Identificación y firma electrónica en el Derecho de la Unión Europea

Por: Carlos Galán, Doctor en Informática y Abogado especialista en Derecho de las TIC. Asesor de Addalia

1. La necesaria armonización transfronteriza

El contenido de la Directiva 1999/93/CE del Parlamento Europeo y del Consejo, por la que se establece un marco comunitario para la firma electrónica, y su heterogénea transposición al ordenamiento de los Estados miembro provocaron que el originario deseo de una relación transfronteriza fluida y garantista entre personas y organizaciones que no se materializara adecuadamente.

Efectivamente, la relación entre estados requiere en la mayoría de las ocasiones unos mecanismos fiables y homogéneos en materia de identificación y firma electrónicas. Por ejemplo, no es posible un desarrollo coherente de la contratación pública electrónica si las partes implicadas (poderes adjudicadores y licitadores, de cualquier estado de la UE) no disponen de medios de identificación y firma reconocidos asimismo por todos ellos.

Consciente de esta realidad, las instituciones de la Unión Europea han trabajado durante los últimos años en una regulación que, con carácter obligatorio para sus destinatarios europeos, señale de manera armonizada los mecanismos de identificación y firma que deberán ser aceptados por todos en sus relaciones transfronterizas.

TAMBIÉN TE PUEDE INTERESAR

Qué es la identidad y cómo se utiliza en las transacciones digitales

Resultado de ello ha sido, el Reglamento (UE) 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE, conocido como Reglamento eIDAS.

El Reglamento eIDAS persigue, por tanto, asegurar la interoperabilidad en la UE:

De la Identificación Electrónica (de personas y entidades)
De los Servicios de Confianza (entre ellos, la generación y expedición de certificados electrónicos y otros servicios de confianza).

Su condición jurídica (Reglamento Europeo) confiere al Reglamento eIDAS la potestad de ser directamente aplicable en los Estados miembro (desplazando, por ejemplo, a la Ley 59/2003, de firma electrónica).

El gráfico siguiente muestra un esquema de los servicios regulados por el Reglamento eIDAS.

Esquema de servicios regulados por el Reglamento eIDAS.

Una nueva ley nacional de Servicios de Confianza, que al tiempo de redactar estás líneas permanece en borrador, regulará aquellos aspectos que el Reglamento eIDAS deja a la libre regulación de los Estados miembro.

2. La Identificación Electrónica en el Derecho de la UE

Una de las razones que impulsaron a las instituciones europeas la publicación del Reglamento (UE) 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior, conocido como Reglamento eIDAS, fue el deseo de mantener los principios del mercado interior. Así un prestador de servicios de confianza establecido en un Estado miembro, puede ofrecer esos servicios en otro Estado miembro sin restricciones, permitiendo la libre circulación en el mercado interior de los productos y servicios de confianza que se ajusten al citado Reglamento.

Estos principios relativos al mercado interior posibilitan y obligan al reconocimiento mutuo de los medios de identificación electrónica expedidos y notificados por los diferentes Estados miembro cuando sea necesaria una identificación electrónica. Esto es posible utilizando un medio de identificación electrónica y una autenticación en virtud de la normativa o la práctica administrativa nacionales para acceder a un servicio prestado en línea por un organismo del sector público en un Estado miembro, siempre que:

Tal medio de identificación haya sido expedido en virtud de un sistema de identificación electrónica incluido en la lista publicada por la Comisión de conformidad con el artículo 9 del Reglamento eIDAS.
El nivel de seguridad de este medio de identificación electrónica corresponda a un nivel de seguridad igual o superior al nivel de seguridad requerido por el organismo del sector público para acceder a dicho servicio en línea en el primer Estado miembro, siempre que el nivel de seguridad de dicho medio de identificación electrónica corresponda a un nivel de seguridad sustancial o alto.
Y el organismo público en cuestión utilice un nivel de seguridad sustancial o alto en relación con el acceso a ese servicio en línea.

Como se muestra en el cuadro siguiente, el Reglamento eIDAS contempla tres niveles de seguridad: Bajo, Sustancial y Alto, atendiendo al grado de confianza de un medio de identificación en la identidad pretendida o declarada de una persona, niveles de seguridad regulados en el Reglamento de Ejecución (UE) 2015/1502.

Nivel de seguridad	Descripción
Bajo	Se referirá a un medio de identificación electrónica, en el contexto de un sistema de identificación electrónica, que establece un grado limitado de confianza en la identidad pretendida o declarada de una persona y se describe en referencia a las especificaciones técnicas, las normas y los procedimientos del mismo, entre otros los controles técnicos, y cuyo objetivo es reducir el riesgo de uso indebido o alteración de la identidad.
Sustancial	Se referirá a un medio de identificación electrónica, en el contexto de un sistema de identificación electrónica, que establece un grado sustancial de confianza en la identidad pretendida o declarada de una persona y se describe en referencia a las especificaciones técnicas, las normas y los procedimientos del mismo, entre otros los controles técnicos, y cuyo objetivo es reducir sustancialmente el riesgo de uso indebido o alteración de la identidad.
Alto	Se referirá a un medio de identificación electrónica, en el contexto de un sistema de identificación electrónica, que establece un grado de confianza en la identidad pretendida o declarada de una persona superior al medio de identificación electrónica con un nivel de seguridad sustancial, y se describe en referencia a las especificaciones técnicas, las normas y los procedimientos del mismo, entre otros los controles técnicos, cuyo objetivo es evitar el uso indebido o alteración de la identidad.

El reconocimiento mutuo de los medios de identificación electrónica será obligatorio a partir del 29 de septiembre de 2018, debiendo los Estados fomentar el uso de los medios de identificación electrónica también en el sector privado.