CNUDMI - A-CN.9-WG.IV-WP.167

Naciones Unidas A/CN.9/WG.IV/WP.167

Asamblea General

Distr. limitada 26 de enero de 2021

Español Original: inglés

V.21 -00521 (S) 240221 240221 2100521

Comisión de las Naciones Unidas para el Derecho Mercantil Internacional Grupo de Trabajo IV (Comercio Electrónico) 61er período de sesiones Nueva York (en línea), 5 a 9 de abril de 2021

Proyecto de disposiciones sobre la utilización y el reconocimiento transfronterizo de sistemas de gestión de la identidad y servicios de confianza

Nota de la Secretaría

Índice Página

I. Introducción ................................ ................................ ... 2

Anexo Proyecto de disposiciones sobre la utilización y el reconocimiento transfronterizo de sistemas de gestión de la identidad y servicios de confianza ................................ ........ 3A/CN.9/WG.IV/WP.167

V.21-00521 2/18

I. Introducción

1. En la versión revisada del proyecto de disposiciones sobre la utilización y el reconocimiento transfronterizo de sistemas de gestión de la identidad y servicios de confianza que figura en el anexo del presente documento (el “presente proyecto”) se recogen las deliberaciones sostenidas por el Grupo de Trabajo en su 60º período de sesiones (Viena, 19 a 23 de octubre de 2020), de las que se informó en el documento

A/CN.9/1045 1.

2. En el documento A/CN.9/WG.IV/WP.166 , párrafos 4 a 17, figura información de

A/CN.9/1045 1.

2. En el documento A/CN.9/WG.IV/WP.166 , párrafos 4 a 17, figura información de antecedentes sobre la labor que está llevando a cabo el Grupo de Trabajo IV.

__________________ 1 En las notas de pie de página que acompañan al presente proyecto se denomina “proyecto anterior” al proyecto de disposiciones que el Grupo de Trabajo examinó en su 60º período de sesiones y que figura en el documento A/CN.9/WG.IV/WP.162 . En el proyecto también se hace referencia a otros textos de la CNUDMI sobre comercio electrónico, a saber, la Ley Modelo de la CNUDMI sobre Comercio Electrónico ( “LMCE”), la Ley Modelo de la CNUDMI sobre las Firmas Electrónicas (“LMFE”), la Convención de las Naciones Unidas sobre la Utilización de las Comunicaciones Electrónicas en los Contratos Internacionales (“CCE”) y la Ley Modelo de la CNUDMI sobre Documentos Transmisibles Electrónicos (“LMDTE”).A/CN.9/WG.IV/WP.167

3/18 V.21-00521

Anexo

Proyecto de disposiciones2 sobre la utilización y el reconocimiento transfronterizo de sistemas de gestión de la identidad y servicios de confianza

Capítulo I. Disposiciones generales

Artículo 1. Definiciones

A los efectos del presente [instrumento]: a) Por “atributo” se entenderá un elemento de información o datos vinculados a una persona; b) Por “mensaje de datos” se entenderá la información generada, enviada, recibida o archivada por medios electrónicos, magnéticos, ópticos o similares;

a una persona; b) Por “mensaje de datos” se entenderá la información generada, enviada, recibida o archivada por medios electrónicos, magnéticos, ópticos o similares; c) Por “identif icación electrónica” [“autenticación”], en el contexto de los servicios de gestión de la identidad, se entenderá un proceso utilizado para obtener una garantía suficiente de la vinculación entre una persona y una identidad 3; d) Por “identidad” se entend erá un conjunto de atributos que permiten distinguir a una persona de manera inequívoca en un contexto particular; e) Por “credenciales de identidad” se entenderán los datos, o el objeto físico en que pueden residir los datos, que una persona puede prese ntar para la identificación electrónica 4; f) Por “servicios de gestión de la identidad” se entenderán los servicios que consisten en gestionar la comprobación de la identidad o la identificación electrónica de personas en forma electrónica 5; g) Por “ proveedor de servicios de gestión de la identidad” se entenderá una persona que presta servicios de gestión de la identidad 6; __________________ 2 Forma del instrumento : Durante las deliberaciones preliminares sobre esta cuestión que se llevaron a cabo en el 59º período de sesiones del Grupo de Trabajo, se expresó una preferencia clara por que el instrumento a doptara la forma de ley modelo, y no la de convención ( A/CN.9/1005 , párr. 123). En el presente proyecto se utiliza el término “[instrumento]” a la espera de que el Grupo de Trabajo tome una decisión al respe cto cuando transmita el instrumento a la Comisión para su aprobación. 3 Definiciones – “identificación electrónica” : En el presente proyecto se sigue utilizando el término

