El título III de la Ley 6/2020 (artículos 8 a 13): la protección de los datos personales, las obligaciones de los prestadores, su responsabilidad y sus límites, el inicio de los servicios no cualificados y las obligaciones de seguridad de la información.
Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.
El art. 12 da tres meses y los cuenta desde que el prestador inicia la actividad: el plazo corre hacia delante desde el inicio, no hacia atrás. Un mes es otro plazo de este título, no el de esta comunicación.
en el plazo de tres meses desde que la inicien
El pseudónimo oculta la identidad en el certificado, no frente a quien puede pedirla. El art. 8.3 obliga a revelarla cuando la solicitan los órganos judiciales u otras autoridades en sus funciones legales, con la protección de datos como marco, y no pide el consentimiento del titular. Tampoco cabe alegar que no se conoce: el art. 8.2 obliga a constatarla y a conservar la documentación.
Dichos prestadores de servicios de confianza estarán obligados a revelar la citada identidad cuando lo soliciten los órganos judiciales y otras autoridades públicas en el ejercicio de funciones legalmente atribuidas, con sujeción a lo dispuesto en la legislación aplicable en materia de protección de datos personales.
Diez años después no se ha agotado el período: la letra a) del art. 9.3 da quince años, contados desde la extinción del certificado o el fin del servicio. La obligación no termina con la extinción, sino que su cuenta empieza ahí, y tampoco es indefinida. Cinco años no es el período de esta letra.
El período de tiempo durante el que deberán conservar la información relativa a los servicios prestados de acuerdo con el artículo 24.2.h) del Reglamento (UE) 910/2014, será de 15 años desde la extinción del certificado o la finalización del servicio prestado.
El art. 13.1 obliga a notificar al ministerio, que la ley aún llama con el nombre que tenía en 2020. La notificación a la Agencia, cuando proceda, va «sin perjuicio»: una no excusa de la otra. Tampoco excusa que el art. 17.4 mande al ministerio informar a la Agencia de los incidentes que impliquen violaciones de datos personales.
Los prestadores cualificados y no cualificados de servicios electrónicos de confianza notificarán al Ministerio de Asuntos Económicos y Transformación Digital las violaciones de seguridad o pérdidas de la integridad señaladas en el artículo 19.2 del Reglamento (UE) 910/2014, sin perjuicio de su notificación a la Agencia Española de Protección de Datos
El art. 13.3 da un mes como máximo y lo cuenta tras la notificación y, si el incidente llegó a resolverse, también tras la resolución. No corre desde que ocurrió el incidente. Tres meses no es el plazo de esta ampliación.
Los prestadores de servicios ampliarán, en un plazo máximo de un mes tras la notificación del incidente y, de haber tenido lugar, tras su resolución, la información suministrada en la notificación inicial
La letra b) exige el seguro «excepto si el prestador pertenece al sector público». Cuántos servicios presta solo cambia el importe de quien sí está obligado. El aval bancario tienta porque la misma letra lo admite, pero es una forma de sustituir la garantía para quien tiene que constituirla.
Constituir un seguro de responsabilidad civil por importe mínimo de 1.500.000 euros, excepto si el prestador pertenece al sector público.
El art. 12 lo dice sin rodeos: el no cualificado no necesita esa verificación para iniciar su actividad, y no distingue por el tipo de servicio ni por si expide certificados. La idea contraria tienta porque la verificación previa existe en la ley, pero el art. 16.2 la regula junto a la lista de confianza de los cualificados.
Los prestadores de servicios de confianza no cualificados no necesitan verificación administrativa previa de cumplimiento de requisitos para iniciar su actividad
El segundo párrafo del art. 12 se remite al plazo del primero: el inicio, la modificación de los datos y el cese se comunican en el mismo. Los dos meses de antelación tientan, pero los pone el art. 9.3.c para el prestador cualificado, y el art. 12 no habla de antelación.
En el mismo plazo deberán comunicar la modificación de los datos inicialmente transmitidos y el cese de su actividad.
El art. 11.2 libera al prestador si el destinatario actúa de forma negligente, y lo define: no tener en cuenta la suspensión o pérdida de vigencia del certificado, o no verificar la firma o el sello. Aquí no verificó. La suspensión no es condición, sino el otro caso de negligencia. Y la razón no es que no contratara con él: el art. 11.1 también tiene en cuenta a los terceros de buena fe.
El prestador de servicios de confianza tampoco será responsable por los daños y perjuicios si el destinatario actúa de forma negligente. Se entenderá que el destinatario actúa de forma negligente cuando no tenga en cuenta la suspensión o pérdida de vigencia del certificado electrónico, o cuando no verifique la firma o sello electrónico.
El art. 10 carga sobre quien delega toda la responsabilidad frente a terceros por la actuación de aquel en quien delegó, y nombra expresamente estas comprobaciones de identidad. Delegar la función no traslada la responsabilidad ni la reparte, y el artículo no hace responder al titular del certificado.
Los prestadores de servicios electrónicos de confianza asumirán toda la responsabilidad frente a terceros por la actuación de las personas u otros prestadores en los que deleguen la ejecución de alguna o algunas de las funciones necesarias para la prestación de servicios electrónicos de confianza, incluyendo las actuaciones de comprobación de identidad previas a la expedición de un certificado cualificado.
La prohibición de la letra b) trae su salvedad, y no depende de una autorización ni de ser cualificado. A cambio, el prestador ha de usar sistemas fiables, bajo el control exclusivo del titular, y custodiar esos datos. «Por sí o a través de un tercero» tienta porque está en la letra, pero describe la regla general, no este caso.
No almacenar ni copiar, por sí o a través de un tercero, los datos de creación de firma, sello o autenticación de sitio web de la persona física o jurídica a la que hayan prestado sus servicios, salvo en caso de su gestión en nombre del titular.