|
REAL
DECRETO-LEY 14/1999, de 17 de septiembre, sobre firma electrónica.
En la sesión del Consejo de Ministros de Telecomunicaciones de
la Unión Europea, celebrada el 22 de abril de 1999, se ha informado
favorablemente la adopción de una posición común,
respecto del proyecto de Directiva del Parlamento Europeo y del Consejo
por la que se establece un marco común para la firma electrónica.
El Estado español ha tenido una participación activa en
el logro de la posición común que facilita la tramitación
del texto, al recoger éste los elementos suficientes para proteger
la seguridad y la integridad de las comunicaciones telemáticas
en las que se emplee la firma electrónica. En ese sentido, existen
ya en España diversas normas sobre la presentación de la
declaración del Impuesto sobre la Renta de las Personas Físicas
por medios telemáticos, dictadas por la Administración Tributaria.
La Comisión Nacional del Mercado de Valores, por su parte, ha aprobado
y puesto en marcha un sistema de cifrado y firma electrónica que
se emplea para la recepción de información de las entidades
supervisadas. Asimismo, el artículo 81 de la Ley 66/1997, de 30
de diciembre de Medidas Fiscales, Administrativas y de Orden Social anuncia
la posibilidad de prestar, por la Fabrica Nacional de Moneda y Timbre-Real
Casa de la Moneda, los servicios técnicos y administrativos necesarios
para garantizar la seguridad, la validez y la eficacia de la emisión
y recepción de comunicaciones, a través de técnicas
y medios electrónicos, informáticos y telemáticos.
La Fabrica Nacional de la Moneda y Timbre-Real Casa de la Moneda actuará
en colaboración con Correos y Telégrafos.
En el Proyecto de Directiva se incorpora, a solicitud del Estado español,
una novedad, recogida en el apartado c) del Anexo II, entre los requisitos
exigibles a los prestadores de servicios de certificación que expidan
certificados reconocidos. Esta novedad consiste en permitir que la certificación
pueda recoger la fecha y la hora en la que se produce la actuación
certificante.
Existe, además, en España un sector empresarial que podría
prestar un servicio de certificación de la firma electrónica
con suficiente calidad. Se considera que debe introducirse, cuanto antes,
la disciplina que permita utilizar, con la adecuada seguridad jurídica,
este medio tecnológico que contribuye al desarrollo de lo que se
ha venido en denominar, en la Unión Europea, la Sociedad de la
Información. La urgencia de la aprobación de esta norma
deriva, también, del deseo de dar, a los usuarios de los nuevos
servicios, elementos de confianza en los sistemas, permitiendo su introducción
y rápida difusión.
Por ello, este Real Decreto-ley persigue, respetando el contenido de la
posición común respecto de la Directiva sobre firma electrónica,
establecer una regulación clara del uso de ésta, atribuyéndole
eficacia jurídica y previendo el régimen aplicable a los
prestadores de servicios de certificación. De igual modo, este
Real Decreto-ley determina el registro en el que habrán de inscribirse
los prestadores de servicios de certificación y el régimen
de inspección administrativa de su actividad, regula la expedición
y la pérdida de eficacia de los certificados y tipifica las infracciones
y las sanciones que se prevén para garantizar su cumplimiento.
La presente disposición ha sido sometida al procedimiento de información
en materia de normas y reglamentaciones técnicas previsto en la
Directiva 98/34/CE, del Parlamento Europeo y del Consejo, de 22 de junio
de 1998, modificada por la 98/48/CE, del Parlamento Europeo y del Consejo,
de 20 de julio de 1998, y en el Real Decreto 1337/1999, de 31 de julio.
En su virtud, a propuesta del Ministro de Fomento, de la Ministra de Justicia
y del Ministro de Industria y Energía, previo informe del Consejo
General del Poder Judicial y de la Agencia de Protección de Datos,
tras la deliberación del Consejo de Ministros, en su reunión
celebrada el día 17 de septiembre de 1999, y en uso de la autorización
concedida en el artículo 86 de la Constitución,
DISPONGO:
Sumario
TÍTULO I. Disposiciones generales.
CAPÍTULO ÚNICO. Disposiciones generales.
Artículo 1. Ámbito de aplicación.
Artículo 2. Definiciones.
Artículo 3. Efectos jurídicos de la firma electrónica.
TÍTULO II. La prestación de servicios de certificación.
CAPÍTULO I. Principios generales.
Artículo 4. Régimen de libre competencia.
Artículo 5. Empleo de la firma electrónica por las Administraciones
Públicas.
Artículo 6. Sistemas de acreditación de prestadores de servicios
de certificación y de certificación de productos de firma
electrónica.
Artículo 7. Registro de prestadores de servicios de certificación.
CAPÍTULO II. Certificados.
Artículo 8. Requisitos para la existencia de un certificado reconocido.
Artículo 9. Vigencia de los certificados.
Artículo 10. Equivalencia de certificados.
CAPÍTULO III. Condiciones exigibles a los prestadores de servicios
de certificación
Artículo 11. Obligaciones de los prestadores de servicios de certificación.
Artículo 12. Obligaciones exigibles a los prestadores de servicios
de certificación que expidan certificados reconocidos.
Artículo 13. Cese de la actividad.
Artículo 14. Responsabilidad de los prestadores de servicios de
certificación.
Artículo 15. Protección de los datos personales.
CAPÍTULO IV. Inspección y control de la actividad de los
prestadores de servicios de certificación
Artículo 16. Supervisión y control.
Artículo 17. Deber de colaboración.
Artículo 18. Resoluciones del órgano de supervisión.
TÍTULO III. Los dispositivos de firma electrónica y la evaluación
de su conformidad con la normativa aplicable
CAPÍTULO ÚNICO. Los dispositivos de firma electrónica
y la evaluación de su conformidad con la normativa aplicable
Artículo 19. Dispositivos seguros de creación de firma electrónica.
Artículo 20. Normas técnicas.
Artículo 21. Evaluación de la conformidad con la normativa
aplicable de los dispositivos seguros de creación de firma electrónica.
Artículo 22. Dispositivos de verificación de firma.
TÍTULO IV. Tasa por el reconocimiento de acreditaciones y certificaciones.
CAPÍTULO ÚNICO. Tasa por el reconocimiento de acreditaciones
y certificaciones.
