Preambulo �nico Identificación electrónica y servicios de confianza para transacciones electrónicas en el mercado interior -Reglamento eIDAS-

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión de la propuesta de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo (1),

De conformidad con el procedimiento legislativo ordinario (2),

Considerando lo siguiente:

(1) La creación de un clima de confianza en el entorno en línea es esencial para el desarrollo económico y social. La desconfianza, en particular debida a la inseguridad jurídica percibida, hace que los consumidores, las empresas y las administraciones públicas duden a la hora de realizar transacciones por vía electrónica y adoptar nuevos servicios.

(2) El presente Reglamento se propone reforzar la confianza en las transacciones electrónicas en el mercado interior proporcionando una base común para lograr interacciones electrónicas seguras entre los ciudadanos, las empresas y las administraciones públicas e incrementando, en consecuencia, la eficacia de los servicios en línea públicos y privados, los negocios electrónicos y el comercio electrónico en la Unión.

(3) La Directiva 1999/93/CE del Parlamento Europeo y del Consejo (3) se refiere a las firmas electrónicas, sin ofrecer un marco global transfronterizo e intersectorial para garantizar unas transacciones electrónicas seguras, fiables y de fácil uso. El presente Reglamento refuerza y amplía el acervo que representa dicha Directiva.

(4) La Comunicación de la Comisión de 26 de agosto de 2010 titulada «Una Agenda Digital para Europa» señalaba que la fragmentación del mercado digital, la falta de interoperabilidad y el incremento de la ciberdelincuencia constituían obstáculos importantes para el ciclo virtuoso de la economía digital. En su informe sobre la ciudadanía de 2010, titulado «La eliminación de los obstáculos a los derechos de los ciudadanos de la UE», la Comisión subrayó asimismo la necesidad de resolver los principales problemas que impiden a los ciudadanos de la Unión disfrutar de los beneficios de un mercado único digital y unos servicios digitales transfronterizos.

(5) En sus conclusiones de 4 de febrero de 2011 y de 23 de octubre de 2011, el Consejo Europeo invitó a la Comisión a crear un mercado único digital para 2015 a fin de progresar rápidamente en ámbitos clave de la economía digital y promover un mercado único digital plenamente integrado facilitando el uso transfronterizo de los servicios en línea, con especial atención a la identificación y autenticación electrónicas seguras.

(6) En sus conclusiones de 27 de mayo de 2011 el Consejo invitó a la Comisión a contribuir al mercado único digital creando condiciones apropiadas para el reconocimiento mutuo a través de las fronteras de instrumentos clave tales como la identificación electrónica, los documentos electrónicos, las firmas electrónicas y los servicios de entrega electrónica, así como para unos servicios de administración electrónica interoperables en toda la Unión Europea.

(7) El Parlamento Europeo, en su Resolución de 21 de septiembre de 2010 sobre la plena realización del mercado interior del comercio electrónico (4) subrayó la importancia de la seguridad de los servicios electrónicos, especialmente de la firma electrónica, y la necesidad de crear una infraestructura de clave pública a nivel paneuropeo, y pidió a la Comisión que estableciese una pasarela de autoridades europeas de validación a fin de garantizar la interoperabilidad transfronteriza de las firmas electrónicas y aumentar la seguridad de las transacciones realizadas a través de Internet.

(8) La Directiva 2006/123/CE del Parlamento Europeo y el Consejo (5) o exige a los Estados miembros establecer «ventanillas únicas» para garantizar que todos los procedimientos y trámites relativos al acceso a una actividad de servicios y a su ejercicio se puedan realizar fácilmente, a distancia y por vía electrónica, a través de la ventanilla única adecuada y con las autoridades competentes. Ahora bien, muchos servicios en línea accesibles a través de ventanillas únicas exigen la identificación, autenticación y firma electrónicas.

(9) En la mayoría de los casos, los ciudadanos de un Estado miembro no pueden utilizar su identificación electrónica para autenticarse en otro Estado miembro porque los sistemas nacionales de identificación electrónica en su país no son reconocidos en otros Estados miembros. Dicha barrera electrónica excluye a los prestadores de servicios del pleno disfrute de los beneficios del mercado interior. Unos medios de identificación electrónica mutuamente reconocidos facilitarán la prestación transfronteriza de numerosos servicios en el mercado interior y permitirán a las empresas actuar fuera de sus fronteras sin encontrar obstáculos en su interacción con las autoridades públicas.

(10) La Directiva 2011/24/UE del Parlamento Europeo y el Consejo (6) establece una red de autoridades nacionales encargadas de la sanidad electrónica. A fin de mejorar la seguridad y la continuidad de la asistencia sanitaria transfronteriza, se solicita a esta red que elabore directrices sobre el acceso transfronterizo a los datos y servicios de sanidad electrónica, en particular apoyando «medidas comunes de identificación y autenticación para facilitar la transferibilidad de los datos en la asistencia sanitaria transfronteriza». El reconocimiento mutuo de la identificación y la autenticación electrónicas es esencial para que la atención sanitaria transfronteriza de los ciudadanos europeos se haga realidad. Cuando una persona se desplaza para ser tratada, sus datos médicos deben ser accesibles en el país que dispense el tratamiento. Para ello es necesario contar con un marco de identificación electrónica sólido, seguro y confiable.

