Archivo de la categoría: Firma digitalizada

Acceso a información biométrica de una firma digitalizada


EADTrust y otros Prestadores de Servicios Electrónicos de Confianza Digital custodian claves privadas de diferentes plataformas de firma digitalizada, biométrica o grafométrica.

El hecho de que exista esta custodia implica que los responsables de las plataformas adoptan medidas para garantizar que la información biométrica se incluye en los documentos electrónicos firmados de forma cifrada (con la clave pública asociada a la clave privada custodiada) y que no está libremente disponible para la entidad que hace uso de la plataforma, y, por tanto, no puede utilizarla para asociarla a otros documentos.

De esta forma, tanto la entidad promotora del sistema de firma digitalizada que hace uso de la plataforma como los propios firmantes están en igualdad de condiciones para ejercer el derecho a la prueba respecto a si una firma en concreto pertenece o no a una persona (esa igualdad de condiciones se denomina, a veces, “simetría probatoria”).

Para realizar el proceso de comprobación de una firma digitalizada se suele recurrir a un proceso de análisis pericial caligráfico (u otro tipo de estudio pericial asistido por software de análisis biométrico de uso forense), para lo que será necesario identificar peritos y expertos que puedan realizar el análisis.

El proceso se inicia a partir del archivo PDF que debe tener a su alcance cualquiera de las partes intervinientes en el contrato y que incluye la firma controvertida, por lo que este debe estar localizable para la entidad y para el firmante.

En caso de que el cliente de una entidad que haya firmado en Tablet no posea el fichero digital con su firma, y lo requiera, será preciso identificar las personas de Compliance o de gestión de LOPD (o RGPD) o seguridad informática en la entidad que tienen identificado el caso y el archivo o archivos cuya firma es controvertida, y solicitar el fichero por los cauces previstos (por ejemplo contactando con la entidad para ejercer el derecho de “Acceso” reconocido por la LOPD).

Una vez que se dispone del documento PDF que incluye la firma biométrica, cualquiera de las partes puede llevar a cabo los siguientes pasos:

  • Preparar un mandato o poder de una persona que desea realizar la comprobación nombrando al perito para que pueda acudir al Prestador de Servicios Electrónicos de Confianza que custodia las claves privadas (EADTrust o el PSEC que se haya definido en cada caso) en nombre del solicitante.
  • Hacer copia del poder o mandato y del DNI de apoderado o mandatario
  • Preparar un escrito en formato carta que describa brevemente el problema y solicite la intervención de la entidad que custodia las claves privadas (EADTrust o el PSEC que se haya definido en cada caso) incluyendo los datos de identificación de la persona que contactará con ella. Normalmente la firma el apoderado.
  • Quien acude a la entidad que custodia las claves privadas (EADTrust o el PSEC que se haya definido en cada caso) lo suele hacer presencialmente o por un procedimiento acordado, de gestión telemática.
  • Conviene cerciorarse de que la entidad que custodia las claves privadas (EADTrust o el PSEC que se haya definido en cada caso) tiene la ultima versión del software aportado por los desarrolladores de la plataforma para descifrar la información biométrica a partir del documento PDF.
  • La entidad que custodia las claves privadas (EADTrust o el PSEC que se haya definido en cada caso) nunca hace entrega de las claves. Hace uso de la clave para descifrar el documento y extraer la información biométrica de la firma que entrega al solicitante, pero las claves privadas no salen de su custodia.

Con la información biométrica extraída, son necesarias, para el cotejo las firmas indubitadas, para lo que debe colaborar la persona cuya identidad se vincula al documento.

Si se va a plantear la prueba en un litigio, se describe la solicitud de la prueba pericial en el escrito de demanda o de contestación, para que en su momento, se realicen las firmas indubitadas en presencia del Letrado de la Administración de Justicia que competa.

Si se desea realizar el cotejo de firmas con ayuda del perito, pero sin llegar a juicio, se precisa contactar con el cliente para que realice varias firmas (5 o 10, las que el perito recomiende) en una tableta digitalizadora semejante a la utilizada originalmente para firmar, con el apoyo del software de uso pericial.