Artículo 23. Régimen aplicable a la tasa.
TÍTULO V. Infracciones y sanciones.
CAPÍTULO ÚNICO. Infracciones y sanciones.
Artículo 24. Clasificación de las infracciones.
Artículo 25. Infracciones.
Artículo 26. Sanciones.
Artículo 27. Medidas cautelares.
Artículo 28. Procedimiento sancionador.
Disposición adicional única. Posibilidad de emisión
por las entidades públicas de radiodifusión de una Comunidad
Autónoma en el territorio de otras con las que aquélla tenga
espacios radioeléctricos colindantes.
Disposición transitoria única. Prestadores de servicios
de certificación establecidos en España antes de la entrada
en vigor de este Real Decreto-ley.
Disposición final primera. Fundamento constitucional.
Disposición final segunda. Habilitación al Gobierno.
Disposición final tercera. Entrada en vigor.
TÍTULO I
Disposiciones generales
CAPÍTULO ÚNICO
Disposiciones generales
Artículo 1. Ámbito de aplicación
1. Este Real Decreto-ley regula el uso de la firma electrónica,
el reconocimiento de su eficacia jurídica y la prestación
al público de servicios de certificación. Las normas sobre
esta actividad son de aplicación a los prestadores de servicios
establecidos en España.
2. Las disposiciones contenidas en este Real Decreto-ley no alteran las
normas relativas a la celebración, la formalización, la
validez y la eficacia de los contratos y otros actos jurídicos
ni al régimen jurídico aplicable a las obligaciones.
Las normas sobre la prestación de servicios de certificación
de firma electrónica que recoge este Real Decreto-ley no sustituyen
ni modifican las que regulan las funciones que corresponde realizar a
las personas facultadas, con arreglo a derecho, para dar fe de la firma
en documentos o para intervenir en su elevación a públicos.
Artículo 2. Definiciones.
A los efectos de este Real Decreto-ley, se establecen las siguientes definiciones:
a) "Firma electrónica": es el conjunto de datos, en forma
electrónica, anejos a otros datos electrónicos o asociados
funcionalmente con ellos, utilizados como medio para identificar formalmente
al autor o a los autores del documento que la recoge.
b) "Firma electrónica avanzada": es la firma electrónica
que permite la identificación del signatario y ha sido creada por
medios que éste mantiene bajo su exclusivo control, de manera que
está vinculada únicamente al mismo y a los datos a los que
se refiere, lo que permite que sea detectable cualquier modificación
ulterior de éstos.
c) "Signatario": es la persona física que cuenta con
un dispositivo de creación de firma y que actúa en nombre
propio o en el de una persona física o jurídica a la que
representa.
d) "Datos de creación de firma": son los datos únicos,
como códigos o claves criptográficas privadas, que el signatario
utiliza para crear la firma electrónica.
e) "Dispositivo de creación de firma": es un programa
o un aparato informático que sirve para aplicar los datos de creación
de firma.
f) "Dispositivo seguro de creación de firma": es un dispositivo
de creación de firma que cumple los requisitos establecidos en
el artículo 19.
g) "Datos de verificación de firma": son los datos, como
códigos o claves criptográficas públicas, que se
utilizan para verificar la firma electrónica.
h) "Dispositivo de verificación de firma": es un programa
o un aparato informático que sirve para aplicar los datos de verificación
de firma.
i) "Certificado": es la certificación electrónica
que vincula unos datos de verificación de firma a un signatario
y confirma su identidad.
j) "Certificado reconocido": es el certificado que contiene
la información descrita en el artículo 8 y es expedido por
un prestador de servicios de certificación que cumple los requisitos
enumerados en el artículo 12.
k) "Prestador de servicios de certificación": es la persona
física o jurídica que expide certificados, pudiendo prestar,
además, otros servicios en relación con la firma electrónica.
l) "Producto de firma electrónica": es un programa o
un aparato informático o sus componentes específicos, destinados
a ser utilizados para la prestación de servicios de firma electrónica
por el prestador de servicios de certificación o para la creación
o verificación de firma electrónica.
ll) "Acreditación voluntaria del prestador de servicios de
certificación": resolución que establece los derechos
y obligaciones específicos para la prestación de servicios
de certificación y que se dicta, a petición del prestador
al que le beneficie, por el organismo público encargado de su supervisión.
Artículo 3. Efectos jurídicos de la firma electrónica.
1. La firma electrónica avanzada, siempre que esté basada
en un certificado reconocido y que haya sido producida por un dispositivo
seguro de creación de firma, tendrá, respecto de los datos
consignados en forma electrónica, el mismo valor jurídico
que la firma manuscrita en relación con los consignados en papel
y será admisible como prueba en juicio, valorándose ésta,
según los criterios de apreciación establecidos en las normas
procesales.
Se presumirá que la firma electrónica avanzada reúne
las condiciones necesarias para producir los efectos indicados en este
apartado, cuando el certificado reconocido en que se base, haya sido expedido
por un prestador de servicios de certificación acreditado y el
dispositivo seguro de creación de firma con el que ésta
se produzca se encuentre certificado, con arreglo a lo establecido en
el artículo 21.
2. A la firma electrónica que no reúna todos los requisitos
previstos en el apartado anterior, no se le negarán efectos jurídicos
ni será excluida como prueba en juicio, por el mero hecho de presentarse
en forma electrónica.
TÍTULO II
La prestación de servicios de certificación
CAPÍTULO I
Principios generales
Artículo 4. Régimen de libre competencia
1. La prestación de servicios de certificación no está
sujeta a autorización previa y se realiza en régimen de
libre competencia, sin que quepa establecer restricciones para los servicios
de certificación que procedan de alguno de los Estados miembros
de la Unión Europea.
2. La prestación de los servicios de certificación por las
Administraciones o los organismos o sociedades de ellas dependientes,
se realizará con la debida separación de cuentas y con arreglo
a los principios de objetividad, transparencia y no discriminación.
Artículo 5. Empleo de la firma electrónica por las Administraciones
Públicas.
1. Se podrá supeditar por la normativa estatal o, en su caso, autonómica
el uso de la firma electrónica en el seno de las Administraciones
Públicas y sus entes públicos y en las relaciones que con
cualesquiera de ellos mantengan los particulares, a las condiciones adicionales
que se consideren necesarias, para salvaguardar las garantías de
cada procedimiento.