(11) El presente Reglamento debe aplicarse de forma que se cumplan plenamente los principios relativos a la protección de los datos personales establecidos en la Directiva 95/46/CE del Parlamento Europeo y del Consejo (7). A tal efecto, visto el principio de reconocimiento mutuo que establece el presente Reglamento, la autenticación a efectos de un servicio en línea debe implicar exclusivamente el tratamiento de los datos identificativos que sean adecuados, pertinentes y no excesivos para la concesión del acceso al servicio en línea de que se trate. Por otra parte, los prestadores de servicios de confianza y el organismo de supervisión deben respetar asimismo los requisitos de confidencialidad y seguridad del tratamiento previstos en la Directiva 95/46/CE.

(12) Uno de los objetivos del presente Reglamento es eliminar las barreras existentes para el uso transfronterizo de los medios de identificación electrónica utilizados en los Estados miembros para autenticar al menos en los servicios públicos. El presente Reglamento no se propone intervenir en los sistemas de gestión de la identidad electrónica e infraestructuras conexas establecidos en los Estados miembros. Lo que pretende es garantizar que sean posibles la identificación y la autenticación electrónicas seguras para el acceso a los servicios transfronterizos en línea ofrecidos por los Estados miembros.

(13) Los Estados miembros deben seguir siendo libres de utilizar o introducir, a efectos de identificación electrónica, medios de acceder a los servicios en línea. También deben poder decidir si interviene o no el sector privado en la prestación de estos medios. Los Estados miembros no deben estar obligados a notificar sus sistemas de identificación electrónica a la Comisión. Corresponde a los Estados miembros decidir si notifican todos, algunos o ninguno de los sistemas de identificación electrónica utilizados a nivel nacional para el acceso al menos a los servicios públicos en línea o a servicios específicos.

(14) Deben establecerse en el presente Reglamento ciertas condiciones en relación con qué medios de identificación electrónica tienen que reconocerse y cómo deben notificarse los sistemas. Esto contribuiría a que cada Estado miembro adquiera la confianza necesaria en los sistemas de identificación electrónica de los demás y a que se reconozcan mutuamente los medios de identificación electrónica de los sistemas notificados. Debe aplicarse el principio de reconocimiento mutuo si el sistema de identificación electrónica del Estado miembro que efectúa la notificación cumple las condiciones de notificación y esta se ha publicado en el Diario Oficial de la Unión Europea. Sin embargo, el principio de reconocimiento mutuo debe referirse únicamente a la autenticación a efectos de un servicio en línea. El acceso a estos servicios en línea y su prestación final al solicitante deben estar estrechamente vinculados al derecho a recibir dichos servicios en las condiciones fijadas por la legislación nacional.

(15) La obligación de reconocer los medios de identificación electrónica debe referirse únicamente a los medios cuyo nivel de seguridad de la identidad corresponde a un nivel igual o superior al exigido para el servicio en línea de que se trate. Además, la obligación habrá de aplicarse únicamente cuando el organismo del sector público en cuestión emplee el nivel de seguridad «sustancial» o «alto» en lo tocante al acceso a dicho servicio en línea. Los Estados miembros deberán tener la posibilidad, con arreglo al Derecho de la Unión, de reconocer medios de identificación electrónica con niveles más bajos de certeza de la identidad.

(16) Los niveles de seguridad deben caracterizar el grado de confianza de un medio de identificación electrónica para establecer la identidad de una persona, garantizando así que la persona que afirma poseer una identidad determinada es de hecho la persona a quien se ha atribuido dicha identidad. El nivel de seguridad depende del grado de confianza que aporte este medio de identificación electrónica sobre la identidad pretendida o declarada por una persona, teniendo en cuenta los procedimientos técnicos, (por ejemplo, prueba y verificación de la identidad, autenticación), las actividades de gestión (como la entidad que expide los medios de identificación electrónica, el procedimiento para expedir dichos medios) y los controles aplicados. Como resultado de las actividades la normalización y las actividades internacionales de la financiación de la Unión de proyectos piloto a gran escala, existen varias definiciones y descripciones técnicas de niveles de seguridad. En particular, los proyectos piloto a gran escala STORK e ISO 29115 se refieren, entre otros, a los niveles 2, 3 y 4 que deben tenerse en cuenta en la máxima medida para establecer los requisitos técnicos mínimos, las normas y los procedimientos para los niveles de seguridad bajo, sustancial y alto entendidos en el sentido del presente Reglamento, garantizando al mismo tiempo la aplicación coherente del presente Reglamento, en particular con respecto al nivel de seguridad alto en relación con la acreditación de identidad para la expedición de certificados cualificados. Los requisitos que se establezcan deberán ser tecnológicamente neutros. Debe ser posible cumplir los requisitos de seguridad necesarios mediante diversas tecnologías.

