30.1.2013   

SV

Europeiska unionens officiella tidning

C 28/6

Sammanfattning av yttrandet från Europeiska datatillsynsmannen om kommissionens förslag till Europaparlamentets och rådets förordning om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden (förordningen om elektroniska betrodda tjänster)

(Yttrandet finns i sin helhet på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats http://www.edps.europa.eu)

2013/C 28/04

I.   Inledning

I.1   Förslaget

1.

Den 4 juni 2012 antog kommissionen förslaget till Europaparlamentets och rådets förordning om ändring av Europaparlamentets och rådets direktiv 1999/93/EG om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden (”förslaget”) (1).

2.

Förslaget ingår i de åtgärder som kommissionen har lagt fram för att stärka spridningen av elektroniska transaktioner inom Europeiska unionen. Det följer upp åtgärderna som presenteras i den digitala agendan för Europa (2) och som syftar till att förbättra lagstiftningen om elektroniska signaturer (nyckelåtgärd 3) och inrätta en samstämmig ram för ömsesidigt erkännande av e-identifiering och e-autentisering (nyckelåtgärd 16).

3.

Syftet är att stärkta tilltron till elektroniska transaktioner i hela Europa och säkerställa att elektronisk identifiering, autentisering, signering och liknande betrodda tjänster blir juridiskt erkända över gränserna på den inre marknaden, samtidigt som man garanterar högt dataskydd och makt hos användarna.

4.

Högt dataskydd är oerhört viktigt i system för elektronisk identifiering och betrodda tjänster. När sådana elektroniska system tas fram och används måste personuppgifter behandlas korrekt av tillhandahållarna av de betrodda tjänsterna och utfärdarna av elektroniska identiteter. Detta är särskilt viktigt när de bland annat behandlas för att identifiera och autentisera fysiska (eller juridiska) personer på det mest tillförlitliga sättet.

I.2   Samråd med Europeiska datatillsynsmannen

5.

Innan förslaget antogs fick Europeiska datatillsynsmannen möjlighet att lämna informella synpunkter. Många av dessa har beaktats i förslaget. Säkerheten för skydd av uppgifter har därmed stärkts.

6.

Europeiska datatillsynsmannen välkomnar att han även formellt har rådfrågats av kommissionen i enlighet med artikel 28.2 i förordning (EG) nr 45/2001.

I.3   Förslagets bakgrund

7.

Förslaget grundar sig på artikel 114 i fördraget om Europeiska unionens funktionssätt och fastställer villkor och mekanismer för ömsesidigt erkännande och godtagande av medel för elektronisk identifiering och betrodda tjänster bland medlemsstaterna. I förslaget fastslås framför allt principer för tillhandahållande av identifiering och betrodda elektroniska tjänster, bland annat regler för erkännande och godtagande. I förslaget fastställs också krav på skapande, verifiering, validering, behandling och bevarande av elektroniska signaturer, elektroniska sigill, elektronisk tidsmärkning, elektroniska dokument, tjänster för elektronisk leverans, autentisering av webbplatser och elektroniska certifikat.

8.

Förslaget till förordning innehåller också regler för tillsyn av tillhandahållandet av betrodda tjänster och krav på att medlemsstaterna inrättar tillsynsorgan för det här ändamålet. Tillsynsorganen ska bland annat bedöma om de tekniska och organisatoriska åtgärder som tillhandahållare av elektroniska betrodda tjänster har vidtagit följer gällande regler.

9.

I kapitel II behandlas tjänster för elektronisk identifiering medan kapitel III ägnas åt andra elektroniska betrodda tjänster såsom elektroniska signaturer, sigill, tidsmärkning, dokument, leveranstjänster, certifikat och autentisering av webbplatser. Tjänster för elektronisk identifiering är kopplade till nationella id-kort och kan användas för att komma åt digitala tjänster och framför allt e-förvaltningstjänster. Det betyder att ett organ som utfärdar e-identifiering agerar för en medlemsstats räkning och att den medlemsstaten ansvarar för att korrekt fastställa korrelationen mellan en fysisk person och hans eller hennes sätt att identifiera sig. När det gäller andra elektroniska betrodda tjänster är tillhandahållaren/utfärdaren en fysisk eller juridisk person som ansvarar för att tillhandahålla tjänsterna på ett korrekt och säkert sätt.

I.4   Dataskyddsfrågor som tas upp i förslaget

10.

Personuppgifter är något som alltid måste behandlas vid användning av identifieringssystem och i viss mån även när andra betrodda tjänster tillhandahålls (till exempel vid elektronisk signering). För att kunna fastställa en tillförlitlig koppling mellan de system för elektronisk identifiering och autentisering som används av en fysisk (eller juridisk) person och just den personen, måste personuppgifter behandlas för att säkerställa att personen bakom det elektroniska certifikatet verkligen är den han eller hon hävdar att han eller hon är. Elektroniska identifieringar eller certifikat hänför sig till fysiska personer och innehåller en uppsättning uppgifter som otvetydigt representerar dessa individer. Med andra ord kommer skapandet, verifieringen, valideringen och hanteringen av de elektroniska system som avses i artikel 3.12 i förslaget i många fall att inbegripa behandling av personuppgifter och därför är dataskydd en relevant fråga.

11.

Det är därför viktigt att uppgifter, i samband med att system för elektronisk identifiering eller elektroniska betrodda tjänster tillhandahålls, behandlas i enlighet med EU:s ram för dataskydd och då särskilt de nationella bestämmelser där direktiv 95/46/EG införlivas.

12.

I föreliggande yttrande är Europeiska datatillsynsmannens analys inriktad på tre huvudfrågor:

a)

Hur dataskydd tas upp i förslaget.

b)

Dataskyddsaspekterna av system för elektronisk identifiering, vilka ska erkännas och godtas över gränserna.

c)

Dataskyddsaspekterna av elektroniska betrodda tjänster, vilka ska erkännas och godtas över gränserna.

III.   Slutsatser

50.

Europeiska datatillsynsmannen välkomnar förslaget eftersom det kan bidra till ömsesidigt erkännande (och godtagande) av medel för elektroniska betrodda tjänster och identifiering på europeisk nivå. Han välkomnar även de gemensamma krav som måste uppfyllas av utfärdare av system för elektronisk identifiering och tillhandahållare av betrodda tjänster. Trots hans generella stöd för förslaget vill Europeiska datatillsynsmannen lämna följande allmänna rekommendationer:

—

Bestämmelserna om dataskydd i förslaget bör inte begränsas till tillhandahållare av betrodda tjänster, utan bör också tillämpas vid behandlingen av personuppgifter i de system för elektronisk identifiering som beskrivs i kapitel II i förslaget.

—

I förslaget till förordning bör en gemensam uppsättning säkerhetskrav för tillhandahållare av betrodda tjänster och utfärdare av elektronisk identifiering inrättas. Alternativt kan kommissionen tillåtas att där så behövs definiera, genom selektiv användning av delegerade akter eller genomförandebestämmelser, vilka kriterier, villkor och krav som ska gälla för säkerhet i medel för elektroniska betrodda tjänster och identifiering.

—

Tillhandahållare av elektroniska betrodda tjänster och utfärdare av elektronisk identifiering bör omfattas av krav på att tillhandahålla användarna av deras tjänster: i) lämplig information om insamling, kommunikation och lagring av uppgifter samt ii) hur de kan kontrollera sina personuppgifter och utöva den rätt de har i samband med dataskydd.

—

Europeiska datatillsynsmannen rekommenderar att de bestämmelser som ger kommissionen rätt att specificera eller detaljutforma konkreta bestämmelser efter att den föreslagna förordningen har antagits, genom delegerade akter eller genomförandeakter, införs mer selektivt i förslaget.

51.

Vissa specifika bestämmelser om ömsesidigt erkännande av medel för elektronisk identifiering bör också förbättras:

—

Förslaget till förordning bör innehålla en specificering av vilka uppgifter eller kategorier av uppgifter som kommer att behandlas när enskilda individer ska identifieras över gränserna. En sådan specifikation bör innehålla åtminstone samma detaljnivå som fastställs i bilagorna för andra betrodda tjänster och bör respektera proportionalitetsprincipen.

—

Det skydd som krävs för att tillhandahålla medel för identifiering bör åtminstone följa kraven som gäller för tillhandahållare av kvalificerade betrodda tjänster.

—

I förslaget bör lämpliga mekanismer fastställas för att skapa en ram för interoperabilitet mellan de nationella identifieringssystemen.

52.

Slutligen lämnar Europeiska datatillsynsmannen även följande rekommendationer som avser krav för tillhandahållande och erkännande av elektroniska betrodda tjänster:

—

För alla elektroniska tjänster bör det specificeras om personuppgifter kommer att behandlas och, om så är fallet, vilka uppgifter eller kategorier av uppgifter som kommer att behandlas.

—

Genom förordningen bör också lämpliga åtgärder vidtas för att undvika eventuella överlappningar mellan befogenheterna hos tillsynsorganen för elektroniska betrodda tjänster och dataskyddsmyndigheternas befogenheter.

—

Kraven på tillhandahållare av elektroniska betrodda tjänster avseende databrott och säkerhetsincidenter bör vara förenliga med kraven i det reviderade direktivet om integritet och elektronisk kommunikation och förslaget till dataskyddsförordning.

—

Förtydligande behövs av definitionen av privata eller offentliga organ som kan agera som tredje part med rätt att bedriva den tillsyn som fastställs i artikel 16 och 17 eller som kan verifiera anordningar för skapande av elektroniska signaturer enligt artikel 23, och av kriteriet enligt vilket dessa organs oberoende kommer att bedömas.

—

Förordningen bör också innehålla en tydligare tidsangivelse för lagring av uppgifter som anges i artikel 19.2 och 19.4 (3).

Utfärdat i Bryssel den 27 september 2012.

Giovanni BUTTARELLI

Biträdande Europeisk datatillsynsman

(1)  COM(2012) 238 final.

(2)  KOM(2010) 245, 19.5.2010.

(3)  Enligt artikel 19.2 g måste kvalificerade tillhandahållare av betrodda tjänster under lämplig tidsperiod registrera all relevant information om uppgifter som de har utfärdat eller tagit emot. Enligt artikel 19.4 ska kvalificerade tillhandahållare av betrodda tjänster som utfärdar kvalificerade certifikat informera eventuella beroende parter om giltigheten eller statusen som återkallad hos de kvalificerade certifikat som de har utfärdat.