Las condiciones adicionales que se establezcan podrán incluir la
prestación de un servicio de consignación de fecha y hora,
respecto de los documentos electrónicos integrados en un expediente
administrativo. El citado servicio consistirá en la acreditación
por el prestador de servicios de certificación o por un tercero,
de la fecha y hora en que un documento electrónico es enviado por
el signatario o recibido por el destinatario.
Las normas estatales que regulen las condiciones adicionales sobre el
uso de la firma electrónica a las que se refiere este apartado,
sólo podrán hacer referencia a las características
específicas de la aplicación de que se trate y se dictarán
a propuesta del Ministerio de Administraciones Públicas y previo
informe del Consejo Superior de Informática.
2. Las condiciones adicionales a las que se refiere el apartado anterior,
deberán garantizar el cumplimiento de lo previsto en el artículo
45 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico
de las Administraciones Públicas y del Procedimiento Administrativo
Común, serán objetivas, razonables y no discriminatorias
y no obstaculizarán la prestación de servicios al ciudadano,
cuando en ella intervengan distintas Administraciones Públicas
nacionales o extranjeras.
3. Podrá someterse a un régimen específico, la utilización
de la firma electrónica en las comunicaciones que afecten a la
información clasificada, a la seguridad pública o a la defensa.
Asimismo, el Ministro de Economía y Hacienda, respetando las condiciones
previstas en este Real Decreto-ley, podrá establecer un régimen
normativo destinado a garantizar el cumplimiento de las obligaciones tributarias,
determinando, respecto de la gestión de los tributos, la posibilidad
de que el signatario sea una persona física o una persona jurídica.
Artículo 6. Sistemas de acreditación de prestadores de servicios
de certificación y de certificación de productos de firma
electrónica.
1. El Gobierno, por Real Decreto, podrá establecer sistemas voluntarios
de acreditación de los prestadores de servicios de certificación
de firma electrónica, determinando, para ello, un régimen
que permita lograr el adecuado grado de seguridad y proteger, debidamente,
los derechos de los usuarios.
2. Las funciones de certificación a las que se refiere este Real
Decreto-ley serán ejercidas por los órganos, en cada caso
competentes, referidos en la Ley 11/1998, de 24 de abril, General de Telecomunicaciones,
en la Ley 21/1992, de 16 de julio, de Industria y en la demás legislación
vigente sobre la materia. El Real Decreto al que se refiere el apartado
1, establecerá las condiciones que permitan coordinar los sistemas
de certificación.
3. Las normas que regulen los sistemas de acreditación y de certificación
deberán ser objetivas, razonables y no discriminatorias. Todos
los prestadores de servicios que se sometan voluntariamente a ellos, podrán
obtener la correspondiente acreditación de su actividad o, en su
caso, la certificación del producto de firma electrónica
que empleen.
4. Los órganos competentes para el ejercicio de las funciones a
que se refiere el apartado anterior, valorarán los informes técnicos
que emitan las entidades de evaluación sobre los prestadores de
servicios que hayan solicitado su acreditación o los productos
para los que se haya pedido certificación. También tomarán
en cuenta el cumplimiento por el prestador de servicios, de los requisitos
que se determinen reglamentariamente para poder ser acreditado.
5. A los efectos de este Real Decreto-ley, sólo podrán actuar
como entidades de evaluación aquellas que hayan sido acreditadas
por el organismo independiente al que se haya atribuido esta facultad
por el Real Decreto al que se refiere el apartado primero de este artículo.
Artículo 7. Registro de prestadores de servicios de certificación.
1. Se crea, en el Ministerio de Justicia, el Registro de Prestadores de
Servicios de Certificación, en el que deberán solicitar
su inscripción, con carácter previo al inicio de su actividad,
todos los establecidos en España. Su regulación se desarrollará
por Real Decreto.
2. La solicitud de inscripción habrá de formularse, aportando
la documentación que se establezca reglamentariamente, a efectos
de la identificación del prestador de servicios de certificación
y de justificar que éste reúne los requisitos necesarios,
en cada caso, para ejercer su actividad. También será objeto
de inscripción ulterior cualquier circunstancia relevante, a efectos
de este Real Decreto-ley, relativa al prestador de servicios de certificación,
como su acreditado o estar en condiciones de expedir certificados reconocidos.
La formulación de la solicitud de inscripción en el Registro
por los citados prestadores de servicios, les permitirá iniciar
o continuar su actividad, sin perjuicio de la aplicación, en su
caso, del régimen sancionador correspondiente.
3. El Registro de Prestadores de Servicios de Certificación será
público y deberá mantener permanentemente actualizada y
a disposición de cualquier persona, una relación de los
inscritos, en la que figurarán su nombre o razón social,
la dirección de su página en Internet o de correo electrónico,
los datos de verificación de su firma electrónica y, en
su caso, su condición de acreditado o de tener la posibilidad de
expedir certificados reconocidos. En la citada relación figurarán,
también, cualesquiera otros datos complementarios que se determinen
por Real Decreto.
Los datos inscritos en el Registro podrán ser consultados por vía
telemática o a través de la oportuna certificación
registral. El suministro esta información podrá sujetarse
al pago de una tasa, cuyos elementos esenciales se determinarán
por ley.
CAPÍTULO II
Certificados
Artículo 8. Requisitos para la existencia de un certificado reconocido.
1. Los certificados reconocidos, definidos en el artículo 2 j)
de este Real Decreto-ley, tendrán el siguiente contenido:
a. La indicación de que se expiden como tales.
b. El código identificativo único del certificado.
c. La identificación del prestador de servicios de certificación
que expide el certificado, indicando su nombre o razón social,
su domicilio, su dirección de correo electrónico, su número
de identificación fiscal y, en su caso, sus datos de identificación
registral.
d. La firma electrónica avanzada del prestador de servicios de
certificación que expide el certificado.
e. La identificación del signatario, por su nombre y apellidos
o a través de un seudónimo que conste como tal de manera
inequívoca. Se podrá consignar en el certificado cualquier
otra circunstancia personal del titular, en caso de que sea significativa
en función del fin propio del certificado y siempre que aquél
dé su consentimiento.
f. En los supuestos de representación, la indicación del
documento que acredite las facultades del signatario para actuar en nombre
de la persona física o jurídica a la que represente.
g. Los datos de verificación de firma que correspondan a los datos
de creación de firma que se encuentren bajo el control del signatario
h. El comienzo y el fin del período de validez del certificado.
i. Los límites de uso del certificado, si se prevén.
j. Los límites del valor de las transacciones para las que puede
utilizarse el certificado, si se establecen.
2. La consignación en el certificado de cualquier otra información
relativa al signatario, requerirá su consentimiento expreso.
Artículo 9. Vigencia de los certificados.
1. Los certificados de firma electrónica quedarán sin efecto,
si concurre alguna de las siguientes circunstancias:
a. Expiración del período de validez del certificado. Tratándose
de certificados reconocidos, éste no podrá ser superior
a cuatro años, contados desde la fecha en que se hayan expedido.
b. Revocación por el signatario, por la persona física o
jurídica representada por éste o por un tercero autorizado.
c. Pérdida o inutilización por daños del soporte
del certificado.
d. Utilización indebida por un tercero.
e. Resolución judicial o administrativa que lo ordene.
f. Fallecimiento del signatario o de su representado, incapacidad sobrevenida,
total o parcial, de cualquiera de ellos, terminación de la representación
o extinción de la persona jurídica representada.
g. Cese en su actividad del prestador de servicios de certificación
salvo que, previo consentimiento expreso del signatario, los certificados
expedidos por aquél sean transferidos a otro prestador de servicios.
h. Inexactitudes graves en los datos aportados por el signatario para
la obtención del certificado.
2. La pérdida de eficacia de los certificados, en los supuestos
de expiración de su período de validez y de cese de actividad
del prestador de servicios, tendrá lugar desde que estas circunstancias
se produzcan. En los demás casos, la extinción de la eficacia
de un certificado surtirá efectos desde la fecha en que el prestador
de servicios tenga conocimiento cierto de cualquiera de los hechos determinantes
de ella y así lo haga constar en su Registro de certificados al
que se refiere el artículo 11.e).
3. En cualquiera de los supuestos indicados, el prestador de servicios
de certificación, habrá de publicar la extinción
de eficacia del certificado en el Registro al que se refiere el artículo
11.e) y responderá de los posibles perjuicios que se causen al
signatario o a terceros de buena fe, por el retraso en la publicación.
Corresponderá al prestador de servicios la prueba de que los terceros
conocían las circunstancias invalidantes del certificado.
4. El prestador de servicios de certificación podrá suspender,
temporalmente, la eficacia de los certificados expedidos, si así
lo solicita el signatario o sus representados o lo ordena una autoridad
judicial o administrativa. La suspensión surtirá efectos
en la forma prevista en los dos apartados anteriores.
Artículo 10. Equivalencia de certificados
Los certificados que los prestadores de servicios de certificación
establecidos en un Estado que no sea miembro de la Unión Europea,
de acuerdo con la legislación de éste, expidan como reconocidos,
se considerarán equivalentes a los expedidos por los establecidos
en España, siempre que se cumplan alguna de las siguientes condiciones:
a) Que el prestador de servicios reúna los requisitos establecidos
en la normativa comunitaria sobre firma electrónica y haya sido
acreditado, conforme a un sistema voluntario establecido en un Estado
miembro de la Unión Europea.
b) Que el certificado esté garantizado por un prestador de servicios
de la Unión Europea que cumpla los requisitos establecidos en la
normativa comunitaria sobre firma electrónica.
c) Que el certificado o el prestador de servicios estén reconocidos
en virtud de un acuerdo bilateral o multilateral entre la Comunidad Europea
y terceros países u organizaciones internacionales.
CAPÍTULO III
Condiciones exigibles a los prestadores de servicios de certificación
Artículo 11. Obligaciones de los prestadores de servicios de certificación.
Todos los prestadores de servicios de certificación deben cumplir
las siguientes obligaciones:
a) Comprobar por sí o por medio de una persona física o
jurídica que actúe en nombre y por cuenta suyos, la identidad
y cualesquiera circunstancias personales de los solicitantes de los certificados
relevantes para el fin propio de éstos, utilizando cualquiera de
los medios admitidos en Derecho. Se exceptúan de esta obligación,
los prestadores de servicios de certificación que, expidiendo certificados
que no tengan la consideración de reconocidos, se limiten a constatar
determinadas circunstancias específicas de los solicitantes de
aquéllos.
b) Poner a disposición del signatario los dispositivos de creación
y de verificación de firma electrónica.
c) No almacenar ni copiar los datos de creación de firma de la
persona a la que hayan prestado sus servicios, salvo que ésta lo
solicite.
d) Informar, antes de la emisión de un certificado, a la persona
que solicite sus servicios, de su precio, de las condiciones precisas
para la utilización del certificado, de sus limitaciones de uso
y de la forma en que garantiza su posible responsabilidad patrimonial.
e) Mantener un Registro de certificados, en el que quedará constancia
de los emitidos y figurarán las circunstancias que afecten a la
suspensión o perdida de vigencia de sus efectos. A dicho Registro
podrá accederse por medios telemáticos y su contenido estará
a disposición de las personas que lo soliciten, cuando así
lo autorice el signatario.
f) En el caso de cesar en su actividad, los prestadores de servicios de
certificación deberán comunicarlo con la antelación
indicada en el apartado 1 del artículo 13, a los titulares de los
certificados por ellos emitidos y, si estuvieran inscritos en él,
al Registro de Prestadores de Servicios del Ministerio de Justicia.
g) Solicitar la inscripción en el Registro de Prestadores de Servicios
de Certificación.
h) Cumplir las demás normas previstas, respecto de ellos, en este
Real Decreto-ley y en sus normas de desarrollo.
Artículo 12. Obligaciones exigibles a los prestadores de servicios
de certificación que expidan certificados reconocidos.
Además de cumplir las obligaciones establecidas en los artículos
7 y 11, los prestadores de servicios de certificación que expidan
certificados reconocidos, han de cumplir las siguientes:
a) Indicar la fecha y la hora en las que se expidió o se dejó
sin efecto un certificado.
b) Demostrar la fiabilidad necesaria de sus servicios.
c) Garantizar la rapidez y la seguridad en la prestación del servicio.
