Lag om elektroniska signaturer
Inte i kraft- Författningsöversättningar
- Ämnesord
- Elektronisk signatur
- Typ av författning
- Lag
- Förvaltningsområde
- Kommunikationsministeriet
- Meddelats
- Publiceringsdag
- Ikraftträdande
- ELI-kod
- http://data.finlex.fi/eli/sd/2003/14/ajantasa/2003-01-24/swe
I enlighet med riksdagens beslut föreskrivs:
1 kap.Allmänna bestämmelser
1 §Lagens syfte
Syftet med denna lag är att främja användningen av elektroniska signaturer och tillhandahållandet av produkter för elektroniska signaturer och tjänster i anslutning till dem samt att främja datasekretessen och dataskyddet vid elektronisk handel och elektronisk kommunikation.
2 §Definitioner
I denna lag avses med
elektronisk signatur data i elektronisk form som är fogade till eller logiskt knutna till andra elektroniska data och som används som en metod för verifiering av undertecknarens identitet,
avancerad elektronisk signatur en elektronisk signatur som
är knuten uteslutande till undertecknaren,
gör det möjligt att identifiera undertecknaren,
är skapad med medel som endast undertecknaren kontrollerar, och
är knuten till andra elektroniska data på ett sådant sätt att eventuella senare förvanskningar av dessa data kan upptäckas,
undertecknare en fysisk person som lagligen innehar signaturframställningsdata och agerar på sina egna vägnar eller på den fysiska eller juridiska persons vägnar som han eller hon företräder,
signaturframställningsdata unika data, såsom koder eller hemliga krypteringsnycklar, som undertecknaren använder för att skapa en elektronisk signatur,
anordning för signaturframställning programvara eller maskinvara för användning av signaturframställningsdata då en elektronisk signatur skapas,
signaturverifieringsdata data, såsom koder eller öppna krypteringsnycklar, som används för att verifiera en elektronisk signatur,
certifikat ett intyg i elektronisk form som kopplar ihop signaturverifieringsdata med en undertecknare och bekräftar undertecknarens identitet,
certifikatutfärdare en fysisk eller juridisk person som tillhandahåller certifikat,
produkt för elektroniska signaturer maskinvara eller programvara, eller relevant del i sådant system, som är avsedd att användas av dem som tillhandahåller tjänster vid tillhandahållande av tjänster i anslutning till elektroniska signaturer eller som är avsedd att användas för att skapa eller verifiera elektroniska signaturer, samt
tjänst i anslutning till elektroniska signaturer tillhandahållande av certifikat samt andra produkter för elektroniska signaturer och tjänster i anslutning till dem.
3 §Tillämpningsområde
Denna lag tillämpas på elektroniska signaturer samt på dem som tillhandahåller allmänheten produkter för elektroniska signaturer och tjänster i anslutning till dem.
I fråga om användningen av elektroniska signaturer inom förvaltningen gäller dessutom vad som bestäms särskilt.
4 §Fri rörlighet för tjänster och produkter
I denna lag avsedda produkter för elektroniska signaturer och tjänster i anslutning till dem skall ha fri rörlighet på den inre marknaden.
5 §Säkra anordningar för signaturframställning
En säker anordning för signaturframställning skall på ett tillräckligt tillförlitligt sätt säkerställa att
signaturframställningsdata i praktiken kan förekomma endast en gång och att de förblir konfidentiella,
signaturframställningsdata inte kan härledas ur andra data,
signaturen är skyddad mot förfalskning,
undertecknaren kan skydda signaturframställningsdata så att andra inte kan använda dem, samt
anordningen inte förändrar de uppgifter som skall signeras eller hindrar att de presenteras för undertecknaren före signeringen.
En anordning för signaturframställning anses alltid uppfylla kraven i 1 mom., om
den överensstämmer med de allmänt erkända standarder som Europeiska gemenskapernas kommission har fastställt och som har publicerats i Europeiska gemenskapernas officiella tidning, eller
ett kontrollorgan, beläget i Finland eller i en annan stat inom Europeiska ekonomiska samarbetsområdet, som har utsetts för att bedöma om kraven uppfylls har godkänt anordningen som en säker anordning för signaturframställning.
