CNUDMI - A-CN.9-WG.IV-WP.165

Naciones Unidas A/CN.9/WG.IV/WP.165

Asamblea General

Distr. limitada 30 de septiembre de 2020

Español Original: inglés

V.20 -05631 (S) 131020 131020 2005631

13255 Comisión de las Naciones Unidas para el Derecho Mercantil Internacional Grupo de Trabajo IV (Comercio Electrónico) 60º período de sesiones Viena (en línea), 19 a 23 de octubre de 2020

Reconsideración del enfoque con respecto a los sistemas de gestión de la identidad y los servicios de confianza

Comunicación de los Estados Unidos de América

Nota de la Secretaría

Los Estados Unidos de América presentaron un documento para que el Grupo de Trabajo lo examinara en su 60º período de sesiones. En el anexo de la presente nota figura la traducción al español del documento en inglés que recibió la Secretaría.A/CN.9/WG.IV/WP.165

V.20-05631 2/24

Anexo

Reconsideración del enfoque con respecto a los sistemas de gestión de la identidad y los servicios de confianza

1. Los Estados Unidos de América se complacen en presentar este documento sobre el actual proyecto del Grupo de Trabajo IV en materia de sistemas de gestión de la identidad y servicios de confianza. El presente documento está dividido en tres secciones. En la primera sección se describe en líneas generales y se resume el contenido de las otras secciones. En la segunda sección se facilita información de antecedentes sobre los sistemas de gestión de la identidad y sus reglas de funcionamiento. Por último,

secciones. En la primera sección se describe en líneas generales y se resume el contenido de las otras secciones. En la segunda sección se facilita información de antecedentes sobre los sistemas de gestión de la identidad y sus reglas de funcionamiento. Por último, en la tercera sección se presenta a grandes rasgos el marco jurídico dentro del cual suelen operar todos los sistemas de gestión de la identidad, así como un marco conceptual sobre el modo en que el Grupo de Trabajo podría adaptar el proyecto que figura en el do cumento A/CN.9/WG.IV/WP.162 (en adelante, “el proyecto ”) para que regulara eficazmente los sistemas de gestión de la identidad del sector privado.

2. A los efectos del presente documento, los Estados Unidos se centran exclusivamente en los sistemas de gest ión de la identidad y en la forma en que el Grupo de Trabajo podría regular estos sistemas de manera eficaz. Dicho esto, los Estados Unidos celebrarían que se entablara un debate similar en el seno del Grupo de Trabajo acerca de la parte del proyecto dedicada a los servicios de confianza, por cuanto creemos que plantea muchas de las mismas cuestiones conceptuales que se analizan a continuación en relación con las disposiciones sobre la gestión de la identidad.

I. Descripción general y resumen

3. Como c uestión de alcance general, los Estados Unidos albergan inquietudes sobre aspectos fundamentales del enfoque actual del Grupo de Trabajo en materia de sistemas de gestión de la identidad recogido en el proyecto (véase el apéndice) y consideran necesario qu e haya un debate conceptual en el Grupo de Trabajo a fin de dar respuesta a esas inquietudes.

4. La CNUDMI debería tratar de ofrecer un marco que pueda ayudar a los Estados a

necesario qu e haya un debate conceptual en el Grupo de Trabajo a fin de dar respuesta a esas inquietudes.

4. La CNUDMI debería tratar de ofrecer un marco que pueda ayudar a los Estados a navegar por las cuestiones jurídicas que pueden plantearse con los sistemas de ge stión de la identidad del sector privado, en particular en aquellos ámbitos que no pueden abarcar las reglas de funcionamiento de base contractual por las que se rige cada sistema. Una parte de esta tarea podría consistir en revisar la legislación nacional vigente a fin de eliminar las barreras y la inseguridad que genera la legislación vigente, colmar las lagunas de la legislación actual relevantes para los sistemas de gestión de la identidad que no pueden resolverse por contrato o regular cuestiones nuevas que pueden promover el desarrollo de sistemas de gestión de la identidad del sector privado. Sin embargo, en el proyecto se adopta un enfoque considerablemente diferente y, en opinión de los Estados Unidos, inviable.

A. ¿Qué son los sistemas de gestión de la identidad?

5. La gestión de la identidad abarca un conjunto de políticas, procesos y procedimientos que permiten identificar a una persona o entidad (es decir, responder a la pregunta “¿quién es? ”) y autenticar esa identidad (es decir, responder a la pregunta “¿cómo puede demostrarlo? ”). Como se describe con mayor detalle en la sección II infra , una operación de identidad es una comunicación que facilita esa información de identidad sobre un sujeto a una parte que confía de manera que autentica la relación entre esa información de identidad y el sujeto. Los sistemas de gestión de la identidad facilitan estas operaciones de identidad . Los sistemas de gestión de la identidad son mecanismos complejos que conllevan una combinación coherente de entidades

entre esa información de identidad y el sujeto. Los sistemas de gestión de la identidad facilitan estas operaciones de identidad . Los sistemas de gestión de la identidad son mecanismos complejos que conllevan una combinación coherente de entidades participantes, procesos y tecnología, en los cuales cada participante ejerce las responsabilidades de uno o más papeles predefinidos, de conformidad con un conjuntoA/CN.9/WG.IV/WP.165

3/24 V.20-05631

predefinido de procesos, políticas y pr ocedimientos jurídicamente vinculantes, con el fin de facilitar operaciones de identidad que permitirán a una persona identificarse con múltiples entidades con las que no guarda relación alguna.

6. Para que funcione, cada sistema de gestión de la identidad necesita un conjunto ejecutable de reglas de funcionamiento. Como se describe con mayor detalle en la sección II infra , las reglas de funcionamiento regulan el funcionamiento de un determinado sistema de gestión de la identidad, especificando cómo deben e jecutarse sus procesos de gestión de la identidad y las correspondientes operaciones de identidad y precisando los derechos y las responsabilidades de las diversas partes que participan en el mecanismo. Habida cuenta de que cada sistema de gestión de la identidad es diferente, cada uno necesita un conjunto singular de reglas de funcionamiento adaptadas a su propósito, estructura, base de participantes y perfil de riesgo.

7. En el caso de los sistemas de gestión de la identidad del sector público, las reglas de funcionamiento suelen estar recogidas en una ley o reglamento y, por ende, son vinculantes para los participantes por efecto de la ley. En el caso de los sistemas de gestión de la identidad del sector privado, las reglas de funcionamiento están recogidas

de funcionamiento suelen estar recogidas en una ley o reglamento y, por ende, son vinculantes para los participantes por efecto de la ley. En el caso de los sistemas de gestión de la identidad del sector privado, las reglas de funcionamiento están recogidas en un documento escrito por el operador del sistema (o alguna otra persona o entidad) y adquieren carácter vinculante para los participantes por contrato.

B. ¿Qué debería regular el instrumento de la CNUDMI?

8. Todo instrumento sobre los sistemas de gestión de la identidad del sector privado que elabore la CNUDMI debería tener en cuenta tanto la legislación nacional vigente como las distintas reglas de funcionamiento de base contractual que utiliza cada sistema de gestión de la identidad. Específicamente, el instrumento de la CNUDMI debería regular cuestiones relativas a la aplicabilidad de la legislación nacional vigente a los sistemas de gestión de la identidad del sector privado que i) no puedan regirse por las distintas reglas de funcionamiento de base contractual adoptadas por cada sistema o ii) creen de otro modo problemas para todos los sistemas de gestión de la identidad del sector privado. Por tanto, el instrumento de la CNUDMI regularía, entre otros, estos ámbitos: el reconocimiento jurídico de las operaciones de identidad originadas en los sistemas de gestión de la identidad del sector privado; los requisitos para determinar si una operación de identidad del sector privado satisface las exigencias legales aplicables para identificar a una persona, y la aplicabilidad de las leyes que no pueden ser modificadas por las reglas de funcionamiento del sistema de gestión de la identidad, como las leyes que regulan el uso de identificadores públicos, la legislación en materia de protección del consumidor y el derecho de la responsabilidad civil extracontractual .

modificadas por las reglas de funcionamiento del sistema de gestión de la identidad, como las leyes que regulan el uso de identificadores públicos, la legislación en materia de protección del consumidor y el derecho de la responsabilidad civil extracontractual .

9. Este enfoque se basa en el reconocimiento de que los sistemas de gestión de la identidad del sector privado se rigen por un marco jurídico de tres niveles, en cuya cima se sitúa la legislación nacional vigente (nivel 1) y en cuya base se encuentran las reglas de funcionamiento de base contractual de los distintos sistemas de gestión de la identidad (nivel 3). La capa intermedia de ese marco jurídico (nivel 2) serviría de puente entre el nivel 1 y el nivel 3. La CNUDMI debería tener por objetivo la elaboración de un instrumento que orientara a los Estados en cuanto al contenido del nivel 2. Se describe con mayor detalle este marco jurídico en la sección III infra (en particular en la Figura 1, que representa gráficamente estos tres niveles de reglamentación y su relación). En la sección III también se detalla el plan que podría seguir la CNUDMI para reflexionar sobre los contenidos de un instrumento de esa índole.

10. El proyecto no reconoce est e marco jurídico, sino que adopta un enfoque fundamentalmente diferente y, a nuestro parecer, inviable. Si bien regula algunas cuestiones que quedarían comprendidas correctamente en un instrumento de nivel 2, las combina y confunde con numerosas cuestiones que deberían regirse en su lugar por las reglas de funcionamiento de base contractual de cada sistema de gestión de la identidad

(nivel 3). Por consiguiente, adopta un enfoque único para cuestiones que variarán enormemente entre las diversas reglas de funcionamiento de base contractual por las

reglas de funcionamiento de base contractual de cada sistema de gestión de la identidad (nivel 3). Por consiguiente, adopta un enfoque único para cuestiones que variarán enormemente entre las diversas reglas de funcionamiento de base contractual por las que se rijan los distintos sistemas de gestión de la identidad. A medida que han idoA/CN.9/WG.IV/WP.165

V.20-05631 4/24

avanzando las negociaciones en torno al proyecto de texto, se ha ido haciendo más patente que se trata de un enfoque inviable.

11. El proyecto utiliza las reglas de funcionamiento de un sistema de gestión de la identidad del sector público (eIDAS) como modelo conceptual y trata de expandirlo globalmente a todos los sistemas de gestión de la identidad. Ciertamente, eIDAS es un enfoque sumamente innovador en la regulación de los sistemas de gestión de la identidad y ha contribuido notablemente a que se comprenda en todo el mundo cómo podrían funcionar esos sistemas y cómo se podrían regular para su uso en el sector público. Sin embargo, el problema radica en que eIDAS es un conjunto singular de reglas de funcionamiento para un único sistema de gestión de la identidad del sector público (compuesto por los proveedores de identidad de los distintos países de la Unión Europea). Por tanto, es el equivalente del sector público de las reglas de funcionamiento de base contractual por las que se regiría un sistema específico de gestión de la identidad del sector privado. No conviene tratar de imponer esas reglas de funcionamiento a todos los demás sistemas de gestión de la identidad.

12. En otras palabras, mientras que eIDAS es un conjunto de reglas de funcionamiento que regula un sistema de gestión de la identidad (nivel 3), la CNUDMI debería elaborar

los demás sistemas de gestión de la identidad.

12. En otras palabras, mientras que eIDAS es un conjunto de reglas de funcionamiento que regula un sistema de gestión de la identidad (nivel 3), la CNUDMI debería elaborar un instrumento que se aplicara a todos los sist emas de gestión de la identidad (nivel 2).

Mientras que eIDAS es un conjunto de reglas de funcionamiento para un sistema de gestión de la identidad del sector público (es decir, que regulan las operaciones de identidad para su uso en el sector público), la CNUDMI debería elaborar un instrumento que se aplicara a los sistemas de gestión de la identidad del sector privado . Específicamente, el instrumento de la CNUDMI deb ería servir de puente entre las reglas de funcionamiento de base contractual por las que se rigen los distintos sistemas de gestión de la identidad del sector privado (nivel 3) y aquellos aspectos de la legislación nacional vigente (nivel 1) que inciden ad versamente en todos los sistemas de gestión de la identidad pero que no pueden resolver las reglas de funcionamiento de los distintos sistemas de gestión de la identidad (como el reconocimiento jurídico de las operaciones de identidad o la responsabilidad civil extracontractual) 1.

13. En cambio, el proyecto establece reglas con respecto a diversas cuestiones que normalmente se regirían por las reglas de funcionamiento de base contractual de cada sistema de gestión de la identidad. Se trata de cuestiones como, por ejemplo, las obligaciones de los proveedores de servicios de gestión de la identidad (art. 6), las obligaciones en caso de violación (art. 7), las obligaciones de los abonados (art. 8) o la responsabilidad de los proveedores de servicios de gestión de la identidad (art. 12).

las obligaciones en caso de violación (art. 7), las obligaciones de los abonados (art. 8) o la responsabilidad de los proveedores de servicios de gestión de la identidad (art. 12). Al mismo tiempo, no define con claridad en qué situaciones las partes contratantes pueden apartarse de la legislación vigente en relación con estos temas y en qué situaciones deben atenerse a la legislación vigente.

14. Además, mientras que el marco de eIDAS, en el cual se basa el proyecto, parte de un mecanismo centralizado para regular, fijar normas y certificar sistemas de gestión de la identidad, no existe un mecanismo centralizado de esa índole con alcance mundial que pueda sustentar un instrumento de la CNUDMI como el que se propone. El proyecto se limita a presuponer que existe dicho mecanismo mundial. A falta de mecanismo, las disposiciones del proyecto relativas al reconocimiento transfronterizo y las normas de fiabilidad plantean una serie de preguntas sin respuesta que exigen un mayor debate en el seno del Grupo de Trabajo. En realidad, eIDAS prevé el reconocimiento de los servicios de confianza prestados por proveedores establecidos fuera de la Unión Europea únicamente cuando se haya celebrado un tipo de acuerdo especificado entre la Unión Europea y el tercer país (art. 14, párr. 1, del Reglamento eIDAS). __________________ 1 Si bien podría decirse que eIDAS incluye elementos del nivel 2 y del ni vel 3 para los proveedores de identidad de los distintos países de la Unión Europea que aceptan participar en el marco único de la Unión Europea, creemos que la CNUDMI debería centrarse exclusivamente en elaborar un instrumento de nivel 2 que se aplicara a todos los proveedores de servicios de gestión de la

de la Unión Europea, creemos que la CNUDMI debería centrarse exclusivamente en elaborar un instrumento de nivel 2 que se aplicara a todos los proveedores de servicios de gestión de la identidad del sector privado. Además, eIDAS funciona como un sistema de gestión de la identidad para su uso en el sector público, mientras que la tarea de la CNUDMI consiste en elaborar un instrumento que se aplique a los sistemas de gestión de la identidad del sector privado.A/CN.9/WG.IV/WP.165

5/24 V.20-05631

15. El hecho de que el proyecto siga el patrón de la Ley Modelo de la CNUDMI sobre las Firmas Electrónicas no solo es incongruente con el modelo eIDAS, sino que también resulta inapropiado. Las firmas electrónicas son relativamente simples y están estandarizadas, mientras que los sistemas de gestión de la identidad son más complejos y tienen múltiples dimensiones. Por ejemplo, en las firmas electrónicas suelen intervenir dos partes, mientras que en los sistemas de gestión de la identidad participan muchas partes. Las normas que contiene la Ley Modelo sobre las Firmas Electrónicas simplemente no funcionan para los sistemas de gestión de la identidad.

16. Estas cuestiones fundamentales plantean interrogantes muy básicos pero esenciales: ¿de qué manera se beneficiarían los Estados del enfoque reflejado en el proyecto una vez que se adoptara? A falta de mecanismo centralizado que regule o certifique los sistemas de gestión de identidad o los servicios de confianza, ¿cómo logrará el texto alcanzar los objetivos planteados, por ejemplo en relación con el reconocimiento transfronterizo o las normas de fiabilidad? Si, por lo que entienden los Estados Unidos, la intención es que el proyecto se aplique a los sistemas de gestión de

logrará el texto alcanzar los objetivos planteados, por ejemplo en relación con el reconocimiento transfronterizo o las normas de fiabilidad? Si, por lo que entienden los Estados Unidos, la intención es que el proyecto se aplique a los sistemas de gestión de la identidad del sector privado, ¿qué relación guardan las normas establecidas en el proyecto con las reglas de funcionamiento establecidas por las partes contratantes por las cuales se rige un sistema de gestión de la identidad?

17. Los Estados Unidos dieron a conocer anteriormente su postura con respecto al modelo de la Secretaría y respondieron por escrito a la versión más reciente del texto, y el apéndice de la presente nota contiene un análisis del proyecto artículo por artículo.

Sin embargo, los Estados Unidos opinan que, antes de seguir avanzando en el proyecto, el Grupo de Trabajo debería acometer un debate conceptual para aclarar cómo encajará el proy ecto en el marco jurídico general por el que se rigen los sistemas de gestión de la identidad. Si bien los Estados Unidos agradecen la ingente labor que ha supuesto la elaboración del proyecto y los esfuerzos que se han hecho por consensuar el documento, cabría lamentar que el Grupo de Trabajo se adentrara en un camino que desembocara un instrumento de escasa utilidad para los Estados Miembros o los sistemas de gestión de la identidad del sector privado.

18. Como se apunta en el presente documento, existen diversos ámbitos en los que el proyecto regula temas que son apropiados y pertinentes para la cuestión de los sistemas de gestión de la identidad pero en los que el enfoque resulta inviable, y es en esos ámbitos en los que el Grupo de Trabajo tal vez pueda tomar el proyecto como punto de partida e incorporar cambios conceptuales en las disposiciones actuales. En otros

de gestión de la identidad pero en los que el enfoque resulta inviable, y es en esos ámbitos en los que el Grupo de Trabajo tal vez pueda tomar el proyecto como punto de partida e incorporar cambios conceptuales en las disposiciones actuales. En otros ámbitos, estaría justificado introducir cambios de mayor calado o suprimir algunos elementos.

19. Los Estados Unidos ofrecen el marco que figura en la sección III infra como guía del debate conceptual que ayudará a trazar la senda de cara al futuro.

II. Información de antecedentes sobre los sistemas de gestión de la identidad

20. Creemos que este proyecto debería tener como objetivo el establecimiento de un marco jurídico que permitiera y fomentara el desarrollo de un ecosistema robusto en materia de identidad, en el cual pudieran prosperar múltiples sistemas de gestión de la identidad de toda clase procedentes del sector privado y estos pudieran respaldar el comercio nacional e internacional. Para ello, es necesario centrarse en identificar las barreras o las lagunas de la legislación nacional vigente que deben solventarse. Además, a fin de fomentar el desarrollo de sistemas de gestión de la identidad nuevos y diferentes, es importante que el Grupo de Trabajo evite soluciones únicas para las cuestiones y los problemas que deberían regirse por las reglas de funcionamiento singulares de base contractu al establecidas por los distintos sistemas de gestión de la identidad.A/CN.9/WG.IV/WP.165

V.20-05631 6/24

21. Con objeto de identificar las barreras y las lagunas en el marco jurídico de la gestión de la identidad que deben resolverse, en primer lugar es necesario emprender las siguientes acciones: • Examinar los conceptos de “ operación de identidad ” y “sistema de gestión de la

gestión de la identidad que deben resolverse, en primer lugar es necesario emprender las siguientes acciones: • Examinar los conceptos de “ operación de identidad ” y “sistema de gestión de la identidad” ; • Examinar la necesidad de disponer de reglas de funcionamiento por las que se rija el funcionamiento de cada sistema de gestión de la identidad del sector privado, así como la función de dichas reglas; y • Comprender el marco jurídico general por el que se rigen los sistemas de gestión de la identidad, así como los casos y la forma en que el instrumento de la CNUDMI podría ayudar o enca jar.

22. Una vez puesto en antecedentes, el Grupo de Trabajo puede proceder a determinar las cuestiones jurídicas que no pueden resolverse en las reglas de funcionamiento singulares de base contractual que forman parte de cada sistema de gestión de la identidad y que, por ende, tienen que ser reguladas mediante adiciones y cambios en la legislación nacional utilizando a tal fin un instrumento jurídico elaborado por la CNUDMI.

A. Operaciones de identidad

23. Las operaciones de identidad son comunicaciones en las que una parte que confía recibe información de identidad sobre un individuo 2 (identificación), junto con la verificación de que la persona que alega ser dicho individuo es, de hecho, dicho individuo (autenticación). Suelen llevarse a cabo a los efectos de: 1) participar en algún tipo de operación con el sujeto (por ejemplo, celebrar un contrato, realizar alguna prestación, comunicar información, etc.) o 2) conferir al sujeto acceso a algún tipo de instalación digital o física (por ejemplo, sitio web, base de datos, edificio, etc.).

24. Las operaciones de identidad suelen requerir 1) la recopilación y verificación

instalación digital o física (por ejemplo, sitio web, base de datos, edificio, etc.).

24. Las operaciones de identidad suelen requerir 1) la recopilación y verificación de información (atributos) sobre un determinado sujeto de datos (un proceso de identificación), 2) la emisión de una credenc ial que contenga uno o varios de esos atributos (un proceso de emisión de la credencial) y 3) la asociación de los atributos de identidad que figuran en esa credencial con una persona específica, que a menudo es remota (es decir, un proceso de autenticación). A través de esos procesos, las operaciones de identidad están diseñadas para verificar la identidad de un individuo y autenticar la relación de esa identidad con una persona específica.

25. Así, por ejemplo, la acción de presentar el pasaporte en la fr ontera para poder ser admitido en un país es una operación de identidad. En ese caso, a la parte que confía

(el agente de control fronterizo) se le presentan atributos de identidad verificados anteriormente acerca de un individuo (que constan en el pasapor te), junto con un método para verificar que la persona que presenta el pasaporte es el individuo designado en el pasaporte (es decir, a través de la fotografía o de los datos de las huellas dactilares integrados en el pasaporte). Del mismo modo, el proceso de iniciar sesión en una red en línea con un nombre de usuario y una contraseña a fin de poder acceder a una base de datos es una operación de identidad. Conlleva la asociación (a través de la contraseña secreta) de atributos de identidad verificados anteriormente acerca de un individuo (designado a través del nombre de usuario) con una persona que pretende hacerse pasar por dicho individuo (es decir, la persona que introduce el nombre de usuario).

__________________

secreta) de atributos de identidad verificados anteriormente acerca de un individuo (designado a través del nombre de usuario) con una persona que pretende hacerse pasar por dicho individuo (es decir, la persona que introduce el nombre de usuario).

__________________ 2 El sujeto de la operación de identidad podría ser una persona física, una entidad, un dispositivo o un objeto digital. El presente documento se centrará en las personas físicas, puesto que hasta la fecha el debate del Grupo de Trabajo se ha centrado en ellas.A/CN.9/WG.IV/WP.165

7/24 V.20-05631

B. Los sistemas de gestión de la identidad son sistemas multipartitos diseñados para facilitar las operaciones de identidad

26. Los sistemas de gestión de la identidad son combinaciones coherentes de entidades participantes, procesos y tecnología, en las cuales cada participante ejerce las responsabilidades de uno o más papeles predefinidos 3, de conformidad con un conjunto predefinido de procesos, políticas y procedimientos jurídicamente vinculantes, con el fin de facilitar operaciones de identidad.

27. Los sistemas de gestión de la identidad son sistemas multipartitos complejos.

Intervienen en ellos múltiples participantes que ejercen varios papeles, como autoridades de registro, comprobadores de identidad, proveedores de atributos, proveedores de servicios de confianza, proveedores de identidad, proveedores de credenciales, proveedores de servicios de verificación, hubs, etc. Coordinan la labor necesaria para recopilar y verificar la identidad (atributos) de un sujeto de datos, emitir una credencial que contenga uno o varios de esos atributos y autenticar esos atributos de identidad con una persona específica en el contexto de una operación de identidad.

necesaria para recopilar y verificar la identidad (atributos) de un sujeto de datos, emitir una credencial que contenga uno o varios de esos atributos y autenticar esos atributos de identidad con una persona específica en el contexto de una operación de identidad. Estos participantes trabajan juntos con objeto de facilitar las operaciones de identidad para múltiples partes que confían.

28. En cuanto a la complejidad de la estructura, los sistemas de gestión de la identidad presentan analogías con los sistemas de tarjetas de crédito establecidos con la finalidad de facilitar las operaciones de crédito (como MasterCar d o Visa) o con los sistemas de pagos electrónicos establecidos con la finalidad de facilitar las operaciones de pago

(como SWIFT o ACH). Si bien cada uno de estos sistemas está diseñado utilizando una estructura diferente y sirve un propósito distinto, to dos ellos son sistemas multipartitos diseñados para facilitar un determinado tipo de operación económica (operaciones con una tarjeta de crédito, de pago o de identidad).

29. La estructura de los sistemas de gestión de la identidad puede variar considerabl emente. Por ejemplo, los sistemas de gestión de la identidad pueden ser sistemas centralizados (un único proveedor de identidad facilita las operaciones de identidad para múltiples partes que confían), sistemas federados (un conjunto limitado de proveedores de identidad almacenan y proveen de manera centralizada información de identidad de los usuarios a fin de facilitar las operaciones de identidad con una o múltiples partes que confían) o sistemas descentralizados (múltiples proveedores de identidad autentican la información de identidad almacenada localmente por los usuarios a fin de facilitar las operaciones de identidad con múltiples partes que confían).

Esta variedad en la estructura de los sistemas de gestión de la identidad es una de las

identidad autentican la información de identidad almacenada localmente por los usuarios a fin de facilitar las operaciones de identidad con múltiples partes que confían). Esta variedad en la estructura de los sistemas de gestión de la identidad es una de las razones fundamentales por las que el instrumento elaborado por el Grupo de Trabajo no puede adoptar un enfoque único con respecto a numerosas cuestiones.

C. Los sistemas de gestión de la identidad necesitan reglas de funcionamiento jurídicamente vinculantes

30. Habida cuenta de que los sistemas de gestión de la identidad son sistemas multipartitos complejos, la coordinación y la cooperación de las entidades participantes resultan imprescindibles para lograr el objetivo deseado. Por tanto, los sistemas de gestión de la identidad requieren una estructura organizada, orientada a los objetivos e integrada por entidades participantes interrelacionadas e interdependientes que desempeñen diversos papeles, ejecuten un conjunto de procesos detallados y se atengan a un conjunto de políticas y procedimientos, diseñados en su conjunto para lograr un objetivo específico: facilitar las operaciones de identidad. __________________ 3 A modo de ejemplo, se pueden citar, entre otros, los papeles de autoridad de registro, comprobador de identidad, proveedor de identidad, intermediario, hub, proveedor de atributos y parte que confía.A/CN.9/WG.IV/WP.165

V.20-05631 8/24

31. Asimismo, dado que en los sistemas de gestión de la identidad intervienen múltiples entidades participantes independ ientes que pueden interactuar entre sí para ejecutar una serie de operaciones complejas, los sistemas de gestión de la identidad no funcionan automáticamente por sí solos, sino que cada uno de los participantes debe

múltiples entidades participantes independ ientes que pueden interactuar entre sí para ejecutar una serie de operaciones complejas, los sistemas de