D. LUIS BERMÚDEZ ODRIOZOLA, Secretario del Consejo de la Comisión del Mercado de las Telecomunicaciones, en uso de las competencias que le otorga el artículo 40 del Reglamento de la Comisión del Mercado de las Telecomunicaciones, aprobado por Real Decreto 1994/1996, de 6 de septiembre, 

CERTIFICA: 

Que en la Sesión 21/99 del Consejo de la Comisión del Mercado de las Telecomunicaciones celebrada el día 3 de junio de 1999, se ha adoptado el siguiente 

ACUERDO 

Por el que se aprueba el: INFORME A LA SECRETARÍA GENERAL DE COMUNICACIONES EN RELACIÓN CON EL ANTEPROYECTO DE LEY SOBRE FIRMA ELECTRÓNICA.


 

1.- INTRODUCCIÓN. 

La Secretaría General de Telecomunicaciones remite para informe preceptivo con el carácter de urgencia el Anteproyecto de Ley sobre Firma Electrónica.

Esta Comisión es competente para evacuar el informe solicitado, de conformidad con lo dispuesto en el artículo 1 Dos 2 j) de la Ley 12/1997, de 24 de abril, de Liberalización de las Telecomunicaciones, a cuyo tenor es función de la Comisión del Mercado de las Telecomunicaciones informar preceptivamente en los procedimientos tramitados por la Administración General del Estado para la elaboración de disposiciones normativas en materia de telecomunicaciones y de los servicios audiovisuales telemáticos e interactivos. 

2- .CUESTIONES PREVIAS

El Proyecto de Ley, encuentra su justificación en la propuesta de Directiva del Parlamento Europeo y del Consejo por la que se establece un marco común para la firma electrónica. El pasado día 22 fue aprobada la propuesta definitiva de texto por lo que se inicia el proceso definitivo para su aprobación que se prevé termine en el segundo semestre de este año, a finales de 1999.

La Directiva pretende regular el reconocimiento legal de la firma digital. Se establece la posibilidad de que los Estados miembros mantengan sistemas voluntarios de acreditación para mejorar la calidad de los servicios de certificación.

Uno de los aspectos críticos de la utilización de las redes públicas de datos es el de garantizar la seguridad y autenticidad de la información que circula por ellas. Las firmas electrónicas surgen como una manera de garantizar la autenticidad, la integridad y el no repudio de los documentos electrónicos a los que acompañan. Un documento electrónico es cualquier documento que es generado o almacenado en un ordenador (una carta, un contrato, una solicitud, un testamento, una fotografía, una orden de compra, etc.).La firma electrónica sirve para suscribir estos documentos electrónicos que pueden ser enviados por la red de Telecomunicaciones a su destinatario en segundos. La utilización masiva y segura de esta forma de transacción puede revolucionar de manera importante los hábitos sociales y económicos de la sociedad.

Existen varías técnicas criptográficas utilizadas para mejorar la seguridad de los sistemas informáticos.

Los criptosistemas simétricos se basan en la utilización de una clave para cifrar un documento. El receptor utiliza la misma clave para descifrarlo. La seguridad del sistema depende de que nadie más conozca la clave.

Los sistemas asimétricos se basan en que tanto el emisor como el receptor tienen cada uno una pareja de claves. Una es privada y debe ser mantenida en secreto. La otra es pública y se distribuye a todos los posibles destinatarios. Los documentos cifrados mediante una clave privada sólo pueden ser descifrados con la clave pública correspondiente, y viceversa. La clave privada no puede deducirse de la pública, por lo que no existe peligro en publicar la clave pública por la red. El emisor cifra con la clave pública del receptor y este descifra con su clave privada. Estos sistemas se conocen también como de clave pública.

El cifrado asimétrico resuelve el problema de poder mantener una comunicación confidencial, sin el riesgo de que las claves sean interceptadas por un tercero: cada emisor sólo necesita saber las claves públicas de los receptores, y sólo el poseedor de la clave privada adecuada podrá descifrar el documento, con lo que el receptor está autentificado implícitamente.

