La carga de verificar la firma electrónica recae sobre la Administración receptora de

documentos firmados

En efecto, la Administración se encuentra sujeta a la verificación de la firma electrónica, y del certificado en que se basa, antes de poder confiar en ella, asumiendo, en el caso de sistemas basados en certificados electrónicos, el rol de tercero de buena fe que confía en certificados126; esto es, el tercero es toda persona, diferente de un suscriptor de certificados expedidos por un prestador de servicios de certificación, que recibe documentos firmados, con los correspondientes certificados, que debe verificar las firmas y los certificados, antes de poder confiar.

126

Esta es la situación, al menos, en el caso de la Administración que admite certificados a los ciudadanos o a otras Administraciones, a diferencia de los certificados corporativos expedidos a sus órganos, cargos y empleados públicos por la propia Administración, donde no podría afirmarse con

No se trata, propiamente, de una obligación legal, dado que ni la LFE ni la LAE o la LUTICAJ la instituyen, sino más bien de una carga del destinatario de firmas electrónicas127, cuya no observancia conlleva aparejada la exoneración de responsabilidad del prestador de servicios de certificación, según dispone el artículo 23.4 de la LFE, que dispone que “el prestador de servicios de certificación tampoco será responsable por los daños y perjuicios ocasionados al firmante o a terceros de buena fe si el destinatario de los documentos firmados electrónicamente actúa de forma negligente.

Se entenderá, en particular, que el destinatario actúa de forma negligente en los siguientes casos:

a) Cuando no compruebe y tenga en cuenta las restricciones que figuren en el certificado electrónico en cuanto a sus posibles usos y al importe individualizado de las transacciones que puedan realizarse con él.

b) Cuando no tenga en cuenta la suspensión o pérdida de vigencia del certificado electrónico publicada en el servicio de consulta sobre la vigencia de los certificados o cuando no verifique la firma electrónica”.

Como se puede ver, dos son los contenidos mínimos de la diligencia que deberá observar la Administración cuando actúe como tercero de buena fe: la aplicación de los límites materiales y cuantitativos de uso del certificado, y la comprobación del estado del certificado, para determinar si el mismo se encontraba vigente en el momento de la firma electrónica; sin perjuicio de otros elementos de diligencia no determinado en el texto legal.

Como veremos al referirnos a los dispositivos de verificación de firma128, el artículo 25.3 de la LFE determina que el procedimiento de verificación debe garantizar,

tanta facilidad su condición de tercero.

127

VALERO TORRIJOS, 2008: p. 47, ha notado que de la no verificación de la firma electrónica no se desprendería, en puridad, la invalidez del documento, situando el problema en el plano de la eficacia, postura que, en nuestra opinión, es absolutamente correcta.

128

siempre que sea técnicamente posible, los siguientes aspectos129:

- Los datos utilizados para verificar la firma deben corresponder con los datos mostrados a la persona que verifica la firma.

- La firma se debe verificar con fiabilidad y el resultado de la verificación se debe presentar correctamente.

- La persona que verifica la firma electrónica debe poder, si es necesario, establecer con fiabilidad el contenido de los datos firmados y detectar si han sido modificados.

- Se deben mostrar correctamente tanto la identificación del firmante o, en su caso, constar claramente la utilización de un seudónimo, como el resultado de la verificación130.

- Se deben verificar de manera fiable la autenticidad y la validez del certificado electrónico correspondiente.

- Se debe poder detectar cualquier cambio relativo a su seguridad131.

Como tendremos ocasión de estudiar infra132 con detalle, la política de firma electrónica y de certificados de la Administración establece, en gran medida, los contenidos del procedimiento de verificación de firma electrónica, condicionando incluso la actuación del suscriptor del certificado cuando procede a la creación de la firma electrónica.

Por ello, resta sólo por decir, en este momento, que a nuestro juicio se trata de un acto

129

Resulta criticable, en nuestra opinión, que el texto legal parezca considerar que siempre será una persona física quien proceda a la verificación manual de la firma electrónica, en particular por la posibilidad de realizar esta actuación de forma automatizada.