En concreto, deberán permitir la utilización de un servicio
rápido y seguro de consulta del Registro de certificados emitidos
y habrán de asegurar la extinción o suspensión de
la eficacia de éstos de forma segura e inmediata.
d) Emplear personal cualificado y con la experiencia necesaria para la
prestación de los servicios ofrecidos, en el ámbito de la
firma electrónica y los procedimientos de seguridad y de gestión
adecuados.
e) Utilizar sistemas y productos fiables que estén protegidos contra
toda alteración y que garanticen la seguridad técnica y,
en su caso, criptográfica de los procesos de certificación
a los que sirven de soporte.
f) Tomar medidas contra la falsificación de certificados y, en
el caso de que el prestador de servicios de certificación genere
datos de creación de firma, garantizar su confidencialidad durante
el proceso de generación.
g) Disponer de los recursos económicos suficientes para operar
de conformidad con lo dispuesto en este Real Decreto-ley y, en particular,
para afrontar el riesgo de la responsabilidad por daños y perjuicios.
Para ello, habrán de garantizar su responsabilidad frente a los
usuarios de sus servicios y terceros afectados por éstos. La garantía
a constituir podrá consistir en un afianzamiento mercantil prestado
por una entidad de crédito o en un seguro de caución.
Inicialmente, la garantía cubrirá, al menos, el cuatro por
ciento de la suma de los importes límite de las transacciones en
que puedan emplearse el conjunto de los certificados que emita cada prestador
de servicios de certificación. Teniendo en cuenta la evolución
del mercado, el Gobierno, por Real Decreto, podrá reducir el citado
porcentaje, hasta el dos por ciento.
En caso de que no se limite el importe de las transacciones en las que
puedan emplearse al conjunto de los certificados que emita el prestador
de servicios de certificación, la garantía a constituir,
cubrirá, al menos, su responsabilidad por un importe de 1.000.000.000
de pesetas (6.010.121,04 euros). El Gobierno, por Real Decreto, podrá
modificar el referido importe.
h) Conservar registrada toda la información y documentación
relativa a un certificado reconocido durante quince años. Esta
actividad de registro podrá realizarse por medios electrónicos.
i) Antes de expedir un certificado, informar al solicitante sobre el precio
y las condiciones precisas de utilización del certificado. Dicha
información, deberá incluir posibles límites de uso,
la acreditación del prestador de servicios y los procedimientos
de reclamación y de resolución de litigios previstos en
las leyes y deberá ser fácilmente comprensible. Estará
también a disposición de terceros interesados y se incorporará
a un documento que se entregará a quien lo solicite. Para comunicar
esta información, podrán utilizarse medios electrónicos
si el signatario o los terceros interesados lo admiten.
j) Utilizar sistemas fiables para almacenar certificados, de modo tal
que:
1. Sólo personas autorizadas puedan consultarlos, si éstos
únicamente están disponibles para verificación de
firmas electrónicas.
2. Únicamente personas autorizadas puedan hacer en ellos anotaciones
y modificaciones.
3. Pueda comprobarse la autenticidad de la información.
4. El signatario o la persona autorizada para acceder a los certificados,
pueda detectar todos los cambios técnicos que afecten a los requisitos
de seguridad mencionados.
k) Informar a cualesquiera usuarios de sus servicios de los criterios
que se comprometen a seguir, respetando este Real Decreto-ley y sus disposiciones
de desarrollo, en el ejercicio de su actividad.
Artículo 13. Cese de la actividad.
1. El prestador de servicios de certificación que vaya a cesar
en su actividad, deberá comunicarlo a los titulares de los certificados
por él expedidos y transferir, con su consentimiento expreso, los
que sigan siendo válidos en la fecha en que el cese se produzca
a otro prestador de servicios que los asuma o dejarlos sin efecto. La
citada comunicación se llevará a cabo con una antelación
mínima de dos meses al cese efectivo de la actividad.
2. Si el prestador de servicios estuviere inscrito en el Registro de Prestadores
de Servicios de Certificación del Ministerio de Justicia, deberá
comunicar a éste, con la antelación indicada en el anterior
apartado, el cese de su actividad, y el destino que vaya a dar a los certificados
especificando, en su caso, si los va a transferir y a quién o si
los dejará sin efecto. Igualmente, indicará cualquier otra
circunstancia relevante, que pueda impedir la continuación de su
actividad. En especial, deberá comunicar, en cuanto tenga conocimiento
de ello, la apertura de un procedimiento de quiebra o suspensión
de pagos respecto de él.
3. La inscripción del prestador de servicios de certificación
en el Registro de Prestadores de Servicios de Certificación será
cancelada, de oficio, por el Ministerio de Justicia, cuando aquél
cese en su actividad. El Ministerio de Justicia se hará cargo de
la información relativa a los certificados que se hubieren dejado
sin efecto por el prestador de servicios de certificación, a efectos
de lo previsto en el artículo 12.h).
Artículo 14. Responsabilidad de los prestadores de servicios de
certificación.
1. Los prestadores de servicios de certificación responderán
por los daños y perjuicios que causen a cualquier persona, en el
ejercicio de su actividad, cuando incumplan las obligaciones que les impone
este Real Decreto-ley o actúen con negligencia. En todo caso, corresponderá
al prestador de servicios demostrar que actuó con la debida diligencia.
2. El prestador de servicios de certificación sólo responderá
de los daños y perjuicios causados por el uso indebido del certificado
reconocido, cuando no haya consignado en él, de forma claramente
reconocible por terceros, el límite en cuanto a su posible uso
o al importe del valor de las transacciones válidas que pueden
realizarse empleándolo.
3. La responsabilidad será exigible conforme a las normas generales
sobre la culpa contractual o extracontractual, según proceda, con
las especialidades previstas en este artículo. Cuando la garantía
que, en su caso, hubieran constituido los prestadores de servicios de
certificación no sea suficiente para satisfacer la indemnización
debida, responderán de la deuda, con todos sus bienes presentes
y futuros.
4. Lo dispuesto en este artículo, se entiende sin perjuicio de
lo establecido en la legislación sobre protección de los
consumidores y usuarios.
Artículo 15. Protección de los datos personales.
1. El tratamiento de los datos personales que precisen los prestadores
de servicios de certificación para el desarrollo de su actividad
y el que se realice en el Registro de Prestadores de Servicios de Certificación
al que se refiere este Real Decreto-ley, se sujetan a lo dispuesto en
la Ley Orgánica 5/1992, de 29 de octubre, de Regulación
del Tratamiento Automatizado de los Datos de Carácter Personal,
y en las disposiciones dictadas en su desarrollo. El mismo régimen
será de aplicación a los datos personales que se conozcan
en el órgano que, en el ejercicio de sus funciones, supervisa la
actuación de los prestadores de servicios de certificación
y el competente en materia de acreditación.
2. Los prestadores de servicios de certificación que expidan certificados
a los usuarios, únicamente pueden recabar datos personales directamente
de los titulares de los mismos o con su consentimiento explícito.
Los datos requeridos serán, exclusivamente, los necesarios para
la expedición y el mantenimiento del certificado.
3. Los prestadores de servicios de certificación que hayan consignado
un seudónimo en el certificado, a solicitud del signatario, deberán
constatar su verdadera identidad y conservar la documentación que
la acredite. Dichos prestadores de servicios estarán obligados
a revelar la identidad de los titulares de certificados cuando lo soliciten
los órganos judiciales en el ejercicio de las funciones que tienen
atribuidas y en los demás supuestos previstos en el artículo
11.2 de la Ley Orgánica 5/1992, de 29 de octubre. Ello se entiende
sin perjuicio de lo que, en la legislación específica en
materia tributaria, de defensa de la competencia y de seguridad pública,
se disponga sobre la identificación de las personas.
En todo caso, se estará a lo previsto en las normas sobre protección
de datos indicadas en el apartado 1 de este artículo.
CAPÍTULO IV
Inspección y control de la actividad de los prestadores de servicios
de certificación
Artículo 16. Supervisión y control.
1. El Ministerio de Fomento controlará, a través de la Secretaría
General de Comunicaciones, el cumplimiento, por los prestadores de servicios
de certificación que expidan al público certificados reconocidos,
de las obligaciones establecidas en este Real Decreto-ley y en sus disposiciones
de desarrollo. Asimismo, vigilará el cumplimiento, por los prestadores
de servicios de certificación que no expidan certificados reconocidos,
de las obligaciones establecidas en el artículo 11.
2. En el ejercicio de su actividad de control, la Secretaría General
de Comunicaciones actuará de oficio, mediante petición razonada
del Ministerio de Justicia o de otros órganos administrativos o
a instancia de persona interesada. Los funcionarios de la Secretaría
General de Comunicaciones adscritos a la Inspección de las Telecomunicaciones,
a efectos de cumplir las tareas de control, tendrán la consideración
de autoridad pública.
3. Cuando, como consecuencia de una actuación inspectora, se tuviera
constancia de la contravención en el tratamiento de datos, de lo
dispuesto en el artículo 11.c), la Secretaría General de
Comunicaciones pondrá el hecho en conocimiento de la Agencia de
Protección de Datos. Esta podrá, con arreglo a la Ley Orgánica
5/1992, iniciar el oportuno procedimiento sancionador, con arreglo a la
legislación que regula su actividad.
Artículo 17. Deber de colaboración.
Los prestadores de servicios de certificación tienen la obligación
de facilitar a la Secretaría General de Comunicaciones toda la
información y los medios precisos para el ejercicio de sus funciones
y la de permitir a sus agentes o al personal inspector el acceso a sus
instalaciones y la consulta de cualquier documentación relevante
para la inspección de que se trate, referida siempre a datos que
conciernan al prestador de servicios.
Artículo 18. Resoluciones del órgano de supervisión.
La Secretaría General de Comunicaciones podrá ordenar a
los prestadores de servicios de certificación la adopción
de las medidas apropiadas para exigirles que cumplan este Real Decreto-ley
y sus disposiciones de desarrollo.
TÍTULO III
Los dispositivos de firma electrónica y la evaluación de
su conformidad con la normativa aplicable
CAPÍTULO ÚNICO
Los dispositivos de firma electrónica y la evaluación de
su conformidad con la normativa aplicable
Artículo 19. Dispositivos seguros de creación de firma electrónica.
A efectos del artículo 2.f), para que se entienda que el dispositivo
de creación de una firma electrónica es seguro, se exige:
1.º Que garantice que los datos utilizados para la generación
de firma puedan producirse sólo una vez y que asegure, razonablemente,
su secreto.
2.º Que exista seguridad razonable de que dichos datos no puedan
ser derivados de los de verificación de firma o de la propia firma
y de que la firma no pueda ser falsificada con la tecnología existente
en cada momento.
3.º Que los datos de creación de firma puedan ser protegidos
fiablemente por el signatario contra la utilización por otros.
4.º Que el dispositivo utilizado no altere los datos o el documento
que deba firmarse ni impida que éste se muestre al signatario antes
del proceso de firma.
Artículo 20. Normas técnicas.
1. Se presumirá que los productos de firma electrónica que
se ajusten a las normas técnicas cuyos números de referencia
hayan sido publicados en el "Diario Oficial de las Comunidades Europeas",
son conformes con lo previsto en la letra e) del artículo 12 y
en el artículo 19.
2. Sin perjuicio de esta presunción, los números de referencia
de esas normas se publicarán en el «Boletín Oficial
del Estado».
Artículo 21. Evaluación de la conformidad con la normativa
aplicable de los dispositivos seguros de creación de firma electrónica.
1. Los órganos de certificación a los que se refiere el
artículo 6, podrán certificar los dispositivos seguros de
creación de firma electrónica, previa valoración
de los informes técnicos emitidos sobre los mismos, por entidades
de evaluación acreditadas.
En la evaluación del cumplimiento de los requisitos previstos en
el artículo 19, las entidades de evaluación podrán
aplicar las normas técnicas respecto de los productos de firma
electrónica a las que se refiere el artículo anterior u
otras que determinen los órganos de acreditación y de certificación
y cuyas referencias se publiquen en el "Boletín Oficial del
Estado".
2. Se reconocerá eficacia a los certificados sobre dispositivos
seguros de creación de firma que hayan sido expedidos por los organismos
designados para ello por los Estados miembros de la Unión Europea,
cuando pongan de manifiesto que dichos dispositivos cumplen los requisitos
contenidos en la normativa comunitaria sobre firma electrónica.
