«Юридические и коммерческие аспекты ввода в действие Директивы 1999/93/ЕС и практическое применение электронных подписей в странах-членах ЕС, ЕЭЗ, странах, вступающих в ЕС и странах-кандидатах Правовые и рыночные аспекты ...»

1.2.2 Рекомендации 1.2.2.1 Введение Наша первая рекомендация — не вносить изменений в Директиву. Подобные изменения следует считать крайней мерой, которая используется, только когда все другие меры признаны недостаточными. Внесение поправок в Директиву — длительный и трудоемкий процесс, которого следует по возможности избежать. Как и все Директивы ЕС, Директива об электронной подписи вне всяких сомнений является прекрасным нормативным актом.

Это компромисс, достигнутый в ходе продолжительных и сложных переговоров между государствами-членами ЕС, имевшими очень разные точки зрения на данный вопрос. Наш главный вывод состоит в том, что текст Директивы отвечает всем требованиям для того, чтобы выполнять свои задачи в ближайшем будущем; в то же время он нуждается в уточнении и новом толковании.

1.2.2.2 Общие рекомендации Главной целью Директивы было создание в Сообществе базовых условий для применения электронных подписей, обеспечивающих беспрепятственный товарооборот за пределами национальных границ и предоставление услуг, а также официальное признание электронной подписи в законодательстве на территории ЕС.

Ясно, что эта цель не была полностью достигнута. Тем не менее, отрицательный результат не обязательно связан с самой Директивой, а, скорее, с тем, как она была введена в действие в государствах-членах ЕС. Некоторые из положений Директивы, по всей видимости, были неправильно поняты, а государства-члены в процессе транспонирования Директивы в национальное законодательство не всегда принимали во внимание общеевропейскую перспективу развития этой новой регулирующей основы. Поэтому наша точка зрения на данный момент состоит в том, что существует насущная потребность в последовательном, ясном и реальном повторном истолковании положений Директивы.

Мы считаем, что Комиссии следует в первую очередь и главным образом исследовать пути утверждения такой трактовки Директивы, которая в большей степени была бы ориентирована на Сообщество. Конечно, окончательное решение о правильности толкования норм европейского законодательства принимает Европейский суд. В то же время Комиссия способна выпустить не имеющий обязательной силы документ, способный существенно повлиять на ситуацию с электронными подписями в Европе.

Издание такого документа можно дополнить рядом практических мер, реализуемых в короткие сроки.

1.2.2.3 Надзор за провайдерами сертификационных услуг (ПСУ) Обследованные в рамках данной работы страны Европы, видимо, испытывают сложности с нахождением компромисса между «необходимым надзором» за деятельностью провайдеров сертификационных услуг и полным запретом на работу без предварительного разрешения. В связи с этим было бы полезно опубликовать руководящие указания по организации надзора с целью привести его в соответствие с положениями Директивы.

Европейская Комиссия может принять меры против государств-членов, которые создали схемы надзора за ПСУ, ведущие к мерам, равносильным предварительному разрешению.

Руководящие указания, которые желательно опубликовать Европейской Комиссии, также могут внести ясность в ряд неразрешенных юридических вопросов в данной сфере. Одним из сложнейших вопросов является определение того, что на деле значит для ПСУ понятие «быть учрежденным на территории» (например, организация, выдающая сертификаты, учреждена в одной стране-члене ЕС, но работает с центрами регистрации, провайдерами служб каталогов и т.д. в других странах-членах — кто будет отвечать за организацию надзора?).

Не все государства-члены внедрили соответствующие схемы надзора за деятельность ПСУ, выдающих гражданам квалифицированные сертификаты. Комиссии следует принять меры в отношении этих стран, так как данная ситуация создает возможность того, что ПСУ, учрежденные в таких странах, будут выдавать квалифицированные сертификаты в других государствах-членах, оставаясь в то же время вне надлежащего контроля над своей деятельностью.

Идеальным решением является гармонизация систем надзора в государствах-членах, хотя бы до определенной степени. Мы думаем, что необходима поддержка инициатив в этом направлении. С нашей точки зрения, Комиссия должна осудить попытки надзора за ПСУ, не выдающими квалифицированных сертификатов гражданам.

Так как EESSI уже опубликовала в этой области ряд важных документов, рекомендуется поощрять обращение к этим спецификациям со стороны органов надзора. В то же время, с нашей точки зрения, необходимо пристальное наблюдение за тем, как надзорные органы применяют данные спецификации. Документы по стандартизации описывают возможные способы выполнения требований Директивы, но ПСУ, желающие выдавать гражданам квалифицированные сертификаты, ни в коем случае не должны считать их обязательными. Если ПСУ считает, что соответствует требованиям Приложений, он может выдавать квалифицированные сертификаты гражданам, не запрашивая на это предварительное разрешение.

1.2.2.4 Добровольная аккредитация Необходимо предпринять меры по разъяснению позиции европейских законодателей в отношении к схемам добровольной аккредитации для провайдеров сертификационных услуг. На наш взгляд, следует поощрять диверсификацию этих схем и их аккредитацию за рубежом. С другой стороны, Комиссия должна, насколько это возможно, препятствовать созданию национальных систем аккредитационных схем для провайдеров сертификационных услуг, выдающих гражданам квалифицированные сертификаты. Системы аккредитации в первую очередь должны заниматься оценкой передового опыта и надлежащих методов защиты, а не рассматриваться как средства контроля за соблюдением Директивы или норм национального законодательства.

Учитывая нехватку высококлассных специалистов в области информационной безопасности, а также относительно небольшое количество ПСУ, Комиссии следует способствовать объединению усилий на уровне Сообщества. Цель — создать ограниченное количество высококлассных европейских схем аккредитации, которые будут сосредоточиваться или специализироваться на конкретных категориях услуг в области сертификации для областей применения.

1.2.2.5 Защищенные устройства для создания подписей Отчасти в связи с тем, что Директива предъявляет в настоящее время очень высокие требования к защищенным устройствам для создания подписей, подобные устройства редко появляются на рынке. Чтобы стимулировать производство защищенных устройств создания подписей, требования в области официальной оценки соответствия в будущем должны стать более гибкими, а процедуры получения свидетельств о соответствии — менее длительными и менее затратными. Европейской комиссии следует поддерживать все инициативы в этом направлении.

В том, что касается правил, которые должны соблюдать организации, ответственные за проведение оценки соответствия, Комиссия должна обеспечить общее руководство и координацию действий. Решение Комиссии от 2000 года о минимальных критериях при назначении органов, проводящих оценку соответствия, является важным первым шагом, но оно требует дальнейших действий. Необходимо отслеживать независимость, прозрачность и отсутствие дискриминации в оценочных процедурах.

На взгляд авторов настоящего исследования, абсолютно необходимо развеять впечатление того, что каждое защищенное устройство создания подписей следует провести через навеянную Общими Критериями громоздкую процедуру оценки со стороны ответственного органа. Вместо этого нужно поощрять проведение упрощенных процедур оценки на основе 50-100 страниц документации, требующих 10-20 дней проверки. С целью не допустить самооценки, независимая сторона должна иметь возможность анализировать претензии к безопасности (в том, что касается Приложения III), предъявленные провайдером, и, до определенных пределов, проверять их соответствие текущему положению дел. Комиссии следует исследовать, как она сможет обеспечить выполнение обязательства представлять защищенные устройства создания подписей органам, ответственным за оценку соответствия, которые в настоящее время существуют во многих государствах-членах. Осуждение слишком строгой оценки соответствия может расширить ассортимент продуктов и, в то же время, защитить потребителей.

1.2.2.6 Исключение для государственного сектора Комиссии следует акцентировать внимание на условиях, которые необходимо выполнить, чтобы государство-член смогло использовать «исключение для государственного сектора» Статьи 3.7 Директивы. Государства-члены должны осознать, что правило отсутствия дискриминации согласно Статье 5.2 Директивы относится не только к частному, но и к государственному сектору.

