HFD> Derecho
Informático - Internet > Legislación y Proyectos
Extranjeros
REAL DECRETO-LEY 14/1999 sobre Firma Electrónica
de España. (B.O.E. 18.9.99)
En la sesión del Consejo de Ministros de Telecomunicaciones
de la Unión Europea, celebrada el 22 de abril de 1999,
se ha informado favorablemente la adopción de una posición
común, respecto del proyecto de Directiva del Parlamento
Europeo y del Consejo por la que se establece un marco común
para la firma electrónica.
El Estado español ha tenido una participación
activa en el logro de la posición común que
facilita la tramitación del texto, al recoger éste
los elementos suficientes para proteger la seguridad y la
integridad de las comunicaciones telemáticas en las
que se emplee la firma electrónica. En ese sentido,
existen ya en España diversas normas sobre la presentación
de la declaración del Impuesto sobre la Renta de las
Personas Físicas por medios telemáticos, dictadas
por la Administración Tributaria. La Comisión
Nacional del Mercado de Valores, por su parte, ha aprobado
y puesto en marcha un sistema de cifrado y firma electrónica
que se emplea para la recepción de información
de las entidades supervisadas. Asimismo, el artículo
81 de la Ley 66/1997, de 30 de diciembre de Medidas Fiscales,
Administrativas y de Orden Social anuncia la posibilidad de
prestar, por la Fabrica Nacional de Moneda y Timbre-Real Casa
de la Moneda, los servicios técnicos y administrativos
necesarios para garantizar la seguridad, la validez y la eficacia
de la emisión y recepción de comunicaciones,
a través de técnicas y medios electrónicos,
informáticos y telemáticos. La Fabrica Nacional
de la Moneda y Timbre-Real Casa de la Moneda actuará
en colaboración con Correos y Telégrafos.
En el Proyecto de Directiva se incorpora,
a solicitud del Estado español, una novedad, recogida
en el apartado c) del Anexo II, entre los requisitos exigibles
a los prestadores de servicios de certificación que
expidan certificados reconocidos. Esta novedad consiste en
permitir que la certificación pueda recoger la fecha
y la hora en la que se produce la actuación certificante.
Existe, además, en España un
sector empresarial que podría prestar un servicio de
certificación de la firma electrónica con suficiente
calidad. Se considera que debe introducirse, cuanto antes,
la disciplina que permita utilizar, con la adecuada seguridad
jurídica, este medio tecnológico que contribuye
al desarrollo de lo que se ha venido en denominar, en la Unión
Europea, la Sociedad de la Información. La urgencia
de la aprobación de esta norma deriva, también,
del deseo de dar, a los usuarios de los nuevos servicios,
elementos de confianza en los sistemas, permitiendo su introducción
y rápida difusión.
Por ello, este Real Decreto-ley persigue,
respetando el contenido de la posición común
respecto de la Directiva sobre firma electrónica, establecer
una regulación clara del uso de ésta, atribuyéndole
eficacia jurídica y previendo el régimen aplicable
a los prestadores de servicios de certificación. De
igual modo, este Real Decreto-ley determina el registro en
el que habrán de inscribirse los prestadores de servicios
de certificación y el régimen de inspección
administrativa de su actividad, regula la expedición
y la pérdida de eficacia de los certificados y tipifica
las infracciones y las sanciones que se prevén para
garantizar su cumplimiento.
La presente disposición ha sido sometida
al procedimiento de información en materia de normas
y reglamentaciones técnicas previsto en la Direectiva
98/34/CE , del Parlamento Europeo y del Consejo, de 22 de
junio de 1998, modificada por la 98/48/CE , del Parlamento
Europeo y del Consejo, de 20 de julio de 1998, y en el Real
Decreto 1337/1999 , de 31 de julio.
En su virtud, a propuesta del Ministro de
Fomento, de la Ministra de Justicia y del Ministro de Industria
y Energía, previo informe del Consejo General del Poder
Judicial y de la Agencia de Protección de Datos, tras
la deliberación del Consejo de Ministros, en su reunión
celebrada el día 17 de septiembre de 1999, y en uso
de la autorización concedida en el artículo
86 de la Constitución,
DISPONGO
TÍTULO I
Disposiciones generales
CAPÍTULO ÚNICO
Disposiciones generales
Artículo
1. Ámbito de aplicación
1. Este Real Decreto-ley regula el uso de
la firma electrónica, el reconocimiento de su eficacia
jurídica y la prestación al público de
servicios de certificación. Las normas sobre esta actividad
son de aplicación a los prestadores de servicios establecidos
en España.
2. Las disposiciones contenidas en este Real
Decreto-ley no alteran las normas relativas a la celebración,
la formalización, la validez y la eficacia de los contratos
y otros actos jurídicos ni al régimen jurídico
aplicable a las obligaciones.
Las normas sobre la prestación de
servicios de certificación de firma electrónica
que recoge este Real Decreto-ley no sustituyen ni modifican
las que regulan las funciones que corresponde realizar a las
personas facultadas, con arreglo a derecho, para dar fe de
la firma en documentos o para intervenir en su elevación
a públicos.
Artículo 2. Definiciones.
