Llei 6/2020, d'11 de novembre, reguladora de determinats aspectes dels serveis electrònics de confiança

Article 1. Objecte de la Llei

Aquesta Llei té per objecte regular determinats aspectes dels serveis electrònics de confiança, com a complement del Reglament (UE) n.º 910/2014 del Parlament Europeu i del Consell, de 23 de juliol de 2014, relatiu a la identificació electrònica i els serveis de confiança per a les transaccions electròniques en el mercat interior i pel qual es deroga la Directiva 1999/93/CE.

Article 2. Àmbit d'aplicació

Aquesta Llei s'aplicarà als prestadors públics i privats de serveis electrònics de confiança establerts a Espanya.

Així mateix, s'aplicarà als prestadors residents o domiciliats en un altre estat que tinguin un establiment permanent situat a Espanya, sempre que ofereixin serveis no supervisats per l'autoritat competent d'un altre país de la Unió Europea.

Article 3. Efectes jurídics dels documents electrònics

1. Els documents electrònics públics, administratius i privats, tenen el valor i l'eficàcia jurídica que correspongui a la seva respectiva naturalesa, de conformitat amb la legislació que els resulti aplicable.

2. La prova dels documents electrònics privats en els quals s'hagués utilitzat un servei de confiança no qualificat es regirà pel que disposa l'apartat 3 de l'article 326 de la Llei 1/2000, de 7 de gener, d'Enjudiciament Civil. Si el servei fos qualificat, s'estarà al que preveu l'apartat 4 del mateix precepte.

Article 4. Vigència i caducitat dels certificats electrònics

1. Els certificats electrònics s'extingeixen per caducitat a l'expiració del seu període de vigència, o mitjançant revocació pels prestadors de serveis electrònics de confiança en els supòsits previstos en l'article següent.

2. El període de vigència dels certificats qualificats no serà superior a cinc anys. Aquest període es fixarà en atenció a les característiques i tecnologia emprada per generar les dades de creació de signatura, segell, o autenticació de lloc web.

Article 5. Revocació i suspensió dels certificats electrònics

1. Els prestadors de serveis electrònics de confiança extingiran la vigència dels certificats electrònics mitjançant revocació en els supòsits següents: a) Sol·licitud formulada pel signant, la persona física o jurídica representada per aquest, un tercer autoritzat, el creador del segell o el titular del certificat d'autenticació de lloc web. b) Violació o posada en perill del secret de les dades de creació de signatura o de segell, o del prestador de serveis de confiança, o d'autenticació de lloc web, o utilització indeguda d'aquestes dades per un tercer. c) Resolució judicial o administrativa que ho ordeni. d) Defunció del signant; capacitat modificada judicialment sobrevinguda, total o parcial, del signant; extinció de la personalitat jurídica o dissolució del creador del segell en el cas de tractar-se d'una entitat sense personalitat jurídica, i canvi o pèrdua de control sobre el nom de domini en el supòsit d'un certificat d'autenticació de lloc web. e) Terminació de la representació en els certificats electrònics amb atribut de representant. En aquest cas, tant el representant com la persona o entitat representada estan obligats a sol·licitar la revocació de la vigència del certificat tan aviat com es produeixi la modificació o extinció de la citada relació de representació. f) Cessament en l'activitat del prestador de serveis de confiança, llevat que la gestió dels certificats electrònics expedits per aquell sigui transferida a un altre prestador de serveis de confiança. g) Descobriment de la falsedat o inexactitud de les dades aportades per a l'expedició del certificat i que constin en ell, o alteració posterior de les circumstàncies verificades per a l'expedició del certificat. h) En cas que s'adverteixi que els mecanismes criptogràfics utilitzats per a la generació dels certificats no compleixen els estàndards de seguretat mínims necessaris per garantir-ne la seguretat. i) Qualsevol altra causa lícita prevista en la declaració de pràctiques del servei de confiança.

2. Els prestadors de serveis de confiança suspendran la vigència dels certificats electrònics en els supòsits previstos en les lletres a), c) i h) de l'apartat anterior, així com en els casos de dubte sobre la concurrència de les circumstàncies previstes en les seves lletres b) i g), sempre que les seves declaracions de pràctiques de certificació prevegin la possibilitat de suspendre els certificats.