6 §Kontrollorgan
Kommunikationsverket kan utse kontrollorgan med uppgift att bedöma om anordningar för signaturframställning uppfyller kraven i 5 § 1 mom. Kontrollorganen kan vara privata eller offentliga inrättningar.
En inrättning kan utses till kontrollorgan under förutsättning att
den är oberoende i fråga om sin verksamhet och ekonomi,
dess verksamhet är tillförlitlig, ändamålsenlig och icke-diskriminerande,
den har tillräckliga ekonomiska resurser för ett ändamålsenligt ordnande av verksamheten och täckande av ett eventuellt ersättningsansvar,
den har tillgång till yrkeskunnig och opartisk personal i den omfattning som behövs, samt
den har tillgång till sådana lokaliteter och sådan utrustning som verksamheten kräver.
Kommunikationsverket utser kontrollorganen på ansökan. Ansökan skall utöver sökandens kontaktuppgifter och handelsregisterutdrag eller motsvarande utredning innehålla uppgift om huruvida sökandens verksamhet uppfyller kraven i 2 mom. Kommunikationsverket meddelar vid behov anvisningar om de uppgifter som skall ingå i ansökan och om inlämnandet av dem till Kommunikationsverket.
Kommunikationsverket övervakar kontrollorganens verksamhet. Om ett kontrollorgan inte uppfyller fastställda krav eller om det bryter mot bestämmelserna, skall Kommunikationsverket återkalla beslutet genom vilket det utsett kontrollorganet. Kontrollorganen skall underrätta Kommunikationsverket om sådana ändringar i verksamheten som inverkar på förutsättningarna för att bli utsedd till kontrollorgan.
Vid bedömningen av anordningar kan kontrollorganet anlita utomstående personer. Kontrollorganet svarar också för det arbete som dessa utför.
2 kap.Tillhandahållande av kvalificerade certifikat
7 §Kvalificerade certifikat
Med kvalificerat certifikat avses ett certifikat som uppfyller kraven i 2 mom. och som har utfärdats av en certifikatutfärdare som uppfyller kraven i 10–15 §.
Ett kvalificerat certifikat skall innehålla
uppgift om att certifikatet är ett kvalificerat certifikat,
uppgift om certifikatutfärdaren och dennes etableringsstat,
undertecknarens namn eller pseudonym med uppgift om att det är en pseudonym,
signaturverifieringsdata som motsvarar de signaturframställningsdata som undertecknaren innehar,
det kvalificerade certifikatets giltighetstid,
det kvalificerade certifikatets identifieringskod,
certifikatutfärdarens avancerade elektroniska signatur,
eventuella begränsningar i fråga om användningen av det kvalificerade certifikatet, samt
särskilda uppgifter om undertecknaren, om de behövs med tanke på ändamålet med det kvalificerade certifikatet.
8 §Kvalificerade certifikat som tillhandahålls av en certifikatutfärdare som inte är etablerad i Finland
Ett certifikat som anges vara kvalificerat och som tillhandahålls av en certifikatutfärdare som inte är etablerad i Finland anses uppfylla kraven på kvalificerat certifikat i denna lag, om
certifikatutfärdaren är etablerad i en stat inom Europeiska ekonomiska samarbetsområdet och certifikatet uppfyller etableringsstatens krav på kvalificerat certifikat, eller
certifikatutfärdaren har anslutit sig till ett frivilligt ackrediteringssystem i en stat inom Europeiska ekonomiska samarbetsområdet och uppfyller de nationella krav som i denna stat föreskrivits för genomförande av Europaparlamentets och rådets direktiv 1999/93/EG om ett gemenskapsramverk för elektroniska signaturer, nedan direktivet om elektroniska signaturer, eller
certifikatet garanteras av en certifikatutfärdare som är etablerad i en stat inom Europeiska ekonomiska samarbetsområdet och uppfyller de nationella krav som i denna stat föreskrivits för genomförande av direktivet om elektroniska signaturer, eller
certifikatet eller certifikatutfärdaren har erkänts enligt ett bilateralt eller multilateralt avtal mellan Europeiska gemenskapen och tredje länder eller internationella organisationer.
