DATUM VÅR REFERENS 22 september 2003 03-009711/60 ERT DATUM ER REFERENS 2003-06-26 N2003/4833/IT HANDLÄGGARE, AVDELNING/ENHET, TELEFON, E-POST Anders Rafting Nätsäkerhet 08-678 55 41 anders.rafting@pts.se Näringsdepartementet Enheten för IT, forskning och utveckling 103 33 Stockholm Yttrande över betänkande Toppdomän för Sverige (SOU 2003:59) 1. Sammanfattning PTS tillstyrker förslaget till ny lagstiftning och de möjligheter detta medför till statlig insyn och kontroll med hänsyn till det samhälliga intresse som finns av en väl fungerande toppdomän för Sverige. PTS anser dock att föreliggande lagförslag innebär att en olycklig trepartkonstellation uppstår, eftersom administratören av den svenska toppdomänen dels har den föreslagna svenska lagstiftningen att rätta sig efter, dels avtalet med Internet Corporation for Assigned Names and Numbers (ICANN) som civilrättsligt reglerar dess verksamhet. Så länge dessa två regelverk överensstämmer eller i vart fall inte motsäger varandra, torde inga större problem uppstå, men i framtiden skulle regelverken kunna komma att utvecklas på olika sätt. Det är ICANN som i praktiken är den internationella organisation, som utser den administrativt ansvarige för nationella toppdomäner och formulerar under vilka villkor dessa skall verka. Om lagstiftningen införs bör en möjlighet öppnas att genom regeringsförordning eller myndighetsföreskrifter anpassa regelverket till ändrade förhållanden i avtalsrelationen mellan ICANN och administratören. I sådant fall bör lagen även bli mindre detaljerad och en möjlighet öppnas för tillsynsmyndigheten att med beaktande av de internationella avtal och principer som finns på området meddela föreskrifter med mer detaljerade skyldigheter. PTS instämmer med utredningen i att PTS bör bli den myndighet som utövar tillsyn och meddelar föreskrifter enligt den föreslagna lagen. PTS instämmer inte med utredningens slutsatser att en särskild lag bör stiftas i motsats till ett införande av bestämmelser avseende toppdomänen för Sverige i lagen om elektronisk kommunikation (2003:389)(EkomL). Det har på ett flertal ställen i förarbetena till EkomL angivits att lagen innebär en utvidgning jämfört med tidigare lagstiftning och att ett av de bakomliggande skälen till lagens tillkomst är den konvergering som sker på det tekniska området. Att stifta en helt ny lag för reglering av den nationella toppdomänen för Sverige synes därmed stå i motsättning till detta syfte med EkomL. Det finns enligt PTS inget i sig som POSTADRESS Box 5398, 102 49 Stockholm BESÖKSADRESS Birger Jarlsgatan 16 TELEFON 08-678 55 00 FAX 08-678 55 05 E-POST pts@pts.se WEBBADRESS www.pts.se
hindrar att regler om den nationella toppdomänen för Sverige inkluderas i EkomL. PTS instämmer i utredningens bedömning av kostnaderna och finansieringen för tillsynsmyndighetens olika verksamheter enligt lagförslaget. 2. Allmänna överväganden 2.1 Övergripande rättsliga frågeställningar Enligt utredningen saknas för närvarande möjlighet för staten att ensam utse den aktör som skall administrera den svenska nationella toppdomänen eftersom det i praktiken inte kan verkställas. 1 Vidare anges i utredningen att det kommer att finnas goda möjligheter för staten att utöva påverkan mot ICANN och DoC genom avtal och underhandskontakter. Några sådana avtal har dock ännu inte ingåtts. Förslaget innebär att vissa skyldigheter läggs på den part som administrerar den svenska toppdomänen, vilken för närvarande är Stiftelsen för Internets Infrastruktur, nedan IIS. Administratören har dock inte enbart den svenska lagstiftningen att rätta sig efter utan har i sin tur ingått avtal med ICANN som civilrättsligt reglerar verksamheten. Möjlig påföljd: vite Skyldigheter genom lag Administratör för den svenska nationella toppdomänen Skyldigheter genom avtal Möjlig påföljd: upphörande av uppdrag Svenska staten Inget reglerat samarbete ICANN (och i förlängningen DoC) I praktiken innebär det en trepartkonstellation (se figur ovan) där administratören har två regelverk och två motparter att anpassa sig efter. Brott mot de olika regelverken kan innebära antingen vite (om administratören inte följer svensk lag) eller upphörande av den avtalsreglerade delegationen, dvs. upphörande av verksamheten (om administratören inte följer de skyldigheter som framgår av avtal mellan dem och ICANN). I praktiken torde påföljderna kunna vara likvärdiga då ett vite kan sättas till en sådan nivå att fortsatt verksamhet omöjliggörs. Så länge dessa två regelverk överensstämmer eller i vart fall inte motsäger varandra torde i och för sig inga problem uppstå men i framtiden skulle regelverken kunna komma att utvecklas på olika sätt. En sådan utveckling kunde medföra svårigheter för rättstillämpningen och möjliga rättsförluster för administratören. 1 SOU 2003:59, sid 124
Den föreslagna lagen är baserad på de internationella regler och avtal som finns på området. Lagförslaget är dock inte på något sätt knutet till dessa regler och avtal vilket innebär att lagen och de internationella regelverken inte nödvändigtvis kommer att utvecklas på samma sätt. Lagstiftning är en utdragen process som föregås av ett flertal olika procedurer med den tidsutdräkt detta innebär. Att regelverken på internationell nivå utvecklas i enlighet med svenska statens åsikter, innebär därmed inte nödvändigtvis att den föreslagna lagen alltid hinner förändras till att överensstämma med dessa. Det förtjänar även understrykas att GACprinciperna, vilka till stor del legat som mall till den föreslagna lagen, inte formellt antagits av ICANN. Detta talar för att en osäkerhet redan nu finns om huruvida ICANN:s regelverk kommer att utvecklas i enlighet med GAC-principerna och därmed med den föreslagna lagen. Det är ICANN som faktiskt är den organisation som utser administratörer till nationella toppdomäner och formulerar under vilka villkor dessa skall verka. Det normala tillvägagångssättet i en liknande situation med internationella kontakter torde vara att staten först ingår avtal eller liknande överenskommelse med en annan stat eller organisation och att staten sedan mot bakgrund av detta avtal inför lagar som nationellt kodifierar det bilaterala avtal staten ingått. I en sådan situation skulle en diskrepans mellan lagen och de internationella avtal som ingåtts innebära en konflikt mellan staten och den motstående internationella parten som staten får hantera. Aktören på den svenska marknaden har då endast den svenska lagen att rätta sig efter. Enligt lagförslaget kommer, som nämnt ovan, en diskrepans i första hand att drabba administratören, som skulle få två skilda regelverk att anpassa sig efter. Administratören skulle därmed utan egen påverkan kunna hamna i en situation där det inte finns möjlighet att rätta sig efter båda regelverken. Redan detta förhållande får anses olämpligt med hänsyn till administratörens rättssäkerhet. Mot bakgrund av utredningens redovisade kontakter med ICANN och DoC ter det sig som om dessa parter är positiva till ett mer statligt inflytande över de nationella toppdomänerna. Även flertalet andra stater befinner sig i en period där man överväger möjligheter att på olika sätt utöva inflytande över hanteringen av de nationella toppdomänerna. Det förefaller således inte vara omöjligt att man i framtiden på internationell nivå kan reglera och avtala om hur den svenska nationella toppdomänen bör administreras. Om lagstiftningen införs bör en möjlighet öppnas att genom regeringsförordning eller myndighetsföreskrifter anpassa regelverket till ändrade förhållanden i avtalsrelationen mellan ICANN och administratören. I sådant fall bör lagen bli mindre detaljerad och därmed ge möjlighet för regeringen eller tillsynsmyndigheten att med beaktande av de internationella avtal och principer som finns på området meddela föreskrifter med mer detaljerade skyldigheter.
2.2 Angående utredningens slutsatser, hur bör en reglering närmare utformas? (kap 9) I utredningen förs ett resonemang som utmynnar i att EkomL inte kan anses vara lämplig att reglera den nationella toppdomänen för Sverige. 2 I det slutgiltiga lagförslaget till EkomL har lagstiftaren stannat för att begränsa regleringen i EkomL avseende nummerplaner till att gälla endast nummer (se prop 2002/03:110 s 155 ff). Det anges i propositionen att det är regeringens uppfattning att de villkor som det s.k. auktorisationsdirektivet gör möjliga att ställa, inte kan användas vid tilldelning av exempelvis domännamn eller IPadresser. Detta förhållande innebär emellertid inte i sig skäl att avstå från att ta in regler om den nationella toppdomänen för Sverige i EkomL. Det anges istället som skäl till begränsningen att frågan om administrationen av domännamn under den svenska toppdomänen är föremål för särskild utredning. Därvid åsyftas den som utmynnat i föreliggande förslag. Lagstiftaren har därmed avsett att lämna frågan öppen i avvaktan på förslag. Inte heller detta kan tas till intäkt för att lagstiftaren i propositionen bedömt en reglering i EkomL som olämplig.det har på ett flertal ställen i förarbetena till EkomL angivits att lagen innebär en utvidgning jämfört med tidigare lagstiftning och att ett av de bakomliggande skälen till lagens tillkomst är den konvergering som sker på det tekniska området. Att stifta en helt ny lag som enkom reglerar den nationella toppdomänen för Sverige synes därmed stå i motsättning till detta syfte med EkomL. Det finns således inget i sig som hindrar att en lagstiftning om den nationella toppdomänen för Sverige inkluderas i EkomL. Detta förefaller istället vara i linje med EkomL:s syfte, att den myndighet som fastställer nationella nummerplaner även bör ha möjlighet att besluta om registrering och användning av domännamn som är sammankopplade med nummer ur den nationella nummerplanen, ett förfarande som enligt PTS uppfattning inte kan anses vara helt olikt domännamnsystemet. Mot bakgrund av ovanstående bör de möjligheter som kan finnas att genom EkomL reglera den nationella toppdomänen för Sverige beaktas innan en ny fristående lag införs. 2.3 Angående utredningens slutsatser, förhållandet till EkomL (kap 9.1.1) Såsom angivits i avsnitt 2.2 anser utredningen att införandet av regler om den nationella toppdomänen för Sverige i EkomL kan innebära besvärliga frågor om tillämplighet av olika bestämmelser i EkomL. Detta torde enligt PTS uppfattning vara fallet även om en särreglering i enlighet med utredningens förslag införs. EkomL innefattar alla typer av elektroniska kommunikationsnät och det kan i dagsläget inte anses klarlagt hur stor omfattning EkomL har. Det är i vart fall sannolikt att en domänhanteringsverksamhet utgör vad som i EkomL definieras som tillhörande installation. Med begreppet tillhörande installation avses nät, nätelement, utrustning anläggning, funktion och annat dylikt. Med utrustning innefattas t ex datorer för databaser för driftstödssystem, system för drift av databaser m.m. Den reglering avseende s.k. SMP-företag som återfinns i EkomL möjliggör att skyldigheter för företag som driver s.k. tillhörande installationer kan meddelas avseende exempelvis prissättning och andra åtgärder under förutsättning 2 SOU 2003:59, sid 120
att en marknad avseende domännamn definieras och att denna marknad inte konkurrensmässigt anses fungera tillfredsställande. Även om en särreglering väljs för den nationella toppdomänen för Sverige kommer därmed frågor att uppstå om i vilken utsträckning verksamheten omfattas av EkomL. 2.4 Angående utredningens slutsatser, förhållandet till personuppgiftslagen (1998:204) (PUL) Som utredningen konstaterar kommer ett register med kontaktinformation (s.k. whois-register) med nödvändighet innebära behandling av personuppgifter 3. Enligt lagförslaget är administratören (i enlighet med GAC:s principer) skyldig att tillhandahålla ett offentligt register innehållande bland annat kontaktuppgifter såsom namn, adress och telefonnummer avseende innehavaren av ett domännamn. Utredningen konstaterar att PUL bara är tillämplig om det inte ges andra, från PUL avvikande, bestämmelser i en annan lag eller förordning. PUL torde därmed inte vara tillämpligt på ett register för vilket regler finns i annan lag. Däremot torde de principer som återfinns i PUL vara tillämpliga vid avvägningen av vilken typ av uppgifter och i vilken omfattning dessa skall behandlas när lagen utformas 4. Enligt 9 PUL skall inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Ändamålet med det aktuella registret torde i första hand vara för att ge parter möjlighet att komma i kontakt med innehavaren av ett domännamn, antingen på grund av tekniska eller administrativa frågeställningar kring domännamnet. Utredningen konstaterar ett flertal gånger att Internet och domännamn blivit en allt viktigare del av såväl näringsliv som privatliv och att privatpersoner i högre utsträckning kan antas nyttja egna domännamn. Mot bakgrund av denna utveckling kan det ses som olämpligt att personuppgifter avseende privatpersoner görs offentliga på det sätt som skyldigheten medför. Det kan ifrågasättas om ändamålet kan anses vara av samma vikt när en privatperson är innehavare av ett domännamn och om samtliga uppgifter i sådana fall rimligen skall offentliggöras. Därför anges i lagförslaget (6 tredje stycket) ett undantag från offentliggörande om särskilda skäl föreligger. I författningskommentaren har särskilda skäl exemplifierats med röjande av hemliga telefonnummer eller skyddade adresser. Det är dock PTS uppfattning att flertalet av de uppgifter som anges i 6 i lagförslaget även i mindre allvarliga situationer kan och bör underlåtas, då innehavaren av ett domännamn är en fysisk person. Detta särskilt mot bakgrund av att skyddet för den personliga integriteten generellt givits ett större utrymme i 3 SOU 2003:59, Sid 96 4 För en rapport ang who-is uppgifter och förhållandet till integritetsskydd se Artikel 29, Arbetsgruppen för uppgiftsskydds rapport, Yttrande 2/2003 om tillämpningen av principerna för uppgiftsskydd på Whoisdatabaser, 10972/03/SV slutlig. (Artikel 29 är ett oberoende rådgivande EU-organ för uppgiftsskydd och integritetsskydd).
senare lagstiftning som t ex EkomL vari ett antal bestämmelser begränsar på vilket sätt operatörer får behandla uppgifter som kan knytas till en fysiskperson. Det bör även närmare framgå i vilken utsträckning PUL eller den föreslagna lagen kommer att gälla. I författningskommentaren till 6 i den föreslagna lagen anges endast att bestämmelsen utgör en särreglering och därmed att PUL i berörda delar ger vika för nu aktuell reglering. Tveksamhet kan gälla beträffande t.ex. om PUL:s regler om rättelse, skadestånd och överföring av personuppgifter till tredje land är tillämpliga avseende registret. Vid tveksamhet bör i lagen klart framgå vilket av regelverken som skall gälla. 3. Övrigt 3.1 Kostnader för staten (kap 12.1) PTS instämmer med utredningens bedömning av kostnaderna samt finansieringen enligt lagförslaget. 3.1 Tillsynsmyndighet över lagen (kap 9.6) PTS instämmer med utredningen om att PTS bör bli den myndighet som utövar tillsyn och meddelar föreskrifter enligt den föreslagna lagen. 4. Kommentarer avseende specifika bestämmelser 2 I denna paragraf begränsas definitionen av administratör till typisk registryverksamhet dvs. den som av den administrativt ansvarige delegerats uppgiften att ta hand om den tekniska driften av toppdomänen. I paragrafen bör tilläggas, dels en klargörande text att administratör också är den som innehar delegationen att hantera den nationella toppdomänen, dels en definition av administrativt ansvarig, där det anges att den är identisk med administratör eller, om detta inte är fallet, tydliggöra skillnaden mellan administratör och administrativt ansvarig se s.125. 6, 1 st Det anges i bestämmelsen att en kopia av registret skall tillhandahållas tillsynsmyndigheten. Registret över domännamnsinnehavare är inte statiskt utan förändras hela tiden i takt med att fler domännamn registreras. Mot bakgrund av detta vore möjligtvis en formulering att en kopia löpande skall tillhandahållas tillsynsmyndigheten att föredra. Det kan sedan ankomma på tillsynsmyndigheten att föreskriva hur regelbundet ett sådant tillhandahållande skall ske. Med nuvarande formulering kan bestämmelsen tolkas som att en kopia endast skall tillhandahållas tillsynsmyndigheten när den så begär. Om säkerhet skall uppnås i systemet torde det vara av vikt att ett exemplar av en vid var tid aktuell säkerhetskopia överlämnas till tillsynsmyndigheten för förvaring.
6, 3 och 4 st Bestämmelsen innehåller en möjlighet för tillsynsmyndigheten att föreskriva närmare om de skyldigheter en administratör har avseende registerverksamhet och tillhandahållande av en säkerhetskopia enligt första och andra stycket men inte om när uppgift får underlåtas enligt tredje stycket samma paragraf. Mot bakgrund av ovanstående resonemang om integritet 5, kan det vara av vikt att närmare reglera under vilka förhållanden offentliggörandet av uppgifter kan, och även bör, underlåtas. Tillsynsmyndigheten bör därför ges möjlighet att meddela närmare föreskrifter även angående tredje stycket. Det finns av samma orsaker anledning att överväga om tredje stycket skall omformuleras till att uppgifter inte bara får utan även skall underlåtas att göras allmänna om det finns särskilda integritetsanknutna skäl. Tillsynsmyndigheten kan sedan ges möjlighet att meddela närmare föreskrifter om dessa särskilda skäl. 10 Bestämmelsen innehåller en instruktion till tillsynsmyndigheten att övervaka utvecklingen av avgifter. Administratören är redan skyldig att tillämpa skäliga avgifter (enligt 5 och 12 ). Vid sin tillsyn har tillsynsmyndigheten att ta hänsyn till dessa skyldigheter. Bestämmelsen ter sig därför något onödig och bättre höra hemma i en instruktion till tillsynsmyndigheten snarare än i lagstiftningen som vänder sig till administratören. Nils Gunnar Billinger Generaldirektör 5 Se ovan ang utredningens slutsatser, förhållandet till personuppgiftslagen (1998:204) (PUL)