Ponenecia
presentada a la Jornada para el Desarrollo Archivístico 2001 titulada:
"Los
Sistemas de Información y la Automatización de Archivos"
Título
Comentarios acerca de las deficiencias que presenta él Proyecto de Ley
sobre la Firma Digital.
EXPEDIENTE Nº 14257
Vea cómo
funciona la Firma Digital en los Procesos
Comerciales
Autor:
Licenciado Guillermo Augusto Pérez Merayo
Profesor de Derecho Informático
Facultad de Derecho, Universidad de Costa
Rica
Una copia interactiva de este documento
se encuentra en: http://www.centrodeconocimiento.com/firmadigital.htm
Se agradecen sus comentarios sobre este
artículo a: gapmerayo@centrodeconocimiento.com
Junio 2001
...,...,para que nuestra empresa realice operaciones en la Internet,
es necesario contar con un sistema de autenticación confiable,...,..
comentario de un empresario...
Tabla de Contenido
- I. Ámbito de este análisis
- II. Marco Referencial
- III.
Introducción y resumen del Proyecto
- IV. Antecedentes
- V. Consideraciones sobre el Proyecto de Ley
- 1. Oportunidad del proyecto
- 2. La Exposición de Motivos
- 3. Comentario de Fondo
- a. El Problema de la “Firma Digital Avanzada”
- b. Limitación en el uso de la firma digital ¿puede utilizarla solo el Estado o también los ciudadanos?
- c. La protección al consumidor
- d. Interpretación de la norma sobre firmas digitales
- e. Cuestiones de Forma en el proyecto
- f. ¿Nuevas formas de legislación?
- 4. Comentario sobre el Articulado (artículo por artículo)
| 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 | 13 | 14 | 15 | 16 | 17 | 18 | 19 | 20 |
Estos artículos se ubican en el Capítulo I titulado Del Órgano Rector, dentro del Título II -De los Servicios de Certificación Digital-. El articulado de este título evidencia una numeración discrepante con el resto del proyecto, pues diferencia entre artículo 8 y 8.1; para corregir esto, se recomienda convertir el artículo número 8.1 en el 9 y correr la numeración de los artículos subsiguientes o, mejor aún, integrar el artículo 8.1 dentro del 8 y mantener el resto de la numeración .
El artículo 8 viene a establecer al Ministerio de Ciencia y Tecnología como el órgano rector en todos los asuntos concernientes a esta ley. El artículo 8.1 regula que la interpretación técnica de esta ley estará a cargo del órgano rector. El artículo 9 contempla el principio de la acreditación voluntaria para los prestadores de firma digital avanzada, acreditación que será coordinada por la Autoridad de Acreditación. También regula someramente la integración y funciones de esta autoridad. Además, se establece la “función de acreditación” por medio de la cual se reconoce la competencia de una organización para prestar servicios de “firmas digitales avanzadas” en el territorio nacional y el establecimiento de un registro de las entidades acreditadas.
La redacción de estos artículos se justifica en cierta medida, por ser implícita la relación del Ministerio con la tecnología que se trata de implementar. Ahora bien, no cabe duda de que la amplitud de la regulación generará fricciones entre este Ministerio, como órgano rector, con los tradicionales actores de la racionalidad de la seguridad documentaria (de papel) en el país y con las estructuras establecidas de la seguridad jurídica nacional. Es importante determinar cuál sería la función de esta nueva autoridad de acreditación en el Ministerio de Ciencia y Tecnología, con las ya estipuladas para Archivos Nacionales, la Secretaría de la Corte, el Registro Nacional y otras entidades encargadas de la seguridad documental en el país. Se recomienda convocar a estas instituciones para escuchar su criterio sobre los potenciales roces que puedan surgir; en el fondo convendría discutir entre los especialistas de la materia sobre la necesidad de la creación de esta nueva entidad.