A los efectos de este Real Decreto-ley, se
establecen las siguientes definiciones:
a) "Firma electrónica":
es el conjunto de datos, en forma electrónica, anejos
a otros datos electrónicos o asociados funcionalmente
con ellos, utilizados como medio para identificar formalmente
al autor o a los autores del documento que la recoge.
b) "Firma electrónica avanzada":
es la firma electrónica que permite la identificación
del signatario y ha sido creada por medios que éste
mantiene bajo su exclusivo control, de manera que está
vinculada únicamente al mismo y a los datos a los que
se refiere, lo que permite que sea detectable cualquier modificación
ulterior de éstos.
c) "Signatario": es la persona
física que cuenta con un dispositivo de creación
de firma y que actúa en nombre propio o en el de una
persona física o jurídica a la que representa.
d) "Datos de creación de firma":
son los datos únicos, como códigos o claves
criptográficas privadas, que el signatario utiliza
para crear la firma electrónica.
e) "Dispositivo de creación de
firma": es un programa o un aparato informático
que sirve para aplicar los datos de creación de firma.
f) "Dispositivo seguro de creación
de firma": es un dispositivo de creación de firma
que cumple los requisitos establecidos en el artículo
19.
g) "Datos de verificación de
firma": son los datos, como códigos o claves criptográficas
públicas, que se utilizan para verificar la firma electrónica.
h) "Dispositivo de verificación
de firma": es un programa o un aparato informático
que sirve para aplicar los datos de verificación de
firma.
i) "Certificado": es la certificación
electrónica que vincula unos datos de verificación
de firma a un signatario y confirma su identidad.
j) "Certificado reconocido": es
el certificado que contiene la información descrita
en el artículo 8 y es expedido por un prestador de
servicios de certificación que cumple los requisitos
enumerados en el artículo 12
k) "Prestador de servicios de certificación":
es la persona física o jurídica que expide certificados,
pudiendo prestar, además, otros servicios en relación
con la firma electrónica.
l) "Producto de firma electrónica":
es un programa o un aparato informático o sus componentes
específicos, destinados a ser utilizados para la prestación
de servicios de firma electrónica por el prestador
de servicios de certificación o para la creación
o verificación de firma electrónica.
ll) "Acreditación voluntaria
del prestador de servicios de certificación":
resolución que establece los derechos y obligaciones
específicos para la prestación de servicios
de certificación y que se dicta, a petición
del prestador al que le beneficie, por el organismo público
encargado de su supervisión.
Artículo 3. Efectos
jurídicos de la firma electrónica.
1. La firma electrónica avanzada,
siempre que esté basada en un certificado reconocido
y que haya sido producida por un dispositivo seguro de creación
de firma, tendrá, respecto de los datos consignados
en forma electrónica, el mismo valor jurídico
que la firma manuscrita en relación con los consignados
en papel y será admisible como prueba en juicio, valorándose
ésta, según los criterios de apreciación
establecidos en las normas procesales.
Se presumirá que la firma electrónica
avanzada reúne las condiciones necesarias para producir
los efectos indicados en este apartado, cuando el certificado
reconocido en que se base, haya sido expedido por un prestador
de servicios de certificación acreditado y el dispositivo
seguro de creación de firma con el que ésta
se produzca se encuentre certificado, con arreglo a lo establecido
en el artículo 21 .
2. A la firma electrónica que no reúna
todos los requisitos previstos en el apartado anterior, no
se le negarán efectos jurídicos ni será
excluida como prueba en juicio, por el mero hecho de presentarse
en forma electrónica.
TÍTULO II
La prestación de servicios de certificación
CAPÍTULO I
Principios generales
Artículo 4. Régimen
de libre competencia
1. La prestación de servicios de certificación
no está sujeta a autorización previa y se realiza
en régimen de libre competencia, sin que quepa establecer
restricciones para los servicios de certificación que
procedan de alguno de los Estados miembros de la Unión
Europea.
2. La prestación de los servicios
de certificación por las Administraciones o los organismos
o sociedades de ellas dependientes, se realizará con
la debida separación de cuentas y con arreglo a los
principios de objetividad, transparencia y no discriminación.
Artículo 5. Empleo
de la firma electrónica por las Administraciones Públicas.
1. Se podrá supeditar por la normativa
estatal o, en su caso, autonómica el uso de la firma
electrónica en el seno de las Administraciones Públicas
y sus entes públicos y en las relaciones que con cualesquiera
de ellos mantengan los particulares, a las condiciones adicionales
que se consideren necesarias, para salvaguardar las garantías
de cada procedimiento.
Las condiciones adicionales que se establezcan
podrán incluir la prestación de un servicio
de consignación de fecha y hora, respecto de los documentos
electrónicos integrados en un expediente administrativo.
El citado servicio consistirá en la acreditación
por el prestador de servicios de certificación o por
un tercero, de la fecha y hora en que un documento electrónico
es enviado por el signatario o recibido por el destinatario.
Las normas estatales que regulen las condiciones
adicionales sobre el uso de la firma electrónica a
las que se refiere este apartado, sólo podrán
hacer referencia a las características específicas
de la aplicación de que se trate y se dictarán
a propuesta del Ministerio de Administraciones Públicas
y previo informe del Consejo Superior de Informática.
2. Las condiciones adicionales a las que
se refiere el apartado anterior, deberán garantizar
el cumplimiento de lo previsto en el artículo 45 de
la ley 30/1992, de 26 de Noviembre, de Régimen Jurídico
de las Administraciones Públicas y del Procedimiento
Administrativo Común, serán objetivas, razonables
y no discriminatorias y no obstaculizarán la prestación
de servicios al ciudadano, cuando en ella intervengan distintas
Administraciones Públicas nacionales o extranjeras.
3. Podrá someterse a un régimen
específico, la utilización de la firma electrónica
en las comunicaciones que afecten a la información
clasificada, a la seguridad pública o a la defensa.
Asimismo, el Ministro de Economía y Hacienda, respetando
las condiciones previstas en este Real Decreto-ley, podrá
establecer un régimen normativo destinado a garantizar
el cumplimiento de las obligaciones tributarias, determinando,
respecto de la gestión de los tributos, la posibilidad
de que el signatario sea una persona física o una persona
jurídica.
Artículo 6. Sistemas
de acreditación de prestadores de servicios de certificación
y de certificación de productos de firma electrónica.
1. El Gobierno, por Real Decreto, podrá
establecer sistemas voluntarios de acreditación de
los prestadores de servicios de certificación de firma
electrónica, determinando, para ello, un régimen
que permita lograr el adecuado grado de seguridad y proteger,
debidamente, los derechos de los usuarios.
