Archivo de la categoría: Internacionalización

Construyendo el futuro digital con #EIDAS


En un mundo globalizado y en plena transformación digital, la seguridad de las transacciones y las comunicaciones es más necesaria que nunca.

La gestión de la identidad digital y la preservación de evidencias electrónicas resuelve la digitalización de la última milla cartácea: esos aspectos que las entidades se resisten a gestionar digitalmente porque dudan de si serán capaces de ejercer el derecho a la prueba de otra forma que no sea en papel.

Recientemente InfoCert uno de los principales Prestadores de Servicios de Confianza Digital europeos y con sede en Italia ha entrado en el capital de Camerfirma, entidad que tuve el honor de dirigir hace 15 años, y que opera en directa colaboración con las Cámaras de Comercio.

Juntas, ambas entidades atesoran una oferta de servicios destinada a promover la Confianza Digital única en el mundo y una sólida presencia en diferentes mercados de diferentes continentes, lo que permite aventurar que se está formando un campeón de escala global con origen europeo.

Infocert-Camerfirma

El próximo 17 de Octubre 2018 a las 10:00 nos invitan en la Cámara de Comercio de España (C/Ribera del Loira 12, Madrid) a su presentación conjunta y con acompañamiento de relevantes personalidades relacionadas con la economía digital

La secretaria de Estado de Comercio, Xiana Méndez, y el responsable de Administración Electrónica y Confianza de la Comisión Europea, Andrea Servida, participarán en la jornada, bajo el título “Construyendo el futuro digital”, y a buen seguro nos actualizarán sobre el contexto de negocio digital promovido por el desarrollo del Reglamento UE 910/2014 (EIDAS).

En esta jornada se analizarán las oportunidades y retos que se plantean a las empresas en el marco del  Mercado Único Digital.

Para inscibirse, hay que acceder al sitio web de evento.

SPID – Sistema Publico de Identidad Digital


En Italia, el sistema equivalente al español “Cl@ve” se denomina SPID (Sistema Pubblico di Identità Digital).

logo-spidEs una plataforma que gestiona la identidad digital  del ciudadano y le permite acceder a todos los servicios en línea de la Administración Pública con una única gestión de credenciales (nombre de usuario y contraseña) y que se puede utilizar en ordenadores, tabletas y teléfonos inteligentes.

Cuenta con 3 niveles de certeza respecto a la identidad, de menor a mayor:

  1. permite el acceso a servicios en línea a través de un nombre de usuario y contraseña elegidos por el usuario
  2. dedicada a los servicios que requieren un mayor grado de seguridad, ya que exige la generación de un código de acceso temporal (OTP, One Time Password), accesible a través de un dispositivo (por ejemplo, teléfonos inteligentes mediante APP o SMS, o tokens OTP) adicionalmente al uso de un nombre de usuario y una contraseña elegidos por el usuario
  3. proporciona el uso de soluciones de seguridad adicionales y dispositivos físicos (por ejemplo, tarjetas inteligentes) proporcionados por el prestador de servicios de gestión de identidad

Con la notificación del Sistema Público de Identidad Digital (SPID) italiano a la Comisión Europea, finaliza el camino establecido por la normativa comunitaria eIDAS, para el reconocimiento de la identidad digital como instrumento de acceso a los servicios digitales de las administraciones públicas de los demás Estados miembros.

La notificación se envió tras el proceso de revisión inter-pares, que comenzó el 24 de noviembre de 2017 y finalizó el 11 de julio de 2018, durante la reunión de la red de cooperación en la  Dirección General de Redes de Comunicación, Contenido y Tecnología de la Comisión (DG Connect), con la opinión favorable de todos los Estados miembros.

Italia, después de Alemania, es el segundo país europeo que ha completado el proceso para el reconocimiento mutuo de su sistema nacional de identidad digital y el primero en notificar un sistema que gestiona la identidad basado en la verificación de identidad realizado por entidades privadas. El resto de países han notificado hasta la fecha solo tarjetas de identidad del ciudadano, como el caso de España con el DNI electrónico.

En el momento actual la lista de prestadores (Proveedores de Identidad Acreditados) que colaboran en la verificación de la identidad de SPID son los siguientes:

Sistemas de identificación digital de otros países utilizables en España


Hace tres meses expliqué los pasos hacia el reconocimiento mutuo de los esquemas de identificación electrónica en Europa que están dando los países europeos, en el marco del Reglamento UE No 910/2014 (EIDAS), y que prevé el calendario de adopción siguiente:

eIDAS_timeline

Básicamente se trataba de difundir los sistemas de identificación (tarjetas chip semejantes al DNIe) que diferentes países habían notificado o estaban en proceso de notificar  a la Unión Europea como primer paso para su admisión en el resto de países para trámites de administración electrónica.

Los sistemas de identificación electrónica que han sido notificados deben ser reconocidos por los servicios públicos en el plazo de 12 meses desde la fecha de su publicación en el Diario Oficial de la UE (o el 29 de Septiembre de 2018 si el plazo es anterior).

En estos momentos solo hay un país cuyo sistema de identificación esté en estado “notificado“, mientras que varios otros en estado “pre-notificado“.

País: Alemania
Nombre del sistema: Sistema alemán de identificación electrónica basado en el control de acceso ampliado
Medios eID del sistema notificado:
–> Documento Nacional de Identidad
–> Permiso de residencia electrónico
Nivel de seguridad: Alto
Fecha de publicación de la notificación: 26 Septiembre 2017
Fecha de obligatorio reconocimiento: 29 Septiembre 2018
Publicación: 2017/C 319/03(Abre en nueva ventana)

Además de los atributos obligatorios (Identificador, Nombre, Apellido y Fecha de nacimiento) este esquema podría enviar los siguientes atributos opcionales:

  • Lugar de nacimiento,
  • Nombre y apellido al nacer,
  • Dirección actual.

Por tanto ya es admisible en España el  Sistema alemán de identificación electrónica.

Hay, además, 7 países (Italia, España, Luxemburgo, Estonia, Croacia, Bélgica y Portugal) que están en estado de “pre-notificado”, es decir, han iniciado el proceso de notificación para que el resto de países puedan evaluar sus Sistemas de identificación electrónica.

Por lo que en breve los sistemas de identificación de 6 países (Italia, Luxemburgo, Estonia, Croacia, Bélgica y Portugal) serán también admisibles en España.

Y en el mismo sentido, el DNI electrónico español será admisible en toda Europa

Desde la fecha de pre-notificación, deben pasar al menos 6 meses hasta que se efectúe la notificación.

Sistemas de identificación electrónica pre-notificados
País Nombre del Sistema Medios de eID del Sistema Atributos opcionales Fecha prenotificación
Italia SPID – Public System of Digital Identity. (Sistema Público de Identidad Digital) SPID Lugar de nacimiento, Dirección actual, Género 29 Nov 2017
España Documento Nacional de Identidad electrónico (DNIe) Documento Nacional de Identidad 20 Feb 2018
Luxemburgo Luxembourg national identity card (eID card). (Documento Nacional de Identidad de Luxemburgo) National Identity Card (Documento Nacional de Identidad) Lugar de nacimiento, Dirección actual, Género 26 Feb 2018
Estonia Estonian eID scheme (Esquema de eID de Estonia) ID card
RP card
Digi-ID
e-Residency Digi-ID
Mobiil-ID
Diplomatic identity card
27 Feb 2018
Croacia National Identification and Authentication System (NIAS). (Sistema Nacional de identificación y autenticación) Croatian personal identity card (eOI) (Documento de identidad personal croata) Lugar de nacimiento, Dirección actual, Género 28 Feb 2018
Bélgica Belgian eID Scheme FAS / eCards (Esquema eID de Bélgica) National Electronic Identity Card (Citizen eCard) Electronic Resident Card (Foreigner eCard) (Documento Nacional de Identidad electrónico y documento electrónico de residente extranjero) Lugar de nacimiento, Género 28 May 2018
Portugal Cartão de Cidadão
(Documento del ciudadano)
Portuguese national identity card (eID card)
(Documento Nacional de Identidad portugués)
Dirección actual, Género 30 May 2018
Chave Móvel Digital
(Clave móvil digital )
Digital Mobile Key
(Clave móvil digital)
Dirección actual, Género
Sistema de Certificação de Atributos Profissionais
(Sistema de Certificación de Atributos Profesionales)
Professional Attributes Certification System
(Sistema de Certificación de Atributos Profesionales)
Dirección actual, Género

 

Este artículo se basa en la noticia publicada en el Portal de Administración Electrónica “Sistemas de identificación electrónica notificados

Más pasos hacia el reconocimiento mutuo de los esquemas de identificación electrónica en Europa


En los últimos meses se observa un progreso notable hacia el reconocimiento mutuo de los esquemas de identificación electrónica en toda la Unión Europea. Cuatro países han realizado la notificación previa de sus esquemas de identificación electrónica: España, Luxemburgo, Estonia y Croacia, tras la la notificación previa de Italia en noviembre de 2017.