Es posible contactar con EADTrust, a través del teléfono +34 91 7160555 (o 902 365 612) desde España) donde pueden orientarle de forma más precisa según la entidad que haya gestionado la custodia para los documentos PDF de su interés.

“Simetría probatoria” y “Soporte duradero” en las firmas electrónicas


Uno de los retos del mundo de las firmas electrónicas es que los documentos firmados electrónicamente puedan estar a disposición de los firmantes de forma permanente y que todos ellos puedan demostrar que las firmas electrónicas son válidas (o que no lo son).

A veces la complejidad del uso de los sistemas de firma electrónica puede hacer útil recurrir a una plataforma que gestione las firmas y que simplifique la operativa, sin merma de la validez jurídica.

Sin embargo, algunas entidades que ofertan plataformas orientadas a la contratación con firma electrónica se arrogan el rol de “tercero de confianza” escasamente definido en la normativa legal como un requisito para la validez de la recogida de las manifestaciones de voluntad por vía digital. La escasa preparación legal de sus interlocutores les permite afirmar con aplomo esa supuesta condición de “tercero de confianza” y con técnicas comerciales dudosas convencen, incluso, a departamentos jurídicos de grandes empresas.

Lo cierto es que no son necesarios los terceros de confianza en el sentido en el que los define el artículo 25 de la LSSI-CE. Y además quienes supuestamente ofrecen servicios de “tercero de confianza” no lo hacen en el sentido de la LSSI-CE

Artículo 25. Intervención de terceros de confianza.

1. Las partes podrán pactar que un tercero archive las declaraciones de voluntad que integran los contratos electrónicos y que consigne la fecha y la hora en que dichas comunicaciones han tenido lugar. La intervención de dichos terceros no podrá alterar ni sustituir las funciones que corresponde realizar a las personas facultadas con arreglo a Derecho para dar fe pública.

2. El tercero deberá archivar en soporte informático las declaraciones que hubieran tenido lugar por vía telemática entre las partes por el tiempo estipulado que, en ningún caso, será inferior a cinco años.

No solo no son necesarios los terceros de confianza, sino que pueden incluso ser sospechosos de ser afines a la parte que los contrata. Cuando se pone más énfasis en que sea un tercero quien dictamine sobre si se realizó o no una contratación, por ejemplo, en vez de dejar que las partes puedan tener la posibilidad de custodiar sus propia pruebas, se aplica un sesgo que se aparta de los usos y costumbres del comercio.

Además, el concepto ambiguo de “tercero de confianza” se asocia frecuentemente al de los notarios, que, en realidad no necesitan esa “muletilla” para que se les reconozca su labor, De esta forma la entidad que dice ser un “tercero de confianza” pretende ponerse al nivel de los notarios, cuando en realidad hay mucha diferencia entre sus roles.

En mi opinión los conceptos de “Simetría probatoria” y “Soporte duradero” son preferibles.

La “simetría probatoria” implica que ambas partes de un acuerdo bilateral o sinalagmático (aquel que genera obligaciones recíprocas para ambos contratantes desde su origen. como la compraventa, el arrendamiento, la permuta o el transporte) están en las mismas condiciones para demostrar su existencia, la validez de su firma y la de la firma de la contraparte

El “Soporte duradero” debe garantizar a las partes, al igual que el soporte papel, la posesión de la información o documentos  precontractuales o contractuales firmados  para que, en caso necesario, pueda ejercitar los derechos que dependan de la disponibilidad de los documentos, incluyendo los aspectos relativos a las evidencias electrónicas.

¿Cuantos tipos de firma avanzada existen?


Según la legislación aplicable en España, y obviando la Ley 59/2003 que en lo esencial se ha visto sustituida por el Reglamento (UE) 910/2014 (EIDAS) se definen tres tipos de firma electrónica:

  • «firma electrónica (simple)», los datos en formato electrónico anejos a otros datos electrónicos o asociados de manera lógica con ellos que utiliza el firmante para firmar.
  • «firma electrónica avanzada», la firma electrónica que cumple los siguientes requisitos:
    • estar vinculada al firmante de manera única.
    • permitir la identificación del firmante.
    • haber sido creada utilizando datos de creación de la firma electrónica que el firmante puede utilizar, con un alto nivel de confianza, bajo su control exclusivo, y
    • estar vinculada con los datos firmados por la misma de modo tal que cualquier modificación ulterior de los mismos sea detectable.
  • «firma electrónica cualificada», una firma electrónica avanzada que se crea mediante un dispositivo cualificado de creación de firmas electrónicas y que se basa en un certificado cualificado de firma electrónica. Es equivalente a la firma manuscrita.

La firma electrónica avanzada puede ser:

  • No basada en certificados. En cuyo caso, la vinculación del firmante con lo firmado, la identificación del firmante y su creación con un alto nivel de confianza, bajo su control exclusivo, deberá gestionarse con técnicas apropiadas, incluyendo las criptográficas. Entre estas se encuentran las firmas biométricas.
  • Basada en certificados. En cuyo caso se dan dos variantes:
    • Certificados no cualificados.
    • Certificados cualificados. En cuyo caso se dan dos variantes:
      • No basadas en dispositivos cualificados de creación de firma
      • Basadas en dispositivos cualificados de creación de firma. Esta es la firma cualificada.

Muchas normas dan valor jurídico a diferentes tipos de firmas avanzadas (no solo a las firmas cualificadas). Por ejemplo, la Ley 18/2011 da valor de forma expresa a la firma avanzada basada en certificado cualificado, y no basadas en un dispositivo cualificado de creación de firma:

Artículo 14. Formas de identificación y autenticación.

1. La Administración de Justicia admitirá, en sus relaciones por medios electrónicos, sistemas de firma electrónica que sean conformes a lo establecido en (la ley 18/2011 hacer referencia a la Ley 59/2003, de 19 de diciembre, de firma electrónica, pero en la actualidad sta refeencia debe entenderse en relación con el Reglamento UE 910/2014) y resulten adecuados para garantizar la identificación de los firmantes y, en su caso, la autenticidad e integridad de los documentos electrónicos.

2. Sin perjuicio de lo dispuesto en los artículos 4 y 6 de la presente Ley y en todo caso, con sujeción estricta a lo dispuesto por las leyes procesales, los ciudadanos y profesionales del ámbito de la Justicia podrán utilizar los siguientes sistemas de firma electrónica para relacionarse con la Administración de Justicia:

(…)

b) Sistemas de firma electrónica avanzada, incluyendo los basados en certificado electrónico reconocido, admitidos por las Administraciones públicas.

c) Otros sistemas de firma electrónica, como la utilización de claves concertadas en un registro previo como usuario, la aportación de información conocida por ambas partes u otros sistemas no criptográficos, en los términos y condiciones que en cada caso se determinen.

No olvidemos que el Artículo 25 del Reglamento UE 910/2014 define los efectos jurídicos de las firmas electrónicas

1. No se denegarán efectos jurídicos ni admisibilidad como prueba en procedimientos judiciales a una firma electrónica por el mero hecho de ser una firma electrónica o porque no cumpla los requisitos de la firma electrónica cualificada.

2. Una firma electrónica cualificada tendrá un efecto jurídico equivalente al de una firma manuscrita.

3. Una firma electrónica cualificada basada en un certificado cualificado emitido en un Estado miembro será reconocida como una firma electrónica cualificada en todos los demás Estados miembros.

Aunque la Ley 59/2003 ya no se considera de aplicación en sentido estricto, cabe mencionar una variante de firma electrónica definida en ella (en su artículo 3 apartado 10), que podria denominar “firma acordada”:

Cuando una firma electrónica se utilice conforme a las condiciones acordadas por las partes para relacionarse entre sí, se tendrá en cuenta lo estipulado entre ellas.

Firma manuscrita digitalizada avanzada en las administraciones públicas


La digitalización de los administraciones públicas ha pasado a ser obligatoria con la aprobación de la Ley 39/2015 del procedimiento administrativo común y las administraciones públicas, estatales, autonómicas y locales deben dotarse de las herramientas necesarias para atender a los ciudadanos de una manera rápida, eficaz y segura.