La aparición de estas nuevas entidades (prestadores de servicios de firma digital) es crítica, por cuanto en nuestro país la función de certificación y autenticación se reserva a los notarios, por lo que surge una serie de preguntas tales cómo ¿qué ocurre con sus funciones y sus calificaciones?, ¿quiénes son las entidades acreditadas para realizar estas funciones y qué requisitos se les exigen?, ¿cuáles serían los procedimientos para su acreditación y reconocimiento de las organizaciones o prestadores de servicios de certificación en línea? y, lo más grave, ¿en manos de quién y bajo qué condiciones se estaría poniendo la seguridad nacional?, ¿cuál es el grado más adecuado de seguridad y confianza con que se protegerán los derechos de los usuarios?, ¿se protege al usuario de este servicio, al consumidor?
Según el presidente del ICODEN (Instituto Costarricense de Derecho Notarial) Lic. Marco Antonio Jiménez, el representante de la oficina de Gobierno Electrónico ha manifestado que estos asuntos no se han considerado para ser regulados por medio del reglamento o por lo menos no aparecen en el proyecto. Se recomienda reconsiderar esta observación de dejar en manos de un reglamento cuestiones de seguridad nacional y del orden público. Es importante determinar por medio de ley y no de reglamento, aquellas cuestiones de la conducta del proveedor de servicios de certificación. Por otro lado, no basta exigir, como lo estipula el artículo 9 , la existencia de “un adecuado grado de seguridad y confianza que proteja debidamente”. La ley debe ser taxativa y con exigencias más concretas, no solo exigir que se actúe acorde con las prácticas, sino obligar a la elaboración de políticas específicas que darán a la seguridad nacional sobre la caución razonable que se ejerzan para asegurar una certeza y un éxito total en el manejo de las representaciones, durante el ciclo de vida de los certificados emitidos por ellos.
También deberán proveer medios razonables de accesibilidad; en el caso de los usuarios, para revisar sus certificados; de medios de aviso, para cuando se necesite suspender o revocar el certificado (la firma), y a terceros que confían en el sistema, para que puedan verificar los certificados. Finalmente, exigir la utilización de sistemas confiables, procedimientos y recursos humanos que garanticen seguridad y excelencia en sus servicios de certificación.
Además de la garantía y confianza de sus sistemas, procedimientos y recursos humanos que den los proveedores de servicios de certificación, deberán estipularse otros asuntos determinantes, tales como los recursos financieros y humanos, aparte de los bienes de la empresa con que este responde. Asimismo, las exigencias deberán comprender la calidad de los sistemas, los procedimientos para el procesamiento de los certificados; las regularidades y extensiones de las auditorías por entidades independientes al gobierno y las entidades certificadoras; y muy importante, la existencia de una declaración de alguna entidad gubernamental por medio de la cual se acredite, de previo, a la prestataria de servicios de certificación.
Este artículo pertenece al Capítulo II que se refiere a los Certificados Digitales, dondese regulan los certificados digitales y los requisitos mínimos para considerarlos como tales. Su contenido es muy reglamentista. Quizás en el momento de su redacción, por el concepto de firma digital avanzada, se hizo necesario incluir este detalle en la ley. Más que velar cómo funciona la relación entre la persona y el certificado, si bien es una parte importante, el proyecto debería contemplar la seguridad total del sistema de firma, sus procesos y la garantía de la singularización persona/certificado.
Es importante que, además del contenido mínimo establecido en este artículo para los certificados digitales, se agregue como requisito o limitante la cuantía por la cual responde un certifiado.
Este artículo contempla la cancelación y revocación de los certificados, materia muy propia de un reglamento. Es importante aclarar que los certificados no se cancelan, sino que se revocan o se suspenden, uno es con carácter definitivo y el otro temporal. En todo caso, la cancelación solo procedería por parte del emisor o certificador, solo a solicitud del propietario o por razón calificada del certificador.
El artículo 12 se refiere a la situación de los certificados emitidos por “entidades no establecidas en Costa Rica” y su necesaria “homologación” . Muy probablemente esta norma sea consecuencia de que la noción de firma digital avanzada no concebía un sistema universal de firmas. Hoy este sistema es posible por medio la “infraestructura de llave pública” (PKI); se trata de un sistema universal que trasciende el concepto de estado como limitante para su uso, de manera que el documento firmado por medio una llave privada perteneciente al señor “X”, solo podrá ser abierto -en cualquier parte del mundo- con la llave pública perteneciente al señor “X”. La llave pública podría estar dispuesta en una gran cantidad de repositorios ubicados alrededor del mundo, la mayoría de los cuales tienen carácter de archivos seudo-públicos, donde suelen quedar “digestos” (copias que no pueden ser modificadas) de todos los mensajes certificados, fechas ciertas y otros formalismos de carácter notarial (uno muy famoso lo posee el New York Times).