3. Si s'escau, i de manera prèvia o simultània a la indicació de la revocació o suspensió d'un certificat electrònic en el servei de consulta sobre l'estat de validesa o revocació dels certificats per ell expedits, el prestador de serveis electrònics de confiança comunicarà al titular, per un mitjà que acrediti el lliurament i recepció efectiva sempre que sigui factible, aquesta circumstància, especificant els motius i la data i l'hora en què el certificat quedarà sense efecte. En els casos de suspensió, la vigència del certificat s'extingirà si transcorregut el termini de durada de la suspensió, el prestador no l'hagués aixecat.

Article 6. Identitat i atributs dels titulars de certificats qualificats

1. La identitat del titular en els certificats qualificats es consignarà de la forma següent: a) En el supòsit de certificats de signatura electrònica i d'autenticació de lloc web expedits a persones físiques, pel seu nom i cognoms i el seu número de Document Nacional d'Identitat, número d'identitat d'estranger o número d'identificació fiscal, o a través d'un pseudònim que consti com a tal de manera inequívoca. b) En el supòsit de certificats de segell electrònic i d'autenticació de lloc web expedits a persones jurídiques, per la seva denominació o raó social i el seu número d'identificació fiscal.

2. Si els certificats admeten una relació de representació, inclouran la identitat de la persona física o jurídica representada en les formes previstes en l'apartat anterior, així com una indicació del document, públic si resulta exigible, que acrediti de manera fefaent les facultats del signant per actuar en nom de la persona o entitat que representi.

Article 7. Comprovació de la identitat i altres circumstàncies dels sol·licitants d'un certificat qualificat

1. La identificació de la persona física que sol·liciti un certificat qualificat exigirà la seva personació davant els encarregats de verificar-la i s'acreditarà mitjançant el Document Nacional d'Identitat, passaport o altres mitjans admesos en dret. Es podrà prescindir de la personació de la persona física que sol·liciti un certificat qualificat si la seva signatura en la sol·licitud d'expedició d'un certificat qualificat ha estat legitimada en presència notarial.

2. Reglamentàriament, mitjançant Ordre de la persona titular del Ministerio de Asuntos Económicos y Transformación Digital, es determinaran altres condicions i requisits tècnics de verificació de la identitat a distància i, si escau, altres atributs específics de la persona sol·licitant d'un certificat qualificat, mitjançant altres mètodes d'identificació com videoconferència o vídeo-identificació que aportin una seguretat equivalent en termes de fiabilitat a la presència física.

3. La forma en la qual s'ha procedit a identificar la persona física sol·licitant podrà constar en el certificat. En un altre cas, els prestadors de serveis de confiança hauran de col·laborar entre si per determinar quan es va produir la darrera personació.

4. En el cas de certificats qualificats de segell electrònic i de signatura electrònica amb atribut de representant, els prestadors de serveis de confiança comprovaran, a més de les dades assenyalades en els apartats anteriors, les dades relatives a la constitució i personalitat jurídica, i a la persona o entitat representada, respectivament, així com l'extensió i vigència de les facultats de representació del sol·licitant.

5. Quan el certificat qualificat contingui altres circumstàncies personals o atributs del sol·licitant, com ara la seva condició de titular d'un càrrec públic, la seva pertinença a un col·legi professional o la seva titulació, hauran de ser comprovades mitjançant els documents oficials que les acreditin.

6. El que disposen els apartats anteriors podrà no ser exigible quan la identitat o altres circumstàncies permanents dels sol·licitants dels certificats constessin ja al prestador de serveis de confiança en virtut d'una relació preexistent, en la qual, per a la identificació de l'interessat, s'hagués emprat el mitjà assenyalat en l'apartat 1 i el període de temps transcorregut des de la identificació fos menor de cinc anys.

7. El Ministerio de Asuntos Económicos y Transformación Digital vetllarà perquè els prestadors qualificats de serveis electrònics de confiança puguin contribuir a l'elaboració de la norma reglamentària prevista en l'apartat 2 d'aquest article.