Grupo de Trabajo tome una decisión al respe cto cuando transmita el instrumento a la Comisión para su aprobación. 3 Definiciones – “identificación electrónica” : En el presente proyecto se sigue utilizando el término “identificación electrónica” en lugar de “autenticación” para responder a las preoc upaciones relacionadas con los múltiples significados del término “autenticación” ( A/CN.9/1005 , párrs. 13, 84 a 86 y 92). En el 60º período de sesiones del Grupo de Trabajo se expresó apoyo al empleo del término “autenticación” ( A/CN.9/1045 , párr. 134) y el Grupo de Trabajo convino en colocar entre corchetes las definiciones de “autenticación” e “identificación electrónica” para volver a examinarlas más adelant e (ibid., párr. 136). Dado que la definición de “autenticación” en el proyecto anterior solo se utilizaba en el contexto de los servicios de confianza (es decir, como “un proceso utilizado para atribuir un identificador a un objeto”), en el presente proyecto el término “autenticación” (y no la definición de dicho término) se colocó entre corchetes. 4 Definiciones – “credenciales de identidad ”: El Grupo de Trabajo examinó esta definición en su 60º período de sesiones ( A/CN.9/1045 , párr. 137). En el presente proyecto, la definición se modificó mediante la sustitución de las palabras “la identificación electrónica de su identidad en forma electrónica” por las palabras “la identificación electrónic a” para evitar la redundancia. El Grupo de Trabajo tal vez desee confirmar la versión modificada de la definición. 5 Definiciones – “Servicios de gestión de la identidad” : Esta definición refleja el entendimiento de

El Grupo de Trabajo tal vez desee confirmar la versión modificada de la definición. 5 Definiciones – “Servicios de gestión de la identidad” : Esta definición refleja el entendimiento de que la gestión de la identidad comprend e dos etapas (o fases): la “comprobación de la identidad” y la “identificación electrónica”. El Grupo de Trabajo tal vez desee analizar si en la definición de “servicios de gestión de la identidad” debería hacerse referencia a las funciones enumeradas en e l art. 6 a). En ese caso, se podrían añadir al final de la definición las palabras “, incluidos los servicios enumerados en el art. 6 a)”. 6 Definiciones – “proveedor de servicios de gestión de la identidad” : El Grupo de Trabajo tal vez desee considerar l a posibilidad de insertar las palabras “cualquier tipo de” antes de “servicios deA/CN.9/WG.IV/WP.167

V.21-00521 4/18

h) Por “sistema de gestión de la identidad” se entenderá un conjunto de funciones y capacidades utilizadas para gestionar la co mprobación de la identidad y la identificación electrónica de personas en forma electrónica; i) Por “comprobación de la identidad” se entenderá el proceso de reunión, verificación y validación de atributos que sean suficientes para definir y confirmar la identidad de una persona en un contexto en particular; j) Por “abonado” se entenderá una persona que celebra un contrato de prestación de servicios de gestión de la identidad o servicios de confianza con un proveedor de servicios de gestión de la identi dad o un proveedor de servicios de confianza 7; k) Por “servicio de confianza” se entenderá un servicio electrónico que ofrece garantías de determinadas propiedades de un mensaje de datos e incluye firmas

proveedor de servicios de gestión de la identi dad o un proveedor de servicios de confianza 7; k) Por “servicio de confianza” se entenderá un servicio electrónico que ofrece garantías de determinadas propiedades de un mensaje de datos e incluye firmas electrónicas, sellos electrónicos, sellos de tiem po electrónicos, autenticación de sitios web, archivado electrónico y servicios de entrega electrónica certificada 8; l) Por “proveedor de servicios de confianza” se entenderá una persona que presta uno o más servicios de confianza.

