LEY MODELO DE LA CNUDMI SOBRE LAS FIRMAS ELECTRÓNICAS 2001

Ley Modelo de la CNUDMI sobre Firmas Electrónicas con la Guía para su incorporación al derecho interno 2001

NACIONES UNIDAS
Nueva York, 2002

Resolución aprobada por la Asamblea General [sobre la base del informe de la Sexta Comisión (A/56/588)] 56/80 Ley Modelo sobre las Firmas Electrónicas de la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional

La Asamblea General, Recordando su resolución 2205 (XXI), de 17 de diciembre de 1966, por la que estableció la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional con el mandato de fomentar la armonización y la unificación progresivas del derecho mercantil internacional y de tener presente, a ese respecto, el interés de todos los pueblos, en particular el de los países en desarrollo, en el progreso amplio del comercio internacional,

Observando que un número creciente de transacciones comerciales internacionales se realizan por el medio de comunicación habitualmente conocido como comercio electrónico, en el que se usan métodos de comunicación, almacenamiento y autenticación de la información sustitutivos de los que utilizan papel,

Recordando la recomendación relativa al valor jurídico de los registros computadorizados aprobada por la Comisión en su 18.° período de sesiones, celebrado en 1985, y el apartado b) del párrafo 5 de la resolución 40/71 de la Asamblea General, de 11 de diciembre de 1985, en la que la Asamblea pidió a los gobiernos y a las organizaciones internacionales que, cuando así convenga, adopten medidas acordes con las recomendaciones de la Comisión 1 a fin de garantizar la seguridad jurídica en el contexto de la utilización más amplia posible del procesamiento automático de datos en el comercio internacional,

Recordando también que la Ley Modelo sobre Comercio Electrónico fue aprobada por la Comisión en su 29.° período de sesiones, celebrado en 19962, y complementada por un nuevo artículo 5 bis, aprobado por la Comisión en su 31.° período de sesiones, celebrado en 19983, y recordando el párrafo 2 de la resolución 51/162 de la Asamblea General, de 16 de diciembre de 1996, en la que la Asamblea recomendaba que todos los Estados consideraran de manera favorable la Ley Modelo cuando promulgaran o revisaran sus leyes, habida cuenta de la necesidad de que el derecho aplicable a los métodos de comunicación y almacenamiento de información sustitutivos de los que utilizan papel sea uniforme, convencida de que la Ley Modelo sobre Comercio Electrónico es de considerable utilidad para los Estados al posibilitar o facilitar la utilización del comercio electrónico, como demuestra la incorporación de esta Ley Modelo al derecho interno de un cierto número de países y su reconocimiento universal como referencia esencial en lo relativo a la legislación sobre el comercio electrónico,

Consciente de la gran utilidad de las nuevas tecnologías de identificación personal utilizadas en el comercio electrónico, generalmente conocidas como firmas electrónicas,

Deseosa de desarrollar los principios fundamentales enunciados en el artículo 7 de la Ley Modelo sobre Comercio Electrónico con respecto al cumplimiento de la función de la firma en las operaciones de comercio electrónico, con miras a fomentar la confianza en las firmas electrónicas para que surtan efectos jurídicos cuando sean el equivalente funcional de las firmas manuales,

Convencida de que la armonización tecnológicamente neutral de ciertas normas relativas al reconocimiento jurídico de las firmas electrónicas y el establecimiento de un método para evaluar de un modo tecnológicamente neutral la fiabilidad práctica y la idoneidad comercial de las técnicas de firma electrónica darán una mayor certidumbre jurídica al comercio electrónico,

Estimando que la Ley Modelo sobre las Firmas Electrónicas constituirá un útil complemento de la Ley Modelo sobre Comercio Electrónico y ayudará en gran medida a los Estados a formular legislación que regule la utilización de técnicas modernas de autenticación y a mejorar la legislación ya existente,

Considerando que la elaboración de legislación modelo que facilite la utilización de las firmas electrónicas de forma que sea aceptable para Estados con distintos ordenamientos jurídicos, sociales y económicos podría contribuir al fomento de relaciones económicas armoniosas en el plano internacional,

1. Expresa su gratitud a la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional por haber completado y aprobado la Ley Modelo sobre las Firmas Electrónicas que figura en el anexo a la presente resolución y por haber preparado la Guía para la incorporación de la Ley Modelo al derecho interno;

2. Recomienda que todos los Estados consideren de manera favorable la Ley Modelo sobre las Firmas Electrónicas, junto con la Ley Modelo sobre Comercio Electrónico aprobada en 1996 y complementada en 1998, cuando promulguen o revisen sus leyes, habida cuenta de la necesidad de que el derecho aplicable a los métodos de comunicación, almacenamiento y autenticación de la información sustitutivos de los que utilizan papel sea uniforme;

3. Recomienda también que se haga todo lo posible por promover el conocimiento y la disponibilidad generales de la Ley Modelo sobre Comercio Electrónico y de la Ley Modelo sobre las Firmas Electrónicas, junto con sus respectivas Guías para la incorporación al derecho interno.

85ª sesión plenaria

12 de diciembre de 2001

Primera parte. Ley Modelo de la CNUDMI sobre las Firmas Electrónicas (2001)

Artículo 1. Ámbito de aplicación

La presente Ley será aplicable en todos los casos en que se utilicen firmas electrónicas en el contexto (1) de actividades comerciales (2). No derogará ninguna norma jurídica destinada a la protección del consumidor.

Artículo 2. Definiciones

Para los fines de la presente Ley:

a) Por «firma electrónica» se entenderán los datos en forma electrónica consignados en un mensaje de datos, o adjuntados o lógicamente asociados al mismo, que puedan ser utilizados para identificar al firmante en relación con el mensaje de datos e indicar que el firmante aprueba la información recogida en el mensaje de datos;

b) Por «certificado» se entenderá todo mensaje de datos u otro registro que confirme el vínculo entre un firmante y los datos de creación de la firma;

c) Por «mensaje de datos» se entenderá la información generada, enviada, recibida o archivada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el intercambio electrónico de datos (EDI), el correo electrónico, el telegrama, el télex o el telefax;

d) Por «firmante» se entenderá la persona que posee los datos de creación de la firma y que actúa por cuenta propia o por cuenta de la persona a la que representa;

e) Por «prestador de servicios de certificación» se entenderá la persona que expide certificados y puede prestar otros servicios relacionados con las firmas electrónicas;

f) Por «parte que confía» se entenderá la persona que pueda actuar sobre la base de un certificado o de una firma electrónica.

Artículo 3. Igualdad de tratamiento de las tecnologías para la firma

Ninguna de las disposiciones de la presente Ley, con la excepción del artículo 5, será aplicada de modo que excluya, restrinja o prive de efecto jurídico cualquier método para crear una firma electrónica que cumpla los requisitos enunciados en el párrafo 1) del artículo 6 o que cumpla de otro modo los requisitos del derecho aplicable.

Artículo 4. Interpretación

1. En la interpretación de la presente Ley se tendrán en cuenta su origen internacional y la necesidad de promover la uniformidad en su aplicación y de asegurar la observancia de la buena fe.

2. Las cuestiones relativas a las materias que se rigen por la presente Ley que no estén expresamente resueltas en ella se dirimirán de conformidad con los principios generales en los que se basa esta Ley.

Artículo 5. Modificación mediante acuerdo

Las partes podrán establecer excepciones a la presente Ley o modificar sus efectos mediante acuerdo, salvo que ese acuerdo no sea válido o eficaz conforme al derecho aplicable.

Artículo 6. Cumplimiento del requisito de firma

1. Cuando la ley exija la firma de una persona, ese requisito quedará cumplido en relación con un mensaje de datos si se utiliza una firma electrónica que, a la luz de todas las circunstancias del caso, incluido cualquier acuerdo aplicable, sea fiable y resulte igualmente apropiada para los fines con los cuales se generó o comunicó ese mensaje.

2. El párrafo 1) será aplicable tanto si el requisito a que se refiere está expresado en forma de una obligación como si la ley simplemente prevé consecuencias para el caso de que no haya firma.

3. La firma electrónica se considerará fiable a los efectos del cumplimiento del requisito a que se refiere el párrafo 1) si:

a) los datos de creación de la firma, en el contexto en que son utilizados, corresponden exclusivamente al firmante;

b) los datos de creación de la firma estaban, en el momento de la firma, bajo el control exclusivo del firmante;

c) es posible detectar cualquier alteración de la firma electrónica hecha después del momento de la firma; y

d) cuando uno de los objetivos del requisito legal de firma consista en dar seguridades en cuanto a la integridad de la información a que corresponde, es posible detectar cualquier alteración de esa información hecha después del momento de la firma.

4. Lo dispuesto en el párrafo 3) se entenderá sin perjuicio de la posibilidad de que cualquier persona:

a) demuestre de cualquier otra manera, a los efectos de cumplir el requisito a que se refiere el párrafo 1), la fiabilidad de una firma electrónica; o

b) aduzca pruebas de que una firma electrónica no es fiable.

5. Lo dispuesto en el presente artículo no será aplicable a: [Y].

Artículo 7. Cumplimiento de lo dispuesto en el artículo 6

1. [La persona, el órgano o la entidad, del sector público o privado, a que el Estado promulgante haya expresamente atribuido competencia] podrá determinar qué firmas electrónicas cumplen lo dispuesto en el artículo 6 de la presente Ley.

2. La determinación que se haga con arreglo al párrafo 1) deberá ser compatible con las normas o criterios internacionales reconocidos.

3. Lo dispuesto en el presente artículo se entenderá sin perjuicio de la aplicación de las normas del derecho internacional privado.

Artículo 8. Proceder del firmante

1. Cuando puedan utilizarse datos de creación de firmas para crear una firma con efectos jurídicos, cada firmante deberá:

a) actuar con diligencia razonable para evitar la utilización no autorizada de sus datos de creación de la firma;

b) sin dilación indebida, utilizar los medios que le proporcione el prestador de servicios de certificación conforme al artículo 9 de la presente Ley, o en cualquier caso esforzarse razonablemente, para dar aviso a cualquier persona que, según pueda razonablemente prever el firmante, pueda considerar fiable la firma electrónica o prestar servicios que la apoyen si:

i) el firmante sabe que los datos de creación de la firma han quedado en entredicho; o

ii) las circunstancias de que tiene conocimiento el firmante dan lugar a un riesgo considerable de que los datos de creación de la firma hayan quedado en entredicho;

c) cuando se emplee un certificado para refrendar la firma electrónica, actuar con diligencia razonable para cerciorarse de que todas las declaraciones que haya hecho en relación con el ciclo vital del certificado o que hayan de consignarse en él son exactas y cabales.

2. Serán de cargo del firmante las consecuencias jurídicas que entrañe el hecho de no haber cumplido los requisitos enunciados en el párrafo 1).

Artículo 9. Proceder del prestador de servicios de certificación

1. Cuando un prestador de servicios de certificación preste servicios para apoyar una firma electrónica que pueda utilizarse como firma con efectos jurídicos, ese prestador de servicios de certificación deberá:

a) actuar de conformidad con las declaraciones que haga respecto de sus normas y prácticas;

b) actuar con diligencia razonable para cerciorarse de que todas las declaraciones importantes que haya hecho en relación con el ciclo vital del certificado o que estén consignadas en él son exactas y cabales;

c) proporcionar a la parte que confía en el certificado medios razonablemente accesibles que permitan a ésta determinar mediante el certificado:

i) la identidad del prestador de servicios de certificación;

ii) que el firmante nombrado en el certificado tenía bajo su control los datos de creación de la firma en el momento en que se expidió el certificado;

iii) que los datos de creación de la firma eran válidos en la fecha en que se expidió el certificado o antes de ella;

d) proporcionar a la parte que confía en el certificado medios razonablemente accesibles que, cuando proceda, permitan a ésta determinar mediante el certificado o de otra manera:

i) el método utilizado para comprobar la identidad del firmante;

ii) cualquier limitación de los fines o del valor respecto de los cuales puedan utilizarse los datos de creación de la firma o el certificado;

iii) si los datos de creación de la firma son válidos y no están en entredicho;

iv) cualquier limitación del alcance o del grado de responsabilidad que haya establecido el prestador de servicios de certificación;

v) si existe un medio para que el firmante dé aviso de que los datos de creación de la firma están en entredicho, conforme a lo dispuesto en el apartado b) del párrafo 1) del artículo 8 de la presente Ley;

vi) si se ofrece un servicio para revocar oportunamente el certificado;

e) cuando se ofrezcan servicios conforme al inciso v) del apartado d), proporcionar un medio para que el firmante dé aviso conforme al apartado b) del párrafo 1) del artículo 8 de la presente Ley y, cuando se ofrezcan servicios en virtud del inciso vi) del apartado d), cerciorarse de que existe un servicio para revocar oportunamente el certificado;

f) utilizar, al prestar sus servicios, sistemas, procedimientos y recursos humanos fiables.

2. Serán de cargo del prestador de servicios de certificación las consecuencias jurídicas que entrañe el hecho de no haber cumplido los requisitos enunciados en el párrafo 1).

Artículo 10. Fiabilidad

A los efectos del apartado f) del párrafo 1) del artículo 9, para determinar si los sistemas, procedimientos o recursos humanos utilizados por un prestador de servicios de certificación son fiables, y en qué medida lo son, podrán tenerse en cuenta los factores siguientes:

a) los recursos humanos y financieros, incluida la existencia de activos;

b) la calidad de los sistemas de equipo y programas informáticos;

c) los procedimientos para la tramitación del certificado y las solicitudes de certificados, y la conservación de registros;

d) la disponibilidad de información para los firmantes nombrados en el certificado y para las partes que confíen en éste;

e) la periodicidad y el alcance de la auditoria realizada por un órgano independiente;

f) la existencia de una declaración del Estado, de un órgano de acreditación o del prestador de servicios de certificación respecto del cumplimiento o la existencia de los factores que anteceden; o

g) cualesquiera otros factores pertinentes.

Artículo 11. Proceder de la parte que confía en el certificado

Serán de cargo de la parte que confía en el certificado las consecuencias jurídicas que entrañe el hecho de que no haya tomado medidas razonables para:

a) verificar la fiabilidad de la firma electrónica; o

b) cuando la firma electrónica esté refrendada por un certificado:

i) verificar la validez, suspensión o revocación del certificado; y

ii) tener en cuenta cualquier limitación en relación con el certificado.

Artículo 12. Reconocimiento de certificados extranjeros y de firmas electrónicas extranjeras

1. Al determinar si un certificado o una firma electrónica producen efectos jurídicos, o en qué medida los producen, no se tomará en consideración:

a) el lugar en que se haya expedido el certificado o en que se haya creado o utilizado la firma electrónica; ni

b) el lugar en que se encuentre el establecimiento del expedidor o del firmante.

2. Todo certificado expedido fuera [del Estado promulgante] producirá los mismos efectos jurídicos en [el Estado promulgante] que todo certificado expedido en [el Estado promulgante ] si presenta un grado de fiabilidad sustancialmente equivalente.

3. Toda firma electrónica creada o utilizada fuera [del Estado promulgante ] producirá los mismos efectos jurídicos en [el Estado promulgante ] que toda firma electrónica creada o utilizada en [el Estado promulgante ] si presenta un grado de fiabilidad sustancialmente equivalente.

4. A efectos de determinar si un certificado o una firma electrónica presentan un grado de fiabilidad sustancialmente equivalente para los fines de párrafo 2), o del párrafo 3), se tomarán en consideración las normas internacionales reconocidas y cualquier otro factor pertinente.

5. Cuando, sin perjuicio de lo dispuesto en los párrafos 2), 3) y 4), las partes acuerden entre sí la utilización de determinados tipos de firmas electrónicas o certificados, se reconocerá que ese acuerdo es suficiente a efectos del reconocimiento transfronterizo, salvo que el acuerdo no sea válido o eficaz conforme al derecho aplicable.

———————————————————————————————-

(1) La Comisión propone el texto siguiente para los Estados que deseen ampliar el ámbito de aplicación de la presente Ley:

La presente Ley será aplicable en todos los casos en que se utilicen firmas electrónicas, excepto en las situaciones siguientes: [ Y] .

(2) El término «comercial» deberá ser interpretado en forma lata de manera que abarque las cuestiones que dimanen de toda relación de índole comercial, sea o no contractual. Las relaciones de índole comercial comprenden, aunque no exclusivamente, las operaciones siguientes: toda operación comercial de suministro o intercambio de bienes o servicios; acuerdos de distribución; representación o mandato comercial; facturaje (Afactoring@) ; arrendamiento con opción de compra (Aleasing@); construcción de obras; consultoría; ingeniería; concesión de licencias; inversiones; financiación; banca; seguros; acuerdos o concesiones de explotación; empresas conjuntas y otras formas de cooperación industrial o comercial; transporte de mercancías o de pasajeros por vía aérea, marítima y férrea o por carretera.
————————————————————————————————-

Segunda parte. Guía para la incorporación de la Ley Modelo de la CNUDMI para las Firmas Electrónicas (2001) al derecho interno

Finalidad de la presente guía

1. Al preparar y aprobar la Ley Modelo de la CNUDMI para las Firmas Electrónicas (también denominada en la presente publicación «Ley Modelo» o «nueva Ley Modelo»), la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional (CNUDMI) tuvo presente que la Ley Modelo ganaría eficacia para los Estados que fueran a modernizar su legislación si se facilitaba a los órganos ejecutivos y legislativos de los Estados la debida información de antecedentes y explicativa que les ayudara a aplicar la Ley Modelo. La Comisión fue además consciente de la probabilidad de que la Ley Modelo fuera aplicada por algunos Estados poco familiarizados con las técnicas de comunicación reguladas en la Ley Modelo. La presente Guía, que en gran parte está inspirada en los trabajos preparatorios de la Ley Modelo, servirá también para orientar a otros usuarios del texto, como jueces, árbitros, profesionales y miembros del mundo académico.

Esa información podría también ayudar a los Estados a determinar si existe alguna disposición de la Ley Modelo que tal vez conviniera modificar en razón de alguna circunstancia nacional particular. En la preparación de la Ley Modelo se partió del supuesto de que el proyecto de Ley Modelo iría acompañado de una guía. Por ejemplo, se decidió que ciertas cuestiones no serían resueltas en el texto de la Ley Modelo sino en la guía que había de orientar a los Estados en la incorporación de la Ley Modelo a su derecho interno. En la información presentada en esta Guía se explica cómo las disposiciones incluidas en la Ley Modelo enuncian los rasgos mínimos esenciales de un instrumento legislativo destinado a lograr los objetivos de la Ley Modelo.

2. La presente Guía para la incorporación al derecho interno de la Ley Modelo ha sido preparada por la Secretaría conforme a la solicitud formulada por la CNUDMI en la clausura de su 34.º período de sesiones, celebrado en 2001. Está basada en las deliberaciones y decisiones de la Comisión en dicho período de sesiones (1), en el que se aprobó la Ley Modelo, así como en las observaciones del Grupo de Trabajo sobre Comercio Electrónico, que llevó a cabo la labor preparatoria.

Capítulo I. Introducción a la Ley Modelo

I. Finalidad y origen de la Ley Modelo

A. Finalidad

3. El creciente empleo de técnicas de autenticación electrónica en sustitución de las firmas manuscritas y de otros procedimientos tradicionales de autenticación ha planteado la necesidad de crear un marco jurídico específico para reducir la incertidumbre con respecto a las consecuencias jurídicas que pueden derivarse del empleo de dichas técnicas modernas (a las que puede denominarse en general «firmas electrónicas»). El riesgo de que distintos países adopten criterios legislativos diferentes en relación con las firmas electrónicas exige disposiciones legislativas uniformes que establezcan las normas básicas de lo que constituye en esencia un fenómeno internacional, en el que es fundamental la armonía jurídica y la interoperabilidad técnica.

4. Partiendo de los principios fundamentales que subyacen tras el artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico (denominada siempre en la presente publicación con su nombre completo para evitar confusiones) con respecto al cumplimiento de la función de la firma en el ámbito electrónico, la finalidad de esta nueva Ley Modelo es ayudar a los Estados a establecer un marco legislativo moderno, armonizado y equitativo para abordar de manera más eficaz las cuestiones relativas a las firmas electrónicas. Como complemento modesto pero importante de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, la nueva Ley Modelo ofrece normas prácticas para comprobar la fiabilidad técnica de las firmas electrónicas. Además, ofrece un vínculo entre dicha fiabilidad técnica y la eficacia jurídica que cabe esperar de una determinada firma electrónica. La Ley Modelo supone una contribución importante a la Ley Modelo de la CNUDMI sobre Comercio Electrónico al adoptar un criterio conforme al cual puede determinarse previamente (o evaluarse con anterioridad a su empleo) la eficacia jurídica de una determinada técnica de creación de una , firma electrónica. Así pues, la Ley Modelo tiene como finalidad mejorar el entendimiento de las firmas electrónicas y la seguridad de que puede confiarse en determinadas técnicas de creación de firma electrónica en operaciones de importancia jurídica. Además, al establecer con la flexibilidad conveniente una serie de normas básicas de conducta para las diversas partes que puedan participar en el empleo de firmas electrónicas (es decir, firmantes, terceros que actúen confiando en el certificado y terceros prestadores de servicios), la Ley Modelo puede ayudar a configurar prácticas comerciales más armoniosas en el ciberespacio.

5. Los objetivos de la Ley Modelo, entre los que figuran el de permitir o facilitar el empleo de firmas electrónicas y el de conceder igualdad de trato a los usuarios de documentación consignada sobre papel y a los de información consignada en soporte informático, son fundamentales para promover la economía y la eficiencia del comercio internacional. Al incorporar a su derecho interno los procedimientos que se recogen en la Ley Modelo (y la Ley Modelo de la CNUDMI sobre Comercio Electrónico) para todo supuesto en que las partes opten por emplear medios electrónicos de comunicación, el Estado promulgante creará un entorno jurídico neutro para todo medio técnicamente viable de comunicación comercial.

Este enfoque neutral con los medios técnicos, utilizado también en la Ley Modelo de la CNUDMI sobre Comercio Electrónico, tiene la finalidad de abarcar, en principio, todas las situaciones de hecho en que se genera, archiva o comunica información, con independencia de cuál sea el soporte en el que se consigne la información (véase la Guía para la incorporación al derecho interno de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, párr. 24). Las palabras «entorno jurídico neutro», utilizadas en la Ley Modelo de la CNUDMI sobre Comercio Electrónico, reflejan el principio de la no discriminación entre la información consignada sobre papel y la información comunicada o archivada electrónicamente. La nueva Ley Modelo refleja asimismo el principio de que no debe discriminarse ninguna de las diversas técnicas que pueden utilizarse para comunicar o archivar electrónicamente información, un principio a veces denominado «de neutralidad tecnológica» (A/CN.9/484, párr. 23).

B. Antecedentes

6. La Ley Modelo supone un nuevo paso en una serie de instrumentos internacionales aprobados por la CNUDMI, que se centran especialmente en las necesidades del comercio electrónico o que se prepararon teniendo en cuenta las necesidades de los medios de comunicación modernos. Dentro de la primera categoría, la de instrumentos concretos adaptados al comercio electrónico, se encuentra la Guía jurídica de la CNUDMI sobre transferencias electrónicas de fondos (1987), la Ley Modelo de la CNUDMI sobre Transferencias Internacionales de Crédito (1992) y la Ley Modelo de la CNUDMI sobre Comercio Electrónico (1996 y 1998). En la segunda categoría figuran todas las convenciones y convenios internacionales y demás instrumentos legislativos aprobados por la CNUDMI desde 1978, en todos los cuales se promueve un menor formalismo y se recogen definiciones de «escrito» cuya finalidad es abarcar las comunicaciones inmateriales.

7. El instrumento más conocido de la CNUDMI en el ámbito del comercio electrónico es la Ley Modelo de la CNUDMI sobre Comercio Electrónico. Su preparación a comienzos del decenio de 1990 fue consecuencia del creciente empleo de medios modernos de comunicación, tales como el correo electrónico y el intercambio electrónico de datos (EDI) para la realización de operaciones comerciales internacionales. Se vio que las nuevas tecnologías se habían desarrollado con rapidez y seguirían desarrollándose a medida que continuara difundiéndose el acceso a soportes técnicos como las autopistas de la información y la Internet. No obstante, la comunicación de datos de cierta transcendencia jurídica en forma de mensaje sin soporte de papel podría verse obstaculizada por ciertos impedimentos legales al empleo de mensajes electrónicos, o por la incertidumbre que pudiera haber sobre la validez o eficacia jurídica de esos mensajes. La CNUDMI ha preparado la Ley Modelo de la CNUDMI sobre Comercio Electrónico para facilitar el creciente empleo de los medios de comunicación modernos. La finalidad de la Ley Modelo de la CNUDMI sobre Comercio Electrónico es la de ofrecer al legislador nacional un conjunto de reglas aceptables en el ámbito internacional que le permitan eliminar algunos de esos obstáculos jurídicos con miras a crear un marco jurídico que permita un desarrollo más seguro de las vías electrónicas de negociación designadas por el nombre de «comercio electrónico».

8. La decisión de la CNUDMI de formular un régimen legal modelo para el comercio electrónico se debió a que el régimen aplicable en ciertos países a la comunicación y archivo de información era inadecuado o se había quedado anticuado, al no haberse previsto en ese régimen las modalidades propias del comercio electrónico. En algunos casos, la legislación vigente impone o supone restricciones al empleo de los medios de comunicación modernos, por ejemplo, al prescribir el empleo de documentos «escritos», «firmados» u «originales». Con respecto a los conceptos de documentos «escritos», «firmados» u «originales», la Ley Modelo de la CNUDMI sobre Comercio Electrónico adoptó un enfoque basado en la equivalencia funcional.

El «criterio de la equivalencia funcional» se basa en un análisis de los objetivos y funciones del requisito tradicional de la presentación de un escrito consignado sobre papel con miras a determinar la manera de satisfacer sus objetivos y funciones con técnicas del llamado comercio electrónico (véase la Guía para la incorporación al derecho interno de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, párrs. 15 a 18).

9. Cuando se estaba preparando la Ley Modelo de la CNUDMI sobre Comercio Electrónico, unos cuantos países habían adoptado reglas especiales para regular determinados aspectos del comercio electrónico. Pero no existía una legislación general del comercio electrónico. De ello podría resultar incertidumbre acerca de la naturaleza jurídica y la validez de la información presentada en otra forma que no fuera la de un documento tradicional sobre papel. Además, la necesidad de un marco legal seguro y de prácticas eficientes se hacía sentir no solo en aquellos países en los que se estaba difundiendo el empleo del EDI y del correo electrónico, sino también en otros muchos países en los que se había difundido el empleo del fax, el télex y otras técnicas de comunicación parecidas. En el apartado b) del artículo 2 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico se define el EDI como «la transferencia electrónica de información de una computadora a otra, estando estructurada la información conforme a alguna norma técnica convenida al efecto».

10. Además, la Ley Modelo de la CNUDMI sobre Comercio Electrónico podía ayudar a remediar los inconvenientes que dimanaban del hecho de que un régimen legal interno inadecuado pudiera obstaculizar el comercio internacional, al depender una parte importante de ese comercio de la utilización de técnicas de comunicación modernas. En gran medida, la diversidad de los regímenes internos aplicables a esas técnicas de comunicación y la incertidumbre que ocasione esa disparidad puede contribuir a limitar el acceso de las empresas a los mercados internacionales.

11. Añádase a ello que la Ley Modelo de la CNUDMI sobre Comercio Electrónico puede resultar un valioso instrumento, en el ámbito internacional, para interpretar ciertos convenios y otros instrumentos internacionales existentes que impongan obstáculos jurídicos al empleo del comercio electrónico, al prescribir, por ejemplo, que se han de consignar por escrito ciertos documentos o cláusulas contractuales. En caso de adoptarse la Ley Modelo de la CNUDMI sobre Comercio Electrónico como regla de interpretación al respecto, los Estados partes en esos instrumentos internacionales dispondrían de un medio para reconocer la validez del comercio electrónico sin necesidad de tener que negociar un protocolo para cada uno de esos instrumentos internacionales en particular.

C. Historia

12. Tras aprobar la Ley Modelo de la CNUDMI sobre Comercio Electrónico, la Comisión, en su 29.º período de sesiones celebrado en 1996, decidió incluir en su programa las cuestiones de las firmas numéricas y las entidades certificadoras. Se pidió al Grupo de Trabajo sobre Comercio Electrónico que examinara la conveniencia y viabilidad de preparar un régimen uniforme sobre los temas mencionados. Se convino en que el régimen uniforme que había que preparar se refiriera a cuestiones tales como: la base jurídica que sustenta los procesos de certificación, incluida la tecnología incipiente de autenticación y certificación digitales; la aplicabilidad del proceso de certificación; la asignación del riesgo y la responsabilidad de los usuarios, proveedores y terceros en el contexto del uso de técnicas de certificación; las cuestiones concretas relativas a la certificación mediante el uso de registros y la incorporación por remisión (2).

13. En su 30.º período de sesiones celebrado en 1997, la Comisión tuvo ante sí el informe del Grupo de Trabajo acerca de la labor de su 31,º período de sesiones (A/CN.9/437). El Grupo de Trabajo indicó a la Comisión que había logrado un consenso en relación con la importancia y la necesidad de proceder a la armonización de la legislación en ese ámbito. El Grupo de Trabajo no había adoptado una decisión firme respecto de la forma y el contenido de su labor al respecto, si bien había llegado a la conclusión preliminar de que era viable emprender la preparación de un proyecto de régimen uniforme sobre cuestiones relacionadas con las firmas numéricas y las entidades certificadoras, y posiblemente sobre cuestiones conexas. El Grupo de Trabajo recordó que, al margen de las cuestiones de las firmas numéricas y las entidades certificadoras, también podía ser necesario examinar las cuestiones siguientes en el ámbito del comercio electrónico: alternativas técnicas a la criptografía de clave pública; cuestiones generales relacionadas con las funciones desempeñadas por los terceros proveedores de servicios; y la contratación electrónica (A/CN.9/437, párrs. 156 y 157). La Comisión hizo suyas las conclusiones a las que había llegado el Grupo de Trabajo y le encomendó la preparación de un régimen uniforme sobre las cuestiones jurídicas de las firmas numéricas y las autoridades certificadoras.

14. Con respecto a la forma y al alcance exactos del régimen uniforme, la Comisión convino de manera general en que no era posible adoptar una decisión al respecto en una etapa tan temprana. Se opinó que, si bien el Grupo de Trabajo podría concentrar su atención en las cuestiones de las firmas numéricas, en vista de la función predominante aparentemente desempeñada por la criptografía de clave pública en la práctica más reciente en materia de comercio electrónico, el régimen uniforme que se preparara debería atenerse al criterio de neutralidad adoptado en la Ley Modelo de la CNUDMI sobre Comercio Electrónico en lo relativo a los diversos medios técnicos disponibles. Por ello, el régimen uniforme no debería desalentar el recurso a otras técnicas de autenticación. Además, al ocuparse de la criptografía de clave pública, tal vez fuera preciso que el régimen uniforme diera cabida a diversos grados de seguridad y reconociera diversos efectos jurídicos y grados de responsabilidad según cuáles fueran los servicios prestados en el contexto de las firmas numéricas. Respecto de las entidades certificadoras, si bien la Comisión reconoció el valor de las normas de fiabilidad o seguridad fijadas por el mercado, predominó el parecer de que el Grupo de Trabajo podría considerar el establecimiento de un conjunto de normas mínimas que las entidades certificadoras habrían de respetar estrictamente, particularmente en casos en los que se solicitara una certificación de validez transfronteriza (3).

15. El Grupo de Trabajo empezó a preparar el régimen uniforme (que luego se aprobó con la denominación de Ley Modelo) en su 32.º período de sesiones a partir de una nota preparada por la Secretaría (A/CN.9/ WG.IV/WP.73).

16. En su 31º período de sesiones celebrado en 1998, la Comisión tuvo ante sí el informe del Grupo de Trabajo acerca de la labor de su 32.º período de sesiones (A/CN.9/446). Se observó que el Grupo de Trabajo, en sus períodos de sesiones 31.º y 32.º había tropezado con evidentes dificultades para llegar a una concepción común de las nuevas cuestiones jurídicas planteadas por la mayor utilización de las firmas numéricas y otras firmas electrónicas. Se observó también que todavía no se había llegado a un consenso respecto del modo de abordar estas cuestiones en un marco jurídico internacionalmente aceptable. No obstante, la Comisión consideró, en general, que los progresos logrados hacían pensar que el proyecto de régimen uniforme para las firmas electrónicas iba adquiriendo gradualmente una configuración viable. La Comisión reafirmó la decisión de su 30.º período de sesiones sobre la viabilidad de preparar ese régimen uniforme, e indicó que confiaba en que el Grupo de Trabajo llevaría adelante su labor en su 33.º período de sesiones sobre la base del proyecto revisado que había preparado la Secretaría (A/CN.9/WG.IV/WP.76). En el curso del debate, la Comisión observó con satisfacción que el Grupo de Trabajo gozaba de general reconocimiento como foro internacional de especial importancia para intercambiar opiniones sobre los problemas jurídicos del comercio electrónico, y para buscar soluciones a esos problemas (4).

17. El Grupo de Trabajo siguió examinando el régimen uniforme en sus períodos de sesiones 33.º, en 1998, y 34.º, en 1999, sobre la base de las notas preparadas por la Secretaría (A/CN.9/WG.IV/WP.76, A/CN.9/WG.IV/WP.79 y A/CN.9/WG.IV/WP.80). Los informes de dichos períodos de sesiones figuran en los documentos A/CN.9/454 y A/CN.9/457.

18. En su 32.º período de sesiones, en 1999, la Comisión tuvo ante sí el informe del Grupo de Trabajo acerca de la labor de esos dos períodos de sesiones (A/CN.9/454 y A/CN.9/457). La Comisión expresó su agradecimiento por los esfuerzos desplegados por el Grupo de Trabajo con miras a preparar el proyecto de régimen uniforme para las firmas electrónicas. Si bien en general se convino en que durante esos períodos de sesiones se habían logrado progresos considerables en la comprensión de las cuestiones jurídicas relativas a las firmas electrónicas, también se estimó que el Grupo de Trabajo se había enfrentado con dificultades para formar un consenso con respecto a la política legislativa en que debía basarse el régimen uniforme.

19. Se expresó la opinión de que el enfoque que actualmente adoptaba el Grupo de Trabajo no reflejaba en forma suficiente la necesidad comercial de flexibilidad en la utilización de las firmas electrónicas y otras técnicas de autenticación. Según esa opinión, el régimen uniforme, tal y como ahora lo concebía el Grupo de Trabajo, hacía demasiado hincapié en las técnicas de la firma numérica y, en el ámbito de la firma numérica, en una aplicación específica de ésta que requería la certificación de terceros. Por tanto, se sugirió que la labor del Grupo de Trabajo respecto de las firmas electrónicas se limitase a las cuestiones jurídicas de la certificación de validez transfronteriza o se aplazara completamente hasta que las prácticas del mercado se hubiesen establecido con mayor claridad. Se expresó una opinión conexa en el sentido de que, para los fines del comercio internacional, casi todas las cuestiones jurídicas emanadas de la utilización de las firmas electrónicas ya estaban resueltas en la Ley Modelo de la CNUDMI sobre Comercio Electrónico (véase más adelante el párrafo 28). Si bien podía ser necesario cierto grado de reglamentación con respecto a algunos usos de las firmas electrónicas que rebasaban el ámbito del derecho comercial, el Grupo de Trabajo no debía desempeñar ninguna función de reglamentación.

20. Según la opinión ampliamente predominante, el Grupo de Trabajo debía continuar su tarea sobre la base de su mandato original. Con respecto a la necesidad de contar con un régimen uniforme para las firmas electrónicas, se explicó que, en muchos países, las autoridades gubernamentales y legislativas que estaban preparando legislación sobre cuestiones relativas a las firmas electrónicas, incluido el establecimiento de infraestructuras de clave pública (ICP) u otros proyectos sobre cuestiones estrechamente relacionadas con éstas (véase A/CN.9/457, párr. 16), esperaban que la CNUDMI les brindara orientación. En cuanto a la decisión adoptada por el Grupo de Trabajo de concentrarse en las cuestiones y la terminología relativas a las ICP, se recordó que si bien la interacción de relaciones entre los tres tipos de partes distintas (a saber, los titulares de las claves, las entidades certificadoras y los terceros que confían en el certificado) correspondía a un posible modelo de ICP, otros modelos eran concebibles, por ejemplo, en los que no participara una entidad certificadora independiente. Una de las principales ventajas que podrían obtenerse si se centrara la atención en las cuestiones relativas a las ICP era facilitar la estructuración de la Ley Modelo mediante la referencia a tres funciones (o papeles) con respecto a los pares de claves, a saber, la función del emisor (o suscriptor) de la clave, la función de certificación y la función de confiar. Se convino en general en que esas tres funciones eran comunes a todos los modelos de ICP. Se convino también en que las tres funciones debían abordarse sin perjuicio de que las desempeñasen tres entidades distintas o que dos de esas funciones las desempeñase la misma persona (por ejemplo, cuando la entidad certificadora fuese asimismo el tercero que confían en el certificado). Además, se estimó en general que al centrar la atención en las funciones típicas de las ICP y no en un determinado modelo podría facilitarse la elaboración en una etapa ulterior de una norma plenamente neutral respecto de los medios técnicos utilizados (véase A/CN.9/457, párr. 68).

21. Tras un debate, la Comisión reafirmó sus decisiones anteriores en cuanto a la viabilidad de preparar un régimen uniforme y expresó su confianza en la posibilidad de que el Grupo de Trabajo alcanzara progresos aún mayores en sus próximos períodos de sesiones (5).

22. El Grupo de Trabajo continuó con su labor en sus períodos de sesiones 35.º, en septiembre de 1999, y 36.º, en febrero de 2000, sobre la base de las notas preparadas por la Secretaría (A/CN.9/WG.IV/WP.82 y A/CN.9/ WG.IV/WP.84). En su 33.º período de sesiones, en 2000, la Comisión tuvo ante sí el informe del Grupo de Trabajo acerca de la labor de esos dos períodos de sesiones (A/CN.9/465 y A/CN.9/467). Se observó que el Grupo de Trabajo había aprobado, en su 36.º período de sesiones, los proyectos de artículos 1 y 3 a 12 del régimen uniforme. Se dijo que quedaban algunas cuestiones que debían aclararse ante la decisión del Grupo de Trabajo de suprimir el concepto de firma electrónica refrendada del proyecto de régimen uniforme. Se expresó, la inquietud de que, dependiendo de la decisión que adoptara el Grupo de Trabajo con respecto a los proyectos de los artículos 2 y 13, pudiera ser necesario volver a examinar el resto de las disposiciones del proyecto a fin de evitar que se creara una situación en la que la norma fijada por el régimen uniforme se aplicara de forma igual a las firmas electrónicas que aseguraban un alto nivel de seguridad y a los certificados de bajo valor que pudieran emplearse en el ámbito de las comunicaciones electrónicas cuya finalidad no era producir efectos jurídicos importantes.

23. En su 33.º período de sesiones, en 2000, la Comisión expresó su reconocimiento por la labor realizada por el Grupo de Trabajo y por los progresos logrados en la preparación del proyecto de régimen uniforme. Se instó al Grupo de Trabajo a que, en su 37.º período de sesiones, finalizara la labor relativa al régimen uniforme y examinara el proyecto de guía para su incorporación al derecho interno que prepararía la Secretaría6. Al preparar la Ley Modelo, el Grupo de Trabajo señaló que sería útil ofrecer, en un comentario, información adicional sobre la Ley Modelo. Conforme al criterio seguido en la preparación de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, se apoyó en general la sugerencia de complementar la nueva Ley Modelo con una guía que orientara a los Estados en la promulgación y aplicación de la Ley Modelo. La guía, gran parte de la cual podría extraerse de los travaux préparatoires de la Ley Modelo, sería también de utilidad para otros usuarios de la Ley Modelo. La Comisión pidió al Grupo de Trabajo que examinara el proyecto de guía para la incorporación al derecho interno que preparara la Secretaría.

24. El Grupo de Trabajo concluyó la preparación del régimen uniforme en su 37.º período de sesiones (celebrado en septiembre de 2000). El informe de ese período de sesiones figura en el documento A/CN.9/483. En el contexto de sus períodos de sesiones 37.º y 38.º, el Grupo de Trabajo examinó igualmente el proyecto de guía para la incorporación al derecho interno sobre la base del proyecto preparado por la Secretaría (A/CN.9/WG.IV/WG.88). El informe del 38.º período de sesiones figura en el documento A/CN.9/484. Se pidió a la Secretaría que preparara una versión revisada del proyecto de guía que reflejase las decisiones adoptadas por el Grupo de Trabajo, sobre la base de las diversas opiniones, sugerencias y preocupaciones expresadas. Se observó que el régimen uniforme (en la forma de un proyecto de Ley Modelo de la CNUDMI para las Firmas Electrónicas), junto con el proyecto de guía para la incorporación al derecho interno, se presentaría a la Comisión para su examen y aprobación en el 34.º período de sesiones de ésta, en 2001.

25. En preparación del 34.º período de sesiones de la Comisión, se distribuyó entre todos los gobiernos y organizaciones internacionales interesadas el texto del proyecto de ley modelo para que hicieran observaciones.

En ese período de sesiones, la Comisión tuvo a su disposición los informes sobre la labor realizada por el Grupo de Trabajo en sus períodos de sesiones 37.º y 38.º, las observaciones recibidas de gobiernos y de organizaciones internacionales (A/CN.9/492 y Add.1 a 3), así como el proyecto revisado de guía preparado por la Secretaría (A/CN./493). Al principio de los trabajos, la Comisión examinó las observaciones recibidas de gobiernos y organizaciones internacionales (A/CN.9/492 y Add.1 a 3). Una vez concluido el examen de las propuestas formuladas por las delegaciones sobre la base de las observaciones presentadas por gobiernos y organizaciones internacionales interesadas, la Comisión procedió a examinar sistemáticamente los proyectos de artículo y a estudiar el proyecto de guía preparado por la Secretaría (A/CN.9/493). A reserva de las enmiendas necesarias para reflejar las deliberaciones y decisiones de la Comisión con respecto a la Ley Modelo y al propio proyecto de guía, y a reserva de los cambios de edición necesarios para mantener una terminología uniforme, la Comisión consideró que el texto del proyecto de guía cumplía adecuadamente el propósito de la Comisión de ofrecer orientación a otros usuarios de la Ley Modelo. También se pidió a la Secretaría que preparara la versión definitiva de la Guía y que la publicara conjuntamente con la Ley Modelo. La Comisión, tras examinar el texto del proyecto de ley modelo revisado por el grupo de redacción y del proyecto de guía para la incorporación al derecho interno preparado por la Secretaría (A/CN.9/493), adoptó la siguiente decisión:

«La Comisión de las Naciones Unidas para el Derecho Mercantil Internacional,

Recordando el mandato que le confió la Asamblea General en su resolución 2205 (XXI), de 17 de diciembre de 1966, de promover la armonización y unificación progresivas del derecho mercantil internacional y, a ese respecto, de tener presentes los intereses que tengan todos los pueblos, y particularmente los países en desarrollo, en un amplio desarrollo del comercio internacional,

Observando que un creciente número de operaciones de comercio internacional se realiza por medios de comunicación que se suelen denominar de 'comercio electrónico', que entrañan la utilización de formas de comunicación, almacenamiento y autenticación de información sin soporte de papel,

Recordando la recomendación sobre el valor jurídico de los registros informáticos aprobada por la Comisión en su 18.º período de sesiones, celebrado en 1985, y el apartado b) del párrafo 5 de la resolución 40/71 de la Asamblea General, de 11 de diciembre de 1985, en la que la Asamblea pidió a los gobiernos y a las organizaciones internacionales que, cuando procediera, adoptaran medidas de conformidad con la recomendación de la Comisión a fin de garantizar la seguridad jurídica en el contexto de la utilización más amplia posible del procesamiento automatizado de datos en el comercio internacional, Recordando asimismo la Ley Modelo de la CNUDMI sobre Comercio Electrónico aprobada por la Comisión en su 29.º período de sesiones, celebrado en 1996, y complementada por un nuevo artículo 5 bis aprobado por la Comisión en su 31.º período de sesiones, celebrado en 1998, Convencida de que la Ley Modelo de la CNUDMI sobre Comercio Electrónico es de considerable utilidad para los Estados al posibilitar o facilitar la utilización del comercio electrónico ayudándoles a formular legislación que regule el uso de formas de comunicación y almacenamiento de información sin soporte de papel y a mejorar la legislación ya existente, Consciente de la gran utilidad de las nuevas tecnologías de identificación personal utilizadas en el comercio electrónico, generalmente conocidas como 'firmas electrónicas',

Deseosa de desarrollar los principios fundamentales enunciados en el artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico reglamentando el cumplimiento de la función de la firma en las operaciones de comercio electrónico,

Convencida de que la armonización tecnológicamente neutral de ciertas normas relativas al reconocimiento jurídico de las firmas electrónicas dará una mayor certeza jurídica al comercio electrónico, Convencida de que la Ley Modelo de la CNUDMI sobre las Firmas Electrónicas ayudará considerablemente a los Estados a formular legislación que regule la utilización de técnicas modernas de autenticación y a mejorar la legislación ya existente,

Considerando que la elaboración de legislación modelo que facilite la utilización de las firmas electrónicas de forma que sea aceptable para Estados con distintos ordenamientos jurídicos, sociales y económicos podría contribuir al fomento de relaciones económicas armoniosas en el plano internacional,

1. Aprueba la Ley Modelo de la CNUDMI sobre las Firmas Electrónicas, que figura en el anexo II del informe de la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional sobre la labor realizada en su 34.º período de sesiones (7), junto con la Guía para la incorporación de la Ley Modelo al derecho interno;

2. Pide al Secretario General que transmita a los gobiernos y a otros órganos interesados el texto de la Ley Modelo de la CNUDMI sobre las Firmas Electrónicas, junto con la Guía para la incorporación de la Ley Modelo al derecho interno;

3. Recomienda a todos los Estados que, al formular o revisar su legislación, tengan presente esta nueva Ley Modelo de la CNUDMI sobre las Firmas Electrónicas, junto con la Ley Modelo de la CNUDMI sobre Comercio Electrónico aprobada en 1996 y complementada en 1998, habida cuenta de la necesidad de uniformar el derecho aplicable a las formas de comunicación, almacenamiento y autenticación de información sin soporte de papel.(8)»

II. La Ley Modelo como instrumento de armonización de leyes

26. Al igual que la Ley Modelo de la CNUDMI sobre Comercio Electrónico, la Ley Modelo reviste la forma de un texto legislativo que se recomienda a los Estados para que lo incorporen a su derecho interno. La finalidad de la Ley Modelo no es obstaculizar la vigencia de las normas de derecho internacional privado (véase más adelante el párrafo 136). A diferencia de un convenio o convención internacional, la legislación modelo no requiere que el Estado promulgante lo notifique a las Naciones Unidas o a otros Estados que asimismo puedan haberlo promulgado. No obstante, se recomienda encarecidamente a los Estados que informen a la Secretaría de la CNUDMI de la promulgación de la Ley Modelo (o de cualquier otra ley modelo elaborada por la CNUDMI).

27. Al incorporar el texto de una ley modelo a su derecho interno, los Estados pueden modificar o excluir algunas de sus disposiciones. En el caso de un convenio o convención, la posibilidad de que los Estados partes hagan modificaciones en el texto uniforme (lo que normalmente se denomina «reservas») está mucho más limitada; los convenios y convenciones de derecho mercantil en especial prohíben normalmente las reservas o permiten sólo algunas específicas. La flexibilidad inherente a la legislación modelo es particularmente conveniente en los casos en que es probable que los Estados deseen hacer varias modificaciones al texto uniforme antes de incorporarlo a su derecho interno. En particular, cabe esperar algunas modificaciones cuando el texto uniforme está estrechamente relacionado con el sistema procesal y judicial nacional. No obstante, ello supone también que el grado de armonización y certeza que se logra mediante la legislación modelo es probablemente inferior al de un convenio o convención. Sin embargo, esta desventaja relativa de la legislación modelo puede compensarse con el hecho de que el número de Estados promulgantes de la legislación modelo será probablemente superior al número de Estados que se adhieren a un convenio o convención. Para lograr un grado satisfactorio de armonización y certeza se recomienda que los Estados hagan el menor número posible de modificaciones al incorporar la nueva Ley Modelo a su derecho interno y que tengan debidamente en cuenta sus principios básicos, como los de neutralidad tecnológica, no discriminación entre las firmas electrónicas nacionales y extranjeras, la autonomía de las partes y el origen internacional de la Ley Modelo. En general, al promulgar la nueva Ley Modelo (o la Ley Modelo de la CNUDMI sobre Comercio Electrónico), es aconsejable ajustarse lo más posible al texto uniforme a fin de que el derecho interno sea lo más transparente y familiar posible para los extranjeros que recurran a él.

28. Cabe señalar que algunos países estiman que las cuestiones jurídicas relacionadas con la utilización de la firma electrónica han quedado resueltas con la Ley Modelo de CNUDMI sobre Comercio Electrónico y no tienen previsto adoptar ninguna otra normativa sobre la firma electrónica hasta que las prácticas del mercado en esta nueva esfera estén mejor asentadas.

Sin embargo, los Estados que incorporen a su derecho interno la nueva Ley Modelo junto con la Ley Modelo de la CNUDMI sobre Comercio Electrónico pueden esperar otros beneficios. Para los países en los que las autoridades gubernamentales y legislativas están preparando leyes sobre cuestiones relacionadas con las firmas electrónicas, incluido el establecimiento de infraestructuras de clave pública (ICP), ciertas disposiciones de la Ley Modelo ofrecen la orientación de un instrumento internacional que se preparó teniendo presentes las cuestiones y la terminología relacionadas con las ICP. Para todos los países, la Ley Modelo ofrece un conjunto de normas básicas que pueden aplicarse independientemente del modelo de ICP, ya que prevén la interacción de dos funciones distintas que pueden intervenir en cualquier tipo de firma electrónica (es decir, crear y confiar en una firma electrónica) y una tercera función que se da en ciertos tipos de firmas electrónicas (la de certificar esas firmas). Estas tres funciones deben abordarse prescindiendo de si son de hecho desempeñadas por tres o más entidades distintas (por ejemplo, cuando diferentes entidades se encargan de distintos aspectos de la función de certificación) o de si dos de esas funciones corren a cargo de una misma persona (por ejemplo, cuando una parte que confía en la firma se encarga de la certificación). La Ley Modelo presenta, en consecuencia, un terreno común para los sistemas de ICP que confían en entidades de certificación independientes y sistemas de firma electrónica en los que no participa ese tercero independiente en el proceso de la firma electrónica. En todos los casos, la nueva Ley Modelo aporta una mayor certidumbre en lo que respecta a la eficacia jurídica de las firmas electrónicas, sin limitar la posibilidad de recurrir al criterio flexible consagrado en el artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico (véanse infra los párrs. 67 y 70 a 75).

III. Observaciones generales sobre las firmas electrónicas (9)

A. Funciones de las firmas

29. El artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico se basa en el reconocimiento de las funciones que cumple una firma manuscrita en papel. Durante la preparación de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, el Grupo de Trabajo examinó las siguientes funciones tradicionales de las firmas manuscritas: identificar a una persona, proporcionar certidumbre en cuanto a su participación personal en el acto de la firma; y vincular a esa persona con el contenido de un documento. Se señaló además que una firma podía cumplir diversas funciones, según cuál fuera la naturaleza del documento firmado. Por ejemplo, una firma podía constituir un testimonio de la intención de una parte de considerarse vinculada por el contenido de un contrato firmado, de la intención de una persona de respaldar la autoría de un texto (manifestando así su conciencia de que del acto de la firma podrían derivarse consecuencias jurídicas), de la intención de una persona de asociarse al contenido de un documento escrito por otra persona, y del hecho de que una persona estuviera en un lugar determinado en un momento determinado.

En los párrafos 65, 67 y 70 a 75 de la presente Guía se sigue examinando la relación de la Ley Modelo con el artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico.

30. En los medios electrónicos, el original de un mensaje no se puede distinguir de una copia, no lleva una firma manuscrita y no figura en papel. Las posibilidades de fraude son considerables debido a la facilidad con que se pueden interceptar y alterar datos en forma electrónica sin posibilidad de detección y a la velocidad con que se procesan operaciones múltiples.

La finalidad de las diversas técnicas que ya están disponibles en el mercado o que se están desarrollando es ofrecer medios técnicos para que algunas o todas las funciones identificadas como características de las firmas manuscritas se puedan cumplir en un entorno electrónico. Estas técnicas se pueden denominar, en general, «firmas electrónicas».

B. Firmas numéricas y otras firmas electrónicas

31. Al examinar la conveniencia y viabilidad de preparar la nueva Ley Modelo y de definir el ámbito de un régimen uniforme, la CNUDMI ha examinado varias técnicas de firmas electrónicas ya disponibles o en desarrollo.

La finalidad común de dichas técnicas es proporcionar equivalentes funcionales de las a) firmas manuscritas y b) de otros tipos de mecanismos de autenticación empleados en soporte de papel (por ejemplo, sellos o timbres). Las mismas técnicas pueden desempeñar en el ámbito del comercio electrónico otras funciones derivadas de las funciones de la firma pero que no correspondan a un equivalente estricto en soporte de papel.

32. Como ya se ha indicado (véanse los párrs. 21 y 28), los órganos ejecutivos y legislativos de muchos países que están preparando legislación sobre cuestiones relacionadas con las firmas electrónicas, incluido el establecimiento de ICP, u otros proyectos sobre cuestiones estrechamente relacionadas, esperan recibir orientación de la CNUDMI (véase A/CN.9/457, párr. 16). En cuanto a la decisión adoptada por la CNUDMI de centrarse en cuestiones y terminología relativas a las ICP, debería señalarse que la relación existente entre tres tipos distintos de partes (a saber, firmantes, prestadores de servicios de certificación y partes que confían en el certificado) corresponde a un modelo posible de ICP, pero que ya se utilizan corrientemente en el mercado otros modelos (por ejemplo, sin la participación de ninguna entidad certificadora independiente). Una de las principales ventajas de centrarse en las cuestiones de ICP es facilitar la elaboración de una Ley Modelo por remisión a tres funciones (o papeles) con respecto a las firmas electrónicas, a saber, la función del firmante, la función de certificación y la función de confianza. Dos de estas tres funciones son comunes a todos los modelos de ICP (la creación de la firma electrónica y la confianza en ella). La tercera función se da en muchos modelos de ICP (la certificación de una firma electrónica). Estas tres funciones deberían tratarse prescindiendo de si son de hecho desempeñadas por tres o más entidades distintas (por ejemplo, cuando diferentes entidades se encargan de distintos aspectos de la función de certificación) o de si la misma persona desempeña dos de dichas funciones (por ejemplo, si el prestador de los servicios de certificación es también tercero que confía en el certificado).

Centrarse en las funciones que se llevan a cabo en un entorno de ICP y no hacerlo en un modelo concreto facilita también el desarrollo de una norma de neutralidad respecto de los medios técnicos utilizables en la medida en que en la tecnología de firmas electrónicas que no sean de ICP se prestan funciones análogas.

1. Firmas electrónicas basadas en técnicas distintas de la criptografía de clave pública

33. Además de las «firmas numéricas» basadas en la criptografía de clave pública, hay otros diversos dispositivos, también incluidos en el concepto más amplio de mecanismos de «firma electrónica» que ya se están utilizando o que se prevé utilizar en el futuro con miras a cumplir una o más de las funciones de las firmas manuscritas mencionadas anteriormente. Por ejemplo, ciertas técnicas se basarían en la autenticación mediante un dispositivo biométrico basado en las firmas manuscritas. Con este dispositivo el firmante firmaría de forma manual utilizando un lápiz especial en una pantalla de computadora o en un bloc numérico. La firma manuscrita sería luego analizada por la computadora y almacenada como un conjunto de valores numéricos que se podrían agregar a un mensaje de datos y que el receptor podría recuperar en pantalla para autenticar la firma. Este sistema de autenticación exigiría el análisis previo de muestras de firmas manuscritas y su almacenamiento utilizando el dispositivo biométrico. Otras técnicas entrañan el uso de números de identificación personal (NIP), versiones digitalizadas de firmas manuscritas y otros métodos, como la selección de un signo afirmativo en la pantalla electrónica mediante el ratón.

34. La CNUDMI ha tratado de elaborar una legislación uniforme que pueda facilitar el empleo tanto de las firmas numéricas como de otras formas de firmas electrónicas. A ese fin, la CNUDMI ha tratado de abordar las cuestiones jurídicas de las firmas electrónicas a un nivel intermedio entre la gran generalidad de la Ley Modelo de la CNUDMI sobre Comercio Electrónico y la especificidad que podría requerirse al abordar una técnica de firma determinada. En cualquier caso, y siguiendo el criterio de neutralidad respecto de los medios técnicos de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, no debe interpretarse que la Ley Modelo desalienta el empleo de cualquier método de firma electrónica ya existente o que pueda aplicarse en el futuro.

2. Firmas numéricas basadas en la criptografía de clave pública (10)

35. Ante el creciente empleo de técnicas de firma numérica en diversos países, la siguiente introducción puede ser de utilidad.

a) Terminología y conceptos técnicos

i) Criptografía

36. Las firmas numéricas se crean y verifican utilizando la criptografía, la rama de las matemáticas aplicadas que se ocupa de transformar mensajes en formas aparentemente ininteligibles y devolverlas a su forma original.

Las firmas numéricas utilizan lo que se denomina «criptografía de clave pública», que con frecuencia se basa en el empleo de funciones algorítmicas para generar dos «claves» diferentes pero matemáticamente relacionadas entre sí (por ejemplo, grandes números producidos utilizando una serie de fórmulas matemáticas aplicadas a números primos). Una de esas claves se utiliza para crear una firma numérica o transformar datos en una forma aparentemente ininteligible, y la otra para verificar una firma numérica o devolver el mensaje a su forma original. El equipo y los programas informáticos que utilizan dos de esas claves se suelen denominar en conjunto «criptosistemas» o, más concretamente, «criptosistemas asimétricos» cuando se basan en el empleo de algoritmos asimétricos.

37. Si bien el empleo de la criptografía es una de las características principales de las firmas numéricas, el mero hecho de que una firma numérica se utilice para autenticar un mensaje que contiene información en forma numérica, no debe confundirse con el uso más general de la criptografía con fines de confidencialidad. El cifrado con fines de confidencialidad es un método utilizado para codificar una comunicación electrónica de modo que sólo el originador y el destinatario del mensaje puedan leerlo. En algunos países, el empleo de la criptografía con fines de confidencialidad está limitado por ley por razones de orden público que pueden incluir consideraciones de defensa nacional. Ahora bien, el empleo de la criptografía con fines de autenticación para crear una firma numérica, no implica necesariamente el empleo del cifrado para dar carácter confidencial a la información durante el proceso de comunicación, dado que la firma numérica codificada puede sencillamente añadirse a un mensaje no codificado.

ii) Claves públicas y privadas

38. Las claves complementarias utilizadas para las firmas numéricas se denominan «clave privada», que se utiliza sólo por el firmante para crear la firma numérica, y «clave pública», que de ordinario conocen más personas y se utiliza para que el tercero que actúa confiando en el certificado pueda verificar la firma numérica. El usuario de una clave privada debe mantenerla en secreto. Hay que señalar que el usuario individual no necesita conocer la clave privada. Esa clave privada probablemente se mantendrá en una tarjeta inteligente, o se podrá acceder a ella mediante un número de identificación personal o mediante un dispositivo de identificación biométrica, por ejemplo, mediante el reconocimiento de una huella digital. Si es necesario que muchas personas verifiquen firmas numéricas del firmante, la clave pública debe estar a disposición o en poder de todas ellas, por ejemplo publicándola en una base de datos de acceso electrónico o en cualquier otro directorio público de fácil acceso. Si bien las claves del par están matemáticamente relacionadas entre sí, el diseño y la ejecución en forma segura de un criptosistema asimétrico hace virtualmente imposible que las personas que conocen la clave pública puedan deducir de ella la clave privada. Los algoritmos más comunes para la codificación mediante el empleo de claves públicas y privadas se basan en una característica importante de los grandes números primos: una vez que se multiplican entre sí para obtener un nuevo número, constituye una tarea larga y difícil determinar cuáles fueron los dos números primos que crearon ese nuevo número mayor (11). De esa forma, aunque muchas personas puedan conocer la clave pública de un firmante determinado y utilizarla para verificar las firmas de éste, no podrán descubrir la clave privada del firmante y utilizarla para falsificar firmas numéricas.

39. Cabe señalar, sin embargo, que el concepto de criptografía de clave pública no implica necesariamente el empleo de los algoritmos mencionados anteriormente basados en números primos. En la actualidad se están utilizando o desarrollando otras técnicas matemáticas, como los criptosistemas de curvas elípticas, que se suelen describir como sistemas que ofrecen un alto grado de seguridad mediante el empleo de longitudes de clave notablemente reducidas.

iii) La función control

40. Además de la creación de pares de claves, se utiliza otro proceso fundamental, generalmente conocido con el nombre de «función control», tanto para crear como para verificar una firma numérica. La función control es un proceso matemático, basado en un algoritmo que crea una representación numérica o forma comprimida del mensaje, a menudo conocida con el nombre de «compendio de mensaje» o "huella digital» del mensaje, en forma de un «valor control» o «resultado control» de una longitud estándar que suele ser mucho menor que la del mensaje, pero que es no obstante esencialmente única con respecto al mismo. Todo cambio en el mensaje produce invariablemente un resultado control diferente cuando se utiliza la misma función control. En el caso de una función control segura, a veces denominada «función control unidireccional», es virtualmente imposible deducir el mensaje original aun cuando se conozca su valor control. Por tanto las funciones control hacen posible que el programa de creación de firmas numéricas funcione con cantidades más pequeñas y predecibles de datos, proporcionando no obstante una consistente correlación testimonial para describir la previsión de la irreversibilidad del proceso, es decir, la esperanza de que sea imposible descifrar la clave privada secreta de un usuario a partir de la clave pública de éste. El concepto de «inviabilidad computacional» es un concepto relativo que se basa en el valor de los datos protegidos, la estructura informática necesaria para protegerlos, el período de tiempo que debe durar la protección, y el costo y el tiempo necesarios para acceder a los datos, evaluando dichos factores en la actualidad y a la vista de futuros avances tecnológicos (Directrices sobre las firmas numéricas de la Asociación de Abogados de los Estados Unidos, pág. 9, nota 23) con respecto al contenido original del mensaje, y dando garantías efectivas de que el mensaje no ha sido modificado desde que se firmó en forma numérica.

iv) La firma numérica

41. Para firmar un documento o cualquier otro material de información, el firmante delimita primero en forma precisa el espacio de lo que se ha de firmar. Seguidamente, mediante la función control del programa informático del firmante se obtiene un resultado control único, a todos los fines prácticos, de la información que se firme. El programa del firmante transforma luego el resultado control en una firma numérica utilizando la clave privada del firmante. La firma numérica resultante es, por lo tanto, exclusiva de la información firmada y de la clave privada utilizada para crearla.

