¿Cabe entender que la Orden ETD/465/2021 solo permite el «onboarding» con herramientas automatizadas de comprobación de identidad ?


Hay debates entre especialistas sobre si la Orden ETD/465/2021 solo permite el «onboarding» con herramientas de comprobación de identidad automatizadas.

Hay quién opina que no, ya que el Artículo 4 establece claramente 2 modalidades de identificación remota por vídeo:

El proceso de identificación remota por vídeo se podrá realizar de forma asistida, con la mediación síncrona de un operador, o de forma no asistida, sin necesidad de interacción en línea entre un operador y el solicitante, con revisión posterior de un operador.

Según esa definición en un proceso atendido por operador no se requeriría una herramienta del tipo de las utilizadas en entornos que favorecen la actuación automatizada.

Sin embargo, hay quien opina que se debe entender que en en el proceso asistido o síncrono, el operador es parte activa del proceso pero la toma de decisión de la identificación es realizada a partir de la información suministrada por una herramienta.

Por lo tanto, esta herramienta debería incorporar los medios técnicos para validar los documentos de identificación y verificar la correspondencia del titular de este documento con el solicitante que realiza el proceso y para verificar que es una persona viva que no está siendo suplantada.

Es una idea un poco peregrina, pero quien opina esto hace mención a que el artículo 8 de la Orden ETD/465/2021 indica:

La identidad del solicitante se acreditará mediante los documentos de identidad previstos en la ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza. Los documentos de identidad utilizados deberán incluir una fotografía y disponer de características de seguridad automáticamente comprobables en el proceso de identificación remota por vídeo de forma que se garantice la detección de falsificaciones y manipulaciones.

El hecho de exigir a los documentos de identidad que cuenten con características de seguridad automáticamente comprobables es un requisito que excede lo que la Orden puede imponer, porque no puede ir más allá de lo que indica el artículo 7 de la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza. Dado que este artículo 7 indica «La identificación de la persona física que solicite un certificado cualificado exigirá su personación ante los encargados de verificarla y se acreditará mediante el Documento Nacional de Identidad…», si el documento Nacional de Identidad no tuviera características de seguridad automáticamente comprobables no por ello dejaría de ser obligatoria su comprobación.

Por otro lado, el que los documentos de identidad cuenten con características de seguridad automáticamente comprobables facilita el proceso realizado de forma no asistida pero no lo impone.

Este «disidente» opina que de la lectura del artículo 11 de la Orden ETD/465/2021 hay que deducir que «al no existir personación del solicitante, la herramienta debe proporcionar al operador una comparación automática entre la imagen del rostro extraído del documento de identidad y una imagen de la cara capturada por la herramienta. Esta comparación automática es independiente de la modalidad de identificación remota por vídeo realizada»

Sin embargo, contra ese criterio, otros opinan que el apartado 4 del artículo 11 de la orden indica:

a) Medidas procedimentales que hagan patente dicha manipulación con la introducción de un código único, aleatorio e impredecible y de un solo uso generado al efecto y remitido al solicitante. El código constará de un mínimo de seis caracteres o sistema con entropía equivalente. El prestador comprobará que el dispositivo móvil al que se remite el código se encuentra en posesión del usuario durante el proceso de identificación. El órgano supervisor podrá poner a disposición de los prestadores una plataforma tecnológica de verificación de la asociación del usuario con el dispositivo móvil.

b) En el caso de la identificación remota por vídeo asistida, medidas organizativas que hagan patente dicha manipulación a través de la interacción con el documento de identidad utilizado y con el solicitante, según las indicaciones del operador, a través de interacciones y actuaciones físicas que figurarán en un protocolo que incluirá acciones tanto comunes como aleatorias y diferenciadas.

c) En el caso de la identificación remota por vídeo no asistida, el sistema requerirá al solicitante la realización activa de interacciones y actuaciones físicas, que figurarán en un protocolo que incluirá acciones tanto comunes como aleatorias y diferenciadas.

Y que del texto cabe deducir que en el caso de la identificación remota por vídeo asistida, las medidas son organizativas.

El punto más controvertido del debate es la referencia al apartado 5 del artículo 12 de la Orden ETD/465/2021:

Se conservará, por un periodo mínimo de tiempo de quince años, el resultado automático de la verificación realizada por la aplicación, así como la evaluación y observaciones realizadas por el operador junto a su decisión de aprobación o rechazo de la identificación.

Nuestro amigo dice que esa mención implica que es obligatorio el uso de una aplicación para la verificación. Otros opinamos que es una opción que solo aplica cuando hay una aplicación de verificación pero no en los casos en los que no hay ninguna aplicación.

Así que este es el debate para e que se agradecen comentarios y respuestas por twitter.

(Estamos aplazando un nuevo debate para considerar la norma ETSI TS 119 461)

Cartera IDUE = EUDI Wallet


El nuevo ecosistema que hay que desplegar para acoger el futuro mecanismo de Identidad Digital de la Unión Europea tendrá entre sus principales componentes una Cartera Digital (Cartera IDUE. Identidad Digital de la Unión Europea) desde la que se gestionarán certificados de firma electrónica, testimonios digitales de atributos (que podrán ser cualificados y no cualificados) y datos personales.

