EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV 1999/93/EF
af 13. december 1999
om en fællesskabsramme for elektroniske signaturer
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR -
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab, særlig artikel 47, stk. 2, artikel 55 og 95,
under henvisning til forslag fra Kommissionen(1),
under henvisning til udtalelse fra Det Økonomiske og Sociale Udvalg(2),
under henvisning til udtalelse fra Regionsudvalget(3),
i henhold til fremgangsmåden i traktatens artikel 251(4), og
ud fra følgende betragtninger:
(1) Kommissionen forelagde den 16. april 1997 Europa-Parlamentet, Rådet, Det Økonomiske og Sociale Udvalg og Regionsudvalget en meddelelse med titlen "Et europæisk initiativ inden for elektronisk handel";
(2) Kommissionen forelagde den 8. oktober 1997 Europa-Parlamentet, Rådet, Det Økonomiske og Sociale Udvalg og Regionsudvalget en meddelelse med titlen "Sikkerhed og tillid i elektronisk kommunikation - Imod europæiske rammer for digitale signaturer og kryptering";
(3) Rådet opfordrede den 1. december 1997 Kommissionen til snarest muligt at forelægge Europa-Parlamentet og Rådet et forslag til direktiv om digitale signaturer;
(4) elektronisk kommunikation og handel nødvendiggør elektroniske signaturer og dertil knyttede tjenesteydelser til autentifikation af data; forskellige regler for retlig anerkendelse af elektroniske signaturer og akkreditering af certificeringstjenesteudbydere i medlemsstaterne kan skabe betydelige hindringer for anvendelse af elektronisk kommunikation og elektronisk handel; en klar fællesskabsramme vedrørende betingelserne for elektroniske signaturer vil derimod styrke tilliden til og den generelle accept af de nye teknologier; medlemsstaternes lovgivning bør ikke udgøre en hindring for den frie bevægelighed for varer og tjenesteydelser i det indre marked;
(5) elektronisk signatur-produkters interoperabilitet bør fremmes; efter traktatens artikel 14 indebærer det indre marked et område med fri bevægelighed for varer; specifikke væsentlige krav til elektronisk signatur-produkter skal opfyldes for at sikre fri bevægelighed på det indre marked og opbygge tilliden til elektroniske signaturer, jf. dog Rådets forordning (EF) nr. 3381/94 af 19. december 1994 om en fællesskabsordning for kontrol med udførsel af varer med dobbelt anvendelse(5) og afgørelse 94/942/FUSP af 19. december 1994 om en fælles aktion vedtaget af Rådet vedrørende kontrol med udførslen af varer med dobbelt anvendelse(6);
(6) dette direktiv harmoniserer ikke levering af tjenesteydelser med hensyn til informationens fortrolige karakter, hvis disse ydelser er omfattet af nationale bestemmelser med "ordre public" eller offentlig sikkerhed;
(7) det indre marked sikrer den fri bevægelighed for personer, hvorfor unionsborgere og andre, der er bosat i EU, i stigende omfang har behov for kontakt med myndigheder i andre medlemsstater end den, hvori de er bosiddende; elektronisk kommunikation vil kunne blive til stor nytte i den forbindelse;
(8) den hastige teknologiske udvikling og Internettets globale karakter nødvendiggør, at den valgte metode er åben for forskellige teknologier og tjenester til elektronisk autentifikation af data;
(9) elektroniske signaturer vil blive anvendt i mange forskellige situationer og i forbindelse med meget forskellige applikationer, hvilket vil resultere i en lang række nye tjenesteydelser og produkter i relation til elektroniske signaturer; definitionen af sådanne produkter og tjenesteydelser bør ikke begrænses til udstedelse og forvaltning af certifikater, men bør også omfatte alle andre tjenesteydelser eller produkter, der anvender eller understøtter elektroniske signaturer, såsom registreringstjenester, tidsstempling, katalogtjenester, databehandlingstjenester eller konsulenttjenester i forbindelse med elektroniske signaturer;
(10) det indre marked giver certificeringstjenesteudbydere mulighed for at udvikle deres aktiviteter hen over grænserne med henblik på at øge deres konkurrenceevne og dermed tilbyde forbrugere og erhvervsliv nye muligheder for sikker elektronisk informationsudveksling og handel uden hensyn til grænser; certificeringstjenesteudbydere bør for at stimulere udbuddet af certificeringstjenesteydelser via åbne net i hele Fællesskabet frit kunne tilbyde deres tjenesteydelser uden forudgående autorisation; ved forudgående autorisation forstås ikke alene enhver tilladelse, hvis udstedelse forudsætter, at de nationale myndigheder træffer en afgørelse, inden certificeringstjenesteudbyderen kan udbyde sine certificeringstjenester, men også enhver anden foranstaltning med samme virkning;
(11) frivillige akkrediteringsordninger, hvis sigte er et tjenesteydelsesudbud på et mere avanceret niveau, kunne være den rette ramme for certificeringstjenesteudbyderne til at udvikle deres tjenester yderligere i retning af det tillids-, sikkerheds- og kvalitetsniveau, som et marked i hastig udvikling kræver; sådanne ordninger bør anspore udviklingen af optimal praksis blandt certificeringstjenesteudbydere; det bør stå certificeringstjenesteudbydere frit for, om de ønsker at tilslutte sig og nyde godt af sådanne ordninger;
(12) certificeringstjenesterne bør kunne udbydes enten af et offentligt organ eller en fysisk eller juridisk person oprettet i overensstemmelse med national ret; medlemsstaterne bør ikke forhindre certificeringstjenesteudbydere i at holde sig uden for sådanne akkrediteringsordninger; det bør sikres, at frivillige akkrediteringsordninger ikke svækker konkurrencen blandt certificeringstjenester;
(13) medlemsstaterne kan selv fastsætte, hvordan de vil sikre overvågningen af overholdelsen af direktivets bestemmelser; dette direktiv er ikke til hinder for indførelsen af overvågningssystemer, der baseres på den private sektor; direktivet forpligter ikke certificeringstjenesteudbyderne til at ansøge om at blive overvåget i henhold til en gældende akkrediteringsordning;
(14) det er vigtigt at finde den rigtige balance mellem forbrugernes og erhvervslivets behov;
(15) bilag III omfatter krav til sikre signaturgenereringssystemer med henblik på at sikre, at avancerede elektroniske signaturer fungerer hensigtsmæssigt; det omfatter ikke det samlede omgivende miljø, som systemerne opererer i; for at det indre marked kan fungere efter hensigten, er det påkrævet, at Kommissionen og medlemsstatene handler hurtigt med henblik på at muliggøre udpegelsen af de organer, der skal foretage overensstemmelsesvurderingen af sikre signatursystemer, jf. bilag III; for at imødekomme markedets behov bør overensstemmelsesvurderingen være rettidig og effektiv;
(16) dette direktiv bidrager til anvendelse og retlig anerkendelse af elektroniske signaturer i Fællesskabet; der er ikke behov for lovfæstede rammeforskrifter for elektroniske signaturer, der udelukkende anvendes inden for systemer, som er baseret på frivillige privatretlige aftaler mellem et afgrænset antal deltagere; parternes frihed til indbyrdes at aftale, på hvilke betingelser de vil acceptere elektronisk signerede data, bør respekteres i det omfang, national ret tillader det; elektroniske signaturer, der anvendes i sådanne systemer, bør ikke nægtes retlig gyldighed og anerkendelse som bevis under retssager;
(17) det er ikke dette direktivs mål at harmonisere national aftaleret, herunder især regler om kontraktindgåelse og -opfyldelse eller andre ikke-aftaleretlige formkrav vedrørende underskrifter: derfor bør bestemmelserne om elektroniske signaturers retsvirkninger ikke bevare formkrav til indgåelse af kontrakter eller regler til bestemmelse af, hvor en kontrakt er indgået, som er fastsat i national ret;
(18) opbevaring og kopiering af signaturgenereringsdata vil kunne udgøre en alvorlig trussel mod elektroniske signaturers juridiske gyldighed;
(19) elektroniske signaturer vil blive anvendt i den offentlige sektor inden for nationale forvaltninger og fællesskabsforvaltninger samt i kommunikationen mellem disse og med borgere og erhvervslivet, for eksempel i forbindelse med offentlige indkøb, beskatning, social sikkerhed, sundheds- og retsvæsenet;
(20) harmoniserede kriterier vedrørende retsvirkningen af elektroniske signaturer vil gøre det muligt at bevare en sammenhængende retlig ramme i hele Fællesskabet; der er i de nationale lovgivninger fastlagt forskellige krav for at anse håndskrevne underskrifter for juridisk gyldige; certifikater kan anvendes til at certificere identiteten af en person, der underskriver elektronisk; avancerede elektroniske signaturer, som er baseret på kvalificerede certifikater, tilsigter at skabe et højt sikkerhedsniveau; avancerede elektroniske signaturer, som er baseret på kvalificerede certifikater, og som er genereret af et sikkert signaturgenereringssystem, kan kun betragtes som retligt ligestillede med håndskrevne underskrifter, hvis kravene til håndskrevne underskifter er opfyldt;
(21) for at bidrage til at gøre elektroniske certificeringsmetoder almindeligt accepteret bør det sikres, at elektroniske signaturer kan anvendes som bevis ved retshandlinger i alle medlemsstater; den retlige anerkendelse af elektroniske signaturer bør hvile på objektive kriterier og ikke afhænge af den berørte certificeringstjenesteudbyders eventuelle akkreditering; fastlæggelsen af de retsområder, hvor der kan anvendes elektroniske dokumenter og elektroniske signaturer, reguleres i national lovgivning; dette direktiv indskrænker ikke nationale domstoles kompetence til at træffe afgørelse om, hvorvidt kravene i dette direktiv er overholdt, og berører ikke nationale bestemmelser om domstolenes fri bevisbedømmelse;
(22) certificeringstjenesteudbydere, der udbyder certificeringstjenester til offentligheden, er underkastet nationale erstatningsansvarsregler;
(23) udviklingen i international elektronisk handel kræver grænseoverskridende ordninger, der involverer tredjelande; for at sikre global interoperabilitet kan det være hensigtsmæssigt at indgå aftaler med tredjelande om multilaterale regler for gensidig anerkendelse af certificeringstjenester;
(24) med henblik på at øge brugernes tillid til elektronisk kommunikation og elektronisk handel skal certificeringstjenesteudbyderne overholde lovgivningen om databeskyttelse og privatlivets fred;
(25) bestemmelserne om brug af pseudonymer i certifikater bør ikke være til hinder for, at medlemsstaterne kan håndhæve krav om identifikation af personer i henhold til Fællesskabets lovgivning eller national lovgivning;
(26) de nødvendige gennemførelsesforanstaltninger til dette direktiv vedtages i overensstemmelse med Rådets afgørelse 1999/468/EF af 28. juni 1999 om fastsættelse af de nærmere vilkår for udøvelsen af de gennemførelsesbeføjelser, der tillægges Kommissionen(7);
(27) Kommissionen bør foretage en vurdering af dette direktiv to år efter dets gennemførelse bl.a. med henblik på at sikre, at hverken den teknologiske udvikling eller juridiske ændringer bliver til hinder for opfyldelsen af målene i dette direktiv; Kommissionen bør undersøge virkningerne af beslægtede tekniske områder og forelægge Europa-Parlamentet og Rådet en rapport herom;
(28) målsætningen om at skabe en harmoniseret retlig ramme for udbud af elektroniske signaturer og beslægtede tjenester kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne og kan derfor i overensstemmelse med subsidiaritets- og proportionalitetsprincipperne som omhandlet i traktatens artikel 5 bedre gennemføres af Fællesskabet; dette direktiv går ikke ud over, hvad der er nødvendigt for at nå dette mål -
UDSTEDT FØLGENDE DIREKTIV:
Artikel 1
Anvendelsesområde
Formålet med dette direktiv er at lette brugen af elektroniske signaturer og bidrage til disses retlige anerkendelse. Det fastlægger en retlig ramme for elektroniske signaturer og visse certificeringstjenester, for at det indre marked kan fungere efter hensigten.
Det omfatter ikke aspekter i forbindelse med kontrakters indgåelse og gyldighed eller andre retlige forpligtelser, som ifølge national ret eller fællesskabsret er undergivet formkrav, og det berører heller ikke de regler og begrænsninger, der efter national ret eller fællesskabsret gælder for anvendelsen af dokumenter.
Artikel 2
Definitioner
I dette direktiv forstås ved:
1) "elektronisk signatur": data i elektronisk form, der er vedhæftet eller logisk tilknyttet andre elektroniske data, og som anvendes som en autentifikationsmetode
2) "avanceret elektronisk signatur": en elektronisk signatur, som opfylder følgende krav:
a) den er entydigt knyttet til underskriveren
b) den kan identificere underskriveren
c) den genereres med midler, som underskriveren kan bevare den fulde kontrol med, og
d) den er knyttet til de data, som den vedrører, på en sådan måde, at en hvilken som helst senere ændring af disse data kan opdages
3) "underskriver": en person, der besidder et signaturgenereringssystem og handler på egne vegne eller på vegne af den fysiske eller juridiske person eller det organ, som vedkommende repræsenterer
4) "signaturgenereringsdata": unikke data, som f.eks. koder eller private krypteringsnøgler, som anvendes af underskriveren til generering af en elektronisk signatur
5) "signaturgenereringssystem": konfigureret software eller hardware til behandling af signaturgenereringsdata
6) "sikkert signaturgenereringssystem": et signaturgenereringssystem, der opfylder kravene i bilag III
7) "signaturverificeringsdata": data, som f.eks. koder eller offentlige krypteringsnøgler, der anvendes til kontrol af den elektroniske signatur
8) "signaturverificeringssystem": konfigureret software eller hardware til behandling af signaturverificeringsdata
9) "certifikat": en elektronisk attestering, som knytter signaturverificeringsdata til en person og bekræfter denne persons identitet
10) "kvalificeret certifikat": et certifikat, som opfylder kravene i bilag I og leveres af en certificeringstjenesteudbyder, som opfylder kravene i bilag II
11) "certificeringstjenesteudbyder": et organ eller en fysisk eller juridisk person, der udsteder certifikater eller leverer andre tjenesteydelser i forbindelse med elektroniske signaturer
12) "elektronisk signatur-produkt": hardware eller software eller relevante komponenter heraf, som er beregnet til at blive brugt af en certificeringstjenesteudbyder til levering af tjenesteydelser i forbindelse med elektronisk signatur eller beregnet til at blive brugt i forbindelse med generering eller verificering af elektroniske signaturer
13) "frivillig akkreditering": enhver tilladelse, der fastsætter rettigheder og forpligtelser, der er særlige for certificeringstjenester, og som efter anmodning fra den pågældende certificeringstjenesteudbyder tildeles denne af det offentlige eller private organ, der har til opgave at udarbejde og føre tilsyn med overholdelsen af sådanne rettigheder og forpligtelser, og hvor certificeringstjenesteudbyderen ikke er berettiget til at udøve de rettigheder, som tilladelsen giver, før denne har modtaget organets afgørelse.
Artikel 3
Markedsadgang
1. Medlemsstaterne må ikke gøre udbud af certificeringstjenesteydelser afhængigt af forudgående autorisation.
2. Med forbehold af stk. 1 kan medlemsstaterne indføre eller opretholde frivillige akkrediteringsordninger med henblik på at højne niveauet for ydelse af certificeringstjenester. Alle vilkår i forbindelse med sådanne ordninger skal være objektive, gennemsigtige, forholdsmæssige og ikke-diskriminerende. Medlemsstaterne kan ikke af årsager, der falder ind under dette direktivs anvendelsesområde, begrænse antallet af akkrediterede certificeringstjenesteudbydere.
3. Medlemsstaterne sikrer, at der indføres et passende system til kontrol af certificeringstjenesteudbydere, der er etableret på deres område, og som udbyder kvalificerede certifikater til offentligheden.
4. Egnede offentlige eller private organer, som udpeges af medlemsstaterne, afgør, om sikre signaturgenereringssystemer opfylder kravene i bilag III. Kommissionen fastlægger efter proceduren i artikel 9 kriterier, ud fra hvilke medlemsstaterne afgør, om et organ er egnet til at blive udpeget.
Medlemsstaterne anerkender de afgørelser, som de organer, der er nævnt i første afsnit, træffer for så vidt angår opfyldelsen af kravene i bilag III.
5. Kommissionen kan efter proceduren i artikel 9 fastsætte og i De Europæiske Fællesskabers Tidende offentliggøre referencenumre på almindeligt anerkendte standarder for elektroniske signatur-produkter. Medlemsstaterne formoder, at et elektronisk signatur-produkt overholder kravene i bilag II, litra f), og bilag III, hvis det overholder sådanne standarder.
6. Medlemsstaterne og Kommissionen samarbejder med henblik på at fremme udviklingen og brugen af signaturverificeringssystemer på baggrund af anbefalingerne vedrørende signaturverificering i bilag IV og under hensyn til forbrugernes interesser.
7. Medlemsstaterne kan gøre anvendelse af elektroniske signaturer i den offentlige sektor afhængig af opfyldelsen af eventuelle supplerende krav. Sådanne krav skal være objektive, gennemsigtige, forholdsmæssige og ikke-diskriminerende, og må kun være affødt af den pågældende anvendelses særlige karakter. Kravene må ikke hindre grænseoverskridende tjenesteydelser til borgerne.
Artikel 4
Principper vedrørende det indre marked
1. Medlemsstaterne anvender de nationale bestemmelser, som de vedtager i henhold til dette direktiv, på certificeringstjenesteudbydere, der er etableret på deres område, og på disses tjenesteydelser. Medlemsstaterne kan ikke på områder, der er omfattet af dette direktiv, pålægge ydelse af certificeringstjenester med oprindelse i en anden medlemsstat begrænsninger.
2. Medlemsstaterne sikrer fri bevægelighed inden for det indre marked for elektroniske signatur-produkter, der overholder bestemmelserne i dette direktiv.
Artikel 5
Retsvirkninger af elektroniske signaturer
1. Medlemsstaterne sikrer, at avancerede elektroniske signaturer, der er baseret på et kvalificeret certifikat, og som er genereret af et sikkert signaturgenereringssystem,
a) opfylder retskravene til en signatur i forbindelse med data i elektronisk form, på samme måde som en håndskreven underskrift opfylder disse krav i forbindelse med papirbaserede data, og
b) kan godtages som bevismateriale under retssager.
2. Medlemsstaterne sikrer, at en elektronisk signatur ikke nægtes retlig gyldighed og anerkendelse som bevis under retssager alene af den grund, at den
- er i elektronisk form, eller
- ikke er baseret på et kvalificeret certifikat, eller
- ikke er baseret på et kvalificeret certifikat udstedt af en akkrediteret certificeringstjenesteudbyder, eller
- ikke er genereret af et sikkert signaturgenereringssystem.
Artikel 6
Erstatningsansvar
1. Medlemsstaterne sikrer som et minimum, at en certificeringstjenesteudbyder, der udsteder et certifikat som kvalificeret certifikat til offentligheden, eller som garanterer et sådant certifikat over for offentligheden, ifalder erstatningsansvar for tab, der påføres ethvert organ eller enhver fysisk eller juridisk person, som med rimelighed forlader sig på certifikatet for så vidt angår:
a) korrektheden af alle oplysningerne i det kvalificerede certifikat på udstedelsestidspunktet og certifikatets indhold af alle de for et kvalificeret certifikat foreskrevne angivelser
b) sikkerhed for, at den i det kvalificerede certifikat identificerede underskriver på udstedelsestidspunktet var i besiddelse af de signaturgenereringsdata, der svarer til de i certifikatet indeholdte eller omhandlede signaturverificeringsdata
c) sikkerhed for, at signaturgenererings- og signaturverificeringsdataene kan anvendes komplementært med hinanden i de tilfælde, hvor det er certificeringstjenesteudbyderen, der genererer begge datasæt,
medmindre certificeringstjenesteudbyderen kan bevise, at han ikke har handlet uagtsomt.
2. Medlemsstaterne sikrer som et minimum, at en certificeringstjenesteudbyder, der har udstedt et certifikat som et kvalificeret certifikat til offentligheden, er erstatningsansvarlig for tab, der påføres ethvert organ eller enhver fysisk eller juridisk person, som med rimelighed forlader sig på certifikatet, for så vidt angår manglende registrering af tilbagekaldelse af certifikatet, medmindre certificeringstjenesteudbyderen kan bevise, at han ikke har handlet uagtsomt.
3. Medlemsstaterne sikrer, at en certificeringstjenesteudbyder i et kvalificeret certifikat kan anføre begrænsninger i dette certifikats anvendelsesområde, idet disse begrænsninger skal være tydelige for tredjeparter. Certificeringstjenesteudbyderen hæfter ikke for tab, der skyldes brug af et kvalificeret certifikat, som overskrider begrænsningerne i dets anvendelsesområde.
4. Medlemsstaterne sikrer, at certificeringstjenesteudbyderen i et kvalificeret certifikat kan sætte en beløbsgrænse for de transaktioner, som certifikatet kan anvendes til, og at denne beløbsgrænse er tydelig for tredjeparter.
Certificeringstjenesteudbyderen hæfter ikke for tab, der skyldes en overskridelse af denne beløbsgrænse.
5. Stk. 1-4 berører ikke Rådets direktiv 93/13/EØF af 5. april 1993 om urimelige kontraktvilkår i forbrugeraftaler(8).
Artikel 7
Internationale aspekter
1. Medlemsstaterne sikrer, at certifikater, der er udstedt som kvalificerede certifikater til offentligheden af en certificeringstjenesteudbyder, der er etableret i et tredjeland, anses for at være retligt ligestillede med certifikater, der er udstedt af en certificeringstjenesteudbyder, der er etableret inden for Fællesskabet:
a) hvis certificeringstjenesteudbyderen opfylder kravene i dette direktiv og er akkrediteret under en frivillig akkrediteringsordning i en medlemsstat, eller
b) hvis en certificeringstjenesteudbyder, der er etableret inden for Fællesskabet, og som opfylder kravene i dette direktiv, garanterer certifikatet, eller
c) hvis certifikatet eller certificeringstjenesteudbyderen er anerkendt i henhold til en bilateral eller multilateral aftale mellem Fællesskabet og tredjelande eller internationale organisationer.
2. For at lette grænseoverskridende certificeringstjenester med tredjelande og retlig anerkendelse af avancerede elektroniske signaturer med oprindelse i tredjelande fremsætter Kommissionen i givet fald forslag med henblik på den faktiske implementering af standarder og internationale aftaler om certificeringstjenester. Kommissionen forelægger, hvis det er nødvendigt, Rådet forslag til passende mandater til forhandling af bilaterale og multilaterale aftaler med tredjelande og internationale organisationer. Rådet træffer afgørelse med kvalificeret flertal.
3. Når Kommissionen underrettes om vanskeligheder, som EF-virksomheder støder på ved markedsføringen i tredjelande, kan den om nødvendigt forelægge forslag til Rådet til et passende mandat med henblik på forhandling af tilsvarende rettigheder for EF-virksomheder i disse tredjelande. Rådet træffer afgørelse med kvalificeret flertal.
Foranstaltninger, der træffes i henhold til dette stykke, berører ikke Fællesskabets og medlemsstaternes forpligtelser i henhold til relevante internationale aftaler.
Artikel 8
Databeskyttelse
1. Medlemsstaterne sikrer, at certificeringstjenesteudbyderne og de nationale akkrediterings- og tilsynsorganer opfylder kravene i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(9).
2. Medlemsstaterne sikrer, at den certificeringstjenesteudbyder, der udsteder certifikatet til offentligheden, kun har tilladelse til at opnå persondata direkte fra den registrerede eller med den registreredes udtrykkelige tilladelse og kun i det omfang, det er nødvendigt for udstedelsen eller opretholdelsen af et certifikat. Data må ikke indsamles eller behandles til noget andet formål uden den registreredes udtrykkelige samtykke.
3. Uden at den retsvirkning, der tillægges pseudonymer i henhold til den nationale lovgivning dermed foregribes, må medlemsstaterne ikke forhindre, at certificeringstjenesteudbyderen på certifikatet anfører et pseudonym i stedet for underskriverens navn.
Artikel 9
Udvalg
1. Kommissionen bistås af et elektronisk signatur-udvalg, i det følgende benævnt "udvalget".
2. Når der henvises til dette stykke, anvendes artikel 4 og 7 i afgørelse 1999/468/EF under overholdelse af bestemmelserne i afgørelsens artikel 8.
Den frist, der er omhandlet i artikel 4, stk. 3, i afgørelse 1999/468/EF, fastsættes til tre måneder.
3. Udvalget vedtager selv sin forretningsorden.
Artikel 10
Udvalgets hverv
Udvalget skal efter proceduren i artikel 9, stk. 2, præcisere de krav, der er fastlagt i bilagene, de kriterier, som er omhandlet i artikel 3, stk. 4, samt de alment anerkendte standarder for elektroniske signatur-produkter, der er indført og offentliggjort i henhold til artikel 3, stk. 5.
Artikel 11
Meddelelse
1. Medlemsstaterne meddeler Kommissionen og de øvrige medlemsstater følgende:
a) oplysninger om frivillige nationale akkrediteringsordninger, herunder alle supplerende krav i henhold til artikel 3, stk. 7
b) navn og adresse på nationale akkrediterings- og tilsynsorganer og på de organer, som er omhandlet i artikel 3, stk. 4
c) navn og adresse på alle akkrediterede nationale certificeringstjenesteudbydere.
2. Medlemsstaterne meddeler alle oplysninger i henhold til stk. 1 samt ændringer heraf så hurtigt som muligt.
Artikel 12
Revision
1. Kommissionen foretager en vurdering af, hvordan dette direktiv fungerer, og aflægger rapport herom til Europa-Parlamentet og Rådet senest den 19. juli 2003.
2. I vurderingen tages der bl.a. stilling til, om direktivets anvendelsesområde bør ændres under hensyn til den teknologiske, markedsmæssige og retlige udvikling. Rapporten skal på grundlag af de indhøstede erfaringer navnlig omfatte en bedømmelse af harmoniseringsaspekterne. Rapporten ledsages om fornødent af forslag til retsforskrifter.
Artikel 13
Gennemførelse
1. Medlemsstaterne sætter de nødvendige love og administrative bestemmelser i kraft for at efterkomme dette direktiv inden den 19. juli 2001. De underretter straks Kommissionen herom.
Disse love og administrative bestemmelser skal ved vedtagelsen indeholde en henvisning til dette direktiv eller skal ved offentliggørelsen ledsages af en sådan henvisning. De nærmere regler for henvisningen fastlægges af medlemsstaterne.
2. Medlemsstaterne meddeler Kommissionen de væsentligste nationale retsforskrifter, som de udsteder på det område, der er omfattet af dette direktiv.
Artikel 14
Ikrafttræden
Dette direktiv træder i kraft på dagen for offentliggørelsen i De Europæiske Fællesskabers Tidende.
Artikel 15
Adressater
Dette direktiv er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 13. december 1999.
EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI 1999/93/EY,
annettu 13 päivänä joulukuuta 1999,
sähköisiä allekirjoituksia koskevista yhteisön puitteista
EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka
ottavat huomioon Euroopan yhteisön perustamissopimuksen ja erityisesti sen 47 artiklan 2 kohdan, 55 artiklan ja 95 artiklan,
ottavat huomioon komission ehdotuksen(1),
ottavat huomioon talous- ja sosiaalikomitean lausunnon(2),
ottavat huomioon alueiden komitean lausunnon(3),
noudattavat perustamissopimuksen 251 artiklassa määrättyä menettelyä(4),
sekä katsovat seuraavaa:
1) Komissio antoi 16 päivänä huhtikuuta 1997 Euroopan parlamentille, neuvostolle, talous- ja sosiaalikomitealle ja alueiden komitealle tiedonannon otsikolla Eurooppalainen elektronisen kaupankäynnin aloite.
2) Komissio antoi 8 päivänä lokakuuta 1997 Euroopan parlamentille, neuvostolle, talous- ja sosiaalikomitealle ja alueiden komitealle tiedonannon otsikolla Tietoturvan ja luottamuksen varmistaminen sähköisessä viestinnässä - Digitaalisia allekirjoituksia ja viestien salausta koskeva Eurooppalainen malli.
3) Neuvosto kehotti 1 päivänä joulukuuta 1997 komissiota antamaan mahdollisimman pian ehdotuksen Euroopan parlamentin ja neuvoston direktiiviksi digitaalisista allekirjoituksista.
4) Sähköisessä viestinnässä ja kaupankäynnissä tarvitaan sähköisiä allekirjoituksia ja niihin liittyviä, tiedon todentamisen mahdollistavia palveluja. Jäsenvaltioiden väliset erot sähköisten allekirjoitusten oikeudellista tunnustamista ja varmennepalvelujen tarjoajien akkreditointia koskevissa säännöissä saattavat haitata huomattavasti sähköistä viestintää ja kaupankäyntiä. Toisaalta selkeät sähköisiin allekirjoituksiin sovellettavia ehtoja koskevat yhteisön puitteet vahvistavat luottamusta uusiin teknologioihin ja lisäävät niiden yleistä hyväksyntää. Jäsenvaltioiden lainsäädäntö ei saisi estää tavaroiden ja palvelujen vapaata liikkuvuutta sisämarkkinoilla.
5) Sähköisiin allekirjoituksiin liittyvien tuotteiden yhteentoimivuutta olisi edistettävä. Perustamissopimuksen 14 artiklan mukaan sisämarkkinat käsittävät alueen, jolla ei ole sisäisiä rajoja ja jolla tavaroiden vapaa liikkuvuus taataan. Sähköisiin allekirjoituksiin liittyville tuotteille asetettuja keskeisiä erityisvaatimuksia on noudatettava vapaan liikkuvuuden varmistamiseksi sisämarkkinoilla ja luottamuksen lisäämiseksi sähköisiin allekirjoituksiin, sanotun kuitenkaan rajoittamatta kaksikäyttötuotteiden vientiä koskevan yhteisön valvontajärjestelmän käyttöön ottamisesta 19 päivänä joulukuuta 1994 annetun neuvoston asetuksen (EY) N:o 3381/94(5) ja kaksikäyttötuotteiden viennin valvontaa koskevasta yhteisestä toiminnasta 19 päivänä joulukuuta 1994 tehdyn neuvoston päätöksen 94/942/YUTP(6) soveltamista.
6) Tällä direktiivillä ei yhdenmukaisteta tiedon luottamuksellisuutta koskevien palvelujen tarjoamista sikäli kuin kyseisiin palveluihin sovelletaan yleistä järjestystä tai yleistä turvallisuutta koskevia kansallisia säännöksiä.
7) Sisämarkkinat takaavat henkilöiden vapaan liikkuvuuden, ja sen johdosta Euroopan unionin kansalaiset ja asukkaat joutuvat yhä useammin kääntymään muiden jäsenvaltioiden kuin asuinvaltionsa viranomaisten puoleen. Mahdollisuus käyttää sähköistä viestintää voisi olla suureksi avuksi tässä suhteessa.
8) Internetin nopea tekninen kehitys ja maailmanlaajuisuus edellyttävät lähestymistapaa, joka on avoin erilaisille sähköisille tiedon todentamistekniikoille ja -palveluille.
9) Sähköisiä allekirjoituksia käytetään useissa eri tilanteissa ja sovelluksissa, mistä on seurauksena suuri määrä erilaisia uusia palveluja ja tuotteita, jotka liittyvät sähköisiin allekirjoituksiin tai joissa käytetään sähköisiä allekirjoituksia. Tällaisten palvelujen ja tuotteiden määritelmä ei saisi rajoittua varmenteiden myöntämiseen ja hallinnointiin, vaan siihen olisi kuuluttava myös muut palvelut ja tuotteet, joissa käytetään sähköisiä allekirjoituksia tai jotka liittyvät niihin, kuten rekisteröintipalvelut, aikaleimapalvelut, hakemistopalvelut, laskentapalvelut ja sähköisiin allekirjoituksiin liittyvät neuvontapalvelut.
10) Sisämarkkinat antavat varmennepalvelujen tarjoajille mahdollisuuden kehittää valtioiden rajat ylittäviä toimintojaan kilpailukykynsä lisäämiseksi ja siten tarjota kuluttajille ja yrityksille uusia mahdollisuuksia turvalliseen tiedonvaihtoon ja sähköiseen kaupankäyntiin rajoista riippumatta. Avoimissa verkoissa tapahtuvan yhteisön laajuisen varmennepalvelujen tarjonnan edistämiseksi varmennepalvelujen tarjoajien olisi voitava vapaasti tarjota palvelujaan ilman ennakkovaltuutusta. Ennakkovaltuutuksella ei tarkoiteta ainoastaan lupaa, joka edellyttää, että kyseisen varmennepalvelujen tarjoajan on saatava kansallisilta viranomaisilta päätös ennen varmennepalvelujensa tarjoamisen aloittamista, vaan myös muita vastaavia toimenpiteitä.
11) Vapaaehtoisuuteen perustuvat akkreditointijärjestelmät, joilla pyritään parempaan palvelujen tarjontaan, voivat antaa varmennepalvelujen tarjoajille tarkoituksenmukaiset puitteet kehittää palvelujaan kehittyvien markkinoiden edellyttämän luottamuksen, turvallisuuden ja laadun saavuttamiseksi. Tällaisten järjestelmien olisi rohkaistava parhaiden käytäntöjen kehittämistä varmennepalvelujen tarjoajien keskuudessa. Varmennepalvelujen tarjoajien olisi voitava vapaasti liittyä tällaisiin akkreditointijärjestelmiin ja saada niiden tarjoamat edut hyväkseen.
12) Varmennepalveluja voi tarjota kansallisen lainsäädännön mukainen julkinen yhteisö taikka oikeushenkilö tai luonnollinen henkilö. Jäsenvaltioiden ei tulisi kieltää varmennepalvelujen tarjoajia toimimasta vapaaehtoisten akkreditointijärjestelmien ulkopuolella. Olisi varmistettava, että tällaiset akkreditointijärjestelmät eivät vähennä kilpailua varmennepalvelujen alalla.
13) Jäsenvaltiot voivat päättää tavasta, jolla ne varmistavat tässä direktiivissä annettujen säännösten noudattamisen valvonnan. Tällä direktiivillä ei estetä yksityisellä sektorilla syntyvien valvontajärjestelmien perustamista. Tässä direktiivissä ei velvoiteta varmennepalvelujen tarjoajia pyytämään, että heitä valvottaisiin jonkin soveltuvan akkreditointijärjestelmän mukaisesti.
14) On tärkeätä löytää tasapaino kuluttajien ja yritysten tarpeiden välillä.
15) Liite III sisältää turvallisia allekirjoituksen luomismenetelmiä koskevat vaatimukset kehittyneiden sähköisten allekirjoitusten toimivuuden varmistamiseksi. Se ei koske koko järjestelmäympäristöä, jossa kyseiset menetelmät toimivat. Sisämarkkinoiden toiminta edellyttää, että komissio ja jäsenvaltiot toimivat pikaisesti, jotta liitteen III mukaisten turvallisten allekirjoituksen luomismenetelmien vaatimustenmukaisuuden arvioinnista vastaavat laitokset voidaan nimetä. Markkinoiden tarpeiden huomioon ottamiseksi vaatimustenmukaisuuden arvioinnin on oltava oikea-aikaista ja tehokasta.
16) Tällä direktiivillä edistetään sähköisten allekirjoitusten käyttöä ja oikeudellista tunnustamista yhteisössä. Sääntelypuitteita ei tarvita yksinomaan sellaisissa vapaaehtoisiin yksityisoikeudellisiin sopimuksiin perustuvissa järjestelmissä käytettäviä sähköisiä allekirjoituksia varten, joiden osanottajamäärä on määritelty. Osapuolten vapautta sopia keskenään niistä ehdoista ja edellytyksistä, joilla ne hyväksyvät sähköisesti allekirjoitetun tiedon, olisi kunnioitettava kansallisen lainsäädännön sallimissa rajoissa. Olisi tunnustettava tällaisissa järjestelmissä käytettävien sähköisten allekirjoitusten oikeudelliset vaikutukset ja mahdollisuus käyttää niitä todisteina oikeudellisissa menettelyissä.
17) Tämän direktiivin tarkoituksena ei ole yhdenmukaistaa sopimusoikeutta koskevia kansallisia sääntöjä, erityisesti sopimusten tekemistä ja täyttämistä taikka muita sopimuksiin perustumattomia allekirjoituksia koskevia muotomääräyksiä. Tämän vuoksi sähköisten allekirjoitusten oikeudellista vaikutusta koskevat säännökset eivät saisi rajoittaa kansallisessa lainsäädännössä sopimusten tekemiselle asetettuja muotovaatimuksia eikä sääntöjä, joissa määritellään sopimuksen tekopaikka.
18) Allekirjoituksen luomiseen käytettävien tietojen tallentaminen ja kopiointi saattaa vaarantaa sähköisten allekirjoitusten oikeudellisen pätevyyden.
19) Sähköisiä allekirjoituksia käytetään julkisella sektorilla kansallisessa ja yhteisön hallinnossa sekä kyseisten hallintojen keskinäisessä sekä kansalaisten ja taloudellisten toimijoiden kanssa tapahtuvassa viestinnässä, esimerkiksi julkisiin hankintoihin, verotukseen, sosiaaliturvaan, terveydenhuoltoon ja oikeushallintoon liittyvässä viestinnässä.
20) Sähköisten allekirjoitusten oikeusvaikutuksiin liittyvillä yhdenmukaistetuilla perusteilla säilytetään yhtenäiset oikeudelliset puitteet koko yhteisössä. Kansallisessa lainsäädännössä on toisistaan poikkeavia vaatimuksia käsin kirjoitettujen allekirjoitusten oikeudelliselle pätevyydelle. Varmenteita voidaan käyttää sähköisen allekirjoituksen suorittavan henkilön henkilöllisyyden varmentamiseen. Hyväksyttyihin varmenteihin perustuvilla kehittyneillä sähköisillä allekirjoituksilla pyritään saavuttamaan korkeampi turvallisuustaso. Hyväksyttyyn varmenteeseen perustuvia turvallisella allekirjoituksen luomismenetelmällä luotuja kehittyneitä sähköisiä allekirjoituksia voidaan pitää käsin kirjoitettujen allekirjoitusten kanssa oikeudellisesti samanarvoisina ainoastaan, jos käsin kirjoitetuille allekirjoituksille asetetut vaatimukset täyttyvät.
21) Sähköisten todentamismenetelmien yleisen hyväksynnän edistämiseksi on varmistettava, että sähköisiä allekirjoituksia voidaan käyttää todisteena oikeudellisissa menettelyissä kaikissa jäsenvaltioissa. Sähköisten allekirjoitusten oikeudellisen tunnustamisen olisi perustuttava objektiivisiin arviointiperusteisiin eikä oltava sidoksissa siihen, onko palvelun tarjoaja saanut valtuutuksen. Oikeudenalat, joilla sähköisiä asiakirjoja ja sähköisiä allekirjoituksia voidaan käyttää, vahvistetaan kansallisessa lainsäädännössä. Tämä direktiivi ei rajoita kansallisten tuomioistuinten toimivaltaa tehdä päätös direktiivin vaatimusten täyttymisestä eikä se vaikuta kansallisiin sääntöihin, jotka koskevat tuomioistuimessa suoritettavaa vapaata todistusharkintaa.
22) Yleisölle suunnattuja varmennepalveluja tarjoavat varmennepalvelujen tarjoajat kuuluvat kansallisten vastuusääntöjen piiriin.
23) Kansainvälisen sähköisen kaupankäynnin kehittyminen edellyttää rajat ylittäviä järjestelyjä, joissa on mukana myös yhteisön ulkopuolisia maita. Maailmanlaajuisen yhteensopivuuden takaamiseksi voisi olla hyödyllistä tehdä yhteisön ulkopuolisten maiden kanssa sopimuksia varmennepalvelujen keskinäistä tunnustamista koskevista monenvälisistä säännöistä.
24) Lisätäkseen käyttäjien luottamusta sähköiseen viestintään ja kaupankäyntiin varmennepalvelujen tarjoajien on noudatettava tietoturvalainsäädäntöä ja kunnioitettava yksityisyyden suojaa.
25) Salanimien käytön sallimisen varmenteissa ei tulisi estää jäsenvaltioita edellyttämästä henkilöiden tunnistamista yhteisön tai kansallisen lainsäädännön mukaisesti.
26) Tämän direktiivin täytäntöönpanemiseksi tarvittavat toimenpiteet on hyväksyttävä menettelystä komissiolle siirrettyä täytäntöönpanovaltaa käytettäessä 28 päivänä kesäkuuta 1999 tehdyn neuvoston päätöksen 1999/468/EY(7) 2 artiklan mukaisesti.
27) Komissio tarkastelee tätä direktiiviä kaksi vuotta sen voimaantulon jälkeen muun ohessa varmistaakseen, etteivät tekninen kehitys tai lainsäädännössä tapahtuneet muutokset ole muodostuneet esteeksi direktiivissä vahvistettujen tavoitteiden saavuttamiselle. Komission olisi tutkittava asiaan liittyvien tekniikan alojen vaikutuksia sekä toimitettava Euroopan parlamentille ja neuvostolle tätä kysymystä koskeva kertomus.
28) Perustamissopimuksen 5 artiklassa esitettyjen toissijaisuusperiaatteen ja suhteellisuusperiaatteen mukaisesti jäsenvaltiot eivät voi riittävällä tavalla toteuttaa asetettua tavoitetta eli sähköisten allekirjoitusten tarjontaa ja siihen liittyviä palveluja koskevien yhdenmukaisten oikeudellisten puitteiden luomista, ja se voidaan sen vuoksi toteuttaa paremmin yhteisön tasolla. Tässä direktiivissä ei ylitetä sitä, mikä on tarpeen tämän tavoitteen saavuttamiseksi,
OVAT ANTANEET TÄMÄN DIREKTIIVIN:
1 artikla
Soveltamisala
Tämän direktiivin tarkoituksena on helpottaa sähköisten allekirjoitusten käyttöä ja edistää osaltaan niiden oikeudellista tunnustamista. Sillä vahvistetaan oikeudelliset puitteet sähköisille allekirjoituksille ja tietyille varmennepalveluille sisämarkkinoiden moitteettoman toiminnan varmistamiseksi.
Se ei koske sopimusten tekemiseen ja pätevyyteen liittyviä kysymyksiä eikä muita oikeudellisia velvoitteita, joihin liittyy kansallisessa lainsäädännössä tai yhteisön oikeudessa säädettyjä muotovaatimuksia eikä se vaikuta asiakirjojen käyttöä koskeviin kansallisen tai yhteisön oikeuden sääntöihin ja rajoituksiin.
2 artikla
Määritelmät
Tässä direktiivissä tarkoitetaan:
1) "sähköisellä allekirjoituksella" sähköisessä muodossa olevaa tietoa, joka on liitetty tai joka loogisesti liittyy muuhun sähköiseen tietoon ja jota käytetään todentamisen välineenä;
2) "kehittyneellä sähköisellä allekirjoituksella" sähköistä allekirjoitusta, joka täyttää seuraavat vaatimukset:
a) se liittyy yksiselitteisesti sen allekirjoittajaan;
b) sillä voidaan yksilöidä allekirjoittaja;
c) se on luotu keinoilla, jotka allekirjoittaja voi pitää yksinomaisessa valvonnassaan; ja
d) se on liitetty sen kohteena olevaan tietoon siten, että tiedon mahdollinen myöhempi muuttaminen voidaan havaita,
3) "allekirjoittajalla" henkilöä, jolla on hallussaan allekirjoituksen luomismenetelmä ja joka toimii joko itsensä tai edustamansa luonnollisen henkilön tai oikeushenkilön taikka yhteisön puolesta,
4) "allekirjoituksen luomiseen käytettävillä tiedoilla" ainutlaatuista tietokokonaisuutta, esimerkiksi koodeja tai yksityisiä salausavaimia, joita allekirjoittaja käyttää luodakseen sähköisen allekirjoituksen,
5) "allekirjoituksen luomismenetelmällä" asetuksin varustettua ohjelmistoa tai laitteistoa allekirjoituksen luomiseen käytettävien tietojen toteuttamiseksi,
6) "turvallisella allekirjoituksen luomismenetelmällä" allekirjoituksen luomismenetelmää, joka täyttää liitteessä III vahvistetut vaatimukset,
7) "allekirjoituksen todentamiseen käytettävillä tiedoilla" tietokokonaisuutta, esimerkiksi koodeja tai julkisia salausavaimia, joita käytetään sähköisen allekirjoituksen todentamiseen,
8) "allekirjoituksen todentamismenetelmällä" asetuksin varustettua ohjelmistoa tai laitteistoa allekirjoituksen todentamiseen käytettävien tietojen toteuttamiseksi,
9) "varmenteella" sähköistä todistusta, joka liittää allekirjoituksen todentamiseen käytettävät tiedot henkilöön, ja vahvistaa kyseisen henkilön henkilöllisyyden,
10) "hyväksytyllä varmenteella" varmennetta, joka täyttää liitteessä I vahvistetut vaatimukset ja jonka liitteessä II vahvistetut vaatimukset täyttävä varmennepalvelujen tarjoaja myöntää,
11) "varmennepalvelujen tarjoajalla" yhteisöä taikka oikeushenkilöä tai luonnollista henkilöä, joka myöntää varmenteita tai tarjoaa muita sähköisiin allekirjoituksiin liittyviä palveluja,
12) "sähköisiin allekirjoituksiin liittyvällä tuotteella" laitteistoja tai ohjelmistoja tai niiden merkityksellisiä osia, jotka on tarkoitettu varmennepalvelujen tarjoajan käyttöön tämän tarjotessa sähköisiä allekirjoituspalveluja tai käytettäväksi sähköisten allekirjoitusten luomiseen tai todentamiseen,
13) "vapaaehtoisuuteen perustuvalla akkreditoinnilla" lupaa, jossa määritellään varmennepalvelujen tarjoamiseen liittyvät oikeudet ja velvollisuudet, ja jonka kyseisten oikeuksien ja velvollisuuksien määrittelystä ja niiden noudattamisen valvonnasta vastuussa oleva julkinen tai yksityinen laitos myöntää kyseisen varmennepalvelujen tarjoajan pyynnöstä, ja jonka mukaan varmennepalvelujen tarjoajalla ei ole oikeutta harjoittaa luvasta johtuvia oikeuksia ennen kuin se on saanut kyseisen laitoksen päätöksen;
3 artikla
Markkinoille pääsy
1. Jäsenvaltiot eivät saa tehdä varmennepalvelujen tarjoamisesta ennakkovaltuutuksen varaista.
2. Rajoittamatta 1 kohdan säännösten soveltamista jäsenvaltiot voivat ottaa käyttöön tai ylläpitää vapaaehtoisuuteen perustuvia akkreditointijärjestelmiä parantaakseen varmennepalvelujen tarjonnan laatua. Kaikkien tällaisiin järjestelmiin liittyvien ehtojen on oltava objektiivisia, avoimia, suhteellisia ja syrjimättömiä. Jäsenvaltiot eivät tämän direktiivin soveltamisalaan kuuluvien syiden perusteella saa rajoittaa akkreditoitujen varmennepalvelujen tarjoajien määrää.
3. Kunkin jäsenvaltion on varmistettava sellaisen asianmukaisen järjestelmän käyttöönotto, jonka avulla voidaan valvoa sen alueelle asettautuneita, hyväksyttyjä varmenteita yleisölle myöntäviä varmennepalvelujen tarjoajia.
4. Jäsenvaltioiden nimeämät asianmukaiset julkiset tai yksityiset laitokset määrittelevät, ovatko turvalliset allekirjoituksen luomismenetelmät liitteessä III vahvistettujen vaatimusten mukaisia. Komissio vahvistaa 9 artiklassa säädettyä menettelyä noudattaen perusteet, joiden mukaan jäsenvaltiot määrittelevät, onko laitos nimettävä.
Kaikkien jäsenvaltioiden on tunnustettava ensimmäisessä alakohdassa tarkoitettujen laitosten suorittama, liitteessä III vahvistettujen vaatimusten täyttyminen määrittely.
5. Komissio voi 9 artiklassa säädetyn menettelyn mukaisesti vahvistaa ja julkaista sähköisiin allekirjoituksiin liittyviä tuotteita koskevien yleisesti tunnustettujen standardien viitenumeroita Euroopan yhteisöjen virallisessa lehdessä. Jäsenvaltioiden on oletettava sähköisiin allekirjoituksiin liittyvän tuotteen täyttävän liitteessä II olevassa f kohdassa ja liitteessä III vahvistetut vaatimukset, jos tuote on kyseisten standardien mukainen.
6. Jäsenvaltiot ja komissio toimivat yhteistyössä edistääkseen allekirjoituksen todentamismenetelmien kehittämistä ja käyttöä liitteessä IV olevien turvallista allekirjoitusten todentamista koskevat suositukset ja kuluttajien edut huomioon ottaen.
7. Jäsenvaltiot voivat asettaa mahdollisia lisävaatimuksia sähköisten allekirjoitusten käytölle julkisella sektorilla. Tällaisten vaatimusten on oltava objektiivisia, avoimia, suhteellisia ja syrjimättömiä, ja ne saavat liittyä vain kyseessä olevan sovelluksen erityispiirteisiin. Kyseiset vaatimukset eivät saa estää kansalaisille tarjottavaa rajat ylittäviä palveluja.
4 artikla
Sisämarkkinaperiaatteet
1. Kunkin jäsenvaltion on sovellettava tämän direktiivin nojalla antamiaan kansallisia säännöksiä alueelleen sijoittautuneisiin varmennepalvelujen tarjoajiin ja niiden tarjoamiin palveluihin. Jäsenvaltiot eivät saa rajoittaa toisesta jäsenvaltiosta peräisin olevien varmennepalvelujen tarjontaa tämän direktiivin soveltamisalaan kuuluvilla aloilla.
2. Jäsenvaltioiden on varmistettava, että tämän direktiivin mukaiset sähköisiin allekirjoituksiin liittyvät tuotteet saavat liikkua vapaasti sisämarkkinoilla.
5 artikla
Sähköisten allekirjoitusten oikeusvaikutukset
1. Jäsenvaltioiden on varmistettava, että sellaiset kehittyneet sähköiset allekirjoitukset, jotka perustuvat hyväksyttyyn varmenteeseen ja jotka on luotu turvallisella allekirjoituksen luomismenetelmällä
a) täyttävät sähköisessä muodossa olevan tiedon osalta allekirjoitukselle asetettavat oikeudelliset edellytykset samalla tavoin kuin käsin kirjoitettu allekirjoitus täyttää kyseiset vaatimukset paperilla olevan tiedon osalta; ja että
b) ne kelpaavat todisteeksi oikeudellisissa menettelyissä.
2. Jäsenvaltioiden on varmistettava, että sähköiseltä allekirjoitukselta ei evätä oikeudellista vaikutusta ja hyväksyttävyyttä todisteena oikeudellisissa menettelyissä yksinomaan sen vuoksi, että
- allekirjoitus on sähköisessä muodossa, tai
- se ei perustu hyväksyttyyn varmenteeseen, tai
- se ei perustu akkreditoidun varmennepalvelujen tarjoajan myöntämään hyväksyttyyn varmenteeseen, taikka
- sitä ei ole luotu turvallisella allekirjoituksen luomismenetelmällä.
6 artikla
Vastuu
1. Jäsenvaltioiden on varmistettava ainakin se, että myöntämällä yleisölle varmenteita hyväksyttyinä varmenteina tai takaamalla yleisölle varmenteen varmennepalvelun tarjoaja on vastuussa varmenteeseen perustellulla tavalla tukeutuvalle yhteisölle taikka oikeushenkilölle tai luonnolliselle henkilölle aiheutuvasta vahingosta seuraavien seikkojen osalta:
a) hyväksytyssä varmenteessa olevien tietojen paikkansapitävyys sen myöntämisajankohtana ja kaikkien hyväksytyissä varmenteessa ilmoitettavien tietojen sisältyminen varmenteeseen;
b) varmuus siitä, että hyväksytyssä varmenteessa yksilöidyllä henkilöllä oli varmenteen myöntämisajankohtana hallussaan allekirjoituksen luomiseen käytettävät tiedot, jotka vastaavat varmenteessa mainittuja tai määriteltyjä allekirjoituksen todentamiseen käytettäviä tietoja; ja
c) varmuus siitä, että allekirjoituksen luomiseen käytettäviä tietoja ja allekirjoituksen todentamiseen käytettäviä tietoja voidaan käyttää toisiaan täydentävästi, silloin kun varmennepalvelujen tarjoaja on luonut ne molemmat,
jollei varmennepalvelujen tarjoaja pysty todistamaan, ettei hän ole toiminut huolimattomasti.
2. Jäsenvaltioiden on varmistettava ainakin se, että varmennepalvelujen tarjoaja, joka on myöntänyt yleisölle varmenteita hyväksyttyinä varmenteina, on varmenteen peruuttamista koskevan merkinnän tekemättä jättämisen johdosta vastuussa varmenteeseen perustellulla tavalla tukeutuvalle yhteisölle taikka oikeushenkilölle tai luonnolliselle henkilölle aiheutuvasta vahingosta, jollei varmennepalvelujen tarjoaja pysty todistamaan, ettei hän ole toiminut huolimattomasti.
3. Jäsenvaltioiden on varmistettava, että varmennepalvelujen tarjoajilla on mahdollisuus ilmoittaa hyväksytyssä varmenteessa kyseisen varmenteen käyttöä koskevista rajoituksista edellyttäen, että tällaiset rajoitukset ovat kolmansien osapuolten tunnistettavissa. Varmennepalvelujen tarjoaja ei ole vastuussa vahingosta, joka on aiheutunut hyväksytyn varmenteen käytöstä siinä annettujen käyttörajoitusten vastaisesti.
4. Jäsenvaltioiden on varmistettava, että varmennepalvelujen tarjoajilla on hyväksytyssä varmenteessa mahdollisuus ilmoittaa niiden toimien arvoa koskeva rajoitus, joihin varmennetta voidaan käyttää, edellyttäen, että tällaiset rajoitukset ovat kolmansien osapuolten tunnistettavissa.
Varmennepalvelujen tarjoaja ei ole vastuussa vahingosta, joka aiheutuu siitä, että tämä enimmäisrajoitus ylitetään.
5. Edellä 1-4 kohdan säännökset eivät rajoita kuluttajasopimusten kohtuuttomista ehdoista 5 päivänä huhtikuuta 1993 annetun neuvoston direktiivin 93/13/ETY(8) soveltamista.
7 artikla
Kansainväliset näkökohdat
1. Jäsenvaltioiden on varmistettava, että kolmanteen maahan sijoittautuneen varmennepalvelujen tarjoajan hyväksyttyinä varmenteina yleisölle myöntämät varmenteet tunnustetaan oikeusvaikutuksiltaan vastaaviksi kuin yhteisöön sijoittautuneen varmennepalvelujen tarjoajan myöntämät varmenteet, jos:
a) varmennepalvelujen tarjoaja täyttää tässä direktiivissä vahvistetut vaatimukset ja on akkreditoitu jäsenvaltion käyttöönottaman vapaaehtoisuuteen perustuvan akkreditointijärjestelmän mukaisesti; tai
b) tässä direktiivissä vahvistettujen vaatimusten mukainen yhteisöön sijoittautunut varmennepalvelujen tarjoaja takaa varmenteen; taikka
c) varmenne tai varmennepalvelun tarjoaja on tunnustettu yhteisön ja yhden tai useamman kolmannen maan tai kansainvälisten organisaatioiden välisen kahden- tai monenvälisen sopimuksen nojalla.
2. Helpottaakseen yhteisön jäsenvaltioiden ja kolmansien maiden välisiä rajat ylittäviä varmennepalveluja ja kolmansista maista peräisin olevien kehittyneiden sähköisten allekirjoitusten oikeudellista tunnustamista, komissio antaa tarvittaessa ehdotuksia varmennepalveluihin sovellettavien standardien ja kansainvälisten sopimusten tehokkaaksi täytäntöönpanemiseksi. Komissio antaa neuvostolle tarvittaessa erityisesti ehdotuksia asianmukaisista neuvotteluvaltuuksista kolmansien maiden ja kansainvälisten organisaatioiden kanssa tehtäviä kahden- ja monenvälisiä sopimuksia varten. Neuvosto ratkaisee asian määräenemmistöllä.
3. Jos komissiolle ilmoitetaan yhteisön yritysten toteamista vaikeuksista kolmansien maiden markkinoille pääsyssä, se voi tarvittaessa tehdä neuvostolle ehdotuksia asianmukaisten neuvotteluvaltuuksien antamiseksi sitä varten, että yhteisön yritykset saisivat vastaavat oikeudet näissä kolmansissa maissa. Neuvosto ratkaisee asian määräenemmistöllä.
Tämän kohdan mukaisesti toteutetut toimenpiteet eivät saa vaikuttaa asiaankuuluviin kansainvälisiin sopimuksiin perustuviin yhteisön ja jäsenvaltioiden velvoitteisiin.
8 artikla
Tietosuoja
1. Jäsenvaltioiden on varmistettava, että varmennepalvelujen tarjoajat ja akkreditoinnista tai valvonnasta vastaavat kansalliset laitokset noudattavat yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetussa Euroopan parlamentin ja neuvoston direktiivissä 95/46/EY(9) säädettyjä vaatimuksia.
2. Jäsenvaltioiden on varmistettava, että yleisölle varmenteita myöntävä varmennepalvelujen tarjoaja saa hankkia henkilötietoja vain suoraan tietojen kohteelta itseltään tai saatuaan hänen nimenomaisen suostumuksensa ja ainoastaan siinä määrin kuin se on välttämätöntä varmenteen myöntämiseksi ja ylläpitämiseksi. Tietoja ei saa koota tai muokata muihin tarkoituksiin ilman tietojen kohteen nimenomaista lupaa.
3. Jäsenvaltiot eivät saa estää sitä, että varmennepalvelujen tarjoaja ilmoittaa varmenteessa allekirjoittajan todellisen nimen sijasta salanimen, tämän kuitenkaan vaikuttamatta salanimelle kansallisessa lainsäädännössä annettavaan oikeusvaikutukseen.
9 artikla
Komitea
1. Komissiota avustaa sähköisten allekirjoitusten komitea, jäljempänä "komitea".
2. Tapauksissa, joissa on viitattu tähän kohtaan, sovelletaan päätöksen 1999/468/EY 4 ja 7 artiklaa mainitun päätöksen 8 artiklan mukaisesti.
Päätöksen 1999/468/EY 4 artiklan 3 kohdassa säädetty määräaika vahvistetaan kolmeksi kuukaudeksi.
3. Komitea vahvistaa työjärjestyksensä.
10 artikla
Komitean tehtävät
Komitea tarkentaa 9 artiklan 2 kohdassa säädettyä menettelyä noudattaen tämän direktiivin liitteissä säädettyjä vaatimuksia, 3 artiklan 4 kohdassa tarkoitettuja perusteita sekä sähköisiin allekirjoituksiin liittyvien tuotteiden 3 artiklan 5 kohdan mukaisesti vahvistettuja ja julkaistuja yleisesti tunnustettuja standardeja.
11 artikla
Ilmoittaminen
1. Jäsenvaltioiden on toimitettava seuraavat tiedot komissiolle ja muille jäsenvaltioille:
a) tiedot vapaaehtoisuuteen perustuvista kansallisista akkreditointijärjestelmistä, mukaan lukien mahdolliset 3 artiklan 7 kohdan mukaiset lisävaatimukset;
b) akkreditoinnista ja valvonnasta vastaavien kansallisten laitosten sekä 3 artiklan 4 kohdassa tarkoitettujen laitosten nimet ja osoitteet; ja
c) kaikkien akkreditoitujen kansallisten varmennepalvelujen tarjoajien nimet ja osoitteet.
2. Jäsenvaltioiden on ilmoitettava 1 kohdan nojalla toimitettavat tiedot ja näiden tietojen muutokset mahdollisimman pian.
12 artikla
Tarkastelu
1. Komissio tarkastelee tämän direktiivin toteuttamista sekä antaa Euroopan parlamentille ja neuvostolle siitä kertomuksen viimeistään 19 päivänä heinäkuuta 2003.
2. Tässä kertomuksessa on arvioitava muun muassa, onko direktiivin soveltamisalaa teknisen, markkinoihin liittyvän ja oikeudellisen kehityksen vuoksi muutettava. Kertomuksessa on erityisesti oltava saatuihin kokemuksiin perustuva arvio yhdenmukaistamiseen liittyvistä näkökohdista. Kertomukseen on tarvittaessa liitettävä lainsäädäntöehdotuksia.
13 artikla
Täytäntöönpano
1. Jäsenvaltioiden on saatettava tämän direktiivin noudattamisen edellyttämät lait, asetukset ja hallinnolliset määräykset voimaan viimeistään 19 päivänä heinäkuuta 2001. Niiden on ilmoitettava tästä komissiolle viipymättä.
Näissä jäsenvaltioiden antamissa säädöksissä on viitattava tähän direktiiviin tai niitä virallisesti julkaistaessa niihin on liitettävä viittaus tähän direktiiviin. Jäsenvaltioiden on säädettävä siitä, miten viittaukset tehdään.
2. Jäsenvaltioiden on toimitettava tässä direktiivissä tarkoitetuista kysymyksistä antamansa keskeiset kansalliset säännökset kirjallisina komissiolle.
14 artikla
Voimaantulo
Tämä direktiivi tulee voimaan päivänä, jona se julkaistaan Euroopan yhteisöjen virallisessa lehdessä.
15 artikla
Osoitus
Tämä direktiivi on osoitettu kaikille jäsenvaltioille.
Tehty Brysselissä 13 päivänä joulukuuta 1999.