9 §Anmälan om inledande av verksamhet
En certifikatutfärdare som avser att tillhandahålla allmänheten kvalificerade certifikat skall innan verksamheten inleds göra en skriftlig anmälan till Kommunikationsverket. Anmälan skall innehålla certifikatutfärdarens namn och kontaktuppgifter samt de uppgifter som behövs för att säkerställa att kraven i 7 § och 10–15 § uppfylls. Kommunikationsverket kan meddela för tillsynen behövliga föreskrifter och rekommendationer om det närmare innehållet i de uppgifter som skall lämnas och om inlämnandet av dem till Kommunikationsverket.
Kommunikationsverket skall utan dröjsmål efter det att anmälan inkommit förbjuda certifikatutfärdaren att tillhandahålla certifikat som anges vara kvalificerade, om certifikaten inte uppfyller kraven i 7 § 2 mom. eller om certifikatutfärdaren inte uppfyller kraven i 10–15 §.
Certifikatutfärdaren skall utan dröjsmål skriftligen underrätta Kommunikationsverket, om de uppgifter som avses i 1 mom. har ändrats.
Kommunikationsverket för ett offentligt register över certifikatutfärdare som utfärdar kvalificerade certifikat.
10 §Allmänna skyldigheter för certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat
En certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat bör bedriva verksamheten på ett omsorgsfullt, tillförlitligt och ändamålsenligt sätt samt bemöta sina kunder på ett icke-diskriminerande sätt. Certifikatutfärdaren skall ha tillräckliga tekniska kunskaper och ekonomiska resurser med tanke på verksamhetens omfattning. Certifikatutfärdaren svarar för alla delområden av verksamheten, även för att tjänster och produkter som produceras av personer som certifikatutfärdaren eventuellt anlitar är tillförlitliga och fungerar.
Certifikatutfärdaren skall
säkerställa att personalen har tillräcklig sakkunskap, erfarenhet och kompetens,
förfoga över tillräckliga ekonomiska resurser för ordnande av verksamheten och täckande av ett eventuellt skadeståndsansvar,
hålla sådana uppgifter om certifikaten och certifikatverksamheten allmänt tillgängliga som behövs för bedömande av certifikatutfärdarens verksamhet och tillförlitlighet, samt
trygga att signaturframställningsdata är konfidentiella då certifikatutfärdaren själv framställer dem.
Certifikatutfärdaren får inte lagra eller kopiera de signaturframställningsdata som överlåtits till en undertecknare.
11 §Tillförlitliga maskinvaror och programvaror
En certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat skall se till att de system samt maskinvaror och programvaror som används är tillräckligt säkra och tillförlitliga samt skyddade mot ändringar och mot förfalskning.
En maskinvara eller programvara avsedd för elektroniska signaturer anses alltid uppfylla kraven i 1 mom., om den överensstämmer med de allmänt erkända standarder som Europeiska gemenskapernas kommission har fastställt och som har publicerats i Europeiska gemenskapernas officiella tidning.
12 §Utfärdande av kvalificerade certifikat
En certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat skall omsorgsfullt och på ett tillförlitligt sätt kontrollera identiteten hos den som ansöker om kvalificerat certifikat och andra uppgifter som hänför sig till sökandens person och som är relevanta för utfärdandet och upprätthållandet av det kvalificerade certifikatet. Certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat skall identifiera sökanden personligen.
En certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat skall innan ett avtal ingås informera sökanden om villkoren för användning av det kvalificerade certifikatet, inbegripet eventuella begränsningar av användningen, om frivilliga ackrediteringssystem, myndighetstillsynen över verksamheten samt förfarandena för klagomål och avgörande av tvister. Informationen skall ges skriftligen i sådan form att sökanden kan förstå den utan svårighet. Informationen skall ges åtminstone på finska eller svenska enligt sökandens val.
13 §Återkallande av ett kvalificerat certifikat
Undertecknaren skall omedelbart begära att den certifikatutfärdare som utfärdat ett kvalificerat certifikat skall återkalla det, om undertecknaren har grundad anledning att anta att signaturframställningsdata används på obehörigt sätt.
En certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat skall omedelbart återkalla ett kvalificerat certifikat, om undertecknaren begär det. Begäran om återkallande av ett kvalificerat certifikat anses ha inkommit till certifikatutfärdaren då den har stått till utfärdarens förfogande så att begäran kan behandlas.
Ett kvalificerat certifikat kan också återkallas om det annars finns särskild anledning till det. Undertecknaren skall alltid underrättas om att det kvalificerade certifikatet har återkallats och om tidpunkten för återkallandet.
14 §Register som skall föras av certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat
En certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat skall föra register över utfärdade kvalificerade certifikat ( certifikatregister ). I registret skall införas
de uppgifter som det kvalificerade certifikatet skall innehålla enligt 7 § 2 mom.,
de uppgifter som hänför sig till sökandens person och som avses i 12 § 1 mom., inbegripet uppgift om det förfarande för identifiering av sökanden som använts då det kvalificerade certifikatet utfärdades, och behövliga uppgifter om den handling som eventuellt anlitats för identifieringen, samt
de uppgifter som avses i 21 § om kontroll av ett certifikats giltighet som gjorts på spärrlistan, om en certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat utnyttjar rätten att registrera uppgifter enligt 21 §.
En certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat skall säkerställa att den som förlitar sig på en avancerad elektronisk signatur som är baserad på ett kvalificerat certifikat har tillgång till certifikatets i 7 § 2 mom. definierade innehåll. De uppgifter som avses ovan i 1 mom. 3 punkten behöver dock inte införas i certifikatregistret, om certifikatutfärdaren på annat sätt ser till att den som förlitar sig på certifikatet kan förete tillförlitligt bevis på behörig kontroll av spärrlistan.
Certifikatutfärdaren skall också föra ett register över återkallade kvalificerade certifikat ( spärrlista ) som skall vara tillgängligt för dem som förlitar sig på kvalificerade certifikat. På spärrlistan skall på lämpligt sätt och utan dröjsmål införas uppgift om att ett kvalificerat certifikat har återkallats samt exakt tidpunkt för återkallandet.
De uppgifter som nämns i 2 och 3 mom. skall vara tillgängliga dygnet runt.
15 §Förvaring av uppgifterna i certifikatregistret
En certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat skall på ett tillförlitligt och ändamålsenligt sätt förvara uppgifterna i certifikatregistret i 10 år från det certifikatet upphörde att gälla.
16 §Skadeståndsansvar för certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat
En certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat är ansvarig för skada som åsamkats den som förlitat sig på ett kvalificerat certifikat, om skadan uppkommit genom att
de uppgifter som antecknats i det kvalificerade certifikatet var felaktiga vid den tidpunkt då certifikatet utfärdades,
det kvalificerade certifikatet inte innehåller de uppgifter som nämns i 7 § 2 mom.,
den person som anges i det kvalificerade certifikatet inte vid den tidpunkt då certifikatet utfärdades var i besittning av de signaturframställningsdata som motsvarar de signaturverifieringsdata som anges eller definieras i certifikatet,
de signaturframställningsdata och signaturverifieringsdata som framställts av certifikatutfärdaren eller en person som denne anlitat inte kan användas som komplement till varandra, eller
certifikatutfärdaren eller en person som denne anlitat inte har återkallat det kvalificerade certifikatet på det sätt som anges i 13 §.
Certifikatutfärdaren är fri från ansvar enligt 1 mom., om utfärdaren visar att skadan inte har orsakats av vårdslöshet hos utfärdaren själv eller någon som denne har anlitat.
En certifikatutfärdare ansvarar inte för skada som orsakats av att ett kvalificerat certifikat har använts i strid med de begränsningar av användningen som ingår i det.
I fråga om skadeståndsansvaret för certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat gäller i övrigt vad som bestäms i skadeståndslagen (412/1974) .
Vad som bestäms i denna paragraf tillämpas också på en certifikatutfärdare som för allmänheten garanterar att ett certifikat är ett kvalificerat certifikat.
17 §Ansvar för obehörig användning av signaturframställningsdata
Undertecknaren ansvarar för skada som orsakats av obehörig användning av signaturframställningsdata för skapande av en avancerad elektronisk signatur som är baserad på ett kvalificerat certifikat tills en begäran om återkallande av certifikatet har inkommit till certifikatutfärdaren så som anges i 13 § 2 mom.
En konsument har emellertid ansvar enligt 1 mom. endast om
konsumenten har överlåtit signaturframställningsdata till någon annan,
det beror på vårdslöshet från konsumentens sida, som inte är lindrig, att signaturframställningsdata åtkommits av någon som är obehörig att använda dem, eller
konsumenten på annat sätt än som nämns i 2 punkten har förlorat besittningen till signaturframställningsdata och har underlåtit att begära att det kvalificerade certifikatet skall återkallas så som anges i 13 § 1 mom.
Ett avtalsvillkor som till konsumentens nackdel avviker från bestämmelserna i 2 mom. är utan verkan.
3 kap.Elektroniska signaturers rättsverkan och behandlingen av personuppgifter
18 §Elektroniska signaturers rättsverkan
Om det beträffande en rättshandling i lag ställs krav på underskrift, uppfylls detta krav åtminstone genom en sådan avancerad elektronisk signatur som baserar sig på ett kvalificerat certifikat och har skapats med en säker anordning för signaturframställning.
19 §Behandling av personuppgifter
En certifikatutfärdare som tillhandahåller allmänheten certifikat får inhämta de personuppgifter som är nödvändiga för att utfärda och upprätthålla ett certifikat endast hos undertecknaren själv. När det gäller certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat ingår närmare bestämmelser om utfärdandet av kvalificerade certifikat, de register som skall föras och förvaringen av uppgifter i 2 kap.
När identiteten hos den som ansöker om certifikat kontrolleras får certifikatutfärdaren kräva att sökanden uppger sin personbeteckning. Undertecknarens personbeteckning får inte tas in i certifikatet.
Endast med undertecknarens uttryckliga samtycke får personuppgifter
inhämtas från andra källor än hos undertecknaren själv, eller
behandlas för andra ändamål än det som anges i 1 mom.
I fråga om behandlingen av personuppgifter gäller dessutom vad som bestäms i personuppgiftslagen (523/1999) .
20 §Användning av befolkningsdatasystemet
Certifikatutfärdaren har med uttryckligt samtycke av den som ansöker om certifikat rätt att ur befolkningsdatasystemet skaffa och i det kontrollera de personuppgifter som lämnats av sökanden.
Uppgifterna i befolkningsdatasystemet lämnas ut som en offentligrättslig prestation enligt lagen om grunderna för avgifter till staten (150/1992) .
21 §Registrering av uppgift om kontroll av certifikats giltighet
Certifikatutfärdaren får registrera uppgifter om kontroll av certifikatens giltighet som gjorts på spärrlistan. De registrerade uppgifterna får användas endast för fakturering av användningen av certifikat och för verifiering av rättshandlingar som företagits med hjälp av elektroniska signaturer som är baserade på certifikat.
4 kap.Allmän styrning och tillsyn
22 §Allmän styrning och tillsyn
Den allmänna styrningen samt utvecklandet av certifikatverksamheten ankommer på kommunikationsministeriet.
Kommunikationsverket skall övervaka att denna lag iakttas. Kommunikationsverket meddelar vid behov tekniska föreskrifter och rekommendationer om kraven på tillförlitlighet och datasäkerhet i verksamheten när det gäller certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat som hänför sig till elektroniska signaturer.