Article 8. Protecció de les dades personals

1. El tractament de les dades personals que precisin els prestadors de serveis electrònics de confiança per al desenvolupament de la seva activitat i els òrgans administratius per a l'exercici de les funcions atribuïdes per aquesta Llei se subjectarà al que disposa la legislació aplicable en matèria de protecció de dades de caràcter personal.

2. Els prestadors de serveis electrònics de confiança que consignin un pseudònim en un certificat electrònic hauran de constatar la veritable identitat del titular del certificat i conservar la documentació que l'acrediti.

3. Aquests prestadors de serveis de confiança estaran obligats a revelar la identitat esmentada quan ho sol·licitin els òrgans judicials i altres autoritats públiques en l'exercici de funcions legalment atribuïdes, amb subjecció al que disposa la legislació aplicable en matèria de protecció de dades personals.

Article 9. Obligacions dels prestadors de serveis electrònics de confiança

1. Els prestadors de serveis electrònics de confiança hauran de: a) Publicar informació veraç i d'acord amb aquesta Llei i el Reglament (UE) 910/2014. b) No emmagatzemar ni copiar, per si mateixos o a través d'un tercer, les dades de creació de signatura, segell o autenticació de lloc web de la persona física o jurídica a qui hagin prestat els seus serveis, llevat del cas de la seva gestió en nom del titular. En aquest cas, utilitzaran sistemes i productes fiables, inclosos canals de comunicació electrònica segurs, i s'aplicaran procediments i mecanismes tècnics i organitzatius adequats.

2. Els prestadors de serveis de confiança que expedeixin certificats electrònics hauran de disposar d'un servei de consulta sobre l'estat de validesa o revocació dels certificats emesos accessible al públic.

3. Els prestadors qualificats de serveis electrònics de confiança hauran de complir les obligacions addicionals següents: a) El període de temps durant el qual hauran de conservar la informació relativa als serveis prestats d'acord amb l'article 24.2.h) del Reglament (UE) 910/2014 serà de 15 anys des de l'extinció del certificat o la finalització del servei prestat. b) Constituir una assegurança de responsabilitat civil per import mínim d'1.500.000 euros, llevat que el prestador pertanyi al sector públic. Si presta més d'un servei qualificat dels previstos en el Reglament (UE) 910/2014, s'afegiran 500.000 euros més per cada tipus de servei. c) El prestador qualificat que vagi a cessar en la seva activitat haurà de comunicar-ho als clients als quals presti els seus serveis i a l'òrgan de supervisió amb una antelació mínima de dos mesos al cessament efectiu de l'activitat. d) Enviar l'informe d'avaluació de la conformitat al Ministerio de Asuntos Económicos y Transformación Digital en els termes previstos en l'article 20.1 del Reglament (UE) 910/2014.

Article 10. Responsabilitat dels prestadors de serveis electrònics de confiança

Els prestadors de serveis electrònics de confiança assumiran tota la responsabilitat davant de tercers per l'actuació de les persones o altres prestadors en els quals deleguin l'execució d'alguna o algunes de les funcions necessàries per a la prestació de serveis electrònics de confiança, incloses les actuacions de comprovació d'identitat prèvies a l'expedició d'un certificat qualificat.

Article 11. Limitacions de responsabilitat dels prestadors de serveis electrònics de confiança

1. El prestador de serveis electrònics de confiança no serà responsable dels danys i perjudicis ocasionats a la persona a qui ha prestat els seus serveis o a tercers de bona fe, si aquesta incorre en algun dels supòsits previstos en el Reglament (UE) 910/2014 o en els següents: a) No haver proporcionat al prestador de serveis de confiança informació veraç, completa i exacta per a la prestació del servei de confiança. b) La falta de comunicació sense dilació indeguda al prestador de serveis de qualsevol modificació de les circumstàncies que incideixin en la prestació del servei de confiança. c) Negligència en la conservació de les seves dades de creació de signatura, segell o autenticació de lloc web. d) No sol·licitar la suspensió o revocació del certificat electrònic en cas de dubte quant al manteniment de la confidencialitat de les seves dades de creació. e) Utilitzar les dades de creació de signatura, segell o autenticació de lloc web quan hagi expirat el període de validesa del certificat electrònic.

2. El prestador de serveis de confiança tampoc serà responsable pels danys i perjudicis si el destinatari actua de manera negligent. S'entendrà que el destinatari actua de manera negligent quan no tingui en compte la suspensió o pèrdua de vigència del certificat electrònic, o quan no verifiqui la signatura o segell electrònic.

3. El prestador de serveis de confiança no serà responsable pels danys i perjudicis en cas d'inexactitud de les dades que constin en el certificat electrònic si aquestes li han estat acreditades mitjançant document públic o oficial, inscrit en un registre públic si així resulta exigible.

Article 12. Inici de la prestació de serveis electrònics de confiança no qualificats

Els prestadors de serveis de confiança no qualificats no necessiten verificació administrativa prèvia de compliment de requisits per iniciar la seva activitat, però hauran de comunicar la seva activitat al Ministerio de Asuntos Económicos y Transformación Digital en el termini de tres mesos des que la iniciïn, que publicarà en la seva pàgina web el llistat de prestadors de serveis de confiança no qualificats en una llista diferent a la dels prestadors de serveis de confiança qualificats.

En el mateix termini hauran de comunicar la modificació de les dades inicialment transmeses i el cessament de la seva activitat.

Article 13. Obligacions de seguretat de la informació

1. Els prestadors qualificats i no qualificats de serveis electrònics de confiança notificaran al Ministerio de Asuntos Económicos y Transformación Digital les violacions de seguretat o pèrdues de la integritat assenyalades en l'article 19.2 del Reglament (UE) 910/2014, sense perjudici de la seva notificació a la Agencia Española de Protección de Datos, a altres organismes rellevants o a les persones afectades.

2. Els prestadors de serveis tenen l'obligació de prendre les mesures necessàries per resoldre els incidents de seguretat que els afectin.

3. Els prestadors de serveis ampliaran, en un termini màxim d'un mes després de la notificació de l'incident i, si ha tingut lloc, després de la seva resolució, la informació subministrada en la notificació inicial d'acord amb les directrius i formularis que pugui establir el Ministerio de Asuntos Económicos y Transformación Digital.

Article 14. Òrgan de supervisió

1. El Ministerio de Asuntos Económicos y Transformación Digital, com a òrgan de supervisió, controlarà el compliment per part dels prestadors de serveis electrònics de confiança qualificats i no qualificats que ofereixin els seus serveis al públic de les obligacions establertes en el Reglament (UE) 910/2014 i en aquesta Llei.

2. El Ministerio de Asuntos Económicos y Transformación Digital podrà acordar les mesures apropiades per al compliment del Reglament (UE) 910/2014 i d'aquesta Llei. En particular, podrà dictar directrius per a l'elaboració i comunicació d'informes i documents, així com recomanacions per al compliment de les obligacions tècniques i de seguretat exigibles als serveis de confiança.

Article 15. Actuacions inspectores

1. El Ministerio de Asuntos Económicos y Transformación Digital realitzarà les actuacions inspectores que siguin necessàries per a l'exercici de la seva funció de supervisió i control. Els funcionaris adscrits al Ministerio de Asuntos Económicos y Transformación Digital que realitzin la inspecció tindran la consideració d'autoritat pública en el desenvolupament de les seves comeses.

2. El Ministerio de Asuntos Económicos y Transformación Digital podrà recórrer a entitats independents i tècnicament qualificades perquè l'assisteixin en les tasques de supervisió i control sobre els prestadors de serveis de confiança.

3. Podrà requerir-se la realització de proves en laboratoris o entitats especialitzades per acreditar el compliment de determinats requisits. En aquest cas, els prestadors de serveis corejaran les despeses que ocasioni aquesta avaluació.

Article 16. Manteniment de la llista de confiança

1. El Ministerio de Asuntos Económicos y Transformación Digital establirà, mantindrà i publicarà la llista de confiança amb informació relativa als prestadors qualificats de serveis de confiança subjectes a aquesta Llei, juntament amb la informació relacionada amb els serveis de confiança qualificats prestats per ells, d'acord amb el que preveu l'article 22 del Reglament (UE) 910/2014.

2. El termini màxim per dictar i notificar resolució en el procediment de verificació prèvia de compliment dels requisits establerts en el Reglament esmentat serà de 6 mesos, transcorreguts els quals es podrà entendre desestimada la sol·licitud.

3. La revocació de la qualificació a un prestador o a un servei mitjançant la seva retirada de la llista de confiança és independent de l'aplicació del règim sancionador.

Article 17. Informació i col·laboració

1. Els prestadors de serveis de confiança, l'entitat nacional d'acreditació, els organismes d'avaluació de la conformitat, els organismes de certificació i qualsevol altra persona o entitat relacionada amb el prestador de serveis de confiança, tenen l'obligació de facilitar al Ministerio de Asuntos Económicos y Transformación Digital tota la informació i col·laboració necessàries per a l'exercici de les seves funcions. Els prestadors de serveis de confiança hauran de permetre als seus funcionaris o al personal inspector l'accés a les seves instal·lacions i la consulta de qualsevol documentació rellevant per a la inspecció.

2. La informació referent als prestadors qualificats de serveis de confiança podrà ser objecte de publicació en la direcció d'Internet del Ministerio de Asuntos Económicos y Transformación Digital per a la seva difusió i coneixement.

3. Com a molt tard l'1 de febrer de cada any, els prestadors qualificats de serveis de confiança remetran al Ministerio de Asuntos Económicos y Transformación Digital un informe sobre les seves dades d'activitat de l'any civil precedent.

4. El Ministerio de Asuntos Económicos y Transformación Digital informarà la Agencia Española de Protección de Datos en cas que resultin infringides les normes sobre protecció de dades de caràcter personal, així com sobre els incidents en matèria de seguretat que impliquin violacions de les dades de caràcter personal.

Article 18. Infraccions

1. Les infraccions dels preceptes del Reglament (UE) 910/2014 i d'aquesta Llei es classifiquen en molt greus, greus i lleus.

2. Són infraccions molt greus: a) La comissió d'una infracció greu en el termini de dos anys des que hagués estat sancionat per una infracció greu de la mateixa naturalesa. b) L'expedició de certificats qualificats sense realitzar totes les comprovacions prèvies relatives a la identitat o altres circumstàncies del titular del certificat o al poder de representació de qui ho sol·licita en el seu nom, quan afecti la majoria dels certificats qualificats expedits en l'any anterior a l'inici del procediment sancionador.

3. Són infraccions greus: a) La resistència, obstrucció, excusa o negativa a l'actuació inspectora. b) Actuar en el mercat com a prestador qualificat de serveis de confiança, oferir serveis de confiança com a qualificats o utilitzar l'etiqueta de confiança «UE» sense haver obtingut la qualificació dels serveis esmentats. c) En cas que el prestador expedeixi certificats electrònics, emmagatzemar o copiar, per si mateix o a través d'un tercer, les dades de creació de signatura, segell o autenticació de lloc web. d) No protegir adequadament les dades de creació de signatura, segell o autenticació de lloc web la gestió de les quals li hagi estat encomanada. e) No registrar o conservar la informació a la qual es refereix l'article 9.3.a) d'aquesta Llei. f) L'incompliment de l'obligació de notificació d'incidents establerta en l'article 19.2 del Reglament (UE) 910/2014. g) En cas de prestadors qualificats, l'incompliment d'alguna de les obligacions establertes en els articles 24.2, lletres b), c), d), e), f), g), h) i k), 24.3 i 24.4 del Reglament (UE) 910/2014. h) L'expedició de certificats qualificats sense realitzar totes les comprovacions prèvies relatives a la identitat, quan no constitueixi infracció molt greu. i) L'absència d'adopció de mesures, o l'adopció de mesures insuficients, per a la resolució dels incidents de seguretat en el termini de deu dies. j) L'incompliment de les resolucions dictades pel Ministerio de Asuntos Económicos y Transformación Digital. k) La falta o deficient presentació d'informació sol·licitada pel Ministerio a partir del segon requeriment. l) No complir amb les obligacions de constatar la veritable identitat del titular d'un certificat electrònic en cas de consignació d'un pseudònim. m) L'incompliment de l'obligació d'adoptar mesures tècniques i organitzatives adequades per gestionar els riscos. n) No extingir la vigència dels certificats electrònics en els supòsits assenyalats en aquesta Llei. o) La prestació de serveis qualificats sense disposar de la corresponent assegurança obligatòria.