Artículo 22. Dispositivos de verificación de firma.
1. Los dispositivos de verificación de firma electrónica
avanzada deben garantizar lo siguiente:
1. Que la firma se verifica de forma fiable y el resultado de esa verificación
figura correctamente.
2. Que el verificador puede, en caso necesario, establecer de forma fiable
el contenido de los datos firmados y detectar si han sido modificados.
3. Que figura correctamente la identidad del signatario o, en su caso,
consta claramente la utilización de un seudónimo.
4. Que se verifica de forma fiable el certificado.
5. Que puede detectarse cualquier cambio relativo a su seguridad.
2. El Real Decreto al que se refiere el artículo 6, podrá
establecer los términos en los que las entidades de evaluación
y los órganos de certificación podrán evaluar y certificar,
respectivamente, el cumplimiento, por los dispositivos de verificación
de firma electrónica avanzada, de los requisitos establecidos en
este artículo.
TÍTULO IV
Tasa por el reconocimiento de acreditaciones y certificaciones
CAPÍTULO ÚNICO
Tasa por el reconocimiento de acreditaciones y certificaciones
Artículo 23. Régimen aplicable a la tasa.
1. La gestión precisa para el reconocimiento de las acreditaciones
y de las certificaciones con arreglo a los artículos 6, 21 y 22,
por los órganos públicos competentes, se grava con una tasa
a la que se aplicará el siguiente régimen:
a) Constituye el hecho imponible el reconocimiento por dichos órganos
de la acreditación de los prestadores de servicios o de la certificación
de los dispositivos de creación o de verificación de firma
a que se refieren los artículos 6, 21 y 22.
b) Es sujeto pasivo la persona natural o jurídica que se beneficie
del reconocimiento de la correspondiente acreditación o certificación.
c) Su cuota es de 47.500 pesetas (285,48 euros), por cada acreditación
o certificación reconocida. Esta cantidad podrá ser actualizada
por Real Decreto.
d) Se devengará cuando se presente la solicitud de reconocimiento
de la correspondiente acreditación o certificación.
2. La forma de liquidación de la tasa se establecerá reglamentariamente.
TÍTULO V
Infracciones y sanciones
CAPÍTULO ÚNICO
Infracciones y sanciones
Artículo 24. Clasificación de las infracciones.
Las infracciones de las normas reguladoras de la firma electrónica
y los servicios de certificación se clasifican en muy graves, graves
y leves.
Artículo 25. Infracciones.
1. Son infracciones muy graves:
a. El incumplimiento por los prestadores de servicios de certificación
que expidan certificados reconocidos de las obligaciones establecidas
en cualquiera de las letras del artículo 11, salvo la c), la g)
y la h).
b. El incumplimiento por los prestadores de servicios de certificación
que expidan certificados reconocidos, de las obligaciones impuestas en
las letras c) a la j) del artículo 12, siempre que se causen daños
graves a los usuarios o a terceros o se afecte gravemente a la seguridad
de los servicios de certificación.
c. El incumplimiento grave y reiterado por los prestadores de servicios
de certificación de las resoluciones dictadas por la Secretaría
General de Comunicaciones, para asegurar el respeto a este Real Decreto-ley.
2. Son infracciones graves:
a. El incumplimiento por los prestadores de servicios de certificación
que no expidan certificados reconocidos, de las obligaciones impuestas
en cualquiera de las letras del artículo 11, salvo la c), la g)
y la h), siempre que se causen daños graves a los usuarios o a
terceros o se afecte gravemente a la seguridad de los servicios de certificación.
b. El incumplimiento por los prestadores de servicios de certificación
que expidan certificados reconocidos de las obligaciones previstas en
las letras a), b), y k) del artículo 12.
c. El incumplimiento por los prestadores de servicios de certificación
que expidan certificados reconocidos de las obligaciones contempladas
en las letras c) a la j) del artículo 12, cuando no concurran las
circunstancias previstas en el apartado 1.b) de este artículo.
d. La falta de comunicación por el prestador de servicios de certificación
al Ministerio de Justicia, en los plazos previstos en el artículo
13, del cese de su actividad o de la iniciación, respecto de él,
de un procedimiento de suspensión de pagos o de quiebra.
e. La resistencia, excusa o negativa a la actuación inspectora
de los órganos facultados para llevarla a cabo, con arreglo a este
Real Decreto-ley.
f. El incumplimiento de las resoluciones dictadas por la Secretaría
General de Comunicaciones, para asegurar que el prestador de servicios
de certificación se ajuste a este Real Decreto-ley, cuando no deba
considerarse como infracción muy grave, conforme al apartado 1.c)
de este artículo.
3. Son infracciones leves:
a. El incumplimiento por los prestadores de servicios de certificación
que no expidan certificados reconocidos de las obligaciones establecidas
en cualquiera de las letras del artículo 11, excepto la c), cuando
no deba considerarse como infracción grave, de acuerdo con lo previsto
en el apartado 2.a) de este artículo.
b. La expedición de certificados reconocidos que incumplan alguno
de los requisitos establecidos en el artículo 8.
c. No facilitar los datos requeridos, en el ámbito de sus respectivas
funciones, por el Ministerio de Justicia o la Secretaría General
de Comunicaciones para comprobar el cumplimiento de este Real Decreto-ley
por los prestadores de servicios de certificación.
d. Cualquier otro incumplimiento de las obligaciones impuestas a los prestadores
de servicios de certificación por este Real Decreto-ley, salvo
el de la recogida en el artículo 11.c) o que deba ser considerado
como infracción grave o muy grave, de acuerdo con lo dispuesto
en los apartados anteriores.
Artículo 26. Sanciones.
1. Por la comisión de infracciones recogidas en el artículo
anterior, se impondrán las siguientes sanciones:
a. Por la comisión de infracciones muy graves, se impondrá
al infractor multa por importe no inferior al tanto, ni superior al quíntuplo,
del beneficio bruto obtenido como consecuencia de los actos u omisiones
en que consista la infracción o, en caso de que no resulte posible
aplicar este criterio o de su aplicación resultare una cantidad
inferior a la mayor de las que a continuación se indican, esta
última constituirá el límite del importe de la sanción
pecuniaria. A estos efectos, se considerarán las siguientes cantidades:
El 1 por 100 de los ingresos brutos anuales obtenidos por la entidad infractora
en el último ejercicio o, en caso de inexistencia de éstos,
en el ejercicio actual; el 5 por 100 de los fondos totales, propios o
ajenos, utilizados para la comisión de la infracción, o
100.000.000 de pesetas (601.012,10euros).
La reiteración de dos o más infracciones muy graves, en
el plazo de cinco años, podrá dar lugar, en función
de sus circunstancias, a la sanción de prohibición de actuación
en España durante un plazo máximo de dos años. Cuando
la resolución de imposición de esta sanción sea firme,
será comunicada al Registro de Prestadores de Servicios de Certificación
para que cancele la inscripción del prestador de servicios sancionado.
b. Por la comisión de infracciones graves, se impondrá al
infractor multa por importe de hasta el duplo del beneficio bruto obtenido
como consecuencia de los actos u omisiones que constituyan aquéllas
o, en caso de que no resulte aplicable este criterio o de su aplicación
resultare una cantidad inferior a la mayor de las que a continuación
se indican, esta última constituirá el límite del
importe de la sanción pecuniaria. A estos efectos, se considerarán
las siguientes cantidades: El 0,5 por 100 de los ingresos brutos anuales
obtenidos por la entidad infractora en el último ejercicio o, en
caso de inexistencia de éstos, en el ejercicio actual; el 2 por
100 de los fondos totales, propios o ajenos, utilizados para la comisión
de la infracción, o 50.000.000 de pesetas (300.506,04 euros).
c. Por la comisión de infracciones leves, se impondrá al
infractor una multa por importe de hasta 2.000.000 de pesetas (12.020,23
euros).
2. Las infracciones graves y muy graves podrán llevar aparejada
la publicación de la resolución sancionadora en el "Boletín
Oficial del Estado" y en dos periódicos de difusión
nacional, una vez que aquélla tenga carácter firme.
3. La cuantía de las multas que se impongan, dentro de los límites
indicados, se graduará teniendo en cuenta, además de lo
previsto en el artículo 131.3 de la Ley 30/1992, lo siguiente:
a. La gravedad de las infracciones cometidas anteriormente por el sujeto
al que se sanciona.
b. La repercusión social de las infracciones.
c. El daño causado, siempre que no haya sido tomado en consideración
para calificar la infracción como leve, grave o muy grave.
d. El beneficio que haya reportado al infractor el hecho objeto de la
infracción.
4. Se anotarán en el Registro de Prestadores de Servicios de Certificación
las sanciones impuestas por resolución firme a éstos por
la comisión de cualquier infracción grave o muy grave. Las
notas relativas a las sanciones se cancelarán una vez transcurridos
los plazos de prescripción de las sanciones administrativas previstos
en la Ley reguladora del procedimiento administrativo común.
5. Las cuantías señaladas en este artículo serán
actualizadas periódicamente por el Gobierno, mediante Real Decreto,
teniendo en cuenta la variación de los índices de precios
al consumo.
Artículo 27. Medidas cautelares.
En los procedimientos sancionadores por infracciones graves o muy graves
se podrán adoptar, con arreglo a la Ley 30/1992, de 26 de noviembre,
las medidas cautelares que se estimen necesarias para asegurar la eficacia
de la resolución que definitivamente se dicte. Estas medidas podrán
consistir en la orden de cese temporal de la actividad del prestador de
servicios de certificación, en la suspensión de la vigencia
de los certificados por él expedidos o en la adopción de
otras cautelas que se estimen precisas. En todo caso, se respetará
el principio de proporcionalidad de la medida a adoptar con los objetivos
que se pretendan alcanzar, en cada supuesto.
Artículo 28. Procedimiento sancionador.
1. El ejercicio de la potestad sancionadora atribuida por este Real Decreto-ley,
corresponde a la Secretaría General de Comunicaciones del Ministerio
de Fomento. Para ello, la Secretaría General de Comunicaciones
se sujetará al procedimiento aplicable, con carácter general,
al ejercicio de la potestad sancionadora por las Administraciones Públicas.
2. El Ministerio de Justicia y los demás órganos que ejercen
competencias con arreglo a este Real Decreto-ley y sus normas de desarrollo,
podrán instar la incoación de un procedimiento sancionador,
mediante petición razonada dirigida a la Secretaría General
de Comunicaciones.
Disposición adicional única. Posibilidad de emisión
por las entidades públicas de radiodifusión de una Comunidad
Autónoma en el territorio de otras con las que aquélla tenga
espacios radioeléctricos colindantes.
Las entidades autonómicas habilitadas, con arreglo a la Ley, para
prestar el servicio de radiodifusión digital terrenal, podrán
emitir en el territorio de otras Comunidades Autónomas con las
que aquélla tenga espacios radioeléctricos colindantes.
Para ello, será preciso que exista acuerdo entre las Comunidades
Autónomas afectadas y que, en cada territorio, se empleen los bloques
de frecuencias planificados en el Plan Técnico Nacional de Radiodifusión
Sonora Digital Terrenal, para el ámbito autonómico.
Disposición transitoria única. Prestadores de servicios
de certificación establecidos en España antes de la entrada
en vigor de este Real Decreto-ley.
Los prestadores de servicios de certificación ya establecidos en
España y cuya actividad se rija por una normativa específica,
habrán de adaptarse a este Real Decreto-ley en el plazo de un año
desde su entrada en vigor. No obstante conservarán su validez los
certificados ya expedidos que hayan surtido efectos.
Disposición final primera. Fundamento constitucional.
Este Real Decreto-ley se dicta al amparo del artículo 149.1.8ª,
18ª y 21ª de la Constitución, que atribuye competencia
exclusiva al Estado en materia de legislación civil, de bases del
régimen jurídico de las Administraciones Públicas
y de telecomunicaciones.
Disposición final segunda. Habilitación al Gobierno.
Se habilita al Gobierno para desarrollar, mediante reglamento, lo previsto
en este Real Decreto-ley.
Disposición final tercera. Entrada en vigor.
El presente Real Decreto-ley entrará en vigor el día siguiente
al de su publicación en el «Boletín Oficial del Estado».
Dado en Madrid a 17 de septiembre de 1999.
JUAN CARLOS R.
El Presidente del Gobierno,
JOSÉ MARÍA AZNAR LÓPEZ
|