I fråga om avgifter för Kommunikationsverkets tillsyn och andra prestationer gäller vad som föreskrivs i lagen om grunderna för avgifter till staten.
Dataombudsmannen skall övervaka att bestämmelserna om personuppgifter i denna lag iakttas. Vid fullgörandet av uppgiften har dataombudsmannen rätt att få information och utöva tillsyn i enlighet med personuppgiftslagen. Bestämmelser om sökande av ändring när det gäller dataombudsmannens verksamhet finns i personuppgiftslagen.
23 §Rätt till upplysningar
Utan hinder av bestämmelserna om tystnadsplikt har Kommunikationsverket rätt att av certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat som hänför sig till elektroniska signaturer och av dem som dessa certifikatutfärdare anlitar få de upplysningar som behövs för fullgörande av de uppgifter som anges i 22 §.
24 §Inspektionsrätt
En inspektör som Kommunikationsverket har förordnat för uppgiften har rätt att utföra inspektioner för tillsynen över att denna lag och föreskrifter som meddelats med stöd av lagen följs. Den som utför inspektionen har rätt att hos en certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat som hänför sig till elektroniska signaturer och hos dem som denne anlitar undersöka sådana maskinvaror och programvaror som kan vara av betydelse vid tillsynen över att denna lag och föreskrifter som meddelats med stöd av lagen följs.
En certifikatutfärdare som tillhandahåller allmänheten kvalificerade certifikat som hänför sig till elektroniska signaturer, och de personer som denne anlitat, skall för inspektion ge en inspektör som avses i 1 mom. tillträde till andra produktions- och affärslokaler samt lagerutrymmen än sådana som omfattas av hemfriden.
Kommunikationsverket har rätt att få handräckning av polisen för utförande av inspektion enligt 1 och 2 mom.
25 §Tystnadsplikt
De som fullgör uppgifter enligt denna lag har tystnadsplikt enligt vad som bestäms i lagen om offentlighet i myndigheternas verksamhet (621/1999) .
5 kap.Särskilda bestämmelser
26 §Straffbestämmelse
Bestämmelser om straff för personregisterbrott finns i 38 kap. 9 § strafflagen (39/1889) och bestämmelser om straff för personregisterförseelse finns i 48 § 2 mom. personuppgiftslagen.
27 §Förvaltningstvångsmedel
Om någon bryter mot denna lag eller mot föreskrifter som har utfärdats med stöd av den, kan Kommunikationsverket ålägga denne att rätta sitt fel eller sin försummelse. Beslutet kan förenas med vite eller med hot om att verksamheten kommer att avbrytas helt eller delvis eller att den försummade åtgärden kommer att vidtas på den försumliges bekostnad. Beträffande vite, hot om avbrytande och hot om tvångsutförande gäller vad som föreskrivs i viteslagen (1113/1990) .
Kostnaderna för en åtgärd som vidtagits på den försumliges bekostnad betalas av statens medel och indrivs hos den försumlige i den ordning som bestäms i lagen om indrivning av skatter och avgifter i utsökningsväg (367/1961) .
L om indrivning av skatter och avgifter i utsökningsväg har upphävts genom L om verkställighet av skatter och avgifter 706/2007 .
28 §Ändringssökande
I beslut som Kommunikationsverket har fattat med stöd av denna lag får ändring sökas enligt förvaltningsprocesslagen (586/1996) .
Kommunikationsverket kan i sitt beslut bestämma att beslutet skall iakttas innan det har vunnit laga kraft. Besvärsmyndigheten kan dock förbjuda verkställigheten av beslutet tills besvären har avgjorts.
29 §Ikraftträdande
Denna lag träder i kraft den 1 februari 2003.
Åtgärder som verkställigheten av lagen förutsätter får vidtas innan lagen träder i kraft.
30 §Övergångsbestämmelse
En certifikatutfärdare som har börjat tillhandahålla allmänheten kvalificerade certifikat innan denna lag har trätt i kraft skall inom tre månader från ikraftträdandet göra en anmälan enligt 9 §.
TrUB 21/2002
RSv 221/2002