Dec. No. 335-03 que aprueba el Reglamento de Aplicación de la Ley No. 126-02, sobre Comercio Electrónico, Documentos y Firmas Digitales. HIPOLITO MEJIA Presidente de la República Dominicana NUMERO: 335-03 CONSIDERANDO: Que la promulgación de la Ley No.126-02 sobre Comercio Electrónico, Documentos y Firmas Digitales, constituye un hito significativo para la inserción de la República Dominicana en la sociedad de la información, como agente de competitividad del sector productivo, de modernización de las instituciones públicas y de socialización de la información a través del acceso universal a los servicios de telecomunicaciones que intervienen en estos intercambios, como la telefonía e Internet; CONSIDERANDO: Que el volumen de intercambio por medios electrónicos ha crecido en forma notable en la República Dominicana siendo un ejemplo de ello el incremento de transacciones en cajeros automáticos y operaciones de débito en las terminales de puntos de venta; CONSIDERANDO: Que la posibilidad de efectuar transacciones comerciales mediante los medios electrónicos, fomenta la creación e incremento de nuevos y más ágiles servicios, con mayor grado de personalización y calidad, y disminuye los costos de transacción, tanto para consumidores, como para los suplidores; CONSIDERANDO: Que, no obstante las grandes ventajas del comercio electrónico, la incorporación de seguridad jurídica en las transacciones cursadas por este medio, resulta un punto medular para estimular su expansión en beneficio de las personas físicas o jurídicas que participan en él, en la medida que la celebración de contratos por la vía digital requiere la identificación cabal de las personas que realizan las transacciones y la verificación de la integridad de los contenidos de los documentos electrónicos, a fin de garantizar el eventual valor probatorio, judicial y extrajudicialmente de las firmas digitales y los mensajes de datos; CONSIDERANDO: Que la Ley No.126-02 y el Reglamento de Aplicación que aprueba el presente Decreto, pretenden dotar a la República Dominicana de un marco legal adecuado que el desarrollo del comercio electrónico requiere, complementando las normas de derecho vigentes en materia civil, comercial y administrativa, al brindar el adecuado reconocimiento legal a las transacciones en formato digital, y adoptar medidas que permitan identificar en forma fehaciente a las personas que intervienen, con el propósito de reconocer derechos y obligaciones respectivas, asi como también garantizar su valor probatorio; CONSIDERANDO: Que la efectiva implementación de la Ley No.126-02 permitirá dotar al comercio electrónico de reglas claras sobre el perfeccionamiento de los compromisos asumidos a través de expresiones de la voluntad por la vía electrónica, lo cual brindará un marco de seguridad y confianza para el desarrollo de transacciones electrónicas con plena identificación de sus participantes y certeza respecto de la integridad del contenido de los documentos digitales y mensajes de datos emitidos por éstos; CONSIDERANDO: Que, al mismo tiempo, este régimen legal y reglamentario permitirá el desarrollo del “Gobierno Electrónico” y facilitará el acceso de la comunidad a la información y servicios que brinda el Estado, aumentando la eficiencia de sus organizaciones, mediante la digitalización de sus procedimientos, el acceso remoto a bases de datos y la facilitación de la información y comunicación de servicios públicos, con la consecuente reducción de los tiempos de los trámites correspondientes, así como de los costos asociados al suministro de los mismos; CONSIDERANDO: Que, dada la naturaleza de las transacciones electrónicas en las cuales es posible realizar operaciones comerciales generadoras de derechos y obligaciones, entre partes situadas en lugares remotos, más allá del ámbito de aplicación de este ordenamiento legal, la República Dominicana deberá adoptar normas jurídicas y técnicas que permitan la interoperabilidad entre los diferentes sistemas con los que se encuentra interconectada a nivel internacional; CONSIDERANDO: Que, en ese orden de ideas, es necesario contar con mecanismos reglamentarios y administrativos de reconocimiento de validez legal de certificados digitales emitidos fuera del país, y utilizados por personas situadas en el extranjero en sus intercambios con la República Dominicana, reconociendo, a dichos fines, al Instituto Dominicano de las Telecomunicaciones (INDOTEL), en su calidad de órgano regulador, la facultad de celebrar acuerdos de reconocimiento mutuo de certificados con otros países; CONSIDERANDO: Que un elemento fundamental para el impulso al comercio electrónico es la puesta en marcha de una Infraestructura de Clave Pública de la República Dominicana, la cual permitirá la identificación fehaciente de las personas físicas o jurídicas suscriptoras de certificados digitales; CONSIDERANDO: Que la Ley No.126-02 establece que las entidades de certificación deben cumplir con los requerimientos establecidos en los reglamentos de aplicación; CONSIDERANDO: Que una de las funciones esenciales de las entidades de certificación es la de validar los datos de identidad de los suscriptores de certificados digitales, actividad que desarrolla por si o por terceros, de acuerdo con los usos internacionales; CONSIDERANDO: Que esta actividad, desarrollada por las Unidades de Registro, amerita una reglamentación específica dada la trascendencia de su rol como eje del sistema de confianza que implica una Infraestructura de Clave Pública; CONSIDERANDO: Que otro aspecto relevante lo constituye la determinación del día y la hora oficial, en un momento dado, en los medios electrónicos, así como el diseño de los mecanismos de comunicación y distribución de la fecha y hora oficial en la Internet, a fin de que, tanto los organismos públicos como las entidades de certificación procedan a tomar de este mecanismo, la fecha y la hora exacta como insumo para su registro y distribución posterior, y para el suministro del servicio de registro y estampado cronológico; CONSIDERANDO: Que, por otra parte, la posibilidad de contar con la fecha y la hora cierta en medios electrónicos e Internet permitirá la realización