La notificación previa es el primero de tres pasos introducidos por el Reglamento (UE) n.º 910/2014 (EIDAS) sobre identificación electrónica y servicios de confianza para transacciones electrónicas en el mercado interno con el objetivo de generar confianza entre los Estados miembros y garantizar la interoperabilidad y la seguridad de los esquemas de identificación electrónica notificados.

Seis meses antes de la fecha en la que se pretende realizar la  notificación, los Estados miembros comparten información relacionada con sus esquemas de identificación electrónica, que incluyen: una descripción de la solución, información sobre el proveedor de identidad y el nivel estimado de aseguramiento de identidad, explicación sobre el régimen de responsabilidad atribuible a las autoridades en los potenciales incidentes, descripción del procedimiento para obtener y revocar una identificación electrónica y una descripción del proceso de autenticación en línea.

La información compartida por los Estados miembros contribuirá al proceso de revisión inter pares, permitiendo que el esquema de identificación electrónica se evalúe según los requisitos de calidad y seguridad establecidos por el Reglamento eIDAS.

El 20 de febrero de 2018, España realizó la notificación previa de su tarjeta de identificación electrónica para ciudadanos (DNI Electrónico) que presenta, en su última versión (3.0), un nuevo sistema operativo y un chip de doble interfaz. Esto permite que se realice la firma electrónica con dispositivo seguro de creación de firma (el chip) tanto usando un lector de tarjeta chip (mediante los contactos del chip) como mediante lectores NFC (por ejemplo los incluidos en los teléfonos móviles) en modo sin contacto. El DNIe es obligatorio para todos los ciudadanos españoles mayores de 14 años que residan en el país. La aceptación del e-DNI como medio de identificación es obligatoria para todos los servicios públicos electrónicos en España, ya sean nacionales, regionales y autonómicos o locales y también se puede utilizar para acceder a servicios privados en línea tales como operadores bancarios, de telecomunicaciones, etc.

eId1-anverso_DNI-e

El 26 de febrero de 2018, Luxemburgo realizó la notificación previa de su tarjeta de identificación electrónica para ciudadanos de Luxemburgo, que consiste en una tarjeta inteligente sin contacto. La tarjeta de identificación de Luxemburgo es obligatoria para todos los ciudadanos luxemburgueses mayores de 15 años que residan en el país. La activación de los certificados en la tarjeta de identificación nacional debe solicitarse específicamente cuando se obtenga. Los ciudadanos pueden usar este medio de identificación como una forma de acceder a los servicios en línea públicos y privados en Luxemburgo.

eId2-CNI_reference

El 27 de febrero de 2018, Estonia realizó la notificación previa de seis tipos de identificación electrónica estonia: la tarjeta de identificación, la tarjeta RP, la tarjeta de identidad diplomática, Digi-ID, e-Residency Digi-ID y Mobiil-ID. Los primeros tres medios son tanto documentos de identificación física como identidades digitales, mientras que los tres últimos son solo para identificación en línea. La tarjeta de identificación nacional es obligatoria para estonios mayores de 15 años. La identificación móvil es voluntaria, pero solo puede ser activada por los propietarios de una tarjeta nacional de dentificación electrónica. La solución móvil ha sido muy bien recibida por los ciudadanos, con una tasa de 12,2% de votantes que usan Mobile-ID.

eId3-Estonian_identity_card,_2007

El 28 de febrero de 2018, Croacia realizó la notificación previa de de su esquema de identificación electrónica, el Sistema Nacional de Identificación y Autenticación (NIAS,  National Identification and Authentication System) utilizando como identificación el documento de identidad personal croata (eOI). Los datos de identificación personal se imprimen en la tarjeta y se almacenan electrónicamente en el chip. El NIAS es parte del sistema de información del estado llamado e-Citizens que incluye el sistema del Portal del Gobierno Central (Gov.hr) que reúne todos los servicios públicos disponibles y el sistema de Carpeta de Usuario Personal (OKP).

eid4-Osobna_iskaznica_2015_-_prednja_strana

Por tanto, cinco países (si se incluye Italia) han iniciado recientemente un proceso de revisión por pares de tres meses, realizado de forma voluntaria por los Estados miembros que participan en la Red de Cooperación, al que seguirá la notificación formal. Se espera que en total seis esquemas de identificación electrónica (contando con la notificación de Alemania en septiembre de 2017) quedarán notificados en el marco del reglamento eIDAS antes del 29 de septiembre de 2018.

A partir de esta fecha,  todos los Estados miembros de la UE deberán reconocer los Sistemas de Identificación Electrónica (eID) notificados de otros Estados miembros para permitir el acceso al público de servicios en línea gubernamentales (administración electrónica) que ya admitan mecanismos de  identificación electrónica desplegados por el propio país.

Este artículo está basado en el publicado por la Unión Europea: Progress made towards mutual recognition of eID schemes in Europe

 

El seguro de responsabilidad civil de los Prestadores de Servicios Electrónicos de Confianza


Este es un tema que suelo tratar con alguna frecuencia, por lo que se pueden ver otros artículos relacionados en esta lista:

En esta ocasión me limitaré a traducir la  Portaria n.o 1370/2000 (2.a série). Esta norma portuguesa establece las exigencias sobre el seguro de responsabilidad civil de los Prestadores de Servicios Electrónicos de Confianza radicados en Portugal. Se enmarca, por tanto en el desarrollo nacional del Reglamento UE 910/2014 (EIDAS).

Esta traducción puede servir para comparar con la normativa equivalente publicada en España y a la que me he referido reiteradamente en los articulos citados al principio.

Esta es la norma:

Tras la entrada en vigor del Decreto-ley n° 290-D/99, de 2 de agosto, por el que se aprueba el ordenamiento jurídico de los documentos electrónicos y de la firma digital, es necesario definir las características del contrato de seguro obligatorio de responsabilidad civil al que se refiere el apartado d) del artículo 12 del mismo decreto.

Se dio audiencia a la Asociación Portuguesa de Seguros.

Así:

En virtud del artículo 17 del Decreto-Ley Nº 290-D/99 del 2 de agosto:

Manda al gobierno, por el Ministro de Hacienda, lo siguiente:

 1. — a) el contrato de seguro de responsabilidad civil obligatorio a que se refiere el apartado d del artículo 12 del Decreto-ley n° 290-d/99 del 2 de agosto, en lo sucesivo denominado «contrato de seguro», se refiere a los daños derivados de la actividad de certificación de las firmas digitales en el sentido del apartado c) del artículo 2 del mismo decreto.

b). sin perjuicio de lo dispuesto en la letra c) del presente apartado, el contrato de seguro garantiza únicamente el pago de indemnización por daños y perjuicios derivados de las reclamaciones que se produzcan en su período de validez.

c) en los casos de expiración o retirada de la acreditación o cese de actividad de la autoridad certificadora, el contrato de seguro se efectuará hasta el final del período establecido en el mismo.

2. el contrato de seguro cumplirá los siguientes requisitos:

a) Ser celebrado por un determinado período, nunca inferior a un año, y renovable;

b) tener un capital mínimo anual de 125 000 €, independientemente del número de partes lesionadas y reclamaciones.

3. En el contrato de seguro se podrán estipular franquicias no oponibles a terceros perjudicados o a sus herederos que no superen los  10 000 €.

4. El contrato de seguro previsto en el apartado 1 deberá excluir siempre la cobertura de los daños que deban ser cubiertos por otros seguros obligatorios, aunque no hayan concluido.

