51998PC0297

Förslag till Europaparlamentets och rådets direktiv om en gemensam ram för elektroniska signaturer (98/C 325/04) (Text av betydelse för EES) KOM(1998) 297 slutlig - 98/0191(COD)

(Framlagt av kommissionen den 16 juni 1998)

EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV

med beaktande av Fördraget om upprättandet av Europeiska gemenskapen, särskilt artiklarna 57.2, 66 och 100a i detta,

med beaktande av kommissionens förslag,

med beaktande av Ekonomiska och sociala kommitténs yttrande,

med beaktande av Regionkommitténs yttrande,

i enlighet med det förfarande som anges i artikel 189b i fördraget, och

med beaktande av följande:

(1) Den 16 april 1997 lade kommissionen fram ett meddelande om ett europeiskt initiativ inom området elektronisk handel (1) för Europaparlamentet, rådet, Ekonomiska och sociala kommittén och Regionkommittén.

(2) Den 8 oktober 1997 lade kommissionen fram meddelandet "Om säkerhet och pålitlighet vid elektronisk kommunikation - Mot en europeisk ram för digitale signaturer och kryptering" (2) för Europaparlamentet, rådet, Ekonomiska och sociala kommittén och Regionkommittén.

(3) Den 1 december 1997 uppmanade rådet kommissionen att så snart som möjligt lägga fram ett förslag till Europaparlamentets och rådets direktiv om digitala signaturer.

(4) Elektronisk kommunikation och handel kräver elektroniska signaturer och därtill hörande tjänster som gör det möjligt att autentisera data. Olika bestämmelser för rättsliga erkännande av elektroniska signaturer och ackreditering av tillhandahållare av certifieringstjänster i medlemsstaterna kan skapa betydande hinder för elektronisk kommunikation och elektronisk handel och därigenom hindra utvecklingen av den inre marknaden. Med hänsyn till att de åtgärder som medlemsstaterna vidtar skiljer sig från varandra behövs harmonisering på gemenskapsnivå.

(5) Driftskompatibiliteten för produkter för elektroniska signaturer bör främjas. Enligt artikel 7a i fördraget skall den inre marknaden omfatta ett område där fri rörlighet för varor säkerställs. För att säkerställa fri rörlighet på den inre marknaden och bygga upp förtroendet för elektroniska signaturer, måste vissa väsentliga krav som är specifika för produkter för elektroniska signaturer som används av tillhandahållare av certifieringstjänster uppfyllas.

(6) Den snabba tekniska utvecklingen och Internets globala karaktär kräver öppenhet inför olika tekniker och tjänster för att autentisera data elektroniskt. Digitala signaturer som baseras på kryptering med öppen nyckel är dock för närvarande den mest erkända formen av elektronisk signatur.

(7) Den inre marknaden gör det möjligt för tillhandahållare av certifieringstjänster att utveckla sin gränsöverskridande verksamhet för att stärka sin konkurrenskraft och därigenom erbjuda konsumenter och företag nya möjligheter att utbyta information och bedriva elektronisk handel på ett säkert sätt oberoende av gränser. För att stimulera tillhandahållandet av certifieringstjänster i hela gemenskapen via öppna nät, bör tillhandahållare av certifieringstjänster generellt kunna erbjuda sina tjänster utan föregående tillstånd.

(8) Frivilliga ackrediteringssystem som syftar till att öka tillhandahållandet av tjänster kan vara en lämplig ram för att tillhandahållare av certifieringstjänster skall kunna fortsätta att utveckla sina tjänster så att de uppnår den tillförlitlighet, säkerhet och kvalitet som krävs på en marknad i utveckling. Sådana system bör uppmuntra utarbetandet av bästa praxis bland tillhandahållarna av certifieringstjänster. Tillhandahållarna av certifieringstjänster bör ha frihet att ansluta sig till och dra fördel av sådana ackrediteringssystem. Medlemsstaterna bör inter förbjuda tillhandahållarna av certifieringstjänster att verka utanför sådana ackrediteringssystem. Det bör säkerställas att ackrediteringssystem inte minskar konkurrensen beträffande vissa tjänster. Det är viktigt att uppnå balans mellan konsumenternas och företagens behov.