de actos y convenios para los cuales la determinación fehaciente del momento preciso de la ocurrencia de un hecho generador de derechos u obligaciones, constituye un elemento esencial en la formación y manifestación de la voluntad, tales como en la presentación de evidencia en formato digital en instancia judicial y administrativa, como prueba documental, en la realización de compras electrónicas o en las notificaciones electrónicas; CONSIDERANDO: Que, conforme a la Ley No.126-02, se reconoce la eficacia jurídica de los mecanismos de identificación de autoría que hayan sido acordados por las partes, aun en el caso que no se trate de firma digital; CONSIDERANDO: Que, sin embargo, la Ley No.126-02 no utiliza ninguna denominación especial para estos mecanismos de identificación acordados entre las partes de una transacción digital no sujeta a formas solemnes, que no constituyan firma digital por ausencia de algunos de sus elementos, aunque la misma Ley le reconoce eficacia jurídica a dichos mecanismos de identificación de autoría; CONSIDERANDO: Que el derecho comparado, tanto en la legislación vigente como en las Leyes Modelos de la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional- CNUDMI, en las que se apoya la Ley No.126-02, denomina como firma electrónica a estos mecanismos de identificación en el mundo virtual que no constituyen firmas digitales o firmas electrónicas avanzadas; CONSIDERANDO: Que la interpretación que debe darse a las alternativas contempladas por la Ley No.126-02 respecto de los mecanismos de autenticación acordados entre partes que no constituyan firma digital, está orientada por la misma Ley cuando precisa los principios generales que la inspiran y los criterios a los cuales para su interpretación se debe acudir; CONSIDERANDO: Que, en su Artículo 3, la Ley No.126-02 establece como criterio de interpretación las recomendaciones de organismos multilaterales en la materia, la necesidad de promover la uniformidad de su aplicación y la observancia de la buena fe y señala como principios generales el facilitar el comercio electrónico, validar las transacciones entre partes, promover y apoyar la implantación de nuevas tecnologías y apoyar las prácticas comerciales; CONSIDERANDO: Que, de acuerdo con lo establecido por la Ley No.126-02, corresponde denominar como firma electrónica a los mecanismos de autenticación acordados entre partes, en consonancia con el derecho comparado tanto de la legislación vigente en los distintos países como la contenida en las Leyes Modelo de la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional- CNUDMI; CONSIDERANDO: Que, en igual sentido, los sistemas internacionales de firma electrónica o firma digital contemplan, en general, esquemas voluntarios de acreditación, de acuerdo con el principio de libertad de comercio; CONSIDERANDO: Que, sin embargo, es necesario, a los fines de la protección de los derechos de los consumidores y usuarios de firmas digitales, regular, de manera mínima, la prestación de servicios de certificación efectuada por proveedores de firma electrónica; CONSIDERANDO: Que la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional- CNUDMI, así como las legislaciones basadas en sus principios, expresamente prevén sistemas de acreditación voluntaria de las prestadoras de servicios de certificación ante los órganos reguladores específicos, diferenciando los efectos jurídicos de los certificados digitales emitidos por certificadores autorizados con pleno valor legal de firma manuscrita, respecto de los certificados emitidos por certificadores no autorizados, los cuales no gozan del mismo valor jurídico que las normas asignan a la firma digital, pero que no carecen de todo valor, ya que se los considera como firma electrónica; CONSIDERANDO: Que, en dichos casos, se asigna solamente el mismo efecto legal que se otorga a la firma manuscrita a la firma digital, también denominada firma electrónica avanzada, firma electrónica fiable, cuando dichas firmas son generadas a partir de certificados digitales emitidos por entidades de certificación autorizadas por el órgano regulador correspondiente, previsto por cada norma en particular en el derecho comparado; CONSIDERANDO: Que, en atención a los anteriores aspectos, es necesario reconocer la existencia de prestadores de servicios de certificación que opten por no solicitar autorización y cumplir con los requisitos establecidos por el INDOTEL para prestar servicios de firma digital, con valor equivalente al otorgado en el ordenamiento jurídico vigente a la firma holográfica, dejando expresamente establecido que sus certificados no tendrán los efectos de firma digital; CONSIDERANDO: Que el Reglamento que aprueba el presente Decreto tiene por objeto estimular el desarrollo de iniciativas tecnológicas vinculadas con el comercio electrónico, promover la utilización de estos servicios y difundir su uso entre la población, a fin de familiarizar a un mayor número de personas con el sistema; CONSIDERANDO: Que, asimismo, se estima conveniente la creación de un Registro de Entidades de Certificación que permita su consulta en forma permanente por la Internet para facilitar la constatación de los aspectos relevantes de la Infraestructura de Clave Pública de la República Dominicana por parte de suscriptores y usuarios de firmas digitales; CONSIDERANDO: Que la Ley No.126-02 sobre Comercio Electrónico, Documentos y Firmas Digitales, en su Artículo 61, establece un plazo de seis (6) meses, contados partir de la publicación de la referida Ley, para que el Poder Ejecutivo dicte el Reglamento de Aplicación correspondiente; CONSIDERANDO: Que la Ley No.126-02 sobre Comercio Electrónico, Documentos y Firmas Digitales de la República Dominicana fue publicada en la Gaceta Oficial No. 10172 a los veintinueve (29) días del mes de septiembre del año dos mil dos (2002); CONSIDERANDO: Que, en virtud de lo dispuesto por el Artículo 56 de la referida Ley, el cual faculta al INDOTEL a proponer al Poder Ejecutivo la implementación de políticas en relación con la regulación de actividades de las entidades de certificación, así como aprobar los reglamentos internos de la prestación de