vid utfärdandet innehöll felaktiga uppgifter.</p>
<p>Certifikatutfärdaren är dock inte skyldig att betala ersättning om<br>utfärdaren kan visa att skadan inte har orsakats av vårdslöshet hos<br>utfärdaren själv. Certifikatutfärdaren är inte heller ersättningsskyldig för<br>en skada som härrör från att ett kvalificerat certifikat använts i strid med<br></p>
<p>begränsningar som gäller användningsområde eller transaktionsbelopp<br>och som tydligt angetts i certifikatet.</p>
<p>Vad som sägs i första stycket 2 och 3 samt i andra stycket gäller även<br>en certifikatutfärdare som garanterar att en annan certifikatutfardares<br>certifikat är kvalificerade.</p>
<p>15 § Avtalsvillkor som i jämförelse med 14 § är till nackdel för den som<br>förlitar sig på certifikatet är utan verkan mot denne.</p>
<h4>Behandling av personuppgifter</h4>
<p>16 § En certifikatutfärdare som utfärdar certifikat till allmänheten far<br>inhämta personuppgifter endast direkt från den som uppgifterna avser<br>eller med dennes uttryckliga samtycke och endast i den utsträckning som<br>är nödvändig för att utfärda eller upprätthålla ett certifikat. Uppgifterna<br>far inte samlas in eller behandlas för andra ändamål utan uttryckligt<br>samtycke från den som uppgifterna avser.</p>
<h4>Kvalificerade elektroniska signaturer</h4>
<p>17 § Om det i lag eller annan författning ställs krav på egenhändig<br>underskrift eller motsvarande och om det är tillåtet att uppfylla kravet<br>med elektroniska medel, skall en kvalificerad elektronisk signatur anses<br>uppfylla kravet. Vid kommunikation med eller mellan myndigheter kan<br>dock användningen av elektroniska signaturer vara förenad med<br>ytterligare krav.</p>
<h4>Tillsyn</h4>
<p>18 § Tillsynsmyndigheten skall ha tillsyn över efterlevnaden av denna<br>lag och föreskrifter som har utfärdats med stöd av lagen.</p>
<p>Tillsynsmyndigheten skall föra och ge offentlighet åt en förteckning<br>över certifikatutfärdare som anmält sig enligt 8 § och som enligt denna<br>lag får utfärda kvalificerade certifikat.</p>
<p>19 § Tillsynsmyndigheten har rätt att på begäran fa de upplysningar och<br>ta del av de handlingar som behövs för tillsynen.</p>
<p>Tillsynsmyndigheten har också rätt att fa tillträde till områden, lokaler<br>och andra utrymmen, dock inte bostäder, där verksamhet som står under<br>tillsyn bedrivs.</p>
<p>Tillsynsmyndigheten har rätt att få biträde av kronofogdemyndigheten<br>för tillsyn enligt första och andra styckena.</p>
<p>20 § Tillsynsmyndigheten får meddela de förelägganden och förbud som<br>behövs för efterlevnaden av denna lag eller av föreskrifter som meddelats<br>med stöd av lagen.</p>
<p>Tillsynsmyndigheten får förelägga en certifikatutfärdare, som till<br>allmänheten utfärdar certifikat som anges vara kvalificerade, att helt eller<br>delvis upphöra med denna verksamhet, endast om mindre ingripande<br></p>
<p>Prop. 1999/2000:117</p>
<p>10</p>
<p>åtgärder visat sig vara verkningslösa. Myndigheten far besluta hur Prop. 1999/2000:117<br>verksamheten skall avvecklas.</p>
<p>21 § Förelägganden och förbud enligt denna lag far förenas med vite.</p>
<h4>Avgifter</h4>
<p>22 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig-<br>heten far meddela föreskrifter om skyldighet for certifikatutfärdare som<br>utfärdar kvalificerade certifikat till allmänheten att betala avgift för<br>tillsynsmyndighetens verksamhet enligt denna lag.</p>
<h4>Överklagande</h4>
<p>23 § Tillsynsmyndighetens beslut enligt denna lag eller enligt före-<br>skrifter som meddelats med stöd av lagen far överklagas hos allmän<br>förvaltningsdomstol.</p>
<p>Prövningstillstånd krävs vid överklagande till kammarrätten.</p>
<p>Tillsynsmyndigheten far bestämma att beslut enligt denna lag skall<br>gälla omedelbart.</p>
<p>1. Denna lag träder i kraft den 1 januari 2001.</p>
<p>2. Certifikatutfärdare som redan före ikraftträdandet utfärdar sådana<br>certifikat som medför anmälningsplikt enligt 8 § behöver inte göra<br>anmälan före den 1 februari 2001.</p>
<p>3. 15 § tillämpas inte i fråga om avtal som träffats före ikraftträdandet.</p>
<p>11</p>
<p>2.2</p>
<h3>Förslag till lag om ändring i sekretesslagen<br>(1980:100)</h3>
<p>Härigenom föreskrivs att 5 kap. 3 § sekretesslagen (1980:100)’ skall ha<br>följande lydelse.</p>
<p>Nuvarande lydelse Föreslagen lydelse</p>
<p>Prop. 1999/2000:117</p>
<h4>5 kap.</h4>
<p>Sekretess gäller för uppgift som<br>lämnar eller kan bidra till upplys-<br>ning om chiffer, kod eller liknande<br>metod som har till syfte att under-<br>lätta befordran eller användning i<br>allmän verksamhet av uppgifter<br>utan att föreskriven sekretess<br>åsidosätts, om det kan antas att<br>syftet med metoden motverkas om<br>uppgiften röjs.</p>
<p>Sekretess gäller i verksamhet som avser förande av eller uttag ur<br>körkortsregistret för uppgift om körkorts referensnummer, om det inte<br>står klart att uppgiften kan röjas utan fara för att kontrollen av körkorts<br>äkthet motverkas om uppgiften röjs.</p>
<p>3 §<sup>2</sup></p>
<p>Sekretess gäller för uppgift som<br>lämnar eller kan bidra till upplys-<br>ning om chiffer, kod eller liknande<br>metod som har till syfte att</p>
<p>1. underlätta befordran eller<br>användning i allmän verksamhet<br>av uppgifter utan att föreskriven<br>sekretess åsidosätts, eller</p>
<p>2. göra det möjligt att kontroll-<br>era om data i elektronisk form har<br>förvanskats,</p>
<p>om det kan antas att syftet med<br>metoden motverkas om uppgiften<br>röjs.</p>
<p>Denna lag träder i kraft den 1 januari 2001.</p>
<p>Lagen omtryckt 1992:1474.</p>
<p>Senaste lydelse 1994:595.</p>
<p>12</p>
<h2>3 Ärendet och dess beredning</h2>
<p>Den 30 november 1999 antogs Europaparlamentets och rådets direktiv<br>1999/93/EG av den 13 december 1999 om ett gemenskapsramverk för<br>elektroniska signaturer. Direktivet innehåller bestämmelser om elektro-<br>niska signaturers rättsliga verkan och en reglering av de organ som avser<br>att erbjuda elektroniska intyg om signaturers äkthet. Direktivet trädde i<br>kraft den 19 januari 2000 och skall vara genomfört i medlemsstaterna<br>senast den 19 juli 2001. Direktivet bifogas som bilaga 1.</p>
<p>Under förhandlingarna om direktivet skedde samråd med en av<br>Näringsdepartementet tillkallad referensgrupp bestående av företrädare<br>för Kommerskollegium, Statskontoret, Riksarkivet, SWEDAC, Post- och<br>telestyrelsen, Konsumentverket, Riksskatteverket, Göteborgs universitet,<br>IT-kommissionen, Svenska kommunförbundet, Stockholms Handels-<br>kammare, SEIS, Sveriges advokatsamfund, Svenska Bankföreningen,<br>Sveriges Industriförbund, Svenska IT-företagen, Advokatfirman Lagerlöf<br>& Leman, Telia Promotor AB, Tele2 AB, Posten AB, Ericsson AB, iD2<br>Technologies AB och IBM Svenska AB.</p>
<p>Inför antagandet av direktivet var detta föremål för behandling i riks-<br>dagens EU-nämnd inför teleråden den 1 december 1997, den 19 maj och<br>27 november 1998 samt den 22 april och 30 november 1999.</p>
<p>Under hösten 1999 utarbetades inom Näringsdepartementet, i nära<br>samarbete med Justitiedepartementet, departementspromemorian Elek-<br>troniska signaturer (Ds 1999:73). Promemorian föregicks av samråd med<br>berörda departement i övriga nordiska länder, då tolkningen och genom-<br>förandet av direktivet diskuterades. Promemorians lagförslag bifogas som<br>bilaga 2.</p>
<p>Promemorian har remissbehandlats. En förteckning över remissinstan-<br>serna finns i bilaga 3. Remissyttrandena och en sammanställning av<br>dessa finns tillgängliga i Näringsdepartementet (dnr<br>NI999/12677/ITFoU). Av sammanställningen framgår att flertalet<br>remissinstanser i huvudsak tillstyrker den i promemorian föreslagna<br>lagen.</p>
<p>De nordiska överläggningarna har fortsatt även efter remissbehand-<br>lingen.</p>
<p>Den s.k. IT-utredningen överlämnade i mars 1996 betänkandet<br>Elektronisk dokumenthantering (SOU 1996:40). Där föreslogs bl.a. en<br>ändring i sekretesslagen med anledning av användningen av elektroniska<br>signaturer (se avsnitt 9). Betänkandet har remissbehandlats. En förteck-<br>ning över remissinstanserna finns i bilaga 4. Remissyttrandena och en<br>sammanställning av dessa finns tillgängliga i Justitiedepartementet (dnr<br>Jul996/1260/L6). Av sammanställningen framgår att remissinstanserna i<br>denna del tillstyrker förslaget eller i allt väsentligt lämnar det utan<br>erinran.</p>
<p>Lagrådet</p>
<p>Regeringen beslutade den 30 mars 2000 att inhämta Lagrådets yttrande<br>över de förslag som finns i bilaga 5.</p>
<p>Prop. 1999/2000:117</p>
<p>13</p>
<p>Lagrådet har i huvudsak godtagit förslagen, men föreslagit vissa<br>justeringar. Regeringen har i allt väsentligt följt Lagrådets förslag, vilket<br>bl.a. har medfört en omnumrering av 3-20 §§. Dessutom har vissa<br>redaktionella ändringar gjorts i lagtexten. Lagrådets synpunkter<br>behandlas i avsnitt 6.1, 6.11-6.12, 9 och 10 samt i författnings-<br>kommentarerna under respektive lagrum. Lagrådets yttrande finns i<br>bilaga 6.</p>
<h2>4 Bakgrund och utgångspunkter</h2>
<h3>4.1 Varför behövs elektroniska signaturer?</h3>
<p>En elektronisk signatur kan användas för att säkerställa att elektroniskt<br>överförd information inte har förändrats, för att identifiera informatio-<br>nens avsändare och för att förhindra avsändaren att förneka att han eller<br>hon sänt informationen.</p>
<p>Långt innan informationstekniken (IT) började förändra vårt sätt att<br>hantera och kommunicera information har den personliga namnteck-<br>ningen varit en väsentlig del av den ekonomiska och juridiska verklig-<br>heten. Namnteckningar eller signaturer tillgodoser flera olika behov vid<br>skriftlig informationshantering.</p>
<p>En signatur kan ge uttryck för en vilja att handla på ett visst sätt. När-<br>mast avser undertecknaren att acceptera innehållet i den text som är<br>placerad före namnteckningen. Nära knuten till denna viljefunktion är<br>den vamingsfunktion som är förbunden med namnteckningen. Ett krav på<br>underskrift klargör på ett tydligt sätt att en bindande förpliktelse kan vara<br>för handen.</p>
<p>Genom att skriva en namnteckning på en handling som innehåller en<br>text, knyts texten på visst sätt till namnteckningen och därmed till den<br>person som utpekas av namnteckningen. Namnteckningen kan sålunda<br>användas för att identifiera den person som skall knytas till texten. Det<br>faktum att både texten och namnteckningen fästs på papperet medför ett<br>visst skydd mot manipulation och talar för att handlingen är äkta.</p>
<p>Identifieringsfunktionen och äkthetsfunktionen kan användas i situa-<br>tioner där behov av bevisning uppkommer, t.ex. för att i efterhand styrka<br>rättshandlingar. Att förse en pappershandling med en namnteckning kan<br>sägas vara ett sätt att säkra eventuellt framtida behov av att kunna bevisa<br>såväl identiteten på som avsikten hos den som undertecknat en handling.<br>Uttryckt på ett annat sätt kan namnteckningen sägas ha en funktion som<br>hinder för undertecknaren att med framgång hävda att han eller hon inte<br>står bakom en handling (s.k. oavvislighet). Den omständigheten att en<br>person är ”närvarande” i ett IT-system innebär oftast bara att denne via<br>någon form av förbindelse är i direkt kontakt med det tekniska systemet.<br>Det finns därför ofta ett behov av att kunna verifiera användarens<br>identitet. Det behövs för att man skall kunna styra behörighet att ta del av<br>information som inte skall vara allmän. I vissa fall behövs det för att styra<br>någon mer materiell funktion, som t.ex. att fa tillgång till sedlar i en<br>uttagsautomat. Identitetsverifieringen används också för att i efterhand<br></p>
<p>Prop. 1999/2000:117</p>
<p>14</p>
<p>kunna spåra vad någon gjort i ett elektroniskt system. Den metod som Prop. 1999/2000:117<br>helt dominerat för att kontrollera identiteten av användare i datorsystem<br>är att använda ett lösenord, ibland reducerat till en fyrsiffrig<br>säkerhetskod. En elektronisk signatur kan utgöra en säkrare metod som<br>kan användas över Internet och andra osäkra förbindelser. Den mest<br>intressanta frågan är emellertid om elektroniska signaturer också kan ges<br>de funktioner vid elektronisk kommunikation som traditionella under-<br>skrifter har vid pappersbaserad kommunikation.</p>
<h3>4.2 Rätts- och bevisverkan av signaturer</h3>
<p>Allmänt</p>
<p>En nyckelfråga är om en elektronisk signatur kan ges samma rättsverkan<br>som en egenhändig namnunderskrift. Det är dock inte alltid klart vad som<br>avses med denna frågeställning. Frågan har vidare olika innebörd<br>beroende på vilken rättsordning man syftar på. Det finns rättsordningar<br>där den traditionella namnteckningen har en rättslig betydelse i större<br>utsträckning och på ett annat sätt än i svensk rätt. I Sverige finns det i<br>vaije fall inom civilrätten förhållandevis fa regler som innebär att<br>underskriften är en förutsättning för att vissa rättsverkningar skall inträda.<br>Däremot kan underskriften ofta ha betydelse som bevis för ett visst<br>påstått förhållande, dvs. bevisverkan.</p>
<p>Rättsverkan</p>
<p>När det gäller affarssituationer som avtal om köp av varor och tjänster<br>samt om hyra m.m. finns endast ett mycket begränsat antal situationer där<br>svensk lagstiftning kräver avtal i skriftlig form med underskrifter av<br>parterna. Som exempel kan nämnas fastighetsköp och krediter till<br>konsumenter. Ett avtal om köp av fast egendom skall enligt 4 kap. 1 §<br>jordabalken alltid upprättas skriftligen och undertecknas av köparen och<br>säljaren. Ett avtal som gäller kredit till konsument skall enligt 9 §<br>konsumentkreditlagen (1992:830) ingås skriftligen och undertecknas av<br>konsumenten. Frånvaron av underskrifter kan ha olika konsekvenser i<br>olika fall. I fallet med fastighetsförvärv är avtalet ogiltigt om underskrift<br>saknas. I fallet med konsumentkrediter är avtalet ändå giltigt, utom i<br>fråga om villkor som är till nackdel för konsumenten. På familjerättens<br>område finns det också ett antal situationer där det krävs underskrifter.<br>Det gäller exempelvis testamente och äktenskapsförord, som inte är<br>giltiga utan underskrifter. På förvaltningsrättens område finns det ett<br>tämligen stort antal regler om att ansökningar m.m. till myndigheter skall<br>göras skriftligen och undertecknas av exempelvis den sökande.</p>
<p>I det vardagliga privat- och affärslivet finns det dock väldigt fa lag-<br>regler om att underskrifter måste användas. Användningen av<br>underskrifter eller namnteckningar har i stället under lång tid utvecklats<br>som ett slags vardagens praxis. Undertecknandet har blivit en etablerad<br>metod för bekräftelse, kontroll och bevisning kring våra göranden och<br>låtanden i allmänhet. Detta är alltså något som i princip utvecklats utan</p>
<p>15<br></p>
<p>lagstiftning. Av någon betydelse i sammanhanget kan kanske vara<br>existensen av brottet ”förnekande av underskrift”. Enligt 15 kap. 13 §<br>brottsbalken kan nämligen den som förnekar sin underskrift på en urkund<br>dömas till böter eller fängelse i högst sex månader, förutsatt att åtgärden<br>innebär fara i bevishänseende. Om brottet är grovt är straffet fängelse i<br>högst två år.</p>
<p>Oavsett hur de lagregler som finns rörande underskrifter skall uppfattas<br>i samband med elektronisk kommunikation, är det knappast främst<br>lagstiftning som står i vägen för att elektroniska signaturer skall fa<br>samma betydelse som egenhändiga namnunderskrifter. Det viktigaste<br>torde i stället vara att det utvecklas säkra och lättanvända tekniska<br>lösningar for elektroniska signaturer så att människor känner tillit till dem<br>och tycker att de är praktiska att använda.</p>
<p>När det gäller de formkrav som ändå finns på underskrift i olika<br>författningar är den avgörande frågan om syftena bakom dessa krav lika<br>väl kan uppfyllas med elektroniska signaturer. I detta sammanhang kan<br>det vara intressant att erinra om det betraktelsesätt som kan uttolkas ur<br>UNCITRALrs<sup>1</sup> modellag om elektronisk handel<sup>2</sup>, kallat ”funktionell<br>ekvivalens”. Detta betraktelsesätt innebär att man, när man ställs infor<br>frågan om ett nytt kommunikationssätt bör omfattas av det gamla<br>regelverket, skall ta fasta på de bakomliggande syftena med regeln.<br>Sedan far man analysera om dessa syften kan tillgodoses också i den<br>elektroniska miljön. Det elektroniska kommunikationssättet skall inte<br>förnekas rättslig betydelse enbart på den grunden att det sker i elektronisk<br>form.</p>
<p>De formkrav på underskrifter som finns i svenska författningar kan ha<br>många syften. Ett syfte kan vara att säkra bevisning om att en åtgärd<br>vidtagits, om vem som vidtagit den och om dess innehåll. Därvid kan ett<br>viktigt syfte vara att det på ett smidigt sätt skall gå att arkivera och bevara<br>informationen under mycket lång tid. Ett annat syfte kan vara att det for<br>statsmakterna kan underlätta vissa förfaranden, exempelvis beskattning.<br>Ett betydelsefullt syfte är vidare ofta att formkrav kan ha en vamings-<br>funktion, dvs. mana till och ge tid för eftertanke innan man vidtar en<br>betydelsefull rättshandling eller annan åtgärd. Dessa formkrav infördes<br>innan det var aktuellt med elektroniska rutiner och signaturer eller kan<br>antas ha tillkommit utan att informationstekniken har beaktats.</p>
<p>Frågan är då hur krav på underskrift eller liknande uttrycksätt bör<br>förstås vid elektronisk hantering. Denna fråga har behandlats bl.a. i<br>betänkandet Elektronisk dokumenthantering (SOU 1996:40, s. 93 ff). I<br>betänkandet anförs att ordet ”skriftlig”, i anknytning till förfaranderegler,<br>huvudsakligen synes användas för att utesluta muntliga rutiner och<br>utesluter därmed inte användning av elektroniska rutiner. I betänkandet<br>konstateras emellertid att när det krävs att en handling skall vara<br>”undertecknad” innefattas inte elektroniska rutiner. Här hänvisar<br>utredaren bl.a. till att telefaxmeddelanden i praxis inte ansetts uppfylla<br>rättegångsbalkens krav på att handlingen skall vara egenhändigt<br>undertecknad genom att det i kravet på egenhändigt undertecknande</p>
<p><sup>1</sup> United Nations Commission on International Trade Law.</p>
<p><sup>2</sup> ”Model Law on Electronic Commerce”, antagen 1996.<br></p>
<p>Prop. 1999/2000:117</p>
<p>16</p>
<p>också har ansetts ligga ett krav på att det just är det undertecknade<br>exemplaret som skall ges in till domstolen.</p>
<p>Ett åtminstone delvis annorlunda synsätt förefaller finnas hos Christina<br>Hultmark (se exempelvis Elektronisk handel och avtal, 1998, s. 65 ff).<br>Med utgångspunkt från en analys av syftena bakom olika formkravsregler<br>menar hon att ett krav på underskrift i en författning i allmänhet inte<br>behöver betyda att det krävs en egenhändigt skriven namnunderskrift,<br>utan att det skulle gå lika bra med en elektronisk signatur. Resonemanget<br>bygger på principen om funktionell ekvivalens som kan härledas från<br>UNCITRALrs modellag om elektronisk handel (se ovan).</p>
<p>Även om man anlägger ett sådant betraktelsesätt som kan uttolkas ur<br>UNCITRAL:s modellag är det i dag inte realistiskt att tänka sig att<br>svenska domstolar och myndigheter skulle tolka alla formkrav på<br>underskrift eller liknande i författningar så att de även skulle kunna<br>uppfyllas genom elektroniska signaturer. I sammanhanget är det dock<br>intressant att påpeka att när det gäller formkrav som kräver skriftlighet<br>har myndigheter och domstolar på vissa områden godtagit att dessa krav<br>kan uppfyllas med elektroniska rutiner, exempelvis telefax.</p>
<p>Elektroniska signaturers likställighet med traditionella egenhändiga<br>namnunderskrifter är en komplicerad fråga. Det är viktigt att komma ihåg<br>att de är olika till sin natur och utförs på olika sätt. Den elektroniska sig-<br>naturen bygger ofta på ett komplicerat tekniskt krypteringsförfarande,<br>och en och samma signatur kan oftast användas av alla personer som har<br>tillgång till de nödvändiga koderna och signeringsutrustningen. Det är<br>alltså i och för sig möjligt för den som är innehavare av de nödvändiga<br>koderna eller nycklarna, att lämna dem till andra personer och låta dessa<br>göra signaturer med hjälp av nycklarna. Eftersom en elektronisk signatur<br>är resultatet av en beräkning som görs dels med stöd av de nödvändiga<br>nycklarna, dels med stöd av innehållet i den handling som skall signeras,<br>har dock en elektronisk signatur inget värde fristående från den handling<br>till vilken den är knuten. En elektronisk signatur är följaktligen direkt<br>kopplad till den informationsmängd som signerats och inte fristående på<br>samma sätt som en namnteckning. Vidare präglas tekniken med elektro-<br>niska signaturer av en hög grad av säkerhet. Förfalskningar avseende<br>härkomst och innehåll är betydligt svårare att åstadkomma än när det<br>gäller pappershandlingar med namnunderskrifter. En namnunderskrift är<br>visserligen knuten till en viss persons sätt att skriva och kan inte över-<br>lämnas till andra, men vissa personer kan vara mycket skickliga på att<br>efterbilda andras underskrifter. Elektroniska signaturer av tillräckligt hög<br>kvalitet torde därför ha en minst lika god säkerhet som traditionella<br>underskrifter.</p>
<p>Bevisverkan</p>
<p>Även i de fall en underskrift inte utgör ett formellt krav tillmäts den<br>ibland mycket stor betydelse i bevishänseende. En namnunderskrift på en<br>handling kan användas som bevis för att en viss person skrivit under den<br>och att denna person godtagit de villkor som står i exempelvis ett<br>skriftligt kontrakt.</p>
<p>Prop. 1999/2000:117</p>
<p>17</p>
<p>Svensk rättsskipning bygger på principen om fri bevisprövning. Det<br>betyder egentligen två saker. Det ena är att det inte finns någon<br>begränsning när det gäller vilka kunskapskällor man får använda som<br>bevis i en rättegång. Principen innebär dessutom att när en domare skall<br>bedöma och värdera bevisningen är denne obunden av lagregler. Det<br>finns alltså ingen begränsning i svensk rätt om att åberopa eller beakta<br>elektroniska signaturer eller andra IT-tillämpningar som bevisning.</p>
<p>Vad som däremot ibland finns i både lagstiftning och praxis är<br>bevisbörderegler. I det här sammanhanget är det särskilt intressant att se<br>om det finns några bevisbörderegler när någon förnekar en<br>namnunderskrift och påstår att den är förfalskad. Det har inte ansetts<br>nödvändigt att lagstifta om detta, men det finns avgöranden där Högsta<br>domstolen har uttalat sig i frågan. Rättsfallet NJA 1976 s. 667 gällde ett<br>fall där en person förnekade att det var han som undertecknat en<br>skuldförbindelse. Högsta domstolen uttalade att om någon gör en sådan<br>invändning far den påstådde fordringsägaren visa att handlingen är äkta.<br>Om en gäldenär däremot gör gällande att handlingen visserligen är äkta<br>men att texten ändrats, s.k. innehållsförfalskning, anses dock allmänt att<br>gäldenären i princip har bevisbördan. Högsta domstolen har även prövat<br>frågan vad som skall gälla när det gäller påstådda förfalskningar av<br>inköpsnotor i samband med användande av kontokort (NJA 1992 s. 263).<br>I detta rättsfall ansåg Högsta domstolen det ligga på kontohavaren att<br>åtminstone göra antagligt att det förelåg en förfalskning. Om detta krav<br>uppfylls krävs enligt Högsta domstolen att kontokortsföretaget visar att<br>inköpsnotan är äkta.</p>
<p>Frågan om bevisverkan av elektroniska signaturer behandlades i<br>departementspromemorian Digitala signaturer - en teknisk och juridisk<br>översikt (Ds 1998:14). Där gjordes bedömningen att det aldrig kan<br>komma i fråga att rubba den fria bevisprövningen. Man ansåg vidare att<br>det inte heller skulle vara ändamålsenligt att uppställa vissa generella<br>bevisbörderegler för elektroniska signaturer. Så gott som samtliga<br>remissinstanser delade denna bedömning.</p>
<p>Det vore onekligen en farlig väg att ge generella bevisbörderegler när<br>det gäller elektroniska signaturer. Bevisbördan bör inte placeras<br>uteslutande med ledning av vilket medium som kommit till användning.<br>Det avgörande måste naturligtvis vara bl.a. vad det är för typ av uppgifter<br>som bekräftats genom den elektroniska signaturen, vad det rör för typ av<br>rättshandling och vad det är för förhållande som skall bevisas. Parternas<br>inbördes förhållande kan också ha betydelse.</p>
<h3>4.3 Tekniska grunder</h3>
<p>Tekniken kring elektronisk dokumenthantering och signering är relativt<br>ny och den juridiska diskussionen kring denna har därför inte pågått i<br>särskilt många år. Det är därför inte förvånande att terminologin<br>fortfarande utvecklas och kan framstå som något förvirrande. Det beror<br>också på att samma eller snarare liknande begrepp används på flera olika<br>sätt. Tekniker har ofta andra utgångspunkter än jurister. Marknadsförare<br>kan också ha ett annat språkbruk som kanske inte alltid är så lämpligt i<br></p>
<p>Prop. 1999/2000:117</p>
<p>18</p>
<p>juridiska sammanhang. Till detta kommer att utvecklingen i hög grad är Prop. 1999/2000:117<br>internationell och det är svårt att hitta bra svenska termer på begrepp som<br>länge endast haft engelska namn och förkortningar.</p>
<p>Termen ”digital signatur” har bl.a. i EG-direktivet fått ge vika för<br>termen ”elektronisk signatur”. Vad gäller relevansen av ordet<br>”elektronisk” kan följande sägas. En signatur är som regel inte intressant<br>isolerad, utan bara när den används för att säkra andra uppgifter av något<br>slag. Det blir i hög grad karaktären av dessa som också avgör vilka egen-<br>skaper en signatur har. Idag lagras och behandlas uppgifter eller data i<br>hög grad i elektroniska system, varför sådana data ofta kallas för<br>”elektroniska data”. Motsvarigheten till den handskrivna underskriften<br>kan kallas en ”elektronisk signatur”, också för att markera att ett elektro-<br>niskt system har använts för att skapa en sådan signatur.</p>
<p>Det är dock viktigt att i ett rättsligt begreppssystem kunna skilja på<br>metoder som används i framställningen av uppgifter inklusive signaturer<br>och de uppgifter man faktiskt har att ta ställning till. Det faktum att en<br>elektronisk ordbehandling idag nästan alltid föregått framställningen av<br>en traditionell pappershandling saknar betydelse för bedömningen av<br>handlingen i fråga. Det kan däremot vara väsentligt att man måste<br>använda sig av ett tekniskt elektroniskt hjälpmedel för att uppfatta och<br>bedöma uppgifterna eller signaturerna.</p>
<p>De ”elektroniska” signaturer som finns i dag är uteslutande ”digitala”<br>signaturer. Dagens informationsteknik är inriktad på digital representa-<br>tion av information där det centrala skyddsobjektet är ett informations-<br>innehåll som representeras av ettor och nollor. Under hanteringens gång<br>och när information kommuniceras byter denna representation många<br>gånger fysisk form. Den digitala datamängden kan finnas som högst till-<br>fälliga elektriska strömmar, som mer permanenta magnetfält på en hård-<br>disk eller som små fördjupningar på en CD.</p>
<p>En väsentlig egenskap som skiljer den digitala handlingen från andra<br>data är att den är helt entydig med sin digitala informationsrepresenta-<br>tion. Endast vissa bestämda värden tillåts, som representeras av siffror,<br>eller i praktiken ettor och nollor. Det finns inga gråskalor. Det är denna<br>egenskap som gör att man i digitala system exakt kan kopiera en<br>datamängd så att kopian är identisk med ursprungsmängden. Analog<br>kopiering blir aldrig på samma sätt identisk. Det går inte att på traditio-<br>nellt sätt skilja ett originalexemplar från en kopia när data förs över från<br>en databärare till en annan eftersom informationen endast förekommer<br>som ett originalinnehåll. Denna egenskap gäller givetvis signaturer lika<br>väl som andra elektroniska data.</p>
<p>Vid den följande kortfattade genomgången av de tekniska grunderna<br>redogörs för signering av information i digital form. Genomgående<br>används emellertid termen ”elektronisk signatur”, som numera får anses<br>vara den vedertagna beteckningen. För en mer utförlig beskrivning hän-<br>visas till departementspromemorian Digitala signaturer - en teknisk och<br>juridisk översikt (Ds 1998:14).</p>
<p>19</p>
<h4>4.3.1 Kryptografisk teknik med hemliga och öppna nycklar Prop. 1999/2000:117</h4>
<p>Den teknik som idag allmänt används för att skapa elektroniska<br>signaturer utnyttjar kryptografiska principer för att med en matematisk<br>funktion generera en signatur från de data i digital form som ingår i den<br>elektroniska handling som skall signeras och någon form av unik nyckel<br>som hör ihop med den som signerar (undertecknaren).</p>
<p>Elektroniska signaturer säkerställer att förändring av ett meddelande<br>kan upptäckas och verifierar vem som signerat det. Kryptografiska meto-<br>der kan även användas för att dölja ett meddelandes informationsinnehåll.<br>Detta användningsområde behandlas emellertid inte här.</p>
<p>Signering</p>
<p>Signering av datamängden, som kan representera text, bild, ljud eller<br>information i någon annan form, börjar med att datamängden<br>förbehandlas med en s.k. hashfunktion. Av datamängden skapas däri-<br>genom ett s.k. hashvärde som kan liknas vid ett kondensat eller<br>”fingeravtryck” av datamängden. Hashvärdet är unikt i den meningen att<br>sannolikheten för att två datamängder som inte är identiska skulle ge<br>identiska hashvärden i praktiken är försumbar. Hashvärdet är också icke<br>omvändbart, vilket betyder att datamängden inte kan beräknas utifrån<br>hashvärdet.</p>
<p>Nästa steg i signeringen sker genom kryptering. Kryptering innebär att<br>en datamängd omvandlas genom en bestämd metod, en algoritm. Vid<br>krypteringen används förutom datamängden vissa andra ingångsvärden<br>som fungerar som nycklar vid krypteringen.</p>
<p>Vid signering används i allmänhet s.k. asymmetrisk kryptering med<br>användande av ett nyckelpar. En nyckel är ett mycket stort tal, idag oftast<br>1 024 bitar motsvarande cirka 300 siffror. Den ena delen av nyckelparet<br>kallas ”hemlig nyckel” och används av undertecknaren för att skapa<br>signaturer. Den måste skyddas mot obehörig åtkomst, vilket diskuteras<br>närmare nedan (se avsnitt 4.3.5). Den andra delen av nyckelparet kallas<br>”öppen nyckel” och kan användas för att verifiera signaturer, men inte för<br>att skapa dem. Denna nyckel kan spridas öppet till alla som har anledning<br>att verifiera en persons elektroniska signatur, eftersom den inte kan<br>missbrukas för att skapa signaturen och därmed inte behöver distribueras<br>med sekretesskydd. Krypteringen sker genom att hashvärdet (kondensatet<br>av datamängden) bearbetas med hjälp av en algoritm som tar den hemliga<br>nyckeln som ett ingångsvärde. Resultatet av denna beräkning är den<br>elektroniska signaturen.</p>
<p>Signeringen avslutas med att signaturen, bestående av det krypterade<br>hashvärdet, tillförs den signerade handlingen. Handlingen med signatur<br>kan nu sändas öppet till mottagaren.</p>
<p>Viktiga funktioner hos asymmetrisk kryptering är dels att ett krypterat<br>meddelande inte kan dekrypteras med samma nyckel i nyckelparet, dels<br>att det trots kunskap om den ena nyckeln i nyckelparet är omöjligt att<br>beräkna den andra nyckeln. De två nycklarna är därmed beroende av<br>varandra och bildar ett unikt par. Den asymmetriska krypteringen binder</p>
<p>20<br></p>
<p>innehavaren av den hemliga nyckeln till hashvärdet och därmed till den Prop. 1999/2000:117<br>signerade handlingen.</p>
<p>Verifiering</p>
<p>En elektronisk signatur verifieras på följande sätt. Mottagaren separerar<br>meddelandet och den medföljande signaturen. Samma hashfunktion som<br>avsändaren använde vid sin signering används för att bearbeta det mot-<br>tagna meddelandet, varvid man far ett hashvärde. Signaturen, i form av<br>ett krypterat hashvärde, dekrypteras av mottagaren med upphovsmannens<br>öppna nyckel och ett okrypterat hashvärde erhålls. Mottagaren jämför<br>dessa två hashvärden. Om de är identiska vet mottagaren att meddelandet<br>inte är förändrat samt att det verkligen härrör från innehavaren av det<br>unika nyckelpar som innehåller den använda öppna nyckeln. Han kan<br>vara säker på detta eftersom det bara är avsändarens hemliga nyckel som<br>kan ha krypterat hashvärdet och det endast är ett identiskt meddelande<br>som kan skapa ett identiskt hashvärde.</p>
<p>En central fråga med dessa tekniker är hur den som skall verifiera en<br>signatur skall kunna vara säker på att en bestämd öppen nyckel verkligen<br>hör ihop med den person som framstår som utställare av en elektronisk<br>handling. Man kan tänka sig olika metoder för säker teknik och<br>administrativa funktioner, men de som helt kommit att dominera bygger<br>på en användning av s.k. certifikat (se vidare nedan under avsnitt 4.3.3).</p>
<h4>4.3.2 Utrustning för att signera elektroniskt</h4>
<p>När en elektronisk handling skall signeras behöver undertecknaren någon<br>form av elektronisk utrustning som kan</p>
<p>• presentera den information som skall signeras på ett begripligt sätt så</p>
<p>att undertecknaren vet vad som signeras,</p>
<p>• lagra och använda den hemliga signeringsnyckel som skall användas,</p>
<p>• skapa en medveten beslutspunkt för undertecknaren att faktiskt</p>
<p>signera, och</p>
<p>• utföra den beräkning som krävs av hashfunktionen på de digitala data</p>
<p>som skall signeras och den kryptoberäkning som behövs för att skapa<br>den elektroniska signaturen.</p>
<h4>4.3.3 Certifikat</h4>
<p>Ett certifikat för en öppen nyckel är i sig en elektroniskt signerad<br>handling där en betrodd part intygar att en viss öppen nyckel hör ihop<br>med en viss person. Mottagaren kan vända sig till den som utfärdat<br>certifikatet för att fa veta vem som innehar den öppna nyckeln, om<br>certifikatet - och därmed signaturen - är giltigt, om giltighetstiden löpt ut<br>eller om certifikatet är spärrat. Mottagaren kan också fa reda på om det<br>finns begränsningar för vad certifikatet kan användas till.</p>
<p>Certifikaten kan spridas på olika sätt, t.ex. genom elektroniska<br>katalogtjänster. Det är också vanligt att den som signerar en elektronisk<br></p>
<p>21</p>
<p>handling inkluderar ett certifikat med sin öppna nyckel, som skall kunna<br>kontrolleras av mottagaren. Sådana certifikat, eller nyckelcertifikat,<br>brukar följa en internationell standard kallad X.509, som anger vilka<br>uppgifter som måste eller kan förekomma och hur dessa skall vara<br>anordnade. Själva certifikatet är en signerad mängd data där den som<br>utfärdat certifikatet tar ansvar för innehållet.</p>
<h4>4.3.4 Infrastruktur för öppna nycklar</h4>
<p>För att man på ett säkert och ekonomiskt rimligt sätt skall kunna använda<br>elektroniska signaturer (och andra tjänster som utnyttjar öppna nycklar) i<br>samhället mellan större grupper, enskilda, företag och myndigheter<br>behövs det en infrastruktur som på engelska ofta kallas public key<br>inffastructure (PKI), men som på svenska kan benämnas ”det öppna<br>nyckelsystemet”. Det finns ingen klar definition av vad begreppet<br>omfattar, men följande kan nämnas.</p>
<p>• Utfärdande av certifikat är centralt.</p>
<p>• Distribution av certifikat kan i och för sig ske med hjälp av en öppen</p>
<p>katalogtjänst. Vid kryptering för konfidentialitet och för identifiering<br>av användare kan det ofta vara en nödvändig lösning, men för<br>elektroniska signaturtjänster behövs inte katalogen. I samband med<br>utfärdandet kan nämligen nyckelinnehavaren/undertecknaren fa sitt<br>certifikat i någon form (t.ex. på ett elektroniskt ID-kort eller via<br>e-post) och den som signerar kan själv bifoga certifikatet till den<br>signerade handlingen.</p>
<p>• Innehavaren av certifikatet och eventuellt andra parter skall kunna</p>
<p>begära hos den som utfärdat certifikatet att det skall spärras, t.ex.<br>beroende på att den hemliga nyckeln som motsvarar certifikatets<br>öppna nyckel befaras ha kommit på avvägar. Det kan t.ex. vara fråga<br>om ett borttappat eller stulet elektroniskt ID-kort.</p>
<p>• Tillhandahållande av information om certifikatens aktuella status via</p>
<p>spärrlistor eller statuskontroll ”on-line” av certifikat är en nödvändig<br>funktion för att man skall kunna ha tilltro till en elektronisk signatur.</p>
<p>• En definition av ett certifikatformat som kan förstås av de sam-</p>
<p>verkande parterna måste finnas. Detta kan synas trivialt men möjlig-<br>gör att man faktiskt kan kommunicera och t.ex. verifiera signaturer.</p>
<h4>4.3.5 Vissa säkerhetsfrågor för system med elektroniska<br>signaturer</h4>
<p>Förmedlingen av information från dataform till en för<br>avsändaren/mottagaren uppfattbar form</p>
<p>Det är viktigt att klargöra gränserna mellan de digitala data som finns i<br>ett elektroniskt informationssystem som t.ex. en vanlig persondator och<br>den information som en människa slutligen tolkar utifrån dessa data. Vare<br>sig dessa data skapar en text, en figur på en bildskärm, skrivs ut på<br>papper eller kommunicerar talat språk via en högtalare, så tolkas primära<br>data till en annan form, vilken mer eller mindre exakt uppfattas av</p>
<p>Prop. 1999/2000:117</p>
<p>22</p>
<p>mottagaren. I allmänhet har man nöjt sig med att försöka skydda den<br>digitala handlingen med hjälp av signaturtekniker utan att ta hänsyn till<br>den process som så småningom skall göra dessa data begripliga för en<br>människa.</p>
<p>Denna skillnad gäller inte bara för den tänkte mottagaren av den<br>elektroniska handlingen utan kan även gälla för den som är upphovsman<br>till informationen. I de moderna informationssystemen är det oftast svårt<br>att vara helt övertygad om att den information som skrivs in och som kan<br>iakttas före elektronisk signering också är korrekt representerad av den<br>datamängd som blir signerad i en komplicerad matematisk process vars<br>närmare detaljer inte kan iakttas eller kontrolleras direkt.</p>
<p>Skyddet för den hemliga nyckeln</p>
<p>Den mest centrala frågan att ta ställning till när det gäller utrustning för<br>elektroniska signaturer, gäller skyddet av den hemliga nyckeln. Man<br>brukar här tala om ”hårda” respektive ”mjuka” lösningar. Med hårda<br>lösningar menar man då en speciell utrustning som tillverkats enligt<br>mycket strikta metoder och som innehåller ett skyddande fysiskt skal mot<br>olika former av attacker. Aktiva (”smarta”) kort är den mest använda<br>formen. För en närmare diskussion om fördelar med att använda aktiva<br>kort för elektroniska signaturer hänvisas till departementspromemorian<br>Digitala signaturer - en teknisk och juridisk översikt (Ds 1998:14),<br>kapitel 3 och 5 samt bilaga 2.</p>
<p>Lösningar där man i stället med vanlig datorutrustning och speciell<br>programvara försöker skydda en hemlig nyckel (med t.ex. kryptering)<br>kallas på motsvarande sätt mjuka och är ofta billigare och enklare att<br>införa, men säkerheten är mer svårbedömbar.</p>
<p>I många elektroniska signatursystem har man någon form av metod för<br>att försöka verifiera att den behöriga innehavaren av signeringsnyckeln<br>verkligen är närvarande. Den idag helt dominerande metoden är att ett<br>lösenord erfordras. Med aktiva kort, mobiltelefoner eller andra mindre,<br>handbuma enheter har detta lösenord i allmänhet reducerats till ett antal<br>tecken (t.ex. fyra siffror).</p>
<p>Denna typ av verifiering, som inte ensam duger till att unikt identifiera<br>en person, kan dock i många fall tillsammans med övriga skyddsåtgärder<br>anses vara tillräcklig för detta syfte. Man bör betona att i system med<br>sådana handbuma signeringsverktyg som aktiva kort, så är det det fysiska<br>innehavet som är den väsentligaste skyddsfaktorn. En annan metod för att<br>öka säkerheten som diskuterats en hel del som ersättning för en<br>säkerhetskod, men sällan prövats i samband med signeringssystem, är att<br>använda någon form av biometrisk mätutrustning. En sådan utrustning<br>kan t.ex. känna igen den behöriga innehavarens tumavtryck.</p>
<p>Den pragmatiska lösning som i allmänhet tillämpas är att använda olika<br>skyddsåtgärder, inte minst vanliga fysiska lås, som skall säkerställa att<br>den persondator och den programvara som används är rimligt säkra.</p>
<p>Det är också viktigt att uppmärksamma skyddet av övrig signerings-<br>utrustning. I begreppet utrustning måste man här inkludera all den pro-<br>gramvara som används för den aktuella tillämpningen.</p>
<p>Prop. 1999/2000:117</p>
<p>23</p>
<h3>4.4 Standardisering, ackreditering, certifiering</h3>
<p>Standarder och standardiseringsarbete har ökat i betydelse för stora delar<br>av samhället. En stor mängd varor och tjänster är utformade enligt<br>internationell eller nationell standard. Tack vare olika standarder passar<br>t.ex. glödlampan i sockeln, filmen i kameran, skruven i muttern osv.</p>
<p>Ett system med i princip frivilliga överenskommelser mellan olika<br>intressenter om vilka standarder som skall tillämpas har vuxit fram.<br>Ursprungligen togs standarder fram av näringslivet, huvudsakligen för att<br>sänka tillverkningskostnaderna. Så småningom stod det dock klart att<br>standardisering och tillverkarens egenkontroll inte var tillräckligt för att<br>garantera säkerheten och den tekniska kvaliteten hos olika tillverkares<br>produkter. Därför skapades olika, frivilliga certifieringssystem. Med<br>certifiering (av överensstämmelse) menas en handling utförd av en tredje<br>part, som visar att tillräcklig tilltro uppnåtts om att en vederbörligen<br>identifierad produkt, process eller tjänst är i överensstämmelse med en<br>bestämd standard eller med ett annat regelgivande dokument.</p>
<p>Standarder utnyttjas för att harmonisera tekniska regler som har<br>betydelse för skydd av liv, hälsa och miljö och är således en angelägenhet<br>även för myndigheter och andra offentliga organ. Standardisering har<br>numera en mycket stor betydelse för den fria rörligheten för varor och<br>tjänster över nationella gränser.</p>
<p>Internationella standardiseringsorganisationen (ISO) är en världs-<br>omfattande sammanslutning av nationella standardiseringsorgan.<br>Tillsammans med International Electrotechnical Commission (IEC), som<br>täcker standardisering inom det elektrotekniska området, utgör ISO<br>världens största icke-statliga system för frivilligt industriellt och tekniskt<br>samarbete på internationell nivå. Resultatet av ISO:s arbete utgörs av<br>ISO-standarder eller riktlinjer. Internet Engineering Task Force (IETF) är<br>dock den internationella organisation som ligger bakom i stort sett alla<br>idag förekommande standarder som rör elektroniska signaturer.</p>
<p>Centralorgan för standardisering i Sverige är Standardiseringen i<br>Sverige (SIS), som har till uppgift bl.a. att främja och fastställa svensk<br>standard. SIS är en fristående ideell förening, vars stadgar är fastställda<br>av staten. All fastställd svensk standard har prefixet SS. Om det rör sig<br>om en svensk standard som överför global standard utan ändringar blir<br>prefixet t.ex. SS-ISO. Överförd europeisk standard betecknas SS-EN.</p>
<p>SIS och dess auktoriserade standardiseringsorgan inom olika<br>fackområden deltar aktivt i utarbetandet av internationella standarder,<br>dels inom ISO och IEC, dels i de europeiska standardiseringsorganen<br>Comité Européen de Normalisation (CEN), Comité Européen de<br>Normalisation Electrotechnique (CENELEC) och European Tele-<br>communications Standards Institute (ETSI).</p>
<p>Det bör dock poängteras att standarder inom IT-området, där<br>utvecklingen är mycket snabb, i praktiken oftare sätts av de dominerande<br>leverantörerna och av andra organisationer än av de ovan beskrivna<br>standardiseringsorganen.</p>
<p>EG-kommissionen presenterade 1985 en vitbok med ett program för<br>förverkligande av den inre marknaden, innefattande bl.a. fri rörlighet för<br>varor. Programmet resulterade senare i den reformering av Romfördraget<br></p>
<p>Prop. 1999/2000:117</p>
<p>24</p>
<p>som skedde genom Europeiska enhetsakten. En ny metod för Prop. 1999/2000:117<br>harmonisering av medlemsstaternas lagstiftning om produkter (”the New<br>Approach”) anvisades. Enligt denna skall direktiven endast fastställa de<br>väsentliga säkerhetskrav som produkterna skall uppfylla med hänsyn till<br>skydd för liv, hälsa eller miljö m.m. Det överlåts sedan till de europeiska<br>standardiseringsorganen att utarbeta harmoniserade frivilliga standarder<br>med närmare tekniska specifikationer för produkten. En produkt som<br>tillverkas i enlighet med dessa standarder skall förutsättas uppfylla de<br>väsentliga kraven i direktivet. Tillverkarens egenkontroll i kombination<br>med en försäkran från tillverkaren om att tillämpliga standarder har följts<br>skall normalt vara en tillräcklig kontrollåtgärd.</p>
<p>Produkter som kan medföra stor risk för hälsa och säkerhet skall dock i<br>normalfallet kontrolleras av ett tredjepartsorgan. Detsamma gäller när en<br>tillverkare inte har tillämpat harmoniserade standarder eller då sådana<br>saknas. Det skall räcka med att en sådan kontroll sker i ett land för att fa<br>tillträde till hela den inre marknaden.</p>
<p>Efter förslag i vitboken antog EG också en resolution om en helhetssyn<br>för provning och certifiering<sup>3</sup>. I denna anges riktlinjer för hur EG:s<br>system för bestyrkande av överensstämmelse skall utformas. Som ett<br>komplement till den nya metoden föreskrivs hur ömsesidiga erkännanden<br>av provningar och certifieringar mellan medlemsstaterna skall komma till<br>stånd samt gemensamma villkor och regler för laboratorier och för<br>certifierings- och kontrollorgan.</p>
<p>De tredjepartsorgan som får utföra en sådan bedömning som omtalats<br>ovan skall anmälas till Europeiska gemenskapernas kommission.<br>Organen kallas därför anmälda organ. Dessa kan vara både offentliga och<br>privaträttsliga organ som av medlemsstaten bedömts ha tillräcklig<br>kompetens för uppgiften. Det anmälda organet utför bedömningen på<br>uppdragsbasis och får normalt självt bestämma avgiften för detta.</p>
<p>För att skapa förtroende för provningar och bevis om<br>överensstämmelse, oavsett i vilket land de utförts, har de europeiska<br>standardiseringsorganen, på EG:s vägnar, utarbetat enhetliga standarder<br>för kompetensen hos provnings-, certifierings- och kontrollorgan. Dessa<br>återges i den europeiska standardserien EN 45 000.</p>
<p>Att kraven är uppfyllda kan visas genom s.k. ackreditering. Med<br>ackreditering menas ett formellt erkännande av att ett organ (t.ex. ett<br>laboratorium, ett certifieringsorgan eller ett besiktningsorgan) är<br>kompetent att utföra specificerade uppgifter, såsom provningar,<br>kalibreringar, mätningar eller certifieringar. I Sverige har Styrelsen för<br>teknisk kontroll (SWEDAC) i uppgift att svara för bedömning av<br>kompetensen hos laboratorier, certifieringsorgan och kontrollorgan.</p>
<p>Liksom SIS deltar i det internationella standardiseringsarbetet är<br>SWEDAC engagerat i uppbyggnaden av de europeiska systemen för<br>ömsesidigt godtagande av provning och kontroll samt i utformandet av<br>enhetliga regler för bedömning av kompetens hos de organ som utför<br>teknisk kontroll. Detta sker främst inom ramen för organisationen</p>
<p><sup>3</sup> Resolutionen den 21 december 1989 om en helhetssyn på bedömning av<br>överensstämmelse (EGT C 10, 16.1.1990, s. 1). Se även beslutet den 13 december 1990 om<br>moduler for olika stadier i förfaranden vid bedömning av överensstämmelse, avsedda att<br>användas i tekniska harmoniseringsdirektiv (EGT L 380, 31.12.1990, s. 13).</p>
<p>25</p>
<p>European Accreditation (EA). Inom EA finns multilaterala avtal om Prop. 1999/2000:117<br>ömsesidigt erkännande av ackrediteringssystem och om erkännande av<br>kompetens och därigenom av certifikat och system.</p>
<p>I Sverige har det beskrivna öppna systemet med anmälda organ<br>genomförts genom lagen (1992:1119) och forordningen (1993:1065) om<br>teknisk kontroll. Enligt dessa far både offentliga och enskilda organ som<br>uppfyller kraven på kompetens utföra certifierings-, provnings- och<br>besiktningsuppgifter och konkurrera om uppdragen. SWEDAC har till<br>uppgift att i samråd med berörda sektorsmyndigheter bedöma om de<br>organ som önskar bli anmälda uppfyller kraven. Som huvudregel gäller<br>att organen skall kunna visa att de uppfyller kraven i EN 45 000-serien.<br>Enligt lagen och förordningen om teknisk kontroll gäller dessutom som<br>huvudprincip att kraven även för ackreditering av organ som utför annan<br>kontroll, besiktning och certifiering än de som föreskrivs i EG-direktiven<br>skall baseras på EN 45 000-serien.</p>
<p>Av särskilt intresse i detta sammanhang är den provning och<br>certifiering av produkter som sker frivilligt, utan att det krävs i EG-<br>direktiv eller i nationella föreskrifter - det s.k. frivilliga området. Detta är<br>vanligt och krav på produkter finns ofta formulerade i standarder mot<br>vilka frivillig certifiering kan ske. Det är viktigt att påpeka att certifiering<br>inte bara sker av produkter, utan också av t.ex. kvalitetssystem,<br>ledningssystem, personal, eller av verksamheten i allmänhet.</p>
<p>Det är utan tvivel en fördel om det även inom det frivilliga området<br>tillämpas likartade former for provning och certifiering. I EG:s system för<br>bedömning av överensstämmelse har man också tagit fasta på att tekniken<br>for att bedöma om en produkt överensstämmer med vissa uppställda krav<br>är densamma oavsett om bedömningen sker utifrån tvingande regler eller<br>frivilliga former. I sitt meddelande av den 24 juni 1989 ”En helhetssyn på<br>certifiering och provning” markerade EG-kommissionen att ömsesidiga<br>erkännanden inte bara är av intresse for den reglerade sektom utan i lika<br>hög grad har betydelse inom det frivilliga området. Även frivillig<br>provning och certifiering kan, om den skiljer sig åt i olika länder,<br>medföra betydande handelshinder. Problemen med att skapa ömsesidiga<br>godtaganden är desamma inom de reglerade och de frivilliga områdena,<br>nämligen att skapa förtroende for att de berörda organen är kompetenta<br>och oberoende.</p>
<h2>5 Direktivet om ett gemenskapsramverk för</h2>
<h2>elektroniska signaturer</h2>
<h3>5.1 Allmänt</h3>
<p>Anledningen till att kommissionen lade fram ett förslag till direktiv var<br>bl.a. att den befarade att skilda juridiska och tekniska strategier i<br>medlemsstaterna beträffande elektroniska signaturer skulle utgöra ett<br>allvarligt hinder for den inre marknaden och hindra utvecklingen av nya<br>ekonomiska verksamheter som är kopplade till elektronisk handel. Olika<br>bestämmelser i medlemsstaterna om rättsligt erkännande av elektroniska<br></p>
<p>26</p>
<p>signaturer och om auktorisering av dem som tillhandahåller certifikat för Prop. 1999/2000:117<br>elektroniska signaturer skulle skapa betydande sådana hinder.</p>
<p>Syftet med direktivet är att underlätta användningen av elektroniska<br>signaturer och bidra till deras rättsliga erkännande. Avsikten är att<br>fastställa ett rättsligt ramverk för elektroniska signaturer och vissa<br>certifikattjänster för att säkerställa en väl fungerande inre marknad.<br>Direktivet omfattar inte frågor om ingående eller giltighet av avtal om<br>formkrav föreskrivs och påverkar inte heller bestämmelser som reglerar<br>användningen av dokument {artikel 7). Regelverket för elektroniska<br>signaturer är avsett att stärka förtroendet för och ge ett allmänt<br>godtagande av den nya tekniken.</p>
<p>I direktivet definieras signaturer som uppfyller vissa specificerade krav<br>som ”avancerade elektroniska signaturer”. Ett intyg i elektronisk form<br>som kopplar ihop en person med uppgifter, såsom koder eller öppna<br>kryptografiska nycklar, som verifierar en signatur samt bekräftar<br>personens identitet kallas som redan nämnts ”certifikat” (se avsnitt 4.3.3).<br>Den tredje part som utfärdar certifikatet och som således går i god för att<br>den uppgivne undertecknaren verkligen är den som påstås kallas<br>”tillhandahållare av certifikattjänster”. Ett certifikat som innehåller i en<br>bilaga uppräknade uppgifter och som utfärdats av en tillhandahållare av<br>certifikattjänster som uppfyller kraven i en annan bilaga benämns<br>”kvalificerat certifikat”. Dessa och flera andra definitioner ges i artikel 2.</p>
<p>Den metod som används i direktivet är att ge avancerade elektroniska<br>signaturer, som baseras på ett kvalificerat certifikat och som dessutom<br>skapas av en ”säker anordning för skapande av signaturer” (se nedan), en<br>viss rättsverkan. Dessa signaturer skall anses uppfylla kraven på en<br>signatur i förhållande till uppgifter i elektronisk form på samma sätt som<br>en handskriven signatur uppfyller samma krav i förhållande till uppgifter<br>på papper och skall godtas som bevis vid rättsliga förfaranden. Vidare<br>stadgas att andra elektroniska signaturer under vissa förutsättningar inte<br>far förvägras rättslig verkan eller giltighet som bevis vid rättsliga<br>förfaranden {artikel 5).</p>
<p>Villkoren för marknadstillträde för tillhandahållare av certifikattjänster<br>och den tillsyn som skall ske regleras i artikel 3. Fri rörlighet för<br>certifikattjänster behandlas i artikel 4 och skadestånd i artikel 6. I<br>artikel 7 regleras behandlingen av certifikat utfärdade i länder utanför<br>gemenskapen, medan artikel 8 behandlar frågor om dataskydd. I övrigt<br>ges regler om den kommitté för elektroniska signaturer som skall biträda<br>kommissionen {artikel 9 och 10), om uppgifter som skall anmälas till<br>kommissionen {artikel 11), om en översyn av direktivet tre och ett halvt<br>år efter dess ikraftträdande {artikel 12) samt om genomförande och<br>ikraftträdande {artikel 13-15).</p>
<p>Vid direktivets utformning var målsättningen att regleringen skulle<br>vara teknikneutral, att certifikattjänster skulle kunna tillhandahållas utan<br>krav på förhandstillstånd samt att elektroniska signaturer skulle fa rättslig<br>verkan.</p>
<p>27</p>
<h3>5.2 Tillämpningsområde</h3>
<p>Av ingressen till direktivet (punkt 16) framgår att elektroniska signaturer<br>som används endast inom system som grundar sig på frivilliga<br>civilrättsliga avtal mellan ett bestämt antal deltagare (s.k. slutna system)<br>inte faller under direktivets tillämpningsområde. Direktivreglema avser<br>därför bara tillhandahållare av certifikattjänster som riktar sig ”till<br>allmänheten”. Avtalsparters frihet att sinsemellan komma överens om i<br>vilken mån och på vilka villkor de godkänner elektroniskt signerade<br>uppgifter påverkas alltså inte av direktivet.</p>
<p>Av ingressen till direktivet (punkt 9) och av definitionen av<br>tillhandahållare av certifikattjänster framgår vidare att dessa tillhanda-<br>hållare inte bör vara begränsade till att endast utfarda och hantera<br>certifikat. Även andra tjänster som har anknytning till elektroniska<br>signaturer bör kunna erbjudas, såsom registrerings-, tidsstämplings-,<br>katalog-, databehandlings- och konsulttjänster. För tillhandahållare av<br>certifikattjänster och för produkter med anknytning till elektroniska<br>signaturer föreskriver direktivet en fri inre marknad, vilket gäller för alla<br>sorters elektroniska signaturer, certifikattjänster och ”signaturprodukter”.</p>
<p>Direktivet omfattar inte frågor som avser ingående eller giltighet av<br>avtal eller andra rättsliga förpliktelser om den nationella lagstiftningen<br>eller gemenskapslagstiftningen föreskriver vissa formkrav. Det påverkar<br>heller inte bestämmelser och begränsningar i nationell lagstiftning eller<br>gemenskapslagstiftning som reglerar användningen av dokument.</p>
<h3>5.3 Definitioner</h3>
<p>En elektronisk signatur definieras som uppgifter i elektronisk form som<br>är fogade till eller logiskt knutna till andra elektroniska uppgifter och<br>som används som metod för autenticering.</p>
<p>För att en signatur skall fa kallas avancerad elektronisk signatur krävs<br>att den är knuten uteslutande till undertecknaren, vilken kan identifieras<br>genom signaturen, att den är skapad med medel som undertecknaren kan<br>behålla uteslutande under sin egen kontroll samt att den är kopplad till de<br>uppgifter den avser på ett sådant sätt att alla efterföljande ändringar av<br>uppgifterna kan upptäckas.</p>
<p>Genom direktivet införs vidare en rad tekniska termer såsom ”uppgifter<br>för skapande av signaturer” och ”uppgifter för signaturverifiering”, som<br>avser unika uppgifter såsom koder eller krypteringsnycklar som används<br>för att skapa respektive verifiera en elektronisk signatur. Program- eller<br>hårdvara för att använda uppgifterna för att skapa en signatur respektive<br>uppgifterna för signaturverifiering benämns ”anordning för skapande av<br>signaturer” respektive ”anordning för signaturverifiering”.</p>
<p>För att få kallas säker anordning för skapande av signaturer skall<br>anordningen uppfylla de krav som anges i bilaga III till direktivet.<br>Anordningarna skall enligt denna säkerställa att uppgifterna för att skapa<br>signaturen i praktiken enbart kan förekomma en gång och att sekretessen<br>för uppgifterna är säkerställd inom rimliga gränser. Vidare skall<br>uppgifterna för att skapa signaturen ”med rimlig garanti” inte kunna<br></p>
<p>Prop. 1999/2000:117</p>
<p>28</p>
<p>härledas och signaturen vara skyddad mot förfalskning ”med den teknik<br>som för närvarande finns tillgänglig”. Ett ytterligare krav är att<br>uppgifterna för att skapa signaturen kan skyddas på ett tillförlitligt sätt, så<br>att andra inte kan komma åt dem. Slutligen stadgas att anordningen inte<br>får förändra de uppgifter som skall signeras eller hindra att dessa<br>uppgifter presenteras för undertecknaren före undertecknandet.</p>
<p>Beträffande signaturverifiering finns en bilaga IV till direktivet, som<br>innehåller rekommendationer för säker signaturverifiering.</p>
<p>Som ”tillhandahållare av certifikattjänster” definieras som nämnts inte<br>endast den som utfärdar certifikat, utan även den som tillhandahåller<br>andra tjänster som har anknytning till elektroniska signaturer.</p>
<p>Kvalificerade certifikat</p>
<p>Kvalificerade certifikat är sådana certifikat som uppfyller kraven i<br>direktivets bilaga I och som utfärdas av en tillhandahållare av<br>certifikattjänster som uppfyller kraven i direktivets bilaga II. Certifikatet<br>skall bl.a. innehålla uppgift om att det har utfärdats som ett kvalificerat<br>certifikat, uppgifterna för signaturverifiering som motsvarar de uppgifter<br>för skapande av signaturer som undertecknaren har kontroll över samt<br>uppgift om certifikatets giltighetstid (se vidare i bilaga I).</p>
<p>Bilaga II innehåller krav på pålitlighet, ett säkert och snabbt system för<br>omedelbart återkallande, identitetskontroll av den till vilken ett certifikat<br>utfärdas, kompetent personal, användandet av pålitliga system och<br>produkter som garanterar teknisk säkerhet, konfidentialitet beträffande<br>uppgifter för skapande av signaturer, m.m. (se vidare i bilaga II).</p>
<p>Certifikatutfärdaren skall dessutom förfoga över tillräckliga<br>ekonomiska medel för att bedriva verksamheten i enlighet med<br>direktivets krav, i synnerhet för att kunna uppfylla eventuell<br>skadeståndsskyldighet. De certifikatutfärdare som utfärdar kvalificerade<br>certifikat till allmänheten skall nämligen vara ansvariga för skada,<br>åtminstone i den utsträckning som anges i artikel 6.</p>
<p>Nämnas kan också att utfärdaren enligt bilaga II måste informera den<br>som ansöker om ett certifikat om villkoren, inklusive eventuella<br>begränsningar för certifikatet, förekomsten av ett frivilligt ackrediterings-<br>system samt förfarande för klagomål och avgörande av tvister. Vidare är<br>utfärdaren förbjuden att lagra eller kopiera uppgifter för skapande av<br>signaturer.</p>
<h3>5.4 Marknadstillträde</h3>
<p>Medlemsstaterna far inte göra tillhandahållandet av certifikattjänster<br>beroende av förhandstillstånd. Med förhandstillstånd menas enligt<br>ingressen till direktivet inte endast alla tillstånd som kräver ett beslut från<br>de nationella myndigheterna innan tillhandahållaren av certifikattjänster<br>får tillhandahålla dessa tjänster, utan också alla andra åtgärder med<br>samma verkan.</p>
<p>Det står dock medlemsstaterna fritt att införa eller behålla frivilliga<br>ackrediteringssystem som syftar till att höja nivån på tillhandahållandet<br></p>
<p>Prop. 1999/2000:117</p>
<p>29</p>
<p>av certifikattjänster. ”Frivillig ackreditering” definieras i direktivet som<br>sådana tillstånd i vilka de rättigheter och skyldigheter fastställs som är<br>specifika för tillhandahållandet av certifikattjänster och som på begäran<br>av den berörda tillhandahållaren av certifikattjänster skall utfärdas av de<br>offentliga eller privata institutioner som ansvarar för utarbetandet och<br>övervakningen av dessa rättigheter och skyldigheter. Tillhandahållaren av<br>certifikattjänster far inte utöva rättigheterna enligt tillståndet förrän denne<br>har erhållit beslutet från institutionen.</p>
<p>Medlemsstaterna är skyldiga att införa ett system som gör det möjligt<br>att övervaka de tillhandahållare av certifikattjänster som är etablerade på<br>deras territorium och som utfärdar kvalificerade certifikat till allmän-<br>heten. I direktivet ges inga närmare regler för hur denna övervakning<br>skall vara organiserad eller hur sträng den skall vara. I ingressen påpekas<br>att övervakningssystem upprättade inom den privata sektorn inte utesluts.</p>
<p>Vad gäller säkra anordningar för skapande av signaturer föreskriver<br>direktivet att medlemsstaterna skall utse särskilda organ som skall avgöra<br>om anordningarna överensstämmer med bilaga III.</p>
<p>I direktivet ges en möjlighet för medlemsstaterna att förena<br>användningen av elektroniska signaturer inom den offentliga sektorn med<br>högre krav än vad som följer av direktivet.</p>
<h3>5.5 Fri rörlighet</h3>
<p>Medlemsstaterna far inte begränsa tillhandahållandet av certifikattjänster<br>med ursprung i andra medlemsstater. De skall också säkerställa att det<br>råder fri rörlighet på den inre marknaden för produkter för elektroniska<br>signaturer som överensstämmer med direktivet.</p>
<p>Ett beslut av ett organ i en medlemsstat att en anordning för skapande<br>av signaturer överensstämmer med kraven i bilaga III skall erkännas av<br>samtliga medlemsstater. Kommissionen far fastställa och offentliggöra<br>referensnummer till allmänt erkända standarder för produkter för<br>elektroniska signaturer. Medlemsstaterna skall då utgå från att dessa<br>produkter överensstämmer med kraven i direktivet.</p>
<h3>5.6 Rättslig verkan</h3>
<p>Det finns två nivåer av rättsligt erkännande av elektroniska signaturer<br>beroende på den tekniska säkerhet som signaturen anses ha. Den rättsliga<br>verkan för avancerade elektroniska signaturer som baseras på ett<br>kvalificerat certifikat och som skapas av en säker anordning för skapande<br>av signaturer har beskrivits i avsnitt 5.1.</p>
<p>För övriga elektroniska signaturer gäller att dessa inte far förvägras<br>rättslig verkan eller giltighet som bevis enbart på grund av att signaturen<br>är i elektronisk form, inte är baserad på ett kvalificerat certifikat eller ett<br>certifikat som utfärdats av en ackrediterad tillhandahållare av<br>certifikattjänster, eller inte är skapad av en säker anordning.</p>
<p>I ingressen anges att direktivet inte påverkar nationella domstolars<br>behörighet att fastslå om det föreligger överensstämmelse med kraven i<br></p>
<p>Prop. 1999/2000:117</p>
<p>30</p>
<p>direktivet. Det anges även att direktivet inte inverkar på nationella Prop. 1999/2000:117<br>bestämmelser om fri bevisprövning. Frågan om vilken betydelse detta har<br>för tolkningen av direktivets bestämmelser om elektroniska signaturers<br>rättsliga verkan diskuteras vidare i avsnitt 6.11.</p>
<h3>5.7 Skadestånd</h3>
<p>Direktivet fastställer en undre gräns för skadeståndsskyldighet för<br>tillhandahållare av certifikattjänster som utfärdar kvalificerade certifikat<br>eller som garanterar att andras certifikat är kvalificerade. Medlems-<br>staterna skall se till att tillhandahållaren är ansvarig för skada som<br>orsakas den som har rimlig anledning att förlita sig på ett certifikat.<br>Tillhandahållaren skall ansvara för skada som uppkommit på grund av att<br>det förelegat felaktigheter eller brister i den information som lämnats i ett<br>kvalificerat certifikat, att den undertecknare som anges i certifikatet vid<br>utfärdandet inte var i besittning av de uppgifter för att skapa en signatur<br>som påstås, att uppgifter för signaturskapande respektive signatur-<br>verifiering inte stämmer överens samt att återkallandet av ett certifikat<br>inte registrerats. Tillhandahållaren kan dock undgå skadeståndsskyldighet<br>om han kan visa att han inte har handlat försumligt.</p>
<p>Tillhandahållare av certifikattjänster skall kunna ange begränsningar i<br>ett certifikats tillämpningsområde eller för värdet av de transaktioner som<br>certifikatet far användas för. Tillhandahållaren är då inte ansvarig för<br>skador som härrör från att ett certifikat använts i strid med dessa<br>begränsningar, under förutsättning att begränsningarna varit identifier-<br>bara för tredje man.</p>
<h3>5.8 Internationella aspekter</h3>
<p>Kvalificerade certifikat som utfärdats av en tillhandahållare av<br>certifikattjänster som är etablerad i tredje land (utanför Europeiska<br>ekonomiska samarbetsområdet) skall enligt direktivet i tre situationer<br>betraktas som rättsligt likvärdiga med kvalificerade certifikat utfärdade<br>inom unionen, nämligen</p>
<p>- då tillhandahållaren i tredje land uppfyller kraven i direktivet och är<br>ackrediterad i en medlemsstat,</p>
<p>- då en tillhandahållare inom gemenskapen som utfärdar kvalificerade<br>certifikat och uppfyller kraven i direktivet garanterar certifikatet, eller</p>
<p>- då certifikatet eller tillhandahållaren är erkänd genom ett bilateralt eller<br>multilateralt avtal mellan gemenskapen och tredje land eller en<br>internationell organisation.</p>
<p>Direktivet föreskriver också som uppgift för kommissionen att lägga<br>förslag till standarder och internationella avtal som underlättar<br>gränsöverskridande certifikattjänster och rättsligt erkännande av<br>signaturer med ursprung i tredje land.</p>
<p>31</p>
<h3>5.9 Dataskydd</h3>
<p>Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995<br>om skydd för enskilda personer med avseende på behandling av<br>personuppgifter och om det fria flödet av sådana uppgifter är tillämpligt<br>på tillhandahållare av certifikattjänster och på nationella organ med<br>ansvar för ackreditering och övervakning.</p>
<p>Tillhandahållare av certifikattjänster som utfärdar certifikat till<br>allmänheten far endast samla in uppgifter direkt från den berörda<br>personen eller med dennes uttryckliga medgivande och endast för att<br>utfärda och bibehålla certifikatet. Uppgifterna far inte samlas in eller<br>behandlas för andra ändamål utan ett uttryckligt medgivande från den<br>berörda personen. Vidare far medlemsstaterna inte hindra tillhandahållare<br>av certifikattjänster från att ange en pseudonym i stället för<br>undertecknarens namn i certifikatet. För kvalificerade certifikat ställs<br>dock krav på att det anges när det rör sig om en pseudonym.</p>
<h3>5.10 Kommitté</h3>
<p>En förvaltande kommitté, bestående av företrädare för medlemsstaterna<br>och under ordförandeskap av en representant för kommissionen, skall<br>konsulteras för att klargöra kraven i direktivets bilagor, kriterierna för<br>utseende av de organ som skall avgöra om säkra anordningar för<br>skapande av signaturer överensstämmer med kraven i bilaga III samt<br>innehållet i de allmänt erkända standarder för produkter för elektroniska<br>signaturer som kommissionen skall fastställa och offentliggöra.</p>
<p>Beslutsproceduren för förvaltande kommittéer framgår av artikel 4 i<br>rådets beslut 1999/468/EG av den 28 juni 1999 om de förfaranden som<br>skall tillämpas vid utövandet av kommissionens genomförande-<br>befogenheter.</p>
<h3>5.11 Anmälan, genomförande och översyn</h3>
<p>Medlemsstaterna skall informera varandra och kommissionen om dels de<br>ackrediteringssystem som tillämpas, dels namn på de organ som svarar<br>för ackreditering och övervakning och som avgör om anordningar för<br>signaturskapande överensstämmer med direktivets krav samt dels namn<br>på samtliga ackrediterade tillhandahållare av certifikattjänster.</p>
<p>De nationella bestämmelser som behövs för att genomföra direktivet<br>skall vara i kraft senast ett och ett halvt år efter det att direktivet trätt i<br>kraft, dvs. den 19 juli 2001. Kommissionen skall göra en översyn av<br>direktivet och överlämna en rapport om denna senast den 19 juli 2003.</p>
<h2>6 Genomförande av direktivet</h2>
<p>Den stora fördelen med direktivet är att det innebär en gemensam<br>reglering för medlemsstaterna i Europeiska unionen (EU) och övriga</p>
<p>Prop. 1999/2000:117</p>
<p>32</p>
<p>länder inom Europeiska ekonomiska samarbetsområdet (EES). Den<br>utveckling med olikartad reglering av elektronisk kommunikation i varje<br>land som hade påbörjats, har därigenom avstyrts.</p>
<p>Den marknad som regleras i direktivet har ännu inte vuxit fram i<br>nämnvärd omfattning och det har ännu inte riktigt identifierats vilka<br>problem som kan kräva lagstiftning. Vid det svenska genomförandet av<br>direktivet finns det därför anledning att vara försiktig med att reglera ett<br>bredare område än vad direktivet kräver. Det skulle kunna anföras skäl<br>för att på vissa områden, t.ex. avseende skadestånd, även reglera sådant<br>som inte krävs enligt direktivet. Regeringen föreslår dock inte någon<br>sådan reglering, utan påpekar endast att utvecklingen kan göra det<br>nödvändigt att i framtiden komplettera lagstiftningen.</p>
<h3>6.1 En ny lag</h3>
<p>Regeringens förslag: EG-direktivet (1999/93/EG) skall genomföras<br>genom en särskild lag om kvalificerade elektroniska signaturer.</p>
<p>Promemorians förslag: Överensstämmer med regeringens förslag. I<br>promemorian föreslogs dock att lagen skulle benämnas lagen om vissa<br>elektroniska signaturer m.m.</p>
<p>Remissinstanserna: Flertalet remissinstanser är positiva till att<br>direktivet genomförs genom en ny lag. Några remissinstanser påpekar<br>dock att lagens egentliga innehåll inte överensstämmer med lagens namn.<br>GEA, Statskontoret, Kommerskollegium, IT-kommissionen, LO, Lagerlöf<br>& Leman, Posten och Telia förordar att de krav som anges i bilagorna till<br>direktivet i stället genomförs genom en förordning.</p>
<p>Skälen för regeringens förslag: Enligt artikel 249 i EG-fÖrdraget är<br>ett direktiv bindande for medlemsstaterna vad avser det resultat som skall<br>uppnås. Det överlåts dock åt de nationella myndigheterna att bestämma<br>form och tillvägagångssätt för genomförandet.</p>
<p>Ett genomförande av direktivet innebär införande av ett tämligen stort<br>antal nya, främst näringsrättsliga, regler. Telelagen (1993:957) innehåller<br>visserligen närliggande regler om förmedling av telemeddelanden via<br>telenät. Elektroniska signaturer utgör dock en ny företeelse och berör en<br>helt ny marknad som inte rör televerksamhet i telelagens mening. På<br>samma sätt finns kopplingar till regleringen av den finansiella sektorn,<br>men direktivet rör ett mycket vidare område än den sektorn.</p>
<p>I andra sammanhang har det ansetts naturligt att föreslå ett införande i<br>förvaltningslagen (1986:323) av definitioner och allmänna regler for<br>elektroniska signaturer. Detta kan visserligen mycket väl vara lämpligt,<br>men förvaltningslagen är inte rätt plats for att införa det främst<br>näringsrättsliga regelverk det här är fråga om.</p>
<p>Det lämpligaste sättet att genomföra direktivets regler synes därför<br>vara genom en ny särskild lag. I promemorian föreslogs att lagen skulle<br>heta ”lag om vissa elektroniska signaturer m.m.”. Flera remissinstanser<br>påpekar att lagen kommer att handla mer om kvalificerade certifikat for<br>elektroniska signaturer och krav på dem som utfärdar sådana certifikat,</p>
<p>Prop. 1999/2000:117</p>
<p>33</p>
<p>2 Riksdagen 1999/2000. 1 saml. Nr 117<br></p>
<p>än om elektroniska signaturer i sig. Även Lagrådet har menat att ”lag om<br>kvalificerade certifikat för elektroniska signaturer” vore en mer adekvat<br>benämning. Lagens bestämmelser om certifikat, certifikatutfärdare och<br>anordningar för signaturframställning syftar dock sammantaget till att<br>skapa ett regelverk för kvalificerade elektroniska signaturer, för att skapa<br>förtroende för och därigenom underlätta användningen av elektroniska<br>signaturer. Lagens syfte anges, på förslag från Lagrådet, i den inledande<br>bestämmelsen (se kommentaren till 1 §). Regeringen föreslår därför att<br>lagen skall heta ”lag om kvalificerade elektroniska signaturer”.</p>
<p>Med hänsyn till direktivets karaktär blir det ofrånkomligt att delar av<br>direktivet mer eller mindre ordagrant måste tas in i lagen. Flera remiss-<br>instanser ifrågasätter om det inte vore lämpligare att bilagorna till<br>direktivet - som rör de krav som skall ställas på kvalificerade certifikat,<br>utfärdare av certifikattjänster och säkra anordningar för signaturfram-<br>ställning - i stället borde genomföras genom en förordning. Som skäl för<br>denna uppfattning anför de i huvudsak att lagen därmed skulle framstå<br>som mer teknikneutral och att kraven lättare skulle kunna anpassas efter<br>den tekniska utvecklingen. Regeringen har noga övervägt frågan, men<br>kommit fram till att argumenten för en sådan uppdelning inte väger<br>tyngre än argumenten emot. En hänvisning i lagen till en förordning där<br>kraven regleras skulle inte innebära att regleringen som helhet blev mer<br>teknikneutral. Det finns inte heller någon särskild procedur som gör det<br>lättare att ändra i direktivets bilagor än i själva direktivtexten. Den<br>kommitté som skall tillsättas (se avsnitt 5.10) skall inte föreslå ändringar<br>i bilagorna, utan endast klargöra innebörden av dem. Det finns därför<br>inga skäl att tro att de krav som ställs i bilagorna kommer att ändras<br>särskilt snabbt eller ofta. Till största delen är kraven också ganska<br>allmänt hållna, vilket innebär att den närmare innebörden av dem ändå<br>måste klargöras genom föreskrifter av regeringen eller tillsynsmyndig-<br>heten och genom rättstillämpningen. Vidare blir regleringen mer lättläst<br>om de krav som ställs finns samlade direkt i lagen. Även i övriga<br>nordiska länder föreslås att kraven skall anges i själva lagen, och det är<br>enligt regeringens mening en fördel om de nordiska lagarna blir så lika<br>varandra som möjligt.</p>
<h3>6.2 Lagens syfte och tillämpningsområde</h3>
<p>Regeringens förslag: Lagen skall innehålla regler om krav på, tillsyn<br>över och skadeståndsansvar för den som utfärdar certifikat för<br>elektroniska signaturer, om certifikaten anges ha en viss säkerhetsnivå<br>och om de utfärdas till allmänheten. Lagen skall vidare ge en<br>särställning åt elektroniska signaturer med en viss säkerhetsnivå (s.k.<br>kvalificerade elektroniska signaturer). Lagen skall inte reglera frågor<br>om ingående eller giltighet av avtal.</p>
<p>Promemorians förslag: Överensstämmer med regeringens förslag.</p>
<p>Remissinstanserna: Remissinstanserna tillstyrker i huvudsak prome-<br>morians förslag. Några är dock kritiska till den gränsdragning som gjorts<br></p>
<p>Prop. 1999/2000:117</p>
<p>34</p>
<p>av begreppet ”till allmänheten”. Konsumentverket och IT-kommissionen<br>menar att lagen bör utvidgas till att avse alla som utfärdar någon form av<br>certifikat for elektroniska signaturer. Flertalet remissinstanser tillstyrker<br>dock promemorians förslag om vilka certifikatutfärdare som skall om-<br>fattas av lagen.</p>
<p>Skälen för regeringens förslag: Handel och annan kommunikation<br>mellan enskilda, myndigheter och företag kan förväntas ske elektroniskt i<br>ökad utsträckning, om det finns ett allmänt förtroende för att den<br>information som skickas via Internet och andra öppna nät är tillförlitlig.<br>Avsikten är att lagen skall bidra till detta genom att den främjar<br>användandet av elektroniska signaturer som har en sådan säkerhetsnivå<br>att de får ett allmänt erkännande och därmed kan användas för säker<br>kommunikation, även mellan parter som inte har ett tidigare avtal om hur<br>deras inbördes kommunikation skall gå till.</p>
<p>I direktivet läggs stor vikt vid resonemanget om elektroniska<br>signaturers rättsliga verkan. För Sveriges del, där principerna om den fria<br>bevisprövningen och den fria bevisvärderingen är etablerade sedan länge,<br>intar denna fråga inte en central roll vad gäller lagstiftningen. Vad som<br>kommer i fokus är i stället vilka regler som skall gälla för dem som vill<br>tillhandahålla certifikattjänster, såsom på vilka villkor deras verksamhet<br>far bedrivas, hur de ska övervakas, vilket ansvar de har etc.<br>Målsättningen bör vara att bygga upp ett system som inte i onödan<br>hämmar marknadens utveckling, t.ex. genom att låsa fast användning av<br>en viss teknik eller skapa etableringshinder. Samtidigt skall systemet vara<br>uppbyggt på ett sådant sätt att det långsiktigt skapas en tilltro till det hos<br>konsumenter, näringsidkare och andra användare. Därigenom underlättas<br>utvecklingen mot en allt större användning av elektroniska signaturer,<br>vilket sannolikt kommer att stimulera den elektroniska handeln och<br>medföra en rationalisering av förvaltningsväsendet baserad på<br>elektroniska rutiner.</p>
<p>Av ingressen till direktivet (punkt 16) framgår att syftet med direktivet<br>inte är att skapa något rättsligt ramverk för elektroniska signaturer som<br>endast används inom system som grundar sig på frivilliga civilrättsliga<br>avtal mellan ett bestämt antal deltagare (slutna system). Det anges vidare<br>att parternas frihet att sinsemellan komma överens om på vilka villkor de<br>godkänner elektroniskt signerade uppgifter bör respekteras, i den<br>utsträckning det är förenligt med den nationella lagstiftningen. Det skall<br>med andra ord stå var och en fritt att komma överens om vilken<br>säkerhetsnivå som accepteras inbördes för att sluta avtal etc. I<br>överensstämmelse med direktivets syfte skall lagen därför inte omfatta<br>andra certifikat än sådana som utfärdas inom öppna system, eller ”till<br>allmänheten”, vilket är det begrepp som används i direktivtexten och i<br>lagen. I förhållande till promemorians lagförslag har detta förtydligats<br>genom att tillämpningsområdet redan i inledningsbestämmelsen<br>avgränsas till certifikat som utfärdas till allmänheten.</p>