El cifrado asimétrico también puede utilizarse para autentificar al emisor. Si éste cifra un mensaje con su clave privada, no lo está protegiendo ya que cualquiera que tenga su clave pública puede descifrarlo, pero sí que está garantizando su identidad, pues nadie más tiene su clave privada. También se puede combinar este procedimiento con el anterior, para tener un mensaje autentificado y protegido a la vez.

A veces es interesante enviar mensajes autentificados para aquellos que puedan verificarlos (los poseedores de la clave pública del emisor), pero de forma que quienes no dispongan de dicha clave tengan al menos la oportunidad de ver el texto, aunque no puedan verificar su autenticidad. Esto tiene el riesgo de que es susceptible de una alteración del contenido del documento, ya que no está cifrado. La solución es que el emisor no cifre todo el mensaje con su clave privada, sino sólo un `hash' del mismo, obtenido mediante una función criptográfica unidireccional, y añada este resultado (denominado `firma electrónica') después del documento. De esta forma, todo el mundo puede leerlo, y quienes lo deseen pueden además verificar la identidad del emisor y asegurarse de que el documento no ha sido alterado (extrayendo otro `hash' del mismo y comprobando que coincide con la firma electrónica' descifrada

Para que este mecanismo de cifrado asimétrico pueda llevarse a cabo es necesario conocer la clave pública del firmante del documento. Esto se podría realizar de dos maneras fundamentalmente:

En el primer caso se pueden dar situaciones de suplantación de la personalidad por parte de terceros que intercepten la comunicación y envíen su clave pública en vez de la clave pública auténtica.

En el segundo caso se puede dar también la situación en la que alguien se registra con un nombre falso, pero con su clave pública.

Surge la necesidad de certificar la identidad de las claves públicas, creándose los Sistemas de Certificación. Los Sistemas de Certificación horizontales se basan en la confianza de unos usuarios con otros, ya que son los propios usuarios los que se certifican. Los Sistemas de Certificación centralizados utilizan una tercera parte neutral en la que los usuarios confían y que se conoce como Proveedores de Servicios de Certificación. Se pueden dar Sistemas de Certificación configurados como un sistema jerárquico en el que unos Proveedores de Servicios de Certificación certifican a otros.

Los Proveedores de Servicios de Certificación tienen como objeto fundamental dar testimonio de la pertenencia o atribución de una determinada firma digital a un usuario u otro certificador de nivel jerárquico inferior.

Los certificados son documentos electrónicos que identifica al Proveedor de Servicios de Certificación que lo ha emitido, al firmante del documento electrónico, contiene la clave pública del firmante, y contiene a su vez la firma electrónica del Proveedor de Servicios de Certificación.

Los programas utilizados para crear firmas electrónicas han sido revisados minuciosamente, y hay numerosa literatura científico-técnica sobre este tema. La firma digital ha sido aceptada en muchos países y se han desarrollados estándares internacionales aceptados por numerosas entidades y estamentos gubernamentales. La probabilidad de que el sistema en el que se basa la firma digital falle es muy remoto. El riesgo de no detectar la falsificación o alteración de la firma electrónica es menor que en papel u otras técnicas de firmado electrónico.

En la actualidad están surgiendo en España algunas entidades cuyo objetivo fundamental es la de proveer servicios de certificación digitales siguiendo un sistema de certificación centralizada. Estas entidades pueden ser operadores de telecomunicaciones que, teniendo en cuenta la naturaleza del servicio y la explotación de una red de telecomunicaciones a su amparo, pretendan ofrecer a sus clientes como un nuevo servicio el que ahora se pretende regular.

En este sentido, y como se argumenta posteriormente, este servicio podría muy bien calificarse como de telecomunicaciones o, a la postre y en terminología más precisa, como servicio telemático e interactivo.  

4.- Análisis del proyecto

El anteproyecto de Ley objeto del presente informe consta de veintiocho artículos y tres Disposiciones finales, que se agrupan en cuatro Títulos, que en el caso del Título II, se subdivide a su vez en cuatro Capítulos

En líneas generales, el Proyecto se adecúa a lo acordado en el Proyecto de Directiva. Sin perjuicio de lo anterior, se formulan a continuación observaciones respecto de algunos de los preceptos sometidos a informe.

Buena parte de las observaciones reflejan una posición crítica respecto del sistema de distribución de competencias articulado, en la medida que propicia la intervención de hasta tres organismos públicos diferentes que pueden actuar respecto de los prestadores de este tipo de servicios.

Esta Comisión, dada la naturaleza del servicio, articulado mediante el uso de redes de telecomunicaciones, que necesariamente va a determinar la intervención en su prestación de operadores de este mercado, es proclive a clarificar la participación de los diferentes organismos públicos, replicando, si ello es posible, el actual esquema ideado por las diferentes leyes y reglamentos en relación a la apertura de nuevos mercados a la competencia, en el ámbito de las telecomunicaciones y que, en lo que cumple a esta Comisión, resulta meridianamente claro: cumple a este organismo determinar que operadores entran en el mercado, otorgando los títulos habilitantes que sean precisos, salvo que concurran circunstancias derivadas del uso de recursos del dominio público que justifiquen la intervención del Ministerio de Fomento; regular la competencia entre estos operadores, para lo cual debe conocer quienes sean estos mediante la llevanza del oportuno registro; y debe controlar la salida del mercado de los operadores (régimen sancionador o de revocación de los títulos), sin perjuicio de que cuantos aspectos se refieran a la inspección técnica o a la homologación de equipos y sistemas, queden encomendados al Ministerio de Fomento.

Por tal razón, como se advertirá en los comentarios específicos, no se alcanza a comprender la razón por la que se propicia la intervención del Ministerio de Justicia, con funciones poco claras en su articulación con el resto de Administraciones Públicas. Más allá de las garantías jurídicas que deban otorgarse a los mecanismos de certificación, y que muy bien pueden explicitarse en el Proyecto a sugerencia de ese Ministerio, no parece tener explicación el control por esa Administración Pública de los prestadores de estos servicios, pudiendo solaparse su intervención con la de esta Comisión, con el perjuicio que ello puede suponer, en términos de confusión, para los operadores, para el mercado y para los usuarios de este novedoso servicio.

Artículo 2.

El artículo 2 del anteproyecto de Ley recoge las definiciones que en términos generales vienen a coincidir de forma prácticamente literal con las del texto de la posición común de los Ministros de Telecomunicaciones de proyecto de Directiva.

Sin embargo, se observa en lo que se refiere a la definición de "Dispositivo seguro de creación de firma" la ausencia de definición precisa de dicho dispositivo, produciéndose una remisión a los requisitos establecidos en el artículo 20, lo cual no satisface la intención inicial.

Dado que una redacción que condujese a cierta indefinición pudiera provocar inseguridad en los prestadores y usuarios de estos servicios, se propone la siguiente redacción alternativa a la letra f) de este artículo:

"f) "Dispositivo seguro de creación de firma": es un dispositivo de creación de firma que asegura, razonablemente, el secreto de los datos utilizados para la generación de firma, su no derivación o falsificación, su protección fiable por el signatario contra la utilización por otros y su no alteración de los datos o el documento que deba firmarse ni impida que éste se muestre al signatario antes del proceso de firma." 

Artículo 4.1

El Artículo 4.1 del Anteproyecto de Ley sobre firma digital establece que "la Comisión del Mercado de las Telecomunicaciones velará por el mantenimiento de las condiciones que permiten la concurrencia en el mercado, mediante el ejercicio de las facultades que le atribuye la Ley 12/1997, de 24 de abril, de Liberalización de las Telecomunicaciones,..."

De entre las funciones que el artículo 1.dos.2. de la Ley 12/1997, de 24 de abril, de Liberalización de las Telecomunicaciones otorga a la Comisión del Mercado de las Telecomunicaciones se encuentran las de arbitrar en los conflictos que puedan surgir entre operadores de redes y servicios del sector de las telecomunicaciones y de los servicios audiovisuales, telemáticos e interactivos, la de adoptar las medidas necesarias para salvaguardar la libre competencia en el mercado, el control de las obligaciones de servicio público, la solicitud de intervención del Ministerio de Fomento para la inspección técnica de los servicios o el registro de operadores de telecomunicaciones y de servicios audiovisuales, telemáticos e interactivos, por citar algunas de ellas.

De la redacción referida se desprende que respecto de los prestadores de servicios de certificación la Comisión del Mercado de las Telecomunicaciones será el órgano competente para velar por que su actividad se realiza en libre competencia y para ello podrá ejercer todas las funciones reseñadas en su Ley reguladora.

Esta atribución a la Comisión del Mercado de las Telecomunicaciones de esta competencia genérica tiene sentido si, como ahora veremos, los servicios de certificación son calificados como servicios Telemáticos e interactivos. 

Inclusión de los servicios de certificación como servicios Telemáticos e Interactivos.

En la Disposición Transitoria segunda de la ley 11/1998, de 24 de abril, General de Telecomunicaciones se establece que:

"Las normas dictadas al amparo de los artículos 21 y 22 de la Ley de Ordenación de las Telecomunicaciones para regular los servicios de valor añadido prestados en régimen de libre concurrencia, continuarán vigentes, siempre que no se opongan a lo previsto en esta Ley, hasta tanto se dicte la Orden Ministerial a la que se refiere el artículo 11".

Anteriormente en el artículo 20.1 de la Ley 31/1987, de 18 de diciembre, de Ordenación de las Telecomunicaciones, ya derogada, se definía los servicios de valor añadido como:

"Los servicios de valor añadido son los servicios de telecomunicación que, no siendo servicios de difusión, y utilizando como soporte servicios portadores o servicios finales de telecomunicación, añaden otras facilidades al servicio soporte o satisfacen nuevas necesidades específicas de telecomunicación como, entre otras, acceder a información almacenada, enviar información o realizar el tratamiento, depósito y recuperación de la información. Tendrán esta misma consideración los servicios que utilicen como soporte su propia red en las condiciones del artículo 23."

Los Proveedores de Servicio de Certificación son entidades que poseen una base de datos con información de claves públicas que es depositada por los usuarios. Esta información es solicitada por terceros y enviada por la red de Telecomunicación a estos en forma de certificados para su utilización. La descripción del servicio que prestan los Proveedores de Servicio de Certificación concuerda con la definición de los servicios de valor añadido del párrafo anterior.

El acceso de los usuarios a los medios informáticos (bases de datos) que poseen los prestadores de servicios de certificación para poder prestar estos servicios, se realiza a través de las redes de telecomunicaciones públicas, por lo que entra dentro de lo que se denomina servicio Telemático. Además, este servicio requiere de una comunicación bidireccional entre el usuario y el prestador del servicio en tiempo real, lo cual lo convierte en un sistema interactivo.

Sentado lo anterior, esta Comisión estima que, no obstante la previsión genérica del artículo 4.1, en el desarrollo posterior del Proyecto algunas de las funciones que en principio corresponderían a la Comisión del Mercado de las Telecomunicaciones en virtud de su ley reguladora, aparecen, al menos en teoría, o bien compartidas o bien atribuidas a otros órganos, creando una cierta confusión en lo que respecta al ámbito definitivo del ejercicio de su actividad por parte de las diferentes administraciones públicas implicadas.

Esta confusión se materializa en ámbitos tales como la llevanza de un registro de este tipo de operadores, en el otorgamiento de títulos habilitantes o en el régimen sancionador, como iremos viendo en el comentario a cada uno de los preceptos afectados por este comentario. 

Artículo 4.2.

El contenido de dicho artículo es coincidente con el artículo 7.3 de la Ley General de Telecomunicaciones que establece que "la prestación o explotación en el mercado, de servicios o de redes de telecomunicaciones por las Administraciones Públicas o sus Entes públicos, directamente o a través de sociedades en cuyo capital participen mayoritariamente, requerirá la obtención del título habilitante que corresponda, de entre los regulados en este Título. Dicha prestación o explotación deberá ser autorizada por la Comisión del Mercado de las Telecomunicaciones, que establecerá las condiciones para que se garantice la no distorsión de la libre competencia, y se realizará por la Administración o el ente habilitados, con la debida separación de cuentas y con arreglo a los principios de neutralidad, transparencia y no discriminación"

Sin embargo se hace notar la necesidad de conciliar la obligación de los prestadores de dichos servicios de ser su actividad acorde a la prestación de éstos en régimen de libre competencia, por la cual vela la Comisión del Mercado de las Telecomunicaciones, con el conocimiento por la CMT de su presencia como operadores de este mercado, y por tanto de ser inscritos en el correspondiente Registro de la Comisión del Mercado de las Telecomunicaciones.

