Allmän motivering

Med hänvisning till propositionen och utredning till utskottet finner utskottet propositionen behövlig och ändamålsenlig. Utskottet förordar lagförslaget men med följande anmärkningar och ändringsförslag.

Allmänt

Syftet med propositionen är att ge grundläggande förutsättningar och en allmän juridisk ram för tillhandahållande av tjänster för stark autentisering i Finland. Finland saknar i detta nu reglering av elektronisk identifiering och av tillhandahållande av tjänster i anslutning till elektronisk identifiering. Vissa lagar, såsom personuppgiftslagen (), innehåller föreskrifter som är tillämpliga på denna typ av verksamhet och tillhandahållande av tjänster. Det föreliggande lagförslaget innehåller bestämmelser bland annat om de krav som ställs på tjänster för stark autentisering och andra identifieringstjänster. Tanken bakom regleringen är att skapa tilltro till stark autentisering, se till att de som använder tjänsterna kan hävda sina rättigheter samt att främja marknaden för elektronisk identifiering och tjänster där man utnyttjar sådan identifiering.

Många elektroniska tjänster förutsätter en förtroendefull relation mellan den som tillhandahåller tjänsterna och dem som använder dem. Största delen av de elektroniska tjänsterna eller elektronisk kommunikation kräver emellertid inte elektronisk identifiering eller elektroniska signaturer. Vissa elektroniska tjänster är sådana att man kan företa olika typer av rättshandlingar eller så har de någon annan funktion som kräver identifikation av de som använder tjänsterna. För en del av tjänsterna kan en tillräckligt väl fungerande och stark autentisering vara ett villkor för att tjänsten ska kunna tillhandahållas. I sådana fall måste den som erbjuder tjänsterna kunna förlita sig på att den som använder tjänsterna via en fjärranslutning är den som han eller hon ger sig ut för att vara. Behovet av identifiering beror ändå helt och hållet på tjänstens natur.

För att de elektroniska tjänsterna ska kunna utvecklas och det ska bli möjligt att utnyttja elektroniska signaturer där det behövs är utskottet övertygat om behovet av basala bestämmelser som reglerar tillhandahållandet av tjänster för elektronisk identifiering. Såväl de som utvecklar tjänsterna som de som tillhandahåller tjänster behöver tillräckliga säkerheter beträffande rättsläget för att kunna investera i utvecklingsprojekt och för att genom regleringen kunna stärka det förtroende som identifieringstjänsterna bygger på.

Frågan om elektronisk identifiering berör också viktiga grundläggande rättigheter i informationssamhället, såsom integritetsskyddet och skyddet av personuppgifter. Den föreslagna regleringen gäller tjänster för elektronisk identifiering som kan erbjudas redan innan den föreslagna lagen träder i kraft. Eftersom det hittills inte har funnits någon lagstiftning som uttryckligen reglerar dessa tjänster och rättigheterna för dem som använder tjänsterna anser utskottet att det för att säkerställa medborgarnas och innehavarnas av identifieringsverktyg rättigheter innebär en klar förbättring med denna lagstiftning främst för att den ställer krav på tjänsterna och de som tillhandahåller tjänsterna.

Utskottet konstaterar att propositionen bitvis är beklagligt snårig och komplicerad. Dessutom innehåller den frågor som enligt utskottets uppfattning borde ha lösts genom förhandlingar mellan de viktigaste aktörerna redan innan propositionen lämnades. Propositionens komplicerade innehåll har också kommit till synes i sakkunnigutfrågningen, vilket i klartext inneburit att experternas åsikt har divergerat kraftigt. Enligt utskottets uppfattning beror detta dels på att objektet för lagstiftningen är exceptionellt tekniskt och komplicerat men också på att det i en teknisk miljö som utvecklas snabbt är helt nödvändigt att eftersträva en teknologineutral lagstiftning. Den självklara följden blir att strävan inte alltid är liktydigt med en exakt reglering och att kraven på exakt avgränsning icke alltid uppfylls. Med propositionen försöker man dessutom reglera ett område där man ännu inte kan gestalta alla detaljer i marknadsutvecklingen och den typ av tjänster som uppkommer inom de närmaste åren. Det att objektet för regleringen är av en så speciell natur gör det svårt att på förhand uppskatta verkningarna och därför är det delvis förståeligt att också experterna är av olika åsikt om saken.