(17) Los Estados miembros deben fomentar que el sector privado utilice voluntariamente los medios de identificación electrónica amparados en un sistema notificado a efectos de identificación cuando sea necesario para servicios en línea o transacciones electrónicas. La posibilidad de utilizar estos medios de identificación electrónica permitiría al sector privado recurrir a una identificación y autenticación electrónicas ampliamente utilizadas ya en muchos Estados miembros, al menos para los servicios públicos, y facilitar el acceso de las empresas y los ciudadanos a sus servicios en línea a través de las fronteras. Para facilitar el uso por parte del sector privado de tales medios de identificación electrónica a través de las fronteras, debe estar disponible la posibilidad de autenticación ofrecida por cualquier Estado miembro para las partes usuarias del sector privado establecidas fuera del territorio de dicho Estado miembro en las mismas condiciones aplicadas a las partes usuarias del sector privado establecidas dentro de dicho Estado miembro. Por consiguiente, por lo que respecta a las partes usuarias del sector privado, el Estado miembro que efectúa la notificación podrá definir condiciones de acceso a los medios de autenticación. Dichas condiciones de acceso podrán informar de si en un momento dado los medios de autenticación relacionados con el sistema notificado están disponibles para las partes usuarias del sector privado.

(18) El presente Reglamento establece la responsabilidad del Estado miembro que efectúa la notificación, de la parte que expide los medios de identificación electrónica y de la parte que realiza el procedimiento de autenticación en caso de incumplimiento de las obligaciones pertinentes dispuestas en el mismo. No obstante, el presente Reglamento debe aplicarse en consonancia con las normas nacionales sobre responsabilidad. Por lo tanto, no afectará a dichas normas nacionales, por ejemplo sobre la definición de daños y perjuicios o sobre las normas de procedimiento aplicables, incluida la carga de la prueba.

(19) La seguridad de los sistemas de identificación electrónica es esencial para la confianza en el reconocimiento transfronterizo recíproco de los medios de identificación electrónica. En tal sentido, los Estados miembros deben cooperar en relación con la seguridad y la interoperabilidad de los sistemas de identificación electrónica en el plano de la Unión. Toda vez que los sistemas de identificación electrónica puedan requerir el empleo de equipos o programas informáticos específicos por las partes usuarias a escala nacional, la interoperabilidad transfronteriza exige que los Estados miembros no impongan tales requisitos y los costes asociados a las partes usuarias establecidas fuera de su territorio. En tal caso, se deben debatir y desarrollar soluciones adecuadas dentro del ámbito de aplicación del marco de interoperabilidad. Sin embargo, resultan inevitables los requisitos técnicos derivados de las especificaciones intrínsecas de los medios de identificación electrónica nacionales (por ejemplo tarjetas inteligentes), que pueden afectar a los titulares de esos medios electrónicos.

(20) La cooperación de los Estados miembros debe contribuir a la interoperabilidad técnica de los sistemas de identificación electrónica notificados con vistas a fomentar un nivel de confianza y seguridad elevados, adaptados al grado de riesgo. El intercambio de información y de las mejores prácticas entre los Estados miembros con miras a su reconocimiento mutuo debe facilitar dicha cooperación.

(21) El presente Reglamento también debe establecer un marco jurídico general para la utilización de los servicios de confianza. Sin embargo, no debe crear la obligación general de utilizarlos ni de instalar un punto de acceso para todos los servicios de confianza existentes. En particular, no debe cubrir la prestación de servicios utilizados exclusivamente dentro de sistemas cerrados entre un conjunto definido de participantes, que no tengan efectos en terceros. Por ejemplo, los sistemas establecidos en empresas o administraciones públicas para gestionar procedimientos internos que hagan uso de servicios de confianza no deben estar sujetos a las obligaciones del presente Reglamento. Únicamente los servicios de confianza prestados al público que tengan efectos en terceros deben cumplir las obligaciones establecidas en el presente Reglamento. Tampoco debe regular el presente Reglamento los aspectos relacionados con la celebración y validez de los contratos u otras obligaciones legales cuando existan requisitos de forma establecidos por el Derecho nacional o de la Unión. Por otro lado, no debe afectar a los requisitos nacionales de formato correspondientes a los registros públicos, en particular los registros mercantiles y de la propiedad.

(22) Para contribuir al uso transfronterizo general de los servicios de confianza, debe ser posible utilizarlos como prueba en procedimientos judiciales en todos los Estados miembros. Corresponde al Derecho nacional definir los efectos jurídicos de los servicios de confianza, salvo disposición contraria del presente Reglamento.

(23) En la medida en que el presente Reglamento cree la obligación de reconocer un servicio de confianza, solo podrá no reconocerse tal servicio de confianza cuando el destinatario no pueda leerlo o verificarlo por motivos técnicos sobre los que el destinatario no tenga un control inmediato. No obstante, esta obligación no debe exigir a su vez a un organismo público la obtención del equipo y los programas informáticos necesarios para la legibilidad técnica de todos los servicios de confianza existentes.

(24) Los Estados miembros podrán mantener o introducir disposiciones nacionales, acordes con el Derecho de la Unión, relativas a los servicios de confianza, siempre que tales servicios no estén plenamente armonizados por el presente Reglamento. No obstante, los productos y servicios de confianza que se ajusten al presente Reglamento deben poder circular libremente en el mercado interior.

(25) Los Estados miembros deben conservar la libertad para definir otros tipos de servicios de confianza, además de los que forman parte de la lista cerrada de servicios de confianza prevista en el presente Reglamento, a efectos de su reconocimiento a nivel nacional como servicios de confianza cualificados.

(26) En razón de la rápida evolución de la tecnología, el presente Reglamento debe adoptar un planteamiento abierto a innovaciones.

(27) El presente Reglamento debe ser neutral en lo que se refiere a la tecnología. Los efectos jurídicos que otorga deben poder lograrse por cualquier medio técnico, siempre que se cumplan los requisitos que en él se estipulan.

(28) Para aumentar en particular la confianza de las pequeñas y medianas empresas y los consumidores en el mercado interior y fomentar el uso de servicios y productos de confianza, deben introducirse los conceptos de servicios de confianza cualificados y de prestador cualificado de servicios de confianza con miras a indicar los requisitos y obligaciones que garanticen un alto nivel de seguridad de cualquier servicio o producto de confianza cualificado que se preste o utilice.

(29) En consonancia con las obligaciones en virtud de la Convención de las Naciones Unidas sobre los Derechos de las Personas con Discapacidad, aprobada por la Decisión 2010/48/CE (8) del Consejo, en particular el artículo 9 de la Convención, las personas con discapacidad deben poder utilizar los servicios de confianza y los productos para el usuario final usados en la prestación de estos servicios en pie de igualdad con los demás consumidores. Por lo tanto, siempre que sea factible, los servicios de confianza prestados y los productos para el usuario final utilizados en la prestación de estos servicios deben hacerse accesibles para las personas con discapacidad. La evaluación de factibilidad debe incluir, entre otros aspectos, consideraciones técnicas y económicas.

(30) Los Estados miembros deben designar uno o más organismos de supervisión para que lleven a cabo las actividades de supervisión previstas en el presente Reglamento. Asimismo, los Estados miembros deben poder decidir, por mutuo acuerdo con otro Estado miembro, la designación de un organismo de supervisión en el territorio de ese otro Estado miembro.

(31) Los organismos de supervisión deben cooperar con las autoridades de protección de datos, por ejemplo informándoles de los resultados de las auditorías de los prestadores cualificados de servicios de confianza, en caso de resultar infringidas las normas sobre protección de datos de carácter personal. El suministro de información debe incluir, en particular, los incidentes en materia de seguridad y las violaciones de los datos de carácter personal.

(32) A todos los prestadores de servicios de confianza debe incumbir la aplicación de las buenas prácticas de seguridad adecuadas para los riesgos relacionados con sus actividades a fin de promover la confianza de los usuarios en el mercado único.

(33) Las disposiciones relativas al uso de seudónimos en los certificados no deben impedir a los Estados miembros exigir la identificación de las personas de conformidad con el Derecho nacional o de la Unión.

(34) Todos los Estados miembros deben seguir unos requisitos de supervisión esenciales comunes con el fin de garantizar un nivel de seguridad equivalente de los servicios de confianza cualificados. Para facilitar la aplicación coherente de estos requisitos en toda la Unión, los Estados miembros deben adoptar unos procedimientos comparables e intercambiar información sobre sus actividades de supervisión y las mejores prácticas en este campo.

(35) Todos los prestadores de servicios de confianza deben estar sometidos a los requisitos del presente Reglamento, en particular en materia de seguridad y responsabilidad, para garantizar la debida diligencia, la transparencia y la rendición de cuentas en relación con sus operaciones y servicios. No obstante, teniendo en cuenta el tipo de servicios prestados por los prestadores de servicios de confianza, es conveniente distinguir, en la medida en que se refiere a estos requisitos, entre prestadores cualificados y no cualificados de servicios de confianza.

(36) El establecimiento de un régimen de supervisión de todos los prestadores de servicios de confianza debe garantizar unas condiciones de igualdad en cuanto a la seguridad y la rendición de cuentas en relación con sus operaciones y servicios, contribuyendo así a la protección de los usuarios y al funcionamiento del mercado interior. Los prestadores no cualificados de servicios de confianza deben estar sujetos a un tipo de supervisión ligera, reactiva y posterior y justificada en función de la naturaleza de sus servicios y operaciones. Por consiguiente, el organismo de supervisión no debe tener la obligación general de supervisar a los prestadores no cualificados de servicios. El organismo de supervisión debe actuar únicamente cuando se le informe (por ejemplo, por parte del propio prestador no cualificado de servicios de confianza, mediante notificación de un usuario o de un socio comercial, o a través de sus propias investigaciones) de que un prestador no cualificado de servicios de confianza no cumple los requisitos del presente Reglamento.

