Propuesta de Directiva del Parlamento Europeo y del Consejo por la que se establece un marco común para la firma electrónica (98/C 325/04) (Texto pertinente a los fines del EEE) COM(1998) 297 final - 98/0191(COD)

(Presentada por la Comisión el 16 de junio de 1998)

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado constitutivo de la Comunidad Europea y, en particular, el apartado 2 de su artículo 57 y sus artículos 66 y 100 A,

Vista la propuesta de la Comisión,

Visto el dictamen del Comité Económico y Social,

Visto el dictamen del Comité de las Regiones,

De conformidad con el procedimiento establecido en el artículo 189 B del Tratado,

(1) Considerando que, el 16 de abril de 1997, la Comisión presentó al Parlamento Europeo, al Consejo, al Comité Económico y Social y al Comité de las Regiones la Comunicación «Iniciativa europea de comercio electrónico» (1);

(2) Considerando que, el 8 de octubre de 1997, la Comisión presentó al Parlamento Europeo, al Consejo, al Comité Económico y Social y al Comité de las Regiones la Comunicación «Fomento de la seguridad y la confianza en la comunicación electrónica: hacia un marco europeo para la firma digital y el cifrado» (2);

(3) Considerando que, el 1 de diciembre de 1997, el Consejo invitó a la Comisión a que presentara lo antes posible una propuesta de Directiva del Parlamento Europeo y del Consejo sobre la firma digital;

(4) Considerando que la comunicación y el comercio electrónicos requieren firmas electrónicas y servicios conexos de autenticación de datos; que la heterogeneidad normativa en materia de reconocimiento legal de la firma electrónica y acreditación de los proveedores de servicios de certificación entre los Estados miembros puede entorpecer gravemente el uso de las comunicaciones electrónicas y del comercio electrónico e impedir el desarrollo del mercado interior; que la diversidad de actuaciones de los Estados miembros en este ámbito evidencia la necesidad de una armonización comunitaria;

(5) Considerando que es preciso promover la interoperabilidad de los productos de firma electrónica; que, de conformidad con el artículo 7 A del Tratado, el mercado interior implica un espacio en el que está garantizada la libre circulación de mercancías; que deben cumplirse los requisitos esenciales específicos de los productos de firma electrónica utilizados por los proveedores de servicios de certificación a fin de garantizar la libre circulación en el mercado interior y fomentar la confianza en la firma electrónica;

(6) Considerando que los rápidos avances tecnológicos y la dimensión mundial de Internet precisan un planteamiento abierto a diferentes tecnologías y servicios de autenticación electrónica de datos; que, no obstante, la firma digital basada en la criptografía de clave pública constituye actualmente la forma más reconocida de firma electrónica;

(7) Considerando que el mercado interior permite a los proveedores de servicios de certificación desarrollar actividades transfronterizas para incrementar su competitividad, brindando a consumidores y empresas nuevas posibilidades de intercambiar información y bienes por medios electrónicos de manera segura, con independencia de las fronteras; que, para estimular la prestación a nivel comunitario de servicios de certificación en redes abiertas, los proveedores de tales servicios deben gozar en general de libertad para ofrecerlos sin necesidad de autorización previa; que no hay necesidad inmediata de garantizar la libre circulación de servicios de certificación armonizando las limitaciones nacionales a la prestación de tales servicios, que sean justificadas y proporcionadas;

(8) Considerando que los sistemas voluntarios de acreditación orientados a mejorar los servicios prestados pueden aportar a los proveedores de servicios de certificación un marco apropiado para aproximarse a los niveles de confianza, seguridad y calidad exigidos por un mercado en evolución; que dichos sistemas deben alentar la adopción de buenas prácticas por parte de los proveedores de servicios de certificación; que debe darse a los proveedores de servicios de certificación libertad para adherirse a dichos sistemas de acreditación y disfrutar de sus ventajas; que los Estados miembros no deben prohibir a los proveedores de servicios de certificación operar al margen de los sistemas de acreditación; que ha de velarse por que los sistemas de acreditación no supongan mengua de la competencia en el ámbito de los servicios de certificación; que es importante alcanzar un equilibrio entre las necesidades de los consumidores y las de las empresas;