Artículo 2. Ámbito d e aplicación

1. El presente [instrumento] será aplicable a la utilización y el reconocimiento transfronterizo de sistemas de gestión de la identidad y servicios de confianza en el contexto de actividades comerciales y servicios relacionados con el comerci o.

2. Nada de lo dispuesto en este [instrumento] exigirá: a) la identificación de una persona; b) la utilización de un servicio concreto de gestión de la identidad, ni c) la utilización de un servicio de confianza concreto.

3. Nada de lo dispuesto en el presente [instrumento] afectará a obligación legal alguna de identificar a una persona [o utilizar un servicio de confianza] de conformidad con un procedimiento definido o establecido en la ley 9.

4. Salvo en los casos previstos en el prese nte [instrumento], nada de lo dispuesto en [él] afectará a la aplicación a los servicios de gestión de la identidad o a los servicios de __________________ gestión de la identidad” a fin de aclarar que no todas las funciones enumeradas en el art. 6 pueden ser pertinentes para todos los sistemas de gestión de la identidad y que, por consiguiente, es

__________________ gestión de la identidad” a fin de aclarar que no todas las funciones enumeradas en el art. 6 pueden ser pertinentes para todos los sistemas de gestión de la identidad y que, por consiguiente, es posible que un proveedor de servicios de gestión de la identidad no desempeñe todas y cada una de las funciones enumeradas ( A/CN.9/1045 , párr. 88). 7 Definiciones – “abonado” : En el 59º período de sesiones se expresó preferencia por el uso del término “abonado” para hacer referencia a la persona a la que se prestan los servicios (A/CN.9/1005 , párrs. 43 y 96). En su 60º período de sesion es, el Grupo de Trabajo confirmó su apoyo a la definición de “abonado” que figura en el presente proyecto ( A/CN.9/1045 , párr. 22). Se añadió que el autor de una firma electrónica quedaría comprendido en la d efinición ( ibid.) y se propuso que las partes que confiaban quedaran excluidas ( ibid., párr. 18). 8 Definiciones – “servicios de confianza” : El Grupo de Trabajo no examinó el término “servicios de confianza” en su 60º período de sesiones. De acuerdo con l as deliberaciones sostenidas por el Grupo de Trabajo en su 59º período de sesiones, la definición (que no varía con respecto al proyecto anterior) combina una definición “abstracta” independiente, que se centra en la veracidad y autenticidad de los datos s ubyacentes, con una lista no exhaustiva de los servicios de confianza comprendidos en el proyecto de instrumento ( A/CN.9/1005 , párr. 18).

y autenticidad de los datos s ubyacentes, con una lista no exhaustiva de los servicios de confianza comprendidos en el proyecto de instrumento ( A/CN.9/1005 , párr. 18). 9 Preservar la aplicación de las leyes que exigen un procedimiento d eterminado : El art. 2, párr. 3, se aplica para limitar el uso de la gestión de la identidad. El Grupo de Trabajo tal vez desee plantearse si esta norma debería hacerse extensiva a la limitación del uso de servicios de confianza y, en caso afirmativo, si de bería insertarse el texto que figura entre corchetes. En la LMCE y la LMFE se siguió un criterio diferente, ya que en ellas se limita el uso de los servicios de confianza a su ámbito de aplicación respectivo (por ejemplo, las firmas electrónicas) al instar a las jurisdicciones promulgantes a que especifiquen determinadas excepciones (por ejemplo, remitiéndose a leyes concretas): véanse el art. 7, párr. 3, de la LMCE y el art. 1 de la LMFE (así como las notas correspondientes).A/CN.9/WG.IV/WP.167

5/18 V.21-00521

confianza de cualquier [norma jurídica aplicable, incluida cualquier] 10 norma jurídica que sea aplicable a la protecció n y la privacidad de los datos 11.

Artículo 3. Utilización voluntaria de sistemas de gestión de la identidad y servicios de confianza 12

1. Nada de lo dispuesto en el presente [instrumento] obligará a persona alguna a utilizar un servicio de gestión de la identidad o un servicio de confianza sin su consentimiento.

y servicios de confianza 12

1. Nada de lo dispuesto en el presente [instrumento] obligará a persona alguna a utilizar un servicio de gestión de la identidad o un servicio de confianza sin su consentimiento.

2. A los efectos de lo dispuesto en el párrafo 1, el consentimiento de una persona podrá inferirse de su conducta.

Artículo 4. Interpretación

1. En la interpretación del presente [instrumento] se tendrán en cuenta su carácter internacional y la necesidad de promover la uniformidad en su aplicación y la observancia de la buena fe en el comercio internacional.

2. Las cuestiones relativas a las materias que se rigen por el presente [i nstrumento] que no estén expresamente resueltas en él se dirimirán de conformidad con los principios generales en que [este] se basa[ o, a falta de tales principios, de conformidad con la ley aplicable en virtud de las normas del derecho internacional priv ado] 13.

__________________ 10 Preservar la aplicación de otras leyes nacionales : El art. 2, párr. 4, se redactó antes de que el Grupo de Trabajo deliberara sobre la forma del instrumento. El Grupo de Trabajo tal vez desee considerar la posibilidad de suprimir las palabras que figuran entre corchetes en caso de q ue el proyecto de disposiciones adopte la forma de ley modelo (véase la nota 2 supra ). Los textos de la CNUDMI parten de la base de que las disposiciones de una ley modelo se incorporarán al derecho interno de la jurisdicción promulgante como parte de su legislación, y que se les aplicarán las normas vigentes en esa jurisdicción que traten de los conflictos de leyes. Si bien las leyes modelo de la CNUDMI pueden preservar expresamente la aplicación de determinadas leyes

las normas vigentes en esa jurisdicción que traten de los conflictos de leyes. Si bien las leyes modelo de la CNUDMI pueden preservar expresamente la aplicación de determinadas leyes (por ejemplo, el art. 1, párr. 2, de la LMDTE ), no preservan la aplicación de “cualquier” otra ley que no sea la ley modelo. Además, puede entenderse erróneamente que la referencia a la ley “aplicable” es una remisión a la ley aplicable en virtud de las normas pertinentes del derecho internac ional privado. Véase también la nota 19 en lo que respecta a la relación entre el art. 2, párr. 4. y el art. 7. 11 Preservar las leyes de protección y privacidad de los datos : En el 60º período de sesiones del Grupo de Trabajo se sugirió que en el art. 2, párr. 4, se hiciera referencia a “la protección y privacidad de los datos” (y no a “la privacidad y la protección de datos”) para reconocer que la disposición se refería únicamente a la “privacidad de los datos” y no a la privacidad en otros contextos. El Grupo de Trabajo tal vez desee confirmar que así se haga, tal como se refleja en el presente proyecto. 12 Utilización voluntaria de sistemas de gestión de la identidad y servicios de confianza : El art. 3 se mantiene sin cambios con respecto al proyecto ant erior (véase A/CN.9/1045 , párr. 80). Se basa en el art. 8, párr. 2, de la CCE, que trata de la utilización y aceptación voluntarias de las comunicaciones electrónicas. El Grupo de Trabajo convino en que la d isposición debería proteger tanto al abonado como a la parte que confía de la imposición de cualquier nueva obligación de

comunicaciones electrónicas. El Grupo de Trabajo convino en que la d isposición debería proteger tanto al abonado como a la parte que confía de la imposición de cualquier nueva obligación de utilizar sistemas de gestión de la identidad o servicios de confianza ( A/CN.9/1005 , párr. 116). En consonancia con el art. 8, párr. 2, de la CCE, el Grupo de Trabajo tal vez desee considerar la posibilidad de añadir las palabras “o aceptar” después de la palabra “utilizar”. Quizás desee estudiar también la posibilidad de sustituir “un serv icio de gestión de la identidad o un servicio de confianza” por “la identificación electrónica o un servicio de confianza”. 13 Principios generales : El art. 4, párr. 2, refleja lo dispuesto en el art. 5, párr. 2, de la CCE. El Grupo de Trabajo tal vez dese e estudiar la posibilidad de suprimir el texto que figura entre corchetes. En el 59º período de sesiones se explicó que sería útil hacer referencia a la interpretación con arreglo a la ley aplicable si el instrumento adoptaba la forma de convención (A/CN.9/1005 , párr. 117; véase además la explicación que figura en el documento A/CN.9/527 , párr. 124). Ninguna de las leyes modelo de la CNUDMI sobre comercio electr ónico contiene esta referencia adicional. Como ya se señaló (nota 10), los textos de la CNUDMI parten de la base de que las disposiciones de una ley modelo se incorporarán al derecho interno de la jurisdicción promulgante como parte de su legislación, y qu e se les aplicarán las normas generales en materia de interpretación que rijan en esa jurisdicción.A/CN.9/WG.IV/WP.167

promulgante como parte de su legislación, y qu e se les aplicarán las normas generales en materia de interpretación que rijan en esa jurisdicción.A/CN.9/WG.IV/WP.167

V.21-00521 6/18

Capítulo II. Gestión de la identidad

Artículo 5. Reconocimiento jurídico de sistemas de gestión de la identidad 14

A reserva de lo dispuesto en el artículo 2, párrafo 3, no se negarán efectos jurídicos, ni validez, ni fuerza ejecutoria, ni admisibilidad como prueba a la identificación electrónica de una persona por la sola razón: a) de que la comprobación de la identidad y la identificación electrónica se hayan hecho en forma electrónica, o b) de que el sistema de gestión de la identidad no sea uno designado de conformidad con el artículo 11.

Artículo 6. Obligaciones de los proveedores de servicios de gestión de la identidad 15

Todo proveedor de servicios de gestión de la identidad deberá [como mínimo] 16: a) tener en vigor las normas operacionales, procedimientos y prácticas que resulten apropiados, conforme a la finalidad y el diseño 17 del sistema de gestión de la identidad, para establecer [como mínimo] 18 los requisitos que deberán cumplirse a los siguientes efectos: i) inscribir personas, en particular mediante: a. el registro y la reunión de atributos; b. la comprobación y verificación de la identidad, y c. la vinculación de las credenciales de identidad a la persona; ii) actualizar atributos; __________________ 14 Reconocimiento jurídico de sistemas de gestión de la identidad – generalidades : Se modificó la

c. la vinculación de las credenciales de identidad a la persona; ii) actualizar atributos; __________________ 14 Reconocimiento jurídico de sistemas de gestión de la identidad – generalidades : Se modificó la redacción del art. 5 para reflejar las decisiones adoptada s por el Grupo de Trabajo en su 60º período de sesiones ( A/CN.9/1045 , párr. 84). 15 Obligaciones de los proveedores de servicios de gestión de la identidad : Se modificó la redacción del art. 6 para reflejar las decisiones adoptadas por el Grupo de Trabajo en su 60º período de sesiones ( A/CN.9/1045 , párr. 95). En ese período de sesiones se explicó que, en el caso de los sistemas de gestión de la identidad del se ctor privado, las funciones enumeradas se regirían normalmente por normas contractuales. Se observó que no todas las funciones enumeradas en el art. 6 serían pertinentes para todos los proveedores de servicios de gestión de la identidad (por ejemplo, los sistemas pluripartitos de gestión de la identidad). También se observó que el art. 6 debería garantizar que el proveedor de los servicios de gestión de la identidad siguiera siendo responsable de todo el conjunto de servicios de gestión de la identidad prestados al abonado (es decir, de todas las funciones enumeradas en el art. 6), y que el art. 6 no impedía que el proveedor de los servicios tercerizara cualquiera de las funciones o distribuyera el riesgo entre sus contratistas ( ibid., párrs. 90 y 91). 16 Las palabras “como mínimo” se insertaron para indicar que las funciones enumeradas representan las “obligaciones fundamentales” del proveedor de servicios de gestión de la identidad, que pueden

contratistas ( ibid., párrs. 90 y 91). 16 Las palabras “como mínimo” se insertaron para indicar que las funciones enumeradas representan las “obligaciones fundamentales” del proveedor de servicios de gestión de la identidad, que pueden complementarse con obligaciones contractuales est ipuladas con arreglo a las normas operacionales (véase A/CN.9/WG.IV/WP.160 ). El Grupo de Trabajo quizás desee confirmar que también tienen por efecto no dejar margen para ningún apartamiento de esas funciones por la vía del contrato. 17 En el 60º período de sesiones del Grupo de Trabajo se explicó que las palabras “conforme a la finalidad y el diseño” tenían por objeto otorgar flexibilidad para diseñar los sistemas de gestión de identidad ( A/CN.9/1045 , párr. 90). El Grupo de Trabajo tal vez desee plantearse si no sería más apropiado hacer referencia a la “estructura” de un sistema de gestión de la identidad (en lugar de a su “diseño”). 18 Las palabras “c omo mínimo” se insertaron en el art. 6 a) a raíz de las deliberaciones sostenidas durante el 60º período de sesiones del Grupo de Trabajo y tienen por objeto responder a la preocupación, ya señalada en la nota 15, de que la redacción del nuevo apartado a) pudiera permitir que un proveedor de servicios de gestión de la identidad se eximiera de responsabilidad por el cumplimiento de funciones relacionadas con el servicio de gestión de la identidad que fueran desempeñadas por un contratista (por ejemplo, una e ntidad independiente en un sistema pluripartito de gestión de la identidad del sector privado) (véase A/CN.9/1045 , párr. 90). El Grupo de Trabajo tal vez desee plantearse si las palabras “como mínimo” que fi guran en el

pluripartito de gestión de la identidad del sector privado) (véase A/CN.9/1045 , párr. 90). El Grupo de Trabajo tal vez desee plantearse si las palabras “como mínimo” que fi guran en el encabezamiento del art. 6 ya resuelven esa preocupación y si, por lo tanto, se podrían eliminar las palabras del art. 6 a).A/CN.9/WG.IV/WP.167

7/18 V.21-00521

1. gesti onar credenciales de identidad, en particular mediante: a. la emisión, entrega y activación de credenciales; b. la suspensión, revocación y reactivación de credenciales, y c. la renovación y sustitución de credenciales; iv) gestionar la identificac ión electrónica de personas, en particular mediante: a. la gestión de factores de identificación electrónica, y b. la gestión de mecanismos de identificación electrónica; b) actuar de conformidad con las normas operacionales, procedimientos y práctic as; c) garantizar la disponibilidad en línea y el correcto funcionamiento del sistema de gestión de la identidad; d) proporcionar un acceso razonable a las normas operacionales, procedimientos y prácticas, y e) proporcionar medios razonables para que el abonado notifique de conformidad con el artículo 8.

Artículo 7. Obligaciones de los proveedores de servicios de gestión de la identidad en caso de violación de los datos 19

1. En el caso de que se produzca una falla de seguridad o una pérdida de integridad que tenga un impacto considerable en el sistema de gestión de la identidad, incluidos los atributos que en él se gestionan, el proveedor de los servicios deberá:

1. En el caso de que se produzca una falla de seguridad o una pérdida de integridad que tenga un impacto considerable en el sistema de gestión de la identidad, incluidos los atributos que en él se gestionan, el proveedor de los servicios deberá: a) tomar todas las medidas razonables para contener la falla o la pérdida, incluida, cuando proceda, la suspensión del servicio afectado o la revocación de las credenciales de identidad afectadas; b) subsanar la falla o la pérdida; c) notificar la falla o la pérdida de acuerdo con la ley 20,21.

2. Si una p ersona notifica una falla de seguridad o una pérdida de integridad al proveedor de servicios de gestión de la identidad, este deberá: a) investigar la posible falla o pérdida, y __________________ 19 Obligaciones de los proveedores de servicios de gestión de la identidad en caso de violación de los datos : El Grupo d e Trabajo tal vez desee confirmar que el art. 7 establece una norma mínima de la que no pueden apartarse las normas operacionales del sistema de gestión de la identidad ni otros acuerdos contractuales, teniendo en cuenta la opinión predominante del Grupo d e Trabajo de que en el art. 14, párr. 2, se establece una norma mínima como la mencionada ( A/CN.9/1045 , párr. 19). El Grupo de Trabajo tal vez desee también aclarar –a la luz de la salvedad que figura en el art. 2, párr. 4, de que el instrumento no afectará a las leyes sobre protección y privacidad de los datos “salvo en los casos previstos en el presente instrumento” – la relación que existe entre el art.

el art. 2, párr. 4, de que el instrumento no afectará a las leyes sobre protección y privacidad de los datos “salvo en los casos previstos en el presente instrumento” – la relación que existe entre el art. 7 y esas leyes (con respecto a la opinión según la cua l el art. 7 sólo sería de aplicación efectiva en las jurisdicciones que no tuvieran leyes sobre protección y privacidad de los datos, véase A/CN.9/1045 , párrs. 97 y 98). 20 Referencias a la “ley aplicable” : En consonancia con otras leyes modelo de la CNUDMI sobre comercio electrónico, en el presente proyecto se hace referencia a “la ley” en lugar de a “la ley aplicable”. 21 Función de otras leyes que rigen el tratamiento de las fallas de seguridad de los dato s: En el 60º período de sesiones del Grupo de Trabajo se indicó que varias de las medidas enumeradas en el art. 7 podían estar comprendidas en las leyes sobre protección y privacidad de los datos, y que, por consiguiente, todas las medidas enumeradas, no solo la notificación, debían ejecutarse de conformidad con la ley aplicable ( A/CN.9/1045 , párr. 99). El Grupo de Trabajo quizás desee considerar la posibilidad de suprimir las palabras “de acu erdo con la ley en el art. 7, párr. 1 c), y, en consonancia con el criterio esbozado en la nota 20, insertar las palabras “, de conformidad con la ley” al final del encabezamiento del párr. 1 del art. 7.A/CN.9/WG.IV/WP.167

V.21-00521 8/18

b) adoptar cualquier otra medida que sea apropiada conforme a lo dispuesto en el párrafo 1.

V.21-00521 8/18

b) adoptar cualquier otra medida que sea apropiada conforme a lo dispuesto en el párrafo 1.

Artículo 8. Obligaciones de los abonados 22

El abonado deberá notificar al proveedor de servicios de gestión de la identidad utilizando los medios que este le hubiere proporcionado de conformidad con el artículo 6, o empleando otros medios razonables de notificación, en los siguientes casos: a) cuando el abonado sepa que sus credenciales de identidad se han visto [o pueden haberse visto] comprometidas, o [b) cuando las circunstancias de que tenga conocimiento el abonado den lugar a un riesgo considerable de que sus credenciales de identidad puedan haberse visto comprometidas.] 23

Artículo 9. Identificación de personas mediante la gestión de la identidad 24

1. A reserva de lo dispuesto en el artículo 2, párrafo 3, cuando una norma jurídica requiera o permita que se identifique a una persona [con un fin determinado], esa norma se dará por cumplida respecto de los servicios de gestión de la identidad si se utiliza un método fiable para la identificación electrónica de la persona [con dicho fin] 25. __________________ 22 Obligaciones de los abonados : Se introdujeron cam bios en el art. 8 en atención a las decisiones adoptadas por el Grupo de Trabajo en su 60º período de sesiones ( A/CN.9/1045 , párr. 105). Se volvió a modificar el encabezamiento para destacar que la disposici ón se refiere principalmente a la notificación y no a algunos medios de notificación en particular. Por consiguiente, se reformuló la frase “utilizar los medios que le hubiere proporcionado el proveedor de servicios de gestión de

volvió a modificar el encabezamiento para destacar que la disposici ón se refiere principalmente a la notificación y no a algunos medios de notificación en particular. Por consiguiente, se reformuló la frase “utilizar los medios que le hubiere proporcionado el proveedor de servicios de gestión de la identidad de conformida d con el artículo 6 para notificar a dicho proveedor o, en su defecto, deberá emplear medios razonables para notificarlo”. 23 Obligaciones de los abonados – conocimiento de que las credenciales se han visto comprometidas : El apartado b) tiene por objeto co ntemplar los casos en que se presume que el abonado sabe que las credenciales se han visto comprometidas. 24 Reconocimiento jurídico de sistemas de gestión de la identidad – generalidades : Se modificó la redacción del art. 9 para reflejar las decisiones ad optadas por el Grupo de Trabajo en su 60º período de sesiones ( A/CN.9/1045 , párr. 117). En ese período de sesiones se explicó que el art. 9 tenía por objeto establecer una norma de equivalencia funcional par a la identificación en los casos en que la ley exigiera la identificación, pero no especificara el procedimiento que debía utilizarse para identificar a una persona, o cuando las partes convinieran en identificar. También se explicó que, en consonancia con principios ya establecidos en textos de la CNUDMI, la norma de equivalencia funcional complementaría la norma sobre reconocimiento jurídico prevista en el art. 5. Se añadió que el instrumento no afectaba a la obligación de identificar con arreglo a un mét odo determinado, establecida en e