servicios, entre otras funciones, en fecha diecisiete (17) de marzo del año dos mil tres (2003), el Consejo Directivo del Instituto Dominicano de las Telecomunicaciones (INDOTEL) aprobó, mediante su Resolución No. 042-03, el proyecto del Reglamento General de Aplicación de la Ley de Comercio Electrónico, Documentos y Firmas Digitales para ser sometido a la aprobación del Poder Ejecutivo, el cual fue elaborado por dicha institución con la participación de consultores internacionales, luego de haber agotado varias rondas de consultas, en la que participaron representantes de sectores de telecomunicaciones, del sector financiero, de asociaciones de contadores y auditores, del sector público y de asociaciones profesionales y sin fines de lucro de la República Dominicana. CONSIDERANDO: Que por delegación expresa efectuada por el Consejo Directivo del Instituto Dominicano de las Telecomunicaciones (INDOTEL), en fecha veinticuatro (24) de marzo del año dos mil tres (2003), el Presidente del Consejo Directivo de esa institución, Lic. Orlando Jorge Mera, remitió a la Consultoría Jurídica del Poder Ejecutivo el citado Proyecto de Reglamento para fines de aprobación, de conformidad con lo dispuesto en la Ley. VISTA la Constitución de la República Dominicana; VISTOS los Códigos Civil, Comercial y de Procedimiento Civil y Procedimiento Criminal de la República Dominicana; VISTA la Ley No.126-02 sobre Comercio Electrónico, Documentos y Firmas Digitales de la República Dominicana, promulgada en fecha cuatro (4) de septiembre del año dos mil dos (2002); VISTA la Resolución No. 042-03, emitida por el Consejo Directivo del Instituto Dominicano de las Telecomunicaciones (INDOTEL), de fecha diecisiete (17) de marzo de 2003; VISTA la solicitud de aprobación del Reglamento General de Aplicación de la Ley de Comercio Electrónico, Documentos y Firmas Digitales de la República Dominicana, presentada al Poder Ejecutivo por el Presidente del Instituto Dominicano de las Telecomunicaciones (INDOTEL), Lic. Orlando Jorge Mera, en fecha veinticuatro (24) de marzo del año dos mil tres (2003). En ejercicio de las atribuciones que me confiere el Artículo 55 de la Constitución de la República, dicto el siguiente DECRETO: REGLAMENTO GENERAL DE APLICACIÓN DE LA LEY Nº. 126-02 SOBRE COMERCIO ELECTRÓNICO, DOCUMENTOS Y FIRMAS DIGITALES TÍTULO I DEFINICIONES Y ALCANCE ARTÍCULO 1.- Definiciones.- En adición a las definiciones establecidas en la Ley, las expresiones y términos que se emplean en este Reglamento tendrán el significado que se señala a continuación: 1.1. Autorización: El acto jurídico mediante el cual, en forma escrita y formal, el INDOTEL otorga a una Entidad de Certificación el derecho a emitir certificados digitales con valor legal de firma digital y proveer otros servicios de certificación previstos por la Ley No.126-02 y sus normas reglamentarias; 1.2. Certificado (Certificado Digital): Es el documento digital emitido y firmado digitalmente por una Entidad de Certificación, que identifica unívocamente a un suscriptor durante el periodo de vigencia del certificado, y que se constituye en prueba de que dicho suscriptor es la fuente o el originador del contenido de un documento digital o mensaje de datos que incorpore su certificado asociado; 1.3. Clave Criptográfica Privada: Es el valor o valores numéricos o caracteres binarios que, utilizados conjuntamente con un procedimiento matemático conocido, sirven para generar la firma digital de un mensaje de datos o de un documento digital; 1.4. Clave Criptográfica Pública: Es el valor o valores numéricos o caracteres binarios que son utilizados para verificar que una firma digital fue generada con la clave privada del suscriptor del certificado digital que ha emitido el mensaje de datos o el documento digital; 1.5. Confiabilidad Técnica: Es la cualidad del conjunto de equipos de computación, software, protocolos de comunicación, seguridad y procedimientos administrativos relacionados que cumplan los siguientes requisitos: a) Protección contra la posibilidad de intrusión o uso no autorizado; b) Garantía de la disponibilidad, confiabilidad, confidencialidad y correcto funcionamiento; c) Aptitud para el desempeño de sus funciones específicas; d) Cumplimiento de las normas de seguridad apropiadas, acordes a estándares internacionales en la materia; y, e) Cumplimiento con los estándares técnicos y de auditoría que establezca el INDOTEL; 1.6. Criptografía: Es la rama de las matemáticas aplicadas a la ciencia informática que se ocupa de la transformación de documentos digitales o mensajes de datos, de su representación original a una representación ininteligible e indescifrable que protege y preserva su contenido y forma, y de la recuperación del documento o mensaje de datos original a partir de ésta; 1.7. Criptosistema Asimétrico: Es el algoritmo que utiliza un par de claves, una clave privada para firmar digitalmente y su correspondiente clave pública para verificar dicha firma digital, de esta manera, una clave no puede operar sin la otra y de tal forma que el usuario que conozca la clave pública no pueda derivar de ella la clave privada; 1.8. Datos de Creación de Firma Digital: Son aquellos datos únicos, tales como códigos o claves criptográficas privadas, que el suscriptor utiliza para crear su firma digital; 1.9. Datos de Verificación de Firma Digital: Son aquellos datos únicos, tales como códigos o claves criptográficas públicas, que se utilizan para verificar la firma digital, la integridad del documento digital o mensaje de datos y la identidad del suscriptor, 1.10. Destinatario: La persona designada por el iniciador para recibir el mensaje, pero que no esté actuando a título de intermediario con respecto a ese mensaje; 1.11. Dispositivo de Creación de Firma Digital: Es el dispositivo de hardware o software técnicamente confiable que permite firmar digitalmente; 1.12. Dispositivo de Verificación de Firma Digital: Es el dispositivo de hardware o software técnicamente confiable que permite verificar la integridad del documento digital y la identidad del suscriptor; 1.13. Documento Digital: Es la información codificada en forma digital sobre un soporte lógico o físico, en