Комиссия должна внимательнее изучить соответствие отдельных инициатив в области «электронного правительства» не только в связи с положениями Директивы об электронной подписи, но и в связи с общими правилами конкуренции в ЕС, особенно в отношении Статьи 86 Договора о создании Европейского Сообщества.

В общем, необходимо провести более детальное исследование того, к каким последствиям для внутреннего рынка приведут программы «электронного правительства» государств-членов. Существует явная угроза того, что эти программы приведут к возникновению национальных барьеров, разобщенности и несовместимости.

Инициативы в области улучшения совместимости программ «электронного правительства» и в особенности относящихся к ним приложений для электронной подписи, должны инициироваться и поддерживаться на европейском уровне.

1.2.2.7 Квалифицированные электронные подписи В отношении Статьи 5.1 главным образом необходимо внести ясность в сферу действия данного положения. Заинтересованным сторонам следует дать понять, что: 1) «Квалифицированная электронная подпись» — это не синоним «юридически действительной электронной подписи», и 2) выполнение требований к Квалифицированной электронной подписи является одним из требований, но не единственным требованием, дающим возможность применения правил собственноручной подписи.

С общеевропейской точки зрения, успешное применение Статьи 5.1 всецело зависит от наличия очень хорошо стандартизированной и легко распознаваемой европейской «квалифицированной электронной подписи», включая не только критерии для устройств создания подписей и для сертификатов, но и определение полной цепочки подписей и проверки подписей.

Стандартизированная «квалифицированная электронная подпись» должна лишь указывать пользователям на то, что подпись, соответствующая данному стандарту, будет считаться эквивалентной собственноручной подписи на всей территории Европы.

Необходимо препятствовать включению государствами-членами в свои новые нормативные акты ссылок на «квалифицированные электронные подписи». Понятие «квалифицированной электронной подписи» должно применяться главным образом по своему первоначальному назначению, то есть для того, чтобы электронная подпись была автоматически признана, и положения законодательства, относящиеся к собственноручным подписям, относятся и к электронным.

Государствам-членам следует дать понять, что концепция «квалифицированной электронной подписи» окажет наибольшую пользу при международных операциях в Европе. Она служит «паспортом», который гарантирует применение в каждом государстве-члене тех же правил, что применяются в отношении собственноручной подписи.

Приложения были более или менее точно транспонированы в национальное законодательство практически всеми обследованными странами. Осталось обеспечить ускорение их ввода в действие на территории Европы. Следует поддерживать любую инициативу в этом направлении. С другой стороны, реализацию Приложений на национальном уровне следует безоговорочно осудить.

Комиссия может рассмотреть возможность принятия мер против государств-членов, неверно транспонировавших Приложения, например, превративших рекомендации из Приложения IV в требования к квалифицированным электронным подписям на национальном уровне.

1.2.2.8 Правило об отсутствии дискриминации В том, что относится к Статье 5.2, существует насущная потребность в разъяснении.

Все заинтересованные стороны должны быть лучше проинформированы о целях и области применения данной нормы.

Комиссия должна систематически проверять, появилось ли в государствах-членах законодательство, относящееся к квалифицированным или аккредитованным электронным подписям, и выявлять случаи, когда такие ссылки не соответствуют правилам Статьи 5.2.

1.2.2.9 Стандартизация Комиссия и государства-члены должны обеспечивать правильное выполнение государствами-членами презумпции соответствия стандартам, включенным в Официальный бюллетень. В настоящее время это не везде так.

Комиссия и государства-члены должны способствовать продолжению работы над стандартами, которые относятся к Приложению II (f) и Приложению III, с целью содействия использованию альтернативных технологий для квалифицированных электронных подписей. Хотя большая часть современных стандартов является нейтральной в отношении технологий (насколько позволяют рамки PKI), они, например, все еще отдают предпочтение смарт-картам как защищенным устройствам создания подписей (SSCD).

Необходимо обеспечить сохранение в силе стандартов, включенных в Официальный бюллетень, либо передав CWA более постоянному органу (например, ETSI), либо подняв статус CWA до уровня Европейских норм.

Комиссии следует срочно обеспечить принятие единых спецификаций алгоритмов и параметров, а также общей процедуры поддержания актуальности этих спецификаций.

Сложность проблем архивации и проверки подлинности документов, подписанных электронным способом, спустя значительное время после подписания, зачастую воспринимается как препятствие применению электронной подписи. Комиссии следует способствовать работе над руководящими указаниями и стандартами в этих областях.

Комиссии и государствам-членам необходимо найти способы продвижения или рекомендации стандартов совместимости, уже разработанных ETSI, в рамках системы EESSI.

Комиссия должна поддержать работу, которая делается в EUCLID и CEN Workshop над методами электронной аутентификации, направив её в русло разработки необходимых европейских стандартов, с учётом результатов EESSI, PKI Challenge и других проектов.

Комиссия должна создать или способствовать созданию Европейского форума по проблемам электронной подписи, нацеленного на ПСУ, поставщиков продукции и приложений в целью стимулировать разработку и применение стандартов, а также, возможно, создание испытательных площадок для проверки совместимости.

Возможно, будет полезной систематическая проверка существующих документов в области стандартизации с точки зрения пользователя. В том, что касается квалифицированных электронных подписей, целью всех мероприятий в области стандартизации должна быть разработка спецификаций решения, дающего пользователю возможности использовать электронные подписи в масштабе всей Европы. Такое решение должно учитывать все аспекты электронной подписи, не только включая всю цепочку подписей, но и уделяя внимание проблемам, актуальным для среднестатистического пользователя, таким как простота применения, языковые барьеры, цена и т.д.

1.2.2.10 Провайдеры трастовых услуг Директива в первую очередь ориентируется на единственную бизнес-модель, которая находилась в центре внимания с 1998 по 2000 год, но затем постепенно вытеснялась в силу более сложной и неоднозначной рыночной ситуации. По этой причине регулирующие документы включают, например, очень подробные правила для поставщиков сертификатов, но ничего не говорят о других категориях провайдеров сертификационных услуг. Потребность в регулировании в отношении других провайдеров трастовых услуг, тем не менее, является как минимум столь же насущной, что и в отношении провайдеров сертификационных услуг. Например, существует явная потребность в правовом регулировании для провайдеров служб архивации или услуг заказной почты. С точки зрения пользователя, совершенно непонятно, почему такие сервисы остаются совершенно без контроля, тогда как для поставщиков сертификатов в то же время создана сложная база правового регулирования. В связи с этим мы рекомендуем провести исследования потребностей в правовом регулировании других категорий трастовых услуг.

1.2.2.11 Защита данных И последнее, хотя и не менее важное: необходимо совместить электронную аутентификацию с защитой персональных данных. Действующая в Европе система правового регулирования главным образом ориентируется на использование удостоверений личности (identity certificates). В последнее время в центр внимания попало улучшение защиты частной жизни в сетевой среде. Были проведены исследования различных возможностей совмещения электронной аутентификации с необходимостью сохранения анонимности или использования нескольких виртуальных личностей.

Инициативы Евросоюза по продвижению современных методик защиты персональных данных своих граждан не должны противоречить правовой базе в области электронных средств аутентификации. Необходимы дальнейшие изыскания путей совмещения анонимности и применения псевдонимов с положениями Директивы об электронных подписях.

Содержание

ПОСТАНОВКА ПРОБЛЕМЫ ИССЛЕДОВАНИЯ

ТЕРМИНЫ И СОКРАЩЕНИЯ

ГЛАВА 1. ЕВРОПЕЙСКАЯ ДИРЕКТИВА ОБ ЭЛЕКТРОННЫХ ПОДПИСЯХ

ГЛАВА 2. ТРАНСПОНИРОВАНИЕ ДИРЕКТИВЫ

ГЛАВА 3. ВОПРОСЫ СТАНДАРТИЗАЦИИ В СФЕРЕ ЭЛЕКТРОННЫХ

ГЛАВА 4. ЭЛЕКТРОННЫЕ ПОДПИСИ НА ПРАКТИКЕ

Описание содержания и основное толкование статей Директивы [Глава 1] Обзор реализации Директивы в национальном законодательстве обследованных стран Европы [Главы 2, 3 и 4] Рассуждения о целях Директивы и достигнутых результатах, с учётом способов интерпретации данных целей в национальных правовых системах и рыночном опыте [Глава 5] Первичные материалы и пояснительные таблицы, иллюстрирующие сделанные выводы, содержатся в Приложениях (см. описание ниже).

В Главе 1 идет обсуждение главных целей и содержания Директивы статья за статьей.

Цель данного анализа состоит в том, чтобы помочь читателю понять, посредством объективного описания содержания Директивы, основания, на которых она построена, и основные проблемы, с которыми столкнулись национальные законодатели в процессе интерпретации или транспонирования Директивы. Анализ каждой статьи сделан по возможности объективным и нейтральным. Данная глава даёт краткий, но полезный обзор всех тринадцати Статей Директивы, включая Приложения, и служит точкой отсчёта для следующих глав.

В Главе 2 изучается ввод Директивы в действие в тридцати одной стране Европы (государства-члены ЕС и ЕЭЗ, страны, вступающие в ЕС, страны-кандидаты и Швейцария). Статья за статьей в ней описывается, как данные страны поняли и интерпретировали положения Директивы, а также то, какие решения они разработали.

Данная глава не претендует на всеохватывающее и подробное описание законов каждой из стран в отношении электронных подписей. Основное внимание было уделено отличиям общего толкования Директивы от важнейших моментов, обнаруженных в исследованных национальных законах. Во многих случаях за объективным описанием транспонирования конкретной статьи в национальные правовые системы следует короткий перечень выводов.

Данная информация дополняется перечнем карточек стран в Приложении 4. Эти карточки представляют собой краткую сводку по приведению в исполнение Директивы в каждой из обследованных стран и затрагивают основные положения Директивы. Результаты, описанные в Главе 2, как и карточки по странам, были собраны при помощи подробных анкет и дополнительной литературы, высланных нам национальными корреспондентами.

Глава 3 очерчивает роль стандартов в выполнении положений Директивы. Она начинается с краткого описания и оценки первой общеевропейской инициативы по установлению стандартов в области электронной подписи (EESSI). Затем она переходит к обсуждению потребностей в обеспечении совместимости в том виде, как это установлено Директивой, а также (возможных) способов удовлетворения требований к совместимости при помощи стандартов. Далее упоминаются попытки содействия разработке совместимых решений в области электронной подписи на национальном уровне и на уровне Комиссии ЕС.

В Главе 4 приведен обзор практических и коммерческих применений электронной подписи в обследованных странах. Во-первых, в ней указываются важнейшие применения электронной подписи, имеющие место в каждой из стран в настоящее время, с акцентом на технологию PKI. Во-вторых, в данной главе даны предварительные размышления на тему трудностей, стоящих перед рынком, в полной (в сравнении с прочими альтернативными технологиями) реализации решений в области PKI.

Данная глава сопровождается подборкой кратких отчётов из Приложения 3, иллюстрирующих коммерческие и технические особенности применений электронной подписи по странам.

Основные выводы в свете результатов анализа, проведенного в предшествующих главах, обсуждаются в Главе 5. В ней собраны конструктивные замечания и рекомендации, учитывающие логические обоснования по Директиве, цели и правовые/рыночные изменения, которые исследовались в предыдущих частях.

Глава 1. Европейская директива об электронных подписях Исследование начинается с постатейного анализа Директивы ЕС 1999/93/EC, принятой Европейским парламентом и Советом 13 декабря 1999 года и устанавливающей в Сообществе правовую основу применения электронных подписей. Там, где это применимо, анализ Директивы также касается документов в области стандартизации, разработанных в контексте EESSI.

1.1 Область применения Директивы (Статья 1) Согласно Статье 1, целью Директивы является 1) способствовать применению электронных подписей и содействовать их юридическому признанию, а также 2) создать правовую основу для электронной подписи и отдельных услуг в области сертификации с целью обеспечить надлежащее функционирование внутреннего рынка. Иными словами, Директива преследует двойную цель.

В том, что касается первой цели, формулировка Статьи 1 достаточно осторожная.

Директива не содержит все нормы, относящиеся к электронным подписям. Она скорее нацелена на то, чтобы «способствовать их применению». В Директиве также не выражается намерение полностью разрешить вопрос юридического признания электронных подписей: она лишь стремится «содействовать».

Вторая цель — создать единую европейскую правовую основу в целях избежания расхождений в национальных законах для данной области регулирования. В ходе нашего анализа положений Директивы мы раскроем, что подразумевается в этом отношении под термином «правовая основа». Данная основа не охватывает все виды услуг в области сертификации, ограничиваясь лишь «отдельными» из них. Далее мы увидим, что правовая основа в первую очередь относится к тем, кто выдаёт сертификаты, и в гораздо меньшей степени — к другим категориям провайдеров сертификационных услуг.

Далее в Главе 1 говорится, что Директива «не затрагивает вопросы, относящиеся к заключению и юридической действительности контрактов либо иных правовых обязательств, требования к форме которых установлены национальным законодательством или законами Сообщества». В декларации факта (17) указано, что «в цели Директивы не входит гармонизация национальных правил в отношении договорного права, особенно в отношении заключения и выполнения договоров, либо иных формальных действий недоговорного характера, относящихся к подписям. По этой причине положения, касающиеся юридической силы электронных подписей, должны действовать не в ущерб формальным требованиям, установленным в национальном законодательстве по отношению к заключению договоров или правилам, определяющим, когда договор считается заключенным». Следовательно Директива не касается национальных норм, требующих, например, использования бумажных носителей для определенных типов договоров. Далее Статья 1 указывает на то, что Директива не касается правил и ограничений на использование документов, установленным национальным законодательством или законами Сообщества. Многие нормы законодательства государств-членов предполагают применение определенных форм, например, для налоговых деклараций, разрешений на Устранение юридических препятствий к заключению договоров электронными средствами является предметом Статьи 9 «Директивы об электронной коммерции».

застройку и т.д. Иногда закон требует, чтобы документы хранились в течение определенного времени. До тех пор, пока этими законами не будет разрешено использование электронной формы или электронных архивов документов, электронная подпись в данных сферах также не будет применяться.

В декларации факта (16) мы можем прочитать, что Директива «содействует применению и юридическому признанию электронной подписи внутри Сообщества. Наличие базы регулирования не требуется, если электронная подпись используется исключительно внутри систем, основанных на добровольных частных соглашениях между определенным числом участников; свобода сторон договариваться между собой об условиях, на которых они принимают подписанные электронным способом данные, должна соблюдаться в пределах, разрешенных национальным законодательством; юридическая сила электронных подписей, используемых в подобных системах, и их пригодность в качестве доказательств в процессуальных действиях должны официально признаваться». В пояснительной записке к проекту Директивы Комиссия объясняет это так: «Существуют очевидные применения технологии электронной подписи в закрытых средах, например, в локальных вычислительных сетях компаний или в банковских системах. Сертификаты и электронные подписи также используются в целях авторизации, например, для получения доступа к личному счету. В пределах, установленных национальным законодательством, принцип свободы договора позволяет сторонам установить между собой соглашение об условиях, на которых они ведут коммерческую деятельность, например, принимают электронные подписи. В этих областях явной потребности в регулировании нет». Одна из главных целей — гарантировать совместимость продуктов для электронной подписи. Чтобы обеспечить свободное движение в пределах внутреннего рынка и укреплять доверие к электронной подписи, следует выполнить ряд важных требований, специфичных для такого типа продуктов. Однако в декларации факта (5) говорится о том, что это должно быть сделано без ущерба для выполнения Постановления Совета 3381/94/EC от 19 декабря 1994 года, устанавливающего в Сообществе режим контроля над экспортом товаров двойного назначения и Решения Совета 94/942/CFSP от 19 декабря 1994 года о совместных действиях, одобренных Советом, по контролю над экспортом товаров двойного назначения. Кроме того, Директива об электронных подписях не гармонизирует процесс предоставления услуг в том, что касается конфиденциальности информации, если это регулируется нормами национального законодательства в сфере публичного порядка или общественной безопасности. 1.2 Определения (Статья 2) 1.2.1 (Усовершенствованная) электронная подпись До издания Комиссией первого варианта проекта Директивы в мае 1998 года во всех европейских документах по этому вопросу использовался термин «цифровая подпись». В проекте Директивы за май 1998 года Европейская комиссия начала использовать понятие «электронной» подписи. Определение «электронной подписи» в первом проекте документа было, тем не менее, более или менее идентично современному понятию «усовершенствованной» электронной подписи.