(37) El presente Reglamento debe establecer la responsabilidad de todos los prestadores de servicios de confianza. Establece, en particular, el régimen de responsabilidad conforme al cual todos los prestadores de servicios de confianza deben responder de los perjuicios ocasionados a cualquier persona física o jurídica con motivo del incumplimiento por su parte de las obligaciones que impone el presente Reglamento. Con objeto de facilitar la evaluación del riesgo financiero que podrían tener que soportar los prestadores de servicios de confianza, o el que deberían cubrir mediante pólizas de seguros, el presente Reglamento permite que los prestadores de servicios de confianza establezcan limitaciones, en determinadas circunstancias, relativas a la utilización de los servicios que prestan y que los exima de responsabilidad por los perjuicios derivados de la utilización de los servicios que superen dichas limitaciones. Debe informarse debidamente a los clientes de estas limitaciones con antelación. Tales limitaciones deben poder ser reconocidas por terceros, por ejemplo mediante la inclusión de información al respecto en las condiciones generales del servicio prestado o por otros medios reconocibles. Con el fin de dar efecto a estos principios, el presente Reglamento debe aplicarse de conformidad con las normas nacionales en materia de responsabilidad. Por lo tanto, el presente Reglamento no afectará a tales normas nacionales, por ejemplo las relativas a la definición de los perjuicios, la intencionalidad, la negligencia o las normas de procedimiento aplicables pertinentes.

(38) Es esencial la notificación de las violaciones de la seguridad y de las evaluaciones del riesgo para la seguridad con vistas a ofrecer una información adecuada a las partes implicadas en caso de violación de la seguridad o pérdida de la integridad.

(39) Con el fin de permitir a la Comisión y a los Estados miembros evaluar la eficacia de la mecanismo de notificación de violaciones introducido por el presente Reglamento, los organismos de supervisión deben proporcionar información resumida a la Comisión y a la Agencia de Seguridad de las Redes y de la Información (ENISA) de la Unión Europea.

(40) Con el fin de permitir a la Comisión y a los Estados miembros evaluar la eficacia del mecanismo de supervisión reforzada introducido por el presente Reglamento, debe solicitarse a los organismos de supervisión que informen sobre sus actividades. Este elemento sería decisivo para facilitar el intercambio de buenas prácticas entre los organismos de supervisión y garantizaría la verificación de que los requisitos de supervisión esenciales se aplican de forma coherente y eficiente en todos los Estados miembros.

(41) A fin de garantizar la sostenibilidad y durabilidad de los servicios de confianza cualificados y de potenciar la confianza de los usuarios en la continuidad de dichos servicios, los organismos de supervisión deben verificar la existencia y la correcta aplicación de las disposiciones relativas a los planes de cese en caso de que los prestadores cualificados de servicios de confianza cesen en sus actividades.

(42) Para facilitar la supervisión de los prestadores cualificados de servicios de confianza, por ejemplo cuando un prestador preste sus servicios en el territorio de otro Estado miembro y no esté sujeto a supervisión en este, o cuando los ordenadores de un prestador estén situados en el territorio de un Estado miembro distinto de aquel en el que está establecido, debe crearse un sistema de asistencia mutua entre los organismos de supervisión de los Estados miembros.

(43) Con el fin de garantizar el cumplimiento de los requisitos del presente Reglamento por parte de los prestadores cualificados de servicios de confianza y de los servicios que prestan, organismos de evaluación de la conformidad deben llevar a cabo evaluaciones de la conformidad, y los prestadores cualificados de servicios de confianza transmitirán los informes de evaluación de la conformidad al organismo de supervisión. Siempre que el organismo de supervisión exija que un prestador cualificado de servicios de confianza presente un informe ad hoc de evaluación de la conformidad, el organismo de supervisión debe observar, en particular, el principio de buena administración, incluida la obligación de motivar sus decisiones, así como el principio de proporcionalidad. Por consiguiente, el organismo de supervisión debe justificar debidamente cualquier decisión por la que requiera una evaluación ad hoc de la conformidad.

(44) El presente Reglamento tiene por objeto proporcionar un marco coherente con vistas a garantizar un elevado nivel de seguridad y de certidumbre jurídica de los servicios de confianza. En tal sentido, la Comisión, a la hora de examinar la evaluación de la conformidad de los productos y servicios, debe procurar, si procede, establecer sinergias con los sistemas europeos e internacionales pertinentes, como el Reglamento (CE) nº 765/2008 del Parlamento Europeo y el Consejo (9) por el que se establecen los requisitos de acreditación de los organismos de evaluación de la conformidad y vigilancia del mercado de productos.

(45) A fin de permitir un proceso de puesta en marcha eficiente, que lleve a la inclusión de los prestadores cualificados de servicios de confianza y de los servicios de confianza cualificados que prestan en listas de confianza, deben fomentarse las interacciones preliminares entre los candidatos a prestadores cualificados de servicios de confianza y el organismo de supervisión competente con vistas a facilitar la diligencia debida que lleve a la prestación de servicios de confianza cualificados.

(46) Las listas de confianza constituyen elementos esenciales para la creación de confianza entre los operadores del mercado, ya que indican la cualificación del prestador de servicios en el momento de la supervisión.

(47) La confianza en los servicios en línea y la conveniencia de estos servicios son fundamentales para que los usuarios los aprovechen plenamente y confíen conscientemente en los servicios electrónicos. Para este fin, debe crearse una etiqueta de confianza «UE» que identifique los servicios de confianza cualificados prestados por prestadores cualificados de servicios de confianza. Esta etiqueta de confianza «UE» para los servicios de confianza cualificados diferenciaría claramente los servicios de confianza cualificados de otros servicios de confianza, contribuyendo así a mejorar la transparencia del mercado. El uso de una etiqueta de confianza «UE» por parte de los prestadores cualificados de servicios de confianza es voluntario y no debe implicar más requisitos que los establecidos en el presente Reglamento.

(48) Aun cuando es necesario un alto nivel de seguridad para garantizar el reconocimiento mutuo de las firmas electrónicas, en determinados casos, como por ejemplo en el contexto de la Decisión 2009/767/CE (10) de la Comisión, deben aceptarse también las firmas electrónicas que tienen una menor garantía de la seguridad.

(49) El presente Reglamento debe establecer el principio de que no se deben denegar los efectos jurídicos de una firma electrónica por el mero hecho de ser una firma electrónica o porque no cumpla todos los requisitos de la firma electrónica cualificada. Sin embargo, corresponde a las legislaciones nacionales determinar los efectos jurídicos de las firmas electrónicas en los Estados miembros, salvo para los requisitos establecidos en el presente Reglamento según los cuales una firma electrónica cualificada debe tener el efecto jurídico equivalente a una firma manuscrita.

(50) Dado que las autoridades competentes en los Estados miembros usan actualmente formatos de firma electrónica avanzada diferentes para firmar electrónicamente sus documentos, es preciso velar por que los Estados miembros puedan soportar técnicamente al menos una serie de formatos de firma electrónica avanzada cuando reciban documentos firmados electrónicamente. Del mismo modo, cuando las autoridades competentes de los Estados miembros utilicen sellos electrónicos avanzados, sería necesario garantizar que soporten al menos una serie de formatos de sello electrónico avanzado.

(51) Debe ser posible para el firmante confiar a un tercero los dispositivos cualificados de creación de firmas electrónicas, a condición de que se apliquen los procedimientos y mecanismos adecuados para garantizar que el firmante tiene el control exclusivo del uso de sus datos de creación de la firma electrónica y que la utilización del dispositivo cumple los requisitos de la firma electrónica cualificada.

(52) Debido a sus múltiples ventajas económicas, debe desarrollarse la creación de firmas electrónicas a distancia en un entorno de creación de firma electrónica gestionado por un prestador de servicios de confianza en nombre del firmante. Sin embargo, a fin de garantizar que estas firmas electrónicas obtengan el mismo reconocimiento jurídico que las firmas electrónicas creadas en un entorno completamente gestionado por el usuario, los prestadores que ofrezcan servicios de firma electrónica a distancia deben aplicar procedimientos de seguridad de la gestión y administrativos específicos y utilizar sistemas y productos fiables, incluidos canales de comunicación electrónica seguros para garantizar que el entorno de creación de firmas electrónicas es fiable y se utiliza bajo el control exclusivo del firmante. En el caso de una firma electrónica cualificada creada mediante un dispositivo de creación de firmas electrónicas a distancia, se aplicarán los requisitos aplicables a los prestadores cualificados de servicios de confianza contemplados en el presente Reglamento.

(53) La suspensión de certificados cualificados es una práctica operativa establecida de los prestadores de servicios de confianza en una serie de Estados miembros, distinta de la revocación y que conlleva la pérdida temporal de la validez de un certificado. La seguridad jurídica impone que siempre se indique claramente la suspensión de un certificado. A tal fin, los prestadores de servicios de confianza deben encargarse de indicar claramente la situación del certificado y, si está suspendido, el período preciso durante el cual ha sido suspendido. El presente Reglamento no debe imponer a los prestadores de servicios de confianza ni a los Estados miembros el uso de la suspensión, pero debe establecer normas de transparencia cuando y donde esta práctica sea posible.

(54) La interoperabilidad y el reconocimiento transfronterizos de los certificados cualificados es un requisito previo para el reconocimiento transfronterizo de las firmas electrónicas cualificadas. Por consiguiente, los certificados cualificados no deben estar sometidos a ningún requisito obligatorio que exceda de los requisitos establecidos en el presente Reglamento. No obstante, en el plano nacional debe permitirse la inclusión de atributos específicos, por ejemplo identificadores únicos, en los certificados cualificados, a condición de que tales atributos específicos no comprometan la interoperabilidad y el reconocimiento transfronterizos de los certificados y las firmas electrónicas cualificados.