la cual se usan métodos electrónicos, fotolitográficos, ópticos o similares que se constituyen en representación de actos, hechos o datos jurídicamente relevantes; 1.14. Entidad de Certificación: Es aquella institución o persona jurídica que, autorizada conforme a la Ley, el presente Reglamento y las normas a ser dictadas por el INDOTEL, que está facultada para emitir certificados en relación con las firmas digitales de las personas, ofrecer o facilitar los servicios de registro y estampado cronológico de la transmisión y recepción de mensajes de datos, así como cumplir otras funciones relativas a las comunicaciones basadas en las firmas digitales; 1.15. Estampado Cronológico o Certificación Digital de Fecha y Hora: Es la indicación de la fecha y la hora cierta, asignada a un documento o registro electrónico por una Entidad de Certificación y firmada digitalmente por ésta; 1.16. Firma Digital: Se entenderá como un valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático conocido, vinculado a la clave del iniciador y al texto del mensaje, permite determinar que este valor se ha obtenido exclusivamente con la clave del iniciador y el texto del mensaje, y que el mensaje inicial no ha sido modificado después de efectuada la transmisión; 1.17. Firma Electrónica: Se entiende por firma electrónica al conjunto de datos electrónicos integrados, ligados o asociados de manera lógica a otros datos electrónicos, que por acuerdo entre las partes se utilice como medio de identificación entre el emisor y el destinatario de un mensaje de datos o un documento digital y que carece de alguno de los requisitos legales para ser considerado firma digital; 1.18. INDOTEL: Es la sigla que denomina al Instituto Dominicano de las Telecomunicaciones, órgano regulador de las telecomunicaciones y del comercio electrónico, documentos y firmas digitales, de conformidad con las leyes No.153-98 General de Telecomunicaciones y No.126-02 de Comercio Electrónico, Documentos y Firmas Digitales de la República Dominicana, respectivamente; 1.19. Iniciador: Toda persona que, al tenor de un mensaje de datos, haya actuado por su cuenta o en cuyo nombre se haya actuado, para enviar o generar dicho mensaje antes de ser archivado, si este es el caso, pero que no lo haya hecho a título de intermediario con respecto a ese mensaje; 1.20. Ley: Se refiere a la Ley de Comercio Electrónico, Documentos y Firmas Digitales, número 126-02; 1.21. Ley de Telecomunicaciones: Se refiere a la Ley General de Telecomunicaciones, número 153-98; 1.22. Mensajes de Datos: Es la información generada, enviada, recibida, almacenada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el intercambio electrónico de datos (EDI, por sus siglas en inglés), el correo electrónico, el telegrama, el télex o el telefax; 1.23. Manual de Procedimientos: Es el conjunto de prácticas utilizadas por la Entidad de Certificación en la emisión y administración de los certificados. En inglés, Certification Practice Statement (CPS); 1.24. Plan de Cese de Actividades: Es el conjunto de actividades aprobadas por el INDOTEL, a desarrollar por la Entidad de Certificación en caso de finalizar la prestación de sus servicios; 1.25. Plan de Contingencias: Es el conjunto de procedimientos a seguir por la Entidad de Certificación ante la ocurrencia de situaciones no previstas que puedan comprometer la continuidad de sus operaciones; 1.26. Plan de Seguridad: Es el conjunto de políticas, prácticas y procedimientos destinados a la protección de los recursos de la Entidad de Certificación; 1.27. Prácticas de Certificación: Es el conjunto de información relativa al cumplimiento de los requisitos de autorización y operación que debe publicar cada Entidad de Certificación según lo establecido en el Artículo 38 de la Ley N°. 126-02; 1.28. Políticas de Certificación: Son las reglas definidas por las Entidades de Certificación y aprobadas por el INDOTEL, en las que se establecen los criterios de emisión y utilización de los certificados digitales. En inglés, Certification Policy (CP); 1.29. Procedimiento de Verificación de Firma Digital: Es el proceso utilizado para determinar la validez de una firma digital. Dicho proceso debe constar por lo menos de los pasos siguientes: a) La verificación de que dicha firma digital ha sido creada durante el período de validez del certificado digital del suscriptor; b) La comprobación de que dicha firma digital ha sido creada utilizando los datos de creación de firma digital correspondientes a los datos de verificación de firma digital indicados en el certificado del suscriptor; y, c) La verificación de la autenticidad y la validez de los certificados involucrados; 1.30. Proveedor de Servicios de Firma Electrónica: Es toda persona moral, nacional o extranjera, pública o privada, que preste servicios de certificación, y cuyos certificados digitales no tienen valor legal de firma digital, sin perjuicio de los demás servicios que puedan realizar; 1.31. Registro de Entidades de Certificación: Es el registro de acceso público que mantiene el INDOTEL en el cual constan las informaciones relativas a las Entidades de Certificación; 1.32. Registro Nacional: Es el registro establecido en el Capítulo IX del Reglamento de Concesiones, Inscripciones en Registros Especiales y Licencias para Prestar Servicios de Telecomunicaciones en la República Dominicana, que mantiene un listado de todas las autorizaciones otorgadas por el INDOTEL; 1.33. Reglamento: Se refiere al presente Reglamento de la Ley No.126-02; 1.34. Repositorio: Es un sistema de información para el almacenamiento y recuperación de certificados u otro tipo de información relevante para la expedición y validación de los mismos; 1.35. Revocar un Certificado: Es finalizar definitivamente el período de validez de un certificado, desde una fecha específica, en adelante; 1.36. Suscriptor o Titular de Certificado Digital: Es la persona que contrata con una Entidad de Certificación la expedición de un certificado, para que sea nombrada o identificada en él. Esta persona tiene la obligación de mantener bajo su estricto y exclusivo control el procedimiento para generar su firma digital; 1.37. Suspender un Certificado: Es Interrumpir temporalmente el período operacional de un certificado desde una fecha específica, en adelante; 1.38. Unidad de Registro: Es toda persona moral o física, u organismo público, possibilitada a validar los datos de identidad de personas físicas y jurídicas, suscriptoras de certificados y en capacidad de prestar otros servicios de validación relacionados con las firmas digitales, conforme a la autorización otorgada a tales fines por el INDOTEL. En inglés, Registration Authority (RA); 1.39. Usuario: Es la persona que, sin ser suscriptor y sin contratar los servicios de emisión de certificados de una Entidad de Certificación, puede, sinembargo, validar la integridad y autenticidad de un documento digital o de un mensaje de datos, con base en un certificado del suscriptor originador del mensaje; 1.40. Validar la Integridad y Autenticidad de un Documento Digital o un Mensaje de Datos: Es el procedimiento de verificación de firma digital aplicado a un documento digital o mensaje de datos. ARTÍCULO 2.- Alcance.- 2.1. Este Reglamento constituye el marco regulatorio que se aplicará en todo el territorio nacional para la prestación de servicios de certificación digital en el marco de la Ley No.126-02 de Comercio Electrónico, Documentos y Firmas Digitales, y regula a las entidades comprendidas en la Ley y el presente Reglamento. 2.2. Son sujetos regulados por la Ley, el presente Reglamento y las normas complementarias que dicte el INDOTEL, las entidades de certificación, los proveedores de servicios de firma electrónica y las unidades de registro, así como los proveedores de servicios o infraestructura de soporte operacionalmente vinculados con estas en la medida de su relación contractual. 2.3. Este Reglamento deberá ser interpretado de conformidad con la ley, los reglamentos y normas dictadas por el INDOTEL y se tendrán en cuenta las normas y recomendaciones internacionales en la materia. 2.4. El INDOTEL aprobará las normas complementarias al presente Reglamento, las cuales podrán ser ampliadas, modificadas o derogadas de acuerdo con la evolución de los estándares internacionalmente aceptados. ARTÍCULO 3.- Autoridad.- 3.1. El INDOTEL velará por el fiel cumplimiento de este Reglamento, estipulará los estándares tecnológicos, legales, económicos y de procedimientos aplicables en materia de firma digital, documentos digitales y mensajes de datos, y emitirá las resoluciones correspondientes a fin de garantizar la aplicación efectiva de la Ley y este Reglamento. 3.2. El INDOTEL constituye la única institución del Estado con calidad legal para autorizar la instalación y operación de servicios públicos y privados de certificación digital en el territorio nacional, no pudiendo ser sustituida esta facultad por ninguna otra autoridad centralizada, autónoma o descentralizada del Estado. TÍTULO II SUJETOS REGULADOS PARTE I ENTIDADES DE CERTIFICACIÓN ARTÍCULO 4.- Categorías.- 4.1. Las Entidades de Certificación, las Unidades de Registro y los Proveedores de Servicios de Firma Electrónica se encuentran regulados por la Ley, el presente Reglamento y sus normas complementarias, así como por las normas de derecho común aplicables. 4.2. Entidades de Certificación: Son aquellas que, siendo personas jurídicas nacionales o extranjeras, públicas o privadas, y las Cámaras de Comercio y Producción, domiciliadas en [domicilio omitido], que, previa solicitud, sean autorizadas por el INDOTEL en conformidad con la Ley, este Reglamento y las normas que dicte el INDOTEL, están facultadas para emitir certificados en relación con las firmas digitales de las personas, ofrecer o facilitar los servicios de registro y estampado cronológico de la transmisión y recepción de mensajes de datos, así como cumplir otras funciones relativas a las comunicaciones basadas en las firmas digitales, sin perjuicio de los demás servicios que puedan realizar. 4.3. Proveedores de Servicios de Firma Electrónica: Son aquellas personas morales, nacionales o extranjeras, públicas o privadas, que otorguen certificados digitales que carecen de valor legal de firma digital, sin perjuicio de los demás servicios que puedan realizar. ARTÍCULO 5.- Prestación de Servicios de Firma Electrónica.- 5.1. La prestación de servicios de certificación digital por Proveedores de Servicios de Firma Electrónica no requiere de autorización previa por parte del INDOTEL. 5.2. A los fines de proteger los derechos de los consumidores, el INDOTEL determinará la información a presentar y los procedimientos a cumplir por los Proveedores de Servicios de Firma Electrónica. ARTÍCULO 6.- Efectos de los Certificados Emitidos por Proveedores de Servicios de Firma Electrónica.- 6.1. Los certificados y demás servicios de certificación prestados por los Proveedores de Servicios de Firma Electrónica no tienen el valor jurídico que la Ley otorga a la firma digital, esta circunstancia deberá constar en la información que suministren sobre sus servicios tanto en forma impresa como en formato digital, en el sitio de Internet de que dispongan y en general, en toda comunicación vinculada a los mismos. 6.2. Los Proveedores de Servicios de Firma Electrónica deberán comunicar expresamente tal circunstancia a los solicitantes y/o suscriptores de certificados digitales que emitan y a todo tercero que tome contacto con dicho Proveedor de Servicios de Firma Electrónica. ARTÍCULO 7.- Normas.- El cumplimiento de las normas fijadas para la aplicación del presente Reglamento es obligatorio para las Entidades de Certificación. El INDOTEL tiene la potestad para efectar, de oficio o a solicitud de parte, verificaciones de cumplimiento de las disposiciones legales y reglamentarias en las Entidades de Certificación cuando lo considere necesario en la forma dispuesta por la Ley y sus normas reglamentarias. ARTÍCULO 8.- Actualización de las Normas.- 8.1. Los actos administrativos que impliquen la modificación de normas para la prestación de servicios de certificación digital establecerán los plazos en los cuales las Entidades de Certificación deberán adecuarse a las mismas. 8.2. El incumplimiento de las disposiciones de las nuevas normas será calificado como falta muy grave y facultará al INDOTEL a dejar sin efecto la autorización, de conformidad con los Artículos 56 y 57 de la Ley y el presente Reglamento. ARTÍCULO 9.- Prácticas de Certificación.- 9.1. Las Entidades de Certificación contarán con reglas específicas sobre sus prácticas de certificación, consistentes en una descripción detallada de las políticas, procedimientos, mecanismos y condiciones de prestación de los servicios, así como las obligaciones que asumen. 9.2. Las Prácticas de Certificación deben declarar el cumplimiento de los requisitos señalados en el Artículo 68 de este Reglamento, con excepción de la póliza de seguro que se acredita por medio de la presentación de la misma. 9.3. Las Prácticas de Certificación deben ser objetivas y no discriminatorias, deben estar publicadas de conformidad con el Artículo 38 de la Ley y el presente Reglamento y se deben comunicar a los suscriptores y usuarios de manera sencilla y en idioma español. 9.4. Las Políticas de Certificación estarán sujetas a la aprobación del INDOTEL y deberán ser remitidas junto a la solicitud de autorización. 9.5. Las Políticas de Certificación deberán ser publicadas y actualizadas en forma permanente y deben estar accesibles al público por medios electrónicos, en la dirección correspondiente al sitio de que disponga la Entidad de Certificación, en el boletín del INDOTEL y en el sitio de Internet del INDOTEL. 9.6. Las disposiciones de las Prácticas de Certificación deberán contener de manera enunciativa, por lo menos la siguiente información: a. Datos Generales: i) El nombre, la dirección física y el número telefónico de la Entidad de Certificación; ii) El número del Registro Nacional de Contribuyente (RNC); iii) La dirección electrónica, en la cual serán válidas las comunicaciones y notificaciones; iv) El certificado digital que contiene la clave pública actual de la Entidad de Certificación; v) El resultado de la evaluación obtenida por la Entidad de Certificación en la última auditoría realizada por el INDOTEL; vi) Si la autorización para operar como Entidad de Certificación ha sido revocada o suspendida, este registro deberá incluir la fecha de la revocación o suspensión para operar para todos los casos en los cuales se haya producido; vii) Los límites impuestos a la Entidad de Certificación en la autorización para operar; y, viii) Cualquier evento que sustancialmente afecte la capacidad de la Entidad de Certificación para operar. b. Políticas de Certificación que contemplen al menos los siguientes contenidos: i) Introducción, la cual contendrá un resumen de las prácticas de certificación de que se trate, mencionando tanto la entidad que suscribe el documento, como el tipo de suscriptores y productos a los que son aplicables; ii) Consideraciones Generales, las cuales contendrán información sobre obligaciones, responsabilidades, cumplimiento de auditorías, confidencialidad, y derechos de propiedad intelectual, con relación a todas las partes involucradas; iii) Identificación y Autenticación, en la cual se describan los procesos de autenticación aplicados a los solicitantes de certificados, así como los procesos para autenticar a los mismos cuando pidan la suspensión o la revocación de un certificado. En caso de operar con una Unidad de Registro, la entidad suministrará los datos de esta Unidad; iv) Requerimientos Operacionales, los cuales contendrán información operacional y procedimientos a seguir para los procesos de solicitud de certificados, emisión de certificados, suspensión y revocación de certificados, procesos de auditoría, de seguridad, almacenamiento de información relevante, cambio de datos de creación de firma digital, superación de situaciones críticas, casos de fuerza mayor, caso fortuito, y procedimiento de término del servicio de certificación; v) Controles de Procedimiento, Personal y Físicos, describirán los controles de seguridad no técnicos utilizados por la entidad de certificación para asegurar las funciones de generación de datos de creación de firma digital, autenticación de usuarios, emisión de certificados, suspensión y revocación de certificados, auditoría y almacenamiento de información relevante; vi) Controles de Seguridad Técnica, señalarán las medidas de seguridad adoptadas por la Entidad de Certificación para proteger los datos de creación de su propia firma digital; vii) Perfiles de Certificados y del Registro de Acceso Público, especificarán los formatos del certificado y del registro de acceso público; viii) Especificaciones de Administración de la Política de Certificación, señalarán la forma en que la misma está contenida en la práctica, y los procedimientos para cambiar, publicar y notificar dicha política. c. Plan de Cese de Actividades d. Plan de Contingencia e. Política de Protección de Datos Personales, acorde con la normativa complementaria a ser dictada por el INDOTEL. f. El Reconocimiento de Certificados Extranjeros por Parte de la Entidad de Certificación, en caso de que corresponda. ARTÍCULO 10.- Registro de Certificados Digitales.- 10.1. Cada Entidad de Certificación y cada Proveedor de Servicios de Firma Electrónica mantendrá un Registro de certificados accesible al público, en el que se garantice la disponibilidad de la información actualizada contenida en él, de manera regular y continua. 10.2. Dicho Registro contendrá los certificados emitidos por las Entidades de Certificación y por los Proveedores de Servicios de Firma Electrónica, indicando el estatus de los certificados de modo tal que señale, al menos, lo siguiente: a) Si los mismos se encuentran vigentes, revocados, suspendidos o reactivados; b) Si son reconocidos por la Entidad de Certificación en caso de que hayan sido emitidos por una Entidad de Certificación extranjera; c) La Política de Certificación bajo la cual fue emitido; d) Las fechas de emisión y vencimiento; y e) Todas las menciones relevantes para la utilización de los mismos. 10.3. Las Entidades de Certificación y los Proveedores de Servicios de Firma Electrónica garantizarán el acceso al público de manera permanente a dicho Registro por medios electrónicos. ARTÍCULO 11.- Comunicación de cesación de actividades.- 11.1. Entidades de Certificación. En caso de que una Entidad de Certificación cese en la prestación del servicio, notificará tal situación a los suscriptores de los certificados emitidos por ella en la siguiente forma: 11.1.1. Cesación Voluntaria. Con una antelación no menor a NOVENTA (90) días hábiles y señalando a los suscriptores que de no existir objeción a la transferencia de los certificados a otra Entidad de Certificación, la cual será indicada en dicha notificación, dentro del plazo de QUINCE (15) días hábiles luego de la recepción de la comunicación, se entenderá que el suscriptor ha consentido la transferencia de los mismos. 11.1.2. Cesación no Voluntaria. La cancelación de la autorización será notificada inmediatamente a los suscriptores. En caso de que la Entidad de Certificación se encuentre en situación de traspasar los certificados a otra Entidad de Certificación, informará tal situación en la forma y plazo señalado en el Apartado 11.1.1. 11.2. Si el suscriptor del certificado comunica que se opone a la transferencia en el plazo establecido, el certificado será revocado sin ningún trámite adicional. ARTÍCULO 12.- Cesación Voluntaria de Actividades.- 12.1. Entidades de Certificación. En caso de que la cesación en la prestación del servicio ocurra por voluntad de la Entidad de Certificación, ésta solicitará al INDOTEL mediante documento firmado por su representante, con NOVENTA (90) días hábiles de anticipación, la cancelación de su inscripción en el Registro de Entidades de Certificación, comunicándole el destino que dará a los certificados, especificando, en su caso, los que va a transferir y a quién, cuando proceda. 12.1.1. El INDOTEL dispondrá la cancelación de la inscripción en el Registro de Entidades de Certificación una vez constatado el cumplimiento de los procedimientos establecidos en el Plan de Cese de Actividades aprobado por éste. 12.2. Proveedores de Servicios de Firma Electrónica. En caso de cesación de actividades, los Proveedores de Servicios de Firma Electrónica deberán informar al INDOTEL tal circunstancia, con NOVENTA (90) días hábiles de anticipación, mediante documento firmado por su representante. ARTICULO 13.- Subsistencia de las Obligaciones.. 13.1. El INDOTEL reglamentara 10s procedimientos aplicables a la cesacion de actividades de las Entidades de Certificacion y de 10s Proveedores de Servicios de Firma Electronica en base a la necesidad de preservar la proteccion de 10s derechos de 10s consumidores. 13.2. Las Entidades de Certificacion contemplaran en sus Planes de Cese de Actividades, aprobados por el INDOTEL, la subsistencia de las obligaciones relativas a la proteccion, confidencialidad y debido us0 de la informacion suministrada por 10s suscriptores de certificados. ARTICULO 14.- Conservacion de 10s Documentos y Datos de Apoyo para la Emision de Certificados.. 14.1. Los datos proporcionados por 10s suscriptores de certificados digitales, y 10s documentos de apoyo, seran conservados por las Entidades de Certificacion por lo menos durante VEINTE (20) aiios desde la revocacihn o expiracion de 10s certificados. 14.2. En cas0 de que las Entidades de Certificacion cesen en su actividad, transferirin dichos datos a otra Entidad de Certificacion o bien a una empresa especializada en la custodia de datos electronicos debidamente autorizada por el INDOTEL, por el tiempo faltante para completar 10s VEINTE (20) aiios desde la revocacihn o expiracion de cada certificado. Esta situacion debera verse reflejada tanto en el Registro de Entidades de Certificacion como en la Politica de Certificacion aprobada por el INDOTEL. ARTICULO 15.- Conservacion del Registro de Certificados.. 15.1. Las Entidades de Certificacion conservarin 10s datos contenidos en 10s registros mencionados en el Articulo 51 de la Ley por un plazo de CUARENTA (40) aiios, contados a partir de la fecha de la revocacion o expiracion de cada certificado. 15.2. En cas0 de que las Entidades de Certificacion cesen en su actividad, transferirin dichos datos a otra Entidad de Certificacion, o bien a una empresa especializada en la custodia de datos electronicos debidamente autorizada por el INDOTEL, por el tiempo faltante para completar 10s CUARENTA (40) aiios desde la revocacihn o expiracion de cada certificado. Esta situacion debera verse reflejada tanto en el Registro de Entidades de Certificacion como en la Politica de Certificacion aprobada por el INDOTEL. ARTICULO 16.- Seguros.. La Entidad de Certificacion contara con seguros vigentes acordes con las responsabilidades asumidas, que cumplan con 10s requisitos que establezca la norma complementaria sobre -2 1 las politicas de acreditacion o autorizacion que dicte el INDOTEL ARTICULO 17.- Obligaciones de las Entidades de Certificacion.. En adicion a lo dispuesto en el Articulo 40 de la Ley, las Entidades de Certificacion tienen las siguientes obligaciones: Comprobar por si o por medio de una Unidad de Registro, en la cual haya delegado tal funcion, la identidad u otro dato de 10s solicitantes considerado relevante para 10s procedimientos de verificacion de identidad previos a la emision del certificado digital, s e g h la Politica de Certificacion bajo la cual se solicita el certificado; Mantener a disposicion permanente del publico las Politicas de Certificacion y el Manual de Procedimientos, en aquellos aspectos que no contengan informacion confidencial, en 10s formatos que apruebe el INDOTEL a tales fines; Cumplir cabalmente con las Politicas de Certificacion acordadas con el suscriptor y con su Manual de Procedimientos, considerandose su incumplimiento como falta grave; Garantizar la prestacion establecida segun 10s niveles definidos en el acuerdo de servicios pactado con el suscriptor, relativo a 10s servicios para 10s cuales solicit0 autorizacion; Informar a1 solicitante de un certificado digital, en un lenguaje claro y accesible, en idioma espaiiol, respecto de las caracteristicas del certificado solicitado, las limitaciones a la responsabilidad, si las hubiere, 10s precios de 10s servicios de certificacihn, USO, adrninistracion y otros asociados, incluyendo cargos adicionales y formas de pago, 10s niveles de servicio a proveer, las obligaciones que el suscriptor asume