Предложение для Европейского парламента и Совета Европы: Директива о единой правовой основе для электронных подписей, COM(98)297final, стр. 6.

См. декларацию факта (6).

В окончательном варианте текста понятие «электронная подпись» было сформулировано чрезвычайно широко: «данные в электронном виде, присоединенные или логически связанные с другими электронными данными, и служащие в качестве метода аутентификации». Констатация факт (8) объясняет этот подход, говоря, что «быстрое развитие технологий и глобальная природа Интернета приводят к необходимости в подходе, открытом для различных технологий и сервисов, обеспечивающих электронную аутентификацию данных». Там же разъясняется, что термин «электронная подпись»

относится к «аутентификации данных» и не затрагивает методы и технологии «аутентификации объектов». Например, ввод PIN-кода для доступа к электронному банковскому счёту на подпадает под определение «электронной подписи». Напротив, ввод того же самого кода для подтверждения финансовой операции является примером аутентификации данных и поэтому считается электронной подписью.

Несмотря на очень широкое определение, необходимо помнить, что понятие «подпись» в том виде, в котором оно используется в Директиве, относится к юридической, а не к технической концепции. Цель данного определения состоит не только в том, чтобы охватить все настоящие и будущие технологии, которые могут использоваться для электронной подписи, но и включить все возможные значения термина «подпись» в законодательстве государств-членов. Хорошо известно, что термин «подпись» имеет разное юридическое значение в разных странах-членах Союза. Например, отпечатанное имя или даже печать компании на документе будут считаться в Великобритании имеющей юридическую силу официальной подписью, в то время как понятие «подписи» во Франции, Бельгии или Германии — во всяком случае, до последнего времени — включало только собственноручные подписи. Можно сказать, что определение «электронной подписи», принятое в Директиве — это самый большой общий знаменатель всех понятий «подписи», используемых в законодательстве стран-членов ЕС.

Очень вероятно, что юридическая концепция «подписи» будет развиваться и расширяться с увеличением масштабов использования электронных подписей, но, в любом случае, важно явным образом отделить её от технической концепции (цифровой) подписи.

Множество применений технологии цифровой подписи не будут считаться электронной подписью по законам стран-членов ЕС. Разделение этих двух понятий особенно важно там, где технология цифровой подписи используется и для аутентификации объектов (например, для контроля доступа к веб-порталу), и для создания электронных подписей. К счастью, очень широкое определение термина «электронная подпись» не имеет больших юридических последствий, поскольку, за исключением Статьи 5.2, все положения Директивы относятся к «усовершенствованным» или так называемым «квалифицированным» электронным подписям. А целью статьи 5.2 как раз является — как далее будет показано в этом отчёте — запрещение отвергать какие-либо электронные подписи априори. Во всех случаях, когда электронная подпись — в самом широком понимании — представляется судебному или государственному учреждению, её значение и область применения будут исследоваться применительно к каждому конкретному случаю.

«Усовершенствованная электронная подпись» — это электронная подпись, соответствующая следующим четырем требованиям:

1. уникальным образом связана с подписывающим лицом;

Примеры можно обнаружить в проектах «электронных удостоверений», например, в Финляндии или в Бельгии. Удостоверение содержит две пары ключей: одну для контроля доступа (аутентификация объекта), и одну для электронной подписи (аутентификация данных).

2. позволяет идентифицировать подписывающее лицо;

3. создана средствами, которые подписывающее лицо может единолично контролировать;

4. связана с данными, к которым она относится, так, что любое последующее изменение данных может быть обнаружено.

Нетрудно заметить, что эти требования сформулированы в максимально общем и технологически нейтральном духе. Впрочем, на практике данное определение главным образом относится к электронным подписям, основанным на технологии цифровой подписи или, иными словами, использующим криптографию с открытым ключом. В системе EESSI формат Усовершенствованной электронной подписи был описан в технических спецификациях ETSI (TS 101 733). Они основываются на существующем стандартном формате, который чаще всего используется на рынке приложений для защиты электронной почты и документов (т.е. Интернет-спецификации RFC 2630). В них также указано, как использовать службы фиксации времени или доверенного архивирования для того, чтобы гарантировать юридическую силу подписи для последующего представления в качестве доказательства при возникновении спора. В документе описано, как синтаксис криптографических сообщений RFC 2630 должен применяться в отношении усовершенствованных электронных подписей, определены дополнительные поля и процедуры, совместимые с данным синтаксисом и позволяющие сохранять юридическую силу подписи в течение долгого времени. Доказательства, представляемые посредством использования формата ETSI, не дают подписывающему лицу впоследствии отказаться от подписи, и могут быть проверены даже когда истекает срок действия обеспечивающего сертификата. «Подписывающее лицо» определено как «лицо, владеющее устройством для создания подписей и действующее либо от своего имени, либо от имени другого физического лица, юридического лица или объекта, которых оно представляет». Европейский парламент предложил внести уточнение, что подписывающим лицом может быть только физическое лицо, но эта поправка не была включена в окончательный вариант текста. Возможная причина этого состоит в том, что в некоторых странах-членах ЕС, таких как Великобритания, документ считается «подписанным» не только при наличии собственноручной подписи физического лица, но и будучи заверенным печатью компании, штампом или просто именем, поскольку это обеспечивает достаточно ясную аутентификацию.8 Тем не менее, нам кажется, что, хотя электронная подпись и не обязательно должна быть связана с физическим лицом (другие объекты тоже могут «подписывать»), подписывающее лицо всегда будет тем (физическим) лицом, которое «владеет» устройством для создания подписи. Даже в странах, где, например, подписи могут быть прямо соотнесены с юридическими лицами, с юридической точки зрения является необходимым идентифицировать физическое лицо (лица), которое фактически активировало устройство с целью генерации подписи.

В отличие от первоначального проекта Директивы, подписывающее лицо более не является «лицом, создающим электронную подпись»: это лицо, владеющее устройством для создания подписи. Определение такого устройства приведено в Статье 2.5:

«сконфигурированное программное или аппаратное обеспечение, обеспечивающее реализацию данных для создания подписи». Самый распространенный пример такого устройства — смарт-карта, но существует множество устройств подобного рода, Текст стандарта ETSI TS 101 733 «Форматы электронной подписи» V.1.4.0 (на английском языке) доступен по адресу http://portal.etsi.org/esi/el-sign.asp Chris Reed, “What is a signature?”, JILT 3000/3, доступно по адресу http://elj.warwick.ac.uk/jilt/00-3/reed.html например, смарт-ручка, мобильный телефон, КПК или жесткий диск компьютера.

Подписывающее лицо — это тот, кто владеет таким устройством и действует с целью генерировать подпись. Подписывающее лицо может действовать от своего имени либо от имени другого физического лица, юридического лица или объекта, которых оно представляет.

Данные для создания подписи — это «уникальные данные, например, коды или секретные криптографические ключи, которые используются подписывающим лицом для создания электронной подписи». Следовательно, термин «данные для создания подписи» относится к секретному ключу, тогда как «данные для проверки подписи» (определены как «данные, такие как коды или открытые криптографические ключи, которые применяются с целью проверки электронной подписи») — это технологически нейтральный синоним открытого ключа. Программное или аппаратное обеспечение, используемое для проверки открытого ключа, называется «устройство проверки подписи».