130

Requisito que es redundante con el segundo requisito del artículo 25.3 de la LFE.

131 _{Es de suponer que hace referencia a la firma electrónica verificada.} 132

administrativo automatizable133, y precisamente en atención a la existencia de una política de firma dictada al amparo de la regulación vigente se puede evaluar el cumplimiento de las condiciones de adecuada programación que, al efecto, exige el artículo 39 de la LAE.

2.3.2 ¿Está obligada la Administración a cumplir

las condiciones generales de verificación

predispuestas por los prestadores de

servicios de certificación?

Pese a la existencia del artículo 25.3 de la LFE al que nos acabamos de referir, el procedimiento de verificación de firma electrónica – y del resto de los elementos que le dan soporte, como los certificados – es uno de los más descuidados en la regulación, por lo que se ha podido observar el intento de determinar convencionalmente el modelo de verificación, la diligencia exigible y los efectos de la verificación, en otra muestra del fenómeno de la autorregulación.

En efecto, y sobre todo desde la perspectiva de los prestadores de servicios de certificación, se pretende regular la verificación de firmas y certificados mediante las condiciones generales de uso de los certificados, que contienen una descripción pormenorizada de los requisitos y de la ejecución del procedimiento y, supuestamente, obligan a los terceros que confían en certificados: ¿cabe entender a la Administración sujeta a estas condiciones?

Por ejemplo, las condiciones generales de uso de los certificados idCAT134 emitidos por la Agencia Catalana de Certificación determinan los requisitos siguientes y la verificación correspondiente, que deben cumplir cualesquiera personas que hagan uso

133

Quizá no resulte aventurado decir que la verificación de la firma electrónica es el acto administrativo automatizado más extendido en la práctica, si bien no se percibe como un acto diferente del trámite de “registrar de entrada”, igualmente automatizable.

134

Las citadas condiciones generales de uso se incorporan por referencia a los certificados, en un campo concreto del certificado, que apunta a la dirección de la página web del prestador de servicios, en la cual se publica el texto de las mismas.

de los citados certificados: "Para confiar en un mensaje o documento, el verificador debe validar dos firmas:

- En primer lugar, debe verificar la firma electrónica del mensaje o documento. Esta comprobación es imprescindible para determinar que fue generada por el suscriptor, utilizando la clave privada correspondiente a la clave pública contenida en el certificado idCAT, y para garantizar que el mensaje o documento firmado no fue modificado desde la generación de la firma electrónica.

- En segundo lugar, debe verificar la firma electrónica del certificado idCAT del suscriptor. Esta comprobación es imprescindible para determinar que la clave pública contenida en el certificado idCAT corresponde al suscriptor.

La comprobación será ejecutada normalmente de manera automática por el software del verificador y, en todo caso, debe serlo de acuerdo con la declaración de prácticas de certificación, con los siguientes requisitos:

- Hay que utilizar el software apropiado para la verificación de una firma digital con los algoritmos y longitudes de claves autorizados en el certificado y/o ejecutar cualquier otra operación criptográfica, y establecer la cadena de certificados en que se basa la firma electrónica a verificar, ya que para verificarla se utiliza esta cadena de certificados.

- Hay que asegurar que la cadena de certificados empieza con la entidad de certificación EC-ACC, que es la más adecuada para la firma electrónica del certificado idCAT que se verifica, ya que una firma electrónica puede basarse en más de una cadena de certificados, y es decisión del verificador asegurarse de utilizar la cadena más conveniente para verificarla.

- Hay que comprobar el estado de revocación de los certificados de la cadena con la información suministrada en el Registro de certificación de CATCert (con LRCs, por ejemplo) para determinar la validez de todos los certificados de la cadena de certificados, ya que sólo puede considerarse correctamente

verificada una firma electrónica si todos y cada uno de los certificados de la cadena son correctos y se encuentran vigentes.

- Hay que verificar técnicamente la firma de todos los certificados de la cadena antes de confiar en el certificado utilizado por el firmante.

- Hay que determinar la fecha y hora de generación de la firma electrónica, ya que la firma electrónica sólo puede considerarse correctamente verificada si se creó dentro del período de vigencia de la cadena de certificados en que se basa. - Hay que delimitar los datos firmados digitalmente que se utilizarán en la

validación de la firma.

- Finalmente, hay que verificar técnicamente la propia firma con el certificado del firmante avalado por la cadena de certificados".

En primer lugar, hay que indicar que la doctrina ha criticado la posible consideración de estas condiciones como verdaderas cláusulas contractuales, indicando que los terceros receptores de mensajes firmados no tienen una relación contractual con el prestador de servicios que expidió el certificado.

ORTEGA DÍAZ,2008: pp. 255 y ss., ha indicado que el contrato de certificado digital que regula la relación entre el prestador y el firmante, debe contener necesariamente una estipulación en favor de tercero, en virtud de la cual el prestador deberá conceder acceso a dicho tercero al certificado y a la información de estado de vigencia. De este modo, “el tercero, cuando acude al prestador de servicios de certificación para obtener la copia del certificado y la de su clave pública asociada – con el fin de verificar tanto la firma como el estado de vigencia del certificado electrónico –, está exigiendo al certificador el cumplimiento del derecho de crédito que a su favor se deriva del contrato de certificación. Vemos, así, cómo entre las partes contractuales – certificador y usuario (suscriptor) – existe una relación contractual y entre una de las partes, el certificador, y el tercero, una relación obligatoria”, de la que el autor citado deduce la posibilidad de que el tercero usuario de certificados pueda exigir

responsabilidad contractual al prestador que le cause un daño135.

Aun adoptando esta posición, lo cierto es que el prestador de servicios de certificación, como hemos visto, se puede exonerar de responsabilidad “si el destinatario de los documentos firmados electrónicamente actúa de forma negligente”, y hemos confirmado que el tercero receptor de documentos firmados, en este caso la Administración, aun no siendo parte de un contrato con el prestador, tiene una relación obligacional con el prestador, pudiendo entenderse legítimo que la misma sea modulada por el contrato entre el suscriptor del certificado y el prestador.

Esto es, si en el contrato entre el prestador del servicio y el ciudadano (suscriptor del certificado) las partes pactan las condiciones que deberán cumplir los terceros receptores de los documentos firmados para que su confianza en la firma electrónica sea aceptable, no parece que resulte objetable trasladar estas condiciones a los terceros136, por vía de estas condiciones generales de uso de certificados o empleando la Declaración de Prácticas de Certificación.

Refuerza este argumento que el articulo 18.b) de la LFE obligue a todo prestador de servicios de certificación a informar a los solicitantes de certificados de una serie de aspectos relevantes, incluyendo los posibles dispositivos de verificación de firma compatibles, los mecanismos para garantizar la fiabilidad de la firma electrónica de un documento a lo largo del tiempo o las condiciones precisas de utilización del certificado, sus posibles límites de uso y la forma en que el prestador garantiza su responsabilidad patrimonial; indicándose que “la información citada anteriormente que sea relevante para terceros afectados por los certificados deberá estar disponible a instancia de éstos”, lo cual implica que deberán ser mínimamente diligentes en el uso del certificado.

135

ORTEGA DÍAZ, 2008: p. 345. Nótese que se diferencia a estos terceros verificadores de otros terceros “puros”, que en caso de sufrir daños por la actividad del prestador podrán acudir a la vía de la responsabilidad extracontractual. Cfr. en el mismo sentido, PÉREZ PEREIRA, 2009: p. 204.

136

Caso discutible sería la aparición, en dichas condiciones generales, de exoneraciones totales de responsabilidad, o de obligaciones desproporcionadas para el tercero, o de imposible cumplimiento, que entendemos afectarían al objeto esencial del contrato de certificación.

Por lo cual cabe entender que, con carácter general, la Administración deberá cumplir con la diligencia prevista en dichas condiciones generales, o asumir el riesgo de asumir la exoneración de responsabilidad del prestador, por su actuación negligente.

En el procedimiento de verificación de firma electrónica que estamos analizando tiene un papel protagonista indudable la política de firma electrónica, dado que, en gran medida, determina precisamente las reglas que aplica la Administración en la