SIC - Concepto-11035033

Bogotá D.C., 10

Asunto: Radicación: 11-35033- -2-0

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 25 del Código Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos: 1 Objeto de la consulta En su escrito pregunta: "1. Solicito me sea informado los requisitos técnicos para realizar procedimiento de estampa de tiempo 2 Solicito se me informe cuál es el procedimiento técnico para realizar estampa de tiempo como certificación. 3 De existir entidades privadas autorizadas por la Superintendencia de Industria y Comercio para certificar la estampa de tiempo se me informe su identidad. 4 Se me informe si existe tarifa legal para el cobro de estampa de tiempo. 5 Si existen requisitos especiales para ser entidad certificadora de estampa de tiempo, se me informe los requisitos y procedimiento, de no existir tales requisitos se me certifique tal información". Sobre el particular le manifestamos lo siguiente: 2 Facultades de la Superintendencia de Industria y Comercio De acuerdo con las atribuciones conferidas por mandato legal a esta Superintendencia, en particular por el Decreto 3523 de 2009, modificado por el Decreto 1687 de 2010, corresponde a esta Entidad, entre otras funciones, velar por el cumplimiento de las normas sobre protección al consumidor, protección de la competencia, administrar el sistema nacional de la propiedad industrial, así

como tramitar y decidir los asuntos relacionados con la misma, y conocer y decidir los asuntos jurisdiccionales en materia de protección al consumidor y competencia desleal. 3 Facultades de la Superintendencia de Industria y Comercio en materia de protección al consumidor De acuerdo con el Decreto 3523 de 2009, modificado por el Decreto 1687 de 2010, la Superintendencia de Industria y Comercio en materia de protección al consumidor cuenta con las siguientes funciones: - Velar por el cumplimiento de las normas sobre protección al consumidor, en particular, las contenidas en el Decreto 3466 de 1982 y las demás que regulan los temas concernientes a la calidad, la idoneidad y las garantías de los bienes y servicios, asi como por la verificación de la responsabilidad por el incumplimiento de las normas sobre información veraz y suficiente e indicación pública de precios, entre otras. - Vigilar, en los términos establecidos en la ley, la observancia de las disposiciones sobre protección a suscriptores, usuarios y consumidores de los servicios de telecomunicaciones. - Velar por el cumplimiento de los reglamentos técnicos sometidos a su vigilancia y control. - Vigilar a los operadores y fuentes de información financiera, crediticia, comercial y de servicios y la proveniente de terceros países con idéntica naturaleza, conforme a la ley de Habeas Data (Ley 1266 de 2008). - En facultades jurisdiccionales puede conocer y decidir los asuntos de protección del consumidor contenidos en el Art. 145 de la Ley 446 de 1998. 3.1. Entidades de certificación De conformidad con nuestra legislación, las denominadas Entidades de

Certificación se encuentran definidas en el literal d) del artículo 2 de la Ley 527 de 1999, "Por medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales, y se establecen las entidades de certificación y se dictan otras disposiciones", como sigue: "Entidad de Certificación. Es aquella persona que, autorizada conforme a la presente ley, está facultada para emitir certificados en relación con las firmas digitales de las personas, ofrecer o facilitar los servicios de registro y estampado cronológico de la transmisión y recepción de mensajes de datos, así como cumplir otras funciones relativas a las comunicaciones basadas en las firmas digitales” A su vez, en el artículo 30 de la citada ley se establecen, entre otras, las actividades que pueden realizar las entidades de certificación autorizadas por la Superintendencia de Industria y Comercio para prestar sus servicios en el país: "1. Emitir certificados en relación con las firmas digitales de personas naturales o jurídicas. 2 Emitir certificados sobre la verificación respecto de la alteración entre el envío y recepción del mensaje de datos. 3 Emitir certificados en relación con la persona que posea un derecho u obligación con respecto a los documentos enunciados en los literales f) y g) del artículo 26 de la presente ley. 4 Ofrecer o facilitar los servicios de creación de firmas digitales certificadas. 5 Ofrecer o facilitar los servicios de registro y estampado cronológico en la generación, transmisión v recepción de mensajes de datos. 6 Ofrecer los servicios de archivo y conservación de mensajes de datos." (Subraya fuera del texto) Con el fin de responder la pregunta No. 1, debemos señalar que las personas