Se crea un nuevo número 3 en este artículo del siguiente tenor:

"3.- Los prestadores del servicio de certificación electrónica deberán inscribirse en el Registro Especial de Prestadores de Servicios de Certificación, de la Comisión del Mercado de las Telecomunicaciones. Reglamentariamente, se regulará el contenido de este Registro". 

Artículo 5 Empleo de la firma electrónica por las Administraciones Públicas

El proyecto de Ley establece que "se podrá supeditar... el uso de la firma electrónica en el seno de las Administraciones Públicas y sus entes públicos... a las condiciones adicionales a las previstas con carácter general que se consideren necesarias, para salvaguardar las garantías de cada procedimiento. Tales condiciones... serán objetivas, razonables y no discriminatorias y no obstaculizarán la prestación de servicios al ciudadano, cuando en ella intervengan distintas Administraciones Públicas nacionales o extranjeras."

Esta disposición está en línea con el punto cuarto del Artículo tercero del proyecto de Directiva, en el que se admite que "los Estados miembros podrán supeditar el uso de la firma electrónica en el sector público a posibles prescripciones adicionales. Tales prescripciones serán objetivas, transparentes, proporcionadas y no discriminatorias, y sólo harán referencia a las características específicas de la aplicación de que se trate."

El proyecto de Ley no ha recogido esta última parte de la frase, relativa a que las prescripciones no deben tener un carácter general, sino estar dirigidas a la consecución de objetivos específicos dependientes de la aplicación de la que se trate. Entendemos que este principio debería mantenerse también en el texto propuesto, dado que la intención de la Directiva es mantener estas prescripciones en el mínimo imprescindible. 

Artículo 6. Sistemas de acreditación.

En este artículo se establece la posibilidad de que mediante Real Decreto el Gobierno establezca sistemas voluntarios de acreditación que permitan incrementar el nivel de seguridad adecuado en las comunicaciones, previendo la existencia de unos organismos públicos o privados a quienes se encargue la comprobación del cumplimiento de las condiciones que se establezcan para el reconocimiento del carácter de prestador de servicios de certificación acreditados.

Esto es, sin perjuicio de que la actividad de prestador de servicios de certificación no esté sujeta a autorización previa, se prevé la figura del prestador de servicios de certificación "acreditado", esto es, del prestador que ofrece un servicio de certificación de mayor calidad, según las condiciones que se establezcan por Real Decreto.

Pues bien, la acreditación del prestador, o lo que es lo mismo, la habilitación para prestar este servicio de certificación de mayor calidad, se atribuye en el artículo 6 a la Secretaría General de Comunicaciones del Ministerio de Fomento, cuando, según el artículo 1 Dos 2 b) de la Ley 12/1997, de 24 de abril, el otorgamiento de títulos habilitantes corresponde a la Comisión del Mercado de las Telecomunicaciones, salvo que el título se otorgue mediante el procedimiento de concurso, lo que no parece ser del caso.

En este sentido, se propondría una modificación de este artículo 6 indicando que la acreditación de estos prestadores de servicios corresponderá a la Comisión del Mercado de las Telecomunicaciones, en lugar de la Secretaría General de Comunicaciones. 

Artículo 7.1

Por este artículo se crea, en el Ministerio de Justicia, el Registro de Prestadores de Servicios de Certificación, en el que se podrán inscribir todos los prestadores de servicios establecidos en España.

Sin menoscabo de las atribuciones que el Ministerio de Justicia mantenga respecto de los prestadores de servicios de certificación y a falta de una argumentación clara en el Anteproyecto de Ley de Firma Digital sobre cuales son las competencias del Ministerio de Justicia respecto de los prestadores de servicios de certificación para que dicho registro resida en el Ministerio de Justicia, se propone que el Registro de Prestadores de Servicios de Certificación resida en la Comisión del Mercado de las Telecomunicaciones, de manera que sirva para ejercer las funciones que tiene atribuidas y contener las condiciones impuestas a los sujetos habilitados para el ejercicio de la correspondiente actividad y sus modificaciones.

Respecto a la normativa existente en otros países de la Unión Europea sobre firma digital, hay que hacer notar que en Alemania la Ley de Firma Digital vigente determina que el registro de prestadores de servicios de certificación en ese país resida en la autoridad reguladora de las telecomunicaciones.

En igual línea de conducta el Departamento de Comercio e Industria del Reino Unido ha propuesto que sea el regulador en materia de Telecomunicaciones, OFTEL, el que mantenga el Registro de Prestadores de Servicios de Certificación Electrónica en dicho país, de acuerdo con los términos previstos en la propuesta de Directiva.

Por lo anterior, en coherencia con lo dicho para el artículo 4 del Anteproyecto se plantea el siguiente texto alternativo: 

"Artículo 7. Registro de prestadores de servicios de certificación.

1. Se crea, en la Comisión del Mercado de las Telecomunicaciones, el Registro de Prestadores de Servicios de Certificación, en el que podrán inscribirse todos los prestadores de servicios establecidos en España. Este registro contendrá los datos necesarios para que la Comisión del Mercado de las Telecomunicaciones pueda ejercer las funciones que tenga atribuidas. Además habrá de figurar las condiciones impuestas a los sujetos habilitados para el ejercicio de la correspondiente actividad y sus modificaciones."

El resto de párrafos del artículo se mantienen sin modificación tal como se redactan en el Anteproyecto. 

Artículo 8 Requisitos para la existencia de un certificado reconocido

La letra g) de este artículo establece que los certificados reconocidos deberán contener "los datos de verificación de la firma que correspondan a los datos de creación de la firma".

Comparando la letra d), Anexo I, del proyecto de Directiva, con la disposición anterior, vemos que en esta última se omite un requisito importante sobre los datos de creación de firma. Un requisito esencial de un certificado reconocido, fundamento de la firma electrónica avanzada, es que los datos de verificación de firma se correspondan con los de creación de firma, siempre y cuando se garantice que éstos se encuentran bajo el control del titular. Es decir, no basta la mera correspondencia de unos datos con otros, sino la garantía de que operan bajo la responsabilidad del titular del certificado, sin la cual se desvirtúan los objetivos de la consideración de un certificado como reconocido. Por lo tanto, proponemos modificar este punto de forma que se recoja la redacción del proyecto de Directiva, como sigue: "unos datos de verificación de firma que correspondan a unos datos de creación de firma bajo control del titular". 

Artículo 11

En coherencia con lo propuesto en comentarios anteriores, debería sustituirse la mención al Registro de Prestadores de Servicios del Ministerio de Justicia por la de Registro de Prestadores de Servicios de la Comisión del Mercado de las Telecomunicaciones. 

Artículo 13.

En coherencia con las observaciones anteriores, debería suprimirse en este artículo la mención del Ministerio de Justicia. 

Artículo 14.

El artículo 14, relativo al cese de la actividad de los prestadores de servicios de certificación electrónica, contiene en varios párrafos de su redacción, referencias al Registro de Prestadores de estos servicios de Certificación del Ministerio de Justicia, que por coherencia con lo propuesto para los artículos 4 y 7 del Anteproyecto deben de ser sustituidas por referencias a la Comisión del Mercado de las Telecomunicaciones.

Por lo anterior se propone la siguiente redacción: 

"Artículo 14. Cese de la actividad.

1.- El prestador de servicios de certificación que vaya a cesar en su actividad, deberá comunicarlo a los titulares de los certificados por él expedidos y transferir, con su consentimiento expreso, los que sigan siendo válidos en la fecha en que el cese se produzca, a otro prestador de servicios, o bien, dejarlos sin efecto. La citada comunicación se llevará a cabo con una antelación de al menos cuatro meses al cese efectivo de la actividad.

Si el prestador de servicios estuviere inscrito en el Registro de Prestadores de Servicios de Certificación de la Comisión del Mercado de las Telecomunicaciones deberá comunicar, de forma inmediata, a éste el cese de su actividad, el destino que vaya a dar a los certificados y cualquier otra circunstancia relevante, en especial, la existencia de un procedimiento de concurso, quiebra o suspensión de pagos, respecto de él.

2.- La Comisión del Mercado de las Telecomunicaciones velará por que el prestador de servicios que cese en su actividad voluntariamente o como consecuencia de su declaración en situación de concurso, quiebra o suspensión de pagos, transfiera los certificados válidos a otro prestador de servicios de certificación o los deje sin efecto.

3.- La inscripción del prestador de servicios de certificación en el Registro de Prestadores de Servicios de Certificación será cancelada, de oficio, por la Comisión del Mercado de las Telecomunicaciones, cuando aquél cese en su actividad. La Comisión del Mercado de las Telecomunicaciones se hará cargo de la información relativa a los certificados que se hubieren dejado sin efecto por el prestador de servicios de certificación electrónica, a efectos de lo previsto en el artículo 12 h) de esta Ley."  

Artículo 15.

El artículo relativo a la responsabilidad de los prestadores de servicios de certificación, en la redacción dada por el Anteproyecto, no recoge respecto de la redacción de la propuesta de Directiva el contenido del número 1 de su artículo 6, de la Responsabilidad, que se considera adecuado se refleje en el texto de la futura Ley de incorporación a nuestro ordenamiento jurídico interno de esta Directiva sobre firma electrónica, al suponer un plus de garantías para los consumidores de estos servicios.

Por lo anterior se propone la adición de un número 1 pre, anterior al número 1 de la redacción dada al Anteproyecto, con el siguiente texto:

" 1 pre.- Los prestadores de servicios de certificación serán responsables por el perjuicio causado a cualquier persona que confíe razonablemente en el certificado a efectos de:

  1. la veracidad de toda la información contenida en el certificado reconocido a partir del momento de su expedición.
  2. la garantía de que, en el momento de la expedición del certificado, obran en poder del titular identificado en el mismo, los datos de creación de firma correspondientes a los datos de verificación que constan o se identifican en el certificado.
  3. la garantía de que los datos de creación y de verificación de firma puedan utilizarse complementariamente, en caso de que el prestador de servicios de certificación genere ambos;

a menos que el operador de servicios de certificación demuestre que no ha actuado con negligencia." 

Artículo 16.

Este artículo, relativo a la protección de los datos personales en su número 2 establece que los prestadores de servicios de certificación que expidan certificados a los usuarios, únicamente pueden recabar datos personales directamente de los titulares de los mismos o con su consentimiento explícito, con la exclusiva finalidad de expedir y mantener el certificado, lo cual resulta acorde a la redacción de la propuesta de Directiva. Sin embargo se obvia el inciso final del artículo 8.2 de la propuesta de Directiva que se propone se incorpore como adición a este número 2 del artículo 16 del Anteproyecto:

"(...) Los datos no podrán obtenerse o tratarse con fines distintos sin el consentimiento explícito de su titular." 

Artículo 17.

Este artículo por el que se establece como órgano de inspección la Secretaría General de Comunicaciones del Ministerio de Fomento, en su número 2, prevé que ésta ejercerá su actividad de control actuando de oficio o a instancia del Ministerio de Justicia o de cualquier persona.

Como resulta obvio, según se deriva de las funciones asignadas a la CMT y en relación con estos servicios se considera oportuno se incluya en el número 2, entre ".. o a instancia..." y "...del Ministerio de Justicia..."

"... de la Comisión del Mercado de las Telecomunicaciones o..."

suprimiendo la referencia al Ministerio de Justicia. 

Artículo 23.

El artículo 23, de los dispositivos de verificación de firma establece que la utilización de documentos o datos electrónicos que lleven asociados una firma electrónica, requiere de un dispositivo o terminal con unas aplicaciones informáticas asociadas que sea capaz de descargar e incorporar certificados de prestadores de servicios de certificación y reconocer firmas generadas por los usuarios con los mecanismos que los proveedores de servicios de certificación establezcan.

Los dispositivos de verificación de firma y las aplicaciones informáticas asociadas se pueden desarrollar de tal manera que limiten o pongan trabas a los prestadores de servicios de certificación registrados bajo el amparo de esta Ley de Firma Digital.

Un ejemplo de este supuesto se encuentra actualmente en la red Internet. El 99% de los usuarios de Internet en España utilizan un ordenador equipado con un programa de navegación por Internet fabricado por Microsoft ( Microsoft Explorer) o Netscape (Netscape Communicator). En la actualidad ambos ofrecen un número de prestadores de servicios de certificación limitado, con las que existen acuerdos bilaterales, generalmente entidades de los EEUU, aunque ya existen varias entidades españolas que ofrecen el servicio de certificación electrónica en España y no son ofrecidas por estos programas.

La situación de duopolio que se da en la actualidad respecto a la comercialización y distribución de los programas informáticos desarrollados por estos fabricantes puede variar en el tiempo, pero pueden darse situaciones que comprometan aún más la actuación de los prestadores de servicios de certificación, por ejemplo si sólo existe un fabricante de estos dispositivos y de los programas asociados que reconozca a un único prestador de servicios de certificación.

Para evitar estas situaciones que pueden impedir la actividad de los prestadores, los dispositivos de verificación de firma habrán de desarrollarse y configurarse de manera que no impidan la libre concurrencia de los prestadores de servicios de certificación registrados. 

Texto alternativo.

Añadir el siguiente apartado.

"6. Permiten la concurrencia en el mercado de los prestadores de servicios de certificación que están registrados en el Registro de Prestadores de Certificación que se encuentra en la Comisión del Mercado de las Telecomunicaciones, la cual velará para que así sea.

El Ministerio de Fomento y la Comisión del Mercado de las Telecomunicaciones en su función de salvaguardar la libre concurrencia en el mercado de los prestadores de servicios de certificación podrá requerir cuanta información sea necesaria de los fabricantes y desarrolladores de programas asociados en los dispositivos de verificación de firma que sirva para la toma de decisiones respecto de actuaciones que pudieran restringir la libre concurrencia de los prestadores de servicios de certificación." 

Artículo 25. 

Este artículo relativo a las infracciones, en su número 1, de las infracciones muy graves señala entre otras el incumplimiento grave y reiterado por los prestadores de servicios de certificación de las resoluciones dictadas por la Secretaría General de Comunicaciones, para asegurar el respeto a esta Ley, considerándose necesario incluir los incumplimientos de las Resoluciones que en el ejercicio de sus funciones dictara la Comisión del Mercado de las Telecomunicaciones, para asegurar así mismo el respeto a esta Ley.

En su número 2, califica como de infracciones graves en su letra d) la falta de comunicación por el prestador de servicios de certificación al Registro, apareciendo en el texto del anteproyecto referencia al Ministerio de Justicia que por coherencia con lo dicho para los artículos 4 y 7, debiera de ser sustituido por:

"... la Comisión del Mercado de las Telecomunicaciones."

En el mismo sentido, deberían suprimirse en este artículo cuantas referencias se realizan al Ministerio de Justicia. 

Artículo 28. 

En este artículo por el que se establece el procedimiento sancionador, se señala en su número 2 al Ministerio de Justicia con la capacidad de poder instar la incoación de un procedimiento, por lo que en coherencia con lo planteado en comentarios anteriores se debe de sustituir esta referencia por la de: 

"2. La Comisión del Mercado de las Telecomunicaciones..." 

El presente certificado se expide al amparo de lo previsto en el artículo 27.5 de la Ley 30/1992, de 26 de noviembre, y el Artículo 23.2 de la Orden de 9 de abril de 1997, por la que se aprueba el Reglamento de Régimen Interior de la Comisión del Mercado de las Telecomunicaciones, con anterioridad a la aprobación del Acta de la sesión correspondiente.

Vº Bº

EL PRESIDENTE

 EL SECRETARIO

  

José Mª Vázquez Quintana

Luis Bermúdez Odriozola