La aplicación de la citada Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las administraciones públicas obliga a los entes públicos a evolucionar hacia la administración sin papeles de forma que las solicitudes y trámites puedan realizarse en formato electrónico. La administración íntegramente electrónica mejorará en eficacia y en eficiencia la gestión pública, dotará de mayor celeridad a los trámites y permitirá ahorrar costes a la administración y al administrado.

No obstante, digitalizar los procesos es una tarea costosa que requiere soluciones tecnológicas adecuadas.

La administración pública debe comprometerse a disponer de métodos digitales legalmente válidos y sencillos de usar, especialmente para los ciudadanos, para poder formular solicitudes, presentar declaraciones responsables o comunicaciones, interponer recursos, desistir de acciones o renunciar a derechos.

Los organismos públicos deben garantizar que los ciudadanos (incluyendo los representantes de las empresas)  puedan relacionarse con ellos a través de los medios electrónicos poniendo a disposición canales de acceso, sistemas y aplicaciones seguras.

Dos aspectos claves de esta relación son la acreditación de la identidad (según lo define el artículo 9) y la firma electrónica  (según lo define el artículo 10). Es importante señalar que muchos procedimientos requieren identificación  y otros requieren firma (cuando verdaderamente sea necesario prestar consentimiento).

Aunque la norma se orienta hacia la firma electrónica basada en certificados, deja margen para gestionar firmas avanzadas, no basadas en certificados, como sucede con el caso de la gestión de firmas manuscritas digitalizadas.

A la hora de implantar un sistema de firma manuscrita digitalizada en un organismo hay que tener en cuenta las garantías que se ofrecen por parte del sistema sobre seguridad técnica y jurídica. Es importante garantizar que durante el proceso de firma y de custodia del documento firmado electrónicamente no se podrán manipular los datos biométricos de la firma.

En el nuevo marco jurídico administrativo, muchos ciudadanos continuarán acudiendo a las oficinas de atención presencial para realizar sus trámites con la ayuda de funcionarios habilitados, pero los trámites se cursarán de forma digital. Tiene sentido que, aunque el funcionario se identifique y firme con su certificado electrónico, los ciudadanos que no se manejen con esa tecnología puedan firmar los escritos  de su puño y letra, pero de forma que el documento electrónico que firman preserve la información de su firma de forma digital.

Los sistemas de firma biométrica o grafométrica permiten firmar en una tableta u otro dispositivo móvil obteniendo una firma manuscrita en soporte digital  con valor legal. De esta manera se agiliza el trámite a realizar potenciando la administración electrónica.

La firma en tabletas o dispositivos móviles, a priori, no permite por si misma garantizar la integridad y autenticidad de la documentación firmada a no ser que se apliquen ciertas medidas de seguridad como el cifrado de la información biométrica.

Se debe usar una combinación de medios tecnológicos y de procedimientos que permiten dar garantías a la firma, recogiendo entre otras aspectos evidencias electrónicas del contexto de la transacción.

Las plataformas de  firma digital permiten la automatización del proceso administrativo de recogida de firma, de envío, de registro y de archivo. Y eventualmente de gestión de controversias respecto a la atribución de la firma al firmante, en un contexto en que se tenga que demostrar esta vinculación.

Para tener la certeza de que un  plataforma es adecuada para la gestión de firmas manuscritas digitalizadas avanzadas (FMDA) es conveniente que esta pueda aportar un certificado de idoneidad tras haber superado una auditoría.

EADTrust cuenta con experiencia para la realización de auditorías de FMDA y avala a las  plataformas y soluciones que han superado sus auditorías.

Son auditorías que se enmarcan en un esquema de evaluación que permite que en cada país pueda desarrollarse un modelo específico orientado al contexto normativo del país, especialmente en lo relativo a las normas procesales.

Entre los principios que se revisan se destacan los siguientes:

  1. Captura de elementos biométricos dinámicos de la firma asociados a sus datos de producción
  2. Vinculación biunívoca de los elementos biométricos con el documento firmado
  3. Imposibilidad de incrustar la firma en otros documentos
  4. Autenticidad del documento y vinculación con el firmante
  5. Confidencialidad de los datos biométricos y Protección de la información conforme a la LOPD
  6. Posibilidad de comprobar la firma por el titular
  7. Posibilidad de demostrar la validez de la firma en un proceso litigioso
  8. Simetría probatoria
  9. Soporte duradero
  10. Existencia de un procedimiento de detección y notificación a la autoridad de protección de datos de incidentes de seguridad que afecten a datos de carácter personal.