jurídicas que pretendan ofrecer o facilitar los servicios de registro y estampado cronológico basados en mecanismos de certificado y firma digital, deberán ser Entidades de Certificación autorizadas por la Superintendencia de Industria y Comercio, las cuales deberán cumplir con los requerimientos jurídicos, económicos y técnicos para tal efecto. En tal virtud, para atender el segundo interrogante, serán las Entidades de Certificación, al momento de solicitar la autorización para prestar el servicio de registro y estampado cronológico, ante esta Superintendencia, quienes establecerán el procedimiento técnico para operarlo. 3.2. Entidades de certificación autorizadas Consultada la información existente en esta Entidad, podemos señalar que las siguientes Entidades de Certificación (abiertas), se encuentran autorizadas por parte de esta Superintendencia para prestar el servicio de de registro y estampado cronológico  Sociedad CAMERAL DE CERTIFICACION DIGITAL CERTICÁMARA, S.A.CERTICÁMARA, S.A., mediante Resolución No. 9887 del 13 de abril de 2007.  Sociedad GESTIÓN DE SEGURIDAD ELECTRÓNICA S.A. - GSE S.A. mediante Resolución No. 1194 del 21 de enero de 2010. 3.3 Tarifas Con relación a las tarifas por la prestación de este servicio, debemos señalar que de conformidad con el artículo 31 de la Ley 527 de 1999, la remuneración de los Servicios de las entidades de certificación será establecida libremente por éstas, por lo que recomendamos acudir a estas para que pueda conocer dichos valores. Podemos referir que para efectos de la solicitud de autorización los peticionarios deberán tener en cuenta lo dispuesto en la Ley 527 de 1999, el Decreto 1747 de

2000 y el Capítulo VIII de la Circular Única de esta Superintendencia, sin que exista restricción respecto de la calidad de los suscriptores de los certificados digitales. 3.4 Requisitos Respecto de su pregunta No. 5, sobre los requisitos para que las Entidades de Certificación puedan prestar este servicio, debemos ceñirnos a lo establecido en la regulación expedida por el Gobierno Nacional para tal efecto: El artículo 29 de la citada ley determina las características y requerimientos para las entidades de certificación: "Podrán ser entidades de certificación, las personas jurídicas, tanto públicas como privadas, de origen nacional o extranjero y las cámaras de comercio, que previa solicitud sean autorizadas por la Superintendencia de Industria y Comercio y que cumplan con los requerimientos establecidos por el Gobierno Nacional...". (Subraya fuera del texto) Debemos aclarar que de conformidad con el artículo 1 del Decreto 1747 de 2000, que reglamentó parcialmente la Ley 527 de 1999, existen dos tipos de Entidades de Certificación: "8. Entidad de certificación cerrada: entidad que ofrece servicios propios de las entidades de certificación sólo para el intercambio de mensajes entre Ea entidad y el suscriptor, sin exigir remuneración por ello. "9. Entidad de certificación abierta: la que ofrece servicios propios de las entidades de certificación, tales que: a. Su uso no se limita al intercambio de mensajes entre la entidad y el suscriptor, o b. Recibe remuneración por éstos". Por lo anterior, dependiendo de esta clasificación, el solicitante deberá cumplir diferentes requisitos si desea obtener autorización por parte de esta Entidad.

Con relación a los requisitos para cada una de ellas, el artículo 3 del citado Decreto señala los requisitos para las Entidades de Certificación Cerradas: "ACREDITACIÓN DE REQUISITOS DE LAS ENTIDADES DECERTIFICACIÓN CERRADAS. Quienes pretendan realizar las actividades propias de las entidades de certificación cerradas deberán acreditar ante la Superintendencia de Industria y Comercio que: 1 Los administradores y representantes legales no están incursos en las causales de inhabilidad previstas en el literal c) del artículo 29 de la Ley 527 de 1999, y 2 Están en capacidad de cumplir los estándares mínimos que fije la Superintendencia de Industria y Comercio de acuerdo a los servicios ofrecidos". Así mismo, el artículo 5 ibídem determina los requerimientos para la autorización de las entidades de certificación abiertas, a saber: "1. Personería jurídica o condición de notario o cónsul. Cuando se trate de una entidad extranjera, se deberá acreditar el cumplimiento de los requisitos contemplados en el libro segundo, título VIII del Código de Comercio para las sociedades extranjeras que pretendan ejecutar negocios permanentes en territorio colombiano. Igualmente deberá observarse lo establecido en el artículo 48 del Código de Procedimiento Civil. 2 Que los administradores y representantes legales no están incursos en las causales de inhabilidad previstas en el literal c) del artículo 29 de la Ley 527 de 1999. 3 Declaración de Prácticas de Certificación (DPC) satisfactoria, de acuerdo con los requisitos establecidos por la Superintendencia de Industria y Comercio. 4 Patrimonio mínimo de 400 salarios mínimos mensuales legales vigentes al

momento de la autorización.1 1 Artículo 7o. Patrimonio mínimo. Para determinar el patrimonio mínimo, sólo se tomarán en cuenta las cuentas patrimoniales de capital suscrito y pagado, reserva legal, superávit por prima en colocación de acciones y se deducirán las pérdidas acumuladas y las del ejercicio en curso. El patrimonio mínimo deberá acreditarse: 5 Constitución de las garantías previstas en este decreto. 6 Infraestructura y recursos por lo menos en la forma exigida en el artículo 9o. de este decreto. 7 Informe inicial de auditoría satisfactorio a juicio de la misma Superintendencia. 8 Un mecanismo de ejecución inmediata para revocar los certificados digitales expedidos a los suscriptores, a petición de estos o cuando se tenga indicios de que ha ocurrido alguno de los eventos previstos en el artículo 37 de la Ley 527 de 1999". Adicional a lo anteriormente expuesto, nos resulta pertinente informarle las funciones específicas en esta materia a cargo de la Superintendencia de Industria y Comercio: Le corresponde a la Superintendencia de Industria y Comercio, las siguientes funciones, que son ejercidas a través de la Superintendencia Delegada para la Protección del Consumidor y Metrología, de conformidad con el Decreto 3523 de 2009, modificado por el Decreto 1687 de 2010: "ARTICULO 41. FUNCIONES DE LA SUPERINTENDENCIA. La Superintendencia de Industria y Comercio ejercerá las facultades que legalmente le han sido asignadas respecto de las entidades de certificación, y adicionalmente tendrá las siguientes funciones: 1 Autorizar la actividad de las entidades de certificación en el territorio

nacional. 2 Velar por el funcionamiento y la eficiente prestación del servicio por parte de las entidades de certificación. 3 Realizar visitas de auditoría a las entidades de certificación. 4 Revocar o suspender la autorización para operar como entidad de certificación. 5 Solicitar la información pertinente para el ejercicio de sus funciones. (…) "2. Tratándose de entidades públicas, por medio del proyecto de gastos y de inversión que generará la actividad de certificación, conjuntamente con los certificados de disponibilidad presupuestal que acrediten la apropiación de recursos para dicho fin". 6. imponer sanciones a las entidades de certificación en caso de incumplimiento de las obligaciones derivadas de la prestación del servicio. 7 Ordenar la revocación de certificados cuando la entidad de certificación los emita sin el cumplimiento de las formalidades legales. 8 Designar los repositorios y entidades de certificación en los eventos previstos en la ley. 9 Emitir certificados en relación con las firmas digitales de las entidades de certificación. 10 Velar por la observancia de las disposiciones constitucionales y legales sobre la promoción de la competencia y prácticas comerciales restrictivas, competencia desleal y protección del consumidor, en los mercados atendidos por las entidades de certificación. 11 Impartir instrucciones sobre el adecuado cumplimiento de las normas a las cuales deben sujetarse las entidades de certificación". En consecnuencia, las Entidades que soliciten autorización ante la Superintendencia de Industria y Comercio para prestar los servicios propios de las Entidades de Certificación en Colombia, servicios que deberán estar enmarcados dentro de lo establecido en ía Ley 527 de 1999, presentando la respectiva

solicitud de autorización, atendiendo las reglas indicadas en el numeral 8.2. - para Entidades de certificación abiertas - del Capítulo VIII de la Circular Única de esta Superintendencia, indicadas a continuación: "La persona que solicite autorización como entidad de certificación abierta según lo dispuesto en el número 9 del artículo 1 del Decreto 1747 de 2000, deberá demostrar que la actividad está prevista en el objeto social principal, el cumplimiento de las condiciones establecidas en los artículos 29 de la Ley 527 de 1999 y 5, 6, 7, 8, 9, 10, 11 del Decretó 1747 de 2000 y los estándares, planes y procedimientos de seguridad establecidos en el numeral 8.4 de este capítulo, diligenciando la Solicitud de autorización para entidad de certificación de firmas digitales, formato A003-F01 anexo 3.9 y adjuntando la siguiente información: a) Formato A003-F02 Información de administradores o representantes legales anexo 3.10, diligenciado por el representante legal encargado de la Entidad de Certificación acompañado:

1. Certificado judicial vigente o documento equivalente proveniente del país o países donde hayan residido por cada uno de los administradores y representantes legales. ii. Copia del certificado de existencia y representación legal o copia de las normas que le otorgan la calidad de representante legal de una entidad pública, de notario o cónsul. iii. Una certificación de! representante legal que diligenció el formato A003F02, en el cual haga constar que de acuerdo a la información suministrada y disponible, ninguno de los administradores y

representantes legales de la Entidad se encuentra incurso en alguna de las inhabilidades estipuladas en el literal c del artículo 29 de la Ley 527 de 1999. b) Copia del acto que le otorga la personería jurídica y de las normas que le otorgan la calidad de representante legal de una entidad pública, de notario o cónsul, o certificado de existencia y representación legal. Cuando se trate de persona extranjera, se deberá acreditar el cumplimiento de lo señalado en el libro II título VIII del Código de Comercio y en el artículo 48 del código de procedimiento civil, según lo dispuesto en el número 1 del artículo 5 del Decreto 1747 de 2000. c) Informe de auditoría en los términos del numeral 8.3.2 de este título. d) Estados financieros presentados conforme a la ley y con una antigüedad no superior a seis (6) meses, según lo dispuesto en el numeral 1 del artículo 7 del Decreto 1747 de 2000. e) Copia del documento que acredite que se han constituido las garantías de acuerdo a lo dispuesto en el artículo 8 del Decreto 1747 de 2000. f) Descripción detallada de la infraestructura, procedimientos y recursos, según lo previsto en el artículo 9 del Decreto 1747 de 2000. El cumplimiento de los requisitos deberá acreditarse según lo previsto en el capítulo cuarto de este título. En caso que la infraestructura sea prestada por un tercero, copia de los contratos o convenios celebrados con éstos, en idioma español. g) Declaración de prácticas de certificación, en adelante DPC". Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre

las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co. En la pestaña "Información General" y "Doctrina", encontrará conceptos emitidos por esta Superintendencia. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

WABD/jpm