Artículo 13, Reglamento de la Ley para el Reconocimiento de las Comunicaciones y Firmas Electrónicas: Obligaciones de los prestadores

Son obligaciones de los prestadores de servicios de certificación de firma electrónica, adicionales a las establecidas en la ley:

a)Contar con reglas o declaración sobre Prácticas de Certificación que sean objetivas y no discriminatorias y comunicarlas a los usuarios de manera sencilla y en idioma español. Estas deben declarar el cumplimiento de los requisitos señalados en el artículo 23 del presente reglamento con excepción de la póliza de seguro que se acredita por medio de la presentación de la misma y deberán contener al menos;

1)Una introducción, que deberá contener un resumen de las prácticas de certificación de que se trate, mencionando tanto la entidad que suscribe el documento, como el tipo de usuarios a los que son aplicables;

2)Consideraciones generales, debiendo contener información sobre obligaciones responsabilidades, cumplimiento de auditorías, confidencialidad, y derechos de propiedad intelectual, con relación a todas las partes involucradas;

3)Identificación y autenticación, debiendo describirse tanto los procesos de autenticación aplicados a los solicitantes de certificados, como los procesos para autenticar a los mismos cuando piden suspensión o revocación de certificado;

4)Requerimientos operacionales, debiendo contener información operacional para los procesos de solicitud de certificado, emisión de certificados, suspensión y revocación de certificados, procesos de auditoria de seguridad, almacenamiento de información relevante, cambio de datos de creación de firma electrónica, superación de situaciones

críticas, casos de fuerza mayor y caso fortuito, y procedimiento de término del usuario del servicio de certificación;

5)Controles de procedimiento, personal y físicos, debiendo describir los controles de seguridad no técnicos utilizados por el prestador de servicios de certificación para asegurar las funciones de generación de datos de creación de firma electrónica, autenticación de usuarios, emisión de certificados, suspensión y revocación de certificados, auditoria y almacenamiento de información relevante;

6)Controles de seguridad técnica, debiendo señalar las medidas de seguridad adoptadas por el prestador de servicios de certificación para proteger los datos de creación de su propia firma electrónica;

7)Perfiles de certificados y del registro de acceso público, debiendo especificar el formato del certificado y del registro de acceso público para todos los tipos ofrecidos como servicio; y,

8)Especificaciones de administración de la política de certificación debiendo señalar la forma en que la misma está contenida en la Práctica, los procedimientos para cambiar, publicar y notificar la política.

b)Comunicar al Director Ejecutivo del Registro mediante comunicación electrónica suscrita con firma electrónica avanzada del representante legal del prestador de servicios de certificación del inicio de sus operaciones con el objeto de la verificación de la versión final del certificado. Además de remitir a la Entidad Autorizadora una copia de cada tipo de Certificado generado.

c)Mantener un registro de acceso público de todos los tipos de certificados emitidos, en el que se garantice la disponibilidad de la información contenida en él de manera regular y continua. A dicho registro se podrá acceder por medios electrónicos y en el deberán constar los certificados emitidos por el certificador, indicando si los mismos se encuentran vigentes, revocados, suspendidos, traspasados de otro prestador de servicios de certificación u homologados. Para mantener este registro, el prestador de servicios de certificación podrá tratar los datos proporcionados por el titular del certificado que sean necesarios para ese efecto, y no podrá utilizarlos para otros fines. Dichos datos deberán ser conservados a lo menos durante diez años desde la emisión inicial de los certificados, cualquiera que sea el estado en que se encuentren los certificados. En caso el prestador de servicios de certificación cese en su actividad, deberá transferir dichos datos a un prestador de servicios de certificación, que deberá estar autorizado si aquel lo fuera, o a una empresa especializada en la custodia de datos electrónicos, por el tiempo para completar el plazo. Esta situación se deberá ver reflejada en el registro público de la Entidad Autorizadora. En lo restante se aplicarán las disposiciones contenidas en la legislación vigente relacionadas con la protección de datos, protección a la vida privada y cualquier tema relacionado;

d)En el caso de cesar su actividad, los prestadores de servicios de certificación deberán comunicarlo previamente a cada uno de los titulares de firmas electrónicas certificadas por ellos, con antelación de al menos quince (15) días hábiles y señalando al titular que de no existir objeción a la transferencia de los certificados a otro prestador, de servicios de certificación, dentro del plazo de quince (15) días hábiles contados desde la fecha de la comunicación, se entenderá que el usuario ha consentido en la transferencia de los mismos. En este caso, si el prestador es autorizado, deberá traspasar los certificados, necesariamente, a un certificador autorizado en la fecha en que el cese se produzca.

En caso de existir oposición, dejarán sin efecto los certificados respecto de los cuales el titular se haya opuesto a la transferencia;

e)Publicar en sus sitios de dominio electrónico las resoluciones de la Entidad Autorizadora que los afecten;

f)(Reformada por el Acuerdo Gubernativo No. 110-2020, publicado el 28/08/2020). En el otorgamiento de certificados de firma electrónica avanzada, comprobar fehacientemente la identidad del solicitante, para lo cual el prestador requerirá previamente la presencia en forma física o virtual del solicitante o de su representante legal, si se tratare de persona jurídica; pudiendo además comparecer físicamente ante notario. En todos los casos deberá hacerse constar el método utilizado y documentarse; la evidencia relativa a la identificación deberá conservarse por el período de al menos diez años.

g)Pagar el arancel de la supervisión, el que será fijado anualmente por la Entidad Autorizadora y comprenderá el costo del peritaje y del sistema de autorización e inspección de los prestadores;

h)Solicitar la cancelación de su inscripción en el Registro de Prestadores de Servicios de Certificación llevado por la Entidad Autorizadora, con una antelación no inferior a veinte (20) días hábiles cuando vayan a cesar su actividad, y comunicarle el destino que vaya a dar a los datos de los certificados especificando, en su caso, si los va a transferir y a quién, o si los certificados quedarán sin efecto. El cese de la actividad del prestador de servicios de certificación autorizado será registrado como nota de cancelación de la inscripción de la autorización por la Entidad Autorizadora en el registro a que se refiere este reglamento;

i)En caso de cancelación de la inscripción en el registro de prestadores de servicios de certificación autorizados, los certificadores comunicarán inmediatamente esta circunstancia a cada uno de los usuarios y deberán, de la misma manera que respecto al cese de actividades, traspasar los datos de sus certificados a otro prestador, si el usuario no se opusiere;

j)Indicar a la Entidad Autorizadora cualquier otra circunstancia relevante que pueda impedir la continuación de su actividad. En especial, deberá comunicar, en cuanto tenga conocimiento de ello, el inicio de un procedimiento de quiebra o que se encuentre en cesación de pagos o cualquier procedimiento similar;

k)El prestador autorizado o su representante legal no debe revelar los datos de firma electrónica que correspondan a su propio certificado y, en todo caso, será responsable de su mala utilización; y,

l)Cumplir con las demás obligaciones legales, especialmente las establecidas en la ley, el presente reglamento, la Ley de Protección al Consumidor y las situaciones relacionadas con la protección de datos y la vida privada.