Устройства для создания подписей и устройства проверки подписей являются частью более широкого класса «продуктов для электронной подписи». Определение им дано в Статье 2.12: «аппаратное или программное обеспечение, или соответствующие их компоненты, предназначенные для использования провайдером сертификационных услуг в целях предоставления услуг электронной подписи либо для создания или проверки электронных подписей».

1.2.2 Сертификаты и услуги в области сертификации В Статье 2.9 «сертификат» определен как «электронное свидетельство, связывающее данные для проверки подписи с лицом и подтверждающее личность этого лица».

«Квалифицированным сертификатом» называется «сертификат, соответствующий требованиям, изложенным в Приложении I, и предоставляемый провайдером сертификационных услуг, который соответствует требованиям, изложенным в Приложении II к Директиве».

Приложение I включает 10 требований к Квалифицированным сертификатам. Такой сертификат должен включать следующее:

(a) Указание на то, что данный сертификат выдан как квалифицированный;

(b) Обозначение Провайдера услуг сертификации и государства, в котором он учрежден;

(c) Имя подписывающего лица или псевдоним, который должен быть обозначен как таковой;

(d) Возможность включения, если это необходимо, специального атрибута подписывающего лица, в зависимости от цели, для которой предназначен сертификат;

(e) Данные для проверки подписи, соответствующие данным для создания подписи, которые находятся в распоряжении подписывающего лица;

(f) Указание на начало и конец срока действия сертификата;

(g) Идентификационный код сертификата;

(h) Усовершенствованная электронная подпись провайдера сертификационных услуг, выдавшего сертификат;

(i) Ограничения на область использования сертификата, если это применимо;

(j) Ограничения на стоимость транзакций, для которых может использоваться сертификат, если это применимо.

Технические спецификации ETSI (TS 101 862) определяют, как сертификаты открытых ключей в формате X.509, доминирующие на ранке инфраструктуры открытых ключей, могут быть использованы для выполнения требований Приложения I Директивы. Кроме того, там, где в настоящее время не определен механизм выполнения какого-либо требования (например, ограничения на стоимость транзакции), спецификации определяют необходимые дополнительные структуры данных, основываясь на существующих возможностях расширения, заложенных в формат X.509. Провайдеры сертификационных услуг, выдающие квалифицированные сертификаты, должны, согласно Приложению II:

(a) Продемонстрировать уровень надёжности, необходимый для предоставления услуг в области сертификации;

(b) Обеспечить функционирование быстрого и безопасного каталога, а также безопасной и своевременно работающей службы отзыва сертификатов;

(c) Гарантировать точность определения времени выдачи или отзыва сертификата;

(d) Проверять надлежащими средствами в соответствии с национальным законодательством личность и, если это применимо, какие-либо специальные атрибуты лица, которому выдан квалифицированный сертификат;

(e) Принимать на работу сотрудников, обладающих экспертными знаниями, опытом и квалификацией, необходимыми для предоставления услуг; в рамках определенной компетенции на уровне принятия решений — знать технологию электронной подписи и быть знакомыми с соответствующими процедурами безопасности. Они также должны использовать административные и управленческие процедуры, соответствующие ситуации и официально признанным стандартам;

(f) Пользоваться надёжными системами и продуктами, которые защищены от изменений, и обеспечивать техническую и криптографическую безопасность поддерживаемого ими процесса; (g) Принимать меры против подделки сертификатов и, в случаях, когда провайдер сертификационных услуг генерирует данные для создания подписей, гарантировать конфиденциальность в ходе процесса генерации этих данных;

(h) Обладать достаточными финансовыми ресурсами для работы в соответствии с требованиями, изложенными в Директиве, в особенности для несения риска возможной ответственности за ущерб, например, путем получения соответствующей страховки;

ETSI TS 101 862 V.1.2.1 (2001-06) доступен по адресу:

http://webapp.etsi.org/exchangefolder/ts_101862v010201p.pdf Требования к безопасности защищенных систем управления сертификатами для электронных подписей были определены в двух связанных между собой соглашениях рабочих групп CEN (CWA). Первое из них, CWA 14167 Part 1, определяет общие требования к безопасности компонентов защищенных систем, применяемых провайдерами сертификационных услуг (ПСУ) для создания стандартных квалифицированных сертификатов. Второе, CWA 14167 Part 2, определяет специальные требования к криптографическим модулям ПСУ. Обеспечив соответствие этим спецификациям для своих систем и криптоустройств, ПСУ выполняет требования к защищенным системам, указанные в пункте f) Приложения II Директивы. Соглашения рабочих групп, относящиеся к электронным подписям, доступны по адресу:

http://www.cenorm.be/cenorm/businessdomains/businessdomains/informationsocietystandardizationsystem/publish ed+cwas/cwa+download+area.asp (i) Вести записи всех значимых данных, относящихся к квалифицированному сертификату, за соответствующий промежуток времени, в особенности в целях предоставления доказательств сертификации в целях судопроизводства. Записи могут вестись электронным способом;

(j) Не хранить и не копировать данные для создания подписи, принадлежащие лицу, которому провайдер услуг сертификации предоставил услуги по управлению ключами;

(k) Перед вступлением в договорные отношения с лицом, нуждающимся в сертификате для поддержки своей электронной подписи, посредством надежных средств связи известить это лицо о точных условиях, относящихся к использованию сертификата, включая любые ограничения его применения, существование схемы добровольной аккредитации и процедур урегулирования жалоб и споров. Эта информация, которая может передаваться электронным способом, должна быть в письменной форме и на доступном языке. Части этой информации, имеющие отношение к делу, должны также предоставляться по запросу третьих сторон, зависящих от сертификата;

(l) Использовать надёжные системы хранения сертификатов в верифицируемой форме, так, что:

Ввод и изменение данных могут производить только уполномоченные лица;

Подлинность информации может быть проверена;

Сертификаты публично доступны для получения только в тех случаях, когда получено согласие владельца сертификата;

Все технические изменения, нарушающие эти требования безопасности, становятся видимыми для оператора.

В технических спецификациях ETSI (TS 101 456) приведены требования к управлению безопасностью и к политике безопасности провайдеров сертификационных услуг, выдающих квалифицированные сертификаты. Определены две специальных политики для: 1) ПСУ, выдающих квалифицированные сертификаты гражданам; и 2) ПСУ, выдающих гражданам квалифицированные сертификаты и требующие использования защищенного устройства для создания подписей. Кроме того, спецификации устанавливают единую основу для других политик ПСУ, выдающих квалифицированные сертификаты, включая те, что применяются в замкнутых сообществах. Статья 2.9 Директивы содержит очень широкое определение понятия «провайдер сертификационных услуг»: «объект, юридическое или физическое лицо, выдающее сертификаты или предоставляющее иные услуги, связанные с электронными подписями».

Декларация факта (9) поясняет это: «электронные подписи будут использоваться в широком диапазоне ситуаций и областей применения, что приведет к появлению обширного ассортимента продуктов и услуг, использующих электронные подписи или связанных с ними; определение таких продуктов и услуг не должно быть ограничено выдачей сертификатов, но должно также включать любую другую услугу или продукт, использующий или дополняющий электронные подписи, в том числе службы регистрации, каталогов и фиксации времени, вычислительные службы или консалтинговые услуги, связанные с электронными подписями».

ETSI TS 101 456, V.1.2.1 (2002-04) доступен по адресу:

http://webapp.etsi.org/exchangefolder/ts_101456v010201.pdf В соответствии с декларацией факта (12), ПСУ должны учреждаться в соответствии с национальным законодательством. Страны-члены ЕС могут свободно учреждать государственные организации с функциями ПСУ. ПСУ, контролируемый государством, может создаваться в различных формах, в зависимости от административного законодательства соответствующей страны-члена ЕС. В большинстве случаев применительно к государственным органам существует возможность выбора между созданием ПСУ как части администрации, как юридического лица под управлением государства либо как частного юридического лица с преобладанием государственной собственности. Приемлемая форма учреждения такого провайдера сертификационных услуг будет зависеть от требуемой степени государственного контроля над ним.