42. Normalmente, la firma numérica (es decir, el resultado control con firma numérica del mensaje) se adjunta al mensaje y se almacena o transmite junto con éste. Ahora bien, puede también ser enviado o almacenado como un conjunto de datos independiente, siempre que mantenga una vinculación fiable con el mensaje correspondiente. Dado que una firma numérica es exclusiva de un mensaje, resulta inservible si se la desvincula de éste permanentemente.

v) Verificación de la firma numérica

43. La verificación de la firma numérica es el proceso de comprobar esa firma por remisión al mensaje original y a una clave pública dada, determinando de esa forma si la firma numérica fue creada para ese mismo mensaje utilizando la clave privada que corresponde a la clave pública remitida. La verificación de una firma numérica se logra calculando un nuevo resultado control del mensaje original mediante la misma función control utilizada para crear la firma numérica. Seguidamente, utilizando la clave pública y el nuevo resultado control, el verificador comprueba si la firma numérica fue creada utilizando la clave privada correspondiente y si el nuevo resultado control calculado corresponde al resultado control original que fue transformado en la firma numérica durante el proceso de la firma.

44. El programa de verificación confirmará la firma numérica como verificada:

a) si se utilizó la clave privada del firmante para firmar numéricamente el mensaje, lo que ocurre si se utilizó la clave pública del firmante para verificar la firma, dado que esta clave pública sólo verificará una firma numérica creada con la clave privada del firmante; y b) si el mensaje no fue modificado, lo que ocurre si el resultado control calculado por el verificador es idéntico al resultado control extraído de la firma numérica durante el proceso de verificación.

b) Infraestructura de clave pública y prestadores de servicios de certificación

45. Para verificar una firma numérica, el verificador debe tener acceso a la clave pública del firmante y tener la seguridad de que corresponde a la clave privada de éste. Ahora bien, un par de claves pública y privada no tiene ninguna vinculación intrínseca con ninguna persona; es simplemente un par de números. Se necesita un mecanismo adicional para vincular en forma fiable a una persona o entidad determinada al par de claves. Para que la codificación de la clave pública pueda cumplir su función específica, debe proporcionar un medio para facilitar claves a una gran diversidad de personas, muchas de las cuales no son conocidas del firmante y con las que no ha desarrollado ninguna relación de confianza. A tal efecto, las partes interesadas deben tener cierto grado de confianza en las claves pública y privada que se emitan.

46. El nivel de confianza requerido puede existir entre partes que confíen unas en otras, que se hayan tratado durante algún tiempo, que se comuniquen mediante sistemas cerrados, que operen dentro de un grupo cerrado, o que puedan regir sus operaciones en base a un contrato, por ejemplo, en un acuerdo de asociación comercial. En una transacción en la que participen sólo dos partes, cada una puede sencillamente comunicar (por un canal relativamente seguro, como un servicio de mensajería o el teléfono, que conlleva el reconocimiento de la voz) la clave pública del par de claves que cada parte utilizará. Ahora bien, este nivel de confianza puede no existir entre partes que no realicen transacciones con frecuencia, que se comuniquen a través de sistemas abiertos (por ejemplo, Internet), que no formen parte de un grupo cerrado o que no tengan acuerdos de asociación comercial u otros acuerdos que rijan sus relaciones.

47. Además, dado que la criptografía de clave pública es una tecnología altamente matemática, todos los usuarios deben tener confianza en las aptitudes, los conocimientos y los dispositivos de seguridad de las partes que emitan las claves pública y privada (12).

48. Un firmante potencial podría hacer una declaración pública indicando que las firmas verificables por una clave pública determinada deben ser consideradas como procedentes de ese firmante. La forma y la eficacia jurídica de tal declaración se regirían por la ley del Estado promulgante. Por ejemplo, la presunción de que una firma electrónica corresponde a un determinado firmante podría corroborarse con la publicación de la declaración en un boletín oficial o en un documento de «autenticidad» reconocida por las autoridades públicas (véase A/CN.9/484, párr. 36). Ahora bien, puede que otras partes no estén dispuestas a aceptar la declaración, especialmente si no hay ningún contrato previo que establezca con certeza el efecto jurídico de esa declaración publicada. La parte que se base en esa declaración publicada sin ningún respaldo en un sistema abierto corre un gran riesgo de confiar inadvertidamente en un impostor, o de tener que impugnar con buen éxito la negativa falsa de una firma numérica (cuestión a menudo mencionada en el contexto del «repudio negativo» de firmas numéricas) si la operación resulta desfavorable para el supuesto firmante.

49. Una forma de resolver algunos de estos problemas es el empleo de uno o más terceros para vincular a un firmante identificado o el nombre del firmante a una clave pública determinada. El tercero se conoce en general, en la mayoría de las normas y directrices técnicas, como «entidad certificadora», «prestador de servicios de certificación» o «proveedor de servicios de certificación» (en la Ley Modelo, se ha elegido el término de «prestador de servicios de certificación»). En unos cuantos países, esas entidades certificadoras están siendo organizadas en forma jerárquica en lo que suele denominarse una infraestructura de clave pública (ICP). Otras soluciones pueden ser, por ejemplo, los certificados emitidos por terceros que confían en la firma.

i) Infraestructura de clave pública

50. El establecimiento de una ICP es una forma de ofrecer confianza en que: a) la clave pública del usuario no ha sido alterada y corresponde de hecho a la clave privada del mismo usuario; b) se han utilizado buenas técnicas de codificación. Para poder ofrecer el grado de confianza descrito más arriba, una ICP puede ofrecer diversos servicios, incluidos los siguientes:

a) gestión de las claves criptográficas utilizadas para las firmas numéricas;

b) certificación de que una clave pública corresponde a una clave privada;

c) provisión de claves a usuarios finales;

d) publicación de una guía segura de certificados o claves públicas;

e) administración de contraseñas personales (por ejemplo, tarjetas inteligentes) que permitan identificar al usuario con información de identificación personal singular o que permitan generar y almacenar claves privadas individuales;

f) comprobación de la identificación de los usuarios finales y prestación de servicios a éstos;

g) prestación de servicios de marcado cronológico; y

h) gestión de las claves de codificación utilizadas con fines de confidencialidad en los casos en que esté autorizado el empleo de esa técnica.

51. Una ICP se suele basar en diversos niveles jerárquicos de autoridad.

Por ejemplo, los modelos considerados en ciertos países para el establecimiento de una posible ICP entrañan referencias a los siguientes niveles:

a) una «entidad principal» única que certificaría la tecnología y las prácticas a todas las partes autorizadas a emitir certificados o pares de claves criptográficas en relación con el empleo de dichos pares de claves, y llevaría un registro de las entidades de certificación subordinadas13;

b) diversas entidades de certificación, situadas bajo la autoridad «principal» que certificarían que la clave pública de un usuario corresponde en realidad a la clave privada del mismo usuario (es decir que no ha sido alterada); y

c) diversas entidades locales de registro, situadas bajo las autoridades de certificación, que reciban de los usuarios peticiones de pares de claves criptográficas o de certificados relativos al empleo de esos pares de claves, y que exijan pruebas de identidad a los posibles usuarios y las verifiquen. En ciertos países, se prevé que los notarios podrían actuar como entidades locales de registro o prestar apoyo a dichas entidades.

52. Las cuestiones de la ICP quizá no se presten fácilmente a la armonización a nivel internacional. La organización de una ICP puede comprender diversas cuestiones técnicas, así como cuestiones de orden público que es preferible dejar al arbitrio de cada Estado (14). A este respecto, quizá sea necesario que cada Estado que contemple el establecimiento de una ICP adopte decisiones, por ejemplo, respecto de:

a) la forma y el número de niveles de entidades que se incluirán en una ICP;

b) si sólo las entidades certificadoras pertenecientes a la ICP podrán emitir pares de claves criptográficas o si éstos podrían ser emitidos también por los propios usuarios;

c) si las entidades certificadoras de la validez de los pares de claves criptográficas deben ser entidades públicas o si también las entidades privadas podrían actuar como entidades certificadoras;

d) si el proceso de autorizar a una entidad determinada para actuar como entidad certificadora debería adoptar la forma de una autorización expresa, o «licencia», por parte del Estado, o si se deberían utilizar otros métodos para controlar la calidad de las operaciones de las entidades certificadoras permitiendo que éstas actúen sin una autorización específica;

e) el grado en el que el empleo de la criptografía se debe autorizar para fines de confidencialidad; y

f) si las autoridades gubernamentales deben poder tener acceso a la información codificada mediante un mecanismo de «custodia de claves» o de otro tipo.

La Ley Modelo no aborda estas cuestiones.

ii) El prestador de servicios de certificación

53. Para vincular un par de claves a un posible firmante, el prestador de servicios de certificación (o entidad certificadora) emite un certificado, un registro electrónico que indica una clave pública junto con el nombre del suscriptor del certificado como «sujeto» del certificado, y puede confirmar que el firmante potencial que figura en el certificado posee la clave privada correspondiente. La función principal del certificado es vincular una clave pública con un titular determinado. El «receptor» del certificado que desee confiar en una firma numérica creada por el tenedor que figura en el certificado puede utilizar la clave pública indicada en ese certificado para verificar si la firma numérica fue creada con la clave privada correspondiente.

Si dicha verificación es positiva, se obtiene técnicamente cierta garantía de que la firma numérica fue creada por el firmante y de que la parte del mensaje utilizada en la función de control (y, por lo tanto, el correspondiente mensaje de datos) no han sido modificados desde que fue firmado en forma numérica.

54. Para asegurar la autenticidad del certificado con respecto tanto a su contenido como a su fuente, la entidad certificadora lo firma en forma numérica. La firma numérica de la entidad certificadora que figura en el certificado se puede verificar utilizando la clave pública de esta última que está recogida en otro certificado de otra entidad certificadora (que puede ser de un nivel jerárquico superior aunque no tiene que serlo necesariamente), y ese otro certificado puede ser a su vez autenticado utilizando la clave pública incluida en un tercer certificado, y así sucesivamente hasta que la persona que confíe en la firma numérica tenga seguridad suficiente de su autenticidad. Entre otros métodos posibles para verificar la firma numérica del prestador de servicios de certificación, esa firma se puede registrar en un certificado emitido por ese mismo prestador de servicios de certificación, que se denomina en ocasiones «certificado raíz» (15). En todos los casos, el prestador de servicios de certificación que emita el certificado deberá firmarlo en forma numérica durante el período de validez del otro certificado utilizado para verificar la firma numérica del prestador de servicios de certificación. Para fomentar la confianza en la firma numérica del prestador de servicios de certificación, algunos Estados prevén la publicación en un boletín oficial de la clave pública del prestador de servicios de certificación (véase A/CN.9/484, párr. 41) o de ciertos datos sobre el certificado raíz (como la «huella digital numérica»).

55. La firma numérica correspondiente a un mensaje, ya sea creada por el tenedor de un par de claves para autenticar un mensaje o por una entidad certificadora para autenticar su certificado, deberá contener por lo general un sello cronológico fiable para que el verificador pueda determinar con certeza si la firma numérica fue creada durante el «período de validez» indicado en el certificado, que es una condición para poder verificar una firma numérica.

56. Para que una clave pública y su correspondencia con un firmante específico se pueda utilizar fácilmente en una verificación, el certificado debe publicarse en un repositorio o difundirse por otros medios. Normalmente, los repositorios son bases de datos electrónicas de certificados y de otro tipo de información a los que se puede acceder y que pueden utilizarse para verificar firmas numéricas.

57. Una vez emitido, puede que un certificado no sea fiable, por ejemplo si el titular falsifica su identidad ante la entidad certificadora. En otros casos, un certificado puede ser suficientemente fiable cuando se emite pero dejar de serlo posteriormente. Si la clave privada ha quedado «en entredicho», por ejemplo, si el tenedor de la clave ha perdido el control de ésta, el certificado puede dejar de ser fiable y la entidad certificadora (a petición del titular o aun sin el consentimiento de éste, según las circunstancias), puede suspender (interrumpir temporalmente el período de validez) o revocar (invalidar de forma permanente) el certificado. Inmediatamente después de suspender o revocar un certificado, el prestador de servicios de certificación puede hacer pública la revocación o suspensión o notificar este hecho a las personas que soliciten información o de que se tenga conocimiento de que han recibido una firma numérica verificable por remisión al certificado que carezca de fiabilidad.

58. Las entidades certificadoras podrán ser entidades públicas o privadas.

En algunos países, por razones de orden público, se prevé que sólo las entidades públicas estén autorizadas para actuar como entidades certificadoras.

En otros países, se considera que los servicios de certificación deben quedar abiertos a la competencia del sector privado. Independientemente de que las entidades certificadoras sean públicas o privadas y de que deban obtener una autorización, normalmente existe más de una entidad certificadora en la ICP. Plantea especial inquietud la relación entre las diversas entidades certificadoras. Las entidades certificadoras de una ICP pueden establecerse en una estructura jerárquica, en la que algunas de ellas sólo certifican a otras entidades certificadoras, que son las que prestan los servicios directamente a los usuarios. En dicha estructura, las entidades certificadoras están subordinadas a otras entidades certificadoras. En otras posibles estructuras, algunas entidades certificadoras pueden actuar en plano de igualdad con otras entidades certificadoras. En una ICP de gran envergadura, probablemente habría tanto entidades certificadoras subordinadas como superiores. En cualquier caso, si no existe una ICP internacional, pueden surgir una serie de problemas con respecto al reconocimiento de certificados por parte de entidades certificadoras de países extranjeros. El reconocimiento de certificados extranjeros se realiza generalmente mediante un método denominado «certificación cruzada». En tales casos es necesario que entidades certificadoras sustancialmente equivalentes (o entidades certificadoras dispuestas a asumir ciertos riesgos con respecto a los certificados emitidos por otras entidades certificadoras) reconozcan mutuamente los servicios prestados, de forma que los respectivos usuarios puedan comunicarse entre ellos de manera más eficaz y con mayor confianza en la fiabilidad de los certificados que se emitan.

59. Con respecto a la certificación cruzada o a las cadenas de certificados, cuando entran en juego diversas políticas de seguridad se pueden plantear problemas jurídicos, por ejemplo, respecto de la identificación del autor del error que causó una pérdida y de la fuente en que se basó el usuario.

Cabe señalar que las normas jurídicas cuya aprobación se está considerando en ciertos países disponen que, cuando los niveles de seguridad y las políticas se pongan en conocimiento de los usuarios y no haya negligencia por parte de las entidades certificadoras, no habrá responsabilidad.

60. Puede que corresponda al prestador de servicios de certificación o a la entidad principal asegurar que los requisitos de sus políticas se cumplen de forma permanente. Si bien la selección de las entidades certificadoras puede basarse en diversos factores, incluida la solidez de la clave pública utilizada y la identidad del usuario, el grado de fiabilidad del prestador de servicios de certificación puede depender también de la forma en que aplique las normas para emitir certificados y de la fiabilidad de la evaluación que realice de los datos que reciba de los usuarios que solicitan certificados.

Es de especial importancia el régimen de responsabilidad que se aplique al prestador de servicios de certificación con respecto al cumplimiento, en todo momento, de la política y los requisitos de seguridad de la entidad principal o de la entidad certificadora superior, o de cualquier otro requisito aplicable. Igual importancia reviste la obligación del prestador de servicios de certificación de actuar de conformidad con las declaraciones que haga respecto de sus normas y prácticas, tal como dispone el artículo 9, 1 a) de la nueva Ley Modelo (véase A/CN.9/484, párr. 43).

61. Al preparar la Ley Modelo, se examinaron los siguientes elementos como posibles factores a tener en cuenta para determinar el grado de fiabilidad de un prestador de servicios de certificación:

a) independencia (es decir, ausencia de un interés financiero o de otro tipo en las transacciones subyacentes);

b) recursos y capacidad financieros para asumir la responsabilidad por el riesgo de pérdida;

c) experiencia en tecnologías de clave pública y familiaridad con procedimientos de seguridad apropiados;

d) longevidad (las entidades certificadoras pueden tener que presentar pruebas de certificaciones o claves de codificación muchos años después de que se hayan concluido las operaciones subyacentes, por ejemplo con motivo de un juicio o de una reivindicación);

e) aprobación del equipo y los programas informáticos;

f) mantenimiento de un registro de auditoria y realización de auditorias por una entidad independiente;

g) existencia de un plan para casos de emergencia (por ejemplo, «programas de recuperación en casos de desastre» o depósitos de claves);

h) selección y gestión del personal;

i) disposiciones para proteger su propia clave privada;

j) seguridad interna;

k) disposiciones para suspender las operaciones, incluida la notificación a los usuarios;

l) garantías y representaciones (otorgadas o excluidas);

m) limitación de la responsabilidad;

n) seguros;

o) capacidad para intercambiar datos con otras entidades certificadoras; y p) procedimientos de revocación (en caso de que la clave criptográfica se haya perdido o haya quedado en entredicho).

c) Sinopsis del proceso de la firma numérica

62. El empleo de las firmas numéricas abarca por lo general los siguientes procesos, realizados por el firmante o por el receptor del mensaje firmado en forma numérica:

a) El usuario genera o recibe un par de claves criptográficas único;

b) El firmante prepara el mensaje (por ejemplo, en forma de mensaje de correo electrónico) en una computadora;

c) El firmante prepara un «compendio del mensaje», utilizando un algoritmo de control seguro. En la creación de la firma numérica se utiliza un resultado de control derivado del mensaje firmado y de una clave privada determinada, que es exclusivo de éstos;

d) El firmante codifica el compendio del mensaje utilizando la clave privada. La clave privada se aplica al texto del compendio del mensaje utilizando un algoritmo matemático. La firma numérica es el compendio del mensaje codificado;

e) El firmante normalmente adjunta o acompaña su firma numérica al mensaje;

f) El firmante envía en forma electrónica la firma numérica y el mensaje (codificado o no) a la parte que confía en la firma;

g) La parte que confía en la firma utiliza la clave pública del firmante para verificar la firma numérica de éste. Esta verificación con la clave pública del firmante da cierta seguridad técnica de que el mensaje proviene exclusivamente del remitente;

h) La parte que confía en la firma también crea un «compendio del mensaje» utilizando el mismo algoritmo de control seguro;

i) La parte que confía en la firma compara los dos compendios de mensajes. Si son iguales, esa parte sabe que el mensaje no ha sido modificado después de la firma. Aun cuando sólo se haya modificado una parte ínfima del mensaje después de que haya sido firmado en forma numérica, el compendio del mensaje creado por dicha parte será diferente al compendio del mensaje creado por el firmante;

j) La parte que confía en la firma obtiene un certificado del portador de servicios de certificación (o por conducto del firmante o de otro modo), que confirma la firma numérica del firmante del mensaje (véase A/CN.9/484, párr. 44). El certificado contiene la clave pública y el nombre del firmante (y posiblemente otra información), y lleva la firma numérica del prestador de servicios de certificación.

IV. Principales características de la Ley Modelo

A. Naturaleza legislativa de la Ley Modelo

63. La nueva Ley Modelo fue preparada partiendo del supuesto de que debería derivarse directamente del artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico y considerarse como una forma de proporcionar información detallada sobre el concepto del «método fiable para identificar» a una persona y «para indicar que esa persona aprueba» la información que figura en el mensaje de datos (véase A/CN.9/WG.IV/WP.71, párr. 49).

64. Se planteó la cuestión de la forma que debería adoptar el instrumento y se señaló la importancia de tener en cuenta la relación de la forma con el contenido. Se sugirieron diferentes criterios con respecto a la forma que debería adoptar, como los de régimen contractual, disposiciones legislativas, o directrices para que los Estados estudiasen la promulgación de legislación sobre las firmas electrónicas. Se adoptó como hipótesis de trabajo que las disposiciones que se prepararan serían normas jurídicas con un comentario, y no meras directrices (véase A/CN.9/437, párr. 27; A/CN.9/446, párr. 25; y A/CN.9/457, párrs. 51 y 72). El texto se adoptó finalmente en forma de ley modelo (A/CN.9/483, párrs. 137 y 138).

B. Relación con la Ley Modelo de la CNUDMI sobre Comercio Electrónico

1. La Ley Modelo como instrumento jurídico independiente

65. Las nuevas disposiciones podrían haberse integrado en una versión ampliada de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, por ejemplo, como una nueva tercera parte de esta última. Con el fin de señalar claramente que cabría promulgar la Ley Modelo tanto en forma de norma independiente como en forma de texto adicional a la Ley Modelo de la CNUDMI sobre Comercio Electrónico, se decidió finalmente que la nueva Ley Modelo adquiriese la forma de un instrumento jurídico independiente (véase A/CN.9/465, párr. 37). Esta decisión se deriva principalmente del hecho de que, cuando se estaba concluyendo la Ley Modelo, la Ley Modelo de la CNUDMI sobre Comercio Electrónico ya se había aplicado de manera satisfactoria en una serie de países y otros estaban estudiando su aprobación. La preparación de una versión ampliada de la Ley Modelo de la CNUDMI sobre Comercio Electrónico podría haber puesto en peligro el éxito de la versión original al sugerir que era necesario mejorar ese texto mediante una actualización. Además, la preparación de una nueva versión de la Ley Modelo de la CNUDMI sobre Comercio Electrónico podría haber dado lugar a confusiones en los países que la habían aprobado recientemente.

2. Plena coherencia entre la Ley Modelo y la Ley Modelo de la CNUDMI sobre Comercio Electrónico

66. Al redactar la nueva Ley Modelo, se hizo todo lo posible por asegurar su coherencia con el contenido y la terminología de la Ley Modelo de la CNUDMI sobre Comercio Electrónico (A/CN.9/465, párr. 37). En el nuevo instrumento se han reproducido las disposiciones generales de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, es decir los artículos 1 (Ámbito de aplicación), 2 a), c) y d) (Definiciones de «mensaje de datos», «iniciador» y "destinatario»), 3 (Interpretación), 4 (Modificación mediante acuerdo) y 7 (Firma) de la Ley Modelo de la CNUDMI sobre Comercio Electrónico.

67. Al basarse en la Ley Modelo de la CNUDMI sobre Comercio Electrónico, la nueva Ley Modelo trata de reflejar en particular: el principio de la neutralidad respecto de los medios técnicos utilizados; el criterio de la no discriminación de todo equivalente funcional de los conceptos y prácticas que tradicionalmente funcionan sobre soporte de papel; y una amplia confianza en la autonomía de la voluntad contractual de las partes (A/CN.9/WG.IV/WP.84, párr. 16). El proyecto de régimen ha sido concebido para ser utilizado como marco normativo mínimo en un entorno «abierto» (es decir, un entorno en el que las partes negocien por vía electrónica sin acuerdo previo) y, en su caso, como disposiciones contractuales modelo o reglas de derecho supletorio en un entorno «cerrado» (es decir, un entorno en el que las partes estén obligadas por reglas contractuales y procedimientos previamente estipulados que habrán de ser respetados al negociar por vía electrónica).

3. Relación con el artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico

68. Al preparar la nueva Ley Modelo, se expresó la opinión de que la referencia al artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico en el texto del artículo 6 de la nueva Ley Modelo debía interpretarse en el sentido de que limitaba el alcance de ésta a los supuestos en que se utilizara una firma electrónica para cumplir con el requisito legal imperativo de que ciertos documentos han de ser firmados para ser válidos.

Según ese criterio, dado que la ley de la mayoría de las naciones imponía muy pocos requisitos de esta índole con respecto a los documentos utilizados en operaciones comerciales, el alcance de la nueva Ley Modelo sería muy limitado. En respuesta a este argumento, se convino en general en que esa interpretación del artículo 6 (y del artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico) era incompatible con la interpretación de las palabras «la ley» adoptada por la Comisión en el párrafo 68 de la Guía para la incorporación de la Ley Modelo de la CNUDMI sobre Comercio Electrónico al derecho interno, conforme a la cual debía entenderse que «las palabras 'la ley' no sólo se referían a disposiciones de derecho legislativo o reglamentario sino también a otras normas de derecho jurisprudencial y de derecho procesal». De hecho, el ámbito tanto del artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico como del artículo 6 de la Ley Modelo es particularmente amplio, ya que la mayoría de los documentos utilizados en el contexto de operaciones comerciales probablemente tendrá que ajustarse, en la práctica, a los requisitos legales impuestos para la prueba por escrito (A/CN.9/465, párr. 67).

C. Régimen «marco» que se complementará con reglamentaciones técnicas y contratos

69. Como complemento a la Ley Modelo de la CNUDMI sobre Comercio Electrónico, la finalidad de la nueva Ley Modelo es ofrecer principios fundamentales que faciliten el empleo de las firmas electrónicas. Sin embargo, en tanto que «marco», la Ley Modelo no establece en sí misma todas las normas y reglamentaciones que puedan ser necesarias (además de las disposiciones contractuales existentes entre los usuarios) para aplicar dichas técnicas en un Estado promulgante. Además, como se señala en la presente Guía, la finalidad de la Ley Modelo no es abarcar todos los aspectos del empleo de firmas electrónicas. Por ello, los Estados promulgantes tal vez deseen emitir reglamentaciones que cubran los detalles procedimentales relativos a los procedimientos autorizados por la Ley Modelo y tengan en cuenta circunstancias específicas, posiblemente cambiantes, existentes en el Estado promulgante, sin poner en entredicho los objetivos de la Ley Modelo.

Se recomienda que, en caso de que se decida promulgar dicha reglamentación, los Estados promulgantes presten especial atención a la necesidad de mantener la flexibilidad del funcionamiento de los sistemas de creación de firmas electrónicas por parte de los usuarios de éstas. Desde hace tiempo, las prácticas comerciales se vienen basando en el proceso de normas técnicas voluntarias. Estas normas técnicas forman la base de las especificaciones de los productos, de los criterios de ingeniería y diseño y del consenso para la investigación y el desarrollo de futuros productos. A fin de asegurar la flexibilidad necesaria para esas prácticas comerciales, de promover normas abiertas que faciliten los intercambios de datos y de apoyar el objetivo de reconocimiento transfronterizo (descrito en el artículo 12), los Estados tal vez deseen tomar en consideración la relación entre las especificaciones incorporadas a las reglamentaciones nacionales, o autorizadas por ellas, y el proceso de normas técnicas voluntarias (véase A/CN.9/484, párr. 46).

70. Cabe señalar que las técnicas de creación de firmas electrónicas que se recogen en la Ley Modelo, además de plantear cuestiones de procedimiento que tal vez sea necesario abordar al aplicar reglamentaciones técnicas, pueden plantear ciertas cuestiones jurídicas cuya respuesta no vendrá dada necesariamente en la Ley Modelo, sino en otros instrumentos jurídicos.

Estos instrumentos jurídicos pueden ser, por ejemplo, la legislación administrativa, contractual, extracontractual, penal y procesal aplicable, a la que no se hace referencia en la Ley Modelo.

D. Mayor seguridad de las consecuencias jurídicas de las firmas electrónicas

71. Una de las características principales de la nueva Ley Modelo es la de aumentar la seguridad del funcionamiento de los criterios de flexibilidad que se establecen en el artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico para el reconocimiento de una firma electrónica como equivalente funcional a una firma manuscrita. El artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico dice lo siguiente:

«1) Cuando la ley requiera la firma de una persona, ese requisito quedará satisfecho en relación con un mensaje de datos:

a) si se utiliza un método para identificar a esa persona y para indicar que esa persona aprueba la información que figura en el mensaje de datos; y

b) si ese método es tan fiable como sea apropiado para los fines para los que se generó o comunicó el mensaje de datos, a la luz de todas las circunstancias del caso, incluido cualquier acuerdo pertinente.

2) El párrafo 1) será aplicable tanto si el requisito en él previsto está expresado en forma de obligación como si la ley simplemente prevé consecuencias en el caso de que no exista una firma.

3) Lo dispuesto en el presente artículo no será aplicable a: […].»

72. El artículo 7 se basa en el reconocimiento de las funciones que se atribuyen a una firma en las comunicaciones consignadas sobre papel, conforme a lo descrito en el párrafo 29 supra.

73. Para evitar que se niegue validez jurídica a un mensaje que deba autenticarse por el mero hecho de que no esté autenticado en la forma característica de los documentos consignados sobre papel, el artículo 7 adopta un criterio general. El artículo define las condiciones generales que, de cumplirse, autenticarían un mensaje de datos con suficiente credibilidad para satisfacer los requisitos de firma que actualmente obstaculizan el comercio electrónico. El artículo 7 se centra en las dos funciones básicas de la firma: la identificación del autor y la confirmación de que el autor aprueba el contenido del documento. En el apartado a) del párrafo 1) se enuncia el principio de que, en las comunicaciones electrónicas, esas dos funciones jurídicas básicas de la firma se cumplen al utilizarse un método que identifique al iniciador de un mensaje de datos y confirme que el iniciador aprueba la información en él consignada.

74. El apartado b) del párrafo 1) establece un criterio flexible respecto del grado de seguridad que se ha de alcanzar con la utilización del método de identificación mencionado en el apartado a). El método seleccionado conforme al apartado a) del párrafo 1) deberá ser tan fiable como sea apropiado para los fines para los que se consignó o comunicó el mensaje de datos, a la luz de las circunstancias del caso, así como del acuerdo entre el iniciador y el destinatario del mensaje.

75. Para determinar si el método seleccionado con arreglo al párrafo 1) es apropiado, pueden tenerse en cuenta, entre otros, los siguientes factores jurídicos, técnicos y comerciales:

a) la perfección técnica del equipo utilizado por cada una de las partes;

b) la naturaleza de su actividad comercial;

c) la frecuencia de sus relaciones comerciales;

d) el tipo y la magnitud de la operación;

e) la función de los requisitos de firma con arreglo a la norma legal o reglamentaria aplicable;

f) la capacidad de los sistemas de comunicación;

g) la observancia de los procedimientos de autenticación establecidos por intermediarios;

h) la gama de procedimientos de autenticación que ofrecen los intermediarios;

i) la observancia de los usos y prácticas comerciales;

j) la existencia de mecanismos de aseguramiento contra el riesgo de mensajes no autorizados;

k) la importancia y el valor de la información contenida en el mensaje de datos;

l) la disponibilidad de otros métodos de identificación y el costo de su aplicación;

m) el grado de aceptación o no aceptación del método de identificación en el sector o la esfera pertinente, tanto en el momento en el que se acordó el método como en el que se comunicó el mensaje de datos; y

n) cualquier otro factor pertinente (Guía para la incorporación al derecho interno de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, párrs. 53 y 56 a 58).

76. Partiendo de los flexibles criterios que figuran en el apartado b) del párrafo 1) del artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, los artículos 6 y 7 de la nueva Ley Modelo establecen un mecanismo mediante el cual las firmas electrónicas que reúnan criterios objetivos de fiabilidad técnica puedan beneficiarse de una pronta determinación de su eficacia jurídica. Según el momento en que se tiene la certeza de que una firma electrónica se reconoce como equivalente funcional de una firma manuscrita, la Ley Modelo establece dos regímenes distintos. El primero y más amplio de los regímenes es el que se describe en el artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico y que reconoce cualquier «método» que pueda emplearse para cumplir el requisito jurídico de una firma manuscrita. La eficacia jurídica de dicho «método» como equivalente a una firma manuscrita depende de la demostración de su «fiabilidad» con respecto a alguien que constate los hechos. El segundo y más limitado de los regímenes es el que se crea en la nueva Ley Modelo. Consiste en métodos de firma electrónica que pueden ser reconocidos por una entidad pública, una entidad privada acreditada o por las mismas partes, conforme a los criterios de fiabilidad técnica establecidos en la Ley Modelo (véase A/AC.9/484, párr. 49). La ventaja de este reconocimiento es que aporta seguridad a los usuarios de dichas técnicas de creación de firmas electrónicas antes de que empleen realmente la técnica de creación de la firma electrónica.

E. Normas de conducta básicas para las partes interesadas

77. La Ley Modelo no aborda en detalle las cuestiones de la responsabilidad que pueda corresponder a cada una de las partes interesadas en el funcionamiento de los sistemas de creación de firmas electrónicas. Esas cuestiones quedan al margen de la Ley Modelo y se dejan al derecho aplicable.

No obstante, en la Ley Modelo se fijan criterios para evaluar la conducta de las partes, a saber, el firmante, el tercero que confía en el certificado y el prestador de servicios de certificación.

78. En cuanto al firmante, la Ley Modelo desarrolla el principio básico de que debe actuar con diligencia razonable con respecto a sus datos de creación de firma electrónica. Se espera que el firmante actúe con diligencia razonable para evitar la utilización no autorizada de esos datos de creación de la firma. La firma numérica no garantiza de por sí que la persona que ha firmado sea el firmante. A lo sumo, la firma numérica da la seguridad de que es atribuible al firmante (véase A/CN.9/484, párr. 50). Cuando el firmante sepa o deba saber que los datos de creación de la firma han dejado de ser seguros deberá dar aviso sin dilación indebida a cualquier persona que, según pueda razonablemente prever, haya de considerar fiable la firma electrónica o prestar servicios que la refrenden. Cuando se emplee un certificado para refrendar la firma electrónica, se espera que el firmante actúe con diligencia razonable para cerciorarse de que todas las declaraciones que haya hecho sean exactas y cabales.

79. Se espera que el tercero que confía en el certificado tome medidas razonables para verificar la fiabilidad de la firma electrónica. Cuando la firma electrónica esté refrendada por un certificado, el tercero que confía en el certificado deberá tomar medidas razonables para verificar la validez, suspensión o revocación del certificado, y tener en cuenta cualquier limitación que lo afecte.

80. La obligación general del prestador de servicios de certificación es utilizar, al prestar sus servicios, sistemas, procedimientos y recursos humanos fiables y actuar de conformidad con las declaraciones que haga respecto de sus normas y prácticas. Además, se espera que actúe con diligencia razonable para cerciorarse de que todas las declaraciones materiales que haya hecho en relación con el certificado sean exactas y cabales. En el certificado, el prestador deberá proporcionar información fundamental que permita al tercero que haya de confiar en el certificado determinar la identidad del prestador de servicios de certificación. También deberá permitir determinar:

a) que la persona nombrada en el certificado tenía bajo su control los datos en la fecha en que se emitió el certificado; y

b) que esos datos eran válidos en la fecha en que se emitió el certificado o antes de ella.

Con respecto al tercero que ha de confiar, el prestador de servicios de certificación deberá aportar también información relativa a:

a) el método utilizado para identificar al firmante;

b) cualquier limitación en los fines o el valor respecto de los cuales pueda utilizarse el dispositivo de creación de la firma o el certificado;

c) las condiciones de funcionamiento del dispositivo de creación de la firma;

d) cualquier limitación en cuanto al ámbito o el alcance de la responsabilidad del prestador de los servicios de certificación;

e) si existe un medio para que el firmante dé aviso de que un dispositivo de creación de firma ha quedado en entredicho; y

f) si se ofrece un servicio de revocación oportuna del certificado.

81. En la Ley Modelo figura una lista abierta de factores indicativos para determinar la fiabilidad de los sistemas, procedimientos y recursos humanos utilizados por el prestador de servicios de certificación.

F. Marco de neutralidad respecto de los medios técnicos utilizables

82. Ante la evolución de las innovaciones tecnológicas, la Ley Modelo establece criterios para el reconocimiento jurídico de las firmas electrónicas independientemente de la tecnología utilizada (a saber, firmas electrónicas basadas en la criptografía asimétrica; los dispositivos biométricos (que permiten la identificación de personas por sus características físicas, como su geometría manual o facial, las huellas dactilares, el reconocimiento de la voz o el escáner de la retina, etc.); la criptografía simétrica; la utilización de números de identificación personal (NIP); la utilización de «contraseñas» para autenticar mensajes de datos mediante una tarjeta inteligente u otro dispositivo en poder del firmante; versiones digitalizadas de firmas manuscritas; la dinámica de firmas; y otros métodos, como la selección de un signo afirmativo en la pantalla electrónica mediante el ratón). Las diversas técnicas enumeradas podrían combinarse para reducir el riesgo sistémico (véase A/CN.9/484, párr. 52).

G. No discriminación de las firmas electrónicas extranjeras

83. La Ley Modelo establece como principio básico que el lugar de origen en sí no debe ser en ningún caso un factor para determinar si puede reconocerse la capacidad de los certificados extranjeros o las firmas electrónicas para tener eficacia jurídica en un Estado promulgante (véase A/CN.9/484, párr. 53). La determinación de si un certificado o una firma electrónica pueden tener eficacia jurídica, y hasta qué punto pueden tenerla, no debe depender del lugar en que se haya emitido el certificado o la firma electrónica (véase A/CN.9/483, párr. 27) sino de su fiabilidad técnica. Este principio fundamental se desarrolla en el artículo 12 (véanse más adelante los párrs. 152 a 160).

V. Asistencia de la Secretaría de la CNUDMI

A. Asistencia para la redacción de legislación

84. En el marco de sus actividades de formación y asistencia, la Secretaría de la CNUDMI presta asistencia a los Estados mediante consultas técnicas para la preparación de legislación basada en la Ley Modelo de la CNUDMI para las Firmas Electrónicas. Esta misma asistencia se prestará a los gobiernos que estudien la promulgación de legislación basada en otras leyes modelo de la CNUDMI (es decir, la Ley Modelo de la CNUDMI sobre Arbitraje Comercial Internacional, la Ley Modelo de la CNUDMI sobre Transferencias Internacionales de Crédito, la Ley Modelo de la CNUDMI sobre la Contratación Pública de Bienes, Obras y Servicios, la Ley Modelo de la CNUDMI sobre Comercio Electrónico y la Ley Modelo de la CNUDMI sobre la Insolvencia Transfronteriza) o la adhesión a uno de los convenios y convenciones de derecho mercantil internacional preparados por la CNUDMI.

85. Puede pedirse a la Secretaría, cuya dirección se indica a continuación, más información acerca de la Ley Modelo, así como sobre otras leyes modelo y convenios y convenciones preparados por la CNUDMI:

Subdivisión de Derecho Mercantil Internacional,
Oficina de Asuntos Jurídicos
Naciones Unidas
Centro Internacional de Viena
Apartado postal 500
A-1400, Viena, Austria
Teléfono: (+43-1) 26060-4060 ó 4061
Fax: (+43-1) 26060-5813
Correo electrónico: [email protected]
Dirección de Internet: http://www.uncitral.org

B. Información relativa a la interpretación de la legislación basada en la Ley Modelo

86. La Secretaría agradecerá cualquier observación relativa a la Ley Modelo y a la Guía, así como que se le informe sobre la promulgación de legislación basada en la Ley Modelo. Una vez promulgada, la Ley Modelo se incluirá en el sistema de información acerca de jurisprudencia de los tribunales sobre textos de la CNUDMI (CLOUT), que se emplea para recopilar y difundir información sobre jurisprudencia relativa a los convenios, convenciones y leyes modelo emanados de la labor de la CNUDMI. El objetivo del sistema es promover la difusión internacional de los textos legislativos elaborados por la CNUDMI y facilitar la interpretación y aplicación uniformes de éstos. La Secretaría publica, en los seis idiomas oficiales de las Naciones Unidas, resúmenes de las decisiones, y facilita las decisiones que sirvieron de base para la preparación de dichos resúmenes a contrarreembolso de los gastos de reproducción. El sistema se explica en una guía del usuario que puede obtenerse de la Secretaría en soporte de papel (A/CN.9/SER.C/GUIDE/1) y en la página de Internet de la CNUDMI antes mencionada.

Capítulo II. Observaciones artículo por artículo

Título. «Ley Modelo»

87. A lo largo de su preparación, el instrumento se ha concebido como un suplemento de la Ley Modelo de la CNUDMI sobre Comercio Electrónico y debería tratarse en pie de igualdad con el instrumento que lo precedió y compartir con él la misma naturaleza jurídica.

Artículo 1. Ámbito de aplicación

La presente ley será aplicable en todos los casos en que se utilicen firmas electrónicas en el contexto* de actividades comerciales**. No derogará ninguna norma jurídica destinada a la protección del consumidor.

Observaciones generales

88. La finalidad del artículo 1 es delimitar el ámbito de aplicación de la Ley Modelo. En la Ley Modelo se ha tratado en principio de abarcar todas las situaciones de hecho en que se utilizan firmas electrónicas, independientemente del tipo de firma electrónica o de técnica de autenticación que se aplique. Durante la preparación de la Ley Modelo se estimó que si se excluía alguna forma o algún medio mediante una limitación del ámbito de aplicación de la Ley Modelo podían surgir dificultades prácticas que irían en contra de la finalidad de ofrecer unas disposiciones auténticamente neutrales con respecto a los medios técnicos y a las tecnologías. En la preparación de la Ley Modelo, el Grupo de Trabajo de la CNUDMI sobre Comercio Electrónico observó el principio de la neutralidad respecto de la tecnología, si bien era consciente de que las «firmas numéricas», es decir, las firmas electrónicas obtenidas mediante la aplicación de una criptografía de doble clave, eran una tecnología considerablemente difundida (véase A/CN.9/484, párr. 54).

89. La Ley Modelo es aplicable a todos los tipos de mensajes de datos a los que se adjunta una firma electrónica con valor jurídico, y nada de lo dispuesto en la Ley Modelo debería impedir al Estado ampliar el alcance de la Ley Modelo para abarcar también la utilización de las firmas electrónicas fuera del ámbito comercial. Por ejemplo, si bien la Ley Modelo no se centra en las relaciones entre usuarios de firmas electrónicas y autoridades públicas, sus disposiciones no se han concebido con la finalidad de que no sean aplicables a tales relaciones.

90. Se consideró que en la Ley Modelo debía indicarse que se centraba en los tipos de situaciones que se daban en el ámbito comercial y que se había preparado en función del contexto de las relaciones comerciales y financieras. Por esta razón, el artículo 1 hace referencia a las «actividades comerciales» y en la nota de pie de página ** se especifica lo que se entiende por tales actividades. Esas indicaciones, que pueden ser particularmente útiles para los países que no disponen de un cuerpo de normas diferenciadas de derecho mercantil, se han calcado, por razones de coherencia, de la nota referente al artículo 1 de la Ley Modelo de la CNUDMI sobre Arbitraje Comercial Internacional (también reproducida como nota de pie de página **** referente al artículo 1 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico). En ciertos países, la utilización de notas de pie de página en textos legales no se consideraría una práctica legislativa aceptable.

Sería pues conveniente que las autoridades nacionales que incorporaran la Ley Modelo al derecho interno se plantearan la posible inclusión del texto de las notas de pie de página en el texto propiamente dicho.

Protección del consumidor

91. Algunos países tienen leyes especiales de protección del consumidor que pueden regular ciertos aspectos de la utilización de sistemas de información.

Con respecto a esa legislación de protección del consumidor, al igual que en la elaboración de anteriores instrumentos de la CNUDMI (por ejemplo, la Ley Modelo de la CNUDMI sobre Transferencias Internacionales de Crédito y la Ley Modelo de la CNUDMI sobre Comercio Electrónico), se consideró que debía indicarse que la Ley Modelo se había redactado sin prestar especial atención a las cuestiones que podrían plantearse en el contexto de la protección del consumidor. Al mismo tiempo, se estimó que no había motivo para que las situaciones que afectaban a los consumidores fueran excluidas del ámbito de aplicación de la Ley Modelo mediante una disposición general, particularmente porque las disposiciones de la Ley Modelo podían juzgarse muy beneficiosas para la protección del consumidor, según el tipo de legislación de cada Estado. Así pues, el artículo 1 reconoce que la legislación de protección del consumidor puede estar por encima de las disposiciones de la Ley Modelo. En caso de que los legisladores llegaran a conclusiones distintas sobre el eventual efecto beneficioso que podía tener la Ley Modelo en las transacciones del consumidor en un determinado país, podían plantear la posibilidad de excluir a los consumidores del ámbito de aplicación del instrumento legislativo mediante el cual se incorporara la Ley Modelo al derecho interno. La determinación de las personas físicas y jurídicas que deban considerarse «consumidores» se deja en manos del derecho aplicable al margen de la Ley Modelo.

La utilización de firmas electrónicas en operaciones internacionales y nacionales

92. Se recomienda que se dé al Régimen Uniforme la aplicación más amplia posible. Debe actuarse con suma prudencia al excluir la aplicación de la Ley Modelo limitando su alcance a los usos internacionales de firmas electrónicas, ya que puede considerarse que tal limitación impide cumplir plenamente los objetivos de la Ley Modelo. Además, la diversidad de procedimientos que ofrece la Ley Modelo para limitar la utilización de firmas electrónicas en caso necesario (por ejemplo, por razones de orden público) puede hacer menos necesario limitar el alcance de la Ley Modelo.

La certeza jurídica que debe aportar la Ley Modelo es necesaria para el comercio tanto nacional como internacional. La discriminación entre las firmas electrónicas utilizadas en el ámbito nacional y las firmas electrónicas empleadas en el contexto de operaciones comerciales internacionales podría dar lugar a una dualidad de regímenes para las firmas electrónicas, lo cual supondría un grave obstáculo para la utilización de esas técnicas (véase A/CN.9/484, párr. 55).

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17 (A/56/17), párrs. 241, 242 y 284.
A/CN.9/493, anexo, párrs. 88 a 92;
A/CN.9/484, párrs. 54 y 55;
A/CN.9/WG.IV/WP.88, anexo, párrs. 87 a 91;
A/CN.9/467, párrs. 22 a 24;
A/CN.9/WG.IV/WP.84, párr. 22;
A/CN.9/465, párrs. 36 a 42;
A/CN.9/WG.IV/WP.82, párr. 21;
A/CN.9/457, párrs. 53 a 64.

Artículo 2. Definiciones

Para los fines de la presente Ley:

a) Por «firma electrónica» se entenderá los datos en forma electrónica consignados en un mensaje de datos, o adjuntados o lógicamente asociados al mismo, y que puedan ser utilizados para identificar al firmante en relación con el mensaje de datos e indicar que el titular de la firma aprueba la información contenida en el mensaje de datos;

b) Por «certificado» se entenderá todo mensaje de datos u otro registro que confirme el vínculo entre un firmante y los datos de creación de la firma;

c) Por «mensaje de datos» se entenderá la información generada, enviada, recibida o archivada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el intercambio electrónico de datos (EDI), el correo electrónico, el telegrama, el télex o el telefax;

d) Por «firmante» se entenderá la persona que posee los datos de creación de la firma y que actúa en nombre propio o de la persona a la que representa;

e) Por «prestador de servicios de certificación» se entenderá la persona que expide certificados y puede prestar otros servicios relacionados con las firmas electrónicas;

f) Por «parte que confía» se entenderá la persona que pueda actuar sobre la base de un certificado o de una firma electrónica.

Definición de «firma electrónica»

La firma electrónica como equivalente funcional de la firma manuscrita

93. La noción de «firma electrónica» aspira a abarcar todos los usos tradicionales de una firma manuscrita con consecuencias jurídicas, siendo la identificación del firmante y la intención de firmar sólo el mínimo común denominador de los diversos criterios relativos a la «firma» que se hallan en los diversos ordenamientos jurídicos. Esas funciones de la firma manuscrita ya se examinaron en el contexto de la preparación del artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico. En consecuencia, definir una firma electrónica como capaz de indicar la aprobación de la información equivale primordialmente a establecer un requisito técnico previo para el reconocimiento de una determinada tecnología apta para crear el equivalente de una firma manuscrita. La definición no deja de lado el hecho de que las tecnologías comúnmente denominadas «firmas electrónicas» podrían utilizarse para otros fines que crear una firma jurídicamente pertinente. La definición se limita a ilustrar que la Ley Modelo se centra en el uso de firmas electrónicas como equivalentes funcionales de las manuscritas (véase el documento (A/CN.9/483, párr. 62). Para no introducir o sugerir limitaciones técnicas que afectaran al método en que el firmante pudiera utilizar para realizar la función equivalente a la firma manuscrita, se ha preferido emplear palabras flexibles como «datos que puedan ser utilizados» en vez de referencias a los medios «técnicamente capaces» del firmante (16).

Otros usos posibles de la firma electrónica

94. Debe trazarse una distinción entre la noción jurídica de «firma» y la noción técnica de «firma electrónica», término especializado que comprende algunas prácticas que no intervienen necesariamente en la producción de firmas jurídicamente pertinentes. En la preparación de la Ley Modelo, se estimó que había que señalar a la atención de los usuarios el riesgo de confusión que podría resultar del uso del mismo instrumento técnico para la producción de una firma jurídicamente pertinente y para otras funciones de autenticación o identificación (véase A/CN.9/483, párr. 62). Ese riesgo de confusión sobre la intención del firmante podría surgir cuando se utilizara la misma técnica de «firma electrónica» para expresar la aprobación, por parte del firmante, de la información «firmada» y pudiera utilizarse asimismo para realizar funciones de identificación que sólo asociaran el nombre del firmante a la transmisión del mensaje, sin indicar la aprobación de su contenido (véase el párrafo 120 infra). En la medida en que la firma electrónica sea utilizada para los fines expresamente enunciados en la Ley Modelo (es decir, expresar la aprobación de la información por parte del firmante), puede ocurrir que, en la práctica, la creación de esa firma electrónica se produzca antes de su utilización. En tal caso, el consentimiento del firmante debe evaluarse en el momento en que se adjunte la firma al documento y no en el momento en que se cree la firma (17).

Definición de «certificado»

Necesidad de una definición

95. La palabra «certificado» utilizada en el contexto de ciertos tipos de firma electrónica y definida en la Ley Modelo poco difiere de su significado general de documento mediante el cual una persona confirma ciertos hechos. La única diferencia es que el certificado se presenta en forma electrónica y no sobre papel. Sin embargo, dado que no en todos los ordenamientos jurídicos existe la noción general de «certificado», ni siquiera en todos los idiomas, se juzgó útil incluir una definición en el contexto de la Ley Modelo (véase A/CN.9/483, párr. 65).

Finalidad del certificado

96. La finalidad del certificado es reconocer, mostrar o confirmar un vínculo entre los datos de creación de la firma y el firmante. Ese vínculo nace cuando se generan los datos de creación de la firma (A/CN.9/483, párr. 67).

«Datos de creación de la firma»

97. En el contexto de las firmas electrónicas que no son firmas numéricas, la expresión «datos de creación de la firma» tiene por fin designar las claves secretas, los códigos u otros elementos que, en el proceso de crear una firma electrónica, se utilizan para obtener un vínculo seguro entre la firma electrónica resultante y la persona del firmante (véase A/CN.9/484, párr. 57). Por ejemplo, en el contexto de las firmas electrónicas basadas en dispositivos biométricos, el elemento decisivo sería el indicador biométrico, como una huella dactilar o los datos de barrido de la retina. La definición abarca únicamente los elementos nucleares que deben mantenerse bajo reserva para garantizar la calidad del proceso de firma, con exclusión de todo otro elemento que, aunque pueda contribuir al proceso de firma, cupiera divulgar sin poner en peligro la fiabilidad de la firma electrónica resultante. Por otra parte, en el contexto de las firmas numéricas fundadas en una criptografía asimétrica, el elemento nuclear operativo que podría describirse como «vinculado exclusivamente al firmante» es el par de claves criptográficas. En el caso de las firmas numéricas, tanto la clave pública como la privada están vinculadas a la persona del firmante. Dado que el objetivo primordial de un certificado, en el contexto de las firmas numéricas, es confirmar el vínculo entre la clave pública y el firmante (véanse los párrafos 53 a 56 y 62 j) supra), es también necesario certificar que la clave pública pertenece al firmante. Si bien sólo la clave privada entra en esta descripción de los «datos de creación de la firma», es importante subrayar, para evitar dudas, que en el contexto de las firmas numéricas debe considerarse que la definición de «certificado» en el artículo 2 b) incluye la confirmación del vínculo entre el firmante y la clave pública de éste.

Otro de los elementos que no ha de abarcar la definición es el texto firmado electrónicamente, aunque desempeña también un importante papel en el proceso de creación de la firma (mediante una función de control o de otra manera). El artículo 6 expresa la idea de que los datos de creación de la firma deben estar vinculados al firmante y a ninguna otra persona (A/CN.9/483, párr. 75).

Definición de «mensaje de datos»

98. La definición de «mensaje de datos» está tomada del artículo 2 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico como noción amplia que comprende todos los mensajes generados en el contexto del comercio electrónico, incluido el basado en la red (A/CN.9/483, párr. 69).

La noción de «mensaje de datos» no se limita a la comunicación sino que pretende abarcar asimismo los registros generados informáticamente no destinados a la comunicación. Por lo tanto, la noción de «mensaje» comprende la de «registro».

99. La referencia a «medios similares» tiene por objeto reflejar el hecho de que la Ley Modelo no fue pensada únicamente para su aplicación en el contexto de las técnicas de comunicación existentes sino también para dar cabida a las novedades técnicas previsibles. El fin de la definición de «mensaje de datos» es comprender todos los tipos de mensajes generados, almacenados o comunicados básicamente sin papel. Con esta finalidad, se quiere que todos los medios de comunicación y almacenamiento de información que quepa utilizar para desempeñar funciones paralelas a las realizadas con los medios enumerados en la definición queden cubiertos mediante la referencia a «medios similares», si bien, por ejemplo, los medios de comunicación «electrónicos» y «ópticos» puedan no ser, en sentido estricto, similares. Para los fines de la Ley Modelo, la palabra «similares» connota «funcionalmente equivalentes».

100. La definición de «mensaje de datos» tiene además por fin su aplicación en el caso de revocación o modificación. Se presume que un mensaje de datos tiene un contenido fijo de información que puede, empero, ser revocado o modificado por otro mensaje de datos (véase la Guía para la incorporación al derecho interno de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, párrs. 30 a 32).

Definición de «firmante»

«una persona»

101. De forma coherente con el criterio adoptado en la Ley Modelo de la CNUDMI sobre Comercio Electrónico toda referencia en la nueva Ley Modelo a una «persona» debe entenderse que abarca todos los tipos de personas o entidades, físicas, colectivas o personas jurídicas de otra índole (A/CN.9/483, párr. 86).

«en nombre de la persona a la que representa»

102. La analogía con las firmas manuscritas puede no siempre ser adecuada para aprovechar las posibilidades que ofrece la tecnología moderna.

En un entorno basado en el papel, por ejemplo, las personas jurídicas no pueden ser estrictamente hablando firmantes de los documentos redactados en su nombre, porque sólo las personas físicas pueden producir firmas manuscritas auténticas. Pero cabe concebir que las firmas electrónicas sean atribuibles a sociedades u otras personas jurídicas (incluidas las autoridades gubernamentales y otras de carácter público), y pueden darse situaciones en que la identidad de la persona que genera realmente la firma, cuando se requiere un acto humano, no sea importante a los efectos para los que se creó la firma (A/CN.9/483, párr. 85).

103. Sin embargo, conforme a la Ley Modelo la noción de «firmante» no puede separarse de la persona o entidad que genera realmente la firma electrónica, dado que varias obligaciones concretas del firmante conforme a la Ley Modelo están lógicamente vinculadas con el control efectivo de los datos de creación de la firma. No obstante, para cubrir las situaciones en que el firmante actuaría en representación de otra persona, se ha conservado en la definición de «firmante» la frase «o en nombre de la persona a la que representa». La medida en que una persona pueda quedar obligada por una firma electrónica generada «en nombre propio» es asunto que debe decidirse de acuerdo con la ley que rige, según corresponda, la relación jurídica entre el firmante y la persona en cuyo nombre se genera la firma electrónica, por un aparte, y por otra, la parte que confía en ella. Esa materia, así como otras pertenecientes a la operación subyacente, incluidas cuestiones de mandato y otras relativas a quién es responsable en último término del incumplimiento por el signatario de sus obligaciones conforme al artículo 8 (si el firmante o la persona por él representada) queda fuera del ámbito de la Ley Modelo (A/CN.9/483, párrs. 86 y 87).

Definición de «prestador de servicios de certificación»

104. Como mínimo, el prestador de servicios de certificación definido para los fines de la Ley Modelo tendría que prestar servicios de certificación, posiblemente junto con otros servicios (A/CN.9/483, párr. 100).

105. No se ha establecido ninguna distinción en la Ley Modelo entre las situaciones en que un prestador de servicios de certificación se dedica a prestarlos como actividad principal o como negocio auxiliar, con carácter habitual u ocasional, directamente o mediante un subcontratista. La definición comprende todas las entidades que prestan servicios de certificación en el ámbito material de la Ley Modelo, es decir, «en el contexto de actividades comerciales». Con todo, vista esa limitación en el ámbito de aplicación de la Ley Modelo, las entidades que expidieran certificados con fines internos y no con fines comerciales no estarían comprendidas en la categoría de «prestadores de servicios de certificación» definida en el artículo 2 (A/CN.9/483, párrs. 94 a 99).

Definición de «parte que confía»

106. La definición de «parte que confía» tiene por fin asegurar la simetría en la definición de las diversas partes que intervienen en el funcionamiento de sistemas de firma electrónica conforme a la Ley Modelo (A/CN.9/483, párr. 107). Para los fines de esa definición, «actuar» debe interpretarse con amplitud de modo que abarque no sólo un acto positivo sino también una omisión (A/CN.9/483, párr. 108).

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17
(A/56/17), párrs. 205 a 207, 243 a 251 y 284;
A/CN.9/493, anexo, párrs. 93 a 106;
A/CN.9/484, párrs. 56 y 57;
A/CN.9/WG.IV/WP.88, anexo, párrs. 92 a 105;
A/CN.9/483, párrs. 59 a 109;
A/CN.9/WG.IV/WP.84, párrs. 23 a 36;
A/CN.9/465, párr. 42;
A/CN.9/WG.IV/WP.82, párrs. 22 a 33;
A/CN.9/457, párrs. 22 a 47; 66, 67, 89 y 109;
A/CN.9/WG.IV/WP.80, párrs. 7 a 10;
A/CN.9/WG.IV/WP.79, párr. 21;
A/CN.9/454, párr. 20;
A/CN.9/WG.IV/WP.76, párrs. 16 a 20;
A/CN.9/446, párrs. 27 a 46 (proyecto de artículo 1), 62 a 70 (proyecto de artículo 4), 113 a 131 (proyecto de artículo 8), 132 y 133 (proyecto de artículo 9)
A/CN.9/WG.IV/WP.73, párrs. 16 a 27; 37, 38, 50 a 57 y 58 a 60;
A/CN.9/437, párrs. 29 a 50 y 90 a 113 (proyectos de artículos A, B y C); y
A/CN.9/WG.IV/WP.71, párrs. 52-60.

Artículo 3. Igualdad de tratamiento de las tecnologías para la firma Ninguna de las disposiciones de la presente Ley, con la excepción del artículo 5, será aplicada de modo que excluya, restrinja o prive de efecto jurídico cualquier método para crear una firma electrónica que cumpla los requisitos enunciados en el párrafo 1) del artículo 6 o que cumpla de otro modo los requisitos del derecho aplicable.

Neutralidad respecto de la tecnología

107. En el artículo 3 se enuncia el principio fundamental de que ningún método de firma electrónica puede ser objeto de discriminación, es decir, que debe darse a todas las tecnologías la misma oportunidad de satisfacer los requisitos del artículo 6. En consecuencia, no debe haber diferencias de tratamiento entre los mensajes firmados electrónicamente y los documentos de papel con firmas manuscritas, ni entre diversos tipos de mensajes firmados electrónicamente, siempre y cuando cumplan los requisitos básicos enunciados en el párrafo 1) del artículo 6 de la Ley Modelo o cualquier otro requisito enunciado en el derecho aplicable. Esos requisitos podrían, por ejemplo, prescribir el uso de una técnica de firma especialmente concebida en ciertas situaciones especificadas o podrían fijar una pauta superior o inferior a la establecida en el artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico (y en el artículo 6 de la Ley Modelo). El principio fundamental de la no discriminación se ha concebido con la finalidad de tener una aplicación general. Sin embargo, cabe señalar que ese principio no tiene que afectar a la autonomía de la voluntad contractual de las partes reconocida en el artículo 5. Por consiguiente, las partes pueden seguir acordando entre ellas, siempre que lo permita la ley, la exclusión de ciertas técnicas de firma electrónica. Al disponer que la presente Ley no se aplicará «de modo que excluya, restrinja o prive de efecto jurídico cualquier método para crear una firma electrónica», el artículo 3 indica meramente que la forma en que se aplica una determinada firma electrónica no puede invocarse como única razón para denegar eficacia jurídica a esa firma. Sin embargo, no debe interpretarse erróneamente el artículo 3 considerando que establece la validez jurídica de una determinada técnica de firma o de una determinada información firmada por medios electrónicos.

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17
(A/56/17), párrs. 252, 253 y 284;
A/CN.9/493, anexo, párrs. 107;
A/CN.9/WG.IV/WP.88, anexo, párr. 106;
A/CN.9/467, párrs. 25 a 32;
A/CN.9/WG.IV/WP.84, párr. 37;
A/CN.9/465, párrs. 43 a 48;
A/CN.9/WG.IV/WP.82, párr. 34;
A/CN.9/457, párrs. 53 a 64.

Artículo 4. Interpretación

1) En la interpretación de la presente Ley habrán de tenerse en cuenta su origen internacional y la necesidad de promover la uniformidad en su aplicación y la observancia de la buena fe.

2) Las cuestiones relativas a materias que se rijan por la presente Ley y que no estén expresamente resueltas en ella serán dirimidas de conformidad con los principios generales en que se inspira.

Fuente

108. El artículo 4 se inspira en el artículo 7 de la Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías y su texto es reproducción del artículo 3 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico. El artículo tiene la finalidad de dar orientación a los tribunales arbitrales y ordinarios y a otras autoridades administrativas nacionales o locales en la interpretación de la Ley Modelo.

Con el artículo 4 se pretende lograr que, una vez incorporado a la legislación de los países, el texto uniforme se interprete menos por referencia exclusiva a los conceptos de derecho nacional.

Párrafo 1)

109. La finalidad del párrafo 1) es advertir a la persona que deba aplicar la Ley Modelo de que las disposiciones de éste (o las disposiciones del instrumento por el que se dé aplicación a la Ley Modelo), aunque estén incorporadas a la legislación nacional y sean por tanto derecho nacional, deben interpretarse teniendo en cuenta su origen internacional, a fin de asegurar la uniformidad en la interpretación de la Ley Modelo en todos los países promulgantes.