2. Las funciones de certificación
a las que se refiere este Real Decreto-ley serán ejercidas
por los órganos, en cada caso competentes, referidos
en la Ley 11/1998, de 24 de Abril, General de Telecomunicaciones,
en la Ley 21/1992, de 16 de julio, de Industria y en la demás
legislación vigente sobre la materia. El Real Decreto
al que se refiere el apartado 1, establecerá las condiciones
que permitan coordinar los sistemas de certificación.
3. Las normas que regulen los sistemas de
acreditación y de certificación deberán
ser objetivas, razonables y no discriminatorias. Todos los
prestadores de servicios que se sometan voluntariamente a
ellos, podrán obtener la correspondiente acreditación
de su actividad o, en su caso, la certificación del
producto de firma electrónica que empleen.
4. Los órganos competentes para el
ejercicio de las funciones a que se refiere el apartado anterior,
valorarán los informes técnicos que emitan las
entidades de evaluación sobre los prestadores de servicios
que hayan solicitado su acreditación o los productos
para los que se haya pedido certificación. También
tomarán en cuenta el cumplimiento por el prestador
de servicios, de los requisitos que se determinen reglamentariamente
para poder ser acreditado.
5. A los efectos de este Real Decreto-ley,
sólo podrán actuar como entidades de evaluación
aquellas que hayan sido acreditadas por el organismo independiente
al que se haya atribuido esta facultad por el Real Decreto
al que se refiere el apartado primero de este artículo.
Artículo 7. Registro
de prestadores de servicios de certificación.
1. Se crea, en el Ministerio de Justicia,
el Registro de Prestadores de Servicios de Certificación,
en el que deberán solicitar su inscripción,
con carácter previo al inicio de su actividad, todos
los establecidos en España. Su regulación se
desarrollará por Real Decreto.
2. La solicitud de inscripción habrá
de formularse, aportando la documentación que se establezca
reglamentariamente, a efectos de la identificación
del prestador de servicios de certificación y de justificar
que éste reúne los requisitos necesarios, en
cada caso, para ejercer su actividad. También será
objeto de inscripción ulterior cualquier circunstancia
relevante, a efectos de este Real Decreto-ley, relativa al
prestador de servicios de certificación, como su acreditado
o estar en condiciones de expedir certificados reconocidos.
La formulación de la solicitud de
inscripción en el Registro por los citados prestadores
de servicios, les permitirá iniciar o continuar su
actividad, sin perjuicio de la aplicación, en su caso,
del régimen sancionador correspondiente.
3. El Registro de Prestadores de Servicios
de Certificación será público y deberá
mantener permanentemente actualizada y a disposición
de cualquier persona, una relación de los inscritos,
en la que figurarán su nombre o razón social,
la dirección de su página en Internet o de correo
electrónico, los datos de verificación de su
firma electrónica y, en su caso, su condición
de acreditado o de tener la posibilidad de expedir certificados
reconocidos. En la citada relación figurarán,
también, cualesquiera otros datos complementarios que
se determinen por Real Decreto.
Los datos inscritos en el Registro podrán
ser consultados por vía telemática o a través
de la oportuna certificación registral. El suministro
esta información podrá sujetarse al pago de
una tasa, cuyos elementos esenciales se determinarán
por ley.
CAPÍTULO II
Certificados
Artículo 8. Requisitos
para la existencia de un certificado reconocido.
1. Los certificados reconocidos, definidos
en el artículo 2 j) de este Real Decreto-ley, tendrán
el siguiente contenido:
a. La indicación de que se expiden
como tales.
b. El código identificativo único
del certificado.
c. La identificación del prestador
de servicios de certificación que expide el certificado,
indicando su nombre o razón social, su domicilio, su
dirección de correo electrónico, su número
de identificación fiscal y, en su caso, sus datos de
identificación registral.
d. La firma electrónica avanzada del
prestador de servicios de certificación que expide
el certificado.
e. La identificación del signatario,
por su nombre y apellidos o a través de un seudónimo
que conste como tal de manera inequívoca. Se podrá
consignar en el certificado cualquier otra circunstancia personal
del titular, en caso de que sea significativa en función
del fin propio del certificado y siempre que aquél
dé su consentimiento.
f. En los supuestos de representación,
la indicación del documento que acredite las facultades
del signatario para actuar en nombre de la persona física
o jurídica a la que represente.
g. Los datos de verificación de firma
que correspondan a los datos de creación de firma que
se encuentren bajo el control del signatario
h. El comienzo y el fin del período de validez del
certificado.
i. Los límites de uso del certificado,
si se prevén.
j. Los límites del valor de las transacciones
para las que puede utilizarse el certificado, si se establecen.
2. La consignación en el certificado
de cualquier otra información relativa al signatario,
requerirá su consentimiento expreso.
Artículo
9. Vigencia de los certificados.
1. Los certificados de firma electrónica
quedarán sin efecto, si concurre alguna de las siguientes
circunstancias:
a. Expiración del período de
validez del certificado. Tratándose de certificados
reconocidos, éste no podrá ser superior a cuatro
años, contados desde la fecha en que se hayan expedido.
b. Revocación por el signatario, por
la persona física o jurídica representada por
éste o por un tercero autorizado.
c. Pérdida o inutilización
por daños del soporte del certificado.
d. Utilización indebida por un tercero.
e. Resolución judicial o administrativa
que lo ordene.
f. Fallecimiento del signatario o de su representado,
incapacidad sobrevenida, total o parcial, de cualquiera de
ellos, terminación de la representación o extinción
de la persona jurídica representada.
g. Cese en su actividad del prestador de
servicios de certificación salvo que, previo consentimiento
expreso del signatario, los certificados expedidos por aquél
sean transferidos a otro prestador de servicios.
h. Inexactitudes graves en los datos aportados
por el signatario para la obtención del certificado.
2. La pérdida de eficacia de los certificados,
en los supuestos de expiración de su período
de validez y de cese de actividad del prestador de servicios,
tendrá lugar desde que estas circunstancias se produzcan.
En los demás casos, la extinción de la eficacia
de un certificado surtirá efectos desde la fecha en
que el prestador de servicios tenga conocimiento cierto de
cualquiera de los hechos determinantes de ella y así
lo haga constar en su Registro de certificados al que se refiere
el artículo 11.e) .
3. En cualquiera de los supuestos indicados,
el prestador de servicios de certificación, habrá
de publicar la extinción de eficacia del certificado
en el Registro al que se refiere el artículo 11.e)
y responderá de los posibles perjuicios que se causen
al signatario o a terceros de buena fe, por el retraso en
la publicación. Corresponderá al prestador de
servicios la prueba de que los terceros conocían las
circunstancias invalidantes del certificado.
4. El prestador de servicios de certificación
podrá suspender, temporalmente, la eficacia de los
certificados expedidos, si así lo solicita el signatario
o sus representados o lo ordena una autoridad judicial o administrativa.
La suspensión surtirá efectos en la forma prevista
en los dos apartados anteriores.
Artículo 10. Equivalencia
de certificados
Los certificados que los prestadores de servicios
de certificación establecidos en un Estado que no sea
miembro de la Unión Europea, de acuerdo con la legislación
de éste, expidan como reconocidos, se considerarán
equivalentes a los expedidos por los establecidos en España,
siempre que se cumplan alguna de las siguientes condiciones:
a) Que el prestador de servicios reúna
los requisitos establecidos en la normativa comunitaria sobre
firma electrónica y haya sido acreditado, conforme
a un sistema voluntario establecido en un Estado miembro de
la Unión Europea.
b) Que el certificado esté garantizado
por un prestador de servicios de la Unión Europea que
cumpla los requisitos establecidos en la normativa comunitaria
sobre firma electrónica.
c) Que el certificado o el prestador de servicios
estén reconocidos en virtud de un acuerdo bilateral
o multilateral entre la Comunidad Europea y terceros países
u organizaciones internacionales.
CAPÍTULO III
Condiciones exigibles a los prestadores de servicios de certificación
Artículo 11. Obligaciones
de los prestadores de servicios de certificación.
Todos los prestadores de servicios de certificación
deben cumplir las siguientes obligaciones:
a) Comprobar por sí o por medio de
una persona física o jurídica que actúe
en nombre y por cuenta suyos, la identidad y cualesquiera
circunstancias personales de los solicitantes de los certificados
relevantes para el fin propio de éstos, utilizando
cualquiera de los medios admitidos en Derecho. Se exceptúan
de esta obligación, los prestadores de servicios de
certificación que, expidiendo certificados que no tengan
la consideración de reconocidos, se limiten a constatar
determinadas circunstancias específicas de los solicitantes
de aquéllos.
b) Poner a disposición del signatario
los dispositivos de creación y de verificación
de firma electrónica.
c) No almacenar ni copiar los datos de creación
de firma de la persona a la que hayan prestado sus servicios,
salvo que ésta lo solicite.
d) Informar, antes de la emisión de
un certificado, a la persona que solicite sus servicios, de
su precio, de las condiciones precisas para la utilización
del certificado, de sus limitaciones de uso y de la forma
en que garantiza su posible responsabilidad patrimonial.
e) Mantener un Registro de certificados,
en el que quedará constancia de los emitidos y figurarán
las circunstancias que afecten a la suspensión o perdida
de vigencia de sus efectos. A dicho Registro podrá
accederse por medios telemáticos y su contenido estará
a disposición de las personas que lo soliciten, cuando
así lo autorice el signatario.
f) En el caso de cesar en su actividad, los
prestadores de servicios de certificación deberán
comunicarlo con la antelación indicada en el apartado
1 del artículo 13 , a los titulares de los certificados
por ellos emitidos y, si estuvieran inscritos en él,
al Registro de Prestadores de Servicios del Ministerio de
Justicia.
g) Solicitar la inscripción en el
Registro de Prestadores de Servicios de Certificación.
h) Cumplir las demás normas previstas,
respecto de ellos, en este Real Decreto-ley y en sus normas
de desarrollo.
Artículo 12. Obligaciones
exigibles a los prestadores de servicios de certificación
que expidan certificados reconocidos.
Además de cumplir las obligaciones
establecidas en los artículos 7 y 11 , los prestadores
de servicios de certificación que expidan certificados
reconocidos, han de cumplir las siguientes:
a) Indicar la fecha y la hora en las que
se expidió o se dejó sin efecto un certificado.
b) Demostrar la fiabilidad necesaria de sus
servicios.
c) Garantizar la rapidez y la seguridad en
la prestación del servicio. En concreto, deberán
permitir la utilización de un servicio rápido
y seguro de consulta del Registro de certificados emitidos
y habrán de asegurar la extinción o suspensión
de la eficacia de éstos de forma segura e inmediata.
d) Emplear personal cualificado y con la
experiencia necesaria para la prestación de los servicios
ofrecidos, en el ámbito de la firma electrónica
y los procedimientos de seguridad y de gestión adecuados.
e) Utilizar sistemas y productos fiables
que estén protegidos contra toda alteración
y que garanticen la seguridad técnica y, en su caso,
criptográfica de los procesos de certificación
a los que sirven de soporte.
f) Tomar medidas contra la falsificación
de certificados y, en el caso de que el prestador de servicios
de certificación genere datos de creación de
firma, garantizar su confidencialidad durante el proceso de
generación.
g) Disponer de los recursos económicos
suficientes para operar de conformidad con lo dispuesto en
este Real Decreto-ley y, en particular, para afrontar el riesgo
de la responsabilidad por daños y perjuicios. Para
ello, habrán de garantizar su responsabilidad frente
a los usuarios de sus servicios y terceros afectados por éstos.
La garantía a constituir podrá consistir en
un afianzamiento mercantil prestado por una entidad de crédito
o en un seguro de caución.
Inicialmente, la garantía cubrirá,
al menos, el cuatro por ciento de la suma de los importes
límite de las transacciones en que puedan emplearse
el conjunto de los certificados que emita cada prestador de
servicios de certificación. Teniendo en cuenta la evolución
del mercado, el Gobierno, por Real Decreto, podrá reducir
el citado porcentaje, hasta el dos por ciento.
