Digital signatur är synonymt med elektronisk signatur och definierad i lagen om kvalificerade elektroniska signaturer (KES) (lag (2000:832). Den är upphävd genom lag (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering) som data i elektronisk form som används för att kontrollera att innehållet härrör från den som framstår som utställare.
Med kvalificerad elektronisk signatur avses avancerad elektronisk signatur som är baserad på ett kvalificerat certifikat och som är skapad av en säker anordning för signaturframställning.[1]
Om det i lag eller annan författning ställs krav på egenhändig underskrift eller motsvarande och om det är tillåtet att uppfylla kravet med elektroniska medel, ska en kvalificerad elektronisk signatur anses uppfylla kravet. Vid kommunikation med eller mellan myndigheter kan dock användningen av elektroniska signaturer vara förenad med ytterligare krav.[1] Ett avtal som signeras digitalt är juridiskt bindande enligt internationell avtalsrätt.[2]
För att ett certifikat ska få kallas kvalificerat ska det vara utfärdat av certifikatutfärdare som uppfyller bestämmelserna i §§ 6 och 7 i KES.[1]
En certifikatutfärdare som avser att utfärda kvalificerade certifikat till allmänheten är skyldig att anmäla detta hos Post- och telestyrelsen.[1]
Det finns europaparlamentets och rådets direktiv 1999/93/EG av den 13 december 1999 som ersatts av EU:s Digitala signaturförordning EU/910/2014 (eIDAS) om ett gemenskapsramverk för elektroniska signaturer. Numera används som regel begreppen digital signatur, Digitala signaturdirektivet och eIDAS.
Det råder en tolkningsdiskrepans om vad Digitala signaturdirektivet och eIDAS står för, en införandeanmodan av en allmän digital signatur-infrastruktur med teknisk specifikation och anslutningsvillkor för operatörer, samt tilläggskrav i eIDAS om tillämpning vid enskildas inloggning vid myndigheter IT-tjänster eller om det är ett krav på myndighetsreglering av digitala signaturbranschen med krav på lagstiftning och myndighetstillämpning. Denna artikel om digitala signatur, belyser dem med utgångspunkt av allmän digital signatur-infrastruktur.
Det centrala med digitala signaturdirektivet/eIDAS är att de anmodar medlemsländerna att sätta upp en allmän digital signatur-infrastruktur genom att knyta ihop digitala signaturoperatörer i landet som en del i en allmän infrastruktur med en statlig kommunikationsserver som knyter dem samman. Detta så att oberoende av digital signaturoperatör hos signatorn kan läsaren identifiera signatorn med sin digitala signaturfunktion i sin dator (där tekniken PKI fungerar tekniskt i alla användar-operativsystem, inkl moderna mobiltelefoner, ex. Windows sedan 1993).
Ett genomförande av digital signaturinfrastruktur enligt digitala signaturdirektivet/eIDAS tekniska och administrativa specifikationer innebär att:
Är dels större företag, myndigheter, sjukvården och universitetens (Sunet) interna digitala inloggnings- och signatursystem och dels en del företag som säljer standardprogram/tjänster till allmänheten. Dock inte Bankid, där funktionen digital signatur är avstängd och man säljer proprietära lösningar till större företag och myndigheter, små och medelstora företag har inte den ekonomiska möjligheten. Men BankId (som bygger på samma PKI digitalt certifikat-teknik) kan aktivera den PKI digitala signaturfunktionen och därmed blir en digital signaturoperatör för sina användare.
Innebörden av Digitala signaturdirektivet och eIDAS är krav på nationell överbetroddhet som certifierar de certifikatutfärdare som är intresserade och aktiva inom landet för att knyta betroddhetshierarkierna samman. Innebörden är att om någon med ett digital signatur-certifikat utfärdat hos en operatör signerar ett dokument skall en mottagare ansluten till en annan certifikatutfärdare kunna få signaturen på dokumentet verifierad. På detta sätt skall digitalt signerade dokument, filer och filmappar kunna sändas säkert mellan två parter och avsändaren/skaparen är säkert verifierad. På så sätt kan man ex. som momsdirektivet föreskriver för elektronisk faktura i artikel 233 kunna signeras och överföras för att kunna verifieras av mottagaren. Dock frågar sig många varför momsdirektivets artikel 233 finns när artikel 229 förbjuder fysisk signering av pappersfakturor.
Innebörden av betroddhetssamordningen enligt digitala signaturdirektivet innebär inte att en operatör behöver acceptera en annan operatörs certifikat och dess verifierande av certifikaten för alla typer av tjänster. En bank kan ex. kräva att bara de egna certifikaten fungerar för den egna bankens bankkonto-kundadministration medan externa certifikat kan användas och accepteras för att verifiera dokument och filer i andra sammanhang.
Väldigt få nationer inom EU har genomfört digitala signaturdirektivet och i Sverige valde man på justitiedepartementet att stryka signaturkrav på ex. inkommande e-post med överklaganden i förvaltningsärenden, eftersom det var politiskt omöjligt att genomföra direktivet i landet som skulle fungera enligt förvaltningsprocesslagens tidigare krav på digital signatur. Det finns i egentlig mening ingen officiell ståndpunkt från regeringens/riksdagens sida att inte införa direktivet i landet, men faktum är att det efter mer än 15 år saknas beslut och det helt uppenbart finns det ingen nationell samordnade betroddhet. Näringsdepartementet menar man genomfört direktivet men det finns ingen känd referens på hur och var.
Inom EU finns en debatt om att samordna de nationella berömdheterna för att stärka möjligheterna till elektronisk handel, men frågan torde falla på det faktum att digitala signatur-direktivet bara är infört i några få medlemsländer.
Elektroniska signaturers system används i hög grad i Estland. I mars 2007 hölls val till Estlands parlament, Riigikogu, med hjälp av elektronisk signatur.[7] Med hjälp av en elektronisk signatur kan man dessutom skicka sin skattedeklaration, tulldeklaration och olika frågeformulär både till lokala och statliga myndigheter.[8]
UETA blev den första lagen som reglerade elektronisk signatur. Denna lag riktar sig till juridiska personer och handelsbolag. Lagen utarbetades 1999 och antogs av 48 delstaterna, Columbiadistriktet och Amerikanska Jungfruöarna.[9] Den 1 oktober 2000 antogs den federala lagen ESIGN (Elektroniska signaturer i global och nationell handel). ESIGN samordnar lagstiftningen i olika stater, beaktar samspelet mellan individer och juridiska personer.[10] Det står i ESIGN att "en signatur, avtal eller annan post som rör en sådan transaktion inte kan förlora sin rättsliga kraft, giltighet eller verkställighet bara på grund av att den är elektronisk."[11] I USA:s praxis kan elektroniska signaturen därför göras med hjälp av en mus, pekpenna, "Jag godkänner"-knapp och har samma rättsliga status som en handskriven signatur. ESIGN pekar också på att konsumenten nödvändigtvis måste ha en avsikt att lämna en signatur.
I Kanada regleras användningen av elektroniska signaturer av den federala lagen, PIPEDA, som trädde i kraft 2004.[12] Quebec är den enda provinsen som har sina egna lagar om elektronisk signatur.[13] PIPEDA definierar en allmän elektronisk signatur som ”en signatur som består av en eller flera bokstäver, tecken, siffror eller andra tecken i digital form som ingår i, bifogas eller associeras med ett elektroniskt dokument”. Båda parter som undertecknar något avtal måste komma överens om att acceptera giltigheten av elektroniska signaturer för att göra signaturen juridiskt bindande. Elektronisk signatur likställs inte fullständigt med en handskriven signatur, så domstolen kan kräva ytterligare bevis.[14]