(55) La certificación de seguridad TI basada en normas internacionales (como ISO 15408 y métodos relacionados de evaluación y acuerdos de reconocimiento mutuo) es un importante instrumento para verificar la seguridad de dispositivos cualificados de creación de firmas electrónicas y debe fomentarse. Con todo, las soluciones y servicios innovadores (como la firma móvil, la firma en nube, etc.) se basan en soluciones técnicas y organizativas de dispositivos cualificados de creación de firmas electrónicas para las que puede no disponerse todavía de normas de seguridad o para las que puede estar en curso la primera certificación de seguridad TI. El nivel de seguridad de dichos dispositivos cualificados de creación de firmas electrónicas debe poder evaluarse mediante procesos alternativos únicamente cuando no se disponga todavía de normas de seguridad o para las que pueda estar en curso la primera certificación de seguridad TI. Dichos procesos deben ser comparables con las normas de certificación de seguridad TI en la medida en que sean equivalentes los niveles de seguridad. Estos procesos podrán facilitarse mediante un examen por homólogos.

(56) En el presente Reglamento se establecen requisitos aplicables a los dispositivos cualificados de creación de firmas electrónicas, a fin de garantizar la funcionalidad de las firmas electrónicas avanzadas. El presente Reglamento no debe regular la totalidad del entorno del sistema en el que operen tales dispositivos. Por consiguiente, el objeto de la certificación de los dispositivos cualificados de creación de firmas debe limitarse a los equipos y programas informáticos empleados para gestionar y proteger los datos de creación de firma creados, almacenados o tratados en el dispositivo de creación de firmas. Tal como se especifica en las normas pertinentes, el alcance de la obligación de certificación debe excluir a las aplicaciones de creación de firmas.

(57) Para ofrecer seguridad jurídica sobre la validez de la firma, es esencial detallar qué componentes de una firma electrónica cualificada debe evaluar la parte usuaria que efectúa la validación. Por otra parte, la especificación de los requisitos exigibles a los prestadores cualificados de servicios de confianza que pueden brindar un servicio de validación cualificado a las partes usuarias que no desean o no pueden realizar por sí mismas la validación de las firmas electrónicas cualificadas debe estimular a los sectores privado y público para que inviertan en tales servicios. Ambos elementos deben contribuir a que la validación de la firma electrónica cualificada resulte fácil y cómoda para todas las partes a nivel de la Unión.

(58) Cuando una transacción exija un sello electrónico cualificado de una persona jurídica, debe ser igualmente aceptable una firma electrónica cualificada del representante autorizado de la persona jurídica.

(59) Los sellos electrónicos deben servir como prueba de que un documento electrónico ha sido expedido por una persona jurídica, aportando certeza sobre el origen y la integridad del documento.

(60) Los prestadores de servicios de confianza que expidan certificados cualificados de sello electrónico deben instaurar las medidas necesarias para poder determinar la identidad de la persona física que representa a la persona jurídica a la que se entregue el certificado cualificado de sello electrónico, cuando se requiera tal identificación a nivel nacional en el contexto de procedimientos judiciales o administrativos.

(61) El presente Reglamento debe garantizar la conservación a largo plazo de la información, es decir, la validez jurídica de la firma electrónica y los sellos electrónicos durante períodos de tiempo prolongados, garantizando que se puedan validar independientemente de la evolución futura de la tecnología.

(62) Con el fin de garantizar la seguridad de los sellos cualificados de tiempo electrónicos, el presente Reglamento debe requerir el empleo del sello electrónico avanzado o la firma electrónica avanzada, o de otros métodos equivalentes. Cabe esperar que la innovación dé lugar a nuevas tecnologías que garanticen un nivel de seguridad equivalente de los sellos de tiempo. Siempre que se emplee otro método que no sea el sello electrónico avanzado ni la firma electrónica avanzada, debe corresponder al prestador cualificado de servicios de confianza demostrar, en el informe de evaluación de la conformidad, que dicho método garantiza un nivel de seguridad equivalente y cumple con las obligaciones establecidas en el presente Reglamento.

(63) Los documentos electrónicos son importantes para que sigan desarrollándose las transacciones electrónicas transfronterizas en el mercado interior. El presente Reglamento debe establecer el principio de que no se deben denegar efectos jurídicos a un documento electrónico por el mero hecho de estar en formato electrónico al objeto de garantizar que no se rechazará una transacción electrónica por el mero hecho de que el documento está en formato electrónico.

(64) A la hora de examinar formatos de firmas y sellos electrónicos avanzados, la Comisión debe basarse en los usos, normas y reglamentaciones vigentes, y en particular en la Decisión 2011/130/UE de la Comisión (11).

(65) Además de autenticar el documento expedido por la persona jurídica, los sellos electrónicos pueden utilizarse para autenticar cualquier activo digital de la persona jurídica, por ejemplo, programas informáticos o servidores.

(66) Es esencial proporcionar un marco jurídico para facilitar el reconocimiento transfronterizo entre los ordenamientos jurídicos nacionales existentes relacionados con servicios de entrega electrónica certificada. Dicho marco puede abrir, además, nuevas oportunidades de mercados para los prestadores de servicios de confianza de la Unión de ofrecer nuevos servicios paneuropeos de entrega electrónica certificada.

(67) Los servicios de autenticación de sitios web proporcionan un medio por el que puede garantizarse a la persona que visita un sitio web que existe una entidad auténtica y legítima que respalda la existencia del sitio web. Estos servicios contribuyen a crear confianza y fe en la realización de operaciones mercantiles en línea, dado que los usuarios se fiarán de un sitio web que haya sido autenticado. La prestación y la utilización de servicios de autenticación de sitios web son totalmente voluntarias. No obstante, para que la autenticación de sitios web se convierta en un medio de potenciar la confianza, proporcionar al usuario una experiencia mejor y propiciar el crecimiento en el mercado interior, el presente Reglamento debe establecer obligaciones mínimas de seguridad y responsabilidad para los prestadores y los servicios que prestan. A tal efecto, se han tenido en cuenta los resultados de las iniciativas punteras lideradas por el sector (por ejemplo el foro de autoridades de certificación y navegadores-CA/B Forum). Además, el presente Reglamento no debe oponerse a la utilización de otros medios o métodos de autenticación de un sitio web que no estén regulados por el presente Reglamento, ni impedir que prestadores de autenticación de sitios web de terceros países presten sus servicios a clientes situados en la Unión. Ahora bien, los servicios de autenticación de sitios web de un prestador de un tercer país solamente se reconocerán como servicios cualificados de conformidad con el presente Reglamento en caso de que se haya celebrado un acuerdo internacional al respecto entre la Unión y el país de establecimiento del prestador.

(68) De conformidad con las disposiciones del Tratado de Funcionamiento de la Unión Europea (TFUE) en materia de establecimiento, el concepto de «personas jurídicas» permite a los operadores elegir libremente la forma jurídica que consideren adecuada para la realización de sus actividades. Por tanto, las «personas jurídicas» en el sentido del TFUE incluyen todas las entidades constituidas en virtud de la legislación de un Estado miembro, o que se rigen por la misma, independientemente de su forma jurídica.

(69) Se anima a las instituciones, órganos y organismos de la Unión Europea a reconocer la identificación electrónica y los servicios de confianza que contempla el presente Reglamento a efectos de la cooperación administrativa, aprovechando en particular las buenas prácticas existentes y los resultados de los proyectos en curso en los ámbitos previstos por el presente Reglamento.

(70) Para complementar algunos aspectos técnicos concretos del presente Reglamento de manera flexible y rápida, debe delegarse en la Comisión la facultad de adoptar actos de conformidad con el artículo 290 del TFUE en lo que se refiere a los criterios que deben cumplir los organismos responsables de la certificación de los dispositivos cualificados de creación de firmas electrónicas. Es particularmente importante que la Comisión lleve a cabo las consultas apropiadas durante sus tareas preparatorias, también a nivel de expertos. Al preparar y elaborar actos delegados, la Comisión debe garantizar que los documentos pertinentes se transmitan al Parlamento Europeo y al Consejo de manera simultánea, oportuna y adecuada.

(71) Con el fin de garantizar unas condiciones uniformes para la aplicación del presente Reglamento, deben conferirse competencias de ejecución a la Comisión, en particular, para que especifique los números de referencia de las normas cuya utilización daría la presunción del cumplimiento de determinados requisitos establecidos en el presente Reglamento. Estas competencias deben ejercerse de conformidad con el Reglamento (UE) nº 182/2011 del Parlamento Europeo y del Consejo (12).

(72) A la hora de adoptar actos delegados o actos de ejecución, la Comisión debe tener debidamente en cuenta las normas y especificaciones técnicas elaboradas por organizaciones y organismos de normalización europeos e internacionales, en particular el Comité Europeo de Normalización (CEN), el Instituto Europeo de Normas de Telecomunicación (ETSI), la Organización Internacional de Normalización (ISO) y la Unión Internacional de Telecomunicaciones (UIT), con vistas a garantizar un elevado nivel de seguridad e interoperabilidad de los servicios de identificación electrónica y de confianza.

(73) Por razones de seguridad jurídica y claridad, debe derogarse la Directiva 1999/93/CE.

(74) Para dar seguridad jurídica a los operadores del mercado que ya utilicen certificados reconocidos expedidos a personas físicas de conformidad con la Directiva 1999/93/CE, es necesario prever un período de transición suficiente. De igual modo, han de preverse medidas transitorias para los dispositivos seguros de creación de firmas, cuya conformidad se haya determinado con arreglo a la Directiva 1999/93/CE, así como para los prestadores de servicios de certificación que expidan certificados reconocidos antes del 1 de julio de 2016. Por último, también es necesario dotar a la Comisión de los medios necesarios para adoptar los actos de ejecución y los actos delegados con anterioridad a esa fecha.

(75) Las fechas de aplicación que contempla el presente Reglamento no deben impedir que los Estados miembros cumplan las obligaciones que ya tengan a tenor del Derecho de la Unión, en particular de la Directiva 2006/123/CE.

(76) Dado que el objetivo del presente Reglamento no puede ser alcanzado de manera suficiente por los Estados miembros, sino que, debido a la dimensión de la acción, puede lograrse mejor a nivel de la Unión, la Unión puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo.

(77) El Supervisor Europeo de Protección de Datos fue consultado de conformidad con el artículo 28, apartado 2, del Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo (13) y emitió un dictamen el 27 de septiembre de 2012 (14).

HAN ADOPTADO EL PRESENTE REGLAMENTO: