Firma electrónica

La L 25/2015 modifica determinados preceptos de la L 59/2003, de firma electrónica, en relación con las materias que se exponen a continuación.
• Se modifica el concepto de firma electrónica avanzada, considerando como tal a la firma electrónica que permite identificar al firmante y detectar cualquier cambio ulterior de los datos firmados, que está vinculada al firmante de manera única y a los datos a que se refiere y que ha sido creada por medios que el firmante puede utilizar, con un alto nivel de confianza, bajo su exclusivo control.
• Se depura el concepto de firmante, de forma que como tal se ha de entender a la persona que utiliza -en la redacción anterior se indicaba «posee« un dispositivo de creación de firma y que actúa en nombre propio o en nombre de una persona física o jurídica a la que representa.
• En relación con los certificados de personas jurídicas, se amplia el ámbito de responsabilidad de custodia añadiendo a la de los datos de creación de firma asociados a cada certificado electrónico de persona jurídica, la de los medios de acceso a ellos.
• En relación con las obligaciones que deben cumplir los prestadores de servicios de certificación antes de la expedición de certificados reconocidos, se sustituye la expresión «asegurarse que que el firmante está en posesión de los datos de creación de firma correspondientes a los de verificación que constan en el certificado», por la de «asegurarse de que el firmante tiene el control exclusivo sobre el uso -de los datos de creación de firma correspondientes a los de verificación que constan en el certificado».
• Con respecto a la obligación que incumbe e los prestadores de servicios de certificación que expidan certificados electrónicos, de no almacenar ni copiar, por sí o a través de un tercero, los datos de creación de firma de la persona a la que hayan prestado sus servicios, se excluye el supuesto en que dichos prestadores de servicios asuman su gestión en nombre del firmante, en cuyo caso, se han de aplicar los procedimientos y mecanismos técnicos y organizativos adecuados para garantizar que el firmante controle de modo exclusivo el uso de sus datos de creación de firma.
Asimismo, se dispone que únicamente los prestadores de servicios de certificación que expidan certificados reconocidos pueden gestionar los datos de creación de firma electrónica en nombre del firmante, para lo cual pueden efectuar una copia de seguridad de los datos de creación de firma siempre que la seguridad de los datos duplicados sea del mismo nivel que la de los datos originales y que el número de datos duplicados no supere el mínimo necesario para garantizar la continuidad del servicio, no pudiendo duplicar los datos de creación de firma para ninguna otra finalidad.
• A la información mínima que, antes de la expedición del certificado de forma gratuita, por escrito o por vía electrónica, los prestadores de servicios de certificación que expidan certificados electrónicos deben proporcionar al solicitante, a la relativa al procedimiento que ha de seguirse para comunicar la pérdida o posible utilización indebida de los datos de creación de la firma, se añade la de los medios que los protegen.
• En relación con la obligación de los prestadores de servicios de certificación que expidan certificados reconocidos de tomar medidas contra la falsificación de certificados y, en el caso de que el prestador de servicios de certificación genere datos de creación de firma, garantizar su confidencialidad durante el proceso de generación y su entrega por un procedimiento seguro al firmante, se añade que si el prestador de servicios gestiona los datos de creación de firma en nombre del firmante, deberá custodiarlos y protegerlos frente a cualquier alteración, destrucción o acceso no autorizado, así como garantizar su continua disponibilidad para el firmante.
• Se amplía el ámbito de exoneración de responsabilidad de los prestadores de servicios de certificación por conductas del firmante, incluyendo entre dichos supuestos:
– la negligencia en la conservación de sus datos de creación de firma, en el aseguramiento de su confidencialidad y en la protección de todo acceso o revelación de éstos o, en su caso, de los medios que den acceso a los datos de creación de firma del firmante; y
– no solicitar la suspensión o revocación del certificado electrónico en caso de duda en cuanto al mantenimiento de la confidencialidad de los medios que den acceso a los datos de creación de firma del firmante.
• En materia de supervisión y control, se prevé la posibilidad de requerir la realización de pruebas en laboratorios o entidades especializadas para acreditar el cumplimiento de determinados requisitos y que los gastos que ocasiones esta evaluación serán de cuenta de los prestadores de servicios.

Imprimir