id-kort-sluttrapport

vedkommende i så fall ville ha unnlatt å gjennomføre transaksjonen, har han som utgangpunkt
krav på å få dekket det tap han har pådratt seg ved å stole på sertifikatet, f.eks. til forberedelser til
en avtale som det ikke ble noe av. Han har derimot ikke krav på å få dekket den forventede
fortjeneste eller lignende på en kontrakt som ikke blir inngått som forventet. Begrunnelsen er at
hvis feilen ikke var blitt begått, og opplysningene i sertifikatet hadde vært korrekte, ville han ikke
forsøkt å gjennomføre transaksjonen i det hele tatt. Derfor kan han heller ikke ha gått glipp av
noen fortjeneste. På den annen side, hvis det ukorrekte sertifikatet fører til at konfidensielle
opplysninger blir utlevert til feil person, kan det tilknyttede økonomiske tapet kreves dekket.
Hvor omfattende dette tapet kan bli vil avhenge av opplysningenes art. Dreier det seg f.eks. om
forretningshemmeligheter av strategisk betydning, vil det økonomiske tapet typisk bli større enn
hvis det dreier seg om personopplysninger (som potensielt utløser skade og ulemper av annen
karakter).
12.5.6 Offentlig utsteder og e-signaturloven
Utgangspunktet er at offentlig forvaltning vil utstede eID som kvalifiserte sertifikater, nærmere
bestemt Person Høyt i henhold til ”Kravspesifikasjon for PKI i offentlig sektor”.
Esignaturloven oppstiller en rekke krav overfor utstedere av kvalifiserte sertifikater og til
innholdet av slike sertifikater. Dette notatet skal se nærmere på om disse kravene stiller seg
annerledes dersom offentlig forvaltning er sertifikatutsteder.
Som generell betraktning kan man konkludere med at kravene i esignaturloven ikke oppstiller
krav som er til særlig vanske for offentlig virksomhet som sertifikatutsteder. Det er imidlertid
krav som man trenger å særlig ta hensyn til, disse er i hovedsak følgende (jf. vedlegg A for
nærmere gjennomgang av esignaturlovens bestemmelser).
• Ved innsamling av opplysninger må sertifikatutsteder gi informasjon om hva
opplysningene skal brukes til. Dessuten skal sertifikatutsteder bl.a. opplyse om ev.
begrensninger i sertifikatet og eksisterende selvdeklarasjonsordninger. Dette vil kreve
nærmere gjennomgang av søknadsprosedyrer mv. for å sikre at disse kravene etterleves.
• Esignaturloven med forskrift stiller som utgangspunkt krav om personlig fremmøte ved
utstedelse av kvalifisert sertifikat. Et slikt krav er allerede i tråd med kravene som
oppstilles ved utstedelse av pass. Dersom det derimot er aktuelt at eID’ene også skal
oppfylle kravene for sertifikatklassen Person-Høyt etter ”Kravspesifikasjon for PKI i
offentlig sektor” vil det stilles krav om identifisering av søker etter krav som oppstilles i
hvitvaskingsregelverket, og det må sikres at disse kravene etterleves.
• Den offentlige etat som skal være sertifikatutsteder vil omfattes både av Post- og
teletilsynet og Datatilsynet sine tilsynsvirksomheter. Her gis det både mulighet til stedlig
inspeksjon og adgang til å ilegge tvangsmulkt. Dessuten skal utstedere av kvalifiserte
sertifikater og av sertifikater på nivå Person-Høyt, betale et årlig gebyr til Post- og
teletilsynet. Disse forhold bør vurderes nærmere når plasseringen av ansvaret for den
offentlige utstedelse av eID er avklart.
For utdypende gjennomgang av loven se vedlegg A.
69