Legge sulla firma elettronica
Inviato da Manuel Casal | Sezione Regolamenti
Il BOPA ieri (6 / 22) pubblicato dalla Legge 6 / 2009 del 29 dicembre, firma elettronica , che entrerà in vigore entro tre mesi da oggi. La firma elettronica è il meccanismo utilizzato per verificare l'origine e l'integrità dei messaggi inviati per via elettronica. Per incoraggiare l'utilizzo diffuso delle comunicazioni elettroniche e lo sviluppo della società dell'informazione, e quindi non costituisce un ostacolo all'esercizio dei diritti dei cittadini, gli utenti devono poter contare su questo meccanismo facoltativo, per cui è necessario regolamentare. La legge mira a determinare i concetti di base che dovrebbero essere considerati per quanto riguarda le firme elettroniche, forme ed effetti, la regolamentazione dei certificati elettronici, che regolano la fornitura di servizi di certificazione, inclusi i requisiti speciali e gli obblighi questa attività, le responsabilità di coloro che sono coinvolti nella trasmissione di messaggi firmati elettronicamente, l'accreditamento dei fornitori di servizi, il sistema di controllo amministrativo e di controllo, e, infine, il sistema di sanzioni.
Vedere Bill e il processo legislativo
Full Text:
Legge 6 / 2009 del 29 dicembre firme elettroniche
Poiché il Consiglio generale nella riunione del 29 dicembre 2009 ha approvato i seguenti:
Legge 6 / 2009 del 29 dicembre firme elettroniche
Fieristico
La firma elettronica è il meccanismo utilizzato per verificare l'origine e l'integrità dei messaggi inviati per via elettronica. Per incoraggiare l'utilizzo diffuso delle comunicazioni elettroniche e lo sviluppo della società dell'informazione, e quindi non costituisce un ostacolo all'esercizio dei diritti dei cittadini, gli utenti devono poter contare su questo meccanismo opzionale e quindi è necessario regolare.
Anche se ci sono molte possibilità di firma elettronica, la pratica è diventata la firma basata su un certificato nella formula che garantisce l'affidabilità. I certificati sono documenti elettronici emessi dalla terza certificazione fornitori di servizi, che collega la creazione di una firma elettronica dei dati in possesso l'identità dell'utente, e hanno annunciato nel campo elettronico.
In ambito europeo, la fornitura di servizi di certificazione è un'attività svolta sia da soggetti pubblici e privati, sotto la libera concorrenza, e fornitori di servizi possono avvalersi di certificazioni volontarie in un regime giuridico specifico, chiamato l'accreditamento, per cui lo Stato verifica che i servizi forniti soddisfare determinati standard di qualità e in cambio, allegata al certificato, nonché i certificati qualificati di riconoscimento dei caratteri, il che comporta una presunzione di affidabilità.
Anche se il Principato di Andorra è un paese di piccole dimensioni e le caratteristiche del mercato specifico ed economico, è consigliabile che la regolamentazione delle firme elettroniche non si allontanerà dal sistema generale seguita nei paesi vicini. Di conseguenza, la legge prevede un modello duale o misto regolando la fornitura privata di servizi di certificazione che fornisce tutte le possibilità che il governo può anche fornire tali servizi.
Da queste premesse, la legge è diviso in otto capitoli, che mirano a determinare i concetti di base che dovrebbero essere considerati per quanto riguarda le firme elettroniche, forme ed effetti, la regolamentazione dei certificati elettronici, il regolamento la fornitura di servizi di certificazione, inclusi i requisiti speciali e gli obblighi di questa attività, le responsabilità di coloro che sono coinvolti nella trasmissione di messaggi firmati elettronicamente, l'accreditamento dei fornitori di servizi, il sistema di controllo amministrativo e di controllo e, infine, il sistema di sanzioni.
Infine, ulteriori disposizioni stabiliscono l'equipollenza dei certificati esteri e dispositivi elettronici di creazione della firma per la firma elettronica, mentre i regolamenti definitivi in materia di consentire al governo di sviluppare norme per la legge e l'entrata in vigore .
Capitolo uno. Disposizioni generali
Articolo 1 Scopo della legge
1. La presente legge disciplina la firma elettronica e dei loro effetti nel campo delle relazioni d'affari e nella pubblica amministrazione, d'accordo in questo caso, le norme che disciplinano il procedimento amministrativo.
2. La legge disciplina anche la fornitura di servizi di certificazione, e si applica ai prestatori di servizi di certificazione stabilito nel Principato di Andorra o dei servizi forniti tramite un negozio o un ufficio aperto nel Principato di Andorra. Il semplice uso sporadico, non continuativi e periodici, dei mezzi tecnologici con sede ad Andorra per la fornitura o l'accesso al servizio non può essere intesa come l'esistenza di una stabile organizzazione e non implica, di per sé, il applicazione della presente legge.
3. Le disposizioni della presente legge non modificano il diritto sostanziale applicabile alla esecuzione, validità ed efficacia dei contratti e documenti legali o documenti affermando. Né cambiare le regole sulla protezione dei consumatori e degli utenti.
4. L'uso delle firme elettroniche nei rapporti con le autorità del Principato di Andorra è soggetto esclusivamente ad ulteriori termini e condizioni previste dalla presente legge, a condizione che tali condizioni aggiuntive:
- Essere obiettivi, trasparenti, proporzionati e non discriminatori;
- Fare riferimento esclusivamente alle caratteristiche specifiche della domanda in questione;
- Non ostacolare servizi transfrontalieri per i cittadini di Andorra.
Articolo 2 Firma elettronica e firma
1. La firma elettronica è l'insieme di dati contenuti in un documento elettronico, o collegati ad altri dati ad essi associati, che può essere usato come mezzo di identificazione della persona che lo produce.
2. E 'lo stato dei singoli firmatari, agendo per sé o per conto di un'altra persona o entità, crea una firma elettronica utilizzando un dispositivo di creazione della firma.
3. Le firme elettroniche sono disciplinate dalla presente legge:
a) La firma elettronica.
b) La firma elettronica qualificata o riconosciuti.
L'articolo 3 avanzata firma elettronica
La firma elettronica è una firma elettronica che soddisfi i seguenti requisiti:
a) essere collegati in un unico firmatario.
b) consentire l'identificazione del firmatario.
c) sono stati creati con mezzi sui quali il firmatario può conservare il proprio controllo esclusivo.
d) essere collegata ai dati specifici in modo da rilevare eventuali ulteriori modifiche di tali dati.
Articolo 4, firma elettronica qualificata o riconosciuti
Chiamato firma elettronica qualificata o firma elettronica ha riconosciuto che soddisfano i seguenti criteri:
a) essere basata su un certificato qualificato o riconosciuto.
b) sono state create da un dispositivo sicuro di creazione della firma.
Articolo 5 Effetti giuridici delle firme elettroniche
1. La firma elettronica qualificata e riconosciuta rispetto ai dati registrati in forma elettronica, lo stesso valore legale della firma manoscritta in relazione a registrare su carta.
2. La firma elettronica qualificata è conosciuta o presunta autenticità, salvo prova contraria.
3. La firma elettronica che soddisfi i requisiti di una firma elettronica qualificata o riconosciuti, oppure non è basata su un certificato rilasciato da un prestatore accreditato, nessun altro effetto di diritto privato o l'ammissibilità in tribunale per questo motivo uno. La persona che vuole usarlo in grado di dimostrare la sua affidabilità con ogni mezzo consentito dalla legge.
4. Quando firme elettroniche utilizzate nel contesto di condizioni precedentemente concordate dalle parti di interagire con l'altro, deve tener conto di ciò che le parti hanno stipulato, a meno che contro la legge.
Articolo 6 Un documento elettronico
1. Il documento elettronico è quello che viene registrato in formato elettronico e possono incorporare dati firmati elettronicamente.
2. Il documento elettronico può essere comprovati da documenti pubblici e documenti privati.
3. Documenti pubblici emessi e firmati elettronicamente deve corrispondere alle competenze attribuite a pubblici ufficiali o di tale questione, e deve soddisfare i requisiti stabiliti dalla norma prevede.
4. I documenti di cui al presente articolo sono ammissibili come prova in tribunale e avere il coraggio e l'effetto giuridico che corrispondono alla loro rispettiva natura, in conformità della presente legge e che la legge si applica.
L'articolo 7 del certificato elettronico
Il certificato è un documento elettronico con firma elettronica da un fornitore di servizi di certificazione che collega un dato di verifica della firma di uno dei firmatari e che conferma l'identità di entrambi e la firma del firmatario.
L'articolo 8 Prestazione di servizi di certificazione
1. Si chiama fornitore di servizi di certificazione la persona o l'ente che rilascia certificati elettronici o fornisce altri servizi connessi alle firme elettroniche.
2. I servizi di certificazione sono previste da una concorrenza libera e non soggetta ad autorizzazione preventiva. Tuttavia, i fornitori di servizi di certificazione, nel caso della firma elettronica qualificata o riconosciuti, deve prima ottenere l'accreditamento tecnica ai sensi della presente legge circa l'organo competente.
3. Il governo di fornire servizi di certificazione, direttamente o tramite agenzie o enti, deve farlo in conformità con i principi di obiettività, trasparenza, non discriminazione e libera concorrenza.
Capitolo due. Schema di certificati elettronici
Articolo 9 Domanda di Certificato
1. Certificati elettronici può essere richiesto da singoli individui.
2. Possono richiedere certificati elettronici delle persone giuridiche i loro amministratori, rappresentanti legali o persone con una potenza sufficiente a tal fine.
3. Le disposizioni della presente sezione non si applica ai certificati rilasciati in favore del governo, che sono soggetti a normativa specifica.
Articolo 10 Scadenza dei certificati
1. Cause di estinzione della validità di un certificato elettronico come segue:
a) scadenza del periodo di validità contenute nel certificato.
b) revoca da parte del firmatario, la persona fisica o giuridica rappresentata da lui o da terzi autorizzati persona che richiede un certificato elettronico di persona giuridica.
c) Violazione o pericolo di dati segreti creazione di una firma o di uso improprio dei dati da parte di terzi.
d) gli ordini giudiziari o amministrativi esso.
e) la morte o cessazione della morte legale firmatario o cessazione del legale rappresentante; inaspettato invalidità parziale o totale, il firmatario o il suo rappresentante; cessazione della rappresentazione, lo scioglimento della persona giuridica rappresentata o alterazione di condizioni di conservazione o di utilizzo dei dati di creazione della firma che si riflettono nei certificati rilasciati a una persona giuridica.
f) Cessazione di attività del fornitore di servizi di certificazione, se non con il preventivo consenso del firmatario, la gestione di certificati elettronici emessi vengono trasferiti ad un altro fornitore di servizi di certificazione.
g) la modifica delle informazioni fornite per ottenere il certificato o mutamento delle circostanze verificata dal rilascio del certificato, come ad esempio quelli relativi alla posizione o poteri di rappresentanza.
2. Il periodo di validità dei certificati elettronici devono essere adeguate alle caratteristiche e la tecnologia utilizzata per generare i dati di creazione della firma. Nel caso di riconoscimento o certificato qualificato quel periodo non può superare i quattro anni.
3. Cessazione della validità di un certificato elettronico ha effetto nei confronti dei terzi in caso di scadenza della sua validità in quanto tale situazione si verifica, in altri casi, dal momento che l'indicazione di tale s estinzione 'inclusione nel servizio di indagine circa la validità della certificazione di provider di certificati di servizio.
Articolo 11 Sospensione della validità dei certificati elettronici
1. I fornitori di servizi di certificazione devono sospendere la validità dei certificati elettronici nei seguenti casi:
a) applicazione del firmatario, la persona fisica o giuridica rappresentata da lui o da terzi persona autorizzata richiesta di un certificato elettronico di persona giuridica.
b) giudiziario e amministrativo sono d'accordo.
c) L'esistenza di fondati dubbi circa l'esistenza di una causa di estinzione.
2. La sospensione della validità di una effetti elettronica certificata a terzi in quanto è compreso nel servizio di indagine circa la validità della certificazione di provider di certificati di servizio.
Articolo 12 Disposizioni comuni per la cessazione e sospensione dei certificati
1. Il fornitore di servizi di certificazione deve indicare la cessazione o la sospensione dei certificati, espressamente e chiaramente al servizio di indagine circa la validità dei certificati, quando vengono a conoscenza di fatti determinanti base di estinzione o sospensione.
2. Il fornitore di servizi di certificazione informa l'firmatari della revoca o sospensione della firma del certificato alla volta per la cessazione o sospensione, indicando a lui le ragioni e la data e l'ora in cui il certificato è vuoto e, nel caso di sospensione, la durata, indicando anche in questo caso il massimo, estinto se la validità del certificato, dopo questo periodo non aveva revocato la sospensione.
3. Cessazione o la sospensione di un certificato di firma elettronica non ha effetto retroattivo.
4. Cessazione o la sospensione di un certificato di firma elettronica deve essere tenuto a disposizione presso il servizio di indagine circa la validità dei certificati, almeno fino ad oggi hanno terminato il loro periodo iniziale di validità.
Articolo 13 Certificati o riconosciuta
Sono certificati qualificati o riconosciuti certificati elettronici rilasciati da un prestatore di servizi di certificazione che soddisfa i requisiti stabiliti dalla presente legge in relazione alla verifica di identità e di altre circostanze dei candidati e con le garanzie di affidabilità e di servizio fornendo certificazione.
Articolo 14 Contenuto dei certificati qualificati o riconosciuti
1. Il certificato riconosciuto o firma elettronica qualificata deve essere specificamente indicato che sono forniti con questo personaggio e avere almeno il seguente contenuto:
a) identificazione del fornitore di servizi di certificazione che la emette e domicilio.
b) identificazione del firmatario con il suo nome completo o uno pseudonimo come tale dichiarando in modo inequivocabile nel caso di un individuo, e se legale di una persona nome, numero di registrazione, nome e identificazione del soggetto che rappresenta e in quali circostanze.
c) I dati di verifica della firma corrispondenti ai dati di creazione della firma sotto il controllo del firmatario.
d) La data e l'ora in cui il certificato viene rilasciato e l'inizio e la fine del loro periodo di validità.
e) il codice univoco che identifica il certificato.
f) La firma elettronica qualificata o riconosciuto fornitore di servizi della questione.
g) I limiti di utilizzo del certificato, ove applicabili.
h), limita il valore delle transazioni per cui il certificato può essere utilizzato, se del caso.
2. Il certificato può contenere qualsiasi altra circostanza o significativo attributo personale del proprietario, a seconda dello scopo del certificato stesso, a condizione che gli viene dato il suo consenso, alle condizioni che sono resi pubblici nel conto delle pratiche di certificazione.
Articolo 15 controlli prima di rilasciare un certificato qualificato o riconosciuto
Prima di rilasciare un certificato qualificato o riconosciuto, il fornitore di servizi di certificazione devono eseguire i seguenti controlli:
a) Verificare l'identità del certificato del richiedente conformemente alle disposizioni di cui all'articolo 16.
b) Verificare la veridicità e l'accuratezza di qualsiasi personale o attributo che è riportata sul certificato, in particolare la condizione di tenere una posizione o l'appartenenza a un'associazione professionale.
c) Verificare la creazione complementare dei dati e verifica della firma, quando viene somministrato ogni due o verificare che il richiedente è titolare del certificato e contiene i dati di creazione corrispondente alla verifica della firma contenute nel certificato.
Articolo 16 Verifica di identità e di altre circostanze dei candidati
1. L'identificazione degli individui che richiedono un certificato qualificato o riconosciuto a comparire personalmente davanti al compito di verificare e devono essere accreditati dalla visualizzazione di un documento comprovante la propria identità in modo affidabile .
2. Nel caso di certificati rilasciati a persone fisiche ma hanno un rapporto con una organizzazione, associazione, istituzione, impresa o altro soggetto giuridico, i fornitori di servizi di certificazione dovrebbe vedere anche l'identità del richiedente dati relativi alla costituzione e lo status giuridico di detta entità e l'estensione e la durata delle facoltà o poteri di rappresentanza del richiedente, attraverso documenti pubblici che dimostrano in modo affidabile e pertinente per il log delle query pubblico quando si tratta di dati che dovrebbero essere inclusi qui.
3. Se il certificato contiene altre circostanze o riconosciuta o attributi personali del richiedente, i fornitori di servizi di certificazione dovrebbero sempre verificare in conformità con le normative specifiche che potrebbero essere applicati.
4. Non c'è bisogno di attuare le disposizioni del paragrafo 1 in caso di identità del richiedente e le circostanze che sono conosciuti dal fornitore di servizi di certificazione a causa di un rapporto preesistente in cui viene utilizzata la media identificazione che sono stabiliti, se non tre anni sono passati da quando l'identificazione e se si ha la prova che tutti i dati sono validi.
5. I fornitori di servizi di certificazione sono personalmente responsabili per le azioni di verifica ai sensi del presente articolo, anche se nello svolgimento delegato ad altri.
Articolo 17 Riconoscimento dei certificati di firme elettroniche con gli altri paesi
Andorra hanno valore come certificato qualificato o certificati riconosciuti che soddisfano una delle seguenti condizioni:
a) sono stati emessi su un certificato o riconosciuto da un fornitore qualificato di servizi di certificazione stabilito in un altro Stato membro dell'Unione europea ed è stato accreditato in virtù di un sistema volontario di accreditamento dei servizi di certificazione in uno Stato membro dell'Unione europea, a condizione che questi stati è stata costituita ed è in vigore un accordo bilaterale sul certificato di equivalenza o riconosciuta, o ci sono criteri di reciprocità in relazione a quanto sopra equivalenza tra i due stati.
b) Sono stati emessi da Stati con la normativa sulla firma digitale per loro equivalente al Andorra, o quando vi è la reciprocità nei criteri di accreditamento.
c) Sono stati emessi da Stati con i quali un accordo bilaterale è stato impostato certificati di equivalenza e di firme elettroniche che essa fornisce.
Capitolo tre. Fornitore di Certificazione
Articolo 18 Obblighi dei fornitori di servizi di certificazione
I fornitori di servizi di certificazione che emettono certificati elettronici devono rispettare i seguenti obblighi:
a) Non conservare o copiare i dati per creare la firma della persona a cui rendere i loro servizi.
b) Fornire al richiedente, prima che il rapporto di servizio, circa gli obblighi del richiedente, una volta diventa firmatari, circa l'obbligo di custodia dei dispositivi, la chiave segreta, i meccanismi di comunicazione in caso di incidenti, i meccanismi per garantire l'affidabilità delle firme elettroniche, il metodo utilizzato per verificare l'identità degli aspetti firmatari e della dichiarazione delle pratiche di certificazione disciplinate dall'articolo 19.
c) Mantenere una data di registrazione di cui certificato deve contenere i certificati rilasciati e se sono validi o se la forza è stata sospesa o interrotta. L'integrità di questa directory deve essere protetta da meccanismi di sicurezza adeguati.
d) Garantire la disponibilità di un servizio di consulenza per tutta la durata dei certificati veloce e sicuro.
Articolo 19 Dichiarazione di pratiche di certificazione
1. I fornitori di servizi dovrebbero sviluppare una pratica dichiarazione prima certificazione in cui la certificazione deve includere gli obblighi e le garanzie che sono commessi in relazione con la gestione dei certificati e la creazione di dati e la verifica della firma, le condizioni applicabili alle applicazioni, l'uso, sospensione e cessazione della validità del certificato, le misure di sicurezza applicate, così come tutti gli altri dati e le informazioni acquisite da regolamento.
2. Il fornitore di servizi deve rendere pubbliche, almeno elettronicamente, l'affermazione pratica di certificazione, l'accesso libero e aperto.
Articolo 20 Obblighi dei fornitori di servizi aggiuntivi che rilasciano certificati qualificati o riconosciuti
1. In aggiunta agli obblighi di cui all'articolo 18, i fornitori di servizi di certificazione che rilasciano certificati qualificati o riconosciuti devono rispettare i seguenti obblighi:
a) La prova di affidabilità necessari per fornire questo servizio.
b) Garantire che è possibile specificare la data e l'ora in cui è stato rilasciato il certificato o si estingue o sospendere il termine.
c) Utilizzare personale qualificato con esperienza per garantire la sicurezza e la gestione nel campo delle firme elettroniche.
d) conservare e registrati con garanzie di sicurezza e integrità delle informazioni e la documentazione relativa a ciascun certificato qualificato o riconosciuti, almeno per un periodo di 15 anni dall'emissione.
e) adottano misure contro la contraffazione dei certificati e, se il prestatore di servizi di certificazione generi dati creazione di una firma, garantire la riservatezza durante il processo di generazione di tali dati.
f) utilizzare sistemi affidabili e prodotti che sono protetti contro ogni disturbo e per garantire la sicurezza delle tecniche di crittografia e le procedure con cui lavorano.
g) utilizzare sistemi affidabili per memorizzare i certificati in modo verificabile:
- Solo le persone autorizzate possano effettuare inserimenti e modifiche lì;
- Per verificare l'autenticità delle informazioni;
- I certificati sono disponibili pubblicamente di essere consultati;
- L'agente può rilevare tutti i cambiamenti tecnici che possono interessare i requisiti di protezione indicate.
h) Sono sufficienti risorse finanziarie.
Le condizioni in cui questi obblighi devono essere stabiliti dal regolamento.
2. I fornitori di servizi di certificazione che rilascia certificati qualificati devono essere firmati o riconosciuti un'assicurazione di responsabilità per un minimo di 600.000 € per garantire la copertura per i danni che potrebbero verificarsi a causa della sua attività . Il decreto del governo può modificare l'importo di tale garanzia e di stabilire altre forme di garanzia alternative per sostituire, in tutto o in parte, l'assicurazione.
Articolo 21 Cessazione delle attività di fornitura di servizi di certificazione
1. La cessazione della attività di fornitura di servizi di certificazione richiede la comunicazione agli utenti dei propri servizi almeno due mesi prima della fine dell'attività.
2. Il creditore può trasferire l'attività a cessare, con il consenso degli utenti, i certificati sono ancora validi per un altro fornitore di servizi che si assume o comunque sospendere la validità rimborsare gli utenti per il proporzionale il restante periodo di validità del certificato.
3. Il prestatore deve anche la relazione che egli ha deciso di cessare l'attività nel governo rilevanti determinato attraverso la regolamentazione, nello stesso periodo di cui al paragrafo 1. Tale comunicazione deve indicare se la gestione trasferita ad un altro fornitore di servizi termina o se la validità dei certificati.
4. Il fornitore deve garantire per un periodo di quattro anni, a decorrere dal momento il creditore rende i servizi di certificazione, la disponibilità di un servizio di consulenza sulla validità dei certificati estinti.
5. Il mancato trasferimento in un altro fornitore di servizi, il governo deve farsi carico di informazioni che identificano o consultazione una volta che l'attività cessa di certificazione per assicurare la conservazione dei dati ai sensi dell'articolo 20,1 . d).
Article 22 Protecció de dades personals
1. Els prestadors de serveis de certificació només poden demanar dades personals directament al signatari oa un tercer que actuï per compte del signatari, amb el seu consentiment previ. Les dades requerides són les estrictament necessàries per a l'emissió i el manteniment del certificat electrònic i per a la prestació dels altres serveis relacionats amb la signatura electrònica.
2. El tractament de les dades personals que els prestadors de serveis de certificació necessitin per al desenvolupament de la seva activitat està subjecta a les disposicions vigents en matèria de protecció de dades personals.
3. Els prestadors de serveis de certificació poden fer una cessió legal de dades a un altre prestador de serveis de certificació en cas de cessació d'activitat, oa l'òrgan competent de Govern, de conformitat amb la legislació sobre protecció de dades personals.
Capítol quart. Responsabilitat
Article 23 Responsabilitat del prestador de serveis de certificació
1. El prestador de serveis de certificació de signatura electrònica és responsable dels danys i perjudicis que ocasioni al signatari, a qui aquest representi, així com a qualsevol tercer de bona fe que confiï en un certificat expedit per ell, en les condicions previstes per aquesta Llei.
2. El prestador de serveis de certificació pot consignar al certificat eventuals límits quant als seus possibles usos, o un valor límit de les transaccions que s'hi puguin efectuar. En aquest cas, no és responsable dels danys i perjudicis causats per l'ús indegut del certificat quan s'hagin transgredit els límits establerts, o per la part que excedeixi el límit consignat.
3. Per al cas que el prestador de serveis de certificació hagi estat sancionat amb alguna de les sancions accessòries previstes a l'article 33.1.b), o hagi estat objecte de la mesura cautelar establerta en l'article 35.a), ha de:
a) Notificar la suspensió a tots els usuaris dels seus certificats, indicant-ne la data d'inici i la de finalització.
b) Consignar la suspensió en el certificat, indicant-ne la data d'inici i la de finalització.
Article 24 Limitació de responsabilitat del prestador de serveis de certificació
El prestador de serveis de signatura electrònica no és responsable dels danys i perjudicis ocasionats al signatari oa tercers de bona fe, quan aquests danys i perjudicis resultin de l'incompliment dels deures que incumbeixen al signatari o al tercer que confia en el document signat electrònicament, d'acord amb el que preveuen els articles 25 i 26. Per invocar aquesta exempció de responsabilitat, el prestador de serveis de certificació ha de provar que ha actuat amb la diligència deguda.
Article 25 Deures del signatari
1. El signatari que utilitza un dispositiu de signatura electrònica certificat té els deures següents:
a) Proporcionar al prestador de serveis de certificació informació veraç, completa i exacta sobre les dades que han de constar en el certificat o que siguin necessàries per expedir-lo, revocar-lo o suspendre'l.
b) Comunicar amb diligència al prestador de serveis de certificació qualsevol modificació de les circumstàncies o els atributs consignats al certificat que hagués estat objecte de variació.
c) Actuar amb la màxima diligència per assegurar la confidencialitat del seu dispositiu de creació de signatura i protegir-lo de tot accés, revelació o ús no autoritzats.
d) Sol•licitar diligentment la suspensió o la revocació del certificat quan tingui coneixement de circumstàncies que comporten el risc que el dispositiu de creació de signatura hagi deixat de ser segur o que pugui fer-se'n un ús no autoritzat.
e) Abstenir-se d'usar el dispositiu de creació de signatura des que el certificat caduqui o des que el prestador de serveis li notifica la suspensió o la revocació.
2. El signatari que incompleix els deures esmentats a l'apartat anterior assumeix les responsabilitats que es deriven d'aquest incompliment.
Article 26 Deures de qui confia en el certificat
1. El tercer que actua confiant en la signatura electrònica basada en un certificat té els deures següents:
a) Cerciorar-se de l'autenticitat i la validesa del certificat, mitjançant consulta al Registre de certificats que mantingui el prestador de serveis de certificació.
b) Comprovar i tenir en compte les restriccions que figurin al certificat quant als seus possibles usos o al valor límit de les transaccions que s'hi puguin efectuar.
c) Comprovar que el certificat no està extingit, o que no ha estat suspès de validesa, com a conseqüència de les sancions previstes en aquesta Llei. Amb aquest efecte, la persona que confia en el certificat pot consultar els mitjans públics de consulta que s'estableixen a l'article 33.3.
2. El tercer que actua confiant en la signatura electrònica basada en un certificat ha d'assumir les conseqüències que resultin de l'incompliment dels deures esmentats a l'apartat anterior.
Capítol cinquè. Dispositius de signatura electrònica
Article 27 Dispositius de creació de signatura electrònica
1. Les dades de creació de signatura són les dades úniques, en forma de codis o claus criptogràfiques privades, que el signatari utilitza per crear la signatura electrònica.
2. Un dispositiu de creació de signatura és un programa o un sistema informàtic que serveix per aplicar les dades de creació de signatura.
3. Un dispositiu segur de creació de signatura és el que garanteix, com a mínim, pels mitjans tècnics i de procediment adequats, que:
a) Les dades utilitzades per a la generació de signatura només poden produir-se una vegada a la pràctica, i en garanteix raonablement el secret.
b) Existeix una seguretat raonable que les dades utilitzades per a la generació de signatura no poden ser trobades per deducció de les de verificació de signatura o de la mateixa signatura, i que la signatura està protegida contra la falsificació mitjançant la tecnologia existent en el moment.
c) Les dades utilitzades per a la generació de signatura poden ser protegides de forma fiable pel signatari legítim.
d) No altera les dades o el document que s'ha de signar, i no impedeix que es mostri al signant abans del procés de signatura.
4. Els dispositius de signatura electrònica i altres sistemes, mitjans i productes relacionats, es presumeix que compleixen les condicions establertes a l'apartat precedent si s'ajusten a les normes tècniques corresponents els números de referència de les quals hagin estat publicats al Diari Oficial de la Unió Europea o en altres que s'indiquin per via reglamentària.
Article 28 Dispositius de verificació de signatura electrònica
1. Les dades de verificació de signatura són les dades, en forma de codis o claus criptogràfiques, que s'utilitzen per verificar la signatura electrònica.
2. Un dispositiu de verificació de signatura és un programa o un sistema informàtic que serveix per aplicar les dades de verificació de signatura.
3. Els dispositius segurs de verificació de signatura electrònica han de garantir, sempre que sigui tècnicament possible, que el procés de verificació d'una signatura electrònica satisfà les condicions següents:
a) Que les dades utilitzades per verificar la signatura corresponen a les dades que es mostren a la persona que verifica la signatura.
b) Que la signatura es verifica de forma fiable i el resultat de la verificació es presenta correctament.
c) Que la persona que verifica la signatura electrònica pot establir de forma fiable el contingut del missatge de dades signat.
d) Que verifica de forma fiable l'autenticitat i la validesa del certificat electrònic que s'ha exigit per verificar la signatura.
e) Que mostra clarament el resultat de la verificació i la identitat del signatari o, quan sigui el cas, consta clarament l'ús d'un pseudònim.
f) Que es pot detectar qualsevol canvi pertinent relatiu a la seguretat.
4. Les dades referents a la verificació de signatura, com ara el moment en què es produeix una constatació de la validesa del certificat electrònic, han de poder ser emmagatzemades per la persona que verifica la signatura o, sota la seva responsabilitat, per tercers de confiança.
Capítol sisè. Acreditació de prestadors de serveis de certificació
Article 29 Acreditació de prestadors de serveis de certificació
1. L'acreditació d'un prestador de serveis de certificació és el procediment voluntari mitjançant el qual l'òrgan competent del Govern que es determini per via reglamentària, o una entitat privada o pública competent, emet una declaració a favor d'un prestador de serveis de certificació que acredita el compliment de determinats requisits específics en la prestació dels serveis que aquest ofereix al públic.
2. En el procediment d'acreditació s'han d'utilitzar les normes tècniques establertes per la Comissió Europea en desenvolupament de la Directiva 1999/93/CE, de 13 de desembre de 1999, per la qual s'estableix un marc comunitari per a la signatura electrònica o qualsevol norma que la desenvolupi o la substitueixi en el futur. L'òrgan competent del Govern ha de publicar aquestes normes al Butlletí Oficial del Principat d'Andorra.
3. L'òrgan competent ha de publicar al Butlletí Oficial del Principat d'Andorra, ia títol informatiu a la seva pàgina web, la relació d'entitats públiques i privades habilitades per acreditar prestadors de serveis de certificació que vulguin operar al territori del Principat d'Andorra. Per via reglamentària s'han d'establir els requisits mínims de coneixements tècnics, mitjans materials i humans, i altres requeriments que aquestes entitats han de complir per poder ser habilitades pel Govern d'Andorra amb aquests efectes.
4. L'acreditació dels prestadors de serveis de certificació establerts al Principat d'Andorra es pot dur a terme, a sol•licitud de la persona interessada, per una entitat d'acreditació que estigui habilitada per realitzar aquesta tasca en qualsevol Estat membre de la Unió Europea, sempre que aparegui publicada al Butlletí Oficial del Principat d'Andorra i al web de l'òrgan competent, en compliment d'allò que estableix l'apartat 3.
Capítol setè. Supervisió i control
Article 30 Supervisió i control
1. El Govern d'Andorra, per mitjà de l'òrgan que es determini per via reglamentària, ha de controlar que els prestadors de serveis de certificació que emetin al públic certificats electrònics compleixin les obligacions establertes en aquesta Llei. Amb aquesta finalitat pot portar a terme les actuacions inspectores que siguin necessàries.
2. Els funcionaris designats per l'òrgan competent per fer les inspeccions tenen la consideració d'agents de l'autoritat en el desenvolupament de les seves funcions.
Article 31 Deure d'informació i col·laboració
1. Els prestadors de serveis de certificació tenen el deure de facilitar a l'òrgan competent tota la informació i col•laboració que els requereixi per a l'exercici de les seves funcions.
2. De manera especial, els prestadors de serveis han de comunicar a l'inici de la seva activitat i anar actualitzant amb la periodicitat que s'estableixi per reglament, les seves dades d'identificació, les característiques dels serveis que prestin, les acreditacions i les certificacions obtingudes per als seus serveis i altres dades necessàries d'interès per al públic, que es fixin reglamentàriament.
Aquesta informació podrà ser objecte de publicació en la pàgina web de l'òrgan encarregat de la supervisió i el control dels prestadors de serveis amb la finalitat d'atorgar-li la màxima difusió i coneixement.
3. Els prestadors de serveis han de permetre als inspectors l'accés a les seves instal•lacions i la consulta de tota la documentació que els inspectors considerin rellevant per poder dur a terme amb eficàcia la seva tasca de control. En les seves inspeccions poden anar acompanyats de les persones que considerin necessàries.
Capítol vuitè. Règim sancionador
Article 32 Infraccions
1. Les infraccions a aquesta Llei es classifiquen en molt greus, greus i lleus.
2. Són infraccions molt greus:
a) L'expedició de certificats qualificats o reconeguts sense realitzar les comprovacions prèvies establertes als articles 15 i 16.
b) L'expedició de certificats qualificats o reconeguts amb infracció d'alguna de les obligacions establertes als articles 18 i 20.1 quan s'hagin causat danys als usuaris o quan la seguretat dels serveis de certificació s'hagi vist afectada greument.
c) Incomplir les obligacions establertes a l'article 23.3.
d) La reincidència en la comissió d'infraccions greus, encara que siguin de distinta naturalesa, sempre que es cometi dintre d'un període de dos anys des de la primera i l'autor n'hagi estat sancionat.
3. Són infraccions greus:
a) L'expedició de certificats qualificats o reconeguts sense realitzar les comprovacions prèvies establertes als article 15 i 16, quan el fet no constitueixi una infracció molt greu.
b) L'expedició de certificats qualificats o reconeguts amb infracció d'alguna de les obligacions establertes als articles 18 i 20.1, quan el fet no constitueixi una infracció molt greu.
c) L'incompliment de l'obligació prevista a l'article 20.2.
d) L'incompliment pels prestadors de serveis de certificació de no emetre certificats qualificats o reconeguts de les obligacions assenyalades a l'article 18, quan s'hagin causat danys als usuaris o quan la seguretat dels serveis de certificació s'hagi vist afectada greument.
e) L'incompliment de les obligacions establertes a l'article 21.
f) La resistència, l'obstrucció, l'excusa o la negativa injustificada a l'actuació inspectora de l'òrgan competent.
g) L'incompliment de les resolucions dictades per l'òrgan competent per assegurar que el prestador de serveis s'ajusti a aquesta Llei.
h) La reincidència en la comissió d'infraccions lleus, encara que siguin de distinta naturalesa, sempre que es cometi dintre d'un període de dos anys des de la primera i l'autor n'hagi estat sancionat.
4. Són infraccions lleus:
L'incompliment per part dels prestadors de serveis d'altres obligacions legals no esmentades als apartats anteriors.
Article 33 Sancions
1. Les sancions per a les infraccions establertes a l'article 32 són les següents:
a) Les infraccions molt greus són sancionades amb multa de 100.001 a 300.000 euros. A més, també es poden imposar les següents sancions accessòries:
- Prohibició i cessament de l'exercici de l'activitat de prestació de serveis de certificació al Principat d'Andorra.
- Extinció de tots els certificats emesos pel prestador de serveis sancionat, amb el reemborsament als usuaris de la part proporcional al període de validesa restant dels certificats afectats.
b) Les infraccions greus són sancionades amb multa de 50.001 a 100.000 euros. A més, també es poden imposar les següents sancions accessòries:
- Suspensió de l'exercici de l'activitat de prestació de serveis de certificació al Principat d'Andorra, fins a un termini màxim de dos anys.
- Suspensió de la validesa dels certificats emesos pel prestador de serveis objecte de la sanció, fins a un termini màxim de dos anys, amb el reemborsament als usuaris de la part proporcional al període de validesa dels certificats afectats per la sanció. c) Les infraccions lleus són sancionades amb multa fins a 50.000 euros.
2. En el supòsit d'infraccions molt greus i greus, la resolució sancionadora s'ha de publicar al Butlletí Oficial del Principat d'Andorra.
3. Igualment, i per tal de fer possible el que disposa l'article 26.1.c), l'òrgan competent ha de publicar, a la seva pàgina web, les dades completes sobre sancions relatives a suspensió o extinció establertes al primer apartat, tot indicant:
a) El prestador de serveis objecte de la sanció.
b) Els certificats del prestador objecte de la sanció.
c) La naturalesa de la sanció imposada (suspensió o extinció).
d) En el cas d'extinció, la data a partir de la qual deixen de ser vàlids els certificats del prestador de serveis afectats. La data d'extinció de la validesa dels certificats objecte de sanció no pot ser mai anterior a la data de publicació de la sanció a la pàgina web de l'òrgan competent.
e) En el cas de suspensió, la data d'inici de la suspensió i la data de finalització a partir de la qual els certificats tornen a tenir els efectes jurídics reconeguts en aquesta Llei. La data d'inici de la suspensió no pot ser mai anterior a la data de publicació de la sanció a la pàgina web de l'òrgan competent.
4. L'accés a la informació indicada a l'apartat 3 ha de ser sempre lliure i de caràcter gratuït.
5. També s'ha de publicar al Butlletí Oficial del Principat d'Andorra el que es preveu a l'apartat tercer, tot i que els efectes de suspensió o extinció tinguin lloc a partir de la publicació al web de l'òrgan competent.
Article 34 Graduació de la quantia de les sancions
La quantia de les sancions, dins dels límits assenyalats, es gradua tenint en compte les circumstàncies següents:
a) La repercussió social de la infracció comesa i el nombre d'usuaris afectats.
b) La reincidència o la reiteració.
c) L'existència o la no existència d'intencionalitat.
d) La quantia i la naturalesa dels perjudicis causats.
e) El benefici que la infracció hagi reportat a l'infractor. En aquest cas, la sanció no pot ser inferior al benefici obtingut.
Articolo 35 Misure precauzionali
Le procedure per gravi o molto gravi, l'autorità competente per istruire il file può adottare le misure cautelari ritenute necessarie per evitare che il mantenimento degli effetti della violazione e per garantire l'efficacia della decisione pronunciata. Tra gli altri, può adottare le seguenti misure:
a) sospensione temporanea dell'attività del fornitore di servizi di certificazione e, se necessario, la chiusura temporanea dello stabilimento.
b) tenuta, deposito o il sequestro delle registrazioni, dei media e file di computer e documenti in genere, così come elettrodomestici e computer.
c) avvertire il pubblico dell'esistenza di possibile violazione del l'avvio di procedimenti disciplinari e le misure precauzionali adottate.
d) sospensione della validità dei certificati colpite.
Articolo 36 Competenza e procedimenti disciplinari
1. La dichiarazione del procedimento disciplinare fino al competente organismo da determinare attraverso regolamenti.
2. Reati molto gravi sono punite dal governo di Andorra, e le gravi e lievi, all'organismo competente.
3. L'autorità sanzionatoria fornite in questo capitolo sono esercitati secondo le norme generali che disciplinano l'azione dell'Amministrazione, con le specifiche disposizioni di tale legge.
Articolo 37 Prescrizione
1. Reati molto gravi scade dopo tre anni sono stati commessi, non gravi dopo due anni e il minore, dopo a.
2. Le sanzioni previste dopo tre anni dalla data di notifica della decisione è divenuta una sanzione forte.
Prima disposizione addizionale. Azione del governo in materia di accreditamento
Els imports que el Govern pot aplicar en les actuacions derivades de l'acreditació prevista a l'article 29 s'han d'establir per via reglamentària. L'import es fixa en funció dels criteris següents:
- Preus públics aplicables a l'acreditació de prestadors de serveis de certificació que sol•licitin acreditació: naturalesa dels certificats (reconeguts o altres) sobre els quals el prestador sol·liciti acreditació, quantitat i tipus de serveis objecte d'acreditació.
- Preus públics per a les entitats que vulguin ser habilitades per acreditar prestadors de serveis de certificació: naturalesa dels serveis de certificació (reconeguts o d'altra natura) per als quals vulguin prestar serveis de certificació, i manteniment o no per part de l'entitat sol·licitant d'instal·lacions, dependències, així com de mitjans tècnics i humans, al Principat d'Andorra, vinculats directament a la prestació dels serveis d'acreditació.
Disposició addicional segona. Accessibilitat
Els serveis, els processos, els procediments i els dispositius de signatura electrònica han de ser plenament accessibles a les persones amb discapacitat i de la tercera edat, les quals no poden ser en cap cas discriminades, en l'exercici de les facultats i els drets reconeguts en aquesta Llei, per causes relacionades amb la discapacitat o amb l'edat avançada.
Disposició addicional tercera. Conformitat amb la normativa aplicable als productes de signatura electrònica
Es presumeix que els productes de signatura electrònica a què es refereix aquesta Llei, i especialment els esmentats al paràgraf d) de l'apartat 1 de l'article 20, són conformes amb els requisits que s'hi estableixen si s'ajusten a les normes tècniques corresponents publicades al Diari Oficial de la Unió Europea.
Disposició final primera. Desenvolupament reglamentari
Abans de l'entrada en vigor de la Llei, el Govern d'Andorra ha de dictar les disposicions que resultin convenients per a l'aplicació i el desenvolupament de la signatura electrònica. En particular, ha de publicar els números de referència de les normes tècniques aprovades en el marc de la Unió Europea per a la certificació de productes i dispositius de signatura electrònica.
Disposició final segona. Entrada en vigor
Aquesta Llei entrarà en vigor al cap de tres mesos de ser publicada al Butlletí Oficial del Principat d'Andorra.
Casa de la Vall, 29 de desembre del 2009
Josep Dallerès Codina
Síndic General
Nosaltres els coprínceps la sancionem i promulguem i n'ordenem la publicació en el Butlletí Oficial del Principat d'Andorra.
Nicolas Sarkozy Joan Enric Vives Sicília
President de la República Francesa Bisbe d'Urgell
Copríncep d'Andorra Copríncep d'Andorra
