CNUDMI - A-CN.9-WG.IV-WP.154

Naciones Unidas A/CN.9/WG.IV/WP.154

Asamblea General

Distr. limitada 12 de septiembre de 2018

Español Original: inglés

V.18 -05929 (S) 111018 111018 1805929

Comisión de las Naciones Unidas para el Derecho Mercantil Internacional Grupo de Trabajo IV (Comercio Electrónico) 57º período de sesiones Viena, 19 a 23 de noviembre de 2018

Cuestiones jurídicas relacionadas con la gestión de la identidad y los servicios de confianza

Nota de la Secretaría

Índice Página

I. Introducción ................................ ............................... 2

II. Cuestiones de interés para la labor futura sobre los aspectos jurídicos de la gestión de la identidad y los servicios de confianza ................................ .......... 2

A. Certificación de los proveedores de gestión de la identidad y los proveedores de servicios de confianza ................................ ................... 2

B. Niveles de seguridad ................................ .................... 3

C. Responsabilidad ................................ ........................ 4

D. Mecanismos de cooperación institucional ................................ ... 7

E. Transparencia ................................ .......................... 7

F. Conservación de los datos ................................ ................ 9

G. Supervisión de los proveedores de servicios ................................ . 9

H. Cuestiones relacionadas específicamente con los servicios de confianza .......... 10A/CN.9/WG.IV/WP.154

V.18-05929 2/11

I. Introducción

1. En la presente nota se exponen determinados aspectos de algunos de los temas que

V.18-05929 2/11

I. Introducción

1. En la presente nota se exponen determinados aspectos de algunos de los temas que el Grupo de Trabajo consideró pertinentes para su examen de las cuestiones jurídicas relacionadas con la gestión de la identidad y los servicios de confianza ( A/CN.9/936 , párr. 58) a fin de facilitar la continuación de los debates. El propósito de esta nota es, en particular, poner de relieve las cuestiones fundamentales que se plantean y sugerir posible s soluciones, sin restringir la posibilidad de que se analicen otros temas o de que algunos temas se examinen en forma conjunta, según proceda. En el documento A/CN.9/WG.IV/WP.153 se describen alguno s aspectos de otros temas que el Grupo de Trabajo consideró pertinentes para su examen de las cuestiones jurídicas relacionadas con la gestión de la identidad y los servicios de confianza.

2. En el documento A/CN.9/WG.IV/WP.152 , párrafos 6 a 17, se proporciona información sobre los antecedentes de la labor del Grupo de Trabajo en lo que respecta a las cuestiones jurídicas relacionadas con la gestión de la identidad y los servicios de confianza. En el documento A/CN.9/WG.IV/WP.152 , párrafo 18, figura una lista de otros documentos pertinentes.

II. Cuestiones de interés para la labor futura sobre los aspectos jurídicos de la gestión de la identidad y los servicios de confianza

A. Certificación de los proveedores de gestión de la identidad y los proveedores de servicios de confianza

3. La certificación, incluida la autocertificación, así como la acreditación y las

confianza

A. Certificación de los proveedores de gestión de la identidad y los proveedores de servicios de confianza

3. La certificación, incluida la autocertificación, así como la acreditación y las auditorías independie ntes pueden contribuir considerablemente a fomentar la confianza en los proveedores de gestión de la identidad y los proveedores de servicios de confianza. La decisión sobre la forma más apropiada de certificación puede depender del tipo de servicio de que se trate, su costo y el nivel de seguridad deseado.

4. El reglamento eIDAS prevé un sistema global de supervisión y certificación de los servicios de confianza. Su artículo 17 dispone que los Estados miembros designarán un organismo que se encargará de s upervisar periódicamente a los prestadores cualificados de servicios de confianza y de adoptar otras medidas, en caso necesario, en relación con otros prestadores de servicios de confianza. En el artículo 17, párrafo 4, se enumeran las funciones concretas que ha de desempeñar el organismo de supervisión.

5. Cabe señalar que, de conformidad con el reglamento eIDAS, para considerar cualificado a un prestador de servicios de confianza es necesario que exista un organismo de supervisión. En particular, conform e al artículo 20, los prestadores cualificados de servicios de confianza deben ser auditados al menos cada 24 meses por un organismo de evaluación de la conformidad, y el consiguiente informe de evaluación de la conformidad debe enviarse al organismo de su pervisión. Cuando el organismo de supervisión requiera a un prestador de servicios de confianza que corrija su incumplimiento y el prestador no actúe en consecuencia, el organismo de supervisión podrá retirar la cualificación al prestador o al servicio que este presta.

supervisión requiera a un prestador de servicios de confianza que corrija su incumplimiento y el prestador no actúe en consecuencia, el organismo de supervisión podrá retirar la cualificación al prestador o al servicio que este presta.

6. A su vez, en el marco del reglamento eIDAS, solo los prestadores cualificados de servicios de confianza pueden ofrecer servicios de confianza cualificados que entrañen determinados efectos jurídicos, como las presunciones. Por ejemplo, co nforme al artículo 25, párrafo 2, una firma electrónica cualificada tendrá un efecto jurídico equivalente al de una firma manuscrita. En resumen, la existencia del organismo de supervisión hace posible la prestación de servicios de confianza cualificados q ue entrañen efectos jurídicos.

7. Con respecto a los servicios de confianza, en el artículo 10, apartados e) y f), de la Ley Modelo sobre Firmas Electrónicas (LMFE) se hace referencia a la existencia de acreditación, auditorías y autocertificación como un elemento que podría tenerse enA/CN.9/WG.IV/WP.154

3/11 V.18-05929

cuenta para determinar si los sistemas utilizados por un prestador de servicios de certificación son fiables. Por tanto, según ese enfoque, la existencia de un órgano de supervisión y de sistemas de acreditación es opcional y la apreciación de su existencia, discrecional.

8. En los modelos de reconocimiento jurídico recíproco que utilizan listas de confianza (véase A/CN.9/WG.IV/WP.153 , párrs. 61 a 73 y 76 a 79), la cert ificación

(incluida la autocertificación) es un elemento necesario para evaluar los sistemas de

confianza (véase A/CN.9/WG.IV/WP.153 , párrs. 61 a 73 y 76 a 79), la cert ificación (incluida la autocertificación) es un elemento necesario para evaluar los sistemas de gestión de la identidad utilizando normas basadas en los resultados. Podría ser necesario establecer un conjunto predefinido de perfiles que hayan de utilizarse para la evaluación.

9. El Grupo de Trabajo tal vez desee sopesar si la existencia de la certificación, incluida la autocertificación, de la acreditación y de las auditorías independientes debería estar vinculada a determinados efectos jurídicos, y, en ca so afirmativo, a qué efectos, o si más bien debería incluirse entre los elementos que podrían ser pertinentes para evaluar la fiabilidad o alguna otra cualidad de los proveedores de gestión de la identidad y de servicios de confianza. En sus deliberaciones , el Grupo de Trabajo tal vez desee también indicar si el uso de la certificación, incluida la autocertificación, y de la acreditación y las auditorías independientes debería ser obligatorio u opcional.

B. Niveles de seguridad

1. Gestión de la identidad

10. El nivel de seguridad es una medida de la fiabilidad de una aseveración de identidad que se basa en los procesos utilizados. Existen diferentes definiciones del concepto de niveles de seguridad, utilizadas por distintas entidades públicas y privadas.

Su formulación se actualiza periódicamente a medida que evolucionan la tecnología y los procesos institucionales. Habida cuenta de la adopción del principio de neutralidad tecnológica, solo se toman en consideración los niveles de seguridad defin idos de manera tecnológicamente neutra.

11. El Instituto Nacional de Normas y Tecnología (NIST) de los Estados Unidos de

tecnológica, solo se toman en consideración los niveles de seguridad defin idos de manera tecnológicamente neutra.

11. El Instituto Nacional de Normas y Tecnología (NIST) de los Estados Unidos de América ha definido tres niveles diferentes de seguridad relacionados con la identidad: el nivel relativo a la identidad (“IAL”), el relativo al autenticador (“AAL”) y el relativo a la federación (“FAL”) 1 . El primer nivel mencionado se refiere al proceso de comprobación de identidad, el segundo, al proceso de autenticación, y el tercero, al protocolo de aseveración utilizado en un entorn o federado para comunicar información sobre la autenticación y los atributos (si procede) a una parte que confía.

12. Más precisamente, el nivel IAL tiene que ver con la solidez del proceso de comprobación de identidad para determinar con certeza la identi dad de una persona; el AAL se refiere a la solidez del proceso de autenticación en sí y a los vínculos entre el autenticador y el identificador de una persona concreta; y el FAL se refiere a la solidez del protocolo de aseveración que utiliza la federación para comunicar información sobre la autenticación y los atributos a una parte que confía, si se utiliza una estructura de identidad federada 2.

13. Cada nivel de seguridad relacionado con la identidad tiene sus propios grados de solidez en función de dete rminados requisitos. Por ejemplo, en el grado IAL1, los atributos, si los hubiere, los asevera la propia entidad o debería darse por supuesto que los asevera la propia entidad. En el IAL2, se requiere comprobar la identidad, ya sea en persona o a distancia . Además, en relación con ese grado se exige que los atributos de

los asevera la propia entidad. En el IAL2, se requiere comprobar la identidad, ya sea en persona o a distancia . Además, en relación con ese grado se exige que los atributos de identificación hayan sido verificados en persona o a distancia utilizando, como mínimo, unos procedimientos establecidos. En el grado IAL3 se requiere la comprobación de identidad en persona y la verificación de los atributos de identificación por un __________________ 1 NIST, Special Publication 800 -63-3, Digital Identity Guidelines , junio de 2017, sección 2. Se puede consultar en https://doi.org/10.6028/NIST.SP.800 -63-3. 2 NIST, Digital Identity Guidelines , cit., sección 5.2.A/CN.9/WG.IV/WP.154

V.18-05929 4/11

representante autorizado del prestador de servicios de certificación mediante el examen de la documentación física de conformidad con unos procedimientos establecidos.

14. En el artículo 8 del r eglamento eIDAS se establecen tres niveles de seguridad para la gestión de la identidad: bajo, sustancial y alto, así como los criterios correspondientes a cada nivel. En particular, el nivel de seguridad bajo refleja un grado limitado de confianza en la i dentidad pretendida o declarada de una persona; el nivel de seguridad sustancial corresponde a un grado sustancial de confianza en la identidad pretendida o declarada de una persona; y el nivel de seguridad alto se refiere a un grado de confianza en la ide ntidad pretendida o declarada de una persona superior al que correspondería al nivel sustancial.

15. En un acto de ejecución del reglamento eIDAS 3 se establecen las especificaciones y procedimientos técnicos mínimos que se utilizarán para determinar la fia bilidad y la

nivel sustancial.

15. En un acto de ejecución del reglamento eIDAS 3 se establecen las especificaciones y procedimientos técnicos mínimos que se utilizarán para determinar la fia bilidad y la calidad de la inscripción, la gestión de los medios de identificación electrónica, la autenticación y la gestión y organización de los proveedores que presten un servicio relacionado con la gestión de la identidad en un contexto transfronteriz o. Esas especificaciones y procedimientos técnicos se describen de una forma tecnológicamente neutra.

16. A la luz de lo que antecede, el Grupo de Trabajo tal vez desee estudiar si el concepto de niveles de seguridad debería utilizarse para cumplir requis itos legales o determinar efectos jurídicos. De ser así, tal vez desee también examinar, en particular, la relación entre los niveles de seguridad, por un lado, y los requisitos y mecanismos de reconocimiento jurídico, por el otro. El Grupo de Trabajo quiz ás podría deliberar también sobre si debería examinar las características de los niveles de seguridad, y, en caso afirmativo, cuál debería ser el alcance de ese examen.

2. Servicios de confianza

17. Una cuestión fundamental en relación con los servicios de confianza es si debería aplicarse también a ellos el concepto de niveles de seguridad. Varias leyes nacionales sobre las firmas electrónicas reconocen dos niveles de firmas electrónicas. El primero abarca todas las formas de firma electrónica. El segun do asocia determinadas consecuencias jurídicas, como la presunción de origen e integridad, a las firmas electrónicas que satisfagan ciertos requisitos. Esto puede interpretarse en el sentido de que se introducen distintos niveles de seguridad con respecto a las firmas electrónicas.

consecuencias jurídicas, como la presunción de origen e integridad, a las firmas electrónicas que satisfagan ciertos requisitos. Esto puede interpretarse en el sentido de que se introducen distintos niveles de seguridad con respecto a las firmas electrónicas.

18. En lo que respecta a los servicios de confianza, el artículo 24, párrafo 1, del reglamento eIDAS ofrece un ejemplo de utilización de los niveles de seguridad en el contexto del cumplimiento de un requisito de identificación p ara la expedición de un certificado cualificado. Concretamente, para satisfacer el requisito de que el prestador cualificado de servicios de confianza verifique la identidad de la persona a la que se expida un certificado cualificado, el reglamento eIDAS p ermite que dicha verificación se haga a distancia utilizando medios de identificación electrónica que cumplan los requisitos establecidos con respecto a los niveles de seguridad “sustancial ” o “alto ”.

19. El Grupo de Trabajo tal vez desee examinar si el co ncepto de niveles de seguridad debería aplicarse a los servicios de confianza y, en caso afirmativo, de qué manera.

C. Responsabilidad

20. El régimen de responsabilidad aplicable puede tener repercusiones importantes en la promoción de la utilización de servicios de gestión de la identidad y servicios de confianza para fines comerciales y no comerciales. En ese sentido, cabe señalar que, si bien en los casos de identificación indebida en las operaciones comerciales se suele disponer de recursos legales , los casos de atribución indebida de la identidad básica en __________________ 3 Reglamento de Ejecución (UE) 2015/1502 de la Comisión, de 8 de septiembre de 2015, sobre la fijación de especificaciones y procedimientos técnicos mínimos para los niveles de seguridad de

__________________ 3 Reglamento de Ejecución (UE) 2015/1502 de la Comisión, de 8 de septiembre de 2015, sobre la fijación de especificaciones y procedimientos técnicos mínimos para los niveles de seguridad de medios de identificación electrónica.A/CN.9/WG.IV/WP.154

5/11 V.18-05929

documentos en papel pueden no dar lugar a responsabilidad si la legislación nacional no hace responsables de ese servicio a las entidades públicas.

21. El Grupo de Trabajo ya ha identificado alg unas cuestiones pertinentes para sus deliberaciones sobre la responsabilidad de participantes en la gestión de la identidad y los servicios de confianza, a saber: qué entidades deberían ser responsables (los emisores, los proveedores, otras partes), tenien do en cuenta los regímenes de responsabilidad especiales aplicables a las entidades públicas; la posibilidad de limitar la responsabilidad de las partes que cumplieran unos requisitos previamente determinados; mecanismos legales que permitieran limitar la responsabilidad, por ejemplo, mediante la exención de responsabilidad o la inversión de la carga de la prueba; y las limitaciones contractuales de la responsabilidad ( A/CN.9/936 , párr. 85).

22. En algunos ca sos, podría no ser fácil determinar cuál es la entidad responsable, por ejemplo, cuando se trata de datos sobre atributos en los que se confía proporcionados por un servicio de confianza, cuando se emplea la tecnología de registro descentralizado para el e stampado de fecha y hora ( A/CN.9/936 , párr. 86). En otros casos, podría utilizarse un mecanismo basado en seguros para las operaciones comerciales, en virtud del cual la utilización indebida del sistema de id entificación electrónica o el servicio de confianza podría dar lugar a una indemnización por parte del asegurador. Otro

utilizarse un mecanismo basado en seguros para las operaciones comerciales, en virtud del cual la utilización indebida del sistema de id entificación electrónica o el servicio de confianza podría dar lugar a una indemnización por parte del asegurador. Otro mecanismo prevé la aplicación automática de una cláusula de indemnización fijada convencionalmente o de una cláusula penal de cuantía fi ja si se cu mplen determinadas condiciones.

1. Gestión de la identidad

23. El artículo 9 del reglamento eIDAS dispone que, en el momento de efectuar la notificación de un sistema de gestión de la identidad, se transmita información sobre el régimen de responsabilidades aplicable a la parte que expida los medios de identificación electrónica y la parte que utilice el procedimiento de autenticación.

24. El artículo 11 del reglamento eIDAS dispone que el Estado miembro que efectúa la notificación será resp onsable de los perjuicios causados en caso de incumplimiento de sus obligaciones de garantizar que los datos de identificación de la persona que representan en exclusiva a la persona en cuestión se atribuyen a la persona adecuada, y garantizar la disponibi lidad de la autenticación en línea de la información utilizada para confirmar los datos de identificación de la persona. También dispone que la parte que expida los medios de identificación electrónica será responsable de los perjuicios causados en caso de incumplimiento de la obligación de garantizar que los medios de identificación electrónica se atribuyan a la persona representada en exclusiva por los datos de identificación. Por último, el artículo dispone que la parte que realice el procedimiento de au tenticación será responsable en caso de incumplimiento de la obligación de garantizar el correcto funcionamiento del procedimiento de autenticación en línea utilizado para confirmar los datos de identificación de la persona.

procedimiento de au tenticación será responsable en caso de incumplimiento de la obligación de garantizar el correcto funcionamiento del procedimiento de autenticación en línea utilizado para confirmar los datos de identificación de la persona.

25. El artículo 11 del reglamen to eIDAS se aplica únicamente a las operaciones transfronterizas, y siempre y cuando el incumplimiento sea deliberado o por negligencia. Se aplica en consonancia con las normas nacionales en lo que respecta a cuestiones como la definición de daños y perjui cios y la asignación de la carga de la prueba, y sin perjuicio de la responsabilidad adicional derivada de las normas nacionales de las partes que participen en las operaciones en que se utilicen los sistemas de gestión de la identidad.

26. En resumen, el reglamento eIDAS asigna responsabilidad a los participantes en el sistema de gestión de la identidad si estos incumplen determinadas obligaciones citadas, si ese incumplimiento es deliberado o por negligencia, siempre y cuando se trate de una operación tra nsfronteriza, y sin perjuicio de la responsabilidad adicional que pueda derivarse en virtud de las normas nacionales.

27. En el artículo 281 de la Ley 2017 -20 de Benin se indica que el operador del sistema de gestión de la identidad será responsable de los perjuicios causados a los usuarios de los sistemas de gestión de la identidad si dichos perjuicios fueran causados de forma deliberada o negligente.A/CN.9/WG.IV/WP.154

V.18-05929 6/11

28. El artículo 1 -552 de la Ley de Gestión de la Identidad Electrónica de Virginia exime de responsabilida d al proveedor de marco de confianza de identidad o proveedor

V.18-05929 6/11

28. El artículo 1 -552 de la Ley de Gestión de la Identidad Electrónica de Virginia exime de responsabilida d al proveedor de marco de confianza de identidad o proveedor de identidad si la credencial de identidad se ha expedido o el atributo de identidad o sello de confianza se han asignado de conformidad con las normas de gestión de la identidad aprobadas por l a Secretaría de Tecnología del Commonwealth de Virginia, las estipulaciones contractuales, y las normas y reglas escritas del marco de confianza de identidad del que sea miembro el proveedor de identidad. De conformidad con el artículo 1 -550, un sello de c onfianza es un sello oficial de lectura mecánica, medio de autenticación, certificación, licencia, o logotipo que el operador de un marco de confianza de identidad puede proporcionar a proveedores de identidad certificados dentro de su marco de confianza p ara indicar que el proveedor de identidad cumple las normas y reglas escritas del marco de confianza de identidad.

29. En resumen, la Ley de Gestión de la Identidad Electrónica de Virginia exime de responsabilidad a los operadores de marcos de confianza d e identidad y los proveedores de identidad que cumplan las normas establecidas por un organismo público, las estipulaciones contractuales y el reglamento de la federación. Se determina si se han cumplido las especificaciones y normas mínimas establecidas p or el Commonwealth de Virginia recurriendo a autoridades de certificación independientes que efectúan exámenes del cumplimiento de objetivos, coherentes y sujetos a inspección, sobre la base de unos criterios de certificación claramente definidos 4. La exen ción no se aplica

Virginia recurriendo a autoridades de certificación independientes que efectúan exámenes del cumplimiento de objetivos, coherentes y sujetos a inspección, sobre la base de unos criterios de certificación claramente definidos 4. La exen ción no se aplica si el operador del marco de confianza de identidad o el proveedor de identidad ha cometido un acto u omisión con negligencia grave o una falta deliberada de conducta.

30. El artículo 1 -555 de la Ley de Gestión de la Identidad Electrónica de Virginia establece que ninguna disposición de dicha ley o acto u omisión de una entidad pública relacionados con la gestión de la identidad ha de interpretarse como una renuncia a la inmunidad soberana de dicha entidad pública.

31. El Grupo de Trabajo podría examinar a qué entidades se debe exigir responsabilidad, en virtud de qué régimen de responsabilidad, y si debería establecerse un régimen especial de responsabilidad para las entidades públicas.

32. Al examinar el régimen de responsabilidad, el Gru po de Trabajo tal vez desee tener en cuenta: a) la posibilidad de limitar la responsabilidad de las partes que cumplan unos requisitos predeterminados, por ejemplo, eximiéndolas o invirtiendo la carga de la prueba; b) si deberían vincularse los distintos n iveles de seguridad con distintos regímenes de responsabilidad; c) la posibilidad de limitar la responsabilidad mediante contrato; y d) si se debería obligar a suministrar metadatos que describan el régimen de responsabilidad, incluidas las limitaciones de l caso.

2. Servicios de confianza

33. El artículo 13 del reglamento eIDAS dispone que los prestadores de servicios de confianza serán responsables de los perjuicios causados de forma deliberada o por

2. Servicios de confianza

33. El artículo 13 del reglamento eIDAS dispone que los prestadores de servicios de confianza serán responsables de los perjuicios causados de forma deliberada o por negligencia a cualquier persona física o jurídica en razón del incumplimiento de las obligaciones establecidas en el reglamento. En otras palabras, a los prestadores de servicios de confianza que cumplen las obligaciones establecidas en el reglamento no se les exige responsabilidad.

34. Además, el artículo 13 introduce una presunción rebatible de intencionalidad o negligencia en el caso de un prestador cualificado de servicios de confianza, mientras que la carga de la prueba de la intencionalidad o la negligencia de un prestador no cualificado de servicios d e confianza corresponderá a la persona que alegue los perjuicios. Esta disposición tiene por objeto fomentar la confianza de los usuarios en los prestadores cualificados, habida cuenta de que, en caso de perjuicios, la presunción facilita la obtención de u na reparación. Por último, en el artículo 13 se reconoce la posibilidad de que los prestadores de servicios de confianza limiten su responsabilidad, __________________ 4 Commonwealth of Virginia Identity Management Standards Advisory Council, Guidance Document 5: Certifi cation of Identity Trust Framework Operators (draft), Section 7: Certification

of Identity Trust Framework Operators.A/CN.9/WG.IV/WP.154

7/11 V.18-05929

siempre que informen con antelación a sus clientes de esas limitaciones y que esas limitaciones sean recono cibles para un tercero.

35. La LMFE contiene disposiciones relativas a la responsabilidad dimanante del proceder del firmante (art. 8), del prestador de servicios de certificación (art. 9) y de la

limitaciones sean recono cibles para un tercero.

35. La LMFE contiene disposiciones relativas a la responsabilidad dimanante del proceder del firmante (art. 8), del prestador de servicios de certificación (art. 9) y de la parte que confía en el certificado (art. 11). Esas disposic iones estipulan las obligaciones de cada entidad que haya participado en el ciclo de vida de la firma electrónica. La LMFE reconoce la posibilidad de que los proveedores de servicios de certificación limiten el alcance o el grado de su responsabilidad.

D. Mecanismos de cooperación institucional

36. Los mecanismos de cooperación institucional pueden contribuir a lograr el reconocimiento jurídico recíproco y la interoperabilidad de los sistemas de gestión de la identidad y los servicios de confianza. Pue den ser de carácter público o privado.

37. El artículo 12 del reglamento eIDAS ofrece un ejemplo de mecanismo de cooperación institucional, al indicar que los Estados miembros cooperarán con respecto a la interoperabilidad y la seguridad de los sistemas d e gestión de la identidad. La cooperación podrá consistir en un intercambio de información, experiencia y prácticas idóneas, en particular sobre los requisitos técnicos y los niveles de seguridad, la revisión por pares de los sistemas de identificación ele ctrónica, y el examen de las novedades pertinentes.

38. En el acto de ejecución del reglamento eIDAS 5 figuran detalles adicionales sobre el intercambio de información y la revisión por pares, y se indica, en particular, que el Estado miembro no tendrá obli gación de facilitar la información que se le solicite si su divulgación pudiera poner en peligro asuntos de seguridad pública o seguridad nacional

el intercambio de información y la revisión por pares, y se indica, en particular, que el Estado miembro no tendrá obli gación de facilitar la información que se le solicite si su divulgación pudiera poner en peligro asuntos de seguridad pública o seguridad nacional o secretos comerciales, profesionales o empresariales. También se establece una red de cooperación para facil itar la realización de actividades de cooperación. Cabe señalar que, si bien el sistema de revisión por pares del sistema de gestión de la identidad que ha de notificarse es opcional, lo cierto es que sus resultados podrían aportar información importante s obre si el sistema podría ajustarse a las normas exigidas, y, por lo tanto, constituye un paso importante en el mecanismo de notificación sobre el que se basa la estructura institucional del reglamento eIDAS.

39. Se puede lograr un tipo diferente de cooper ación entre los sistemas de gestión de la identidad mediante la federación de esos sistemas. Conforme a ese modelo, la información sobre la identidad verificada por un sistema de gestión de la identidad se facilita de manera convenida y controlada a divers as partes en un sistema diferente de gestión de la identidad que tienen necesidad de esa información sobre la identidad con distintos propósitos (véase también A/CN.9/WG.IV/WP.153 , párr. 47). La fede ración de sistemas de gestión de la identidad logra la interoperabilidad entre sus participantes utilizando un marco técnico y jurídico común definido por un conjunto de normas del sistema. La federación puede contribuir, por tanto, a aumentar el número de usuarios y de aplicaciones y a frenar los costos por concepto de gestión de la identidad. Aunque las federaciones se basan en acuerdos contractuales, las disposiciones legales pueden

sistema. La federación puede contribuir, por tanto, a aumentar el número de usuarios y de aplicaciones y a frenar los costos por concepto de gestión de la identidad. Aunque las federaciones se basan en acuerdos contractuales, las disposiciones legales pueden contribuir a promover la federación (véase, por ejemplo, el uso de sello s de confianza en la Ley de Gestión de la Identidad de Virginia, citada en el párr. 28 supra).

E. Transparencia

40. El Grupo de Trabajo determinó que el principio de transparencia era pertinente para las deliberaciones futuras sobre la gestión de la i dentidad y los servicios de confianza ( A/CN.9/936 , párr. 8). Al hacerlo, destacó dos obligaciones relativas a ese principio: el deber de revelar qué servicios de gestión de la identidad y de confianza se __________________ 5 Decisión de Ejecución (UE) 2015/29