Конечно, в том случае, когда страна-член ЕС создает ПСУ, контролируемого государством, ей придется принять во внимание применимость европейских и национальных правил конкуренции. Хотя физическое лицо теоретически способно предоставлять услуги сертификации, необходимый объем организационных и административных действий потребует создания какого-либо объединения. Тем не менее, физическое лицо могло бы действовать в качестве подобъекта другого ПСУ, например центра регистрации. В большинстве случаев, когда физическое лицо принимает на себя функции доверенной третьей стороны, оно действует не от своего лица, но от лица другого объекта. Например, если генеральный директор какой-либо компании выдает сотрудникам этой компании сертификаты, он действует от имени компании, а не от своего имени как физического лица. В немногих случаях, когда физическое лицо действительно может стать ПСУ, создание объединения не является необходимым.

Наиболее обычная форма предоставления сертификационных услуг предполагает использование частного юридического лица. В отношении своей организации ПСУ может также быть подобъектом другой корпорации или объединения, состоящего из других подобъектов. Допустимая и подходящая форма корпорации зависит от законов страны, в которой учреждается провайдер сертификационных услуг. Как и в любых других коммерческих предприятиях, наиболее подходящая форма объединения для ведения бизнеса должна определяться на основе ряда факторов. Главные из этих факторов включают применимые налоговые правила и ограничения ответственности, размер корпорации, доступный капитал и т.д.

Хотя Директива явно не предписывает наличие связи между ЦС (Центром сертификации) и ЦР (Центром регистрации), в основе её лежи предположение, что ПСУ должен выполнять обе эти функции или, точнее, что обе эти функции должны выполняться в сфере ответственности ПСУ, выдающего сертификаты.

В данном контексте особую важность имеет Статья 86 Договора о создании Европейского сообщества. В первых двух параграфах этой Статьи изложено следующее:

«1. В случае с государственными предприятиями и предприятиями, получившими от Стран-членов специальные или исключительные права, Страны-члены не введут и не будут сохранять в силе какие-либо меры, противоречащие правилам настоящего Договора, в особенности меры, предусмотренные в Статье 12, а также в Статьях с 81 по 89.

2. Деятельность предприятий, которым поручены процессы обслуживания, имеющие общее экономическое значение либо имеющие характер производящей прибыль монополии, должна ограничиваться правилами настоящего Договора, в особенности правилами конкуренции, настолько, насколько применение данных правил не препятствует, юридически или фактически, выполнению этими предприятиями конкретных задач, порученных им. Развитие торговли не должно быть затронуто в такой степени, чтобы это могло противоречить интересам Сообщества».

1.3 Рынок сертификационных услуг (Статьи 3.1, 3.2, 3.3 и 4.1) 1.3.1 Свободное обращение услуг в области сертификации Центральная норма, относящаяся к сертификационным услугам — в самом широком понимании — это Статья 4.1 Директивы. Она предусматривает, что каждая страна-член должна применять нормы национального законодательства, которые она принимает в соответствии с Директивой, в отношении провайдеров сертификационных услуг, учрежденных на её территории, и предоставляемых ими услуг. Государства-члены не могут ограничивать предоставление сертификационных услуг ПСУ из другого государства-члена в областях, регулируемых Директивой.

Иными словами, Статья 4 представляет принцип «страны происхождения»

сертификационных услуг. Провайдеры сертификационных услуг подчиняются правилам страны, в которой они учреждены («страны происхождения»). Им не приходится учитывать правила всех стран-членов, на территории которых они предоставляют свои услуги. Пока они выполняют правила страны, в которой они учреждены, их услуги должны считаться соответствующими правилам всех стран-членов, в которых они работают. В каждом государстве-члене провайдеры, учрежденные в других государствахчленах, должны иметь те же возможности предоставления своих услуг, что и провайдеры, учрежденные в данной стране-члене, в особенности в сферах, регулируемых Директивой.

Системы надзора или аккредитации в первую очередь не должны приводить к юридическим или фактическим ограничениям процесса предоставления сертификационных услуг провайдерами, учрежденными в других странах-членах.

Понятие организации было разработано Европейским судом в контексте свободы и права открытия частной практики, что гарантируется Статьей 43 Договора об образовании Европейского сообщества. В деле Гебхарда Суд констатирует, что «понятие организации в понимании Договора является очень широким и позволяет гражданину Сообщества на стабильной и непрерывной основе участвовать в экономической жизни страны-члена, отличной от его страны происхождения, и получать от этого прибыль, делая таким образом вклад в экономическое и социальное взаимопроникновение внутри Сообщества в данной сфере деятельности как лицо свободной профессии». Основные требования к организации, по-видимому, включают: (i) постоянный характер, т.е. стабильность и долговременность организации14, (ii) в течение неопределенного периода, (iii) нахождение в стране-члене ЕС, отличной от страны происхождения и (iv) фактическое осуществление экономической деятельности. Значение термина «организация» должно рассматриваться в противопоставлении с понятием «предоставление услуг» из Статьи 49 Договора об образовании Европейского сообщества.16 По существу, отличие относится к временному характеру процесса предоставления услуг в стране-члене ЕС, не являющейся страной происхождения.

Временный характер этой деятельности должен определяться в свете не только продолжительности предоставления данной услуги, но и регулярности, периодичности и Gebhard v Consiglio dell’ Ordine degli Avvocati e Procuratori di Milano (Case C-55/94)[1995] ECR I-4165, para.

25;

INASI v Kemmler (Case С-53/95) [1996] ECR I-704, para 8.

R.v Secretary of State for Transport, ex p. Factortame (Case C-221/89) [1991] ECR-I-3905, para 20;

P. Craig, G. De Burca, EU Law, Text, Cases and Materials, 1998, Oxford University Press, 728;

непрерывности.17 Факт наличия у провайдера какой-либо инфраструктуры не обязательно означает потерю временного аспекта предоставляемых услуг.

Если провайдер сертификационных услуг учрежден только в одном государстве-члене ЕС, он будет подчиняться нормам законодательства, принятым в данном государстве-члене ЕС в сфере применения Директивы. Законодательство этой страны-члена будет применимо в отношении услуг, предоставляемых в других странах-членах ЕС. Например, ПСУ, учрежденный в Бельгии, останется под контролем бельгийского законодательства, даже если он предоставляет большую часть своих услуг в других государствах-членах.

Другие государства-члены не имеют права налагать ограничения на предоставляемые бельгийским провайдером услуги, даже если бельгийские правовые нормы в сфере действия Директивы являются менее жесткими. Если ПСУ учрежден более чем в одном государстве-члене, он будет подчиняться законам всех этих государств-членов. 1.3.2 Запрет предварительного утверждения Статья 3.1 запрещает государствам-членам ставить предоставление сертификационных услуг в зависимость от предварительного разрешения. В декларации факта (10) указано, что «внутренний рынок позволяет провайдерам сертификационных услуг работать в других странах с целью увеличения своей конкурентоспособности, предлагая, таким образом, потребителям и фирмам новые возможности обмена защищенного обмена информацией и электронной торговли, невзирая на границы. В целях стимуляции предоставления сертификационных услуг на территории Сообщества через общедоступные сети, провайдеры сертификационных услуг должны свободно предоставлять свои услуги без предварительного утверждения. Предварительное утверждение означает не только какое-либо разрешение, которое провайдер сертификационных услуг должен получить по решению национальных органов, перед тем как он сможет предоставлять услуги в области сертификации, но также любые иные меры, имеющие тот же эффект».

В результате этого любой провайдер сертификационных услуг может предоставлять свои услуги без предварительного разрешения. В то же время Директива требует от государствчленов обеспечивать соблюдение положений европейской директивы провайдерами сертификационных услуг.19 В итоге государства-члены должны гарантировать, что провайдеры сертификационных услуг, работающие на их территории, предоставляют свои услуги в соответствии с Директивой об электронной коммерции, но государства-члены не могут осуществлять контроль и требовать предварительного утверждения. Тем самым национальным законодателям придется искать способ осуществлять надзор без создания системы обязательного освидетельствования до начала предоставления услуг.

1.3.3 Добровольная аккредитация В Статье 3.2 указано, что, без ущерба для запрета, сформулированного в Статье 3.1, «Государства-члены могут внедрять или обеспечивать существование систем Gebhard v Consiglio dell’ Ordine degli Avvocati e Procuratori di Milano (Case C-55/94)[1995] ECR I-4165, para.

26;

В тех случаях, когда ПСУ квалифицируется как «провайдер услуг информационного общества», необходимо также принимать во внимание требования, определенные Директивой об электронной коммерции. См. Директиву Европарламента и Совета Европы № 2000/31/EC от 8 июня 2000 года «Об отдельных правовых аспектах услуг информационного общества, в особенности электронной коммерции, на Внутреннем рынке», Официальный бюллетень за 2000 год, № L178/1;

добровольной аккредитации, нацеленных на повышение уровня предоставляемых сертификационных услуг». Добровольная аккредитация определена в Статье 2.13 как «какое-либо разрешение, устанавливающее права и обязанности непосредственно в отношении предоставления сертификационных услуг, которое предоставляется по запросу заинтересованного провайдера сертификационных услуг государственной или частной организацией, ответственной за разработку и надзор за соблюдением данных прав и обязанностей, в то время как провайдер сертификационных услуг не имеет полномочий пользоваться правами, вытекающими из этого разрешения, пока не будет получено решение уполномоченной организации».

Далее, согласно Статье 3.2 Директивы, «все условия, относящиеся к таким системам, должны быть объективными, прозрачными, соразмерными и не дискриминационными.

Государства-члены не могут ограничивать количество аккредитованных провайдеров сертификационных услуг по причинам, которые попадают в сферу действия настоящей Директивы». Декларация факта (11) разъясняет, что «системы добровольной аккредитации, нацеленные на повышение уровня предоставления услуг, могут предлагать провайдерам сертификационных услуг соответствующую основу для развития их услуг в направлении уровней доверия, безопасности и качества, требуемых развивающимся рынком; такие схемы должны способствовать выработке лучших методов среди провайдеров сертификационных услуг; провайдеры сертификационных услуг не должны испытывать каких-либо ограничений в своем стремлении придерживаться таких систем аккредитации и получать пользу от них». В декларации факта (12) указано, что «Государства-члены не должны запрещать деятельность провайдеров сертификационных услуг вне добровольных схем аккредитации», а также то, что «необходимо гарантировать, что такие схемы аккредитации не ведут к снижению конкуренции в области сертификационных услуг».

Идея, лежащая в основе систем добровольной аккредитации, состоит в создании для провайдеров стимула к повышению качества услуг с целью соответствовать требованиям системы аккредитации. Наличие заверенного свидетельства соответствия позволит привлечь потенциальных клиентов. В сравнении с обязательным наблюдением системы добровольной аккредитации, как предполагается, должны иметь ряд преимуществ:

способность легче приспосабливаться к нововведениям в быстро изменяющейся технической среде. Поскольку системы аккредитации регулируются рыночными силами (т.е. игрокам на рынке приходится оценивать, стоит ли ожидаемое в результате повышения доверия со стороны клиентов увеличение прибыли затрат на обеспечение соответствия требованиям к безопасности, предъявляемых системой аккредитации), они должны более оперативно приспосабливаться к потребностям бизнеса.

Создание различных систем аккредитации, открытых для провайдеров сертификационных услуг всех стран, в идеальном случае должно привести к усилению конкуренции между этими системами. Согласно Директиве, системы аккредитации не могут основываться на дискриминационных требованиях. Тем самым, ограничение круга участников такой системы провайдерами услуг, учрежденными в отдельном государстве-члене, приведет к нарушению норм Директивы. Следовательно, национальные системы аккредитации будут потенциально открыты для любых провайдеров сертификационных услуг, независимо от того, размещены они в Европе или нет.

1.3.4 Надзор В статье 3.3 предусмотрено, что в национальном законодательстве должны быть созданы соответствующие системы, позволяющие вести надзор за деятельностью на территории страны провайдеров сертификационных услуг, выдающих гражданам квалифицированные сертификаты. Тем самым, национальным законодательством должны быть созданы контрольные органы, ведущие надзор за тем, чтобы провайдеры, выдающие квалифицированные сертификаты, выполняли требования, которые изложены в Директиве, в особенности в Приложении II.

От государств-членов требуется создать систему, обеспечивающую надзор только за теми провайдерами сертификационных услуг, которые выдают квалифицированные сертификаты гражданам. Термин «граждане» в Директиве не определен и, следовательно, должен трактоваться в соответствии со здравым смыслом: услуга для граждан — это услуга, доступная всем гражданам на одинаковой основе. Отдельными примерами услуг, которые не могут считаться «оказываемыми гражданам», являются услуги, предлагаемые в рамках корпоративных сетей и/или для закрытых групп пользователей. 20 В директиве нет прямого запрета на распространение государствами-членами области действия их систем надзора на всех ПСУ, независимо от того, выдают свои сертификаты гражданам или нет. Однако внедрение системы надзора над всеми ПСУ, конечно же, не входило в намерения европейских законодателей. Если государства-члены распространяют сферу действия надзора за пределы, требуемые Директивой, им следует быть очень осторожными и избегать нарушения основных правил Внутреннего рынка, особенно правил, касающихся свободы открытия частной практики.

Статья 3.3 является одним из самых проблемных положений Директивы, так как она одновременно запрещает предоставление сертификационных услуг, подлежащих предварительному утверждению. Этот запрет распространяется не только на разрешения, данные национальными органами до фактического предоставления провайдером сертификационных услуг, но и на все меры, имеющие аналогичные последствия. Меры, приводящие к последствиям, аналогичным предварительному утверждению, могут быть очень легко включены в систему надзора. Включение таких мер в системы надзора прямо запрещено Директивой.

За исключением данного запрета, государства-члены могут свободно принимать решение о том, как обеспечивается указанный надзор. Директива не препятствует созданию систем надзора в частном секторе (Декларация факта 13).

Государства-члены должны действовать с осторожностью, интерпретируя данное обязательство с целью гарантировать контроль над ПСУ. Очень важно найти компромисс между потребностями потребителя и бизнеса (Декларация факта 14). Потребители и граждане в целом должны иметь возможность распознавать квалифицированные подписи и быть защищенными от незаконного использования обозначения «квалифицированный».

В то же время фирмы должны иметь возможность свободно и беспрепятственно предлагать гражданам свои сертификационные услуги.

Некоторые из государств-членов, возможно, решат эту проблему, потребовав от провайдеров сертификационных услуг, которые учреждены на их территории, извещать соответствующий государственный орган перед началом предоставления услуг. Такое извещение полностью соответствует Директиве, поскольку оно остается исключительно административной обязанностью, а провайдер не должен ожидать положительного или отрицательного решения до того, как он начинает свою деятельность.

Это точка зрения Европейской Комиссии, изложенная в её Сообщении от 4 апреля 1995 года о статусе и применении Директивы 1990/388/ЕЕС «О конкуренции на рынках телекоммуникационных услуг», Официальный бюллетень за 20.10.1995 № С 275, стр. [http://europa.eu.int/comm/competition/liberalizaion/legislation/95c275_en.html] Сфера действия систем надзора, внедренных государствами-членами, ограничена провайдерами сертификационных услуг, учрежденными на их территории. Иными словами, каждая страна контролирует «своих собственных ПСУ». Если провайдер учрежден более чем в одном государстве-члене, все эти государства-члены будут контролировать его деятельность. Понятие «организации» было объяснено в данном отчете выше.

Учитывая тот факт, что государства-члены не имеют права ограничивать предоставление сертификационных услуг, происходящих из другого государства-члена в сферах, регулируемых настоящей Директивой (Статья 4.1 Директивы), а квалифицированные сертификаты, выданные ЦС, который находится в любой стране-члене ЕС, получают равную юридическую силу в любой другой стране-члене ЕС, провайдеры сертификационных услуг могут рассмотреть вопрос организации коммерческой деятельности в одном из государств с менее жесткими требованиями.

1.3.5 Исключение для государственного сектора Согласно Статье 3.7, государства-члены могут использовать электронные подписи в государственном секторе с учетом дополнительных требований. Эти требования должны быть объективными, прозрачными, соразмерными и не дискриминационными, и могут относиться только к специфическим характеристикам области применения.

Дополнительные требования не могут служить препятствием для предоставления гражданам услуг из-за рубежа. Пока не совсем понятно, как следует трактовать последнюю часть данной нормы. Предоставленная органам государственного управления возможность более детально определять характеристики их инфраструктуры открытых ключей кажется самоочевидной и необходимой для достижения достаточного уровня совместимости. Также можно понять, что дополнительные требования должны быть объективными, прозрачными, соразмерными и не дискриминационными. Пожалуй, менее понятна норма, говорящая о том, что дополнительные требования «должны относиться только к конкретным характеристикам соответствующей сферы применения», поскольку органы государственной власти в большинстве случаев будут формулировать требования к инфраструктуре открытых ключей на более общем уровне, а не на уровне конкретной сферы применения. Одна часть инфраструктуры, продукты и услуги, созданная конкретным органом государственной власти, как правило, будет применяться для защиты всех прочих сфер применения, в которых работает данный орган. Поэтому очевидно, что конкретные характеристики, которые уточняют дополнительные требования, могут относиться к нескольким сферам применения одновременно.

Что же понимается под «дополнительными» требованиями? Термин главным образом (но не исключительно) относится к перечням требований, которые содержатся в Приложениях. Орган государственной власти очень часто не будет способен создать собственную инфраструктуру открытых ключей, не формулируя технические требования, намного более точные и детальные, чем в Директиве. В пределах, установленных правилами государственных закупок, органы государственной власти будут заключать подробные договоры с конкретными провайдерами услуг и/или поставщиками продуктов.

Если национальные правительства сформулируют дополнительные требования общего характера для всех видов применений электронного правительства, это окажет существенное влияние на конкурентную ситуацию на рынке продуктов и услуг, связанных с электронной подписью. Впрочем, у Комиссии в таких случаях имеются достаточные возможности для вмешательства, не только на основе положений Директивы об электронных подписях, но также и в контексте применения европейского законодательства о конкуренции, о котором подробнее говорится в Статье 86 Договора о создании Европейского сообщества.

1.4 Продукты для электронной подписи (Статьи 3.4, 3.5, 3.6 и 4.2) 1.4.1 Свободное обращение продуктов для электронной подписи Статья 4.2 Директивы побуждает государства-члены обеспечивать свободное обращение продуктов для электронной подписи, соответствующих Директиве, на внутреннем рынке.

В Декларации факта (5) говорится: «Необходимо содействовать обеспечению совместимости продуктов для электронной подписи. Согласно Статье 14 Договора, внутренний рынок включает в себя территорию без внутренних границ, на которой гарантируется свободное перемещение товаров. В отношении продуктов для электронной подписи необходимо выполнить ряд существенных требований, обеспечивающих свободное движение по внутреннему рынку, а также доверие к электронным подписям, без ущерба для правил в отношении товаров двойного назначения». В статье 3.5 указано, что Комиссия может согласно процедуре, изложенной в Статье 9, устанавливать и публиковать регистрационные номера общепризнанных стандартов на продукты для электронной подписи в Официальном бюллетене Европейского сообщества.22 Государства-члены должны презюмировать наличие соответствия требованиям, изложенным в Приложении II, пункт (f) и Приложении III, если продукт для электронной подписи отвечает этим стандартам.

Статья 3.5 не содержит каких-либо обязательств Европейской комиссии. В ней лишь говорится о возможности, а то, использовать ли эту возможность, зависит от Комиссии.

Если Комиссия воспользуется данной возможностью, ей придется следовать процедуре, изложенной в Статье 9 Директивы. На практике это означает, что Комиссия нуждается в рекомендации «Комитета Статьи 9» для того, чтобы публиковать регистрационные номера стандартов.

Согласно Статье 3.5, Европейская комиссия может устанавливать и публиковать регистрационные номера «общепризнанных» стандартов. Определение «общепризнанный» в контексте Статьи 3.5 должно трактоваться обычным образом в контексте стандартизации.23 «Общепризнанный» относится к степени признания со стороны осведомлённых людей. Общепризнанный стандарт отражает «современное положение дел».

Достаточно непросто определить точные критерии «общепризнанности» или «современного положения дел». Данное затруднение, впрочем, никогда не мешало европейским и национальным законодателям использовать это определение.

Постановление Совета (ЕС) № 3381/94 от 19 декабря 1994 года, устанавливающее в Сообществе режим контроля над экспортом товаров двойного назначения, а также Решение Совета № 94/942/CFSP от декабря 1994 года «О совместных действиях, принятых Советом, в отношении контроля за экспортом товаров двойного назначения. Постановление № 3381/94/EC было дополнено Постановлением № 1334/ (в последней редакции Постановления № 149/2003).

Первая подборка ссылок была опубликована решением Комиссии № 2003/511/EC от 14 июля 2003 года «О публикации регистрационных номеров общепризнанных стандартов на продукты для электронной подписи»

в соответствии с Директивой Европарламента и Совета Европы № 1999/93/EC (текст относится к ЕЭЗ) http://europa.eu.int/eur-lex/pri/en/oj/dat/2003/I_175/I_17520030715en00450046.pdf См., например, Решение Суда (Первая Палата) от 2 декабря 1982. Socit RU-MI v Fonds d’orientation et de regularization des marchs agricoles (FORMA), Case 272/8, Отчёты Европейского суда, 1982, страница 04167.

Пример можно найти в Директиве об общей безопасности продукции, где при определении безопасности продукта упоминаются кодексы добросовестной практики в отношении здоровья и безопасности для конкретного сектора, современное состояние дел и технологии, а также уровень безопасности, разумно ожидаемый потребителем. В Статье 7 Директивы об ответственности за товары25 можно найти другой пример.

Дефектный товар определен как «не обеспечивающий уровень безопасности, который человек имеет право ожидать». В Директиве о медицинских устройствах26 для определения существенного требования используется понятие «общепризнанное современное положение дел». В Директиве о прессовом оборудовании можно прочесть следующее: «Существенные требования, изложенные в настоящей Директиве, должны интерпретироваться и применяться с учетом современного положения дел и действующей во время разработки и производства общей практики, а также с техническими и экономическими описаниями, отвечающими высокому уровню защиты здоровья и безопасности». Решение Конституционного суда Германии по делу Калкара 28 прояснило, что понятие «современное положение дел» может иметь несколько значений. Оно может относиться к тому, что «является технологически возможным». В таком смысле определение указывает на границы науки и технологии на данный момент. Но термин также может означать «доминирующие взгляды в среде технических специалистов-практиков». Будучи использованным в этом смысле, соответствие «современному положению дел» должно определяться иным способом. Суд Германии очень хорошо разъяснил, что, даже если техническое решение не отражает последние достижения науки, оно все еще может считаться наиболее приемлемым решением среди большинства экспертов в данной области. В идеале критерии следует совместить. Иными словами, понятие «общепризнанный» должно относиться к научным и техническим усовершенствованиям и, одновременно, к тому, что широко используется большинством типичных специалистов-практиков.

Вследствие этого, стандарт EN 45020 правильно определяет «современное положение дел» как «достигнутую на определенный момент времени стадию развития технических возможностей в том, что касается продукции, процессов и услуг, на основе свода соответствующих достижений науки, технологии и опыта».