id-kort-sluttrapport

Det er imidlertid begrenset adgang til å selvdeklarere de ulike deler av sertifikattjenesten hver for
seg. Og i den utstrekning det er adgang til dette, forutsetter det at forholdet mellom
sertifikatutstederen og de øvrige rollene er etablert på forhånd, slik at tilsynsorganet kan vurdere
tjenestene under ett. Det innebærer i praksis at selvdeklarering av en ordning for offentlig utstedt
eID, som er basert på samarbeid med private aktører som skal utføre ulike deler av tjenesten, må
finne sted etter at en eventuell anskaffelsesprosess er gjennomført. Man kan altså ikke basere
anskaffelsesprosessen på at de som skal fylle de ulike rollene i tjenesten hver for seg er registrert
hos Post- og teletilsynet på forhånd. En slik ordning vil eventuelt kreve endring av retningslinjene
for selvdeklareringsordningen.
I og med at en offentlig utstedt eID er underlagt tilsyn både etter lov om elektronisk signatur,
omfattet av selvdeklareringsordningen for sertifikatutstedere, og av lov om behandling av
personopplysninger, synes behovet for ytterligere regelverksforankring å være begrenset.
Dersom det likevel skulle utarbeides en forskrift til særloven om utstedelse av nasjonalt ID-kort
som regulerte nærmere enkelte forhold knyttet til utstedelse og bruk av en eID på dette kortet, vil
det måtte foretas en nærmere vurdering av hvor forskriftskompetansen bør plasseres. Aktuelle
departementer i denne sammenheng vil være JD, FAD og NHD.
12.5.5 Sertifikatutsteders erstatningsansvar for feil i sertifikatene og
statustjenesten mv
Ansvarsgrunnlaget
Med utgangspunkt i at eID skal baseres på sertifikatklasse Person Høyt, og følgelig skal benytte
kvalifiserte sertifikater, reguleres sertifikatutstederens erstatningsansvar av esignaturloven § 22 (så
langt den rekker). Bestemmelsen suppleres av alminnelige erstatningsrettslige prinsipper.
Esignaturloven § 22 innebærer bl.a. at sertifikatutstederen etter omstendighetene kan holdes
ansvarlig for tap en sertifikatmottaker lider som følge av at vedkommende har stolt på innholdet i
et kvalifisert sertifikat. Sertifikatutstederen kan bl.a. holdes ansvarlig for at opplysningene i
sertifikatet var korrekte på utstedelsestidspunktet og at sertifikatinnehaveren på det tidspunktet
disponerte de aktuelle signaturfremstillingsdata, m.a.o. hadde kontroll over den private nøkkelen.
Sertifikatutstederen kan også holdes ansvarlig for tap som skyldes at et sertifikat ikke var korrekt
registrert i en tilbaketrekkingsliste eller statustjeneste, men derimot ikke tap som skyldes at
signaturfremstillingsdata har kommet på avveie uten at dette er meldt til sertifikatutsteder. I alle
tilfeller går sertifikatutsteder fri dersom utstederen dokumenterer at han ikke har handlet
uaktsomt. Loven åpner for at utsteder kan avgrense sitt ansvar ved å angi begrensninger i
bruksområde eller transaksjonsbeløp i sertifikatene.
Loven bygger på en forutsetning om at sertifikatmottakere i normalsituasjonen har rimelig grunn
til å ha tillit til at kvalifiserte sertifikater tilfredsstiller de krav som er angitt i loven. Det må nok
likevel opereres med en generell rolleforventning til sertifikatmottakeren om at denne opptrer
forsvarlig i forbindelse med bruk av sertifikatet, bl.a. ved å kontrollere sertifikatets status når det
benyttes i transaksjoner som har et skadepotensial.
Hvis man skulle komme til at det offentlige vil utstede en eID som ikke er utstedt som et
kvalifisert sertifikat, kommer esignaturlovens bestemmelser ikke til anvendelse.
Sertifikatmottakeren kan da ikke bygge på esignaturlovens bestemmelser, men sertifikatmottaker
må på annet grunnlag vise at han eller hun har hatt en berettiget forventning om at opplysningene
i sertifikatet var korrekte. I tillegg må sertifikatmottaker ha lidt et tap på grunn av en feil i
sertifikatet som skyldes at utsteder har handlet uaktsomt. Dersom sertifikatet er utstedt i henhold
67