Lei relativa às assinaturas electrónicas
Postado por Manuel Casal | Secção Regulamentos
O BOPA ontem (22/06), publicado pela Lei 6 / 2009 de 29 de dezembro, assinatura eletrônica , que entrará em vigor dentro de três meses a partir de hoje. A assinatura eletrônica é o mecanismo usado para verificar a origem e integridade das mensagens enviadas por meio eletrônico. Para incentivar o uso generalizado de comunicações electrónicas e para o desenvolvimento da sociedade da informação, e assim não representa um obstáculo ao exercício dos direitos dos cidadãos, os usuários precisam contar com este mecanismo opcional, por isso, é necessário regulamentar. A Lei tem como objetivo determinar os conceitos básicos a serem considerados com relação a assinatura eletrônica, formas e efeitos, o regulamento de certificados electrónicos, a regulamentação da prestação de serviços de certificação, incluindo os requisitos e obrigações especiais esta atividade, as responsabilidades dos envolvidos na transmissão de mensagens assinado electronicamente, o credenciamento de prestadores de serviços, o sistema de supervisão administrativa e de controle, e, finalmente, o sistema de sanções.
Veja Bill eo processo legislativo
Texto completo:
Lei 6 / 2009, de 29 de dezembro de Assinaturas Eletrônicas
Uma vez que o Conselho Geral na sua reunião de 29 de dezembro de 2009 aprovou o seguinte:
Lei 6 / 2009, de 29 de dezembro de Assinaturas Eletrônicas
Recinto de exposições
A assinatura eletrônica é o mecanismo usado para verificar a origem e integridade das mensagens enviadas por meio eletrônico. Para incentivar o uso generalizado de comunicações electrónicas e para o desenvolvimento da sociedade da informação, e assim não representa um obstáculo ao exercício dos direitos dos cidadãos, os usuários precisam contar com este mecanismo opcional e, portanto, é necessário regulamentar.
Embora existam muitas possibilidades de assinaturas electrónicas, a prática tornou-se a assinatura baseada em um certificado na fórmula que garante confiabilidade. Os certificados são documentos eletrônicos emitidos pelos prestadores de serviços de certificação de terceira, que liga os dados de criação de assinatura eletrônica realizada pela identidade do usuário, e eles anunciadas no domínio eletrônico.
No contexto europeu, a prestação de serviços de certificação é uma atividade realizada por ambas as entidades públicas e privadas, sob a livre concorrência, e prestadores de serviços podem recorrer a certificação voluntária em um regime jurídico específico, chamado credenciamento, pelo qual o Estado verifica que os serviços prestados cumprir determinadas normas de qualidade e, em troca, ligados aos seus certificados e certificados qualificados de reconhecimento de caracteres, o que acarreta uma presunção de confiabilidade.
Embora o Principado de Andorra é um país de pequena dimensão e características do mercado específico e econômico, é aconselhável que o regulamento de assinaturas electrónicas não se desviará do regime geral seguido nos países vizinhos. Consequentemente, a lei prevê um padrão duplo ou misto, regulamentando a prestação privada de serviços de certificação todos os fornecendo a possibilidade de as autoridades públicas também pode fornecer esses serviços.
A partir dessas premissas, a lei é dividido em oito capítulos, que visam a determinar os conceitos básicos que devem ser considerados em relação à assinatura electrónica, formas e efeitos, o regulamento de certificados electrónicos, o regulamento a prestação de serviços de certificação, incluindo os requisitos especiais e obrigações desta atividade, as responsabilidades dos envolvidos na transmissão de mensagens assinado electronicamente, o credenciamento de prestadores de serviços, o sistema de supervisão administrativa e controle e, finalmente, o sistema de sanções.
Finalmente, as disposições adicionais estabelecer a equivalência de certificados estrangeiros e dispositivos de criação de assinatura eletrônica para assinatura electrónica, enquanto o regulamento definitivo relativo à possibilidade de o Governo para desenvolver regulamentos para a Lei e da entrada em vigor .
Um capítulo. Disposições Gerais
Artigo 1 º da Lei
1. Esta Lei regula assinaturas eletrônicas e seus efeitos no campo das relações de negócios e na administração pública, concorda neste caso, as regras que regem o processo administrativo.
2. A Lei também regula a prestação de serviços de certificação, e se aplica aos prestadores de serviços de certificação estabelecido no Principado de Andorra ou serviços fornecidos através de uma loja aberta ou escritório no Principado de Andorra. A mera utilização esporádica, não contínuo ou regular, de meios tecnológicos localizados em Andorra para a prestação de ou acesso ao serviço não pode ser entendido como a existência de um estabelecimento permanente e não implica, por si só, a aplicação da presente lei.
3. As disposições desta Lei não altera o direito material aplicável à execução, validade e eficácia dos contratos e documentos jurídicos ou documentos afirmando. Nem altera as regras relativas à protecção dos consumidores e usuários.
4. A utilização de assinaturas electrónicas nas relações com as autoridades do Principado de Andorra é apenas sujeito aos termos e condições adicionais previstas nesta Lei, desde que as condições adicionais:
- Seja objetivo, transparentes, proporcionadas e não discriminatórias;
- Apenas se referem às características específicas da aplicação em questão;
- Não impedir serviços transfronteiriços para os cidadãos de Andorra.
Artigo 2 de assinatura eletrônica e signatários
1. A assinatura eletrônica é o conjunto de dados contidos em um documento eletrônico, ou vinculados a outros dados que lhes estão associados, o que pode ser usado como um meio de identificação da pessoa produzi-lo.
2. Tem o status do indivíduo signatário, atuando por si mesmos ou em nome de outra pessoa ou entidade, cria uma assinatura electrónica através de um dispositivo de criação de assinatura.
3. As assinaturas eletrônicas são regidos por esta Lei:
a) A assinatura eletrônica.
b) A assinatura electrónica qualificada ou reconhecida.
Artigo 3 º Assinatura electrónica avançada
A assinatura eletrônica é uma assinatura eletrônica que atenda aos seguintes requisitos:
a) ser ligado em um dos signatários originais.
b) Permitir a identificação do signatário.
c) ter sido criada com meios que o signatário pode manter sob seu controlo exclusivo.
d) ser ligados a dados específicos de forma a detectar quaisquer alterações a estes dados.
Artigo 4 º assinatura electrónica qualificada ou reconhecida
Chamada assinatura electrónica qualificada ou de assinatura eletrônica reconheceu que atendam aos seguintes critérios:
a) Seja baseada num certificado qualificado ou reconhecido.
b) Ter sido criado por um dispositivo seguro de criação de assinaturas.
Artigo 5 º efeitos legais das assinaturas electrónicas
1. A assinatura electrónica qualificada e é reconhecido com relação aos dados registados em formato electrónico, o mesmo valor jurídico que a assinatura manuscrita em relação ao registrado em papel.
2. A assinatura electrónica qualificada é conhecida ou presumida autenticidade, até prova em contrário.
3. A assinatura eletrônica que atenda aos requisitos de uma assinatura electrónica qualificada ou reconhecida, ou não baseada em um certificado emitido por um provedor de serviços credenciados, nenhum efeito privados de outros direitos legais ou admissibilidade no tribunal por esta razão. A pessoa que quer usá-lo pode provar a sua fiabilidade, por qualquer meio permitido por lei.
4. Quando as assinaturas eletrônicas utilizadas no contexto das condições previamente acordadas pelas partes para interagir uns com os outros, deve levar em conta que as partes tenham estipulado, a não ser contrária à lei.
Artigo 6 º O documento electrónico
1. O documento eletrônico é o que é gravado em formato eletrônico e podem incorporar dados assinados eletronicamente.
2. O documento eletrônico pode ser suportado por documentos públicos e documentos privados.
3. Documentos públicos emitidos e assinados eletronicamente deve corresponder ao das competências atribuídas a funcionários públicos ou aquela questão, e deve atender aos requisitos estabelecidos pela regra prevê.
4. Os documentos referidos neste artigo são admissíveis como prova em tribunal e têm a coragem e os efeitos jurídicos que correspondem à sua natureza respectivos, de acordo com esta Lei e essa lei se aplica.
Eletrônicos artigo 7 Certificado
O certificado é um documento eletrônico assinado electronicamente por um prestador de serviços de certificação que liga um dos dados de verificação de assinatura de um dos signatários e que confirma as identidades de ambos e assinatura do signatário.
Provisão artigo 8 º da certificação de serviços
1. Ele é chamado de provedor de serviços de certificação a pessoa ou entidade que emite certificados electrónicos ou presta outros serviços relacionados com assinaturas electrónicas.
2. Os serviços de certificação são fornecidas sob uma concorrência livre e não sujeita a autorização prévia. Todavia, os prestadores de serviços de certificação, no caso de assinaturas electrónicas qualificadas ou reconhecidas, deve primeiro obter acreditação técnica nos termos desta Lei sobre o organismo competente.
3. O governo prestação de serviços de certificação, diretamente ou através de agências ou entidades, deve fazê-lo, em conformidade com os princípios da objectividade, transparência, não discriminação e da livre concorrência.
Capítulo Dois. Sistema de certificados electrónicos
Aplicação do artigo 9 para certificado
1. Certificados electrónicos podem ser solicitados por pessoas físicas.
2. Pode solicitar certificados electrónicos das pessoas colectivas de seus administradores, representantes legais ou pessoas com poder suficiente para o efeito.
3. As disposições desta seção não se aplica aos certificados emitidos em favor do governo, que estará sujeito aos seus regulamentos específicos.
Artigo 10 da validade de certificados
1. Causas de extinção da validade de um certificado eletrônico da seguinte forma:
a) expiração do prazo de validade constantes do certificado.
b) A retirada feita pelo signatário, a pessoa ou entidade representada por ele ou por terceiros autorizados pessoa que solicita um certificado eletrônico de pessoa colectiva.
c) Violação ou perigo de dados de assinatura segredo criação ou utilização abusiva dos dados por terceiros.
d) ordens judiciais ou administrativas-lo.
e) Morte ou extinção da morte legal signatário ou rescisão do representante legal; invalidez total ou parcial inesperado, o signatário ou seu representante; rescisão de representação, a dissolução da pessoa colectiva representada ou alteração de condições de armazenamento ou uso dos dados de criação de assinatura que são refletidas nos certificados emitidos a uma pessoa legal.
f) A cessação de actividade na certificação prestador de serviços, exceto com o consentimento prévio do signatário, a gestão de certificados electrónicos emitidos são transferidos para outro prestador de serviços de certificação.
g) a alteração das informações fornecidas para obter o certificado ou alteração das circunstâncias verificadas pela emissão do certificado, como as relativas à posição ou poderes de representação.
2. O prazo de validade de certificados electrónicos devem ser adequados às características e da tecnologia utilizada para gerar os dados de criação de assinatura. No caso de reconhecimento de certificados ou qualificados esse período não pode exceder quatro anos.
3. Término da validade de um certificado eletrônico tem efeito contra terceiros no caso de expiração de sua validade uma vez que esta situação ocorre, em outros casos, desde a indicação de s de extinção, tais "inclusão no serviço de investigação sobre a validade da certificação fornecedor de certificado de serviço.
Suspensão do artigo 11 da validade dos certificados electrónicos
1. Os prestadores de serviços de certificação deve suspender a validade dos certificados electrónicos, nos seguintes casos:
a) Aplicação do signatário, a pessoa ou entidade representada por ele ou por terceiros pessoa autorizada solicitando um certificado eletrônico de pessoa colectiva.
b) judiciais e administrativos de acordo.
c) A existência de fundadas dúvidas sobre a existência de uma causa de extinção.
2. A suspensão da validade de um certificado eletrônico efeitos a terceiros, uma vez que está incluído no serviço de investigação sobre a validade da certificação fornecedor certificado de serviço.
Artigo 12 º Disposições comuns à cessação e suspensão de certificados
1. A certificação prestador de serviços deve declarar o encerramento ou a suspensão de certificados, de forma expressa e claramente ao serviço da investigação sobre a validade dos certificados quando se torna ciente de quaisquer factos com base determinantes da extinção ou suspensão.
2. O provedor de serviços de certificação deve informar o signatário da revogação ou suspensão da assinatura do certificado em um tempo para o término ou suspensão, indicando-lhe os motivos ea data e hora em que o certificado é vazio e, no caso de suspensão, a duração, indicando também neste caso o máximo, extinto se a validade do certificado, após este período não havia levantado a suspensão.
3. Cessação ou suspensão de um certificado de assinatura eletrônica não tem efeito retroativo.
4. Cessação ou suspensão de um certificado de assinatura electrónica devem ser mantidos disponíveis ao serviço da investigação sobre a validade dos certificados, pelo menos até à data tenham completado o seu período inicial de validade.
Artigo 13 Certificados qualificado ou reconhecido
Eles são certificadas ou reconhecidas qualificados certificados electrónicos emitidos por um prestador de serviços de certificação que atende aos requisitos estabelecidos por esta Lei em relação à verificação da identidade e outras circunstâncias dos candidatos e com as garantias de fiabilidade e serviço fornecimento de certificação.
Conteúdo artigo 14 da qualificadas certificadas ou reconhecidas
1. O certificado reconhecido ou de assinatura electrónica qualificada deve indicar especificamente que são entregues com esse personagem e ter pelo menos o conteúdo do seguinte:
a) identificar o provedor de serviços de certificação que emite-lo e domicílio.
b) a identificação do signatário por seu nome completo ou um pseudônimo, como tal, afirmando inequivocamente, no caso de um indivíduo, e se uma pessoa legal de nome, número de inscrição, nome e identificação do indivíduo que representa e em que circunstâncias.
c) Os dados de verificação de assinatura correspondentes aos dados de criação de assinaturas sob o controle do signatário.
d) A data ea hora em que o certificado é emitido eo início eo fim do seu período de validade.
e) O código único que identifica o certificado.
f) A assinatura electrónica qualificada ou reconhecida provedor de serviços da questão.
g) Os limites de utilização do certificado, quando aplicável.
h) limita o valor das transacções para as quais o certificado pode ser usado, quando for o caso.
2. O certificado pode conter quaisquer outras circunstâncias ou atributo pessoal significativa do proprietário, dependendo da finalidade do certificado em si, desde que seja dado o seu consentimento, sob as condições que sejam tornados públicos, a declaração de práticas de certificação.
Artigo 15 cheques antes de emitir um certificado qualificado ou reconhecido
Antes de emitir um certificado qualificado ou reconhecido, o provedor de serviços de certificação deve realizar as seguintes verificações:
a) Verificar a identidade do certificado do requerente, em conformidade com o disposto no artigo 16.
b) Verificar a veracidade e exatidão de qualquer pessoal ou atributo que é indicada no certificado, especialmente a condição de exercício de cargo ou participação em uma associação profissional.
c) Verificar a criação de dados complementares e verificação de assinatura, quando administrado a cada duas ou verificar que o requerente é o titular do certificado e mantém os dados de criação correspondente à verificação de assinatura contidas no certificado.
Artigo 16 º Verificação da identidade e outras circunstâncias dos candidatos
1. A identificação de indivíduos que necessitam de um certificado qualificado ou reconhecido obrigado a comparecer pessoalmente perante a tarefa de verificar e deve ser credenciado pela exibição de um documento que comprove a sua identidade em um confiável .
2. No caso de certificados emitidos para pessoas, mas eles têm um relacionamento com uma organização, associação, instituição, empresa ou outra entidade jurídica, os prestadores de serviços de certificação devem ver também a identidade do requerente dados relativos à constituição e ao estatuto jurídico da entidade, ea extensão e duração das faculdades ou poderes do advogado do requerente, através de documentos públicos que comprovem de modo confiável e relevante para o log de consultas pública quando se lida com dados que devem ser incluídos aqui.
3. Quando o certificado contém outras qualificado ou reconhecido circunstâncias pessoais ou atributos do candidato, os provedores de serviços de certificação deve sempre verificá-los de acordo com os regulamentos específicos que podem ser aplicadas.
4. Nem é preciso aplicar as disposições do n º 1 no caso de identidade do candidato e as circunstâncias que são conhecidas pelo provedor de serviços de certificação por causa de uma relação pré-existente em que a mídia é usada para identificação são estabelecidas, se não três anos se passaram desde a identificação e se você tem a prova que todos os dados são válidos.
5. Os prestadores de serviços de certificação são pessoalmente responsáveis por ações de verificação nos termos deste artigo, mesmo se na realização de delegados para os outros.
Artigo 17 º Reconhecimento de certificados de assinaturas electrónicas com outros países
Andorra tem valor como um certificado qualificado ou certificados reconhecidos que satisfaçam uma das seguintes condições:
a) Ter sido emitidos em um certificado ou reconhecido por um fornecedor qualificado de serviços de certificação estabelecido noutro Estado-Membro da União Europeia e tem sido acreditado sob um sistema voluntário de acreditação de serviços de certificação de um Estado membro da União Europeia, desde que esses estados foi estabelecida e está em vigor um acordo bilateral com o certificado de equivalência qualificado ou reconhecido, ou há critérios de reciprocidade em relação à equivalência acima entre os dois estados.
b) Ter sido emitidos pelos estados com a legislação relativa às assinaturas digitais para eles equivalente ao de Andorra, ou quando houver reciprocidade em critérios de acreditação.
c) Ter sido emitidos por Estados com os quais um acordo bilateral foi definido certificados de equivalência e assinaturas electrónicas que ela oferece.
Capítulo Três. Certificação fornecedor
Artigo 18 º Obrigações dos prestadores de serviços de certificação
Os prestadores de serviços de certificação que emitem certificados electrónicos devem cumprir as seguintes obrigações:
a) Não armazenar ou copiar dados para criar a assinatura da pessoa a quem prestam os seus serviços.
b) fornecer ao requerente, antes da relação de serviço, sobre as obrigações do requerente, uma vez que torna-se signatário, sobre a obrigação de custódia dos dispositivos, a chave secreta, os mecanismos de comunicação em caso de incidentes, os mecanismos para garantir a confiabilidade das assinaturas electrónicas, o método utilizado para verificar a identidade dos aspectos signatários e da declaração de práticas de certificação regulamentado no artigo 19.
c) Manter uma data de registo no qual certificado deve conter os certificados emitidos e se eles são válidos ou se força tem sido suspensa ou cancelada. A integridade deste diretório deve ser protegido por mecanismos de segurança apropriados.
d) Assegurar a disponibilidade de um serviço de consulta para a duração dos certificados rápido e seguro.
Declaração do artigo 19 da certificação práticas
1. Prestadores de serviços devem desenvolver uma prática declaração de certificação prévia, em que a certificação deve incluir as obrigações e garantias que são cometidos no âmbito da gestão de certificados e criação de dados e verificação da assinatura, as condições aplicáveis aos pedidos, use, suspensão e cessação da validade do certificado, as medidas de segurança aplicadas, bem como todos os outros dados e informações estabelecidas pela regulamentação.
2. O prestador de serviços deve tornar público, pelo menos, eletronicamente, a declaração de práticas de certificação, o acesso livre e aberto.
Artigo 20 º Obrigações dos prestadores de serviço adicional que emitem certificados qualificados ou reconhecidos
1. Além das obrigações previstas no artigo 18 º, os prestadores de serviços de certificação que emitem certificados qualificados ou reconhecido deve atender às seguintes obrigações:
a) Prova de confiabilidade necessário para prestar esse serviço.
b) Assegurar que você pode especificar a data ea hora em que o certificado foi emitido ou se extingue ou suspender o prazo.
c) Use pessoal qualificado, com experiência para garantir a segurança e gestão no domínio das assinaturas electrónicas.
d) Preservar e registrados com garantias de segurança e integridade da informação e documentação relativa a cada certificado qualificado ou reconhecido, pelo menos por um período de 15 anos a partir da questão.
e) Tomar medidas contra a falsificação de certificados e, se o provedor de serviços de certificação gera dados de criação de assinatura, garantir a confidencialidade durante o processo de criação desses dados.
f) Utilizar sistemas e produtos fiáveis que estejam protegidos contra qualquer perturbação e para garantir a segurança de técnicas criptográficas e procedimentos com os quais eles trabalham.
g) Utilizar sistemas fiáveis para armazenar certificados de forma verificável:
- Somente as pessoas autorizadas possam introduzir dados e alterações lá;
- Para verificar a autenticidade das informações;
- Os certificados são publicamente disponíveis para ser consultados;
- O agente pode detectar todas as alterações técnicas que podem afetar os requisitos de segurança mencionados.
h) tenham recursos financeiros suficientes.
As condições em que essas obrigações devem ser estabelecidas por regulamento.
2. Os prestadores de serviços de certificação que emitem certificados qualificados deve ser assinado ou reconhecido um seguro de responsabilidade para um mínimo de € 600.000 para garantir a cobertura por danos que possam surgir em razão de sua atividade . O decreto do governo pode mudar o valor desta garantia e para estabelecer outras formas de garantia alternativos para substituir, no todo ou em parte, o seguro.
Rescisão artigo 21 da prestação de serviços de certificação
1. A cessação da actividade de prestação de serviços de certificação exige uma comunicação aos usuários de seus serviços, pelo menos, dois meses antes do final da atividade.
2. El prestador que cessi l'activitat pot transferir, amb el consentiment exprés dels usuaris, els certificats que encara siguin vigents a un altre prestador de serveis que els assumeixi o, en cas contrari, extingir-ne la vigència reemborsant els usuaris per la part proporcional al període de validesa restant del certificat.
3. El prestador també ha de comunicar que ha decidit cessar l'activitat a l'òrgan competent del Govern que es determini per via reglamentària, en el mateix termini establert a l'apartat 1. En aquesta comunicació ha de declarar si transfereix la gestió a un altre prestador de serveis o bé si extingeix la vigència dels certificats.
4. El prestador ha de garantir durant un període de temps de quatre anys, a comptar a partir del moment en què el prestador deixa els serveis de certificació, la disponibilitat d'un servei de consulta sobre la vigència dels certificats extingits.
5. En cas de no transferència a un altre prestador de serveis, el Govern s'ha de fer càrrec de la informació identificativa o de consulta una vegada cessa l'activitat de certificació per garantir la conservació de les dades segons el que disposa l'article 20.1.d).
Artigo 22 Privacidade
1. Provedores de serviço podem solicitar informações pessoais só certificação diretamente ao signatário ou por um terceiro agindo em nome do signatário, com o seu consentimento prévio. Os dados necessários são estritamente necessárias para a emissão e manutenção do certificado eletrônico e para a prestação de outros serviços relativos a assinaturas electrónicas.
2. O tratamento de dados pessoais prestadores de serviços de certificação necessidade de desenvolver o seu negócio está sujeita às disposições em vigor relativas à protecção dos dados pessoais.
3. Os prestadores de serviços de certificação pode fazer uma transferência legal de dados para outro provedor de serviços de certificação em caso de cessação de actividade, ou o departamento relevante do governo, em conformidade com a legislação de protecção de dados.
Capítulo Quatro. Renúncia
Responsabilidade artigo 23 do provedor de serviços de certificação
1. O prestador do serviço de certificação de assinaturas electrónicas é responsável por danos causados ao signatário, que representa isso, e terceiros de boa fé, confiar em um certificado emitido por ele, nas condições previstas por esta lei.
2. O provedor de serviços de certificação podem ser gravadas no certificado as limitações à sua utilização possível, ou um limite de transações que possa ser feito. Neste caso, não é responsável por danos causados por uso indevido do certificado quando eles transgrediram os limites, ou excedendo o limite registrado.
3. No caso em que o prestador de serviços de certificação foi sancionado por qualquer das penas acessórias previstas no artigo 33.1.b), ou que tenha sido objecto da providência cautelar prevista no artigo 35.a) devem:
a) Notificar a suspensão a todos os usuários dos seus certificados, indicando o início eo fim.
b) Record a suspensão do certificado indicando a data de início e fim.
Limitação artigo 24 da responsabilidade do prestador de serviços de certificação
O prestador de serviços de assinatura electrónica não é responsável pelos danos causados às partes signatárias ou terceiro de boa-fé quando tais danos resultantes da violação dos deveres que incumbem sobre a confiança signatário ou terceiros, que o documento assinado eletronicamente conformidade com as disposições dos artigos 25 e 26. Para chamar este aviso, a certificação prestador de serviços deve provar que agiu com a diligência devida.
Artigo 25 º Deveres dos signatários
1. O signatário utiliza um certificado de assinatura dispositivo tem as seguintes atribuições:
a) fornecer a certificação informações do provedor de serviço de dados precisos, completos e precisos a ser registadas no certificado ou pode ser necessário emitir, suspender ou revogá-la.
b) Comunique-se com diligência o provedor de serviços de certificação de quaisquer mudanças nas circunstâncias ou atributos indicados no certificado que tinham sido sujeitos a variação.
c) Para agir com a máxima diligência para garantir a confidencialidade do seu dispositivo de criação de assinatura e protegê-lo de qualquer acesso, divulgação ou uso não autorizado.
d) Solicitar diligentemente suspensão ou revogação do certificado, quando se torna consciente das circunstâncias que envolvem o risco de que o dispositivo de criação de assinatura não é mais seguro ou fazer uso indevido do mesmo.
e) Abster-se de usar o dispositivo de criação de assinatura uma vez que o certificado expira ou desde que o prestador do serviço notifica a suspensão ou revogação.
2. O signatário que viole os deveres mencionados na seção anterior assume as responsabilidades decorrentes dessa violação.
Artigo 26 Deveres de quem confia no certificado
1. O terceiro ato que contam com assinaturas electrónicas baseadas num certificado tem as seguintes atribuições:
a) determinar a autenticidade e validade do certificado, mediante consulta do registo dos certificados para manter a certificação fornecedor de serviços.
b) Verificar e considerar as restrições contidas no certificado quanto ao seu possível uso ou transações limite que possa ser feito.
c) Verifique se o certificado está expirado ou não válido foi suspensa como resultado das sanções previstas nesta lei. Para esse efeito, a pessoa que confia os meios disponíveis certificado de consulta pública, tal como estabelecido no artigo 33.3.
2. O terceiro ato que contam com assinaturas electrónicas baseadas num certificado deve suportar as conseqüências decorrentes da violação dos deveres listados acima.
O capítulo cinco. Dispositivos eletrônicos assinatura
Artigo 27 º dos dispositivos de criação de assinatura electrónica
1. Les dades de creació de signatura són les dades úniques, en forma de codis o claus criptogràfiques privades, que el signatari utilitza per crear la signatura electrònica.
2. Un dispositiu de creació de signatura és un programa o un sistema informàtic que serveix per aplicar les dades de creació de signatura.
3. Un dispositiu segur de creació de signatura és el que garanteix, com a mínim, pels mitjans tècnics i de procediment adequats, que:
a) Les dades utilitzades per a la generació de signatura només poden produir-se una vegada a la pràctica, i en garanteix raonablement el secret.
b) Existeix una seguretat raonable que les dades utilitzades per a la generació de signatura no poden ser trobades per deducció de les de verificació de signatura o de la mateixa signatura, i que la signatura està protegida contra la falsificació mitjançant la tecnologia existent en el moment.
c) Les dades utilitzades per a la generació de signatura poden ser protegides de forma fiable pel signatari legítim.
d) No altera les dades o el document que s'ha de signar, i no impedeix que es mostri al signant abans del procés de signatura.
4. Els dispositius de signatura electrònica i altres sistemes, mitjans i productes relacionats, es presumeix que compleixen les condicions establertes a l'apartat precedent si s'ajusten a les normes tècniques corresponents els números de referència de les quals hagin estat publicats al Diari Oficial de la Unió Europea o en altres que s'indiquin per via reglamentària.
Article 28 Dispositius de verificació de signatura electrònica
1. Les dades de verificació de signatura són les dades, en forma de codis o claus criptogràfiques, que s'utilitzen per verificar la signatura electrònica.
2. Un dispositiu de verificació de signatura és un programa o un sistema informàtic que serveix per aplicar les dades de verificació de signatura.
3. Els dispositius segurs de verificació de signatura electrònica han de garantir, sempre que sigui tècnicament possible, que el procés de verificació d'una signatura electrònica satisfà les condicions següents:
a) Que les dades utilitzades per verificar la signatura corresponen a les dades que es mostren a la persona que verifica la signatura.
b) Que la signatura es verifica de forma fiable i el resultat de la verificació es presenta correctament.
c) Que la persona que verifica la signatura electrònica pot establir de forma fiable el contingut del missatge de dades signat.
d) Que verifica de forma fiable l'autenticitat i la validesa del certificat electrònic que s'ha exigit per verificar la signatura.
e) Que mostra clarament el resultat de la verificació i la identitat del signatari o, quan sigui el cas, consta clarament l'ús d'un pseudònim.
f) Que es pot detectar qualsevol canvi pertinent relatiu a la seguretat.
4. Les dades referents a la verificació de signatura, com ara el moment en què es produeix una constatació de la validesa del certificat electrònic, han de poder ser emmagatzemades per la persona que verifica la signatura o, sota la seva responsabilitat, per tercers de confiança.
Capítol sisè. Acreditació de prestadors de serveis de certificació
Article 29 Acreditació de prestadors de serveis de certificació
1. L'acreditació d'un prestador de serveis de certificació és el procediment voluntari mitjançant el qual l'òrgan competent del Govern que es determini per via reglamentària, o una entitat privada o pública competent, emet una declaració a favor d'un prestador de serveis de certificació que acredita el compliment de determinats requisits específics en la prestació dels serveis que aquest ofereix al públic.
2. En el procediment d'acreditació s'han d'utilitzar les normes tècniques establertes per la Comissió Europea en desenvolupament de la Directiva 1999/93/CE, de 13 de desembre de 1999, per la qual s'estableix un marc comunitari per a la signatura electrònica o qualsevol norma que la desenvolupi o la substitueixi en el futur. L'òrgan competent del Govern ha de publicar aquestes normes al Butlletí Oficial del Principat d'Andorra.
3. L'òrgan competent ha de publicar al Butlletí Oficial del Principat d'Andorra, ia títol informatiu a la seva pàgina web, la relació d'entitats públiques i privades habilitades per acreditar prestadors de serveis de certificació que vulguin operar al territori del Principat d'Andorra. Per via reglamentària s'han d'establir els requisits mínims de coneixements tècnics, mitjans materials i humans, i altres requeriments que aquestes entitats han de complir per poder ser habilitades pel Govern d'Andorra amb aquests efectes.
4. L'acreditació dels prestadors de serveis de certificació establerts al Principat d'Andorra es pot dur a terme, a sol•licitud de la persona interessada, per una entitat d'acreditació que estigui habilitada per realitzar aquesta tasca en qualsevol Estat membre de la Unió Europea, sempre que aparegui publicada al Butlletí Oficial del Principat d'Andorra i al web de l'òrgan competent, en compliment d'allò que estableix l'apartat 3.
Capítol setè. Supervisió i control
Article 30 Supervisió i control
1. El Govern d'Andorra, per mitjà de l'òrgan que es determini per via reglamentària, ha de controlar que els prestadors de serveis de certificació que emetin al públic certificats electrònics compleixin les obligacions establertes en aquesta Llei. Amb aquesta finalitat pot portar a terme les actuacions inspectores que siguin necessàries.
2. Els funcionaris designats per l'òrgan competent per fer les inspeccions tenen la consideració d'agents de l'autoritat en el desenvolupament de les seves funcions.
Article 31 Deure d'informació i col·laboració
1. Els prestadors de serveis de certificació tenen el deure de facilitar a l'òrgan competent tota la informació i col•laboració que els requereixi per a l'exercici de les seves funcions.
2. De manera especial, els prestadors de serveis han de comunicar a l'inici de la seva activitat i anar actualitzant amb la periodicitat que s'estableixi per reglament, les seves dades d'identificació, les característiques dels serveis que prestin, les acreditacions i les certificacions obtingudes per als seus serveis i altres dades necessàries d'interès per al públic, que es fixin reglamentàriament.
Aquesta informació podrà ser objecte de publicació en la pàgina web de l'òrgan encarregat de la supervisió i el control dels prestadors de serveis amb la finalitat d'atorgar-li la màxima difusió i coneixement.
3. Els prestadors de serveis han de permetre als inspectors l'accés a les seves instal•lacions i la consulta de tota la documentació que els inspectors considerin rellevant per poder dur a terme amb eficàcia la seva tasca de control. En les seves inspeccions poden anar acompanyats de les persones que considerin necessàries.
Capítol vuitè. Règim sancionador
Article 32 Infraccions
1. Les infraccions a aquesta Llei es classifiquen en molt greus, greus i lleus.
2. Són infraccions molt greus:
a) L'expedició de certificats qualificats o reconeguts sense realitzar les comprovacions prèvies establertes als articles 15 i 16.
b) L'expedició de certificats qualificats o reconeguts amb infracció d'alguna de les obligacions establertes als articles 18 i 20.1 quan s'hagin causat danys als usuaris o quan la seguretat dels serveis de certificació s'hagi vist afectada greument.
c) Incomplir les obligacions establertes a l'article 23.3.
d) La reincidència en la comissió d'infraccions greus, encara que siguin de distinta naturalesa, sempre que es cometi dintre d'un període de dos anys des de la primera i l'autor n'hagi estat sancionat.
3. Són infraccions greus:
a) L'expedició de certificats qualificats o reconeguts sense realitzar les comprovacions prèvies establertes als article 15 i 16, quan el fet no constitueixi una infracció molt greu.
b) L'expedició de certificats qualificats o reconeguts amb infracció d'alguna de les obligacions establertes als articles 18 i 20.1, quan el fet no constitueixi una infracció molt greu.
c) L'incompliment de l'obligació prevista a l'article 20.2.
d) L'incompliment pels prestadors de serveis de certificació de no emetre certificats qualificats o reconeguts de les obligacions assenyalades a l'article 18, quan s'hagin causat danys als usuaris o quan la seguretat dels serveis de certificació s'hagi vist afectada greument.
e) L'incompliment de les obligacions establertes a l'article 21.
f) La resistència, l'obstrucció, l'excusa o la negativa injustificada a l'actuació inspectora de l'òrgan competent.
g) L'incompliment de les resolucions dictades per l'òrgan competent per assegurar que el prestador de serveis s'ajusti a aquesta Llei.
h) La reincidència en la comissió d'infraccions lleus, encara que siguin de distinta naturalesa, sempre que es cometi dintre d'un període de dos anys des de la primera i l'autor n'hagi estat sancionat.
4. Són infraccions lleus:
L'incompliment per part dels prestadors de serveis d'altres obligacions legals no esmentades als apartats anteriors.
Article 33 Sancions
1. Les sancions per a les infraccions establertes a l'article 32 són les següents:
a) Les infraccions molt greus són sancionades amb multa de 100.001 a 300.000 euros. A més, també es poden imposar les següents sancions accessòries:
- Prohibició i cessament de l'exercici de l'activitat de prestació de serveis de certificació al Principat d'Andorra.
- Extinció de tots els certificats emesos pel prestador de serveis sancionat, amb el reemborsament als usuaris de la part proporcional al període de validesa restant dels certificats afectats.
b) Les infraccions greus són sancionades amb multa de 50.001 a 100.000 euros. A més, també es poden imposar les següents sancions accessòries:
- Suspensió de l'exercici de l'activitat de prestació de serveis de certificació al Principat d'Andorra, fins a un termini màxim de dos anys.
- Suspensió de la validesa dels certificats emesos pel prestador de serveis objecte de la sanció, fins a un termini màxim de dos anys, amb el reemborsament als usuaris de la part proporcional al període de validesa dels certificats afectats per la sanció. c) Les infraccions lleus són sancionades amb multa fins a 50.000 euros.
2. En el supòsit d'infraccions molt greus i greus, la resolució sancionadora s'ha de publicar al Butlletí Oficial del Principat d'Andorra.
3. Igualment, i per tal de fer possible el que disposa l'article 26.1.c), l'òrgan competent ha de publicar, a la seva pàgina web, les dades completes sobre sancions relatives a suspensió o extinció establertes al primer apartat, tot indicant:
a) El prestador de serveis objecte de la sanció.
b) Els certificats del prestador objecte de la sanció.
c) La naturalesa de la sanció imposada (suspensió o extinció).
d) En el cas d'extinció, la data a partir de la qual deixen de ser vàlids els certificats del prestador de serveis afectats. La data d'extinció de la validesa dels certificats objecte de sanció no pot ser mai anterior a la data de publicació de la sanció a la pàgina web de l'òrgan competent.
e) En el cas de suspensió, la data d'inici de la suspensió i la data de finalització a partir de la qual els certificats tornen a tenir els efectes jurídics reconeguts en aquesta Llei. La data d'inici de la suspensió no pot ser mai anterior a la data de publicació de la sanció a la pàgina web de l'òrgan competent.
4. L'accés a la informació indicada a l'apartat 3 ha de ser sempre lliure i de caràcter gratuït.
5. També s'ha de publicar al Butlletí Oficial del Principat d'Andorra el que es preveu a l'apartat tercer, tot i que els efectes de suspensió o extinció tinguin lloc a partir de la publicació al web de l'òrgan competent.
Article 34 Graduació de la quantia de les sancions
La quantia de les sancions, dins dels límits assenyalats, es gradua tenint en compte les circumstàncies següents:
a) La repercussió social de la infracció comesa i el nombre d'usuaris afectats.
b) La reincidència o la reiteració.
c) L'existència o la no existència d'intencionalitat.
d) La quantia i la naturalesa dels perjudicis causats.
e) El benefici que la infracció hagi reportat a l'infractor. En aquest cas, la sanció no pot ser inferior al benefici obtingut.
Article 35 Mesures cautelars
En els procediments per infraccions greus o molt greus, l'òrgan competent per instruir l'expedient pot adoptar les mesures cautelars que consideri necessàries per evitar el manteniment dels efectes de la infracció i per assegurar l'eficàcia de la resolució que es dicti. Entre altres, pot adoptar les mesures següents:
a) Suspensió temporal de l'activitat del prestador de serveis de certificació i, si escau, tancament temporal de l'establiment.
b) Precintatge, dipòsit o confiscació de registres, suports i arxius informàtics i de documents en general, així com d'aparells i equips informàtics.
c) Advertència al públic de l'existència de possibles conductes infractores, de la incoació de l'expedient sancionador i de les mesures cautelars adoptades.
d) Suspensió de vigència dels certificats afectats.
Article 36 Competència i procediment sancionador
1. La instrucció dels expedients sancionadors correspon a l'òrgan competent que es determini per via reglamentària.
2. Les infraccions molt greus són sancionades pel Govern d'Andorra, i les greus i lleus, per l'òrgan competent.
3. La potestat sancionadora prevista en aquest capítol ha d'exercir-se d'acord amb les normes generals que regulen l'actuació de l'Administració general, amb les especificitats previstes per aquesta Llei.
Article 37 Prescripció
1. Les infraccions molt greus prescriuen al cap de tres anys que hagin estat comeses, les greus ho fan al cap de dos anys i les lleus, al cap d'un.
2. Les sancions prescriuen al cap de tres anys des de la data de notificació de la resolució sancionadora esdevinguda ferma.
Disposició addicional primera. Actuació del Govern en matèria d'acreditació
Els imports que el Govern pot aplicar en les actuacions derivades de l'acreditació prevista a l'article 29 s'han d'establir per via reglamentària. L'import es fixa en funció dels criteris següents:
- Preus públics aplicables a l'acreditació de prestadors de serveis de certificació que sol•licitin acreditació: naturalesa dels certificats (reconeguts o altres) sobre els quals el prestador sol·liciti acreditació, quantitat i tipus de serveis objecte d'acreditació.
- Preus públics per a les entitats que vulguin ser habilitades per acreditar prestadors de serveis de certificació: naturalesa dels serveis de certificació (reconeguts o d'altra natura) per als quals vulguin prestar serveis de certificació, i manteniment o no per part de l'entitat sol·licitant d'instal·lacions, dependències, així com de mitjans tècnics i humans, al Principat d'Andorra, vinculats directament a la prestació dels serveis d'acreditació.
Disposició addicional segona. Acessibilidade
Els serveis, els processos, els procediments i els dispositius de signatura electrònica han de ser plenament accessibles a les persones amb discapacitat i de la tercera edat, les quals no poden ser en cap cas discriminades, en l'exercici de les facultats i els drets reconeguts en aquesta Llei, per causes relacionades amb la discapacitat o amb l'edat avançada.
Disposició addicional tercera. Conformitat amb la normativa aplicable als productes de signatura electrònica
Es presumeix que els productes de signatura electrònica a què es refereix aquesta Llei, i especialment els esmentats al paràgraf d) de l'apartat 1 de l'article 20, són conformes amb els requisits que s'hi estableixen si s'ajusten a les normes tècniques corresponents publicades al Diari Oficial de la Unió Europea.
Disposició final primera. Desenvolupament reglamentari
Abans de l'entrada en vigor de la Llei, el Govern d'Andorra ha de dictar les disposicions que resultin convenients per a l'aplicació i el desenvolupament de la signatura electrònica. En particular, ha de publicar els números de referència de les normes tècniques aprovades en el marc de la Unió Europea per a la certificació de productes i dispositius de signatura electrònica.
Disposició final segona. Entrada en vigor
Aquesta Llei entrarà en vigor al cap de tres mesos de ser publicada al Butlletí Oficial del Principat d'Andorra.
Casa de la Vall, 29 de desembre del 2009
Josep Dallerès Codina
Síndic General
Nosaltres els coprínceps la sancionem i promulguem i n'ordenem la publicació en el Butlletí Oficial del Principat d'Andorra.
Nicolas Sarkozy Joan Enric Vives Sicília
President de la República Francesa Bisbe d'Urgell
Copríncep d'Andorra Copríncep d'Andorra