Párrafo 2)

110. Entre los principios generales en que se basa la Ley Modelo, cabe hacer la siguiente relación no exhaustiva de objetivos:

a) facilitar el comercio electrónico entre los países y en los países;

b) validar las operaciones concertadas mediante nuevas tecnologías de información;

c) promover y alentar de forma neutral respecto de la tecnología la aplicación de nuevas tecnologías de información en general y de las firmas electrónicas en particular;

d) promover la uniformidad del derecho; y e) apoyar la práctica comercial. Si bien el objetivo general de la Ley Modelo es facilitar la utilización de las firmas electrónicas, no debería interpretarse en modo alguno en el sentido de que impone su utilización.

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17
(A/56/17), párrs. 254, 255 y 284;
A/CN.9/493, anexo, párrs. 108 a 110;
A/CN.9/WG.IV/WP.88, anexo, párrs. 107 a 109;
A/CN.9/467, párrs. 33 a 35;
A/CN.9/WG.IV/WP.84, párr. 38;
A/CN.9/465, párrs. 49 y 50;
A/CN.9/WG.IV/WP.82, párr. 35.

Artículo 5. Modificación mediante acuerdo

Las partes podrán hacer excepciones a la presente Ley o modificar sus efectos mediante acuerdo, salvo que ese acuerdo no sea válido o eficaz conforme al derecho aplicable.

Remisión al derecho aplicable

111. La decisión de emprender la preparación de la Ley Modelo se adoptó ante la evidencia de que, en la práctica, las soluciones de las dificultades jurídicas que plantea la utilización de los medios modernos de comunicación suelen buscarse en los contratos. Por consiguiente, la Ley Modelo se ha concebido con la finalidad de apoyar el principio de la autonomía de la voluntad de las partes. Sin embargo, el derecho aplicable puede limitar la aplicación de ese principio. No debe interpretarse el artículo 5 en el sentido de que permita a las partes apartarse de las reglas imperativas, como por ejemplo las reglas adoptadas por razones de orden público.

Tampoco debería interpretarse el artículo 5 en el sentido de que aliente a los Estados a establecer una legislación imperativa que limite el efecto de la autonomía de la voluntad de las partes con respecto a las firmas electrónicas o que invite a los Estados a restringir esa autonomía para acordar entre ellas las soluciones de las cuestiones de los requisitos de forma que rijan sus comunicaciones.

112. El principio de la autonomía de la voluntad de las partes es ampliamente aplicable con respecto a las disposiciones de la Ley Modelo, ya que ésta no contiene ninguna disposición imperativa. Ese principio rige también en el contexto del párrafo 1) del artículo 13. En consecuencia, si bien los tribunales del Estado promulgante o las entidades encargadas de aplicar la Ley Modelo no deben negar ni anular los efectos jurídicos de un certificado extranjero únicamente en función del lugar en que se ha expedido, el párrafo 1) del artículo 13 no limita la libertad de las partes en una operación comercial para convenir la utilización de certificados procedentes de un determinado lugar (A/CN.9/483, párr. 112).

Acuerdo explícito o implícito

113. Con respecto a la forma en que se expresa el principio de la autonomía de la voluntad de las partes en el artículo 5, durante la preparación de la Ley Modelo se reconoció en general que la modificación mediante acuerdo podía ser explícita o implícita. El texto del artículo 5 se ha ajustado al del artículo 6 de la Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías (A/CN.9/467, párr. 38).

Acuerdo bilateral o multilateral

114. El artículo 5 tiene la finalidad de ser aplicable no solo en el contexto de las relaciones entre iniciadores y destinatarios de mensajes de datos sino también en el marco de las relaciones con intervención de intermediarios.

Así pues, las disposiciones de la Ley Modelo podrían modificarse mediante acuerdos bilaterales o multilaterales entre las partes o mediante reglas de un sistema convenido por las partes. Normalmente, el derecho aplicable limitaría la autonomía de la voluntad de las partes a los derechos y obligaciones dimanantes para las partes, a fin de evitar repercusiones en cuanto a los derechos y obligaciones de terceros.

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17
(A/56/17), párrs. 208, 209, 256, 257 y 284;
A/CN.9/493, anexo, párrs. 111 a 114;
A/CN.9/WG.IV/WP.88, anexo, párrs. 110 a 113;
A/CN.9/467, párrs. 36 a 43;
A/CN.9/WG.IV/WP.84, párrs. 39 y 40;
A/CN.9/465, párrs. 51 a 61;
A/CN.9/WG.IV/WP.82, párrs. 36 a 40;
A/CN.9/457, párrs. 53 a 64.

Artículo 6. Cumplimiento del requisito de firma

1) Cuando la ley exija la firma de una persona, ese requisito quedará cumplido en relación con un mensaje de datos si se utiliza una firma electrónica que, a la luz de todas las circunstancias del caso, incluido cualquier acuerdo aplicable, sea tan fiable como resulte apropiada a los fines para los cuales se generó o comunicó ese mensaje.

2) El párrafo 1) será aplicable tanto si el requisito a que se refiere está expresado en la forma de una obligación como si la ley simplemente prevé consecuencias para el caso de que no haya firma.

3) La firma electrónica se considerará fiable a los efectos del cumplimiento del requisito a que se refiere el párrafo 1) si:

a) los datos de creación de la firma, en el contexto en que son utilizados, corresponden exclusivamente al firmante;

b) los datos de creación de la firma electrónica estaban, en el momento de la firma, bajo el control exclusivo del firmante;

c) es posible detectar cualquier alteración de la firma electrónica hecha después del momento de la firma; y

d) cuando uno de los objetivos del requisito legal de firma consista en dar seguridades en cuanto a la integridad de la información a que corresponde, es posible detectar cualquier alteración de esa información hecha después del momento de la firma.

4) Lo dispuesto en el párrafo 3) se entenderá sin perjuicio de la posibilidad de que cualquier persona:

a) demuestre de cualquier otra manera, a los efectos de cumplir el requisito a que se refiere el párrafo 1), la fiabilidad de una firma electrónica; o

b) aduzca pruebas de que una firma electrónica no es fiable.

5) Lo dispuesto en el presente artículo no será aplicable a: […].

Importancia del artículo 6

115. El artículo 6 es una de las disposiciones clave de la Ley Modelo. El artículo 6 sigue la pauta del artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico y tiene por objeto dar orientación sobre el modo en que puede satisfacerse el criterio de fiabilidad del apartado b) del párrafo 1) del artículo 7. En la interpretación del artículo 6 debería tenerse presente que el propósito de esa disposición es asegurar que la utilización de una firma electrónica fidedigna tenga las mismas consecuencias jurídicas que pudiera tener una firma manuscrita.

Párrafos 1), 2) y 5)

116. Los párrafos 1), 2) y 5) del artículo 6 introducen disposiciones extraídas de los párrafos 1) b), 2) y 3), respectivamente, del artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico. La definición de «firma electrónica» que figura en el artículo 2 a) ya se inspira en el artículo 7 1) a) de la Ley Modelo de la CNUDMI sobre Comercio Electrónico.

Conceptos de «identidad» e «identificación»

117. El Grupo de Trabajo convino en que, a efectos de definición de la «firma electrónica» en la Ley Modelo, el concepto de «identificación» podría ser más que la mera identificación del firmante por su nombre. El concepto de identidad o identificación sirve para diferenciar al firmante de toda otra persona recurriendo a su nombre o a otros datos, que pueden ser otras características notables como la posición o la autoridad de esa persona, ya sea en combinación con un nombre o sin ninguna indicación de nombre. Sobre esa base, no es necesario distinguir entre la identidad y otras características notables de la persona ni limitar la Ley Modelo a las situaciones en que sólo se utilizan certificados de identidad en que se menciona el nombre del tenedor del dispositivo de creación de la firma (A/CN.9/467, párrs. 56 a 58).

Variación del efecto de la Ley Modelo en función de la fiabilidad técnica

118. Durante la preparación de la Ley Modelo, se expresó la opinión de que (mediante una referencia al concepto de «firma electrónica refrendada» o mediante una mención directa de los criterios para verificar la fiabilidad técnica de una determinada técnica de firma) se debería dar al artículo 6 el doble objetivo de establecer: a) que la aplicación de las técnicas de firmas electrónicas reconocidas como fiables tendría efectos jurídicos; y b) inversamente, que no se producirían tales efectos jurídicos al utilizarse técnicas de menor fiabilidad. No obstante, se estimó en general que convendría hacer una distinción más sutil entre las diversas técnicas posibles de firma electrónica, ya que debería evitarse que la Ley Modelo discriminara algún tipo de firma electrónica, por más que en determinadas circunstancias alguna de ellas pudiera parecer poco compleja o segura. Por consiguiente, toda técnica de firma electrónica aplicada con el propósito de firmar un mensaje de datos en el sentido del artículo 7 1) a) de la Ley Modelo de la CNUDMI sobre Comercio Electrónico podía producir efectos jurídicos, siempre y cuando fuera suficientemente fiable habida cuenta de todas las circunstancias, incluidos los eventuales acuerdos entre las partes.

Sin embargo, en virtud del artículo 7 de la Ley Modelo, la determinación de lo que constituye un método fiable de firma habida cuenta de las circunstancias sólo puede ser efectuada por un tribunal u otro investigador de hechos que intervenga a posteriori, posiblemente mucho tiempo después de que se haya utilizado la firma electrónica. En cambio, la Ley Modelo debe crear en principio un beneficio para ciertas técnicas consideradas particularmente fiables independientemente de las circunstancias en que se utilicen. Esta es la finalidad del párrafo 3), que debe crear la certeza (ya sea mediante una presunción o una regla de fondo), en el momento de utilizarse la técnica de firma electrónica o con anterioridad a ese momento (a priori), de que la utilización de una técnica reconocida producirá efectos jurídicos equivalentes a los que surtiría una firma manuscrita. Así pues, el párrafo 3) es una disposición esencial para que la nueva Ley Modelo cumpla su objetivo de ofrecer una certeza mayor que la que ya brinda la Ley Modelo de la CNUDMI sobre Comercio Electrónico en cuanto al efecto jurídico que cabe esperar de la utilización de tipos de firmas electrónicas particularmente fiables (véase A/CN.9/465, párr. 64).

Presunción o regla sustantiva

119. A fin de crear certeza sobre el efecto jurídico resultante de la utilización de una firma electrónica según la definición del artículo 2, el párrafo 3) establece expresamente los efectos jurídicos que se derivarían de la conjunción de ciertas características técnicas de una firma electrónica (véase A/CN.9/484, párr. 58). En cuanto a la forma en que se establecerían esos efectos jurídicos, los Estados promulgantes, a reserva de lo que dispusiera su legislación de procedimiento civil y comercial, deberían poder adoptar una presunción o proceder a fijar directamente un vínculo entre ciertas características técnicas y el efecto jurídico de una firma (véase A/CN.9/467, párrs. 61 y 62).

Intención del firmante

120. Queda pendiente la cuestión de si se produce algún efecto jurídico al utilizarse técnicas de firma electrónica cuando el firmante no tiene la clara intención de quedar jurídicamente vinculado por la aprobación de la información firmada por medios electrónicos. En tal circunstancia, no se cumple la segunda función descrita en el artículo 7 1) a) de la Ley Modelo de la CNUDMI sobre Comercio Electrónico, pues no existe intención de «indicar que [se] aprueba la información que figura en el mensaje de datos».

El criterio adoptado en la Ley Modelo es que las consecuencias jurídicas de la utilización de una firma manuscrita deben reproducirse también en los mensajes electrónicos. Así pues, al adjuntar una firma (ya sea manuscrita o electrónica) a cierta información, cabe presumir que el firmante ha aprobado la vinculación de su identidad con esa información. La posibilidad de que esa vinculación produjera efectos jurídicos (contractuales o de otra índole) dependería de la naturaleza de la información consignada y de otras circunstancias que habría que evaluar conforme al derecho aplicable al margen de la Ley Modelo. En ese contexto, no se pretende que la Ley Modelo interfiera en el derecho general de los contratos o de las obligaciones (véase A/CN.9/465, párr. 65).

Criterios de fiabilidad técnica

121. Los apartados a) a d) del párrafo 3) tienen la finalidad de expresar criterios objetivos de fiabilidad técnica de las firmas electrónicas. El apartado a) se centra en las características objetivas de los datos de creación de la firma, que debe «corresponder exclusivamente al firmante». Desde el punto de vista técnico, los datos de creación de la firma podrían corresponder exclusivamente al firmante sin ser por sí mismos «exclusivos». El vínculo entre los datos utilizados para la creación de la firma y el firmante constituye el elemento esencial (A/CN.9/467, párr. 63). Si bien ciertos datos de creación de la firma electrónica pueden ser compartidos por diversos usuarios, por ejemplo, en el caso de varios empleados que usan conjuntamente los datos de creación de la firma de una empresa, es preciso que los datos puedan identificar inequívocamente a un usuario en el contexto de cada firma electrónica.

Control exclusivo de los datos de creación de la firma por el firmante

122. El apartado b) regula las circunstancias en que se utilizan los datos de creación de la firma. En el momento de su utilización, los datos deben estar bajo el control exclusivo del firmante. En relación con el concepto de control exclusivo por parte del firmante se plantea la cuestión de si éste conservaría la capacidad para autorizar a otra persona a utilizar en su nombre los datos de la firma. Esta situación podría plantearse en el contexto de una empresa que fuera titular de una firma pero que autorizara a varias personas a firmar en su nombre (A/CN.9/467, párr. 66). Otro ejemplo sería el de ciertas aplicaciones empresariales, por ejemplo, cuando los datos de la firma figuran en una red y pueden ser utilizados por diversas personas.

En tal situación, cabe suponer que la red correspondería a una determinada entidad que sería titular de la firma y controlaría los datos de creación de la firma. Si no fuera así y los datos de la firma estuviesen a disposición de cualquier persona, no deberían quedar comprendidos en la Ley Modelo (A/CN.9/467, párr. 67). Cuando una clave única sea utilizada por más de una persona dentro de un sistema de «clave compartida» o de algún otro sistema de «secreto compartido», toda referencia al «firmante» ha de entenderse como una referencia a esas personas en conjunto (A/CN.9/483, párr. 152).

Mandato

123. Los apartados a) y b) tienen el objetivo común de asegurar que los datos de creación de la firma sólo puedan ser utilizados por una sola persona en un momento determinado, básicamente el momento de la firma, y por nadie más. La cuestión del mandato o la autorización para utilizar los datos de la firma se aborda en la definición de «firmante» (A/CN.9/467, párr. 68).

Integridad

124. Los apartados c) y d) regulan las cuestiones de la integridad de la firma electrónica y la integridad de la información consignada en el mensaje firmado electrónicamente. Se habrían podido combinar las dos disposiciones para subrayar la idea de que, cuando se adjunta una firma a un documento, la integridad del documento y la integridad de la firma son dos conceptos que están tan estrechamente vinculados que no pueden concebirse por separado. No obstante, se decidió que la Ley Modelo siguiera la distinción hecha en la Ley Modelo de la CNUDMI sobre Comercio Electrónico entre los artículos 7 y 8. Si bien algunas tecnologías aportan al mismo tiempo la autenticación (artículo 7 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico) y la integridad (artículo 8 de la Ley Modelo de la CNUDMI sobre Comercio Electrónico), se trata de dos conceptos jurídicos diferenciados que deben tratarse como tales. Dado que una firma manuscrita no garantiza la integridad del documento al que se adjunta ni garantiza que puedan detectarse eventuales cambios introducidos en el documento, el criterio de la equivalencia funcional exige que esos conceptos no se regulen en una única disposición. La finalidad del apartado c) del párrafo 3) es enunciar el criterio que debe cumplirse para demostrar que un determinado método de firma electrónica es suficientemente fiable para satisfacer el requisito legal de la firma. Ese requisito legal podía satisfacerse sin tener que demostrar la integridad de todo el documento (véase A/CN.9/467, párrs. 72 a 80).

125. El apartado d) se ha concebido principalmente para los países cuya normativa legal sobre las firmas manuscritas no permitía hacer una distinción entre la integridad de la firma y la integridad de la información consignada.

En otros países, el apartado d) podría crear una firma que resultara más fiable que una firma manuscrita e ir así más allá del concepto de equivalente funcional de una firma. En ciertas jurisdicciones, el efecto del apartado d) podría ser la creación de un equivalente funcional a un documento original (véase A/CN.9/484, párr. 62).

Firma electrónica de parte de un mensaje

126. En el apartado d) el vínculo necesario entre la firma y la información firmada se expresa evitando que ello implique que la firma electrónica sólo pueda ser aplicable al contenido íntegro de un mensaje de datos.

De hecho, en muchos casos la información firmada constituye sólo una parte de la información consignada en el mensaje de datos. Por ejemplo, una firma electrónica puede referirse únicamente a la información adjuntada al mensaje a efectos de transmisión.

Modificación mediante acuerdo

127. El párrafo 3) no tiene la finalidad de limitar la aplicación del artículo 5 ni de ningún derecho aplicable que reconozca la libertad de las partes para estipular en cualquier acuerdo pertinente que considerarán que una determinada técnica de firma constituirá entre dichas partes un equivalente fiable a una firma manuscrita.

128. El apartado a) del párrafo 4) tiene la finalidad de dar una base jurídica a la práctica comercial por la que muchas partes comerciales regulan mediante contrato sus relaciones en lo referente a la utilización de firmas electrónicas (véase A/CN.9/484, párr. 63).

Posibilidad de aducir pruebas de que una firma electrónica no es fiable

129. El apartado b) del párrafo 4) tiene la finalidad de dejar claro que la Ley Modelo no limita ninguna eventual posibilidad de rebatir la presunción enunciada en el párrafo 3) (véase A/CN.9/484, párr. 63).

Exclusiones del ámbito de aplicación del artículo 6

130. El principio enunciado en el párrafo 5) consiste en que el Estado promulgante podrá excluir la aplicación del artículo 6 a ciertas situaciones que especifique la legislación por la que se incorpore la Ley Modelo al derecho interno. El Estado promulgante tal vez desee excluir expresamente ciertos tipos de situaciones, en particular en función de la finalidad con que se haya establecido un requisito formal de firma manuscrita. Por ejemplo, cabría considerar una exclusión específica en el contexto de las formalidades que impongan al Estado promulgante los tratados internacionales y en otros tipos de situaciones y cuestiones de derecho que el Estado promulgante no pueda modificar por vía legislativa.

131. El párrafo 5) se incluyó en el texto de la Ley Modelo para darle una mayor aceptabilidad. La disposición reconoce que la especificación de las exclusiones debe corresponder a los Estados promulgantes; de este modo se tendrían mejor en cuenta las diferencias entre las circunstancias nacionales.

No obstante, conviene destacar que si se utiliza el párrafo 5) para establecer excepciones generales, la Ley Modelo no cumplirá su finalidad, por lo que no habría que abusar de la posibilidad que ofrece esa disposición. Si se prevén muchas exclusiones de la aplicación del artículo 6, se obstaculizará innecesariamente el desarrollo de las firmas electrónicas, ya que lo que se enuncia en la Ley Modelo son principios y criterios muy fundamentales concebidos para su aplicación general (véase A/CN.9/484, párr. 63).

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17
(A/56/17), párrs. 258, 259, y 284;
A/CN.9/493, anexo, párrs. 115 a 131;
A/CN.9/484, párrs. 58 a 63;
A/CN.9/WG.IV/WP.88, anexo, párrs. 114 a 126;
A/CN.9/467, párrs. 44 a 87;
A/CN.9/WG.IV/WP.84, párrs. 41 a 47;
A/CN.9/465, párrs. 62 a 82;
A/CN.9/WG.4/WP.82, párrs. 42 a 44;
A/CN.9/457, párrs. 48 a 52;
A/CN.9/WG.IV/WP.80, párrs. 11 y 12.

Artículo 7. Cumplimiento de lo dispuesto en el artículo 6

1) [La persona, el órgano o la entidad, del sector público o privado, a que el Estado promulgante haya expresamente atribuido competencia] podrá determinar qué firmas electrónicas cumplen lo dispuesto en el artículo 6.

2) La determinación que se haga con arreglo al párrafo 1) deberá ser compatible con las normas internacionales reconocidas.

3) Lo dispuesto en el presente artículo se entenderá sin perjuicio de la aplicación de las normas del derecho internacional privado.

Determinación previa de la condición jurídica de la firma electrónica

132. En el artículo 7 se describe la función desempeñada por el Estado promulgante al establecer o reconocer la entidad que puede validar el uso de firmas electrónicas o certificar su calidad. Al igual que el artículo 6, el artículo 7 se basa en la idea de que lo indispensable para facilitar el desarrollo del comercio electrónico es la certeza y la previsibilidad cuando las partes comerciales hagan uso de técnicas de firma electrónica, no cuando haya una controversia ante un tribunal. Cuando una determinada técnica de firma pueda satisfacer los requisitos de un alto nivel de fiabilidad y seguridad, debería existir un medio para evaluar los aspectos técnicos de la fiabilidad y la seguridad y para dar a la técnica de firma algún tipo de reconocimiento.

Finalidad del artículo 7

133. La finalidad del artículo 7 es aclarar que el Estado promulgante puede designar un órgano o una autoridad confiriéndole la facultad para determinar qué tecnologías específicas pueden beneficiarse de la regla que establece el artículo 6. El artículo 7 no es una disposición de habilitación que los Estados puedan o deban necesariamente promulgar en su forma actual. No obstante, tiene el propósito de transmitir el claro mensaje de que puede lograrse certeza y previsibilidad determinando qué técnicas de firma electrónica cumplen los criterios de fiabilidad del artículo 6, siempre y cuando tal determinación se efectúe de conformidad con las normas internacionales.

No debe interpretarse el artículo 7 en el sentido de que prescribe efectos jurídicos imperativos para la utilización de ciertos tipos de técnicas de firma, o de que limita la utilización de tecnología a las técnicas que, según se haya determinado, satisfacen los requisitos de fiabilidad del artículo 6. Por ejemplo, las partes deberían tener libertad para utilizar las técnicas que hayan convenido, aunque no se haya determinado que cumplen los requisitos del artículo 6. También deberían tener libertad para demostrar ante un tribunal ordinario o arbitral que el método de firma que han elegido satisface de hecho los requisitos del artículo 6, aun cuando no haya sido objeto de evaluación para determinar si es así.

Párrafo 1)

134. El párrafo 1) especifica que la entidad que pueda validar la utilización de firmas electrónicas o certificar su calidad no tiene por qué representar una autoridad estatal. No debe deducirse de ello que el párrafo 1) recomienda a los Estados el único medio para lograr el reconocimiento de tecnologías de firma, sino más bien que el párrafo indica las limitaciones aplicables si los Estados optan por ese criterio.

Párrafo 2)

135. Con respecto al párrafo 2), el concepto de «normas» no debe limitarse a las normas formuladas, por ejemplo, por la Organización Internacional de Normalización (ISO) o por la Internet Engineering Task Force (IETF), ni a otras normas técnicas. La palabra «normas» debe interpretarse en un sentido amplio, que abarque las prácticas industriales y los usos comerciales, los textos dimanantes de organizaciones internacionales como la Cámara de Comercio Internacional, los órganos regionales de acreditación dependientes de la ISO (véase A/CN.9/484, párr. 66), el Word Wide Web Consortium (W3C), órganos regionales de normalización (18) y la labor de la CNUDMI propiamente dicha (incluidas la presente Ley Modelo y también la Ley Modelo de la CNUDMI sobre Comercio Electrónico). La posible falta de normas pertinentes no debe impedir a las personas o autoridades competentes efectuar la determinación mencionada en el párrafo 1). En cuanto a las normas «reconocidas», convendría plantearse lo que constituye «reconocimiento» y de quién hay que obtenerlo (véase A/CN.9/465, párr. 94). Esa cuestión se examina en relación con el artículo 12 (véase infra, párr. 159).

Párrafo 3)

136. El párrafo 3) tiene la finalidad de dejar bien claro que el objetivo del artículo 7 es no obstaculizar la vigencia de las normas de derecho internacional privado (véase A/CN.9/467, párr. 94). A falta de tal disposición, podría malinterpretarse el artículo 7 y suponer que alienta a los Estados promulgantes a discriminar las firmas electrónicas extranjeras por no cumplir las reglas enunciadas por la persona o autoridad pertinente conforme al párrafo 1).

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período
de sesiones, Suplemento núm. 17
(A/56/17), párrs. 210, 211, 260, 261 y 284;
A/CN.9/493, anexo, párrs. 132 a 136;
A/CN.9/484, párrs. 64 a 66;
A/CN.9/WG.IV/WP.88, párrs. 127 a 131;
A/CN.9/467, párrs. 90 a 95;
A/CN.9/WG.IV/WP.84, párrs. 49 a 51;
A/CN.9/465, párrs. 90 a 98;
A/CN.9/WG.IV/WP.82, párr. 46;
A/CN.9/457, párrs. 48 a 52;
A/CN.9/WG.IV/WP.80, párr. 15.

Artículo 8. Proceder del firmante

1) Cuando puedan utilizarse datos de creación de firmas para crear una firma con efectos jurídicos, cada firmante deberá:

a) actuar con diligencia razonable para evitar la utilización no autorizada de sus datos de creación de la firma;

b) dar aviso sin dilación indebida a cualquier persona que, según pueda razonablemente prever, pueda considerar fiable la firma electrónica o prestar servicios que la apoyen si:

i) sabe que los datos de creación de la firma han quedado en entredicho; o

ii) las circunstancias de que tiene conocimiento dan lugar a un riesgo considerable de que los datos de creación de la firma hayan quedado en entredicho;

c) cuando se emplee un certificado para refrendar la firma electrónica, actuar con diligencia razonable para cerciorarse de que todas las declaraciones que haya hecho en relación con su ciclo vital o que hayan de consignarse en él sean exactas y cabales.

2) El firmante incurrirá en responsabilidad por el incumplimiento de los requisitos enunciados en el párrafo 1).

Título

137. Inicialmente se había previsto que el artículo 8 (y los artículos 9 y 11) contuvieran reglas relativas a las obligaciones y responsabilidades de las diversas partes interesadas (el firmante, la parte que confía en la firma y el eventual prestador de servicios de certificación). No obstante, los rápidos cambios que afectaban a los aspectos técnicos y comerciales del comercio electrónico, junto con el papel que actualmente desempeñaba la autorreglamentación en el comercio electrónico de ciertos países, dificultaban el consenso sobre el contenido de esas reglas. Los artículos se han redactado de modo que representen un «código de conducta» mínimo para las diversas partes. Como se indica en el contexto del artículo 9 con respecto a los prestadores de servicios de certificación (véase el párrafo 144 infra), la Ley Modelo no exige del firmante un grado de diligencia o de fiabilidad que no corresponda razonablemente a los fines para los que se utilice la firma electrónica o el certificado (véase A/CN.9/484, párr. 67).

Así pues, la Ley Modelo favorece una solución que vincule las obligaciones enunciadas en los artículos 8 y 9 a la creación de firmas electrónicas con eficacia jurídica (A/CN.9/483, párr. 117). El principio de la responsabilidad del firmante por el incumplimiento del párrafo 1) viene enunciado en el párrafo 2); el alcance de esa responsabilidad por incumplimiento de ese código de conducta se deja en manos del derecho aplicable al margen de la Ley Modelo (véase el párrafo 141 infra).

Párrafo 1)

138. Los apartados a) y b) se aplican en general a todas las firmas electrónicas, mientras que el apartado c) es sólo aplicable a las firmas electrónicas avaladas por un certificado. La obligación enunciada en el apartado a) del párrafo 1), en particular, de actuar con diligencia razonable para evitar la utilización no autorizada de datos de creación de una firma, constituye una obligación básica que suele figurar, por ejemplo, en los acuerdos relativos a la utilización de tarjetas de crédito. Conforme al criterio adoptado en el párrafo 1), esa obligación debería ser aplicable también a cualesquiera datos de creación de una firma electrónica que pudieran utilizarse para expresar una intención jurídicamente significativa. Sin embargo, la disposición del artículo 5 relativa a la modificación mediante acuerdo permite modificar las normas establecidas en el artículo 8 cuando se considere que son inapropiadas o que pueden tener consecuencias indeseadas. Al interpretarse el concepto de «diligencia razonable», deben tenerse en cuenta las eventuales prácticas pertinentes. La «diligencia razonable», conforme a la Ley Modelo, también debería interpretarse teniendo debidamente en cuenta su origen internacional, como se indica en el artículo 4 (19).

139. El apartado b) del párrafo 1 establece un requisito más flexible de «esforzarse razonablemente» para notificar a la persona que pudiera confiar en la firma electrónica en los casos en que al parecer ésta hubiese quedado en entredicho. Como tal vez el firmante no podría ubicar a todas las personas que pudieran confiar en la firma electrónica, en general se opinó que, en los casos en que al parecer ésta hubiese quedado en entredicho, sería excesivamente gravoso imponer al firmante la obligación de lograr que toda persona que pudiera confiar en la firma quedase notificada. La idea de «esforzarse razonablemente» debía interpretarse a la luz de un principio general de buena fe expresado en el párrafo 1 del proyecto de artículo 4 (20). En cuanto a la propuesta de añadir la frase «procedimientos de que disponga el firmante para dar aviso a las partes que confían en la firma», se señaló que en muchos casos los prestadores de servicios de certificación pondrían a disposición del firmante procedimientos que pudieran aplicar cuando la firma electrónica quedara en entredicho. Era esencial proporcionar al firmante una disposición de salvaguardia a efectos de que pudiera demostrar que al aplicar esos procedimientos había actuado con suficiente diligencia para intentar dar aviso a las partes que podían confiar en la firma (21). Con respecto a las partes que confían, el apartado b) del párrafo 1 hace referencia a la «persona que, según pueda razonablemente prever, puede considerar fiable la firma electrónica o prestar servicios que la apoyen». Según la terminología empleada, esa «parte que confía» puede ser no solo la persona que intente confiar en la firma, sino también personas como prestadores de servicios de certificación, prestadores de servicios de revocación de certificados y otras personas interesadas.

140. El apartado c) del párrafo 1 es aplicable cuando se utiliza un certificado para avalar los datos de la firma. La expresión «ciclo vital del certificado» debe entenderse de forma amplia como el período que va desde la solicitud del certificado o desde la creación del certificado hasta su expiración o revocación.

Párrafo 2)

141. En el párrafo 2) no se especifican las consecuencias ni los límites de la responsabilidad, todo lo cual queda en manos del derecho nacional.

No obstante, si bien las consecuencias de la responsabilidad se regirán por el derecho nacional, el párrafo 2) sirve para dar una clara señal a los Estados promulgantes de que el incumplimiento de las obligaciones enunciadas en el párrafo 1) debe acarrear responsabilidad. El párrafo 2) se basa en la conclusión a la que llegó el Grupo de Trabajo en su 35.º período de sesiones de que puede ser difícil obtener un consenso sobre las consecuencias que pueden derivarse de la responsabilidad del firmante. Según el contexto en que se utilice la firma electrónica, esas consecuencias pueden abarcar, según el derecho aplicable, desde la posibilidad de que el firmante quede vinculado por el contenido del mensaje hasta la obligación de pagar daños y perjuicios.

En consecuencia, el párrafo 2) se limita a establecer el principio de que el firmante debe ser responsable del incumplimiento de los requisitos del párrafo 1), y deja en manos del derecho aplicable en cada Estado promulgante, al margen de la Ley Modelo, la regulación de las consecuencias jurídicas que se deriven de tal responsabilidad (22).

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17
(A/56/17), párrs. 212, 222, 262, 263 y 284;
A/CN.9/493, anexo, párrs. 137 a 141;
A/CN.9/484, párrs. 67 a 69;
A/CN.9/WG.IV/WP.88, anexo, párrs. 132 a 136;
A/CN.9/467, párrs. 96 a 104;
A/CN.9/WG.IV/WP.84, párrs. 52 y 53;
A/CN.9/465, párrs. 99 a 108;
A/CN.9/WG.IV/WP.82, párrs. 50 a 55;
A/CN.9/457, párrs. 65 a 98;
A/CN.9/WG.IV/WP.80, párrs. 18 y 19.

Artículo 9. Proceder del prestador de servicios de certificación

1) Cuando un prestador de servicios de certificación preste servicios para apoyar una firma electrónica que pueda utilizarse como firma con efectos jurídicos, ese prestador de servicios de certificación deberá:

a) actuar de conformidad con las declaraciones que haga respecto de sus normas y prácticas;

b) actuar con diligencia razonable para cerciorarse de que todas las declaraciones importantes que haya hecho en relación con el ciclo vital del certificado o que estén consignadas en él sean exactas y cabales;

c) proporcionar medios de acceso razonablemente fácil que permitan a la parte que confía en el certificado determinar mediante éste:

i) la identidad del prestador de servicios de certificación;

ii) que el firmante nombrado en el certificado tenía bajo su control los datos de creación de la firma en el momento en que se expidió el certificado;

iii) que los datos de creación de la firma eran válidos en la fecha en que se expidió el certificado o antes de ella;

d) proporcionar medios de acceso razonablemente fácil que, según proceda, permitan a la parte que confía en el certificado determinar mediante éste o de otra manera:

i) el método utilizado para identificar al firmante;

ii) cualquier limitación en los fines o el valor respecto de los cuales puedan utilizarse los datos de creación de la firma o el certificado;

iii) si los datos de creación de la firma son válidos y no están en entredicho;

iv) cualquier limitación en cuanto al ámbito o el alcance de la responsabilidad indicada por el prestador de servicios de certificación;

v) si existe un medio para que el firmante dé aviso de que los datos de creación de la firma están en entredicho, conforme a lo dispuesto en el apartado b) del párrafo 1) del artículo 8;

vi) si se ofrece un servicio de revocación oportuna del certificado;

e) cuando se ofrezcan servicios conforme al inciso v) del apartado d), proporcionar un medio para que el firmante dé aviso conforme al apartado b) del párrafo 1) del artículo 8 y, cuando se ofrezcan servicios conforme al inciso vi) del apartado d), cerciorarse de que exista un servicio de revocación oportuna del certificado;

f) utilizar, al prestar sus servicios, sistemas, procedimientos y recursos humanos fiables.

2) El prestador de servicios de certificación incurrirá en responsabilidad por el incumplimiento de los requisitos enunciados en el párrafo 1).

Párrafo 1)

142. En el apartado a) se enuncia la regla fundamental de que el prestador de servicios de certificación debe atenerse a las declaraciones que haya hecho y a los compromisos que haya contraído, por ejemplo, en una declaración de prácticas de certificación o en cualquier otro tipo de declaración de principios.

143. En el apartado c) se define el contenido esencial y el efecto primordial de todo certificado con arreglo a la Ley Modelo. Es importante señalar que, en el caso de las firmas numéricas, también debe poderse determinar la vinculación del firmante con la clave pública y con la clave privada (A/CN.9/484, párr. 71). En el apartado d) se enumeran otros elementos que deben incluirse en el certificado o que deben estar disponibles o accesibles para la parte que confía en la firma, cuando sean de interés para un determinado certificado. El apartado e) no es aplicable a certificados como los de transacción, que son certificados para una vez, ni a los certificados de bajo costo o aplicaciones de bajo riesgo, que en ambos casos pueden no estar sujetos a revocación.

144. Podría pensarse que cabe razonablemente esperar que los prestadores de servicios de certificación, y no sólo los que expiden certificados de «alto valor», cumplan los deberes y obligaciones previstos en el artículo 9.

Sin embargo, la Ley Modelo no requiere de un firmante ni de un prestador de servicios de certificación un grado de diligencia o fiabilidad que no esté en relación razonable con las finalidades para las que se utilizan las firmas electrónicas o el certificado correspondiente (véase el párrafo 137 supra). La Ley Modelo propugna, pues, una solución que vincula las obligaciones expuestas en los artículos 8 y 9 a la producción de firmas electrónicas con eficacia jurídica (A/CN.9/483, párr. 117). Al limitar el alcance del artículo 9 a la amplia gama de situaciones en las que se prestan servicios de certificación en apoyo de una firma electrónica que pueda ser utilizada con efectos jurídicos como firma, la Ley Modelo no se propone crear nuevos tipos de efectos jurídicos para las firmas (A/CN.9/483, párr. 119).

Párrafo 2)

145. Paralelamente al párrafo 2 del artículo 8, el párrafo 2) deja en manos del derecho nacional la determinación de las consecuencias jurídicas del incumplimiento de los requisitos enunciados en el párrafo 1 (véase supra, párr. 141, y A/56/17, párr. 230). A reserva de las reglas aplicables del derecho nacional, el párrafo 2) no está concebido para que se interprete como una regla de responsabilidad absoluta. No se preveía que el efecto del párrafo 2) sería excluir la posibilidad de que el prestador de servicios de certificación demostrara, por ejemplo, la ausencia de culpa o de negligencia.

146. En anteriores proyectos del artículo 9 figuraba un párrafo suplementario en que se regulaban las consecuencias de la responsabilidad enunciada en el párrafo 2). Durante la preparación de la Ley Modelo, se observó que la cuestión de la responsabilidad de los prestadores de servicios de certificación no quedaría suficientemente reglamentada con la adopción de una única disposición del tenor del párrafo 2). Aunque el párrafo 2) enunciara un principio apropiado para su aplicación a los firmantes, tal vez no resultara suficiente para regular las actividades profesionales y comerciales abarcadas por el artículo 9. Un posible modo de paliar esa insuficiencia habría consistido en enumerar, en el texto de la Ley Modelo, los factores que debían tenerse en cuenta al evaluar las pérdidas resultantes del incumplimiento de los requisitos del párrafo 1) por parte del prestador de servicios de certificación. Finalmente, se decidió que en esta Guía figurara una lista no exhaustiva de factores indicativos. Al evaluarse la responsabilidad del prestador de servicios de certificación, debían tenerse en cuenta, entre otras cosas, los siguientes factores:

a) el costo de obtención del certificado;

b) la naturaleza de la información que se certifique;

c) la existencia de limitaciones de los fines para los que pueda utilizarse el certificado y el alcance de esas limitaciones;

d) la existencia de declaraciones que limiten el alcance o la magnitud de la responsabilidad del prestador de servicios de certificación; y

e) toda conducta de la parte que confía en la firma que contribuya a la responsabilidad. Durante la preparación de la Ley Modelo se convino en que, al determinar las pérdidas recuperables en el Estado promulgante, deberían tenerse en cuenta las normas que rijan la limitación de la responsabilidad en el Estado en que esté establecido el prestador de servicios de certificación o en cualquier otro Estado cuya legislación sea aplicable en virtud de las reglas pertinentes sobre conflictos de leyes (A/CN.9/ 484, párr. 74).

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17
(A/56/17), párrs. 223 a 230, 264, 265 y 284;
A/CN.9/493, anexo, párrs. 142 a 146;
A/CN.9/484, párrs. 70 a 74;
A/CN.9/WG.IV/WP.88, anexo, párrs. 137 a 141;
A/CN.9/483, párrs. 114 a 127;
A/CN.9/467, párrs. 105 a 129;
A/CN.9/WG.IV/WP.84, párrs. 54 a 60;
A/CN.9/465, párrs. 123 a 142 (proyecto de artículo 12);
A/CN.9/WG.IV/WP.82, párrs. 59 a 68 (proyecto de artículo 12);
A/CN.9/457, párrs. 108 a 119;
A/CN.9/WG.IV/WP.80, párrs. 22 a 24.

Artículo 10. Fiabilidad

A los efectos del apartado f) del párrafo 1) del artículo 9, para determinar si los sistemas, procedimientos o recursos humanos utilizados por un prestador de servicios de certificación son fiables, y en qué medida lo son, podrán tenerse en cuenta los factores siguientes:

a) los recursos humanos y financieros, incluida la existencia de un activo;

b) la calidad de los sistemas de equipo y programas informáticos;

c) los procedimientos para la tramitación del certificado y las solicitudes de certificados, y la conservación de registros;

d) la disponibilidad de información para los firmantes nombrados en el certificado y para las partes que confían en éste;

e) la periodicidad y el alcance de la auditoria por un órgano independiente;

f) la existencia de una declaración del Estado, de un órgano de acreditación o del prestador de servicios de certificación respecto del cumplimiento o la existencia de los factores que anteceden; y

g) cualesquiera otros factores pertinentes.

Flexibilidad del concepto de «fiabilidad»

147. Inicialmente, el artículo 10 fue redactado como parte del artículo 9. Si bien posteriormente esa parte pasó a ser otro artículo, tiene ante todo la finalidad de ayudar a interpretar el concepto de «sistemas, procedimientos y recursos humanos fiables» en el artículo 9 1) f). El artículo 10 está redactado en forma de lista no exhaustiva de factores que deben tenerse en cuenta para determinar la fiabilidad. Esa lista tiene el objetivo de presentar un concepto flexible de la fiabilidad, que podría variar de contenido según lo que se esperara del certificado en el contexto en que se creara.

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17
(A/56/17), párrs. 231 a 234, 266, 267 y 284;
A/CN.9/493, anexo, párr. 147;
A/CN.9/WG.IV/WP.88, anexo, párr. 142;
A/CN.9/483, párrs. 128 a 133;
A/CN.9/467, párrs. 114 a 119.

Artículo 11. Proceder de la parte que confía en el certificado

Serán de cargo de la parte que confía en el certificado las consecuencias jurídicas que entrañe el hecho de que no haya tomado medidas razonables para:

a) verificar la fiabilidad de la firma electrónica; o

b) cuando la firma electrónica esté refrendada por un certificado:

i) verificar la validez, suspensión o revocación del certificado; y

ii) tener en cuenta cualquier limitación en relación con el certificado.

Criterio de la confianza razonable

148. El artículo 11 refleja la idea de que la parte que se proponga confiar en una firma electrónica debe tener presente la cuestión de si tal confianza es razonable habida cuenta de las circunstancias y hasta qué punto es razonable.

El artículo no pretende abordar la cuestión de la validez de una firma electrónica, que ya se regula en el artículo 6 y no debe depender de la conducta de la parte que confía en la firma. La cuestión de la validez de una firma electrónica no debe vincularse a la cuestión de si es razonable que una parte confíe en una firma que no cumpla la norma enunciada en el artículo 6.

Cuestiones relativas al consumidor

149. Si bien el artículo 11 puede imponer una carga a las partes que confían en una firma, particularmente si esas partes son consumidores, conviene recordar que la Ley Modelo no tiene la finalidad de derogar ninguna norma que rija la protección del consumidor. Sin embargo, la Ley Modelo puede ser de utilidad al informar a todas las partes interesadas, incluidas las partes que confían en firmas, sobre la norma de la conducta razonable que debe observarse con respecto a las firmas electrónicas. Además, el establecimiento de una norma de conducta en virtud de la cual la parte que confía en una firma debe verificar la fiabilidad de la firma con los medios disponibles puede considerarse esencial para el desarrollo de todo sistema de infraestructuras de clave pública.

Concepto de «parte que confía en la firma»

150. En la Ley Modelo no se define el concepto de «parte que confía en la firma». Conforme a la práctica seguida en la industria, ese concepto pretende abarcar a cualquier parte que confíe en una firma electrónica. Por lo tanto, según las circunstancias, la «parte que confía en la firma» puede ser cualquier persona, independientemente de si tiene una relación contractual con el firmante o con el prestador de servicios de certificación. Cabe incluso la posibilidad de que el prestador de servicios de certificación o el propio firmante pase a ser una «parte que confía en una firma». Sin embargo, ese concepto amplio de «parte que confía en una firma» no debe implicar que el suscriptor de un certificado esté obligado a verificar la validez del certificado que obtenga del prestador de servicios de certificación.

Incumplimiento de los requisitos del artículo 11

151. Con respecto a las posibles consecuencias de que se imponga a la parte que confía en la firma la obligación general de verificar la validez de la firma electrónica o del certificado, se plantea la cuestión de lo que debe ocurrir si dicha parte incumple los requisitos del artículo 11. En tal caso, no debe impedirse que la parte haga valer la firma o el certificado si sus medidas razonables de verificación no hubieran permitido determinar la invalidez de la firma o del certificado. Con los requisitos del artículo 11 no se pretende exigir la observación de limitaciones ni la verificación de información que no sean fácilmente accesibles para la parte que confía en la firma. Esta situación puede tener que regirse por el derecho aplicable al margen de la Ley Modelo. De modo más general, las consecuencias del incumplimiento de los requisitos del artículo 11 por la parte que confía en la firma se rigen por el derecho aplicable al margen de la Ley Modelo (véase A/CN.9/484, párr. 75). A este respecto se han adoptado enunciados paralelos en el artículo 11 y en los párrafos 2 de los artículos 8 y 9. Durante la preparación de la Ley Modelo, se sugirió que se hiciera una distinción entre el régimen legal aplicable al firmante y al prestador de servicios de certificación (que debería atenerse a normas de conducta en el contexto del proceso de la firma electrónica), por un lado, y el régimen aplicable a la parte que confía (para quien la Ley Modelo podría establecer normas de conducta, pero que no debería tener el mismo nivel de obligaciones que las otras dos partes), por otro. No obstante, prevaleció la opinión de que esta distinción debía dejarse en manos del derecho aplicable al margen de la Ley Modelo (23).

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17
(A/56/17), párrs. 235, 236, 268, 269 y 284;
A/CN.9/493, anexo, párrs. 148 a 151;
A/CN.9/484, párr. 75;
A/CN.9/WG.IV/WP.88, anexo, párrs. 143 a 146;
A/CN.9/467, párrs. 130 a 143;
A/CN.9/WG.IV/WP.84, párrs. 61 a 63;
A/CN.9/465, párrs. 109 a 122 (artículos 10 y 11 del proyecto);
A/CN.9/WG.IV/WP.82, párrs. 56 a 58 (artículos 10 y 11 del proyecto);
A/CN.9/457, párrs. 99 a 107;
A/CN.9/WG.IV/WP.80, párrs. 20 y 21.

Artículo 12. Reconocimiento de certificados y firmas electrónicas extranjeras

1) Al determinar si un certificado o una firma electrónica produce efectos jurídicos, o en qué medida los produce, no se tomará en consideración:

a) el lugar en que se haya expedido el certificado o en que se haya creado o utilizado la firma electrónica; ni

b) el lugar en que se encuentre el establecimiento del expedidor o firmante.

2) Todo certificado expedido fuera [del Estado promulgante] producirá los mismos efectos jurídicos en [el Estado promulgante] que todo certificado expedido en [el Estado promulgante] si presenta un grado de fiabilidad sustancialmente equivalente.

3) Toda firma electrónica creada o utilizada fuera [del Estado promulgante] producirá los mismos efectos jurídicos en [el Estado promulgante] que toda firma electrónica creada o utilizada en [el Estado promulgante] si presenta un grado de fiabilidad sustancialmente equivalente.

4) A efectos de determinar si un certificado o una firma electrónica presenta un grado de fiabilidad sustancialmente equivalente para los fines del párrafo 2) o del párrafo 3), se tomarán en consideración las normas internacionales reconocidas y cualquier otro factor pertinente.

5) Cuando, sin perjuicio de lo dispuesto en los párrafos 2), 3) y 4), las partes acuerden entre sí la utilización de determinados tipos de firmas electrónicas y certificados, se reconocerá que ese acuerdo es suficiente a efectos del reconocimiento transfronterizo, salvo que ese acuerdo no sea válido o eficaz conforme al derecho aplicable.

Norma general de no discriminación

152. El párrafo 1) tiene por fin reflejar el principio básico de que el lugar de origen no debe, en sí mismo, ser un factor que determine si debe reconocerse que los certificados o las firmas electrónicas extranjeros pueden tener eficacia jurídica y en qué medida pueden tenerla. La determinación de si un certificado o una firma electrónica puede tener eficacia jurídica, o en qué medida puede tenerla, no debe depender del lugar en el que se expidió el certificado o la firma (véase el documento A/CN.9/483, párr. 27) sino de su fiabilidad técnica.

«Grado de fiabilidad sustancialmente equivalente»

153. La finalidad del párrafo 2) es dar un criterio general para el reconocimiento transfronterizo de certificados sin el cual los prestadores de servicios de certificación podrían verse enfrentados a la carga irracional de tener que obtener licencias en muchas jurisdicciones. No obstante, el párrafo 2 no tenía la finalidad de dar preferencia a los prestadores de servicios de certificación extranjeros sobre los nacionales (24). A esos efectos, el párrafo 2) establece un umbral de equivalencia técnica de los certificados extranjeros basado en contrastar su fiabilidad con los requisitos de fiabilidad establecidos por el Estado promulgante, de conformidad con la Ley Modelo (A/CN.9/483, párr. 31). Ese criterio ha de aplicarse prescindiendo de la naturaleza del sistema de certificación utilizado en la jurisdicción de donde emanó el certificado o la firma (A/CN.9/483, párr. 29).

Variación del grado de fiabilidad según las jurisdicciones

154. Con una remisión al concepto central de «grado de fiabilidad sustancialmente equivalente», el párrafo 2) reconoce que puede haber diferencias apreciables entre los requisitos de cada una de las jurisdicciones.

El requisito de la equivalencia, utilizado en el párrafo 2), no significa que el grado de fiabilidad de un certificado extranjero deba ser exactamente idéntico al de un certificado nacional (A/CN.9/483, párr. 32).

Variación del grado de fiabilidad dentro de una jurisdicción

155. Además, hay que observar que, en la práctica, los prestadores de servicios de certificación expiden certificados con diversos grados de fiabilidad, según los fines para los que los clientes piensan utilizar esos certificados. Según el grado de fiabilidad respectivo, los certificados y las firmas electrónicas pueden producir distintos efectos jurídicos, en el plano interno o en el extranjero. Por ejemplo, en ciertos países y en determinadas circunstancias, incluso los certificados a veces denominados «de bajo nivel» o «de bajo valor» pueden producir efectos jurídicos (por ejemplo, cuando las partes han convenido contractualmente en utilizar esos instrumentos) (véase A/CN.9/484, párr. 77). En consecuencia, al aplicar la noción de equivalencia utilizada en el párrafo 2), hay que tener presente que la equivalencia que hay que comprobar es entre certificados funcionalmente comparables. Sin embargo, no se ha intentado en la Ley Modelo determinar una correspondencia entre certificados de tipos diferentes expedidos por distintos prestadores de servicios de certificación en diferentes jurisdicciones.

La Ley Modelo se ha redactado dejando abierta la posibilidad de una jerarquía de diferentes tipos de certificado. En la práctica, un tribunal judicial o arbitral al que se acuda para decidir sobre los efectos jurídicos de un certificado extranjero examinará normalmente cada certificado atendiendo a criterios de fondo y tratará de casarlo con el grado correspondiente más cercano en el Estado promulgante (A/CN.9/483, párr. 33).

Trato igual de los certificados y otros tipos de firmas electrónicas

156. El párrafo 3) expone con respecto a las firmas electrónicas la misma norma enunciada en el párrafo 2) respecto de los certificados (A/CN.9/483, párr. 41).

Reconocimiento de ciertos efectos jurídicos al cumplimiento de las leyes de un país extranjero

157. Los párrafos 2) y 3) se ocupan exclusivamente de la comprobación transfronteriza de la fiabilidad que debe practicarse al evaluar la fiabilidad de un certificado o una firma electrónica extranjeros. Pero, en la preparación de la Ley Modelo, se tuvo presente que tal vez los Estados promulgantes desearían obviar la necesidad de contrastar la fiabilidad respecto de determinadas firmas o certificados cuando el Estado promulgante estuviera convencido de que el derecho de la jurisdicción donde se originó la firma o el certificado presentaba un grado suficiente de fiabilidad. En cuanto a las técnicas jurídicas mediante las cuales un Estado promulgante pudiera reconocer por adelantado la fiabilidad de los certificados y firmas que cumpliesen con la legislación de un país extranjero (por ejemplo, una declaración unilateral o un tratado), la Ley Modelo no contiene ninguna sugerencia en concreto (A/CN.9/483, párrs. 39 y 42).

Factores que hay que considerar al evaluar la equivalencia sustancial de los certificados y las firmas extranjeros

158. En la preparación de la Ley Modelo, el párrafo 4) se formuló en un principio como un catálogo de los factores a tener en cuenta al determinar si un certificado o una firma electrónica ofrecían un grado sustancialmente equivalente de fiabilidad a los fines del párrafo 2) o el párrafo 3). Se estimó luego que la mayoría de estos factores ya estaban numerados en los artículos 6, 9 y 10. Reiterar de nuevo esos factores en el contexto del artículo 12 habría sido superfluo. Se juzgó que otra posibilidad, remitirse, en el párrafo 4), a las disposiciones apropiadas de la Ley Modelo donde se mencionaban los criterios pertinentes, posiblemente añadiendo otros criterios particularmente importantes para el reconocimiento transfronterizo, produciría una formulación sencillamente compleja (véase, en particular, el documento A/CN.9/483, párrs. 43 a 49). El párrafo 4) se convirtió finalmente en una referencia inconcreta a «cualquier otro factor pertinente»; entre estos factores son particularmente importantes los enumerados en los artículos 6, 9 y 10 para la evaluación de los certificados y las firmas electrónicas nacionales. Además, el párrafo 4) extrae las consecuencias del hecho de que evaluar la equivalencia de los certificados extranjeros es cosa algo diferente de evaluar la fiabilidad de un prestador de servicios de certificación conforme a los artículos 9 y 10. Con ese fin, se ha añadido en el párrafo 4) una referencia a «las normas internacionales reconocidas».

Normas internacionales reconocidas

159. El concepto de «norma internacional reconocida» debe interpretarse con amplitud para que abarque las normas internacionales técnicas y comerciales (por ejemplo, las dependientes del mercado), las normas y reglas adoptadas por órganos gubernamentales o intergubernamentales (A/CN.9/483, párr. 49) y las «normas voluntarias» (descritas en el párrafo 69 supra) (25). «Normas internacionales reconocidas» pueden ser declaraciones de prácticas técnicas, jurídicas o comerciales aceptadas, desarrolladas por el sector público o el privado (o por ambos), que tengan carácter normativo o interpretativo, generalmente aceptadas para su aplicación internacional.

Esas reglas pueden adoptar la forma de requisitos, recomendaciones, directrices, códigos de conducta o declaraciones de prácticas óptimas o de normas (A/CN.9/483, párrs. 101 a 104).

Reconocimiento de los acuerdos entre las partes interesadas

160. El párrafo 5) prevé el reconocimiento de los acuerdos entre las partes interesadas acerca del uso de ciertos tipos de firmas electrónicas o certificados como motivo suficiente para el reconocimiento transfronterizo (entre ambas partes) de las firmas o certificados acordados (A/CN.9/483, párr. 54). Hay que observar que, en armonía con el artículo 5, no ha de entenderse que el párrafo 5) se aparte de ninguna ley imperativa, en particular de un requisito obligatorio de firmas manuscritas que los Estados promulgantes tal vez deseen mantener en la ley aplicable (A/CN.9/483, párr. 113). El párrafo 5) es necesario para dar efecto a las estipulaciones contractuales conforme a las cuales las partes puedan convenir, entre ellas, en reconocer el uso de ciertas firmas electrónicas o certificados (que quepa considerar extranjeros en alguno o todos los Estados en que las partes puedan tratar de obtener el reconocimiento jurídico de esas firmas o certificados), sin que esas firmas o esos certificados se sometan al criterio de la equivalencia sustancial expresado en los párrafos 2), 3) y 4). El párrafo 5) no afecta a la situación jurídica de terceros (A/CN.9/483, párr. 56).

Referencias a documentos de la CNUDMI

Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17
(A/56/17), párrs. 237, 270 a 273 y 284;
A/CN.9/493, anexo, párrs. 152 a 160;
A/CN.9/484, párrs. 76 a 78;
A/CN.9/WG.IV/WP.88, anexo, párrs. 147 a 155;
A/CN.9/483, párrs. 25 a 58 (artículo 12);
A/CN.9/WG.IV/WP.84, párrs. 61 a 68 (proyecto de artículo 13);
A/CN.9/465, párrs. 21 a 35;
A/CN.9/WG.IV/WP.82, párrs. 69 a 71;
A/CN.9/454, párr. 173;
A/CN.9/446, párrs. 196 a 207 (proyecto de artículo 19);
A/CN.9/WG.IV/WP.73, párr. 75;
A/CN.9/437, párrs. 74 a 89 (proyecto de artículo 1); y
A/CN.9/WG.IV/WP.71, párrs. 73 a 75.
————————————————————————————————
*La Comisión propone el texto siguiente para los Estados que deseen ampliar el ámbito de aplicación de la presente Ley:

«La presente Ley será aplicable en todos los casos en que se utilicen firmas electrónicas, excepto en las situaciones siguientes: […].»

**El término «comercial» deberá ser interpretado en forma lata de manera que abarque las cuestiones que dimanen de toda relación de índole comercial, sea o no contractual. Las relaciones de índole comercial comprenden, sin que esta lista sea taxativa, las operaciones siguientes: toda operación comercial de suministro o intercambio de bienes o servicios; acuerdos de distribución; representación o mandato comercial; facturaje («factoring»); arrendamiento con opción de compra («leasing»); construcción de obras; consultoría; ingeniería; concesión de licencias; inversiones; financiación; banca; seguros; acuerdos o concesiones de explotación; empresas conjuntas y otras formas de cooperación industrial o comercial; transporte de mercancías o de pasajeros por vía aérea, marítima y férrea, o por carretera.

————————————————————————————————-
(1) Documentos Oficiales de la Asamblea General quincuagésimo sexto período de sesiones, Suplemento núm.17 (A/56/17), párrs. 201 a 284.

(2) Ibíd., quincuagésimo primer período de sesiones, Suplemento núm. 17 (A/51/17), párrs. 223 y 224.

(3) Ibíd., quincuagésimo segundo período de sesiones, Suplemento núm. 17 (A/52/17), párrs. 249 a 251.

(4) Ibíd., quincuagésimo tercer período de sesiones, Suplemento núm. 17 (A/53/17), párrs. 207 a 211.

(5) Ibíd., quincuagésimo cuarto período de sesiones, Suplemento núm. 17 (A/54/17), párrs. 308 a 314.

(6) Ibíd., quincuagésimo quinto período de sesiones, Suplemento núm. 17 (A/55/17), párrs. 380 a 383.

(7)Ibíd., quincuagésimo sexto período de sesiones, Suplemento núm. 17 (A/56/17), párrs. 204, 238, 274 y 283.

(8) Ibíd., párr. 284.

(9) Esta sección está extraída del documento A/CN.9/WG.IV/WP.71, parte I.

(10) Muchos elementos de la descripción del funcionamiento del sistema de firmas numéricas que figura en la presente sección se basan en las Directrices sobre las firmas numéricas de la Asociación de Abogados de los Estados Unidos, págs. 8 a 17.

(11) Algunas de las normativas existentes, como las Directrices sobre las firmas numéricas de la Asociación de Abogados de los Estados Unidos recogen el concepto de «inviabilidad computacional».

(12) En los casos en que los mismos usuarios emitan claves criptográficas públicas y privadas, tal vez debieran determinar la fiabilidad a los certificadores de claves públicas.

(13) La cuestión de si un gobierno debe tener capacidad técnica para retener o recrear claves de confidencialidad privada podría abordarse a nivel de las entidades principales.

(14) No obstante, en el ámbito de la certificación cruzada, la necesidad de la interoperabilidad mundial exige que las ICP de distintos países puedan comunicarse entre ellas.

(15) Documentos Oficiales de la Asamblea General, quincuagésimo sexto período de sesiones, Suplemento núm. 17 (A/56/17), párr. 279.

(16) Ibíd., párr. 244.

(17) Ibíd., párr. 245.

(18) Ibíd., párrs. 275 a 277.

(19) Ibíd., párr. 214.

(20) Ibíd., párr. 216.

(21) Ibíd., párr. 217.

(22)Ibíd., párrs. 219 a 221.

(23) Ibíd., párrs. 220 y 221.

(24) Ibíd., párr. 282.

(25) Ibíd., párr. 278.

Protection of classified Information Act 2002

Chapter One. GENERAL PROVISIONS

Article 1

(1) This Act governs the public relations arising in connection with the generation, the processing, and the storing of classified information, and lays down the conditions and procedure for the release thereof and the access thereto.

(2) The purpose of this Act is to protect classified information from unauthorised access.

(3) Within the meaning of this Act, «classified information» is any information which is a State secret or an official secret, and any foreign classified information.

Article 2

This Act shall apply as well to any foreign classified information which may be made available by another State or an international organisation, insofar as an existing international treaty, to which the Republic of Bulgaria is a party, does not provide otherwise.

Article 3

(1) Access to classified information shall not be allowed to any person other than those having an appropriate clearance in keeping with the «need- to-know» principle, unless otherwise provided hereunder.

(2) The «need-to-know» principle is the restriction of access to particular classified information to such persons whose official duties, or a special assignment, require such access.

Chapter Two. classIFIED INFORMATION PROTECTION AUTHORITIES

Section I. State Information Security Commission

Article 4

(1) The State Information Security Commission (SISC) is a government authority which shall conduct the classified information protection policy of the Republic of Bulgaria.

(2) The State Information Security Commission is a first-tier obligor of budget funds.

Article 5

The State Information Security Commission shall be supported by an administration of which the activities, structure and operation shall be laid down in Institutional Rules adopted by the Council of Ministers.

Article 6

(1) The State Information Security Commission is a collegiate body comprised of five members, including a chairperson and a vice chairperson, who shall be appointed by the Council of Ministers for a term of five years, subject to the advice of the Prime Minister.

(2) No person may be a member of the Commission unless such person is a university graduate.

Article 7

(1) The SISC chairperson shall submit an annual report to the Council of Ministers on the overall activity relating to the protection of classified information.

(2) The Council of Ministers shall introduce the report under paragraph 1 before the National Assembly, which shall adopt it by its decision.

(3) The SISC chairperson shall provide the same volume and content of information on the Commission's activities to the Speaker of the National Assembly, to the President of the Republic, and to the Prime Minister.

Article 8

The State Information Security Commission shall have a duty to:

1. organise, perform, coordinate and control the activities relating to the protection of classified information;

2. provide equal protection of classified information;

3. perform its activities in close collaboration with the authorities of the Ministry of Defence, of the Ministry of Home Affairs, of the Ministry of Foreign Affairs, and with the security services and the public order services.

Article 9

For the purposes of performing its activities, SISC shall have a duty to:

1. develop guidelines and approve plans of action for organisational units in the event of a threat to the interests of the State resulting from unauthorised access to classified information;

2. analyse and assess the state of preparedness for the protection of classified information in the event of a threat to any interest protected by law resulting from unauthorised access to classified information, and shall issue mandatory instructions in that area;

3. organise and perform activities to prevent and mitigate the harmful consequences of unauthorised access to classified information;

4. draft and introduce before the Council of Ministers for adoption statutory instruments relating to the protection of classified information;

5. organise and ensure the functioning of registries in the field of international relations;

6. organise, control, and be responsible for, the performance of obligations relating to the protection of classified information as laid down in international treaties to which the Republic of Bulgaria is a party;

7. provide general direction of the activities relating to the background investigation of the persons who require to operate with classified information, and relating to the issuance of the appropriate levels of clearance for access to classified information («clearance»);

8. provide general direction of the activities relating to the background investigation of natural or legal persons proposing to enter or performing a contract which involves access to classified information, and shall approve a sample security certificate under this Act («certificate»);

9. jointly with the security services, conduct background investigations of, and subject to the advice of such services, issue clearance to, persons nominated for appointment as information security officers;

10. issue documents certifying to such foreign authorities as it may concern that Bulgarian natural or legal persons have been issued with clearance or certificate, as the case may be;

11. jointly with the security services, conduct background investigations of Bulgarian citizens who apply for a position or for the performance of a special assignment which requires such citizens to operate with the classified information of another State or of an international organisation, at the written request of the competent information security authority of such State or international organisation;

12. maintain single registers of clearances, certificates, certifying or confirming documents issued, revoked or terminated, and of refusals to issue or terminate such papers, and a register of the materials and documents which contain classified information, such information being a State secret or an official secret;

13. advise immediately the Prime Minister in the event of unauthorised access to information classified as «Top Secret»;

14. organise and coordinate the training for operation with classified information;

15. provide technical guidance to information security officers;

16. exercise general control over the protection of such classified information as is stored, processed or transmitted by automated information systems or networks;

17. issue visit permits to persons performing inspections in pursuance of international treaties relating to the reciprocal protection of classified information.

Article 10

(1) For the purposes of performing its functions and activities under Article 9, SISC:

1. may require information from the information bases of the security services and the public order services;

2. shall be provided, immediately upon request and free of charge, with the necessary information by the government authorities and by the authorities of local self-government;

3. shall be provided, immediately upon request and free of charge, with the necessary information by any natural or legal person in accordance with the existing legislation. Such persons may refuse to provide such information as is unrelated to a background investigation to which they had consented or of which they had been properly notified;

4. shall issue mandatory instructions to the persons responsible hereunder.

(2) The conditions and procedure for the provision of information under subparagraphs 1 2 and 3 of paragraph 1 shall be laid down in the Detailed Rules for the Application hereof.

Section II. Functions of the Security Services

Article 11

(1) The security services shall have a duty to:

1. conduct background investigations of their officers and applicants for appointment, and shall issue, revoke or terminate the clearances of such officers or applicants;

2. conduct background investigations of natural or legal persons proposing to enter or performing a contract which involves access the classified information, and shall issue certificates of compliance with the security requirements hereunder;

3. provide assistance to SISC with the performance of its functions under Article 9, paragraphs 9, 10, 11, 13, 14 and 17;

4. provide assistance with the performance of the functions under paragraph2, subparagraph 3 of this Article and under Article 12(2).

(2) The National Security Service of the Ministry of Home Affairs shall, inaddition to its duties under paragraph 1, have a duty to:

1. conduct background investigations of the persons who require to operate with classified information, and shall issue, revoke, terminate or deny clearance for access, except in the circumstances under Article 22, paragraph 1, subparagraph 5;

2. issue confirming documents to foreign natural or legal persons on the basis of clearance or certificate issued by the appropriate competent authority of another State or of an international organisation and subject to a background investigation conducted in the Republic of Bulgaria («confirmation»), except in the circumstances under paragraph 3, subparagraph 3;

3. exercise direct control over the protection of classified information and the compliance with the relevant legal provisions.

(3) Within the units of the Ministry of Defence and of the Bulgarian Armed Forces, excepting the Military Information Service, the Military Police and Military Counterintelligence Security Service of the Minister of Defence shall, in addition to its duties under paragraph 1 and paragraph 2,subparagraph 3, have a duty to:

1. conduct background investigations and issue, revoke, and terminate the clearances of Bulgarian conscripts, enlisted or non-enlisted servicemen, reservists or civilians officially appointed to, or employed by, any unit of the Ministry of Defence or of the Bulgarian Armed Forces, or any second-tier budget obligor under the Minister of Defence;

2. conduct background investigations and issue, revoke, and terminate the clearances of natural persons or the certificates of legal persons proposing to perform or performing an activity for the Ministry of Defence or for the Bulgarian Armed Forces or for any second-tier budget obligor under the Minister of Defence;

3. issue confirmations to foreign citizens for the purposes of work and/or training at the Ministry of Defence or in the Bulgarian Armed Forces or at any second-tier budget obligor under the Minister of Defence;

(4) In pursuance of their duties under paragraphs 1, 2 and 3, the security services shall have a right to:

1. apply and make use of intelligence gathering techniques under such conditions and procedure as shall be laid down in law;

2. apply and make use of special surveillance devices under the conditions and procedure laid down in the Special Surveillance Devices Act with respect to any applicant for access to information classified as «Top Secret»;

3. make use of data available in their information bases relating to any natural or legal person who is the subject of a background investigation;

4. store the data gathered in the course of the background investigation of any natural person or any bidder, whether a natural or a legal person, for the purposes of entering or performing a contract which involves access to classified information;

5. store data relating to cases of unauthorised access to classified information;

6. the necessary information to be provided by any government authority or local self-government authority, or natural or legal person in accordance with the existing legislation. The conditions and procedure for the provision of such information shall be laid down in the Detailed Rules for the Application hereof.

(5) In pursuance of their duties under paragraphs 1-4, the security services shall collaborate with one another.

Article 12

For the purposes of exercising direct control over the protection of classified information and the compliance with the relevant legal provisions, the head of the National Security Service and the head of the Military Police and Military Counterintelligence Security Service shall issue an order in writing to designate officers who shall have a right to:

1. access to the sites and premises of the controlled organisational units, including the right to perform physical inspections of such sites and premises;

2. access to the documents relating to the arrangements made for the protection of classified information at the controlled organisational units;

3. access to the automated information systems or networks used for the generation, the storing, the processing or the transmission of classified information, with a view to establishing the security level of such systems or networks;

4. where necessary, require written or oral explanations from the heads or the officers of the controlled organisational units;

5. for the purposes of an inspection at a controlled organisational unit, require information from other organisational units and, where necessary, explanations from the heads or officers thereof, relating to the generation, the processing, the storing or the release of classified information;

6. use experts where special expertise is necessary to establish facts and circumstances in the course of an inspection;

7. prescribe concrete measures relating to the protection of classified information.

Article 13

The procedure for the inspections under Article 12 shall be laid down in a Regulation by the Council of Ministers.

Article 14

The Communication Devices Protection Directorate of the Ministry of Home Affairs shall have a duty to:

1. perform the activities relating to the cryptographic protection of classified information in pursuance of Article 124 of the Ministry of Home Affairs Act;

2. issue security compliance certificates of automated information systems or networks used for operation with classified information;

3. coordinate and control the electromagnetic interference countermeasures protecting the technical devices used to process, store or transmit classified information;

4. provide and control the training of persons cleared for access to classified information in the use of cryptographic methods and devices.

Section III. Public Order Services

Article 15

The public order services shall conduct background investigations of their officers and applicants for appointment, and shall issue, revoke or terminate the clearances thereof.

Article 16

(1) In pursuance of their duties under Article 15, the public order services shall have a right to:

1. apply and make use of operational search techniques and devices under such conditions and procedure as shall be laid down in law;

2. make use of data available in their information bases relating to any natural or legal person who is the subject of a background investigation;

3. store the data gathered in the course of the background investigation of their officers;

4. store data relating to cases of unauthorised access to classified information by the officers under Article 15;

5. the necessary information to be provided by other organisational units in connection with a background investigation under Article 15.

(2) The public order services shall, within the limits of their duties and powers, provide assistance to the security services in connection with the pursuance of their duties under Article 11.

Section IV. Duties of Organisational Units

Article 17

The organisational units shall have a duty to:

1. apply the requirements relating to the protection of classified information and control compliance therewith;

2. be responsible for the protection of information;

3. in the event of unauthorised access to classified information, advise immediately SISC and take action to limit the harmful consequences;

4. provide the information under Article 10(1), subparagraph 2, Article 11(4), subparagraph 6, and Article 16(1), subparagraph 5.

Article 18

(1) The officers of organisational units cleared for access to a particular level of classified information shall have a duty to:

1. protect such classified information from unauthorised access;

2. advise immediately the information security officer in the event of unauthorised access to classified information;

3. advise the information security officer of all modifications to classified materials and documents where unauthorised access is not the case;

4. undergo medical examinations from time to time, but not less frequently than once in every two years, and psychological tests under the conditions and procedure laid down in Article 42(3).

(2) Every person cleared for access to information classified as «Top Secret» shall have a duty to notify the information security officer of every intended private foreign travel prior to the date of departure, except where such travel is to any State with which the Republic of Bulgaria has concluded a treaty on the reciprocal protection of classified information.

(3) The provisions of paragraph 2 shall not apply to the persons under Article 39(1).
The officers of the security services and the public order services shall notify in writing their superiors of every intended foreign travel.

(4) The servicemen and the civilian personnel of the Ministry of Defence and of the Bulgarian Armed Forces shall notify in writing the head of the Military Police and Military Counterintelligence Security Service of every intended foreign travel.

Article 19

Every person cleared for access to classified information in connection with a special assignment shall have a duty to comply with the conditions and procedure for the protection of classified information.

Section V. Information Security Officer

Article 20

(1) The head of each organisational unit shall direct, organise and control the activities relating to the protection of classified information.

(2) The head of each organisational unit shall appoint an information security officer subject to that person being cleared by SISC for access to classified information.

(3) By way of an exception, depending on the level and volume of classified information, the head of an organisational unit may perform the functions of information security officer, provided that he shall meet the requirements under Article 21.

(4) The information security officer shall report directly to the head of the organisational unit.

Article 21

(1) No person may be appointed information security officer unless he meets the following requirements:

1. such person is a Bulgarian citizen and not simultaneously the citizen of any other State; and

2. has been cleared for access to the appropriate level of classified information under the conditions and procedure laid down in Chapter Five.

(2) Upon his appointment, the information security officer shall undergo training in the protection of classified information.

Article 22

(1) The information security officer shall have a duty to:

1. ensure compliance with the provisions of this Act and of the international treaties relating to the protection of classified information;

2. apply the rules relating to the types of classified information protection;

3. develop a security plan for the organisational unit, providing for physical and technical security measures, and ensure its implementation;

4. inspect from time to time the records and the flow of materials and documents;

5. conduct ordinary background investigation under Article 47;

6. administer the procedure for ordinary background investigation within the organisational unit and maintain a register of persons so investigated;

7. advise SISC accordingly upon the expiration of clearances, the termination or relocation of officers, or, as the case may be, of the need to modify a clearance for access to a particular level of classified information;

8. advise, immediately and in writing, SISC and the appropriate service of any change of circumstances relating to clearances, certificates, certifying documents or confirmations issued;

9. maintain a record of the cases of unauthorised access to classified information and of actions taken, and advise SISC immediately of each such case and action;

10. ensure the classification of information at the appropriate level;

11. develop a plan for the protection of classified information during a state of war, martial law or any other state of emergency;

12. organise and administer the training of the organisational unit officers in the protection of classified information.

(2) Upon the occurrence of circumstances under paragraph 1, subparagraph 7, 8 or 9, the information security officers of the security or the public order services shall immediately advise the respective head of service.

(3) The information security officers of the Ministry of Defence and of the Bulgarian Armed Forces shall, upon the occurrence of circumstances under paragraph 1, subparagraph 8 or 9, immediately advise the Military Police and Military Counterintelligence Security Service.

Section VI. Administrative Units for Information Security

Article 23

In pursuance of his duties under Article 22, and depending on the volume of classified information, the information security officer may be supported by an administrative unit for information security.

Article 24

No person may be appointed to any unit under Article 23 unless he meets the requirements under Article 21.

Chapter Three. classES OF classIFIED INFORMATION AND classIFICATION LEVELS

Section I. classified Information

Article 25

State secret is such information, as listed in Schedule 1, the unauthorised access to which might threaten or prejudice such interests of the Republic of Bulgaria as relate to national security, defence, foreign policy or the protection of the constitutional order.

Article 26

(1) Official secret is such information as is generated or stored by government authorities or by the authorities of local self government, is not a State secret, and the unauthorised access to which might adversely affect the interests of the State or prejudice another interest protected by law.

(2) The information which shall be the subject of classification as an official secret shall be determined by law.

(3) The heads of organisational units shall, within the limits hereunder, announce a list of the classes of information under paragraph 2 within their respective field of activity. The procedure for, and the manner of, such announcement shall be laid down in the Detailed Rules for the Application hereof.

Article 27

Foreign classified information is such classified information as has been disclosed by another State or by an international organisation in pursuance of an international treaty to which the Republic of Bulgaria is a party.

Section II. classification Levels

Article 28

(1) The information classification levels and their respective wordings shall be the following:

1. «Top Secret»;

2. «Secret»;

3. «Confidential»;

4. «Four Official Use Only».

(2) The information which is a State secret shall be marked for security level as follows:

1. where the unauthorised access to such information might pose an exceptionally high threat to the sovereignty, the independence or the territorial integrity of the Republic of Bulgaria, or to its foreign policy or international relations in the field of national security, or might pose a threat of irreparable or exceptionally grave damage, or cause such damage in the field of national security, defence, foreign policy or the protection of the constitutional order, «Top Secret»;

2. where unauthorised access to such information might pose a high threat to the sovereignty, the independence or the territorial integrity of the Republic of Bulgaria, or to its foreign policy or international relations in the field of national security, or might pose a threat of nearly irreparable or grave damage, or cause such damage in the field of national security, defence, foreign policy or the protection of the constitutional order, «Secret»;

3. where unauthorised access to such information might pose a threat to the sovereignty, the independence or the territorial integrity of the Republic of Bulgaria, or to its foreign policy or international relations in the field of national security, or might pose a threat of damage, or cause damage in the field of national security, defence, foreign policy or the protection of the constitutional order, «Confidential».

(3) The information classified as an official secret shall be marked «Four Official Use Only».

(4) With a view to ensuring a higher level of protection, as necessary having regard to the character of the subject information or the provisions of international treaties to which the Republic of Bulgaria is a party, SISC may by its decision, subject to the advice of the Minister of Home Affairs or the Minister of Defence or any of the directors of the security services, prescribe:

1. additional markings for materials and documents classified higher than «Top Secret»;

2. a special procedure for the generation, use, reproduction, release, and storage of such materials and documents;

3. the categories of persons cleared for access to such materials and documents.

Article 29

The classification levels of foreign classified information received by the Republic of Bulgaria from, or of classified information disclosed by the Republic of Bulgaria to, another State or an international organisation, in pursuance of an international treaty which has come into force for the Republic of Bulgaria and for that other State or international organisation, shall be aligned in accordance with such treaty.

Chapter Four. MARKING OF INFORMATION

Section I. Marking Procedure of classified Information

Article 30

(1) classified information shall be identified by an appropriate security marking.

(2) Such security marking shall contain:

1. classification level.

2. Date of classification.

3. Date on which the classification period shall expire, where such date is different from the date on which the appropriate period under Article 34(1) shall expire.

4. Legal reasons for classification.

(3) A compilation of materials and/or documents which are individually identified by different security markings shall be identified in its entirety by the appropriate security marking of that material or document contained in the compilation which is classified at the highest level.

Article 31

(1) The appropriate security marking shall be determined by the authorised signer of the document which contains classified information or certifies the existence of classified information in a material other than that document.

(2) The person who has generated a document or material containing classified information, where such person is other than the person under paragraph 1, shall identify such document by an appropriate security marking which shall be valid until the final determination of the security marking by the person under paragraph 1.

(3) The persons who have a duty to mark classified information shall be responsible for marking or the omission to mark such information.

(4) The making, the modification or the deletion of a security marking shall not be allowed outside the clearance limits of the person who makes or modifies or deletes such marking.

(5) classified information may not be identified by any security marking other than the one appropriate to the classification level as determined in pursuance of this Act and the Detailed Rules for the Application hereof.

(6) The level at which information is classified may not be modified or removed without the consent of the person under paragraph 1 or of such person's superior.

(7) The level at which information is classified may not be modified without a valid reason.

(8) Whoever, having lawfully received classified information, finds that such information has been classified at other than the appropriate level shall immediately advise the person under paragraph 1 or such person's superior.

(9) If the person so advised chooses to modify the level at which the information is classified, he shall immediately advise the recipient thereof. Upon submission of classified information to third parties the recipient shall immediately advise those parties on the modification.

(10) The heads of organisational units shall organise the training of their officers in the conditions and procedure for the security marking of information (the making, modification, and deletion of security markings) under the technical guidance of SISC.

Article 32

The procedure for, and the manner of, the security marking of information shall be laid down in the Detailed Rules for the Application hereof.

Section II. Storing of classified Information

Article 33

(1) classified information shall be generated, processed, released, stored, and destroyed under the conditions and procedure laid down in this Act and in the implementing statutory instruments hereto, and in accordance with the types of protection provided for, and corresponding to, the classification level, except as otherwise may be provided in an international treaty to which the Republic of Bulgaria is a party.

(2) Within one year from the expiration of the protection period, the information shall be transferred to the State Archives, except as other wise may be provided by a special legislative instrument.

(3) Information may not be destroyed until one year after the expiration of the protection period.

(4) The State Information Security Commission shall authorise information to be destroyed, subject to the advice of a committee instituted by the order of the head of the appropriate organisational unit.

Such committee shall:

1. give an opinion as to which information is of no historical, practical or a referential importance;

2. give an advice to destroy documents and materials.

(5) The SISC decision to destroy information shall be appealable before the Supreme Administrative Court.

Section III. Protection Periods of classified Information

Article 34

(1) The following shall be the protection periods of classified information, to commence from the date of generation:

1. of information marked as «Top Secret», 30 years;

2. of information marked as «Secret», 15 years;

3. of information marked as «Confidential», five years;

4. of information classified as an official secret, two years.

(2) Where national interest so requires, SISC may decide to extend the periods under paragraph 1, provided however that the extension shall not exceed the original protection period.

(3) Upon the expiration of the periods under paragraphs 1 and 2, the subject information shall be declassified and the access to such information shall be governed by the Access to Public Information Act.

(4) Where an organisational unit is completely abolished, its classified information whish is a State secret or an official secret, and all its powers to modify the classification levels thereof, shall be transferred to SISC, except as otherwise may be provided by a special legislative instrument.

(5) The periods under paragraphs 1 and 2 shall apply as well to foreign classified information, except as otherwise may be provided by an international treaty to which the Republic of Bulgaria is a party.

Article 35

(1) The State Information Security Commission shall maintain a register of the materials and documents which contain classified information which is a State secret or an official secret.

(2) The register under paragraph 1 shall contain the following elements:

1. Organisational unit which generated the material or document.

2. Generation date and declassification date.

3. Identification number of the material or document under which it is entered on the register under paragraph 1.

4. Legal reasons for the classification of the material or document, and its security marking.

5. Modification of the classification level or declassification, and the date thereof.

(3) Upon generation of a material or document which contains classified information which is a State secret or an official secret, or upon modification of the classification level or the declassification there of, as the case may be, the heads of organisational units shall provide the elements under paragraph 2, subparagraphs 1, 2, 4, and 5, to SISC for entry on the register.

(4) The persons under Article 31(1) shall, from time to time, but not less frequently than once in every two years, revue the protection period of each material or document having a security marking for the existence of any legal reasons to modify its classification level or to declassify such material or document. In the event of modification of the classification level, the portion of the protection period under Article 34(1) prior to such modification shall be subtracted from the protection period corresponding to the new classification level.

(5) The procedure for the provision of the registration elements, and the conditions and procedure for retrieving information from the register, shall be laid down in the Detailed Rules for the Application here of.

Chapter Five. ACCESS TO classIFIED INFORMATION

Section I. Conditions for Access

Article 36

Except in the circumstances under Article 39, no person shall have a right of access to classified information merely by reason of official status.

Article 37

(1) The heads of organisational units, excepting those under paragraph 2, shall establish a list of the positions and assignments, and the respective classification levels, which require access to classified information which is a State secret.

(2) The heads of the security services and the public order of services shall establish the list under paragraph 1 for their respective services.

Article 38

(1) Access to classified information in connection with the performance of official duties or special assignments may not be allowed prior to:

1. the completion of a background investigation of the person to be allowed such access; and

2. the training of such person in the protection of classified information.

(2) No background investigation shall be conducted for the purposes of information classified as an official secret.

Article 39

(1) No background investigation shall be conducted of the following persons:

1. the Speaker of the National Assembly;

2. the President of the Republic of Bulgaria;

3. the Prime Minister;

4. the Government Ministers;

5. the Chief Clerk of the Council of Ministers;

6. the Members of the National Assembly;

7. the Justices of the Constitutional Court, the Judges, the Prosecutors, the Lawyers and the Investigators. (Supplemented, SG nº 55/2004)

(2) The persons under paragraph 1, subparagraphs 1, 2 and 3, shall, effective from the assumption of office, have a right of access to all levels of classified information for the duration of their term in office.

(3) The persons under paragraph 1, subparagraphs 4, 5, 6 and 7, shall, effective from the assumption of office, have a right of access to all levels of classified information for the duration of their term in office in keeping with the «need-to-know» principle and, where the subject information is:

1. for the Government Ministers and the Chief Clerk of the Council of Ministers, within their respective terms of reference;

2. for the Members of the National Assembly, subject to a decision, properly made, of a Parliamentary Committee or of the Assembly, or provided that such Committee or the Assembly meets in a closed session;

3. for the Judges, Prosecutors, Lawyers and Investigators, for the purposes only of the case at hand. (Supplemented, SG nº 52/2004)

Article 39a

(1) No reliability clearance shall be carried out in respect of persons upon or in relation to the exercise of their constitutional right to defence.

(2) Persons under para 1 shall ex lege have access to all levels of classified information for the time required for the exercise of their right to defence and in compliance with the «need to know» principle. (New, SG nº 89/2004)

Article 40

(1) In no circumstance other than the ones under Article 39, shall a clearance for access to classified information be issued to any person, unless he meets the following requirements:

1. such person is a Bulgarian citizen, except in the circumstances under Chapter Six, Section VI; and

2. is of legal age; and

3. has completed secondary education; and

4. has not been convicted of premeditated felony, subsequent rehabilitation not with standing; and

5. is not the subject of any pre-trial or trial proceeding for premeditated felony ; and

6. is reliable for the purposes of security; and

7. is not suffering from any mental disorder, as duly certified; and

8. is considered reliable for the purpose of protecting a secret.

(2) Where an international treaty exists to which the Republic of Bulgaria is a party, or on the basis of reciprocity, the requirements under paragraph 1 shall not apply to citizens of other States who, in the Republic of Bulgaria, perform such tasks as may be assigned to them by the State concerned or by an international organisation, provided that such persons shall have been cleared for access to classified information by the appropriate information security authority of such State or international organisation.

Article 41

A person shall be deemed to be reliable for the purposes of security in the absence of any data implicating such person:

1. in any activity directed against the interests of the Republic of Bulgaria or against any interest which the Republic of Bulgaria has undertaken to safeguard in pursuance of international treaties;

2. as a participant in, or an accomplice to, any espionage, terrorist, sabotage or subversive activity;

3. in any other activity directed against the national security, the territorial integrity or the sovereignty of the Republic of Bulgaria or aimed at changing the constitutional order by the use of violence;

4. in any activity directed against public order.

Article 42

(1) A person shall be deemed reliable for the purpose of protecting a secret in the absence of any data to evidence:

1. any concealment of information or misrepresentation by such person for the purposes of the background investigation;

2. any facts or circumstances which might render such person vulnerable to blackmail;

3. a discrepancy between such person's living standard and his income;

4. a mental disorder or any other psychic disorder which might impair such person's capacity to operate with classified information;

5. such person's addiction to alcohol or psychotropic substances.

(2) For the purpose of establishing the facts under paragraph 1, subparagraphs 4 and 5, the investigating authority may require the person under investigation to undergo special medical and psychological tests and to present the results thereof. The person under investigation may refuse to undergo such tests.

Such refusal shall be made in writing, and the background investigation shall be terminated.

(3) The procedure for, and the places of, the above special medical and psychological tests, as well as the periodical medical examinations under Article 18(1), subparagraph 4, and the methods thereof, shall be prescribed in a regulation by the Minister of Health, subject to consultation with SISC.

Section II. Background Investigation Procedure

Article 43

(1) The background investigation procedure shall have the purpose of establishing whether an applicant meets the requirements for clearance for access to classified information.

(2) The background investigation procedure shall be conducted subject to the written consent of the person concerned.

(3) All such investigation activities shall be documented.

(4) The written consent under paragraph 2 may be withdrawn at any time during the investigation.

(5) In the event of such withdrawal, the person concerned shall not have a right to apply for appointment or for the performance of a special assignment, which requires access to classified information, for a period of one year thereafter.

(6) In the circumstances under paragraph 4, the background investigation procedure shall be terminated immediately. Any materials or documents produced by the person under investigation shall be returned to him, and the data gathered in the course of the investigation shall be destroyed immediately by the investigating authority.

(7) The procedure for the purposes of paragraph 6 shall be laid down in the Detailed Rules for the Application hereof.

Article 44

(1) With a view to establishing the reliability of a person under background investigation for the purpose of protecting a secret, data shall be gathered in the course of such investigation about such third parties as the person under investigation shall specify in the appropriate questionnaire.

(2) The processing of personal data for the purposes of paragraph 1 shall be governed by the Personal Data Protection Act.

Article 45

(1) The investigation under Article 43(1) shall be conducted for first applicants for the positions or assignments described in pursuance of Article 37.

(2) The investigation under paragraph 1 shall be conducted also for persons whose work requires access to information classified at a higher level.

(3) The applicants in a competitive examination procedure for appointment or for the performance of a special assignment which requires access to classified information must meet the requirements hereunder for clearance for access to the appropriate level of classified information.

(4) The requirement under paragraph 3 shall be expressly cited in the announcement of the competitive examination.

(5) The specific requirements relating to the conduct of the investigation procedure for the persons under paragraph 3 shall be laid down in the Detailed Rules for the Application hereof.

Section III. Types of Background Investigation

Article 46

The following types of background investigation shall be conducted depending on the level of clearance required:

1. ordinary investigation, for access to information classified as «Confidential»;

2. extensive investigation, for access to information classified as «Secret»;

3. special investigation, for access to information classified as «Top Secret».

Article 47

(1) Ordinary investigation shall be conducted by the information security officer upon the written instructions of the head of the organisational unit.

(2) In the circumstances under Article 20 (3), such investigation shall be conducted by the head of the organisational unit.

(3) Ordinary investigation shall be conducted for the purpose of establishing the facts and circumstances under Article 40 (1), paragraphs 1 – 5, 7 and 8.

(4) The investigation under paragraph 1 shall include the completion of a questionnaire (Schedule 2).

(5) To verify the facts and circumstances under paragraph 4, the information security officer shall have a right to require and to receive data from the public order services and from the competent government authorities, and, as necessary, shall have a right to require assistance from the security services.

(6) The information security officer shall conclude the investigation and shall issue or deny clearance for access to information which is a State secret and is classified as «Confidential», and shall promptly advise SISC.

Article 48

(1) Extensive investigation shall be conducted for persons who apply for appointment or for the performance of a special assignment which requires operation with information classified as «Secret».

(2) The investigation under paragraph 1 shall be conducted, except in the circumstances under Articles 11 and 15, by the National Security Service at the written request of the head of the organisational unit to which the person concerned applies for appointment or which issues a special assignment.

(3) The investigation under paragraph 1 shall be conducted for the purpose of establishing the facts and circumstances under Article 40(1).

(4) The investigation under paragraph 1 shall include the completion of a questionnaire (Schedule 2).

(5) The extensive investigation shall, in addition to establishing and verifying the facts and circumstances under paragraphs 3 and 4, include verifications at the domicile and the place of work, and of the bank accounts of the person under investigation, and in the tax registers, and from the Financial Intelligence Agency. (Amended, SG nº 31/2003)

Article 49

(1) Special investigation shall be conducted for persons who apply for appointment or for the performance of a special assignment which requires operation with information classified as «Top Secret».

(2) The investigation under paragraph 1 shall be conducted, except in the circumstances under Articles 11 and 15, by the National Security Service at the written request of the head of the organisational unit to which the person concerned applies for appointment or which issues a special assignment.

(3) The special investigation shall include the activities under Article 48, paragraphs 3-5, and an interview with the person under investigation and with three other persons, such as the person under investigation shall specify.

Article 50

(1) If any facts and circumstances are revealed in the course of the examination under Articles 47, 48 or 49, such as present an impediment to the issuance of the appropriate level clearance, there shall be conducted an additional interview with the person under investigation.

(2) The interview under paragraph 1 shall be conducted for the purpose of obtaining greater clarity on the facts and circumstances so revealed.

(3) Such interview shall be conducted, depending on the type of investigation under way, by:

1. where an ordinary investigation, the information security officer or, as the case may be under Article 20(3), the head of the organisational unit;

2. where an extensive or a special investigation, the appropriate investigating authority.

(4) No interview under paragraph 1 shall be conducted where, were it to be conducted, such interview might entail an unauthorised access to information which is a State secret.

Article 51

Within the Ministry of Defence and the Bulgarian Armed Forces, the investigation under Articles 47(1), 48(1) and 49(1) shall be conducted by the authority under Article 11(3) at the written request of the head of the appropriate structural unit.

Section IV. Time Limits for Investigation and Issuance or Denial of Clearance

Article 52

(1) The background investigation shall be completed within the following time limits:

1. of an ordinary investigation, 30 days from the date of receipt of the relevant instructions or request;

2. of an extensive investigation, 45 days from the date of receipt of the relevant written request of the head of the organisational unit;

3. of a special investigation, 60 days from the date of receipt of the relevant written request of the head of the organisational unit.

(2) The appropriate heads of units may extend the time limits under paragraph 1, but by not more than 20 days, on the basis of the written reasoned request of the officers of the security or the public order services, or of the information security officers, conducting the investigation, provided however that such request shall be made prior to the expiration of the original time limit.

Article 53

The State Information Security Commission, the services under Articles 11 and 15 or the information security officer shall issue or deny clearance for access to information classified at the appropriate level within 10 days from the date of completion of the background investigation.

Section V. Issuance, Revocation, Termination, and Denial of Clearance for Access the classified Information

Article 54

(1) Clearance for access shall be issued to such persons as meet the requirements under Article 40 (1) for the appropriate classification level.

(2) The clearance for access is a document made in writing. Its shall be issued in triplicate, on such sample form as SISC shall approve, to be kept, one each, by SISC, the issuing service, and the appropriate organisational unit.

(3) The clearance for access to any higher classification level shall entitle the holder thereof to access to information classified at a lower level if the latter is required by the holder's official position or performance of a special assignment.

Article 55

(1) Clearance for access shall be issued for a period of:

1. five years, to information classified as «Confidential»;

2. four years, to information classified as «Secret»;

3. three years, to information classified as «Top Secret».

(2) Not later than three months before the expiration of a period under paragraph 1, a new background investigation shall be conducted of the persons who continue in a position, or with the performance of a special assignment, which requires access to information classified at the appropriate level.

(3) The investigation under paragraph 2 and the issuance of a new clear ancesh all be done by the competent authorities under the conditions and procedure provided for in this Chapter.

Article 56

(1) Where, concerning a person cleared for access to classified information, new facts and circumstances are revealed which raise a doubt as to such person's reliability, the security information officer shall inquire into such facts and circumstances.

(2) The inquiry under paragraph 1 shall be conducted immediately and for the purpose of obtaining greater clarity on the said facts and circumstances.

(3) The security information officer shall advise such inquiry in writing to the head of the organisational unit and the authority which issued the clearance.

(4) Upon such advice, the head of the organisational unit may restrict the access of the person under inquiry to the appropriate classification level and shall immediately advise the issuing authority.

Article 57

(1) Clearance for access to classified information of the appropriate level shall be denied where it is established, in the course of a background investigation, that:

1. the person under investigation does not meet any one of the requirements under Article 40(1);

2. the person under investigation has deliberately misrepresented or withheld any facts and circumstances.

(2) The denial of clearance shall be issued in triplicate, on such sample form as SISC shall approve, to be kept, one each, by SISC, the issuing authority, and the appropriate organisational unit.

(3) The denial of clearance shall not be accompanied with an explanation of reasons and shall only set out the legal reasons for denial.

(4) The person under investigation shall be notified of such denial in writing, setting out the legal reasons for denial, and shall be issued with a transcript thereof.

(5) Denial of access to classified information shall not be appealable before courts of law.

(6) No person under investigation who is denied clearance for access to classified information shall have a right to apply for appointment or for the performance of a special assignment, such as requires access to information classified at the same or at a higher level, for a period of one year from the date of such denial.

Article 58

The clearance, and the denial of clearance, for access to classified information shall set out:

1. The issuing authority.

2. The full name, the date and place of birth, and the Personal Identity Number of the person under investigation.

3. The organisational unit to which such person is applying for appointment, or at which such person is working or performing a special assignment, as the case may be.

4. The type of investigation.

5. The level of classification to which access is cleared or denied.

6. The legal reasons for clearance or the denial thereof.

7. The document's term of validity.

8. The document's number.

9. The document's date and place of issuance.

10. Signature and stamp.

Article 59

(1) The issuing authority of a clearance for access to classified information shall revoke such clearance, subject to the advice, made in writing, of the appropriate information security officer, where:

1. it is established by the inquiry under Article 56 that the person concerned does not meet any one of the requirements under Article 40(1);

2. the person concerned has committed an offence under any of the provisions of this Act or of the implementing statutory instruments here to, and has thereby threatened or caused grave damage to the interests of the State or of the organisations or persons concerned with the protection of classified information;

3. the person concerned has committed systematic offences under this Act or any statutory instrument relating to the protection of classified information.

(2) The authority under paragraph 1 shall immediately advise the revocation of clearance in writing to the appropriate head of organisational unit and to the person concerned.

(3) The revocation of clearance shall not be accompanied with an explanation of reasons and shall only set out the legal reasons for revocation.

(4) The revocation of clearance shall be based on a written statement containing the appropriate elements under Article 58.

(5) The revocation of clearance shall not be appealable before the courts of law.

(6) No person whose clearance for access to classified information is revoked shall have a right to apply for appointment or for the performance of a special assignment, such as requires access to classified information, for a period of three years from the date of such revocation.

Article 60

(1) The issuing authority of a clearance for access to classified information shall terminate such clearance, subject to the advice, made in writing, of the appropriate information security officer, in the event of:

1. the death of the holder of such clearance;

2. failure to assume, or removal from, the appropriate position;

3. termination of the performance of the appropriate special assignment;

4. expiration of the appropriate period under Article 55(1);

5. change in the need for access to information classified at a higher level.

(2) The authority under paragraph 1 shall advise the termination of clearance in writing to the appropriate head of organisational unit and to the person concerned.

(3) The termination of clearance shall not be accompanied with an explanation of reasons and shall only set out the legal reasons for termination.

(4) The termination of clearance shall be based on a written statement containing the appropriate elements under Article 58.

(5) The termination of clearance shall not be appealable before the courts of law.

Article 61

In the circumstances under Articles 59 or 60, the officer concerned shall return the clearance to the issuing authority.

Article 62

A denial of clearance for access to classified information, and the termination or revocation thereof, may be appealed before SISC within seven days from the date of advice to the person concerned under Article 57(4) or 59(2) or 60(2), as the case may be.

Article 63

(1) Such appeal shall be made in writing and addressed to SISC in the care of the authority whose act is the subject thereof.

(2) The appeal shall set out the authority before which it is laid; the name and address of the appellant; the act which is the subject of appeal; the authority which issued such act; the appellant's complaint and petition.

Article 64

(1) Any appeal laid after the period under Article 62 shall be returned to the appellant against his acknowledgement of receipt.

(2) Within seven days of return, a request may be made for renewal of the period for appeal, provided that the original period was not complied with on account of special unforeseen circumstances. The original appeal so returned shall be attached to such request.

(3) The request for renewal of the period for appeal shall be considered by SISC. If such request is deemed to be valid, the appeal shall be admitted, and if not, the appeal shall be dismissed without a hearing.

Article 65

(1) Within seven days from the date of receipt of an appeal, the authority which issued the subject act may reconsider the matter and may issue clearance for access to classified information or, as the case may be, withdraw the act whereby clearance had been revoked. The person concerned shall be advised accordingly.

(2) If the authority which issued the subject act does not find any reason to reverse its decision, it shall immediately refer the appeal, together with all the relevant documents, to SISC.

(3) If, within seven days from the expiration of the time limit under paragraph 1, the appeal has not been referred to SISC, the appellant may send a transcript thereof to SISC or advise SISC of the delay. SISC shall require delivery of the relevant documents ex officio.

(4) After receipt of the relevant documents, SISC may gather new evidence.

Article 66

(1) The State Information Security Commission shall adjudicate on the appeal within two weeks from the date of receipt thereof.

(2) The State Information Security Commission shall adjudicate by a ruling whereby it shall revoke the administrative act of denial, termination or revocation of clearance, as the case may be, or dismiss the appeal.

(3) Where the authority concerned had unlawfully denied clearance for access to classified information, SISC may direct the authority to commence a background investigation procedure, to be completed within such time as SISC shall prescribe.

Article 67

Within three days from the date of the ruling, SISC shall announce it to the appellant, to the authority which issued the subject act, and to the appropriate organisational unit.

Article 68

The SISC ruling shall be final and shall not be subject to any further appeal.

Article 69

A denial or termination or revocation of clearance for access to classified information issued by SISC shall not be subject to appeal.

Section VI. Background Investigation Files

Article 70

(1) The files of materials relating to background investigations shall be kept, maintained, updated, cardfiled, and closed by the investigating authority, separately from other files.

(2) Such file shall be opened by the competent authority upon the commencement of a background investigation.

(3) The data contained in such file is an official secret and may only be used for the purposes of this Act.

(4) The files of persons who have been cleared for access to classified information shall be kept for a period not to exceed five years after the expiration of the clearance period, where after, such files shall be destroyed.

Article 71

(1) The file of a person under investigation shall contain:

1. The application for appointment or the documents relating to a special assignment, which requires access to classified information, or as the case may be, the application for a competitive examination for the purposes of such appointment or special assignment.

2. The documents relating to a natural or legal person proposing to enter or perform a contract involving access to classified information.

3. The person's written consent to the background investigation.

4. The written request for background investigation.

5. The completed investigation questionnaire.

6. The clearance, certificate, or certifying document for access to classified information.

7. The document of denial, revocation, or termination of the clearance for access to classified information.

8. The documents of appointment or special assignment.

9. The documents relating to the completion of training in the protection of classified information.

10. Any other documents evidencing facts and circumstances established in pursuance of this Act.

(2) The special rules for the opening, the storing, the maintenance, the updating, the card-filing, and the closing of background investigation files shall be laid down in the Detailed Rules for the Application hereof.

Chapter Six. TYPES OF classIFIED INFORMATION PROTECTION

Section I. Physical Security

Article 72

(1) The physical security of classified information includes a system of organisational, physical, and technical measures for the prevention of unauthorised access to materials, documents, equipment, and facilities classified as a State secret or an official secret.

(2) The system of measures under paragraph 1 includes the protection of the buildings, the premises, and facilities within or at which classified information is generated, processed, or stored, and the control of access to such buildings, premises, and facilities.

Article 73

(1) The organisational units shall apply a system of measures and devices for the physical security of the buildings, the premises, or the facilities within or at which classified information is generated, processed, or stored.

(2) Physical security shall be used for the protection of classified information from any threat or damage resulting from:

1. terrorist activities or sabotage; or

2. unauthorised access or attempted unauthorised access.

(3) The necessary techniques and devices for physical security shall be determined in accordance with the classification level and the volume of classified information, the number and the clearance levels of staff, as determined pursuant to Article 3, and the level of threat of any damaging action.

Article 74

To prevent unauthorised access to classified information, the heads of organisational units, with the assistance of the information security officer, shall:

1. define security perimeters;

2. around the security perimeters, define administrative perimeters of the lowest security level within which persons and vehicles shall be controlled;

3. introduce a control arrangement for entry into, movement within, and exit from, the security perimeters, and for the escorting within such perimeters of the visitors not cleared for access to classified information or cleared for access to information classified at a lower level than the one held within the security perimeter;

4. provide the appropriate control of the security and the administrative perimeters with the support of the appropriate security units;

5. introduce a special arrangement for the safekeeping of keys to the premises, safes and other facilities used for storing classified information.

Article 75

To protect classified information which is a State secret in the course of meetings, talks, conferences, etc, of which such information is the subject, additional security measures shall be introduced to prevent bugging or unauthorised observation.

Article 76

The persons participating in meetings or conferences, of which classified information which is a State secret is the subject, shall undergo a prior security check by the security unit of the organisational unit.

Article 77

(1) All materials and technical devices used for the protection of classified information must conform to the durability and indestructibility requirements appropriate to each classification level, as certified by SISC or by another authority designated by the Council of Ministers.

(2) Any technical devices other than the above may not be used otherwise than by way of an exception and provided that the appropriate security level shall not be compromised.

(3) The physical security measures, as certified for each classification level, shall be described in a schedule which SISC shall approve.

Article 78

The system of physical security measures, techniques, and devices, and the conditions and procedure for the operation thereof, shall be laid down in a regulation by the Council of Ministers.

Article 79

The information security officers shall exercise ex ante and current control over the physical security arrangements, techniques, and devices at their respective organisational unit.

Section II. Documentary Security

Article 80

(1) Documentary security is a system of measures, techniques, and devices for the protection of classified information during the preparation, the processing, and the storing of documents, and in the organisation and operation of classified information registries.

(2) The system of documentary protection measures, techniques, and devices, and the conditions and procedure for the operation thereof, shall be laid down in the Detailed Rules for the Application hereof.

Article 81

To ensure the protection of classified information, the heads of organisational units shall, within their terms of reference, establish additional special procedures and requirements.

Article 82

(1) Within each organisational unit, their shall be created a separate classified information registry which shall be responsible for the proper preparation, processing, and storing, and delivery to the authorised persons of materials which contain classified information. Such classified information registry shall report directly to the appropriate information security officer.

(2) Requirements relating to the organisation and operation of the registries under paragraph 1 shall be laid down in the Detailed Rules for the Application hereof.

Section III. Personal Security

Article 83

(1) Personal security is a system of such principles and measures as the competent authorities, following the appropriate procedure, shall apply to persons with a view to ensuring such persons' reliability for the purposes of protecting classified information.

(2) The principles and measures under paragraph 1 include the «need to- know» principle, the background investigation procedure, and the issuance of access clearance under Chapter Five, the training of persons pursuant to this Act and the Detailed Rules for the Application hereof, and the exercise of control in these areas.

Section IV. Cryptographic Security

Article 84

Cryptographic security is a system of cryptographic methods and devices used to protect classified information from unauthorised access during the generation, the processing, the storing, and the transmission of such information.

Article 85

The conditions and procedure for the manufacture and import of cryptographic methods and devices for the protection of classified information shall be laid down in a regulation by the Council of Ministers, subject to the advice of the Minister of Home Affairs.

Article 86

No cryptographic method or device shall be used for the protection of classified information prior to the approval and registration of such method or device by the Communication Devices Protection Directorate of the Ministry of Home Affairs.

Article 87

(1) The generation and distribution of the necessary cryptographic keys shall be the responsibility of the Communication Devices Protection Directorate of the Ministry of Home Affairs.

(2) The activities under paragraph 1 may be performed as well by any other organisational unit, subject to the prior approval, and under the control of the Communication Devices Protection Directorate of the Ministry of Home Affairs.

Article 88

(1) Within each organisational unit, the use of cryptographic methods and devices shall be the responsibility of the information security officer, or of such other officers of the administrative security unit who have been trained in the field of cryptographic security and have been authorised to use cryptographic devices.

(2) The authorisation under paragraph 1 shall be issued by the Communication Devices Protection Directorate of the Ministry of Home Affairs, subject to prior background investigation under Article 46(3). The issuance, termination or revocation of such authorisation shall be governed by the provisions of Chapter Five. The denial, termination or revocation of such authorisation shall not be appealable before the courts of law.

(3) The training under paragraph 1 shall be administered by the Communication Devices Protection Directorate of the Ministry of Home Affairs, or by any other organisational unit, subject to the prior approval, and under the control of the said Directorate.

Section V. Automated Information Systems Security

Article 89

The security of automated information systems (AIS) or networks is a system of principles and measures for the protection from unauthorised access of such classified information as is generated, processed, stored, or transmitted by AIS or networks.

Article 90

(1) The general required conditions for the security of AIS or networks include computer security, communications security, cryptographic security, physical security, and personal security, the security of information as such on any electronic medium, and electromagnetic interference countermeasures, as defined in a regulation by the Council of Ministers, subject to the advice of the Minister of Home Affairs.

(2) The specific requirements for the security of AIS or networks within each organisational unit shall be defined by the head of such unit, subject to the advice of the information security officer. These requirements shall be adopted subject to the approval of the Communication Devices Protection Directorate of the Ministry of Home Affairs.

(3) The requirements under paragraph 2 shall include a detailed description of the security measures and rules applied to the design and operation of the AIS or network.

(4) The requirements under paragraph 2 shall be defined in the design phase of the AIS or network, and shall be modified, as necessary, in the process of deployment and development of the system.

(5) All subsequent modifications to the requirements under paragraph 2 shall be adopted subject to the approval of the Communication Devices Protection Directorate of the Ministry of Home Affairs.

Article 91

Prior to the placement of an AIS or network into service, the Communication Devices Protection Directorate of the Ministry of Home Affairs shall conduct a comprehensive security assessment of such AIS or network for compliance with the requirements under Article 90, and shall issue the certificate under Article 14(2) on such sample form as shall be prescribed in a regulation under Article 90(1).

Article 92

The head of an organisational unit which operates an AIS or network for the processing of classified information shall, subject to the advice of the information security officer, appoint or designate officers of the administrative security unit to control compliance with the security requirements for such AIS or network.

Article 93

No classified information may be generated, processed, stored, or transmitted by an AIS or network, unless such AIS or network is duly certified in pursuance of the provisions of this Section.

Article 94

No AIS or network used for the generation, the processing, the storing, or the transmission of classified information may be interconnected with any public network, such as the Internet or such other electronic communication networks.

Section VI. Industrial Security

Article 95

(1) Industrial security is a system of principles and measures applied to persons, whether natural or legal, who propose to enter or perform a contract which involves access to classified information, for the purposes of protecting such information from unauthorised access.

(2) The general industrial security requirements shall be defined pursuant to this Act in a regulation by the Council of Ministers.

(3) Subject to the advice of SISC, the Council of Ministers shall designate an authority to perform background investigations and issue security certificates.

(4) The contract under paragraph 1 shall provide specific requirements for the protection of classified information, relating in particular to the volume and level of classified information, the persons allowed access thereto, and the liability for non-compliance with the industrial security requirements.

Article 96

(1) classified information may not be disclosed to any natural person, unless such person is certified and cleared for access to such information, nor to any legal person, unless such person is certified for such access.

(2) In circumstances other than those under paragraph 1, where there are reasons to believe that, in the course of operation, a person may generate or receive access to classified information, such person shall have a duty to request clearance under Chapter Five or certificate under this Section.

Article 97

(1) For the purposes of certification, the bidder shall undergo background investigation whereby data shall be gathered about:

1. the bidder's management personnel, and the persons immediately involved in the performance of the contract under Article 95(1);

2. the persons involved in the negotiations on the contract under Article 95(1);

3. the bidder 's administrative security unit personnel.

(1) For the purposes of such background investigation, data shall be gathered also about:

1. the bidder's structure and origin of capital;

2. the bidder's commercial partners, financial relations, real rights, etc, as necessary to assess the bidder's reliability.

Article 98

(1) For the purposes of the above background investigation, the bidder shall complete a questionnaire, as defined in the Detailed Rules for the Application hereof.

(2) In the event of any subsequent change in the data entered in the questionnaire under paragraph 1, the bidder shall have a duty to advise immediately the investigating authority.

Article 99

A bidder which misrepresents data, or provides incomplete data, for the purposes of the questionnaire under Article 98(1) shall not be certified for access to classified information.

Article 100

No bidder shall be certified for access the classified information, unless such bidder:

1. meets the security requirements under this Act and the implementing statutory instruments hereto;

2. is economically stable;

3. is reliable for the purposes of security.

Article 101

(1) No bidder shall be deemed to be economically stable if such bidder:

1. has been declared bankrupt or is in pending bankruptcy proceedings;

2. has been convicted of fraudulent bankruptcy;

3. is in liquidation;

4. has been barred from carrying on commercial activities;

5. has a liability, liquid, due and payable, to the Treasury or to any social security fund or to any natural or legal person, where such liability has been accepted before the authority of writ or has been established by an effective judgment or by a notarised document or security issued by a third party;

6. has been convicted of, and effectively sentenced for, a crime against property or the economy, unless subsequently rehabilitated.

(2) The requirement under paragraph 1, subparagraph 6, shall apply also to the bidder's managers or, as the case may be, members of governance.

(3) The facts and circumstances under paragraph 1 shall be certified by the appropriate competent authority.

Article 102

(1) No bidder shall be deemed to be reliable for the purposes of security if:

1. such bidder is found, on the basis of data, not to meet the requirements
under Article 41;

2. any of the persons nominated by the bidder for background investigation are found not to meet the security requirements under Article 40.

(2) In the circumstances under paragraph 1, subparagraph 2, the bidder may nominate substitute persons.

(3) The bidder's background investigation for the purposes of paragraph 1 shall be conducted by the security services.

Article 103

(1) Based on the result of the background investigation, the investigating authority shall either issue or deny security certificate.

(2) Security certificate shall be denied where the bidder does not meet the requirements under Article 100.

(3) The denial under paragraph 2 shall not be accompanied with an explanation of reasons and shall only set out the legal reasons for denial.

Article 104

(1) Security certificates and denials to issue such certificates shall be issued on such sample form as SISC shall approve, and shall set out:

1. The competent authority.

2. The name, the registered office, and the BULSTAT Number of the bidder who is issued or denied certificate.

3. The legal reasons for issuance or denial.

4. The number of the certificate or denial.

5. The certificate's term of validity.

6. The date and place of issuance or denial.

7. The signature and stamp of the issuing authority.

(2) The certificate, and the denial thereof, are written documents and shall be issued in triplicate, to be kept, one each, by SISC, the investigating authority, and the bidder.

Article 105

The head of the organisational unit which is the principal under the contract shall designate a person to exercise control of compliance with the provisions of this Act and the implementing statutory instruments hereto, and to consult the contractor during contract performance.

Article 106

The certificate shall be issued with a term of validity of three years or equal to the duration of the contract, whichever period is shorter.

Article 107

If necessary, a new background investigation shall be conducted at the contractor's request filed with the investigating authority not later than three months before the expiration of the existing certificate.

Article 108

(1) The authority which issued the certificate shall exercise control to ensure that the contractor is currently in compliance with the security requirements hereunder.

(2) Where the holder of a security certificate no longer meets the requirements under Article 100(1), the issuing authority shall prescribe a time limit for the removal of irregularities, provided that the these have not already resulted in unauthorised access to classified information.

(3) Where the holder of a security certificate no longer meets any of the requirements under Article 100(2) or (3), and has failed to remove the irregularities within the time limit under paragraph 2, or it has been established that the irregularity under Article 100(1) has resulted in unauthorised access to classified information, the security certificate shall be revoked by the issuing authority.

Article 109

The denial under Article 103(2) and the revocation of security certificate shall not be appealable before the courts of law, but shall be subject to appeal pursuant to Articles 62-68.

Article 110

(1) The data gathered in the course of background investigations pursuant to this Section shall be kept by the appropriate investigation authority in a separate file and shall be protected as classified information.

(2) The data contained in the files under paragraph 1 may be used for the purposes of this Act.

(3) The files under paragraph 1 shall be kept for a period of 20 years commencing with the date of termination of the contractor's activities.

(4) The special rules for the opening, the storing, the maintenance, the updating, the card-filing, and the closing of background investigation files shall be laid down in the Detailed Rules for the Application hereof.

Article 111

The protection of classified information in the field of inventions and utility models shall be ensured in accordance with the provisions of the Patents Act, except as otherwise may be provided hereunder.

Article 112

The persons under Article 95(1), having been issued with security certificate in pursuance of this Section, shall have all the duties of organisational units hereunder.

Chapter Seven. DISCLOSURE OR EXCHANGE OF classIFIED INFORMATION
BY THE REPUBLIC OF BULGARIA TO, OR WITH, ANOTHER STATE OR AN INTERNATIONAL ORGANISATION

Article 113

(1) The Republic of Bulgaria discloses or exchanges classified information to, or with, States or international organisations where international treaties on the protection of such information exist between the Republic of Bulgaria and such States or international organisations.

(2) Where an international treaty under paragraph 1 does not provide for the applicable law with regard to any matters not provided for there under, the applicable law shall be that of the party of information source.

Article 114

The decision to disclose or exchange information in pursuance of Article 113(1) shall be made by SISC on the basis of the preliminary opinion of the organisational unit which releases such information.

Article 115

(1) In accordance with the relevant international treaty, SISC and the competent information security authority of the other State or of the international organisation must, on a reciprocal basis and prior to the disclosure or exchange of information, ensure that such information will be properly protected.

(2) For the purposes of paragraph 1, the competent information security authority of the other State or of the international organisation must certify before SISC that the persons who will have access to the information disclosed or exchanged are duly cleared for access to information classified at the appropriate or at a higher level.

Article 116

With respect to classified information exchanged with, or disclosed to, the Republic of Bulgaria by an international organisation of which the Republic of Bulgaria is a member, such protection of classified information principles, norms, and procedures shall apply, as exist within such international organisation, if such an obligation derives from the Republic of Bulgaria's membership of such organisation.

Chapter Eight. ADMINISTRATIVE PENALTIES

Article 117

(1) Whoever commits an offence under Article 17 shall be liable to a fine from BGN 2,000 to 20,000.

(2) Where an offence under Article 17 has been committed by a legal person, such person shall be liable to pay damages from BGN 2,000 to 20,000.

(3) For failure to prevent an offence under paragraph 2, a legal person's chief executive shall be liable to a fine from BGN 1,000 to 5,000, unless the offence is a criminal one.

Article 118

(1) Whoever commits an offence under Articles 18 and 19 shall be liable to a fine from BGN 50 to 300.

(2) The fine under paragraph 1 shall be imposed also on any head of organisational unit or any information security officer who fails to prevent an offence under Articles 18 and 19.

Article 119

Any information security officer who commits an offence under Article 22 shall be liable to a fine from BGN 100 to 1,000.

Article 120

(1) Whoever commits an offence under Article 31 shall be liable to a fine from BGN 100 to 500.

(2) The fine under paragraph 1 shall be imposed also on any head of organisational unit or any information security officer who fails to prevent an offence under Article 31.

Article 121

Any person under Article 31(1) who commits an offence under Article 35(4) shall be liable to a fine from BGN 100 to 1,000.

Article 122

(1) Any official person who commits an offence under Article 43(6) shall beliable to a fine from BGN 50 to 5,000, unless the offence is a criminal one.

(2) The fine under paragraph 1 shall be imposed also on any head of organisational unit or any information security officer who fails to prevent an offence under Article 43(6).

Article 123

Any head of organisational unit or information security officer who commits or fails to prevent an offence under Article 73(1) shall be liable to a fine from BGN 50 to 400.

Article 124

(1) Whoever commits an offence under Article 86 shall be liable to a fine from BGN 2,000 to 10,000.

(2) Where an offence under Article 86 has been committed by a legal person in the course of its operations, such person shall be liable to pay damages from BGN 3,000 to 15,000.

(3) For failure to prevent an offence under paragraph 1, a legal person's chief executive shall be liable to a fine from BGN 300 to 2,000.

Article 125

Any head of organisational unit who commits or fails to prevent an offence under Article 90(2), second sentence, shall be liable to a fine from BGN 300 to 2,000.

Article 126

Any head of organisational unit who commits or fails to prevent an offence under Article 92 shall be liable to a fine from BGN 500 to 1,000.

Article 127

(1) Whoever commits or fails to prevent an offence under Article 93 shall be liable to a fine from BGN 500 to 1,000.

(2) Any head of organisational unit who fails to prevent an offence under Article 93 shall be liable to a fine from BGN 1,000 to 2,000.

Article 128

(1) Whoever commits an offence under Article 96 shall be liable to a fine from BGN 1,000 to 3,000.

(2) Any legal person who commits an offence under paragraph 1 shall be liable to pay damages from BGN 1,000 to 5,000.

(3) Any head of organisational unit or information security officer who commits or fails to prevent an offence under Article 96 shall be liable to the fine from BGN 500 to 1,000, unless the offence is a criminal one.

Article 129

(1) Whoever commits or fails to prevent an offence under Article 98(2) shall be liable to a fine from BGN 500 to 1,000.

(2) Where an offence under paragraph 1 has been committed by a legal person in the course of its operations, such person shall be liable to pay damages from BGN 1,000 to 5,000.

Article 130

(1) Whoever commits or fails to prevent an offence under Article 108(3) shall be liable to a fine from BGN 500 to 2,000, unless the offence is a criminal one.

(2) Where an offence under paragraph 1 has been committed by a legal person in the course of its operations, such person shall be liable to pay damages from BGN 1,000 to 3,000.

Article 131

Any head of organisational unit who fails to disclose information to the competent authorities as requested under the conditions and procedure of this Act shall be liable to a fine of BGN 500.

Article 132

Where no other penalty is provided for an offence under this Act and the implementing statutory instruments hereto, the offender shall be liable to a fine from BGN 30 to 200.

Article 133

Where an offence under Articles 117-132 is a repeated offence, the fine, or as the case may be, the damages imposed shall be equal to double the original amounts.

Article 134

(1) The statement establishing an offence under any of the foregoing Articles shall be drawn up by such official persons as the chairperson of SISC, or the head of the National Security Service of the Ministry of Home Affairs, or of the Military Police and Military Counterintelligence Security Service of the Minister of Defence, or of the Communication Devices Protection Directorate of the Ministry of Home Affairs, shall authorise, and the relevant penal order shall be issued by the chairperson of SISC or, within his respective terms of reference, by the appropriate head of service.

(2) The offences hereunder shall be established, and the relevant penal orders shall be issued, appealed, and enforced, under the procedure laid down in the Administrative Offences and Penalties Act.

OTHER PROVISIONS

§ 1. Within the meaning of this Act:

1. «security services» are the National Intelligence Service, the National Security Service, the National Security Service of the Ministry of Home Affairs, the Communication Devices Protection Directorate of the Ministry of Home Affairs, the Operational Searches Directorate of the Ministry of Home Affairs, the Technical Operational Information Directorate of the Ministry of Home Affairs, the Military Information Service of the Ministry of Defence, and the Military Police and Military
Counterintelligence Security Service of the Ministry of Defence;

2. «public order services» are the National Police Service of the Ministry of Home Affairs, the National Service for Combating Organised Crime of the Ministry of Home Affairs, the National Border Police Service of the Ministry of Home Affairs, the National Gendarmerie Service of the Ministry of Home Affairs, and the National Fire and Accident Safety Service of the Ministry of Home Affairs;

3. «organisational unit» are: any government authority and its administration, including its divisions, subdivisions, and structural units, and the Armed Forces of the Republic of Bulgaria, and any authority of local self-government and local administration, and any public-law entity created by law or by an instrument of the executive branch, and any natural or legal person which generates, processes, stores or releases classified information;

4. «information security officer» is any natural person, such as appointed by the head of an organisational unit to perform the activities relating to the protection of classified information within such organisational unit;

5. «competent authority», for the purposes of issuance, termination, revocation, and denial of clearance for access to classified information, is SISC, the head of any security service or public order service, and any information security officer;

6. «unauthorised access to classified information» is the divulgence, misuse, modification, damage, disclosure, destruction of classified information, and any other action compromising the protection, or resulting in the loss of such information. Unauthorised access shall be deemed to be also any omission to classify information by the appropriate marking, or the improper choice of classification marking, and any action or omission resulting in knowledge of such information being acquired by any person who does not possess the appropriate clearance or confirmation;

7. «registry» is a separate structure which registers, receives, sends, distributes, prepares, reproduces, releases, and stores classified information;

8. «registry in the field of international relations» is a registry created in pursuance of an international treaty to which the Republic of Bulgaria is a party;

9. «security marking» is the marking on any material containing classified information which shows the classification level of such material;

10. «material» is any document or any other object of technical nature, or facility or equipment or device or armament, whether finished or in process, and any component thereof used in the manufacture thereof;

11. «document» is any recorded information, regardless of the physical form or characteristics thereof, including the following information media: any handwritten or typed material, any data processing software, any stamp, map, table, photograph, drawing, colouring, etching, technical drawing, or any part thereof, and any sketch, draft copy, preparatory notes, carbon copy, ink ribbon, and any form of reproduction by any device or process, such as sound, voice, magnetic recording, video recording, electronic recording, optical recording, and any portable equipment or device for electronic data processing on fixed or removable media, etc;

12. «compilation of materials and/or documents» is any number of materials and/or documents brought together for any purpose under this Act, and relating to a single subject and arranged in certain order;

13. «national security» is such a state of society and government which ensures the protection of the fundamental human and civil rights and freedoms, the territorial integrity, the independence and the sovereignty of the country, and the democratic functioning of the State and civil institutions, as a result of which the nation is capable of sustaining and augmenting its prosperity, and of developing;

14. «interests of the Republic of Bulgaria as relate to national security» is the safeguarding of the sovereignty, the territorial integrity, and the constitutional order of the Republic of Bulgaria, including:

(a) the detection, prevention, and counteraction of any action detrimental to the country's independence and territorial integrity;

(b) the detection, prevention, and counteraction of any covert action posing a
threat or causing a prejudice to the country's political, economic, and defence interests;

(c) the procurement of information about other countries or of foreign origin, such as is necessary for decisions to be made by the supreme authorities of the State and organs of governance;

(d) the detection, prevention, and counteraction of any covert action aimed at a violent change of the country's constitutional order, which guarantees the exercise of human and civil rights, and democratic representation on the basis of a multi-party system, and the functioning of the institutions established by the Constitution;

(e) the detection, prevention, and counteraction of any terrorist action, or the illegal trafficking in human beings, weapons, and drugs, and the illegal trafficking in products and technologies placed under international control, and money laundering, or any other specific risks and threats;

15. «damage in the field of national Security, defence, foreign policy or the protection of the constitutional order» is any threat or prejudice to the interests of the Republic of Bulgaria, or to such interests as the Republic of Bulgaria has undertaken to safeguard, the harmful consequences of which are incapable of being eliminated or are only capable of being mitigated by subsequent measures.
Depending on the importance of such interests, and on the gravity of such harmful consequences, the damage threatened or caused can be irreparable or exceptionally grave or nearly irreparable or grave or limited, where:

(a) irreparable or exceptionally grave damage is such as entails or might entail the complete or partial disruption of the national security or of the related interests of the Republic of Bulgaria as fundamental protected interests;

(b) nearly irreparable or grave damage is such as entails or might entail a significant negative impact on the national security or on the related interests of the Republic of Bulgaria as fundamental protected interests, which is incapable of being compensated without harmful consequences or without such harmful consequences as are only capable of being mitigated byconsiderable subsequent measures;

(c) limited damage is such as entails or might entail a negative impact of short duration on the national security or the related interests of the Republic of Bulgaria as fundamental protected interests, which is capable of being compensated without harmful consequences or with such harmful consequences as are capable of being mitigated by minor subsequent measures;

16. «repeated» is such an offence under this Act or the implementing statutory instruments hereto as is committed within one year from the effective date of the penal order whereby a penalty was imposed for the same kind of offence;

17. «systematic offences» are three or more offences under this Act or the implementing statutory instruments hereto committed within any one year;

18. «generation, processing, storing, or release of classified information» is the generation, the marking, the registration, the storing, the use, the disclosure, the transformation, and the declassification of classified information.

§ 2. Within the meaning of this Act, «official person» is any person under Article 93(1) of the Criminal Code.

TRANSITIONAL AND FINAL PROVISIONS

§ 3. Within three months from the entry into force of this Act, the Council of Ministers shall adopt the Detailed Rules for the Application hereof.

§ 4. Within three months from the entry into force of this Act, the Council of Ministers shall:

1. adopt the regulations under Articles 13, 78, 85, 90(1), and 95(2);

2. bring into consistency with this Act the Secret Patents Regulation (SG nº 81/1993), subject to the advice of the chairperson ofthe Patents Office.

§ 5. Within three months from the entry into force of this Act, the Ministerof Health shall, in consultation with SISC, issue the regulation under Article 42(3).

§ 6. Within one month from the entry into force of this Act, the Council of Ministers shall create the State Information Security Commission and shall adopt its Institutional Rules.

§ 7. Within three months from the entry into force of this Act, the heads organisational units shall appoint information security officers, excepting the circumstances under Article 20(3), and shall create administrative security units in pursuance of Article 23.

§ 8. Within three months from the entry into force of this Act, the heads of organisational units and the heads of the security services and the public order services shall draw up the lists under Article 37.

§ 9.

(1) Any materials and documents prepared before the entry into force of this Act, and marked as «Top Secret of Special Importance», «Top Secret», or «Secret», shall be deemed to be marked respectively as «Top Secret», «Secret», and «Confidential», and the respective durations of classification shall be determined in pursuance of Article 34(1) and shall be deemed to have commenced with the date of preparation such material or document.

(2) Within one year from the entry into force of this Act, the heads of organisational units shall review and bring into consistency with this Act and the implementing statutory instruments hereto the materials and documents which contain classified information.

§ 10.

(1) The access permits issued in pursuance of the provisions existing before the entry into force of this Act shall continue to be valid until the replacement thereof with clearances for access. The heads of organisational units, employing persons who possess an access permit and whose positions or special assignments require access the classified information, shall request the issuance of clearances for access in accordance with the requirements of this Act and within three months from its entry into force. Non-compliance with this provision shall result in the invalidation of the existing access permits.

(2) The background investigation and clearance procedure for the purposes of paragraph 1 shall be completed within such time limit as SISC shall prescribe, but not exceeding 18 months.

§ 11. Any pending issuance procedure for an access permit to secret information shall be transformed into a background investigation procedure under this Act. (Corrected, SG nº 5/2003)

§ 12. In Article 20(1), subparagraph 2, of the Cadastral Survey and Property Register Act (SG nº 32/2000), the words «protect as an official secret the data which came to his knowledge» are replaced with the words «protect the classified information, being an official secret, which came to his knowledge».

§ 13. Article 20 of the Constitutional Court Act (SG nº 67/1991, amended, SG nº 25/2001) is amended as follows;

1. In paragraph 2, the words «State or official secret» are replaced with the words «classified information which is a State secret or an official secret».

2. New paragraph 3 is inserted as follows:
«(3) In the circumstances under paragraph 2, the conditions and procedure laid down in the Protection of classified Information Act shall apply.»

§ 14. The Republic of Bulgaria Defence and Armed Forces Act (SG nº 112/1995, amended and supplemented SG 67/1996, SG 122/1997, SG 70, 93, 152 and 153/1998, SG. 12, 67 and 69/1999, SG 49 and 64/2000, SG 25/2001, SG 1 and 40/2002 amended) is amended as follows:

1. In Article 5, the words «State or official secret» are replaced with thewords«classified information which is the State or an official secret».

2. Article 32(9) is repealed.

3. In Article 35(1), subparagraph 14, the words «State or official secret»are replaced with the words «classified information which is a State secretor an official secret».

4. In Article 78(1), subparagraph 16, the words «State or official secret»are replaced with the words «classified information which is the State or an official secret».

5. In Article 200, the words «State or official secret» are replaced with the words «classified information».

6. In Article 273, the words «State or official secret» are replaced with the words «classified information».

7. In Article 281(1), the words «State or official secret» are replaced with the words «classified information which is the State or an official secret».

§ 15. In Article 9(2) of the Foreign Exchange Act (SG nº 83/1999), the words «and official secret» are replaced with the words «secret and the requirements relating to the protection of classified information which is an official secret».

§ 16. In Article 3 (3) of the Carriage by Road Act (SG nº 82/1999, amended, SG nº 11/2002), the word «official» are replaced with the words «classified information which is an official secret».

§ 17. In Article 15 (3) of the Administrative Procedure Act (SG nº 90/1979, amended, SG nº 9/1983, 26/1988, 94/1990, 25 and 61/1991, 19/1992, 65 and 70/1995, 122/1997, 15 and 89/1998, 83 and 95/1999), the words «protection of» are replaced with the words «protection of classified information which is».

§ 18. In § 5 of the Other Provisions of the Refugees Act (SG nº 53/1999, amended), the words «official secret» are replaced with the words «classified information which is an official secret».

§ 19. In Article 52 of the Banks Act (SG nº 52/1997, amended and supplemented, SG nº 15, 21, 52, 70 and 89/1998, 54, 103 and 114/1999, 24, 63, 84 and 92/2000, 1/2001), new paragraph 8 is inserted as follows:
«(8) The banks shall have a duty, at the written request of the chair person of SISC or of the head of any security service or public order service, to provide information about the account balances and transactions of any person under a background investigation pursuant to the Protection of classified Information Act. Such request shall be accompanied by such person's consent to the disclosure of such information.»

§ 20. The Bulgarian Personal Identity Documents Act (SG nº 93/1998, amended, SG nº 53, 67, 70 and 113/1999, 108/2000, 42/2001) is amended as follows:

1. In Article 75, new paragraph 2 is inserted as follows:
«2. persons about whom sufficient evidence exists that by such travel they might pose a threat to the system for the protection of classified information which is the State secret of the Republic of Bulgaria;»

2. In Article 78, the existing text is placed under paragraph 1 and new paragraph 2 is inserted as follows:
«(2) The involuntary administrative measure under Article 75(2) shall be taken in pursuance of a reasoned order of the chairperson of the State Information Security Commission or of the head of any security service or public order service.»

3. In Article 79(1) and (2), the reference «Article 75(1) and (3)» are replaced with the reference «Article 75 (1) – (3)».

§ 21. The Ministry of the Interior Act (SG nº 122/1997, Judgment nº 3/1998 of the Constitutional Court – SG nº 29/1998, amended, SG nº 70, 73 and 153/1998, 30 and 110/1999, 1 and 29/2000, 28/2001) is amended as follows:

1. In Article 7(14), the words «encryption operations within the Republic of Bulgaria and within its representations abroad» are replaced with the words «cryptographic protection of classified information within the Republic of Bulgaria and within its diplomatic and consular missions».

2. In Article 46(1), subparagraph 7, the words «protection of the facts, information, and objects which are a State secret» are replaced with the words «protection of classified information which is a State secret or an official secret».

3. Article 51(1) is amended as follows:
«(1) The National Security Service performs activities in connection with the functioning of the National System for the Protection of classified Information which is a State Secret or an Official Secret in pursuance of the Protection of classified Information Act.»

4. In Article 52(1), the words «protection of the facts, information, and objects which are a State secret» are replaced with the words «protection of classified information».

5. Article 53 is repealed.

6. Article 124 is amended as follows:
«124. (1) The Communication Devices Protection Directorate is a special directorate of the Ministry of Home Affairs responsible for the cryptographic protection of classified information within the Republic of Bulgaria and within its diplomatic and consular missions, and for the acquisition, organisation and processing of information from foreign sources in the interest of national security, and for the operational control of the national radio frequency spectrum, by:

1. evaluation and development of cryptographic algorithms and devices for cryptographic protection of classified information; development and distribution of cryptographic keys; approval and control of the use, manufacture and import of cryptographic protection devices;

2. issuance of security certificates of automated information systems or networks used for classified information; coordination and control of the electromagnetic interference countermeasures protecting the technical devices used for the processing, the storing, or the transmission of classified information;

3. organisation and operation of the communications between the Republic of Bulgaria and its diplomatic and consular missions, and cryptographic protection of the information so exchanged by the provision of the necessary personnel for the departmental units and for the diplomatic and consular missions;

4. acquisition, processing, and organisation of information by technical devices from the technical sources of other States in the interest of national security, and release of such information to such users as shall be designated by an order of the Minister of Home Affairs or by law;

5. detection and prevention of any use of the national radio frequency spectrum against the country's security or contrary to the law, and joint actions with the competent government authorities;

6. provision and use of special surveillance devices, and preparation of investigation exhibits under such conditions and procedure has shall be provided by law;

7. operational searches;

8. joint actions with the other services of the Ministry of Home Affairs and with the special government authorities, and with the counterpart services of other States, within its terms of reference;

9. information activities.

(2) The relevant departments shall provide funding support to the units under paragraph 1, subparagraph 3, and such units within diplomatic or consular missions.

(3) The organisation of activities under paragraph 1, subparagraph 3, shallbe provided for by a regulation of the Council of Ministers.»

7. Article 162(3) is repealed.

8. In Article 187, the words «protection of the facts, information, and objects which are a State secret» are replaced with the words «protection of classified information».

§ 22. The Bulgarian National Bank Act (SG nº 46/1997, amended, SG nº 49 and 153/1998, 20 and 54/1999, 109/2001) is amended as follows:

1. In Article 4(2), after the words «credit relations», a comma is inserted and the words «excepting the circumstances under the Protection of classified Information Act».

2. In Article 23(2), the words «which are an official» are replaced with the words «which is classified information, being an official».

§ 23. The Access to Public Information Act (SG nº 55/2000, amended SG nº 1/2002) is amended as follows:

1. In Article 7(1), the word «is» is replaced with the words «is classified information, being».

2. In Article 9(2), the words «State or official secret» are replaced with the words «classified information which is a State or an official secret».

3. In Article 13(3), the words «20 years» are replaced with the words «two years».

4. In Article 37(1), subparagraph 1, the words «State or official secret» are replaced with the words «classified information which is a State or an official secret».

5. In Article 41(4), the word «classification» is replaced with the words «placement of security marking».

§ 24. The State Property Act (SG nº 44/1996, amended, SG nº 104/1996, 55, 61 and 117/1997, 93 and 124/1998, 67/1999, 9, 12, 26 and 57/2000, 1/2001; Judgment nº 7/2001 of the Constitutional Court – SG nº 38/2001) is amended as follows:

1. In Article 70(2), the words «State secret» are replaced with the words «classified information which is a State or an official secret».

2. In Article 78(2), the words «State secret» are replaced with the words «classified information which is a State or an official secret».

§ 25. Article 25 of the Civil Servants Act (SG nº 67/1999, amended SG nº 1/2000, 25, 99 and 110/2001) is amended as follows:
«Protection of classified Information Which Is a State or an Official Secret
25.
(1) Every civil servant shall have a duty to protect the classified information, which is a State or an official secret, which came to his knowledge in the course of, or in connection with, the pursuance of his official duties.
(2) The classified information which is a State or an official secret, and procedure for operation therewith, shall be defined by law.»

§ 26. Article 17 of the Act Restoring Ownership of Forests and Forest Stock Land Tracts (SG nº 110/1997, amended, SG nº 33, 59 and 133/1998, 49/1999, 26 and 36/2001) is amended as follows:

1. The existing text is placed under paragraph 1 and the words «including such as are a State secret» are deleted.

2. New paragraph 2 is inserted as follows:
«(2) Where the information under paragraph 1 is classified information, the release thereof shall be governed by the Protection of classified Information Act.»

§ 27. In Article 11(1) of the Postal Services Act (SG nº 64/2000, amended SG nº 112/2001), the words «secret correspondence» are replaced with the words «correspondence which contains classified information».

§ 28. Article 9 of Decree nº 612, Chapter 2, on Seals and Stamps (SG nº 69/1965, amended, SG nº 26/1988, 11 and 47/1998) is repealed.

§ 29. In Article 6 (1) of the Public Procurement Act (SG nº 56/1999, amended, SG nº 92 and 97/2000, 43/2002), the words «are the subject of a State secret» are replaced with the words «are the subject of classified information which is a State secret».

§ 30. The Statistics Act (SG nº 57/1999, amended, SG nº 42/2001) is amended as follows:

1. In Article 22, the words «protection of secrets» are replaced with the words «protection of classified information».

2. Article 27(2) is amended as follows:
«(2) The registration, the use, the processing, and the storing of statistical data which are classified information shall be governed by the provisions of the legislative and the statutory instruments relating to the protection of classified information.»

§ 31. The Audit Office Act (SG nº 109/2001) is amended as follows:

1. In Article 30(1), the words «State, official» are replaced with the words «classified information which is a State or an official secret, and».

2. In Article 31, new paragraph 7 is inserted as follows:
«(7) Where the exercise of the powers under paragraph 1 requires access to classified information, the relevant conditions and procedure laid down in the Protection of classified Information Act shall apply.»

§ 32. Article 6 (2), second sentence, of the Act to Transform the Construction Corps, the Transport Ministry Troops and the Posts and Telecommunications Committee Troops into State-Owned Enterprises (SG nº 57/2000) is amended as follows:
«They can perform and award public procurement contracts relating to the country's defence or security and having as their subject matter classified information which is a State secret, and the performance thereof shall be governed by the provisions of the Protection of classified Information Act.»

§ 33. Article 32(2) of the Social Assistance Act (SG nº 56/1998) is amended as follows:
«(2) The inspectors shall have a duty to comply with the provisions of the legislative and the statutory instruments relating to the protection of classified information with regard to such information as came to their knowledge in the course of, or in connection with, an inspection, and shall have a duty to respect the honour and the dignity of the assistance beneficiaries.»

§ 34. The Patents Act (SG nº 27/1993, amended, SG nº 11/1998, 81/1999) is amended as follows:

1. Article 24 is amended as follows:
«24.
(1) Secret patents shall be issued with respect to inventions which contain classified information which is a State secret within the meaning of Article 25 of the Protection of classified Information Act.
(2) At the filing of a secret patent statement, the applicant shall have a duty to state that the subject invention is a matter of State secret.
(3) The level at which the invention under paragraph 2 shall be classified shall be determined by the appropriate competent authority, to the activities of which the invention relates, subject to consultation with the State Information Security Commission.
(4) The competent authority under paragraph 3 shall decide within three months from the date of referral and shall advise the Patents Office accordingly. The secret patent statement shall be identified with the appropriate security marking, in accordance with the competent authority's decision, and the applicant shall be advised accordingly.
(5) If, within the time limit under paragraph 4, the Patents Office is not advised of classification level, the subject statement shall be deemed to be free of any information which is a State secret. The Patents Office shall advise the applicant that the subject invention does not contain any classified information which is a State secret and shall require the applicant's express consent to the review of his statement under the general procedure. If the applicant fails to give such consent, the statement shall be deemed
to have been withdrawn and the relevant materials shall be returned to the applicant.
(6) Where the competent authority under paragraph 3 is an applicant and where, subject to consultation with the State Information Security Commission, the statement has been security-marked in accordance with the classification level of the invention, the procedure under paragraphs 4 and5 shall not apply.
(7) The Patents Office shall only publish the numbers of secret patents issued, at no charge.»

2. Article 25(2) is amended as follows:
«(2) The competent authorities under Article 24(3) may, subject to consultation with the State Information Security Commission, ban the patenting abroad of any invention which contains classified information which is a State secret.»

3. In Article 31(5), the words «subject to the prior written consent of the Ministry of Defence or the Ministry of Home Affairs» are replaced with the words «under the conditions and procedure laid down in the Protection of classified Information Act».

4. In Article 32(8), the words «only by the Council of Ministers, at the request of the Ministry of Defence or of the Ministry of Home Affairs» are replaced with the words «by the State Information Security Commission».

5. In Article 45(3), the words «the Ministry of Defence or of the Ministry of Home Affairs» are replaced with the words «the competent authorities under Article 24(3), subject to consultation with the State Information Security Commission».

6. Article 46(3) is repealed.

7. In Article 48, the reference «Article 46(1), (2), and (3)» is replaced with the reference «Article 46(1) and (2)».

8. Article 50 is amended as follows:
(a) paragraph 1, subparagraph 3, is amended as follows:
«3. the statement is made for the issuance of a secret patent for an invention which contains classified information which is a State secret;»
(b) paragraph 3 is amended as follows:
«(3) The Patents Office shall publish where, pursuant to Article 34 of the Protection of classified Information Act, no legal reasons exist any longer for the classification of information contained in the invention as a State secret.»

9. In Article 55(1), subparagraph 1, the reference «Article 46(2) and (3)» is replaced with the reference «Article 46(2)».

10. Article 67(6) is amended as follows:
«(6) Where the Republic of Bulgaria designates itself in pursuance of Article 8(2), subparagraph (b), of the Treaty, the Patents Office shall refer the international statement to the competent authorities, to the activities of which such invention relates, for the determination of a classification level. Such determination shall be governed by the provisions laid down in the Protection of classified Information Act and shall be completed within the time limit under Article 24(4) of the same. If it is established that such international statement contains information classified as a State secret, it shall not be treated as an international statement and shall not be distributed officially and shall not be published.»

11. In Article 84(1), the words «secret statement» are replaced with the words «secret patent statement», and the words «from BGN 100 to 1,000» are replaced with the words «from BGN 1,000 to 20,000».

§ 35. In Article 99 (1) of the Telecommunications Act (SG nº 93/1998, amended, SG nº 26/1999, 10 and 64/2000, 34, 42, 96 and 112/2001), the words «national encryption authority» are replaced with the words «Communication Devices Protection Directorate».

§ 36. In Article 33 (2) of the Local Self-government and Local Administration Act (SG nº 77/1991, amended, SG nº 24, 49 and 65/1995, 90/1996, 122/1997, 33, 130 and 154/1998, 67 and 69/1999, 26 and 85/2000, 1/2001, 28/2002), the words «State or official secret within the meaning of the law» are replaced with the words «classified information which is a State or an official secret».

§ 37.

(1) The Access to the Documents Act of the Former State Security Police and the Former Intelligence Service of the General Staff (SG nº 63/1997, as Judgment nº 10/1997 of the Constitutional Court – SG nº 89/1997, amended, SG nº 69/1999, 24/2001; Judgment nº 14/2001 of the Constitutional Court – SG nº 52/2001; amended, SG nº 28/2002) is repealed.

(2) The appropriations under the National Budget Act for 2002 to, and the fixed tangible assets of, the government authorities under the Access to the Documents Act of the Former State Security Police and the Former Intelligence Service of the General Staff, which have ceased to exist, shall be transferred to the State Information Security Commission.

§ 38. Articles 284a and 313b of the Criminal Code (SG nº 26/1968, corrected, SG nº 29/1968, amended and supplemented, SG nº 92/1969, 26 and 27/1973, 89/1974, 95/1975, 3/1977, 54/1978, 89/1979, 28/1982; corrected, SG nº 31/1982; amended and supplemented, SG nº 44/1984, 41 and 79/1985; corrected, SG nº 80/1985; amended and supplemented, SG nº 89/1986; corrected, SG nº 90/1986; amended, SG nº 37, 91 and 99/1989, 10, 31 and 81/1990, 1, 86, 90 and 105/1991, 54/1992, 10/1993, 50/1995; Judgment nº 19/1995 of the Constitutional Court – SG nº 97/1995; amended, SG nº 102/1995, 107/1996, 62 and 85/1997; Judgment nº 19/1997 of the Constitutional Court – SG nº 120/1997; amended, SG nº 83, 85, 132, 133 and 153/1998, 7, 51 and 81/1999, 21 and 51/2000; Judgment nº 14/2000 of the Constitutional Court – SG nº 98/2000; amended, SG nº 41/2001, 101/2001) are repealed.

§ 39. Article 24 (1), subparagraphs 9 and 10, Article 29 (2), Article 48 (5), and § 6 of the Transitional and Final Provisions, of the Election of National Representatives Act (SG nº 37/2001, Judgment nº 8/2001 of the Constitutional Court – SG nº 44/2001) are repealed.

§ 40. Article 42a of the Election of Grand National Assembly Act (SG nº 28/1990, amended, SG nº 24/2001) is repealed.

§ 41. Article 8 (2) of the Election of President and Vice President of the Republic Act (SG nº 82/1991, amended, SG nº 98/1991, 44/1996, 59/1998, 24, 80 and 90/2001) is repealed.

§ 42. Article 42 (4) of the Local Elections Act (SG nº 66/1995, corrected, SG nº 68/1995; Judgment nº 15/1995 of the Constitutional Court – SG nº 85/1995; amended, SG nº 33/1996; Judgment nº 4/1998 of the Constitutional Court – SG nº 22/1998; amended, SG nº 11 and 59/1998, 69 and 85/1999, 29/2000, 24/2001) is repealed.

§ 43. The List of Facts, Data and Objects Which Are a State Secret of the Republic of Bulgaria (SG nº 31/1990, amended, SG nº 90 and 99/1992, 108/1999, 55/2000) is repealed.

Promulgated, SG nº 45/30.04.2002, Corrected, SG nº 5/2003, Amended, SG nº 31/4.04.2003, supplemented, SG nº 52/18.06.2004, nº 55/25.06.2004, SG nº 89/12.10.2004.

Resolución Administrativa nº 1227/2003 de 5 de noviembre de 2003. Trámite de causas: carga de datos a los sistema informáticos.

Rawson, 05 de noviembre de 2003.

VISTO y CONSIDERANDO

El informe presentado por el responsable de desarrollo de sistemas informáticos para áreas jurisdiccionales en materia penal, del cual surge que aún no se ha logrado que los organismos informatizados carguen la totalidad de los datos a lo largo del trámite de las causas.

La actividad de implementación, capacitación permanente y asistencia a usuarios que desarrolla la Secretaría de Informática Jurídica.

La importancia estratégica que los sistemas desarrollados y en desarrollo tienen para el establecimiento de políticas judiciales en áreas de control de gestión de personal, presupuestaria, planificación estratégica y en su caso el almacenamiento de datos sobre hechos delictivos tal que permitan mejorar las estrategias de investigación y proporcionar información para la prevención, mediante la elaboración de estadísticas e informes.

El proceso de cambio del procedimiento penal y su rediseño en un modelo de gestión diferente que trae como consecuencia la necesidad de integración de la información correspondiente a la investigación penal en una única unidad de información para diferentes organismos.

La implementación de redes de comunicaciones que permiten compartir datos necesarios en etapas claves de la investigación de hechos delictivos y la salida a Internet de información de los Juzgados Civiles, Comerciales, Laborales, Cámaras de Apelaciones que se encuentran implementados o en estado de implementación.

La relación directa e inmediata, que existe para el logro de los resultados buscados, entre estado de actualización de la información cargada en los sistemas de gestión y la devolución que estos proporcionan mediante su consulta.

Por ello, el Superior Tribunal de Justicia,

RESUELVE

1º) Establecer como de carácter obligatorio, la carga de todos los datos y actos correspondientes a todas las etapas de procesos judiciales, de acuerdo con los modelos de carga de información definidos o que en el futuro se definan, en los sistemas de gestión informatizada que se encuentren implementados o se implementen en los organismos del Poder Judicial.

2º) Establecer el valor legal de los registros electrónicos almacenados en los referidos sistemas a efectos cumplir con la obligación de llevar los libros obligatorios que determina la reglamentación vigente.

3º) Establecer que a esos fines serán responsables de asegurar la carga de los datos y el mantenimiento actualizado de la información que se almacena en los referidos sistemas, los Secretarios de los Juzgados y los Funcionarios a cargo de los Ministerios Públicos en cada uno de los organismos que los componen.

4º) El personal técnico de la Secretaría de Informática Jurídica debe implementar los mecanismos de respaldo, seguridad e integridad de los registros informáticos referidos.

5º) Regístrese, comuníquese a los Señores Magistrados, Funcionarios y empleados de los organismos que integran las áreas jurisdiccionales del Poder Judicial.pma.

Fdo. Dr. Fernando S.L. Royer

.Dr. José Luis Pasutti

Dr. Daniel Luis Caneo

CAPITULO III. DERECHOS Y LIBERTADES FUNDAMENTALES

Art. 13. Por cuanto toda persona de Jamaica goza de los derechos fundamentales y libertades individuales, es decir, tiene el derecho -sin distinción de raza, lugar de origen, opiniones políticas, color, religión o sexo, pero sujeto al respeto de los derechos y libertades de los demás- a todas y cada una de las siguientes prerrogativas:
a) la vida, la libertad, la seguridad de la persona, el goce de la propiedad y la protección de la ley;
b) la libertad de conciencia, expresión, reunión pacífica y asociación, y
c) el respeto de su vida privada y familiar,
las siguientes disposiciones de este capítulo entrarán en vigor con el propósito de proteger esos derechos y libertades, sujetas a las restricciones que se impusieren a dicha protección dentro de lo dispuesto; estas restricciones tienen por objeto asegurar el goce de los susodichos derechos y libertades a todo individuo en tanto no vayan en perjuicio de los derechos y libertades de los demás o del bien público.

Art. 19. 1. Ninguna persona será sometida, sin su previo consentimiento, a un registro corporal o de su propiedad, ni sufrirá el allanamiento de su morada por extraños.
2. Nada de lo contenido en una ley o de lo autorizado por ella se considerará que desvirtúe o contravenga lo dispuesto en esta sección siempre que la ley en cuestión formule las disposiciones que razonablemente se requieran para:
a) la defensa, la seguridad, el orden, la moral, la salubridad y las recaudaciones públicas, el planeamiento rural o urbano, el desarrollo y utilización de cualquier propiedad con el objeto de promover el bien público, o
b) permitir la entrada al domicilio de una persona de cualquier sociedad anónima establecida por una ley para fines públicos o a cualquier departamento del Gobierno de Jamaica o a cualquier autoridad de un gobierno local, a fin de realizar trabajos relacionados con una propiedad o instalación que se encuentre legalmente en dicho domicilio y que pertenezca, según sea el caso, a la sociedad anónima o al gobierno o a esa autoridad local, o
c) prevenir o impedir la comisión de un delito, o
d) proteger el derecho y la libertad de otras personas.

Ley 24.848 de3 11 de junio de 1997, sobre Constitución y Convenio de la Unión Internacional de Telecomunicaciones (1992) y enmiendas de Kyoto 1994. (Publicada el 15 de septiembre de 1997).

Apruébanse, la Constitución y el Convenio de la Unión Internacional de Telecomunicaciones (U.I.T.), adoptados en Ginebra el 22 de diciembre de 1992 y los Instrumentos de Enmienda, adoptados por la Conferencia de Plenipotenciarios reunida en la Ciudad de Kyoto, el 14 de octubre de 1994.

Sancionada: Junio 11 de 1997.

Promulgada de Hecho: Agosto 19 de 1997.

B.O.: 15/09/97

El Senado y Cámara de Diputados de la Nación Argentina reunidos en Congreso,

sancionan con fuerza de Ley:

Artículo 1º

Apruébanse la Constitución y el Convenio de la Unión Internacional de Telecomunicaciones (U.I.T.), adoptados en Ginebra (Confederación Suiza), el 22 de diciembre de 1992 y que constan, en lo atinente a la Constitución, de cincuenta y ocho (58) artículos y un (1) Anexo y, con respecto al Convenio, de cuarenta y dos (42) artículos y un (1) Anexo, cuyos textos originales en idioma español forman parte de la presente como Anexo I.

Artículo 2º

Asimismo apruébanse los Instrumentos de Enmienda a la Constitución y el Convenio de la Unión Internacional de Telecomunicaciones (U.l.T.), adoptados por la Conferencia de Plenipotenciarios reunida en la Ciudad de Kyoto (Japón), el 14 de octubre de 1994, que en copias autenticadas forman parte de la presente como Anexo II.

Artículo 3º

Al procederse a la ratificación de la Constitución y el Convenio:

a) Se expresará que:

I-La República Argentina rechaza la inclusión y la referencia a las Islas Malvinas, Islas Georgias del Sur y Sandwich del Sur por parte del Reino Unido de Gran Bretaña e Irlanda del Norte como territorios dependientes, efectuadas al momento de ratificar la Constitución y el Convenio de la Unión Internacional de Telecomunicaciones (U.l.T.), adoptados en Ginebra (Confederación Suiza), el 22 de diciembre de 1992 y reafirma su soberanía sobre dichas islas, que son parte integrante del territorio nacional de la República Argentina.

II-La República Argentina declara que ninguna de las estipulaciones de la Constitución ni el Convenio deberán interpretarse o aplicarse como afectando sus derechos, fundados en títulos jurídicos, actos de posesión, contigüidad y continuidad geológica, sobre el Sector Antártico Argentino comprendido entre los meridianos de veinticinco grados (25°) y setenta y cuatro grados (74°) de longitud oeste y el paralelo de sesenta grados (60°) de latitud sur, sobre el que se ha proclamado y mantiene su soberanía.

b) Se formularán las siguientes reservas:

1.-La República Argentina reitera e incorpora por referencia, todas sus declaraciones y reservas formuladas en las Conferencias Mundiales competentes de la Unión Internacional de Telecomunicaciones (U.I.T.), que adoptaron y revisaron los Reglamentos Administrativos, antes de la fecha de la firma de la Constitución y el Convenio del mencionado organismo adoptados en Ginebra (Confederación Suiza) en 1992.

II.-La República Argentina se reserva el derecho de adoptar todas las medidas que estime oportunas para proteger sus intereses en el caso de que otros Estados Miembros no observen las disposiciones de la Constitución y el Convenio de la Unión Internacional de Telecomunicaciones (U.I.T.) y de los Reglamentos Administrativos, como así también en el caso de que las reservas formuladas por otros Miembros, comprometan el buen funcionamiento de sus servicios de telecomunicación.

Artículo 4º

Comuníquese al Poder Ejecutivo Nacional.

Dada en la Sala de Sesiones del Congreso Argentino

En Buenos Aires, a los once días del mes de junio del año mil novecientos noventa y siete.

ALBERTO R. PlERRI

EDUARDO MENEM.

Esther H. Pereyra Arandía de Perez Pardo

Edgardo Piuzzi.

Visto el Expediente MJSyDH nº 164.322/08, el artículo 43 inciso 4 de la Ley nº 25.326, y las competencias atribuidas a esta Dirección Nacional de Protección de Datos Personales por la Ley nº 25.326 y su reglamentación aprobada por Decreto nº 1558/01, y

CONSIDERANDO:

Que el mencionado inciso dispone que los jueces deben comunicar al Órgano de Control de la Ley 25.326 las sentencias que dicten en el marco de las acciones de habeas data.

Que como obligación correlativa, esta DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES debe organizar un registro a esos efectos, según lo dispone la norma en el mismo inciso.

Que se considera necesario e indispensable para la difusión de la cultura de la protección de los datos personales que se habilite dicho registro para la consulta del público en general.

Que a los efectos de desarrollar el registro con la mayor cantidad de sentencias, también se integrará con las que aporten las partes en los procesos de habeas data, o las que se obtengan de fuentes de acceso público irrestricto.

Que en consecuencia corresponde crear el REPERTORIO DE JURISPRUDENCIA SOBRE HABEAS DATA que funcionará en el ámbito de esta DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES.

Que la presente medida se dicta en uso de las facultades conferidas en el artículo 29 inciso b) de la Ley Nº 25.326 y el artículo 29, inciso 5, apartado a) del Anexo I del Decreto Nº 1558/01.

Por ello,

EL DIRECTOR NACIONAL DE PROTECCION DE DATOS PERSONALES

DISPONE:

Artículo 1º.- Créase el REPERTORIO DE JURISPRUDENCIA SOBRE HABEAS DATA en el ámbito de la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES.

Artículo 2º.- El registro será de libre consulta por el público en general, y se integrará con sentencias recaídas en las acciones de habeas data, que suministren los propios magistrados, las partes en el proceso o sean obtenidas de fuentes de acceso público irrestricto.

Artículo 3º.- El ejercicio de los derechos de acceso, rectificación y supresión sobre la información del registro creado por la presente podrá ser ejercido en la sede de esta DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES, sita en Sarmiento 1118, piso 5º, de la Ciudad Autónoma de Buenos Aires.

Artículo 4º.- Comuníquese, publíquese, dése a la DIRECCIÓN NACIONAL DEL REGISTRO OFICIAL y archívese.

Juan A. Travieso.

·        Magnatune es el sello discográfico estadounidense pionero en distribución de música libre por Internet

Madrid, 12 de mayo de 2009 – Safe Creative, empresa líder en el registro de la propiedad intelectual online, anuncia la firma del acuerdo alcanzado con Magnatune, en virtud del cual la compañía española incorporará a su registro de la propiedad intelectual, todos los contenidos musicales de la discográfica norteamericana.

Magnatune, que utiliza licencias Creative Commons, para licenciar gratuitamente su música, siempre que ésta se use para fines no comerciales, ha seleccionado a Safe Creative para la gestión del registro online de la propiedad intelectual de las obras recogidas bajo su sello, por su capacidad tecnológica, su fiabilidad, su transparencia, y porque, con tan sólo 18 meses de existencia, la compañía española cuenta ya con la confianza y el respaldo de más de 13.000 autores de todo el mundo, que les han elegido para el registro de la propiedad intelectual de más 84.000 obras.

Con la firma de este acuerdo Safe Creative, se convierte en un recurso de consulta para conocer exactamente a quien pertenece cada creación y bajo qué términos se puede explotar los temas distribuidos por el sello discográfico norteamericano, con el que amplían su banco de consultas en el que buscar nuevos creadores para los productores de contenidos.

Las canciones quedan registradas en los servidores de Safe Creative, ofreciendo a los creadores en todo momento una prueba judicial en caso de que precise hacer valer su registro en una fecha determinada. Como prueba del registro se puede obtener un certificado y/o una etiqueta de Safe Creative, para utilizarlo en cualquiera de los documentos registrados.

Con Safe Creative, Magnatune puede registrar obras con independencia del modelo de derechos que deseen ejercer sobre la misma, y pueden obtener una prueba válida de autoría de la misma, gracias al certificado de registro firmado electrónicamente que proporciona Safe Creative, lo que les permite establecer sobre su obra un copyright tradicional, o bien especificar las diferentes licencias de uso que desean dar. Por tanto, este mecanismo no sólo protege las obras registradas, sino que posibilita la libre elección del autor para intercambiar y compartir su obra en el futuro según su propio criterio.

Safe Creative, actualmente está implementando un sistema tecnológico de última generación que agilice el proceso de registro de las creaciones de la discográfica, que en los próximos meses se convertirá en un proceso automático desde la página web de la compañía situada en: http://www.safecreative.org/home.shtml

En palabras de Mario Pena Coordinador de Comunidad de Safe Creative, «en un momento en el que el pago por derechos de autor ocupa y preocupa a creadores de contenidos y autores, Safe Creative recibe el respaldo del sello discográfico de referencia en distribución de música online de forma gratuita, siempre que no se use con fines comerciales, lo que apuntala, aun más, la idea y la filosofía con la que nace Safe Creative: servir y proteger a los creadores y a los usuarios a través de un registro de propiedad intelectual, que contribuya a difundir la cultura a través de un acceso sencillo y de una información contundente que sirva para conocer los términos en los que el autor desea que se haga uso de su obra».

Safe Creative es la compañía de referencia en registro de la propiedad intelectual online. Su actividad se centra en la creación de herramientas que sirvan para el registro mundial, libre, abierto, independiente y gratuito de propiedad intelectual en entornos web. Gracias a la labor de Safe Creative son más de 13.000 los autores que ya pueden gestionar de manera sencilla e intuitiva sus derechos sobre dichas obras y aprovechar el potencial semántico que el registro en la plataforma propietaria aporta a los contenidos.

Relaciones públicas y prensa     

INFORPRESS

Ángel Arroyo / Juan Manuel Pajuelo

[email protected]  / [email protected] 

91 564 07 25

Coordinador de Comunidad de Safe Creative

Mario Pena

[email protected]

976 074 888

LA COMISIÓN DE LAS COMUNIDADES EUROPEAS,

Visto el Tratado constitutivo de la Comunidad Europea,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1), y, en particular, el apartado 6 de su artículo 25,

Tras consultar al Grupo de protección de las personas físicas en lo que respecta al tratamiento de datos personales (2),

Considerando lo siguiente:

(1) De conformidad con la Directiva 95/46/CE, los Estados miembros sólo permitirán la transferencia de datos personales a un tercer país si éste proporciona un nivel de protección adecuado y se cumplen en él, con anterioridad a la transferencia, las disposiciones legales que los Estados miembros aprueben en aplicación de otros preceptos de dicha Directiva.

(2) La Comisión puede dictaminar que un tercer país garantiza un nivel de protección adecuado. En tal caso, podrán transferirse datos personales desde los Estados miembros sin que sea necesaria ninguna garantía adicional.

(3) De conformidad con la Directiva 95/46/CE, el nivel de protección de los datos debe evaluarse atendiendo a todas las circunstancias que concurran en la transferencia o conjunto de transferencias de datos y estudiando con especial atención una serie de elementos relevantes para la transferencia, enumerados en el apartado 2 de su artículo 25.

(4) Ante la existencia de enfoques diferentes de la protección de datos personales en los terceros países, la comprobación de si un tercer país proporciona un nivel de protección adecuado y la aplicación de toda decisión que se tome a tenor de lo dispuesto en el apartado 6 del artículo 25 de la Directiva 95/46/CE deben basarse en criterios que no penalicen de forma arbitraria o injustificada a ningún tercer país en el que existan condiciones similares y que no constituyan una restricción comercial encubierta, teniendo en cuenta los actuales compromisos internacionales de la Comunidad.

(5) La Bailía de Guernsey pertenece a la Corona británica (aunque no forma parte del Reino Unido ni es una colonia), y goza de total independencia, excepto en cuanto a relaciones internacionales y defensa, ámbitos que son competencia del Gobierno del Reino Unido. Por tanto, la Bailía de Guernsey debe considerarse un tercer país con arreglo a la Directiva.

(6) Con efecto a partir de agosto de 1987, la ratificación por parte del Reino Unido del Convenio del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal (Convenio no 108) se amplió a la Bailía de Guernsey.

(7) En la Bailía de Guernsey, las normas de Derecho relativas a la protección de datos personales basadas en los preceptos de la Directiva 95/46/CE se recogen en la Data Protection (Bailiwick of Guernsey) Law, 2001, que entró en vigor el 1 de agosto de 2002.

(8) Asimismo, en 2002 se han adoptado en Guernsey 16 instrumentos legislativos (decretos), en los que se establecen normas específicas sobre cuestiones como el acceso de los titulares de los datos, el tratamiento de los datos sensibles y la notificación a la autoridad de protección de datos. Estos instrumentos son un complemento de la Ley.

(9) Las normas de Derecho aplicables en Guernsey cubren todos los principios básicos necesarios para ofrecer un nivel adecuado de protección a las personas físicas. La aplicación de estas normas está garantizada mediante recursos jurisdiccionales y el control independiente que ejercen autoridades como el Comisario de protección de datos, dotado de facultades de investigación e intervención. (10) Por consiguiente, debe considerarse que Guernsey ofrece un nivel de protección adecuado de los datos personales según lo dispuesto en la Directiva 95/46/CE.

(11) Aunque se compruebe el nivel adecuado de la protección, por motivos de transparencia y para proteger la capacidad de las autoridades correspondientes de los Estados miembros de garantizar la protección de las personas en lo que respecta al tratamiento de sus datos personales, resulta necesario especificar las circunstancias excepcionales que pudieran justificar la suspensión de flujos específicos de información.

(12) Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité creado en virtud del apartado 1 del artículo 31 de la Directiva 95/46/CE.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

A los efectos del apartado 2 del artículo 25 de la Directiva 95/46/CE, se considera que la Bailía de Guernsey garantiza un nivel adecuado de protección por lo que respecta a los datos personales transferidos desde la Comunidad.

Artículo 2

La presente Decisión se refiere a la adecuación de la protección en Guernsey con arreglo a los requisitos del apartado 1 del artículo 25 de la Directiva 95/46/CE y no afecta a otras condiciones o restricciones que se impongan en aplicación de otras normas de la Directiva relativas al tratamiento de los datos personales en los Estados miembros.

Artículo 3

1. Sin perjuicio de sus facultades para emprender acciones que garanticen el cumplimiento de las normas nacionales adoptadas de conformidad con preceptos diferentes a los contemplados en el artículo 25 de la Directiva 95/46/CE, las autoridades competentes de los Estados miembros podrán ejercer su facultad de suspender los flujos de datos hacia un receptor de Guernsey, a fin de proteger a los particulares contra el tratamiento de sus datos personales, en los casos en que:

a) la autoridad competente de Guernsey compruebe que el receptor ha vulnerado las normas de protección aplicables, o

b) existan grandes probabilidades de que se estén vulnerando las normas de protección, existan razones para creer que la autoridad competente de Guernsey no ha tomado o no tomará las medidas oportunas para resolver el caso en cuestión, se considere que la continuación de la transferencia podría crear un riesgo inminente de grave perjuicio a los afectados y las autoridades competentes del Estado miembro hayan hecho esfuerzos razonables en estas circunstancias para notificárselo a la entidad responsable del tratamiento en Guernsey y proporcionarle la oportunidad de recurrir.

2. La suspensión cesará en cuanto esté garantizado el cumplimiento de las normas de protección y las autoridades competentes de los Estados miembros afectados hayan sido notificadas de ello.

Artículo 4

1. Los Estados miembros informarán inmediatamente a la Comisión de la adopción de medidas basadas en el artículo 3.

2. Los Estados miembros y la Comisión se informarán recíprocamente de aquellos casos en que la actuación de los organismos responsables del cumplimiento de las normas de protección en Guernsey no garantice dicho cumplimiento.

3. Si la información recogida con arreglo al artículo 3 y a los apartados 1 y 2 del presente artículo demuestra que los organismos responsables del cumplimiento de las normas de protección en Guernsey no están ejerciendo su función, la Comisión lo notificará a la autoridad competente de Guernsey y, si procede, presentará un proyecto de medidas con arreglo al procedimiento previsto en el apartado 2 del artículo 31 de la Directiva 95/46/CE, a fin de anular o suspender la presente Decisión o limitar su ámbito de aplicación.

Artículo 5

La Comisión supervisará el funcionamiento de la presente Decisión e informará al Comité creado por el artículo 31 de la Directiva 95/46/CE de cualquier hecho pertinente y, en particular, de cualquier prueba que pueda afectar a la resolución del artículo 1 de la presente Decisión, relativa a que la protección en Guernsey es adecuada a efectos del artículo 25 de la Directiva 95/46/CE, así como de cualquier prueba de que la presente Decisión se está aplicando de forma discriminatoria.

Artículo 6

Los Estados miembros adoptarán todas las medidas necesarias para cumplir la presente Decisión, a más tardar en un plazo de cuatro meses a partir de la fecha de su notificación.

Artículo 7

Los destinatarios de la presente Decisión serán los Estados miembros.

Hecho en Bruselas, el 21 de noviembre de 2003.

Por la Comisión

Frederik BOLKESTEIN

Miembro de la Comisión

(1) DO L 281 de 23.11.1995, p. 31.

(2) Dictamen 5/2003 relativo al nivel de protección de los datos personales en Guernsey, adoptado por el Grupo de trabajo el 13 de junio de 2003, disponible en http://europa.eu.int/comm/internal_market/privacy/workingroup/wp2003/wpdocs03_en.htm.

JUEVES 5 DE OCTUBRE
16:00 h.    Recepción.
16:30 h. Apertura.
16:45 h. «La protección de los nombres de dominio en Internet».
D. Antonio Civera García. Abogado y Profesor Asociado en el Departamento de Derecho Mercantil «Manuel Broseta Pont» de la U.V.
Coloquio.
18:15 h. DESCANSO
18:30 h. «La perfección de los contratos telemáticos».
D. Mario Clemente Meoro. Catedrático de Derecho Civil de la U.V.
Coloquio.

VIERNES 6 DE OCTUBRE
10:00 h.   «El problema de la prueba de los contratos telemáticos».
Dª Carolina Sanchis Crespo. Profesora Titular de Derecho Procesal de la U.V.
Coloquio.
11:45 h.  DESCANSO
12:00-13:30 h. «Las comunicaciones electrónicas seguras y la Firma electrónica. Un ejemplo práctico».
D. Francisco Martínez José. Jefe de Proyectos de Bancaja.
13:30 h. Demostración de la creación y funcionamiento de una empresa de comercio electrónico.
Fin de Jornadas.
Entrega de Diplomas.
 

(Bancos de datos comerciales, eliminación de datos caducos)

El arquitecto F.G.A.N. figuraba como deudor moroso del Banco de Bogotá en la Central de Información de la Asociación Bancaria de Colombia por razón de un crédito respaldado con un pagaré, vencido en 1981, pese a que la obligación había sido declarada prescripta en abril de 1987 por sentencia debidamente ejecutoriada del Juzgado Décimo Sexto Civil del Circuito de Bogotá.

En noviembre de 1988 y en junio de 1991 el señor A. solicitó a la Asociación Bancaria que lo retirara de la lista de deudores morosos. Igual  hizo con el Banco de Bogotá en junio de 1991, el cual la rechazó verbalmente, con lo que el peticionario aparecía como deudor moroso en el banco de datos de la Asociación Bancaria cuatro años después de ejecutoriada la sentencia que declaró extinguida su obligación.

El Sr. A. solicitó que se le retirase de la lista de deudores morosos y que se actualizara y rectificara la información que sobre él existía en el banco de datos de la Asociación Bancaria, que se ordenara a la Asociación y/o al Banco de Bogotá a indemnizar el daño emergente ocasionado, y que se condenara a los responsables en costas.

En decisión del 31 de diciembre de 1991 el Juzgado 110 de Instrucción Criminal de Bogotá, pese a reconocer que en virtud de la sentencia proferida por el Juzgado 16 Civil del Circuito de Bogotá, el Banco de Bogotá debió borrar de la lista de deudores morosos al Sr. A. y «no debe seguir con este bloqueo por cuanto no existe obligación alguna del Sr. A. con el referido banco», negó la acción de tutela por considerar que: a) no procedía contra la Asociación Bancaria porque quien impuso la sanción al peticionario fue el Banco de Bogotá; b) dicha Asociación no tenía responsabilidad alguna del acto que se imputaba, ya que simplemente da trámite a la información que suministran los bancos; c) se advertía la existencia de otros recursos o medios de defensa judiciales, como intentar «una acción ordinaria de Reparación ante la Superintendencia Bancaria la cual es la encargada de proteger y velar por el buen funcionamiento de las entidades a su cargo; o intentar uno de los procedimientos consagrados en el C. de P. C.»

En 7 de enero de 1992, el peticionario impugnó el fallo referido, fundándose en que: a) la acción interpuesta no buscaba establecer responsabilidades sino actualizar las informaciones de un banco de datos; b) de aceptarse la tesis del fallador no tendría razón alguna de ser la tutela, puesto que todos los derechos fundamentales constitucionales tienen algún medio de defensa judicial; c) en este caso se ha utilizado la tutela como mecanismo transitorio para evitar un perjuicio irreparable.

En sentencia del 4 de Febrero de 1992, el Tribunal Superior del Distrito Judicial de Bogotá confirmó la sentencia del Juzgado por las siguientes razones: a) Ciertamente el derecho fundamental consagrado en el Art. 15 de la Constitución puede ser protegido con la tutela, y b) en virtud del «principio de definitividad» al quejoso le quedaba alguna acción o recurso como es la de acudir a la Superintendencia Bancaria -Sección Bancos- para que revise la actuación del Banco e imponga la correspondiente sanción o interponer los respectivos recursos administrativos, si a ello hubiere lugar.

Llegados los autos a la Corte, la Sala Primera de Revisión de la Corte Constitucional, resolvió revocar la providencia proferida por el Tribunal Superior del Distrito Judicial de Santafé de Bogotá el día 4 de Febrero de 1992 y en su lugar, ordenar la inmediata cancelación del nombre del peticionario de la lista de deudores morosos de la Central de Información, organizada y administrada bajo la responsabilidad de la Asociación Bancaria de Colombia; condenar a la Asociación Bancaria de Colombia a la indemnización del daño emergente causado al peticionario, en el monto que éste compruebe ante las autoridades competentes; condenar a la Asociación Bancaria de Colombia a pagar las costas del proceso, y solicitar al Procurador General de la Nación que en uso de su facultad de iniciativa legislativa y en desarrollo del artículo 15 de la Carta y demás normas concordantes, considere la conveniencia de presentar a la brevedad posible ante el Congreso de la República un proyecto de ley que proteja eficazmente la intimidad y la libertad informática de los colombianos. Todo ello, considerando que:

a) respecto del otro medio de defensa judicial aludido en el inciso tercero del artículo 86 de la Carta (que dispone expresamente que la tutela sólo procederá cuando el afectado no disponga de otro medio de defensa judicial), no existe en el ordenamiento nacional el otro medio de defensa judicial señalado tanto por la Juez inferior como por la Sala del Tribunal;

b) la Constitución consagra una nueva orientación filosófica que ubica al hombre en lugar privilegiado y es el más eficaz instrumento al servicio de la dignificación de la persona humana, con lo cual se debe proceder a la revisión de aquellas categorías jurídicas que siempre tuvieron como núcleo la propiedad y no el debido miramiento a la persona humana;

c) existe una vinculación entre la intimidad y el habeas data; la intimidad se proyecta en dos dimensiones a saber: como secreto de la vida privada y como libertad. Concebida como secreto, atentan contra ella todas aquellas divulgaciones ilegítimas de hechos propios de la vida privada o familiar o las investigaciones también ilegítimas de acontecimientos propios de dicha vida. Concebida como libertad individual, trasciende y se realiza en el derecho de toda persona de tomar por sí sola decisiones que concierne a la esfera de su vida privada. En caso de conflicto entre la intimidad y el derecho a la información prevalece el derecho a la intimidad;

d) la Central de Información de la Asociación Bancaria es un mecanismo de defensa gremial que concentra la información de clientes del sistema financiero en lo relacionado con aspectos que permiten establecer el grado de riesgo que implica un determinado crédito. La información que pueden recibir estos entes está sometida al principio de la reserva bancaria y su manejo se sujeta al deber general de no causar daño a otro. Pero la reserva bancaria no opera respecto de los datos relativos a obligaciones incumplidas comoquiera que es esta una excepción al deber de sigilo de los establecimientos bancarios. Es claro, pues, que la Asociación Bancaria de Colombia administra un servicio privado de información del sistema financiero conformado por bases de datos de carácter personal económico y que, como tal, es responsable del manejo de los respectivos archivos. De otra parte, las personas cuyos datos personales son reportados a dicha Central tienen derecho a conocer, actualizar y rectificar las informaciones, de acuerdo con la Constitución o la ley;

e) la Sala encuentra reprochable en grado sumo la conducta de la Asociación Bancaria al negarse rotundamente a acceder a la solicitud que le hiciera el peticionario en dos ocasiones en el sentido que lo retirara de la lista de deudores morosos, cuando había sido declarada prescrita la obligación del actor desde el 27 de Abril de 1987;

f) el ejercicio del derecho a la información en que, según la Asociación Bancaria de Colombia, se fundamenta la Central de Información que dicha entidad administra, no puede conducir en manera alguna a la vulneración de la dignidad humana;

g) por su compleja naturaleza es claro que frente al dato no puede aplicarse en todo su rigor el derecho clásico de propiedad. En verdad, bien miradas las cosas, salta a la vista la existencia de varios sujetos con distintas relaciones. Uno es el sujeto del cual se dice algo o al cual algo le concierne en el universo informativo construido a partir del dato. Otro es el sujeto que, aplicando unos códigos o gramáticas como instrumentos auxiliares, hace que el dato se convierta en información. Pueden existir otros cuya labor específica es la circulación y difusión de la información con destino a los clientes habituales de los medios de comunicación. La labor primordial de estos últimos sujetos es, como se ve, hacer que el dato se convierta en esa mercancía denominada a veces noticia, apta para el consumo de su clientela que las nuevas tecnologías de información permiten ampliar más y más cada día. En estas condiciones, los diversos sujetos son apenas titulares de algunas facultades que no les confieren necesariamente la calidad de propietarios. Muchas veces no son más que simples depositarios forzosos;

h) de otra parte, la facultad de difusión que es, como se sabe, propia del derecho a la información, adquiere un contenido económico que muy a menudo dificulta establecer un límite claro entre el ejercicio del derecho a la información como dimensión de la libertad política y presupuesto de una democracia participativa y pluralista, y la simple actividad empresarial de producir más y más noticias para una creciente clientela teniendo como materia prima los datos. Algunos se apropian codiciosamente de ellos, como si se tratara de colegiales indisciplinados a la caza de frutos silvestres en predios que consideran baldíos y que son en verdad los huertos de sus iracundos vecinos o colegas. Por eso, a partir de la vigencia del art. 15 de la Carta del 91 y en desarrollo del mismo es indispensable la regulación integral del poder informático para poner coto a sus crecientes abusos. Así lo exige la adecuada protección de la libertad personal frente a los poderosos embates de las nuevas tecnologías. Y así lo ordenará esta Sala;

i) el encarcelamiento del alma en la sociedad contemporánea, dominada por la imagen, la información y el conocimiento, ha demostrado ser un mecanismo más expedito para el control social que el tradicional encarcelamiento del cuerpo. Los datos tienen por su naturaleza misma una vigencia limitada en el tiempo la cual impone a los responsables o administradores de bancos de datos la obligación ineludible de una permanente actualización a fin de no poner en circulación perfiles de «personas virtuales» que afecten negativamente a sus titulares, vale decir, a las personas reales;

j) de otra parte, es bien sabido que las sanciones o informaciones negativas acerca de una persona no tienen vocación de perennidad y, en consecuencia después de algún tiempo tales personas son titulares de un verdadero derecho al olvido. Este derecho le fue abiertamente negado al peticionario tanto por la Asociación Bancaria de Colombia como por el Banco de Bogotá, con lo cual lo condenaron, sin fórmula de juicio, a una exclusión del sistema crediticio por término indefinido. Ello pese a que ambas entidades sabían que desde el 27 de abril de 1987 un Juez de la República, con la autoridad que le confiere la ley declaró prescrita la obligación contraída por el peticionario con el Banco de Bogotá;

k) la irrupción de nuevas tecnologías exige la creación de instrumentos jurídicos adecuados que protejan los intereses comunitarios y del ciudadano medio frente a los eventuales abusos de los titulares, directos beneficiarios de tales tecnologías y establezcan principios adecuados de responsabilidad en el manejo de los datos, vale decir, de la mayor fuente de poder y eventual manipulación de nuestra cultura contemporánea;

l) a manera de conclusión general, la Sala reitera que en el presente caso no sólo no existe otro medio de defensa judicial, por las razones expuestas en su oportunidad, sino que además se ha vulnerado la intimidad, la libertad personal y la dignidad del petente mediante el abuso de la tecnología informática y del derecho de y a la información. La vulneración de tales derechos constitucionales fundamentales se materializa en la renuencia de la Asociación Bancaria de Colombia a cancelar su nombre de la lista de deudores morosos y actualizar inmediatamente la información de su banco de datos computarizado, a sabiendas de que mediante sentencia del 27 de abril de 1987 debidamente ejecutoriada, un Juez de la República declaró prescrita la obligación del señor A. con el Banco de Bogotá.

La Circular del Banco de España 4/2004, de 22 de diciembre, sobre normas de información financiera pública y reservada, y modelos de estados financieros, señala que «esta Circular, por su propia naturaleza, entronca tanto con las Normas Internacionales de Información Financiera como con el marco contable español, y será objeto de adaptación a medida que ese marco global evolucione con el tiempo».

El Reglamento (CE) 1254/2012, de la Comisión, adoptó para la Unión Europea las Normas Internacionales de Información Financiera (NIIF) números 10, 11 y 12. La NIIF 10 establece criterios de información financiera relacionados con la presentación y la preparación de estados financieros consolidaos, y sustituye a la Norma Internacional de Contabilidad (NIC) 27 y a la Interpretación SIC 12. La NIIF 11 establece criterios de información financiera para los partícipes en acuerdos conjuntos, y sustituye a la NIC 31 y a la SIC 13. La NIIF 12 establece la información que se ha de revelar relacionada con las participaciones en entidades dependientes, acuerdos, asociadas y entidades de propósito especial. La revisión propuesta en esta circular pretende adaptarse a los reglamentos comunitarios, de un lado, eliminando los posibles conflictos en la aplicación de concepto de control cuando la entidad no dispone de la mayoría de los derechos de voto o existen relaciones de agencia y, de otro lado, mejorando la transparencia y eliminando el método de la integración proporcional para los negocios conjuntos.

Por otra parte, el Reglamento (CE) 475/2012 adoptó para la Unión Europea las modificaciones de la NIC 19, sobre beneficios a los empleados, y de la NIC 1, sobre distinción dentro de «otros ingresos y gastos reconocidos» de las partidas que puedan ser reclasificadas a la cuenta de resultados. La modificación de la NIC 19 elimina en los planes de pensiones de prestación definida la posibilidad de diferir los resultados actuariales de acuerdo con una banda de fluctuación, a la vez que incluye nueva información y un nuevo método de reconocimiento de gastos.

Otro aspecto relevante recogido en el Reglamento 1255/2012es el relativo a la medición del valor razonable que ahora las NIIF recogen en una sola norma (la NIIF 13) y que matizan algunos aspectos recogidos en la　Circular 4/2004, a la vez que incluyen nuevas necesidades de información.

Adicionalmente, se incluyen novedades en materia de información sobre transferencia de activos financieros y sobre compensación de saldos. Como consecuencia de todo ello, se han añadido nuevas exigencias de información relacionadas con las modificaciones propuestas, y para incorporar ciertas mejoras técnicas en varios estados reservados, incluida la sustitución del actual estado de clasificación del crédito por finalidades por un nuevo estado mensual de más amplio contenido.

Por último, la circular incorpora ciertas modificaciones que afectan a la Circular 1/2013, de 24 de mayo, sobre la Central de Información de Riesgos. Su motivación es, por un lado, requerir información a las entidades sobre la actividad de financiación a las pequeñas empresas y a las microempresas, a fin de poder evaluar la política de financiación para con este tipo de empresas, y, por otro lado, solicitar determinadas informaciones sobre las garantías reales recibidas por las entidades a efectos de facilitar su ponderación al estimar la necesidad de capital regulatorio. Adicionalmente, amplía ligeramente el plazo para el envío de los primeros datos a la nueva Central de Información de Riesgos, debido a la complejidad de su implantación y a la coincidencia en el tiempo con procesos de reestructuración de algunas de las entidades.

En consecuencia, en uso de las facultades que tiene concedidas, el Consejo de Gobierno del Banco de España, a propuesta de la Comisión Ejecutiva, ha aprobado la presente circular, que contiene las siguientes normas:

Norma primera.-Se introducen las siguientes modificaciones en la Circular 4/2004, de 22 de diciembre, a las entidades de crédito, sobre las Normas de información financiera pública y reservada, y modelos de estados financieros (en adelante, Circular 4/2004):

1. En el apartado 2 de la norma segunda, se elimina la expresión: «o, en su caso, de integración proporcional».

2. Se da nueva redacción al segundo párrafo del apartado 3 y al apartado 4 de la norma tercera y se añaden los apartado 4 bis, 4 ter y 4 quáter, con el siguiente texto:

«3. [.] A estos efectos, se entenderá que una entidad controla a otra cuando aquella:

i) dispone del poder para dirigir sus actividades relevantes, esto es, las que afectan de manera significativa a su rendimiento, por disposición legal, estatutaria o acuerdo;

ii) tiene capacidad presente, es decir práctica, de ejercer los derechos para usar aquel poder con objeto de influir en su rendimiento, y

iii) debido a su involucración, está expuesta o tiene derecho a rendimientos variables de la entidad participada.

Cuando los hechos y circunstancias indiquen que ha habido cambios en alguna de las tres condiciones anteriores, la entidad deberá volver a valorar el control sobre una entidad participada.

4. El poder para dirigir las actividades relevantes surge de derechos, que en ocasiones se evidencian de manera sencilla y en otras de manera compleja, lo que puede dar lugar a considerar una variedad de factores y circunstancias. Para evaluar el poder sobre las actividades relevantes de una entidad se considerarán únicamente los derechos sustantivos, esto es, aquellos que otorgan poder en las circunstancias presentes. Por lo general, para que los derechos sean sustantivos necesitan poder ser ejercitables en la fecha a que se refieren los estados financieros.

Generalmente los derechos de voto serán los que proporcionen el poder para dirigir las actividades relevantes de una entidad participada. Para determinar los derechos de voto de la entidad dominante se añadirán a los que posea directamente los que correspondan a las entidades dominadas por ella o a través de otras personas que actúen en nombre propio pero por cuenta de alguna entidad del grupo, o aquellos de los que disponga concertadamente con cualquier otra persona, siempre que tengan un mecanismo evidenciado por un acuerdo contractual para ejercitar sus derechos colectivamente.

Exclusivamente a efectos de lo dispuesto en esta circular, en el cómputo de los derechos de voto se tendrán en cuenta todos los derechos de voto, incluidos los potenciales, tales como opciones de compra adquiridas sobre instrumentos de capital, incluidos los poseídos por otras entidades, sobre los que el tenedor disponga de una capacidad práctica para su ejercicio, que normalmente serán convertibles o ejercitables en la fecha a que se refieran los estados financieros, y que, en todo caso, deben poder ejercitarse cuando sea necesario adoptar decisiones, por ejemplo en la siguiente junta general de accionistas.

En la valoración de la contribución de los derechos potenciales de voto para la existencia de grupo, la entidad tomará en consideración todos los hechos y circunstancias que afectan a este, tales como las condiciones o barreras para su ejercicio, o si el tenedor de los derechos se beneficiaría del ejercicio de dichos derechos. A su vez se considerarán los derechos potenciales de voto en manos de terceros para determinar si se tiene el poder para dirigir las actividades relevantes.

En determinadas situaciones, puede suceder que la entidad tenga poder para dirigir las actividades sin disponer de la mayoría de los derechos de voto, como cuando el resto de tenedores de derechos de voto esté muy disperso y la entidad tenga más derechos que cualquier otro tenedor, o haya dispuesto contractualmente con otros tenedores que le cedan sus votos. Cuando dos o más entidades posean cada una un número significativo de derechos de voto de una misma entidad participada, se deberán analizar el resto de factores que determinan la existencia de control para determinar cuál de ellas es la entidad dominante.

Cuando resulte difícil determinar si la entidad tiene suficientes derechos para obtener el poder sobre una entidad participada, deberá valorarse si de forma unilateral tiene capacidad práctica para dirigir sus actividades relevantes. Por ejemplo, aun cuando no se disponga de derechos contractuales, los derechos que posea la entidad serán suficientes para tener el poder sobre la participada cuando para su propio beneficio disponga de la capacidad para designar al personal clave de dirección, para orientar el sentido estratégico del negocio, o para vetar cambios en las transacciones más significativas. También puede ser indicativo de poder para dirigir las actividades relevantes el hecho de que la entidad se responsabilice de que la participada opere tal como se ha diseñado, o que sus actividades se dirijan de acuerdo con sus propias necesidades.

Por lo general, las actividades relevantes serán las financieras y operativas, o las relacionadas con el nombramiento y la remuneración de los órganos de dirección, pero en ocasiones se pueden circunscribir a decisiones ante situaciones o eventos concretos que son los que afectan a la rentabilidad de la entidad participada, en cuyo caso habrá que valorar los acuerdos contractuales sobre cuya base se toman estas decisiones. Este sería el caso de entidades diseñadas de forma que sus actividades están predeterminadas, y el poder sobre actividades relevantes solo surge ante circunstancias particulares que afectan de forma significativa a sus rendimientos. Por ejemplo, cuando la única actividad de una entidad participada sea la compra de derechos de cobro de forma que solo cuando surgen incumplimientos se ve afectado de forma significativa su rendimiento, la actividad relevante será la gestión de los incumplimientos de manera que quien tenga la capacidad para gestionar los incumplimientos tendrá el poder para dirigir las actividades relevantes de la participada, y ello con independencia de que se haya producido o no algún incumplimiento.

Los derechos que protejan de cambios fundamentales en las actividades de la entidad participada, tales como cambios en la calidad crediticia de un prestatario, o que se apliquen en situaciones excepcionales, tales como incumplimientos, no suponen por sí mismos el poder sobre la participada. Sin embargo, no todos los derechos que se aplican en circunstancias excepcionales, o dependen de sucesos excepcionales, son protectores, por ejemplo, cuando tales derechos se ejercen sobre las actividades relevantes de la participada.

4 bis. Cuando los derechos de voto no constituyan el factor determinante para la dirección de las actividades relevantes de la entidad participada, el análisis sobre el control tomará en consideración los siguientes factores:

a) Propósito y diseño de la entidad participada: La entidad deberá considerar el propósito y diseño de la entidad participada para identificar sus actividades relevantes, la forma en que se toman las decisiones sobre dichas actividades relevantes, quién dispone de la capacidad para dirigirlas y a quién benefician. Si la participada se diseñó como un mecanismo para eliminar ciertos riesgos del balance de la entidad, o de otra del grupo, la entidad considerará el riesgo al que está expuesta, el riesgo transferido, y si ha quedado expuesta a una parte o a todos esos riesgos. Si la entidad estuvo involucrada en el diseño de la entidad participada, considerará este hecho en la medida que pueda indicar que tuvo incentivos para obtener derechos que resulten en capacidad para dirigir las actividades relevantes de la participada.

b) Derechos que otorgan el poder: El poder sobre una entidad surge de derechos. En determinadas circunstancias, puede ser difícil determinar si los derechos son suficientes para otorgar el poder de dirigir unilateralmente las actividades relevantes. Para ello, la entidad tendrá en cuenta los acuerdos contractuales en relación con lo dispuesto en la anterior letra a) y el grado de implicación en la creación de la participada, así como lo dispuesto en el apartado 4 de esta norma respecto de situaciones en que sea difícil determinar si los derechos son suficientes para dar poder a una entidad sobre otra entidad.
Adicionalmente, se considerará la posible existencia de elementos que puedan sugerir la existencia de una relación especial con la participada, más allá de una participación pasiva, que en combinación con otros derechos pueden ser indicadores de poder sobre la participada, tales como dependencia financiera de la entidad o que esta garantice las obligaciones de la participada.

4 ter.　La exposición, o derechos, a los rendimientos variables de la participada supone que los rendimientos que la entidad obtenga de la participada deben poder variar como consecuencia del rendimiento de esta y no ser fijos. Esta exposición puede proceder, entre otros, de:

i) Derechos por instrumentos financieros emitidos por la dependiente que den lugar a rendimientos, tales como dividendos o intereses, y a cambios de valor de la participación.

ii) Remuneración por administrar los activos y pasivos de la participada.

iii) Remuneración y exposición a pérdidas por haber otorgado apoyo financiero o crediticio a la participada.

iv) Rendimientos por combinar funciones operativas con la participada para conseguir economías de escala, ahorro de costes, o mejorar el valor de los activos de la entidad.

4 quáter.　La vinculación entre el poder y los rendimientos puede indicar una condición de agente o de principal al tomar las decisiones. En este sentido un agente es una parte dedicada principalmente a actuar en nombre y a beneficio de terceros, denominados «principales». Los derechos delegados en un agente se considerarán como propios. Cuando los rendimientos se obtienen por la condición de agente no hay control cuando se toman decisiones. Determinar la condición de agente requiere una evaluación de factores relevantes, tales como el alcance en la autoridad para tomar decisiones, derechos mantenidos por otras partes, o la exposición a la variabilidad de los rendimientos procedentes de otras participaciones en la participada.

El importe de la remuneración y su variabilidad relacionada con los rendimientos de la participada deben ser considerados para identificar la actuación como agente o principal, de manera que cuanto mayores sean aquellas mayor será la probabilidad de ser principal. En este sentido, también se considerará si la remuneración se sustenta en un contrato con cláusulas e importes habituales y acordes para la prestación de servicios similares, la existencia de derechos de revocación sin causa justificada, o el haber otorgado garantías respecto del rendimiento de la participada.»

3. En la norma decimocuarta, al final del apartado 2 se añade un nuevo párrafo, y otro al final del apartado 3, con los siguientes textos:

«2. [.] La entidad tomará estos datos sin ajustar a menos que:

a) mantenga un gran número de activos o pasivos similares (pero no idénticos), que se valoran por su valor razonable observable en un mercado activo pero no inmediatamente accesible para cada uno de los activos y pasivos de forma individual, tal como en determinadas situaciones pudiera ocurrir con instrumentos de deuda soberana;

b) el precio cotizado en un mercado activo no representa el valor razonable en la fecha de valoración, tal como cuando se producen sucesos significativos después del cierre de mercado;

c) el precio deba ajustarse por factores específicos del elemento, tal como la existencia de restricciones a una entidad que impidan la venta de un activo por cuestiones legales.

En estos casos, si el dato de valor razonable obtenido del mercado se ajusta, el valor razonable se clasificará en un nivel más bajo de jerarquía del valor razonable a que se refiere la norma sexagésima.»

«3. [.] «Cuando se gestione un grupo de activos y pasivos financieros sobre la base de su exposición neta a los riesgos de mercado o de crédito y así lo informe la dirección, la entidad podrá estimar el valor razonable de su exposición neta. Esta excepción no concierne a la presentación de los estados financieros, es decir, deben figurar en los estados financieros por separado los activos y pasivos individuales, y deberá aplicarse de forma congruente período a período.»

4. Al final del apartado 8 de la norma vigésimo segunda se añade un nuevo párrafo con la siguiente redacción:

«Cuando en el inicio de una transacción el precio difiera de su valor razonable, la diferencia se registrará:

a) inmediatamente en la cuenta de pérdidas y ganancias cuando se trata de instrumentos financieros de nivel 1 y 2 de la jerarquía de valor razonable a que se refiere la norma sexagésima, o

b) como ajuste del valor razonable e imputándola a lo largo de la vida del instrumento cuando se trata de instrumentos financieros de nivel 3 en función de cambios en los factores, incluido el tiempo, que los participantes del mercado considerarían al valorar el instrumento.»

5. En la norma trigésima quinta se da nueva redacción a las letras B.3 y C, que quedarán redactadas como sigue:

«B.3. Planes de prestación definida.

7. El tratamiento contable de los planes de prestación definida supondrá al menos anualmente para la entidad:

a) Considerar sus obligaciones legales según los términos formales del plan, además de las obligaciones implícitas derivadas de las prácticas que, aun no estando formalizadas, son seguidas habitualmente.

b) Calcular el valor actual de las obligaciones legales e implícitas en la fecha a que se refieren los estados financieros que realizará un actuario cualificado.

c) Deducir del valor actual de las obligaciones el valor razonable de los activos del plan, en la fecha a que se refieren los estados financieros. Se entiende por activos del plan aquellos con los cuales se liquidarán directamente las obligaciones, incluidas las pólizas de seguros, si cumplen las siguientes condiciones:

i) No son propiedad de la entidad, sino de un tercero separado legalmente y sin el carácter de parte vinculada, según se define en el apartado 1, excepto la letra h), de la norma sexagésima segunda.

ii) Solo están disponibles para pagar o financiar retribuciones de los empleados, no estando disponibles para los acreedores de la entidad, ni siquiera en caso de situación concursal.

iii) No pueden retornar a la entidad salvo que los activos que quedan en el plan sean suficientes para cumplir todas la obligaciones, del plan o de la entidad, relacionadas con las prestaciones de los empleados; o bien cuando los activos retornan a la entidad para reembolsarla de prestaciones de los empleados ya pagados por ella.

iv) En el caso de que los activos los posea una entidad (o fondo) de prestaciones post empleo para los empleados, tal como un fondo de pensiones, no pueden ser instrumentos financieros intransferibles emitidos por la entidad.

d) Registrar la cifra obtenida en la anterior letra c) siempre que sea positiva como una provisión para fondos de pensiones de prestación definida.

e) Registrar la cifra obtenida en la anterior letra c) siempre que sea negativa como «otros activos». La entidad valorará el activo registrado eligiendo el menor valor de entre los dos siguientes:

i) La cifra obtenida en la letra c), en valor absoluto.

ii) El valor actual de los flujos de caja disponibles para la entidad, en forma de reembolsos del plan o reducciones en las aportaciones futuras a este.

f) Reconocer todos los cambios en la provisión registrada según la letra d) [o activo según la letra c)] cuando tengan lugar, de la siguiente forma:

i) En la cuenta de pérdidas y ganancias: el coste del servicio prestado por los empleados, tanto el correspondiente al ejercicio como a ejercicios anteriores no reconocidos en los mismos, el interés neto sobre la provisión (activo), así como la ganancia o pérdida que se produzca en el momento de la liquidación. Cuando estos importes vayan a ser parte del coste de un activo según las normas vigésima sexta, vigésima séptima y vigésima octava, estos importes se registran adicionalmente como «otros productos de explotación».

ii) En el estado de cambios en el patrimonio neto: las nuevas valoraciones de la provisión (activo), consecuencia de las ganancias o pérdidas actuariales, del rendimiento de los activos del plan que no se hayan incluido en el interés neto sobre la provisión (activo), así como variaciones en el valor actual del activo consecuencia de cambios en el valor actual de los flujos disponibles para la entidad, que no estén incluidos en el interés neto sobre la provisión (activo). Los importes reconocidos en el estado de cambios en el patrimonio neto no se reclasificarán a la cuenta de pérdidas y ganancias en un ejercicio posterior.

7 bis. El interés neto sobre la provisión registrada (o, en su caso, sobre el activo) se obtendrá multiplicando el tipo de interés utilizado en la estimación del valor actual de las obligaciones determinado al comienzo del período anual sobre el que se informa, por el importe de estas, tomando en consideración cualquier cambio que se produzca en su valor. El interés neto comprende el ingreso por intereses de los activos del plan, el coste por intereses por la provisión y los intereses resultantes de valorar, en su caso, los activos del plan por el valor actual de los flujos de caja disponibles para la entidad, en forma de reembolsos del plan o reducciones en las aportaciones futuras a este.

8. El método de la unidad de crédito proyectada, que contempla cada año de servicio como generador de una unidad adicional de derecho a las prestaciones y valora cada unidad de forma separada, será utilizado en la determinación del:

a) Valor actual de las obligaciones por prestaciones definidas.

b) Coste por los servicios prestados por los empleados en el ejercicio.

c) Coste de servicios pasados, en su caso, tal y como se definen en el apartado 12 de esta norma.

9. Las prestaciones a cobrar por los empleados en el futuro se imputarán en los períodos en que estos prestan sus servicios en la entidad, según establezcan los términos del plan. No obstante, si los servicios prestados por un empleado en años posteriores le otorgan derecho a un nivel significativamente más alto de las prestaciones que ha alcanzado en los años anteriores, la prestación que cobrará el empleado en un futuro se imputará linealmente en el intervalo de tiempo comprendido entre:

a) La fecha a partir de la cual el servicio prestado le da derecho a recibir la prestación según el plan, con independencia de que las prestaciones estén condicionadas a los servicios futuros.

b) La fecha en la que los servicios posteriores a prestar no le generan derecho a recibir importes adicionales significativos de la prestación según el plan, salvo por causa de los eventuales incrementos de salarios en el futuro.

10. Al adoptar las hipótesis actuariales se tomará en consideración que:

a) Sean insesgadas, no resultando ni imprudentes ni excesivamente conservadoras.

b) Resulten compatibles entre sí, reflejando las relaciones económicas existentes entre factores tales como la inflación, tipos de aumento de los sueldos, rendimiento de los activos y tipos de descuento.

c) Si se trata de hipótesis financieras, es decir, de hipótesis que tienen relación con aspectos como el valor temporal del dinero, los niveles futuros de sueldos y prestaciones, estarán basadas en las expectativas de mercado en la fecha a la que se refieren los estados financieros, para el período en el que las obligaciones deban atenderse.

d) El tipo de interés a utilizar para actualizar se determinará utilizando como referencia los rendimientos del mercado, en la fecha a que se refieren los estados financieros, correspondientes a las emisiones de bonos u obligaciones empresariales de alta calificación crediticia. Cuando no exista un mercado activo para tales títulos, se utilizará el rendimiento correspondiente, en la fecha señalada, a la Deuda Pública. En cualquier caso, tanto la moneda como el plazo de los bonos empresariales o públicos se corresponderán con la moneda y el plazo de pago estimado para el pago de las obligaciones por prestaciones post empleo.

e) Las obligaciones se valorarán de manera que reflejen los incrementos estimados de los sueldos en el futuro, y las prestaciones establecidas, en la fecha del balance de situación, según los términos del plan o resultantes de cualquier obligación implícita.

f) Las hipótesis sobre los costes por atenciones médicas tomarán en consideración los cambios futuros estimados en el coste de los servicios médicos.

g) Cuando los cambios futuros estimados en la cuantía de las prestaciones públicas afecten al valor de las obligaciones del plan, solo se considerarán en la valoración de las obligaciones cuando los cambios se hayan incorporado a la legislación antes de la fecha a que se refieren los estados financieros, o existe evidencia fiable, que indica que tales prestaciones públicas serán modificadas de forma previsible.

11. Para el caso de los empleados sujetos a la legislación laboral española, además de lo señalado en el párrafo anterior, las entidades tomarán en consideración que:

a) La edad estimada de jubilación de cada empleado será la primera a la que tenga derecho a jubilarse.

b) La tasa de crecimiento de salarios será como mínimo un punto porcentual superior a la tasa de crecimiento de las pensiones de la Seguridad Social. En la determinación del crecimiento de los salarios se tendrá en cuenta la proyección razonable de los cambios futuros en la categoría laboral de los empleados.

c) En los planes cubiertos con fondos internos o externos de pensiones de acuerdo con el Real Decreto 1588/1999, de 15 de octubre, por el que se aprueba el Reglamento sobre la instrumentación de los compromisos por pensiones de las empresas con los trabajadores y beneficiarios, que se clasifiquen como de prestación definida, se utilizarán las hipótesis actuariales recogidas en la legislación española aplicable.

d) Los criterios que se hubiesen pactado contractualmente con los beneficiarios serán utilizados en la fijación de las hipótesis no reguladas.

12. El coste de servicios pasados, definido como el cambio en el valor actual de las obligaciones por prestaciones definidas consecuencia de una modificación o reducción del plan, se reconocerá como un gasto en la primera de las siguientes fechas:

a) cuando tenga lugar la modificación o reducción del plan; o

b) cuando la entidad reconozca los costes de reestructuración relacionados o indemnización por cese como una provisión según la norma trigésima séptima o las indemnizaciones por cese recogidas en la letra D) de esta norma.

Este coste recoge el incremento del valor actual de las obligaciones derivadas del plan, por causa de los servicios prestados por los empleados en ejercicios anteriores, puesto de manifiesto en el ejercicio actual por la introducción de nuevas prestaciones post empleo, así como por la modificación de las ya existentes, o por la introducción en el plan de prestaciones a largo plazo de otra naturaleza, tales como costes médicos.

13. Si tienen lugar liquidaciones en un plan, se reconocerán en la cuenta de pérdidas y ganancias del ejercicio los resultados derivados de la liquidación.

14. Si una póliza de seguros es un activo del plan cuyos flujos se corresponden exactamente, tanto en el importe como en el calendario de pagos, con alguna o todas las prestaciones pagaderas dentro del plan, se considerará que el valor razonable de esas pólizas de seguro es igual al valor actual de las obligaciones de pago conexas.

15. Si la entidad puede exigir a un asegurador el pago de una parte o de la totalidad del desembolso exigido para cancelar una obligación por prestación definida, resultando prácticamente cierto que dicho asegurador va a reembolsar alguno o todos los desembolsos exigidos para cancelar dicha obligación, pero la póliza de seguro no cumple las condiciones para ser un activo del plan, la entidad reconocerá su derecho al reembolso en el activo como un «contrato de seguros vinculado a pensiones», que, en los demás aspectos, se tratará como un activo del plan. En particular se valorará a su valor razonable y, en su caso, incrementará o reducirá el importe de las provisiones por fondos de pensiones por las pérdidas y ganancias actuariales que origine.

15 bis. Antes de reconocer en la cuenta de pérdidas y ganancias del ejercicio un resultado en el momento de la liquidación, o el coste de servicios pasados, se valorará nuevamente la provisión (o el activo, en su caso) por planes de prestación definida, utilizando el valor razonable y las hipótesis actuariales en ese momento, que reflejen las prestaciones ofrecidas en el plan antes de la modificación, reducción o liquidación del mismo.

16. Un activo de un plan se compensará con un pasivo perteneciente a otro plan cuando se cumplan las dos condiciones siguientes:

a) Existe el derecho, exigible por norma legal, de utilizar el superávit de un plan para cancelar las obligaciones del otro plan.

b) Se pretende, bien cancelar las obligaciones según su valor neto, o bien realizar el superávit del plan que tenga un activo neto y, de forma simultánea, cancelar la obligación del otro plan.

17. Los planes de prestación definida se registrarán en la cuenta de pérdidas y ganancias con los siguientes criterios:

a) El coste de los servicios del período corriente como «gastos de personal».

b) El interés neto sobre la provisión como «intereses y cargas asimiladas».

c) El interés neto sobre el activo como «intereses o rendimientos asimilados».

d) El coste de los servicios pasados como «dotaciones a provisiones (neto)».

No obstante lo anterior, cuando, como consecuencia de lo dispuesto en el apartado 14 anterior, la entidad haya reconocido en el activo un contrato de seguros vinculado a pensiones, el gasto del ejercicio relacionado con el plan de prestación definida se registrará en la partida «gastos de personal» neto de la cuantía reconocida en el ejercicio como reembolsable.

Cuando, de acuerdo con las normas vigésima sexta, vigésima séptima y vigésima octava, los gastos de pensiones se incluyan como coste de un activo, se registrará en la cuenta de pérdidas y ganancias de acuerdo con el procedimiento anterior y, simultáneamente, en la partida «otros productos de explotación».

18. Las entidades que hayan cubierto sus compromisos de pensiones con pólizas de seguros emitidas por entidades que formen parte de su grupo registrarán dichos compromisos con las siguientes reglas:

a) En los estados individuales, así como en los que se elaboren para dar información consolidada del subgrupo del que no forme parte la entidad aseguradora:

i. Los compromisos por pensiones con los empleados se registrarán como provisiones por fondos de pensiones aplicando los criterios de esta circular para los planes de prestación definida.

ii. La póliza de seguros se registrará en el activo como un contrato de seguros vinculado a pensiones.

iii. El gasto del ejercicio se registrará en la partida «gastos de personal» neto de la cuantía que corresponda a los contratos de seguros.

b) En los estados consolidados del grupo:

i. Los compromisos por pensiones con los empleados del grupo se registrarán como provisiones por fondos de pensiones aplicando los criterios de esta circular para los planes de prestación definida.

ii. Los activos de la entidad aseguradora se presentarán y valorarán en el balance de acuerdo con las normas de esta circular que, según su naturaleza, les correspondan.

c) Otras retribuciones a largo plazo a favor de los empleados.

19. Los compromisos asumidos con el personal prejubilado, entendido como aquel que ha cesado de prestar sus servicios en la entidad pero que, sin estar legalmente jubilado, continúa con derechos económicos frente a ella hasta que pase a la situación legal de jubilado, los premios de antigüedad, los compromisos por viudedad e invalidez anteriores a la jubilación que dependan de la antigüedad del empleado en la entidad, y otros conceptos similares se tratarán contablemente, en lo aplicable, según lo establecido para los planes post empleo de prestaciones definidas, excepto en lo relativo a los cambios en el valor del pasivo (activo), que se reconocerán en la cuenta de pérdidas y ganancias del ejercicio.

20. Cuando la prestación por viudedad o invalidez dependa de los años de servicio activo del empleado, la obligación para la entidad surgirá cuando se preste el servicio, debiendo tenerse en cuenta en su valoración la probabilidad de que se produzca el pago, así como el intervalo de tiempo durante el que se espera realizar los pagos. Si el importe de la prestación es el mismo para todos los empleados, o beneficiarios, con independencia de los años de servicio del empleado, el coste de las prestaciones, cuando esté cubierto con pólizas de seguro, se reconocerá cuando se liquiden las primas del seguro contratado para su cobertura.»

6. La norma cuadragésima cuarta se sustituye por la siguiente redacción y pasa a denominarse «Acuerdos conjuntos»:

«1. Un acuerdo conjunto es un acuerdo contractual que otorga a dos o más entidades, denominadas «partícipes», el control sobre una actividad que queda sometida a control conjunto. En un acuerdo conjunto ningún partícipe controla individualmente el acuerdo sino conjuntamente con el resto, lo que supone que, contractualmente, las decisiones sobre las actividades relevantes requieren del consentimiento unánime de los partícipes que comparten el control.

2. Los acuerdos conjuntos pueden estructurarse de diversas formas, pero cualquiera de ellas se agrupará como:

a) Operación conjunta, en las que los partícipes del acuerdo tienen derecho sobre los activos y obligación por los pasivos relacionados con el acuerdo, pudiendo estructurarse a través de vehículos separados o no.

b) Negocio conjunto, en los que los partícipes del acuerdo tienen derecho sobre el patrimonio neto del acuerdo. Los negocios conjuntos necesariamente se estructurarán a través de vehículos separados. Las entidades multigrupo, tal como se encuentran definidas en el apartado 3 de la norma cuadragésima sexta, se tratarán como negocios conjuntos.

3. En los estados financieros individuales y consolidados, el partícipe en operaciones conjuntas reconocerá, clasificados de acuerdo con su naturaleza y siguiendo las normas generales aplicables a ellos:

a) sus activos, incluyendo su parte en los activos controlados conjuntamente;

b) sus pasivos, incluyendo su parte en cualquier pasivo en que haya incurrido;

c) cualquier ingreso por la venta de su parte en la operación conjunta;

d) su parte del ingreso de la venta del producto que se realiza por la operación conjunta, y

e) sus gastos, incluyendo su parte de cualquier gasto en que se ha incurrido conjuntamente.

Cuando una entidad realice ventas o aportación de activos a una operación conjunta, reconocerá resultados por esa transacción en la medida de la participación del resto de partícipes en la operación conjunta. No obstante, cualquier pérdida por deterioro puesta de manifiesto con motivo de la operación se registrará íntegra e inmediatamente en la cuenta de pérdidas y ganancias del partícipe vendedor.

En el caso de compra de activos a una operación conjunta, el partícipe no reconocerá ningún resultado hasta que los activos se hayan vendido a un tercero.

Si la entidad participa en una operación conjunta pero no tiene el control conjunto, cuando tenga derechos y obligaciones sobre activos y pasivos de la operación tratará su participación de acuerdo con las reglas anteriores; en los demás casos, tratará su participación de acuerdo con las reglas de esta circular aplicables a su participación.

4. Los partícipes en negocios conjuntos que compartan el control conjunto tratarán su inversión en sus estados consolidados de acuerdo con el método de la participación recogido en la norma cuadragésima novena. En los estados individuales, estas inversiones se valorarán por su coste y se someterán a lo previsto en la norma vigésima novena para determinar la existencia de deterioro. Los partícipes en negocios conjuntos que no participen del control conjunto contabilizarán su inversión de acuerdo con las normas generales de instrumentos financieros, a no ser que dispongan de influencia significativa, en cuyo caso aplicarán lo previsto en la norma cuadragésima sexta.»

7. En la norma cuadragésima sexta se da nueva redacción al apartado 5; se suprime la expresión «la integración proporcional o» del apartado 8, y se elimina la letra c) y se da nueva redacción a la letra b) del apartado 6; los textos de nueva redacción quedarán redactados como sigue:

«5. Cuando la entidad haya constituido entidades, o participe en ellas, con el objeto de permitir el acceso a sus clientes a determinadas inversiones, o para la transmisión de riesgos u otros fines, en ocasiones denominadas «entidades de propósito especial», como por ejemplo las entidades estructuradas definidas en la norma sexagésima, determinará, de acuerdo con procedimientos y criterios internos, si existe control, tal como se define en el apartado tercero de la norma tercera, y por tanto si deben ser o no objeto de consolidación.

Si del análisis de los elementos no se alcanzase una conclusión clara e indubitable sobre el control de estas entidades, deberán ser incluidas en los estados consolidados de la entidad.»

«6. [.] b) la participación en entidades asociadas y multigrupo conforme a lo establecido en la norma cuadragésima novena.»

8. En la letra c) del apartado 15 de la norma cuadragésima séptima se suprime la referencia a la norma cuadragésima octava.

9. Se elimina la norma cuadragésima octava. Método de integración proporcional.

10. Se da nueva redacción al apartado 9 de la norma cuadragésima novena, que queda redactado con el siguiente texto:

«9. Las referencias que se hacen en esta norma a las entidades asociadas se aplicarán a las entidades multigrupo al aplicar el método de la participación a estas.»

11. En la norma quincuagésima quinta, se elimina la expresión «ganancias y pérdidas actuariales en planes de pensiones» del apartado 2 y la expresión «y multigrupo integradas proporcionalmente» del apartado 2 y del apartado 3; también se elimina la expresión «cuando se valoren aplicando el método de la participación» de la letra g) del apartado 3, y se añade la letra i) en el apartado 3, que quedará redactada como sigue:

«i) Variaciones de los compromisos de prestación definida. Esta partida recogerá las variaciones de los pasivos (o, en su caso, de los activos) de estos compromisos registradas directamente en el patrimonio neto, como las que sean consecuencia de pérdidas o ganancias actuariales.»

12. En el apartado 1 de la norma quincuagésima sexta se eliminan las expresiones «así como de las entidades multigrupo integradas proporcionalmente, con independencia de que su actividad sea crediticia, de seguros o no financiera» en las letras a) y b), y la expresión «y multigrupo integradas proporcionalmente que sean entidades de seguros y reaseguros» en las letras j) y k), y se da nueva redacción a la letra e), que queda redactado como sigue:

«e) Resultado de entidades valoradas por el método de la participación: esta partida, que solo figurará en la cuenta de pérdidas y ganancias consolidada, comprende el importe de los beneficios o pérdidas, netos de impuestos, generados en el ejercicio por las entidades asociadas y multigrupo imputables al grupo.»

13. En la norma sexagésima se suprimen los apartados 18, 19 y 22, y:

a) Se añade la letra c) al apartado 19 bis con la siguiente redacción:

«c) Por qué la entidad concluye que el precio de la transacción no es la mejor evidencia del valor razonable, incluyendo una descripción de la evidencia que soporta el valor razonable».

b) Se da nueva redacción al apartado 29 y se añaden los apartados 29 bis y 29 ter con la siguiente redacción:

«29. La entidad proporcionará la información prevista en este apartado y en los siguientes apartados 29 bis y 29 ter, para todos los activos financieros transferidos que no se den de baja del balance y para toda implicación continuada en un activo transferido, que exista en la fecha de presentación, con independencia de cuándo se haya producido la correspondiente transacción. A estos efectos, se entiende que una entidad transfiere la totalidad o parte de un activo financiero (el activo financiero transferido) si, y solo si:

a) ha transferido los derechos contractuales a recibir los flujos de efectivo de ese activo financiero, o

b) retiene los derechos contractuales a recibir los flujos de efectivo del activo financiero, pero asume la obligación contractual de pagar los flujos de efectivo a uno o más perceptores, dentro de un acuerdo.

Una entidad tiene una implicación continuada en un activo financiero transferido si, en el marco de la transferencia, la entidad retiene alguno de los derechos u obligaciones contractuales inherentes al activo financiero transferido u obtiene algún nuevo derecho u obligación contractual en relación con dicho activo.

D.9.1) Activos financieros transferidos que no se dan de baja del balance en su totalidad.

29 bis. Una entidad puede haber transferido activos financieros de forma tal que parte o la totalidad de dichos activos no cumpla las condiciones para registrar su baja del balance. En tal caso, la entidad revelará en cada fecha de presentación para cada clase de activos financieros transferidos que no se dan de baja en su totalidad:

a) La naturaleza de los activos transferidos.

b) La naturaleza de los riesgos y beneficios inherentes a la propiedad a los que la entidad esté expuesta.

c) Una descripción de la naturaleza de la relación entre los activos transferidos y los pasivos asociados, y de las restricciones que la transferencia comporta por lo que respecta a la utilización de los activos transferidos por parte de la entidad que informa.

d) Cuando la contraparte (o contrapartes) de los pasivos asociados solo esté respaldada (o respaldadas) por los activos transferidos, un cuadro que recoja el valor razonable de los activos transferidos, el valor razonable de los pasivos asociados y la posición neta (esto es, la diferencia entre el valor razonable de los activos transferidos y de los pasivos asociados).

e) Si la entidad continúa reconociendo la totalidad de los activos transferidos, los importes en libros de esos activos y de los pasivos asociados.

f) Si la entidad continúa reconociendo los activos en función de su implicación continuada, el importe en libros total de los activos originales antes de la transferencia, el importe en libros de los activos que la entidad continúe reconociendo y el importe en libros de los pasivos asociados.

D.9.2) Activos financieros transferidos que se dan de baja del balance en su totalidad.

29 ter. Cuando una entidad dé de baja en su balance los activos financieros transferidos en su totalidad pero mantenga una implicación continuada en ellos, la entidad revelará, como mínimo, para cada tipo de implicación continuada en cada de fecha de presentación:

a) El importe en libros de los activos y pasivos que estén reconocidos en el balance de la entidad y que representen la implicación continuada de la entidad en los activos financieros dados de baja en balance, y las rúbricas en las que el importe en libros de dichos activos y pasivos esté reconocido.

b) El valor razonable de los activos y pasivos que representen la implicación continuada de la entidad en los activos financieros dados de baja del balance.

c) El importe que mejor represente el máximo nivel de exposición de la entidad a las pérdidas que se deriven de su implicación continuada en los activos financieros dados de baja, e información sobre la manera de determinar ese nivel máximo de exposición.

d) Las salidas de efectivo no descontadas que se necesitarían, o podrían necesitarse, para la recompra de activos financieros dados de baja del balance, u otros importes pagaderos al cesionario en relación con los activos transferidos. Si las salidas de efectivo son variables, el importe a revelar se basará en las condiciones vigentes en cada fecha de presentación de información.

e) Un análisis de vencimientos de las salidas de efectivo no descontadas que se necesitarían, o podrían necesitarse, para la recompra de activos financieros dados de baja en cuentas u otros importes pagaderos al cesionario en relación con los activos transferidos, que muestre los plazos contractuales de vencimiento remanentes de la implicación continuada de la entidad.

f) Información cualitativa que explique y avale la información cuantitativa exigida con arreglo a las letras a) a e) anteriores.

Adicionalmente, las entidades informarán, por cada tipo de implicación continuada, sobre:

a) La pérdida o ganancia reconocida en la fecha de transferencia de los activos.

b) Los ingresos y gastos reconocidos, tanto durante el ejercicio sobre el que se informa como de forma acumulada, resultantes de la implicación continuada de la entidad en los activos financieros dados de baja.

c) Si el importe total de las cantidades percibidas por la actividad de transferencia, que reúna las condiciones para ser dado de baja, en el ejercicio sobre el que se informa no tiene una distribución uniforme a lo largo de todo ese ejercicio:

i) cuándo ha tenido lugar, dentro del citado ejercicio sobre el que se informa, la mayor parte de la actividad de transferencia;

ii) el importe reconocido derivado de la actividad de transferencia, esto es, las pérdidas o ganancias conexas, en esa parte del ejercicio sobre el que se informa, y

iii) el importe total de las cantidades percibidas por la actividad de transferencia en esa parte del ejercicio sobre el que se informa.»

c) Se añade un apartado nuevo D.13 y dos apartados nuevos 33 bis y 33 ter con la siguiente redacción:

«D.13) Compensación de activos y pasivos financieros.

33 bis. Las entidades informarán, respecto de los instrumentos objeto de compensación y de los acuerdos de compensación contractual, independientemente de que sean objeto de compensación o no, la siguiente información cuantitativa:

a) Importe bruto de los activos y pasivos financieros reconocidos.

b) Importes compensados de acuerdo con la norma decimosexta separando activos de pasivos.

c) Importes netos presentados en los estados financieros separando activos de pasivos.

d) Importes, separando activos de pasivos, objeto de acuerdos de compensación contractual ejecutables que no se hayan compensado de acuerdo con la norma decimosexta y los importes que tampoco hayan sido compensados que dispongan de garantía en forma de caja u otros instrumentos financieros.

e) Importe neto después de deducir los importes de la anterior letra d) de los de la anterior letra c) separando activos de pasivos.

33 ter. Las entidades describirán los derechos de compensación asociados con los activos financieros reconocidos y pasivos financieros reconocidos objeto de un acuerdo de compensación contractual ejecutable que no hayan compensado de acuerdo con la norma decimosexta.»

d) Se modifica el numeral ii) y se añade el iv) en la letra b), y se modifica el numeral iv) en la letra f), del apartado 41; quedan con el siguiente texto:

«b) [.] ii) si el importe recuperable se determina en función del valor razonable menos los costes de venta; la metodología empleada para la determinación de dicho valor; una descripción de las hipótesis clave empleadas si no existe un precio de mercado observable de dicho valor razonable menos los costes de venta; el nivel de jerarquía del valor razonable en que se clasifica en su totalidad sin considerar los costes de venta; si ha habido un cambio en la técnica de valoración y sus razones, y el tipo de descuento utilizado, en su caso, en la actual y anteriores mediciones.

iv) el valor recuperable del activo o unidad generadora de efectivo.»

«f) [.] iv) si el importe recuperable se determina en función del valor razonable menos los costes de venta; la metodología empleada para la determinación de dicho valor; una descripción de las hipótesis clave empleadas si no existe un precio de mercado observable de dicho valor razonable menos los costes de venta; el nivel de jerarquía del valor razonable en que se clasifica en su totalidad sin considerar los costes de venta, y si ha habido un cambio en la técnica de valoración y sus razones. En el supuesto de utilizar proyecciones de flujos de efectivo descontados para la estimación la entidad deberá informar del período en que se proyectan los flujos, la tasa de crecimiento utilizada para extrapolar dichos flujos y el tipo de descuento utilizado para actualizar. No será necesario que la entidad presente la información requerida en la letra T) de esta norma.»

e) Se sustituye la referencia al «apartado 7.c).ii)» por la referencia al «apartado 7.e)»; se elimina el número 5) del numeral vii) de la letra b), y se modifican los numerales i) y ii) de la letra b) del apartado 49; estos quedan con el siguiente texto:

«(i) una descripción general de los distintos planes de la entidad;

(ii) una conciliación entre los saldos iniciales y los finales del valor actual de la obligación por prestaciones diferidas, mostrando por separado los activos del plan, el valor presente de la obligación por prestación definida y el límite del valor del activo tal como viene definido en la letra e) del apartado 7 de la norma trigésimo quinta, mostrando, si fuera aplicable, los efectos que durante el ejercicio han sido atribuibles a cada uno de los siguientes conceptos:

1. el coste de los servicios del ejercicio corriente;

2. los ingresos o gastos por intereses;

3. las nuevas mediciones de la provisión (activo) por prestaciones diferidas, mostrando por separado:

a) el rendimiento de los activos del plan, excluyendo los importes incluidos en los intereses en el anterior número 2;

b) los resultados actuariales que surgen de cambios en las hipótesis demográficas, y

c) los resultados actuariales que surgen de cambios en las hipótesis financieras;

4. las aportaciones efectuadas por los participantes en el plan;

5. las modificaciones por aplicación de un tipo de cambio diferente en planes valorados en moneda distinta a la moneda de presentación de la entidad;

6. las prestaciones pagadas;

7. el coste de los servicios pasados;

8. las combinaciones de negocios;

9. las reducciones, y

10. las liquidaciones».

f) Se da nueva redacción a la letra P) «Acuerdos conjuntos y asociadas» y a los apartados 60, 61 y 62, y se incluye un nuevo apartado 62 bis; quedan con el siguiente texto:

«60. La entidad enumerará y describirá los intereses en negocios conjuntos y asociadas significativos incluyendo su nombre, el domicilio, su participación (distinguiendo si es distinta su participación en los derechos de voto) y una descripción del método utilizado para contabilizar dichas inversiones.

61. Se deberá informar de forma separada sobre el importe agregado de los pasivos contingentes (a menos que la probabilidad de pérdida sea remota), en que el partícipe haya incurrido en relación con las inversiones en negocios conjuntos o asociadas, y su parte en cada uno de los pasivos contingentes en que haya incurrido conjuntamente con otros partícipes.

62. Información separada del importe de cualquier compromiso del partícipe en negocios conjuntos que pueda dar lugar a la salida futura de caja u otros recursos en relación con sus inversiones en negocios conjuntos que no haya reconocido en la fecha de los estados financieros pero que sí haya comprometido.

62 bis. La entidad informará de lo referente a las operaciones conjuntas recogido en la norma sexagésima primera.»

g) Se añade un nuevo apartado T) y los apartados 74 a 78 con el siguiente texto:

«T) Información a revelar respecto de los activos y pasivos medidos a valor razonable.

74. Para los activos y pasivos medidos a valor razonable de forma recurrente, aquellos para los que alguna norma requiere o permite su medición a valor razonable en el balance, la entidad informará:

a) de las técnicas de valoración y los inputs utilizados para desarrollar dichas valoraciones cuando se valoren posteriormente al reconocimiento inicial al valor razonable;

b) del efecto de la medición en la cuenta de resultados o en la cuenta de otros ingresos y gastos reconocidos para aquellos activos y pasivos que utilicen　inputs　de nivel 3 significativos.

Para lograr este objetivo las entidades deberán informar, entre otros, del contenido de los siguientes apartados.

75. Las entidades revelarán, para cada clase de activos y pasivos, medidos a valor razonable en el estado de situación financiera después del reconocimiento inicial, la siguiente información:

a) La medición del valor razonable al final del período y las razones de dicha medición.

b) El nivel de jerarquía de valor razonable dentro del cual se clasifican las mediciones considerando que el activo o pasivo se incluirá íntegramente en un solo nivel.

i) Nivel 1: Aquellas mediciones que utilizan precios cotizados en mercados activos para el mismo instrumento.

ii) Nivel 2: Aquellas mediciones que utilizan precios cotizados en mercados activos para instrumentos similares u otras técnicas de valoración en las que toda la información de entrada significativa está basada en datos de mercado observables directa o indirectamente.

iii) Nivel 3: Aquellas mediciones que utilizan alguna información de entrada significativa que no está basada en datos de mercado observables.

A estos efectos, una información de entrada (input) significativa es aquella que es importante en la determinación del valor razonable en su conjunto.

c) Los importes de las transferencias entre el nivel 1, 2 y 3 de los activos y pasivos que se midan a valor razonable de forma recurrente y siempre que se mantengan al final del período informado; las razones de las transferencias, y la política de la entidad para determinarlo, distinguiendo las entradas de las salidas de cada nivel.

d) Una descripción de las técnicas de valoración, los cambios en dicha técnica, y los datos utilizados en la medición del valor razonable, para activos y pasivos clasificados en los niveles 2 y 3.

e) Información cuantitativa sobre los datos de entrada no observables significativos utilizados en la medición del valor razonable de activos o pasivos clasificados en el nivel 3.

f) Conciliación de los saldos de apertura y de cierre, de los activos y pasivos clasificados en el nivel 3, medidos a valor razonable de forma recurrente, revelando por separado los cambios del período reconocidos en la cuenta de resultados y en la cuenta de otros ingresos y gastos reconocidos, distinguiendo las partidas en que se encuentran ubicados, las compras, ventas, emisiones y liquidaciones y los importes de las transferencias hacia o desde el nivel 3. Las entidades distinguirán los importes reconocidos en la cuenta de resultados que hayan sido realizados de los que no.

g) Una descripción de los procesos de valoración utilizados cuando se clasifiquen en el nivel 3.

h) Para las mediciones del valor razonable recurrentes clasificadas en el nivel 3, una descripción narrativa de la sensibilidad de la medición del valor razonable a cambios en los datos de entrada no observables si un cambio en esos datos puede dar lugar a una medición significativamente distinta, y, si estos datos están relacionados con otros datos no observables utilizados, una descripción de las relaciones y de la forma en que pueden afectar.

i) Para las mediciones del valor razonable recurrentes clasificadas en el nivel 3 de activos y pasivos financieros, informarán a cerca de si cambiar uno o más datos de entrada no observables para reflejar supuestos alternativos razonablemente posibles cambiaría de forma significativa el valor razonable y el efecto de estos cambios. A estos efectos, la relevancia se juzgará con respecto al resultado del período, activos o pasivos totales o total patrimonio.

j) Si el uso asignado a un activo no financiero en la estimación del valor razonable difiere de su utilización presente, y la razón por la que el activo se está utilizando de forma diferente a su máximo y mejor uso.

76. Si una entidad utiliza la excepción planteada en el párrafo 3 de la norma cuadragésima cuarta relacionado con las exposiciones netas, deberá informarlo.

77. Las entidades informarán del contenido de las letras b), d) y j) del anterior apartado 75 para cada clase de activos y pasivos para los que se revele su valor razonable aun cuando no se midan a valor razonable en los estados financieros.

78. Para un pasivo medido a valor razonable emitido con una mejora crediticia de un tercero inseparable, la entidad revelará la existencia de esta mejora crediticia y si está reflejada en el valor razonable.»

14. Se modifican las letras a), b) y f) y se añade la letra i) en el apartado 2; se añade un nuevo apartado 2 bis; se modifican el primer párrafo del apartado 3 y el primer párrafo del apartado 4; se elimina el título B) con los apartados 6, 7 y 8, y se da nueva redacción al título C) «Acuerdos conjuntos y asociadas» y al apartado 9 de la norma sexagésima primera, que quedarán redactados como sigue:

«2. [.] a) Cualquier juicio y asunción significativo que haya realizado a la hora de determinar si tiene control sobre una entidad, incluyendo aquellos realizados para determinar si es un agente o principal. Por cada combinación de negocios, el porcentaje de participación adquiridas con derecho de voto respecto del total, incluidos los potenciales.

b) Cuando en una combinación de negocios la adquirente mantenga menos del 100% de las participaciones en el patrimonio de la adquirida en la fecha de la adquisición, el importe de la participación, y de los derechos de voto si es distinto, de socios externos a la fecha de adquisición y la base para la valoración de dicho importe.»

«f) La naturaleza y alcance de cualquier restricción significativa a la transferencia de fondos desde las dependientes a la dominante o viceversa, ya sea en forma de dividendos o de reembolsos de préstamos y anticipos.»

«i) Naturaleza y cambio en los riesgos asociados con entidades estructuradas consolidadas, incluyendo información sobre acuerdos contractuales que pudieran requerir del grupo soporte financiero. Asimismo, informarán del importe y de los motivos de prestar ayudas financieras que diese el grupo sin una obligación contractual; en caso de que esto hubiese provocado su consolidación, la entidad deberá explicar los factores relevantes para tomar dicha decisión. La entidad deberá informar de intenciones presentes de apoyar entidades de propósito especial consolidadas.»

«2 bis. Información sobre la naturaleza, extensión, riesgos asociados y cambios de los intereses en entidades estructuradas (entendidas como aquellas que se hayan diseñado de forma que los derechos de voto no sean el factor determinante para valorar quién controla la entidad) que no han sido consolidadas. Incluyendo, cuando sea necesario, información sobre la exposición al riesgo de entidades estructuradas en períodos pasados, incluso cuando ya no tenga una involucración contractual.

A estos efectos, se entenderá por «interés en una entidad» la implicación contractual o no contractual que expone a una entidad a la variabilidad de los rendimientos procedentes de los de otra entidad. Este interés puede evidenciarse mediante la tenencia de instrumentos de deuda o de patrimonio, así como por otras fórmulas, tales como apoyos de liquidez, mejoras crediticias o garantías. Una relación de carácter comercial habitual no supone necesariamente un «interés en otra entidad.

Respecto de los intereses en entidades estructuradas no consolidadas, se informará de:

a) El interés que en ellas tenga la entidad, incluyendo, entre otros, su objetivo, tamaño y actividades y cómo se financian.

b) Naturaleza de los riesgos, incluyendo, entre otros:

i) Valor contable de los activos y pasivos reconocidos en los estados financieros relacionados con su interés en estas entidades y partidas en las que se encuentran reflejados.

ii) Importe que mejor representa la máxima exposición a pérdidas para la entidad por su interés en estas entidades, y su forma de estimación.

iii) Comparación entre los dos anteriores importes.

c) Si ha patrocinado alguna de estas entidades pero carece de información a presentar conforme a la anterior letra b), deberá informar sobre cómo ha determinado a qué entidad patrocinar; los ingresos procedentes de estas entidades durante el período, y, en su caso, el valor contable de los activos transferidos a estas entidades a lo largo del periodo.

d) Si durante el período la entidad ha proporcionado apoyo financiero o de otro tipo a alguna de estas entidades careciendo de obligación contractual para hacerlo, el tipo de apoyo y las razones para otorgarlo.

e) La intencionalidad presente de proporcionar apoyo financiero o de otro tipo a esta clase de entidades.»

«3. Desglose, por entidades incluidas en la consolidación (ya sea por el método de integración global o de la participación), de lo siguiente:»

«4. Se incluirá un desglose por entidades dependientes de la partida de Intereses minoritarios», indicando para cada entidad el movimiento acaecido en el ejercicio y las causas que lo han originado, reflejando el importe de intereses minoritarios» al final del período. Se presentará un resumen de la información financiera de la dependiente, incluyendo dividendos pagados a los socios externos y un resumen de los activos, pasivos, resultados y flujos de caja de la dependiente.»

«9. La entidad revelará aquella información que permita a los usuarios evaluar la naturaleza, cuantía y efecto financiero de su participación en acuerdos conjuntos y entidades asociadas, incluyendo la naturaleza y efecto de su relación contractual con otros inversores con control conjunto o influencia significativa sobre sus operaciones conjuntas o asociadas, y la naturaleza y cambios en los riesgos asociados con su participación en negocios conjuntos y asociadas. A su vez, informará de los juicios y asunciones más significativas que han servido de base para determinar la existencia de control conjunto o de influencia significativa, y el tipo de control conjunto cuando se ejerce a través de un entidad de propósito especial separada.

La entidad facilitará la siguiente información:

a) Identificación de los acuerdos conjuntos y entidades asociadas, con indicación del nombre, domicilio, porcentaje de su capital y derechos de voto, poseídos por las entidades del grupo o las personas que actúen en su propio nombre, pero por cuenta de aquellas, y naturaleza de la relación. La participación en el resultado de tales acuerdos conjuntos y asociadas, y el valor en libros de esas inversiones se revelarán separadamente. Asimismo, indicará:

i) El valor razonable de las inversiones en negocios conjuntos y entidades asociadas siempre que exista un precio de mercado cotizado para la inversión.

ii) Información financiera resumida de cada uno de los negocios conjuntos y entidades asociadas significativas, incluyendo, entre otros, el importe de los activos, pasivos, ingresos, pérdidas y ganancias en el ámbito de actividades de explotación, pérdidas y ganancias después de impuestos, otros ingresos y gastos reconocidos, y el importe de ingresos y gastos reconocidos total.

iii) Respecto de cada negocio conjunto que sea significativo, se informará además del importe de caja, pasivos, depreciaciones y amortizaciones, ingresos por intereses, gastos por intereses, y el ingreso o gasto por impuestos.

iv) La información requerida en los números ii) y iii) anteriores se presentará en su totalidad y no exclusivamente por la parte que le corresponda a la entidad, además de que se ajustarán los importes para reflejar ajustes del valor razonable del momento de la adquisición o por diferencias en políticas contables, y presentarán una reconciliación de dicha información con el importe contable que refleje su interés en el negocio conjunto o asociada.

v) Cuando el negocio conjunto o la entidad asociada se clasifiquen como disponibles para la venta, la entidad no estará obligada a proporcionar la información financiera resumida.

vi) Los dividendos recibidos de cada negocio conjunto o entidad asociada significativa.

vii) Las razones por las cuales una entidad que tiene menos de un 20% de los derechos de voto de la participada considera que tiene una influencia significativa.

viii) Las razones por las que una entidad que tiene el 20% o más de los derechos de voto de otra entidad considera que no tiene una influencia significativa.

ix) La fecha de presentación de los estados financieros de un negocio conjunto o entidad asociada cuando contengan una fecha de presentación o un período diferente al de la entidad, así como las razones para utilizar esta fecha o período diferentes.

x) La parte no reconocida de las pérdidas de un negocio conjunto o una asociada, tanto del ejercicio como acumulada, si la entidad ha interrumpido el reconocimiento de su parte en las pérdidas de la asociada.

xi) La naturaleza y alcance de cualquier restricción significativa en la capacidad de los negocios conjuntos y de las entidades asociadas para transferir fondos a la entidad en forma de efectivo, dividendos o reembolsos de préstamos y anticipos.

xii) Negocios conjuntos y entidades asociadas a las que no se les aplica el método de la participación de acuerdo con lo señalado por las normas trigésima cuarta y cuadragésima sexta, así como información financiera resumida de estas, incluyendo el importe agregado de los activos, pasivos, pérdidas y ganancias.

xiii) Importe contable de la participación en negocios conjuntos y entidades asociadas que no sean individualmente significativas y se contabilicen por el método de la participación, de forma agregada para los negocios conjuntos y también de forma agregada para las asociadas, distinguiendo las pérdidas y ganancias de sus actividades de explotación, las pérdidas y ganancias después de impuestos, otros ingresos y gastos reconocidos y el importe de ingresos y gastos reconocidos total.

b) Participación de la entidad en los pasivos contingentes de una asociada en que ha incurrido conjuntamente con otros inversores; y pasivos contingentes surgidos debido a que la entidad es responsable de todos o de parte de los pasivos de una entidad asociada.

La entidad revelará la información exigida sobre negocios conjuntos en el epígrafe P) de la norma sexagésima.»

15. La última frase del apartado 9 de la norma sexagésima sexta se sustituye por la siguiente redacción:

«La inclusión en dichas categorías de otros entes, organismos o entidades que no figuren en las citadas relaciones requerirá conformidad previa del Banco de España (Dirección General de Regulación y Estabilidad Financiera), excepto cuando se trate de corredores y agentes de seguros.»

16. En la norma sexagésima séptima se introducen las siguientes modificaciones:

a) Se suprime el apartado 11, así como la mención al estado T.13 en el apartado 12.

b) Se da nueva redacción al párrafo primero del apartado 16 con el texto siguiente:

«16. El Banco de España podrá requerir a las entidades que no superen a 31 de diciembre de 2013 los umbrales que se establecen en los apartados anteriores para enviar los estados M.10, M.12, T.6, T.11 y T.12, a 31 de diciembre de 2015 los umbrales para enviar el estado T.22, y a 31 de marzo de 2016 los umbrales para enviar los estados M.11, T.19 y T.20, que se presenten todos o algunos de dichos estados, con la periodicidad y el plazo máximo de presentación establecidos con carácter general. El requerimiento se efectuará por escrito, con una antelación mínima de tres meses antes del primer envío, atendiendo a las circunstancias particulares de las entidades, en especial a su perfil de riesgo y al importe que represente la actividad que se ha de reportar en relación con su tamaño.»

17. En los cuadros del apartado 1 de las normas sexagésima séptima y sexagésima octava se suprime el estado T.13 y se añade el estado M.14, Detalle del crédito a otros sectores (Negocios en España), con periodicidad mensual y plazo máximo de presentación «Fin mes siguiente.»

18. Se modifica la letra c) del apartado 2 de la norma sexagésima novena, que queda redactado como sigue:

«c) Las participaciones en entidades multigrupo que, conforme a lo dispuesto en la letra a), formen parte del ámbito de consolidación se registrarán aplicando el método de la integración proporcional, aunque se hubiesen contabilizado por el método de la participación en los estados financieros públicos. A estos efectos, el método de integración proporcional se empleará aplicando, en lo que proceda, las reglas establecidas en la norma cuadragésima séptima, con las siguientes precisiones:

i) La agregación a los estados financieros consolidados de las distintas partidas del balance y de la cuenta de pérdidas y ganancias de las entidades consolidadas por este método se realizará en la proporción que represente la participación del grupo en su capital, excluida la parte correspondiente a los instrumentos de capital propio.

ii) En igual proporción se efectuará la eliminación de créditos y débitos recíprocos, así como la de los ingresos, gastos y resultados por operaciones internas.

iii) En la aplicación del método de integración proporcional se utilizarán los estados financieros consolidados de las entidades o, si procede, los «estados financieros económicos» de las entidades multigrupo según se definen en el apartado 2 de la norma segunda.»

19. En la letra c) del apartado 3 de la norma septuagésima se sustituye la expresión «global o proporcionalmente» por «globalmente».

20. En la norma septuagésima primera, se da nueva redacción al punto iii) del apartado 2, letra b), con el siguiente texto:

«iii) Los bancos multilaterales de desarrollo se clasificarán, sin asignar a ningún país, como resto de instituciones financieras monetarias residentes en el resto del mundo cuando realicen actividades similares a las de un banco central, y como otros sectores residentes en el resto del mundo en los demás casos, excepto el «Banco Europeo de Inversiones», que se clasificará como institución financiera monetaria residente en la Unión Económica y Monetaria.»

21. En el anejo I se introducen las siguientes modificaciones en el estado de ingresos y gastos reconocidos público:

• Al comienzo del apartado «B) Otros ingresos y gastos reconocidos» se incluye el subapartado «B.1) Partidas que no serán reclasificadas a resultados» con las siguientes partidas:

1. Pérdidas y ganancias actuariales en planes de pensiones de prestación definida.

2. Activos no corrientes en venta.

3. Entidades valoradas por el método de la participación.

4. Impuesto sobre beneficios relacionado con partidas que no serán reclasificadas a resultados.

• Seguidamente de las anteriores partidas, dentro del apartado «B) Otros ingresos y gastos reconocidos», se incluye el subapartado «B.2) Partidas que podrán ser reclasificadas a resultados» como título del resto de partidas incluidas en dicho estado; se suprime la actual partida «6. Ganancias (pérdidas) actuariales en planes de pensiones», y la partida 9 pasa a denominarse «9. Impuesto sobre beneficios relacionados con partidas que podrán ser reclasificadas a resultados».

22. En el anejo III se introducen las siguientes modificaciones en el estado de ingresos y gastos reconocidos consolidado público:

• Al comienzo del apartado «B) Otros ingresos y gastos reconocidos» se incluye el subapartado «B.1) Partidas que no serán reclasificadas a resultados» con las siguientes partidas:

1. Pérdidas y ganancias actuariales en planes de pensiones de prestación definida.

2. Activos no corrientes en venta.

3. Entidades valoradas por el método de la participación.

4. Impuesto sobre beneficios relacionado con partidas que no serán reclasificadas a resultados.

• Seguidamente de las anteriores partidas, dentro del apartado «B) Otros ingresos y gastos reconocidos», se incluye el subapartado «B.2) Partidas que podrán ser reclasificadas a resultados» como título del resto de partidas incluidas en dicho estado; se suprime la actual partida «6. Ganancias (pérdidas) actuariales en planes de pensiones», y la partida 9 pasa a denominarse «9. Impuesto sobre beneficios relacionados con partidas que podrán ser reclasificadas a resultados».

23. En los Anejos IV, V y VII se realizan las siguientes modificaciones:

a) Se suprime el estado T.13 y se añade el estado M.14, Detalle del crédito a otros sectores (Negocios en España), con el formato que se incluye como anejo de la presente circular.

b) Al final de la letra (j) del estado M.10-2, Datos de valores representativos de deuda propiedad de la entidad, se añade el siguiente valor:

«- No aplicable: se utiliza exclusivamente cuando los valores propiedad de la entidad estén registrados en el activo a final de mes pero la entidad no los tenga en su poder o entregados en custodia porque los haya prestado o cedido a terceros.»

c) En el estado M.10-4, Datos de otras operaciones con valores, la columna «Operaciones. Valor contable (excluidos ajustes por valoración)» pasa a denominarse «Operaciones. Importe de la operación».

d) En el estado M.11-2, Datos básicos de inmuebles, se realizan los siguientes cambios:

– Se suprimen la columna «Uso polivalente» en el estado M.11-2.2 y la columna «Uso actual de la finca rústica» en el estado M.11-2-4.

– La nota (d) se sustituye por el siguiente texto:

«(d) Indica el origen del inmueble antes de su adjudicación:

– Financiación a la construcción o promoción inmobiliaria.

– Financiación a hogares.

– Resto de las situaciones.»

e) En el estado M.13, Coste de la financiación captada en el mes, se añade la partida «Del que: Cuentas abiertas en el mes» como desglose de todas las partidas «Resto de depósitos a la vista».

f) La letra (c) de los estados S.9 y C.21, Distribución del crédito a la clientela por actividad, y de las dos partes de los estados S.10 y C.22, Concentración de riesgos por actividad y área geográfica, se sustituye por el siguiente texto:

«(c) Las sociedades no financieras se clasificarán en Grandes empresas» y Pymes» según se definen estas últimas en la Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas.

Las operaciones con los empresarios individuales incluirán exclusivamente las operaciones con personas físicas que tengan como finalidad financiar sus actividades empresariales, tanto las que realizan directamente como empresarios individuales como las que efectúan a través de entidades sin personalidad jurídica.»

g) La letra (e) de los estados S.9 y C.21, Distribución del crédito a la clientela por actividad, se sustituye por el siguiente texto:

«Se incluirá el valor en libros de todas las operaciones con garantía inmobiliaria y con otras garantías reales, incluidas las instrumentadas como arrendamientos financieros y adquisiciones temporales de activos, cualquiera que sea la relación entre el principal y el valor de la garantía real (loan to value). A estos efectos, no se considerarán como garantía real las reservas de dominio ni los arrendamientos financieros sobre bienes muebles.»

h) En el estado A3, Compromisos y riesgos por pensiones, se eliminan los apartados «Importes no reconocidos en el balance» y «Banda de fluctuación», junto con sus respectivos desgloses.

i) En el estado UEM.1, Balance resumido, la partida «Pasivos computables con coeficiente del 2%» pasa a denominarse «Pasivos computables con coeficiente positivo» tanto en la pro memoria en la que se solicita dicho dato como en la nota (d)».

j) En el estado UEM.5, Clasificación por países de algunos activos y pasivos, se añade el país Croacia, así como el banco multilateral de desarrollo «Banco Europeo de Inversiones», abriendo para este último exclusivamente las celdas de las columnas «Préstamos y créditos a IFM», «Valores distintos de acciones emitidos por IFM», «Acciones y otras participaciones» y «Depósitos de IFM».

k) En el estado UEM.6, Clasificación por monedas de algunos activos y pasivos, se añade la moneda HRK y se suprime la moneda EEK.

l) La nota (c) del estado UEM.8, Detalle del resto de instituciones financieras no monetarias residentes en España, se sustituye por el siguiente texto:

«(c) Esta línea incluye los datos relativos a corredores y agentes de seguros que sean personas jurídicas, Bolsas y Mercados Españoles, sociedad　holding　de mercados y sistemas financieros y entidades de pago.»

24. En el anejo VIII.1, dentro de «Bancos multilaterales de desarrollo», se sustituye el valor «Con actividades similares a bancos centrales» por «Instituciones financieras monetarias», y se añade el valor «Corredores y agentes de seguros» antes de «Resto de los auxiliares financieros».

25. En el anejo X se suprimen las dimensiones «Uso polivalente» del apartado «Edificios y elementos de edificios» y «Uso actual del suelo» del apartado «Fincas rústicas», y se añaden la dimensión «Consideración del inmueble en la normativa europea aplicable para el cálculo del coeficiente de recursos propios» a continuación de la dimensión «Tipo de activo» del apartado «Garantía hipotecaria (datos básicos de los inmuebles recibidos en garantía)» y el valor «mantenido íntegramente en el balance» al final de los posibles valores de la dimensión «Tipo de transferencia».

Norma segunda.-Se introducen las siguientes modificaciones en la Circular 1/2013, de 24 de mayo, sobre la Central de Información de Riesgos y por la que se modifica la Circular 4/2004, de 22 de diciembre, a las entidades de crédito, sobre normas de información financiera pública y reservada, y modelos de estados financieros:

1. Se modifican el primer párrafo y la letra c) del apartado 5 de la norma tercera, que quedan redactados como sigue:

«5. Los titulares de riesgos, directos e indirectos, se declararán de forma individualizada a la CIR, cualquiera que sea el importe de su riesgo en la entidad declarante, excepto cuando sus operaciones sean declarables de forma agregada, conforme a lo dispuesto en la norma segunda, apartado 3. Excepcionalmente, se podrán excluir de la declaración del riesgo indirecto a nombre de un titular los efectos en los que haya comprometido su firma, siempre que su importe sea inferior a 6.000 euros y formen parte de una operación de crédito comercial con recurso.»

«c) El importe del riesgo indirecto que computa como riesgo acumulado es el riesgo máximo que garantiza el titular de las operaciones en las que interviene exclusivamente como garante o porque haya comprometido su firma en operaciones de cartera comercial o efectos financieros. Cuando el titular haya comprometido su firma en efectos que forman parte de operaciones de cartera comercial con recurso que no se declaren a la CIR conforme a lo dispuesto en el primer párrafo de este apartado, el riesgo no declarado por este motivo no se computará a estos efectos.»

2. Se añade al final de las letras b) y c) del apartado 7 de la norma undécima el siguiente texto: «, salvo que no las tenga que declarar de forma individualizada a la CIR.»

3. En la norma decimocuarta se da nueva redacción al primer párrafo del apartado 1 y a la letra b) del apartado 3, que quedan redactados con el siguiente texto:

«1. Las entidades declarantes que transfieran operaciones a terceros (en adelante, entidades cedentes), si retienen la gestión frente a los titulares, tienen que continuar declarándolas a la CIR en los diferentes módulos, con las precisiones que, en su caso, les sean aplicables, como si no las hubiesen transferido, con independencia de si las mantienen íntegramente en el balance o las han dado de baja total o parcialmente conforme a la normativa contable aplicable a las transferencias de activos, salvo cuando las operaciones cedidas no fuesen declarables individualmente a la CIR conforme a lo dispuesto en la norma segunda, apartado 3.»

«b) Si la entidad cedente no declara a la CIR las operaciones cedidas, porque no sea una entidad declarante o porque, siéndolo, no tuviese que declararlas individualmente, la entidad adquirente declarará todos los módulos como si ella tuviera la gestión directa del riesgo. Los importes que se declararen en los diferentes módulos serán los que correspondan al riesgo que asuma la entidad en las operaciones.»

4. Se añade al final del apartado 1 de la norma decimoquinta el siguiente texto:

«No obstante, cuando la entidad cedente no haya declarado individualmente las operaciones a la CIR, estas no se tendrán que declarar en los módulos G.1 y G.2, debiendo la entidad adquirente realizar la declaración completa de las personas y operaciones que cumplan con los requisitos para declararlas individualmente.»

5. La disposición transitoria primera se sustituye por el siguiente texto:

«1. Las entidades declarantes continuarán declarando a la CIR conforme a lo dispuesto en la Circular 3/1995, de 25 de septiembre, hasta el cierre de la declaración relativa a los datos de 31 de agosto de 2015, inclusive, con independencia de que también tengan que comenzar a declarar los datos, según lo dispuesto en la presente circular, desde los plazos que se indican en el siguiente apartado.

No obstante lo dispuesto en el párrafo anterior, las altas y las modificaciones de datos de los titulares de riesgos, directos e indirectos, así como las solicitudes de código de no residentes, se comenzarán a realizar desde el 1 de junio de 2014 exclusivamente conforme a lo dispuesto en la norma quinta de la presente circular, con independencia de que sus riesgos se continúen declarando de acuerdo con la Circular 3/1995.

2. La declaración de datos a la CIR con arreglo a lo dispuesto en la presente circular se realizará conforme al siguiente calendario:

a) Los módulos B.1 y B.2, desde los datos correspondientes a 30 de abril de 2015, inclusive. No obstante, los datos de las operaciones que presumiblemente se tengan que declarar a dicha fecha, así como los de las nuevas personas que intervengan en ellas que no sean declarables conforme a lo dispuesto en la Circular 3/1995, se podrán comenzar a enviar desde el 1 de febrero de 2015.

b) Los módulos F, G.1 y G.2, desde los datos correspondientes a 30 de abril de 2015, inclusive. No obstante, los datos de las operaciones que presumiblemente se tengan que declarar a dicha fecha se podrán comenzar a enviar desde el 1 de abril de 2015.

c) Los módulos C.1, C.2 y G.3, desde los datos correspondientes a 30 de abril de 2015, inclusive.

d) Los módulos H.1 a H.5, desde los datos correspondientes a 31 de diciembre de 2015. No obstante, los datos de los módulos H.1 y H.2 correspondientes a las operaciones que presumiblemente se tengan que declarar a dicha fecha se podrán comenzar a declarar desde el 1 de octubre de 2015.

e) Los módulos D, E, I y H.6, desde los datos correspondientes a 31 de marzo de 2016. No obstante, los datos de los módulos D.1 a D.3 correspondientes a las operaciones que presumiblemente se tengan que declarar a dicha fecha se podrán comenzar a declarar desde el 1 de febrero de 2016.

3. La declaración a la CIR de los datos básicos que establece la presente circular correspondientes a las personas y operaciones declarables a 30 de abril de 2015 se hará conforme a lo dispuesto en las siguientes letras:

a) Cuando la entidad no disponga de los nuevos datos que se solicitan para las personas en el módulo A.1 y estas no se los faciliten antes de su remisión al Banco de España, se indicará como motivo de declaración «Titulares de riesgos sin datos». La entidad no necesitará solicitar los datos que le falten de las personas cuando todas sus operaciones venzan antes del 31 de diciembre de 2015 y no se prevea que existan problemas para su cancelación en las fechas de vencimiento.

b) Cuando la entidad no pueda obtener alguno de los datos del módulo D.2 para garantías formalizadas antes del 1 de julio de 2014, porque no fuese exigible en la normativa aplicable y no lo tenga en su expediente ni lo pueda obtener fácilmente, podrá indicar Carga inicial. Dato no disponible» en la dimensión para la que no pueda facilitar el dato.

c) En el módulo G.1 no se vincularán las operaciones vivas a 30 de abril de 2015 con las operaciones concedidas por la propia entidad declarante u otras entidades que no estén vivas a dicha fecha.

d) Las operaciones vivas a 30 de abril de 2015 que hayan sido subrogadas o segregadas hasta dicha fecha, inclusive, se declararán con el valor Carga inicial» en la dimensión Origen de la operación» de la parte 2 del módulo B.2. Este mismo valor se puede utilizar para declarar el resto de las operaciones, siempre que la entidad declarante no pueda asignarlo a los otros valores.

e) Las operaciones vivas a 30 de abril de 2015 se declararán en la dimensión Novaciones y refinanciaciones» de la parte 2 del módulo B.2 con el valor Carga inicial. Refinanciaciones», cuando la operación cumpla la definición de refinanciación o refinanciada, con el valor Carga inicial. Reestructuraciones», cuando la operación cumpla la definición de reestructuración, y con el valor Carga inicial. Resto de las operaciones», en los demás casos.

f) Los datos de la parte 3 del módulo C.1 no se declararán en la declaración de dicho módulo correspondiente a datos de 30 de abril de 2015.
g) En el módulo E, el importe de las comisiones que compensan costes directos relacionados se comenzará a declarar para las operaciones que se formalicen desde el 1 de noviembre de 2014.»

6. Los apartados 1, 2, 4 y 5 de la disposición transitoria segunda quedan redactados como sigue:

«1. Los primeros estados que se deben remitir al Banco de España de los introducidos o modificados por la disposición final primera de la presente circular en la Circular 4/2004, de 22 de diciembre, a las entidades de crédito, sobre normas de información financiera pública y reservada, y modelos de estados financieros, serán:

a) Para los estados M.10-2 a M.10-4, A.2 y C.23, los correspondientes a datos de 31 de diciembre de 2013. Los estados M.10-2 a M.10-4, excepcionalmente, se podrán enviar hasta el 10 de febrero de 2014. Los datos del estado M.10-1 no se comenzarán a declarar hasta el 1 de junio de 2014 en dicho formato; hasta dicha fecha, únicamente se declararán código del emisor, nombre, sector y actividad económica (CNAE), utilizando el procedimiento para comunicar los datos de los titulares que se recoge en la Circular 3/1995, de 25 de septiembre, sobre la Central de Información de Riesgos.

b) Para el estado T.22, los correspondientes a datos de 31 de diciembre de 2015.

c) Para los estados M.11, T.19 y T.20, los correspondientes a datos de 31 de marzo de 2016.»

«2. En la primera declaración de los estados M.11 y T.19-2 de la　Circular 4/2004　se enviarán los datos de todos los activos e instrumentos derivados con saldo vivo a 31 de marzo de 2016.

Cuando la entidad no pueda obtener alguno de los datos del estado M.11 para los activos recibidos antes del 1 de julio de 2014, porque no fuese exigible en la normativa aplicable y no lo tenga en su expediente ni lo pueda obtener fácilmente, podrá indicar Carga inicial. Dato no disponible» en la columna para la que no pueda facilitar el dato.»

«4. La adaptación del registro contable especial de operaciones hipotecarias a las modificaciones realizadas por la presente circular en la Circular 4/2004 deberá estar terminada antes del 30 de septiembre de 2015. Cuando la entidad no pueda obtener alguno de los datos de los apartados Garantía hipotecaria» y Datos de las tasaciones» para las garantías formalizadas antes del 1 de julio de 2014, porque no fuese exigible en la normativa aplicable y no lo tenga en su expediente ni lo pueda obtener fácilmente, podrá indicar Carga inicial. Dato no disponible» en la dimensión para la que no disponga del dato. Los datos del apartado Características del inmueble» del registro solo serán obligatorios para las garantías que se formalicen desde el 1 de julio de 2014.»

«5. La adaptación de la información relativa a activos adjudicados o recibidos en pago de deudas a la modificación realizada por la presente circular en la norma septuagésima segunda de la Circular 4/2004　deberá estar terminada antes del 30 de septiembre de 2015. Cuando la entidad no pueda obtener alguno de los datos para los activos recibidos antes del 1 de julio de 2014, porque no fuese exigible en la normativa aplicable y no lo tenga en su expediente ni lo pueda obtener fácilmente, podrá indicar Carga inicial. Dato no disponible» en la dimensión para la que no disponga del dato.»

7. En el anejo 1, Módulos de datos, se introducen las siguientes modificaciones:

a) En el módulo D.2, Datos básicos de los inmuebles recibidos en garantía, se añade la dimensión «Consideración del inmueble en la normativa europea aplicable para el cálculo del coeficiente de recursos propios» a continuación de la dimensión «Tipo de activo (inmueble)» y se suprimen las dimensiones «Uso polivalente» y «Uso actual de la finca rústica».

b) En el módulo H.6, Datos dinámicos relativos a requerimientos de recursos propios, se añade la dimensión «Exposición a pymes sujeta a factor reductor» a continuación de la dimensión «Exposición ponderada por riesgo».

8. En el anejo 2, Instrucciones para elaborar los módulos de datos, se introducen las siguientes modificaciones:

a) En la dimensión «Motivo por el que se declara a la persona» del módulo A.1, Datos que identifican a las personas, se realizan las siguientes modificaciones:

– Se añade el valor «Titulares de riesgos sin datos» antes de «Resto de las personas declarables».

– El contenido del valor «Titulares de riesgos (criterio general)» se sustituye por el siguiente:

«- Titulares de riesgos (criterio general): titulares de riesgos directos o indirectos, salvo que sean entidades declarantes o cumplan los criterios para declararlos como titulares de riesgos indirectos con datos no fácilmente accesibles o titulares de riesgos sin datos.»

– Antes del contenido de «Resto de las personas declarables» se añade el siguiente texto:

«- Titulares de riesgos sin datos: titulares de operaciones instrumentadas antes de la entrada en vigor de la presente circular cuando sea imposible obtener alguno de sus datos personales obligatorios a la fecha de la declaración. Los datos se comunicarán al Banco de España tan pronto los conozca la entidad.»

– En el párrafo que regula los datos mínimos que se han de declarar en el módulo A.1, se añade el siguiente guión antes del que figura «para el resto de personas declarables»:

«- Para los titulares de riesgos sin datos: todos los datos que les correspondan según el sector al que pertenezcan, salvo que sea imposible obtenerlos. En todo caso, se indicará, en su caso, la provincia de la persona.»

– Se añade el siguiente texto como antepenúltimo párrafo:

«Cuando no se disponga de alguno de los datos de las dimensiones con una lista cerrada de valores, se indicará «Sin dato.»

b) En la dimensión «Sector» del módulo A.1, Datos que identifican a las personas, se realizan las siguientes modificaciones:

– En «Bancos multilaterales de desarrollo» se sustituye el valor «Con actividades similares a bancos centrales» por «Instituciones financieras monetarias».

– Se añade antes de «Resto de los auxiliares financieros» el valor «Corredores y agentes de seguros».

– El segundo párrafo se sustituye por el siguiente texto:

«La inclusión en los sectores anteriores, excepto en los relativos a «Corredores y agentes de seguros y a «Sociedades no financieras, de entes, organismos o entidades residentes en España que no figuren en las relaciones informativas que publique el Banco de España en su sitio web de Internet para dichos sectores requerirá consulta por escrito al Banco de España (Dirección General de Regulación y Estabilidad Financiera).»

c) El contenido de la dimensión «Tamaño de la empresa» del módulo A.1, Datos que identifican a las personas, se sustituye por:

«Para las sociedades no financieras, se indicará su tamaño:

– Grande.

– Mediana.

– Pequeña.

– Microempresa.

La asignación de los valores anteriores se realizará aplicando los criterios de la Recomendación 2003/361/CE, de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas.

Para el resto de sectores, se indicará:

– No aplicable.»

d) En la dimensión «Motivo por el que se solicita un código para la persona» del módulo A.2, Solicitud de código de identificación de personas no residentes en España, se realizan las siguientes modificaciones:

– Se añade el valor «Titulares de riesgos sin datos» antes de «Titulares de riesgos diferentes de los anteriores y resto de las personas declarables», con el siguiente contenido:

«- Titulares de riesgos sin datos: titulares de operaciones instrumentadas antes de la entrada en vigor de la presente circular cuando sea imposible obtener alguno de sus datos personales obligatorios a la fecha de la declaración. Los datos se comunicarán al Banco de España tan pronto los conozca la entidad.»

– En el párrafo que regula los datos mínimos obligatorios que se han de declarar en el módulo A.2, se añade el siguiente guión antes del que figura «para los titulares de riesgos diferentes de los anteriores y resto de las personas declarables»:

«- Para los titulares de riesgos sin datos: todos los datos que les correspondan según el sector al que pertenezcan, salvo que sea imposible obtenerlos.»

– Se añade el siguiente texto como antepenúltimo párrafo:

«Cuando no se disponga de alguno de los datos de las dimensiones con una lista cerrada de valores, se indicará «Sin dato.»

e) En la dimensión «Naturaleza de la intervención en la operación» del módulo B.1, Datos básicos que relacionan a las personas con las operaciones, el valor «Entidad no declarante que gestiona la operación» se sustituye por «Entidad que gestiona la operación» y su contenido queda redactado como sigue:

«- Entidad que gestiona la operación: entidad que haya cedido los préstamos declarados, siempre que continúe con su gestión frente a los clientes. Este valor se indicará cuando la operación se declare como Adquisición manteniendo la gestión otra entidad» en la dimensión Origen de la operación» del módulo B.2, Datos básicos de las operaciones.»

f) En la dimensión «Tipo de producto» del modulo B.2, Datos básicos de las operaciones, se incluye el valor «Resto de las cuentas de corresponsalía» después de «Cuentas mutuas» y se añade la siguiente definición, también después de la relativa a «Cuentas mutuas»:

«- Resto de las cuentas de corresponsalía: saldos deudores de operaciones de corresponsalía que no cumplan los requisitos para calificarlas como cuentas mutuas.»

g) En la dimensión «Finalidad de la operación» del módulo B.2, Datos básicos de las operaciones, se realizan los siguientes cambios:

– En los apartados «b) Para el resto de los préstamos» y «c) Para los valores representativos de deuda» se añade el valor «Financiación de energías renovables» antes del último valor de dichos apartados.

– En el apartado g), relativo a los «avales y otras cauciones no financieros prestados» a personas jurídicas y hogares que realizan actividades empresariales, se realizan las siguientes modificaciones:

– El valor «Construcción de viviendas» se sustituye por «Cantidades anticipadas en la construcción y venta de viviendas».

– En el valor «Contratación de obras, servicios o suministros y concurrencia a subastas», se incluye el desglose «Contratación de obras de construcciones o promociones inmobiliarias», «Contratación de obras o concurrencia a subastas de construcción de obra civil» y «Contratación o concurrencia a subastas de servicios o suministros».

h) En la dimensión «Origen de la operación» del módulo B.2, Datos básicos de las operaciones, se realizan las siguientes modificaciones:

– Dentro de «Subrogación de acreedor», el valor «Procedente de otra entidad ajena al grupo económico» se sustituye por «Procedente de otra entidad declarante ajena al grupo económico» y «Procedente de otra entidad no declarante ajena al grupo económico».

– El valor «Adquisición manteniendo la gestión una entidad no declarante» se sustituye por «Adquisición manteniendo la gestión otra entidad» y su contenido queda redactado como sigue:

«- Adquisición manteniendo la gestión otra entidad: adquisición de préstamos mediante participaciones hipotecarias, certificados de transmisión hipotecaria u otro tipo de transferencias en las que la entidad cedente no es entidad declarante, o es una entidad declarante que no tenga que declarar de forma individualizada la operación a la CIR, y continúa con la gestión de los riesgos frente al titular.»

i) En el contenido de la dimensión «Financiaciones de construcciones o promociones inmobiliarias. Licencia» del módulo B.2, Datos básicos de las operaciones, se sustituye «d) Para el resto de las operaciones» por «Para el resto de las operaciones».

j) En módulo D.2, Datos básicos de los inmuebles recibidos en garantía, se suprimen las dimensiones «Uso polivalente» y «Uso actual de la finca rústica» y el contenido de la dimensión «Tipo de activo (inmuebles)» se sustituye por el siguiente texto:

«Tipo de inmueble que sirve de garantía o se ha cedido en arrendamiento financiero:

a) Edificios y elementos de edificios.

– Viviendas:

• Protegida.

• Libre de primera residencia.

• Libre de segunda residencia.

– Oficinas.

– Locales comerciales.

– Naves polivalentes.

– Naves no polivalentes.

– Plazas de garaje.

– Trasteros.

– Hoteles.

– Residencias de estudiantes o de la tercera edad.

– Resto de los edificios.

b) Otras construcciones.

– Otras construcciones.

c) Terrenos.

– Suelos urbanos o urbanizables.

– Fincas rústicas:

• En explotación.

• Resto.

– Resto de los terrenos.

La asignación de los valores anteriores se realizará utilizando los siguientes criterios:

– Viviendas: Viviendas unifamiliares o que formen parte de un edificio compuesto por más unidades, incluidas sus plazas de garaje y trasteros, así como los edificios o la parte de ellos que consista en viviendas.

– Oficinas: Oficinas individuales, así como los edificios o la parte de ellos que consista en oficinas.

– Locales comerciales: Locales comerciales individuales, así como los edificios o la parte de ellos que consista en locales comerciales.

– Naves polivalentes: Naves susceptibles de uso polivalente porque no incorporan características o elementos constructivos o normativos que limiten o dificulten su uso para diferentes actividades, sin grandes transformaciones o cambios, lo que puede facilitar su fácil realización en efectivo.

– Naves no polivalentes: Naves que no cumplan los criterios para calificarlas como de uso polivalente.

– Plazas de garaje y trasteros: Plazas de garaje y trasteros individuales, así como los edificios que consistan en este tipo de inmuebles.

– Hoteles y residencias de estudiantes o de la tercera edad: Edificios o partes de edificios destinados a dicho tipo de actividades.

– Resto de los edificios: Edificios o partes de edificios que no se tengan que incluir en alguno de los valores anteriores.

– Otras construcciones: Construcciones que no sean edificios o elementos de edificios (por ejemplo, amarres).

– Suelo urbano o urbanizable: Suelo clasificado urbanísticamente como urbano o urbanizable.

– Fincas rústicas: Suelo no urbano ni urbanizable autorizado para actividades de naturaleza agrícola, forestal, ganadera u otros usos compatibles. Las fincas se clasificarán en el valor que les corresponda en función de si están o no en explotación.

– Resto de los terrenos: Terrenos distintos de fincas rústicas y suelo urbano o urbanizable, tales como canteras, minas, etc.

Los inmuebles se clasificarán como edificios o elementos de edificios desde el momento en el que se inicie su construcción, aunque con posterioridad esta se paralice; mientras no se inicie efectivamente la construcción de los edificios, los inmuebles se clasificarán como terrenos, aunque se disponga de un proyecto para edificar sobre ellos.

Cuando se tenga que modificar el tipo de activo por haber cambiado su estatus, se comunicará reclasificación» como motivo del cambio.»

k) En el módulo D.2, Datos básicos de los inmuebles recibidos en garantía, se añade la dimensión «Consideración del inmueble en la normativa europea aplicable para el cálculo del coeficiente de recursos propios» a continuación de la dimensión «Tipo de activo (inmuebles)», con el siguiente contenido:

«Indica la consideración del inmueble recibido en garantía en la normativa europea aplicable para el cálculo del coeficiente de recursos propios:

– Residencial.

– Comercial.

– Resto de inmuebles.

La asignación de los valores anteriores se realizará utilizando los siguientes criterios:

– Residencial o comercial: inmuebles que se califican como tales en la normativa europea aplicable para el cálculo del coeficiente de recursos propios.

– Resto de inmuebles: inmuebles que no se pueden calificar como residenciales o comerciales conforme a la normativa europea aplicable para el cálculo del coeficiente de recursos propios.»

l) En la dimensión «Tipo de interés variable de referencia» del módulo E, Datos sobre tipos de interés, se suprime el valor «Tipo de activo de referencia de las cajas de ahorros», y el valor «Tipo medio de préstamos hipotecarios a más de tres años para adquisición de vivienda libre» con su desglose se sustituye por «Tipo medio de los préstamos hipotecarios a más de tres años, para adquisición de vivienda libre, concedidos por las entidades de crédito en España».

m) El contenido de la dimensión «Intereses devengados pendientes de vencimiento registrados en el activo» del modulo H.3, Datos dinámicos complementarios de los préstamos, se sustituye por:
«Importe de los intereses implícitos y explícitos devengados pendientes de vencimiento a la fecha a la que se refiere la declaración.»

n) En el módulo H.6, Datos dinámicos relativos a requerimientos de recursos propios, se añade la dimensión «Exposición a pymes sujeta a factor reductor» a continuación de la dimensión «Exposición ponderada por riesgo», con el siguiente contenido:

«Indica si al importe de la «Exposición ponderada por riesgo» se le ha aplicado el factor reductor contemplado para las pymes en la normativa europea aplicable para el cálculo del coeficiente de recursos propios:

– Sí

– No.»

9. En la dimensión «Garantía personal principal. Tipo de garantía personal principal» del anejo 3, Información de los riesgos que se facilitará a las entidades declarantes, se sustituye «Garantía de otra entidad declarante a la CIR» por «Garantía de entidad declarante a la CIR».

DISPOSICIÓN FINAL

Disposición final única. Entrada en vigor.-La presente circular entrará en vigor al día siguiente de su publicación.

Las modificaciones que afectan a la Circular 4/2004 se aplicarán con carácter retroactivo, en el sentido de la norma octava de la Circular 4/2004. Su primera aplicación se hará para los estados financieros del ejercicio que comienza el 1 de enero de 2014, excepto:

– Las modificaciones referidas a las normas decimocuarta, vigesimosegunda trigésima quinta y sexagésima de la Circular 4/2004, que se aplicarán para los estados financieros del ejercicio que comenzó el 1 de enero de 2013, y

– Las modificaciones introducidas en los estados públicos y reservados, que se aplicarán por primera vez en la declaración correspondiente a los datos de diciembre de 2013; y el nuevo estado M.14, que comenzará a rendirse con los datos relativos a marzo de 2014, continuando declarándose el estado T.13 hasta el correspondiente a diciembre de 2013, inclusive.

Las modificaciones que afectan a la Circular 1/2013 se aplicarán desde el 31 de diciembre de 2013.

EXPOSICIÓN DE MOTIVOS

El objetivo de la Directiva propuesta es garantizar un elevado nivel común de seguridad de las redes y de la información (SRI). Para ello es preciso aumentar la seguridad de Internet y de las redes y los sistemas de información privados que sustentan el funcionamiento de nuestras sociedades y economías. A fin de alcanzar dicho objetivo, es necesario, por una parte, instar a los Estados miembros a estar más preparados e incrementar la cooperación entre ellos, y, por otra, exigir a los operadores de infraestructuras críticas tales como la energía o los transportes, a los proveedores clave de servicios de la sociedad de la información (plataformas de comercio electrónico, redes sociales, etc.) y a las administraciones públicas que adopten las medidas oportunas para gestionar los riesgos de seguridad y notificar los incidentes graves a las autoridades nacionales competentes.

Esta propuesta se presenta en relación con la Comunicación conjunta de la Comisión y la Alta Representante de la Unión para Asuntos Exteriores y Política de Seguridad sobre una estrategia europea de ciberseguridad. La finalidad de dicha estrategia es garantizar un entorno digital seguro y fiable, sin olvidar la promoción y la protección de los derechos fundamentales y otros valores esenciales de la UE. La presente propuesta es el principal instrumento de la estrategia, que en este ámbito incluye asimismo otras medidas centradas en la concienciación, el desarrollo de un mercado interior de productos y servicios de ciberseguridad, y el fomento de las inversiones en I+D. Estas medidas se complementarán con otras destinadas a intensificar la lucha contra la ciberdelincuencia y elaborar una política internacional de ciberseguridad para la UE.

1.1.- Motivación y objetivos de la propuesta

La SRI está adquiriendo una importancia creciente para nuestra economía y nuestra sociedad.

También es un requisito previo imprescindible para crear un entorno fiable para el comercio mundial de servicios. Los sistemas de información, empero, pueden verse afectados por incidentes relacionados con la seguridad tales como errores humanos, fenómenos naturales, fallos técnicos o ataques malintencionados. La envergadura, frecuencia y complejidad de estos incidentes es cada vez mayor. Según la consulta pública en línea de la Comisión sobre la mejora de la seguridad de las redes y de la información en la UE (1), el 57% de los participantes en ella habían sufrido a lo largo del año anterior incidentes de SRI que habían tenido graves consecuencias en sus actividades. La falta de SRI puede llegar a comprometer servicios vitales que dependen de la integridad de las redes y los sistemas de información, interrumpiendo las actividades de las empresas, generando cuantiosas pérdidas financieras para la economía de la UE e incidiendo negativamente en el bienestar de la sociedad.

Por otra parte, al tratarse de instrumentos de comunicación sin fronteras, los sistemas de información digitales —y en particular Internet— están interconectados entre los Estados miembros y contribuyen decisivamente a facilitar la circulación transfronteriza de bienes, servicios y personas. Un problema grave de estos sistemas en un Estado miembro puede afectar a otros Estados miembros y a la UE en su conjunto. Por consiguiente, la resiliencia y la estabilidad de las redes y los sistemas de información revisten suma importancia para la realización del mercado único digital y el buen funcionamiento del mercado interior. La mayor probabilidad o frecuencia de los incidentes y la incapacidad de ofrecer protección suficiente minan asimismo la confianza de los ciudadanos en los servicios de red e información. Así, por ejemplo, el Eurobarómetro de 2012 sobre ciberseguridad señalaba que al 38% de los usuarios de Internet en la UE le preocupa la seguridad de los pagos en línea y ha modificado su comportamiento en consecuencia: probablemente un 18% comprará menos en Internet y un 15% no utilizará tanto los servicios bancarios en línea (2).

La situación actual en la UE es reflejo del planteamiento meramente voluntario seguido hasta el momento, que no ofrece protección suficiente frente a incidentes y riesgos relacionados con la SRI en la UE. Las capacidades y mecanismos de SRI actuales son sencillamente insuficientes para seguir el ritmo de unas amenazas en rápida mutación y garantizar un nivel elevado de protección igual en todos los Estados miembros.

Pese a las iniciativas emprendidas, los niveles de capacidad y preparación de los Estados miembros son muy distintos y dan lugar a enfoques fragmentados en la UE. Al estar redes y sistemas interconectados, la SRI global de la UE se ve perjudicada por esos Estados miembros cuyo nivel de protección es insuficiente. Esta situación dificulta asimismo la creación de lazos de confianza entre homólogos, requisito previo para la cooperación y el intercambio de información. Como consecuencia de ello, solamente mantienen relaciones de cooperación unos pocos Estados miembros con elevado nivel de capacidades.

Actualmente no existe, por tanto, un mecanismo efectivo a escala de la UE que haga posible una labor de cooperación y colaboración eficaz y un intercambio de información de confianza sobre incidentes y riesgos de SRI entre los Estados miembros. Estas carencias pueden dar lugar a intervenciones reglamentarias no coordinadas, estrategias incoherentes y normas divergentes, que a su vez llevan aparejada una protección insuficiente ante los problemas de SRI en toda la UE. Pueden incluso surgir obstáculos al mercado interior que generen gastos de observancia a las empresas que operan en más de un Estado miembro.

Por último, a los agentes que gestionan infraestructuras críticas o prestan servicios esenciales para el funcionamiento de nuestras sociedades no se les han impuesto las oportunas obligaciones de adoptar medidas de gestión de riesgos ni de intercambiar información con las autoridades competentes. Así pues, por una parte, no se ofrecen a las empresas incentivos reales para proceder a una gestión de riesgos como es debido, con una evaluación del riesgo y la adopción de medidas adecuadas para garantizar la SRI. Por otra parte, un elevado porcentaje de incidentes no llega a conocimiento de las autoridades competentes y pasa desapercibido. Y, sin embargo, la información sobre los incidentes es esencial para que las autoridades públicas reaccionen, adopten las medidas de atenuación apropiadas y fijen las prioridades estratégicas oportunas en materia de SRI.

El actual marco regulador solamente obliga a las empresas de telecomunicaciones a adoptar medidas de gestión de riesgos y a notificar los incidentes graves que ponen en peligro la SRI.

No obstante, hay muchos otros sectores cuyo desarrollo depende de las TIC y que, por ende, deberían también prestar la debida atención a la SRI. Algunos proveedores de infraestructuras y servicios específicos son especialmente vulnerables al ser muy dependientes del correcto funcionamiento de las redes y los sistemas de información. Tales sectores desempeñan una función primordial, pues prestan servicios de apoyo cruciales para nuestra economía y nuestra sociedad, y la seguridad de sus sistemas reviste especial importancia para el funcionamiento del mercado interior. Entre estos sectores cabe citar la banca, la bolsa, la generación, el transporte y la distribución de energía, los transportes (aéreo, ferroviario y marítimo), la sanidad, los servicios de Internet y las administraciones públicas.

Así pues, en la UE hay que abordar la SRI de forma radicalmente distinta. Es necesario imponer obligaciones reglamentarias para establecer condiciones uniformes y colmar las actuales lagunas jurídicas. A fin de hacer frente a estos problemas e incrementar el nivel de SRI en toda la Unión Europea, la Directiva propuesta fija los objetivos que a continuación se exponen.

En primer lugar, la propuesta impone a todos los Estados miembros la obligación de velar por que exista un nivel mínimo de capacidades nacionales mediante la designación de autoridades competentes en materia de SRI, la creación de equipos de respuesta a emergencias informáticas (CERT) y la adopción de estrategias y planes de cooperación nacionales en el ámbito de la SRI.

En segundo lugar, las autoridades nacionales competentes deberán cooperar dentro de una red que garantice una coordinación segura y eficaz y, en particular, un intercambio coordinado de información y unas labores de detección y respuesta a escala de la UE. A través de esta red, los Estados miembros deberán intercambiar información y cooperar para hacer frente a las amenazas e incidentes que puedan poner en peligro la SRI sobre la base del plan de cooperación europeo en materia de SRI.

En tercer lugar, siguiendo el modelo de la Directiva Marco sobre las comunicaciones electrónicas, la propuesta pretende implantar una cultura de gestión de riesgos y garantizar el intercambio de información entre los sectores público y privado. Las empresas de los sectores críticos concretos antes citados y las administraciones públicas deberán evaluar los riesgos a que se enfrentan y adoptar medidas adecuadas y proporcionadas para garantizar la SRI. Estas empresas deberán notificar a las autoridades competentes todos los incidentes que supongan un peligro grave para el funcionamiento de sus redes y sistemas de información y comprometan de forma significativa la continuidad de los servicios críticos y el suministro de mercancías.

1.2.- Contexto general

Ya en su Comunicación de 2001 titulada Seguridad de las redes y de la información:

Propuesta para un enfoque político europeo, la Comisión destacaba la creciente importancia de la SRI (3).

Posteriormente, en 2006 se adoptó una estrategia para una sociedad de la información segura (4), que tenía como objetivo desarrollar una cultura de SRI en Europa. Sus principales aspectos fueron aprobados en una Resolución del Consejo (5).

El 30 de marzo de 2009, la Comisión adoptó una Comunicación sobre protección de infraestructuras críticas de información (PICI) (6), cuya finalidad era proteger a Europa de las ciberperturbaciones impulsando una mayor seguridad. En dicha Comunicación se presentaba un plan de acción para respaldar a los Estados miembros en sus esfuerzos de prevención y respuesta. El plan de acción se aprobó en las Conclusiones de la Presidencia de la Conferencia Ministerial sobre PICI celebrada en Tallin en 2009. El 18 de diciembre de 2009, el Consejo adoptó una Resolución relativa a un planteamiento de colaboración en materia de seguridad de las redes y de la información (7).

La Agenda Digital para Europa (ADE) (8), adoptada en mayo de 2010, y las conclusiones del Consejo correspondientes (9) ponían de relieve la convicción común de que la confianza y la seguridad son condiciones previas fundamentales para la adopción a gran escala de las TIC y, por ende, para el logro de los objetivos de una de las dimensiones de la Estrategia Europa 2020, la denominada «crecimiento inteligente» (10). En su capítulo dedicado a la confianza y la seguridad, la ADE insistía en la necesidad de que todas las partes interesadas se unieran en un esfuerzo conjunto para garantizar la seguridad y la resiliencia de las infraestructuras de las TIC, centrándose en la prevención, la preparación y la sensibilización al objeto de desarrollar unos mecanismos de seguridad eficaces y coordinados. En particular, la acción clave 6 de la Agenda Digital para Europa instaba a adoptar medidas encaminadas a conseguir una política de SRI reforzada y de alto nivel.

En su Comunicación de marzo de 2011 sobre la protección de infraestructuras críticas de información titulada Logros y próximas etapas: hacia la ciberseguridad global (11), la Comisión hacía balance de los resultados logrados desde la adopción del plan de acción sobre la PICI en 2009 y concluía que la aplicación del plan demostraba que los enfoques puramente nacionales no bastaban para abordar cuestiones de seguridad y resiliencia y que Europa debía seguir esforzándose por construir una estrategia coherente y cooperativa para toda la UE. En la Comunicación sobre la PICI de 2011 se anunciaba una serie de medidas y la Comisión instaba a los Estados miembros a crear capacidades y mantener una cooperación transfronteriza en materia de SRI. La mayor parte de esas medidas tenía que haberse completado en 2012, pero aún no se ha llevado a la práctica.

En sus conclusiones de 27 de mayo de 2011 sobre la PICI, el Consejo de la Unión Europea subrayaba la acuciante necesidad de contar con unos sistemas y redes de TIC resilientes y seguros frente a todas las perturbaciones posibles, accidentales o intencionadas, lograr en toda la UE un nivel elevado de preparación, seguridad y resiliencia, mejorar las competencias técnicas a fin de que Europa pueda responder a los desafíos en materia de protección de las redes y las infraestructuras de información, e impulsar la cooperación entre los Estados miembros mediante el establecimiento de mecanismos de cooperación ante incidentes.

1.3.- Disposiciones internacionales y de la Unión Europea existentes en este ámbito

En virtud del Reglamento (CE) nº 460/2004, la Comunidad Europea creó en 2004 la Agencia Europea de Seguridad de las Redes y de la Información (ENISA) (12) con el fin de contribuir a garantizar un elevado nivel de SRI y desarrollar una cultura en este ámbito en toda la UE. El 30 de septiembre de 2010 se adoptó una propuesta para modernizar el mandato de la ENISA (13), que se está debatiendo actualmente en el Consejo y el Parlamento Europeo. El marco regulador revisado de los servicios de comunicaciones electrónicas (14), en vigor desde noviembre de 2009, impone obligaciones en materia de seguridad a los proveedores de servicios de comunicaciones electrónicas (15). Dichas obligaciones tenían que estar incorporadas a los ordenamientos jurídicos nacionales en mayo de 2011.

El marco regulador de protección de datos (16) obliga a todos los agentes que actúan como responsables del tratamiento de los datos (por ejemplo, bancos u hospitales) a implantar medidas de seguridad para proteger los datos personales. Asimismo, la propuesta de Reglamento general de protección de datos (17), presentada por la Comisión en 2012, establece que los responsables del tratamiento deben notificar los casos de violación de datos personales a las autoridades nacionales de control. Así pues, una violación de la SRI que afectara a la prestación de un servicio sin comprometer datos personales (por ejemplo, una avería de las TIC en una compañía eléctrica que ocasionara la interrupción del servicio) no debería notificarse.

Al amparo de la Directiva 2008/114/CE sobre la identificación y designación de infraestructuras críticas europeas y la evaluación de la necesidad de mejorar su protección, el Programa Europeo de Protección de Infraestructuras Críticas (PEPIC) (18) establece el marco global para la protección de las infraestructuras críticas en la UE. Los objetivos del PEPIC coinciden plenamente con los de la presente propuesta y la Directiva debería aplicarse sin perjuicio de la Directiva 2008/114/CE. El PEPIC no obliga a los operadores a notificar violaciones significativas de la seguridad ni establece mecanismos para que los Estados miembros cooperen y respondan ante los incidentes que se produzcan.

Los colegisladores están examinando actualmente la propuesta de Directiva de la Comisión relativa a los ataques contra los sistemas de información19, que tiene como objetivo armonizar la tipificación como delitos de determinados tipos de conducta. Dicha propuesta abarca solamente la tipificación de determinados tipos de conducta y no aborda la prevención de riesgos e incidentes de SRI, la respuesta a los incidentes de SRI ni la atenuación de sus efectos. La presente Directiva debe aplicarse sin perjuicio de la Directiva relativa a los ataques contra los sistemas de información.

El 28 de marzo de 2012, la Comisión adoptó una Comunicación sobre la creación de un centro europeo de ciberdelincuencia (EC3) (20). Este Centro, creado el 11 de enero de 2013, está integrado en la Oficina Europea de Policía (Europol) y funcionará como punto central en la lucha contra la ciberdelincuencia en la UE. El EC3 está destinado a aunar los conocimientos sobre ciberdelincuencia europeos para contribuir a la capacitación de los Estados miembros, a prestar apoyo a los Estados miembros en investigaciones de ciberdelincuencia y, en estrecha cooperación con Eurojust, a ser la voz colectiva de los investigadores de ciberdelincuencia europeos ante los organismos de orden público y el estamento judicial.

Las instituciones, agencias y organismos europeos han creado su propio equipo de respuesta a emergencias informáticas, denominado CERT-UE.

A escala internacional, la UE desarrolla actividades bilaterales y multilaterales en el ámbito de la ciberseguridad. Con motivo de la Cumbre UE-EE.UU. de 2010 (21), se creó el Grupo de Trabajo UE-EE.UU. sobre Ciberseguridad y Ciberdelincuencia. La UE también participa en otros foros multilaterales tales como la Organización de Cooperación y Desarrollo Económicos (OCDE), la Asamblea General de las Naciones Unidas (AGNU), la Unión Internacional de Telecomunicaciones (UIT), la Organización para la Seguridad y la Cooperación en Europa (OSCE), la Cumbre Mundial sobre la Sociedad de la Información (CMSI) y el Foro para la Gobernanza de Internet (IGF).

2.- RESULTADOS DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO

2.1.- Consulta con las partes interesadas y utilización de asesoramiento técnico

Del 23 de julio al 15 de octubre de 2012 estuvo abierta en línea una consulta pública sobre la mejora de la SRI en la UE. La Comisión recibió un total de 160 respuestas al cuestionario en línea.

La principal conclusión que puede extraerse de esas respuestas es el reconocimiento generalizado de la necesidad de aumentar la SRI en toda la UE. Más concretamente, el 82,8% de los participantes en la consulta señala que los Gobiernos de la UE deberían adoptar más medidas para garantizar un elevado nivel de SRI; también el 82,8% opina que los usuarios de sistemas de información no son conscientes de las amenazas e incidentes de SRI existentes; el 66,3% estaría, en principio, a favor de la introducción de requisitos reglamentarios para gestionar los riesgos de SRI; y el 84,8% afirma que tales requisitos se han de establecer a escala de la UE. Muchas respuestas indican que sería importante adoptar requisitos de SRI en los siguientes sectores específicos: banca y finanzas (91,1%), energía (89,4%), transportes (81,7%), sanidad (89,4%), servicios de Internet (89,1%) y administraciones públicas (87,5%). Los participantes en la consulta también consideran que, de introducirse la obligación de notificar violaciones de la SRI a la autoridad nacional competente, sería preciso hacerlo a escala de la UE (65,1%) y estiman que las administraciones públicas también han de estar sujetas a esa obligación (93,5%). Por último, afirman que la obligación de proceder a la gestión de riesgos de SRI de acuerdo con los conocimientos tecnológicos actuales no les supondría costes adicionales significativos (63,4%), como tampoco se los supondría la obligación de notificar violaciones de la seguridad (72,3%).

Se consultó a los Estados miembros en varias formaciones del Consejo, en el contexto del Foro Europeo de Estados Miembros (EFMS) en la Conferencia sobre Ciberseguridad organizada por la Comisión y el Servicio Europeo de Acción Exterior el 6 de julio de 2012, así como en reuniones bilaterales dedicadas a este tema que se convocaron a petición de algunos Estados miembros.

También se entablaron conversaciones con el sector privado en el marco de la Asociación público-privada europea de resiliencia (22) y a través de reuniones bilaterales. En cuanto al sector público, la Comisión mantuvo contactos con la ENISA y el CERT de las instituciones de la UE.

2.2.- Evaluación de impacto

La Comisión ha efectuado una evaluación de impacto con respecto a tres opciones de actuación:

1ª opción: Mantenimiento del enfoque actual (hipótesis de referencia).

2ª opción: Enfoque reglamentario, con la presentación de una propuesta legislativa que establezca un marco jurídico común en materia de SRI para toda la UE y abarque las capacidades de los Estados miembros, los mecanismos de cooperación a escala de la UE y los requisitos que han de cumplir los principales agentes del sector privado y las administraciones públicas.

3ª opción: Enfoque mixto que combine las iniciativas de carácter voluntario en lo que respecta a las capacidades de los Estados miembros en el ámbito de la SRI y los mecanismos de cooperación a escala de la UE con requisitos reglamentarios aplicables a los principales agentes del sector privado y las administraciones públicas.

En opinión de la Comisión, la 2ª opción es la que puede tener mayores efectos positivos, pues incrementaría considerablemente la protección de consumidores, empresas y administraciones de la UE frente a los incidentes de SRI. Más concretamente, las obligaciones impuestas a los Estados miembros garantizarían la debida preparación a escala nacional y contribuirían a lograr un clima de confianza mutua, que es condición previa para una cooperación eficaz en la UE. La creación de mecanismos de cooperación a escala de la UE a través de una red facilitaría la adopción de medidas de prevención y respuesta coherentes y coordinadas ante incidentes y riesgos de SRI de carácter transfronterizo. Imponer a las administraciones públicas y a los principales agentes del sector privado la obligación de aplicar medidas de gestión de riesgos en el ámbito de la SRI supondría un poderoso incentivo para hacer frente con eficacia a los riesgos de seguridad. La obligación de notificar los incidentes de SRI con efectos significativos mejoraría la capacidad de respuesta a incidentes y fomentaría la transparencia. Por lo demás, al poner sus propios asuntos en orden, la UE podría ampliar su influencia internacional y convertirse en un socio todavía más fiable en las labores de cooperación bilateral y multilateral. Así pues, la UE se encontraría mejor situada para promover los derechos fundamentales y los valores esenciales de la Unión en el exterior.

La evaluación cuantitativa muestra que la 2ª opción no impondría una carga desproporcionada a los Estados miembros. Los costes que generaría para el sector privado también serían limitados por cuanto muchas de las entidades en cuestión ya están obligadas a cumplir los requisitos de seguridad existentes (los responsables del tratamiento de datos deben adoptar medidas técnicas y de organización, entre ellas medidas de SRI, para proteger los datos personales). También se han tomado en consideración los gastos de seguridad actuales en el sector privado.

La presente propuesta observa los principios reconocidos por la Carta de los Derechos Fundamentales de la Unión Europea y, en particular, el derecho al respeto de la vida privada y las comunicaciones, el derecho a la protección de los datos de carácter personal, el derecho a la libertad de empresa, el derecho a la propiedad, el derecho a una tutela judicial efectiva y el derecho a ser oído. La presente Directiva se deberá aplicar de acuerdo con estos derechos y principios.

3.- ASPECTOS JURÍDICOS DE LA PROPUESTA

3.1.- Base jurídica

La Unión Europea posee competencias para adoptar medidas destinadas a establecer el mercado interior o garantizar su funcionamiento, de conformidad con las disposiciones pertinentes de los Tratados (artículo 26 del Tratado de Funcionamiento de la Unión Europea — TFUE). En virtud del artículo 114 del TFUE, la UE puede adoptar «medidas relativas a la aproximación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros que tengan por objeto el establecimiento o el funcionamiento del mercado interior».

Como ya se ha indicado, las redes y los sistemas de información contribuyen de forma decisiva a facilitar la circulación transfronteriza de bienes, servicios y personas. A menudo están interconectados y huelga decir que la Internet tiene carácter global. Dada su dimensión transnacional intrínseca, una perturbación en un Estado miembro puede afectar también a otros Estados miembros y a la UE en su conjunto. Por consiguiente, la resiliencia y la estabilidad de las redes y los sistemas de información son esenciales para el buen funcionamiento del mercado interior.

El legislador de la UE ya ha reconocido la necesidad de armonizar las normas de SRI para asegurar el desarrollo del mercado interior. Cabe destacar a este respecto el Reglamento (CE) nº 460/2004 por el que se crea la ENISA (23), basado en el artículo 114 del TFUE.

Las grandes diferencias entre Estados miembros en lo que a capacidades, políticas y niveles de protección en materia de SRI se refiere han dado lugar a disparidades que representan un obstáculo para el mercado interior y justifican la actuación de la UE.

3.2.- Subsidiariedad

La intervención europea en el campo de la SRI está justificada por el principio de subsidiariedad.

En primer lugar, dado el carácter transfronterizo de la SRI, de no intervenir la UE, cada Estado miembro actuaría por su cuenta, haciendo caso omiso de las interdependencias entre las redes y los sistemas de información de la UE. Un grado suficiente de coordinación entre los Estados miembros garantizaría una gestión correcta de los riesgos de SRI en el contexto transfronterizo en que surgen. Las divergencias entre las normativas sobre SRI representan una barrera para las empresas que quieren desarrollar sus actividades en varios países y para la consecución de economías de escala a nivel mundial.

En segundo lugar, es preciso imponer obligaciones reglamentarias a escala de la UE para lograr condiciones uniformes y colmar las lagunas jurídicas. Se ha demostrado que los planteamientos de carácter meramente voluntario dan lugar a una cooperación limitada a una minoría de Estados miembros con elevado nivel de capacidades. Para conseguir la participación de todos los Estados miembros, es necesario cerciorarse de que todos ellos poseen el nivel mínimo de capacidades requerido. Las medidas adoptadas por los Gobiernos para garantizar la SRI han de guardar coherencia unas con otras y estar coordinadas de modo que sea posible contener y reducir al mínimo las consecuencias de incidentes que pongan en peligro la SRI. En el marco de la red, a través del intercambio de las mejores prácticas y de la colaboración permanente de la ENISA, las autoridades competentes y la Comisión cooperarán para facilitar una aplicación convergente de la Directiva en toda la UE. Además, las intervenciones concertadas en defensa de la SRI pueden contribuir de forma muy positiva a la protección efectiva de los derechos fundamentales, y en especial del derecho a la protección de los datos de carácter personal y a la intimidad. Una actuación a escala de la UE aumentaría por tanto la eficacia de las políticas nacionales vigentes y facilitaría su desarrollo.

Las medidas propuestas también quedan justificadas por el principio de proporcionalidad. Las obligaciones que han de cumplir los Estados miembros se fijan en el nivel mínimo necesario para lograr una preparación adecuada y posibilitar una cooperación basada en la confianza.

Ello permite a los Estados miembros tomar debidamente en consideración las particularidades nacionales y garantiza la aplicación de los principios comunes de la UE de forma proporcionada. Gracias al amplio alcance de la Directiva, los Estados miembros podrán aplicarla en función de los riesgos reales que existan a escala nacional, expuestos en la estrategia nacional de SRI. La gestión de riesgos obligatoria solamente es aplicable a las entidades críticas e impone medidas proporcionales a los riesgos. En la consulta pública se destacaba la importancia de garantizar la seguridad de esas entidades críticas. Las obligaciones en materia de notificación únicamente se impondrían con respecto a los incidentes con efectos significativos. Como ya se ha señalado anteriormente, las medidas no ocasionarían gastos desproporcionados, ya que muchas de esas entidades que actúan como responsables del tratamiento ya están obligadas a asegurar la protección de los datos personales por la normativa de protección de datos vigente.

Para no imponer una carga desproporcionada a los pequeños operadores, y en especial a las pymes, los requisitos son proporcionales a los riesgos que presentan la red o el sistema de información de que se trate y no son aplicables a las microempresas. Las entidades sujetas a esas obligaciones deberán, en primer lugar, determinar los riesgos existentes y, a continuación, decidir las medidas que deban adoptarse para atenuarlos.

Los objetivos señalados pueden alcanzarse mejor a escala de la UE que de los Estados miembros, habida cuenta de los aspectos transfronterizos de los riesgos e incidentes de SRI.

Por tanto, la UE puede adoptar medidas con arreglo al principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad, la Directiva propuesta no excede de lo necesario para alcanzar esos objetivos.

Para alcanzar los objetivos, la Comisión debe ser autorizada a adoptar actos delegados, de conformidad con el artículo 290 del Tratado de Funcionamiento de la Unión Europea, al objeto de completar o modificar determinados elementos no esenciales del acto de base. Con la propuesta de la Comisión también se pretende respaldar un proceso de proporcionalidad en la aplicación de las obligaciones impuestas a los operadores públicos y privados.

A fin de garantizar condiciones uniformes de aplicación del acto de base, deben conferirse a la Comisión competencias para adoptar actos de ejecución con arreglo al artículo 291 del Tratado de Funcionamiento de la Unión Europea.

Teniendo presentes, en particular, el amplio alcance de la Directiva propuesta, el hecho de que afecta a ámbitos fuertemente regulados y las obligaciones jurídicas que se derivan de su capítulo IV, se considera necesario que se adjunten documentos explicativos a la notificación de las medidas de transposición. De conformidad con la Declaración política conjunta de los Estados miembros y de la Comisión sobre los documentos explicativos de 28 de septiembre de 2011, los Estados miembros se han comprometido a adjuntar a la notificación de sus medidas de transposición, cuando esté justificado, uno o varios documentos que expliquen la relación entre los elementos de una directiva y las partes correspondientes de los instrumentos nacionales de transposición. Por lo que respecta a la presente Directiva, el legislador considera que la transmisión de tales documentos está justificada.

4.- REPERCUSIONES PRESUPUESTARIAS

La cooperación y el intercambio de información entre los Estados miembros precisan infraestructuras seguras. La propuesta solamente tendrá repercusiones en el presupuesto de la UE si los Estados miembros optan por adaptar las infraestructuras existentes (por ejemplo, s-TESTA) y encomiendan las labores de ejecución a la Comisión dentro del MFP para el período 2014-2020. Se calcula que el coste único ascenderá a 1.250.000 EUR y se imputará al presupuesto de la UE, en la línea presupuestaria 09.03.02 (promover la interconexión y la interoperabilidad de los servicios públicos nacionales en línea, así como el acceso a estas redes — Capítulo 09.03, Mecanismo «Conectar Europa» — redes de telecomunicaciones), siempre que existan fondos disponibles en dicho Mecanismo. Los Estados miembros pueden compartir el coste único de adaptar las infraestructuras existentes o decidir crear nuevas infraestructuras y correr con los gastos de las mismas, que se estiman en unos 10 millones EUR anuales.

2013/0027 (COD)

Propuesta de DIRECTIVA DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativa a medidas para garantizar un elevado nivel común de seguridad de las redes y de la información en la Unión

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo (24),

Previa consulta al Supervisor Europeo de Protección de Datos,

De conformidad con el procedimiento legislativo ordinario,

Considerando lo siguiente:

(1) Las redes y los sistemas y servicios de información desempeñan un papel crucial en la sociedad. Su fiabilidad y seguridad son esenciales para la actividad económica y el bienestar social y, en particular, para el funcionamiento del mercado interior.

(2) La magnitud y la frecuencia de los incidentes de seguridad, ya sean deliberados o accidentales, se están incrementando y representan una grave amenaza para el funcionamiento de las redes y los sistemas de información. Tales incidentes pueden interrumpir las actividades económicas, generar considerables pérdidas financieras, minar la confianza del usuario y causar grandes daños a la economía de la Unión.

(3) Al ser instrumentos de comunicación sin fronteras, los sistemas de información digitales —y sobre todo Internet— contribuyen decisivamente a facilitar la circulación transfronteriza de bienes, servicios y personas. Dado su carácter transnacional, una perturbación grave de esos sistemas en un Estado miembro puede afectar también a otros Estados miembros y a la Unión en su conjunto. Por consiguiente, la resiliencia y la estabilidad de las redes y los sistemas de información son fundamentales para el correcto funcionamiento del mercado interior.

(4) Es conveniente crear a escala de la Unión un mecanismo de cooperación que propicie el intercambio de información y una detección y respuesta coordinadas en relación con la seguridad de las redes y de la información (en lo sucesivo, «SRI»). Para que dicho mecanismo sea eficaz e integrador, es esencial que todos los Estados miembros posean unas capacidades mínimas y una estrategia que aseguren un elevado nivel de SRI en su territorio. Asimismo, procede imponer a las administraciones públicas y a los operadores de infraestructuras críticas de información requisitos mínimos en materia de seguridad para fomentar una cultura de gestión de riesgos y garantizar la notificación de los incidentes más graves.

(5) Para abarcar todos los incidentes y riesgos pertinentes, la presente Directiva debe aplicarse a todas las redes y a todos los sistemas de información. No obstante, las obligaciones impuestas a las administraciones públicas y a los operadores del mercado no deberían ser aplicables a las empresas que suministran redes públicas de comunicaciones o prestan servicios de comunicaciones electrónicas disponibles para el público con arreglo a la Directiva 2002/21/CE del Parlamento Europeo y del Consejo, de 7 de marzo de 2002, relativa a un marco regulador común de las redes y los servicios de comunicaciones electrónicas (Directiva Marco) (25), que están sujetas a los requisitos específicos de seguridad e integridad establecidos en el artículo 13 bis de dicha Directiva, ni tampoco a los proveedores de servicios de confianza.

(6) Las capacidades existentes no bastan para garantizar un elevado nivel de SRI en la Unión. Los niveles de preparación de los Estados miembros son muy distintos, lo que da lugar a enfoques fragmentarios en la Unión. Esta situación engendra desiguales niveles de protección de los consumidores y las empresas, comprometiendo el nivel general de SRI de la Unión. A su vez, la inexistencia de requisitos mínimos comunes para las administraciones públicas y los operadores del mercado imposibilita la creación de un mecanismo global y efectivo de cooperación en la Unión.

(7) Para responder con eficacia a los problemas de seguridad de las redes y los sistemas de información es, pues, necesario un planteamiento global a escala de la Unión que integre requisitos mínimos comunes en materia de desarrollo de capacidades y planificación, actividades de intercambio de información y coordinación de medidas, así como requisitos mínimos comunes de seguridad para todos los operadores del mercado interesados y las administraciones públicas.

(8) Las disposiciones de la presente Directiva no han de obstar para que los Estados miembros adopten las medidas necesarias para asegurar la protección de sus intereses esenciales en materia de seguridad, salvaguardar el orden público y la seguridad pública, y permitir la investigación, detección y represión de delitos. De conformidad con el artículo 346 del TFUE, ningún Estado miembro debe estar obligado a facilitar información cuya divulgación considere contraria a los intereses esenciales de su seguridad.

(9) A fin de alcanzar y mantener un elevado nivel común de seguridad de las redes y los sistemas de información, los Estados miembros deben disponer de sendas estrategias nacionales de SRI que fijen los objetivos estratégicos y las medidas concretas que haya que aplicar. Deben elaborarse a escala nacional planes de cooperación en el ámbito de la SRI que cumplan los requisitos esenciales para así lograr niveles de capacidad de respuesta que hagan posible una cooperación efectiva y eficaz a escala nacional y de la Unión ante los incidentes que se produzcan.

(10) Con miras a una aplicación efectiva de las disposiciones adoptadas de conformidad con la presente Directiva, procede crear o designar en cada uno de los Estados miembros un organismo que coordine las cuestiones relacionadas con la SRI y actúe como centro de referencia nacional a efectos de cooperación transfronteriza a escala de la Unión. Estos organismos deben disponer de recursos técnicos, financieros y humanos suficientes para poder desempeñar efectiva y eficazmente las tareas que se les encomienden y alcanzar de este modo los objetivos de la presente Directiva.

(11) Todos los Estados miembros deben disponer de capacidades técnicas y de organización suficientes para poder adoptar las medidas de prevención, detección, respuesta y atenuación oportunas ante los incidentes y riesgos que puedan afectar a las redes y los sistemas de información. Por consiguiente, procede crear en todos los Estados miembros equipos de respuesta a emergencias informáticas que funcionen correctamente y cumplan los requisitos esenciales para así disponer de capacidades efectivas y compatibles que permitan hacer frente a incidentes y riesgos y garantizar una cooperación eficaz a escala de la Unión.

(12) Sobre la base de los significativos avances logrados en el marco del Foro Europeo de Estados Miembros («EFMS») merced a los debates e intercambios sobre mejores prácticas, incluida la elaboración de principios de cooperación europea ante crisis cibernéticas, los Estados miembros y la Comisión deberían crear una red que los mantuviera en comunicación permanente y respaldara su cooperación. Se espera que este mecanismo seguro y efectivo de comunicación permita estructurar y coordinar a escala de la Unión las labores de intercambio de información, detección y respuesta.

(13) Es conveniente que la Agencia Europea de Seguridad de las Redes y de la Información («ENISA») preste asistencia a los Estados miembros y a la Comisión ofreciéndoles su experiencia, conocimientos y asesoramiento y facilitando el intercambio de mejores prácticas. En particular, la Comisión debe consultar a la ENISA a la hora de aplicar la presente Directiva. A fin de facilitar información eficaz y oportuna a los Estados miembros y la Comisión, deben lanzarse alertas tempranas sobre incidentes y riesgos en el marco de la red de cooperación. Al objeto de desarrollar capacidades y conocimientos entre los Estados miembros, la red de cooperación debe servir también de instrumento para el intercambio de mejores prácticas, ayudando a sus miembros a desarrollar capacidades y dirigiendo la organización de revisiones por homólogos y ejercicios de SRI.

(14) Es oportuno crear infraestructuras seguras para el intercambio de información delicada y confidencial en el marco de la red de cooperación. Sin perjuicio de la obligación de notificar a la red de cooperación los incidentes y riesgos que afecten a toda la Unión, el acceso a la información confidencial de otros Estados miembros solo debe permitirse a los Estados miembros que demuestren que sus recursos técnicos, financieros y humanos y sus procedimientos, así como sus infraestructuras de comunicación, garantizan su participación efectiva, eficiente y segura en la red.

(15) La cooperación entre los sectores público y privado reviste importancia esencial por cuanto la mayor parte de las redes y sistemas de información es de titularidad privada. Conviene alentar a los operadores del mercado a crear sus propios mecanismos de cooperación informal para garantizar la SRI. Asimismo, los operadores deben cooperar con el sector público e intercambiar información y mejores prácticas a cambio de obtener apoyo operativo en caso de que se produzcan incidentes.

(16) Para garantizar la transparencia e informar debidamente a los ciudadanos y operadores del mercado de la UE, conviene que las autoridades competentes creen un sitio web común para publicar información no confidencial sobre incidentes y riesgos.

(17) Cuando la información se considere confidencial de conformidad con las normas nacionales y de la Unión en materia de secreto comercial, debe mantenerse ese carácter confidencial a la hora de desarrollar las actividades y cumplir los objetivos establecidos en la presente Directiva.

(18) Basándose ante todo en las experiencias nacionales en materia de gestión de crisis y en cooperación con la ENISA, la Comisión y los Estados miembros deben elaborar un plan de cooperación de la Unión en materia de SRI que establezca mecanismos de cooperación para hacer frente a riesgos e incidentes. Dicho plan debe tomarse debidamente en consideración a la hora de lanzar alertas tempranas en el marco de la red de cooperación.

(19) Las alertas tempranas solamente deben notificarse en el marco de la red cuando la dimensión y gravedad del incidente o riesgo en cuestión sean o puedan llegar a ser de tal envergadura que requieran medidas de información o coordinación de la respuesta a escala de la Unión. Por tanto, las alertas tempranas se deberían limitar a los incidentes o riesgos reales o potenciales que se extiendan rápidamente, superen la capacidad nacional de respuesta o afecten a más de un Estado miembro. Para poder proceder a un análisis adecuado, debe comunicarse a la red de cooperación toda la información pertinente para la evaluación del riesgo o incidente.

(20) Tras haber recibido y evaluado una alerta temprana, las autoridades competentes deben acordar una respuesta coordinada en el marco del plan de cooperación de la Unión en materia de SRI. Tanto las autoridades competentes como la Comisión deben estar informadas de las medidas adoptadas a escala nacional como resultado de la respuesta coordinada.

(21) El alcance mundial de los problemas de SRI hace necesaria una mayor cooperación internacional con miras a mejorar las normas de seguridad y el intercambio de información, y promover un planteamiento mundial común con respecto a las cuestiones de SRI.

(22) La responsabilidad de velar por la SRI recae en gran medida en las administraciones públicas y los operadores del mercado. Debe fomentarse una cultura de gestión de riesgos que entrañe una evaluación del riesgo y la aplicación de medidas de seguridad proporcionales a los riesgos existentes y que habrá de desarrollarse a través de requisitos reglamentarios adecuados y prácticas voluntarias del sector. Asimismo, son necesarias condiciones uniformes para garantizar el funcionamiento efectivo de la red de cooperación y, por ende, una colaboración eficaz de todos los Estados miembros.

(23) La Directiva 2002/21/CE establece que las empresas que suministran redes públicas de comunicaciones o prestan servicios de comunicaciones electrónicas disponibles para el público deben adoptar medidas adecuadas para salvaguardar su integridad y seguridad e introduce requisitos de notificación de las violaciones de la seguridad y las pérdidas de integridad. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (26) exige que los proveedores de servicios de comunicaciones electrónicas accesibles para el público tomen las medidas técnicas y de organización necesarias para velar por la seguridad de sus servicios.

(24) Estas obligaciones no solo han de imponerse al sector de las comunicaciones electrónicas, sino también a los principales proveedores de servicios de la sociedad de la información, tal y como se definen en la Directiva 98/34/CE del Parlamento Europeo y del Consejo, de 22 de junio de 1998, por la que se establece un procedimiento de información en materia de las normas y reglamentaciones técnicas y de las reglas relativas a los servicios de la sociedad de la información (27), que sirven de apoyo a los servicios de la sociedad de la información derivados o a las actividades en línea, tales como las plataformas de comercio electrónico, las pasarelas de pago por Internet, las redes sociales, los motores de búsqueda, los servicios de computación en nube o las tiendas de aplicaciones. La interrupción de estos servicios de apoyo a la sociedad de la información impide la prestación de otros servicios de la sociedad de la información que dependen de ellos. Los desarrolladores de programas informáticos y los fabricantes de equipos físicos no son proveedores de servicios de la sociedad de la información y quedan, por tanto, excluidos. Procede imponer asimismo esas obligaciones a las administraciones públicas y a los operadores de infraestructuras críticas, que son muy dependientes de las tecnologías de la información y la comunicación y desempeñan un papel esencial en el mantenimiento de funciones económicas o sociales vitales, tales como el gas y la electricidad, los transportes, las entidades de crédito, las bolsas y la sanidad. Los trastornos que puedan sufrir tales redes y sistemas de información afectan al mercado interior.

(25) Las medidas técnicas y de organización impuestas a las administraciones públicas y a los operadores del mercado no requerirán que se diseñe, se desarrolle o fabrique de una manera especial un determinado producto comercial de tecnología de la información y la comunicación.

(26) Las administraciones públicas y los operadores del mercado deben velar por la seguridad de las redes y sistemas que se hallan bajo su control. Se trata fundamentalmente de redes y sistemas privados gestionados por el personal de TI interno o cuya seguridad se ha encomendado a empresas externas. Las obligaciones en materia de seguridad y notificación han de aplicarse a los operadores del mercado y a las administraciones públicas pertinentes, independientemente de si se encargan ellos mismos del mantenimiento de sus redes y sistemas de información o lo subcontratan.

(27) Para no imponer una carga financiera y administrativa desproporcionada a los pequeños operadores y a los usuarios, los requisitos han de ser proporcionales a los riesgos que presenta la red o el sistema de información en cuestión, habida cuenta del estado de la técnica. Dichos requisitos no deben aplicarse a las microempresas.

(28) Las autoridades competentes deben procurar que se mantengan los canales de intercambio de información informales y de confianza entre los operadores del mercado y entre los sectores público y privado. Antes de dar publicidad a los incidentes notificados a las autoridades competentes, es preciso sopesar debidamente el interés de los ciudadanos en ser informados sobre las amenazas existentes y los perjuicios que en términos comerciales y de reputación puedan sufrir las administraciones públicas y los operadores del mercado que notifican los incidentes. A la hora de cumplir sus obligaciones de notificación, las autoridades competentes han de tener muy en cuenta la necesidad de mantener estrictamente confidencial la información sobre los puntos vulnerables del producto antes de dar a conocer las soluciones de seguridad adecuadas.

(29) Es preciso que las autoridades competentes dispongan de los medios necesarios para desempeñar su cometido y, en particular, de competencias para obtener información suficiente de los operadores del mercado y las administraciones públicas a fin de evaluar el nivel de seguridad de las redes y los sistemas de información, así como datos fidedignos y exhaustivos sobre incidentes reales que hayan repercutido en el funcionamiento de las redes y los sistemas de información.

(30) Los incidentes suelen estar causados por actividades delictivas. Cabe suponer el carácter delictivo de los incidentes aun cuando las pruebas para demostrarlo no sean lo suficientemente claras desde el principio. A este respecto, una cooperación adecuada entre las autoridades competentes y los cuerpos de seguridad debería formar parte de una respuesta efectiva y global ante la amenaza de que se produzcan incidentes de seguridad. En particular, para promover un entorno protegido, seguro y más resiliente es preciso notificar sistemáticamente los incidentes de carácter supuestamente delictivo a los cuerpos de seguridad. La naturaleza delictiva grave de los incidentes debe evaluarse a la luz de la normativa de la UE sobre ciberdelincuencia.

(31) En numerosas ocasiones los datos de carácter personal se ven comprometidos a raíz de incidentes. En este contexto, las autoridades competentes y las autoridades responsables de la protección de datos han de cooperar e intercambiar la información pertinente ante las violaciones de datos personales derivadas de incidentes. Los Estados miembros deben imponer la obligación de notificar los incidentes de seguridad de modo que se reduzca al mínimo la carga administrativa en caso de que el incidente de seguridad constituya también una violación de datos personales con arreglo al Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (28). En colaboración con las autoridades competentes y las autoridades responsables de la protección de datos, la ENISA podría contribuir a elaborar mecanismos de intercambio de información y modelos que evitaran la necesidad de contar con dos modelos de notificación. Este modelo único de notificación facilitaría la comunicación de incidentes que comprometan los datos personales, aliviando de este modo la carga administrativa para empresas y administraciones públicas.

(32) La normalización de los requisitos en materia de seguridad es un proceso impulsado por el mercado. Al objeto de garantizar una aplicación convergente de las normas de seguridad, es oportuno que los Estados miembros fomenten el cumplimiento de normas específicas o la conformidad con ellas para así lograr un elevado nivel de seguridad en la Unión. A tal fin, puede ser necesario elaborar normas armonizadas, de acuerdo con las disposiciones del Reglamento (UE) nº 1025/2012 del Parlamento Europeo y del Consejo, de 25 de octubre de 2012, sobre la normalización europea, por el que se modifican las Directivas 89/686/CEE y 93/15/CEE del Consejo y las Directivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE y 2009/105/CE del Parlamento Europeo y del Consejo y por el que se deroga la Decisión 87/95/CEE del Consejo y la Decisión nº 1673/2006/CE del Parlamento Europeo y del Consejo (29).

(33) La Comisión debe revisar periódicamente las disposiciones contenidas en la presente Directiva, en particular con vistas a determinar si es preciso modificarlas a la luz de la cambiante situación de la tecnología o el mercado.

(34) En aras del correcto funcionamiento de la red de cooperación, procede delegar en la Comisión poderes para adoptar actos de conformidad con el artículo 290 del Tratado de Funcionamiento de Unión Europea en relación con la determinación de los criterios que debe reunir un Estado miembro para poder ser autorizado a participar en el sistema de intercambio seguro de información, con la especificación de los hechos que activan la alterta temprana y con la definición de las circunstancias en que los operadores del mercado y las administraciones públicas están obligados a notificar incidentes.

(35) Reviste primordial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos. Al preparar y elaborar actos delegados, la Comisión debe garantizar que los documentos pertinentes se transmitan al Parlamento Europeo y al Consejo de manera simultánea, oportuna y adecuada.

(36) A fin de garantizar condiciones uniformes de ejecución de la presente Directiva, procede conferir competencias de ejecución a la Comisión en lo que respecta a la cooperación entre las autoridades competentes y la Comisión en el marco de la red de cooperación, el acceso a las infraestructuras seguras de intercambio de información, el plan de cooperación de la Unión en materia de SRI, los formatos y procedimientos aplicables a la hora de informar a los ciudadanos sobre incidentes y las normas o especificaciones técnicas en materia de SRI. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) nº 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (30).

(37) Es conveniente que, a la hora de aplicar la presente Directiva, la Comisión colabore, cuando proceda, con los comités sectoriales y organismos pertinentes establecidos a escala de la UE, especialmente en los ámbitos de la energía, los transportes y la sanidad.

(38) La información que una autoridad competente considere confidencial de acuerdo con las normas nacionales y de la Unión sobre secreto comercial únicamente debe intercambiarse con la Comisión y otras autoridades competentes cuando tal intercambio sea estrictamente necesario a los efectos de la aplicación de la presente Directiva. El intercambio se debe limitar a la información que resulte pertinente y proporcional a la finalidad perseguida.

(39) El intercambio de información sobre riesgos e incidentes en el marco de la red de cooperación y el cumplimiento de la obligación de notificar los incidentes a las autoridades nacionales competentes pueden hacer necesario el tratamiento de datos personales. Dicho tratamiento es necesario para alcanzar los objetivos de interés público perseguidos por la presente Directiva y es por tanto legítimo en virtud del artículo 7 de la Directiva 95/46/CE. No constituye, en relación con esos objetivos legítimos, una intervención desmesurada e intolerable que afecte a la propia esencia del derecho a la protección de los datos personales garantizado por el artículo 8 de la Carta de los Derechos Fundamentales. Al llevar a la práctica la presente Directiva, se debe aplicar, cuando proceda, el Reglamento (CE) nº 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (31). Cuando las instituciones y órganos de la Unión procedan al tratamiento de datos a los efectos de la aplicación de la presente Directiva, dicho tratamiento deberá efectuarse de conformidad con los dispuesto en el Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos.

(40) Dado que el objetivo de la presente Directiva, a saber, garantizar un elevado nivel de SRI en la Unión, no puede ser alcanzado de manera suficiente por los Estados miembros de manera individual y, por consiguiente, debido a los efectos de la acción, puede lograrse mejor a nivel de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad enunciado en dicho artículo, la presente Directiva no excede de lo necesario para alcanzar estos objetivos.

(41) La presente Directiva observa los derechos fundamentales y los principios reconocidos por la Carta de los Derechos Fundamentales de la Unión Europea y, en particular, el derecho al respeto de la vida privada y las comunicaciones, el derecho a la protección de los datos de carácter personal, el derecho a la libertad de empresa, el derecho a la propiedad, el derecho a una tutela judicial efectiva y el derecho a ser oído. La presente Directiva debe aplicarse de acuerdo con estos derechos y principios.

HAN ADOPTADO LA PRESENTE DIRECTIVA:

CAPÍTULO I.- DISPOSICIONES GENERALES

Artículo 1.- Objeto y ámbito de aplicación

1. La presente Directiva establece medidas para garantizar un elevado nivel común de seguridad de las redes y de la información (denominada en lo sucesivo «SRI») en la Unión.

2. A tal fin, la presente Directiva:

a) establece las obligaciones que han de cumplir todos los Estados miembros en materia de prevención, gestión y respuesta a riesgos e incidentes que afecten a las redes y los sistemas de información;

b) establece un mecanismo de cooperación entre los Estados miembros con el fin de garantizar la aplicación uniforme de la presente Directiva en la Unión y, en su caso, una gestión y una respuesta eficaces y coordinadas ante los riesgos e incidentes que afecten a las redes y los sistemas de información;

c) establece requisitos en materia de seguridad para los operadores del mercado y las administraciones públicas.

3. Los requisitos de seguridad previstos en el artículo 14 no serán aplicables a las empresas que suministran redes públicas de comunicaciones o prestan servicios de comunicaciones electrónicas disponibles para el público con arreglo a la Directiva 2002/21/CE, que están sujetas a los requisitos específicos de seguridad e integridad establecidos en los artículos 13 bis y 13 ter de dicha Directiva, ni tampoco a los proveedores de servicios de confianza.

4. La presente Directiva se entenderá sin perjuicio de la normativa sobre ciberdelincuencia de la UE y de la Directiva 2008/114/CE del Consejo, de 8 de diciembre de 2008, sobre la identificación y designación de infraestructuras críticas europeas y la evaluación de la necesidad de mejorar su protección (32).

5. Asimismo, la presente Directiva se entenderá sin perjuicio de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (33) , de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, y del Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (34).

6. El intercambio de información en el marco de la red de cooperación a que se hace referencia en el capítulo III y las notificaciones de incidentes de SRI contempladas en el artículo 14 pueden requerir el tratamiento de datos personales. Dicho tratamiento, que es necesario para alcanzar los objetivos de interés público perseguidos por la presente Directiva, será autorizado por el Estado miembro interesado de acuerdo con el artículo 7 de la Directiva 95/46/CE y con la Directiva 2002/58/CE según su adopción en el Derecho interno.

Artículo 2.- Armonización mínima

No se impedirá que los Estados miembros adopten o mantengan disposiciones que garanticen un nivel de seguridad más elevado, sin perjuicio de las obligaciones que les impone la normativa de la Unión.

Artículo 3.- Definiciones

A los efectos de la presente Directiva, se entenderá por:

1) «redes y sistemas de información»:

a) una red de comunicaciones electrónicas en la acepción de la Directiva 2002/21/CE,

b) todo dispositivo o grupo de dispositivos interconectados o relacionados entre sí, uno o varios de los cuales realizan, mediante un programa, el tratamiento automático de datos informáticos,

c) los datos informáticos almacenados, tratados, recuperados o transmitidos por los elementos contemplados en las letras a) y b) para su funcionamiento, utilización, protección y mantenimiento;

2) «seguridad»: la capacidad de las redes y sistemas de información de resistir, con un nivel determinado de confianza, a acciones accidentales o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos, o los servicios correspondientes ofrecidos por tales redes y sistemas de información o accesibles a través de ellos;

3) «riesgo»: toda circunstancia o hecho que pueda tener efectos adversos en la seguridad;

4) «incidente»: toda circunstancia o hecho que tenga efectos adversos en la seguridad;

5) «servicio de la sociedad de la información»: un servicio en la acepción del artículo 1, número 2, de la Directiva 98/34/CE;

6) «plan de cooperación en materia de SRI»: un plan que constituye el marco para las funciones, responsabilidades y procedimientos de organización a fin de mantener o restablecer el funcionamiento de las redes y los sistemas de información en caso de que se vean afectados por un riesgo o incidente;

7) «gestión de incidentes»: todos los procedimientos seguidos para analizar, limitar y responder a un incidente;

8) «operador del mercado»:

a) un proveedor de servicios de la sociedad de la información que posibilitan la prestación de otros servicios de la sociedad de la información, una lista no exhaustiva de los cuales figura en el anexo II;

b) un operador de infraestructuras críticas esenciales para el mantenimiento de actividades económicas y sociales vitales en los sectores de la energía, los transportes, la banca, la bolsa y la sanidad, una lista no exhaustiva de los cuales figura en el anexo II.

9) «norma»: una norma en la acepción del Reglamento (UE) nº 1025/2012;

10) «especificación»: una especificación en la acepción del Reglamento (UE) nº 1025/2012;

11) «proveedor de servicios de confianza»: una persona física o jurídica que presta un servicio electrónico consistente en la creación, verificación, validación, gestión y conservación de firmas electrónicas, sellos electrónicos, marcas de tiempo electrónicas, documentos electrónicos, servicios de entrega electrónica, autenticación de sitios web y certificados electrónicos, incluidos los certificados de firma electrónica y de sello electrónico.

CAPÍTULO II.- MARCOS NACIONALES DE SEGURIDAD DE LAS REDES Y DE LA INFORMACIÓN

Artículo 4.- Principio

Los Estados miembros garantizarán un elevado nivel común de seguridad de las redes y los sistemas de información en sus territorios de conformidad con lo dispuesto en la presente Directiva.

Artículo 5.- Estrategia nacional de SRI y plan de cooperación nacional en materia de SRI

1. Cada Estado miembro adoptará una estrategia nacional de SRI que establezca los objetivos estratégicos y las medidas estratégicas y reglamentarias concretas para alcanzar y mantener un elevado nivel de seguridad de las redes y de la información.

La estrategia nacional de SRI abordará, en particular, las cuestiones siguientes:

a) Determinación de los objetivos y prioridades de la estrategia sobre la base de un análisis actualizado de riesgos e incidentes.

b) Marco de gobernanza para lograr los objetivos y las prioridades de la estrategia, con una definición clara de las funciones y responsabilidades de las instituciones públicas y los demás agentes pertinentes.

c) Determinación de las medidas generales sobre preparación, respuesta y recuperación, incluidos los mecanismos de cooperación entre los sectores público y privado.

d) Indicación de los programas de educación, concienciación y formación.

e) Planes de investigación y desarrollo y explicación de la manera en que reflejan las prioridades establecidas.

2. La estrategia nacional de SRI incluirá un plan de cooperación nacional en materia de SRI que contemple como mínimo los siguientes aspectos:

a) Plan de evaluación de riesgos que permita determinarlos y evaluar los efectos de incidentes potenciales.

b) Determinación de las funciones y responsabilidades de los diversos agentes que participan en la ejecución del plan.

c) Determinación de los procedimientos de cooperación y comunicación necesarios para garantizar la prevención, detección, respuesta, reparación y recuperación, adaptados en función del nivel de alerta.

d) Hoja de ruta sobre ejercicios y actividades de formación en el ámbito de la SRI para reforzar, validar y someter a ensayo el plan. La experiencia adquirida se deberá documentar e incorporar a las actualizaciones del plan.

3. La estrategia nacional de SRI y el plan de cooperación nacional en materia de SRI se deberán remitir a la Comisión en el plazo de un mes a partir de su adopción.

Artículo 6.- Autoridad nacional competente en materia de seguridad de las redes y los sistemas de información

1. Cada Estado miembro designará una autoridad nacional competente en materia de seguridad de las redes y los sistemas de información («la autoridad competente»).

2. Las autoridades competentes supervisarán la aplicación de la presente Directiva a escala nacional y contribuirán a una aplicación coherente de la misma en toda la Unión.

3. Los Estados miembros velarán por que las autoridades competentes dispongan de suficientes recursos técnicos, financieros y humanos para llevar a cabo las tareas a ellas asignadas de forma eficiente y eficaz y cumplir así los objetivos de la presente Directiva. Los Estados miembros garantizarán una cooperación eficiente, eficaz y segura entre las autoridades competentes a través de la red a que se hace referencia en el artículo 8.

4. Los Estados miembros velarán por que las autoridades competentes reciban las notificaciones de incidentes de las administraciones públicas y los operadores del mercado con arreglo al artículo 14, apartado 2, y se les confieran las competencias de aplicación a que se refiere el artículo 15.

5. Las autoridades competentes llevarán a cabo consultas y cooperarán, cuando proceda, con las fuerzas de seguridad nacionales y las autoridades responsables de la protección de datos.

6. Los Estados miembros notificarán sin demora a la Comisión la autoridad competente que hayan designado, su cometido y cualquier cambio posterior que se introduzca en él. Los Estados miembros harán pública la designación de la autoridad competente.

Artículo 7.- Equipo de respuesta a emergencias informáticas

1. Cada Estado miembro creará un equipo de respuesta a emergencias informáticas (en lo sucesivo, «CERT») responsable de la gestión de incidentes y riesgos de acuerdo con un procedimiento claramente definido, que se ajustará a los requisitos establecidos en el anexo I, punto 1. Podrá crearse un CERT en el marco de la autoridad competente.

2. Los Estados miembros velarán por que los CERT cuenten con suficientes recursos técnicos, financieros y humanos para llevar a cabo efectivamente las tareas que les correspondan, establecidas en el anexo I, punto 2.

3. Los Estados miembros velarán por que los CERT dispongan a escala nacional de infraestructuras de comunicación e información seguras y resilientes, que serán compatibles e interoperables con el sistema seguro de intercambio de información a que se hace referencia en el artículo 9.

4. Los Estados miembros informarán a la Comisión de los recursos, el mandato y el procedimiento de gestión de incidentes de los CERT.

5. Los CERT actuarán bajo la supervisión de la autoridad competente, que comprobará periódicamente la adecuación de sus recursos, su mandato y la eficacia de su procedimiento de gestión de incidentes.

CAPÍTULO III.- COOPERACIÓN ENTRE LAS AUTORIDADES COMPETENTES

Artículo 8.- Red de cooperación

1. Las autoridades competentes y la Comisión crearán una red («red de cooperación») para colaborar contra los riesgos e incidentes que afecten a las redes y los sistemas de información.

2. La Comisión y las autoridades competentes mantendrán una comunicación constante en el marco de la red de cooperación. Cuando así se le solicite, la Agencia Europea de Seguridad de las Redes y de la Información («ENISA») asistirá a la red de cooperación ofreciéndole su experiencia, conocimientos y asesoramiento.

3. En el marco de la red de cooperación, las autoridades competentes:

a) difundirán alertas tempranas sobre riesgos e incidentes de conformidad con el artículo 10;

b) ofrecerán una respuesta coordinada de conformidad con el artículo 11;

c) publicarán periódicamente en un sitio web común información no confidencial sobre las alertas tempranas y las respuestas coordinadas en curso;

d) examinarán y evaluarán conjuntamente, a petición de un Estado miembro o de la Comisión, uno o varios planes de cooperación nacionales en materia de SRI y estrategias nacionales de SRI, contemplados en el artículo 5, en el marco de la presente Directiva;

e) examinarán y evaluarán conjuntamente, a petición de un Estado miembro o de la Comisión, la eficacia de los CERT, especialmente cuando los ejercicios de SRI se realicen a escala de la Unión;

f) cooperarán e intercambiarán información sobre todas las cuestiones pertinentes con el Centro Europeo de Ciberdelincuencia de Europol y con otros organismos europeos pertinentes, en particular en los sectores de la protección de datos, la energía, los transportes, la banca, la bolsa y la sanidad;

g) intercambiarán información y mejores prácticas entre sí y con la Comisión, y se ayudarán mutuamente con el fin de crear capacidades en materia de SRI;

h) organizarán revisiones por homólogos periódicas sobre capacidades y preparación;

i) organizarán ejercicios de SRI a escala de la Unión y participarán, en su caso, en ejercicios de SRI internacionales.

4. La Comisión establecerá mediante actos de ejecución las disposiciones necesarias para facilitar la cooperación entre las autoridades competentes y la Comisión a que se hace referencia en los apartados 2 y 3. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de consulta contemplado en el artículo 19, apartado 2.

Artículo 9.- Sistema seguro de intercambio de información

1. El intercambio de información delicada y confidencial dentro de la red de cooperación se efectuará a través de una infraestructura segura.

2. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 18 a fin de fijar los criterios que ha de reunir un Estado miembro para ser autorizado a participar en el sistema seguro de intercambio de información, en relación con:

a) la disponibilidad a escala nacional de infraestructuras de comunicación e información seguras y resilientes que sean compatibles e interoperables con la infraestructura segura de la red de cooperación de conformidad con el artículo 7, apartado 3, y

b) la existencia de recursos y procedimientos técnicos, financieros y humanos adecuados para su autoridad competente y el CERT, de modo que sea posible una participación eficiente, eficaz y segura en el sistema seguro de intercambio de información contemplado en el artículo 6, apartado 3, el artículo 7, apartado 2, y el artículo 7, apartado 3.

3. La Comisión adoptará mediante actos de ejecución decisiones sobre el acceso de los Estados miembros a esta infraestructura segura, con arreglo a los criterios mencionados en los apartados 2 y 3. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 19, apartado 3.

Artículo 10.- Alertas tempranas

1. Las autoridades competentes o la Comisión difundirán alertas tempranas en el marco de la red de cooperación en relación con los riesgos e incidentes que cumplan como mínimo una de las condiciones siguientes:

a) riesgos e incidentes cuya magnitud aumente o pueda aumentar rápidamente;

b) riesgos e incidentes que sobrepasen o puedan sobrepasar la capacidad nacional de respuesta;

c) riesgos e incidentes que afecten o puedan afectar a más de un Estado miembro.

2. Las autoridades competentes y la Comisión incluirán en sus alertas tempranas toda la información pertinente que obre en su poder y pueda ser de utilidad para evaluar el riesgo o incidente.

3. A petición de un Estado miembro o por iniciativa propia, la Comisión podrá solicitar a un Estado miembro que proporcione la información pertinente sobre un riesgo o incidente concreto.

4. Cuando se sospeche que el riesgo o incidente objeto de una alerta temprana es de carácter delictivo, las autoridades competentes o la Comisión informarán de ello al Centro Europeo de Ciberdelincuencia de Europol.

5. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 18 con el fin de especificar los riesgos e incidentes que pueden activar la alerta temprana mencionada en el apartado 1.

Artículo 11.- Respuesta cordinada

1. Cuando reciban la alerta temprana a que se refiere el artículo 10, las autoridades competentes evaluarán la información pertinente y acordarán una respuesta coordinada de conformidad con el plan de cooperación de la Unión en materia de SRI contemplado en el artículo 12.

2. Las diversas medidas adoptadas a escala nacional a raíz de la respuesta coordinada se notificarán a la red de cooperación.

Artículo 12.- Plan de cooperación de la Unión en materia de SRI

1. La Comisión estará facultada para adoptar mediante actos de ejecución un plan de cooperación de la Unión en materia de SRI. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 19, apartado 3.

2. El plan de cooperación de la Unión en materia de SRI establecerá:

a) a los efectos del artículo 10:

– el formato y los procedimientos de recopilación e intercambio de información compatible y comparable sobre riesgos e incidentes por parte de las autoridades competentes,

– los procedimientos y criterios de evaluación de riesgos e incidentes por parte de la red de cooperación;

b) los procedimientos que se han de seguir para ofrecer las respuestas coordinadas previstas en el artículo 11, entre ellos el reparto de funciones y responsabilidades y los procedimientos de cooperación;

c) una hoja de ruta sobre ejercicios y actividades de formación en el ámbito de la SRI para reforzar, validar y someter a ensayo el plan;

d) un programa de transferencia de conocimientos entre los Estados miembros en materia de desarrollo de capacidades y aprendizaje entre homólogos;

e) un programa de concienciación y formación entre los Estados miembros.

3. El plan de cooperación de la Unión en materia de SRI deberá adoptarse dentro del año siguiente a la entrada en vigor de la presente Directiva y se revisará periódicamente.

Artículo 13.- Cooperación internacional

Sin perjuicio de la posibilidad de que la red de cooperación mantenga relaciones informales de colaboración a escala internacional, la Unión podrá concluir acuerdos internacionales con terceros países u organizaciones internacionales que hagan posible y organicen su participación en algunas actividades de la red de cooperación. En tales acuerdos se tendrá en cuenta la necesidad de deparar una protección adecuada a los datos personales que circulen en la red de cooperación.

CAPÍTULO IV.- SEGURIDAD DE LAS REDES Y SISTEMAS DE INFORMACIÓN DE LAS ADMINISTRACIONES PÚBLICAS Y LOS OPERADORES DEL MERCADO

Artículo 14.- Requisitos en materia de seguridad y notificación de incidentes

1. Los Estados miembros velarán por que las administraciones públicas y los operadores del mercado tomen las medidas técnicas y de organización apropiadas para gestionar los riesgos existentes para la seguridad de las redes y los sistemas de información que controlan y utilizan en sus operaciones. Habida cuenta del estado de la técnica, dichas medidas garantizarán un nivel de seguridad adecuado en relación con el riesgo existente. En particular, adoptarán medidas para prevenir y reducir al mínimo los efectos de los incidentes que afecten a sus redes y sistemas de información en los servicios básicos que prestan, garantizando de este modo la continuidad de los servicios que dependen de tales redes y sistemas de información.

2. Los Estados miembros velarán por que las administraciones públicas y los operadores del mercado notifiquen a la autoridad competente los incidentes que tengan efectos significativos en la seguridad de los servicios básicos que prestan.

3. Los requisitos establecidos en los apartados 1 y 2 serán aplicables a todos los operadores del mercado que prestan servicios en la Unión Europea.

4. Cuando estime que la divulgación de un incidente redunda en el interés público, la autoridad competente podrá informar de él a los ciudadanos o pedir a las administraciones públicas y los operadores del mercado que lo hagan. Una vez al año, la autoridad competente presentará a la red de cooperación un informe resumido sobre las notificaciones recibidas y las medidas adoptadas de acuerdo con el presente apartado.

5. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 18 con el fin de determinar las circunstancias en que las administraciones públicas y los operadores del mercado estarán obligados a notificar incidentes.

6. A reserva de cualesquiera actos delegados adoptados en virtud del apartado 5, las autoridades competentes podrán adoptar directrices y, en caso necesario, impartir instrucciones sobre las circunstancias en que las administraciones públicas y los operadores del mercado estarán obligados a notificar incidentes.

7. La Comisión estará facultada para determinar mediante actos de ejecución los formatos y procedimientos aplicables a los efectos del apartado 2. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 19, apartado 3.

8. Los apartados 1 y 2 no serán aplicables a las microempresas, según la definición que recoge la Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas (35).

Artículo 15.- Aplicación y observancia

1. Los Estados miembros velarán por que las autoridades competentes dispongan de todas las competencias necesarias para investigar los casos de incumplimiento por parte de las administraciones públicas o los operadores del mercado de las obligaciones que les impone el artículo 14 y los efectos que tengan en la seguridad de las redes y los sistemas de información.

2. Los Estados miembros velarán por que las autoridades competentes estén facultadas para exigir a los operadores del mercado y a las administraciones públicas:

a) que proporcionen la información necesaria para evaluar la seguridad de sus redes y sistemas de información, incluida la documentación sobre las políticas de seguridad;

b) que se sometan a una auditoría de seguridad practicada por un organismo independiente o una autoridad nacional cualificados y pongan los resultados en conocimiento de la autoridad competente.

3. Los Estados miembros velarán por que las autoridades competentes estén facultadas para impartir instrucciones vinculantes a los operadores del mercado y a las administraciones públicas.

4. Las autoridades competentes notificarán los incidentes de carácter grave y supuestamente delictivo a los cuerpos de seguridad.

5. Las autoridades competentes cooperarán estrechamente con las autoridades responsables de la protección de datos personales a la hora de hacer frente a incidentes que den lugar a violaciones de datos personales.

6. Los Estados miembros garantizarán que cualesquiera obligaciones impuestas a las administraciones públicas y a los operadores del mercado en virtud del presente capítulo puedan estar sujetas a control judicial.

Artículo 16.- Normalización

1. A fin de garantizar una aplicación convergente de lo dispuesto en el artículo 14, apartado 1, los Estados miembros fomentarán la utilización de las normas y especificaciones pertinentes en materia de seguridad de las redes y la información.

2. La Comisión elaborará mediante actos de ejecución una lista de las normas mencionadas en el apartado 1. Dicha lista se publicará en el Diario Oficial de la Unión Europea.

CAPÍTULO V.- DISPOSICIONES FINALES

Artículo 17.- Sanciones

1. Los Estados miembros establecerán normas sobre las sanciones aplicables a las infracciones de las disposiciones nacionales adoptadas en virtud de la presente Directiva y tomarán todas las medidas necesarias para garantizar su aplicación. Las sanciones adoptadas deberán ser eficaces, proporcionadas y disuasorias. Los Estados miembros notificarán esas disposiciones a la Comisión a más tardar en la fecha de transposición de la presente Directiva, y le notificarán además sin demora cualquier modificación posterior que les afecte.

2. Los Estados miembros garantizarán que, en caso de que un incidente de seguridad afecte a datos personales, las sanciones previstas guarden coherencia con las sanciones establecidas en el Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (36).

Artículo 18.- Ejercicio de la delegación

1. Se otorgan a la Comisión poderes para adoptar actos delegados de acuerdo con las condiciones establecidas en el presente artículo.

2. Se otorgan a la Comisión los poderes para adoptar los actos delegados a que se refieren el artículo 9, apartado 2, el artículo 10, apartado 5, y el artículo 14, apartado 5. La Comisión elaborará un informe sobre los poderes delegados a más tardar nueve meses antes de que finalice el período de cinco años. La delegación de poderes se prorrogará automáticamente por períodos de idéntica duración, excepto si el Parlamento Europeo o el Consejo se oponen a dicha prórroga a más tardar tres meses antes del final de cada período.

3. La delegación de poderes a que se refieren el artículo 9, apartado 2, el artículo 10, apartado 5, y el artículo 14, apartado 5, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. Surtirá efecto al día siguiente de la publicación de la decisión en el Diario Oficial de la Unión Europea o en una fecha posterior que se precisará en dicha decisión. No afectará a la validez de los actos delegados que ya estén en vigor.

4. En cuanto la Comisión adopte un acto delegado, lo notificará simultáneamente al Parlamento Europeo y al Consejo.

5. Los actos delegados adoptados en virtud del artículo 9, apartado 2, del artículo 10, apartado 5, y del artículo 14, apartado 5, entrarán en vigor únicamente si, en un plazo de dos meses desde su notificación al Parlamento Europeo y al Consejo, ni el Parlamento Europeo ni el Consejo formulan objeciones o si, antes del vencimiento de dicho plazo, tanto el uno como el otro informan a la Comisión de que no las formularán. Este plazo se prorrogará dos meses a iniciativa del Parlamento Europeo o del Consejo.

Artículo 19.- Procedimiento de comité

1. La Comisión estará asistida por un comité (el Comité de Seguridad de las Redes y de la Información). Dicho comité será un comité en la acepción del Reglamento (UE) nº 182/2011.

2. En los casos en que se haga referencia al presente apartado, será de aplicación el artículo 4 del Reglamento (UE) nº 182/2011.

3. En los casos en que se haga referencia al presente apartado, será de aplicación el artículo 5 del Reglamento (UE) nº 182/2011.

Artículo 20.- Revisión

La Comisión revisará periódicamente el funcionamiento de la presente Directiva e informará al Parlamento Europeo y al Consejo. El primer informe se presentará a más tardar tres años después de la fecha de transposición mencionada en el artículo 21. A tal fin, la Comisión podrá solicitar a los Estados miembros que faciliten información sin demoras injustificadas.

Artículo 21.- Transposición

1. Los Estados miembros adoptarán y publicarán, a más tardar (un año y medio después de la fecha de adopción), las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva.

Comunicarán inmediatamente a la Comisión el texto de dichas disposiciones. Aplicarán esas medidas a partir del (un año y medio después de la fecha de adopción).

Cuando los Estados miembros adopten dichas disposiciones, estas harán referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.

2. Los Estados miembros comunicarán a la Comisión el texto de las disposiciones básicas de Derecho interno que adopten en el ámbito regulado por la presente Directiva.

Artículo 22.- Entrada en vigor

La presente Directiva entrará en vigor el (vigésimo) día siguiente al de su publicación en el Diario Oficial de la Unión Europea.

Artículo 23.- Destinatarios

Los destinatarios de la presente Directiva serán los Estados miembros.

Hecho en Bruselas, el

Por el Parlamento Europeo, El Presidente

Por el Consejo,  El Presidente

ANEXO I.- Obligaciones y tareas del equipo de respuesta a emergencias informáticas (CERT)

Las obligaciones y tareas del CERT estarán adecuada y claramente definidas y se basarán en la política o la reglamentación nacional. Incluirán los siguientes elementos:

1) Obligaciones del CERT

a) El CERT garantizará una gran disponibilidad de sus servicios de comunicaciones evitando los fallos puntuales simples y contará con varios medios para ser contactado y contactar con otros. Además, los canales de comunicación estarán claramente especificados y serán bien conocidos por los grupos de usuarios y los socios colaboradores.

b) El CERT aplicará y gestionará medidas de seguridad para garantizar la confidencialidad, integridad, disponibilidad y autenticidad de la información que reciba y trate.

c) Las dependencias del CERT y los sistemas de información de apoyo estarán situados en lugares seguros.

d) Se creará un sistema de calidad de la gestión del servicio a fin de supervisar el funcionamiento del CERT y garantizar un proceso continuo de mejora. Se basará en sistemas de medición claramente definidos, entre los que figurarán niveles de servicio formales e indicadores de resultados clave.

e) Continuidad de las actividades:

– El CERT dispondrá de un sistema adecuado para gestionar y encaminar las solicitudes con el fin de facilitar los traspasos.

– El CERT contará con personal suficiente para garantizar su disponibilidad en todo momento.

– El CERT dependerá de infraestructuras cuya continuidad esté asegurada. A tal fin, se crearán sistemas redundantes y espacios de trabajo de reserva para el CERT al objeto de garantizar un acceso permanente a los medios de comunicación.

2) Tareas del CERT

a) Entre las tareas del CERT figurarán como mínimo las siguientes:

– Supervisar incidentes a escala nacional.

– Difundir alertas tempranas, alertas, avisos e información sobre riesgos e incidentes entre las partes interesadas.

– Responder a incidentes.

– Efectuar un análisis dinámico de riesgos e incidentes y de conocimiento de la situación.

– Lograr una amplia concienciación del público sobre los riesgos vinculados a las actividades en línea.

– Organizar campañas sobre la SRI.

b) El CERT entablará relaciones de cooperación con el sector privado.

c) A fin de facilitar la cooperación, el CERT fomentará la adopción y utilización de prácticas comunes o normalizadas:

– Procedimientos de gestión de incidentes y riesgos.

– Sistemas de clasificación de incidentes, riesgos e información.

– Taxonomías de sistemas de medición.

– Formatos de intercambio de información sobre riesgos e incidentes y convenciones sobre la denominación de sistemas.

ANEXO II.- Lista de operadores del mercado

Contemplados en el artículo 3, apartado 8, letra a):

1. Plataformas de comercio electrónico.

2. Pasarelas de pago por Internet.

3. Redes sociales.

4. Motores de búsqueda.

5. Servicios de computación en nube.

6. Tiendas de aplicaciones.

Contemplados en el artículo 3, apartado 8, letra b):

1. Energía:

– Proveedores de gas y electricidad.

– Gestores de redes de distribución de gas o electricidad y minoristas para consumidores finales.

– Gestores de redes de transporte de gas natural, gestores de almacenamiento y gestores de GNL.

– Gestores de redes de transporte de electricidad.

– Oleoductos de transporte de crudo y almacenamiento de crudo.

– Operadores de los mercados del gas y la electricidad.

– Operadores de producción de crudo y gas natural, instalaciones de refinado y tratamiento.

2. Transportes:

– Compañías aéreas (transporte aéreo de mercancías y pasajeros).

– Compañías de transporte marítimo (empresas de transporte marítimo y de cabotaje de pasajeros y empresas de transporte marítimo y de cabotaje de mercancías).

– Compañías ferroviarias (gestores de infraestructuras, compañías integradas y operadores de transporte ferroviario).

– Aeropuertos.

– Puertos.

– Operadores de control de la gestión del tráfico.

– Servicios logísticos auxiliares (a) depósito y almacenamiento, b) manipulación de la carga y c) otras actividades auxiliares del transporte).

3. Banca: entidades de crédito con arreglo a la definición del artículo 4, número 1, de la Directiva 2006/48/CE.

4. Infraestructuras de los mercados financieros: bolsas y entidades de contrapartida central.

5. Sector sanitario: entornos de asistencia sanitaria (entre ellos hospitales y clínicas privadas) y otras entidades que prestan asistencia sanitaria.

FICHA FINANCIERA LEGISLATIVA

1. MARCO DE LA PROPUESTA/INICIATIVA

1.1. Denominación de la propuesta/iniciativa

1.2. Ámbito(s) político(s) afectado(s) en la estructura GPA/PPA

1.3. Naturaleza de la propuesta/iniciativa

1.4. Objetivos

1.5. Justificación de la propuesta/iniciativa

1.6. Duración e incidencia financiera

1.7. Modo(s) de gestión previsto(s)

2. MEDIDAS DE GESTIÓN

2.1. Disposiciones en materia de seguimiento e informes

2.2. Sistema de gestión y de control

2.3. Medidas de prevención del fraude y de las irregularidades

3. INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA

3.1. Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s)

3.2. Incidencia estimada en los gastos

3.2.1. Resumen de la incidencia estimada en los gastos

3.2.2. Incidencia estimada en los créditos de operaciones

3.2.3. Incidencia estimada en los créditos de carácter administrativo

3.2.4. Compatibilidad con el marco financiero plurianual vigente

3.2.5. Contribución de terceros

3.3. Incidencia estimada en los ingresos

FICHA FINANCIERA LEGISLATIVA

1. MARCO DE LA PROPUESTA/INICIATIVA

1.1. Denominación de la propuesta/iniciativa

Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a medidas para garantizar un elevado nivel común de seguridad de las redes y de la información en la Unión.

1.2. Ámbito(s) político(s) afectado(s) en la estructura GPA/PPA (37)

– 09 – Redes de Comunicación, Contenido y Tecnologías

1.3. Naturaleza de la propuesta/iniciativa

: La propuesta/iniciativa se refiere a una acción nueva

… La propuesta/iniciativa se refiere a una acción nueva a raíz de un proyecto piloto / una acción preparatoria (38)

… La propuesta/iniciativa se refiere a la prolongación de una acción existente

… La propuesta/iniciativa se refiere a una acción reorientada hacia una nueva acción

1.4. Objetivos

1.4.1. Objetivo(s) estratégico(s) plurianual(es) de la Comisión contemplado(s) en la propuesta/iniciativa

La Directiva propuesta tiene como objetivo garantizar un elevado nivel común de seguridad de las redes y de la información (SRI) en la Unión.

1.4.2. Objetivo(s) específico(s) y actividad(es) GPA/PPA afectada(s)

La propuesta establece medidas para garantizar un elevado nivel común de seguridad de las redes y de la información en la Unión.

Los objetivos específicos son los siguientes:

1. Instaurar un nivel mínimo de SRI en los Estados miembros e incrementar de este modo el nivel global de preparación y respuesta.

2. Aumentar la cooperación en materia de SRI a escala de la UE con el fin de hacer frente con eficacia a incidentes y amenazas transfronterizos. Se creará una infraestructura segura para compartir información delicada y confidencial entre las autoridades competentes.

3. Crear una cultura de gestión de riesgos y mejorar el intercambio de información entre los sectores público y privado.

Actividad(es) GPA/PPA afectada(s)

La Directiva se aplica a entidades (empresas y organizaciones, incluidas algunas pymes) de una serie de sectores (energía, transportes, entidades de crédito y bolsas, sanidad y facilitadores de servicios clave de Internet), así como a las administraciones públicas.

Establece vínculos con los cuerpos de seguridad y la protección de datos, así como con aspectos de la SRI en el ámbito de las relaciones exteriores.

– 09 – Redes de Comunicación, Contenido y Tecnologías

– 02 – Empresa

– 32 – Energía

– 06 – Movilidad y Transporte

– 17 – Sanidad y Protección de los Consumidores

– 18 – Asuntos Internos

– 19 – Relaciones Exteriores

– 33 – Justicia

– 12- Mercado Interior

1.4.3. Resultado(s) e incidencia esperados

Especifíquense los efectos que la propuesta/iniciativa debería tener sobre los beneficiarios / la población destinataria.

La protección de los consumidores, las empresas y las administraciones de la UE frente a incidentes, amenazas y riesgos de SRI aumentaría considerablemente.

Para más información, consúltese la sección 8.2 (Efectos de la 2ª opción – Enfoque reglamentario) de la evaluación de impacto que figura en el documento de trabajo de los servicios de la Comisión adjunto a la presente propuesta legislativa.

1.4.4. Indicadores de resultados e incidencia

Especifíquense los indicadores que permiten realizar el seguimiento de la ejecución de la propuesta/iniciativa.

Los indicadores de control y evaluación pueden consultarse en la sección 10 de la evaluación de impacto.

1.5. Justificación de la propuesta/iniciativa

1.5.1. Necesidad(es) que debe(n) satisfacerse a corto o largo plazo

Cada Estado miembro deberá contar con:

– una estrategia nacional de SRI;

– un plan de cooperación nacional en materia de SRI;

– una autoridad nacional competente en materia de SRI; y

– un equipo de respuesta a emergencias informáticas (CERT).

A escala de la UE, los Estados miembros deberán cooperar a través de una red.

Las administraciones públicas y los agentes clave del sector privado deberán proceder a una gestión de riesgos de SRI y notificar a las autoridades competentes los incidentes de SRI con efectos significativos.

1.5.2. Valor añadido de la intervención de la Unión Europea

Dado el carácter transfronterizo de la SRI, las divergencias entre las legislaciones y estrategias pertinentes representan un obstáculo para que las empresas ejerzan sus actividades en varios países y logren economías de escala globales. Si la UE no interviniese, cada Estado miembro actuaría por separado sin tener en cuenta las interdependencias entre las redes y los sistemas de información.

Por consiguiente, los objetivos previstos pueden lograrse mejor mediante una actuación de la UE que mediante la intervención de cada Estado miembro por su cuenta.

1.5.3. Principales conclusiones extraídas de experiencias similares anteriores

La propuesta se deriva de la conclusión de que son precisas obligaciones reglamentarias para introducir condiciones de igualdad y colmar ciertas lagunas legislativas. En este ámbito, los planteamientos meramente voluntarios han dado lugar a una cooperación limitada a una minoría de Estados miembros con un elevado nivel de capacidades.

1.5.4. Coherencia y posibles sinergias con otros instrumentos pertinentes

La propuesta guarda total coherencia con la Agenda Digital para Europa y, por tanto, con la Estrategia Europa 2020. Es también coherente con el marco regulador de los servicios de comunicaciones electrónicas de la UE, la Directiva de la UE sobre infraestructuras críticas europeas y la Directiva de la UE sobre protección de datos.

La propuesta acompaña a la Comunicación de la Comisión y la Alta Representante de la Unión para Asuntos Exteriores y Política de Seguridad sobre una estrategia europea de ciberseguridad, y forma parte esencial de la misma.

1.6. Duración e incidencia financiera

– ⌧ Propuesta/iniciativa de duración limitada

– ⌧ Propuesta/iniciativa en vigor desde (el) (DD/MM)AAAA hasta (el) (DD/MM)AAAA

– ⌧ Incidencia financiera desde AAAA hasta AAAA

– ⌧ Propuesta/iniciativa de duración ilimitada

– El período de transposición se iniciará inmediatamente después de la adopción (prevista para 2015) y durará 18 meses. La aplicación de la Directiva, sin embargo, comenzará tras su adopción y entrañará la implantación de infraestructuras seguras que respalden la cooperación entre los Estados miembros.

– y pleno funcionamiento a partir de la última fecha.

1.7. Modo(s) de gestión previsto(s) (39)

– ⌧ Gestión centralizada directa a cargo de la Comisión

– ⌧ Gestión centralizada indirecta mediante delegación de las tareas de ejecución en:

– ⌧ agencias ejecutivas

– ⌧ organismos creados por las Comunidades (40)

– ⌧ organismos nacionales del sector público / organismos con misión de servicio público

– ⌧ personas a quienes se haya encomendado la ejecución de acciones específicas de conformidad con el título V del Tratado de la Unión Europea y que estén identificadas en el acto de base pertinente a efectos de lo dispuesto en el artículo 49 del Reglamento Financiero

– ⌧ Gestión compartida con los Estados miembros

– ⌧ Gestión descentralizada con terceros países

– ⌧ Gestión conjunta con organizaciones internacionales (Agencia Espacial Europea)

Si se indica más de un modo de gestión, facilítense los detalles en el recuadro de observaciones.

Observaciones:

La ENISA, agencia descentralizada creada por las Comunidades, puede asistir a los Estados miembros y la Comisión en la aplicación de la Directiva sobre la base de su mandato y mediante la reasignación de recursos prevista en el MFP 2014-2020 para esta agencia.

2. MEDIDAS DE GESTIÓN

2.1. Disposiciones en materia de seguimiento e informes

Especifíquense la frecuencia y las condiciones.

La Comisión revisará periódicamente el funcionamiento de la Directiva e informará de ello al Parlamento Europeo y al Consejo.

La Comisión también evaluará la correcta transposición de la Directiva por parte de los Estados miembros.

La propuesta de Mecanismo «Conectar Europa» (MCE) también prevé la posibilidad de proceder a una evaluación de las modalidades de realización de los proyectos, así como del impacto de su ejecución, a fin de determinar si se han conseguido los objetivos, incluidos los correspondientes a la protección del medio ambiente.

2.2. Sistema de gestión y de control

2.2.1. Riesgos definidos

– Retrasos en la ejecución del proyecto debidos a la construcción de infraestructuras seguras.

2.2.2. Método(s) de control previsto(s)

En los acuerdos y decisiones suscritos para llevar a cabo las medidas integradas en el MCE deben preverse la supervisión y el control financiero por la Comisión o cualquier representante autorizado de esta, así como las auditorías del Tribunal de Cuentas y las verificaciones in situ a cargo de la Oficina Europea de Lucha contra el Fraude (OLAF).

2.2.3. Costes y beneficios de los controles y porcentaje probable de incumplimiento

Gracias a los controles ex ante y ex post basados en el riesgo, así como a la posibilidad de efectuar auditorías in situ, los costes de los controles serán razonables.

2.3. Medidas de prevención del fraude y de las irregularidades

Especifíquense las medidas de prevención y protección existentes o previstas.

La Comisión adoptará las medidas adecuadas para garantizar que, cuando se realicen las acciones financiadas en el marco de la presente Directiva, los intereses financieros de la Unión queden protegidos mediante la aplicación de medidas preventivas contra el fraude, la corrupción y cualquier otra actividad ilegal, mediante la realización de controles efectivos y, si se detectan irregularidades, mediante la recuperación de las cantidades abonadas indebidamente y, cuando proceda, la imposición de sanciones efectivas, proporcionadas y disuasorias.

La Comisión o sus representantes y el Tribunal de Cuentas estarán facultados para auditar, sobre la base de documentos e in situ, a todos los beneficiarios de subvenciones, contratistas y subcontratistas que hayan recibido fondos de la Unión en el marco del programa.

La Oficina Europea de Lucha contra el Fraude (OLAF) podrá realizar controles y verificaciones in situ de los operadores económicos afectados directa o indirectamente por dicha financiación de conformidad con los procedimientos previstos en el Reglamento (Euratom, CE) nº 2185/96, con vistas a establecer cualquier posible fraude, corrupción u otra actividad ilegal que ataña a los intereses financieros de la Unión en relación con un convenio o decisión de subvención o con un contrato relativo a la financiación de la Unión.

Sin perjuicio de lo dispuesto en los párrafos anteriores, los acuerdos de cooperación con terceros países y con organizaciones internacionales, así como los convenios y decisiones de subvención y los contratos derivados de la aplicación de la presente Directiva, facultarán expresamente a la Comisión, al Tribunal de Cuentas y a la OLAF para llevar a cabo las auditorías y los controles y verificaciones in situ mencionados.

En el marco del MCE, los contratos de subvención y los contratos públicos se basarán en modelos normalizados en los que constarán las medidas antifraude generalmente aplicables.

3. INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA

3.1. Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s)

• Líneas presupuestarias existentes

En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.

3.2.

………………………………………………………………………………………………………..

3.2.1.

…………………………………………………………………………………………………………

3.2.2. Incidencia estimada en los créditos de operaciones

………………………………………………………………………………………………………..

3.2.3. Incidencia estimada en los créditos de carácter administrativo

3.2.3.1. Resumen

……………………………………………………………………………………………………. 

3.2.3.2. Necesidades estimadas de recursos humanos

3.2.4. Compatibilidad con el marco financiero plurianual vigente

3.2.5. Contribución de terceros

– La propuesta/iniciativa no prevé la cofinanciación por terceros.

3.3. Incidencia estimada en los ingresos

– ⌧ La propuesta/iniciativa no tiene incidencia financiera en los ingresos.

——————————————————————————————

(1) La consulta pública en línea sobre la mejora de la seguridad de las redes y de la información en la UE se desarrolló del 23 de julio al 15 de octubre de 2012.

(2) Eurobarómetro 390/2012.

(3) COM(2001) 298.

(4) COM(2006) 251 http://eur-lex.europa.eu/LexUriServ/site/es/com/2006/com2006_0251es01.pdf.

(5) 2007/068/01.

(6) COM(2009) 149.

(7) 2009/C 321/01.

(8) COM(2010) 245.

(9) Conclusiones del Consejo de 31 de mayo de 2010 sobre la Agenda Digital para Europa (10130/10).

(10) COM(2010) 2020 y Conclusiones del Consejo Europeo de 25 y 26 de marzo de 2010 (EUCO 7/10).

(11) COM(2011) 163.

(12) http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:32004R0460:ES:HTML.

(13) COM(2010) 521.

(14) Véase http://ec.europa.eu/information_society/policy/ecomm/doc/library/regframeforec_dec2009.pdf.

(15) Artículos 13 bis y 13 ter de la Directiva Marco.

(16) Directiva 2002/58/CE de 12 de julio de 2002.

(17) COM(2012) 11.

(18) COM(2006) 786, http://eur-lex.europa.eu/LexUriServ/site/es/com/2006/com2006_0786es01.pdf.

(19) COM(2010) 517, http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2010:0517:FIN:ES:PDF.

(20) COM(2012) 140 http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2012:0140:FIN:ES:PDF.

(21) http://europa.eu/rapid/press-release_MEMO-10-597_en.htm.

(22) http://www.enisa.europa.eu/activities/Resilience-and-CIIP/public-private-partnership/european-publicprivate-partnership-for-resilience-ep3r.

(23) Reglamento (CE) n° 460/2004 del Parlamento Europeo y del Consejo, de 10 de marzo de 2004, por el que se crea la Agencia Europea de Seguridad de las Redes y de la Información (DO L 77 de 13.3.2004, p. 1).

(24) DO C (…) de (…), p. (…).

(25) DO L 108 de 24.4.2002, p. 33.

(26) DO L 201 de 31.7.2002, p. 37.

(27) DO L 204 de 21.7.1998, p. 37.

(28) SEC(2012) 72 final.

(29) DO L 316 de 14.11.2012, p. 12.

(30) DO L 55 de 28.2.2011, p. 13.

(31) DO L 145 de 31.5.2001, p. 43.

(32) DO L 345 de 23.12.2008, p. 75.

(33) DO L 281 de 23.11.1995, p. 31.

(34) SEC(2012) 72 final.

(35) DO L 124 de 20.5.2003, p. 36.

(36) SEC(2012) 72 final

(37) GPA: gestión por actividades. PPA: presupuestación por actividades.

(38) Tal como se contempla en el artículo 49, apartado 6, letra a) o b), del Reglamento Financiero.

(39) Las explicaciones sobre los modos de gestión y las referencias al Reglamento Financiero pueden consultarse en el sitio BudgWeb: http://www.cc.cec/budg/man/budgmanag/budgmanag_en.html http://www.cc.cec/budg/man/budgmanag/budgmanag_en.html

(40) Tal como se contemplan en el artículo 185 del Reglamento Financiero.

Art. 35. – 1. «Todos los ciudadanos tienen derecho a conocer lo que constare acerca de los mismos en registros mecanográficos, así como el fin a que se destinan las informaciones, pudiendo exigir la rectificación de los datos y su actualización»

               2. «La informática no podrá ser usada para el tratamiento de datos referentes a convicciones política, fe,  religiosas o vida privada, excepto cuando se trate del proceso de datos no identificables para fines estadísticos».

               2  «Queda prohibida la atribución de un número nacional único a los ciudadanos»

Constituição da República Portuguesa

Lei Constitucional nº 1/97, DR-I-A, 20.09

Preâmbulo

A 25 de Abril de 1974, o Movimento das Forças Armadas, coroando a longa resistência do povo português e interpretando os seus sentimentos profundos, derrubou o regime fascista.

Libertar Portugal da ditadura, da opressão e do colonialismo representou uma transformação revolucionária e o início de uma viragem histórica da sociedade portuguesa.

A Revolução restituiu aos Portugueses os direitos e liberdades fundamentais. No exercício destes direitos e liberdades, os legítimos representantes do povo reúnem-se para elaborar uma Constituição que corresponde às aspirações do país.

A Assembleia Constituinte afirma a decisão do povo português de defender a independência nacional, de garantir os direitos fundamentais dos cidadãos, de estabelecer os princípios basilares da democracia, de assegurar o primado do Estado de Direito democrático e de abrir caminho para uma sociedade socialista, no respeito da vontade do povo português, tendo em vista a construção de um país mais livre, mais justo e mais fraterno.
A Assembleia Constituinte, reunida na sessão plenária de 2 de Abril de 1976, aprova e decreta a seguinte Constituição da República Portuguesa:

Princípios fundamentais

Artigo 7º.- Relações internacionais

1. Portugal rege-se nas relações internacionais pelos princípios da independência nacional, do respeito dos direitos do homem, dos direitos dos povos, da igualdade entre os Estados, da solução pacífica dos conflitos internacionais, da não ingerência nos assuntos internos dos outros Estados e da cooperação com todos os outros povos para a emancipação e o progresso da humanidade.

2. Portugal preconiza a abolição do imperialismo, do colonialismo e de quaisquer outras formas de agressão, domínio e exploração nas relações entre os povos, bem como o desarmamento geral, simultâneo e controlado, a dissolução dos blocos político-militares e o estabelecimento de um sistema de segurança colectiva, com vista à criação de uma ordem internacional capaz de assegurar a paz e a justiça nas relações entre os povos.

3. Portugal reconhece o direito dos povos à autodeterminação e independência e ao desenvolvimento, bem como o direito à insurreição contra todas as formas de opressão.

4. Portugal mantém laços privilegiados de amizade e cooperação com os países de língua portuguesa.

5. Portugal empenha-se no reforço da identidade europeia e no fortalecimento da acção dos Estados europeus a favor da democracia, da paz, do progresso económico e da justiça nas relações entre os povos.

6. Portugal pode, em condições de reciprocidade, com respeito pelo princípio da subsidiariedade e tendo em vista a realização da coesão económica e social, convencionar o exercício em comum dos poderes necessários à construção da união europeia.

Artigo 8º.- Direito internacional

1. As normas e os princípios de direito internacional geral ou comum fazem parte integrante do direito português.

2. As normas constantes de convenções internacionais regularmente ratificadas ou aprovadas vigoram na ordem interna após a sua publicação oficial e enquanto vincularem internacionalmente o Estado Português.

3. As normas emanadas dos órgãos competentes das organizações internacionais de que Portugal seja parte vigoram directamente na ordem interna, desde que tal se encontre estabelecido nos respectivos tratados constitutivos.

PARTE I .– Direitos e deveres fundamentais

TÍTULO I .– Princípios gerais

Artigo 17º.- Regime dos direitos, liberdades e garantias

O regime dos direitos, liberdades e garantias aplica-se aos enunciados no título II e aos direitos fundamentais de natureza análoga.

TÍTULO II.- Direitos, liberdades e garantias

CAPÍTULO I.- Direitos, liberdades e garantias pessoais

Artigo 25º.- Direito à integridade pessoal

1. A integridade moral e física das pessoas é inviolável.

2. Ninguém pode ser submetido a tortura, nem a tratos ou penas cruéis, degradantes ou desumanos.

Artigo 26º.- Outros direitos pessoais

1. A todos são reconhecidos os direitos à identidade pessoal, ao desenvolvimento da personalidade, à capacidade civil, à cidadania, ao bom nome e reputação, à imagem, à palavra, à reserva da intimidade da vida privada e familiar e à protecção legal contra quaisquer formas de discriminação.

2. A lei estabelecerá garantias efectivas contra a utilização abusiva, ou contrária à dignidade humana, de informações relativas às pessoas e famílias.

3. A lei garantirá a dignidade pessoal e a identidade genética do ser humano, nomeadamente na criação, desenvolvimento e utilização das tecnologias e na experimentação científica.

4. A privação da cidadania e as restrições à capacidade civil só podem efectuar-se nos casos e termos previstos na lei, não podendo ter como fundamento motivos políticos.

Artigo 27º.- Direito à liberdade e à segurança

1. Todos têm direito à liberdade e à segurança.

2. Ninguém pode ser total ou parcialmente privado da liberdade, a não ser em consequência de sentença judicial condenatória pela prática de acto punido por lei com pena de prisão ou de aplicação judicial de medida de segurança.

3. Exceptua-se deste princípio a privação da liberdade, pelo tempo e nas condições que a lei determinar, nos casos seguintes:

a) Detenção em flagrante delito;

b) Detenção ou prisão preventiva por fortes indícios de prática de crime doloso a que corresponda pena de prisão cujo limite máximo seja superior a três anos;

c) Prisão, detenção ou outra medida coactiva sujeita a controlo judicial, de pessoa que tenha penetrado ou permaneça irregularmente no território nacional ou contra a qual esteja em curso processo de extradição ou de expulsão;

d) Prisão disciplinar imposta a militares, com garantia de recurso para o tribunal competente;

e) Sujeição de um menor a medidas de protecção, assistência ou educação em estabelecimento adequado, decretadas pelo tribunal judicial competente;

f) Detenção por decisão judicial em virtude de desobediência a decisão tomada por um tribunal ou para assegurar a comparência perante autoridade judiciária competente;

g) Detenção de suspeitos, para efeitos de identificação, nos casos e pelo tempo estritamente necessários;

h) Internamento de portador de anomalia psíquica em estabelecimento terapêutico adequado, decretado ou confirmado por autoridade judicial competente.

4. Toda a pessoa privada da liberdade deve ser informada imediatamente e de forma compreensível das razões da sua prisão ou detenção e dos seus direitos.

5. A privação da liberdade contra o disposto na Constituição e na lei constitui o Estado no dever de indemnizar o lesado nos termos que a lei estabelecer.

Artigo 34º.- Inviolabilidade do domicílio e da correspondência

1. O domicilio e o sigilo da correspondência e dos outros meios de comunicação privada são invioláveis.

2. A entrada no domicilio dos cidadãos contra a sua vontade só pode ser ordenada pela autoridade judicial competente, nos casos e segundo as formas previstos na lei.

3. Ninguém pode entrar durante a noite no domicilio de qualquer pessoa sem o seu consentimento.

4. É proibida toda a ingerência das autoridades públicas na correspondência, nas telecomunicações e nos demais meios de comunicação, salvos os casos previstos na lei em matéria de processo criminal.

Artigo 35º.- Utilização da informática

1. Todos os cidadãos têm o direito de acesso aos dados informatizados que lhes digam respeito, podendo exigir a sua rectificação e actualização, e o direito de conhecer a finalidade a que se destinam, nos termos da lei.

2. A lei define o conceito de dados pessoais, bem como as condições aplicáveis ao seu tratamento automatizado, conexão, transmissão e utilização, e garante a sua protecção, designadamente através de entidade administrativa independente.

3. A informática não pode ser utilizada para tratamento de dados referentes a convicções filosóficas ou políticas, filiação partidária ou sindical, fé religiosa, vida privada e origem étnica, salvo mediante consentimento expresso do titular, autorização prevista por lei com garantias de não discriminação ou para processamento de dados estatísticos não individualmente identificáveis.

4. É proibido o acesso a dados pessoais de terceiros, salvo em casos excepcionais previstos na lei.

5. É proibida a atribuição de um número nacional único aos cidadãos.

6. A todos é garantido livre acesso às redes informáticas de uso público, definindo a lei o regime aplicável aos fluxos de dados transfronteiras e as formas adequadas de protecção de dados pessoais e de outros cuja

salvaguarda se justifique por razões de interesse nacional.

7. Os dados pessoais constantes de ficheiros manuais gozam de protecção idêntica à prevista nos números anteriores, nos termos da lei.

CAPÍTULO II.- Competência

Artigo 161º.- Competência política e legislativa

Compete à Assembleia da República: