El Boletín Oficial del Estado publicó el 14 de mayo pasado la Orden ETD/465/2021, de 6 de mayo (LA LEY 10778/2021), que establece un sistema de identificación remota por vídeo mediante el que se puedan obtener los certificados cualificados necesarios para realizar trámites electrónicos con las Administraciones Públicas, como Hacienda, Tráfico o la Seguridad Social.
La norma pretende regular las condiciones y requisitos técnicos mínimos aplicables a la verificación de la identidad del solicitante de un certificado cualificado mediante métodos de identificación remota por vídeo de acuerdo con lo previsto en el artículo 7.2 de la Ley 6/2020, de 11 de noviembre (LA LEY 21517/2020), reguladora de determinados aspectos de los servicios electrónicos de confianza y en el artículo 24.1.d) del Reglamento (UE) 910/2014, de 23 de julio de 2014 (LA LEY 13356/2014), relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior.
La orden se aplicará a los prestadores cualificados públicos y privados de servicios electrónicos de confianza establecidos en España, así como a los prestadores cualificados residentes o domiciliados en otro Estado miembro que tengan un establecimiento permanente situado en España, siempre que ofrezcan servicios no supervisados por la autoridad competente de otro Estado miembro de la Unión Europea.
La ejecución de los procedimientos de identificación remota por vídeo podrá ser externalizada, manteniendo el prestador que expide el certificado cualificado la plena responsabilidad en relación con la aplicación de esta orden.
Alter ego
digital de la persona
El texto constata la necesidad manifestada por los prestadores de servicios electrónicos de confianza de dotar al ordenamiento español de una norma específica que les permita identificar de forma remota por vídeo a los solicitantes de certificados cualificados. Las medidas que deberán implantar los prestadores deben ser proporcionales a los riesgos y adecuadas a la naturaleza de estos servicios, pilares de la construcción de otros servicios digitales de valor añadido. La Orden recuerda que se han de tener en consideración las necesidades procedimentales y de seguridad específicas de la expedición de certificados cualificados de utilización universal y que constituyen un auténtico alter ego digital de la persona.
Verificación de la identidad del solicitante y del documento de identidad
La orden especifica el procedimiento que debe seguirse para la identificación remota por vídeo de un solicitante, así como los requisitos y las acciones mínimas que deben llevar a cabo los prestadores para detectar los intentos de suplantación de identidad o posibles manipulaciones de las imágenes o los datos del documento de identidad.
Entre otras medidas, se exige verificar la autenticidad y validez del documento de identidad, así como su correspondencia con el solicitante del certificado. Para ello, el sistema de identificación remota por vídeo empleado en el proceso deberá incorporar los medios técnicos y organizativos necesarios para verificar la autenticidad, vigencia e integridad de los documentos de identificación utilizados, verificar la correspondencia del titular del documento con el solicitante que realiza el proceso mediante tecnologías como el reconocimiento facial, y verificar que este es una persona viva que no está siendo suplantada.
La identidad del solicitante se acreditará mediante los documentos de identidad previstos en la ley 6/2020, de 11 de noviembre (LA LEY 21517/2020). Los documentos de identidad utilizados deberán incluir una fotografía y disponer de características de seguridad automáticamente comprobables en el proceso de identificación remota por vídeo de forma que se garantice la detección de falsificaciones y manipulaciones.
Asimismo se exige que el personal encargado de la verificación de la identidad del solicitante verifique la exactitud de los datos del solicitante, utilizando las capturas del documento de identidad utilizado en el proceso, además de cualquier otro medio automático que pudiera ser implementado en los sistemas de identificación remota por vídeo. A tal fin, se contempla la puesta a disposición de los prestadores del acceso a la plataforma de intermediación del Servicio de Verificación y Consulta de Datos, como medio de contrastar los datos de identidad de los solicitantes con una fuente auténtica.
Requisitos de la grabación y de conservación de pruebas
La Orden establece que el vídeo realizado se grabará íntegramente y sin interrupciones y que se constatará de manera fehaciente la fecha y hora de la grabación mediante el uso de un sello cualificado de tiempo.
Habrá de conservarse una copia de la grabación del vídeo durante un periodo mínimo de quince años desde la extinción de la vigencia del certificado obtenido por este medio. Se conservarán igualmente durante ese mismo periodo, fotos o capturas de pantalla del solicitante y del documento de identidad utilizado, en las que serán claramente reconocibles tanto la persona como el anverso y el reverso del documento de identidad, así como el resultado automático de la verificación realizada por la aplicación y la evaluación y observaciones realizadas por el operador junto a su decisión de aprobación o rechazo de la identificación.
Invalidez del proceso de identificación
Dispone la orden que el proceso de identificación se interrumpirá o no se considerará válido cuando existan indicios de falsedad, manipulación o falta de validez del documento de identificación; cuando existan indicios de falta de correspondencia entre el titular del documento y el solicitante; cuando la calidad de la imagen o el sonido impidan o dificulten verificar la autenticidad e integridad del documento de identificación y la correspondencia entre el titular del documento y el solicitante; cuando las condiciones, seguridad o la calidad de la comunicación impidan o dificulten completar el proceso con la fiabilidad adecuada; cuando existan indicios de uso de archivos pregrabados o de que para la transmisión de vídeo no se ha utilizado un único dispositivo, o bien de que la transmisión de vídeo no se ha realizado en tiempo real o de que el proceso no se ha realizado en unidad de acto; tampoco cuando existan indicios de que el solicitante está siendo coaccionado o intimidado o, finalmente, cuando exista una duda razonable sobre la seguridad del proceso de identificación que se está realizando.
Certificación de la seguridad y protección de datos personales
Con objeto de acreditar el cumplimiento de los requisitos de seguridad exigibles a las herramientas utilizadas en los procesos de identificación remota, los prestadores utilizarán productos cuya funcionalidad de seguridad esté certificada según las metodologías de evaluación reconocidas por el Organismo de Certificación del ENECSTI (Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información).
La orden hace referencia a las guías técnicas elaboradas y actualizadas por el Centro Criptológico Nacional, en relación con las características y requisitos tecnológicos aplicables a los productos y herramientas de identificación remota por vídeo para garantizar un adecuado nivel de seguridad.
El texto deberá aplicarse de manera que se cumplan las obligaciones del Reglamento (UE) 2016/679, de 27 de abril de 2016 (LA LEY 6637/2016), relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales, así como el resto de la normativa sobre protección de datos personales, particularmente la Ley Orgánica 3/2018, de 5 de diciembre (LA LEY 19303/2018), de Protección de Datos Personales y garantía de los derechos digitales.
Evaluación de la conformidad y comprobación de requisitos
La seguridad equivalente en términos de fiabilidad a la presencia física deberá ser confirmada por un organismo de evaluación de la conformidad acreditado, que verificará el cumplimiento de los requisitos legales exigidos. El resultado de la comprobación se reflejará en el informe de evaluación de la conformidad que el prestador cualificado remitirá al órgano de supervisión con carácter previo al ofrecimiento al público de la posibilidad de identificarse de manera remota.
Entrada en vigor
La Orden ETD/465/2021, de 6 de mayo (LA LEY 10778/2021), entró en vigor el 15 de mayo de 2021, al día siguiente de su publicación en el Boletín Oficial del Estado, salvo lo dispuesto en el artículo 6.d) --relativo al empleo de un producto de identificación remota por vídeo que cumpla los requisitos de seguridad de la Guía de Seguridad de las TIC del Centro Criptológico Nacional-- que entrará en vigor el 1 de julio de 2022. Hasta esa fecha el cumplimiento de los requisitos de seguridad se demostrará mediante otras certificaciones, informes o pruebas en laboratorios o entidades especializadas, que se revisarán por un organismo de evaluación de la conformidad.