[ 王一懷 ]——(2003-12-2) / 已閱21061次
歐盟與美國(guó)的電子簽名法述評(píng)
王一懷
摘要：電子商務(wù)己被認(rèn)為是具有美好前景的全球數(shù)字經(jīng)濟(jì)發(fā)展中的關(guān)鍵性因素�，F(xiàn)在人們普遍認(rèn)為，現(xiàn)有的法律框架尚不能有效地向人們提供一個(gè)可資信賴(lài)的、具有安全保障的在線商務(wù)環(huán)境。電子商務(wù)的安全問(wèn)題一直是各個(gè)國(guó)家和各國(guó)際組織所關(guān)注的對(duì)象。本文從電子交易安全的中心環(huán)節(jié)－電子簽名出發(fā)，考察歐盟和美國(guó)所采取的立法措施及其為建立共同的電子認(rèn)證法律平臺(tái)作出的努力，并根據(jù)歐盟與美國(guó)的經(jīng)驗(yàn)，提出了我國(guó)電子簽名立法中值得重視的幾個(gè)方面，以期對(duì)我國(guó)立法和實(shí)踐有所助益。
關(guān)鍵詞：網(wǎng)絡(luò)安全 電子簽名 數(shù)字簽名 歐盟電子簽名指令 美國(guó)電子簽名法案
一、電子簽名及其規(guī)制模式
電子簽名的定義，不同的國(guó)際組織和國(guó)家立法各不相同。但本質(zhì)上說(shuō)，電子簽名是“建立在計(jì)算機(jī)基礎(chǔ)上的個(gè)人身份”。電子簽名的形式很多，有“位圖簽名”、“生物簽名”（如虹膜掃描）和“數(shù)字簽名”等。其中的“數(shù)字簽名”，依賴(lài)于“不對(duì)稱(chēng)的加密技術(shù)”(PKI)，使用兩把不同的、在數(shù)字上互有聯(lián)系的一組鑰匙（key pair），即“公共鑰匙”和“私人鑰匙”（the private and the public key），來(lái)創(chuàng)設(shè)數(shù)字簽名，對(duì)數(shù)據(jù)進(jìn)行編碼、解碼和對(duì)簽名進(jìn)行驗(yàn)證。數(shù)字簽名可以較好地保證公開(kāi)網(wǎng)絡(luò)上信息的安全性和保密性，保障數(shù)據(jù)的完整性并避免數(shù)據(jù)被非法篡改，是目前電子簽名中最為高級(jí)、且得到廣泛應(yīng)用的電子簽名形式。
在電子商務(wù)中，交易的安全問(wèn)題至關(guān)重要。由于交易從雙向轉(zhuǎn)為互聯(lián)網(wǎng)上的多向，而且大多數(shù)交易通常不存在前契約關(guān)系，相互間也沒(méi)有再次交易的可能，如何確認(rèn)某一特定交易當(dāng)事人的身份，防止拒絕承認(rèn)提交、傳遞了交易信息、否認(rèn)信息內(nèi)容的完整性，便很重要。電子簽名的數(shù)字簽名具有“不得拒絕”的功能（non-repudiation），可以較好地解決這一問(wèn)題。該功能通過(guò)“可信任的第三方”（TTPs），即“認(rèn)證機(jī)構(gòu)”(CAs)的認(rèn)證來(lái)實(shí)現(xiàn)的。認(rèn)證機(jī)構(gòu)簽發(fā)“認(rèn)證證書(shū)”（certificate），將某一公共鑰匙明白無(wú)誤地歸屬于某一特定身份，并根據(jù)詢(xún)問(wèn)的層次，使用“識(shí)別”（identification）、“時(shí)間戮記”（time stamp）等方法來(lái)確認(rèn)證明對(duì)象的身份。認(rèn)證機(jī)構(gòu)同時(shí)也使用數(shù)字方法進(jìn)行簽證并提供“自我認(rèn)證”（self-certification）、“交叉認(rèn)證”（cross-certification）和“根認(rèn)證”( root CA)）等方式，幫助識(shí)別認(rèn)證機(jī)構(gòu)的身份和認(rèn)證證書(shū)的真實(shí)性。
電子簽名（尤其是數(shù)字簽名）的主要優(yōu)點(diǎn)是：首先，它能夠提供更大的安全性、可靠性和透明度，將欺詐、以被模仿為由逃避責(zé)任的風(fēng)險(xiǎn)降到最低的限度。數(shù)字簽名能滿(mǎn)足信息完整性的要求，防止未經(jīng)授權(quán)獲得數(shù)據(jù)，及時(shí)發(fā)現(xiàn)非法篡改信息的活動(dòng)從而減少以數(shù)據(jù)被改變?yōu)橛傻乃髻r。數(shù)字簽名在功能上與紙質(zhì)形式相同，以數(shù)字方式簽訂的電子合同也能滿(mǎn)足法律上的書(shū)面形式、簽名和文件原始性的要求。其次，電子簽名可以保證公共事務(wù)處理的安全性和透明度，提高數(shù)據(jù)處理速度，并可以進(jìn)行加工、儲(chǔ)存和傳送，保證行政程序的效率。
目前，國(guó)際上規(guī)制電子簽名的方案（initiatives）有三種主要模式：一是“最低要求方案”（Minalist Approach），也稱(chēng)“技術(shù)非特定化方案”。它確立技術(shù)的“中立”(technology-neutral)地位，認(rèn)為電子簽名存在多種技術(shù)手段，應(yīng)由市場(chǎng)和消費(fèi)者去作出判斷和選擇，立法者只需要提出原則性要求，政府不應(yīng)對(duì)具體技術(shù)作出選擇。該方案具有示范性的是1996年聯(lián)合國(guó)貿(mào)易法委員會(huì)制定的《電子商務(wù)示范法》(UNCITRAL Model Law on Electronic Commerce)。二是“數(shù)字簽名方案”（The Digital Approach），也稱(chēng)“技術(shù)特定化方案”。它確定以不對(duì)稱(chēng)的加密技術(shù)為基礎(chǔ)的數(shù)字簽名作為合法的電子簽名技術(shù)，對(duì)認(rèn)證機(jī)構(gòu)提出了某些技術(shù)和財(cái)務(wù)的條件要求，規(guī)定鑰匙持有人的責(zé)任并明確了判別電子簽名可靠性的條件。美國(guó)律師協(xié)會(huì)1996年制定的《ABA數(shù)字簽名指南》（ABA-Digital Signature Guidelines）和歐盟制定的《歐洲電子簽名標(biāo)準(zhǔn)化行動(dòng)計(jì)劃》（EU-Wide satandardisation initiatives, EESSI），是采用這種方案的典型例子。三是“雙軌制方案”(Two-tier Approach)。它是一種“混合型”（hybrid）的折衷方案。它對(duì)各種電子認(rèn)證方法規(guī)定條件，賦予其最低限度的法律效力（“最低限度”），對(duì)某些廣泛使用的技術(shù)（即“數(shù)字簽名”）賦予較大的法律效力，以建立一套不受時(shí)間淘汰的規(guī)制體系。聯(lián)合國(guó)《電子簽名示范法》（UNCITRAL Model Law on Electronic Signatures）采用的是這種方案。上述三種方案中，源自于美國(guó)猶它州立法的“數(shù)字簽名方案”由于將數(shù)字簽名技術(shù)確定為電子簽名的技術(shù)基礎(chǔ)，從而限制了其它技術(shù)的發(fā)展，被認(rèn)為是過(guò)時(shí)的。
二、歐盟與美國(guó)電子簽名法的主要內(nèi)容和特點(diǎn)
（一）《歐盟關(guān)于建立電子簽名共同法律框架的指令》（EU Directive on a Community Framework for Electronic Signatures）
歐盟委員會(huì)1997年4月提出著名的《歐洲電子商務(wù)行動(dòng)方案》（European Initiative in E-commerce）之后，歐盟各國(guó)又于同年7月在波恩召開(kāi)了有關(guān)全球信息網(wǎng)絡(luò)的部長(zhǎng)級(jí)會(huì)議，并通過(guò)了支持電子商務(wù)發(fā)展的部長(zhǎng)宣言。宣言主張政府在電子商務(wù)立法中應(yīng)減少不必要的限制，幫助民間企業(yè)自主發(fā)展，促進(jìn)網(wǎng)絡(luò)商業(yè)競(jìng)爭(zhēng)。隨著電子商務(wù)的發(fā)展，為了在歐洲的層面上制定一個(gè)統(tǒng)一的電子簽名法律框架，克服各國(guó)對(duì)互聯(lián)網(wǎng)市場(chǎng)規(guī)制上出現(xiàn)的互不協(xié)調(diào)局面，并與國(guó)際上各國(guó)的行動(dòng)保持同步，歐盟委員會(huì)于1999年12月13日制定了《關(guān)于建立電子簽名共同法律框架的指令》(以下簡(jiǎn)稱(chēng)《指令》)。其主要目標(biāo)是：1、推動(dòng)電子簽名的使用，促進(jìn)法律承認(rèn)；2、協(xié)調(diào)成員國(guó)之間的規(guī)范；3、提高人們對(duì)電子簽名的信心；4、創(chuàng)設(shè)一種彈性的、與國(guó)際的行動(dòng)規(guī)則相容的、具有競(jìng)爭(zhēng)性的跨境電子交易環(huán)境。
《指令》提出一個(gè)涉及電子簽名和”認(rèn)證服務(wù)商”（CSPs）的法律框架。它依據(jù)交易的敏感度的不同，將電子簽名依其安全水平的高低分為“基本電子簽名”(the basic signature)和“高級(jí)電子簽名”(the advanced signature)，前者適用于低水平交易，后者用于需要較高安全水平的交易�！吨噶睢窙](méi)有提出具體的技術(shù)導(dǎo)向，但偏向于采用數(shù)字簽名(第二條第二款、第五條)。
在法律承認(rèn)方面，《指令》提出了電子簽名的非歧視原則。但它要求“高級(jí)電子簽名”必須滿(mǎn)足國(guó)內(nèi)法的形式條件，而且事實(shí)上只將數(shù)字簽名視為效力等同于手寫(xiě)簽名的電子簽字方式。此外，它規(guī)定電子簽名作為證據(jù)不得因其為電子形式而被拒絕具有可強(qiáng)制執(zhí)行力和可采證力（第五條第二款）。但這種承認(rèn)仍然有限，因?yàn)樗嘘P(guān)于合同或非合同義務(wù)的規(guī)定被排除在《指令》的范圍之外，關(guān)于合同訂立、效力的問(wèn)題也必須符合國(guó)內(nèi)法或歐盟法律所規(guī)定的條件。
在市場(chǎng)進(jìn)入方面，《指令》規(guī)定各成員國(guó)不得將電子簽名認(rèn)證服務(wù)納入“強(qiáng)制性許可”（mandatory licensing）范圍，應(yīng)由各成員國(guó)自行決定引入“民間認(rèn)證方案”（voluntary accreditation schemes）。但它要求必須客觀、透明、非歧視和適當(dāng)?shù)模ǜ郊?br>
《指令》規(guī)定了認(rèn)證服務(wù)商的責(zé)任規(guī)則（第六條）。對(duì)于因?yàn)樾孤⿺?shù)據(jù)而給任何機(jī)構(gòu)造成的損失，以及對(duì)于其所簽發(fā)的合格證書(shū)產(chǎn)生的“合理信賴(lài)”（reasonably relies）而造成的損失，認(rèn)證服務(wù)商應(yīng)承擔(dān)責(zé)任，除非其能夠證明其沒(méi)有“疏忽行事”（act negligently）。此外，《指令》承認(rèn)第三國(guó)認(rèn)證具有與歐盟的認(rèn)證服務(wù)供應(yīng)商所簽發(fā)的證書(shū)同等的法律效力，只要其與歐盟存在連結(jié)關(guān)系（如歐盟的民間認(rèn)證），或歐盟與該第三國(guó)之間有雙邊或多邊協(xié)議（第七條）。
總的說(shuō)來(lái)，《指令》采用了“雙軌”模式，集合了各成員國(guó)的不同趨向和政策。它確立了電子交易安全的最低要求，注重電子簽名和認(rèn)證服務(wù)商應(yīng)具備的條件，但調(diào)整范圍卻較為狹窄（第一條）。其次，《指令》承認(rèn)電子商務(wù)的擴(kuò)展應(yīng)由市場(chǎng)力量來(lái)決定，但又認(rèn)為“商業(yè)現(xiàn)實(shí)不能清楚地為私營(yíng)業(yè)界提供前進(jìn)的方向，不論是采用國(guó)家調(diào)整還是自律調(diào)整方式，國(guó)家仍然是主導(dǎo)的力量�！痹俅�，數(shù)字簽名被視為具有完全等同于手寫(xiě)簽名和簽章的效力，其它電子簽名形式也在法律上也得到承認(rèn)，但其法律約束力卻要取決于各成員國(guó)的國(guó)內(nèi)法規(guī)定。最后，《指令》詳盡地規(guī)定了認(rèn)證服務(wù)商的責(zé)任，對(duì)于認(rèn)證證書(shū)持有人的責(zé)任沒(méi)有作出具體規(guī)定，也沒(méi)有規(guī)定消費(fèi)者對(duì)認(rèn)證服務(wù)商（通常是銀行）所享有的權(quán)利。
（二）美國(guó)《全球和國(guó)內(nèi)商業(yè)法中的電子簽名法案》（Electronic Signatures in Global and National Commerce Act ）（E-Sign Act）
美國(guó)的電子簽名立法起步較早，《猶它州電子交易法》（UETA）是涉及電子簽名的第一個(gè)立法，并被奉為二十多個(gè)州的示范法。這部“技術(shù)中立（technology-neutral）”的法案規(guī)定：1）電子簽名符合手寫(xiě)簽名的各個(gè)要求，并且可在法院訴訟中接納為證據(jù)；2）電子合同得以強(qiáng)制執(zhí)行；3）不存在對(duì)特定技術(shù)的特別待遇，但法院可以將不同技術(shù)納入考慮范圍。
2000年10月美國(guó)國(guó)會(huì)通過(guò)《全球和國(guó)內(nèi)商業(yè)法中的電子簽名法案》（以下簡(jiǎn)稱(chēng)《法案》），并由總統(tǒng)克林頓以電子方式簽署為法律。它是一項(xiàng)重要的電子商務(wù)立法，其突出特點(diǎn)是，采納了“最低限度”模式來(lái)推動(dòng)電子簽名的使用，不規(guī)定使用某一特定技術(shù)。其主要內(nèi)容有如下幾個(gè)方面：
在電子簽名的適用范圍方面，規(guī)定適用于一切影響到州際的或外國(guó)的商業(yè)合同、協(xié)議和記錄，以及《1934年證券交易法》管轄范圍的事項(xiàng)。也即是說(shuō)，電子簽字可以廣泛適用于消費(fèi)者申請(qǐng)抵押或貸款、在網(wǎng)上購(gòu)買(mǎi)汽車(chē)，開(kāi)立傭金戶(hù)頭或處理與保險(xiǎn)公司的事務(wù)等領(lǐng)域。
對(duì)于電子簽名的效力，《法案》將重點(diǎn)放在查證簽名人的意圖上，而不是簽名的形式和規(guī)則�！斗ò浮焚x予電子簽名、電子合同和電子記錄與傳統(tǒng)形式和手寫(xiě)簽名相同的法律效力和可執(zhí)行力。它不但承認(rèn)了“數(shù)字簽名技術(shù)”，而且也授權(quán)在未來(lái)可使用其它任何類(lèi)型的簽名技術(shù)。但它同時(shí)也明確，《法案》的規(guī)定不影響現(xiàn)有關(guān)于合同、記錄必須采用書(shū)面、簽名或電子形式以外的其它形式的法律要求。
《法案》規(guī)定了通過(guò)選擇“加入”系統(tǒng)而自愿使用電子簽名或記錄的規(guī)則。消費(fèi)者可以自由地選擇交易形式（即“當(dāng)事人自治”）；如果同意進(jìn)行在線交易，則以電子方式確認(rèn)其意思表示�！斗ò浮芬�(guī)定，公司必須提供一種“清楚、明晰的陳述”，并在消費(fèi)者作出意思表示之前，告知其有權(quán)獲得一份非電子形式的記錄和撤回其意思表示，以及有權(quán)取得保留電子記錄所需要的硬件和軟件條件（第101條）。至于消費(fèi)者的“意思表示”，必須“合理地表明”消費(fèi)者獲得電子形式的信息，該信息用以證明消費(fèi)者意思表示（同意）的客體。
在《法案》與州一級(jí)的電子簽名法的相互關(guān)系上，法案規(guī)定，州法只有在采用猶他州《電子交易法案》（UETA）的“清潔”版本，或通過(guò)一部專(zhuān)門(mén)的技術(shù)中立法時(shí)，州法才能優(yōu)先于該法案�！斗ò浮芬虼舜_立了為全國(guó)所接受的統(tǒng)一標(biāo)準(zhǔn)，同時(shí)修補(bǔ)了所謂的“猶他州法的漏洞”。至于電子簽字的國(guó)際性效力，《法案》的規(guī)定與聯(lián)合國(guó)的電子商務(wù)示范法是相一致的。它消除了以紙質(zhì)為基礎(chǔ)的對(duì)電子交易造成的障礙，對(duì)來(lái)源于其它國(guó)家的電子簽字和認(rèn)證方法采取了非岐視的原則。
《法案》的特點(diǎn)在于：第一、與歐盟的《指令》相比，最具積極意義的部分是在私營(yíng)部門(mén)和自律政策方面。它試圖為電子交易的可靠性和安全性提供一個(gè)法律框架，對(duì)政府的不適當(dāng)干預(yù)進(jìn)行限制，放棄對(duì)電子簽字和認(rèn)證的強(qiáng)制性規(guī)制方案，采取了自由化的和非岐視的市場(chǎng)導(dǎo)向方法。第二、《法案》通過(guò)“技術(shù)中立”的規(guī)定，明確表明，保障在線簽約安全不只存在一種單一的技術(shù)或方法，盡管數(shù)字簽名在美國(guó)得到了廣泛的承認(rèn)。第三、《法案》預(yù)先制止了可能出現(xiàn)的指定特定技術(shù)方案的州一級(jí)的電子簽字法的出臺(tái)，為創(chuàng)設(shè)互通性的電子簽約系統(tǒng)創(chuàng)造了條件。
三、歐盟與美國(guó)在電子簽名法律與政策上的協(xié)調(diào)
歐盟與美國(guó)的電子簽名法由于采用了不同的規(guī)制模式，在電子簽名的政策導(dǎo)向、電子認(rèn)證的管制以及第三國(guó)認(rèn)證的效力等方面出現(xiàn)了明顯的差異，而這對(duì)于推進(jìn)電子商務(wù)的全球性和交互性，消除國(guó)際電子商務(wù)的統(tǒng)一障礙是不利的。面對(duì)這些政策措施的不協(xié)調(diào)，美國(guó)和歐盟意識(shí)到需要進(jìn)行合作，以推動(dòng)建立一種安全的、有利于電子商務(wù)發(fā)展的統(tǒng)一基礎(chǔ)設(shè)施。其中最為重要的是“環(huán)大西洋行動(dòng)”（transatlantic agenda）和“全球電子簽名認(rèn)證網(wǎng)絡(luò)”(Idntrus)。
“環(huán)大西洋行動(dòng)”是歐盟和美國(guó)為了縮小電子簽名方面的政府和立法措施的差距，以達(dá)到在環(huán)大西洋層次上，實(shí)現(xiàn)電子簽名法律效力和條件標(biāo)準(zhǔn)化的政府層面的合作。
早在1990年，美國(guó)和歐盟（當(dāng)時(shí)的歐共體）及其成員國(guó)就共同宣布要加強(qiáng)合作以進(jìn)一步“推動(dòng)市場(chǎng)原則，反對(duì)保護(hù)主義，擴(kuò)大和進(jìn)一步開(kāi)放多邊貿(mào)易體制”。