CNUDMI - A-CN.9-WG.IV-WP.175

Naciones Unidas A/CN.9/WG.IV/WP.175

Asamblea General

Distr. limitada 23 de agosto de 2022

Español Original: inglés

V.22 -11096 (S) 080922 080922 2211096

Comisión de las Naciones Unidas para el Derecho Mercantil Internacional Grupo de Trabajo IV (Comercio Electrónico) 64º período de sesiones Viena, 31 de octubre a 4 de noviembre de 2022

Nota explicativa de la Ley Modelo de la CNUDMI sobre la Utilización y el Reconocimiento Transfronterizo de la Gestión de la Identidad y los Servicios de Confianza

Nota de la Secretaría

Índice Página

I. Finalidad de esta nota ................................ ......................... 2

II. Modificaciones a la Nota explicativa ................................ ............. 2A/CN.9/WG.IV/WP.175

V.22-11096 2/6

I. Finalidad de esta nota

1. En su 55º período de sesiones, celebrado en 2022, la CNUDMI examinó el texto del proyecto de ley modelo sobre la utilización y el reconocimiento transfronterizo de la gestión de la identidad y los servicios de confianza y su nota explicativa

(A/CN.9/1112 ), que reflejaban los debates y deliberaciones sostenidos por el Grupo de Trabajo hasta su 62º período de sesiones, y también una recopilación de las observaciones formuladas por Estados y organizac iones internacionales pertinentes

(A/CN.9/1113 y A/CN.9/1113/Add.1 ).

2. En ese período de sesiones, la Comisión aprobó por consenso la Ley Modelo y

observaciones formuladas por Estados y organizac iones internacionales pertinentes

(A/CN.9/1113 y A/CN.9/1113/Add.1 ).

2. En ese período de sesiones, la Comisión aprobó por consenso la Ley Modelo y aprobó en principio su nota explicativa, solicitando a la secretaría que la finalizara teniendo en cuenta las deliberaciones y decisiones de la Comisión ( A/77/17 , párr. 149).

La Comisión también autorizó al Grup o de Trabajo a que, en su 64º período de sesiones, revisara las partes de la nota explicativa que guardaban relación con las deliberaciones y decisiones de la Comisión ( ibid .).

3. En la presente nota se reproducen las partes de la Nota explicativa de la Le y Modelo de la CNUDMI sobre la Utilización y el Reconocimiento Transfronterizo de la Gestión de la Identidad y los Servicios de Confianza que debían actualizarse o reformularse a raíz de las deliberaciones y decisiones de la Comisión sobre el texto de la Ley Modelo para que el Grupo de Trabajo las examinara con miras a finalizar la Nota explicativa y publicarla, tal como lo solicitó la Comisión ( ibid .). En esta nota se hace referencia a la numeración de los párrafos del documento A/CN.9/1112 , la que tal vez no coincida con la numeración final de los párrafos.

4. En la presente nota no se reproducen las modificaciones a la Nota explicativa sobre las que la Comisión ya adoptó una decisión ( A/77/17 , párrs. 146 y 147). Esas modificaciones se incorporarán al texto definitivo de la Nota explicativa junto con las modificaciones propuestas en la presente nota que el Grupo de Trabajo decida aprobar.

II. Modificaciones a la Nota explicativa

modificaciones se incorporarán al texto definitivo de la Nota explicativa junto con las modificaciones propuestas en la presente nota que el Grupo de Trabajo decida aprobar.

II. Modificaciones a la Nota explicativa

5. Sustitúyase el párrafo 15 por el siguiente texto: “En el capítulo II se establecen los elementos esenciales del régimen jurídico aplicable a la gestión de la identidad, se enuncian algunas obligaciones básicas de los proveedores de servicios de gestión de la identidad y de los usuarios, y se fijan normas sobre la responsabilidad de los proveedores de servicios de gestión de la identidad. En el artículo 5 se consagra el principio de reconocimiento jurídico de la gestión de la identida d y de no discriminación contra la identificación electrónica. En el artículo 6 figura una lista de las obligaciones básicas de los proveedores de servicios de gestión de la identidad; en ella se indican las obligaciones fundamentales de los proveedores de servicios de gestión de la identidad, que corresponden a los elementos básicos de los sistemas de gestión de la identidad y a las principales etapas del ciclo de vida de la gestión de la identidad.

El artículo 7 trata de las obligaciones de los proveedore s de servicios de gestión de la identidad en caso de violación de los datos y se complementa con el artículo 8, relativo a las obligaciones de los usuarios en el caso de que las credenciales de identidad se vean comprometidas. El artículo 9 contiene una no rma de equivalencia funcional entre la identificación fuera de línea y la identificación realizada utilizando un sistema de gestión de la identidad que exija el uso de un método fiable. La fiabilidad del método se evalúa mediante una determinación ex post basada en las circunstancias indicadas en el artículo 10 o mediante una

realizada utilizando un sistema de gestión de la identidad que exija el uso de un método fiable. La fiabilidad del método se evalúa mediante una determinación ex post basada en las circunstancias indicadas en el artículo 10 o mediante una designación ex ante realizada con arreglo al artículo 11. Por último, el artículo 12 trata de la responsabilidad de los proveedores de servicios de gestión de la identidad”.A/CN.9/WG.IV/WP.175

3/6 V.22-11096

6. Insérte se lo siguiente al final del párrafo 35: “En ese período de sesiones, el Grupo de Trabajo también acordó que determinadas cuestiones pendientes se examinaran en consultas oficiosas entre períodos de sesiones, y que la secretaría presentara un informe sobr e esas consultas al Grupo de Trabajo en su 63er período de sesiones para que este prosiguiera sus deliberaciones al respecto ( A/CN.9/1087 , párr. 113).

36. En su 63 er período de sesiones (Nueva York, 4 a 8 d e abril de 2022), el Grupo de Trabajo escuchó un informe sobre las mencionadas consultas y examinó las cuestiones pendientes ( A/CN.9/1093 , párrs. 14 a 44). En ese período de sesiones se expresó la opinión de que había otras cuestiones importantes pendientes, no se tomó ninguna decisión sobre ninguna de las cuestiones pendientes y se invitó nuevamente a las delegaciones a que enviaran observaciones a la Comisión respecto de esas cuestiones.

37. En su 55º perí odo de sesiones, celebrado en 2022, la Comisión examinó el texto del proyecto de ley modelo sobre la utilización y el reconocimiento

respecto de esas cuestiones.

37. En su 55º perí odo de sesiones, celebrado en 2022, la Comisión examinó el texto del proyecto de ley modelo sobre la utilización y el reconocimiento transfronterizo de la gestión de la identidad y los servicios de confianza y su nota explicativa ( A/CN.9/1112 ), que reflejaban los debates y deliberaciones sostenidos por el Grupo de Trabajo hasta su 62º período de sesiones, y también una recopilación de las observaciones formuladas por Estados y organizaciones internacionales p ertinentes ( A/CN.9/1113 y A/CN.9/1113/Add.1 ).

38. La Comisión creó un Comité Plenario y le remitió el proyecto de ley modelo para que lo examinara ( A/77/17 , párr. 13). En su 1170ª sesión, celebrada el 7 de julio de 2022, la Comisión examinó y aprobó el informe del Comité Plenario, aprobó por consenso la Ley Modelo y aprobó en principio su nota ex plicativa

(A/77/17 , párr. 149).”

7. Insértese lo siguiente a continuación del párrafo 85: “86. El proveedor de servicios de gestión de la identidad también puede ser una parte que confía si ha utilizado el servicio de gestión de la identidad para sus propios fines (p. ej., la identificación de sus empleados). En ese caso, regirían las obligaciones correspondientes a cada función”.

8. Insértese lo siguiente a continuación del párrafo 89: “90. La Ley Modelo no establece obligaciones para las partes que confían. Sin embargo, esas obligaciones pueden surgir de otra ley, y también de un acuerdo celebrado entre el usuario y la parte que confía. Una de esas obligaciones puede

“90. La Ley Modelo no establece obligaciones para las partes que confían. Sin embargo, esas obligaciones pueden surgir de otra ley, y también de un acuerdo celebrado entre el usuario y la parte que confía. Una de esas obligaciones puede consistir en adoptar medid as razonables para comprobar la fiabilidad de los métodos utilizados en la prestación del servicio de que se trate, por ejemplo, verificando que el servicio haya sido designado ex ante . Otra obligación puede referirse al cumplimiento de los procedimientos de seguridad y las políticas y prácticas del proveedor de servicios.

