14 Erstatningsansvar og bevisbyrde

14.1 Forslaget

I art. 13 i forordningen gis det bestemmelser om erstatning. En tillitstjenestetilbyder er erstatningsansvarlig for skade som forsettlig eller uaktsomt påføres en fysisk eller juridisk person som følge av manglende oppfyllelse av forordningens forpliktelser.

Det er ulik bevisbyrderegel for den kvalifiserte tillitstjenestetilbyderen og den ikke-kvalifiserte tillitstjenestetilbyderen. For den ikke-kvalifiserte tillitstjenestetilbyderen er det den skadelidte som må bevise at tillitstjenestetilbyderen har handlet forsettlig eller uaktsomt. Den kvalifiserte tillitstjenestetilbyderen antas å ha handlet forsettlig eller uaktsomt med mindre den kvalifiserte tillitstjenestetilbyderen beviser at skaden oppstod uten forsett eller uaktsomhet fra tillitstjenestetilbyderens side. Dette er en videreføring av erstatningskravet etter esignaturloven. Begrunnelsen for omvendt bevisbyrde for kvalifiserte tjenestetilbydere er å styrke mottakerens tillit til kvalifiserte sertifikater.

I art. 13 pkt. 2 innskrenkes erstatningsansvaret for tillitstjenestetilbydere. Dersom tillitstjenestetilbyderen gir grundig informasjon til sine kunder om begrensningene i bruken av tjenestene, og disse begrensningene er identifiserbare for kundene, bortfaller erstatningsansvaret for skader som påføres ved at bruken av tjenesten går ut over de begrensninger som ligger i den.

14.2 Høringsinstansenes syn

Difi foreslår at det i lovforslaget § 1 bør tas inn en forskriftshjemmel som gjør det mulig å fastsette et minstebeløp for erstatningsansvaret for eID-leverandører som benyttes i offentlig sektor. Difi viser til at det i ID-porten per i dag benyttes eID-leverandører som har erstatningsansvar på minst 5000 kroner, blant annet ved brudd på plikter i forbindelse med utstedelse av eID.

14.3 Departementets vurdering

Artikkel 13 skal anvendes i overensstemmelse med nasjonale regler om erstatningsansvar. Dette utdypes i fortalens pkt. 37, hvor det fremkommer at forordningen ikke skal påvirke nasjonale bestemmelser om definisjonen av skade, forsett, uaktsomhet eller relevante prosedyreregler. Departementet anser derfor at det ikke foreligger behov for egne nasjonale regler som behandler erstatning etter forhold regulert i forordningen. Også etter gjeldende lov er det omvendt bevisbyrde for utstedere av kvalifiserte sertifikater, jf. esignaturloven § 22 andre ledd.

Departementet foreslår at lovforslaget § 1 inkluderer adgang til å forskriftsregulere et minstekrav til erstatningsansvar for eID-er som skal benyttes i offentlig sektor.