5. el contrato de seguro previsto en el apartado 1 podrá excluir la cobertura de los daños y perjuicios:

a) causados a socios, administradores, representantes legales o agentes de la persona jurídica cuya responsabilidad esté garantizada;

b) causados a cualquier persona cuya responsabilidad esté garantizada por este acuerdo, y al cónyuge, que viva de hecho en unión con el asegurado, ascendente y descendente o personas que hayan cohabitado o vivan a cargo de ella;

c) ocurridos como resultado de la guerra, huelga, bloqueo, disturbios, conmociones civiles, agresiones, sabotaje, terrorismo, actos de vandalismo, levantamientos civiles o militares o decisiones de autoridades o fuerzas usurpadoras de autoridad;

d) resultantes del incumplimiento por la autoridad certificadora de los deberes derivados del artículo 26 del Decreto-ley n° 290-D/99 del 2 de agosto;

e) Correspondientes a lucros cesantes

6. el contrato de seguro previsto en el apartado 1 podrá prever el derecho de devolución de la empresa de seguros en los siguientes casos:

a) cuando los daños resulten de una acción intencional o de un acto de calificación como delito o administrativo del asegurado o de la persona por quien se civilmente responsable;

b) cuando los daños resulten de actos u omisiones efectuados por el asegurado o por la persona de quien sea civilmente responsable, en estado de demencia o bajo la influencia del alcohol, estupefacientes u otras drogas o productos tóxicos.

29 de agosto de 2000. — Por el Ministro de Hacienda, António do
Pranto Nogueira Leite, Secretário de Estado do Tesouro e das Finanças

Segunda directiva de servicios de pago (PSD2) y Regulatory Technical Standards


La DIRECTIVA (UE) 2015/2366 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) no 1093/2010 y se deroga la Directiva 2007/64/CE se publicó el Diario Oficial de la Unión Europea el 23 de diciembre de 2015. Deberá ser recogida por las leyes nacionales de los paises miembros de la UE a más tardar el 13 de enero de 2018.

Independiza la gestión de los servicios de pago de la titularidad de la cuenta, de forma que el cliente de varias entidades financieras podría utilizar un proveedor único para consolidar la información de todas sus cuentas bancarias y para iniciar operaciones, por ejemplo transferencias.

Estos proveedores especiales que acceden a las cuentas para obtener información y para realizar transferencias se denominan prestadores o proveedores de servicios de pago y deben adoptar prudentes medidas de seguridad, en especial para garantizar la debida autenticación de los usuarios. Además, deben contar con un adecuado mecanismo de notificación de incidentes de seguridad a a los supervisores  y a los usuarios.

Los servicios de pago previstos son:

  1. Servicios que permiten el depósito de efectivo en una cuenta de pago y todas las operaciones necesarias para la gestión de una cuenta de pago.
  2. Servicios que permiten la retirada de efectivo de una cuenta de pago y todas las operaciones necesarias para la gestión de una cuenta de pago.
  3. Ejecución de operaciones de pago, incluida la transferencia de fondos, a través de una cuenta de pago en el proveedor de servicios de pago del usuario u otro proveedor de servicios de pago: a) ejecución de adeudos domiciliados, incluidos los adeudos domiciliados no recurrentes, b) ejecución de operaciones de pago mediante tarjeta de pago o dispositivo similar, c) ejecución de transferencias, incluidas las órdenes permanentes.
  4. Ejecución de operaciones de pago cuando los fondos estén cubiertos por una línea de crédito abierta para un usuario de servicios de pago: a) ejecución de adeudos domiciliados, incluidos los adeudos domiciliados no recurrentes, b) ejecución de operaciones de pago mediante tarjeta de pago o dispositivo similar, c) ejecución de transferencias, incluidas las órdenes permanentes.
  5. Emisión de instrumentos de pago y/o adquisición de operaciones de pago.
  6. Envío de dinero.
  7. Servicios de iniciación de pagos.
  8. Servicios de información sobre cuentas.

Las entidades que se constituyan para prestar servicios de pagos deberán cumplir ciertos requisitos de capital en su constitución:  si la entidad de pago solo pretende prestar el servicio de pago del punto 6,  su capital  inicial deberá ser mayor de 20.000 EUR; si la entidad de pago solo pretende prestar el servicio de pago del punto 7, su capital inicial  deberá ser mayor de 50.000 EUR; si la entidad de pago pretende prestar cualquiera de los servicios de pago a que se refieren los puntos 1 a 5, su capital inicial deberá ser mayor de 125.000 EUR. Solo la prestación de Servicios de información sobre cuentas no impone requisitos especiales de capital inicial a las entidades que los presten.

Sin embargo, más importante que el importe de capital inicial son los fondos propios. Uno de los métodos de cálculo de fondos propios mínimos indicados en la directiva para las entidades de pago exige que superen el 10 % de sus gastos generales del año anterior o de los previstos en su plan de negocios, en caso de que no superen el año de actividad.

