La nueva Ley regula únicamente aquellas cuestiones que el Reglamento Europeo de aplicación remite a la decisión de los Estados Miembros o que no se encuentran armonizadas evitando los vacíos normativos que se habían creado
El Boletín Oficial del Estado ha publicado la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza. Con la publicación de esta norma, el 12 de noviembre de 2020, que entró en vigor al día siguiente de su publicación, se ha venido a adaptar nuestro ordenamiento jurídico al marco regulatorio de la Unión Europea.
En concreto, con ella se ha venido a solventar la situación existente en nuestro país desde la entrada en vigor del Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo (Identificación electrónica y servicios de confianza para las transacciones electrónicas en el mercado interior), por el cual se derogó la Directiva 1999/93/CE del Parlamento Europeo y del Consejo, que establecía un marco comunitario para la firma electrónica.
Dicha Directiva había sido objeto de transposición a nuestro ordenamiento jurídico mediante la Ley 59/2003 (Ley firma electrónica), la cual quedó desde entonces jurídicamente desplazada en todo aquello regulado por el indicado Reglamento.
El objeto, por tanto, de la nueva Ley 6/2020 no es otro que evitar la existencia de vacíos normativos susceptibles de dar lugar a situaciones de inseguridad jurídica en la prestación de servicios electrónicos de confianza.
En este sentido la Ley 6/2020 se abstiene de reproducir las previsiones del Reglamento, regulando únicamente aquellas cuestiones que éste remitía a la decisión de los Estados Miembros o que no se encuentran armonizadas, adquiriendo de este modo la regulación que contiene coherencia y sentido en el marco de la normativa europea.
Así las cosas, la Ley no contiene una regulación sistemática de los servicios electrónicos de confianza, los cuales ya se encentran regulados en el mencionado Reglamento (UE) 910/2014, que por aplicación del principio de primacía del Derecho de la Unión Europea no debe reproducirse total o parcialmente.
La aprobación del Reglamento Europeo -instrumento legislativo de aplicación directa en los Estados Miembros-, surgió por la necesidad de reforzar la seguridad jurídica terminando de esa forma con la dispersión normativa provocada por las transposiciones de la antes mencionada Directiva en los ordenamientos jurídicos internos a través de leyes nacionales, que había provocado una importante fragmentación normativa que imposibilitaba la prestación de servicios transfronterizos dentro de la Unión Europea, situación ésta agravada, además, por los diferentes sistemas de supervisión previstos en cada Estado Miembro.
Dicho Reglamento (UE) 910/2014 tenía como objetivo regular en un mismo instrumento normativo -como ya se ha dicho de aplicación directa en los Estados Miembros-, por un lado la identificación y los servicios de confianza electrónicos en sentido amplio -armonizando y facilitando el uso transfronterizo de los servicios en línea, públicos y privados-, y, por otro lado, el comercio electrónico en la Unión Europea. Todo ello con la finalidad de lograr el desarrollo de un mercado único digital.
El contenido de la Ley 6/2020 es el siguiente:
- La regulación del régimen de previsión de riesgo de los prestadores cualificados.
- El régimen sancionador.
- La comprobación de la identidad y atributos de los solicitantes de un certificado cualificado.
- La inclusión de requisitos adicionales a nivel nacional para certificados cualificados tales como identificadores nacionales, o su tiempo máximo de vigencia, así como las condiciones para la suspensión de los certificados.
Como se ha mencionado con esta nueva Ley se viene a derogar la Ley 59/2003 (Ley firma electrónica), y con ella aquellos preceptos incompatibles con el citado Reglamento (UE) 910/2014. Y, concretamente, los antiguos certificados de firma de personas jurídicas, introducidos por la citada Ley de firma electrónica.
En este sentido el Reglamento dispone que únicamente las personas físicas están capacitadas para firmar electrónicamente, por lo que no prevé la emisión de certificados de firma electrónica a favor de personas jurídicas o entidades sin personalidad jurídica. A estas últimas les quedan reservados los sellos electrónicos, que garantizan la autenticidad e integridad de los documentos (por ejemplo, de las facturas electrónicas).
Las personas jurídicas, en consecuencia, podrán actuar por medio de los certificados de firma de aquellas personas físicas que legalmente les representen.
Asimismo, la Ley permite la posibilidad de que el órgano supervisor mantenga un servicio de difusión de información referida a los prestadores cualificados, con la finalidad de facilitar a los usuarios información sobre los servicios que ofrecen.
Mediante esta nueva Ley también es derogado el artículo 25 de la Ley 34/2002 (Ley de servicios de la sociedad de la información y de comercio electrónico), referido a los terceros de confianza, debido a que los servicios ofrecidos por este tipo de proveedores se encuentran subsumidos en los tipos regulados por el Reglamento (UE) 910/2014, fundamentalmente en los servicios de entrega electrónica certificada y de conservación de firmas y sellos electrónicos.
El Reglamento (UE) 910/2014, en relación con los servicios cualificados, realiza la previsión de un sistema de verificación previa del cumplimiento de los requisitos contemplados en tal norma europea, pese a que la prestación de servicios electrónicos de confianza es realizada en régimen de libre competencia.
Igualmente, la nueva norma española define el régimen sancionador aplicable a los prestadores cualificados y no cualificados de servicios electrónicos de confianza. Sin perjuicio de que el Reglamento (UE) 910/2014 prevé la posibilidad de retirar la cualificación al prestador o servicio que presta, así como su exclusión de la lista de confianza, para determinados supuestos.
Finalmente, dicha Ley actualiza las cuantías de las sanciones, y en atención a criterios de graduación prevé la división en tramos de la sanción a imponer.
DISPOSICIONES GENERALES
Objeto de la Ley. La regulación de aspectos concretos de los servicios electrónicos de confianza.
Ámbito de aplicación de la Ley. Los prestadores, tanto públicos como privados, de servicios electrónicos de confianza establecidos en España, así como los prestadores residentes o domiciliados en otro Estado Miembro de la Unión Europea que tengan un establecimiento permanente situado en España, siempre que ofrezcan servicios no supervisados por la autoridad competente de otro país de la Unión Europea.
Efectos jurídicos de los documentos electrónicos. Los documentos electrónicos públicos, administrativos y privados, tendrá el valor y la eficacia jurídica que corresponda a su respectiva naturaleza, de conformidad con la legislación que les resulte aplicable.
CERTIFICADOS ELECTRÓNICOS
Vigencia y caducidad de los certificados electrónicos. Los certificados electrónicos se extinguen por caducidad a la expiración de su período de vigencia, o mediante revocación por los prestadores de servicios electrónicos de confianza según las previsiones establecidas en la Ley. El período de vigencia de los certificados cualificados no será superior a cinco años.
Revocación y suspensión de los certificados electrónicos. Los prestadores de servicios electrónicos de confianza extinguirán la vigencia de los certificados electrónicos mediante revocación en los supuestos previstos en la Ley.
Identidad y atributos de los titulares de certificados cualificados. La identidad del titular en los certificados cualificados se consignará de la siguiente forma:
-Certificados de firma electrónica y de autenticación de sitio web expedidos a personas físicas: por su nombre y apellidos y su número de Documento Nacional de Identidad, número de identidad de extranjero o número de identificación fiscal, entre otros.
-Certificados de sello electrónico y de autenticación de sitio web expedidos a personas jurídicas, por su denominación o razón social y su número de identificación fiscal, entre otros.
Comprobación de la identidad y otras circunstancias de los solicitantes de un certificado cualificado. Para la identificación de la persona física que solicite un certificado cualificado se exigirá su personación y se acreditará mediante el Documento Nacional de Identidad, pasaporte u otros medios admitidos en Derecho. Podrá prescindirse de dicha personación si su firma en la solicitud de expedición de un certificado cualificado ha sido legitimada en presencia notarial.
En el caso de certificados cualificados de sello electrónico y de firma electrónica con atributo de representante, los prestadores de servicios de confianza comprobarán, además, los datos relativos a la constitución y personalidad jurídica, y a la persona o entidad representada, respectivamente, así como los referidos a la extensión y vigencia de las facultades de representación del solicitante.
OBLIGACIONES Y RESPONSABILIDAD DE LOS PRESTADORES DE SERVICIOS ELECTRÓNICOS DE CONFIANZA
Se recogen, entre otras, las siguientes obligaciones:
- Protección de los datos personales.
- Publicación de información veraz.
- No almacenar ni copiar, por sí o a través de un tercero, los datos de creación de firma, sello o autenticación de sitio web de la persona física o jurídica a la que hayan prestado sus servicios.
- Disponer de un servicio de consulta sobre el estado de validez o revocación de los certificados emitidos.
Los prestadores cualificados de servicios electrónicos de confianza deberán cumplir, entre otras, las siguientes obligaciones adicionales:
- Deberán conservar la información relativa a los servicios prestados por un periodo de 15 años desde la extinción del certificado o la finalización del servicio prestado.
- Constituir un seguro de responsabilidad civil, excepto si el prestador pertenece al sector público.
- En caso de cesar en su actividad deberá comunicarlo a los clientes a los que preste sus servicios y al órgano de supervisión con una antelación mínima de dos meses al cese efectivo de la actividad, por un medio que acredite la entrega y recepción efectiva siempre que sea factible.
- Enviar el preceptivo informe de evaluación al Ministerio de Asuntos Económicos y Transformación Digital.
Responsabilidad de los prestadores de servicios electrónicos de confianza. Asumirán toda la responsabilidad frente a terceros por la actuación de las personas u otros prestadores en los que deleguen la ejecución de alguna o algunas de las funciones necesarias para la prestación de servicios electrónicos de confianza.
Limitaciones de responsabilidad de los prestadores de servicios electrónicos de confianza. No será responsable de los daños y perjuicios ocasionados a la persona a la que ha prestado sus servicios o a terceros de buena fe, en los supuestos previstos en el Reglamento o en los previstos en la Ley.
El prestador de servicios de confianza no será responsable por los daños y perjuicios si el destinatario actúa de forma negligente, es decir, cuando éste no tenga en cuenta la suspensión o pérdida de vigencia del certificado electrónico, o cuando no verifique la firma o sello electrónico.
El prestador de servicios de confianza no será responsable por los daños y perjuicios en caso de inexactitud de los datos que consten en el certificado electrónico si estos le han sido acreditados mediante documento público u oficial, inscrito en un registro público si así resulta exigible.
Inicio de la prestación de servicios electrónicos de confianza no cualificados. Los prestadores de servicios de confianza no cualificados no necesitan verificación administrativa previa de cumplimiento de requisitos para iniciar su actividad, pero deberán comunicar su actividad al Ministerio de Asuntos Económicos y Transformación Digital en el plazo de tres meses desde que la inicien.
Obligaciones de seguridad de la información. Los prestadores cualificados y no cualificados de servicios electrónicos de confianza notificarán al Ministerio de Asuntos Económicos y Transformación Digital las violaciones de seguridad o pérdidas de la integridad indicadas en el Reglamento (UE) 910/2014, sin perjuicio de su notificación a la Agencia Española de Protección de Datos, a otros organismos relevantes o a las personas afectadas.
Los prestadores de servicios tienen la obligación de tomar las medidas necesarias para resolver los incidentes de seguridad que les afecten.
SUPERVISIÓN Y CONTROL
Órgano de supervisión. Lo será el Ministerio de Asuntos Económicos y Transformación Digital.
Actuaciones inspectoras. El Ministerio de Asuntos Económicos y Transformación Digital realizará las actuaciones inspectoras necesarias para el ejercicio de su función de supervisión y control; los funcionarios adscritos al mismo tendrán la consideración de autoridad pública en el desempeño de sus labores.
Mantenimiento de la lista de confianza. El Ministerio de Asuntos Económicos y Transformación Digital establecerá, mantendrá y publicará la lista relativa a los prestadores cualificados de servicios de confianza junto con la información relacionada con los servicios de confianza cualificados prestados por ellos.
Información y colaboración. Los prestadores de servicios de confianza, la entidad nacional de acreditación, los organismos de evaluación de la conformidad, los organismos de certificación y cualquier otra persona o entidad relacionada con el prestador de servicios de confianza, facilitarán al Ministerio de Asuntos Económicos y Transformación Digital toda la información y colaboración necesaria para el ejercicio de sus funciones.
INFRACCIONES Y SANCIONES
Se recogen en la ley las infracciones y sanciones de aplicación.
La imposición de sanciones corresponderá en el caso de infracciones muy graves, a la persona titular del Ministerio de Asuntos Económicos y Transformación Digital, y en caso de las infracciones graves y leves, a la persona titular de la Secretaría de Estado de Digitalización e Inteligencia Artificial.
OTRAS MEDIDAS
-Documento Nacional de Identidad y sus certificados electrónicos. El Documento Nacional de Identidad electrónico es el Documento Nacional de Identidad que permite acreditar electrónicamente la identidad personal de su titular, así como la firma electrónica de documentos.
Todas las personas físicas o jurídicas, públicas o privadas, reconocerán la eficacia del Documento Nacional de Identidad para acreditar la identidad y los demás datos personales del titular que consten en el mismo, así como la identidad del firmante y la integridad de los documentos firmados con sus certificados electrónicos.
-Modificación de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.
–Modificación de la Ley 17/2009, de 23 de noviembre, sobre el libre acceso a las actividades de servicios y su ejercicio.
[Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza (BOE de 12 de noviembre de 2020)]
Departamento de Documentación de Garrido