§ 3-20. Odpowiedzialność za nadużycie podpisu elektronicznego (elektronisk signatur)

Ten paragraf ogranicza kwotę, którą osoba będąca właścicielem podpisu elektronicznego (posiadacz podpisu) może musieć zapłacić, gdy podpis zostanie nadużyty. Usługodawca może co do zasady żądać odszkodowania (erstatning) na zwykłych zasadach. Odpowiedzialność nigdy jednak nie może przekroczyć udziałów własnych określonych w pozostałych ustępach. Zgodnie z § 3-16 posiadaczem podpisu jest zawsze osoba fizyczna, która ma prawo tworzyć podpis, którego można używać do zawierania umów finansowych (finansavtale).

Kwoty rosną w zależności od tego, jak bardzo niedbały był posiadacz podpisu. Co do zasady udział własny wynosi do 450 koron. Nie płacisz go, jeśli nadużycia nie dało się w żaden sposób wykryć wcześniej, a posiadacz podpisu nie działał w sposób nieuczciwy. Jeśli posiadacz podpisu wskutek rażącego niedbalstwa nie wypełnił obowiązków z § 3-19 ust. pierwszy i drugi, limit wynosi 12 000 koron. Przy umyślnym naruszeniu, gdy posiadacz podpisu musiał rozumieć, że istnieje bliskie niebezpieczeństwo nadużycia, odpowiada on za stratę, której usługodawca może dochodzić na zwykłych zasadach odszkodowawczych.

Całkowite zwolnienie z odpowiedzialności obowiązuje w kilku przypadkach. Posiadacz podpisu nigdy nie odpowiada za stratę spowodowaną przez samego usługodawcę lub przez kogoś działającego w jego imieniu. Jeśli nie działał nieuczciwie, nie odpowiada też za stratę powstałą po tym, jak zgłosił nadużycie lub niebezpieczeństwo nadużycia. To samo dotyczy sytuacji, gdy naruszono obowiązek umożliwienia zgłoszenia, gdy podpisywanie nie było wystarczająco bezpieczne albo gdy usługodawca nie wymagał silnego uwierzytelniania klienta (bezpiecznego potwierdzenia Twojej tożsamości) tam, gdzie było to istotne. Ostatnią podstawą zwolnienia jest to, że w danych okolicznościach to usługodawca jest najbliżej tego, by ponieść ryzyko nadużycia.

Udziały własne są ściśle powiązane z § 3-19. Ten przepis nakłada na posiadacza podpisu obowiązek ochrony danych zabezpieczających i natychmiastowego zgłoszenia nadużycia. Jeśli zgłoszenie nie nastąpi bez zbędnej zwłoki lub w ciągu 13 miesięcy od chwili, w której posiadacz podpisu powinien był zorientować się w nadużyciu, traci on prawo do ograniczenia odpowiedzialności. Jeśli usługodawca nie przekazał informacji o transakcjach, prawo to przepada dopiero 13 miesięcy po tym, jak posiadacz podpisu dowiedział się o nadużyciu. Zgłoszenie wymaga, by ktoś je przyjął: zgodnie z § 3-17 dostawca musi przyjmować zgłoszenia o każdej porze, natychmiast zablokować dalsze użycie i potwierdzić otrzymanie zgłoszenia na piśmie. Zgodnie z § 3-18 usługodawca musi mieć łatwo dostępne informacje o tym, jak dokonać zgłoszenia.

Zasada obniżenia odpowiedzialności z § 3-21 jest zaworem bezpieczeństwa. Odpowiedzialność w ramach udziału własnego może zostać obniżona, gdy jest to uzasadnione, m.in. ze względu na rodzaj nadużytych danych zabezpieczających, okoliczności nadużycia oraz to, czy usługodawca sam był niedbały lub w inny sposób przyczynił się do straty. Przykład: posiadacz podpisu wskutek rażącego niedbalstwa naruszył swoje obowiązki, ale usługodawca nie wymagał bezpiecznego uwierzytelniania. Wtedy posiadacz podpisu nie odpowiada za stratę, chyba że działał w sposób nieuczciwy.