(9) Considerando, pues, que la presente Directiva debe fomentar el uso y el reconocimiento legal de la firma electrónica en la Comunidad; que no se precisa un marco reglamentario para las firmas electrónicas utilizadas exclusivamente dentro de sistemas cerrados; que, en la medida en que lo permita la legislación nacional, debe respetarse la libertad de las partes para concertar de común acuerdo las condiciones en que aceptarán datos firmados electrónicamente; que la presente Directiva no pretende armonizar las legislaciones nacionales sobre contratos, en particular por lo que respecta a la formalización y eficacia de los mismos, ni tampoco otras formalidades no contractuales que precisen firma; que, por dicho motivo, las disposiciones sobre los efectos legales de la firma electrónica deben entenderse sin perjuicio de los requisitos de forma establecidos por las leyes nacionales en materia de celebración de contratos, ni de las normas que determinan cuándo se considera concluido un contrato;

(10) Considerando que, para contribuir a la aceptación general de la firma electrónica, no debe negarse a ésta validez legal por el hecho de que se presente en forma de datos electrónicos, no esté basada en un certificado reconocido o expedido por un proveedor de servicios de certificación acreditado, o el proveedor de servicios expedidor del certificado proceda de otro Estado miembro; que la firma electrónica vinculada a un proveedor de servicios de certificación digno de confianza y que cumpla los requisitos esenciales debe surtir los mismos efectos jurídicos que la firma manuscrita; que debe garantizarse la admisibilidad de la firma electrónica como prueba a efectos procesales en todos los Estados miembros; que el reconocimiento legal de la firma electrónica debe basare en criterios objetivos y no estar supeditado a la autorización del proveedor de servicios interesado; que una normativa armonizada en materia de eficacia legal de la firma electrónica garantizará un marco jurídico coherente en la Comunidad;

(11) Considerando que los proveedores de servicios de certificación al público están sujetos a la normativa nacional en materia de responsabilidad; que la heterogeneidad en alcance y contenido de dicha normativa puede generar inseguridad jurídica, particularmente para los terceros que utilicen dichos servicios; que ello perjudicaría el comercio transfronterizo y el buen funcionamiento del mercado interior; que la armonización de la normativa sobre responsabilidad aportará seguridad y previsibilidad jurídicas, tanto a los proveedores de servicios de certificación como a los consumidores; que las normas armonizadas contribuirán a la aceptación general y al reconocimiento legal de la firma electrónica en la Comunidad y, por consiguiente, favorecerán el funcionamiento del mercado interior;

(12) Considerando que el desarrollo del comercio electrónico internacional requiere mecanismos transfronterizos que interesan a terceros países; que tales mecanismos deben desarrollarse al nivel empresarial; que una serie de acuerdos multilaterales con terceros países en materia de reconocimiento mutuo de servicios de certificación podría contribuir a la interoperabilidad mundial;

(13) Considerando que, para fomentar la comunicación y el comercio electrónicos ganando la confianza de los usuarios, los Estados miembros deben obligar a los proveedores de servicios de certificación a observar la normativa sobre protección de datos e intimidad, así como a prestar servicios de certificación de pseudónimos si el signatario lo solicita; que la normativa nacional debe establecer si, en el marco de una investigación criminal, habrán de entregarse datos que revelen la identidad de personas y, en caso afirmativo, bajo qué condiciones; que los proveedores de servicios de certificación deben informar con antelación a los usuarios de sus condiciones, en particular, precisando el uso que se dará a los certificados y los límites de su responsabilidad, por escrito, en un lenguaje fácilmente comprensible y en un medio de comunicación no perecedero;

(14) Considerando que, a efectos de la aplicación de la presente Directiva, la Comisión debe estar asistida por un Comité de carácter consultivo;

(15) Considerando que, con arreglo a los principios de subsidiariedad y de proporcionalidad contemplados en el artículo 3 B del Tratado, el objetivo de crear un marco jurídico armonizado para la firma electrónica y servicios conexos no puede ser alcanzado de manera suficiente por los Estados miembros y, por consiguiente, puede lograrse mejor a nivel comunitario; que la presente Directiva se limita a lo estrictamente necesario para alcanzar dicho objetivo,

HAN ADOPTADO LA PRESENTE DIRECTIVA:

Artículo 1

Ámbito de aplicación

La presente Directiva regula el reconocimiento legal de la firma electrónica.

La presente Directiva no regula otros aspectos relacionados con la celebración y validez de los contratos u otras formalidades no contractuales que precisen firma.

La presente Directiva establece un marco jurídico para determinados servicios de certificación accesibles al público.

Artículo 2

Definiciones

A los efectos de la presente Directiva, se entenderá por:

1) «firma electrónica»: la firma en forma digital integrada en unos datos, anexa a los mismos o asociada con ellos, que utiliza un signatario para expresar conformidad con su contenido y que cumple los siguientes requisitos:

a) estar vinculada al signatario de manera única;

b) permitir la identificación del signatario;

c) haber sido creada por medios que el signatario pueda mantener bajo su exclusivo control, y

d) estar vinculada a los datos relacionados de modo que se detecte cualquier modificación ulterior de los mismos;

2) «signatario»: la persona que crea una firma electrónica;

3) «dispositivo de creación de firma»: los datos únicos, como códigos o claves criptográficas privadas, o un dispositivo físico de configuración única, que el signatario utiliza para crear la firma electrónica;

4) «dispositivo de verificación de firma»: los datos únicos, tales como códigos o claves criptográficas públicas, o un dispositivo físico de configuración única, utilizado para verificar la firma electrónica;

5) «certificado reconocido»: el certificado digital que vincula un dispositivo de verificación de firma a una persona y confirma su identidad, y que cumple los requisitos establecidos en el anexo I;

6) «proveedor de servicios de certificación»: la persona o entidad que expide certificados o presta otros servicios al público en relación con la firma electrónica;

7) «producto de firma electrónica»: el equipo físico o lógico, o sus componentes específicos, destinados a ser utilizados por el proveedor de servicios de certificación para la prestación de servicios de firma electrónica.

Artículo 3

Acceso al mercado

1. Los Estados miembros no condicionarán la prestación de servicios de certificación a la obtención de autorización previa.

2. Sin perjuicio de lo dispuesto en el apartado 1, los Estados miembros podrán introducir o mantener sistemas voluntarios de acreditación para mejorar la calidad de los servicios de certificación. Todas las condiciones relativas a tales sistemas deberán ser objetivas, transparentes, proporcionadas y no discriminatorias. Los Estados miembros no podrán limitar el número de proveedores de servicios de certificación amparándose en la presente Directiva.

3. Con arreglo al procedimiento previsto en el artículo 9, la Comisión podrá establecer y publicar en el Diario Oficial de las Comunidades Europeas los números de referencia de normas de amplia aceptación para productos de firma electrónica. Los Estados miembros presumirán que los productos de firma electrónica que se ajusten a dichas normas se ajustan a lo prescrito en la letra e) del anexo II.

4. Los Estados miembros podrán supeditar el uso de la firma electrónica en el sector público a prescripciones adicionales. Estas prescripciones serán objetivas, transparentes, proporcionadas y no discriminatorias, y sólo harán referencia a las características específicas de la aplicación de que se trate.

Artículo 4

Principios del mercado interior

1. Los Estados miembros aplicarán las disposiciones nacionales que adopten en cumplimiento de la presente Directiva a los proveedores de servicios de certificación establecidos en su territorio y a los servicios prestados por ellos. Los Estados miembros no podrán restringir la prestación de servicios de certificación que procedan de otro Estado miembro en los ámbitos regulados por la presente Directiva.

2. Los Estados miembros velarán por que los productos de firma electrónica que se ajusten a lo dispuesto en la presente Directiva puedan circular libremente en el mercado interior.

Artículo 5

Eficacia jurídica

1. Los Estados miembros velarán por que no se nieguen efectos jurídicos, validez ni obligatoriedad a una firma electrónica por el hecho de que ésta se presente en forma electrónica, o no se base en un certificado reconocido o en un certificado expedido por un proveedor de servicios de certificación acreditado.

2. Los Estados miembros velarán por que la firma electrónica basada en un certificado reconocido que haya expedido un proveedor de servicios de certificación, que cumpla lo prescrito en el anexo II, por un lado, sea considerada como firma que cumple los requisitos legales de una firma manuscrita y, por otro, sea admisible como prueba a efectos procesales de la misma forma que una firma manuscrita.

Artículo 6

Responsabilidad

1. Los Estados miembros velarán por que el proveedor de servicios de certificación que expida un certificado reconocido sea responsable, ante cualquier persona que de buena fe confíe en el certificado, a efectos de:

a) la veracidad de toda la información contenida en el certificado reconocido a partir de la fecha de su expedición, salvo indicación contraria del proveedor de servicios de certificación recogida en el certificado;

b) la conformidad con todos los requisitos de la presente Directiva en la expedición del certificado reconocido;

c) la garantía de que, en el momento de la expedición del certificado reconocido, obra en poder de la persona identificada en el mismo el dispositivo de creación de firma correspondiente al dispositivo de verificación dado o identificado en el certificado;

d) en caso de que el proveedor de servicios de certificación genere los dispositivos de creación y de verificación de firma, la garantía de que ambos funcionen conjunta y complementariamente.

2. Los Estados miembros velarán por que el proveedor de servicios de certificación no sea responsable de eventuales inexactitudes en el certificado reconocido que resulten de la información facilitada por la persona a la que se expidió el mismo, a condición de que dicho proveedor de servicios demuestre haber actuado siempre con la máxima diligencia para comprobar tal información.

3. Los Estados miembros velarán por que el proveedor de servicios de certificación pueda consignar en el certificado reconocido eventuales límites en cuanto a sus posibles usos. El proveedor de servicios de certificación no será responsable de los daños y perjuicios causados por el uso indebido de un certificado reconocido en el que consten tales límites cuando éstos se hayan transgredido.

4. Los Estados miembros velarán por que el proveedor de servicios de certificación pueda consignar en el certificado reconocido un valor límite de las transacciones válidas que puedan realizarse mediante el mismo. El proveedor de servicios de certificación no será responsable de los eventuales daños y perjuicios que excedan de dicho valor límite.

5. Las disposiciones de los apartados 1 a 4 se aplicarán sin perjuicio de lo dispuesto en la Directiva 93/13/CEE del Consejo (3).

Artículo 7

Aspectos internacionales

1. Los Estados miembros velarán por que los certificados expedidos por un proveedor de servicios de certificación establecido en un tercer país gocen de equivalencia legal con los expedidos por un proveedor de servicios de certificación establecido en la Comunidad si se cumple alguna de las siguientes condiciones:

a) el proveedor de servicios de certificación cumple los requisitos establecidos en la presente Directiva y ha sido acreditado en el marco de un sistema voluntario de acreditación establecido por un Estado miembro;

b) un proveedor de servicios de certificación establecido en la Comunidad, que cumpla las prescripciones del anexo II, avala el certificado en la misma medida que los suyos propios;

c) el certificado o el proveedor de servicios de certificación están reconocidos en virtud de un acuerdo bilateral o multilateral entre la Comunidad y terceros países u organizaciones internacionales.

2. La Comisión podrá tomar medidas a fin de facilitar tanto la prestación de servicios de certificación transfronterizos con terceros países como el reconocimiento legal de las firmas electrónicas originarias de estos últimos, la Comisión presentará, en su caso, propuestas para la aplicación de normas y acuerdos internacionales relacionados con los servicios de certificación. Llegado el caso, presentará propuestas al Consejo en solicitud de mandatos de negociación de acuerdos bilaterales y multilaterales con terceros países y organizaciones internacionales. El Consejo se pronunciará por mayoría cualificada.

Artículo 8

Protección de datos

1. Los Estados miembros velarán por que los proveedores de servicios de certificación y los organismos nacionales competentes en materia de acreditación y supervisión cumplan lo establecido en las Directivas del Parlamento Europeo y del Consejo 95/46/CE (4) y 97/66/CE (5).

2. Los Estados miembros velarán por que los proveedores de servicios de certificación únicamente puedan recabar datos personales directamente del titular de los mismos, y sólo con el alcance necesario a efectos de la expedición del certificado. Los datos no podrán obtenerse o tratarse con fines distintos sin el consentimiento de su titular.

3. Los Estados miembros velarán por que, de solicitarlo así el signatario, el proveedor de servicios de certificación consigne en el certificado un pseudónimo de esa persona, en lugar de su verdadero nombre.

4. En relación con los usuarios de pseudónimo, los Estados miembros velarán por que el proveedor de servicios de certificación transmita los datos relativos a la identidad de los mismos, contando con su consentimiento previo, a las autoridades públicas que los soliciten. Si el ordenamiento jurídico nacional obliga a entregar datos que revelen la identidad de su titular con fines de investigación penal en caso de utilización de firma electrónica bajo pseudónimo, se consignará que se ha procedido a tal entrega, y el titular de los datos será informado de la misma lo antes posible una vez finalizada la investigación.

Artículo 9

Comité

La Comisión estará asistida por un comité denominado «Comité de la firma electrónica» (en lo sucesivo denominado «el Comité») de carácter consultivo, compuesto por representantes de los Estados miembros y presidido por el representante de la Comisión.

El representante de la Comisión someterá al Comité un proyecto de las medidas que deban adoptarse. El Comité emitirá su dictamen sobre dicho proyecto en un plazo que el presidente podrá fijar en función de la urgencia del asunto, procediendo, en su caso, a una votación.

El dictamen se incluirá en el acta; además, cada Estado miembro tendrá derecho a solicitar que su posición conste en acta.

La Comisión tendrá en cuenta, en la mayor medida posible, el dictamen emitido por el Comité. Informará al Comité de la manera en que ha tenido en cuenta dicho dictamen.

Artículo 10

Consultas al Comité

El Comité será consultado, si procede, sobre los requisitos establecidos en el anexo II en relación con los proveedores de servicios de certificación y sobre las normas de amplia aceptación para los productos de firma electrónica con arreglo al apartado 3 del artículo 3.

Artículo 11

Notificación

1. Los Estados miembros facilitarán a la Comisión la información siguiente:

a) información sobre los sistemas voluntarios de acreditación, incluidos cualesquiera requisitos adicionales con arreglo al apartado 4 del artículo 3;

b) el nombre y dirección de los organismos nacionales competentes en materia de acreditación y supervisión;

c) el nombre y dirección de los proveedores de servicios de certificación nacionales acreditados.

2. Toda la información facilitada en virtud el apartado 1 y cualesquiera modificaciones de su contenido serán notificadas por los Estados miembros a la mayor brevedad posible.

Artículo 12

Examen

1. La Comisión examinará los resultados de la aplicación de la presente Directiva y presentará el oportuno informe al Parlamento Europeo y al Consejo a más tardar el 31 de diciembre de 2002.

2. El examen permitirá, entre otros aspectos, establecer si conviene modificar el ámbito de aplicación de la Directiva, a la vista de los avances tecnológicos y cambios legales que se hayan podido producir. El informe valorará, en particular, los aspectos de armonización sobre la base de la experiencia adquirida. El informe irá acompañado de propuestas legislativas complementarias, si procede.

Artículo 13

Aplicación

1. Los Estados miembros adoptarán las disposiciones legales, reglamentarias y administrativas necesarias para cumplir la presente Directiva a más tardar el 31 de diciembre de 2000. Informarán inmediatamente de ello a la Comisión.

Cuando los Estados miembros adopten dichas disposiciones, éstas harán referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.

2. Los Estados miembros comunicarán a la Comisión el texto de las disposiciones de Derecho interno que adopten en el ámbito regulado por la presente Directiva y en los ámbitos conexos, así como un cuadro de correspondencias entre la presente Directiva y las disposiciones nacionales en vigor.

Artículo 14

Entrada en vigor

La presente Directiva entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de las Comunidades Europeas.

Artículo 15

Destinatarios

Los destinatarios de la presente Directiva serán los Estados miembros.

(1) COM(97) 157 final.

(2) COM(97) 503 final.

(3) DO L 95 de 21.4.1993, p. 29.

(4) DO L 281 de 23.11.1995, p. 31.

(5) DO L 24 de 30.1.1998, p. 1.

ANEXO I

REQUISITOS DE LOS CERTIFICADOS RECONOCIDOS

Los certificados reconocidos habrán de contener:

a) el identificador del proveedor de servicios de certificación que expide el certificado;

b) el nombre inconfundible del titular o un pseudónimo inequívoco y señalado como tal;

c) un atributo específico del titular, como su dirección, su capacidad de actuar en nombre de una empresa, su solvencia, su número de IVA u otro código de identificación fiscal, o la existencia de garantías de pago o de licencias y permisos específicos;

d) un dispositivo de verificación de firma que corresponda a un dispositivo de creación de firma bajo control del titular;

e) el comienzo y fin del período de validez del certificado;

f) el código identificativo único del certificado;

g) la firma electrónica del proveedor de servicios de certificación que expide el certificado;

h) los límites de uso del certificado, si procede; y

i) los límites de la responsabilidad del proveedor de servicios de certificación y del valor de las transacciones para las que tiene validez el certificado.

ANEXO II

REQUISITOS DE LOS PROVEEDORES DE SERVICIOS DE CERTIFICACIÓN

Los proveedores de servicios de certificación deberán:

a) demostrar la fiabilidad necesaria para prestar, en particular, servicios de certificación;

b) utilizar un servicio de revocación rápido y seguro;

c) comprobar debidamente la identidad y capacidad de obrar de la persona a que se expide un certificado reconocido;

d) emplear personal que tenga los conocimientos, la experiencia y las calificaciones necesarias para la prestación de los servicios ofrecidos, en particular: competencia en materia de gestión, conocimientos técnicos en el ámbito de la firma electrónica y práctica en los procedimientos de seguridad adecuados; deben poner asimismo en práctica los procedimientos y métodos administrativos y de gestión adecuados y conformes a normas reconocidas;

e) utilizar sistemas dignos de confianza y productos de firma electrónica que garanticen la protección contra toda alteración de los mismos que posibilite su uso con fines diferentes de aquéllos para los que fueron concebidos; también deberán utilizar productos de firma electrónica que garanticen la seguridad técnica y criptográfica de los procesos de certificación sustentados por los productos;

f) tomar medidas contra la falsificación de certificados y, en caso de que el proveedor de servicios de certificación genere claves de firma criptográfica privadas, garantizar la confidencialidad durante el proceso de generación de dichas claves;

g) disponer de recursos económicos suficientes para operar de conformidad con lo dispuesto en la presente Directiva, en particular, para afrontar el riesgo de responsabilidad por daños y perjuicios, por ejemplo, contratando un seguro apropiado;

h) registrar toda la información pertinente relativa a un certificado reconocido durante un período de tiempo adecuado, en particular, para aportar pruebas de certificación a efectos procesales; esta actividad de registro podrá realizarse por medios electrónicos;

i) no almacenar ni copiar las claves de firma criptográfica privadas de la persona a la que el proveedor de servicios de certificación ha prestado servicio de gestión de claves, a menos que dicha persona lo solicite expresamente;

j) informar por escrito a los consumidores antes de entablar relaciones contractuales, en un lenguaje fácilmente comprensible y utilizando un medio de comunicación no perecedero, de las condiciones precisas de utilización del certificado, incluidos los posibles límites de su responsabilidad, la existencia de un sistema voluntario de acreditación y los procedimientos de reclamación y solución de litigios.