SIC - Concepto-12029757

Bogotá D.C., 10

Asunto: Radicación: 12-029757- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 8

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 25 del Código Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Objeto de la consulta Se pide respuesta al siguiente cuestionario relacionado con las funciones de la Superintendencia de Industria y Comercio en materia de comercio electrónico luego de entrar en vigencia el Decreto; 19 de 2012: 1. ¿Cuál es el marco, normativo que actualmente regula el procedimiento de constitución, acreditación y autorización de funcionamiento de una entidad de certificación abierta en Colombia? 2. ¿Ante quién se adelanta el procedimiento? 3. ¿Es correcta nuestra interpretación en el sentido de que el Decreto 19 de 2012 derogó la exigencia de la autorización previa de que trataba el artículo 29 de la Ley 527 de 1999?

4. En virtud del cambio normativo ¿aún están vigentes los requisitos y procedimientos establecidos por el Decreto 747 de 2000 o se entiende que dicha norma perdió vigencia al mismo tiempo que la exigencia de la autorización?

2. Materia objeto de la consulta En materia de comercio electrónico, la Superintendencia de Industria y Comercio, de acuerdo con el Decreto 4886 de 2011 y la Ley 527 de 1999, tuvo las siguientes

funciones hasta el 10 de enero de 2012. cuando entró en vigencia el Decreto 19 de 2012, el cual, mediante su artículo 176 derogó los artículos 41 y 42 de la Ley 527 de 1999, que nos había conferido las siguientes funciones de vigilancia y control sobre las entidades de certificación de firmas digitales: (i) autorizar las entidades de certificación para prestar sus servicios en el país, de acuerdo con lo previsto en la Ley 527 de 1999 y ejercer respecto de estas las funciones establecidas en dicha ley o en las demás normas que la modifiquen, adicionen o sustituyan, (ii) velar por el funcionamiento y la eficiente prestación del servicio por parte de las entidades de certificación, (iii) realizar visitas de auditoría a las entidades de certificación, (iv) revocar o suspender la autorización para operar como entidad de certificación, (v) solicitar la información pertinente para el ejercicio de sus funciones, (vi) imponer sanciones a las entidades de certificación en caso de incumplimiento de las obligaciones derivadas de la prestación del servicio, (vii) ordenar la revocación de certificados cuando la entidad de certificación los emita sin eü cumplimiento de las formalidades legales, (viii) designar los repositorios y entidades de certificación en los eventos previstos en la ley, (ix) emitir certificados en relación con las firmas digitales de las entidades de certificación, (x) velar por la observancia de las disposiciones constitucionales y legales sobre la promoción de la competencia y prácticas comerciales restrictivas, competencia desleal y protección del consumidor, en los

mercados atendidos por las entidades de certificación, e (xi) impartir instrucciones sobre el adecuado cumplimiento de las normas a las cuales deben sujetarse las entidades de certificación. Por lo anterior, actualmente la Superintendencia de Industria y Comercio no es competente para pronuncia/se sobre la actividad de las entidades de certificación de firmas digitales. En virtud del artículo 160 del Decreto 19 de 2012, que modificó el artículo 29 de la Ley 527 de 1999, la entidad competente en esa materia en el Organismo Nacional de Acreditación de Colombia ONAC, a la que se le asignó la función de acreditar entidades de certificación de firmas digitales, de acuerdo con la reglamentación que expida el Gobierno Nacional. 2.1 Derogatoria tácita del Decreto 1747 de 2000 - entidades de certificación abiertas y cerradas Ahora, a pesar de la derogatoria expresa de los artículos 41 y 42 de la Ley 527 de 1999, que le daba la competencia a la Superintendencia de Industria y Comercio para 1. autorizar la actividad de las entidades de certificación, consideramos que aplicando el artículo 72 del Código Civil, según el cual "la derogación tácita deja vigente en las leyes anteriores, aunque versen sobre la misma materia, todo aquello que no pugna con las disposiciones de la nueva ley", no todas las disposiciones del Decreto 1747 de 2000, por medio del cual se reglamentaron aspectos de la Ley 527 de 1999 relacionados con las entidades de certificación, los certificados y las firmas digitales, son contrarias a las nuevas disposiciones de los artículos 160, 161 y 162 del Decreto 19 de 2012. Veamos:

Los artículos 1 (que define algunos términos empleados en la norma), 2 (sobre los estándares para considerar confiables los sistemas utilizados en ejercicio de las actividades de certificación), 3 (sobre los requisitos de acreditación de entidades de certificación cerradas), 4 (sobre la información que deben contener los certificados), 5 (sobre los requisitos que deben cumplir las entidades de certificación abierta, salvo lo dispuesto en el parágrafo primero), 6 (sobre el contenido mínimo de la Declaración de Prácticas de Certificación), 7 (sobre el patrimonio mínimo), 8 (sobre garantías, salvo por los puntos 1e) y 2d), 9 (sobre la infraestructura y recursos exigibles de las entidades de certificación), 10 (sobre la infraestructura prestada por un tercero), 11 (sobre los informes de auditoría), 12 (sobre los requisitos de las firmas auditoras), 13 (sobre los deberes de las entidades de certificación, salvo por lo dispuesto en los numerales 5, 6 y 16, en cuanto señalan a la Superintendencia de Industria y Comercio como entidad que autoriza la interrupción de la prestación de servicio de las entidades, que debe conocer sobre la ocurrencia de cualquier evento que comprometa la prestación del servicio y como entidad depositaría de la información de las entidades), 14 (sobre certificaciones recíprocas, salvo por su parágrafo que faculta a la Superintendencia de Industria y Comercio para determinar el contenido mínimo de los certificados recíprocos), 15 (sobre el uso del certificado digital, salvo por el numeral 1, por indicar que la autorización de la entidad de certificación debe ser expedida por la

Superintendencia de Industria y Comercio, a menos que se trate de situaciones consolidadas antes de entrar en vigencia del Decreto 19 de 2012), 16 (sobre la unicidad de la firma digital) 18 (sobre la responsabilidad de las entidades de certificación), 20 (sobre responsabilidad derivada de la administración de repositorios), 22 (sobre la responsabilidad derivada de la no revocación), 23 (sobre la información que deben contener los certificados revocados, salvo por la segunda parte de su inciso 2, en el que se faculta a la Superintendencia de Industria y Comercio para que designe el repositorio), 24 (sobre el registro de certificados) y el 25 (sobre la obligación de confidencialidad), no son contradictorios frente al Decreto 19 de 2012. razón por la cual consideramos que no fueron derogados tácitamente por éste y que actualmente son aplicables, salvo norma en contrario. 2.2 Situaciones consolidadas en vigencia de los artículos 41 y 42 de la Ley 527 de 1999 - Aplicación de la ley en el tiempo La Honorable Corte Constitucional-Sala Plena, mediante Sentencia C-619 del 14 de junio de 2001, proferida dentro del expediente D-3291 en el que se siguió la demanda de inconstitucionalidad contra el inciso primero del artículo 67 de la Ley 610 de 2000, con ponencia del Magistrado Marco Gerardo Monroy Cabra, dio solución al problema jurídico que planteó así: "[cjorresponde a la Corte establecer si la aplicación ultraactiva de las normas de procedimiento contenidas en la legislación anterior (Ley 42 de 1993),

respecto de los procesos de responsabilidad fiscal que se encuentren en la etapa de juicio, y el efecto general inmediato de la nueva ley (Ley 610 de 2000), respecto de los mismos procesos cuando no han llegado a tal etapa, desconoce el principio de igualdad, y la garantía del debido proceso.": "Normas constitucionales relativas al efecto de las leyes en el tiempo. Desarrollo legal de las mismas. Normas relativas al tránsito de las leyes procesales.

3. Las normas superiores que se refieren explícitamente a los efectos del tránsito de legislación, son los artículos 58 y 29 de la Constitución Política.

Conforme al primero, "se garantizan la propiedad privada y los demás derechos adquiridos con arreglo a las leyes civiles, los cuales no pueden ser desconocidos ni vulnerados por leyes posteriores. Cuando de la aplicación de una ley expedida por motivos de utilidad pública o interés social, resultare en conflicto los derechos de los particulares con la necesidad por ella reconocida, el interés privado deberá ceder al interés público o social." Al tenor del segundo, "nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio... en materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable." (...) La fórmula general que emana del artículo 58 de la Constitución para solucionar los anteriores conflictos, como se dijo, es la írretroactividad de la ley, pues ella garantiza que se respeten los derechos legítimamente adquiridos bajo

la ley anterior, sin perjuicio de que se afecten las meras expectativas de derecho. No obstante, la misma Carta fundamental en el mencionado artículo, autoriza expresamente la retroactividad de las leyes penales benignas al reo, o de aquellas que comprometen el interés público o social. Ahora bien, cuando se trata de situaciones jurídicas en curso, que no han generado situaciones consolidadas ni derechos adquiridos en el momento de entrar en vigencia la nueva lev, ésta entra a regular dicha situación en el estado en que esté, sin perjuicio de que se respete lo ya surtido bajo la ley antigua. (...) 'Por derechos adquiridos, ha dicho la Corte, se tienen aquellas situaciones individuales y subjetivas que se han creado y definido bajo el imperio de una ley, y que por lo mismo han creado a favor de sus titulares un cierto derecho que debe ser respetado. Fundamento de la seguridad jurídica y del orden social en las relaciones de los asociados y de estos con el Estado, es que tales situaciones y derechos sean respetados íntegramente mediante la prohibición dé que leyes posteriores pretendan regularlos nuevamente. Tal afectación o desconocimiento sólo está permitido constitucionalmente en el caso de que se presente un conflicto entre los intereses generales o sociales y los individuales, porque en este caso, para satisfacer los primeros, los segundos deben pasar a un segundo plano. Se trata de afirmar entonces el imperio del principio de que el bien común es superior al particular y de que, por lo mismo, este debe ceder. (...) 'La norma (art. 58 C.N.) se refiere a las situaciones jurídicas consolidadas, no a las que configuran meras expectativas, estas, por no haberse

perfeccionado el derecho, están sujetas a las futuras regulaciones que la ley introduzca. (...) (sent. C-529/94 M.P. José Gregorio Hernández Galindo; Sentencia C-402 de 1998, M.P. Fabio Morón Díaz)'. (...) 4. Con fundamento en las disposiciones superiores anteriormente comentadas las cuales también estaban consignadas en la Constitución Nacional de 1886 y que delimitan la órbita de libertad de configuración legislativa en la materia, se desarrolló un régimen legal que señaló los principios generales relativos a los efectos del tránsito de legislación, respetando el límite señalado por la garantía de los derechos adquiridos y los principios de legalidad y favorabilidad penal. Dicho régimen legal está contenido en los artículos 17 a 49 de la Ley 153 de 1887 que de manera general, en relación con diversos tipos de leyes, prescriben que ellas rigen hacia el futuro y regulan todas las situaciones jurídicas que ocurran con posterioridad a su vigencia. A contrario sensu, las situaciones jurídicas extinguidas al entrar en vigencia una nueva ley, se rigen por la ley antigua. Ahora bien, cuando no se trata de situaciones jurídicas consolidadas bajo la vigencia de la ley anterior, sino de aquellas que están en curso en el momento de entrar en vigencia la nueva ley, ni de derechos adquiridos en ese momento, sino de simples expectativas, la nueva ley es de aplicación inmediata. La aplicación o efecto general inmediato de la ley es la proyección de sus disposiciones a situaciones jurídicas que están en curso al momento de su entrada en vigencia. El efecto general inmediato de la nueva ley no desconoce

la Constitución, pues por consistir en su aplicación a situaciones jurídicas que aun no se han consolidado, no tiene el alcance de desconocer derechos adquiridos. En cuanto a la proyección futura de los efectos de una ley derogada, (ultraactividad de la ley), el régimen legal general contenido en las normas mencionadas lo contempla para ciertos eventos. La ultraactividad en sí misma no contraviene tampoco la Constitución, siempre y cuando, en el caso particular, no tenga el alcance de desconocer derechos adquiridos o situaciones jurídicas consolidadas, ni el principio de favorabilidad penal.". (Subrayas nuestras). De acuerdo con lo anterior, en opinión de esta Oficina Asesora Jurídica, las entidades que obtuvieron antes del 10 de enero de 2012 (fecha en la que comenzó a regir el Decreto 19 de 2012), la autorización de la Superintendencia de Industria y Comercio para realizar actividades de entidades de certificación en el territorio nacional, consolidaron su derecho a prestar esos servicios bajo la vigencia de los artículos 41 y 42 de la Ley 527 de 1999.

3. Respuesta al cuestionario

2. Con fundamento en la anterior argumentación jurídica, respondemos el cuestionario planteado: 3.1 ¿Cuál es el marco normativo que actualmente regula el procedimiento de constitución, acreditación y autorización de funcionamiento de una entidad de certificación abierta en Colombia?

Respuesta: Consideramos que actualmente las normas que regulan el procedimiento de acreditación de entidades de certificación abierta en Colombia son: la Ley 527 de 2000, salvo sus artículos 41 y 42, el Decreto 19 de 2012, las normas del Decreto 1747

de 2000 y la Circular Única de la Superintendencia de Industria y Comercio, en lo que no sean contradictorias con el Decreto 19 de 2012. 2. ¿Es correcta nuestra interpretación en el sentido de que el Decreto 19 de 2012 derogó la exigencia de la autorización previa de que trataba el artículo 29 de la Ley 527 de 1999?

Respuesta: Consideramos que su interpretación es correcta, dado que las facultades de la Superintendencia de Industria y Comercio para autorizar a las entidades de certificación de firmas digitales fueron derogadas expresamente por el artículo 176 del Decreto 19 de 2012, y que en el artículo 160 de esta norma no sólo es importante el hecho de la asignación al ONAC la función de acreditar a las entidades de certificación, sino que también lo es el que haya reemplazado el término autorizar empleado en el artículo 29 de la Ley 527 de 1999 para referirse a la función que tenía la Superintendencia, por el término acreditar.

Vale precisar que el término acreditar sólo se emplea en el artículo 12 del Decreto 1747 de 2000 para precisar que la auditoría de las entidades de certificación a la que se refiere el artículo 11 deberá realizarla una entidad acreditada por la Superintendencia de Industria y Comercio. 3. ¿Ante quién se adelanta el procedimiento?

Respuesta: De acuerdo con las respuestas anteriores, el trámite de autorización de entidades de certificación abierta de firmas digitales que pretendan prestar sus servicios en Colombia se seguirá ante el Organismo Nacional de Autorización de

Colombia ONAC.

4. En virtud del cambio normativo ¿aún están vigentes los requisitos y

procedimientos establecidos por el Decreto 1747 de 2000 o se entiende que dicha norma perdió vigencia al mismo tiempo que la exigencia de la autorización?

Respuesta: A pesar de la derogatoria expresa de los artículos 41 y 42 de la Ley 527 de 1999, que le daba la competencia a la Superintendencia de Industria y Comercio para autorizar la actividad de las entidades de certificación, consideramos que aplicando el artículo 72 del Código Civil, según el cual "la derogación tácita deja vigente en las leyes anteriores, aunque versen sobre la misma materia, todo aquello que no pugna con las disposiciones de la nueva ley", no todas las disposiciones del Decreto 1747 de 2000, por medio del cual se reglamentaron aspectos de la Ley 527 de 1999 relacionados con las entidades de certificación, los certificados y las firmas digitales, son contrarias a las nuevas disposiciones de los artículos 160, 161 y 162 del Decreto 19 de 2012 y, por lo tanto, son actualmente aplicables. En el punto 2.1 del presente concepto se individualizan aquellas que consideramos vigentes hasta que el Gobierno Nacional expida la reglamentación respectiva.

Para mayor información sobre el desarrollo de nuestras funciones y de las normas objeto dé aplicación por parte de esta entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Claudia Bohórquez

Revisó: William Burgos

Aprobó: William Burgos