La Guía para la incorporación al derecho interno de la Ley Modelo de la CNUDMI para las Firmas Electrónicas (2001), en su Capítulo I sobre La Introducción a la Ley Modelo, en el inciso I, que se refiere a la Finalidad y Origen de la Ley Modelo, en el párrafo tercero estipula lo siguiente:
“3. El creciente empleo de técnicas de autenticación electrónica en sustitución de las firmas manuscritas y de otros procedimientos tradicionales de autenticación ha planteado la necesidad de crear un marco jurídico específico para reducir la incertidumbre con respecto a las consecuencias jurídicas que pueden derivarse del empleo de dichas técnicas modernas (a las que puede denominarse en general “firmas electrónicas”). El riesgo de que distintos países adopten criterios legislativos diferentes en relación con las firmas electrónicas exige disposiciones legislativas uniformes que establezcan las normas básicas de lo que constituye en esencia un fenómeno internacional, en el que es fundamental la interoperabilidad jurídica (y técnica).”
Costa Rica no debe proponer su propia ley específica de firma digital, como ocurre con el proyecto de ley, al apartarse de un proceso de universalización normativa; por el contrario, sería de gran conveniencia para nuestra Nación disponer de una herramienta de uso universal. La CNUDMI, con sus leyes modelo, intenta promover algo similar a lo establecido por la Sociedad de las Naciones durante el periodo entre guerras; de sus poquísimos éxitos, logró que la mayoría de los países del mundo adoptaran legislaciones comunes sobre los cheques, las letras de cambio y los pagarés, que constituyen hoy la esencia del comercio nacional en cada país y en el ámbito mundial.
La Guía de la LMFD, al referirse a la nacionalización de la Ley Modelo, solicita a los estados introducir el menor número de modificaciones con miras a lograr la harmonización mundial del sistema de firmas:
“En particular, cabe esperar algunas modificaciones (a las RUUFD) cuando el texto uniforme está estrechamente relacionado con el sistema procesal y judicial nacional. No obstante, ello supone también que el grado de harmonización y certeza que se logra mediante la legislación modelo es probablemente inferior al de un convenio o convención. Sin embargo, esta desventaja relativa de la legislación modelo puede compensarse con el hecho de que el número de Estados promulgantes de la legislación modelo será probablemente superior al número de Estados que se adhieren a un convenio o convención. Para lograr un grado satisfactorio de harmonización y certeza se recomienda que los Estados hagan el menor número posible de modificaciones al incorporar la nueva Ley Modelo a su derecho interno. En general, al promulgar la nueva Ley Modelo (o la Ley Modelo de la CNUDMI sobre Comercio Electrónico), es aconsejable ajustarse lo más posible al texto uniforme a fin de que el derecho interno sea lo más transparente y familiar posible para los extranjeros que recurran a él.” (párrafo veintisiete)
Para el problema de la homologación, se recomiendan dos soluciones, una ha sido exonerar las transacciones, del mundo virtual de los procesos burocráticos del mundo físico, siempre que exista una alternativa digital (firma digital) que substituya el formalismo del mundo físico. La otra solución, que no excluye a la anterior, consiste en poner una ventanilla de denuncia de las normas contrarias al comercio electrónico y a la economía digital.
Para finalizar, se puede insistir en que la verificación ocurre por medios tecnológicos imposibles de violar o falsificar; la verificación o no de una firma emitida en otro país solo le concierne a la ley nacional en cuanto a su validez como prueba ante los tribunales, lo cual se evidencia y valida por medio de procedimientos razonables. Básicamente, la firma digital es un fenómeno internacional y un efecto de la tecnología, y su hermana, la globalización, en donde se comprueba la validez de la prueba. Las llaves públicas y los certificados de firma digital como evidencia valen por sí y son verificables por medio del uso de una tecnología específica (pueden ser verificados y certificados virtualmente en los repositorios como parte de los servicios básicos que prestan las empresas certificadoras).
En todo caso, el reconocimiento de certificados procedentes del extranjero por regla general, se realiza por medio de un método llamado “certificación cruzada”, cuyo propósito de centra principalmente en una relación de bilateralidad entre las autoridades certificadoras, para que sus usuarios locales y del mundo entero puedan comunicarse de manera eficiente y basados en la fiabilidad universal del certificado.
Este artículo forma parte del Capítulo III ,titulado La Acreditación e Inspección de los Prestadores de Certificación Digital. Específicamente, el texto menciona a la Autoridad Competente de la Acreditación y su adscripción al Ministerio Rector (Ciencia y Tecnología) y al sometimiento de las entidades prestatarias de servicios de certificación a un proceso de acreditación. Igualmente, estipula de manera poco precisa, las funciones de las autoridades certificadoras de “brindar servicios inherentes al propio certificado”.
Se recomienda sustituir este artículo y los dos siguientes, por el artículo 9 de la LMFD, que se refiere al Proceder del prestador de servicios de certificación.
Este artículo se refiere a la facultad de inspección que tiene la Autoridad de Acreditación sobre las entidades prestatarias de servicios de certificación. Es un artículo extenso en su redacción, lleno de detalles sobre lo que puede requerir la Autoridad a efecto de realizar la inspección, así como las modificaciones que podrá solicitar a la Autoridad prestataria para el “fiel y seguro cumplimiento de sus funciones”. Se enumeran también las facultades de la autoridad en caso de incumplimiento; , asimismo, no se mencionan las multas como medidas que puede tomar la Autoridad contra las prestatarias del servicio. Este artículo por su detalle es sumamente reglamentista.
Artículo 15 Este artículo se refiere a la cautela, confidencialidad y custodia que debe tener la Autoridad de Acreditación sobre la información que le entreguen las empresas certificadoras. La materia que aquí se instituye también es propia de un reglamento más que de una ley, incluso lo referente al contrato machote que la autoridad reguladora suscribiría con la entidad certificadora.
El artículo 16 se refiere a la Neutralidad Tecnológica que se espera del órgano rector en sus actuaciones respecto a las tecnologías existentes y a los avances tecnológicos en las firmas digitales. Es importante evidenciar que la neutralidad no es de único dominio del órgano rector, si no que corresponde a un principio que debe regir para toda la Administración Pública. El principio de este artículo debería trasladarse al numeral tres del proyecto, donde se ha propuesto ubicar el artículo 3 de la LMFD y que se refiere específicamente a la “igualdad de tratamiento de las tecnologías para la firma”.
Este artículo pertenece al Capítulo Único del Título III, relativo a los Dispositivos de Firma Digital Avanzada y la Evaluación de su Conformidad con la Normativa Aplicable. Este artículo y el siguiente, así como el resto del proyecto, están impregnados de la noción de firma digital avanzada, la cual constituye su esencia. Este artículo se limita a estipular los requisitos concretos por los que se podrá considerar un dispositivo que emite una firma digital avanzada. Por no ser de utilidad alguna hoy y por estar desfasado el concepto de firma avanzada en relación con el sistema de PKI, se recomienda descartar totalmente este artículo y el siguiente.
Este artículo intenta determinar los requisitos mínimos que debe tener el dispositivo de verificación de firma digital avanzada.
El artículo 19 apela a la libertad de contratación con que se habilita a las partes contratantes a estipular formas alternativas de firma digital, que no necesariamente sigan el modelo que menciona la ley de firma digital avanzada; tal es el caso de los contratos EDI. Se recomienda adicionar a este artíiculo una coletilla de que las formas alternativas de firma digital podrán ser utilizadas, siempre y cuando con su uso no se realicen actos en contra del orden Público o se violen los derechos del consumidor.
Si bien el proponente del proyecto tuvo como intención regular con este artículo una libertad de contratación de firmas electrónicas alternas, el objetivo se pierde cuando se relacionan estos artículos con el artículo 1 y 7 del proyecto (véanse los comentarios en torno a este artículo en el epígrafe V.3.b supra).
Este artículo forma parte del Título IV, de las Disposiciones Finales del proyecto, donde se estipula un lapso de tres meses después de la publicación para que el Poder Ejecutivo emita el respectivo reglamento a esta ley.
5. Comentarios generales al proyecto
a. La confiabilidad del sistema
El proyecto de ley es omiso en cuanto a la fiabilidad del sistema, pieza esencial sin la cual el nuevo sistema de seguridad nacional no tendría credibilidad ni confiabilidad entre los potenciales usuarios, empresarios, el Gobierno y particulares. Este tema se refiere a la fiabilidad del sistema de seguridad, sus procedimientos, la seguridad de los recursos humanos y financieros utilizados en los servicios de certificación y en general que tengan plena validez jurídica. Esta omisión podría ser subsanada integrando al proyecto el artículo 10 de la LMFD.
Ahora bien, la credibilidad no solo constituye un factor técnico; es necesario que las partes crean firmemente en el uso de los certificados y las firmas electrónicas y que los acuerdos firmados digitalmente sean reconocidos como válidos para el uso propuesto. En general, se trata de que el ciudadano pueda determinar hasta qué punto la firma electrónica o el certificado es jurídicamente válido, no importa si entre las partes existió acuerdo sobre la transacción respecto de la firma o el certificado utilizado. Esta materia también debería ser contemplada en la exposición de motivos del proyecto, donde deberán quedar claras estas cuestiones de credibilidad de todos los sectores de la población sobre el nuevo sistema de firmas digitales.
b. Conductas de las partes que intermedian en la firma digital
1. Los proveedores de servicios de certificación
Para mayor claridad del proyecto, se recomienda regular de manera explícita las conductas exigidas a las partes que intermedian en la firma digital, específicamente la del firmante, la del proveedor de servicios de certificación y la de la persona que confía en el sistema.
Respecto a las conductas del proveedor de servicios de certificación, el proyecto no ha sido omiso en referirse a su conducta, solo que, producto de la influencia de la noción de firma avanzada, estos entran en detalles que no tienen cabida ante los sistemas de llave pública (PKI) y, no por el error que induce la firma avanzada, mantienen la neutralidad tecnológica. Para salvar tal obstáculo, se propone la sustitución de los artículos 13, 14 y 15 por el artículo 9 de la LMFD.
2. Los firmantes y las personas que confían en el sistema
El proyecto regula con carácter reglamentista el proceder de los firmantes, pero es totalmente omiso en lo referente a “las personas que confían en el sistema”; para subsanar esta laguna, se recomienda introducir al proyecto los artículos 8 y 11 de la LMFD.
Los artículos propuestos proporcionan un “código de conducta” mínimo que regula la actuación de estas partes: para el firmante, actuar con una diligencia razonable para evitar la utilización no autorizada del dispositivo de firma electrónica; para el que confía, verificar la fiabilidad de la firma electrónica para poder exigir responsabilidad, etc., etc.
Cabe destacar que los artículos propuestos de la LMFD no regulan con el “detalle” necesario cuestiones de responsabilidad que pueda corresponder a cada una de las partes que operan con los sistemas de creación de firmas electrónicas; este tema queda al margen del proyecto y de la LMFD, por lo que sería recomendable su regulación por medio de una reforma a la ley existente, o bien, con una norma específica.
Finalmente, es necesario hacer hincapié en que si bien la LMFD del CNUDMI constituye una norma independiente y autosuficiente, a su vez forma parte de un proceso más amplio que permite la creación de un nuevo marco jurídico para que cada país habilite el comercio electrónico, haga más viable la nueva economía digital y abra las puertas de la sociedad informática y del conocimiento, a la sociedad mundial.
Junto a la LMFD, existen otras leyes modelo y de usos uniformes, cuyo fin esotorgar integridad y contenido al nuevo marco jurídico virtual nacional y mundial. Esta norma modelo de carácter universal se complementa con otras como su pariente lejano, la Ley Modelo de la CNUDMI sobre Comercio Electrónico (1996 y 1998), la Ley Modelo de la CNUDMI sobre Transferencia Electrónica de Créditos (1992) y las guías para integración de legislación sobre Transferencia Electrónica de Fondos (1987). Este esquema total fue concebido para ser utilizado como un marco normativo mínimo en un entorno “abierto” (entorno en el que las partes negocien por vía electrónica sin acuerdo previo) y como disposiciones contractuales modelo o reglas de derecho supletorio en un entorno “cerrado” ( un entorno en el que las partes estén obligadas por reglas contractuales y procedimientos previamente estipulados que habrán de ser respetados al negociar por vía electrónica).
La finalidad de las leyes modelo pretende ofrecer al legislador nacional un conjunto de reglas aceptables internacionalmente, que le faculten para eliminar esos obstáculos jurídicos y crear un marco jurídico que habilite un desarrollo más seguro de ese fenómeno llamado “comercio electrónico”. Tales leyes surgen como un régimen aplicable a las inadecuadas y anticuadas disposiciones sobre comunicación y preservación de información, en la mayoría normas que no habían contemplado ni podrían haber previsto un régimen de modalidades propias del comercio electrónico.
Si bien unos cuantos países han adoptado reglas especiales para determinados aspectos del comercio electrónico, la ausencia de un régimen general del comercio electrónico se percibe en todas partes. De ello resulta la incertidumbre de la naturaleza jurídica y la validez de la información presentada en otra forma que no sea la de un documento tradicional sobre papel.
“La necesidad de un marco legal seguro y de prácticas eficientes, se hace sentir no sólo en aquellos países en los que se está difundiendo el empleo del EDI y del correo electrónico, sino también en otros muchos países en los que se ha difundido el empleo del fax, el télex y otras técnicas de comunicación parecidas.”
La decisión de emprender la preparación de la Ley Modelo se basa en el reconocimiento de que, en la práctica, la solución de la mayoría de las dificultades jurídicas suscitadas por el empleo de los modernos medios de comunicación, suele buscarse por vía contractual. En el caso de la Ley Modelo de Comercio Electrónico, los principios plasmados en su régimen ayudarán a los legisladores y usuarios del comercio electrónico a encontrar las soluciones contractuales requeridas para superar ciertos obstáculos jurídicos que dificulten ese empleo cada vez mayor del comercio electrónico.
Un punto muy importante de las leyes modelo es que estas deberían permitir a los Estados adaptar su ley en función de los avances técnicos de las comunicaciones aplicables al derecho mercantil, sin necesidad de eliminar por completo el requisito de un escrito ni de trastocar los conceptos y planteamientos jurídicos en los que se basa tal requisito.
Es preciso indicar la necesidad de introducir en Costa Rica estas leyes modelo, no planteamientos localistas que terminan siendo pobres imitaciones, confusos, reglamentistas e inconsultos, cuyo único mérito constituye la creación de inseguridad, dudas y discusiones innecesarias en una materia tan importante para el futuro de nuestra nación. Conviene utilizar estas herramientas de carácter universal que se le han dado al legislador nacional por entidades internacionales que llevan años perfeccionándolas hacia normas de carácter y aceptación universal y altamente adaptables a la legislación nacional. Estas normas deberán ser aprobadas por consenso nacional, que sólo se logrará convocando a las fuerzas nacionales a participar en la nacionalización de esta ley modelo y que todos los costarricense crean en ella.
Solo de esta manera, aprobando este tipo de leyes, se podrá iniciar el proceso de legitimación del comercio electrónico; solo así se enmarcará el ambiente para la economía digital y finalmente se abrirán las puertas para la Sociedad de la Información y del Conocimiento.
No cabe duda de que la mera presentación de este proyecto a la corriente legislativa constituye un gran paso para el futuro de Costa Rica y un hito en los inicios de la reciente historia virtual de nuestra Nación. Es inminente hacer una reforma total del proyecto para eliminar absolutamente el concepto de firma digital avanzada; quizás lo más sano para el país sería sustituir el texto del proyecto por la LMFD de la CNUDMI, poner el proyecto a discusión pública vía un RFC y convocar a todos los sectores a participar. Una vez integradas todas las opiniones al texto, debería elaborarse un Libro Blanco (de acuerdo nacional) sobre las Firmas Digitales, que debería ser el texto que se lleve a discusión en la Comisión Especial de Propiedad Intelectual. Solo de esta manera se logrará el consenso requerido para que esta ley sea aprobada por una mayoría absoluta.
Volver
al Inicio del documento
Índice
Ir
arriba 
 
Nota
Importante de Navegación Documental: |