(9) Detta direktiv bör därför bidra till användandet och det rättsliga erkännandet av elektroniska signaturer inom gemenskapen. En rättslig ram behövs inte för elektroniska signaturer som endast används inom slutna system. Parternas frihet att sinsemellan komma överens om på vilka villkor de godkänner elektroniskt signerade data bör respekteras, så länge detta är förenligt med den nationella lagstiftningen. Detta direktiv syftar inte till att harmonisera nationell avtalsrätt, såsom ingående och genomförande av avtal, eller andra utomobilgatoriska formaliteter som kräver signaturer. Därför berör bestämmelserna om elektroniska signatures rättsverkningar inte formkrav, som är bestämda i nationell lag med avseende på ingående av avtal eller de regler som bestämmer var ett kontrakt har ingåtts.

(10) För att bidra till ett allmänt godkännande av elektroniska signaturer bör en elektronisk signatur inte bedömas som ogiltig enbart på den grunden att den är i elektronisk form, inte är grundad på ett kvalificerat certifikat eller på ett certifikat som är utfärdat av en ackrediterad tillhandahållare av certifieringstjänster, eller att den tjänstetillhandahållare som utfärdade det berörda certifikatet är från en annan medlemsstat. Elektroniska signaturer som är knutna till trovärdiga tillhandahållare av certifieringstjänster som uppfyller de grundläggande kraven bör ha samma rättsliga status som handskrivna signaturer. Det bör säkerställas att elektroniska signaturer kan användas som bevis vid rättsliga förfaranden i alla medlemsstater. Det rättsliga erkännandet av elektroniska signaturer bör baseras på objektiva kriterier och inte vara knutet till auktoriseringen av den berörde tjänstetillhandahållaren. Harmoniserade regler beträffande elektroniska signaturers rättsliga effekt kommer att innebära en sammanhängande rättslig ram i hela gemenskapen.

(11) Tillhandahållare av certifieringstjänster som erbjuder sådana tjänster till allmänheten omfattas av nationella bestämmelser om ersättningsansvar. Skillnader i omfattning och innehåll i sådana ersättningsregler kan leda till rättsosäkerhet, särskilt för tredje man som förlitar sig på deras tjänster. Sådan osäkerhet kommer att skada utvecklingen av handeln över gränserna och hindra den inre marknadens funktion. Harmoniserade bestämmelser i fråga om ersättningsskyldighet skapar rättssäkerhet och förutsägbarhet både för tillhandahållare av certifieringstjänster och konsumenter. Sådana bestämmelser skulle bidra till att elektroniska signaturer godkänns allmänt och erkänns rättsligt inom gemenskapen vilket skulle ha en gynnsam effekt på den inre marknadens funktion.

(12) Utvecklingen av internationell elektronisk handel kräver gränsöverskridande mekanismer som även omfattar tredje land. Sådana mekanismer bör utvecklas på företagsnivå. Avtal med tredje land om multilaterala bestämmelser om ömsesidigt erkännande av certifieringstjänster kan bidra till att garantera driftskompatibilitet på global nivå.

(13) För att stimulera elektronisk kommunikation och elektronisk handel genom att säkerställa kundernas förtroende, bör medlemsstaterna ålägga tillhandahållarna av certifieringstjänster att respektera dataskyddslagstiftningen och privatlivet, och de bör också åläggas att tillhandahålla certifieringstjänster även för pseudonymer, på begäran av undertecknaren. Den nationella lagstiftningen bör fastställa om och på vilka villkor uppgifter som avslöjar den registrerade personens identitet bör lämnas ut vid brottsutredningar. Tillhandahållarna av certifieringstjänster bör i förväg, skriftligen och på ett lättfattligt språk och med hjälp av ett pålitligt kommunikationsmedel informera användarna om sina villkor, särskilt beträffande den exakta användningen av certifikat och begränsningar i ansvarsskyldigheten.

(14) För tillämpningen av detta direktiv bör kommissionen biträdas av en rådgivande kommitté.

(15) I enlighet med principerna om subsidiaritet och proportionalitet i artikel 3b i fördraget kan målet att skapa en harmoniserad rättslig ram för tillhandahållandet av elektroniska signaturer och därmed förknippade tjänster inte uppnås av medlemsstaterna själva och kan därför bättre uppnås på gemenskapsnivå. Detta direktiv är begränsat till de minimikrav som behövs för att uppnå detta mål.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Tillämpningsområde

Detta direktiv gäller rättsligt erkännande av elektroniska signaturer.

Det gäller inte andra frågor med avseende på ingående av och giltighet hos avtal eller andra utomobligatoriska formaliteter som kräver signatur.

I direktivet fastställs en rättslig ram för vissa certifieringstjänster som gjorts allmänt tillgängliga.

Artikel 2

Definitioner

I detta direktiv avses med följande:

1. elektronisk signatur: en signatur i digital form i, fogad till, eller logiskt knuten till uppgifter och som används av en undertecknare för att ange att undertecknaren godkänner innehållet i uppgifterna, och som uppfyller följande krav:

a) Den är endast knuten till undertecknaren.

b) Den kan identifiera undertecknaren.

c) Den är skapad med medel som undertecknare kan kontrollera fullständigt.

d) Den är kopplad till de uppgifter som den har avseende på, på ett sådant sätt att varje efterföljande ändring av uppgifterna upptäcks.

2. undertecknare: en person som skapar en elektronisk signatur.

3. system för signaturgenerering: unika uppgifter, som till exempel koder eller privat kryptering med öppen nyckel, eller ett fysiskt system med unik konfiguration, som används av undertecknaren för att skapa en elektronisk signatur.

4. system för signaturverifiering: unika uppgifter, som till exempel koder eller privat kryptering med öppen nyckel, eller ett fysiskt system med unik konfiguration, som används för att verifiera den elektroniska signaturen.

5. kvalificerat certifikat: en digital attestering som knyter ett system för att verifiera signaturer till en person, bekräftar identiteten hos den personen och uppfyller kraven i bilaga I.

6. tillhandahållare av certifieringstjänster: en person eller ett företag som utfärdar certifikat eller tillhandahåller andra tjänster som har anknytning till elektroniska signaturer till allmänheten.

7. produkt inom området elektroniska signaturer: maskinvara eller programvara, eller relevanta komponenter i sådana system, som är avsedda att användas av en tillhandahållare av certifieringstjänster för sådana tjänster om har avseende på elektroniska signaturer.

Artikel 3

Marknadstillträde

1. Medlemsstaterna får inte göra tillhandahållandet av certifieringstjänster beroende av tillstånd i förväg.

2. Utan att det påverkar tillämpningen av bestämmelserna i punkt 1, får medlemsstaterna införa eller behålla frivilliga ackrediteringssystem som berör tillhandahållande av certifieringstjänster på hög nivå. Alla villkor som gäller sådana system måste vara objektiva, genomblickbara, proportionella och icke-diskriminerande. Medlemsstater får inte begränsa antalet tillhandahållare av certifieringstjänster av skäl som omfattas av detta direktiv.

3. Kommissionen får enligt förfarandet i artikel 9 fastställa och offentliggöra referensnummer för allmänt erkända standarder för produkter inom området elektroniska signaturer i Europeiska gemenskapernas officiella tidning. Medlemsstaterna skall utgå ifrån att produkter inom området elektroniska signaturer som uppfyller dessa standarder överensstämmer med kraven i bilaga II.e.

4. Medlemsstaterna får förena användningen av elektroniska signaturer i den offentliga sektorn med ytterligare krav. Sådana krav skall vara objektiva, genomblickbara, proportionella och icke-diskriminerande, och skall endast gälla de särskilda kännetecknen för den aktuella användningen.

Artikel 4

Inre marknaden

1. Medlemsstaterna skall tillämpa de nationella bestämmelser, som de antar enligt detta direktiv, på tillhandahållare av tjänster som är etablerade på deras territorier och på de tjänster som dessa tillhandahåller. Medlemsstaterna får inte begränsa tillhandahållandet av certifieringstjänster som har ursprung i andra medlemsstater på områden som omfattas av detta direktiv.

2. Medlemsstaterna skall säkerställa att produkter inom området elektroniska signaturer som överensstämmer med detta direktiv kan cirkulera fritt på den inre marknaden.

Artikel 5

Rättsverkningar

1. Medlemsstaterna skall säkerställa att en elektronisk signatur inte förvägras rättsverkan, giltighet eller verkställbarhet enbart på den grunden att signaturen är i elektronisk form eller inte är baserad på ett kvalificerat certifikat, eller på ett certifikat som är utfärdat av en ackrediterad tillhandahållare av certifieringstjänster.

2. Medlemsstaterna skall säkerställa att elektroniska signaturer, som är baserade på kvalificerade certifikat som utfärdats av en tillhandahållare av certifieringstjänster, som uppfyller kraven i bilaga II, å den ena sidan erkänns såsom uppfyllande de rättsliga krav som ställs på en handskriven signatur, å den andra sidan kan godtas som bevis vid rättsliga förfaranden på samma sätt som handskrivna signaturer.

Artikel 6

Ersättningsansvar

1. Medlemsstaterna skall säkerställa att en tillhandahållare av certifieringstjänster som utfärdar ett kvalificerat certifikat är ersättningsskyldig mot personer som har rimlig anledning att förlita sig på att certifikatet

a) innehåller korrekt information från och med den dag då det utfärdades, om inte tillhandahållaren av certifieringstjänster har angivit något annat i certifikatet,

b) överensstämmer med alla krav i detta direktiv för att utfärda kvalificerade certifikat,

c) garanterar att den person som anges i det kvalificerade certifikatet vid tidpunkten för utfärdandet av certifikatet var i besittning av det system för att skapa en signatur som motsvarar det system för att kontrollera en signatur som anges i certifkatet,

d) i de fall då tillhandahållaren av certifieringstjänsterna genererar systemet för signaturgenerering och systemet för signaturverifiering för att skapa och verifiera signaturer, kan garantera att de två systemen fungerar ihop.

2. Medlemsstaterna skall säkerställa att en tillhandahållare av certifieringstjänster inte har något ersättningsansvar för fel i de uppgifter i det kvalificerade certifikatet som tillhandahållits av den person som certifikatet är utställt på, om tillhandahållaren av certifieringstjänster kan visa att han vidtagit alla rimliga, praktiska åtgärder för att kontrollera uppgifterna.

3. Medlemsstaterna skall säkerställa att en tillhandahållare av certifieringstjänster i ett kvalificerat certifikat kan ange begränsningar i ett visst certifikats användningsområde. Om ett sådant kvalificerat certifikat med begränsat användningsområde används på fel sätt skall tillhandahållaren av certifieringstjänster inte vara ersättningsskyldig.

4. Medlemsstaterna skall säkerställa att en tillhandahållare av certifieringstjänster i ett kvalificerat certifikat kan ange en gräns för värdet av de transaktioner som certifikatet är giltigt för. Tillhandahållaren av certifieringstjänster skall inte vara ersättningsskyldig för skador som överstiger denna gräns.

5. Bestämmelserna i punkt 1-4 påverkar inte tillämpningen av rådets direktiv 93/13/EEG (3).

Artikel 7

Internationella aspekter

1. Medlemsstaterna skall säkerställa att certifikat som utfärdats av tillhandahållare av certifieringstjänser som är etablerade i ett tredje land anses vara likvärdiga i rättsligt avseende med certifikat som utfärdats av tillhandahållare av certifieringstjänster som är etablerade inom gemenskapen under förutsättning att

a) tillhandahållaren av certifieringstjänster uppfyller kraven i detta direktiv och har ackrediterats inom ramen för ett frivilligt ackrediteringssystem som upprättats av en medlemsstat,

b) tillhandahållaren av certifieringstjänster, som är etablerade inom gemenskapen och som uppfyller kraven i bilaga II, ger samma garantier för certifikatet som för sina egna,

c) certifikatet eller tillhandahållaren av certifieringstjänster är godkänd enligt ett bilateralt eller multilateralt avtal mellan gemenskapen och tredje land eller internationella organisationer.

2. För att underlätta gränsöverskridande certifiering med tredje land och rättsligt erkännande av elektroniska signaturer med ursprung i tredje land kommer kommissionen vid behov att lägga fram förslag som syftar till ett effektivt genomförande av standarder och internationella avtal om certifieringstjänser. Den kommer särskilt och vid behov att överlämna förslag till rådet om nödvändiga mandat för att förhandla om bilaterala och multilaterala avtal med tredje land och internationella organisationer. Rådet skall fatta beslut med kvalificerad majoritet.

Artikel 8

Dataskydd

1. Medlemsstaterna skall säkerställa att tillhandahållare av certifieringstjänster och nationella organ med ansvar för ackreditering eller tillsyn uppfyller kraven i Europaparlamentets och rådets direktiv 95/46/EG (4) och 97/66/EG (5).

2. Medlemsstaterna skall säkerställa att en tillhandahållare av certifieringstjänster endast får hämta personliga uppgifter direkt från den person som skall registreras och endast i den utsträckning som krävs för att utfärda ett certifikat. Uppgifterna får inte samlas in eller bearbetas för andra ändamål utan samtycke från den person som skall registreras.

3. Medlemsstaterna skall säkerställa att tillhandahållaren av certifieringstjänster, på begäran av undertecknaren, för in en pseudonym i stället för undertecknarens namn i certifikatet.

4. Medlemsstaterna skall säkerställa att tillhandahållaren av certifieringstjänster i de fall där pseudonym används, på begäran och med den registrerade personens samtycke, skall överföra uppgifter om sådana personers identitet till offentliga myndigheter. Om det enligt nationell lagstiftning är nödvändigt att med användning av elektroniska signaturer under en pseudonym överföra uppgifter som avslöjar den registrerade personens identitet vid brottsutredningar, skall överföringen registreras och den registrerade personen skall så snart utredningen är klar informeras om överföringen av uppgifterna.

Artikel 9

Kommitté

Kommissionen skall biträdas av en rådgivande kommitté kallad Kommittén för elektroniska signaturer (nedan kallad kommittén). Den skall bestå av företrädare från medlemsstaterna och ha en företrädare för kommissionen som ordförande.

Kommissionens företrädare skall förelägga kommittén ett förslag till åtgärder. Kommittén skall yttra sig över förslaget inom den tid som ordföranden bestämmer med hänsyn till hur brädskande frågan är, om nödvändigt genom omröstning.

Yttrandet skall protokollföras och dessutom har varje medlemsstat rätt att begära att få sin uppfattning tagen till protokollet.

Kommissionen skall ta största hänsyn till det yttrande som kommittén avgett. Den skall underrätta kommittén om det sätt på vilket dess yttrande har beaktats.

Artikel 10

Samråd med kommittén

Kommittén skall vid behov rådfrågas om kraven på tillhandahållare av certifieringstjänster i bilaga II och allmänt erkända standarder för produkter inom området elektroniska signaturer enligt artikel 3.3.

Artikel 11

Anmälan

1. Medlemsstaterna skall till kommissionen överlämna följande information:

a) Information om frivilliga nationella ackrediteringssystem, inbegripet alla ytterligare krav enligt artikel 3.4.

b) Namn och adress på de nationella organ som ansvarar för ackreditering och övervakning, och

c) Namn och adress på ackrediterade nationella tillhandahållare av certifieringstjänster.

2. All information som skall överlämnas enligt punkt 1 och ändringar i denna information skall anmälas av medlemsstaterna så snart som möjligt.

Artikel 12

Översyn

1. Kommissionen skall göra en översyn av hur direktivet fungerar och överlämna en rapport om detta till Europaparlamentet och rådet senast den 31 december 2002.

2. Översynen skall bland annat innehålla en bedömning av om direktivet behöver ändras med hänsyn till den tekniska och rättsliga utvecklingen. Rapporten skall på grundval av de erfarenheter som vunnits särskilt innehålla en bedömning av harmoniseringsfrågor. Rapporten skall vid behov åtföljas av förslag till kompletterande lagbestämmelser.

Artikel 13

Genomförande

1. Medlemsstaterna skall sätta i kraft de lagar och andra författningar som är nödvändiga för att följa detta direktiv senast den 31 december 2000. De skall genast underrätta kommissionen om detta.

När en medlemsstat antar dessa bestämmelser skall de innehålla en hänvisning till detta direktiv eller åtföljas av en sådan hänvisning när de offentliggörs. Närmare föreskrifter om hur hänvisningen skall göras skall varje medlemsstat själv utfärda.

2. Medlemsstaterna skall till kommissionen överlämna texterna till de bestämmelser i nationell lagstiftning som de antar inom det område som omfattas av detta direktiv och inom anslutande områden samt en jämförelsetabell över bestämmelserna i detta direktiv och de antagna nationella bestämmelserna.

Artikel 14

Ikraftträdande

Detta direktiv träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska gemenskapernas officiella tidning.

Artikel 15

Mottagare

Detta direktiv riktar sig till medlemsstaterna.

(1) KOM(97) 157 slutlig.

(2) KOM(97) 503 slutlig.

(3) EGT L 95, 21.4.1993, s. 29.

(4) EGT L 281, 23.11.1995, s. 31.

(5) EGT L 24, 30.1.1998, s. 1.

BILAGA I

KRAV PÅ KVALIFICERADE CERTIFIKAT

Kvalificerade certifikat skall innehålla

a) identitetsbeteckning för den tillhandahållare av certifieringstjänster som utfärdar de kvalificerade certifikaten,

b) innehavarens entydiga namn eller entydiga pseudonym, där det framgår att det rör sig om en pseudonym,

c) särskilda attribut för innehavaren, t.ex. adress, fullmakt att agera för företaget, kreditvärdighet, momsregistreringsnummer eller annat skatteregistreringsnummer, förekomst av betalningsgarantier eller särskilda tillstånd eller licenser,

d) ett system för signaturverifiering som motsvarar ett system för signaturgenerering som innehavaren har kontroll över,

e) start- och slutdatum certifikatets giltighetstid,

f) certifikatets unika identifieringskod,

g) den elektroniska signaturen för den tillhandahållare av certifieringstjänster som utfärdar certifikatet,

h) eventuella begränsningar av certifikatets användningsområde, och

i) eventuella begränsningar av ansvarsskyldigheten hos tillhandahållaren av certifieringstjänster och av värdet för transaktioner som certifikatet är giltigt för.

BILAGA II

KRAV PÅ TILLHANDAHÅLLARE AV CERTIFIERINGSTJÄNSTER

Tillhandahållare av certifieringstjänster skall

a) visa att de har den pålitlighet som krävs för att erbjuda certifieringstjänster,

b) ha ett snabbt och säkert system för återkallande,

c) med lämpliga medel kontrollera identiteten och behörigheten hos den person till vilket ett kvalificerat certifikat ställs ut,

d) ha personal som besitter de expertkunskaper, den erfarenhet och de kvalifikationer som krävs för de tjänster som erbjuds, i synnerhet i fråga om ledningskompetens, expertkunskaper inom teknik för elektroniska signaturer och säkerhetsarbete; personalen skall också använda adekvata administrativa rutiner som uppfyller erkända standarder,

e) använda pålitliga system och produkter inom området elektroniska signaturer som är skyddade mot ändringar av produkterna så att de inte kan användas för andra ändamål än de de är avsedda för; de skall också använda produkter inom området elektroniska signaturer som ger teknisk och kryptografisk säkerhet i de certifieringsprocesser som stöds,

f) vidta åtgärder mot förfalskning av certifikat och, om tillhandahållaren av certifieringstjänster genererar privata krypteringsnycklar, garantera en konfidentiell genereringsprocess,

g) förfoga över tillräckliga finansiella medel för att bedriva verksamheten i enlighet med kraven i detta direktiv, i synnerhet för att kunna bära risken för skadeståndsskyldighet, till exempel genom en lämplig försäkring,

h) lagra all relevant information som rör ett kvalificerat certifikat för en lämplig tidsperiod, särskilt i syfte att kunna presentera bevis för certifiering i rättsliga sammanhang; lagringen kan ske i elektronisk form,

i) inte lagra eller kopiera privata krypteringsnycklar som tillhör den person som tillhandahållaren av certifieringstjänster har erbjudit nyckelhanteringstjänster om personen i fråga inte uttryckligen ber om det,

j) skriftligt informera konsumenterna före kontraktsskrivandet, på ett lättfattligt språk och via ett pålitligt kommunikationsmedel, om de exakta villkor som gäller för användning av certifikatet; villkoren skall innehålla begränsningar i ansvaret, förekomsten av frivillig ackreditering och förfaranden för klagomål och biläggande av tvister.