91. El proveedor de servicios puede limitar su responsabilidad frente a la parte que confía por las pérdidas que se deriven de la utilización del servicio, si el uso realizado excede las limitaciones establecidas en cuanto a los fines o el valor de la operación para la que puede utilizarse el servicio, y si el proveedor de servicios ha cumplido su obligación de proporcionar a la parte que confía los medios que le permitan comprobar la exi stencia de esas limitaciones (artículos 12, párr. 4, y 24, párr. 4). Por lo tanto, la parte que confía tiene interés en verificar si existe alguna limitación en cuanto a la finalidad o el valor del servicio y en respetar esas limitaciones.

92. La parte qu e confía es normalmente un tercero con respecto a la relación entre el usuario y el proveedor de servicios. Sin embargo, el proveedor de servicios también puede ser una parte que confía si ha utilizado el servicio para sus propios fines (p. ej., la identif icación de sus empleados). En ese caso, regirían las obligaciones correspondientes a cada función.”A/CN.9/WG.IV/WP.175

V.22-11096 4/6

fines (p. ej., la identif icación de sus empleados). En ese caso, regirían las obligaciones correspondientes a cada función.”A/CN.9/WG.IV/WP.175

V.22-11096 4/6

9. Sustitúyase el párrafo 118 por el siguiente texto: “En la práctica empresarial, las funciones mencionadas en el artículo 6 se rigen comúnmente por norma s de funcionamiento de base contractual, sobre todo en el caso de los proveedores de servicios de gestión de la identidad del sector privado.

Esas normas, que orientan sobre la forma de realizar las operaciones, se basan en políticas, se aplican mediante p rácticas y se recogen en acuerdos contractuales. La obligación de “tener en vigor normas operacionales, políticas y prácticas” reconoce esa práctica empresarial. Dada la importancia jurídica y práctica de las normas operacionales, políticas y prácticas, en el apartado d) se establece que debería facilitarse el acceso de los usuarios, las partes que confían y otros terceros a ellas. La referencia a la facilidad de acceso, que figura también en el apartado e), tiene por objeto facilitar el acceso de las parte s a la información, sobre todo si se trata de microempresas o pequeñas empresas, que pueden estar menos familiarizadas con los aspectos técnicos. Con la referencia a las partes que confían se trata de disipar cualquier duda sobre la aplicabilidad del apart ado d) también a las partes que confían, que son un subconjunto de terceros”.

10. Insértese lo siguiente a continuación del párrafo 119: “120. En los apartados d) y e) se identifican las respectivas clases de usuarios a las que van dirigidas, lo que resu lta útil para elevar el nivel de cumplimiento de

10. Insértese lo siguiente a continuación del párrafo 119: “120. En los apartados d) y e) se identifican las respectivas clases de usuarios a las que van dirigidas, lo que resu lta útil para elevar el nivel de cumplimiento de estas disposiciones por los proveedores de servicios de gestión de la identidad.

Dado que, según la Ley Modelo, los proveedores de servicios de gestión de la identidad no son responsables frente a terceros ( es decir, personas que no sean proveedores de servicios ni usuarios) que no sean partes que confían, el apartado e) no es aplicable a los terceros que no sean partes que confían, mientras que el apartado d) se aplica a todos los terceros”.

11. Sustitúyase el párrafo 134 por el siguiente texto: “El método utilizado para cumplir con la norma del artículo 9 debe ser fiable tanto cuando la fiabilidad se determina ex post como cuando se evalúa en el contexto de la designación ex ante . Por ese motivo, el artícul o 9 se remite, respectivamente, al párrafo 1 y al párrafo 4 del artículo 10. Sin embargo, el grado de fiabilidad exigido no es absoluto, sino relativo en función del fin específico que se persiga”.

12. Sustitúyanse los párrafos 142 y 143 por el siguiente t exto: “142. En el párrafo 1 b) figura una disposición que tiene por objeto evitar que se rechace un servicio de gestión de la identidad y poner freno a las demandas judiciales infundadas. El rechazo se produce cuando un sujeto declara no haber realizado una acción. Con respecto a los servicios de gestión de la identidad, el riesgo es que, una vez que se ha logrado identificar a una parte en la práctica, esa

judiciales infundadas. El rechazo se produce cuando un sujeto declara no haber realizado una acción. Con respecto a los servicios de gestión de la identidad, el riesgo es que, una vez que se ha logrado identificar a una parte en la práctica, esa parte pueda impugnar judicialmente la fiabilidad del método en abstracto y, mediante esa impugnació n, consiga la anulación de la identificación lograda en la práctica.

143. Para que el mecanismo previsto en el párrafo 1 b) funcione, el método debe haber cumplido en la práctica la función de identificación, es decir, vincular a la persona que solicita l a identificación con las credenciales de identidad. La Ley Modelo exige que se utilicen métodos fiables, y no debería interpretarse erróneamente que el párrafo 1 b) tolera el uso de métodos no fiables, o valida el uso de esos métodos. Por el contrario, en esa disposición se reconoce que, desde el punto de vista técnico, la función (en el caso del artículo 9, la identificación) y la fiabilidad son dos atributos distintos.

144. El párrafo 1 b) se basa en el artículo 9, párrafo 3 b) ii), de la Convención de las Naciones Unidas sobre la Utilización de las Comunicaciones Electrónicas en los Contratos Internacionales (CCE), y le añade dos elementos. El primero es que todo método que se utilice para lograr la identificación en la práctica se considera fiable. El s egundo elemento es que quien debe determinar que el método ha cumplido la función de identificación es un órgano decisor, que puede ser unA/CN.9/WG.IV/WP.175

5/6 V.22-11096

fiable. El s egundo elemento es que quien debe determinar que el método ha cumplido la función de identificación es un órgano decisor, que puede ser unA/CN.9/WG.IV/WP.175

5/6 V.22-11096

órgano judicial, un tribunal administrativo, un tribunal arbitral o cualquier otra entidad encargada de dirimir contr oversias. Al establecerse que “si un órgano […] competente demuestra, o si se demuestra ante” ese órgano, se está dando cabida a todas las opciones previstas en la legislación nacional en lo que respecta a la determinación de los hechos, que puede ser real izada por el propio órgano decisor o por las partes.”

13. Sustitúyase el párrafo 187 por el siguiente texto: “El requisito de la firma en papel se cumple si se utiliza un método para identificar al firmante del mensaje de datos y para indicar la voluntad del firmante con respecto al mensaje de datos firmado, tanto cuando la fiabilidad se determina ex post (art. 22, párr. 1) como cuando se evalúa en el contexto de la designación ex ante (art. 22, párr. 4). La referencia al uso del método “respecto de la información contenida en el mensaje de datos” se aplica tanto a la identificación de la persona como a la indicación de su voluntad”.

14. Sustitúyase el párrafo 191 por el siguiente texto: “La garantía del origen del mensaje de datos puede obtenerse determin ando su procedencia, lo que, a su vez, exige identificar a la persona jurídica que inició el mensaje de datos. El método fiable utilizado para identificar a la persona jurídica que estampa el sello es el mismo que se utiliza para identificar a un firmante, y por lo general las disposiciones de la CNUDMI sobre las firmas electrónicas se

mensaje de datos. El método fiable utilizado para identificar a la persona jurídica que estampa el sello es el mismo que se utiliza para identificar a un firmante, y por lo general las disposiciones de la CNUDMI sobre las firmas electrónicas se han incorporado al derecho interno como normas aplicables tanto a las personas físicas como a las jurídicas”.

15. Sustitúyase el párrafo 198 por el siguiente texto: “El artículo 19 trata de los servicios de archivado electrónico, que dan seguridad jurídica con respecto a la validez de los documentos electrónicos conservados. El método fiable utilizado para el archivado electrónico debe garantizar la integridad de los docu mentos electrónicos archivados, así como de la fecha y hora en que se archivaron. Además, la información archivada debe ser accesible de acuerdo con el requisito de equivalencia funcional con la noción de “escritura” propia de los documentos en papel (Ley Modelo de la CNUDMI sobre Comercio Electrónico, art. 6, párr. 1)”.

16. Sustitúyanse los párrafos 210 a 212 por el siguiente texto: “210. En consonancia con el criterio adoptado en relación con los servicios de gestión de la identidad (art. 10), el artícu lo 22 exige que se utilicen métodos fiables para prestar servicios de confianza tanto cuando la fiabilidad se determina ex post como cuando se evalúa en el contexto de la designación ex ante . En el artículo 22 figura una lista no taxativa de circunstancias que pueden ser pertinentes para determinar la fiabilidad del método utilizado de acuerdo con el criterio ex post . La lista se inspira en las listas que figuran en el artículo 10 de la Ley Modelo sobre las Firmas Electrónicas y en el artículo 12 de la Ley Modelo sobre Documentos

determinar la fiabilidad del método utilizado de acuerdo con el criterio ex post . La lista se inspira en las listas que figuran en el artículo 10 de la Ley Modelo sobre las Firmas Electrónicas y en el artículo 12 de la Ley Modelo sobre Documentos Transmisibles Electrónicos.

211. Al igual que el concepto de método fiable utilizado en relación con los servicios de gestión de la identidad (véase el párr. 141 supra ), la noción de método fiable utilizada para los servicios de confianza es relativa y varía en función del fin que se pers iga. El carácter relativo de la fiabilidad se refleja en el párrafo 1 a), concretamente en las palabras “tan fiable como resulte apropiado” ―que, según una práctica bien establecida de la CNUDMI, pretenden reflejar mejor los diversos usos de los servicios de confianza― y en la referencia a “los fines para los que se utiliza el servicio de confianza”. El párrafo 1 b) tiene por objeto evitar que se rechace un servicio de confianza que haya cumplido su función en la práctica, poniendo freno de ese modo a las d emandas judiciales infundadas (véanse los párrs. 152 a 154 supra ).A/CN.9/WG.IV/WP.175

V.22-11096 6/6

212. Las disposiciones de la Ley Modelo no pretenden modificar los textos anteriores de la CNUDMI ni ofrecer una interpretación de sus disposiciones. En tal sentido, la relación que existe entre, por un lado, el párrafo 1 b), especialmente en lo que respecta al artículo 16, y, por el otro, el artículo 9, párrafo 3 b) ii), de la CCE, debería considerarse complementaria, dado el diferente grado de detalle

en lo que respecta al artículo 16, y, por el otro, el artículo 9, párrafo 3 b) ii), de la CCE, debería considerarse complementaria, dado el diferente grado de detalle que tienen las dos primeras disposici ones en comparación con esta última. Además, las disposiciones de la Ley Modelo se refieren a los servicios de confianza, que garantizan la calidad de los datos, mientras que la disposición de la CCE es una norma de equivalencia funcional que se refiere al cumplimiento de requisitos de forma.”

17. Sustitúyase el título del artículo 25 por el siguiente: “Reconocimiento transfronterizo de la gestión de la identidad”.

18. Sustitúyase el párrafo 224 por el siguiente texto: “224. Los niveles de garantía definid os en las distintas jurisdicciones pueden o no coincidir exactamente, dado que es posible que existan definiciones acordadas de niveles de garantía específicos en algunas regiones, pero aún no las hay a nivel mundial.

225. El párrafo 1 a) se aplica cuando existen definiciones acordadas de niveles de garantía específicos. En ese caso, el método utilizado deberá ofrecer ‘un nivel de garantía que sea como mínimo equivalente’ para evitar el uso de métodos que ofrezcan un nivel de garantía inferior al exigido e n la jurisdicción que otorga el reconocimiento.

226. Con el fin de promover el reconocimiento transfronterizo cuando no existan definiciones acordadas de niveles de garantía específicos, el párrafo 1 b) alude al concepto de ‘nivel de garantía sustancialme nte equivalente o superior’, que abarca los niveles de garantía que son muy similares, aunque no idénticos, o son

concepto de ‘nivel de garantía sustancialme nte equivalente o superior’, que abarca los niveles de garantía que son muy similares, aunque no idénticos, o son superiores, a los exigidos en la jurisdicción que otorga el reconocimiento. Por lo tanto, no debe interpretarse que el concepto de ‘sustancial mente equivalente’ exige el cumplimiento de requisitos técnicos estrictos, que podrían obstaculizar el reconocimiento recíproco y, en última instancia, el comercio. Este concepto puede perder relevancia una vez que se disponga de definiciones de niveles de garantía acordadas a escala mundial.”