鑒于互聯(lián)網(wǎng)的發(fā)展以及電子商務(wù)的急速擴(kuò)張，歐盟和美國(guó)在1997年和2000年的首腦高峰會(huì)上主張采取下列指導(dǎo)原則：一、電子商務(wù)應(yīng)由市場(chǎng)來(lái)主導(dǎo)并由私營(yíng)機(jī)構(gòu)來(lái)推動(dòng)；二、政府只提供一個(gè)清晰、協(xié)調(diào)和可預(yù)測(cè)性的法律框架，以推動(dòng)競(jìng)爭(zhēng)環(huán)境的形成以使電子商務(wù)繁榮發(fā)展，并給消費(fèi)者以充分的保護(hù)；三、提倡業(yè)界的自律，例如實(shí)施行為代碼，示范合同，業(yè)界與其它私人機(jī)構(gòu)達(dá)成的指導(dǎo)規(guī)則，以取得消費(fèi)者對(duì)電子商務(wù)的信心；四、消除現(xiàn)有的不必要的法律和管制，防止出現(xiàn)新的障礙；五、實(shí)現(xiàn)電子認(rèn)證方法的互通性、創(chuàng)新性和競(jìng)爭(zhēng)性，并在此條件下達(dá)成適合于國(guó)際一致認(rèn)可的統(tǒng)一標(biāo)準(zhǔn)。
根據(jù)這些原則，歐盟和美國(guó)啟動(dòng)了“環(huán)大西洋行動(dòng)”，目標(biāo)是制定電子商務(wù)的行動(dòng)計(jì)劃，逐步消除歐盟和美國(guó)之間的貨物、服務(wù)以及資本流動(dòng)的各種障礙，促進(jìn)一個(gè)新的環(huán)大西洋市場(chǎng)的形成。歐盟和美國(guó)在其各自現(xiàn)有的規(guī)則和政策的基礎(chǔ)上開(kāi)展合作，以最大程度地實(shí)現(xiàn)技術(shù)透明、規(guī)制協(xié)調(diào)一致、營(yíng)業(yè)共享以及認(rèn)證方法的非岐視。
“環(huán)大西洋行動(dòng)”是歐盟和美國(guó)在政府層次上的合作。但在其中起作用的重要角色是私營(yíng)機(jī)構(gòu)，尤其是“全球電子簽名認(rèn)證網(wǎng)絡(luò)(Idntrus)”。Idntrus是為了減少電子交易所面臨的規(guī)制方面的障礙于1999年在美國(guó)建立起來(lái)的一個(gè)全球性的電子簽字認(rèn)證網(wǎng)絡(luò)。每一家與該認(rèn)證網(wǎng)絡(luò)系統(tǒng)連接的金融機(jī)構(gòu)事實(shí)上都是認(rèn)可的認(rèn)證機(jī)構(gòu)。Idntrus依賴(lài)于一些由金融機(jī)構(gòu)牽頭的歐美私營(yíng)機(jī)構(gòu)而建立起來(lái)，其主要目的是對(duì)交易各方的身份和授權(quán)進(jìn)行鑒別，確保通訊信息的保密性、所傳輸?shù)挠嵪⒌耐暾砸约霸诠_(kāi)網(wǎng)絡(luò)上的簽名的“不可拒絕性”，同時(shí)保障建立在統(tǒng)一標(biāo)準(zhǔn)基礎(chǔ)上、超越任何法律分歧的電子交易系統(tǒng)的互通性。
歐盟目前已經(jīng)正式批準(zhǔn)了Idntrus，并授予金融機(jī)構(gòu)以獨(dú)立認(rèn)證機(jī)構(gòu)身份參與競(jìng)爭(zhēng)，從而確立認(rèn)證服務(wù)的基礎(chǔ)。目前，全球已有接近五十家銀行與“全球電子簽名認(rèn)證網(wǎng)絡(luò)”進(jìn)行了連接。
可見(jiàn)，不論歐盟和美國(guó)的法律和經(jīng)濟(jì)背景如何不同，發(fā)展電子商務(wù)的現(xiàn)實(shí)共同需要使得雙方必須在建立一個(gè)相互協(xié)調(diào)、兼容的法律環(huán)境方面進(jìn)行合作。實(shí)際上，在《電子簽名指令》和《電子簽名法案》頒布之前，雙方各自的政府和商界之間就己開(kāi)始進(jìn)行合作，但立法機(jī)構(gòu)之間并未就解決在線交易面臨的法律挑戰(zhàn)上共同尋求對(duì)策和進(jìn)行合作，而且對(duì)認(rèn)證方法采用了不同的處理方式。
四、歐盟和美國(guó)電子簽名法的評(píng)價(jià)與思考
可以看出，不論是歐盟還是美國(guó)，其解決電子商務(wù)中的電子簽名與安全認(rèn)證問(wèn)題的方案仍然是不完善的：
總共2頁(yè) 1 [2]
下一頁(yè)
