Servicios de confianza: la Ley 6/2020

La norma española que hoy regula esta materia es la Ley 6/2020, reguladora de determinados aspectos de los servicios electrónicos de confianza. El detalle importante está en el nombre: «determinados aspectos». No es una ley completa de firma electrónica, porque la regulación de fondo ya la hace una norma europea de aplicación directa, el Reglamento (UE) 910/2014. El objetivo de la Ley es complementar ese Reglamento.

La Ley 6/2020 es de 11 de noviembre, y su efecto derogatorio es lo que más se pregunta: deja sin vigencia la Ley 59/2003, de 19 de diciembre, de firma electrónica. Quien estudie con material antiguo se encontrará esa ley por todas partes, y contestarla hoy es un fallo seguro.

El Reglamento (UE) 910/2014 persigue regular la identificación y los servicios de confianza electrónicos armonizando y facilitando el uso transfronterizo de los servicios en línea, y con ello contribuir al desarrollo del mercado digital. Es decir, la idea de fondo es que un certificado emitido en un Estado miembro sirva en los demás.

La Ley 6/2020 deroga la Ley 59/2003, de 19 de diciembre, de firma electrónica.

Un servicio electrónico de confianza puede ser cualificado o no cualificado. La diferencia no está en la tecnología, sino en las consecuencias jurídicas: los servicios cualificados poseen relevancia probatoria respecto de los no cualificados.

Traducido a la práctica: los dos sirven para operar, pero cuando hay que demostrar algo delante de un tercero o de un juez, el cualificado es el que sostiene la prueba. De ahí la función que la Ley les atribuye, que es reforzar la seguridad jurídica de las transacciones electrónicas entre empresas, particulares y Administraciones públicas.

Cualificado no significa «más moderno», significa mayor valor probatorio.

El Reglamento (UE) 910/2014 garantiza la equivalencia jurídica entre la firma electrónica cualificada y la firma manuscrita. Fíjate en el adjetivo: la equivalencia se predica de la cualificada. Para las demás firmas electrónicas y para los servicios electrónicos de confianza en general, el Reglamento permite a cada Estado miembro determinar sus efectos.

El segundo punto que se falla es quién puede firmar. Solo las personas físicas están capacitadas para firmar electrónicamente: no se emiten certificados de firma a personas jurídicas ni a entidades sin personalidad jurídica. Una empresa no firma, porque una empresa no tiene manos.

Para eso existe una figura distinta, el sello electrónico, que es el instrumento de las personas jurídicas y que garantiza la autenticidad y la integridad de los documentos.

La Ley introduce varias disposiciones sobre la expedición y el contenido de los certificados cualificados. La cifra que hay que llevarse es el tiempo máximo de vigencia, que se mantiene en cinco años.

La otra regla es la del «encadenamiento». Renovar un certificado usando como prueba de identidad otro certificado que todavía está vigente es cómodo, pero si se hiciera indefinidamente, la identidad real del titular podría no volver a comprobarse nunca. Por eso no se permite a los prestadores encadenar renovaciones con un certificado vigente más que una sola vez, por razones de seguridad en el tráfico jurídico.

Cinco años de vigencia máxima y una sola renovación encadenada.

La regla general para expedir un certificado cualificado es comprobar la identidad del solicitante en persona. El Reglamento (UE) 910/2014 abre, sin perjuicio de lo anterior, otra posibilidad: verificar esa identidad utilizando otros métodos de identificación reconocidos a escala nacional.

La condición no es menor, y es la que se pregunta: esos métodos tienen que garantizar una seguridad equivalente, en términos de fiabilidad, a la presencia física. No basta con que sean cómodos o rápidos.

Prestar servicios cualificados de confianza obliga a constituir una garantía económica. La razón es sencilla: si un prestador se equivoca al identificar a alguien o pierde el control de sus claves, el daño puede ser enorme, y tiene que haber respaldo con el que responder.

La cuantía se construye en dos tramos. Hay una cuantía mínima única de 1.500.000 euros, y a partir de ahí se incrementa en 500.000 euros por cada tipo de servicio adicional que se preste. Está pensada para cubrir los riesgos del servicio teniendo en cuenta la diversidad de servicios del mercado, y para no penalizar a los prestadores con mayor oferta.

1.500.000 euros de mínimo y 500.000 euros más por cada tipo de servicio adicional.

El prestador tiene que avisar al principio, mantener un servicio abierto durante toda su actividad, y avisar también al final. Conviene estudiarlo así, como un ciclo, porque los dos plazos se parecen y se confunden entre sí.

Tres meses para avisar de que empiezas, dos meses de antelación para avisar de que lo dejas.