<p>Svårigheten ligger i att definiera vad som utgör slutna respektive öppna<br>system, för att kunna avgöra när ett certifikat skall anses utfärdat ”till<br>allmänheten”. Vissa klara fall kan dock identifieras. När det är helt klart<br>att certifikatutfärdaren är den ende som skall förlita sig på certifikatet och<br>signaturen, är det utan tvekan frågan om ett slutet system. Ett exempel på<br></p>
<p>Prop. 1999/2000:117</p>
<p>35</p>
<p>en sådan situation är bankernas Intemettjänster, där det föreligger ett på<br>förhand träffat avtal mellan banken och kunden och banken själv är den<br>ende som skall förlita sig på certifikatet. Ett annat exempel på ett system<br>som normalt torde vara slutet är när ett certifikat utfärdats för att enbart<br>användas inom ett visst företag eller en viss organisation. Ett system<br>måste däremot anses vara öppet i de fall de mottagare som skall förlita<br>sig på certifikatet saknar varje form av avtal med undertecknaren eller<br>certifikatutfärdaren. Ett exempel på ett sådant system är det finska<br>initiativet med elektroniska ID-kort. På kortet finns ett certifikat utfärdat<br>av Befolkningsregistercentralen och tanken är att kortet skall kunna<br>användas för många olika ändamål, som vid utfärdandet inte är kända för<br>vare sig utfärdaren eller kortinnehavaren. I ett sådant fall är det tydligt att<br>certifikatet är utfärdat ”till allmänheten”. Däremellan kan det dock finnas<br>många olika varianter där avgränsningen kan vara svår att göra.</p>
<p>Direktivet saknar närmare vägledning om hur begreppet ”till<br>allmänheten” skall tolkas. I promemorian angavs att storleken på den<br>grupp till vilken certifikatet erbjuds skulle ha betydelse för bedömningen.<br>Flera remissinstanser, bl.a. GEA och Posten, har dock riktat stark kritik<br>mot den inställningen. De har bl.a. anfört att syftet med att reglera<br>certifikat som utfärdas till allmänheten är att tillvarata tredje mans<br>skyddsintresse och att detta är lika stort oavsett om denne agerar ensam<br>eller tillhör en större grupp. Enligt dessa remissinstanser bör därför det<br>avgörande för bedömningen vara om certifikatet är avsett att användas<br>gentemot tredje man, med vilken utfärdaren inte har någon tidigare<br>relation. Regeringen delar remissinstansernas synpunkter att storleken på<br>den grupp till vilken ett certifikat erbjudits inte bör vara avgörande för<br>bedömningen av om det är utfärdat till allmänheten eller inte. I stället kan<br>det vara rimligt att som huvudregel utgå från att det rör sig om utfärdande<br>till allmänheten när en certifikatutfärdare erbjuder ett certifikat som är<br>avsett att användas vid kommunikation med andra än certifikatutfärdaren,<br>alltså en tredje part, och det inte föreligger något kontraktsförhållande<br>mellan utfärdaren och denne tredje part. När en certifikatutfärdare anger<br>att certifikaten är kvalificerade utan att i certifikaten begränsa kretsen av<br>möjliga mottagare på ett mer precist sätt, kan det finnas anledning att<br>anse att certifikatutfärdaren omfattas av lagens tillämpningsområde. Den<br>närmare tolkningen av begreppet ”till allmänheten” far dock överlämnas<br>till rättstillämpningen.</p>
<p>Det är viktigt att framhålla att det inte är alla certifikat utfärdade till<br>allmänheten som regleras, utan endast sådana som anges vara<br>”kvalificerade”. I lagen anges en säkerhetsnivå för sådana kvalificerade<br>certifikat för elektroniska signaturer, och ställs krav på dem som vill<br>utfärda sådana till allmänheten. De som utfärdar kvalificerade certifikat<br>till allmänheten ställs under viss tillsyn och deras skadeståndsansvar<br>fastställs. Reglerna gäller endast certifikatutfärdare som är etablerade i<br>Sverige. Se dock 3 § andra stycket och avsnitt 6.4.</p>
<p>Avsikten är inte att i lagen reglera alla tjänster rörande elektroniska<br>signaturer. Det kommer även efter lagens ikraftträdande att vara möjligt<br>att utfärda certifikat för elektroniska signaturer utan att underkasta sig<br>tillsyn eller vara tvungen att använda sig av viss bestämd teknik. Till<br>exempel regleras inte certifikat som avser juridiska personer eller andra<br></p>
<p>Prop. 1999/2000:117</p>
<p>36</p>
<p>sammanslutningar. Sådana certifikat kan med fordel användas i många Prop. 1999/2000:117<br>situationer där det inte anses viktigt att få reda på exakt vilken person<br>som har vidtagit en viss åtgärd. De som utfärdar certifikat till<br>allmänheten och som väljer att beteckna certifikaten som kvalificerade<br>certifikat, väljer dock också att omfattas av den ordning som föreskrivs i<br>lagen. Lagen syftar till att möjliggöra att det på marknaden finns<br>produkter och tjänster som uppfyller vissa minimikrav, som är<br>gemensamma for länderna inom EES-området.</p>
<p>Vad gäller uppfyllandet av formkrav på egenhändig underskrift och<br>liknande ges i lagen en särställning åt elektroniska signaturer som har en<br>viss säkerhetsnivå (”kvalificerade elektroniska signaturer”).</p>
<p>Lagen reglerar inte frågor om ingående eller giltighet av avtal.</p>
<h3>6.3 Definitioner</h3>
<p>Regeringens förslag: EG-direktivets (1999/93/EG) definitioner skall<br>i allt väsentligt anges också i lagen.</p>
<p>Promemorians förslag: Överensstämmer med regeringens förslag. I<br>promemorian föreslogs dock en definition av begreppet ”elektronisk<br>handling”. Däremot föreslogs inga definitioner av begreppen<br>”kvalificerat certifikat” och ”säker anordning for signaturframställning”.</p>
<p>Remissinstanserna: Flertalet remissinstanser lämnar promemorians<br>förslag i huvudsak utan invändning, men har många synpunkter på den<br>närmare utformningen av definitionerna. Flera remissinstanser har bl.a.<br>haft invändningar mot införandet av begreppet ”elektronisk handling”.</p>
<p>Skälen för regeringens förslag: Den tekniska utvecklingen och<br>ersättandet av traditionella pappershandlingar med elektroniska data reser<br>en mängd frågor om, och i så fall på vilket sätt, denna företeelse kräver<br>en annan rättslig reglering än den existerande. Dessa frågor har<br>behandlats i flera utredningar och i vissa fall lett till lagstiftning.<br>Användningen av s.k. elektroniska dokument regleras i ett trettiotal<br>svenska författningar. Som exempel kan nämnas 12 § tullagen<br>(1994:1550), enligt vilken Tullverket kan ge tillstånd till att bl.a.<br>tulldeklarationer far lämnas genom ett elektroniskt dokument. Ett<br>elektroniskt dokument definieras där som en upptagning vars innehåll<br>och utställare kan verifieras genom ett visst tekniskt förfarande. Sådana<br>elektroniska dokument kan också, efter särskilt medgivande, i viss<br>omfattning användas inom skatteområdet och exekutionsväsendet samt<br>för vissa ansökningar gällande registrering av datapantbrev<sup>4</sup>.</p>
<p>Definitionerna i direktivet har som nämnts utformats i avsikt att vara<br>teknikneutrala. Den teknik som f.n. är förhärskande, där man använder<br>digitala signaturer med ett certifikat som intygar kopplingen mellan en<br>öppen nyckel och en bestämd person (det öppna nyckelsystemet), har<br>dock legat till grund för den struktur som valts i direktivet.</p>
<p><sup>4</sup> Se t.ex. 2 kap. 2 § lagen (1990:325) om självdeklaration och kontrolluppgifter, 2 a §<br>indrivningsförordningen (1993:1229) och 17 § lagen (1994:448) om pantbrevsregister.</p>
<p>37</p>
<p>Till skillnad från direktivet används i den föreslagna lagtexten ordet<br>”data” i stället för ”uppgifter”, då det mindre är fråga om uppgifter i<br>betydelsen information som skall förstås av så många som möjligt, än om<br>konstellationer av ettor och nollor som ofta inte i sig ger ett mänskligt<br>öga särskilt mycket upplysning. Det är dessutom ofta önskvärt att<br>hemlighålla dessa data. Jfr Datastraffrättsutredningens definition av<br>”data” som en representation av fakta och av ”information” som<br>innebörden av data i SOU 1992:110.</p>
<p>I betänkandet Elektronisk dokumenthantering (SOU 1996:40)<br>föreslogs att det i förvaltningslagen (1986:223) skulle införas vissa<br>grundläggande begrepp. ”Elektronisk handling” föreslogs där definieras<br>som en bestämd mängd data som kan läsas, avlyssnas eller på annat sätt<br>uppfattas endast med tekniskt hjälpmedel. Vidare föreslogs att begreppet<br>”digitalt dokument” skulle införas (till skillnad från det i befintlig<br>lagstiftning använda begreppet ”elektroniskt dokument”) ”Digitalt<br>dokument” definierades i betänkandet som en elektronisk handling med<br>digital signatur eller digital stämpel. ”Digital signatur” definierades i sin<br>tur som resultatet av en omvandling av en elektronisk handling, som gör<br>det möjligt att kontrollera om innehållet härrör från den fysiska person<br>som framstår som utställare. ”Digital stämpel” skulle på samma sätt<br>härröra från en juridisk person eller myndighet. Remissutfallet var<br>blandat och betänkandet har inte lett till någon lagstiftning i denna del.</p>
<p>Sverige är visserligen inte bundet av den terminologi och systematik<br>som angivits i direktivet, om det avsedda resultatet kan uppnås med<br>annan terminologi och systematik. Direktivet är emellertid utformat så att<br>utrymmet att avvika från terminologin är mycket begränsat.</p>
<p>En strävan är givetvis att lagtexten skall vara så enkel och begriplig<br>som möjligt. Den tämligen komplicerade verklighet som direktivet<br>beskriver kräver dock en begreppsapparat som, för att kunna fungera, inte<br>kan förenklas alltför mycket.</p>
<p>En annan strävan är att i möjligaste mån anknyta till den<br>begreppsbildning som redan existerar i Sverige. En tredje är att<br>åtminstone de nordiska länderna skall fa en så enhetlig reglering som<br>möjligt.</p>
<p>I promemorian föreslogs ett införande av begreppet ”elektronisk<br>handling”. Bland andra Kammarrätten i Stockholm, Länsrätten i Stock-<br>holms län och Tekniska nomenklaturcentralen menar att begreppet inte är<br>tillräckligt analyserat och att det inte tillför lagen något. Länsrätten<br>påpekar även att begreppet lätt kan leda till förvirring i förhållande till<br>närliggande begrepp som används i andra lagar. De remissinstanser som<br>är positiva till införandet, främst GEA och Försvarets forskningsanstalt,<br>pekar främst på att en definition av elektronisk handling kan vara av<br>värde i andra sammanhang.</p>
<p>Såsom anfördes i promemorian (s. 60) behövs inte begreppet<br>”elektronisk handling” för att förklara något i lagen. Begreppet<br>”elektronisk signatur” kan lika gärna definieras på samma sätt som i<br>direktivet. Vidare framgår av inledningen till 2 § att definitionerna bara<br>förklarar vad som avses med begreppen i just denna lag. En definition i<br>den här lagen har därför inte automatiskt någon betydelse i andra<br>sammanhang. Statskontoret menar av det skälet att definitionen passar<br></p>
<p>Prop. 1999/2000:117</p>
<p>38</p>
<p>bättre i förvaltningslagen. Eftersom begreppet inte behövs för att förklara<br>något i den här lagen och eftersom det riskerar att skapa förvirring i<br>förhållande till närliggande begrepp som används i andra lagar, såsom<br>elektroniska dokument, avstår regeringen från att föreslå att begreppet<br>införs i lagen. Regeringen tar dock inte i detta läge ställning till om det av<br>någon anledning som saknar samband med genomförandet av direktivet<br>finns behov av en definition av elektronisk handling i förvaltningslagen<br>eller någon annanstans. Borttagandet av definitionen medför följd-<br>ändringar i definitionerna av elektronisk signatur och avancerad<br>elektronisk signatur.</p>
<p>Det saknas behov av att införa begreppet ”digital stämpel” eller<br>liknande, som diskuterats ovan. Direktivet förutsätter att en fysisk person<br>är knuten till signaturen. Det hindrar visserligen inte ett system med<br>elektroniska stämplar för juridiska personer eller certifikat som anger att<br>signaturen innehas av en identifierad person som är behörig firma-<br>tecknare för en juridisk person (s.k. rollcertifikat). Något särskilt behov<br>av att reglera detta synes emellertid inte finnas. I stället kan redan<br>gällande regler om rättshandlingsförmåga, fullmakt och behörighet att<br>företräda juridiska personer tillämpas.</p>
<p>En elektronisk signatur bör i lagen definieras på samma sätt som i<br>direktivet. Ett flertal remissinstanser menar att det bör förtydligas att en<br>elektronisk signatur, till skillnad från en avancerad eller kvalificerad<br>elektronisk signatur (se nedan) bara är en teknisk metod och inte behöver<br>vara knuten till en fysisk person. Regeringen delar den uppfattningen och<br>föreslår att ordet ”undertecknare”, som enligt definitionen är en fysisk<br>person, byts ut mot ”utställare”, som kan vara såväl en fysisk som en<br>juridisk person. Patent- och registreringsverket påpekar att förslagets<br>definition av elektronisk signatur avviker något från hur begreppet<br>definierats i direktivet. I direktivet anges att en elektronisk signatur<br>används som en metod för ”autentisering”. Med autentisering torde avses<br>inte bara identitetskontroll av undertecknaren, utan även kontroll av att<br>innehållet inte förvanskats. Regeringen föreslår därför ett tillägg i<br>definitionen i förhållande till promemorians förslag.</p>
<p>Definitionerna av ”avancerad elektronisk signatur”, och ”certifikat”<br>kan lämpligen hämtas direkt från direktivet. Såsom några remissinstanser<br>påpekar kan dock användningen av orden ”alla efterföljande ändringar” i<br>punkten d) misstolkas så att det skall kunna upptäckas vilka olika<br>ändringar som eventuellt har gjorts. Det som skall kunna upptäckas är<br>dock bara att en ändring av den elektroniska handlingen har gjorts. I<br>förhållande till promemorians förslag har därför orden ”alla efter-<br>följande” strukits. Genom kravet att en avancerad, och därmed också en<br>kvalificerad, signaturer skall vara knuten till en undertecknare och genom<br>definitionen av undertecknare framgår att en sådan signatur - till skillnad<br>från en ”enkel” elektronisk signatur - alltid måste vara knuten till en<br>fysisk person. Rent tekniskt är det dock, vilket IT-kommissionen påpekar,<br>inte signaturen i sig som är knuten till undertecknaren utan dennes<br>hemliga nycklar (signaturframställningsdata) i kombination med dennes<br>certifikat.</p>
<p>En ”undertecknare” är den fysiska person som innehar en anordning<br>för signaturframställning. I promemorian föreslogs att en undertecknare<br></p>
<p>Prop. 1999/2000:117</p>
<p>39</p>
<p>skulle definieras som ”den som har kontroll över” en anordning för<br>signaturframställning. Många remissinstanser påpekar dock att det bör<br>förtydligas att undertecknaren måste vara en fysisk person. Några<br>remissinstanser menar även att definitionen kan tolkas så att det räcker<br>med att någon just för tillfallet råkar ha kontroll över anordningen för att<br>denne skall anses som undertecknare. De menar därför att direktivets<br>definition - den som ”innehar” - är att föredra framför den som föreslogs<br>i promemorian. Regeringen delar uppfattningen att det bör förtydligas att<br>undertecknaren måste vara en fysisk person och att det är lämpligare att<br>använda ordet ”innehar” än ”har kontroll över”. Naturligtvis kan<br>undertecknaren med stöd av vanliga regler om rättshandlingsförmåga,<br>fullmakt och behörighet representera en annan fysisk eller juridisk<br>person. Det behöver därför inte, som i direktivet, anges särskilt.</p>
<p>”Uppgifter för skapande av signaturer” (”den hemliga nyckeln” i det<br>öppna nyckelsystemet) och ”uppgifter för signaturverifiering” (den öppna<br>nyckeln) föreslås ersättas med ”signaturframställningsdata”, respektive<br>”signaturverifieringsdata”. Dessa begrepp är visserligen varken korta<br>eller särskilt lättbegripliga vid första anblicken. De är dock i överens-<br>stämmelse med vad som föreslås i andra nordiska länder och ger en god<br>bild av vad som avses. Användandet av ordet ”data” i stället för<br>”uppgifter” torde, som tidigare nämnts, bidra till en bättre beskrivning av<br>företeelserna. I promemorian användes begreppet ”privata” krypterings-<br>nycklar. Tekniska nomenklaturcentralen förordar dock att begreppet<br>”hemliga” krypteringsnycklar i stället används, vilket regeringen finner<br>lämpligt.</p>
<p>Begreppen ”anordning för skapande av signaturer” och ”säker” sådan<br>anordning kan i princip definieras såsom det angetts i direktivet, med de<br>ändringar som följer av det föregående. Regeringen har dock, liksom i<br>promemorian, valt att använda begreppet ”anordning för signatur-<br>framställning”. Såsom Tekniska nomenklaturcentralen påpekar fyller<br>dock ordet ”konfigurerad” inte någon funktion. Det måste förutsättas att<br>all maskin- och programvara som är avsedd att användas för ett visst<br>ändamål också är konfigurerad för detta ändamål. ”Anordning för<br>signaturverifiering” kommer inte att regleras i lagen, varför det saknas<br>skäl att införa begreppet.</p>
<p>Direktivet använder sig av begreppet ”tillhandahållare av certifikat-<br>tjänster” och inbegriper där inte bara de som utfärdar certifikat utan<br>också de som tillhandahåller andra tjänster som har anknytning till<br>elektroniska signaturer. Det som regleras i direktivet är dock begränsat<br>till utfärdande av kvalificerade certifikat och i viss mån garanterande av<br>annans certifikat som kvalificerade. Exempelvis rör kraven i direktivets<br>bilaga II endast tillhandahållare av certifikattjänster vilka utfärdar<br>kvalificerade certifikat. Det finns därför inte behov av att i lagen skapa en<br>definition som omfattar mer än de som utfärdar certifikat eller garanterar<br>annans certifikat, lämpligast genom termen ”certifikatutfärdare”. I den<br>mån man i annat sammanhang önskar reglera även andra tjänster, såsom<br>registrering av återkallande, tidsstämpling, kryptering för konfidentialitet<br>eller diverse konsulttjänster, låter sig detta väl göras utan att här tynga<br>lagtexten med en onödigt vid och diffus definition. Detta kan kanske<br>också bidra till att minska den redan olyckliga förväxlingsrisken mellan<br></p>
<p>Prop. 1999/2000:117</p>
<p>40</p>
<p>de certifikat och den certifiering som här avses och det styrkande av Prop. 1999/2000:117<br>certifikatutfardarens kompetens som i sin tur kan ges av (eventuellt<br>ackrediterade) certifieringsorgan.</p>
<p>I promemorian återfanns inte begreppen ”kvalificerat certifikat” och<br>”säker anordning för signaturframställning” bland definitionerna, vilket<br>ett flertal remissinstanser har kritiserat. Begreppen, vars innebörd<br>behandlas i avsnitt 6.4 och 6.8, har därför definierats med hänvisning till<br>de respektive bestämmelser där kraven anges.</p>
<p>Direktivet vill ge de elektroniska signaturer som inte bara är<br>avancerade utan också baserade på ett kvalificerat certifikat och skapade<br>av en säker anordning för signaturframställning en särskild ställning. Det<br>förefaller därför lämpligt att ge dessa signaturer en särskild benämning.<br>Här har valts ”kvalificerade elektroniska signaturer”.</p>
<p>Det saknas anledning att i svensk lag införa den definition av ”frivillig<br>ackreditering” som ges i direktivet. Dess innebörd är oklar och ett<br>införande skulle inte tjäna till annat än att tynga lagtexten och försvåra<br>förståelsen av densamma (se avsnitt 6.7). Inte heller begreppet ”produkt<br>för elektroniska signaturer” fyller någon funktion i den svenska lagtexten.</p>
<h3>6.4 Kvalificerade certifikat</h3>
<p>Regeringens förslag: Det skall anges i lagen vad som krävs för att ett<br>certifikat skall anses ha en särskild säkerhetsnivå. Dessa certifikat<br>skall betecknas ”kvalificerade certifikat”.</p>
<p>Promemorians förslag: Överensstämmer med regeringens förslag. I<br>promemorian föreslogs dock inte någon bestämmelse avseende certifikat<br>utfärdade av en certifikatutfärdare etablerad utanför Sverige.</p>
<p>Remissinstanserna: Remissinstanserna tillstyrker förslaget eller<br>lämnar det utan erinran (se dock under avsnitt 6.1).</p>
<p>Skälen för regeringens förslag: I direktivet regleras en särskild, högre<br>nivå på certifikat som benämns ”kvalificerade certifikat”. De krav på vad<br>certifikatet måste innehålla som anges i bilaga I till direktivet bör också<br>anges i den svenska lagtexten. Likaså bör i enlighet med direktivet anges<br>att endast certifikat som utfärdats av en certifikatutfärdare som uppfyller<br>vissa i lagen angivna krav är kvalificerade certifikat.</p>
<p>I kravet på att kvalificerade certifikat måste ha visst innehåll ligger att<br>detta innehåll skall vara tillgängligt för den mottagare som förlitar sig på<br>certifikatet. När denne tar emot ett signerat meddelande måste han<br>således kunna tillgodogöra sig denna information, antingen genom att<br>han ser certifikatet, där all nödvändig information finns, eller genom att<br>informationen på annat sätt presenteras i samband med att han mottar en<br>elektronisk handling. Inte minst viktiga är uppgifter om begränsningar för<br>certifikatet vad gäller användningsområde eller värdet på de transaktioner<br>för vilka certifikatet kan användas.</p>
<p>I direktivet anges i artikel 4.1 att medlemsstaterna inte får begränsa<br>tillhandahållandet av certifikattjänster med ursprung i andra medlems-<br>stater. I artikel 7.1 anges även att medlemsstaterna skall säkerställa att<br></p>
<p>41</p>
<p>certifikat som utfärdas som kvalificerade certifikat till allmänheten av<br>certifikatutfärdare som är etablerade i ett tredje land, under vissa<br>förutsättningar, betraktas som rättsligt likvärdiga med certifikat som<br>utfärdats av certifikatutfärdare etablerade inom EES. De särskilda<br>förutsättningar som krävs för detta är att certifikatutfärdaren uppfyller<br>kraven i direktivet och har ackrediterats i en medlemsstat, att en<br>certifikatutfärdare som är etablerad inom EES garanterar certifikatet,<br>eller att certifikatet eller certifikatutfärdaren har erkänts genom ett<br>bilateralt eller multilateralt avtal (se avsnitt 5.5 och 5.8). Genom den<br>inledande bestämmelsen i 1 § har lagens tillämpningsområde begränsats<br>till sådana certifikatutfärdare som är etablerade i Sverige (se avsnitt 6.2).<br>För att inte lagen skall innebära begränsningar för certifikatutfärdare<br>etablerade i andra länder i strid med artikel 4.1 och 7.1 bör det införas en<br>bestämmelse som innebär att även certifikat utfärdade av sådana, under<br>vissa förutsättningar skall anses vara kvalificerade.</p>
<h3>6.5 Utfärdande av kvalificerade certifikat</h3>
<p>Regeringens förslag: Det skall anges i lagen vad som krävs av en<br>certifikatutfärdare för att denne skall fa kalla sina certifikat<br>kvalificerade.</p>
<p>Promemorians förslag: Överensstämmer med regeringens förslag.</p>
<p>Remissinstanserna: Remissinstanserna tillstyrker förslaget eller<br>lämnar det utan erinran (se dock under avsnitt 6.1). Bland andra iD2<br>Technologies, GEA och Posten menar att det inte bör krävas att det i<br>certifikatet anges en elektronisk signatur som skapats av en fysisk person.</p>
<p>Skälen för regeringens förslag: En certifikatutfärdares uppgift är att<br>som en betrodd part intyga att vissa signaturverifieringsdata hör till en<br>viss undertecknare. Nyckelordet i sammanhanget är ”betrodd”. För att<br>certifikatutfardama skall bli betrodda krävs att de bedriver verksamheten<br>med erforderlig garanti för pålitlighet.</p>
<p>Direktivet ställer krav endast på de certifikatutfärdare som utfärdar<br>kvalificerade certifikat. Det saknas anledning att i svensk lagstiftning<br>ställa krav på en vidare krets av certifikatutfärdare än dessa. (Vad gäller<br>skadeståndsskyldigheten kan det däremot finnas anledning att mer<br>ingående diskutera om en reglering bör träffa en vidare krets, se avsnitt<br>6.9.2.)</p>
<p>I bilaga I h) till direktivet anges att certifikatet måste innehålla<br>certifikatutfärdarens avancerade elektroniska signatur. Den definition av<br>avancerad elektronisk signatur som anges i lagen innebär att en sådan<br>måste vara kopplad till en fysisk person. Bland andra iD2 Technologies,<br>GEA och Posten påpekar dock att en certifikatutfärdare vanligtvis torde<br>vara en juridisk person och därför inte kan skapa en avancerad<br>elektronisk signatur. De menar att även om en fysisk person med stöd av<br>vanliga fullmaktsregler alltid kan signera å certifikatutfärdarens vägnar,<br>så skulle ett sådant krav innebära stora praktiska problem för<br>certifikatutfärdama. Regeringen anser att syftet med direktivets krav på<br></p>
<p>Prop. 1999/2000:117</p>
<p>42</p>
<p>denna punkt varit att den elektroniska signatur som certifikatutfärdaren<br>använder måste ha en tillräckligt hög säkerhetsnivå, men inte att den<br>nödvändigtvis måste vara knuten till en fysisk person. Regeringen<br>föreslår därför att det i certifikatet måste anges antingen en avancerad<br>elektronisk signatur (som är knuten till en fysisk person med behörighet<br>att företräda certifikatutfärdaren), eller en elektronisk signatur med<br>motsvarande säkerhetsnivå (som kan vara knuten till certifikatutfärdaren<br>själv). Med motsvarande säkerhetsnivå avses alltså att det måste vara<br>möjligt att identifiera vilken juridisk person som skapat signaturen<br>(utställaren), att signaturen är skapad med hjälpmedel som endast<br>utställaren kontrollerar och att signaturen är knuten till andra elektroniska<br>data på ett sådant sätt att ändringar av dessa data kan upptäckas.</p>
<p>De krav som direktivet ställer på certifikatutfärdare som utfärdar<br>kvalificerade certifikat (bilaga II), bör ställas också i den svenska lagen.<br>Detta innebär krav på bl.a. pålitlighet, system för säker och snabb<br>spärrning av certifikat, säker identitetskontroll av undertecknaren,<br>kompetent personal samt användande av pålitliga system och produkter<br>som garanterar teknisk säkerhet. Vad gäller kravet på användandet av<br>pålitliga system och produkter bör vidare anges att det skall anses<br>uppfyllt om de överensstämmer med standarder för produkter för<br>elektroniska signaturer som kommissionen offentliggjort referenser till<br>(artikel 3.5 i direktivet).</p>
<p>Certifikatutfärdaren åläggs bl.a. att bevara all relevant information om<br>certifikatet under en rimlig tid. Den information som skall bevaras<br>omfattar dock inte signaturframställningsdata. Eftersom det är väsentligt<br>för tilltron till elektroniska signaturer att det bara är undertecknaren som<br>har tillgång till signaturframställningsdata (hemliga nycklar o.d.) förbjuds<br>certifikatutfärdaren att bevara och lagra sådana data. För att förtydliga<br>detta har, på förslag från Kammarrätten i Stockholm, det andra stycke i<br>8 § som föreslogs i promemorian i regeringens förslag flyttats till 10 §,<br>som behandlar certifikatutfärdarens informationshantering.</p>
<p>Certifikatutfärdaren åläggs även att, innan denne ingår avtal om att<br>utfärda ett kvalificerat certifikat, skriftligen informera motparten om<br>vissa särskilt väsentliga uppgifter. Med uttrycket att informationen skall<br>lämnas skriftligen avses här att den inte far lämnas muntligen, men dock<br>elektroniskt. Innebörden av begreppet skriftligen diskuteras bl.a. i<br>betänkandet Elektronisk dokumenthantering, SOU 1996:40, avsnitt 5.3<br>och 5.4.</p>
<h3>6.6 Standardisering</h3>
<p>För att elektroniska signaturer ska fa en bred användning är det väsentligt<br>att ha en gemensam syn på vilka tekniska krav som skall gälla i olika<br>avseenden och bygga upp system som kan samverka med varandra.<br>Tekniska standarder har här en viktig roll att fylla och kan underlätta för<br>användare av systemen och göra det möjligt att bedöma signaturernas<br>säkerhet.</p>
<p>Tekniska standarder kan ange precisa krav for produkter for elektro-<br>niska signaturer, såsom t.ex. anordningar för signaturframställning och</p>
<p>Prop. 1999/2000:117</p>
<p>43</p>
<p>signeringsalgoritmer, och for certifikatutfardande och andra certifikat-<br>tjänster. Standardisering underlättar också bedömningen av om ett speci-<br>fikt system eller en viss produkt uppfyller de krav som man vill ställa for<br>den aktuella tillämpningen.</p>
<p>Tekniska standarder möjliggör vidare interoperabilitet, dvs. att utrust-<br>ningen hos avsändare och mottagare av elektronisk kommunikation är<br>sådan att de faktiskt kan förstå varandras meddelanden. Det önskvärda är<br>att det utvecklas ett informationssamhälle där man helst globalt eller<br>åtminstone inom en definierad intressesfar kan utbyta och verifiera elek-<br>troniskt signerade handlingar. Myndigheternas elektroniska gränsyta mot<br>omvärlden skulle bli ohanterlig om antalet metoder som används för<br>elektroniska signaturer inte begränsas.</p>
<p>Kommissionen gav hösten 1998 i uppdrag åt de europeiska stan-<br>dardiseringsorganen och andra organisationer att analysera de framtida<br>behoven av standardisering enligt direktivet, med avseende på produkter<br>för elektroniska signaturer och tjänster som finns tillgängliga på markna-<br>den. Det ingick i uppdraget att föreslå en plan för att utveckla de stan-<br>darder som behövs. Detta resulterade i European Electronic Signature<br>Standardization Initiative (EESSI) som presenterat en rapport under<br>1999.</p>
<p>Analysen i rapporten visar att området är mycket komplext. Ett<br>hundratal existerande relevanta standarder identifierades. Trots detta var<br>slutsatsen att många viktiga specifikationer behöver utvecklas med hög<br>prioritet (se vidare under avsnitt 6.7).</p>
<p>Rapporten följdes under hösten 1999 av ett ”mandat” från kommissio-<br>nen till de europeiska standardiseringsorganen (CEN, CENELEC och<br>ETSI) att följa upp EESSI-rapporten, i syfte att förse marknaden med<br>standarder till stöd för genomförandet av direktivet. I mandatet ingår<br>också att bilda en särskild rådgivande grupp, kallad Electronic Signature<br>Standardization Industry Advisory Group, för att ge rekommendationer<br>till den rådgivande kommitté som skall inrättas enligt direktivet (se av-<br>snitt 5.10). Kommittén skall konsulteras av kommissionen när denna<br>skall klargöra kraven i direktivets bilagor och kriterierna för utseende av<br>de organ som skall avgöra om säkra anordningar för skapande av signatu-<br>rer överensstämmer med kraven i bilaga III. Kommittén skall också kon-<br>sulteras om de allmänt erkända standarder för produkter för elektroniska<br>signaturer som kommissionen skall fastställa och offentliggöra referens-<br>nummer till.</p>
<p>Prop. 1999/2000:117</p>
<h3>6.7 Ackreditering och certifiering</h3>
<p>Regeringens bedömning: Lagen (1992:1119) om teknisk kontroll ger<br>redan nu en möjlighet till frivillig ackreditering av certifieringsorgan<br>med det syfte som anges i direktivet.</p>
<p>Promemorians bedömning: Överensstämmer med regeringens be-<br>dömning.</p>
<p>44</p>
<p>Remissinstanserna: Remissinstanserna delar promemorians</p>
<p>bedömning eller lämnar den utan erinran.</p>
<p>Skälen för regeringens bedömning: Enligt direktivet kan medlems-<br>staterna införa frivilliga ackrediteringssystem som syftar till att höja<br>nivån på tillhandahållandet av certifikattjänster. Inom direktivets svår-<br>genomträngliga definition av ”frivillig ackreditering” torde rymmas det<br>system för ackreditering och, inte minst, certifiering under ackreditering,<br>som tillhandahålls genom lagen (1992:1119) om teknisk kontroll. Mot<br>bakgrund av att direktivet uttryckligen förbjuder varje form av för-<br>handstillstånd torde de ”rättigheter och skyldigheter” som nämns i<br>definitionen vara rättigheten att kalla sig ackrediterad/certifierad och<br>skyldigheten att leva upp till den nivå som krävs för ackredite-<br>ring/certifiering.</p>
<p>Syftet med ackreditering (jfr avsnitt 4.4) är att skapa tilltro till de<br>tjänster som de ackrediterade organen presterar. Härigenom skapas också<br>tilltro till provningsintyg, certifikat m.m., som bl.a. gör det möjligt att<br>godta sådan dokumentation från ett annat land utan förnyad kontroll.<br>Därmed har ackreditering fatt en viktig roll för att främja fri rörlighet av<br>varor och tjänster på den inre marknaden. I detta arbete gäller som en<br>viktig princip att statliga förhandsgodkännanden skall undvikas. Det<br>hindrar inte att krav ställs på provning och kontroll. Bedömning av över-<br>ensstämmelse ses dock som en teknisk uppgift utanför den offentligrätts-<br>liga sfären.</p>
<p>En ackreditering är alltid frivillig. Aktörer på marknaden vill ofta ha<br>bevis på att varor och tjänster uppfyller ställda krav. Provning eller kon-<br>troll utförda av organ med särskild påvisad kompetens kan vara ett sätt att<br>åstadkomma detta. Att ackreditering i sig är frivillig hindrar inte att ett<br>ackrediteringssystem kan utnyttjas för att åstadkomma legalt tvingande<br>regler om provning och kontroll, vilket ibland har skett i Sverige.<br>Tvånget har då bestått i ett åliggande att anskaffa ett provningsintyg eller<br>certifikat från ett ackrediterat organ. Ett sådant intyg eller certifikat får<br>därmed rättsverkningar utan att förhållandet mellan utfärdaren och be-<br>ställaren får någon offentligrättslig prägel. Staten tar själv inget ansvar<br>för dokumentet på annat sätt än genom att ålägga beställaren att anskaffa<br>dokumentet från ett organ som uppfyller av staten uppställda kvalitets-<br>krav. I Sverige knyts dessa kvalitetskrav normalt till ett krav på ackredi-<br>tering.</p>
<p>Så behöver dock inte alltid vara fallet. Inom EU har man hittills und-<br>vikit att ställa formella krav på ackreditering och i stället formulerat<br>kvalitetskrav som ibland knyts till standarder. För certifieringsorgan kan<br>således krävas att organet skall uppfylla kraven i t.ex. standarden<br>EN 45 011. Detta behöver dock inte visas med ackreditering, även om<br>ackreditering är det normala sättet att styrka att kravet är uppfyllt. Inom<br>ramen för EG:s produktdirektiv skall medlemsländerna utse s.k. anmälda<br>organ för uppgifter som innefattar provning och certifiering. Inte heller<br>här uppställs krav på ackreditering, men det anges att ett organ som är<br>ackrediterat skall antas uppfylla kraven.</p>
<p>I Sverige finns det nationella ackrediteringssystemet reglerat i lagen<br>om teknisk kontroll. Där finns också regler om utseende av anmälda<br>organ enligt EG-regler. Grundläggande för både ackreditering och utse-<br></p>
<p>Prop. 1999/2000:117</p>
<p>45</p>
<p>ende av anmälda organ är att systemen är öppna för alla organ som begär Prop. 1999/2000:117<br>det och kan visa sin kompetens enligt ställda krav. Anmälda organ skall<br>granskas av SWEDAC på samma sätt som vid ackreditering.</p>
<p>Som har framgått ovan har certifikaten en stor betydelse i den ordning<br>som regleras i direktivet. Tilltron till certifikaten far därmed central bety-<br>delse och medlemsländerna förutsätts på olika sätt främja kvaliteten på<br>erbjudna certifikat. I enlighet med vanliga EG-rättsliga principer förbjuds<br>krav på förhandstillstånd. Medlemsländerna far dock enligt en uttrycklig<br>bestämmelse utnyttja frivilliga ackrediteringssystem, som då skall vara<br>objektiva, öppna och icke-diskriminerande.</p>
<p>En ordning med ackreditering av organ för certifiering av certifikat-<br>utfärdare ligger helt inom ramen för SWEDACrs verksamhet enligt lagen<br>om teknisk kontroll. Någon ordning för ackreditering av den här typen av<br>certifieringsorgan finns ännu inte helt färdig men kan relativt lätt inrättas.<br>Den befintliga standarden EN 45 012 kan med små justeringar användas<br>för ackreditering av certifieringsorgan för att certifiera certifikatutfärdare.<br>Dessutom är standarder för att ackreditera certifieringsorgan för produkt-<br>certifiering under utarbetande.</p>
<p>Vidare finns det redan i viss mån standarder som kan användas vid<br>certifiering av certifikatutfärdare vad gäller lednings- och säkerhets-<br>system, såsom den brittiska BS 7799, del 1 (Code of practise for Infor-<br>mation Security management) och ISO TR 13335 (Guidelines for the<br>Management of Information Technology Security-GMITS). Numera<br>finns även en svensk standard, baserad på den brittiska SS 62 77 99. Det<br>finns även standarder som i princip kan användas för certifiering av fram-<br>ställning av kvalificerade certifikat (t.ex. X.509).</p>
<p>Lagen om teknisk kontroll ger redan nu en möjlighet till frivillig<br>ackreditering av certifieringsorgan med det syfte som anges i direktivet.<br>Det finns därmed ingen anledning att i lagen om certifikat för elektro-<br>niska signaturer införa regler om ackreditering eller certifiering. Skyldig-<br>heten enligt direktivet att informera kommissionen och andra medlems-<br>stater om ackrediterade nationella tillhandahållare av certifikattjänster<br>följer av grunderna för förordningen (1994:2035) om vissa skyldigheter<br>för myndigheter vid ett medlemskap i Europeiska unionen.</p>
<p>Eftersom ackreditering är frivillig, finns det inte något hinder att utan<br>ackreditering bedriva certifiering av certifikatutfärdare.</p>
<h3>6.8 Anordningar för signaturframställning</h3>
<p>Regeringens förslag: Det skall anges i lagen vad som krävs för att en<br>anordning för signaturframställning skall vara säker. Det skall också<br>föreskrivas att en anordning som anges vara en säker anordning far<br>släppas ut på marknaden eller användas för att skapa en kvalificerad<br>signatur endast om ett för ändamålet anmält organ inom Europeiska<br>ekonomiska samarbetsområdet (EES) avgjort att anordningen upp-<br>fyller kraven. Vidare skall det anges att anordningar som överens-<br>stämmer med vissa standarder skall presumeras uppfylla kraven.</p>
<p>46</p>
<p>Promemorians förslag: Överensstämmer med regeringens förslag.</p>
<p>Remissinstanserna: Remissinstanserna tillstyrker förslaget eller<br>lämnar det utan erinran.</p>
<p>Skälen för regeringens förslag: På samma sätt som för de kvalifice-<br>rade certifikaten bör de krav som anges i direktivets bilaga III anges i den<br>svenska lagtexten beträffande de säkra anordningar för signaturframställ-<br>ning, som krävs för att skapa en kvalificerad signatur. I den svenska<br>versionen av direktivet sägs i 1 .a i bilagan att signaturframställningsdata<br>”praktiskt taget” skall kunna förekomma bara en gång. Uttrycket tycks<br>dock grunda sig på en felöversättning av engelskans ”practically”.<br>Regeringen menar, liksom flera remissinstanser, att orden ”i praktiken”<br>bättre uttrycker vad som avses och föreslår att de orden används i<br>lagtexten i stället.</p>
<p>Artikel 3.4 i direktivet anger att vissa organ skall avgöra om säkra<br>anordningar överensstämmer med kraven i bilaga III. Det far förstås som<br>ett krav på att endast anordningar som av ett sådant organ bedömts över-<br>ensstämma med kraven far användas för att framställa kvalificerade<br>signaturer eller släppas ut på marknaden under beteckningen ”säkra<br>anordningar för signaturframställning”. Samtidigt anges i artikel 3.5 att<br>medlemsstaterna skall utgå från att produkter som uppfyller standarder<br>som kommissionen refererat till i Europeiska gemenskapernas officiella<br>tidning överensstämmer med kraven i bilaga III. Någon möjlighet att<br>tolka direktivet som att det kan räcka med en tillverkardeklaration om att<br>en produkt uppfyller de aktuella standarderna torde inte finnas. Den sist-<br>nämnda regeln måste anses vara riktad till de aktuella organen. Denna<br>bedömning görs också i de övriga nordiska länderna. En regel om obli-<br>gatorisk kontroll av anordningarna kompletterad med presumtionen för<br>produkter som uppfyller de nämnda standarderna bör alltså införas i den<br>svenska lagen.</p>
<p>Den möjligen kostsamma och tidskrävande obligatoriska certifiering<br>som det här är fråga om torde dock inte nödvändigtvis innebära alltför<br>negativa konsekvenser, då det ju räcker med att produkten godkänns i ett<br>av länderna inom EES. Tillverkaren eller marknadsföraren är dessutom<br>inte hänvisad till ett organ i hemlandet. Detta följer också av artikel 3.4 i<br>direktivet där det stadgas att ett beslut som fattats av ett organ i en med-<br>lemsstat skall erkännas av samtliga medlemsstater. Även detta bör anges i<br>lagtexten.</p>
<p>Enligt direktivet skall medlemsstaterna, i enlighet med kriterier som<br>kommissionen senare skall fastställa, utse sådana organ som skall avgöra<br>om säkra anordningar för signaturframställning överensstämmer med<br>kraven i direktivets bilaga III. Regeringen föreslår att det görs en hänvis-<br>ning till lagen om teknisk kontroll, där det i 3 § föreskrivs att regeringen<br>eller den myndighet som regeringen bestämmer utser de organ som skall<br>anmälas till EU för uppgifter i samband med bedömning av överens-<br>stämmelse enligt bestämmelser som gäller inom EES (se avsnitt 4.4).<br>Regeringen eller myndigheten (SWEDAC) har därvid att ta hänsyn till de<br>kriterier som kommissionen kommer att fastställa. Regeringen kan vid<br>behov utfärda närmare bestämmelser om detta enligt ett bemyndigande i<br>5 § lagen om teknisk kontroll.</p>
<p>Prop. 1999/2000:117</p>
<p>47</p>
<h3>6.9</h3>
<h3>Skadestånd</h3>
<p>Prop. 1999/2000:117</p>
<h4>6.9.1 Allmänt om skadestånd och användning av elektroniska<br>signaturer</h4>
<p>Det öppna nyckelsystemet</p>
<p>Direktivet bygger som nämnts på ett tekniskt och organisatoriskt system<br>för elektroniska signaturer som benämns det öppna nyckelsystemet (se<br>avsnitt 4.3.4). Systemet är för dagen det helt förhärskande för elektro-<br>niska signaturer. I framtiden kan dock något annat komma att gälla.</p>
<p>Det öppna nyckelsystemet bygger på medverkan av tre aktörer, näm-<br>ligen undertecknare, certifikatutfärdare och mottagare. Det kan dock<br>förekomma - och det är inte ovanligt - att en och samma person eller<br>företag är mer än en aktör i denna kedja. Det är t.ex. vanligt att en bank<br>är både certifikatutfärdare och mottagare. Så är fallet när en bank utfärdar<br>certifikat för att sedan förlita sig på elektroniska signaturer som används<br>av bankens kunder.</p>
<p>Undertecknaren kan också benämnas ”nyckelinnehavaren”, dvs. den<br>som innehar det unika nyckelpar som utgörs av en hemlig nyckel och en<br>öppen nyckel (se avsnitt 4.3.1). Nyckelinnehavaren/undertecknaren är<br>”den behörige”, som har kontroll över signaturframställningsdata och<br>anordningen för signaturframställning.</p>
<p>Det öppna nyckelsystemet reser i huvudsak tre olika särskilda skade-<br>ståndsrättsliga ansvarsförhållanden, nämligen</p>
<p>a. undertecknarens ansvar vid obehörig användning av den elektroniska<br>signaturen,</p>
<p>b. certifikatutfärdarens ansvar gentemot undertecknaren, och</p>
<p>c. certifikatutfärdarens ansvar gentemot mottagaren.</p>
<p>Undertecknarens ansvar vid obehörig användning</p>
<p>Det kan inträffa att någon annan än den egentlige undertecknaren obehö-<br>rigen använder den hemliga nyckeln och med hjälp av denna vidtar rätts-<br>handlingar i undertecknarens namn. Det betyder alltså att någon falskeli-<br>gen uppträder som undertecknare. Ett sådant missbruk kan t.ex. ha<br>möjliggjorts genom att undertecknaren handskats vårdslöst med sin<br>säkerhetskod eller sitt smarta kort. Det kan också vara så att den elektro-<br>niska signaturen missbrukas utan undertecknarens förskyllan, t.ex. av en<br>s.k. hacker eller av att certifikatutfärdaren lämnat ut den hemliga nyckeln<br>till fel person.</p>
<p>De ansvarsfrågor som aktualiseras här regleras över huvud taget inte i<br>direktivet. Det kan ändå finnas skäl att något behandla problemet.</p>
<p>Enligt svensk rätt torde som utgångspunkt gälla att undertecknaren inte<br>blir bunden av rättshandlingar som inte har företagits av honom eller<br>henne. I rättspraxis har man visserligen i vissa fall låtit den som åberopar<br>ogiltigheten bli skadeståndsskyldig om han eller hon genom vårdslöshet<br>möjliggjort förfalskningen (jfr t.ex. NJA 1935 s. 646). Huruvida en<br>undertecknare skulle kunna bli skadeståndsskyldig enligt dessa principer<br>om denne varit oaktsam och därigenom möjliggjort det obehöriga använ-<br>dandet måste dock betecknas som mycket osäkert.</p>
<p>48</p>
<p>Det är viktigt att komma ihåg att det alltid råder ett avtalsförhållande<br>mellan undertecknaren och certifikatutfärdaren. Undertecknaren måste ju<br>vända sig till certifikatutfärdaren för att fa ett certifikat utfärdat. Det finns<br>således alltid möjligheter att reglera ansvarsfrågor i avtalet mellan<br>parterna.</p>
<p>De här aktuella problemen uppvisar vissa likheter med obehörig<br>användning av kontokort. För dessa fall finns en särskild reglering i 34 §<br>konsumentkreditlagen (1992:830). Bestämmelsen har införts för att<br>komma till rätta med stränga avtalsvillkor rörande konsumenternas betal-<br>ningsansvar vid obehöriga uttag med kontokort.</p>
<p>Det kan finnas skäl att överväga en särskild reglering på detta område i<br>svensk rätt. Det kan nämnas att i den modellag för elektroniska signaturer<br>som man för närvarande arbetar fram inom UNCITRAL (jfr modellagen<br>för elektronisk handel, avsnitt 4.2) diskuteras just principer för under-<br>tecknarens ansvar för obehörig användning. Frågan är dock komplicerad<br>och bör lämpligen övervägas i något annat sammanhang än vid genom-<br>förandet av direktivet.</p>
<p>Certifikatutfärdarens ansvar gentemot undertecknaren</p>
<p>Som ovan nämnts är förhållandet mellan certifikatutfärdaren och under-<br>tecknaren kontraktsrättsligt. Frågan om certifikatutfärdarens ansvar<br>gentemot undertecknaren kompliceras dock av att det kan vara svårt att<br>ange vad som är avtalets objekt och vilken typ av avtal det är frågan om.<br>Den hemliga nyckeln kan vara lagrad på ett smart kort, på en hårddisk, på<br>en diskett osv. och man kan tänka sig att certifikatutfärdaren genererar ett<br>nyckelpar till undertecknaren.</p>
<p>Certifikatutfärdaren och undertecknaren kan i dag efter gottfinnande<br>reglera relevanta frågor i avtalet såsom ansvarsgrunder, ansvarets omfatt-<br>ning och ansvarsbegränsningar. Avtalsfriheten begränsas ytterst av 36 §<br>lagen (1915:218) om avtal och andra rättshandlingar på förmögenhetens<br>område (avtalslagen). Om certifikatutfärdaren inte uppfyller sina för-<br>pliktelser enligt avtalet med undertecknaren kan ett avtalsbrott föreligga.</p>
<p>Förhållandet mellan certifikatutfärdaren och undertecknaren regleras i<br>viss mån genom artikel 6 i direktivet.</p>
<p>Certifikatutfärdarens ansvar gentemot mottagaren</p>
<p>Om uppgifterna i ett certifikat är felaktiga - t.ex. eftersom certifikat-<br>utfärdaren inte har kontrollerat identiteten hos undertecknaren på det sätt<br>som påstås i certifikatet - kan mottagaren lida en skada om denne vid en<br>ekonomisk transaktion förlitar sig på den elektroniska signaturen. Rela-<br>tionen mellan certifikatutfärdaren och mottagaren kan vara av olika slag.<br>De kan ha en kontraktsrättslig relation, men vanligen torde det inte finnas<br>något avtal mellan dem.</p>
<p>När det inte finns något avtal mellan certifikatutfärdaren och mottaga-<br>ren gäller utomkontraktuella regler. I utomkontraktuella förhållanden är<br>huvudregeln att skadeståndsskyldighet för ren förmögenhetsskada (dvs.<br>ekonomisk skada som uppkommit utan att någon lidit person- eller sak-</p>
<p>Prop. 1999/2000:117</p>
<p>49</p>
<p>skada) föreligger endast om skadan orsakats genom brott. Det framgår av<br>2 kap. 4 § skadeståndslagen (1972:207). För att ren förmögenhetsskada<br>skall vara ersättningsgill i andra fall krävs i princip en specialbestäm-<br>melse i lag. Av förarbetena till 2 kap. 4 § skadeståndslagen framgår dock<br>att avsikten inte varit att lägga hinder i vägen för en rättsutveckling i<br>praxis i riktning mot ett vidgat ansvar för ren förmögenhetsskada (jfr<br>prop. 1972:5 s. 568). Sedan länge har också i rättspraxis skadestånds-<br>ansvar godtagits beträffande t.ex. felaktiga vederhäftighets- och vittnes-<br>intyg samt beträffande soliditetsupplysningar. Särskilt intressant i detta<br>sammanhang är rättsfallet NJA 1987 s. 692 där en värderingsman som av<br>oaktsamhet utfärdat ett oriktigt värderingsintyg ansågs skadestånds-<br>skyldig gentemot en långivare som förlitat sig på intyget.</p>
<p>Det kan diskuteras i vilken utsträckning en mottagare kan göra<br>gällande att en certifikatutfärdare är skadeståndsskyldig i enlighet med<br>principerna i 1987 års fall. När certifikatutfärdaren utfärdar ett certifikat<br>sker det normalt i syfte att tredje man skall kunna förlita sig på uppgift-<br>erna i certifikatet. Certifikatet riktar sig ju ofta just till tredje man. I så<br>måtto finns likheter med 1987 års fall. Av betydelse är dock att mål-<br>gruppen för certifikatet i regel kan vara obegränsad. Det är omöjligt för<br>en certifikatutfärdare att överblicka de transaktioner som signaturen<br>kommer att användas till och vem som kan förväntas förlita sig på certi-<br>fikatet. I normalfallet saknar certifikatutfärdaren vetskap om för vilka<br>ändamål signaturen kommer att användas. Så behöver dock inte vara<br>fallet om certifikatutfärdaren har begränsat t.ex. certifikatets använd-<br>ningsområde. Rättsläget måste hur som helst betecknas som osäkert.</p>
<p>I de fall det trots allt finns ett avtal mellan certifikatutfärdaren och<br>mottagaren är det i dag fritt för dem att sinsemellan reglera förutsättning-<br>arna för ansvar. Avtalsfriheten begränsas också här ytterst av 36 §<br>avtalslagen. Om certifikatutfärdaren inte uppfyller sina förpliktelser en-<br>ligt avtalet med mottagaren kan ett avtalsbrott föreligga.</p>
<p>Ansvarsförhållandet mellan certifikatutfärdaren och mottagaren regle-<br>ras i artikel 6 i direktivet.</p>
<p>Prop. 1999/2000:117</p>
<h4>6.9.2 Genomförandet av direktivets artikel om skadestånd</h4>
<p>Regeringens förslag: I lagen skall det föreskrivas ett skadestånds-<br>rättsligt presumtionsansvar för den som utfärdar kvalificerade certi-<br>fikat till allmänheten gentemot den som förlitar sig på certifikatet. Det<br>skall även föreskrivas att bestämmelsen är tvingande till fördel för den<br>som förlitar sig på certifikatet.</p>
<p>Promemorians förslag: Överensstämmer i huvudsak med regeringens<br>förslag. I promemorian föreslogs dock ingen bestämmelse om att skade-<br>ståndsbestämmelsen skulle vara tvingande.</p>
<p>Remissinstanserna: Flertalet remissinstanser tillstyrker i huvudsak<br>förslaget eller lämnar det utan erinran. Konsumentverket anser dock att<br>det finns skäl att överväga ett strikt ansvar. Post- och telestyrelsen och<br>Juridiska fakultetsnämnden vid Uppsala universitet menar att det bör<br>klargöras om skadeståndsbestämmelsen är tvingande eller inte.</p>
<p>50</p>
<h4>Skälen för regeringens förslag</h4>
<p>Prop. 1999/2000:117</p>
<p>Ansvarets omfattning</p>
<p>Artikel 6 i direktivet föreskriver som ett minimikrav att medlemsstaterna<br>skall säkerställa att de certifikatutfärdare som utfärdar certifikat som<br>uppges vara kvalificerade eller som garanterar att någon annans certifikat<br>är kvalificerade har ett s.k. presumtionsansvar. Det innebär att om den<br>som förlitar sig på certifikatet lider en skada till följd av t.ex. en felaktig-<br>het i certifikatet skall certifikatutfärdaren ersätta skadan såvida inte certi-<br>fikatutfärdaren kan visa att felaktigheten beror på något annat än att<br>denne varit vårdslös. Certifikatutfärdaren skall alltså antas - presumeras<br>- ha orsakat skadan genom vårdslöshet, men om utfärdaren lyckas bevisa<br>att skadan inte beror på vårdslöshet på dennes sida skall utfärdaren kunna<br>undgå skadeståndsansvar. Eftersom detta i direktivet formulerats som ett<br>minimikrav är det möjligt för medlemsstaterna att i stället föreskriva ett<br>strikt ansvar för certifikatutfärdaren, dvs. att denne skall vara skade-<br>ståndsskyldig oberoende av eget vållande.</p>
<p>Vid bestämmande av vilken omfattning certifikatutfärdarens ansvar<br>skall ha finns flera hänsyn att ta. Det är viktigt att betona att certifikatets<br>funktion är att skapa trygghet. Den som tar del av innehållet skall kunna<br>förlita sig på att det är riktigt. Ett viktigt syfte med regleringen måste<br>vidare vara att gynna förekomsten av elektroniska signaturer och certi-<br>fikattjänster. Regleringen far inte riskera att i onödan hämma framväxten<br>av certifikattjänster. Det är därvid väsentligt att komma ihåg att certifikat<br>är något som certifikatutfärdama normalt tar betalt för. Det vore natur-<br>ligtvis olyckligt med en utveckling där certifikatutfärdama tog så mycket<br>betalt för certifikaten att elektroniska signaturer endast skulle komma att<br>användas av företag och inte av privatpersoner.</p>
<p>En annan aspekt som inte är oväsentlig i sammanhanget är att man bör<br>försöka uppnå nordisk rättslikhet på området. I övriga nordiska länder har<br>man hittills planerat att genomföra direktivet så att certifikatutfärdama<br>åläggs ett presumtionsansvar.</p>
<p>Vid ett presumtionsansvar måste certifikatutfärdaren, sedan t.ex. en<br>felaktighet i certifikatet och en därtill knuten skada för den som förlitar<br>sig på certifikatet har konstaterats, bevisa att skadan inte uppkommit på<br>grund av dennes vårdslöshet. Detta är rimligt eftersom certifikatutfärda-<br>ren torde ha lättast att föra fram bevisning i detta avseende. Om däremot<br>certifikatutfärdama skulle sakna möjlighet att visa att man vidtagit alla<br>rimliga åtgärder för att förhindra en felaktighet skulle utvecklingen av<br>sådana tjänster hämmas på ett olyckligt sätt. Från angivna utgångspunkter<br>framstår enligt regeringens mening ett presumtionsansvar som det<br>lämpligaste alternativet. Ett strikt ansvar bör därför inte föreskrivas.</p>
<p>Hovrätten över Skåne och Blekinge samt Juridiska fakultetsnämnden<br>vid Uppsala universitet ifrågasätter betydelsen av att den skadelidande<br>skall ha haft ”rimlig anledning” att förlita sig på certifikatet, såsom<br>angavs i promemorians lagförslag. Hovrätten menar att begränsningen<br>borde kunna hanteras inom adekvansbedömningen, inom läran om<br>skyddat intresse eller med hjälp av allmänna regler om jämkning vid<br>medvållande, med i huvudsak samma utfall som om begränsningen</p>
<p>51</p>
<p>uttryckligen anges i lagtexten. Hovrätten menar vidare att skyddet för den<br>skadelidande i vart fall inte lär hamna under den miniminivå som<br>direktivet kräver. Fakultetsnämnden anser att utgångspunkten vid<br>tolkningen av bestämmelsen rimligen måste vara att den som förlitar sig<br>på ett kvalificerat certifikat har alla skäl att göra det och att situationen<br>måste vara mycket speciell för att bedömningen skall bli annorlunda.<br>Regeringen delar remissinstansernas bedömning och föreslår därför inte<br>att någon sådan begränsning uttryckligen anges.</p>
<p>Certifikatutfärdare som skall omfattas av skadeståndsregeln</p>
<p>Det skadeståndsansvar som föreskrivs i direktivet omfattar endast de<br>certifikatutfärdare som antingen till allmänheten utfärdar certifikat som<br>uppges vara kvalificerade eller som garanterar att en annan certifikat-<br>utfärdares certifikat är kvalificerade. En certifikatutfärdare som inte utger<br>sig för att utfärda kvalificerade certifikat och som inte garanterar att<br>någon annans certifikat är kvalificerade träffas över huvud taget inte av<br>direktivets skadeståndsregler. Inte heller träffas sådana certifikatutfärdare<br>som inte utfärdar certifikat till allmänheten. Frågan är om vi i Sverige nu<br>bör införa en regel som går längre än direktivet och ålägga en skade-<br>ståndsskyldighet även för andra certifikatutfärdare. Direktivet torde inte<br>hindra en sådan nationell lagstiftning.</p>
<p>Det finns bärkraftiga argument både för att utöka den krets som skall<br>träffas av direktivets skadeståndsregler och för att inte göra det. Som<br>nämnts ovan är det tämligen oklart vad som i dag gäller om certifikat-<br>utfärdares ansvar gentemot mottagaren enligt allmänna skadeståndsrätts-<br>liga regler, i varje fall när de inte har något avtalsförhållande med var-<br>andra, vilket torde vara det vanliga. Denna osäkerhet talar för att kretsen<br>bör utökas i förhållande till direktivet. Det kan förutsättas att många av<br>de certifikat som finns och kommer att finnas på marknaden i framtiden<br>inte är kvalificerade i direktivets mening. Det kan i dessa fall finnas väl<br>så starka skäl att ha en specialreglering för certifikatutfärdarens ansvar.<br>Samtidigt finns det starka betänkligheter mot en utvidgad krets. Regle-<br>ringen tar såvitt avser förhållandet mellan certifikatutfärdaren och<br>mottagaren huvudsakligen sikte på skadeståndsansvar för ren förmögen-<br>hetsskada i utomobligatoriska förhållanden. På detta område präglas<br>svensk rätt av tämligen stor restriktivitet. Om kretsen skulle utvidgas är<br>det viktigt att den är tydligt identifierbar och definierad. Det skulle kunna<br>föra för långt om skadeståndsansvar för rena förmögenhetsskador i<br>utomkontraktuella förhållanden träffade alla certifikatutfärdare eller alla<br>som i en elektronisk miljö identifierar avsändare av elektroniska medde-<br>landen. Det är förenat med betydande svårigheter att finna tydliga av-<br>gränsningar på området. Vidare bygger direktivet till stor del på att det<br>skapas en slags standard för elektroniska signaturer i Europa och de som<br>baserar sig på kvalificerade certifikat ges en särställning i direktivet (jfr<br>avsnitt 6.11). Det kan därför ses som mest förenligt med tankarna bakom<br>direktivet att begränsa skadeståndsregleringen till de fall certifikat-<br>utfärdaren anger att han utfärdar kvalificerade certifikat eller som garan-<br>terar att någon annans certifikat är kvalificerade. De som förlitar sig på<br>certifikaten far därmed också en tydlig signal om de kvalificerade certifi-<br></p>
<p>Prop. 1999/2000:117</p>
<p>52</p>
<p>katens särskilda kvalitéer. Samtidigt undviker man att förena certifikat Prop. 1999/2000:117<br>som avses att användas på ett sätt som inte kräver så hög säkerhet med<br>avskräckande höga kostnader.</p>
<p>Övervägande skäl talar därför för att inte utvidga den krets som träffas<br>av direktivets skadeståndsregler. I sammanhanget kan nämnas att man<br>hittills planerat att lösa frågan på samma sätt i övriga nordiska länder. En<br>jämförelse med övriga nordiska länder i detta avseende haltar dock efter-<br>som vi har delvis olika regler om ansvar för ren förmögenhetsskada<br>utanför kontraktsförhållanden.</p>
<p>Reglernas utformning</p>
<p>Artikel 6.1 i direktivet föreskriver att certifikatutfärdare som utfärdar<br>påstått kvalificerade certifikat till allmänheten eller som garanterar att<br>någon annans certifikat är kvalificerade har ett skadeståndsrättsligt<br>presumtionsansvar för att uppgifterna i ett certifikatet är korrekta och<br>fullständiga, att undertecknaren vid tidpunkten för utfärdandet var i<br>besittning av de signaturframställningsdata som motsvarar de signatur-<br>verifieringsdata som anges i certifikatet samt att signaturfram-<br>ställningsdata och signaturverifieringsdata kan användas som komple-<br>ment till varandra om certifikatutfärdaren framställer båda. Vidare har<br>certifikatutfärdare som utfärdar sådana certifikat enligt artikel 6.2 ett<br>presumtionsansvar för skada som genom underlåtenhet att registrera ett<br>återkallande av ett certifikat åsamkats den som förlitat sig på certifikatet.</p>
<p>De i lagen ställda kraven på kvalificerade certifikat och den som utfär-<br>dar sådana till allmänheten (se avsnitt 6.5) kan utformas bl.a. som hand-<br>lingsregler för certifikatutfärdaren, som motsvarar vad certifikat-<br>utfärdaren enligt direktivet skall ha ett skadeståndsrättsligt presumtions-<br>ansvar för. Skadeståndsreglerna i lagen kan då lämpligen utformas så att<br>certifikatutfärdaren bär det särskilda skadeståndsansvaret om uppgifterna<br>i ett certifikat som anges vara kvalificerat är felaktiga eller ofullständiga,<br>eller certifikatutfärdaren inte har uppfyllt vissa handlingsregler.</p>
<p>Artikel 6 stadgar också att medlemsstaterna skall föreskriva att en<br>certifikatutfärdare far ange begränsningar för områden eller transaktions-<br>belopp som certifikatet far användas för samt att certifikatutfärdaren inte<br>skall vara ansvarig för skador som härrör från ett överskridande av dessa<br>begränsningar. Även detta bör anges i lagtexten.</p>
<p>Några remissinstanser menar att promemorians lagförslag är otydligt i<br>fråga om vilka certifikatutfärdare som omfattas av skadeståndsbestäm-<br>melsen. Såsom framgått ovan omfattas bara sådana certifikatutfärdare<br>som utfärdar påstått kvalificerade certifikat till allmänheten. Certifikat-<br>utfärdare som garanterar att någon annans certifikat är kvalificerade om-<br>fattas av bestämmelsen i den mån certifikaten inte uppfyller kraven i 3 §<br>eller innehåller felaktiga uppgifter (första stycket 2 och 3). Dessa s.k.<br>certifikatgaranter åläggs dock inte något skadeståndsansvar för någon<br>annan certifikatutfärdares underlåtenhet att uppfylla kraven i 9 § (första<br>stycket 1). Detta har förtydligats i regeringens förslag, bl.a. genom att<br>sammanfoga 13 och 14 §§ och genom det tillagda andra stycket i 13 §.</p>
<p>Post- och telestyrelsen och Juridiska fakultetsnämnden vid Uppsala<br>universitet menar att det bör klargöras om rätten till skadestånd är tving-<br></p>
<p>53</p>
<p>ande eller om certifikatutfärdaren i avtal kan friskriva sig från ansvar i Prop. 1999/2000:117<br>forhållande till sådana personer som är kunder till certifikatutfärdaren. De<br>anför att om regeln är avsedd att vara tvingande, bör detta anges uttryck-<br>ligen i lagen. Fakultetsnämnden menar att en tvingande regel torde<br>stämma bäst överens med formuleringen av ingressen till artikel 6 i<br>direktivet och att det vore det lämpligaste alternativet. Regeringen delar<br>den uppfattningen och föreslår därför en särskild bestämmelse som klar-<br>gör detta. Bestämmelsen bör utformas i enlighet med motsvarande<br>bestämmelser i konsumentlagstiftningen.</p>
<h3>6.10 Behandling av personuppgifter</h3>
<p>Regeringens förslag: I lagen skall det anges begränsningar for hur<br>den som utfärdar certifikat till allmänheten far behandla person-<br>uppgifter.</p>
<p>Promemorians förslag: Överensstämmer med regeringens förslag.</p>
<p>Remissinstanserna: Remissinstanserna tillstyrker förslaget eller läm-<br>nar det utan erinran.</p>
<p>Skälen för regeringens förslag: Europaparlamentets och rådets direk-<br>tiv 95/46/EG av den 24 oktober 1995 om skydd for enskilda med avse-<br>ende på behandling av personuppgifter och om det fria flödet av sådana<br>uppgifter har genomförts i svensk rätt genom personuppgiftslagen<br>(1998:204). Lagen innehåller bestämmelser om när behandling av per-<br>sonuppgifter är tillåten.</p>
<p>Enligt lagen gäller bl.a. följande. Personuppgifter far behandlas<br>(inkluderande insamlas) bara om den registrerade har lämnat sitt sam-<br>tycke till behandlingen, eller om behandlingen är nödvändig av vissa<br>närmare angivna skäl. Personuppgifter som samlats in for ett ändamål får<br>inte behandlas för något annat oförenligt ändamål. Fler personuppgifter<br>än som är nödvändiga med hänsyn till ändamålet får inte behandlas.</p>
<p>Personuppgiftslagen är tillämplig på certifikatutfärdare, SWEDAC och<br>tillsynsmyndigheten, utan att detta särskilt behöver anges. Artikel 8.2 i<br>direktivet innehåller dock regler som innebär strängare krav än de som<br>uppställs i personuppgiftslagen. Det skall därför i den föreslagna lagen<br>införas en regel om att certifikatutfärdare som utfärdar certifikat till<br>allmänheten endast under dessa strängare förutsättningar får behandla<br>personuppgifter. Regeln skall inte vara begränsad till dem som utfärdar<br>kvalificerade certifikat.</p>
<p>54</p>
<h3>6.11</h3>
<h3>Kvalificerade elektroniska signaturer</h3>
<p>Prop. 1999/2000:117</p>
<p>Regeringens förslag: Lagen skall innehålla en regel som anger de<br>kvalificerade elektroniska signaturernas särställning. Regeln innebär<br>att om det i lag eller annan författning ställs krav på egenhändig<br>underskrift eller motsvarande och om det är tillåtet att uppfylla kravet<br>med elektroniska medel, skall en kvalificerad elektronisk signatur<br>alltid anses uppfylla kravet. Användningen av elektroniska signaturer<br>inom eller vid kommunikation med myndigheter skall dock kunna<br>vara förenad med ytterligare krav.</p>
<p>Promemorians förslag: Överensstämmer med regeringens förslag. I<br>promemorian föreslogs dock ingen särskild bestämmelse om använd-<br>ningen av elektroniska signaturer inom eller vid kommunikation med<br>myndigheter..</p>
<p>Remissinstanserna: Flertalet remissinstanser tillstyrker eller har ingen<br>invändning mot att bestämmelsen införs, men menar att formuleringen i<br>promemorians förslag är otydlig. Hovrätten över Skåne och Blekinge,<br>Statskontor et, Juridiska institutionen vid Göteborgs universitet, IT-kom-<br>missionen och Lagerlöf & Leman ifrågasätter dock om bestämmelsen<br>fyller någon praktisk funktion och om den inte borde utgå. Flera remiss-<br>instanser invänder att bestämmelsens rubrik kan leda till missförstånd om<br>vad bestämmelsen egentligen innebär. Riksarkivet, Patent- och registre-<br>ringsverket, Riksskatteverket, Statskontoret och Lagerlöf & Leman menar<br>att det, i vart fall tills vidare, måste finnas vissa möjligheter att ställa<br>ytterligare krav på användningen av elektroniska signaturer inom<br>offentlig sektor.</p>
<h4>Skälen för regeringens förslag</h4>
<p>Bakgrund</p>
<p>Som tidigare nämnts finns det en mängd författningar som ställer krav på<br>underskrift för att en rättshandling skall anses giltig eller en åtgärd anses<br>vidtagen etc. 1 svensk rätt finns dock inga regler som anger hur ett<br>författningsenligt krav på underskrift skall uppfyllas. Det sägs ingenstans<br>att underskriften skall vara läslig på det sättet att personens namn kan<br>utläsas av underskriften. Det sägs vidare inget om att personen skall<br>använda sitt fulla namn eller sina initialer eller enbart ett bomärke eller<br>kryss. Kravet på underskrift uttrycks också på olika sätt i skilda<br>författningar. Exempelvis krävs det i vissa författningar ”underskrift”<br>medan det i andra författningar krävs ”namnunderskrift”. Även om det<br>saknas regler om vad som krävs för att uppfylla ett formkrav på<br>underskrift måste det åtminstone i vissa situationer finnas en gräns för<br>vad som kan godtas när det ställs ett sådant krav. Någon form av<br>angivelse om vem som avses med underskriften torde krävas. Är det en<br>skrivkunnig person kan det möjligen krävas att det är ett allvarligt försök<br>att forma namnet i skrift. I vissa situationer torde därför inte vilket<br>avtryck som helst från exempelvis en penna anses konstituera en</p>
<p>55</p>
<p>underskrift eller namnunderskrift. Frågan har nog tämligen sällan ställts<br>på sin spets eller vållat några problem.</p>
<p>När det gäller elektroniska signaturer förhåller det sig något<br>annorlunda. Den som förlitar sig på en elektronisk signatur ser inte<br>tekniken i systemet och hur kontrollen går till. I princip far de mottagare<br>som förlitar sig på en elektronisk signatur endast ett meddelande på sin<br>dator om att identitet och innehåll stämmer eller inte stämmer. Som<br>tidigare nämnts bygger direktivet på elektroniska signaturer enligt det s.k.<br>öppna nyckelsystemet. Även om detta koncept har en viss given struktur<br>kan tekniken ha olika hög säkerhetsnivå.</p>
<p>I artikel 5.1 beskrivs en typ av elektroniska signaturer med särskilt hög<br>säkerhetsnivå, i den föreslagna lagen benämnda kvalificerade elektro-<br>niska signaturer.</p>
<p>Enligt artikel 5.1.a skall medlemsländerna säkerställa att dessa kvalifi-<br>cerade elektroniska signaturer ”uppfyller de rättsliga kraven på en signa-<br>tur i förhållande till uppgifter i elektronisk form, på samma sätt som en<br>handskriven signatur uppfyller samma krav i förhållande till uppgifter på<br>papper”. Medlemsstaterna är vidare enligt artikel 5.1.b skyldiga att se till<br>att kvalificerade signaturer godtas som bevis vid rättsliga förfaranden. I<br>artikel 5.2 sägs att medlemsstaterna skall se till att inga elektroniska sig-<br>naturer förvägras rättslig verkan eller giltighet som bevis vid rättsliga<br>förfaranden enbart på vissa särskilt angivna grunder. Frågan är vad<br>artikel 5 egentligen innebär och om det krävs några åtgärder för att<br>svensk rätt skall leva upp till direktivet i denna del.</p>
<p>Innebörden av artikel 5 i direktivet</p>
<p>Finansbolagens förening och Svenska Inkassoföreningen menar att inne-<br>börden av artikel 5 är att verkan av en elektronisk signatur måste jäm-<br>ställas med verkan av en egenhändig namnteckning. De menar därför att<br>direktivet på denna punkt är mer långtgående än promemorians förslag.<br>Enligt regeringens mening kan dock artikeln inte läsas och tolkas isolerat<br>från övriga artiklar i direktivet. Av särskild betydelse för hur artikel 5<br>skall uppfattas är artikel 1 i direktivet som reglerar direktivets tillämp-<br>ningsområde.</p>
<p>Av artikel 1 framgår att syftet med direktivet är att underlätta använd-<br>ningen av elektroniska signaturer och bidra till deras rättsliga erkän-<br>nande. Av artikeln framgår vidare att direktivet inte omfattar frågor som<br>avser ingående eller giltighet av avtal eller andra rättsliga förpliktelser,<br>om den nationella lagstiftningen eller gemenskapslagstiftningen föreskri-<br>ver vissa formkrav. Direktivet påverkar inte heller bestämmelser och<br>begränsningar i nationell lagstiftning eller gemenskapslagstiftning som<br>reglerar användningen av dokument.</p>
<p>Enligt regeringens uppfattning är det sålunda klart att direktivet inte<br>inom något rättsområde föreskriver att elektronisk kommunikation måste<br>accepteras. Vidare innebär artikel 1 enligt regeringens bedömning att<br>direktivet inte på något rättsområde förbjuder medlemsstaterna att ha<br>formkrav på egenhändiga namnunderskrifter som utesluter användning av<br>elektroniska signaturer. Flertalet remissinstanser synes dela den bedöm-<br>ningen.</p>
<p>Prop. 1999/2000:117</p>
<p>56</p>
<p>Innebörden av artikel 5.1.a kan därför inte vara att medlemsstaterna<br>måste godta kvalificerade elektroniska signaturer i alla de fall där det<br>finns ett krav på underskrift i nationell rätt eller gemenskapsrätt. Därför<br>måste artikel 5.1.a uppfattas så att om det enligt nationell rätt — antingen<br>på grund av lagstiftning eller andra föreskrifter eller på grund av tolkning<br>av formkravsregler - över huvud taget är tillåtet att uppfylla ett formkrav<br>på traditionell underskrift e.d. med elektroniska rutiner, måste de kvalifi-<br>cerade elektroniska signaturerna alltid godtas. På detta sätt skapas inom<br>hela gemenskapen en standard för elektroniska signaturer, vilket kan vara<br>gynnsamt för den inre marknaden. Därför bör det i den svenska lagen<br>införas en bestämmelse som klargör detta förhållande.</p>
<p>När det gäller artikel 5.1.b - dvs. att kvalificerade elektroniska signatu-<br>rer skall godtas som bevis vid rättsliga förfaranden - behövs knappast<br>några lagstiftningsåtgärder. Av principen om den fria bevisprövningen<br>som gäller i Sverige följer att det inte finns något hinder mot att använda<br>vissa kunskapskällor eller medier som bevisning. Något hinder mot att<br>använda elektroniska signaturer som bevis finns således inte.</p>
<p>I artikel 5.2 ges regler för alla slags elektroniska signaturer, dvs. inte<br>enbart de som är kvalificerade. Där sägs att medlemsstaterna skall se till<br>att en elektronisk signatur inte förvägras rättslig verkan eller giltighet<br>som bevis vid rättsliga förfaranden enbart på den grunden att signaturen</p>
<p>- är i elektronisk form,</p>
<p>- inte är baserad på ett kvalificerat certifikat,</p>
<p>- inte är baserad på ett kvalificerat certifikat utfärdat av en ackrediterad<br>tillhandahållare av certifikattjänster, eller</p>
<p>- inte är skapad av en säker anordning för skapande av signaturer.</p>
<p>När det gäller kravet att elektroniska signaturer inte far förvägras<br>giltighet som bevis vid rättsliga förfaranden på grund av skäl som anges i<br>artikel 5.2 innebär det med hänvisning till principen om den fria bevis-<br>prövningen inga problem för svensk del. Några lagstiftningsåtgärder<br>krävs inte för att genomföra direktivet i denna del. Frågan är dock vad<br>artikeln kan innebära för svensk del när det gäller kravet att en elektro-<br>nisk signatur inte far förvägras rättslig verkan.</p>
<p>Lika lite som artikel 5.1 kan denna bestämmelse anses innebära att<br>medlemsstaterna måste se till att en elektronisk signatur över huvud taget<br>skall kunna användas för att uppfylla formkrav som finns i nationell lag-<br>stiftning. Det följer som tidigare nämnts redan av artikel 1.</p>
<p>Till skillnad från artikel 5.1 har inte artikel 5.2 någon hänvisning till<br>”handskrivna signaturer på papper”. Det sägs bara att elektroniska sig-<br>naturer inte far förvägras rättslig verkan på grund av omständigheter som<br>där anges. I svensk rätt finns inte några regler som kan sägas förvägra<br>elektroniska signaturer rättslig verkan över huvud taget. Visserligen kan<br>det finnas formkrav för rättshandlingar som utesluter användning av<br>elektroniska signaturer, men detta är tillåtet enligt artikel 1. Vidare är det<br>enbart kvalificerade elektroniska signaturer som måste anses uppfylla<br>kraven på en handskriven underskrift när man i nationell rätt gör en sådan<br>jämställelse. Artikel 5.2 torde därför inte kräva några lagstiftnings-<br>åtgärder i Sverige. Regeringens slutsats är alltså att det endast är artikel<br>5.1.a som kräver någon lagstiftningsåtgärd i svensk rätt.</p>
<p>Prop. 1999/2000:117</p>
<p>57</p>
<p>Genomförandet av artikel 5. l.a i svensk rätt</p>
<p>Prop. 1999/2000:117</p>
<p>Som framgått finns det ett antal formkravsregler i svensk rätt som innebär<br>krav på underskrift, egenhändig namnunderskrift eller liknande. Dessa<br>regler finns främst inom förvaltningsrätten, men det finns också ett<br>begränsat antal sådana regler inom förmögenhets- och familjerätten.<br>Reglerna kan i flera fall antas utesluta elektroniska rutiner eller i vart fall<br>föranleda tveksamhet om sådana rutiner är tillåtna. Angående innebörden<br>av krav på ”skriftlighet”, se prop. 1999/2000:89, s. 91, avsnitt 5.3 och 5.4<br>i SOU 1996:40 samt lagkommentaren till 11 §.</p>
<p>I denna situation bör utgångspunkten vara att det inte bör finnas otids-<br>enliga formkrav som på ett onödigt sätt hindrar elektronisk kommunika-<br>tion. I det förslag till direktiv om elektronisk handel som kommissionen<br>lagt fram, och som rådet den 28 februari 2000 antog en gemensam stånd-<br>punkt om, krävs att medlemsstaterna ser till att de rättsliga krav som är<br>tillämpliga på avtalsprocessen inte skapar hinder för att träffa avtal i<br>elektronisk form (artikel 9). Om direktivet antas i den delen kommer det<br>att innebära att de krav på underskrift o.d. som finns på civilrättens<br>område måste ses över och att en del av dessa krav kan behöva avskaffas.<br>Någon generell regel i svensk lagstiftning som likställer vissa typer av<br>elektroniska signaturer med egenhändiga namnunderskrifter torde dock<br>inte vara möjlig (se avsnitt 9 i promemorian).</p>
<p>När artikel 5 genomförs i svensk rätt bör man därför inte generellt jäm-<br>ställa vissa elektroniska signaturer med egenhändiga namnunderskrifter i<br>de författningar där det finns formkrav som kräver underskrifter. I stället<br>bör det införas en regel som anger de kvalificerade elektroniska signatu-<br>rernas särställning, i de fall det i lag eller andra författningar finns form-<br>krav som far uppfyllas med hjälp av elektroniska signaturer. Det innebär<br>alltså att det fortfarande är tillåtet att ha kvar formkrav som förhindrar<br>användningen av elektroniska signaturer. I vissa fall kan dock tänkas att<br>det, uttryckligen eller p.g.a. praxis, är eller kan bli tillåtet att uppfylla<br>t.ex. krav på egenhändig namnunderskrift genom elektroniska rutiner. I<br>sådana fall måste alltid en kvalificerad elektronisk signatur accepteras.<br>Det kan också i vissa bestämmelser uttryckligen ställas krav på att en<br>elektronisk signatur skall användas. Även i de fallen måste en kvalifice-<br>rad elektronisk signatur godtas.</p>
<p>Den föreslagna bestämmelsen innebär alltså att det inte far ställas<br>högre krav på en elektronisk signatur än vad som ställs på en kvalificerad<br>elektronisk signatur. Såsom flera remissinstanser påpekar är det dock i<br>många situationer fullt tillräckligt med en elektronisk signatur med en<br>lägre säkerhetsnivå. Bestämmelsen hindrar inte på något sätt att även<br>sådana elektroniska signaturer kan godtas. Det är tvärtom naturligt att<br>olika slags elektroniska signaturer med olika säkerhetsnivå utvecklas och<br>accepteras beroende på i vilket syfte de används.</p>
<p>Flertalet remissinstanser menar att den åsyftade innebörden av be-<br>stämmelsen inte framgår av promemorians förslag. Regeringen föreslår<br>därför att bestämmelsen omformuleras i förhållande till promemorians<br>förslag.</p>
<p>Bestämmelsen utgör självfallet inget hinder mot att ifrågasätta signatu-<br>rens härkomst, dvs. om det är rätt person som ligger bakom signaturen.</p>
<p>58</p>
<p>Liksom vid användning av traditionella egenhändiga namnunderskrifter<br>kan alltid härkomsten ifrågasättas om det finns anledning till det.</p>
<p>Lagrådet har föreslagit att bestämmelsens rubrik bör lyda<br>”Användningen av elektroniska signaturer i vissa fall”. Med hänsyn till<br>att bestämmelsen dels endast avser kvalificerade elektroniska signaturer<br>och inte elektroniska signaturer i allmänhet, dels inte rör användningen<br>endast i vissa fall menar regeringen dock att en sådan rubrik skulle<br>riskera att bli missvisande. Regeringen har därför inte följt Lagrådets<br>förslag i denna del.</p>
<p>Användning av elektroniska signaturer vid kommunikation med myndigheter<br>I direktivets artikel 3.7 anges att medlemsstaterna far förena använd-<br>ningen av elektroniska signaturer i den offentliga sektorn med eventuella<br>ytterligare krav. Sådana krav skall vara objektiva, tydliga, proportionella<br>och icke-diskriminerande.</p>
<p>Inom den offentliga sektorn är det tänkbart att problem kan uppstå bl.a.<br>om en myndighet inte har utrustning som kan tyda ett elektroniskt med-<br>delande, om avsändaren eller innehållet efter en viss tid inte längre kan<br>verifieras, om meddelandena inte är tidsstämplade eller om de inte kan<br>arkiveras på det sätt som önskas.</p>
<p>Vissa typer av uppgifter, såsom tull- och inkomstdeklarationer, far i<br>dag lämnas elektroniskt, men endast efter särskilt medgivande av<br>respektive myndighet. Medgivandena kan då förenas med villkor om bl.a.<br>det tekniska förfarandet för uppgiftslämnandet. Bland andra Riksarkivet,<br>Riksskatteverket och Patent- och registreringsverket uttrycker viss oro<br>för att den föreslagna 16 § skall hindra dem från att uppställa sådana<br>villkor. De krav som ställs kan avse t.ex. tekniska beskrivningar över<br>filinnehåll, format och adressering. Syftet med sådana krav kan vara att<br>deklarationsuppgifter skall inges på ett enhetligt och kontrollerat sätt och<br>att den elektroniska kommunikationen inte skall försvåra långtidslagring.<br>Lagerlöf & Leman menar att bestämmelsen i 16 § torde fa den effekten<br>att hårt särreglerade myndigheter, som t.ex. tullen och skatteförvalt-<br>ningen, skulle bli skyldiga att godta vilka kvalificerade signaturer som<br>helst, även om myndigheten saknar utrustning för att hantera och lagra<br>dem och även om de inte är kompatibla med myndighetens informations-<br>system. Lagerlöf & Leman menar vidare att detta riskerar att leda till att<br>myndigheter ifrågasätter ett införande av IT, i stället för att stödja en<br>utveckling mot elektroniska signaturer.</p>
<p>I den mån de krav som ställs inte utgör högre krav på den elektroniska<br>signaturen än vad som krävs för att en signatur skall anses vara kvalifice-<br>rad, så hindrar bestämmelsen inte att sådana krav ställs. Frågan om ett<br>visst krav utgör ett krav på själva signaturen eller ett krav på något annat<br>är dock inte helt lätt att besvara. Det torde finnas situationer där det är<br>svårt att skilja mellan krav på själva signaturen och krav på den handling<br>eller de data som signeras. Det är i detta sammanhang viktigt att beakta<br>betydelsen av de tekniska formaten på dokument som signeras.</p>
<p>Regeringen gav den 23 juni 1999 i uppdrag åt Statskontoret att utreda<br>behoven av åtgärder för att tillgodose kraven på säker elektronisk över-<br>föring av dokument och meddelanden till, från och inom statsförvalt-</p>
<p>Prop. 1999/2000:117</p>
<p>59</p>
<p>ningen. En delrapport lämnades till regeringen den 2 februari 2000<br>(Statskontoret 2000:7). Statskontoret skall i det fortsatta arbetet närmare<br>utreda frågor som rör bevarande av signerad information. Statskontoret<br>skall därför - i samverkan med Riksskatteverket, Riksförsäkringsverket,<br>Patent- och registreringsverket och Riksarkivet - närmare utreda detal-<br>jerna i de krav som bör ställas på en elektronisk signatur som kan accep-<br>teras i offentlig sektor. Arbetet skall redovisas för regeringen senast den<br>20 december 2000.</p>
<p>Med hänsyn till de möjliga problem som remissinstanserna pekar på<br>och till att det fortfarande är oklart i vilken mån det kan finnas behov av<br>att ställa ytterligare krav på elektroniska signaturer inom och vid<br>kommunikation med myndigheter, föreslår regeringen att användningen<br>av elektroniska signaturer skall kunna vara förenad med ytterligare krav.<br>Vid avgörandet av om det på ett visst område eller i vissa sammanhang är<br>nödvändigt att ställa högre krav bör utgångspunkten vara att kvalificerade<br>elektroniska signaturer i normalfallet skall vara tillräckligt säkra för att<br>kunna godtas. Endast om det kan pekas på särskilda problem eller behov<br>bör bedömningen bli en annan. Genom den föreslagna bestämmelsen<br>uppställs alltså en standard som innebär att kvalificerade elektroniska<br>signaturer alltid måste godtas, så länge det inte på ett visst område<br>uttryckligen ställs ytterligare krav på signaturen.</p>
<p>Enligt artikel 11.1.a i direktivet skall alla ytterligare krav som ställs<br>anmälas till kommissionen och till de övriga medlemsstaterna.</p>
<p>En mer ingående diskussion om arkivfrågor återfinns i betänkandet<br>Elektronisk dokumenthantering (SOU 1996:40, avsnitt 6.4) och i pro-<br>memorian Digitala signaturer (Ds 1998:14, avsnitt 7.1.5.2).</p>
<h3>6.12 Tillsyn</h3>
<p>Prop. 1999/2000:117</p>
<p>Regeringens förslag: En tillsynsmyndighet skall utöva tillsyn över<br>efterlevnaden av denna lag och föreskrifter som har meddelats med<br>stöd av lagen.</p>
<p>Promemorians förslag: Överensstämmer i huvudsak med regeringens<br>förslag.</p>
<p>Remissinstanserna: Remissinstanserna tillstyrker förslaget eller läm-<br>nar det utan erinran.</p>
<h4>Skälen för regeringens förslag</h4>
<p>Direktivets förbud mot förhandstillstånd</p>
<p>Utgångspunkten i direktivet är att det inte far införas några krav på för-<br>handstillstånd för att fa verka som certifikatutfärdare. Frivilliga ackredi-<br>teringssystem får däremot förekomma. Samtidigt är medlemsstaterna<br>skyldiga att införa ett system för övervakning av certifikatutfärdare.<br>Kravet på övervakning begränsas till de certifikatutfärdare som utfärdar<br>kvalificerade certifikat till allmänheten. Direktivet ger dock ingen möj-</p>
<p>60</p>
<p>lighet att begränsa övervakningen endast till dem som är ackrediterade<br>eller certifierade. Det är således inte möjligt att tillfredsställa kravet på<br>övervakning genom att nöja sig med den övervakning som utförs av<br>ackrediterings- och certifieringsorgan. Däremot kommer naturligtvis till-<br>synsuppgiftema att i hög grad underlättas om ett system med frivillig<br>ackreditering av aktörerna på marknaden får genomslag.</p>
<p>I den svenska diskussionen har ibland möjligheten och behovet av en<br>s.k. toppnod förts fram. En sådan utgörs, förenklat beskrivet, av en (ev.<br>statlig) certifikatutfärdare som utfärdar certifikat för andra certifikat-<br>utfärdare och signerar deras öppna nycklar. I ett sådant system skulle<br>toppnoden på ett effektivt sätt kunna utöva tillsyn över anslutna certifi-<br>katutfärdare.</p>
<p>Direktivets regel om förbud mot förhandstillstånd innebär dock att man<br>inte kan kräva att alla certifikatutfärdare som utfärdar kvalificerade certi-<br>fikat skall ansluta sig till en toppnod och fa sina öppna nycklar signerade<br>av denne. Detta krav innebär ju att en certifikatutfärdare inte kan verka<br>på marknaden utan att ansluta sig till toppnoden, vilket är att jämställa<br>med ett krav på förhandstillstånd. Ett sådant krav innebär vidare att certi-<br>fikatutfärdaren måste anpassa sina tekniska lösningar till toppnoden för<br>att kunna verka i dess underliggande struktur. Detta strider mot direkti-<br>vets strävan mot teknikneutralitet, vilket innebär att direktivets krav skall<br>kunna uppfyllas på flera olika sätt med hjälp av olika typer av teknik.</p>
<p>Omfattningen av tillsynen</p>
<p>Anledning saknas att gå längre än direktivet och låta en tillsyn omfatta<br>även de certifikatutfärdare som inte utfärdar certifikat till allmänheten.<br>Ingenting hindrar emellertid att man i den svenska lagstiftningen före-<br>skriver att övervakningen inte skall begränsas till att gälla dem som ut-<br>färdar kvalificerade certifikat, utan omfatta alla som utfärdar certifikat till<br>allmänheten. Detta skulle dock kunna leda till att marknaden påverkas<br>negativt. Det ekonomiska värdet av elektroniska signaturer ligger inte<br>främst i utfärdande av certifikat, utan i en ökad säkerhet för underteckna-<br>ren och mottagaren av det signerade meddelandet (parterna). Det är där-<br>för viktigt att det finns en hög grad av valfrihet på marknaden så att par-<br>terna kan välja den form av certifikat som passar för olika typer av trans-<br>aktioner. En transaktion som rör högre värden och där man önskar hög<br>säkerhet kan motivera användandet av ett kvalificerat certifikat (eller ett<br>certifikat med ännu högre säkerhet), även om detta leder till en viss kost-<br>nad för parterna. För många fall kan emellertid förutses att signaturer<br>används på en marknad för masstransaktioner med lågt värde. Obligato-<br>riska krav och en obligatorisk tillsyn av alla certifikatutfärdare skulle<br>kunna innebära en alltför hög kostnad för certifikaten. Detta skulle i sin<br>tur leda till att parterna väljer andra, mindre säkra lösningar, eller avstår<br>från elektronisk kommunikation. Det finns därför inte anledning att gå<br>längre vad gäller tillsyn än vad direktivet kräver.</p>
<p>I promemorian föreslogs att det skulle anges att tillsynsmyndigheten<br>skall ha tillsyn över vissa certifikatutfärdare och anordningar för<br>signaturframställning. På inrådan från Lagrådet föreslår regeringen dock<br>att det i stället, som brukligt, anges att tillsynsmyndigheten skall ha<br></p>
<p>Prop. 1999/2000:117</p>
<p>61</p>
<p>tillsyn över efterlevnaden av denna lag och föreskrifter som har utfärdats Prop. 1999/2000:117<br>med stöd av lagen.</p>
<p>Formen för tillsynen</p>
<p>För den som vill uppträda som certifikatutfärdare är det helt avgörande<br>att han bygger upp en tillit till sina certifikat. Utan det förtroendet finns<br>inget användningsområde for de elektroniska signaturer som är baserade<br>på hans certifikat. Detta talar for att marknaden i hög grad kommer att<br>reglera sig själv. Samtidigt kan det för tilliten till systemet i sin helhet<br>vara värdefullt med en instans som kan ingripa mot missförhållanden. För<br>att denna tillsyn skall ha något reellt innehåll bör instansen ha möjlighet<br>till myndighetsutövning. Detta, i kombination med berättigade krav på<br>insyn, rättssäkerhet, möjlighet till överprövning etc. talar för att övervak-<br>ningen bör anförtros en statlig myndighet, även om direktivet ger en<br>möjlighet till att låta övervakningen skötas av en privat institution.<br>Frågan om vilken myndighet som skall utses diskuteras i avsnitt 7.</p>
<p>Den tillsyn som utövas bör vara så marknadsorienterad som möjligt.<br>Med hänsyn till att verksamheten för en certifikatutfärdare är beroende av<br>att det finns ett förtroende för certifikaten, kan tillsynssystemet utformas<br>så att det inte lägger några onödiga administrativa bördor på certi-<br>fikatutfärdaren, utan inriktas på att vid klagomål kontrollera en utfärdare<br>närmare.</p>
<p>Regeringen har övervägt en mer ambitiös övervakningsmodell, som<br>bl.a. skulle innefatta ett krav på certifikatutfärdaren att till tillsyns-<br>myndigheten ge in ett ”certifikatsprogram”. Där skulle certifikatutfärda-<br>ren utförligt redogöra för hur han uppfyller kraven i lagstift-<br>ningen/direktivet. Detta program skulle ges in i samband med att verk-<br>samheten startade och därefter en gång per år. Detta system skulle<br>möjligen, beroende på hur hårt tillsynsmyndigheten kan ingripa vid ett<br>uteblivet program, kunna förenas med förbudet mot förhandstillstånd.<br>Mer tveksamt är det dock med den tungrodda och kostsamma apparat<br>detta skulle innebära, i viss mån för myndigheten men framförallt för<br>certifikatutfärdaren. Det skulle stå i kontrast till de mer marknads-<br>orienterade system som övervägs i andra länder.</p>
<p>Det far anses vara önskvärt att marknaden i så stor omfattning som<br>möjligt begagnar sig av de kvalificerade certifikat som direktivet etable-<br>rar. Ett gemensamt europeiskt och i bästa fall globalt användande av<br>dessa certifikat skulle leda till en allmän acceptans och förtroende för de<br>signaturer som baseras på sådana certifikat, vilket skulle vara till fördel<br>för elektronisk handel och andra användningsområden. För den certi-<br>fikatutfärdare som önskar undgå den tillsyn som direktivet och lagen<br>stipulerar kan det emellertid vara frestande att inte kalla sina certifikat för<br>kvalificerade, trots att de uppfyller kraven i lagen. Om certifikatutfärda-<br>ren kan bygga upp ett förtroende för sina certifikat i alla fall, finns kanske<br>inget behov av att kalla certifikaten kvalificerade. Stora administrativa<br>krav på den som utfärdar kvalificerade certifikat till allmänheten skulle<br>förstärka en sådan utveckling. Det skulle också kunna förhindra<br>framväxandet av öppna system.</p>
<p>62</p>
<p>Slutsatsen av detta resonemang är att det bör inforas ett tillsynssystem i<br>statlig regi, men där tillsynen är marknadsorienterad och inte innebär en<br>tung administration for dem som uppträder på marknaden.</p>
<p>Tillsynsmyndighetens befogenheter m.m.</p>
<p>En grundläggande förutsättning för att kunna utöva tillsyn är att veta vem<br>som skall kontrolleras. Certifikatutfärdare som avser att utfärda kvalifice-<br>rade certifikat till allmänheten bör därför i samband med att de startar<br>verksamheten vara skyldiga att anmäla till tillsynsmyndigheten att så<br>sker. Detta står inte i strid med förbudet mot förhandstillstånd.</p>
<p>Med utgångspunkt från den kravkatalog som ställs upp i lagen för<br>certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten<br>blir myndighetens uppgift att ingripa mot dem som inte uppfyller kraven.<br>Myndigheten bör därvid ha befogenhet att kräva in de handlingar och<br>upplysningar som behövs för tillsynen. Om anmälningspliktig verksam-<br>het bedrivs utan att anmälan skett eller brister i verksamheten upptäcks<br>bör myndigheten kunna utfärda förelägganden om rättelser. Dessa före-<br>lägganden bör också kunna förenas med vite. Till slut bör tillsyns-<br>myndigheten, om inte föreläggande räcker, kunna förbjuda den som<br>begår upprepade eller allvarligare överträdelser att utfärda certifikat till<br>allmänheten som anges vara kvalificerade.</p>
<p>Myndighetens befogenheter far dock inte utövas på ett sådant sätt att<br>de i praktiken utgör ett hinder för att ta sig in på marknaden och därmed<br>liknar ett krav på förhandstillstånd. Ett gradvis upptrappat användande av<br>förelägganden, så småningom förenade med vite torde dock inte anses<br>utgöra sådana hinder. Vid någon tidpunkt måste det också anses rimligt<br>att tvinga en certifikatutfärdare att upphöra med sin verksamhet, om<br>denne t.ex. på ett flagrant sätt nonchalerar lagens krav eller efter upp-<br>repade förelägganden underlåter att följa dessa. Avgörande för om<br>åtgärderna kan anses vara förenliga med direktivets förbud mot hinder<br>som liknar krav på förhandstillstånd torde vara att det föreligger<br>proportionalitet mellan överträdelserna och åtgärderna.</p>
<p>Tillsyn - certifiering</p>
<p>Tillsynen kan i praktiken utformas som stickprovskontroller och under-<br>sökningar sedan någon anmält misstänkta felaktigheter hos en certifikat-<br>utfärdare. I den mån en certifikatutfärdare valt att certifiera sin organisa-<br>tion eller sina produkter mot en vedertagen standard kan myndigheten i<br>stor utsträckning nöja sig med den kontroll som certifieringen innebär. I<br>det praktiska tillsynsarbetet kan myndigheten också använda sig av<br>accepterade standarder för att jämföra om de tekniska lösningarna eller<br>organisationen uppfyller föreskrivna krav. Det är dock väsentligt att<br>myndigheten inte binder sig vid någon särskild teknik. Även system som<br>inte ansluter sig till någon standard kan mycket väl uppfylla de krav på<br>säkerhet m.m. som uppställs i lagstiftningen.</p>
<p>Prop. 1999/2000:117</p>
<p>63</p>
<p>Marknadskontroll</p>
<p>Prop. 1999/2000:117</p>
<p>Reglerna i lagen om att anordningar som anges vara säkra anordningar<br>för signaturffamställning far släppas ut på marknaden eller användas<br>endast om vissa organ bedömt att de överensstämmer med lagens krav (se<br>avsnitt 6.8) innebär att tillsynsmyndigheten också har att utöva viss<br>marknadskontro 11.</p>
<h2>7 Val av tillsynsmyndighet</h2>
<p>Regeringens bedömning: Post- och telestyrelsen bör utses till till-<br>synsmyndighet.</p>
<p>Promemorians bedömning: Överensstämmer med regeringens be-<br>dömning.</p>
<p>Remissinstanserna: Flertalet remissinstanser delar bedömningen att<br>Post- och telestyrelsen bör utses till tillsynsmyndighet. Industriförbundet,<br>Svensk Handel, Göteborgs universitet, Lagerlöf & Leman och IT-<br>företagen anser dock att Styrelsen för ackreditering och teknisk kontroll<br>(SWEDAC) eller Finansinspektionen vore lämpligare. IT-kommissionen<br>menar att Patent- och registreringsverket är mest lämpligt. Ingen<br>remissinstans har förordat att en ny myndighet skall inrättas. Post- och<br>telestyrelsen har ställt sig positiv till att utses till tillsynsmyndighet.<br>Varken SWEDAC, Finansinspektionen eller Patent- och registrerings-<br>verket har haft någon erinran mot detta.</p>
<h4>Skälen för regeringens bedömning</h4>
<p>Som framgår av avsnitt 6.12 föreslår regeringen att direktivets krav på ett<br>lämpligt system för övervakning av certifikatutfärdare skall genomföras<br>genom att en statlig myndighet ges i uppdrag att utöva tillsyn. Vilken<br>myndighet som skall utses till tillsynsmyndighet ankommer på regeringen<br>att bedöma. Regeringen finner det dock lämpligt att för riksdagens infor-<br>mation här avge sin syn på detta.</p>
<p>En möjlighet vore att inrätta en ny myndighet för den aktuella tillsyns-<br>uppgiften. Certifikatutfardande för elektroniska signaturer är en ny verk-<br>samhet som för närvarande inte omfattas av den tillsyn som finns inom<br>förvaltningen. En sådan myndighet skulle även kunna ta hand om andra<br>uppgifter inom området för informationssäkerhet, som nu är spridda på<br>flera myndigheter. Mot detta talar att kompetens på området redan har<br>byggts upp inom dessa myndigheter. Det går vidare i dag inte att över-<br>blicka vilken omfattning tillsynsarbetet kommer att fa. Det troliga är dock<br>att det kommer att innebära en tämligen begränsad uppgift, som inte<br>motiverar inrättandet av en ny myndighet. Ingen remissinstans har heller<br>förordat en sådan lösning. Det lämpliga är därför att lägga uppgiften på<br>en befintlig myndighet.</p>
<p>I promemorian föreslogs att Post- och telestyrelsen skulle utses till<br>tillsynsmyndighet. Flertalet remissinstanser delar den bedömningen.</p>
<p>64</p>
<p>Några förordar dock i stället att SWEDAC, Finansinspektionen eller Prop. 1999/2000:117<br>Patent- och registeringsverket utses.</p>
<p>Vid valet av myndighet bör bl.a. myndighetens vana vid hantering av<br>tillsynsärenden och dess IT-kompetens beaktas. Vidare krävs en analys<br>av myndighetens instruktion och karaktär. Se avsnitt 7 i promemorian där<br>olika myndigheters uppgifter och verksamhet beskrivs.</p>
<p>Val av myndighet</p>
<p>Tillsynsmyndigheten skall kontrollera att de certifikatutfärdare som ut-<br>färdar kvalificerade certifikat till allmänheten uppfyller lagens krav,<br>innebärande bl.a. att de bedriver verksamheten med den pålitlighet som<br>krävs och att de kvalificerade certifikaten innehåller de uppgifter som<br>stadgas i lagen. Myndigheten skall också ingripa mot den som betecknar<br>ett certifikat som utfärdas till allmänheten som kvalificerat, utan att de<br>förutsättningar som ges i lagen är uppfyllda samt utöva marknadskontroll<br>beträffande säkra anordningar för signaturffamställning.</p>
<p>Ingen av de ovan nämnda myndigheterna besitter idag helt den kom-<br>petens som krävs för att utföra de aktuella tillsynsuppgiftema. En förut-<br>sättning är att kompetens tillförs verksamheten och att kunskap byggs<br>upp inom den myndighet som utses för ändamålet.</p>
<p>Patent- och registreringsverket är främst en registreringsmyndighet och<br>har idag inga sedvanliga tillsynsuppgifter. Att utöva tillsyn över certi-<br>fikatutfärdare ligger långt ifrån verkets nuvarande myndighetsuppgifter.</p>
<p>Finansinspektionen är en utpräglad tillstånds- och tillsynsmyndighet<br>som verkar på ett område som kännetecknas av en mycket hög IT-<br>användning. Tillsynen i fråga gäller dock verksamhet på ett vidare<br>område än enbart den finansiella sektorn.</p>
<p>SWEDAC :s huvuduppgift att ackreditera bl.a. certifieringsorgan inne-<br>bär kontroll och tillsyn av de ackrediterade organen. Såsom några remiss-<br>instanser anför kan praktiska skäl tala för att samma myndighet bör<br>ansvara för tillsyn både över certifieringsorganen och över certifikat-<br>utfärdama, såväl certifierade som icke certifierade. Kontrollen kan i<br>praktiken komma att vila på internationella standarder som SWEDAC<br>kan vara väl förtrogen med. Såsom flera andra remissinstanser påpekar<br>skulle detta dock innebära en dubbelroll för SWEDAC, som enligt rege-<br>ringens mening vore olämplig. SWEDAC skulle utöva tillsyn över certi-<br>fikatutfärdare som är bedömda av organ som SWEDAC ackrediterat, dvs.<br>bedömt som kompetenta. En liknande dubbelroll skulle gälla beträffande<br>marknadskontrollen. Vidare skulle tillsynen inte bara avse de som<br>certifierats eller ackrediterats utan alla som utfärdar kvalificerade<br>certifikat till allmänheten. Det skulle därför framstå som onaturligt att<br>tilldela SWEDAC uppgiften att utöva tillsyn av systemet i sin helhet.</p>
<p>Post- och telestyrelsen har erfarenhet av tillsynsuppgifter och över-<br>vakar redan idag den tekniska infrastrukturen som bärare av tele- och<br>datakommunikation. Myndigheten har sedan en tid tillbaka byggt upp<br>såväl juridisk som teknisk kompetens på området för elektroniska signa-<br>turer. Vidare har Post- och telestyrelsen stor erfarenhet av standardi-<br>seringsarbete inom telesektom och en god insyn i standardiseringsarbetet<br>för elektroniska signaturer. Tillsyn över certifikatutfärdare skulle bredda</p>
<p>3 Riksdagen 1999/2000. 1 saml. Nr 117</p>
<p>Post- och telestyrelsens tillsynsuppgifter från att vara teknikinriktade till<br>att också täcka en funktion där det förmedlade innehållet står i fokus.<br>Industriförbundet har uttryckt oro för att certifikatutfärdare som utövar<br>tillsynspliktig verksamhet och som vill bli certifierad riskerar att få<br>genomgå dubbla kontroller under två parallella kontrollsystem. Till-<br>synsmyndighetens verksamhet torde dock i allt väsentligt kunna koncent-<br>reras på de icke certifierade certifikatutfärdama. Ytterligare en omstän-<br>dighet som talar för att välja Post- och telestyrelsen som tillsynsmyndig-<br>het är att övriga nordiska länder har bestämt eller lutar åt att utse sina<br>motsvarigheter till tillsynsmyndigheter. Det skulle därför underlätta det<br>nordiska samarbetet på området att utse Post- och telestyrelsen.</p>
<p>En samlad bedömning leder enligt regeringens uppfattning till att Post-<br>och telestyrelsen är mest lämpad för uppgiften att bedriva tillsyn över<br>certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten.<br>Såsom ett flertal remissinstanser påpekar är det dock viktigt att Post- och<br>telestyrelsen samråder och samarbetar med SWEDAC, Finansinspektio-<br>nen och andra berörda myndigheter.</p>
<p>Prop. 1999/2000:117</p>
<h2>8 Finansieringen av tillsynsmyndighetens<br>verksamhet</h2>
<p>Regeringens förslag: I lagen skall det införas en bestämmelse som<br>ger regeringen rätt att föreskriva om skyldighet för certifikatutfärdare<br>som utfärdar kvalificerade certifikat till allmänheten att betala en<br>avgift för tillsynsmyndighetens verksamhet enligt lagen. Befogenheten<br>skall kunna delegeras till myndigheten.</p>
<p>Promemorians förslag: Överensstämmer med regeringens förslag.</p>
<p>Remissinstanserna: Kommunförbundet anför att utvecklingen mot en<br>bred användning av kvalificerade certifikat riskerar att hämmas om kost-<br>naderna blir för höga. Post- och telestyrelsen menar att det möjligen är<br>bäst att inledningsvis avvakta med att införa avgifter till dess<br>verksamheten har nått en sådan omfattning att den själv kan bära<br>kostnaderna för detta.</p>
<p>Skälen för regeringens förslag: Det framstår som mest naturligt att<br>låta tillsynsverksamheten finansieras genom avgiftsuttag från dem som<br>berörs av verksamheten och för vilka den i vissa avseenden får anses vara<br>till nytta. Det bör därför i lagen öppnas en möjlighet för regeringen eller<br>efter regeringens bemyndigande tillsynsmyndigheten, att införa ett<br>avgiftssystem. Frågan om och i vilken omfattning det är lämpligt att ta ut<br>avgifter får sedan avgöras av regeringen.</p>
<p>66</p>
<h2>Sekretessfrågor</h2>
<p>Regeringens förslag: Ett tillägg skall göras till 5 kap. 3 § sekretess-<br>lagen för att tillgodose behovet av sekretesskydd för sådana koder o.d.<br>som möjliggör kontroll av om data i elektronisk form har förvanskats.</p>
<p>Promemorian: Frågan behandlades inte i promemorian. Regeringens<br>förslag grundar sig i stället på betänkandet Elektronisk dokument-<br>hantering SOU 1996:40 (se avsnitt 3).</p>
<p>Utredningens förslag: Överensstämmer i huvudsak med regeringens<br>förslag.</p>
<p>Remissinstanserna: Flertalet av de remissinstanser som yttrat sig över<br>promemorian lämnar frågan om behovet av sekretess utan kommentar.<br>Riksdagens ombudsmän (JO) kritiserar dock att promemorian saknar en<br>diskussion om behovet av sekretessbestämmelser hos tillsynsmyndig-<br>heten och menar att situationer skulle kunna uppkomma där sekretess-<br>bestämmelser behövs. Flertalet av de remissinstanser som yttrat sig över<br>betänkandet tillstyrker förslaget eller lämnar det utan erinran. Riksarkivet<br>menar dock att sekretessen borde vara tidsbegränsad.</p>
<p>Skälen för regeringens förslag: Användningen av elektroniska sig-<br>naturer på myndighetsområdet förutsätter att hemliga nycklar och<br>anknytande uppgifter för bl.a. elektronisk signering och autenticering kan<br>skyddas mot insyn. Behovet av sekretess kan finnas såväl hos till-<br>synsmyndigheten som hos en statlig certifikatutfärdare eller något annat<br>offentligt organ.</p>
<p>Enligt 5 kap. 2 § sekretesslagen gäller sekretess för uppgift om säker-<br>hetsåtgärd med avseende på bl.a. telekommunikation (punkt 3) och behö-<br>righet att fa tillgång till upptagning för ADB eller annan handling<br>(punkt 4), om det kan antas att syftet med åtgärden motverkas om upp-<br>giften röjs. Enligt 3 § samma kapitel gäller sekretess också för uppgift<br>som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande<br>metod som har till syfte att underlätta befordran eller användning i allmän<br>verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, om det<br>kan antas att syftet med metoden motverkas om uppgiften röjs.</p>
<p>I den mån s.k. smarta kort eller liknande används så att signering och<br>liknande sker i kortet utan att nyckeln exponeras, torde nyckeln inte anses<br>vara förvarad hos myndigheten, eftersom den inte är tillgänglig för myn-<br>digheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för<br>överföring i sådan form att den kan läsas, avslyssnas eller annars upp-<br>fattas (2 kap. 3 § TF).</p>
<p>När nyckeln är tillgänglig för överföring i uppfattbar form är den<br>visserligen en allmän handling, men den är sekretessbelagd om den<br>används på sätt som sägs i 5 kap. 3 § sekretesslagen. Används den för<br>informationssäkerhet vid telekommunikation i t.ex. ett allmänt datanät<br>eller i s.k. behörighetskontrollsystem kan i stället 5 kap. 2 § sekretess-<br>lagen tillämpas.</p>
<p>Beträffande säkerhetsåtgärder som är inriktade endast på att verifiera<br>om en handling härrör från angiven utställare - utan att samtidigt bereda<br>sekretesskydd, skydd för telekommunikation eller skydd för åtkomst till<br></p>
<p>Prop. 1999/2000:117</p>
<p>67</p>
<p>ADB-upptagningar - torde det emellertid inte finnas någon tillämplig Prop. 1999/2000:117<br>bestämmelse om sekretess. Detsamma gäller om hemliga koder m.m.,<br>utan att en viss utställare pekas ut, används för att skydda vissa data-<br>mängder mot manipulation. Det är väsentligt för tilltron till elektroniska<br>signaturer att sådana uppgifter kan hållas hemliga. Regeringen menar<br>därför att det för sådana koder o.d. behövs ett skydd och föreslår ett<br>tillägg till 5 kap. 3 § sekretesslagen om sekretess för koder m.m. som har<br>till syfte att göra det möjligt att kontrollera om data i elektronisk form har<br>förvanskats. I betänkandet föreslogs att ordet ”uppgifter” skulle<br>användas. På inrådan från Lagrådet föreslår regeringen dock att det mer<br>adekvata begreppet ”data i elektronisk form” används. Det begreppet<br>används också i definitionen av elektronisk signatur (se avsnitt 6.3) Det<br>saknas skäl att tidsbegränsa sekretessen.</p>
<p>Av 16 kap. 1 § sekretesslagen framgår att den grundlagsskyddade<br>rätten att fritt meddela uppgifter och underrättelser för publicering<br>(meddelarfriheten) är begränsad när tystnadsplikten följer av bl.a. 5 kap.<br>3 § samma lag. Regeringen menar att meddelarfriheten bör begränsas<br>även för de uppgifter som nu är aktuella.</p>
<h2>10 Ikraftträdande</h2>
<p>Regeringens förslag: Lagen om kvalificerade elektroniska signaturer<br>skall träda i kraft den 1 januari 2001. Certifikatutfärdare som redan<br>före ikraftträdandet utfärdar sådana certifikat som medför anmälnings-<br>plikt enligt 8 § skall dock inte behöva göra anmälan före den<br>1 februari 2001. Vidare skall 15 § inte tillämpas i fråga om avtal som<br>träffats före ikraftträdandet.</p>
<p>Promemorians förslag: Överensstämmer i huvudsak med regeringens<br>förslag.</p>
<p>Remissinstanserna: iD2 Technologies anför att kvalificerade certifikat<br>inte kan finnas förrän lagen trätt i kraft och att punkt 2 i den föreslagna<br>övergångsbestämmelsen därför inte fyller någon funktion.</p>
<p>Skälen för regeringens förslag: Enligt artikel 13 i direktivet skall<br>medlemsstaterna sätta i kraft de bestämmelser i lagar och andra för-<br>fattningar som är nödvändiga för att följa direktivet senast ett och ett<br>halvt år efter det att direktivet har trätt i kraft. Enligt artikel 14 träder<br>direktivet i kraft samma dag som det offentliggörs i Europeiska gemen-<br>skapernas officiella tidning, vilket skedde den 19 januari 2000. Det skall<br>således vara genomfört i medlemsstaterna senast den 19 juli 2001. Den<br>svenska lagen bör emellertid kunna träda i kraft redan den 1 januari 2001.</p>
<p>I promemorian angavs att certifikatutfärdare som redan före ikraft-<br>trädandet utfärdar kvalificerade certifikat till allmänheten bör fa rådrum<br>att uppfylla kravet att anmäla verksamheten till tillsynsmyndigheten och<br>att det därför borde anges att skyldigheten inträder först en månad efter<br>det att lagen trätt i kraft. Såsom iD2 Technologies anger i sitt remiss-<br>yttrande kan det dock inte utfärdas några kvalificerade certifikat innan<br>lagen trätt i kraft. Däremot kan det naturligtvis utfärdas certifikat som<br></p>
<p>68</p>
<p>uppfyller alla krav och som så fort lagen träder i kraft skulle fa kallas för<br>kvalificerade. Sådana certifikat skulle utan en övergångsbestämmelse<br>behöva anmälas redan på nyårsdagen 2001. Regeringen föreslår därför att<br>för sådana certifikat som medför anmälningsskyldighet enligt lagen skall<br>anmälningsskyldigheten gälla först den 1 februari 2001.</p>
<p>Förslaget att 15 § - som innebär att skadeståndsbestämmelsen är<br>tvingande till förmån för den som förlitar sig på ett certifikat - inte skall<br>tillämpas på eventuella avtal som träffats före ikraftträdandet har<br>tillkommit på inrådan från Lagrådet. Med hänsyn till att det endast i<br>undantagsfall torde finnas ett sådant avtal i de öppna system som lagen<br>avser (se avsnitt 6.2 och 6.9.2), torde bestämmelsen dock inte få någon<br>större praktiskt betydelse.</p>
<h2>11 Kostnader</h2>
<p>Regeringens bedömning: De föreslagna ändringarna torde inte leda<br>till några ökade kostnader för det allmänna.</p>
<p>Promemorian: Frågan behandlades inte i promemorian.</p>
<p>Remissinstanserna: Domstolsverket efterlyser en analys av förslagets<br>betydelse för måltillströmningen i de allmänna förvaltningsdomstolarna.<br>Kammarrätten i Stockholm menar att en prövning av mål enligt lagen kan<br>komma att ta i anspråk ”icke helt obetydliga resurser” hos domstolen.</p>
<p>Skälen för regeringens bedömning: Domstolsprövning med<br>anledning av lagen förväntas bli ytterst begränsad och bedöms därför inte<br>påverka förvaltningsdomstolarnas resursbehov. Den verksamhet som<br>tillsynsmyndigheten skall bedriva enligt lagen kommer att finansieras<br>genom avgifter. Regeringen bedömer att förslaget inte heller på något<br>annat sätt kommer att leda till ökade kostnader för det allmänna.</p>
<h2>12 Författningskommentar</h2>
<h3>12.1 Förslaget till lag om kvalificerade elektroniska</h3>
<h3>signaturer</h3>
<h4>Allmän bestämmelse</h4>
<p>1§</p>
<p>I paragrafen lämnas upplysning om lagens syfte, huvudsakliga innehåll<br>och tillämpningsområde. Angivandet av lagens syfte har tillkommit på<br>förslag från Lagrådet och bidrar till att förklara valet av lagens namn.</p>
<p>Lagen gäller sådana certifikatutfärdare som är etablerade i Sverige och<br>som utfärdar kvalificerade certifikat till allmänheten (se avsnitt 6.2). Inga<br>krav ställs alltså på certifikattjänster med ursprung i andra länder.<br>Därigenom genomförs delvis artikel 4 i direktivet, som bl.a. stadgar att<br>varje medlemsstat skall tillämpa de nationella bestämmelserna på<br></p>
<p>Prop. 1999/2000:117</p>
<p>69</p>
<p>tillhandahållare av certifikattjänster som är etablerade på dess territorium. Prop. 1999/2000:117<br>Se även kommentaren till 7 §.</p>
<h4>Definitioner</h4>
<p>2§</p>
<p>Paragrafen, som motsvaras av artikel 2 i direktivet, upptar definitioner av<br>vissa begrepp som återkommer i lagen och har kommenterats utförligt i<br>avsnitt 6.3.</p>
<p>Beträffande elektronisk signatur kan anmärkas att lagtexten, liksom<br>direktivet, inte begränsar sig till digitala data, vilket var fallet i kommis-<br>sionens ursprungliga förslag till direktiv. Den helt övervägande delen av<br>den praktiska tillämpningen av elektroniska signaturer kommer emeller-<br>tid under överskådlig tid att avse digitala data. Definitionen torde inne-<br>bära att alla elektroniska ”identifieringar” som är logiskt knutna till ett<br>elektroniskt meddelande omfattas, från biometriska identifieringsmetoder<br>till enkla engångskoder. Även elektronisk post omfattas av begreppet.</p>
<p>Med definitionen av undertecknare avses inte den som orättmätigt<br>kommit över en anordning för signaturframställning, utan den som<br>utpekas i certifikatet och som därmed rätteligen innehar anordningen.</p>
<p>Signaturframställningsdata är vad som i det öppna nyckelsystemet<br>benämns den hemliga nyckeln.</p>
<p>En anordning for signaturframställning är den utrustning som används<br>för att frambringa en elektronisk signatur. Anordningen använder signa-<br>turframställningsdata och kan i praktiken utgöras av t.ex. ett s.k. smart<br>kort där signaturframställningsdata finns lagrade. När en elektronisk sig-<br>natur skall framställas förs kortet in i en kortläsare som är kopplad till en<br>datamaskin och en särskild kod anges. På det sättet skapas viss garanti för<br>att den elektroniska signaturen inte kan användas utan att innehavaren av<br>kortet är närvarande.</p>
<p>Signaturverifieringsdata motsvaras i det öppna nyckelsystemet av den<br>öppna nyckeln.</p>
<p>För att kunna använda en elektronisk signatur i ett öppet system, såsom<br>Internet, där parterna inte känner varandra i förväg, finns det ett behov<br>för parterna att kunna inhämta information om varandras signaturverifie-<br>ringsdata (öppna nyckel). Ett certifikat innehåller uppgifter om vem som<br>är innehavare av en elektronisk signatur. Certifikatet är ett elektroniskt<br>intyg som anger sambandet mellan en undertecknares (nyckel-<br>innehavares) identitet och dennes signaturverifieringsdata (öppna<br>nyckel).</p>
<h4>Säkra anordningar för signaturframställning</h4>
<p>3-5 §§</p>
<p>3 § motsvarar artikel 2.6 samt bilaga III till direktivet. 4 § motsvarar<br>artikel 3.5 och 5 § motsvarar artikel 3.4 och delvis artikel 4.2. Genom<br>hänvisningen till bestämmelserna i lagen (1992:1119) om teknisk kon-<br>troll genomförs också artikel 11.1.b delvis. Med uttrycket ”i praktiken”<br>menas att risken för att de signaturframställningsdata som avses skulle</p>
<p>70<br></p>
<p>förekomma mer än en gång skall vara försvinnande liten. Prop. 1999/2000:117<br>Bestämmelserna har behandlats i avsnitt 6.8.</p>
<h4>Kvalificerade certifikat</h4>
<p>Genom första stycket genomförs artikel 2.10 samt bilaga I till direktivet.</p>
<p>Bestämmelsen behandlas i avsnitt 6.4.</p>
<p>Av första punkten följer att det måste framgå av själva certifikatet att<br>det är ett kvalificerat sådant. Det räcker alltså inte med att certifikat-<br>utfärdaren bara anger detta i sin marknadsföring eller på annat sätt.</p>
<p>I andra punkten i första stycket krävs det bl.a. att certifikatutfärdaren<br>anger i vilket land utfärdaren är etablerad. Etableringslandet har bety-<br>delse bl.a. för om certifikatutfärdaren omfattas av lagen. Dennes egna<br>angivande av etableringsland är ett led i bedömningen av vilka nationella<br>bestämmelser som är tillämpliga (jfr kommentaren till 1 §), vilket kan<br>vara en viktig upplysning för den som skall förlita sig på certifikatet.</p>
<p>I tredje punkten ges möjligheten att ange undertecknaren med en<br>pseudonym, om det framgår att det är fråga om en pseudonym. Värdet av<br>en sådan signatur kan emellertid antas vara begränsat. Det avgörande för<br>om en mottagare skall förlita sig på en signatur torde vara att det omedel-<br>bart framgår vem som innehar signaturen (jfr kommentaren till 17 §).</p>
<p>Enligt fjärde punkten krävs att om det finns särskilda uppgifter om<br>undertecknaren som är relevanta för ändamålet med certifikatet, så skall<br>dessa anges. Det kan t.ex. vara fråga om certifikat som skall användas för<br>kommunikation med vissa organisationer och det är väsentligt att ange<br>kundnummer, försäkringsnummer eller dylikt.</p>
<p>Kravet i femte punkten innebär att signaturverifieringsdata (den öppna<br>nyckeln i PKI-lösningar) måste finnas i certifikatet. Det är alltså inte<br>acceptabelt att den mottagare som skall förlita sig på certifikatet utöver<br>den information han eller hon kan hämta i detta måste vända sig särskilt<br>till certifikatutfärdaren eller någon annan för att fa tillgång till signatur-<br>verifieringsdata.</p>
<p>I sjätte punkten stadgas att certifikatets giltighetstid måste anges. Av<br>paragrafens inledning framgår också att certifikaten alltid skall vara<br>utfärdade för en bestämd tid. Teknikutvecklingen på området kan för-<br>väntas vara fortsatt snabb och en elektronisk signatur som är säker i dag<br>kan mycket väl sakna samma skydd mot förfalskningar inom några år.<br>Det finns anledning att överväga om handlingar, där det finns behov av<br>att säkert identifiera undertecknaren även efter det att certifikatets giltig-<br>hetstid löpt ut, lämpar sig för att kommuniceras elektroniskt. Under alla<br>förhållanden bör man i sådana fall på annat sätt dokumentera att identifie-<br>ring skett (jfr avsnitt 6.11).</p>
<p>Kravet i åttonde punkten innebär att certifikatutfärdaren skall signera<br>certifikatet med sin avancerade elektroniska signatur eller motsvarande.<br>Därigenom kan den som förlitar sig på certifikatet identifiera certifikat-<br>utfärdaren och avslöja om det skett några förändringar i certifikatet sedan<br>certifikatutfärdaren signerat det.</p>
<p>71</p>
<p>Enligt andra stycket kan regeringen eller, efter regeringens Prop. 1999/2000:117<br>bemyndigande, tillsynsmyndigheten precisera kraven och ange hur de<br>skall uppfyllas.</p>
<p>Kraven i 6 § har nära samband med skadeståndsbestämmelsema, se<br>kommentaren till 14 §.</p>
<p>7§</p>
<p>Genom bestämmelsen genomfors andra meningen i artikel 4.1 och artikel<br>7.1 i direktivet. Bestämmelsen innebär att även certifikat utfärdade av<br>någon etablerad i något annat EES-land (punkt 1) och - under vissa<br>förutsättningar - även i tredje land (punkterna 2 och 3), skall anses vara<br>kvalificerade om de uppfyller kraven i 6 § första stycket 1-9.</p>
<h4>Utfärdande av kvalificerade certifikat</h4>
<p>8§</p>
<p>I paragrafen föreskrivs en skyldighet för den som vill utfärda kvalifice-<br>rade certifikat till allmänheten att anmäla detta hos den myndighet rege-<br>ringen bestämmer (tillsynsmyndigheten). Detta står inte i strid med<br>direktivets förbud mot förhandstillstånd för certifikatutfärdare. Det är inte<br>fråga om att certifikatutfärdaren skall godkännas eller ges något tillstånd<br>av tillsynsmyndigheten. Syftet är endast att tillsynsmyndigheten skall<br>kunna veta vilka certifikatutfärdare myndigheten skall ha tillsyn över.<br>Tillsynsmyndigheten ges endast förutsättningar att kontrollera efter-<br>levnaden av lagen. Om en certifikatutfärdare underlåter att anmäla sin<br>verksamhet och detta kommer till tillsynsmyndighetens kännedom torde<br>det sällan finnas anledning att i det läget förelägga utfärdaren att anmäla<br>verksamheten.</p>
<p>Frågan om vilka certifikatutfärdare som omfattas av anmälnings-<br>skyldigheten behandlas i avsnitt 6.5 och 6.12.</p>
<p>9§</p>
<p>Genom paragrafen genomförs delvis artiklarna 2.10 och 3.5 samt punkt-<br>erna a, b, d, e, f, g, h och j i bilaga II till direktivet. Bestämmelsen, som<br>innehåller krav på en sådan certifikatutfärdare som utfärdar kvalificerade<br>certifikat, behandlas i avsnitt 6.5-6.7.</p>
<p>Första stycket innehåller en allmän regel om att certifikatutfärdarens<br>verksamhet måste bedrivas tillförlitligt. På förslag från Lagrådet används<br>begreppet ”tillförlitligt” i stället för ”med den pålitlighet som krävs” som<br>anges i punkt a i bilaga II till direktivet. Någon saklig skillnad avses dock<br>inte.</p>
<p>Kraven i första och andra punkterna första stycket motsvarar till-<br>sammans med det inledande allmänna kravet i paragrafen i praktiken de<br>krav som återfinns i befintliga standarder vad gäller ledning för informa-<br>tionssäkerhet (se avsnitt 6.7). På förslag från Lagrådet anges att<br>personalen inte bara skall ha tillräcklig kompetens utan även tillräcklig<br>erfarenhet. Därigenom följs direktivtexten i bilaga II punkt e på ett bättre<br>sätt.</p>
<p>Tredje punkten korresponderar med tredje stycket där det stadgas att<br>sådana produkter som uppfyller vissa standarder som Europeiska kom-</p>
<p>72</p>
<p>missionen senare skall referera till skall presumeras uppfylla kraven i<br>tredje punkten (jfr avsnitt 6.5) För att närmare följa direktivtexten i<br>bilaga II punkt f klargörs, på Lagrådets inrådan, att det är<br>certifikatutfärdaren som har ansvar för att teknisk och kryptografisk<br>säkerhet upprättshålls.</p>
<p>På vilket sätt certifikatutfärdaren skall uppfylla kravet i fjärde punkten<br>varierar givetvis med vilken typ av certifikat utfärdaren tillhandahåller.<br>Är det fråga om certifikat som kan komma att användas för transaktioner<br>som kan innebära stora ekonomiska konsekvenser för parterna måste den<br>ekonomiska beredskapen vara högre än om certifikaten endast kan<br>användas för smärre transaktioner. Kravet kan exempelvis, som också<br>anges i direktivet, uppfyllas genom att certifikatutfärdaren tecknar en<br>lämplig försäkring.</p>
<p>I femte punkten föreskrivs en skyldighet för certifikatutfärdaren att<br>säkert kontrollera identiteten hos den undertecknare till vilken ett kvalifi-<br>cerat certifikat utfärdas.</p>
<p>I sjätte punkten åläggs certifikatutfärdaren att ha ett snabbt och säkert<br>system för registrering och återkallelse av certifikat, jfr 10 §.</p>
<p>Kraven i sjunde punkten kan delvis uppfyllas genom att certifikat-<br>utfärdaren påför certifikatet sin egen avancerade elektroniska signatur<br>eller motsvarande (jfr 6 § 8). Andra ledet i punkten tar sikte på det fallet<br>att certifikatutfärdaren också framställer signaturframställningsdata (den<br>hemliga nyckeln). Genereringen av dessa data måste då ske på ett sådant<br>sätt att de inte röjs för obehöriga. På förslag från Lagrådet används ordet<br>framställandet i stället för tillhandahållandet som regeringen först<br>föreslog. Ordet framställandet torde stämma bättre överens med ordet<br>”genereringen” som används i direktivtexten.</p>
<p>Regeringen eller tillsynsmyndigheten kan enligt 13 § utfärda närmare<br>bestämmelser om kraven i paragrafen.</p>
<p>10 §</p>
<p>Genom paragrafen genomförs punkten c i bilaga II och delvis artikel<br>6.1 c och 6.2 i direktivet.</p>
<p>Av första punkten framgår att certifikatutfärdaren är skyldig att<br>omedelbart återkalla ett certifikat när undertecknaren begär det eller när<br>det annars finns anledning till det. En sådan anledning kan vara att det<br>står klart för certifikatutfärdaren att den hemliga nyckeln används av<br>någon annan än den rättmätige innehavaren. På Lagrådets inrådan<br>används ordet återkalla i stället för spärra som regeringen först föreslog.<br>Med ordbytet avses dock ingen saklig förändring. Återkallelsen kan vara<br>antingen temporär eller permanent.</p>
<p>Andra punkten innebär att det skall vara möjligt att slå fast när ett<br>certifikat är utfärdat eller återkallat. Detta kan vara av betydelse vid<br>eventuella tvister mellan undertecknaren och mottagaren.</p>
<p>Det typiska fall som kraven i tredje punkten tar sikte på är att certifi-<br>katutfärdaren framställer både signaturframställningsdata och signatur-<br>verifieringsdata, exempelvis genom att utställa ett s.k. smart kort där den<br>elektroniska signaturen finns. Det är då certifikatutfärdarens skyldighet<br>att försäkra sig om att endast sådana signaturframställningsdata och</p>
<p>Prop. 1999/2000:117</p>
<p>73</p>
<p>signaturverifieringsdata framställs som kan användas som komplement<br>till varandra.</p>
<p>Kraven i 10 § har nära samband med skadeståndsbestämmelsema, se<br>kommentaren till 14 §.</p>
<p>Regeringen eller tillsynsmyndigheten kan enligt 13 § utfärda närmare<br>bestämmelser om kraven i paragrafen.</p>
<p>Genom paragrafen, som behandlar certifikatutfärdarens skyldighet att<br>registrera relevant information om ett kvalificerat certifikat samt använda<br>tillförlitliga system för lagring av certifikat, genomförs punkterna i, j och<br>1 i bilaga II till direktivet.</p>
<p>Det inledande kravet på registrering av information syftar bl.a. till att<br>vid rättsliga förfaranden kunna lägga fram bevis om utfärdande av certi-<br>fikat. Registreringen far ske elektroniskt.</p>
<p>Det är önskvärt att parter som inte har något tidigare avtal om hur man<br>skall kommunicera kan kommunicera elektroniskt på ett säkert sätt. En<br>metod för att möjliggöra detta är att man kan hämta t.ex. en framtida<br>avtalspartners certifikat i en öppen databas. Direktivet föreskriver<br>emellertid att certifikatutfärdaren far göra certifikaten offentligt tillgäng-<br>liga för hämtning av uppgifter endast i de fall för vilka certifikatinneha-<br>varens uttryckliga samtycke har inhämtats (jfr 16 §).</p>
<p>Andra stycket tar sikte på det fallet att certifikatutfärdaren tillhanda-<br>håller signaturframställningsdata. Det är väsentligt för tilltron till elektro-<br>niska signaturer att det verkligen bara är undertecknaren som har tillgång<br>till signaturframställningsdata. Certifikatutfärdaren förbjuds därför att<br>bevara eller kopiera sådana data.</p>
<p>Regeringen eller tillsynsmyndigheten kan enligt 13 § utfärda närmare<br>bestämmelser om kraven i paragrafen.</p>
<p>12 §</p>
<p>Genom paragrafen genomförs punkten k) i bilaga II till direktivet.</p>
<p>Paragrafen ålägger certifikatutfärdare som utfärdar kvalificerade<br>certifikat att till den som certifikatet utfärdas till ge de upplysningar som<br>gör det möjligt för denne att värdera tjänsten. Upplysningarna skall<br>lämnas ”skriftligt”, dvs. i betydelsen ”inte muntligt” och med ett<br>språkbruk som är lättbegripligt. Inget hindrar att de lämnas elektroniskt.<br>Att hänvisa till en webbplats på Internet under certifikatutfärdarens<br>kontroll, där denne från tid till annan kan ändra i villkoren, är givetvis<br>inte tillräckligt.</p>
<p>Informationen skall också tillhandahållas andra som begär att fa den,<br>t.ex. mottagaren av en signatur baserad på certifikatet.</p>
<p>På Lagrådets inrådan utformas bestämmelsen i närmare överens-<br>stämmelse med direktivtexten, jämfört med den utformning som<br>föreslogs i lagrådsremissen.</p>
<p>Regeringen eller tillsynsmyndigheten kan enligt 13 § utfärda närmare<br>bestämmelser om kraven i paragrafen.</p>
<p>Prop. 1999/2000:117</p>
<p>74</p>
<p>13 §</p>
<p>Paragrafen ger regeringen eller, efter regeringens bemyndigande, till-<br>synsmyndigheten, möjlighet att närmare reglera kraven i 9-12 §§.</p>
<h4>Skadestånd</h4>
<p>Genom bestämmelsen i 14 § genomfors artikel 6 i direktivet. Genom 15 §<br>klargörs att bestämmelsen är tvingande till förmån för den som förlitar<br>sig på certifikatet. Bestämmelserna behandlas i avsnitt 6.9.</p>
<p>Förhållanden som inte omfattas av det särskilda skadeståndsansvaret i<br>paragraferna far bedömas i enlighet med allmänna skadeståndsrättsliga<br>regler.</p>
<p>74 f</p>
<p>I paragrafen anges vilka certifikatutfärdare som omfattas av den särskilda<br>skadeståndsskyldighet som anges i direktivet, se närmare avsnitt 6.9.2.<br>Det bör betonas att även certifikat som inte uppfyller kraven på ett kvali-<br>ficerat certifikat - dvs. inte uppfyller kraven i 6 § - omfattas, om de utges<br>för att vara kvalificerade certifikat.</p>
<p>Även certifikatutfärdare som garanterar att någon annan certifikat-<br>utfärdares certifikat är kvalificerade omfattas, i de fall certifikatet inte<br>uppfyller kraven i 6 § eller vid utfärdandet innehåller felaktiga uppgifter.<br>Detta har samband med den särskilda möjlighet som beskrivs i artikel 7 i<br>direktivet, nämligen att en certifikatutfärdare inom Europeiska unionen<br>garanterar ett certifikat som utfärdats av en certifikatutfärdare som är<br>etablerad utanför unionen.</p>
<p>Den skada som kan bli aktuell att ersätta enligt 14 § torde vara ren för-<br>mögenhetsskada. Huvudregeln vad gäller utomkontraktuella förhållanden<br>enligt svensk skadeståndsrätt är enligt 2 kap. 4 § skadeståndslagen<br>(1972:207) att ren förmögenhetsskada endast ersätts om skadan vållats<br>genom brott. Enligt förarbetena till skadeståndslagen är dock inte avsik-<br>ten att denna bestämmelse skall utgöra hinder för en utveckling i praxis i<br>riktning mot ett vidgat ansvar för ren förmögenhetsskada. Som nämnts i<br>avsnitt 6.9.1 har skadeståndsansvar för vissa felaktiga intyg godtagits i<br>praxis sedan lång tid. De här aktuella skadeståndsreglerna är inte heller<br>avsedda att läsas motsatsvis på sådant sätt att skadeståndsskyldighet för<br>ren förmögenhetsskada enligt allmänna principer är utesluten utanför<br>deras tillämpningsområde, t.ex. när det är en certifikatutfärdare som<br>utfärdar ett certifikat som inte utges för att vara kvalificerat. Se vidare<br>avsnitt 6.9.2.</p>
<p>Artikel 6.1.a i direktivet stadgar att en tillhandahållare av certi-<br>fikattjänster som till allmänheten utfärdar certifikat som anges vara kva-<br>lificerade eller garanterar att någon annans certifikat är kvalificerade,<br>genom det särskilda skadeståndsansvaret svarar för att all information i<br>certifikatet är korrekt vid tidpunkten för utfärdandet och att certifikatet<br>innehåller alla de uppgifter som föreskrivs för ett kvalificerat certifikat. I<br>6 § första stycket föreskrivs vad ett kvalificerat certifikat skall innehålla.<br>Genom att det i denna paragrafs första stycke föreskrivs att<br>certifikatutfärdaren är skadeståndsskyldig om certifikatet innehåller</p>
<p>Prop. 1999/2000:117</p>
<p>75</p>
<p>felaktiga uppgifter vid utfärdandet eller inte uppfyller kraven i 6 § första<br>stycket, täcks artikel 6.1 .a i direktivet.</p>
<p>I artikel 6.1.b stadgas att certifikatutfärdaren svarar för att den under-<br>tecknare som anges i det kvalificerade certifikatet vid tidpunkten för<br>utfärdandet var i besittning av de signaturframställningsdata som motsva-<br>rar de signaturverifieringsdata som anges i certifikatet. Genom 6 § första<br>stycket 5 föreskrivs att det är certifikatutfärdarens skyldighet att se till att<br>certifikatet innehåller signaturverifieringsdata som motsvarar de signa-<br>turframställningsdata som undertecknaren vid tidpunkten för utfärdandet<br>har kontroll över. Om inte undertecknarens signaturframställningsdata<br>motsvarar de signaturverifieringsdata som anges i certifikatet, innehåller<br>certifikatet felaktiga uppgifter och certifikatutfärdaren är således skade-<br>ståndsskyldig för den skada detta kan orsaka.</p>
<p>I artikel 6.1.c stadgas att certifikatutfärdaren svarar för att signatur-<br>framställningsdata och signaturverifieringsdata kan användas som kom-<br>plement till varandra om certifikatutfärdaren framställer båda dessa.<br>Genom att det genom 10 § 3 fastställs att det är certifikatutfärdarens<br>skyldighet att, i förekommande fall, säkerställa att sådana<br>signaturframställningsdata och signaturverifieringsdata som utfärdaren<br>framställer kan användas som komplement till varandra, täcks även detta<br>fall av 14 §.</p>
<p>I artikel 6.2 stadgas att en certifikatutfärdare som utfärdar kvalificerade<br>certifikat till allmänheten också skall svara för skada som åsamkats<br>genom underlåtenhet att registrera återkallande av certifikatet. Om<br>certifikatutfärdaren inte iakttar sin skyldighet enligt 10 § 1 att omedelbart<br>återkalla ett certifikat, eller enligt 10 § 2 att säkerställa att exakt tidpunkt<br>för när så har skett kan anges, innebär det att certifikatutfärdaren kan vara<br>skadeståndsskyldig enligt 14 §.</p>
<p>Uttrycket ”den som förlitar sig på certifikatet” är inte begränsat till<br>mottagaren av en elektronisk signatur. Även undertecknaren, som ingått<br>avtal med certifikatutfärdaren att den sistnämnde skall möjliggöra för<br>undertecknaren att kunna identifiera sig vid elektronisk kommunikation,<br>kan lida skada på grund av t.ex. felaktigheter eller brister i ett certifikat.<br>Även detta regleras i viss mån genom paragrafen. Det är således inte<br>möjligt för certifikatutfärdaren att genom avtal med undertecknaren<br>begränsa sitt ansvar för att en hemlig och en öppen nyckel (ett nyckelpar)<br>som certifikatutfärdaren tillhandahållit verkligen fungerar, dvs. kan<br>användas som komplement till varandra.</p>
<p>Av första meningen i andra stycket framgår att certifikatutfärdaren kan<br>undgå skadeståndsansvar om utfärdaren kan visa att skadan inte beror på<br>vårdslöshet hos denne. Certifikatutfärdaren har således ett s.k. presum-<br>tionsansvar med möjlighet att exculpera sig. Enligt allmänna skade-<br>ståndsrättsliga principer är det dock alltid den skadelidande som i dessa<br>fall har att bevisa skadan och sambandet mellan skadan och exempelvis<br>felet i certifikatet, se avsnitt 6.9.</p>
<p>Enligt artikel 6.3 och 6.4 i direktivet skall medlemsstaterna säkerställa<br>att det i viss mån är möjligt för certifikatutfärdama att genom att i certifi-<br>katet ange begränsningar för användningsområde eller transaktionsbelopp<br>begränsa sitt skadeståndsansvar. Begränsningarna måste då vara tydliga</p>
<p>Prop. 1999/2000:117</p>
<p>76</p>
<p>för tredje man. Genom andra meningen i andra stycket i paragrafen regle- Prop. 1999/2000:117<br>ras denna möjlighet.</p>
<p>I 6 § 9 anges att eventuella begränsningar måste anges i certifikatet. I<br>förevarande paragraf anges att begränsningarna måste vara tydliga. Detta<br>innefattar att de måste vara tydliga för den som certifikatet utfärdas till<br>och, inte minst, för den mottagare som skall förlita sig på certifikatet.<br>Certifikatutfärdaren är inte skadeståndsskyldig för skada som härrör från<br>att certifikatet använts i strid med de begränsningar som på detta sätt<br>angivits för det.</p>
<p>Av tredje stycket framgår att även den som garanterar att någon annans<br>certifikat är kvalificerat omfattas av skadeståndsbestämmelsen med<br>möjlighet att exculpera sig. Av begränsningen till punkterna 2 och 3 i<br>första stycket följer dock att garanten inte kan göras skadeståndsskyldig<br>för att utfärdaren inte har uppfyllt sina skyldigheter enligt 10 §.</p>
<p>Se vidare avsnitt 6.9.2.</p>
<p>75 £</p>
<p>Normalt torde det inte finnas något avtalsförhållande mellan certifikat-<br>utfärdaren och den som förlitar sig på ett certifikat. I undantagsfall kan<br>det dock förekomma att parterna har ett avtal där certifikatet utgör ett<br>moment. Av bestämmelsen följer att certifikatutfärdaren i dessa fall inte<br>kan avtala bort någon del av sitt skadeståndsansvar. Naturligtvis är dock<br>partema fria att träffa avtal om ett större ansvar för certifikatutfärdaren<br>om så önskas. Se avsnitt 6.9.2.</p>
<h4>Behandling av personuppgifter</h4>
<p>16 §</p>
<p>Genom paragrafen, som behandlas i avsnitt 6.10, genomförs artikel 8.2 i<br>direktivet.</p>
<p>Personuppgiftslagen (1998:204) är tillämplig på certifikatutfärdare. I<br>paragrafen anges i vilka avseenden begränsningarna för hur den som<br>utfärdar certifikat till allmänheten far behandla personuppgifter är<br>snävare än vad som stadgas i personuppgiftslagen. Bestämmelsen är inte<br>begränsad till att avse endast den som utfärdar kvalificerade certifikat.</p>
<p>Självfallet gäller bestämmelsen endast i den mån inte annat följer av<br>yttrandefrihetsgrundlagen eller tryckfrihetsförordningen.</p>
<h4>Kvalificerade elektroniska signaturer</h4>
<p>77£</p>
<p>Första meningen i bestämmelsen behandlar den särställning som<br>kvalificerade elektroniska signaturer ges enligt artikel 5 i direktivet.<br>Frågan om i vilken mån artikel 5 i direktivet kräver lagstiftningsåtgärder i<br>Sverige behandlas i avsnitt 6.11.</p>
<p>Bestämmelsen innebär att kvalificerade elektroniska signaturer - dvs.<br>elektroniska signaturer som uppfyller en viss säkerhetsnivå - ges en viss<br>särställning i de fall krav på underskrift, egenhändigt undertecknande och<br>motsvarande far uppfyllas med elektroniska medel. I de fall det över</p>
<p>77<br></p>
<p>huvud taget är tillåtet att använda en elektronisk signatur så får det i Prop. 1999/2000:117<br>författningar inte ställas högre krav på den elektroniska signaturen i sig,<br>än vad som ställs på en kvalificerad elektronisk signatur.</p>
<p>Det kan vara tillåtet att använda en elektronisk signatur antingen<br>genom att det i en viss bestämmelse uttryckligen anges att en elektronisk<br>signatur får eller t.o.m. måste användas. Det kan också vara tillåtet att<br>använda en elektronisk signatur genom att ett krav på egenhändig<br>underskrift eller något liknande uttryck i rättstillämpningen har tolkats så<br>att kravet kan uppfyllas genom en elektronisk signatur. Med uttrycket<br>”krav på egenhändig underskrift eller motsvarande” avses alltså såväl<br>krav på underskrift, undertecknande och liknande uttryck, som krav på<br>elektronisk signatur.</p>
<p>Bestämmelsen påverkar alltså inte formkrav i lag eller annan<br>författning som utesluter användning av elektroniska medel. Om det i en<br>författning ställs krav på att en handling skall vara försedd med<br>underskrift torde det normalt innebära att elektroniska medel - och<br>därmed elektroniska signaturer - är uteslutna (jfr SOU 1996:40 s. 95).<br>Om det däremot av författningen, uttryckligen eller genom tolkning,<br>följer att kravet på underskrift kan uppfyllas med en elektronisk signatur<br>far 17 § sin betydelse. Paragrafen utgör vidare inget hinder mot att, när<br>elektroniska signaturer får användas, godta elektroniska signaturer med<br>lägre säkerhetsnivå än kvalificerade. Det får dock inte i författningar -<br>utom i de fall som avses i andra stycket - ställas högre krav på<br>elektroniska signaturer än vad som ställs på kvalificerade elektroniska<br>signaturer.</p>
<p>Enligt direktivet skall en pseudonym kunna anges i ett certifikat.<br>Denna möjlighet anges också i 6 §. Detta innebär givetvis inte att form-<br>krav på underskrift vid användningen av elektroniska medel kan upp-<br>fyllas genom att en pseudonym används, annat än om detta till äventyrs<br>godtas även i övrigt.</p>
<p>Andra meningen avser användningen av elektroniska signaturer vid<br>kommunikation med eller mellan myndigheter. På förslag från Lagrådet<br>används begreppet ”myndigheter” i stället for ”den offentliga sektom”,<br>eftersom det sistnämnda begreppet är vagt och kan ge upphov till<br>tolkningssvårigheter. Begreppet myndighet har samma innebörd som i<br>regeringsformen, dvs. samtliga statliga och kommunala organ med<br>undantag av riksdagen och de kommunala beslutande församlingarna<br>(Holmberg m.fl, Grundlagarna, s. 55). Bestämmelsen, som grundar sig på<br>artikel 3.7 i direktivet, innebär att det vid sådan kommunikation får<br>ställas högre krav på elektroniska signaturer än vad som ställs på<br>kvalificerade elektroniska signaturer, dock endast i de fall det är<br>uttryckligen tillåtet. Bestämmelsen har behandlats i avsnitt 6.11.</p>
<h4>Tillsyn</h4>
<p>Genom tillsynsbestämmelsema genomförs direktivets artikel 3.3.<br>Bestämmelserna har behandlats utförligt i avsnitt 6.12.</p>
<p>18 §</p>
<p>Första stycket i bestämmelsen har på inrådan av Lagrådet fatt en annan<br>utformning. Någon saklig förändring avses dock inte med detta.<br>Tillsynsmyndigheten har i uppgift att övervaka att de certifikatutfärdare<br>som utfärdar kvalificerade certifikat till allmänheten uppfyller lagens<br>krav, inbegripet att de kvalificerade certifikaten uppfyller kraven. Däri<br>ligger också att myndigheten skall kunna ingripa mot den som felaktigt<br>påstår att ett certifikat är kvalificerat. Myndigheten skall också utöva<br>marknadskontroll över anordningar som anges vara säkra anordningar för<br>signaturframställning, genom att övervaka att de uppfyller lagens krav<br>och är godkända av ett sådant organ som anges i 5 §.</p>
<p>Avsikten är att genom den statliga tillsynen bidra till att certifikat som<br>betecknas som kvalificerade får en sådan kvalitets- och säkerhetsnivå att<br>allmänheten, företagen och andra har förtroende för dem och för de<br>signaturer som baseras på dem.</p>
<p>Någon praktisk möjlighet för myndigheten att i detalj granska varje<br>certifikatufärdare och dennes certifikat torde inte finnas och är knappast<br>heller önskvärd. Myndigheten kommer däremot att kunna fungera som en<br>garant för att uppdagade missförhållanden åtgärdas.</p>
<p>Myndigheten kommer att kunna ta befintliga och kommande standar-<br>der till hjälp för att bedöma certifikatutfärdamas verksamhet. Det skall<br>dock vara möjligt att klara lagens krav utan att använda sig av de stan-<br>darder som finns.</p>
<p>De certifikatutfärdare som väljer att certifiera sig och sina produkter<br>kommer genom certifieringsorganet att i många avseenden stå under till-<br>räcklig löpande kontroll, även om de givetvis också står under myndig-<br>hetens tillsyn. Tillsynsmyndigheten har också sanktionsmöjligheter som<br>inte står certifieringsorganen till buds.</p>
<p>Vidare finns möjlighet för myndigheten att anlita externa konsulter.<br>Det finns anledning att förutse förekomsten av organisationer som i och<br>för sig kommer att ha erforderlig kompetens att certifiera certifikat-<br>utfärdama, men av olika skäl inte kommer att uppträda som certifierings-<br>organ, t.ex. revisionsbolag och datakonsultföretag. Denna kompetens bör<br>kunna utnyttjas.</p>
<p>I andra stycket åläggs tillsynsmyndigheten att föra och offentliggöra en<br>förteckning över anmälda certifikatutfärdare som far utfärda kvalificerade<br>certifikat. I denna förteckning torde myndigheten även kunna ange vilka<br>certifikatutfärdare som förelagts att upphöra med verksamheten eller att<br>kalla sina certifikat för kvalificerade. En sådan förteckning skulle också<br>kunna innehålla signaturverifieringsdata (den öppna nyckeln) för<br>certifikatutfärdarens avancerade elektroniska signatur eller motsvarande,<br>som skall finnas i de kvalificerade certifikaten (jfr kommentaren till 6 §).<br>För att inte riskera att sådana register kommer i strid med<br>personuppgiftslagen (1998:204) har tillsynsmyndigheten, på Lagrådets<br>inrådan, ålagts en skyldighet att föra och offentliggöra dessa register (jfr<br>PUL 10 § e). Vidare torde bestämmelsen, såsom Lagrådet påpekar, även<br>fylla funktionen att förstärka intresset hos dem som vill utfärda<br>kvalificerade certifikat att fullgöra sin anmälningsskyldighet enligt 8 §.</p>
<p>Prop. 1999/2000:117</p>
<p>79</p>
<p>19 §</p>
<p>I paragrafen ges myndigheten vissa befogenheter som är nödvändiga för<br>att en effektiv tillsyn skall kunna utövas. Det kan vara fråga om att<br>inhämta uppgifter som myndigheten anser att den behöver för att kunna<br>bedöma verksamheten. Initiativet kan vara myndighetens eget, men det<br>kan också ha sin grund i en anmälan till myndigheten.</p>
<p>Uppgifter torde i många fall kunna hämtas in formlöst vid kontakter<br>mellan myndigheten och aktörer på marknaden. Enligt 20 och 21 §§ finns<br>dock möjlighet för myndigheten att begära uppgifter efter föreläggande<br>som far förenas med vite. I sista hand kan myndigheten få verkställighet<br>hos kronofogdemyndigheten. Genom hänvisningen till utsökningsbalken<br>blir bl.a. dennas bestämmelser om tvång i 2 kap. 17 § tillämpliga.</p>
<p>20-21 §§</p>
<p>20 § första stycket anger tillsammans med 21 § vilka sanktioner som får<br>tillgripas av myndigheten. Den får själv bestämma när ett föreläggande<br>skall förenas med vite. Det normala torde vara att myndigheten<br>dessförinnan försökt få till stånd en frivillig rättelse.</p>
<p>Enligt 20 § andra stycket ges tillsynsmyndigheten möjlighet att<br>förelägga den som utfärdar certifikat till allmänheten och påstår att de är<br>kvalificerade certifikat, att upphöra med verksamheten. Möjligheten är<br>således inte begränsad till att avse endast dem som anmält sig enligt 8 §.<br>Ett sådant beslut kan givetvis i vissa fall få långtgående konsekvenser och<br>får därför meddelas endast sedan andra mindre ingripande åtgärder visat<br>sig verkningslösa. Detta är inte minst viktigt med hänsyn till att ett alltför<br>snabbt eller svagt motiverat ingripande skulle kunna strida mot direkti-<br>vets förbud mot krav på förhandstillstånd.</p>
<p>Tillsynsmyndigheten kan, och bör, därvid föreskriva hur verksamheten<br>skall avvecklas. Ett föreläggande skall givetvis inte avse mer än den del<br>av verksamheten som omfattas av tillsynen. Det väsentliga är att<br>certifikatutfärdaren inte utan att uppfylla lagens krav påstår att till all-<br>mänheten utfärdade certifikat är kvalificerade. Det är därför naturligt att<br>tillsynsmyndigheten koncentrerar sig på detta. Om certifikatutfärdaren<br>väljer att fortsätta att utfärda certifikat till allmänheten, men inte längre<br>påstår att de är kvalificerade, omfattas verksamheten inte av tillsyn enligt<br>denna lag.</p>
<p>I fråga om föreläggande och utdömande av vite är lagen (1985:206) om<br>viten tillämplig.</p>
<h4>Avgifter</h4>
<p>22 §</p>
<p>Paragrafen ger möjlighet för regeringen eller, efter regeringens bemyndi-<br>gande, tillsynsmyndigheten att införa ett avgiftssystem för bekostande av<br>tillsynsmyndighetens verksamhet, se avsnitt 8.</p>
<p>Prop. 1999/2000:117</p>
<p>80</p>
<p>Överklagande Prop. 1999/2000:117</p>
<p>23 §</p>
<p>Paragrafen reglerar rätten att överklaga tillsynsmyndighetens beslut<br>enligt lagen och enligt föreskrifter som meddelats med stöd av lagen.<br>Myndighetens beslut far överklagas till allmän förvaltningsdomstol. Krav<br>på prövningstillstånd gäller vid överklagande till kammarrätten.</p>
<h4>Övergångsbestämmelserna</h4>
<p>Lagen föreslås träda i kraft den 1 januari 2001. För att certifikatutfärdare<br>som redan före ikraftträdandet utfärdar sådana certifikat som medför<br>anmälningsplikt enligt 8 § skall fa en rimlig tid på sig att hinna anmäla<br>sin verksamhet till tillsynsmyndigheten stadgas i punkt 2 att de inte<br>behöver anmäla verksamheten före den 1 februari 2001. Tredje punkten,<br>som har tillkommit på Lagrådets inrådan, innebär att villkor i avtal som<br>har träffats före den 1 januari 2001 inte kan förklaras utan verkan med<br>stöd av 15 §.</p>
<h3>12.2 Förslaget till lag om ändring i sekretesslagen</h3>
<p>5 kap. 3 f</p>
<p>I en ny punkt föreskrivs om sekretess för uppgift som lämnar eller kan<br>bidra till upplysning om chiffer, kod eller liknande metod som har till<br>syfte att göra det möjligt att kontrollera om data i elektronisk form har<br>förvanskats. Härigenom sekretessbeläggs t.ex. hemliga nycklar som<br>används för att verifiera om en handling härrör från angiven<br>undertecknare eller för att skydda vissa datamängder mot manipulation.</p>
<p>Skälen för bestämmelsen redovisas i avsnitt 9.</p>
<p>På förslag från Lagrådet används begreppet ”data i elektronisk form” i<br>stället för ”uppgifter”, eftersom bestämmelsen inte avser alla typer av<br>uppgifter utan just elektroniska sådana, och för att detta begrepp<br>överensstämmer med det som används i bl.a. definitionen av elektronisk<br>signatur i 2 §.</p>
<p>Av 16 kap. 1 § sekretesslagen följer att meddelarfriheten är begränsad<br>när tystnadsplikt följer av 5 kap. 3 § sekretesslagen.</p>
<p>Sekretess för uppgifter om bl.a. enskilds affärs- och driftförhållanden<br>och vissa andra ekonomiska eller personliga förhållanden som tillsyns-<br>myndigheten far tillgång till kan föreskrivas med stöd av 8 kap. 6 §<br>sekretesslagen.</p>
<p>4 Riksdagen 1999/2000. 1 saml. Nr 117</p>
<p>L 13/12</p>
<p>Europeiska gemenskapernas officiella tidning</p>
<p>19.1.2000 Prop. 1999/2000:117</p>
<p>Bilaga 1</p>
<p>EUROPAPARLAMENTETS OCH RÅDETS DIREKTIV 1999/93/EG<br>av den 13 december 1999<br>om ett gemenskapsramverk för elektroniska signaturer</p>
<p>EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR<br>ANTACIT DETTA DIREKTIV</p>
<p>med beaktande av Fördraget om upprättandet av Europeiska<br>gemenskapen, särskilt artikel 47.2 samt artiklarna 55 och 95 i<br>detta.</p>
<p>med beaktande av kommissionens förslag (').</p>
<p>med beaktande av Ekonomiska och sociala kommitténs<br>yttrande (*),</p>
<p>med beaktande av Regionkommitténs yttrande p),</p>
<p>enligt förfarandet i artikel 251 i fördraget (*), och</p>
<p>av följande skäl:</p>
<p>1. Den 16 april 1997 lade kommissionen fram medde-<br>landet om ett europeiskt initiativ inom elektronisk<br>handel för Europaparlamentet, ridet. Ekonomiska och<br>sociala kommittén och Regionkommittén.</p>
<p>2. Den 8 oktober 1997 lade kommissionen fram medde-<br>landet "Säkerhet och tillförlitlighet vid elektronisk<br>kommunikation - Mot en europeisk ram för digitala<br>signaturer och kryptering" för Europaparlamentet, ridet.<br>Ekonomiska och sociala kommittén och Regionkom-</p>
<p>3. Den 1 december 1997 uppmanade ridet kommissionen<br>att så snart som möjligt lägga fram ett förslag till Euro-<br>paparlamentets och rådets direktiv om digitala signa-<br>turer.</p>
<p>4. Elektronisk kommunikation och handel kräver elektro-<br>niska signaturer och därtill hörande tjänster som gör det<br>möjligt att autentisera uppgifter. Olika bestämmelser om<br>rättslig erkännande av elektroniska signaturer och ackre-<br>ditering av tillhandahållare av certifikattjänster i<br>medlemsstaterna kan skapa betydande hinder för elek-<br>tronisk kommunikation och elektroniska handel. Ett<br>tydligt gemenskapsramverk för de villkor som skall gälla<br>för elektroniska signaturer kommer dock att stärka<br>förtroendet för och ett allmänt godtagande av den nya<br>tekniken. Lagstiftningen i medlemsstaterna får inte<br>hindra den fria rörligheten för varor och tjänster på den<br>inre marknaden.</p>
<p>5. Driftskompatibiliteten för produkter för elektroniska<br>signaturer bör främjas. Enligt artikel 14 i fördraget skall<br>den inre marknaden omfatta ett område utan inre<br>gränser där fri rörlighet för varor säkerställs. För att</p>
<p>(') EGT C 325. 23.10.1998. s. 5.</p>
<p>I<sup>2</sup>) EGT C 40. 15.2.1999, s. 29.</p>
<p>n ECT C 93. 6.4.1999. s. 33.</p>
<p>(*) Europaparlamentets yttrande av den 13 januari 1999 (EGT C 104.</p>
<p>14.4.1999. s. 49). rådets gemensamma ståndpunkt av den 28 juni<br>1999 ( EGT C 243. 27.8.1999, s. 33) och Europaparlamentets<br>beslut av den 27 oktober 1999 (ännu ej offentliggjort i EGT).<br>Rådets beslut av den 30 november 1999.<br></p>
<p>kunna säkerställa fri rörlighet på den inre marknaden<br>och bygga upp förtroendet för elektroniska signaturer<br>måste därför vissa grundläggande krav, som är specifika<br>för produkter för elektroniska signaturer uppfyllas, utan<br>att det påverkar tillämpningen av rådets förordning (EG)<br>nr 3381/94 av dels 19 december 1994 om upprättandet<br>av en gemenskapsordning för kontroll av export av<br>varor med dubbla användningsområden (*) och rådets<br>beslut 94/942/GUSP av den 19 december 1994 om den<br>gemensamma åtgärd för kontroll av export av varor med<br>dubbla användningsområden som antagits av ridet (•).</p>
<p>6. Detta direktiv harmoniserar inte tillhandahållande av<br>tjänster som avser informationssekretess när dessa<br>tjänster omfattas av nationell lagstiftning om allmän<br>ordning eller allmän säkerhet</p>
<p>7. Den inre marknaden säkerställer fri rörlighet för<br>personer, vilket innebär att medborgare och invånare i<br>Europeiska unionen i allt större omfattning behöver<br>komma i kontakt med myndigheter i andra medlems-<br>stater än den där de är bosatta. Tillgången till elektronisk<br>kommunikation skulle kunna vara till mycket stor nytta<br>i detta avseende.</p>
<p>8. Den snabba tekniska utvecklingen och Intemets globala<br>karaktär kräver öppenhet inför olika tekniker och<br>tjänster för att autentisera Uppgifter elektroniskt.</p>
<p>9. Elektroniska signaturer kommer att användas under<br>mycket skiftande omständigheter och i många olika<br>tillämpningar vilket kommer att ge upphov till ett brett<br>utbud av nya tjänster och produkter som har anknytning<br>till eller som utnyttjar elektroniska signaturer. Defini-<br>tionen av sådana produkter och tjänster bör inte<br>begränsas till utfärdande och hantering av certifikat utan<br>bör också omfatta alla andra tjänster och produkter som<br>använder eller stöder elektroniska signaturer, till exempel<br>registrerings-, tidsregistrerings-, katalog-, databehand-<br>lings- eller konsulttjänster med anknytning till elektro-<br>niska signaturer.</p>
<p>10. Den inre marknaden gör det möjligt för tillhandahållare<br>av certifikattjänster att utveckla sin gränsöverskridande<br>verksamhet för att stärka sin konkurrenskraft och däri-<br>genom erbjuda konsumenter och företag nya möjlig-<br>heter att utbyta information och bedriva elektronisk<br>handel på ett säkert sätt oberoende av gränser. För att<br>stimulera tillhandahållandet av certifikattjänster i hela<br>gemenskapen via öppna nät bör tillhandahållare av certi-<br>fikattjänster kunna erbjuda sina tjänster utan</p>
<p>(’) EGT L 367, 31.12.1994, s. 1. Förordningen ändrad genom förord-<br>ning (EG) nr 837/95 (EGT L 90. 21.4.1995, $. 1).</p>
<p>(*) EGT L 367, 31.12.1994, j. 8. Beslutet senast ändrat genom beslut<br>1999/193/GUSP (EGT L 73. 19.3.1999. s. 1).</p>
<p>82</p>
<p>19.1.2000 | SV I</p>
<table border="1">
<tr><td></td><td>
<p>förhandstillstånd. Förhandstillstånd omfattar inte endast<br>alla tillstånd som kräver ett beslut från de nationella<br>myndigheterna innan tillhandahållaren av certifikat-<br>tjänster får tillhandahålla dessa tjänster, utan också alla<br>andra åtgärder med samma verkan.</p></td><td>
<p>17.</p></td></tr>
<tr><td>
<p>11.</p></td><td>
<p>Frivilliga ackrediteringssystem som syftar till en högre<br>nivå på tillhandahållamas tjänster kan utgöra en lämplig<br>ram för tillhandahållare av certifikattjänster, så att de</p></td><td></td></tr>
<tr><td></td><td>
<p>kan fortsätta att utveckla sina tjänster för att uppnå den<br>tillförlitlighet, säkerhet och kvalitet som utvecklingen av<br>marknaden kräver. Sådana system bör främja utarbe-<br>tandet av bästa praxis bland tillhandahållare av certifikat-<br>tjänster. Tillhandahållare av certifikattjänster bör ha</p></td><td>
<p>18.</p></td></tr>
<tr><td></td><td>
<p>frihet att ansluta sig till och dra fördel av sådana ackredi-</p></td><td rowspan="2">
<p>19.</p></td></tr>
<tr><td></td><td>
<p>teringssystem;</p></td></tr>
<tr><td>
<p>12.</p></td><td>
<p>Certifikattjänster kan tillhandahållas antingen av ett<br>offentligt organ eller av en juridisk eller fysisk person<br>etablerad i enlighet med nationell lag. Medlemsstaterna<br>bör inte förbjuda tillhandahållare av certifikattjänster att<br>verka utanför frivilliga ackrediteringssystem. Det bör<br>säkerställas att ackrediteringssystem inte minskar</p></td><td rowspan="2">
<p>20.</p></td></tr>
<tr><td></td><td>
<p>konkurrensen när det gäller certifikattjänster.</p></td></tr>
<tr><td>
<p>13.</p></td><td>
<p>Medlemsstaterna får besluta om hur de skall säkerställa<br>att efterlevnaden av bestämmelserna i detta direktiv<br>övervakas. Genom detta direktiv utesluts inte inrättandet<br>av övervakningssystem baserade inom den privata<br>sektorn. Genom detta direktiv åläggs inte tillhandahållare<br>av certifikattjänster att ansöka om att bli övervakade<br>enligt något tillämpligt ackrediteringssystem.</p></td><td></td></tr>
<tr><td>
<p>14.</p></td><td>
<p>Det är viktigt att uppnå balans mellan konsumenternas<br>och företagens behov.</p></td><td rowspan="2">
<p>21.</p></td></tr>
<tr><td>
<p>15.</p></td><td>
<p>I bilaga III redovisas vilka krav som ställs på säkra<br>anordningar för skapande av signaturer för att säker-<br>ställa de avancerade elektroniska signaturernas funktio-<br>nalitet. Bilagan tar inte upp hela den systemmiljö där<br>sådana anordningar används. För att den inre mark-<br>naden skall fungera väl krävs att kommissionen och<br>medlemsstaterna agerar snabbt för att göra det möjligt<br>att utse de organ som skall ansvara för överensstämmel-<br>sebedömning av anordningar för säkra signaturer enligt<br>bilaga III. För att marknadens behov skall tillgodoses<br>måste överensstämmelsebedömningen utföras i tid och<br>på ändamålsenligt sätt.</p></td></tr>
<tr><td>
<p>16.</p></td><td>
<p>Detta direktiv kommer att bidra till användningen och</p></td><td></td></tr>
<tr><td></td><td>
<p>det rättsliga erkännandet av elektroniska signaturer inom<br>gemenskapen. Det behövs inget rättsligt ramverk för<br>elektroniska signaturer som endast används inom<br>system, vilka grundar sig på frivilliga civilrättsiiga avtal<br>mellan ett bestämt antal deltagare. Parternas frihet att</p></td><td>
<p>22.</p></td></tr>
<tr><td></td><td>
<p>sinsemellan komma överens om på vilka villkor de<br>godkänner elektroniskt signerade uppgifter bör respek-<br>teras i den utsträckning det är förenligt med den natio-<br>nella lagstiftningen. Elektroniska signaturer som används<br>i sådana system bör inte förvägras rättslig verkan eller<br>giltighet som bevis i rättsliga förfaranden.</p></td><td>
<p>23.</p></td></tr>
</table>
<p>Europeiska gemenskapernas officiella tidning</p>
<p>L 13/13</p>
<p>Detta direktiv avser inte att harmonisera nationella<br>avtalsrättsliga bestämmelser, till exempel upprättande<br>och fullgörelse av avtal, eller andra utomobligatoriska<br>formaliteter angående signaturer. Därför berör bestäm-<br>melserna om elektroniska signaturers rättsliga verkan<br>inte formkrav som fastställs i nationell lagstiftning om<br>ingående av avtal eller de regler som avgör var ett avtal<br>har ingåtts.</p>
<p>Lagring och kopiering av uppgifter för skapande av<br>signaturer kan utgöra ett hot mot den elektroniska<br>signaturens juridiska giltighet.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 1</p>
<p>Elektroniska signaturer kommer att användas i den<br>offentliga sektom inom nationella förvaltningar och<br>gemenskapsförvaltningar samt i dessa förvaltningars<br>kommunikation med varandra och med medborgare och<br>ekonomiska aktörer, till exempel när det gäller offentlig<br>upphandling, beskattning, social välfärd, hälsovård och<br>rättssystem.</p>
<p>Harmoniserade normer för elektroniska signaturers rätts-<br>liga verkan kommer att bidra till att en enhetlig rättslig<br>ram bibehålls i hela gemenskapen. I nationell lagstiftning<br>uppställs olika krav för handskrivna signaturers juridiska<br>giltighet. Certifikat kan användas för att bekräfta identi-<br>teten hos en person som undertecknar på elektronisk<br>väg. Avancerade elektroniska signaturer baserade på<br>kvalificerade certifikat syftar till en högre säkerhetsnivå.<br>Avancerade elektroniska signaturer som är baserade på<br>ett kvalificerat certifikat och som skapas genom en säker<br>anordning för skapande av signaturer kan anses juridiskt<br>likvärdiga med handskrivna signaturer endast om kraven<br>för handskrivna signaturer uppfylls.</p>
<p>För att bidra till att metoderna för elektronisk autenti-<br>sering godtas överlag måste det säkerställas att elektro-<br>niska signaturer kan användas som bevis vid rättsliga<br>förfaranden i samtliga medlemsstater. Det rättsliga<br>erkännandet av elektroniska signaturer bör baseras på<br>objektiva kriterier och inte vara knutet till auktoriser-<br>ingen av den berörda tillhandahållaren av certifikat-<br>tjänster. Den nationella lagstiftningen reglerar inom vilka<br>rättsliga områden elektroniska dokument och elektro-<br>niska signaturer får användas. Detta direktiv påverkar<br>inte nationella domstolars behörighet att fastslå om det<br>föreligger överensstämmelse med kraven i direktivet och<br>det inverkar inte på nationella bestämmelser om fri<br>bevisprövning.</p>
<p>Tillhandahållare av certifikattjänster som tillhandahåller<br>sådana tjänster till allmänheten omfattas av nationella<br>bestämmelser om skadeståndsansvar.</p>
<p>Utvecklingen av internationell elektronisk handel kräver<br>gränsöverskridande system som även omfattar tredje<br>land. För att kunna säkerställa en global driftskompatibi-<br>litet kan det vara lämpligt att ingå överenskommelser<br>med tredje land angående multilaterala bestämmelser om<br>ömsesidigt erkännande av certifikattjänster.</p>
<p>83</p>
<p>L 13/14</p>
<p>Europeiska gemenskapernas officiella tidning</p>
<p>19. 1. 2000</p>
<p>24. För att öka kundernas förtroende för elektronisk<br>kommunikation och elektronisk handel måste tillhanda-<br>hållare av certifikattjänster iaktta dataskyddslagstift-<br>ningen och respektera privatlivets helgd.</p>
<p>25. Bestämmelser om användningen av pseudonymer i certi-<br>fikat bör inte hindra medlemsstaterna från att kräva<br>identifiering av personer enligt gemenskapslagstiftning<br>eller nationell lagstiftning.</p>
<p>26. De åtgärder som krävs för att genomföra detta direktiv<br>skall antas enligt artikel 2 i rådets beslut 1999/468/EG<br>av den 28 juni 1999 om de förfaranden som skall<br>tillämpas vid utövandet av kommissionens genomföran-<br>debefogenheter (’).</p>
<p>27. ’ Kommissionen kommer att göra en översyn av detta</p>
<p>direktiv två år efter det att det har genomförts bland<br>annat för att säkerställa att de tekniska framstegen eller<br>ändringarna vad gäller de rättsliga förutsättningarna inte<br>har medfört några hinder för att uppnå de mål som<br>anges i detta direktiv. Kommissionen skall undersöka<br>konsekvenserna på andra närliggande tekniska områden<br>och lägga fram en rapport om detta för Europaparla-<br>mentet och rådet.</p>
<p>28. I enlighet med subsidiaritetsprincipen och proportionali-<br>tetsprincipen i artikel 5 i fördraget kan målet att skapa<br>en harmoniserad rättslig ram för tillhandahållandet av<br>elektroniska signaturer och därmed förknippade tjänster<br>inte i tillräcklig utsträckning uppnås av medlemsstaterna<br>och kan därför bättre uppnås på gemenskapsnivå. Detta<br>direktiv går inte utöver vad som är nödvändigt för att<br>uppnå det målet.</p>
<p>HÄRIGENOM FÖRESKRIVS FÖLJANDE</p>
<p>Artikel I</p>
<p>Syftet med detta direktiv är att underlätta användningen av<br>elektroniska signaturer och bidra till deras rättsliga erkännande.<br>Det fastställer ett rättsligt ramverk för elektroniska signaturer<br>och vissa certifikattjänster för att säkerställa en väl fungerande<br>inre marknad.</p>
<p>Det omfattar inte frågor som avser ingående eller giltighet av<br>avtal eller andra rättsliga förpliktelser om den nationella<br>lagstiftningen eller gemenskapslagstiftningen föreskriver vissa<br>formkrav, och det påverkar inte heller bestämmelser och<br>begränsningar i nationell lagstiftning eller gemenskapslagstift-<br>ning som reglerar användningen av dokument.</p>
<p>Artikel 2</p>
<p>Definitioner</p>
<p>I detta direktiv används följande beteckningar med de bety-<br>delser som här anges:</p>
<p>l. elektronisk signatur, uppgifter i elektronisk form som är<br>fogade till eller logiskt knutna till andra elektroniska</p>
<p>(') EGT L 184, 17JJ999, «. 23.<br></p>
<p>uppgifter och som används som en metod för autenti-<br>sering.</p>
<p>2. avancerad elektronisk signatur, en elektronisk signatur som<br>uppfyller följande krav:</p>
<p>a) Den är knuten uteslutande till undertecknaren.</p>
<p>b) Undertecknaren kan identifieras genom den.</p>
<p>c) Den är skapad med medel som undertecknaren kan<br>behålla under uteslutande sin egen kontroll.</p>
<p>d) Den är kopplad till de uppgifter den avser på ett sådant<br>sätt att alla efterföljande ändringar av uppgifterna kan<br>upptäckas.</p>
<p>3. undertecknare: en person som innehar en anordning av<br>signaturer och som agerar antingen på sina egna vägnar<br>eller på det organs eller den fysiska eller juridiska persons<br>vägnar som är han eller hon företräder.</p>
<p>4. uppgifier för skapande av signaturer, unika uppgifter, till<br>exempel koder eller privata kiypteringsnycklar som under-<br>tecknaren använder för att skapa en elektronisk signatur.</p>
<p>5. anordning för skapande av signaturer, en konfigurerad<br>programvara eller hårdvara för att använda uppgifterna för<br>skapande av signaturer.</p>
<p>6. säker anordning för skapande av signaturer, en anordning för<br>skapande av signaturer vilken uppfyller kraven i bilaga Hl.</p>
<p>7. uppgifier för signaturverifiering: uppgifter, till exempel koder<br>eller öppna kryptografiska nycklar, som används för att<br>verifiera den elektroniska signaturen.</p>
<p>8. anordning för signaturverifiering: en konfigurerad program-<br>vara eller hårdvara för att använda uppgifterna för signa-</p>
<p>• turverifieringen.</p>
<p>9. certifikat: ett intyg i elektronisk form som kopplar ihop<br>uppgifterna för signaturverifiering med en person och</p>
<p>- bekräftar denna persons identitet</p>
<p>10. kvalificerat certifikat: ett certifikat som uppfyller kraven i<br>bilaga 1 och som utfärdas av en tillhandahållare av certifi-<br>kattjänster som uppfyller kraven i bilaga II.</p>
<p>11. tilllhandahdllare av certifikattjänster. ett organ eller en fysisk<br>eller juridisk person som utfärdar certifikat eller tillhanda-<br>håller andra tjänster som har anknytning till elektroniska<br>signaturer.</p>
<p>12. produkt för elektroniska signaturer, maskinvara eller program-<br>vara, eller relevanta komponenter i sådana system, som är<br>avsedda att användas av en tillhandahållare av certifikatt-<br>jänster för tillhandahållande av tjänster som avser elektro-<br>niska signaturer eller som är avsedda att användas för att<br>skapa eller verifiera elektroniska signaturer.</p>
<p>13. frivillig ackreditering: sådana tillstånd i vilka de rättigheter<br>och skyldigheter fastställs som är specifika för tillhanda-<br>hållandet av certifikattjänster och som på begäran av den<br>berörda tillhandahållaren av certifikattjänster skall utfärdas<br>av de offentliga eller privata institutioner som ansvarar för<br>utarbetandet och övervakningen av dessa rättigheter och<br>skyldigheter, då tillhandahållaren av certifikattjänster inte<br>får utöva rättigheterna enligt tillståndet fönän denne har<br>erhållit beslutet från institutionen.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 1</p>
<p>84</p>
<p>19.1.2000 I SV~|</p>
<p>Europeiska gemenskapernas officiella tidning</p>
<p>i”/” Prop. 1999/2000:117</p>
<p>Artikel 3</p>
<p>Marknadstillträde</p>
<p>1. Medlemsstaterna far inte göra tillhandahållandet av certi-<br>fikattjänster beroende av förhandstillstånd.</p>
<p>andra medlemsstater, på de områden som omfattas av detta<br>direktiv.</p>
<p>2. Medlemsstaterna skall säkerställa att produkter för elek-<br>troniska signaturer vilka överensstämmer med detta direktiv<br>har fri rörlighet på den inre marknaden.</p>
<p>Bilaga 1</p>
<p>2. Utan an det påverkar tillämpningen av bestämmelserna i<br>punkt I får medlemsstaterna införa eller behålla frivilliga ackre-<br>diteringssystem som syftar till att höja nivån på tillhanda-<br>hållandet av certifikattjänster. Alla villkor som gäller sådana<br>system skall vara objektiva, tydliga, proportionella och icke-<br>diskriminerande. Medlemsstaterna får inte begränsa antalet<br>ackrediterade tillhandahållare av certifikattjänster av skäl som<br>omfattas av detta direktiv.</p>
<p>3. Medlemsstaterna skall garantera att ett lämpligt system<br>införs villket gör det möjligt att övervaka de tillhandahållare av<br>certifikattjänster som är etablerade på deras territorium och<br>som utfärdar kvalificerade certifikat till allmänheten.</p>
<p>4. Lämpliga offentliga eller privata organ som medlemssta-<br>terna utser skall avgöra om säkra anordningar för skapande av<br>signaturer överstämmer med kraven i bilaga III. Kommissionen<br>skall i- enlighet med förfarandet i artikel 9 fastställa kriterier för<br>medlemsstaterna för att avgöra om ett organ bör utses.</p>
<p>Ett beslut som fattas av de organ som avses i första stycket om<br>att det föreligger överensstämmelse med kraven i bilaga III skall<br>erkännas av samtliga medlemsstater.</p>
<p>5. Kommissionen får i enlighet med förfarandet i artikel 9<br>fastställa och offentliggöra referensnummer till allmänt erkända<br>standarder för produkter för elektroniska signaturer i Europeiska<br>gemenskapernas officiella tidning. Medlemsstaterna skall utgå ifrån<br>att produkter för elektroniska signaturer överensstämmer med<br>kraven i punkt f i bilaga II samt i bilaga III om de uppfyller<br>dessa standarder.</p>
<p>6. Medlemsstaterna och kommissionen skall i samarbete<br>främja utveckling och användning av anordningar för signatur-<br>verifiering med utgångspunkt i rekommendationerna för säker<br>signaturverifiering i bilaga IV och till gagn för konsumenterna.</p>
<p>7. Medlemsstaterna far förena användningen av elektroniska<br>signaturer i den offentliga sektorn med eventuella ytterligare<br>krav. Sådana krav skall vara objektiva, tydliga, proportionella<br>och icke-diskriminerande och skall endast gälla de särskilda<br>egenskaperna för den berörda tillämpningen. Dessa krav far<br>inte utgöra ett hinder för gränsöverskridande tjänster för<br>medborgaren.</p>
<p>Artikel 4</p>
<p>Principer för den inre marknaden</p>
<p>1- Varje medlemsstat skall tillämpa de nationella bestäm-<br>melser som den antar enligt detta direktiv på tillhandahållare av<br>certifikattjänster vilka är etablerade på dess territorium och på<br>de tjänster som dessa tillhandahåller. Medlemsstaterna får inte<br>begränsa tillhandahållandet av certifikattjänster, med ursprung i</p>
<p>Artikel 5</p>
<p>Rättslig verkan för elektroniska signaturer</p>
<p>1. Medlemsstaterna skall säkerställa att avancerade elektro-<br>niska signaturer som baseras på ett kvalificerat certifikat och<br>som skapas av en säker anordning för skapande av signaturer</p>
<p>a) uppfyller de rättsliga kraven på en signatur i förhållande till<br>uppgifter i elektronisk form, på samma sätt som en hand-<br>skriven signatur uppfyller samma krav i förhållande till<br>uppgifter på papper, och</p>
<p>b) godtas som bevis vid rättsliga förfaranden.</p>
<p>2. Medlemsstaterna skall säkerställa att en elektronisk<br>signatur inte förvägras rättslig verkan eller giltighet som bevis<br>vid rättsliga förfaranden enbart på grund av att signaturen</p>
<p>— är i elektronisk form,</p>
<p>— inte är baserad på ett kvalificerat certifikat,</p>
<p>— inte är baserad på ett kvalificerat certifikat utfärdat av en<br>ackrediterad tillhandahållare av certifikattjänster, eller</p>
<p>— inte är skapad av en säker anordning för skapande av<br>signaturer.</p>
<p>Artikel 6</p>
<p>Skadeståndsansvar</p>
<p>1. Som ett minimikrav skall medlemsstaterna säkerställa att<br>en tillhandahållare av certifikattjänster genom att utfärda ett<br>certifikat som ett kvalificerat certifikat till allmänheten eller<br>genom att garantera ett sådant certifikat till allmänheten är<br>ansvarig för skada som åsamkats ett organ eller en fysisk eller<br>juridisk person som har rimlig anledning att förlita sig på att</p>
<p>a) all information i det kvalificerade certifikatet är korrekt vid<br>tidpunkten för utfärdandet och att certifikatet innehåller alla<br>de uppgifter som föreskrivs för ett kvalificerat certifikat,</p>
<p>b) det säkerställs att den undertecknare som anges i det kvalifi-<br>cerade certifikatet vid tidpunkten för utfärdandet av certifi-<br>katet var i besittning av de uppgifter för skapande av signa-<br>turer som motsvarar de uppgifter för signaturverifiering<br>som anges i certifikatet,</p>
<p>c) det säkerställs att uppgifterna för skapande av signaturer<br>och uppgifterna för signaturverifiering kan användas som<br>komplement till varandra om tillhandahållaren av certifikat-<br>tjänster framställer båda dessa,</p>
<p>såvida inte tillhandahållaren av certifikattjänster bevisar att han<br>inte har handlat försumligt.</p>
<p>85</p>
<p>L 13/16</p>
<p>Europeiska gemenskapernas officiella tidning</p>
<p><sup>19</sup>-<sup>L 2000</sup> Prop. 1999/2000:117</p>
<p>2. Som en minimikrav skall medlemsstaterna säkerställa att<br>en tillhandahållare av certifikattjänster som har utfardat ett<br>certifikat som ett kvalificerat certifikat till allmänheten är<br>ansvarig för skada som genom underlåtenhet att registrera<br>återkallande av certifikatet har åsamkats ett organ eller en<br>fysisk eller juridisk person som har rimlig anledning att förlita<br>sig på certifikatet, såvida tillhandahållaren av certifikattjänsten<br>inte bevisar att han inte har handlat försumligt.</p>
<p>3. Medlemsstaterna skall säkerställa att en tillhandahållare av<br>certifikattjänster i ett kvalificerat certifikat får ange begräns-<br>ningar i ett visst certifikats användningsområde, under förut-<br>sättning att begränsningarna är identifierbara för tredje man.<br>Tillhandahållaren av certifikattjänster skall inte vara ansvarig<br>för skador som härrör från att ett kvalificerat certifikat används<br>i strid med de begränsningar som gäller för detta.</p>
<p>3. Om kommissionen flr kännedom om att företag i Bilaga 1<br>gemenskapen har svårigheter vad gäller marknadstillträde i<br>tredje land, får kommissionen, om det är nödvändigt, förelägga<br>rådet förslag om ett lämpligt förhandlingsmandat i syfte att<br>uppnå jämförbara rättigheter för gemenskapsföretag i ett<br>sådant tredje land. Rådet skall fatta sitt beslut med kvalificerad<br>majoritet.</p>
<p>Åtgärder som vidtas enligt denna punkt skall inte påverka<br>tillämpningen av gemenskapens och medlemsstaternas skyldig-<br>heter enligt relevanta internationella avtal.</p>
<p>Artikel 8</p>
<p>Dataskydd</p>
<p>4. Medlemsstaterna skall säkerställa att en tillhandahållare av<br>certifikattjänster i ett kvalificerat certifikat får ange en begräns-<br>ning för värdet av de transaktioner för vilka certifikatet kan<br>användas, under förutsättning att begränsningen är identifierbar<br>för tredje man.</p>
<p>Tillhandahållaren av certifikattjänster är inte ansvarig för<br>skador som följer av att denna övre begränsning överskridits.</p>
<p>5. Bestämmelserna i punkterna 1-4 skall inte påverka<br>tillämpningen av rådets direktiv 93/13/EEG av den 5 april<br>1993 om oskäliga villkor i konsumentavtal (’).</p>
<p>Artikel 7</p>
<p>Internationella aspekter</p>
<p>1. Medlemsstaterna skall säkerställa att certifikat som<br>utfärdas som kvalificerade certifikat till allmänheten av tillhan-<br>dahållare av certifikattjänster som etablerade i ett tredje land<br>betraktas som rättslut likvärdiga med certifikat som utfärdas av<br>tillhandahållare av certifikattjänster vilka är etablerade inom<br>gemenskapen, under förutsättning att</p>
<p>a) tillhandahållaren av certifikattjänster uppfyller kraven i detta<br>direktiv och har ackrediterats enligt ett frivilligt ackrediter-<br>ingssystem som upprättas i en medlemsstat, eller</p>
<p>b) en tillhandahållare av certifikattjänster vilken är etablerad<br>inom gemenskapen och uppfyller kraven i detta direktiv<br>garanterar certifikatet, eller</p>
<p>c) certifikatet eller tillhandahållaren av certifikattjänster är<br>erkänt enligt ett bilateralt eller multilateralt avtal mellan<br>gemenskapen och tredje land eller internationella organisa-<br>tioner.</p>
<p>2. För att underlätta gränsöverskridande certifikattjänster<br>med tredje land och rättsligt erkännande av avancerade elektro-<br>niska signaturer med ursprung i tredje land skall komissionen<br>vid behov lägga fram förslag som syftar till ett effektivt genom-<br>förande av standarder och internationella avtal för certifikat-<br>tjänster. Kommissionen skall särskilt, vid behov, överlämna<br>förslag till rådet om lämpliga mandat för att förhandla om<br>bilaterala och multilaterala avtal eller tredje land och internatio-<br>nella organisationer. Rådet skall fatta beslut med kvalificerad<br>majoritet.</p>
<p>1. Medlemsstaterna skall säkerställa att tillhandahållare av<br>certifikattjänster och nationella organ med ansvar för ackredi-<br>tering eller övervakning uppfyller kraven i Europaparlamentets<br>och rådets direktiv 95/46/EG av den 24 oktober 1995 om<br>skydd för enskilda personer med avseende på behandling av<br>personuppgifter och om det fria flödet av sådana uppgifter f<sup>2</sup>).</p>
<p>2. Medlemsstaterna skall säkerställa att en tillhandahållare av<br>certifikattjänster som utfärdar certifikat till allmänheten endast<br>får hämta personuppgifter direkt från den berörde personen<br>eller med dennes uttryckliga medgivande och endast i den<br>utsträckning som är nödvändigt för att utfärda och bibehålla<br>certifikatet Uppgifterna får inte samlas in eller behandlas för<br>andra ändamål utan uttryckligt medgivande från den berörde<br>personen.</p>
<p>3. Utan att det påverkar den rättsliga verkan som enligt<br>nationell lagstiftning ges pseudonymer får inte medlemsstaterna<br>hindra att tillhandahållare av certifikattjänster anger en pseu-<br>donym i stället för undertecknarens namn i certifikatet</p>
<p>Artikel 9</p>
<p>Kommitté</p>
<p>1. Kommission skall biträdas av en kommitté för elektro-<br>niska signaturer, nedan kallad kommittén.</p>
<p>2. När det hänvisas till denna punkt skall artiklarna 4 och 7<br>i beslut 1999/468/EG tillämpas, med beaktande av bestämmel-<br>serna i artikel 8 i beslutet</p>
<p>Den tid som avses i artikel 4.3 i beslut 1999/468/EG skall vara<br>tre månader.</p>
<p>3. Kommittén skall själv fastställa sin arbetsordning.</p>
<p>Artikel 10</p>
<p>Kommitténs uppgifter</p>
<p>Kommittén skall, i enlighet med förfarandet i artikel 9.2, klar-<br>göra kraven i bilagorna till detta direktiv, de kriterier som avses<br>i artikel 3.4 samt de allmänt erkända standarder för produkter<br>för elektroniska signaturer som fastställs och offentliggörs<br>enligt artikel 3.5.</p>
<p>f) EGT L 95. 21.4.1993.29.</p>
<p>0 EGT L 281, 23.11.1995, s. 31.</p>
<p>86</p>
<p>19.1. 2000 r~SV~l</p>
<p>Europeiska gemenskapernas officiella tidning</p>
<p>Artikel 11</p>
<p>Artikel 13</p>
<p><sup>Ln</sup><<sup>17</sup> Prop. 1999/2000:117</p>
<p>Bilaga 1</p>
<p>Anmälan</p>
<p>1. Medlemsstaterna skall överlämna följande information till<br>kommissionen och de övriga medlemsstaterna:</p>
<p>a) Information om nationella frivilliga ackrediteringssystem,<br>inbegripet alla ytterligare krav enligt artikel 3.7.</p>
<p>b) Namn på och adress till de nationella organ som ansvarar<br>för ackreditering och övervakning samt även till de organ<br>som avses i artikel 3.4.</p>
<p>c) Namn på och adress till samtliga ackrediterade nationella<br>tillhandahållare av certifikattjänster.</p>
<p>2. All information som skall överlämnas enligt punkt 1 och<br>ändringar av denna information skall anmälas av medlemssta-<br>terna så snart som möjligt.</p>
<p>Artikel 12</p>
<p>överföring</p>
<p>1. Medlemsstaterna skall sätta i kraft de bestämmelser i lagar<br>och andra författningar som är nödvändiga för att följa detta<br>direktiv senast den 19 juli 2001. De skall genast underrätta<br>kommissionen om detta.</p>
<p>När en medlemsstat antar dessa bestämmelser skall de innehålla<br>en hänvisning till detta direktiv eller åtföljas av en sådan<br>hänvisning när de offentliggörs. Närmare föreskrifter om hur<br>hänvisningen skall föras skall varje medlemsstat själv utfärda.</p>
<p>2. Medlemsstaterna skall till kommissionen överlämna<br>texterna till de centrala bestämmelser i nationell lagstiftning<br>som de antar inom det område som omfattas av detta direktiv.</p>
<p>Artikel 14</p>
<p>Ikraftträdande</p>
<p>Detta direktiv träder i kraft samma dag som det offentliggörs i<br>Europeiska gemeskapemas officiella tidning.</p>
<p>Översyn</p>
<p>Artikel 15</p>
<p>1. Kommissionen skall göra en översyn av hur direktivet<br>fungerar och överlämna en rapport om detta till Europaparla-<br>mentet och rådet senast den 19 juli 2003.</p>
<p>2. I översynen skall bland annat ingå en bedömning av om<br>direktivets tillämpningsområde bör ändras med hänsyn till den<br>tekniska, marknadsmässiga och rättsliga utveklingen.<br>Rapporten skall särskilt innehålla en bedömning av harmoni-<br>seringsfrågor på grundval av de erfarenheter som har vunnits.<br>Rapporten skall vid behov åtföljas av förslag till bestämmelser.</p>
<p>Mottagare</p>
<p>Detta direktiv riktar sig till medlemsstaterna.</p>
<p>Utfärdat i Bryssel den 13 december 1999.</p>
<p>På Europaparlamentets vägnar</p>
<p>N. FONTAINE</p>
<p>Ordförande</p>
<p>På rådets vägnar<br>S. HASSI<br>Ordförande</p>
<p>87</p>
<p>L 13/18</p>
<p>I SV I Europeiska gemenskapernas officiella tidning 19. 1. 2000 Prop. 1 999/2000l 1 1 7</p>
<p>Bilaga 1</p>
<p>BILAGA I</p>
<p>Krav på kvalificerade certifikat</p>
<p>Kvalificerade certifikat skall innehålla följande:</p>
<p>a) Uppgift om att certifikatet har utfärdats som ett kvalificerat certifikat.</p>
<p>b) Identitetsbeteckning för tillhandahållaren av certifikattjänster och den stat i vilken tillhandahållaren är etablerad.</p>
<p>c) Undertecknarens namn eller pseudonym med uppgift om att det rör sig om en pseudonym.</p>
<p>d) Möjlighet till ett särskilt attribut för undertecknaren som i förekommande fall skall tas med, beroende på för vilket<br>ändamål certifikatet är avsett.</p>
<p>e) Uppgifter för signaturverifiering som motsvarar uppgifter för skapande av signaturer som undertecknaren har kontroll<br>över.</p>
<p>f) Angivande av giltighetstidens början och slut för certifikatet.</p>
<p>g) Certifikatets identifieringskod.</p>
<p>h) Den avancerade elektroniska signaturen för den tillhandahållare av certifikattjänster som utfärdar certifikatet.</p>
<p>i) Eventuella begränsningar av certifikatets användningsområde.</p>
<p>j) Eventuella begränsningar av värdet på de transaktioner för vilka certifikatet kan användas.</p>
<p>88</p>
<p>r~sv~i</p>
<p>Europeiska gemenskapernas officiella tidning</p>
<p>BILAGA II</p>
<p>t<sup>B</sup>'<sup>19</sup> Prop. 1999/2000:117</p>
<p>Bilaga 1</p>
<p>Krav på tillhandahållare av certifikattjänster vilka utfärdar kvalificerade certifikat</p>
<p>Tillhandahållare av certifikattjänster skall uppfylla följande krav:</p>
<p>a) Visa att de har den pålitlighet som krävs för att tillhandahålla certifikattjänster.</p>
<p>b) Garantera driften av ett snabbt och säkert system för registrering och för säkert och omedelbart återkallande.</p>
<p>c) Säkerställa att exakt datum och klockslag för certifikatets utfärdande eller återkallande kan slås fast.</p>
<p>d) Med lämpliga medel och i överensstämmelse med nationell lagstiftning kunna kontrollera identiteten och i förekom-<br>mande fall särskilda attribut hos den person till vilken ett kvalificerat certifikat utfärdas.</p>
<p>e) Ha personal som besitter de expertkunskaper, den erfarenhet och de kvalifikationer som krävs för de tjänster som<br>tillhandahålls, i synnerhet i fråga om ledningskompetens, expertkunskaper avseende teknik för elektroniska signaturer<br>och vana vid lämpliga säkerhetsrutiner. Personalen skall också använda adekvata administrativa rutiner och ledningsru-<br>tiner som uppfyller erkända standarder.</p>
<p>f) Använda pålitliga system och produkter som är skyddade mot ändringar och garantera teknisk och kryptografisk<br>säkerhet i de förfaranden som stöds av dessa.</p>
<p>g) Vidta åtgärder mot förfalskning av certifikat och, om tillhandahållaren av certifikattjänster genererar uppgifter för<br>skapande av signaturer, garantera att genereringen av dessa uppgifter sker konfidentiellt.</p>
<p>h) Förfoga över tillräckliga ekonomiska medel för att bedriva verksamheten i enlighet med kraven i detta direktiv, i<br>synnerhet för att kunna bära risken för skadeståndsskyldighet, till exempel genom en lämplig försäkring.</p>
<p>i) Registrera all relevant information om ett kvalificerat certifikat under en lämplig tidsperiod, särskilt för att vid rättsliga<br>förfaranden kunna lägga fram bevis om utfärdande av certifikat. Registreringen får göras elektroniskt.</p>
<p>j) Inte lagra eller kopiera uppgifter för skapande av signaturer om den person som tillhandahållaren av certifikattjänster<br>har erbjudit nyckelhanteringstjänster.</p>
<p>k) Innan de ingår ett avtalsförhållande med en person som önskar ett certifikat till stöd för sin elektroniska signatur,<br>informera den personen via ett varaktigt kommunikationsmedel om de exakta villkor som gäller för användning av<br>certifikatet, inbegripet eventuella begränsningar av dess användning, förekomsten av ett frivilligt ackrediteringssystem<br>samt förfaranden för klagomål och avgörande av tvister. Sådan information, som får överföras elektroniskt, måste vara<br>skriftlig samt avfattad på ett lättbegripligt språk Relevanta delar av informationen skall även på begäran göras<br>tillgängliga för tredje man som är beroende av certifikatet</p>
<p>l) Använda tillförlitliga system för lagring av certifikat i verifierbar form så att</p>
<p>— enbart behöriga personer kan föra in uppgifter och göra ändringar,</p>
<p>— uppgifters autenticitet kan kontrolleras,</p>
<p>— certifikaten är offentligt tillgängliga för hämtning av uppgifter endast i de fall för vilka certifikatinnehavarens<br>samtycke har inhämtats, samt</p>
<p>— tekniska förändringar som äventyrar dessa säkerhetskrav är uppenbara för den som har hand om systemet</p>
<p>89</p>
<p>L 13/20</p>
<p>Europeiska gemenskapernas officiella tidning</p>
<p>BILAGA III</p>
<p><sup>19</sup>-<sup>1 2000</sup> Prop. 1999/2000:117</p>
<p>Bilaga 1</p>
<p>Krav på säkra anordningar för skapande av signaturer</p>
<p>1. Säkra anordningar för skapande av signaturer skall genom lämpliga tekniker och förfaranden säkerställa att åtminstone</p>
<p>a) de uppgifter för skapande av signaturer som används för att generera signaturen praktiskt taget enbart kan<br>förekomma en gång, och att sekretessen avseende dessa uppgifter är säkerställd inom rimliga gränser,</p>
<p>b) de uppgifter för skapande av signaturer som används för att generera signaturen inte med rimlig garanti kan<br>härledas och att signaturen är skyddad mot förfalskning med den teknik som för närvarande finns tillgänglig,</p>
<p>c) de uppgifter för skapande av signaturer som används för att generera signaturen kan skyddas på ett tillförlitligt sätt<br>av den legitime undertecknaren så att andra inte kan använda dem.</p>
<p>2. Säkra anordningar för skapande av signaturer får inte förändra de uppgifter som skall signeras eller hindra att dessa<br>uppgifter presenteras för undertecknaren före undertecknandet.</p>
<p>BILAGA IV</p>
<p>Rekommendationer för säker signaturverifiering</p>
<p>Under signaturverifieringsprocessen skall med rimlig säkerhet garanteras</p>
<p>a) att de uppgifter som används för att utföra signaturverifiering överensstämmer med de uppgifter som visas för den<br>som utför verifieringen,</p>
<p>b) att signaturen kontrolleras på ett tillförlitligt sätt och att resultatet av verifieringen anges korrekt,</p>
<p>c) att den som utför verifieringen vid behov på ett tillförlitligt sätt kan fastställa innehållet i de signerade uppgifterna,</p>
<p>d) att det begärda certifikatets autenticitet och giltighet på ett tillfredsställande sätt kontrollerats när signaturverifieringen<br>utförs,</p>
<p>e) att resultatet av kontrollen och undertecknarens identitet korrekt anges,</p>
<p>f) att användning av pseudonym tydligt anges, samt</p>
<p>g) att alla förändringar av betydelse för säkerheten kan upptäckas.</p>
<p>90</p>
<h2>Promemorians lagförslag</h2>
<h3>Förslag till lag om vissa elektroniska signaturer m.m.</h3>
<h4>Inledande bestämmelse</h4>
<p>1 § Denna lag innehåller bestämmelser om vissa elektroniska signaturer,<br>om certifikat för elektroniska signaturer och om certifikatutfärdare som är<br>etablerade i Sverige.</p>
<h4>Definitioner</h4>
<p>2 § I lagen avses med</p>
<p>elektronisk handling: en bestämd mängd data i digital form som kan<br>läsas, avlyssnas eller på annat sätt uppfattas med tekniskt hjälpmedel,</p>
<p>elektronisk signatur: data i elektronisk form som är fogade till eller<br>logiskt knutna till en elektronisk handling och som används för att kon-<br>trollera om innehållet härrör från den som framstår som undertecknare,<br>avancerad elektronisk signatur: en elektronisk signatur som</p>
<p>a) är knuten uteslutande till undertecknaren,</p>
<p>b) undertecknaren kan identifieras genom,</p>
<p>c) är skapad med medel som endast undertecknaren kontrollerar, och</p>
<p>d) är knuten till en elektronisk handling på ett sådant sätt att alla efter-<br>följande ändringar av den elektroniska handlingen kan upptäckas,</p>
<p>kvalificerad elektronisk signatur: en avancerad elektronisk signatur<br>som är baserad på ett kvalificerat certifikat och som är skapad av en säker<br>anordning för signaturifamställning,</p>
<p>undertecknare: den som har kontroll över en anordning för signatur-<br>framställning,</p>
<p>signaturframställningsdata: unika data, såsom koder eller privata<br>krypteringsnycklar, som undertecknaren använder för att skapa en elek-<br>tronisk signatur,</p>
<p>anordning för signaturframställning: en konfigurerad maskin- eller<br>programvara för att använda signaturframställningsdata,</p>
<p>signaturverifieringsdata: data, såsom koder eller öppna krypte-<br>ringsnycklar, som används för att verifiera en elektronisk signatur,</p>
<p>certifikat: ett intyg i elektronisk form som kopplar ihop signaturverifie-<br>ringsdata med en undertecknare och bekräftar dennes identitet,</p>
<p>certifikatutfärdare: den som utfärdar certifikat.</p>
<h4>Kvalificerade certifikat</h4>
<p>3 § Ett kvalificerat certifikat skall vara utfärdat för viss tid av en certifi-<br>katutfärdare som uppfyller kraven i 8-12 §§ och innehålla</p>
<p>1. uppgift om att det utfärdats som ett kvalificerat certifikat,</p>
<p>2. certifikatutfärdarens identitet och hemvist,</p>
<p>3. undertecknarens namn eller pseudonym med uppgift om att det är en<br>pseudonym,</p>
<p>4. särskilda uppgifter om undertecknaren, om de är relevanta för ända-<br>målet med certifikatet,</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 2</p>
<p>91</p>
<p>5. signaturverifieringsdata som motsvarar de signaturframställnings-<br>data som undertecknaren vid tidpunkten för utfärdandet har kontroll över,</p>
<p>6. start- och sluttidpunkt för certifikatets giltighet,</p>
<p>7. certifikatets identifieringskod,</p>
<p>8. certifikatutfärdarens avancerade elektroniska signatur, och</p>
<p>9. uppgift om eventuella begränsningar av certifikatets användnings-<br>område eller av värdet på de transaktioner för vilka certifikatet kan<br>användas (transaktionsbelopp).</p>
<p>Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig-<br>heten, får meddela närmare föreskrifter om krav enligt första stycket.</p>
<h4>Säkra anordningar för signaturframställning</h4>
<p>4 § En säker anordning för signaturframställning skall säkerställa att<br>signaturen är tillfredsställande skyddad mot förfalskning samt att signa-<br>turframställningsdata</p>
<p>1. praktiskt taget kan förekomma endast en gång och att sekretessen<br>beträffande dessa data är tillfredsställande,</p>
<p>2. med rimlig säkerhet inte kan härledas, och</p>
<p>3. kan skyddas på ett tillfredsställande sätt av undertecknaren så att<br>obehöriga inte kan använda dem.</p>
<p>Anordningen far inte förändra den elektroniska handling som skall sig-<br>neras eller hindra att handlingen presenteras för undertecknaren före sig-<br>neringen.</p>
<p>5 § Kraven på en säker anordning för signaturframställning i 4 § skall<br>anses uppfyllda beträffande sådan maskin- eller programvara som över-<br>ensstämmer med standarder för produkter för elektroniska signaturer som<br>Europeiska gemenskapernas kommission fastställt och offentliggjort refe-<br>rensnummer till i Europeiska gemenskapernas officiella tidning.</p>
<p>6 § En anordning som anges vara en säker anordning för signaturfram-<br>ställning far släppas ut på marknaden eller användas för att skapa en kva-<br>lificerad signatur endast om ett för ändamålet anmält organ avgjort att<br>anordningen uppfyller kraven i 4 §.</p>
<p>Organ som avses i första stycket utses enligt bestämmelserna i lagen<br>(1992:1119) om teknisk kontroll.</p>
<p>Med ett avgörande enligt första stycket likställs ett avgörande av ett<br>organ, som utsetts för detta ändamål i en annan stat inom Europeiska<br>ekonomiska samarbetsområdet.</p>
<h4>Utfärdande av kvalificerade certifikat</h4>
<p>7 § En certifikatutfärdare far utfärda kvalificerade certifikat till allmän-<br>heten först efter anmälan hos den myndighet som regeringen bestämmer<br>(ti 1 lsynsmyndigheten).</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 2</p>
<p>92</p>
<p>8 § En certifikatutfärdare som utfärdar kvalificerade certifikat skall<br>bedriva verksamheten med den pålitlighet som krävs för att utfärda certi-<br>fikat. Certifikatutfärdaren skall därvid</p>
<p>1. ha personal med erforderlig kompetens för de tjänster som erbjuds,<br>särskilt vad avser ledning, teknik och säkerhetsrutiner,</p>
<p>2. använda adekvata administrativa rutiner och ledningsrutiner som<br>uppfyller erkända standarder,</p>
<p>3. använda pålitliga system och produkter som är skyddade mot änd-<br>ringar och garanterar teknisk och kryptografisk säkerhet i de förfaranden<br>som stöds av dem,</p>
<p>4. förfoga över tillräckliga medel för att kunna bedriva verksamheten<br>enligt denna lag och bära risken för skadeståndsskyldighet,</p>
<p>5. genom säkra rutiner kontrollera identiteten hos den undertecknare<br>till vilken ett kvalificerat certifikat utfärdas,</p>
<p>6. förfoga över ett snabbt och säkert system för registrering och ome-<br>delbar spärrning av certifikat, och</p>
<p>7. vidta åtgärder mot förfalskning av certifikat och i förekommande fall<br>garantera att tillhandahållandet av signaturframställningsdata sker konfi-<br>dentiellt.</p>
<p>Certifikatutfärdaren får inte lagra eller kopiera signaturframställnings-<br>data.</p>
<p>Kraven i första stycket 3 skall anses uppfyllda beträffande sådan<br>maskin- eller programvara som överensstämmer med standarder för<br>produkter för elektroniska signaturer som Europeiska gemenskapernas<br>kommission fastställt och offentliggjort referensnummer till i Europeiska<br>gemenskapernas officiella tidning.</p>
<p>9 § En certifikatutfärdaren som utfärdar kvalificerade certifikat skall</p>
<p>1. omedelbart spärra ett certifikat när undertecknaren begär det eller<br>när det annars finns anledning till det</p>
<p>2. säkerställa att exakt tidpunkt kan anges för utfärdande och spärrning<br>av certifikat, och</p>
<p>3. i förekommande fall endast framställa signaturframställningsdata<br>och signaturverifieringsdata som kan användas som komplement till<br>varandra.</p>
<p>10 § En certifikatutfärdaren som utfärdar kvalificerade certifikat skall<br>registrera all relevant information om ett kvalificerat certifikat under<br>rimlig tid samt använda tillförlitliga system för lagring av kvalificerade<br>certifikat i verifierbar form så att</p>
<p>1. endast behöriga personer kan göra tillägg och ändringar,</p>
<p>2. uppgifternas äkthet kan kontrolleras,</p>
<p>3. ett certifikat är offentligt tillgängligt endast när innehavaren av<br>certifikatet har lämnat sitt samtycke, och</p>
<p>4. tekniska förändringar som äventyrar säkerhetskraven är uppenbara<br>för den som handhar systemet.</p>
<p>11 § Innan en certifikatutfärdare ingår avtal om att utfärda ett kvalifice-<br>rat certifikat skall certifikatutfärdaren skriftligen informera motparten om</p>
<p>1. villkoren och begränsningarna för användning av certifikatet,</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 2</p>
<p>93</p>
<p>2. förekomsten av ett frivilligt ackrediterings- eller certifieringssystem,<br>och</p>
<p>3. förfaranden för klagomål och avgörande av tvister.</p>
<p>Informationen enligt första stycket får överföras elektroniskt, om det<br>sker i en för motparten omedelbart läsbar form. Informationen skall på<br>begäran också göras tillgänglig för annan.</p>
<p>12 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig-<br>heten far utfärda närmare bestämmelser om krav enligt 8-11 §§.</p>
<h4>Skadestånd</h4>
<p>13 § När en certifikatutfärdare till allmänheten utfärdar certifikat som<br>anges vara kvalificerade eller när en certifikatutfärdare till allmänheten<br>garanterar en annan certifikatufärdares certifikat som kvalificerade är<br>utfärdaren skadeståndsskyldig i enlighet med 14 §.</p>
<p>14 § Om en certifikatutfärdare inte har uppfyllt kraven i 9 § eller om ett<br>certifikat vid utfärdandet innehåller felaktiga uppgifter eller inte uppfyller<br>kraven i 3 § första stycket, skall certifikatutfärdaren ersätta den skada<br>som därigenom åsamkas den som har rimlig anledning att förlita sig på<br>certifikatet. Certifikatutfärdaren är dock inte skyldig att utge ersättning<br>om utfärdaren kan visa att skadan inte har orsakats av vårdslöshet hos<br>denne.</p>
<p>Trots vad som föreskrivs i första stycket är certifikatutfärdaren inte<br>ersättningsskyldig för skada som härrör från att ett certifikat använts i<br>strid med tydliga begränsningar avseende användningsområde eller trans-<br>aktionsbelopp som angetts i certifikatet.</p>
<h4>Behandling av personuppgifter</h4>
<p>15 § En certifikatutfärdare som utfärdar certifikat till allmänheten far<br>endast inhämta personuppgifter direkt från den som uppgifterna avser<br>eller med dennes uttryckliga samtycke och endast i den utsträckning som<br>är nödvändig för att utfärda eller upprätthålla ett certifikat. Uppgifterna<br>far inte samlas in eller behandlas för andra ändamål utan uttryckligt<br>samtycke från den som uppgifterna avser.</p>
<h4>Rättslig verkan för elektroniska signaturer</h4>
<p>16 § Om det av lag eller annan författning följer vissa formkrav för att en<br>rättshandling skall anses giltig eller en förpliktelse fullgjord och om dessa<br>krav kan uppfyllas genom elektronisk kommunikation med användning<br>av någon form av elektronisk signatur, skall en kvalificerad elektronisk<br>signatur godtas.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 2</p>
<p>94</p>
<h4>Tillsyn</h4>
<p>17 § Tillsynsmyndigheten skall ha tillsyn över certifikatutfärdare som till<br>allmänheten utfärdar certifikat som anges vara kvalificerade och över<br>anordningar som anges vara säkra anordningar för signaturframställning.</p>
<p>18 § Tillsynsmyndigheten har rätt att på begäran fa de upplysningar och<br>handlingar som behövs för tillsynen.</p>
<p>Tillsynsmyndigheten har också rätt att fa tillträde till områden, lokaler<br>och andra utrymmen, dock inte bostäder, där verksamhet som står under<br>tillsyn bedrivs.</p>
<p>Tillsynsmyndigheten har rätt att fa verkställighet hos kronofogdemyn-<br>digheten av de beslut som avser åtgärder för tillsynen enligt första och<br>andra styckena. Därvid gäller bestämmelserna om sådan verkställighet<br>som avses i 16 kap. 10 § utsökningsbalken.</p>
<p>19 § Tillsynsmyndigheten far meddela de förelägganden och förbud som<br>behövs för efterlevnaden av denna lag eller av föreskrifter som meddelats<br>med stöd av lagen.</p>
<p>20 § Tillsynsmyndigheten far förelägga certifikatutfärdare som till all-<br>mänheten utfärdar certifikat som anges vara kvalificerade att helt eller<br>delvis upphöra med verksamheten. Myndigheten far därvid besluta hur<br>verksamheten skall avvecklas.</p>
<p>21 § Förelägganden och förbud enligt denna lag far förenas med vite.</p>
<h4>Avgifter</h4>
<p>22 § Regeringen eller, om regeringen bestämmer det, tillsynsmyndig-<br>heten far föreskriva om skyldighet för certifikatutfärdare som utfärdar<br>kvalificerade certifikat till allmänheten att betala avgift för tillsynsmyn-<br>dighetens verksamhet enligt denna lag.</p>
<h4>Överklagande</h4>
<p>23 § Tillståndsmyndighetens beslut enligt denna lag eller enligt före-<br>skrifter som meddelats med stöd av lagen far överklagas hos allmän för-<br>valtningsdomstol.</p>
<p>Prövningstillstånd krävs vid överklagande till kammarrätten.</p>
<p>Tillståndsmyndigheten far bestämma att beslut enligt denna lag skall<br>gälla omedelbart.</p>
<p>1. Denna lag träder i kraft den 1 januari 2001.</p>
<p>2. Beträffande certifikatutfärdare som redan före ikraftträdandet utfär-<br>dar kvalificerade certifikat till allmänheten skall föreskriften i 7 § om<br>anmälan tillämpas först den 1 februari 2001.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 2</p>
<p>95</p>
<h2>Förteckning över remissinstanserna avseende</h2>
<h2>Ds 1999:73</h2>
<p>Följande remissinstanser har beretts tillfälle att avge synpunkter på<br>departementspromemorian Ds 1999:73 Elektroniska signaturer.</p>
<p>Riksdagens ombudsmän (JO), Hovrätten över Skåne och Blekinge,<br>Kammarrätten i Stockholm, Uppsala tingsrätt, Länsrätten i Stockholms<br>län, Justitiekanslem, Domstolsverket, Rikspolisstyrelsen, Data-<br>inspektionen, Statskontoret, Styrelsen för ackreditering och teknisk<br>kontroll (SWEDAC), Kommerskollegium, Försvarsmakten, Försvarets<br>Forskningsanstalt, Riksförsäkringsverket, Tullverket, Finans-<br>inspektionen, Riksskatteverket, Konsumentverket, Juridiska fakultets-<br>nämnden vid Uppsala universitet, Juridiska institutionen vid Handels-<br>högskolan vid Göteborgs universitet, Centrala Studiestödsnämnden, Post-<br>och telestyrelsen, Närings- och teknikutvecklingsverket, Patent- och<br>registreringsverket, Tekniska nomenklaturcentralen, SIS - Standardi-<br>seringen i Sverige, IT-kommissionen, Svenska Kommunförbundet,<br>Landstingsförbundet, Stockholms handelskammare, Industriförbundet,<br>Svensk Handel, Gemenskapen för elektroniska affärer (GEA), SEIS,<br>IT-företagen, Svenska Bankföreningen, Sveriges advokatsamfund,<br>Sveriges försäkringsförbund, Svenska Arbetsgivareföreningen, Sveriges<br>Akademikers Centralorganisation, Landsorganisationen, Posten AB,<br>Telia AB, Tele2 AB, Telefonaktiebolaget LM Ericsson, IBM Svenska<br>AB, Setec Card AB, iD2 Technologies AB, NetWork Information Center,<br>ISOC-SE, NetWork Associates AB, Wineasy AB, Nexus AB, Advokat-<br>firman Lagerlöf & Leman, Nordbanken AB, FöreningsSparbanken,<br>OM-gruppen AB, VPC AB och Bankgirot BGC AB.</p>
<p>Härutöver har synpunkter lämnats in av Finansbolagens förening,<br>Svenska Inkassoföreningen och Riksarkivet.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 3</p>
<p>96</p>
<h2>Förteckning över remissinstanserna avseende<br>SOU 1996:40</h2>
<p>Följande remissinstanser har beretts tillfälle att avge synpunkter på<br>betänkandet SOU 1996:40 Elektronisk dokumenthantering.</p>
<p>Riksdagens ombudsmän (JO), Svea hovrätt, Malmö tingsrätt, Kammar-<br>rätten i Göteborg, Länssrätten i Stockholms län, Justitiekanslem,<br>Domstolsverket, Riksåklagaren, Rikspolisstyrelsen, Datainspektionen,<br>Kommerskollegium (endast avd. III), Riksförsäkringsverket, Spri,<br>Barnombudsmannen (endast avd. III), Post- och telestyrelsen, Vägverket<br>(endast avd. III), Kommunikationsforskningsberedningen, Statskontoret,<br>Generaltullstyrelsen, Statistiska centralbyrån, Finansinspektionen, Riks-<br>revisionsverket, Riksskatteverket, Statens löne- och pensionsverk, Skol-<br>verket (endast avd. III), Centrala studiestödsnämnden, Arbetsmarknads-<br>styrelsen, Ombudsmannen mot etnisk diskriminering (endast avd. III),<br>Riksarkivet, Närings- och teknikutvecklingsverket, Sprängämnesinspek-<br>tionen (endast avd. III), Patent- och registreringsverket, Konsument-<br>verket, Länsstyrelsen i Jämtlands län, Lantmäteriverket, Juridiska<br>fakultetsnämnden vid Uppsala universitet, Juridiska fakultetsnämnden<br>vid Stockholms universitet, Umeå universitet (endast avd. III), Svenska<br>kommunförbundet, Stockholms kommun, Linköpings kommun, Kalmar<br>kommun, Landstingsförbundet, Svenska kyrkans församlings- och<br>pastoratsförbund, Sveriges Advokatsamfund, Sveriges Köpmanna-<br>förbund, Industriförbundet, Tjänstemännens centralorganisation,<br>Centralorganisationen SACO/SR, Landsorganisationen i Sverige,<br>Svenska Arbetsgivareföreningen, Företagens Uppgiftslämnardelegation,<br>Föreningen Auktoriserade Revisiorer, Publicistklubben (endast avd. III),<br>Svenska Journalistförbundet (endast avd. III), Svenska Tidnings-<br>utgivareföreningen (endast avd. III), Allmänhetens pressombudsman<br>(endast avd. III), Svenska Bankföreningen, Föreningen Säkrad<br>Elektronisk Informationshantering i Samhället, Dataföreningen i Sverige,<br>Intresseföreningen TeleTrusT Sverige, Svenska IT-företagens<br>Organisation, Informationsproducentföreningen i Sverige, EDI i Sverige,<br>Posten AB, Telia AB, Näringslivets Telekommitté (endast avd. III),<br>Tele2 AB (endast avd. III), FC Sweden AB (endast avd. III), BAS<br>(endast avd. III), Agora Nätverket (endast avd. III), SAPnet (endast avd.<br>III), NUBBS (endast avd. III), BBS-Moderat (endast avd. III), Business<br>Software Alliance (endast avd. III), Swebizz, Jacob Palme, Svensk bygg-<br>tjänst, Arkivrådet, Swedman och Advokatfirman Delphi Lawyers.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 4</p>
<p>97</p>
<h2>Lagrådsremissens lagförslag</h2>
<h2>Lagtext</h2>
<p>Regeringen har följande förslag till lagtext.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 5</p>
<h3>Förslag till lag om kvalificerade elektroniska signaturer</h3>
<p>Härigenom föreskrivs följande<sup>1</sup>.</p>
<h4>Allmän bestämmelse</h4>
<p>1 § Denna lag innehåller bestämmelser om kvalificerade certifikat för<br>elektroniska signaturer, om anordningar för signaturframställning och om<br>certifikatutfärdare som är etablerade i Sverige och som utfärdar<br>kvalificerade certifikat till allmänheten.</p>
<h4>Definitioner</h4>
<p>2 § I lagen avses med</p>
<p>elektronisk signatur: data i elektronisk form som är fogade till eller<br>logiskt knutna till andra elektroniska data och som används för att<br>kontrollera att innehållet härrör från den som framstår som utställare och<br>att det inte har förvanskats,</p>
<p>avancerad elektronisk signatur: elektronisk signatur som är</p>
<p>a) knuten uteslutande till en undertecknare,</p>
<p>b) möjlig att identifiera undertecknaren genom,</p>
<p>c) skapad med hjälpmedel som endast undertecknaren kontrollerar, och</p>
<p>d) knuten till andra elektroniska data på ett sådant sätt att ändringar av<br>dessa data kan upptäckas,</p>
<p>kvalificerad elektronisk signatur: avancerad elektronisk signatur som<br>är baserad på ett kvalificerat certifikat och som är skapad av en säker<br>anordning för signaturframställning,</p>
<p>undertecknare: fysisk person som innehar en anordning för signatur-<br>framställning,</p>
<p>signaturframställningsdata: unika data, såsom koder eller hemliga<br>krypteringsnycklar, som används för att skapa en elektronisk signatur,</p>
<p>anordning för signaturframställning: maskin- eller programvara för<br>användning av signaturframställningsdata,</p>
<p>säker anordning för signaturframställning: anordning för signatur-<br>framställning som uppfyller kraven i 4 §,</p>
<p>signaturverifieringsdata: data, såsom koder eller öppna krypte-<br>ringsnycklar, som används för att verifiera en elektronisk signatur,</p>
<p><sup>1</sup> Jfr Europaparlamentets och rådets direktiv 1999/93/EG av den 13 december 1999 om ett<br>gemenskapsramverk för elektroniska signaturer (EGT L 13, 19.1.2000, s. 12, Celex<br>399L0093).</p>
<p>98</p>
<p>certifikat: intyg i elektronisk form som kopplar ihop signatur-<br>verifieringsdata med en undertecknare och bekräftar dennes identitet,<br>kvalificerat certifikat: certifikat som uppfyller kraven i 3 §,<br>certifikatutfärdare: den som utfärdar certifikat eller som garanterar att<br>någon annans certifikat uppfyller vissa krav.</p>
<h4>Kvalificerade certifikat</h4>
<p>3 § För att ett certifikat skall fa kallas kvalificerat skall det vara utfärdat<br>för viss tid av en certifikatutfärdare som uppfyller kraven i 8-11 §§ och<br>föreskrifter meddelade med stöd av 12 § samt innehålla</p>
<p>1. uppgift om att det utfärdats som ett kvalificerat certifikat,</p>
<p>2. certifikatutfärdarens namn och adress samt uppgift om etablerings-<br>land,</p>
<p>3. undertecknarens namn eller pseudonym med uppgift om att det är en<br>pseudonym,</p>
<p>4. särskilda uppgifter om undertecknaren, om de är relevanta för ända-<br>målet med certifikatet,</p>
<p>5. signaturverifieringsdata som motsvarar de signaturffamställnings-<br>data som undertecknaren vid tidpunkten för utfärdandet har kontroll över,</p>
<p>6. uppgift om certifikatets giltighetstid,</p>
<p>7. certifikatets identifieringskod,</p>
<p>8. certifikatutfärdarens avancerade elektroniska signatur eller en elek-<br>tronisk signatur med motsvarande säkerhetsnivå, och</p>
<p>9. uppgift om eventuella begränsningar av certifikatets användnings-<br>område eller av värdet på de transaktioner för vilka certifikatet kan<br>användas (transaktionsbelopp).</p>
<p>Om ett certifikat som uppfyller kraven i första stycket utfärdats av en<br>certifikatutfärdare som inte är etablerad i Sverige skall certifikatet anses<br>kvalificerat om</p>
<p>1. certifikatutfärdaren är etablerad inom Europeiska ekonomiska sam-<br>arbetsområdet,</p>
<p>2. certifikatutfärdaren uppfyller kraven i 7-11 §§ och föreskrifter<br>meddelade med stöd av 12 § och har ackrediterats inom Europeiska<br>ekonomiska samarbetsområdet, eller</p>
<p>3. certifikatet garanteras vara kvalificerat av en certifikatutfärdare som<br>uppfyller kraven i 7-11 §§ och föreskrifter meddelade med stöd av 12 §<br>och som är etablerad inom Europeiska ekonomiska samarbetsområdet.</p>
<p>Regeringen eller, efter regeringens bemyndigande, tillsynsmyndigheten<br>far meddela närmare föreskrifter om krav enligt första stycket.</p>
<h4>Säkra anordningar för signaturframställning</h4>
<p>4 § En anordning för signaturframställning som anges vara säker skall<br>säkerställa att signaturen är tillfredsställande skyddad mot förfalskning.<br>Anordningen skall även säkerställa att signaturframställningsdata</p>
<p>1. i praktiken kan förekomma endast en gång,</p>
<p>2. med rimlig säkerhet inte kan härledas, och</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 5</p>
<p>99</p>
<p>3. på ett tillfredsställande sätt kan skyddas, så att obehöriga inte kan<br>komma åt eller använda dem.</p>
<p>Anordningen far inte förändra de uppgifter som skall signeras eller<br>hindra att de presenteras för undertecknaren före signeringen.</p>
<p>5 § Kraven på en säker anordning för signaturframställning i 4 § skall<br>anses uppfyllda för sådan maskin- eller programvara som överens-<br>stämmer med standarder för produkter för elektroniska signaturer som<br>Europeiska gemenskapernas kommission fastställt och offentliggjort<br>referensnummer till i Europeiska gemenskapernas officiella tidning.</p>
<p>6 § En anordning som anges vara en säker anordning för signatur-<br>framställning får släppas ut på marknaden eller användas för att skapa en<br>kvalificerad elektronisk signatur endast om ett för ändamålet anmält<br>organ bedömt att anordningen uppfyller kraven i 4 §.</p>
<p>Organ som avses i första stycket utses enligt bestämmelserna i lagen<br>(1992:1119) om teknisk kontroll.</p>
<p>Med ett avgörande enligt första stycket likställs ett avgörande av ett<br>organ som utsetts för detta ändamål i en annan stat inom Europeiska<br>ekonomiska samarbetsområdet.</p>
<h4>Utfärdande av kvalificerade certifikat</h4>
<p>7 § En certifikatutfärdare som avser att utfärda kvalificerade certifikat<br>till allmänheten är skyldig att anmäla detta hos den myndighet som<br>regeringen bestämmer (tillsynsmyndigheten) innan verksamheten på-<br>börjas.</p>
<p>8 § En certifikatutfärdare som utfärdar kvalificerade certifikat till<br>allmänheten skall bedriva verksamheten med den pålitlighet som krävs.<br>Detta innebär att certifikatutfärdaren skall</p>
<p>1. ha personal med tillräcklig kompetens för de tjänster som erbjuds,<br>särskilt vad avser ledning, teknik och säkerhetsrutiner,</p>
<p>2. använda sådana rutiner för administration och ledning som uppfyller<br>erkända standarder,</p>
<p>3. använda pålitliga system och produkter som är skyddade mot<br>ändringar och som garanterar teknisk och kryptografisk säkerhet,</p>
<p>4. förfoga över tillräckliga ekonomiska medel för att kunna bedriva<br>verksamheten enligt denna lag och bära risken för skadeståndsskyldighet,</p>
<p>5. ha säkra rutiner för identitetskontroll av de undertecknare som<br>kvalificerade certifikat utfärdas till,</p>
<p>6. förfoga över ett snabbt och säkert system för registrering och<br>omedelbar spärrning av kvalificerade certifikat, och</p>
<p>7. vidta åtgärder mot förfalskning av kvalificerade certifikat och i före-<br>kommande fall garantera att tillhandahållandet av signaturframställnings-<br>data sker konfidentiellt.</p>
<p>Kraven i första stycket 3 skall anses uppfyllda för sådan maskin- eller<br>programvara som överensstämmer med harmoniserade standarder för<br>produkter för elektroniska signaturer till vilka Europeiska gemen-<br>skapernas kommission fastställt och offentliggjort referensnummer i<br>Europeiska gemenskapernas officiella tidning.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 5</p>
<p>100</p>
<p>9 § En certifikatutfärdare som utfärdar kvalificerade certifikat till<br>allmänheten skall</p>
<p>1. omedelbart spärra ett certifikat när undertecknaren begär det eller<br>när det annars finns anledning till det,</p>
<p>2. säkerställa att exakt tidpunkt kan anges för utfärdande och spärrning<br>av certifikat, och</p>
<p>3. endast framställa signaturframställningsdata och signaturverifie-<br>ringsdata som kan användas som komplement till varandra.</p>
<p>10 § En certifikatutfärdare som utfärdar kvalificerade certifikat till<br>allmänheten skall bevara all relevant information om certifikaten under<br>rimlig tid. Certifikatutfärdaren skall även använda tillförlitliga system för<br>lagring av kvalificerade certifikat i verifierbar form, så att</p>
<p>1. endast behöriga personer kan göra tillägg och ändringar,</p>
<p>2. uppgifternas äkthet kan kontrolleras,</p>
<p>3. certifikaten är offentligt tillgängliga endast när innehavarna av<br>certifikaten har lämnat sitt samtycke, och</p>
<p>4. tekniska förändringar som äventyrar säkerhetskraven är synbara för<br>den som handhar systemet.</p>
<p>Certifikatutfärdaren far inte lagra eller kopiera signaturframställnings-<br>data.</p>
<p>11 § Innan en certifikatutfärdare ingår avtal om att utfärda ett kvalifi-<br>cerat certifikat skall certifikatutfärdaren skriftligen informera motparten<br>om</p>
<p>1. villkoren och begränsningarna för användning av certifikatet,</p>
<p>2. förekomsten av frivilliga ackrediterings- eller certifieringssystem<br>enligt lagen (1992:1119) om teknisk kontroll, och</p>
<p>3. förfaranden för klagomål och avgörande av tvister.</p>
<p>Informationen enligt första stycket far överföras elektroniskt, om det<br>sker i en för motparten omedelbart läsbar form. Informationen skall på<br>begäran också göras tillgänglig för annan som är beroende av certifikatet.</p>
<p>12 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig-<br>heten far utfärda närmare bestämmelser om krav enligt 8-11 §§.</p>
<h4>Skadestånd</h4>
<p>13 § En certifikatutfärdare som till allmänheten utfärdar certifikat som<br>anges vara kvalificerade skall ersätta den skada som åsamkats den som<br>förlitat sig på certifikatet, om skadan uppkommit genom att</p>
<p>1. certifikatutfärdaren inte har uppfyllt kraven i 9 §,</p>
<p>2. certifikatet inte uppfyller kraven i 3 § första stycket, eller</p>
<p>3. certifikatet vid utfärdandet innehöll felaktiga uppgifter.</p>
<p>Vad som sägs i första stycket 2 och 3 gäller även en certifikatutfärdare<br>som garanterar att en annan certifikatutfärdares certifikat är kvalificerade.</p>
<p>Certifikatutfärdaren är dock inte skyldig att betala ersättning om<br>utfärdaren kan visa att skadan inte har orsakats av vårdslöshet hos<br>utfärdaren själv. Certifikatutfärdaren är inte heller ersättningsskyldig för<br>en skada som härrör från att ett kvalificerat certifikat använts i strid med<br></p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 5</p>
<p>101</p>
<p>begränsningar som gäller användningsområde eller transaktionsbelopp Prop. 1999/2000:117</p>
<p>och som tydligt angetts i certifikatet. Bilaga 5</p>
<p>14 § Avtalsvillkor som i jämförelse med 13 § är till nackdel för den som<br>förlitar sig på certifikatet är utan verkan mot denne.</p>
<h4>Behandling av personuppgifter</h4>
<p>15 § En certifikatutfärdare som utfärdar certifikat till allmänheten far<br>inhämta personuppgifter endast direkt från den som uppgifterna avser<br>eller med dennes uttryckliga samtycke och endast i den utsträckning som<br>är nödvändig för att utfärda eller upprätthålla ett certifikat. Uppgifterna<br>får inte samlas in eller behandlas för andra ändamål utan uttryckligt<br>samtycke från den som uppgifterna avser.</p>
<h4>Kvalificerade elektroniska signaturer</h4>
<p>16 § Om det i lag eller annan författning ställs krav på egenhändig<br>underskrift eller motsvarande och om det är tillåtet att uppfylla kravet<br>med elektroniska medel, skall en kvalificerad elektronisk signatur alltid<br>anses uppfylla kravet.</p>
<p>Användningen av elektroniska signaturer inom eller vid<br>kommunikation med den offentliga sektom kan vara förenad med<br>ytterligare krav.</p>
<h4>Tillsyn</h4>
<p>17 § Tillsynsmyndigheten skall ha tillsyn över certifikatutfärdare som till<br>allmänheten utfärdar certifikat som anges vara kvalificerade och över<br>anordningar som anges vara säkra anordningar för signaturframställning.</p>
<p>18 § Tillsynsmyndigheten har rätt att på begäran få de upplysningar och<br>ta del av de handlingar som behövs för tillsynen.</p>
<p>Tillsynsmyndigheten har också rätt att få tillträde till områden, lokaler<br>och andra utrymmen, dock inte bostäder, där verksamhet som står under<br>tillsyn bedrivs.</p>
<p>Tillsynsmyndigheten har rätt att få verkställighet hos kronofogde-<br>myndigheten av de beslut som avser åtgärder för tillsynen enligt första<br>och andra styckena. För sådana beslut gäller bestämmelserna i<br>utsökningsbalken.</p>
<p>19 § Tillsynsmyndigheten får meddela de förelägganden och förbud som<br>behövs för efterlevnaden av denna lag eller av föreskrifter som meddelats<br>med stöd av lagen.</p>
<p>20 § Tillsynsmyndigheten får förelägga certifikatutfärdare som till<br>allmänheten utfärdar certifikat som anges vara kvalificerade att helt eller<br>delvis upphöra med denna verksamhet. Sådana beslut får dock fattas</p>
<p>102<br></p>
<p>endast om mindre ingripande åtgärder visat sig vara verkningslösa.<br>Myndigheten får besluta hur verksamheten skall avvecklas.</p>
<p>21 § Förelägganden och förbud enligt denna lag far förenas med vite.</p>
<h4>Avgifter</h4>
<p>22 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndig-<br>heten får föreskriva om skyldighet för certifikatutfärdare som utfärdar<br>kvalificerade certifikat till allmänheten att betala avgift för tillsyns-<br>myndighetens verksamhet enligt denna lag.</p>
<h4>Överklagande</h4>
<p>23 § Tillsynsmyndighetens beslut enligt denna lag eller enligt före-<br>skrifter som meddelats med stöd av lagen får överklagas hos allmän<br>förvaltningsdomstol.</p>
<p>Prövningstillstånd krävs vid överklagande till kammarrätten.</p>
<p>Tillsynsmyndigheten får bestämma att beslut enligt denna lag skall<br>gälla omedelbart.</p>
<p>1. Denna lag träder i kraft den 1 januari 2001.</p>
<p>2. Bestämmelsen i 7 § skall inte börja tillämpas förrän den 1 februari<br>2001 i fråga om certifikatutfärdare som redan före ikraftträdandet<br>utfärdar sådana certifikat som medför anmälningsplikt.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 5</p>
<p>103</p>
<h2>Förslag till lag om ändring i sekretesslagen<br>(1980:100)</h2>
<p>Härigenom föreskrivs att 5 kap. 3 § sekretesslagen (1980:100)' skall ha<br>följande lydelse.</p>
<p>Nuvarande lydelse Föreslagen lydelse</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 5</p>
<h4>5 kap.</h4>
<p>Sekretess gäller för uppgift som<br>lämnar eller kan bidra till upplys-<br>ning om chiffer, kod eller liknande<br>metod som har till syfte att under-<br>lätta befordran eller användning i<br>allmän verksamhet av uppgifter<br>utan att föreskriven sekretess<br>åsidosätts, om det kan antas att<br>syftet med metoden motverkas om<br>uppgiften röjs.</p>
<p>3§</p>
<p>Sekretess gäller för uppgift som<br>lämnar eller kan bidra till upplys-<br>ning om chiffer, kod eller liknande<br>metod som har till syfte att</p>
<p>1. underlätta befordran eller<br>användning i allmän verksamhet<br>av uppgifter utan att föreskriven<br>sekretess åsidosätts, eller</p>
<p>2. göra det möjligt att kontroll-<br>era om uppgifter har förvanskats,</p>
<p>om det kan antas att syftet med<br>metoden motverkas om uppgiften<br>röjs.</p>
<p>Sekretess gäller i verksamhet som avser förande av eller uttag ur<br>körkortsregistret för uppgift om körkorts referensnummer, om det inte<br>står klart att uppgiften kan röjas utan fara för att kontrollen av körkorts<br>äkthet motverkas om uppgiften röjs.</p>
<p>Denna lag träder i kraft den 1 januari 2001.</p>
<p>Lagen omtryckt 1992:1474.</p>
<p><sup>2</sup> Senaste lydelse 1994:595.</p>
<p>104</p>
<h2>Lagrådets yttrande</h2>
<p>Utdrag ur protokoll vid sammanträde 2000-04-11</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 6</p>
<p>Närvarande: f.d. justitierådet Lars Å. Beckman, regeringsrådet Susanne<br>Billum, justitierådet Göran Regner.</p>
<p>Enligt en lagrådsremiss den 30 mars 2000 (Näringsdepartementet) har<br>regeringen beslutat inhämta Lagrådets yttrande över förslag till</p>
<p>1. lag om kvalificerade elektroniska signaturer,</p>
<p>2. lag om ändring i sekretesslagen (1980:100).</p>
<p>Förslagen har inför Lagrådet föredragits av hovrättsassessorn<br>Lena Klintefall Råssjö.</p>
<p>Förslagen föranleder följande yttrande av Lagrådet:</p>
<h4>Förslaget till lag om kvalificerade elektroniska signaturer</h4>
<p>Enligt 1 § innehåller lagen bestämmelser om kvalificerade certifikat för<br>elektroniska signaturer, om anordningar för signaturframställning och om<br>certifikatutfärdare som är etablerade i Sverige och som utfärdar kvali-<br>ficerade certifikat för allmänheten. Det vore en mera adekvat benämning<br>på lagen om denna fick rubriken ”lag om kvalificerade certifikat för<br>elektroniska signaturer”, vilket är lagens huvudsakliga ämnesområde.</p>
<p>1§</p>
<p>Den allmänna bestämmelsen i 1 § skall enligt författningskommentaren<br>ange lagens tillämpningsområde. Därvid åsyftas det sista ledet i bestäm-<br>melsen som avser certifikatutfärdare som är etablerade i Sverige och som<br>utfärdar kvalificerade certifikat. Tidigare led av bestämmelsen är närmast<br>att uppfatta som någon form av innehållsdeklaration, som dock inte är<br>fullständig. För att skilja de två olika delarna av paragrafen åt torde det<br>sista ledet böra bilda ett andra stycke i paragrafen med förslagsvis följan-<br>de lydelse: ”Lagen gäller sådana certifikatutfärdare som utfärdar<br>kvalificerade certifikat och som är etablerade i Sverige.” I så fall kan<br>första stycket ange att syftet med lagen är att underlätta användningen av<br>elektroniska signaturer genom bestämmelser om säkra anordningar för<br>signaturframställning, kvalificerade certifikat för sådana signaturer och<br>utfärdare av certifikat.</p>
<p>3§</p>
<p>I paragrafen finns föreskrifter om vad ett kvalificerat certifikat skall in-<br>nehålla. I de följande 4-6 §§ har tagits in bestämmelser om säkra anord-<br>ningar för signaturframställning. Därefter har i 7-12 §§ förts in regler om<br>certifikatutfärdare. Enligt Lagrådets mening skulle förståelsen av be-<br>stämmelserna underlättas om de paragrafer som behandlar certifikat och<br>certifikatutfärdare fördes samman i ett avsnitt. Lagrådet föreslår därför att<br>3 § flyttas ner efter 6 § i lagförslaget.</p>
<p>105</p>
<p>Första stycket i 3 § innehåller bestämmelserna om vad ett kvalificerat<br>certifikat skall innehålla. Andra stycket däremot reglerar när certifikat<br>utfärdade av någon som är etablerad i annat EES-land eller i tredje land<br>skall anses vara kvalificerade. Med hänsyn till att styckena reglerar helt<br>olika frågor bör andra stycket brytas ut till en särskild paragraf. Den nya<br>paragrafen bör efter en viss omredigering ges följande lydelse:</p>
<p>”Om ett certifikat som uppfyller kraven i (3 §) första stycket 1-9 ut-<br>färdats av en certifikatutfärdare som inte är etablerad i Sverige skall<br>certifikatet anses kvalificerat om</p>
<p>1. certifikatutfärdaren är etablerad i en annan stat inom Europeiska<br>ekonomiska samarbetsområdet och där far utfärda kvalificerade certi-<br>fikat,</p>
<p>2. certifikatutfärdaren uppfyller krav som motsvarar dem som anges i<br>(8-11 §§) och föreskrifter meddelade med stöd av (12 §), och är ackre-<br>diterad i en annan stat inom Europeiska ekonomiska samarbetsområdet,<br>eller</p>
<p>3. certifikatet garanteras vara kvalificerat av en certifikatutfärdare som<br>avses i 1 eller i (3 § första stycket).”</p>
<p>10 §</p>
<p>I paragrafen föreskrivs en skyldighet för certifikatutfärdare att bevara all<br>relevant information om certifikaten under ”rimlig tid”. Enligt författ-<br>ningskommentaren får vad som är rimlig tid avgöras med hänsyn till<br>vilken typ av certifikat som utfärdas och med beaktande av krav som kan<br>följa av t.ex. bokföringslagen. Lagrådet anser att lagtexten bör innehålla<br>någon mer ledning för tillämparen än enbart uttrycket rimlig tid. För-<br>slagsvis kan första meningen ges följande lydelse.</p>
<p>”En certifikatutfärdare som utfärdar kvalificerade certifikat till allmän-<br>heten skall bevara all relevant information om certifikaten under den tid<br>som är motiverad med hänsyn till typen av certifikat och övriga omstän-<br>digheter.”</p>
<p>II §</p>
<p>Paragrafen innehåller bestämmelser om information som certifikat-<br>utfärdaren skall lämna. Genom paragrafen implementeras punkten k) i<br>bilaga II till direktivet. Lagtexten bör emellertid utformas i närmare<br>överensstämmelse med direktivtexten. Lagrådet förordar att paragrafen<br>ges följande lydelse:</p>
<p>”Innan en certifikatutfärdare ingår avtal om att utfärda ett kvalificerat<br>certifikat skall certifikatutfärdaren skriftligen och på ett lättbegripligt<br>språk informera motparten om</p>
<p>1. begränsningar och andra villkor för användning av certifikatet,</p>
<p>2. frivillig ackreditering eller certifiering som avses i lagen<br>(1992:1119) om teknisk kontroll, och</p>
<p>3. förfaranden för klagomål och avgörande av tvister.</p>
<p>Informationen enligt första stycket får överföras elektroniskt.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 6</p>
<p>106</p>
<p>Informationen skall göras tillgänglig också for annan som är beroende<br>av certifikatet och som begär att fa den.”</p>
<p>I andra stycket av den föreslagna paragrafen anges att användningen av<br>elektroniska signaturer inom eller vid kommunikation med den offentliga<br>sektorn kan vara förenad med ytterligare krav. Formuleringen ansluter till<br>uttryckssättet i det aktuella EG-direktivet. Uttrycket ”den offentliga sek-<br>torn” är dock vagt. Det synes t.ex. tveksamt om avsikten är att strängare<br>bestämmelser skall kunna uppställas för statliga eller kommunala bolag<br>med enbart affärsmässig eller förvaltande verksamhet. Enligt Lagrådets<br>mening bör övervägas att ge bestämmelsen en något snävare utformning<br>vilken tydligare anknyter till myndighetsfunktionen snarare än till ett<br>offentligt ägande. Detta synes bättre överensstämma med såväl direk-<br>tivets syfte som svensk lagstiftningstradition. Lagrådet föreslår att första<br>och andra styckena i paragrafen sammanförs, varefter bestämmelsen kan<br>formuleras enligt följande.</p>
<p>”Vid kommunikation med eller mellan myndigheter kan dock använd-<br>ningen av elektroniska signaturer vara förenad med ytterligare krav.”</p>
<p>Rubriken närmast före paragrafen bör samtidigt omformuleras så att<br>den bättre återspeglar innehållet i paragrafen. Lagrådet föreslår att<br>rubriken ges följande lydelse.</p>
<p>”Användning av elektroniska signaturer i vissa fall”</p>
<p>17 §</p>
<p>I paragrafen finns bestämmelser om tillsyn. Denna skall enligt förslaget<br>omfatta dels certifikatutfärdare som till allmänheten utfärdar certifikat<br>som anges vara kvalificerade, dels anordningar som anges vara säkra<br>anordningar för signaturframställning. Enligt Lagrådets mening bör und-<br>vikas att utforma bestämmelsen så att tillsynen tycks avse de tekniska<br>anordningarna som sådana. Svårigheten kan undvikas genom att tillsynen<br>anges avse efterlevnaden av lagen och med stöd därav utfärdade före-<br>skrifter.</p>
<p>I författningskommentaren till paragrafen anges vidare att tillsynsmyn-<br>digheten torde kunna offentliggöra en förteckning över anmälda certi-<br>fikatutfärdare och även ange vilka certifikatutfärdare som förelagts att<br>upphöra med verksamheten eller att kalla sina certifikat för kvalificerade.<br>Lagrådet vill med anledning härav framhålla att myndigheten självfallet<br>har rätt att föra de förteckningar som den behöver för sin verksamhet.<br>Sådana förteckningar torde i allmänhet bli att betrakta som allmänna<br>handlingar. Härmed är dock inte sagt att myndigheten på eget initiativ<br>kan offentligöra den ifrågavarande förteckningen (t.ex. på Internet), vari<br>kan finnas uppgifter som eventuellt omfattas av personuppgiftslagen. Om<br>avsikten är att förteckningen skall offentliggöras - vilket förefaller rimligt<br>med hänsyn till allmänhetens behov av att kunna kontrollera någon som<br>uppger sig utfärda kvalificerade certifikat - bör enligt Lagrådets mening<br>paragrafen kompletteras med en bestämmelse som klargör detta. En<br>sådan bestämmelse fyller även funktionen att förstärka intresset hos dem<br></p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 6</p>
<p>107</p>
<p>som vill utfärda kvalificerade certifikat att fullgöra sin anmälningsskyl-<br>dighet enligt 7 §.</p>
<p>Lagrådet förordar med hänvisning till det anförda att paragrafen ges<br>följande lydelse.</p>
<p>”Tillsynsmyndigheten skall ha tillsyn över efterlevnaden av denna lag<br>och föreskrifter som utfärdats med stöd av lagen.</p>
<p>Tillsynsmyndigheten skall föra och ge offentlighet åt en förteckning<br>över certifikatutfärdare som anmält sig enligt 7 § och som enligt denna<br>lag får utfärda kvalificerade certifikat.”</p>
<p>18 §</p>
<p>I tredje stycket talas om verkställighet av beslut som avser åtgärder för<br>tillsyn enligt första och andra styckena i paragrafen. Det synes mindre<br>adekvat att använda detta uttryckssätt eftersom det inte är fråga om verk-<br>ställighet av några egentliga beslut utan om biträde att genomföra till-<br>synen. Enligt Lagrådets mening bör tredje stycket lyda: ”Tillsyns-<br>myndigheten har rätt att få biträde av kronofogdemyndigheten för tillsyn<br>enligt första och andra styckena.”</p>
<p>Övergångsbestämmelserna</p>
<p>Enligt 14 § är avtalsvillkor, som i jämförelse med 13 § är till nackdel för<br>den som förlitar sig på certifikatet, utan verkan mot denne. Bestämmelsen<br>bör inte vara tillämplig på avtal som ingåtts före<br>ikraftträdandet. Något annat torde inte heller ha avsetts i lagrådsremissen.<br>I övergångsbestämmelserna bör emellertid tas in en uttrycklig bestäm-<br>melse härom. Lagrådet föreslår att till övergångsbestämmelserna fogas en<br>punkt 3 av följande lydelse:</p>
<p>”3. 14 § tillämpas inte på avtal som ingåtts före ikraftträdandet.”</p>
<p>Förslaget till lag om ändring i sekretesslagen</p>
<p>Den nya punkten 2 i första stycket av 5 kap. 3 § gäller sekretessbelägg-<br>ning av uppgifter om metoder som har till syfte att göra det möjligt att<br>kontrollera om uppgifter har förvanskats. Ändringen är föranledd av be-<br>hovet att kunna skydda hemliga nycklar och anknytande uppgifter för<br>bl.a. elektronisk signering och autenticering mot insyn (se avsnitt 9). Den<br>avfattning som punkten har fått gäller dock uppgifter över huvud taget,<br>vilket kan föra för långt. Det bör därför övervägas om inte det i punkten 2<br>bör talas om ”data i elektronisk form” eller liknande (jfr 2 § i den nya<br>lagen) i stället för ”uppgifter”.</p>
<p>Lagrådet vill anmärka att behov av sekretess i tillsynsmyndighetens<br>verksamhet kan föreligga också beträffande annan information än sådan<br>som avses i punkten 2. I så fall kan sekretess föreskrivas genom ett till-<br>lägg till bilagan till sekretessförordningen (1980:657), jfr t.ex. punkt 109<br>i denna bilaga.</p>
<p>Prop. 1999/2000:117</p>
<p>Bilaga 6</p>
<p>108</p>
<h2>Näringsdepartementet</h2>
<p>Utdrag ur protokoll vid regeringssammanträde den 18 maj 2000.</p>
<p>Närvarande: statsministern Persson, ordförande, och statsråden Hjelm-<br>Wallén, Thalén, Lindh, Sahlin, von Sydow, Pagrotsky, Östros, Messing,<br>Engqvist, Rosengren, Larsson, Lejon, Lövdén och Ringholm.</p>
<p>Föredragande: statsrådet Sahlin</p>
<p>Prop. 1999/2000:117</p>
<p>Regeringen beslutar proposition 1999/2000:117 Lag om kvalificerade<br>elektroniska signaturer, m.m.</p>
<p>109</p>
<h2>Rättsdatablad</h2>
<p>Prop. 1999/2000:117</p>
<p>Författningsrubrik</p>
<p>Bestämmelser som<br>infor, ändrar, upp-<br>häver eller upprepar<br>ett normgivnings-<br>bemyndigande</p>
<p>Celexnummer för<br>bakomliggande EG-<br>regler</p>
<p>Lag om kvalificerade 6, 13, 22 §§<br>elektroniska signaturer</p>
<p>399L0093</p>
<p>110</p>
<p>Eländers Gotab 60168, Stockholm 2000</p>
11att riksdagen antar regeringens förslag till?11att riksdagen antar regeringens förslag tillbifall=utskottet2000/01:TU3?22att riksdagen antar regeringens förslag tillbifall=utskottet2000/01:TU3?22att riksdagen antar regeringens förslag till?INLInlämning1899-01-01 00:00:00planerat60hanteringBBordläggning2000-05-23 00:00:00inträffat2hanvisningINLInlämning2000-05-23 00:00:00inträffat60hanteringHÄNHänvisning2000-05-24 00:00:00inträffat3hanvisningMOTMotionstid slutar2000-06-07 00:00:00inträffat4hanvisninginlamnatavInlämnat avNäringsdepartementet2014-11-24 02:37:16statustextstatustextÄrendet är avslutatGN031172019-05-22 17:20:06tilldelatTilldelatTrafikutskottet2014-11-24 02:37:16behandlas_i2000/01:TU3GO01TU3bet2000/01TU3Lag om kvalificerade elektroniska signaturer, m.m.Betänkandeföljdmotion<br/>
med anledning av prop. 1999/2000:117<br/>
Lag om kvalificerade elektroniska signaturer, m.m.GN02T30mot1999/2000T30med anledning av prop. 1999/2000:117 Lag om kvalificerade elektroniska signaturer, m.m.Motionföljdmotion<br/>
med anledning av prop. 1999/2000:117<br/>
Lag om kvalificerade elektroniska signaturer, m.m.GN02T31mot1999/2000T31med anledning av prop. 1999/2000:117 Lag om kvalificerade elektroniska signaturer, m.m.Motionföljdmotionav Eva Arvidsson (S)<br/>
med anledning av prop. 1999/2000:117<br/>
Lag om kvalificerade elektroniska signaturer, m.m.GN02T31mot1999/2000T31med anledning av prop. 1999/2000:117 Lag om kvalificerade elektroniska signaturer, m.m.av Eva Arvidsson (S)Motionföljdmotionav Per-Richard Molén (M)<br/>
med anledning av prop. 1999/2000:117<br/>
Lag om kvalificerade elektroniska signaturer, m.m.GN02T30mot1999/2000T30med anledning av prop. 1999/2000:117 Lag om kvalificerade elektroniska signaturer, m.m.av Per-Richard Molén (M)Motion