En caso de que no se limite el importe de
las transacciones en las que puedan emplearse al conjunto
de los certificados que emita el prestador de servicios de
certificación, la garantía a constituir, cubrirá,
al menos, su responsabilidad por un importe de 1.000.000.000
de pesetas (6.010.121,04 euros). El Gobierno, por Real Decreto,
podrá modificar el referido importe.
h) Conservar registrada toda la información
y documentación relativa a un certificado reconocido
durante quince años. Esta actividad de registro podrá
realizarse por medios electrónicos.
i) Antes de expedir un certificado, informar
al solicitante sobre el precio y las condiciones precisas
de utilización del certificado. Dicha información,
deberá incluir posibles límites de uso, la acreditación
del prestador de servicios y los procedimientos de reclamación
y de resolución de litigios previstos en las leyes
y deberá ser fácilmente comprensible. Estará
también a disposición de terceros interesados
y se incorporará a un documento que se entregará
a quien lo solicite. Para comunicar esta información,
podrán utilizarse medios electrónicos si el
signatario o los terceros interesados lo admiten.
j) Utilizar sistemas fiables para almacenar
certificados, de modo tal que:
1. Sólo personas autorizadas puedan
consultarlos, si éstos únicamente están
disponibles para verificación de firmas electrónicas.
2. Únicamente personas autorizadas
puedan hacer en ellos anotaciones y modificaciones.
3. Pueda comprobarse la autenticidad de la
información.
4. El signatario o la persona autorizada para acceder a los
certificados, pueda detectar todos los cambios técnicos
que afecten a los requisitos de seguridad mencionados.
k) Informar a cualesquiera usuarios de sus
servicios de los criterios que se comprometen a seguir, respetando
este Real Decreto-ley y sus disposiciones de desarrollo, en
el ejercicio de su actividad.
Artículo 13. Cese
de la actividad.
1. El prestador de servicios de certificación
que vaya a cesar en su actividad, deberá comunicarlo
a los titulares de los certificados por él expedidos
y transferir, con su consentimiento expreso, los que sigan
siendo válidos en la fecha en que el cese se produzca
a otro prestador de servicios que los asuma o dejarlos sin
efecto. La citada comunicación se llevará a
cabo con una antelación mínima de dos meses
al cese efectivo de la actividad.
2. Si el prestador de servicios estuviere
inscrito en el Registro de Prestadores de Servicios de Certificación
del Ministerio de Justicia, deberá comunicar a éste,
con la antelación indicada en el anterior apartado,
el cese de su actividad, y el destino que vaya a dar a los
certificados especificando, en su caso, si los va a transferir
y a quién o si los dejará sin efecto. Igualmente,
indicará cualquier otra circunstancia relevante, que
pueda impedir la continuación de su actividad. En especial,
deberá comunicar, en cuanto tenga conocimiento de ello,
la apertura de un procedimiento de quiebra o suspensión
de pagos respecto de él.
3. La inscripción del prestador de
servicios de certificación en el Registro de Prestadores
de Servicios de Certificación será cancelada,
de oficio, por el Ministerio de Justicia, cuando aquél
cese en su actividad. El Ministerio de Justicia se hará
cargo de la información relativa a los certificados
que se hubieren dejado sin efecto por el prestador de servicios
de certificación, a efectos de lo previsto en el artículo
12.h) .
Artículo 14. Responsabilidad
de los prestadores de servicios de certificación.
1. Los prestadores de servicios de certificación
responderán por los daños y perjuicios que causen
a cualquier persona, en el ejercicio de su actividad, cuando
incumplan las obligaciones que les impone este Real Decreto-ley
o actúen con negligencia. En todo caso, corresponderá
al prestador de servicios demostrar que actuó con la
debida diligencia.
2. El prestador de servicios de certificación
sólo responderá de los daños y perjuicios
causados por el uso indebido del certificado reconocido, cuando
no haya consignado en él, de forma claramente reconocible
por terceros, el límite en cuanto a su posible uso
o al importe del valor de las transacciones válidas
que pueden realizarse empleándolo.
3. La responsabilidad será exigible
conforme a las normas generales sobre la culpa contractual
o extracontractual, según proceda, con las especialidades
previstas en este artículo. Cuando la garantía
que, en su caso, hubieran constituido los prestadores de servicios
de certificación no sea suficiente para satisfacer
la indemnización debida, responderán de la deuda,
con todos sus bienes presentes y futuros.
4. Lo dispuesto en este artículo,
se entiende sin perjuicio de lo establecido en la legislación
sobre protección de los consumidores y usuarios.
Artículo 15. Protección
de los datos personales.
1. El tratamiento de los datos personales
que precisen los prestadores de servicios de certificación
para el desarrollo de su actividad y el que se realice en
el Registro de Prestadores de Servicios de Certificación
al que se refiere este Real Decreto-ley, se sujetan a lo dispuesto
en la Ley Orgánica 5/1992, de 29 de octubre, de Regulación
del Tratamiento Automatizado de los Datos de Carácter
Personal, y en las disposiciones dictadas en su desarrollo.
El mismo régimen será de aplicación a
los datos personales que se conozcan en el órgano que,
en el ejercicio de sus funciones, supervisa la actuación
de los prestadores de servicios de certificación y
el competente en materia de acreditación.
2. Los prestadores de servicios de certificación
que expidan certificados a los usuarios, únicamente
pueden recabar datos personales directamente de los titulares
de los mismos o con su consentimiento explícito. Los
datos requeridos serán, exclusivamente, los necesarios
para la expedición y el mantenimiento del certificado.
3. Los prestadores de servicios de certificación
que hayan consignado un seudónimo en el certificado,
a solicitud del signatario, deberán constatar su verdadera
identidad y conservar la documentación que la acredite.
Dichos prestadores de servicios estarán obligados a
revelar la identidad de los titulares de certificados cuando
lo soliciten los órganos judiciales en el ejercicio
de las funciones que tienen atribuidas y en los demás
supuestos previstos en el artículo 11.2 de la Ley Orgánica
5/1992, de 29 de octubre. Ello se entiende sin perjuicio de
lo que, en la legislación específica en materia
tributaria, de defensa de la competencia y de seguridad pública,
se disponga sobre la identificación de las personas.
En todo caso, se estará a lo previsto
en las normas sobre protección de datos indicadas en
el apartado 1 de este artículo.
CAPÍTULO IV
Inspección y control de la actividad de los prestadores
de servicios de certificación
Artículo 16. Supervisión
y control.
1. El Ministerio de Fomento controlará,
a través de la Secretaría General de Comunicaciones,
el cumplimiento, por los prestadores de servicios de certificación
que expidan al público certificados reconocidos, de
las obligaciones establecidas en este Real Decreto-ley y en
sus disposiciones de desarrollo. Asimismo, vigilará
el cumplimiento, por los prestadores de servicios de certificación
que no expidan certificados reconocidos, de las obligaciones
establecidas en el artículo 11.
2. En el ejercicio de su actividad de control,
la Secretaría General de Comunicaciones actuará
de oficio, mediante petición razonada del Ministerio
de Justicia o de otros órganos administrativos o a
instancia de persona interesada. Los funcionarios de la Secretaría
General de Comunicaciones adscritos a la Inspección
de las Telecomunicaciones, a efectos de cumplir las tareas
de control, tendrán la consideración de autoridad
pública.
3. Cuando, como consecuencia de una actuación
inspectora, se tuviera constancia de la contravención
en el tratamiento de datos, de lo dispuesto en el artículo
11.c), la Secretaría General de Comunicaciones pondrá
el hecho en conocimiento de la Agencia de Protección
de Datos. Esta podrá, con arreglo a la Ley Orgánica
5/1992, iniciar el oportuno procedimiento sancionador, con
arreglo a la legislación que regula su actividad.
Artículo
17. Deber de colaboración.
Los prestadores de servicios de certificación
tienen la obligación de facilitar a la Secretaría
General de Comunicaciones toda la información y los
medios precisos para el ejercicio de sus funciones y la de
permitir a sus agentes o al personal inspector el acceso a
sus instalaciones y la consulta de cualquier documentación
relevante para la inspección de que se trate, referida
siempre a datos que conciernan al prestador de servicios.
Artículo 18. Resoluciones
del órgano de supervisión.
La Secretaría General de Comunicaciones
podrá ordenar a los prestadores de servicios de certificación
la adopción de las medidas apropiadas para exigirles
que cumplan este Real Decreto-ley y sus disposiciones de desarrollo.
TÍTULO III
Los dispositivos de firma electrónica y la evaluación
de su conformidad con la normativa aplicable
CAPÍTULO ÚNICO
Los dispositivos de firma electrónica y la evaluación
de su conformidad con la normativa aplicable
Artículo 19. Dispositivos
seguros de creación de firma electrónica.
A efectos del artículo 2.f) , para
que se entienda que el dispositivo de creación de una
firma electrónica es seguro, se exige:
1.º Que garantice que los datos utilizados
para la generación de firma puedan producirse sólo
una vez y que asegure, razonablemente, su secreto.
2.º Que exista seguridad razonable de
que dichos datos no puedan ser derivados de los de verificación
de firma o de la propia firma y de que la firma no pueda ser
falsificada con la tecnología existente en cada momento.
3.º Que los datos de creación
de firma puedan ser protegidos fiablemente por el signatario
contra la utilización por otros.
4.º Que el dispositivo utilizado no
altere los datos o el documento que deba firmarse ni impida
que éste se muestre al signatario antes del proceso
de firma.
Artículo
20. Normas técnicas.
1. Se presumirá que los productos
de firma electrónica que se ajusten a las normas técnicas
cuyos números de referencia hayan sido publicados en
el "Diario Oficial de las Comunidades Europeas",
son conformes con lo previsto en la letra e) del artículo
12 y en el artículo 19 .
2. Sin perjuicio de esta presunción,
los números de referencia de esas normas se publicarán
en el «Boletín Oficial del Estado».
Artículo 21. Evaluación
de la conformidad con la normativa aplicable de los dispositivos
seguros de creación de firma electrónica.
1. Los órganos de certificación
a los que se refiere el artículo 6 , podrán
certificar los dispositivos seguros de creación de
firma electrónica, previa valoración de los
informes técnicos emitidos sobre los mismos, por entidades
de evaluación acreditadas.
En la evaluación del cumplimiento
de los requisitos previstos en el artículo 19, las
entidades de evaluación podrán aplicar las normas
técnicas respecto de los productos de firma electrónica
a las que se refiere el artículo anterior u otras que
determinen los órganos de acreditación y de
certificación y cuyas referencias se publiquen en el
"Boletín Oficial del Estado".
2. Se reconocerá eficacia a los certificados
sobre dispositivos seguros de creación de firma que
hayan sido expedidos por los organismos designados para ello
por los Estados miembros de la Unión Europea, cuando
pongan de manifiesto que dichos dispositivos cumplen los requisitos
contenidos en la normativa comunitaria sobre firma electrónica.
Artículo 22. Dispositivos
de verificación de firma.
1. Los dispositivos de verificación
de firma electrónica avanzada deben garantizar lo siguiente:
1. Que la firma se verifica de forma fiable
y el resultado de esa verificación figura correctamente.
2. Que el verificador puede, en caso necesario,
establecer de forma fiable el contenido de los datos firmados
y detectar si han sido modificados.
3. Que figura correctamente la identidad
del signatario o, en su caso, consta claramente la utilización
de un seudónimo.
4. Que se verifica de forma fiable el certificado.
5. Que puede detectarse cualquier cambio
relativo a su seguridad.
2. El Real Decreto al que se refiere el Artículo
6, podrá establecer los términos en los que
las entidades de evaluación y los órganos de
certificación podrán evaluar y certificar, respectivamente,
el cumplimiento, por los dispositivos de verificación
de firma electrónica avanzada, de los requisitos establecidos
en este artículo.