4. Constitueixen infraccions lleus: a) Publicar informació no veraç o no d'acord amb aquesta Llei i el Reglament (UE) 910/2014. b) No comunicar l'inici d'activitat, la seva modificació o cessament pels prestadors de serveis no qualificats en el termini establert. c) L'incompliment per part dels prestadors qualificats d'alguna de les obligacions establertes en l'article 24.2, lletres a) i i) del Reglament (UE) 910/2014. d) L'incompliment per part dels prestadors qualificats de l'obligació de remetre un informe anual d'activitat. e) L'incompliment del deure de comunicació establert en l'article 9.3.c) d'aquesta Llei. f) La falta o deficient presentació d'informació sol·licitada pel Ministerio de Asuntos Económicos y Transformación Digital.

Article 19. Sancions

1. Per la comissió d'infraccions recollides en l'article anterior, s'imposaran a l'infractor les sancions següents: a) Per la comissió d'infraccions molt greus, una multa per import de 150.001 fins a 300.000 euros. b) Per la comissió d'infraccions greus, una multa per import de 50.001 fins a 150.000 euros. c) Per la comissió d'infraccions lleus, una multa per import de fins a 50.000 euros.

2. La quantia de les sancions que s'imposin es determinarà aplicant una graduació d'import mínim, mitjà i màxim a cada nivell d'infracció, tenint en compte: a) El grau de culpabilitat o l'existència d'intencionalitat. b) La continuïtat o persistència en la conducta infractora. c) La naturalesa i quantia dels perjudicis causats. d) La reincidència. e) El volum de facturació del prestador responsable. f) El nombre de persones afectades per la infracció. g) La gravetat del risc generat per la conducta. h) Les accions realitzades pel prestador encaminades a pal·liar els efectes o conseqüències de la infracció.

3. Les resolucions sancionadores per la comissió d'infraccions molt greus seran publicades al lloc d'Internet del Ministerio de Asuntos Económicos y Transformación Digital.

Article 19 bis. Advertiment

1. Els òrgans amb competència sancionadora, atesa la naturalesa dels fets i la concurrència significativa dels criteris establerts en l'article anterior, podran acordar no iniciar l'obertura del procediment sancionador i, en el seu lloc, advertir el subjecte responsable, a fi que en el termini que l'òrgan sancionador determini, acrediti l'adopció de les mesures correctores que, en cada cas, resultin pertinents, sempre que els fets fossin constitutius d'infracció lleu o greu conforme al que disposa aquesta llei.

2. Si l'advertiment no fos atès en el termini que l'òrgan sancionador hagués determinat, procedirà l'obertura del corresponent procediment sancionador per aquest incompliment.

Article 20. Potestat sancionadora

1. La imposició de sancions per l'incompliment del que preveu aquesta llei correspondrà, en el cas d'infraccions molt greus, a la persona titular del Ministerio de Asuntos Económicos y Transformación Digital, i en el d'infraccions greus i lleus, a la persona titular de la Secretaría de Estado de Digitalización e Inteligencia Artificial.

2. La potestat sancionadora regulada en aquesta llei s'exercirà de conformitat amb el que estableix la Llei 39/2015, d'1 d'octubre, del Procediment Administratiu Comú de les Administracions Públiques, i en les seves normes de desenvolupament. El procediment tindrà una durada màxima de nou mesos a comptar des de la data de l'acord d'iniciació. El termini màxim de durada del procediment simplificat serà de tres mesos.