Para que la actividad de los nuevos prestadores de servicios de pago pueda desarrollarse sin fricciones de interoperabilidad es necesario que se estabilicen las normas técnicas impulsadas por la Autoridad Bancaria Europea (EBA European Banking Authority) “Regulatory Technical Standards“, en particular sobre los aspectos de “strong customer authentication” y “secure communication”

Sin embargo, los borradores publicados por la EBA se han visto como restrictivos con la competencia, en particular respecto a los nuevos modelos de negocio que pretende impulsar la Directiva 2015/2366.

En noviembre de 2016 los eurodiputados a cargo de la negociación con la EBA expresaron su preocupación por el hecho de que los proyectos de normas presentados por la Autoridad Bancaria Europea (EBA) para apoyar la innovación en el mercado de pagos serían restrictivos a los nuevos modelos de negocio.

En agosto de 2016, la EBA propuso los borradores de nuevas normas técnicas de reglamentación (RTS, Regulatory Technical Standards) sobre la autenticación fuerte de los clientes como parte de su mandato de establecer tales normas bajo la nueva Directiva de Servicios de Pagos (PSD2).

Estos RTS incluyen la “autenticación fuerte del cliente” que se deberán usar cuando sea necesario acceder a cuentas de pago en línea, o iniciar una operación de pago electrónico o “realizar cualquier acción a través de un canal remoto que pueda implicar un riesgo de fraude de pago u otros abusos”.

También se aplican a los casos en que los pagos se inician a través de proveedores de servicios de iniciación de pagos (PISP, payment initiation service providers) o cuando los titulares de cuentas solicitan información sobre sus cuentas a través de un proveedor de servicios de información de cuentas (AISP, account information service provider ).

En el borrador de la norma, la EBA establece que los PSP deberían tener la libertad de decidir si se habilitan los pagos o el acceso a la cuenta a través de una “interfaz dedicada”, que sería una interfaz común para el uso de la industria en su totalidad o a través de su propia interfaz de banca electrónica, lo cual implicará que los agregadores de información y los iniciadores de pagos tendrían que ir una por una adaptando las interficies a los requisitos de cada entidad financiera (desvirtuando el propósito de los RTS).

Sin embargo, en una carta a la EBA en nombre del Parlamento Europeo, los eurodiputados Markus Ferber y Antonio Tajani le transmitieron que “el equipo de negociación del Prlamento Europeo apoya el acceso directo por parte de los proveedores de servicios de iniciación de pagos (PISP, payment initiation service providers ) y de los de servicios de información de cuenta (AISP, account information service providers) a la cuenta del ordenante, sin que el proveedor de servicios de pago de cuentas (ASPSP, account servicing payment service provider) exija que utilice un modelo de negocio determinado para la prestación de su servicio, ya se base en el acceso directo o en el indirecto.

Feber y Tajani expresaron su preocupación de que permitir el empleo de una “interfaz dedicada” implica el riesgo de dar a los ASPSP la posibilidad de excluir o limitar el acceso directo a la cuenta del ordenante a través de las instalaciones bancarias en línea preexistentes.

Esta opción  sería contraria al principio establecido en la Directiva, que impone a la EBAel desarrollo de las RTS con el fin de asegurar y mantener una competencia leal entre todos los proveedores de servicios de pago y garantizar la neutralidad de la tecnología y los modelos de negocio.

Feber y Tajani dejaron claro que el Parlamento Europeo quiere que la EBA se asegure de que los PISP y los AISP puedan obtener acceso directo a cuentas a través de todas las interfaces orientadas al cliente proporcionadas por los ASPSP en todo momento.

La EBA también debe asegurar que los ASPSPs siguen rigurosamente las reglas impuestas por la Directiva PSD2 para permitir a los PISPs y a los AISPs el acceso seguro a las cuentas cuando dichas entidades usan las interfaces propias de los ASPSPs.

El pasado 23 de febrero de 2017 la Autoridad Bancaria Europea (EBA) publicó su borrador final de Normas Técnicas de Reglamentación (RTS) sobre la autenticación fuerte de los clientes y la comunicación común y segura. Estas RTS, establecidas en virtud de la Directiva sobre servicios de pago revisada (PSD2) y desarrolladas en estrecha cooperación con el Banco Central Europeo (BCE).