TÍTULO IV
Tasa por el reconocimiento de acreditaciones y certificaciones
CAPÍTULO ÚNICO
Tasa por el reconocimiento de acreditaciones y certificaciones
Artículo 23. Régimen
aplicable a la tasa.
1. La gestión precisa para el reconocimiento
de las acreditaciones y de las certificaciones con arreglo
a los artículos 6, 21, y 22, por los órganos
públicos competentes, se grava con una tasa a la que
se aplicará el siguiente régimen:
a) Constituye el hecho imponible el reconocimiento
por dichos órganos de la acreditación de los
prestadores de servicios o de la certificación de los
dispositivos de creación o de verificación de
firma a que se refieren los artículos 6, 21 y 22.
b) Es sujeto pasivo la persona natural o
jurídica que se beneficie del reconocimiento de la
correspondiente acreditación o certificación.
c) Su cuota es de 47.500 pesetas (285,48
euros), por cada acreditación o certificación
reconocida. Esta cantidad podrá ser actualizada por
Real Decreto.
d) Se devengará cuando se presente
la solicitud de reconocimiento de la correspondiente acreditación
o certificación.
2. La forma de liquidación de la tasa
se establecerá reglamentariamente.
TÍTULO V
Infracciones y sanciones
CAPÍTULO ÚNICO
Infracciones y sanciones
Artículo 24. Clasificación
de las infracciones.
Las infracciones de las normas reguladoras
de la firma electrónica y los servicios de certificación
se clasifican en muy graves, graves y leves.
Artículo 25. Infracciones.
1. Son infracciones muy graves:
a. El incumplimiento por los prestadores
de servicios de certificación que expidan certificados
reconocidos de las obligaciones establecidas en cualquiera
de las letras del artículo 11, salvo la c), la g) y
la h).
b. El incumplimiento por los prestadores
de servicios de certificación que expidan certificados
reconocidos, de las obligaciones impuestas en las letras c)
a la j) del artículo 12, siempre que se causen daños
graves a los usuarios o a terceros o se afecte gravemente
a la seguridad de los servicios de certificación.
c. El incumplimiento grave y reiterado por
los prestadores de servicios de certificación de las
resoluciones dictadas por la Secretaría General de
Comunicaciones, para asegurar el respeto a este Real Decreto-ley.
2. Son infracciones graves:
a. El incumplimiento por los prestadores
de servicios de certificación que no expidan certificados
reconocidos, de las obligaciones impuestas en cualquiera de
las letras del artículo 11, salvo la c), la g) y la
h), siempre que se causen daños graves a los usuarios
o a terceros o se afecte gravemente a la seguridad de los
servicios de certificación.
b. El incumplimiento por los prestadores
de servicios de certificación que expidan certificados
reconocidos de las obligaciones previstas en las letras a),
b), y k) del artículo 12.
c. El incumplimiento por los prestadores
de servicios de certificación que expidan certificados
reconocidos de las obligaciones contempladas en las letras
c) a la j) del artículo 12, cuando no concurran las
circunstancias previstas en el apartado 1.b) de este artículo.
d. La falta de comunicación por el
prestador de servicios de certificación al Ministerio
de Justicia, en los plazos previstos en el artículo
13, del cese de su actividad o de la iniciación, respecto
de él, de un procedimiento de suspensión de
pagos o de quiebra.
e. La resistencia, excusa o negativa a la
actuación inspectora de los órganos facultados
para llevarla a cabo, con arreglo a este Real Decreto-ley.
f. El incumplimiento de las resoluciones
dictadas por la Secretaría General de Comunicaciones,
para asegurar que el prestador de servicios de certificación
se ajuste a este Real Decreto-ley, cuando no deba considerarse
como infracción muy grave, conforme al apartado 1.c)
de este artículo.
3. Son infracciones leves:
a. El incumplimiento por los prestadores
de servicios de certificación que no expidan certificados
reconocidos de las obligaciones establecidas en cualquiera
de las letras del artículo 11, excepto la c), cuando
no deba considerarse como infracción grave, de acuerdo
con lo previsto en el apartado 2.a) de este artículo.
b. La expedición de certificados reconocidos
que incumplan alguno de los requisitos establecidos en el
artículo 8 .
c. No facilitar los datos requeridos, en el ámbito
de sus respectivas funciones, por el Ministerio de Justicia
o la Secretaría General de Comunicaciones para comprobar
el cumplimiento de este Real Decreto-ley por los prestadores
de servicios de certificación.
d. Cualquier otro incumplimiento de las obligaciones
impuestas a los prestadores de servicios de certificación
por este Real Decreto-ley, salvo el de la recogida en el artículo
11.c) o que deba ser considerado como infracción grave
o muy grave, de acuerdo con lo dispuesto en los apartados
anteriores.
Artículo 26. Sanciones.
1. Por la comisión de infracciones
recogidas en el artículo anterior, se impondrán
las siguientes sanciones:
a. Por la comisión de infracciones
muy graves, se impondrá al infractor multa por importe
no inferior al tanto, ni superior al quíntuplo, del
beneficio bruto obtenido como consecuencia de los actos u
omisiones en que consista la infracción o, en caso
de que no resulte posible aplicar este criterio o de su aplicación
resultare una cantidad inferior a la mayor de las que a continuación
se indican, esta última constituirá el límite
del importe de la sanción pecuniaria. A estos efectos,
se considerarán las siguientes cantidades: El 1 por
100 de los ingresos brutos anuales obtenidos por la entidad
infractora en el último ejercicio o, en caso de inexistencia
de éstos, en el ejercicio actual; el 5 por 100 de los
fondos totales, propios o ajenos, utilizados para la comisión
de la infracción, o 100.000.000 de pesetas (601.012,10euros).
La reiteración de dos o más
infracciones muy graves, en el plazo de cinco años,
podrá dar lugar, en función de sus circunstancias,
a la sanción de prohibición de actuación
en España durante un plazo máximo de dos años.
Cuando la resolución de imposición de esta sanción
sea firme, será comunicada al Registro de Prestadores
de Servicios de Certificación para que cancele la inscripción
del prestador de servicios sancionado.
b. Por la comisión de infracciones
graves, se impondrá al infractor multa por importe
de hasta el duplo del beneficio bruto obtenido como consecuencia
de los actos u omisiones que constituyan aquéllas o,
en caso de que no resulte aplicable este criterio o de su
aplicación resultare una cantidad inferior a la mayor
de las que a continuación se indican, esta última
constituirá el límite del importe de la sanción
pecuniaria. A estos efectos, se considerarán las siguientes
cantidades: El 0,5 por 100 de los ingresos brutos anuales
obtenidos por la entidad infractora en el último ejercicio
o, en caso de inexistencia de éstos, en el ejercicio
actual; el 2 por 100 de los fondos totales, propios o ajenos,
utilizados para la comisión de la infracción,
o 50.000.000 de pesetas (300.506,04 euros).
c. Por la comisión de infracciones
leves, se impondrá al infractor una multa por importe
de hasta 2.000.000 de pesetas (12.020,23 euros).
2. Las infracciones graves y muy graves podrán
llevar aparejada la publicación de la resolución
sancionadora en el "Boletín Oficial del Estado"
y en dos periódicos de difusión nacional, una
vez que aquélla tenga carácter firme.
3. La cuantía de las multas que se
impongan, dentro de los límites indicados, se graduará
teniendo en cuenta, además de lo previsto en el artículo
131.3 de la ley 30/1992, lo siguiente:
a. La gravedad de las infracciones cometidas
anteriormente por el sujeto al que se sanciona.
b. La repercusión social de las infracciones.
c. El daño causado, siempre que no
haya sido tomado en consideración para calificar la
infracción como leve, grave o muy grave.
d. El beneficio que haya reportado al infractor
el hecho objeto de la infracción.
4. Se anotarán en el Registro de Prestadores de Servicios
de Certificación las sanciones impuestas por resolución
firme a éstos por la comisión de cualquier infracción
grave o muy grave. Las notas relativas a las sanciones se
cancelarán una vez transcurridos los plazos de prescripción
de las sanciones administrativas previstos en la Ley reguladora
del procedimiento administrativo común.
5. Las cuantías señaladas en
este artículo serán actualizadas periódicamente
por el Gobierno, mediante Real Decreto, teniendo en cuenta
la variación de los índices de precios al consumo.
Artículo 27. Medidas
cautelares.
En los procedimientos sancionadores por infracciones
graves o muy graves se podrán adoptar, con arreglo
a la Ley 30/ 1992, de 26 de Noviembre , las medidas cautelares
que se estimen necesarias para asegurar la eficacia de la
resolución que definitivamente se dicte. Estas medidas
podrán consistir en la orden de cese temporal de la
actividad del prestador de servicios de certificación,
en la suspensión de la vigencia de los certificados
por él expedidos o en la adopción de otras cautelas
que se estimen precisas. En todo caso, se respetará
el principio de proporcionalidad de la medida a adoptar con
los objetivos que se pretendan alcanzar, en cada supuesto.
Artículo
28. Procedimiento sancionador.
1. El ejercicio de la potestad sancionadora
atribuida por este Real Decreto-ley, corresponde a la Secretaría
General de Comunicaciones del Ministerio de Fomento. Para
ello, la Secretaría General de Comunicaciones se sujetará
al procedimiento aplicable, con carácter general, al
ejercicio de la potestad sancionadora por las Administraciones
Públicas.
2. El Ministerio de Justicia y los demás
órganos que ejercen competencias con arreglo a este
Real Decreto-ley y sus normas de desarrollo, podrán
instar la incoación de un procedimiento sancionador,
mediante petición razonada dirigida a la Secretaría
General de Comunicaciones.
Disposición adicional única.
Posibilidad de emisión por las entidades públicas
de radiodifusión de una Comunidad Autónoma en
el territorio de otras con las que aquélla tenga espacios
radioeléctricos colindantes.
Las entidades autonómicas habilitadas,
con arreglo a la Ley, para prestar el servicio de radiodifusión
digital terrenal, podrán emitir en el territorio de
otras Comunidades Autónomas con las que aquélla
tenga espacios radioeléctricos colindantes. Para ello,
será preciso que exista acuerdo entre las Comunidades
Autónomas afectadas y que, en cada territorio, se empleen
los bloques de frecuencias planificados en el Plan Técnico
Nacional de Radiodifusión Sonora Digital Terrenal,
para el ámbito autonómico.
Disposición transitoria
única. Prestadores de servicios de certificación
establecidos en España antes de la entrada en vigor
de este Real Decreto-ley.
Los prestadores de servicios de certificación
ya establecidos en España y cuya actividad se rija
por una normativa específica, habrán de adaptarse
a este Real Decreto-ley en el plazo de un año desde
su entrada en vigor. No obstante conservarán su validez
los certificados ya expedidos que hayan surtido efectos.
Disposición final
primera. Fundamento constitucional.
Este Real Decreto-ley se dicta al amparo
del artículo 149.1.8ª, 18ª y 21ª de
la Constitución, que atribuye competencia exclusiva
al Estado en materia de legislación civil, de bases
del régimen jurídico de las Administraciones
Públicas y de telecomunicaciones.
Disposición final
segunda. Habilitación al Gobierno.
Se habilita al Gobierno para desarrollar,
mediante reglamento, lo previsto en este Real Decreto-ley.
Disposición final
tercera. Entrada en vigor.
El presente Real Decreto-ley entrará
en vigor el día siguiente al de su publicación
en el «Boletín Oficial del Estado».
Dado en Madrid a 17 de septiembre de 1999.
JUAN CARLOS R.
El Presidente del Gobierno,
JOSÉ MARÍA AZNAR LÓPEZ
|
