Nemoteca
Bloque

Los servicios electrónicos de confianza: los prestadores

11 preguntas · en 2 colecciones

El título III de la Ley 6/2020 (artículos 8 a 13): la protección de los datos personales, las obligaciones de los prestadores, su responsabilidad y sus límites, el inicio de los servicios no cualificados y las obligaciones de seguridad de la información.

Colecciones que lo incluyen

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Según el artículo 13.3 de la Ley 6/2020, un prestador ya ha notificado un incidente de seguridad. ¿En qué plazo máximo amplía la información que dio?

  • Un mes desde que ocurrió y, si se resolvió, desde la resolución
  • Tres meses desde que ocurrió y, si se resolvió, desde la resolución
  • Un mes tras la notificación y, si se resolvió, tras la resolución
  • Tres meses tras la notificación y, si se resolvió, tras la resolución

El art. 13.3 da un mes como máximo y lo cuenta tras la notificación y, si el incidente llegó a resolverse, también tras la resolución. No corre desde que ocurrió el incidente. Tres meses no es el plazo de esta ampliación.

Los prestadores de servicios ampliarán, en un plazo máximo de un mes tras la notificación del incidente y, de haber tenido lugar, tras su resolución, la información suministrada en la notificación inicial
Ley 6/2020, de 11 de noviembre

Según el artículo 9.1.b de la Ley 6/2020, un prestador gestiona, en nombre del titular, los datos de creación de firma de este. ¿Puede almacenarlos?
  • No, ni por sí ni a través de un tercero
  • No, salvo que sea un prestador cualificado
  • Sí, si antes se lo autoriza el órgano de supervisión
  • Sí, porque es el caso que la prohibición exceptúa

La prohibición de la letra b) trae su salvedad, y no depende de una autorización ni de ser cualificado. A cambio, el prestador ha de usar sistemas fiables, bajo el control exclusivo del titular, y custodiar esos datos. «Por sí o a través de un tercero» tienta porque está en la letra, pero describe la regla general, no este caso.

No almacenar ni copiar, por sí o a través de un tercero, los datos de creación de firma, sello o autenticación de sitio web de la persona física o jurídica a la que hayan prestado sus servicios, salvo en caso de su gestión en nombre del titular.
Ley 6/2020, de 11 de noviembre

Según el artículo 11.2 de la Ley 6/2020, quien recibe un documento firmado confía en él sin verificar la firma electrónica y sufre un daño. ¿Responde el prestador de servicios de confianza?
  • Sí, porque responde ante los terceros de buena fe
  • No, porque ese destinatario actúa de forma negligente
  • Sí, salvo que el certificado estuviera ya suspendido
  • No, porque ese destinatario no contrató con él

El art. 11.2 libera al prestador si el destinatario actúa de forma negligente, y lo define: no tener en cuenta la suspensión o pérdida de vigencia del certificado, o no verificar la firma o el sello. Aquí no verificó. La suspensión no es condición, sino el otro caso de negligencia. Y la razón no es que no contratara con él: el art. 11.1 también tiene en cuenta a los terceros de buena fe.

El prestador de servicios de confianza tampoco será responsable por los daños y perjuicios si el destinatario actúa de forma negligente. Se entenderá que el destinatario actúa de forma negligente cuando no tenga en cuenta la suspensión o pérdida de vigencia del certificado electrónico, o cuando no verifique la firma o sello electrónico.
Ley 6/2020, de 11 de noviembre

Según el artículo 9.3.a de la Ley 6/2020, el certificado que expidió un prestador cualificado se extinguió hace diez años. ¿Tiene que seguir conservando la información relativa a ese servicio?
  • No, porque el período es de cinco años desde la extinción
  • Sí, porque el período es de quince años desde la extinción
  • No, porque el período terminó con la extinción
  • Sí, porque ha de conservarla sin límite de tiempo

Diez años después no se ha agotado el período: la letra a) del art. 9.3 da quince años, contados desde la extinción del certificado o el fin del servicio. La obligación no termina con la extinción, sino que su cuenta empieza ahí, y tampoco es indefinida. Cinco años no es el período de esta letra.

El período de tiempo durante el que deberán conservar la información relativa a los servicios prestados de acuerdo con el artículo 24.2.h) del Reglamento (UE) 910/2014, será de 15 años desde la extinción del certificado o la finalización del servicio prestado.
Ley 6/2020, de 11 de noviembre

Según el artículo 10 de la Ley 6/2020, un prestador delega en otro la comprobación de identidad previa a expedir un certificado cualificado, y ese otro actúa mal. ¿Quién responde frente a terceros?
  • El prestador que hizo la comprobación
  • Los dos prestadores, a partes iguales
  • El titular del certificado que se expidió
  • El prestador que delegó la comprobación

El art. 10 carga sobre quien delega toda la responsabilidad frente a terceros por la actuación de aquel en quien delegó, y nombra expresamente estas comprobaciones de identidad. Delegar la función no traslada la responsabilidad ni la reparte, y el artículo no hace responder al titular del certificado.

Los prestadores de servicios electrónicos de confianza asumirán toda la responsabilidad frente a terceros por la actuación de las personas u otros prestadores en los que deleguen la ejecución de alguna o algunas de las funciones necesarias para la prestación de servicios electrónicos de confianza, incluyendo las actuaciones de comprobación de identidad previas a la expedición de un certificado cualificado.
Ley 6/2020, de 11 de noviembre
Ver 6 preguntas más

Según el artículo 12 de la Ley 6/2020, ¿cuándo debe comunicar su actividad un prestador de servicios de confianza no cualificado?
  • Un mes desde que la inicie
  • Un mes antes de iniciarla
  • Tres meses desde que la inicie
  • Tres meses antes de iniciarla

El art. 12 da tres meses y los cuenta desde que el prestador inicia la actividad: el plazo corre hacia delante desde el inicio, no hacia atrás. Un mes es otro plazo de este título, no el de esta comunicación.

en el plazo de tres meses desde que la inicien
Ley 6/2020, de 11 de noviembre

Según el artículo 13.1 de la Ley 6/2020, un prestador no cualificado ha notificado al ministerio competente una de las violaciones de seguridad o pérdidas de la integridad a las que se refiere ese artículo. ¿Le excusa eso de notificarla a la Agencia Española de Protección de Datos?
  • Sí, porque la notificación al ministerio la sustituye
  • Sí, porque el ministerio se la traslada a la Agencia
  • No, porque la Agencia es la única destinataria
  • No, porque esa notificación va sin perjuicio de la otra

El art. 13.1 obliga a notificar al ministerio, que la ley aún llama con el nombre que tenía en 2020. La notificación a la Agencia, cuando proceda, va «sin perjuicio»: una no excusa de la otra. Tampoco excusa que el art. 17.4 mande al ministerio informar a la Agencia de los incidentes que impliquen violaciones de datos personales.

Los prestadores cualificados y no cualificados de servicios electrónicos de confianza notificarán al Ministerio de Asuntos Económicos y Transformación Digital las violaciones de seguridad o pérdidas de la integridad señaladas en el artículo 19.2 del Reglamento (UE) 910/2014, sin perjuicio de su notificación a la Agencia Española de Protección de Datos
Ley 6/2020, de 11 de noviembre

Según el artículo 9.3.b de la Ley 6/2020, un organismo público actúa como prestador cualificado de servicios de confianza. ¿Tiene que constituir el seguro de responsabilidad civil?
  • Sí, porque la obligación alcanza también al sector público
  • Sí, aunque puede sustituirlo por un aval bancario
  • No, porque pertenece al sector público
  • No, si presta un solo servicio cualificado

La letra b) exige el seguro «excepto si el prestador pertenece al sector público». Cuántos servicios presta solo cambia el importe de quien sí está obligado. El aval bancario tienta porque la misma letra lo admite, pero es una forma de sustituir la garantía para quien tiene que constituirla.

Constituir un seguro de responsabilidad civil por importe mínimo de 1.500.000 euros, excepto si el prestador pertenece al sector público.
Ley 6/2020, de 11 de noviembre

Según el artículo 8.3 de la Ley 6/2020, un órgano judicial pide a un prestador la verdadera identidad del titular de un certificado con pseudónimo. ¿Qué debe hacer el prestador?
  • Revelarla, con sujeción a la legislación de protección de datos
  • Revelarla, si el titular del certificado lo consiente
  • Negarse, porque el pseudónimo protege esa identidad frente a las autoridades
  • Negarse, porque el prestador no llega a constatar esa identidad

El pseudónimo oculta la identidad en el certificado, no frente a quien puede pedirla. El art. 8.3 obliga a revelarla cuando la solicitan los órganos judiciales u otras autoridades en sus funciones legales, con la protección de datos como marco, y no pide el consentimiento del titular. Tampoco cabe alegar que no se conoce: el art. 8.2 obliga a constatarla y a conservar la documentación.

Dichos prestadores de servicios de confianza estarán obligados a revelar la citada identidad cuando lo soliciten los órganos judiciales y otras autoridades públicas en el ejercicio de funciones legalmente atribuidas, con sujeción a lo dispuesto en la legislación aplicable en materia de protección de datos personales.
Ley 6/2020, de 11 de noviembre

Según el artículo 12 de la Ley 6/2020, un prestador de servicios de confianza no cualificado va a iniciar su actividad. ¿Necesita una verificación administrativa previa de que cumple los requisitos?
  • Sí, y no puede iniciarla hasta superarla
  • No, puede iniciarla sin ese trámite
  • Sí, para expedir certificados
  • No, mientras preste un solo tipo de servicio

El art. 12 lo dice sin rodeos: el no cualificado no necesita esa verificación para iniciar su actividad, y no distingue por el tipo de servicio ni por si expide certificados. La idea contraria tienta porque la verificación previa existe en la ley, pero el art. 16.2 la regula junto a la lista de confianza de los cualificados.

Los prestadores de servicios de confianza no cualificados no necesitan verificación administrativa previa de cumplimiento de requisitos para iniciar su actividad
Ley 6/2020, de 11 de noviembre

Según el artículo 12 de la Ley 6/2020, un prestador de servicios de confianza no cualificado cesa en su actividad. ¿Debe comunicarlo?
  • Sí, en el mismo plazo que el inicio
  • Sí, con dos meses de antelación al cese
  • No, porque esa comunicación se exige a los cualificados
  • No, porque su único deber es comunicar el inicio

El segundo párrafo del art. 12 se remite al plazo del primero: el inicio, la modificación de los datos y el cese se comunican en el mismo. Los dos meses de antelación tientan, pero los pone el art. 9.3.c para el prestador cualificado, y el art. 12 no habla de antelación.

En el mismo plazo deberán comunicar la modificación de los datos inicialmente transmitidos y el cese de su actividad.
Ley 6/2020, de 11 de noviembre