Draft Regulatory Technical Standards on Strong Customer Authentication and common and secure communication under Article 98 of Directive 2015/2366 (PSD2)

La EBA recibió 224 respuestas a su documento de consulta, en el que se plantearon más de 300 consideraciones o solicitudes de aclaraciones. En la tabla de comentarios publicada como parte de la RTS, la EBA ha resumido cada uno de ellos y ha proporcionado su evaluación sobre si se han realizado cambios en la RTS como resultado de tales consideraciones.

En particular, una de las principales preocupaciones tratadas en este proyecto final de RTS se refiere a las exenciones de la aplicación de la autenticación fuerte de los clientes en función del nivel de riesgo que implica el servicio prestado; la cantidad y recurrencia de la transacción; y el canal de pago utilizado para la ejecución de la transacción. A este respecto, la ABE ha introducido dos nuevas exenciones: una basada en el análisis de riesgo de transacción basada en niveles definidos de fraude y la otra en pagos en las denominadas «terminales sin vigilancia» para las tarifas de transporte o estacionamiento. La exención sobre el análisis del riesgo de transacción está vinculada a un nivel predefinido de fraude y está sujeta a una cláusula de revisión de 18 meses después de la fecha de solicitud de la RTS.

Además, la ABE ha aumentado también el umbral de las transacciones de pago a distancia de 10 a 30 euros y ha suprimido las referencias anteriores a la norma ISO 27001 ya otras características específicas de la autenticación fuerte de los clientes para garantizar la neutralidad tecnológica de la RTS y para facilitar futuras innovaciones.

Con respecto a la comunicación entre proveedores de servicios de pago de cuentas (ASPSP), proveedores de servicios de información de cuentas (AISP) y proveedores de servicios de iniciación de pagos (PISPs), la ABE ha decidido mantener la obligación de que los ASPSP ofrezcan al menos una interfaz para AISPs y PISP para acceder a la información de la cuenta de pago. Esto está vinculado al hecho de que el PSD2 ya no permite el acceso de terceros sin identificación (a veces denominado “simulación de usuario” o, en inglés”screen scraping”) una vez transcurrido el período de transición previsto en el PSD2 para la aplicación de las Normas Técnicas Regulatorias  Regulatory Technical Standards.

La Directiva PSD2 establece que las RTS se aplicarán 18 meses después de su adopción por la Comisión de la UE como un acto delegado, por lo que es preciso que estas RTS se referencien oficialmente en una norma publicada en el Diario Oficial de la Unión Europea.

En el desarrollo de las tecnologías de Strong Customer Authentication claramente juegan un rol relevante los Prestadores de Servicios Electrónicos de Confianza que como EADTrust (European Agency of Digital Trust) aplican lo previsto en el Reglamento EIDAS.

 

 

Digitalización certificada en Francia


España cuenta con legislacion sobre Digitalización Certificada desde 2007, inicialmente para el ámbito tributario y posteriormente para el ámbito de la administración electrónica y de la Justicia (GIS de Digitalización Certificada del CTEAJE).

En Francia se acaba de producir un hito importante en relación con la digitalización  certificada con la publicación del decreto “Décret n° 2016-1673 du 5 décembre 2016 relatif à la fiabilité des copies et pris pour l’application de l’article 1379 du code civil”

A pesar de la generalización del uso de las tecnologías de la información en las relaciones humanas, las relaciones jurídicas se han vinculado hasta hace poco al papel, por hacer más intuitiva la garantía de integridad, de autenticidad y por su facilidad de conservación (con todos los problemas del archivo y localización de la documentación). Al final, cuando se precisa reflejar los compromisos adquiridos por las partes en un contrato, el papel sigue siendo el medio preferido.

Sin embargo, ¿es posible escanear el papel para su almacenamiento en un sistema moderno de gestión de documentos electrónicos y destruir el documento original?

En Francia, la publicación del “Decreto N ° 2016-1673 de 5 de diciembre el año 2016 sobre la fiabilidad de las copias  a los efectos del artículo 1.379 del Código Civil” ha supuesto una pequeña revolución clarificadora. viene a traer la respuesta correcta a esta pregunta.

El contexto del Decreto del 5 de diciembre el año 2016

Durante mucho tiempo, es decir, a partir de una Ley de 12 de julio 1980, las reglas de la prueba de las obligaciones contractuales establecen que posible hacer prueba de los escritos con una copia que sea una reproducción “fiel” y “duradera” (art. 1348 del código Civil).

La ley de 13 de marzo del 2000 “que adaptó el derecho de la prueba a las tecnologías de la información y a las relativas a la firma electrónica”,  no había incluido ninguna previsión para dar cobertura al citado artículo del código civil.

Por tanto, se presentaba la controversia de si una copia electrónica de un documento escrito, de un contrato en papel, de un pedido, de un albarán. podría alcanzar el nivel de fiabilidad requerido por el artículo 1348 del Código Civil como evidencia de la misma manera que el documento original, si por ,casualidad, este se destruye o se pierde.

En 2016, el derecho contractual francés vio una reforma importante, que no había conocido desde 1804 con la adopción del Código Civil, por la ordenanza de 10 de febrero de 2016. Con motivo de esta reforma, el artículo 1348 del código civil, ahora la sección 1379 se ha renovado con la aclaración “se presume fiable salvo prueba en contrario toda copia resultante de una reproducción idéntica de la forma y el contenido de un acto, y cuya integridad está garantizada a lo lo largo del tiempo por un proceso conforme a las condiciones establecidas por decreto en Consejo de Estado “.

A pesar del riesgo de legislar con “patada para adelante” de los detalles, la respuesta del legislador no se hizo esperar y fue publicada el 5 de diciembre de 2016.

Condiciones de fiabilidad de la copia digital de un original en papel

El decreto del 5 de diciembre el año 2016 prevé dos situaciones en las cuales se considera que una copia es fiable.

Por un lado, cuando el método de reproducción conduce a la modificación irreversible del soporte de la copia. Esto en realidad repite el mismo antiguo artículo 1348 del Código Civil que fue adoptado en 1980 para apuntar, sin decirlo, la tecnología de microfilm, que es la que se venía usando en Francia.

En segundo lugar, y esto es la noticia, cuando se reproduce electrónicamente respetando una serie de condiciones establecidas por el decreto.

En primer reto técnico: la copia digital debe proporcionar una garantía de la integridad del documento original. La Sección 3 del Decreto establece que esta condición se cumple por una huella electrónica que garantiza que “cualquier modificación posterior de la copia a la que está unido es detectable”.

La fiabilidad de la integridad de la huella se presume por el uso de una marca de tiempo cualificado o de un sello electrónico cualificado o de una firma electrónica cualificada en el sentido del Reglamento nº 910/2014 de 23 de julio de 2014 de servicios de identificación y de confianza electrónicos para las transacciones electrónicas en el mercado interior (eIDAS).

Se trata de una firma electrónica aplicada de forma automática por el sistema de archivo electrónico que crea la copia digital.

En la práctica, el Reglamento eIDAS establece que los proveedores de servicios electrónicos de confianza  que emiten sellos de tiempo, y certificados “cualificados” para la realización de sellos electrónicos o de firmas electrónicas  están sujetos a un control previo de un órgano de supervisión (en Francia el ANSSI), y se incluyen en una TSL (una lista de confianza)  establecida por cada Estado miembro y tienen derecho a utilizar la marca de confianza de la UE (definida en el Reglamento de ejecución 2015/806 de 22 de mayo de 2015 por el que se establecen especificaciones relativas a la forma de la etiqueta de confianza «UE» para servicios de confianza cualificados)

La preservación de la fiabilidad de la copia electrónica en el largo plazo, al menos, siempre y cuando queremos ser la capacidad de oponerse a la otra parte, se efectuará mediante el uso de un sistema de archivo electrónico ya contemplado en el Artículo 34 del EIDAS “Servicio cualificado de conservación de firmas electrónicas cualificadas” y para el que se prepara la normativa técnica de aplicación EN 319 512 “Long term data preservation services, including preservation of/with digital signatures”

Aunque esta norma no está cubierta explícitamente por el decreto de 5 de diciembre 2016. el marco del EIDAS hace que sea presumible su adopción.

 

Mientras, los tribunales franceses han dado por buena la cobertura que la norma  NF Z 42-013, proveía a las copias en microfilm. El Tribunal de Apelación de París, en una sentencia de 11 de febrero del 2016 había decidido que las copias de un contrato de apertura de cuenta realizados en el marco de un sistema de archivo electrónico desarrollado conforme a las especificaciones de la norma NF Z 42-013 contaban con el mismo valor probatorio que los originales.