Los datos que se ceden estarán bajo el control de su titular que en un momento dado podrá retirar el permiso de acceso a sus datos que hubiera otorgado con anterioridad.

En la cartera (o más bien en el ecosistema creado alrededor de la cartera) quedará registrada cada cesión de datos y ¡por fin! existirá un mecanismos para tener constancia de todas las veces en las que se formula el consentimiento para que empresas y entidades hagan uso de nuestros datos, en un contexto en el que el Reglamento General de Protección de Datos da una pauta de nuestros derechos pero no aclara como ejercerlos de manera adecuada.

No necesitaremos una libreta para ir apuntando cada vez que nos piden permiso para tener nuestros datos y junto a la anotación la forma de ejercer frente a la entidad los derechos SOPLAR.

El documento que resume la funcionalidad de la Cartera IDUE y el futuro ecosistema lo ha elaborado el Grupo de Expertos EIDAS creado al efecto cuando se anunció la Propuesta de modificación del Reglamento EIDAS y la versión que existe ahora mismo es la de febrero de 2022. Se denomina «ARF» (European Digital Identity Architecture and Reference Framework – Outline).

Se anunció que el 30 de octubre de 2022 se publicaría una nueva versión, pero todavía no se ha publicado.

¿Cómo se firman las TSL?


Las TSL (Trust Service status List) son listas de servicios de confianza cualificados expedidas por los organismos emisores (Operadores del Esquema) de cada uno de los países miembro de la Unión Europea (en conexión con los Organismos Supervisores, y frecuentemente formando parte de ellos) y son necesarias para establecer las cadenas de confianza de los certificados cualificados (y otros servicios de confianza), en el contexto del Reglamento EIDAS. Son ficheros codificados en XML (lo que optimiza su tratamiento automatizado) aunque se generan versiones en PDF para facilitar su lectura por los seres humanos.

Su estructura se define en la norma ETSI TS 119 612.

La lista de servicios de confianza cualificados debe estar firmada digitalmente por el «Scheme operator name» (Denominación del Operador del Esquema) para garantizar su autenticidad e integridad.

El formato de la firma digital debe ser XAdES BES o EPES, tal como se define en la norma ETSI TS 101 903. El algoritmo de firma y la clave del certificado deben permitir su uso durante un mínimo de 3 años, tal como se especifica en la siguiente tabla de ETSI TS 119 312:

El certificado del TLSO (Trust List Scheme Operator, en español Operador del Esquema de la Lista de Confianza), debe firmar electrónicamente la lista y de la validez de esta firma electrónica depende la validez de la lista del país. Esto implica incluir el certificado del firmante en la firma.

Para ello se debe utilizar el elemento de XML ds:KeyInfo, que solo deberá contener el certificado del Operador del Esquema y no deberá contener ningún otro certificado que forme ningún tipo de cadena de certificados asociada.

El certificado del Operador del Esquema deberá ajustarse a las siguientes restricciones:

  • El emisor del certificado podrá ser el propio TLSO (en este caso se trataría de un certificado autofirmado) o un servicio de confianza TSP (Trust Service Provider) que figure en la TL (Trusted List) o en una de las TL que forma parte de la misma comunidad (opción descrita en el apartado 5.3.9 de la norma ETSI TS 119 612 citada).
  • Los campos «Country code» (código de país) y «Organization» (organización) del Subject Distinguished Name (nombre distinguido del sujeto) deberán coincidir, respectivamente, con el «Scheme Territory» y uno de los valores de «Scheme operator name». Para este último, el valor en inglés del Reino Unido (preferido) o en el idioma local (transliterado a escritura latina), según esté disponible.

En el caso de la actual lista TSL de España el certificado es el siguiente:

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

Al decodificarlo, el resultado es este:

Cabe indicar que el certificado no es el correcto, especialmente si se tiene en cuenta que es el certificado del organismo designado para supervisar el sector de los servicios de confianza.

La indicada, es la denominación del organismo supervisor en la legislatura anterior.

En efecto, el Real Decreto 2/2020, de 12 de enero, por el que se reestructuran los departamentos ministeriales, establece en su artículo 16

Artículo 16. Ministerio de Asuntos Económicos y Transformación Digital.

1. Corresponde al Ministerio de Asuntos Económicos y Transformación Digital la propuesta y ejecución de la política del Gobierno en materia económica y de reformas para la mejora de la competitividad, las telecomunicaciones y la sociedad de la información.

2. Asimismo corresponde a este Ministerio la propuesta y ejecución de la política del Gobierno para la transformación digital y el desarrollo y fomento de la inteligencia artificial.

3. Este Ministerio se estructura en los siguientes órganos superiores:

a) La Secretaría de Estado de Economía y Apoyo a la Empresa.

b) La Secretaría de Estado de Digitalización e Inteligencia Artificial.

c) La Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales.

Posteriormente el Real Decreto 403/2020, de 25 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio de Asuntos Económicos y Transformación Digital desarrolla en su Artículo 8 la composición de la Secretaría de Estado de Digitalización e Inteligencia Artificial.

c) La Subdirección General para la Sociedad Digital, a la que corresponden las funciones a las que se refieren los párrafos m), n), ñ), o) y p) del apartado 1.

Es decir:

m) La supervisión, impulso y coordinación de iniciativas para la garantía del derecho a la confianza y seguridad digital, y en especial a la protección de los menores y colectivos vulnerables, así como la regulación en materia de ciberseguridad de los servicios digitales, en colaboración con otros órganos u organismos con competencias en la materia, así como con los sectores económicos y sociales públicos y privados afectados.

n) La elaboración y propuesta de normativa en materia de servicios digitales y sus prestadores, en particular sobre identificación electrónica y servicios electrónicos de confianza, comercio electrónico y nombres de dominio de Internet.

ñ) La elaboración de normativa, en colaboración con otros departamentos, referente a la regulación de las plataformas digitales, entre otras, la relativa a la privacidad y protección de la información, así como a la garantía de equidad y respeto a los derechos digitales de usuarios y empresas.

o) El ejercicio de las facultades de supervisión, control, inspección y sanción en materia de la sociedad digital, de conformidad con la legislación aplicable, incluyendo la gestión de la lista de prestadores de servicios de confianza cualificados

p) La participación en comisiones, grupos de trabajo y otros foros de carácter internacional o nacional, tanto públicos como privados, en materia de sociedad digital, así como el seguimiento y participación en iniciativas y foros relacionados con la Gobernanza de Internet.

Esa norma se publicó en el «BOE» núm. 50, de 27 de febrero de 2020. Por tanto el certificado debería haberse actualizado al día siguiente. Un certificado autofirmado se realiza en 10 minutos, especialmente si se cuenta con el fichero de configuración de Open-SSL de la emisión anterior. Pon 10 días entre que se piensa y se planifica. Y algo más para comunicar a los administradores de la EUTL.

Es decir han transcurrido 975 días (31 meses) y el organismo que supervisa a los emisores de certificados no ha sido capaz de crear un certificado adecuado en el que el firmante sea quien dice ser.

Dia mundial del cifrado: 21 de octubre. Intervención de Julián Inza en el evento de Cibervoluntarios


Conéctate a este evento programado para el 21 de octubre de 2022 a las 16.00h, con motivo del Día Mundial del Cifrado.

El viernes 21 de octubre a las 16.00h, online y en directo, se retransmite por YouTube mi charla / diálogo «El cifrado. La importancia del cifrado y el papel de los gobiernos en su implantación”. Aunque pensando más en los ciudadanos que en los gobiernos.

Julián Inza en el Dia Mundial del Cifrado

Agradezco a los que os conectéis en tiempo real a esta charla impartida por Julián Inza, Chief Audit Officer de TCAB Trust Conformity Assessment Body, uno de los primeros organismos de evaluación de conformidad de Europa.

Los Organismos de Evaluación de Conformidad (Conformity Assessment Bodies, CAB) auditan a los Prestadores Cualificados de Servicios Electrónicos de Confianza que despliegan sus servicios en el contexto del Reglamento EIDAS.

Julián Inza nos hablará de la importancia del cifrado y de las acciones que como ciudadanos podemos realizar para protegerlo, involucrando a instituciones públicas y gobiernos.

El evento lo organiza la Fundación Cibervoluntarios, Internet Society y la Global Encryption Coalition.

Video de mi charla en Tecnowebinars sobre Criptografía postcuántica y EIDAS2


El pasado 18 de mayo de 2022 participé como ponente en uno de los eventos organizados por Tecnowebinars, en este caso bajo el auspicio de EADTrust.

Daniel Alguacil fue el introductor.

La charla está dividida en 2 partes.

Una sobre los posibles algoritmos de criptografía de clave pública resistentes a la computación cuantica, con el reto que supone el algoritmo de Shor, que surgirán del proceso de selección desarrollado por el NIST.

Y la otra sobre el reto que supondrá en Europa la modificación del Reglamento EIDAS (EIDAS2), sobre todo en relación con la EUDI Wallet (European Union Digital Identity Wallet). En español, Cartera IDUE (Cartera de Identidad Digital de la Unión Europea).

Posteriormente, en julio de 2022, se publicó por el NIST la selección de algoritmos de criptografía de clave pública de la fase 3 del proceso de de selección de este tipo de algoritmos resistentes a la computación cuántica. Entre otros, dos de los algoritmos seleccionados han sido CRYSTALS KYBER para el intecambio de claves y CRYSTALS DILITHIUM para la firma digital.

El informe del NIST «Status Report on the Third Round of the NIST Post-Quantum Cryptography Standardization Process» está disponible en https://t.co/0i9Jn10lpi

Ley Crea y Crece: la expedición y recepción de factura electrónica en realidad no es obligatoria para empresas y profesionales


Actualización de 11 de octubre de 2022

Dándole vueltas a la frase «La entrada en vigor … está supeditada a la obtención de la excepción comunitaria a los artículos 218 y 232 de la Directiva 2006/112/CE» he llegado a la conclusión de que lo que significa es que a pesar de lo que nos hace creer este artículo, en realidad NO HAY FACTURA ELECTRÓNICA OBLIGATORIA.

Primero porque nadie parece saber qué es una excepción comunitaria, ni como saber si se ha producido, ni qué instrumento jurídico la puede recoger, ni si existe un ejemplo de alguna «excepción comunitaria» anterior. Segundo, porque si se requiere un cambio en el articulado de una Directiva hará falta otra Directiva (o quizá un Reglamento) que la modifiquen o regulen de forma diferente lo tratado en ella, posiblemente derogándola. Y tampoco ha trascendido que se esté preparando algo así a nivel europeo.

El texto de este post antes de la actualización era:

La Ley 18/2022, de 28 de septiembre, de creación y crecimiento de empresas modifica a través de su artículo 12 la Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información

Se modifica el artículo 2 bis de la Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información, que queda redactado como sigue:

«Artículo 2 bis. Factura electrónica en el sector privado.

A efectos de lo dispuesto en esta ley:

1. Todos los empresarios y profesionales deberán expedir, remitir y recibir facturas electrónicas en sus relaciones comerciales con otros empresarios y profesionales. El destinatario y el emisor de las facturas electrónicas deberán proporcionar información sobre los estados de la factura.

2. Las soluciones tecnológicas y plataformas ofrecidas por empresas proveedoras de servicios de facturación electrónica a los empresarios y profesionales deberán garantizar su interconexión e interoperabilidad gratuitas. De la misma forma, las soluciones y plataformas de facturación electrónica propias de las empresas emisoras y receptoras deberán cumplir los mismos criterios de interconexión e interoperabilidad gratuita con el resto de soluciones de facturación electrónica.

3. Durante un plazo de cuatro años desde la emisión de las facturas electrónicas, los destinatarios podrán solicitar copia de las mismas sin incurrir en costes adicionales.

3 bis. El receptor de la factura no podrá obligar a su emisor a la utilización de una solución, plataforma o proveedor de servicios de facturación electrónica predeterminado.

4. Las empresas prestadoras de los servicios a que alude el artículo 2.2, deberán expedir y remitir facturas electrónicas en sus relaciones con particulares que acepten recibirlas o que las hayan solicitado expresamente. Este deber es independiente del tamaño de su plantilla o de su volumen anual de operaciones.

No obstante, las agencias de viaje, los servicios de transporte y las actividades de comercio al por menor solo están obligadas a emitir facturas electrónicas en los términos previstos en el párrafo anterior cuando la contratación se haya llevado a cabo por medios electrónicos.

5. El Gobierno podrá ampliar el ámbito de aplicación de lo dispuesto en el apartado 4 a empresas o entidades que no presten al público en general servicios de especial trascendencia económica en los casos en que se considere que deban tener una interlocución telemática con sus clientes o usuarios, por la naturaleza de los servicios que prestan, y emitan un número elevado de facturas.

6. Las facturas electrónicas deberán cumplir, en todo caso, lo dispuesto en la normativa específica sobre facturación.

Así mismo, los sistemas y programas informáticos o electrónicos que gestionen los procesos de facturación y conserven las facturas electrónicas deberán respetar los requisitos a los que se refiere el artículo 29.2.j) de la Ley 58/2003, de 17 de diciembre, General Tributaria, y su desarrollo reglamentario.

7. Las empresas prestadoras de servicios a que alude el apartado 4 deberán facilitar acceso a los programas necesarios para que los usuarios puedan leer, copiar, descargar e imprimir la factura electrónica de forma gratuita sin tener que acudir a otras fuentes para proveerse de las aplicaciones necesarias para ello.

Deberán habilitar procedimientos sencillos y gratuitos para que los usuarios puedan revocar el consentimiento dado a la recepción de facturas electrónicas en cualquier momento.

8. El período durante el que el cliente puede consultar sus facturas por medios electrónicos establecido en el artículo 2.1.b) no se altera porque aquel haya resuelto su contrato con la empresa o revocado su consentimiento para recibir facturas electrónicas. Tampoco caduca por esta causa su derecho a acceder a las facturas emitidas con anterioridad.

9. Las empresas que, estando obligadas a ello, no ofrezcan a los usuarios la posibilidad de recibir facturas electrónicas o no permitan el acceso de las personas que han dejado de ser clientes a sus facturas, serán sancionadas con apercibimiento o una multa de hasta 10.000 euros. La sanción se determinará y graduará conforme a los criterios establecidos en el artículo 19.2 de la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza. Idéntica sanción puede imponerse a las empresas que presten servicios al público en general de especial trascendencia económica que no cumplan las demás obligaciones previstas en el artículo 2.1. Es competente para imponer esta sanción la persona titular de la Secretaría de Estado de Digitalización e Inteligencia Artificial.

10. El procedimiento de acreditación de la interconexión y la interoperabilidad de las plataformas se determinará reglamentariamente.»

Antes de este cambio, la Ley 25/2013, de 27 de diciembre, de impulso de la factura electrónica y creación del registro contable de facturas en el Sector Público, fue la que introdujo el articulo 2 bis en la LMISI, que se ha conservado con pocos cambios en la parte final del articulo modificado

A efectos de lo dispuesto en esta Ley:

1. Las empresas prestadoras de los servicios a que alude el artículo 2.2, deberán expedir y remitir facturas electrónicas en sus relaciones con empresas y particulares que acepten recibirlas o que las hayan solicitado expresamente. Este deber es independiente del tamaño de su plantilla o de su volumen anual de operaciones.

No obstante, las agencias de viaje, los servicios de transporte y las actividades de comercio al por menor sólo están obligadas a emitir facturas electrónicas en los términos previstos en el párrafo anterior cuando la contratación se haya llevado a cabo por medios electrónicos.

Las obligaciones previstas en este artículo no serán exigibles hasta el 15 de enero de 2015.

2. El Gobierno podrá ampliar el ámbito de aplicación de este artículo a empresas o entidades que no presten al público en general servicios de especial trascendencia económica en los casos en que se considere que deban tener una interlocución telemática con sus clientes o usuarios, por la naturaleza de los servicios que prestan, y emitan un número elevado de facturas.

3. Las facturas electrónicas deberán cumplir, en todo caso, lo dispuesto en la normativa específica sobre facturación.

4. Las empresas prestadoras de servicios deberán facilitar acceso a los programas necesarios para que los usuarios puedan leer, copiar, descargar e imprimir la factura electrónica de forma gratuita sin tener que acudir a otras fuentes para proveerse de las aplicaciones necesarias para ello.

Deberán habilitar procedimientos sencillos y gratuitos para que los usuarios puedan revocar el consentimiento dado a la recepción de facturas electrónicas en cualquier momento.

5. El período durante el que el cliente puede consultar sus facturas por medios electrónicos establecido en el artículo 2.1 b) no se altera porque aquel haya resuelto su contrato con la empresa o revocado su consentimiento para recibir facturas electrónicas. Tampoco caduca por esta causa su derecho a acceder a las facturas emitidas con anterioridad.

6. Las empresas que, estando obligadas a ello, no ofrezcan a los usuarios la posibilidad de recibir facturas electrónicas o no permitan el acceso de las personas que han dejado de ser clientes, a sus facturas, serán sancionadas con apercibimiento o una multa de hasta 10.000 euros. La sanción se determinará y graduará conforme a los criterios establecidos en el artículo 33 de la Ley 59/2003, de 19 de diciembre, de firma electrónica.

Idéntica sanción puede imponerse a las empresas que presten servicios al público en general de especial trascendencia económica que no cumplan las demás obligaciones previstas en el artículo 2.1.

Es competente para imponer esta sanción el Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información.»

O sea que ya es obligatoria la remisión y recepción de facturas electrónicas: todos los empresarios y profesionales deberán expedir, remitir y recibir facturas electrónicas en sus relaciones comerciales con otros empresarios y profesionales, si bien la obligación está condicionada a que se publique el desarrollo reglamentario.

La entrada en vigor del artículo 12, relativo a la facturación electrónica entre empresarios y profesionales producirá efectos, para los empresarios y profesionales cuya facturación anual sea superior a ocho millones de euros, al año de aprobarse el desarrollo reglamentario. Para el resto de los empresarios y profesionales, este artículo producirá efectos a los dos años de aprobarse el desarrollo reglamentario. La entrada en vigor del artículo 12 está supeditada a la obtención de la excepción comunitaria a los artículos 218 y 232 de la Directiva 2006/112/CE del Consejo, de 28 de noviembre de 2006, relativa al sistema común del impuesto sobre el valor añadido.

Mientras se produce esa excepción, el texto de los artículos citados indica:

Artículo 218

A efectos de la presente Directiva, los Estados miembros aceptarán como factura cualquier documento o mensaje en papel o en forma electrónica que cumpla las condiciones determinadas por el presente capítulo.

Artículo 232

Las facturas expedidas en aplicación de las disposiciones de la sección 2 podrán ser transmitidas en papel o, a reserva de la aceptación del destinatario, transmitidas o suministradas por vía electrónica

Spain: Verifiable invoices to be developed following changes to article 29.2.j) of the General Tax Law.


By means of Law 11/2021, of July 9, 21, known in abbreviated form as «of measures for the prevention and fight against tax fraud», a new letter j) is added to Article 29. 2 of the General Tax Law (LGT) a new letter j), which establishes the obligation, for producers, traders and users, that the computer or electronic systems and programs that support the accounting, invoicing or management processes of those who carry out economic activities, guarantee the integrity, conservation, accessibility, legibility, traceability and inalterability (ICALTI) of the records, without interpolations, omissions or alterations of which there is no due notation in the systems themselves.

Furthermore, in accordance with aforementioned regulation, a specific sanctioning regime is established in article 201 bis of the Law 11/2021, derived from the mere production of these systems or programs, or the ownership of that kind of systems without the appropriate certification.

The purpose of this precept is multiple. In addition to preventing the production and possession of computer programs and systems that allow the manipulation of accounting and management data, as considered in the explanatory memorandum of Law 11/2021, others of a very different nature are associated with it, such as, for example, giving a notable boost to the modernization and digitalization of the Spanish business environment and, especially SMEs, micro-enterprises and the self-employed, while promoting tax compliance and the fight against fraud and, at the same time, ensuring a simple, cheap, secure and efficient connection between citizens and the Administration in digitalized environments.

Different countries have adopted similar solutions. These initiatives are in line with the recommendations made by international institutions such as the OECD. Thus, strict regulations and techniques have been implemented, which have been evolving in parallel with technological progress for almost forty years, seeking different objectives and control and security measures with the main purpose of making fraud more difficult through the use of computerized means that hide or forge information on invoices issued and facilitate the verification of data that, due to their digital nature, are volatile and easily manipulated in ways that are very difficult to detect.

The new Article 29.2.j) of the General Tax Law provides that future regulations may define technical specifications to be met by these computer systems, as well as the need for them to be duly certified by external auditors and the use of standard formats for their readability. In this sense, a draft Royal Decree has been published , which the requirements to be adopted by the computer or electronic systems and programs that support the invoicing processes of businessmen and professionals, and the standardization of formats of the invoicing records.

In general terms, the draft Regulation leaves taxpayers, developers and marketers freedom to implement the computerized invoicing systems, provided that they comply with a series of requirements that guarantee the principles of integrity, conservation, accessibility, legibility, traceability and inalterability (ICALTI) and established by the GTL and the Regulation itself, and which must be developed by ministerial order. This compliance is guaranteed by means of a responsible statement that the computer system complies with the provisions of the GTL, the Regulation and the development specifications. On the other hand, taxpayers who meet the requirements established by ministerial order may also use, where appropriate, a free computer application developed by the Tax Administration.

It should be noted that, in other countries, in order to avoid the existence of what is known as dual-use software, the use of certain software or hardware elements imposed or certified by the tax authority or by third parties or the obligation in certain cases of issuing electronic invoicing, with automatic delivery of copies of invoices to the Tax Administration, is made compulsory.

The published draft Regulation establishes that for each invoice a registration -and, if applicable, cancellation- record must be automatically generated in the computer system, containing some of the data of the invoice to which it refers, in accordance with the Regulation addressing invoicing obligations, approved by Royal Decree 1619/2012. Elements that guarantee that the principles set forth in the GTL are complied with must also be incorporated into the record, such as the fingerprint or «hash» of the previous record and the time at which the invoicing record is generated. The record must also be electronically signed.

The Regulation foresees that taxpayers may voluntarily send to the Tax Agency by electronic means all the invoicing records generated by such systems. The computer systems that send the invoicing records are considered -in the draft Regulation- as «verifiable invoice issuing systems» or «VERIFACTU systems». These VERIFACTU systems have specific characteristics that determine, by their very existence, that they meet by definition the requirements of integrity, unalterability, traceability, accessibility, legibility and conservation (ICALTI). Invoicing records will not need to be signed electronically either.

Said draft Royal Decree also establishes a modification of the Invoicing Regulation, by incorporating in its wording that invoices, whether simplified or not, issued by the computerized invoicing systems referred to in the Regulation, must include a graphic representation of certain data of the invoice, by means of a «QR» code. The incorporation of the «QR» code in the invoice is intended to facilitate the possibility that the invoice recipient can voluntarily provide, using an appropriate device capable of reading the code and transmitting and receiving data, certain information to the Tax Agency, by capturing the «QR» code with the device.

In short, the approval and application of the Regulation will allow, by means of these computer or electronic systems and programs that support the invoicing processes of businessmen and professionals, in the medium term, a significant saving in tax compliance costs; at the same time that the corporate responsibility of the producers, manufacturers and developers of these systems and programs that issue the declarations of responsibility is reinforced.

Jornada “Europa Conectada: Claves para la integración digital” el jueves 22 de septiembre en Paterna


El Instituto de Robótica y Tecnologías de la Información y la Comunicación (IRTIC) de la Universitat de València (UV) acoge la jornada “Europa Conectada: Claves para la integración digital” el próximo jueves 22 de septiembre a las 9:30 horas.

La entrada al evento, situado en el salón de actos del primer piso del Parc Científic de la Universidad de Valencia por la entrada de la calle Catedrático José Beltrán, 2, en Paterna, es libre y gratuita.

Durante la sesión, se ofrecerán varias ponencias por parte de profesionales del sector centradas en la relación entre las administraciones públicas y los ciudadanos a través de servicios digitales, las claves de futuros proyectos de innovación en el ámbito europeo y el camino seguido por los casos de éxito en convocatorias Connecting Europe Facility (CEF) anteriores.

Con el fin de facilitar el diseño de certificados de asistencia y el coffee break, así como garantizar el aforo, la organización del evento agradece que las personas interesadas en la jornada a rellenen este formulario indicando sus datos de contacto: https://encuestas.uv.es/index.php/952652.

La agenda provisional de la jornada es la siguiente:

FINANCIACIÓN DE ACTIVIDADES DE INNOVACIÓN

09:30 Bienvenida e introducción a la jornada.

09:40 Líneas de financiación europeas. José Vilar, IVACE

10:00 Líneas de financiación regionales y nacionales. Óscar David, Inndrómeda

EUROPA CONECTADA: RETOS ACTUALES Y FUTUROS

10:20 Administración pública digital y ciudadanía. Ernesto Faubel, Ayuntamiento de València

10:40 Identidad digital: Del eIDAS al eIDAS2. Julián Inza, Trust Conformity Assessment Body

11:00 La privacidad del individuo en la Europa digital. Ricard Martínez, Universitat de València

11:20 PAUSA (coffee break)

CASOS DE ÉXITO

11:50 Visión general de proyectos recientes: tendencia a la estandarización de servicios digitales. José Rocha, LMT Group

12:10 Experiencia de entidades en proyectos CEF Digital.

  • LODRoadTran18 – CEF Open Data. Fernanda Peset, Universitat Politècnica de València
  • AS4EDI2020 – CEF eDelivery. Santi Casas, ValidatedID
  • eID4Spain2020 – CEF eIdentification. Teresa Bonet, Ayuntamiento de Torrent.
  • EUROLogin2020 – CEF eIdentification. Ignacio Sánchez, Universitat de València

12:50 Preguntas y respuestas

13:00 Clausura

La jornada aglutina las actividades de innovación tecnológica alineadas con las prioridades de la Comisión Europea, que en la actualidad está impulsando la denominada «EUDI Wallet» Cartera de identidad digital europea, que se generalizará una vez se apruebe el nuevo Reglamento europeo que modiica el vigente Regamento 910/2014 (EIDAS),

Se puede solicitar más información al IRTI a través de este enlace.

El Congreso aprueba la Ley de creación y crecimiento de empresas.


Está previsto que en la sesión plenaria del Congreso de mañana 15 de septiembre de 2022 se debatan y se voten las enmiendas incorporadas por el Senado al Proyecto de Ley de creación y crecimiento de empresas (Ley Crea y Crece) finalizando así su tramitación parlamentaria. 

El objetivo de este proyecto de ley es «facilitar la creación de nuevas empresas» así como «reducir las trabas a las que se enfrentan en su crecimiento, ya sean de origen regulatorio o financiero». Para ello, entre otras medidas, «introduce reformas para facilitar e impulsar la constitución de las mismas de forma rápida, ágil y telemática, a través del Centro de Información y Red de Creación de Empresas».

La norma contempla la implementación obligatoria de la factura electrónica entre empresas y autónomos con el objetivo de digitalizar el tejido empresarial español y reducir el índice de morosidad comercial, favoreciendo el crecimiento empresarial.

Las empresas que facturen más de 8 millones de euros anuales deberán implementar la factura electrónica en el plazo máximo de un año. Mientras que el resto de compañías contarán con dos años para adoptar la efactura desde la entrada en vigor de la norma.

La sesión puede seguirse íntegra en directo y descargarse una vez finalizada a través de los siguientes enlaces:

Jueves, 15 de septiembreCongreso en Directo / Canal Parlamento (Youtube).

Actualización 29 de septiembre

Se publica en el BOE del 29 de septiembre la Ley 18/2022, de 28 de septiembre, de creación y crecimiento de empresas.

Aportación del Parlamento español al proceso legislativo europeo conducente a la modificación del Reglamento UE nº 910/2014 (EIDAS)


El Parlamento español remitió al Parlamento europeo en octubre de 2021 su primer informe respecto al proceso legislativo relativo a la propuesta de Reglamento siguiente: «Proposal for a Regulation of the European Parliament and of the Council amending Regulation (EU) No 910/2014 as regards establishing a framework for a European Digital Identity»

Este es el documento remitido (en PDF).

Y aquí la transcripción del infome:

INFORME 28/2021 DE LA COMISIÓN MIXTA PARA LA UNIÓN EUROPEA, DE 23 DE SEPTIEMBRE DE 2021, SOBRE LA APLICACIÓN DEL PRINCIPIO DE SUBSIDIARIEDAD POR LA PROPUESTA DE REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO POR EL QUE SE MODIFICA EL REGLAMENTO (UE) N.o 910/2014 EN LO QUE RESPECTA AL ESTABLECIMIENTO DE UN MARCO PARA UNA IDENTIDAD DIGITAL EUROPEA [COM (2021) 281 FINAL] [COM (2021) 281 FINAL ANEXO] [2021/0136 (COD)] {SEC (2021) 228 FINAL} {SWD (2021) 124 FINAL}{SWD (2021) 125 FINAL}

ANTECEDENTES

A. El Protocolo sobre la aplicación de los principios de subsidiariedad y proporcionalidad, anejo al Tratado de Lisboa de 2007, en vigor desde el 1 de diciembre de 2009, ha establecido un procedimiento de control por los Parlamentos nacionales del cumplimiento del principio de subsidiariedad por las iniciativas legislativas europeas. Dicho Protocolo ha sido desarrollado en España por la Ley 24/2009, de 22 de diciembre, de modificación de la Ley 8/1994, de 19 de mayo. En particular, los nuevos artículos 3 j), 5 y 6 de la Ley 8/1994 constituyen el fundamento jurídico de este informe.

B. La Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se modifica el Reglamento (UE) n.0 910/2014 en lo que respecta al establecimiento de un Marco para una Identidad Digital Europea, ha sido aprobada por la Comisión Europea y remitida a los Parlamentos nacionales, los cuales disponen de un plazo de ocho semanas para verificar el control de subsidiariedad de la iniciativa, plazo que concluye el 4 de octubre de 2021.

C. La Mesa y los Portavoces de la Comisión Mixta para la Unión Europea, el 14 de septiembre de 2021, adoptaron el acuerdo de proceder a realizar el examen de la iniciativa legislativa europea indicada, designando como ponente al Diputado D. José María Sánchez García (GVOX), y solicitando al Gobierno el informe previsto en el artículo 3 j) de la Ley 8/1994.

D. Se ha recibido informe del Gobierno en el que se manifiesta la conformidad de la iniciativa con el principio de subsidiariedad. Asimismo, se han recibido informes del Parlamento Vasco y del Parlamento de Cantabria comunicando el archivo de expediente o la no emisión de dictamen motivado.

E. La Comisión Mixta para la Unión Europea, en su sesión celebrada el 23 de septiembre de 2021, aprobó el presente

INFORME

1.- El artículo 5.1 del Tratado de la Unión Europea señala que «el ejercicio de las competencias de la Unión se rige por los principios de subsidiariedad y proporcionalidad’. De acuerdo con el artículo 5.3 del mismo Tratado, «en virtud del principio de subsidiariedad la Unión intervendrá sólo en caso de que, y en la medida en que, los objetivos de la acción pretendida no puedan ser alcanzados de manera suficiente por los Estados miembros, ni a nivel central ni a nivel regional y local, sino que puedan alcanzarse mejor, debido a la dimensión o a los efectos de la acción pretendida, a escala de la Unión«.

2.- La Propuesta legislativa analizada se basa en el artículo 114 del Tratado de Funcionamiento de la Unión Europea, que establece lo siguiente:

«Artículo 114

1. Salvo que los Tratados dispongan otra cosa, se aplicarán las disposiciones siguientes para la consecución de los objetivos enunciados en el artículo 26. El Parlamento Europeo y el Consejo, con arreglo al procedimiento legislativo ordinario y previa consulta al Comité Económico y Social, adoptarán las medidas relativas a la aproximación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros que tengan por objeto el establecimiento y el funcionamiento del mercado interior.
( ….
)
10. Las medidas de armonización anteriormente mencionadas incluirán, en los casos apropiados, una cláusula de salvaguardia que autorice a los Estados miembros a adoptar, por uno o varios de los motivos no económicos indicados en el artículo 36, medidas provisionales sometidas a un procedimiento de control de la Unión.»

3.- La Propuesta de Reglamento sobre la que se informa lo es de modificación del Reglamento (UE) n.0 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior.

Luego la materia es relativa al mercado interior por lo que dicha materia es de competencia compartida entre la Unión y los Estados miembros (art.4.2.a) del Tratado de Funcionamiento de la Unión Europea.

Por consiguiente, debe ser examinada la conformidad de la Propuesta de Reglamento analizada con el principio de subsidiariedad.

La Propuesta de Reglamento sobre la que se informa se ordena a la armonización en la prestación de servicios de confianza, así como de la seguridad, tanto para los ciudadanos que utilicen una identidad digital europea con fines de representación en línea como para los proveedores de servicios en línea, de modo tal que puedan confiar plenamente en las soluciones de identidad digital y aceptarlas con independencia de dónde se hayan expedido.

Dicha armonización o aproximación de legislaciones (de los Estados miembros) – tal y como la denomina el capítulo 3 del Título VII del Tratado de Funcionamiento de la Unión Europea- es de suyo subsidiaria toda vez que es difícil concebir la armonización general de todas las legislaciones nacionales de los Estados miembros por otro sujeto que no sea la propia Unión Europea, si nos atenemos al concepto de subsidiariedad ex artículo 5.3 del Tratado citado, con la salvedad de que el contenido objetivo de la Propuesta de Reglamento analizada no fuese propiamente armonizador. No parece verificarse esta hipótesis de excepción.

Cumple censurar, no obstante y por último, el tenor hermético y de perfiles cuasi esotéricos de la exposición de motivos recibida, que precede a la Propuesta de Reglamento, cuando se afirma en ella lo siguiente: «ofrece un instrumento adecuado para establecer la estructura de interoperabilidad necesaria para la creación de un ecosistema de identidad digital a escala de la UE basado en identidades legales expedidas por los Estados miembros y en la provisión de atributos de identidad digital cualificados y no cualificados«.

Además, incurre dicho texto en una petición de principio al justificar la proporcionalidad, sabido que la Propuesta de Reglamento es armonizadora, así: «Supone una contribución clara al objetivo de mejorar el mercado único digital a través de un marco jurídico más armonizado«.

CONCLUSIÓN

Por los motivos expuestos, la Comisión Mixta para la Unión Europea entiende que la Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se modifica el Reglamento (UE) n.• 910/2014 en lo que respecta al establecimiento de un Marco para una Identidad Digital Europea, es conforme al principio de subsidiariedad establecido en el vigente Tratado de la Unión Europea.