 

Seminario sobre Ley 39/2015 y Reglamento UE 910/2014


El 1 de julio de 2016 entra en vigor la parte más relevante del Reglamento UE 910 2014. Poco después, el 2 de octubre de 2016 entra en vigor una parte muy significativa de la Ley 39/2015 (hay también aspectos relevantes, de implantación más costosa que cuentan con un plazo mayor: 2 de octubre de 2018).

Sin embargo, a pesar de que muchos aspectos del Reglamento Europeo se han tenido en cuenta en la Ley de Procedimiento Administrativo Común de las Administraciones Públicas (PACAP), otros no.

Por ejemplo lo referido a la firma electrónica de las personas jurídicas y de las entidades sin personalidad jurídica.

Dado que el citado Reglamento tiene un nivel de precedencia normativa superior a la Ley, puede ser útil identificar los aspectos más controvertidos para afrontar de forma correcta la adaptación.

Este seminario, que imparto a través de Atenea Interactiva en formato de formación “in-company” especialmente orientada a entidades del sector público lo voy enriqueciendo gracias a las dudas y a las aportaciones de los asistentes.

Estos son algunos de los aspectos tratados:

  • Identificación y autenticación. Nuevo contexto para trámites sin uso de la firma electrónica.
  • Interoperabilidad de la firma electrónica a nivel europeo.
  • Nuevas normas técnicas de identificación, firma electrónica, sello electrónico y otros servicios de confianza digital
  • Interacción con otras normas: Ley 18/2001, Ley 40/2015, Real Decreto Legislativo 3/2011.
  • Obligados. Nuevas obligaciones para personas jurídicas y ciertos colectivos profesionales.
  • Novedades en relación con el cómputo de plazos, y efecto en los plazos del Registro electrónico
  • Asistencia en el uso de medios electrónicos. Funcionarios habilitados
  • Uso de códigos seguros de veriicación. Sugerencia sobre CSV con informaicón de encaminamiento.
  • Sedes electrónicas y portales. Nuevo enfoque hacia la concentración de servicios en portales.
  • Copia auténtica de documentos y digitalización certificada. Gestión híbrida. Funcionarios habilitados
  • Archvo unificado
  • Poderes y representación. Nuevo poder “apud acta” electrónico. Retos para gestión de otorgamiento y revocación de poderes. Ideas para la implementación del registro elecrónico de poderes de representación. Otorgantes (representados) y apoderados (representantes).
  • Notificaciones. Retos de la notificación electrónica. Notificaciones por publicación en BOE.
  • Esquema Nacional de Interoperabilidad y Esquema Nacional de Seguridad.
  • Herramientas disponibles en el marco de la transferencia electrónica entre administraciones. Cl@ve, DIR3, DNIe 3.0 (NFC).
  • Nuevos retos: firma digtalizada, digitalización certificada, cotejo interoperable de documento en base a  CSV en sede electrónica diferente de la que lo expidió.

Pueden contactar con Atenea Interactiva en el 917160555 si desean que este seminario se imparta en su institución. Se imparte en una sola jornada, de 9:00 a 14:30. Preferiblemente los viernes.

 

 

Las claves de la transformación digital


Estoy escribiendo el libro sobre las claves de la transformación digital.

En estos momentos el término se ha acuñado y se ha adoptado por diferentes profesionales digitales, pero significa cosas distintas para distintas personas, y cada una lo intepreta desde su experiencia y conocimientos.

Es inevitable y tampoco yo me libraré seguramente de imponer mi sesgo al concepto, aquí adelanto algunas reflexiones:

El concepto de tranformación digital surge de la necesidad de interpretar los signos de la sociedad actual y prever tendencias respecto al comportamiento de los ciudadanos, de los compradores. de los proveedores y de los empleados de las sociedades y de las relaciones de las empresas con todos esos interesados (stakeholders por su denominación anglosajona) y con otras influencias de contexto de desarrollo de los negocios: entidades de gestión de pagos de impuestos, cotizaciones sociales, gestión de controvesias (de tipo societario, mercantil, civil, social, contencioso administrativo,…).

La transformación digital resume el impulso de las entidades de todo tipo para organizarse de modo que los tecnologías de la información y las comunicaciones se adopten internamente por sus empleados y externamente con las personas, empresas y entidades diversas con las que se relacionan.

El contexto que da origen a los signos de la sociedad actual está marcado por estas tendencias:

  • Globalización
  • Inmediatez del acceso a la información
  • Ubicuidad del acceso a los medios de trabajo y ocio digitales
  • Disponibilidad de medios tecnológicos a costes muy bajos
  • Autoformación de los usuarios en ámbitos tecnologícos de su interés, en contextos colaborativos y de asistencia mutua
  • Establecimiento de vínculos de comunicación interpersonales potenciados por medios tecnológicos

La sociedad adopta medios tecnológicos con rapidez y según el momento se popularizan unos u otros conceptos que acaban impregnando el lenguaje de los ciudadanos y de los profesionales a todos los niveles y marcan las estrategias de las empresas:

  • Portales
  • Computación en la nube
  • Big data
  • Terminales inteligentes ultraconectados (teléfonos, tabletas, ordenadores personales)
  • Producción ublicua de contenidos  digitales multiformato, por “prosumidores” que los producen y consumen.
  • Buscadores y metabuscadores que determinan la relevancia y la reputación.

El contexto, los medios tecnológicos, la presión de costes, las expectativas de empleados,clientes y proveedores acaba imponiendo una visión:

¿cómo se debe organizar una empresa para aprovechar mejor los recursos humanos y técnicos y ser más competitiva, más creativa, más veloz, más innovadora, más cercana, más interactiva, proporcionando mejores productos y servicios con mejores precios que los de la competencia?

La respuesta está en el uso de la tecnología y el empoderamiento de los empleados como uno de los instrumentos para atraer y retener el talento.

La tecnología y el ingenio de empleados y directivos mejora la gestión de los recursos humanos, el diseño de los productos y de los servicios, la creaión de nuevos productos y servicios, la entrega de los productos y servicios, el marketing, las ventas, el cobro, la facturación, el servicio postventa.

Prácticamente todo se puede realizar, impulsar, potenciar tecnológicamente. En algún rincón de la organización van quedando los archivos de documentos en papel como el último vestigio de la sociedad finisecular del siglo XX para tratar las controversias que no puedan ser resueltas con medios digitales. Los documentos con valor probatorio frente a Hacienda, frente a la Seguridad Social o para poder lidiar, si se da el caso con demandas judiciales de diverso tipo.

Pero esa “última milla” en papel que se resiste a la digitalización, también puede ser “desmaterializada”. La despapelización, cambia las facturas y los contratos por documentos digitales firmados electrónicamente. Los documentos de control de gestión, por evidencias electrónicas. Las notificaciones postales y los burofaxes por notificaciones digitales.

Ya estamos preparados para que la transformación digital sea total.

Si quieres saber como acabar con los útimos papeles que quedan en tu organización, contacta con nosotros y te diremos qué medios digitales existen  a disposición de tu entidad para mantener el valor probatorio que necesitas sin recurrir a los papeles.

Llama a EADTrust al +34 91 7160555.

 

Más información sobre la firma manuscrita digitalizada: ¿es firma electrónica avanzada?


Llevo varios años explicando como se puede desarrollar un sistema que capta firmas manuscritas de forma que tengan la consideración de firma electrónica avanzada según la definición del Reglamento europeo UE 910/2014 (#eIdAS) e impulsando en EADTrust un modelo (un “ecosistema” si se me permite usar la palabra en ese sentido) que puede ser auditado y certificado.

En estos años hemos auditado varias soluciones en entidades del sector sanitario, financiero y de telecomunicaciones que pueden lucir los certificado expedidos por EADTrust que lo acreditan.

Muchas de las ideas relacionadas con la firma biométrica y la firma digitalizada las he recogido en un sencillo blog especializado.

Se indican seguidamente alguno de los artículos más recientes recogidos en dicho blog: