CNUDMI - A-CN.9-WG.IV-WP.163

Naciones Unidas A/CN.9/WG.IV/WP.163

Asamblea General

Distr. limitada 20 de febrero de 2020

Español Original: inglés

V.20 -01485 (S) 160320 160320 2001485

Comisión de las Naciones Unidas para el Derecho Mercantil Internacional Grupo de Trabajo IV (Comercio Electrónico) 60º período de sesiones Nueva York, 6 a 9 de abril de 2020

Proyecto de disposiciones sobre la utilización y el reconocimiento transfronterizo de sistemas de gestión de la identidad y servicios de confianza

Comunicación del Banco Mundial

Nota de la Secretaría

El Banco Mundial presentó un documento para que se examinara en el 60º período de sesiones del Grupo de Trabajo. En el anexo figura la traducción al español del texto en inglés que recibió la Secretaría.A/CN.9/WG.IV/WP.163

V.20-01485 2/17

Anexo

Observaciones del Banco Mundial sobre el documento de trabajo A/CN.9/WG.IV/WP.162

El Banco Mundial se complace en presentar las siguientes observaciones sobre el documento A/CN.9/WG.IV/WP.162, “Proyecto de disposiciones sobre la utilización y el reconocimiento transfronterizo de sistemas de gestión de la identidad y servicios de confianza ” (en lo sucesivo, “el proyecto de disposiciones ”), con vistas al período de sesiones del Grupo de Trabajo IV que se celebrará en Nueva York del 6 al 9 de abril de 2020.

I. Comentarios y observaciones generales

sesiones del Grupo de Trabajo IV que se celebrará en Nueva York del 6 al 9 de abril de 2020.

I. Comentarios y observaciones generales

1. Acento en la gestión de la identidad : En general, el Banco Mundial apoya la labor del Grupo de Trabajo IV, en particular en lo que respecta a la gestión de la identidad.

Dado que la gestión de la identidad es el aspecto que más interesa al Banco Mundial, las siguientes observaciones se centran en las secciones del proyecto de disposiciones en que se trata esa cuestión.

2. Sistemas de gestión de la identidad frente a operaciones de identidad : El proyecto de disposiciones se centra principalmente en los sistemas de gestión de la identidad y en los proveedores de servicios de gestión de la identidad, y no tanto en las operaciones de identidad. Debido a la importancia de las operacione s de identidad, en particular desde el punto de vista del cumplimiento de las normas legales y el reconocimiento jurídico, y habida cuenta de que las operaciones de identidad electrónicas pueden y suelen llevarse a cabo sin utilizar sistemas de gestión de la identidad ni proveedores de servicios de gestión de la identidad, el Grupo de Trabajo debería considerar la posibilidad de examinar en mayor profundidad algunas cuestiones relativas a las operaciones de identidad.

3. Papeles : El proyecto de disposicione s se centra principalmente en la regulación de los sistemas de gestión de la identidad y los proveedores de servicios de gestión de la identidad y, a excepción de los artículos 5 y 8, no trata a fondo las necesidades de las partes que confían, los sujetos u otros posibles participantes en un sistema de gestión de la identidad o en una operación de identidad. Por ejemplo, en el proyecto de

identidad y, a excepción de los artículos 5 y 8, no trata a fondo las necesidades de las partes que confían, los sujetos u otros posibles participantes en un sistema de gestión de la identidad o en una operación de identidad. Por ejemplo, en el proyecto de disposiciones no se trata la cuestión del derecho de la parte que confía a utilizar a un tercero para verificar la ident idad cuando la ley exige que la parte que confía verifique la identidad. Al igual que ocurre con la cuestión de las operaciones de identidad, el Grupo de Trabajo debería considerar la posibilidad de dedicar mayor atención a las cuestiones que afectan a tod os los papeles de los sistemas de gestión de la identidad, no solo al de proveedor de servicios de gestión de la identidad.

4. Relación entre los sistemas de gestión de la identidad del sector público y del sector privado : El proyecto de disposiciones se centra en los sistemas de gestión de la identidad del sector privado y en los proveedores de servicios de gestión de la identidad del sector privado. A primera vista, el proyecto de disposiciones no se aplicaría ni a los sistemas de gestió n de la identidad ni a los proveedores de servicios de gestión de la identidad del sector público, como los sistemas nacionales de gestión de la identidad.

Por consiguiente, dado que muchos de los sistemas nacionales de gestión de la identidad son sistemas gestionados por los Estados (por ejemplo, Estonia o la India), estos quedarían fuera del ámbito de aplicación del producto final del proyecto de disposiciones. No obstante, es importante tener presente que es probable que la interacción entre los sistemas de gestión de la identidad de los sectores público y privado sea considerable. Por ejemplo, cabe suponer que el proyecto de disposiciones se aplicará en los casos en que un organismo público (por ejemplo, una parte que confía o un sujeto de datos)

sistemas de gestión de la identidad de los sectores público y privado sea considerable. Por ejemplo, cabe suponer que el proyecto de disposiciones se aplicará en los casos en que un organismo público (por ejemplo, una parte que confía o un sujeto de datos) sea cli ente de un proveedor de servicios de gestión de la identidad del sector privado, o utilice un sistema de identidad federado del sector privado en lugar de un sistema deA/CN.9/WG.IV/WP.163

3/17 V.20-01485

gestión de la identidad gestionado por un Estado. Además, los procesos de comprobación de identidad y autenticación utilizados por los proveedores de servicios de gestión de la identidad del sector privado se basan con frecuencia en las credenciales de identidad primaria emitidas por los sistemas del sector público, que suelen considerarse d ignos de confianza y altamente fiables . Por consiguiente, el Grupo de Trabajo debería examinar y aclarar la naturaleza de la relación entre los sistemas de gestión de la identidad de los sectores público y privado, entre otras cosas para determinar en qué casos sería apropiado que los sistemas de gestión de la identidad del sector privado aprovechasen la información relativa a la identidad primaria y los procesos de autenticación proporcionados por los Estados, o cuál sería el modo más indicado de hacerlo. Esto podría suponer, por ejemplo, examinar las normas relativas a : • la utilización por los sistemas de gestión de la identidad del sector privado de números de identidad emitidos por el Estado u otra información de identificación; • la utilización por los sistemas de gestión de la identidad del sector privado de credenciales de identidad emitidas por el Estado; • el acceso por los sistemas de gestión de la identidad del sector privado a bases

identificación; • la utilización por los sistemas de gestión de la identidad del sector privado de credenciales de identidad emitidas por el Estado; • el acceso por los sistemas de gestión de la identidad del sector privado a bases de datos estatales a efectos de comprobación de identidad y autenticación; o • la utilización por los sistemas de gestión de la identidad del sector privado de información o procesos facilitados por las autoridades públicas, en general.

5. Marcos de confianza : En el proyecto de disposiciones no se tr ata la cuestión del papel de las normas contractuales que rigen los sistemas de gestión de la identidad individuales, lo que a menudo se denomina “marcos de confianza ” o “normas del sistema ” o “reglas del sistema ” (que en lo sucesivo se denominarán colecti vamente “marcos de confianza ”), y cómo interactúan con el proyecto de disposiciones 1. El Grupo de Trabajo debería considerar la posibilidad de volver a examinar el proyecto de disposiciones para aclarar la interacción entre el proyecto y los marcos de conf ianza de los sistemas de gestión de la identidad, así como qué cuestiones deberían tratarse en el proyecto de disposiciones, y con qué grado de detalle, en lugar de en los marcos de confianza de sistemas de gestión de la identidad individuales. Por ejemplo , algunas cuestiones como las obligaciones de los participantes, la fiabilidad y los niveles de garantía se suelen tratan en el marco de confianza específico de un sistema de gestión de la identidad individual.

Asimismo, el Grupo de Trabajo debería considerar la posibilidad de estudiar en qué medida las disposiciones de un marco de confianza pueden modificar o anular las del proyecto de disposiciones. Por ejemplo, con independencia de lo dispuesto en el

de la identidad individual. Asimismo, el Grupo de Trabajo debería considerar la posibilidad de estudiar en qué medida las disposiciones de un marco de confianza pueden modificar o anular las del proyecto de disposiciones. Por ejemplo, con independencia de lo dispuesto en el proyecto de disposiciones con respecto a la res ponsabilidad, no está claro si las partes pueden definir sus propias normas sobre responsabilidad en el marco de confianza específico de su sistema de gestión de la identidad.

6. Utilización de los modelos legislativos relativos a las firmas electrónicas : La estructura y los criterios adoptados en el proyecto de disposiciones se basan en gran medida en la Ley Modelo de la CNUDMI sobre las Firmas Electrónicas y, por consiguiente, no se tiene en consideración el hecho de que las cuestiones que se refieren a l as firmas son muy diferentes de las que se han de tener presentes al abordar la identidad (si bien la identidad es, en ocasiones, un componente de la firma). Así pues, si bien es posible definir en la ley un único equivalente electrónico de los requisitos de firma, no resulta fácil hacer lo propio en lo que respecta a los requisitos para verificar la identidad. __________________ 1 Si bien la expresión “reglas de funcionamiento del sistema de gestión de la identidad” aparece en los artículos 6 c), 6 f), 10, párr. 1 b), y 23, párr. 1 a), del proyecto de dispo siciones, esta nunca se define ni se examina en detalle.A/CN.9/WG.IV/WP.163

V.20-01485 4/17

Parte del problema reside en el hecho de que las leyes que exigen una firma siempre exigen lo mismo (es decir, una firma), mientras que las leyes qu e exigen la identificación

V.20-01485 4/17

Parte del problema reside en el hecho de que las leyes que exigen una firma siempre exigen lo mismo (es decir, una firma), mientras que las leyes qu e exigen la identificación de una persona a menudo definen diferentes requisitos de diversa índole que debe cumplir el proceso de identificación en función de si la identidad es “primaria ” o “funcional ”2, la finalidad con que se exige la identificación, el riesgo inherente, etc. En consecuencia, si bien es relativamente sencillo definir un equivalente jurídico al concepto unitario de firma, eso no significa necesariamente que se pueda proceder de igual modo en lo que respecta a los diversos criterios jurídi cos aplicables a la identificación. Así pues, es importante que, en lugar de ceñirse a una estructura predeterminada basada en la Ley Modelo sobre las Firmas Electrónicas, el Grupo de Trabajo examine de manera independiente las cuestiones jurídicas que es preciso tener en cuenta en relación con la identidad.

7. Opciones de verificación de la identidad : La parte que confía dispone de dos opciones para verificar la identidad de la persona con la que está tratando, a saber, la parte que confía puede: • efectua r la verificación de la identidad por sí misma , o bien • recurrir a los servicios de gestión de la identidad prestados por un tercero.

La mayoría de las partes que confían optan por lo primero. No obstante, el proyecto de disposiciones se centra únicamente en la segunda opción. El Grupo de Trabajo podría tal vez considerar si el proyecto de disposiciones debería adoptar un enfoque más amplio del tema de la identidad y abordar las cuestiones que se plantean en ambas situaciones.

8. Derecho de la parte que co nfía a confiar : Lo ideal sería que el proyecto de

tal vez considerar si el proyecto de disposiciones debería adoptar un enfoque más amplio del tema de la identidad y abordar las cuestiones que se plantean en ambas situaciones.

8. Derecho de la parte que co nfía a confiar : Lo ideal sería que el proyecto de disposiciones abordarse las cuestiones relativas al derecho de la parte que confía a confiar, entre las que figurarían, por ejemplo, el derecho de la parte que confía a lo siguiente: i) confiar en general e n unas credenciales de identidad; ii) confiar en las credenciales de una tercera parte para satisfacer las requisitos específicos establecidos en una determinada ley que imponga la obligación de identificar; y iii) utilizar los servicios de gestión de la i dentidad prestados por un tercero para satisfacer su obligación de identificar a alguien.

9. Derecho de la parte que confía a utilizar a terceros : En relación con lo anterior, si bien algunas de las leyes que imponen la obligación de identificar autorizan expresamente la utilización de terceros proveedores de servicios (por ejemplo, el Reglamento de la Ley de Privacidad de los Consumidores de California) 3, muchas leyes no se pronuncian al respecto (u obligan a las partes que confían a efectuar la identificación). El Grupo de Trabajo también debería examinar estas cuestiones relacionadas con la identidad.

II. Observaciones artículo por artículo

1. Artículo 1. Definiciones

a) Términos que faltan : Hay varios términos que se utilizan en todo el proyecto de disposiciones, pero que no se definen. Los términos que se utilizan, pero no se definen son los siguientes: • “factores de identificación electrónica ”, véase el artículo 6 d) i)

proyecto de disposiciones, pero que no se definen. Los términos que se utilizan, pero no se definen son los siguientes: • “factores de identificación electrónica ”, véase el artículo 6 d) i) • “mecanismos de identificación electrónica ”, véanse l os artículos 6 d) ii), 8 a), 8 b) __________________ 2 Véanse, por ejemplo, las páginas 12 y 13 (entre otras) de la guía para profesionales publicada por el Banco Mundial en 2019, que puede consultarse en la siguiente dirección: https://id4d.worldbank.org/guide . 3 Véase, Reglamento de la Ley de Privacidad de los Consumidores de California, artículo 4, sección 999.323 b). Puede consultarse en www.oag.ca.gov/sites/all/files/agweb/pdfs/privacy/ccpatext-of-mod-clean -020720.pdf?A/CN.9/WG.IV/WP.163

5/17 V.20-01485

• “gestión de la identidad ”, se utiliza como modificador en todo el documento, pero no se define • “identificador ”, véase el artículo 1 b) • “normas por las que se rija el sistema de gestión de la identidad", véanse lo s artículos 6 c), 6 f), 10 b) y 23 a) o Es posible que ese término se refiera al marco de confianza de un sistema de gestión de la identidad individual, pero tal como está redactado podría aplicarse a cualquier ley o reglamento que rija el sistema de gesti ón de la identidad. Se debería aclarar en qué sentido se utiliza. • “verificación ”, véase el artículo 6 a) ii) o También convendría aclarar el concepto de “verificación ”, ya que este

la identidad. Se debería aclarar en qué sentido se utiliza. • “verificación ”, véase el artículo 6 a) ii) o También convendría aclarar el concepto de “verificación ”, ya que este término suele causar mucha confusión. Por ejemplo, el término “verificación de la identidad ” se refiere frecuentemente a la identificación del sujeto de los datos, y en otros a la autent icación del sujeto de los datos. Habida cuenta de la frecuencia con que se utiliza este término, tendría que aclararse detalladamente y utilizarse de manera adecuada en todo el documento. b) Autenticación : Los términos “autenticación ” e “identificación e lectrónica ” se utilizan básicamente con el mismo significado, si bien “autenticación ” se utiliza en el contexto de los servicios de confianza e “identificación electrónica ” se utiliza en el contexto de los servicios de gestión de la identidad. Dado que eso s conceptos son idénticos, el Grupo de Trabajo podría considerar la posibilidad de utilizar el mismo término en ambos casos. c) Identificación electrónica : La sustitución del término simple “identificación ” por los términos compuestos “comprobación de id entidad ” e “identificación electrónica ” es un paso importante para aclarar y distinguir dos aspectos del proceso de identidad. No obstante, podría suscitar preocupación la posibilidad de que el término “identificación electrónica ” describa o se pueda confu ndir fácilmente con la totalidad del proceso de comprobación de identidad, emisión de credenciales y autenticación de la relación entre los datos de las credenciales y una persona. Así pues, se recomienda que el Grupo de Trabajo considere la posibilidad de utilizar otro término en lugar de “identificación electrónica ”.

la relación entre los datos de las credenciales y una persona. Así pues, se recomienda que el Grupo de Trabajo considere la posibilidad de utilizar otro término en lugar de “identificación electrónica ”. Además, la utilización del adjetivo “electrónica ” en este término, que tiene por objeto describir el “proceso utilizado para obtener una garantía suficiente de la vinculación entre [un sujeto ] […] y una identidad ” podría generar confusión en cuanto a la naturaleza de los procesos, los sistemas y los servicios que se tratan en el proyecto de disposiciones. Lo mismo sucede con las definiciones de “servicios de gestión de la identidad ” y “sistema de gestión de la identidad ”, en las que se especifica que han de llevarse a cabo “en forma electrónica ”. Al describir el proceso de vinculación como “electrónico ”, o los servicios o sistemas de gestión de la identidad como “en forma electrónica ” se pasa p or alto el hecho de que, en algunos casos, el proceso, en su totalidad o en parte, podría no ser electrónico. Por ejemplo, algunas funciones pueden realizarse en forma no electrónica, o estar basadas en documentos en papel, como la comprobación de identida d. Por consiguiente, se recomienda que el Grupo de Trabajo considere la posibilidad de reconocer que es probable que los procesos, sistemas y servicios comprendidos en el ámbito de aplicación del proyecto de disposiciones incluyan diversos elementos no electrónicos. d) Identidad : La definición de “identidad ” como un conjunto de atributos que permiten a [un sujeto][una persona] “distinguirse de manera inequívoca ” en un contexto particular podría considerarse excesivamente restrictiva. En mu chos casos, la identificación se utiliza a efectos de cualificación, más que de distinción inequívoca. La identificación puede utilizarse simplemente para verificar si una persona pertenece

contexto particular podría considerarse excesivamente restrictiva. En mu chos casos, la identificación se utiliza a efectos de cualificación, más que de distinción inequívoca. La identificación puede utilizarse simplemente para verificar si una persona pertenece a un grupo determinado, por ejemplo, “¿es usted mayor de 21 años? ”, “¿es ustedA/CN.9/WG.IV/WP.163

V.20-01485 6/17

miembro de un club ”?, “¿tiene usted la ciudadanía? ”, etc. Cabe suponer que muchas personas poseen esos atributos, por lo que la identidad no tendría por qué distinguirlas de manera inequívoca, pero sí serviría para distinguir suficientemente a l sujeto de los datos en el contexto en que sea necesario limitar de ese modo la identidad. e) Credenciales de identidad : El Grupo de Trabajo debería tener presentes los avances y novedades que se produzcan en relación con los medios para comunicar la información sobre la identidad. Si bien las credenciales de identidad son el medio más habitual para verificar y confirmar la identificación, cabe destacar que muchos de los nuevos sistemas de gestión de la identidad no utilizan credenciales de identidad per se. Así pues, la definición no es de por sí inadecuada, pero se ha de tratar de evitar incorporar en el proyecto de disposiciones la presunción de que siempre se van a utilizar credenciales de identidad. Téngase en cuenta además que la definición se limit a a la “forma electrónica ”. El Grupo de Trabajo tal vez debería considerar la posibilidad de ampliar el ámbito de aplicación del proyecto de disposiciones a las formas tradicionales de identificación en papel o en persona . f) Comprobación de identidad : No es necesario que el proceso de

“forma electrónica ”. El Grupo de Trabajo tal vez debería considerar la posibilidad de ampliar el ámbito de aplicación del proyecto de disposiciones a las formas tradicionales de identificación en papel o en persona . f) Comprobación de identidad : No es necesario que el proceso de comprobación de identidad defina y confirme por completo la identidad de un sujeto. Es decir, la comprobación de identidad podría consistir en recopilar, verificar o validar uno o más atributos que, si bien por sí solos no serían suficientes para definir y confirmar una identidad, podrían ser utilizados por otros para confirmar una identidad. Así pues, el Grupo de Trabajo tal vez desee considerar la posibilidad de adoptar una definición más amplia de este término. g) Parte que confía : Quizá no sea apropiado eliminar esta definición y sustituirla por el término “abonado ”. El concepto de “abonado ” implica un participante activo en el sistema que está obligado a cumplir las normas. Si bien este puede ser una parte que confía, hay otras personas o entidades que también pueden celebrar un contrato de prestación de servicios de gestión de la identidad, por ejemplo, los sujetos. En consecuencia, si no se establece una distinción entre las partes que confían y los sujetos (u otros u suarios de un sistema de gestión de la identidad ) podría haber confusión al aplicar las normas del proyecto de disposiciones. Se propone que el Grupo de Trabajo considere la posibilidad de mantener una definición de la “parte que confía ” de modo que las cuestiones que se traten en las secciones posteriores se apliquen a las partes que confían o a los sujetos, según corresponda. h) Sujeto : En el contexto de los servicios de gestión de la identidad, un sujeto

que las cuestiones que se traten en las secciones posteriores se apliquen a las partes que confían o a los sujetos, según corresponda. h) Sujeto : En el contexto de los servicios de gestión de la identidad, un sujeto es una persona u objeto que es identificado, o que al menos participa en el proceso de comprobación de identidad. Si se suprime la referencia a la identificación, el término sería genérico y, probablemente, no muy útil. i) Abonado : Como se señaló anteriormente, el concepto de abonado como “persona q ue celebra un contrato de prestación de servicios de gestión de la identidad o servicios de confianza con un proveedor de servicios de gestión de la identidad ” parecería ser excesivamente inclusivo, ya que podría abarcar muchos de los papeles de un sistema de identidad, además de los sujetos. Por ejemplo, la redacción del párrafo 3 de la opción C del artículo 12 presupone que los abonados son partes que confían. Sin embargo, los abonados también pueden ser sujetos o cualquier otro de los muchos papeles de u n sistema de gestión de la identidad, en cuyo caso lo dispuesto en esa sección sería inadecuado.

2. Artículo 2. Ámbito de aplicación

El Grupo de Trabajo debería considerar la posibilidad de volver a examinar el ámbito de aplicación del proyecto de disposiciones en lo que respecta a la gestión de la identidad. Tal como está redactado, el ámbito de aplicación del artículo 2 se limita a dos temas: 1) la utilización de sistemas de gestión de la identidad, y 2) el reconocimiento transfronterizo de sistemas de gestión de la identidad .A/CN.9/WG.IV/WP.163

7/17 V.20-01485

transfronterizo de sistemas de gestión de la identidad .A/CN.9/WG.IV/WP.163

7/17 V.20-01485

El Grupo de Trabajo podría tal vez examinar si el ámbito de aplicación también debería incluir las operaciones de gestión de la identidad , y quizá también una referencia al funcionamiento de los sistemas de gestión de la identidad o a la prestación de serv icios de gestión de la identidad. Asimismo, puesto que reconoce que no está facultado para redactar normas para los sistemas de gestión de la identidad administrados por los Estados (por ejemplo, los sistemas de gestión de la identidad nacionales), el Grup o de Trabajo debería considerar la posibilidad de modificar el artículo 2 para aclarar que “será aplicable a [...] sistemas de gestión de la identidad del sector privado ”.

3. Artículo 3. Utilización voluntaria de servicios de gestión de la identidad y servicios de confianza

De conformidad con el artículo 3, párr. 2, el consentimiento de una persona en utilizar un sistema de gestión de la identidad podrá inferirse de su conducta. Sin embargo, el Grupo de Trabajo debería tomar nota del hecho de que sería erróneo extraer esa conclusión en los casos en que se ha usurpado la identidad de la persona (por ejemplo, cuando la persona que ha robado la identidad está usando credenciales falsas, o cuando está usando credenciales auténticas, pero expedid as a otra persona). En esos casos, la persona cuyo consentimiento se infiere no es el autor de la conducta descrita.

4. Artículo 4. Interpretación

El Grupo de Trabajo tal vez podría considerar la posibilidad de velar por que el proyecto de disposiciones no haga distinciones entre modelos de sistemas de gestión de la

4. Artículo 4. Interpretación

El Grupo de Trabajo tal vez podría considerar la posibilidad de velar por que el proyecto de disposiciones no haga distinciones entre modelos de sistemas de gestión de la identidad mediante la inclusión del concepto de neutralidad de los sistema de gestión de la identidad (o neutralidad de las operaciones de identidad). Dado que hay muchas maneras diferentes d e realizar operaciones de identidad en línea (por ejemplo, sistemas con un único proveedor de identidad, sistemas federados (múltiples proveedores de identidad), sistemas controlados por los usuarios/centrados en los usuarios, sistemas de concentradores ( hub systems ), sistemas de tecnología de registros distribuidos, sistemas sin credenciales, sistemas de identidad autosoberana, etc.), es importante que el proyecto de disposiciones no adopte ni exija un enfoque concreto de los procesos de identificación o a utenticación, ni del sistema que los habilita. Así pues, el Grupo de Trabajo debería estudiar cómo asegurarse de que el proyecto de disposiciones no implique ni exija un modelo de sistema determinado.

5. Artículo 5. Reconocimiento jurídico de un sistema de gestión de la identidad

Podría ser necesario examinar y analizar en mayor profundidad el artículo 5 a), en el que se afirma que no se negarán efectos jurídicos a la identificación electrónica por la sola razón de que se haya hecho en forma electrónica. Damos por supuesto (pero no lo hemos verificado) que algunas leyes relativas a la utilización de credenciales de identidad exigen la presentación de un documento en papel u otro soporte físico en lugar de electrónico. Así pues, antes de dejar sin efecto esas leyes, recomendamos que se lleve a cabo un examen y análisis en mayor profundidad para determinar las repercusiones de esta disposición.

de electrónico. Así pues, antes de dejar sin efecto esas leyes, recomendamos que se lleve a cabo un examen y análisis en mayor profundidad para determinar las repercusiones de esta disposición.

6. Artículo 6. Obligaciones de los proveedores de servicios de gestión de la identidad

Idoneidad del enfoque único : El artículo 6 impone una serie de obligaciones a los proveedores de servicios de gestión de la identidad. Las obligaciones que en él se enumeran son propias del modelo de sistema de gestión de la identidad tradicional y, en consecuencia, da n por hecho que el proveedor de servicios de gestión de la identidad desempeña todas las funciones de ese sistema tradicional, o es responsable de ellas.

No obstante, se están probando diversos modelos de sistema de gestión de la identidad y, por ende, los modelos están experimentando cambios. Por ese motivo, suscita preocupación que la utilización de esa lista de obligaciones se base en un modelo antiguo que quizá no se ajuste a los sistemas de gestión de la identidad más actuales o que dificulte indebidam ente que se siga experimentando con distintos modelos. En muchos de los sistemas de gestión de la identidad más recientes, por ejemplo,A/CN.9/WG.IV/WP.163

V.20-01485 8/17

algunas de las funciones de los proveedores de servicios de gestión de la identidad que se enumeran en el artículo 6 pod rían ser responsabilidad de diversas entidades (como proveedores de servicios de confianza, registradores, agentes de inscripción, proveedores de servicios de credenciales, gestores de confianza ( stewards ), proveedores de servicios de autenticación, concen tradores, etc.). Habida cuenta de que la diversidad de modelos de sistema de gestión de la identidad es cada vez mayor, el Grupo de Trabajo

proveedores de servicios de credenciales, gestores de confianza ( stewards ), proveedores de servicios de autenticación, concen tradores, etc.). Habida cuenta de que la diversidad de modelos de sistema de gestión de la identidad es cada vez mayor, el Grupo de Trabajo debería cuestionar la idoneidad de imponer a los proveedores de servicios de gestión de la identidad un único conjun to de obligaciones.

Fuente de las obligaciones : El Grupo de Trabajo podría examinar también una importante cuestión previa, a saber, si las obligaciones de los proveedores de servicios de gestión de la identidad del sector privado (u otros papeles de los s istemas de gestión de la identidad) deberían definirse en el proyecto de disposiciones y ser aplicables a todos los sistemas de gestión de la identidad, o si cada sistema de gestión de la identidad del sector privado debería definir cuáles son esas obligac iones en su propio marco de confianza de base contractual. Si las obligaciones de cada papel se incluyen en el marco de confianza aplicable al sistema de gestión