Utskottet har den uppfattningen att särdragen i denna proposition gör det extra viktigt att i efterskott följa upp lagstiftningens effekter och bedöma behovet av ändringar. Utskottet understryker att om det exempelvis visar sig att den tekniska utvecklingen leder till att regleringen får oförutsägbara konsekvenser måste det finnas beredskap att med en snabb tidtabell få i gång en revidering av lagstiftningen. Utskottet understryker också att vid utvärderingen av lagens effekter måste man utnyttja och beakta inte bara tillhandahållarnas erfarenheter utan också de synpunkter som framförs av aktörer som representerar dem som använder identifieringstjänster. Utskottet förutsätter att kommunikationsministeriet före utgången av 2010 lämnar en utredning till kommunikationsutskottet om lagens funktionalitet och verkningar (Utskottets förslag till uttalande).

Enligt utskottet är det viktigt att stödja informationssamhällets utveckling och skapa förutsättningar för nya och bättre elektroniska tjänster. Lagstiftningen om stark elektronisk autentisering kan bidra till att vi får nya typer av tjänster som är viktiga för medborgarna.

Tillämpningsområde

Den föreslagna lagen gäller endast stark autentisering. Svag autentisering omfattas således inte av bestämmelserna. Med stark autentisering avses identifiering av en person utifrån minst två av följande tre alternativ: ett lösenord eller något annat som innehavaren av identifikationsverktyget vet, ett chipkort eller motsvarande som innehavaren av identifikationsverket har eller ett fingeravtryck eller något motsvarande som individualiserar innehavaren av identifikationsverktyget.

Regleringen gäller stark autentisering av fysiska personer och tjänster för stark autentisering. I förslaget ingår nästan inga bestämmelser om identifiering i arbetet eller i någon motsvarande roll. Enligt utskottet är det ändå viktigt att den föreslagna bestämmelsen inte blir något hinder för att utöka identifieringsverktygen med en rolluppgift. Vidare föreslås lagen endast gälla tjänster som tillhandahålls allmänheten. Det här innebär att sådana metoder för stark autentisering som används i en sluten miljö, såsom interna metoder för identifiering av egna datasystem eller en sammanslutnings egna kunder står utanför regleringen. Utskottet påpekar att man i framtiden borde utreda behovet av eventuell reglering av identifiering av utomstående och i slutna miljöer även om de i detta skede stannar utanför definitionen av stark autentisering.

Under expertutfrågningen fördes det fram önskemål på att utvidga propositionens tillämpningsområde bland annat till all form av elektronisk identifiering och även till sammanslutningsintern elektronisk identifiering. Men utskottet anser att det föreslagna tillämpningsområdet är rätt i det här skedet. På grundval av praktiska erfarenheter och konsekvensbedömningar av regleringen blir det möjligt att i framtiden överväga tillämpningsområdets omfattning och dess ändamålsenlighet utan att det finns någon risk för överreglering, som skulle kunna bromsa upp utvecklingen av nya tjänster och deras spridning. Utskottet anser det ändå viktigt också med tanke på lagens tillämpningsområde att det finns en fortlöpande uppföljning av lagens verkningar och marknadernas utveckling.

Utskottet föreslår vissa justeringar av tillämpningsområdet som innebär att det förtydligas och preciseras märkbart. Samtidigt blir det klarare vilka uppgifter de myndigheter har som ansvarar för tillsynen över lagen.

Rättigheter för innehavaren av ett identifieringsverktyg

Grundlagsutskottet säger i sitt utlåtande (GrUU 16/2009 rd) att de autentiseringstjänster som regleras i lagförslaget kan betraktas som basservice i informationssamhället. Tillhandahållandet av dem hänger ofta samman med informationssamhällets grundläggande fri- och rättigheter — i synnerhet det skydd för privatlivet och personuppgifter som garanteras i grundlagens 10 § 1 mom. Med tanke på de kvalitetskrav som gäller för tjänsterna är de föreslagna lagbestämmelserna i huvudsak korrekta och tillräckliga, anser grundlagsutskottet. Men grundlagsutskottet påpekar att det kan anses vara en brist i förslaget att det i första hand är inriktat på att reglera tjänsteleverantörernas verksamhet och därför inte innehåller några nämnvärda bestämmelser om väsentliga rättigheter för dem som ansöker om eller innehar ett identifieringsverktyg. Vissa av bestämmelserna, till exempel den om innehavarens ansvar för identifieringsverktyget (27 §) och bestämmelsen om ansvar för obehörig användning av signaturframställningsdata (40 §) kan enligt utskottet ändå i viss utsträckning betraktas som sådana bestämmelser. Enligt grundlagsutskottet är det med tanke på tjänsternas tillgänglighet relevant att föreskriva om sökandens rätt att få en identifikator eller ett certifikat om han eller hon uppfyller de krav som ställs. Utskottet uppmärksammar också att bestämmelserna om tjänsteleverantörens ansvar för skada som orsakats den som förlitat sig på ett identifieringsverktyg är ytterst allmänt hållna. Grundlagsutskottet anser att regleringen på denna punkt borde kompletteras.

Kommunikationsutskottet anser det vara av högsta prioritet att tillgodose de grundläggande fri- och rättigheterna i informationssamhället och säkerställa en jämlik behandling av medborgarna. Utskottet tror att det när informationssamhället utvecklas allt mer kan uppstå situationer där någon typ av tjänst som är viktig för medborgarna huvudsakligen levereras enbart elektroniskt, varvid det blir understruket viktigt att ha ett identifieringsverktyg till exempel för att kunna utnyttja offentlig service inom något förvaltningsområde. Utskottet påpekar att även om denna proposition handlar om allmänna bestämmelser som gäller alla leverantörer av identifieringstjänster och även om den närmaste framtiden inte nödvändigtvis gör att en sådan oro är direkt befogad, borde lagförslaget på det sätt som grundlagsutskottet föreslår i sitt utlåtande kompletteras med en bestämmelse om leverantörens skyldighet att bemöta sina kunder på ett icke-diskriminerande sätt och dem som ansöker om ett identifikationsverktyg jämlikt när man ingår avtal om att leverera ett identifikationsverktyg. Motsvarande bestämmelse borde även finnas om certifikatsutfärdare som tillhandahåller kvalificerade certifikat.

Utskottet understryker att propositionen innehåller detaljerade bestämmelser om skadeståndsansvar för certifikatutfärdare som tillhandahåller kvalificerade certifikat eftersom det inte alls finns något avtalsförhållande mellan certifikatutfärdaren och den part som förlitar sig på det kvalificerade certifikatet. I sådana situationer är det naturligt att det krävs bestämmelser om skadeståndsansvar för att möjliggöra ett system som långt bygger på förtroende och för att säkerställa den parts rättigheter som förlitar sig på ett certifikat. När det gäller de autentiseringstjänster som regleras i förslaget föreligger det däremot ett avtalsförhållande om användning av identifieringstjänster med leverantören av identifieringstjänster och innehavaren av ett identifieringsverktyg. När det gäller identifieringstjänster kan innehavaren av ett identifieringsverktyg enligt utskottets uppfattning snarast jämställas med innehavaren av ett kvalificerat certifikat, vars ansvar när det gäller obehörig användning av signaturframställningsdata regleras i 40 § i det första lagförslaget på ett sätt som fullt ut motsvarar ansvarsbegränsningarna för innehavare av identifieringsverktyg enligt 27 §. I förhållandet mellan certifikatutfärdaren och undertecknaren bestäms skadeståndsansvaret i första hand enligt de allmänna avtalsprinciper som gäller för ersättningsansvar. Utskottet anser att skadeståndsansvaret mellan leverantören av identifieringstjänster och innehavaren av ett identifieringsverktyg borde bestämmas på motsvarande sätt.

Ansvaret för innehavaren av ett identifieringsverktyg vid obehörig användning av verktyget har i förslaget till 27 § helt korrekt begränsats till vissa klara situationer som kan tillräknas innehavaren. I regel ansvarar innehavaren av ett elektroniskt identifieringsverktyg för obehörig användning endast om han eller hon har överlåtit identifieringsverktyget till någon annan, om verktyget har försvunnit, kommit i någon annans besittning obehörigt eller använts obehörigt på grund av innehavarens vårdslöshet eller om innehavaren har försummat att utan obefogat dröjsmål efter det att saken har upptäckts anmäla till leverantören av identifieringstjänster eller någon aktör som denna har angett att identifieringsverktyget har försvunnit, kommit i någon annans besittning obehörigt eller använts obehörigt. Kapitel 3 i det första lagförslaget om stark autentisering innehåller totalt 20 paragrafer. Av dessa uppställs i förslagen till 23 och 25 § krav också på innehavaren av ett identifieringsverktyg. Förslagets övriga 18 paragrafer har bestämmelser som gäller krav på och skyldigheter för leverantören av identifieringstjänster och de tillhandahållna tjänsterna samt om myndighetsövervakningen. Det centrala syftet med dessa bestämmelser är att säkerställa användarnas, dvs. verktygsinnehavarnas rättigheter. Bestämmelserna är tvingande i relation till konsumenten, vilket innebär att man inte kan göra avsteg från dem genom avtal till konsumentens nackdel. Enligt utskottet är det väsentligt att den föreslagna regleringen gäller tjänster för stark autentisering som kan tillhandahållas redan innan lagen träder i kraft. Eftersom det inte sedan tidigare har funnits någon uttrycklig lagstiftning som skyddar dessa tjänster och användarna av dem anser utskottet att med hänsyn till medborgarnas och verktygsinnehavarnas rättigheter innebär förslaget ett framsteg till följd av det krav som ställs på såväl tjänsterna som tjänsteleverantörerna. På grundval av utredning anser utskottet att förslaget, med beaktande av utskottets förslag till komplettering av ickediskriminerande och jämlikt bemötande, i övrigt i tillräcklig utsträckning beaktar verktygsinnehavarens rättigheter eftersom förslaget innehåller heltäckande bestämmelser om bland annat skyldigheterna för leverantörer av identifieringstjänster, de förfaringssätt som kan iakttas när tjänster levereras och om begränsningar av ansvaret för innehavare av identifieringsverksamhet.

Utskottet har också dryftat frågan om en teknisk och elektronisk verksamhetsmiljö som är svår att gestalta, nya typer av elektroniska tjänster och identifieringsmetoder som skapar en stark obestridlighetseffekt utöver de fördelar dessa erbjuder i framtiden också kan vara förenade med negativa konsekvenser exempelvis när det görs lätt för medborgarna att i fråga om svåröverskådliga typer av tjänster binda upp sig på ett sätt vars följder de inte helt har kunnat bedöma. Utskottet finner det viktigt att informationssamhällets konsekvenser följs upp och utvärderas för att bestämma om det i framtiden, antingen på bred bas eller inom någon särskild sektor av den offentliga förvaltningen, behövs en närmare reglering av elektroniska tjänster eller identifieringstjänster eller några andra åtgärder för att säkerställa medborgarnas rättigheter och tjänsternas tillgänglighet.

Inledande identifiering med hjälp av körkort

Enligt övergångsbestämmelsen i 51 § 5 mom. i det första lagförslaget kan leverantörer av identifieringstjänster och certifikatutfärdare som tillhandahåller kvalificerade certifikat till och med den 31 december 2012 vid den inledande identifieringen använda ett giltigt körkort som har utfärdats efter den 1 oktober 1990 av en myndighet i en medlemsstat inom Europeiska ekonomiska samarbetsområdet. Förvaltningsutskottet anser i sitt utlåtande (FvUU 9/2009 rd) att det första lagförslaget måste ändras så att leverantörer av identifieringstjänster och certifikatutfärdare vid inledande identifiering ska kunna använda giltiga körkort som har utfärdats efter den 1 oktober 1990 av en myndighet i en medlemsstat inom Europeiska ekonomiska samarbetet också efter 2012. Utskottet säger att läget för närvarande är det att körkort allmänt accepteras som identifikation i Finland och att det inte finns någon anledning att ändra ett rättsläge som medborgarna har vant sig vid.

Kommunikationsutskottet konstaterar att de sakkunniga vid utfrågningen förde fram mycket divergerande åsikter om olika slags körkort. Å ena sidan påtalade man vissa osäkerhetsfaktorer i samband med körkort och den inledande identifieringens betydelse för tilltron till identifieringstjänsterna över huvud taget. Å andra sidan sades det att körkort för närvarande är den mest allmänt förekommande och en mycket tillförlitlig identifieringshandling för närvarande och att ett förbud mot körkort som ett sätt att identifiera skulle vara en faktor som upplevs som brist på flexibilitet bland dem som ansöker om identifieringsverktyg och därmed hämmar utvecklingen av tjänster.

Enligt utskottet är det viktigt att förstå betydelsen av den inledande identifieringen för tilltro till identifieringstjänster över huvud taget men anser det även ändamålsenligt att körkortets ställning som allmän identifikationshandling beaktas i tillräcklig utsträckning. Kommunikationsutskottet anser att det bör vara möjligt att utan övergångstid godkänna ett sådant körkort som nämns i övergångsbestämmelsen som ett medel för leverantörerna av tjänster vid den inledande identifieringen. Den föreslagna ändringen gör det ändå möjligt för leverantören av identifieringstjänster att för sina egna tjänsters vidkommande överväga om den anser att ett körkort är tillräckligt tillförlitligt för en inledande identifiering. Utskottet understryker samtidigt att körkortets betydelse vid inledande identifiering under de närmaste åren bör utvärderas mot bakgrunden av de erfarenheter som de nya bestämmelserna ger.

Anonyma elektroniska tjänster och elektronisk kommunikation

Utskottet anser det viktigt att man beroende av tjänstens natur också möjliggör anonym användning av elektroniska tjänster och kommunikation. De förfaranden vid stark autentisering som regleras genom propositionen möjliggör också situationer där leverantören av identifikationstjänster till en tillhandahållare av tjänster som använder identifieringstjänster endast levererar vissa uppgifter som tjänsten kräver. I dessa situationer behöver tjänsteleverantören inte nödvändigtvis andra uppgifter om den som använder tjänsten än exempelvis uppgifter om tjänsteanvändaren är myndig. Utskottet anser det viktigt att det inte finns ogrundade hinder i lagstiftningen för att utveckla den typ av tjänster som avses här. Enligt utskottets uppfattning tillåter propositionen utveckling och tillhandahållande av så kallade anonyma identifieringstjänster.

Avgifter till Kommunikationsverket

En del av de sakkunniga utskottet har hört gav uttryck för sin oro över att de avgifter som föreslagits bli betalda till Kommunikationsverket för dess tillsynsuppgifter är alltför höga med hänsyn till att leverantörerna av identifieringstjänster inte är några stora företag och att även marknaderna är rätt små. Man befarar att avgifterna därför kan hämma utvecklingen av tjänsteutbudet. Å andra sidan påtalade experterna betydelsen av att tillsynsmyndigheten får tillräckliga resurser. Utifrån erhållen information anser utskottet det viktigt att effekterna av avgiftsnivåerna och avgifterna följs upp och utvärderas både med hänsyn till tjänsterna och marknaden och till de praktiska erfarenheterna av tillsynsverksamheten. I förekommande fall måste det finnas beredskap att med en snabb tidtabell igen ta upp frågan om avgifternas nivå och grunderna för hur de bestäms. För att uppnå det man eftersträvar med regleringen och för att säkerställa rättigheterna för de som innehar identifieringsverktyg är det enligt utskottets mening synnerligen viktigt att se till att det finns tillräckliga resurser och verksamhetsmöjligheter för den myndighetstillsyn som gäller identifieringstjänster som baserar sig på tilltro.

Det internationella perspektivet

De kommunikationsnät genom vilka elektroniska tjänster där man använder elektronisk identifiering erbjuds är till sin natur gränsöverskridande. Under expertutfrågningen framgick det att man oroar sig för att den föreslagna nationella regleringen i en internationell omvärld kan bli en begränsande faktor för de inhemska serviceutvecklarna och företagen. Men utskottet anser att den typ av reglering som föreslås i propositionen och som inte är alltför begränsande men som skapar en viss rättssäkerhet snarare är en fördel för de inhemska aktörerna som på detta sätt får spelregler för de tjänster de erbjuder samtidigt som man ser till användarnas behov och rättigheter. Utskottet understryker vikten av att följa lagens konsekvenser också i detta avseende och att aktivt delta i lagstiftnings- och motsvarande samarbete både på EU-nivå och i andra internationella sammanhang.

Elektroniska signaturer

När det gäller tillhandahållande av kvalificerade certifikat och elektroniska signaturer motsvarar bestämmelserna i 4 kap. nästan helt gällande lag. Utifrån utredning finner utskottet att förslaget är ändamålsenligt i detta avseende. I förslagets 4 § och 5 § 1 mom. finns bestämmelser bland annat om att identifieringsverktyg kan användas för att skapa elektroniska signaturer och för att företa rättshandlingar. Utifrån utredning anser utskottet det klart att precis samma tekniska medel kan användas både för identifiering och för att skapa elektroniska signaturer. Utskottet utgår också från att det som föreskrivs i 4 och 5 § inte bara begränsar sig till egentliga rättshandlingar utan också till underskrift av olika typer av handlingar, protokoll och motsvarande dokument.