como usuario del servicio de certificacihn, su domicilio en la Republica Dominicana y 10s medios a 10s que el suscriptor puede acudir para solicitar aclaraciones, dar cuenta del mal funcionamiento del sistema o presentar sus reclamos: Disponer de un servicio de atencion a suscriptores de certificados y usuarios, mediante acceso personal, telefonico y por Internet, que permita enviar las consultas y la pronta respuesta a la solicitud de suspension o revocacion de certificados: Garantizar el acceso publico, eficiente y gratuito de 10s suscriptores y usuarios a1 registro de certificados emitidos, suspendidos, revocados, reactivados o reconocidos; Mantener actualizados 10s registros de certificados emitidos, suspendidos, revocados o reactivados por el termino de CUARENTA (40) aiios, contado a partir de la fecha de la revocacion o expiracion de cada certificado; Adoptar 10s procedimientos y resguardos de seguridad confiables, conforme lo establezca el INDOTEL para garantizar que las claves privadas de 10s suscriptores no permaneceran en su poder ni podrin ser utilizadas por terceros en cas0 de que preste el servicio de generacion de claves; Informar a1 INDOTEL de modo inmediato la ocurrencia de cualquier evento que comprometa la correcta prestacion del servicio; Garantizar la integridad de la informacion que mantienen bajo su control; Respetar el derecho del suscriptor del certificado digital a no recibir publicidad de ningh tip0 por su intermedio, salvo consentimiento expreso de este; Publicar por medios electronicos y en un periodic0 de circulacion nacional el certificado de clave publica correspondiente a la politica de certificacion para la cual obtuvo autorizacion; Cumplir las normas y recaudos establecidos para la proteccion de datos personales, asi como las demas normas aprobadas por el INDOTEL; Cumplir con 10s requisitos establecidos en la Ley, el presente Reglamento y las normas que dicte INDOTEL que motivaron la autorizacion obtenida para la prestacion de servicios de certificacihn; P) En 10s casos de revocacion de certificados contemplados en el numeral 6 del Articulo 49 de la Ley, debera sustituir en forma gratuita aquel certificado digital que ha dejado de ser seguro por otro que si cumpla con estos requisitos. El INDOTEL establecera el proceso de reemplazo de certificados en estos casos. En 10s casos en 10s que un certificado digital haya dejado de ser seguro por razones atribuibles a su suscriptor, la Entidad de Certificacion no estara obligada a sustituir el certificado digital; Enviar 10s informes de estado de operaciones con caracter de declaracion jurada que solicite el INDOTEL en las fechas y formatos determinados por la reglamentacion que dicte el INDOTEL a tales fines; Contar con personal idoneo y confiable, con antecedentes profesionales acordes a la funcion desempeiiada, sin perjuicio de las responsabilidades legales que asume por 10s servicios suministrados ; Cumplir con 10s requerimientos realizados en virtud de sentencia con valor de la cosa irrevocablemente juzgada o autorizacion de un juez para entregar 10s datos; Responder a 10s pedidos de informes por parte de 10s usuarios de certificados respecto de la validez y alcance de un certificado digital emitido por ella; y, u) Informar a1 INDOTEL la terminacion del contrato o las modificaciones respecto de 10s alcances o montos de la cobertura de 10s seguros. ARTICULO 18.- Responsabilidad de las Entidades de Certificacion.. En ningun caso, la responsabilidad que pueda emanar de una certificacion efectuada por una Entidad de Certificacion comprometera la responsabilidad civil del Estado en su calidad de organo de control y vigilancia, ni en particular, la responsabilidad civil del INDOTEL, como entidad publica con personeria juridica. ARTICULO 19.- Recursos de las Entidades de Certificacion. 19.1. Para el desarrollo adecuado de las actividades para las cuales solicita autorizacion, la Entidad de Certificacion evidenciara que cuenta con un equipo de profesionales, infraestructura fisica y tecnologica y recursos financieros, asi como procedimientos y sistemas de seguridad que permitan: a) Generar, en un ambiente seguro, las firmas digitales propias y todos 10s servicios para 10s cuales solicita autorizacion: Cumplir con lo previsto en sus politicas y procedimientos de certificacion; b) c) Garantizar la confiabilidad de 10s sistemas de acuerdo con 10s estandares aprobados por el INDOTEL; d) Expedir certificados que cumplan con: 1. Lo previsto en el Articulo 44 de la Ley; .. 11. Los estandares tecnologicos aprobados por el INDOTEL; y, ... 111. La Politica de Certificacion correspondiente; e) Garantizar la existencia de sistemas de seguridad fisica y logica en sus instalaciones que aseguren el acceso restringido a 10s equipos que manejan 10s sistemas de operacion de la Entidad de Certificacion; f, Proteger el manejo de la clave privada de la Entidad de Certificacion mediante un procedimiento de seguridad que impida el acceso a la misma a personal no autorizado; g) Proteger el acceso y el us0 de la clave privada mediante procedimientos que exijan la participacion de mas de una persona; h) Registrar las transacciones realizadas a fin de identificar a1 autor y el momento de cada una de las operaciones; i) Utilizar con exclusividad 10s sistemas que cumplan las funciones de certificacihn con ese proposito, sin que se les asigne ninguna otra funcion; j) Proteger a todos 10s sistemas utilizados directa o indirectamente en la funcion de certificacihn con procedimientos de autenticacion y seguridad de alto nivel de proteccion, que deben ser actualizados de acuerdo a 10s avances tecnologicos para garantizar la correcta prestacion de 10s servicios de certificacihn; k) Garantizar la continuidad de las operaciones mediante un Plan de Contingencia actualizado y probado; y, 1) Disponer de 10s recursos financieros adecuados a1 tipo de actividad de certificacion que desarrolla, acorde con 10s niveles de responsabilidad derivados de la misma. 19.2. Los criterios de evaluacion de lo dispuesto en el apartado anterior seran establecidos por el INDOTEL de acuerdo a estandares internacionales y la reglamentacion dictada a tales fines. ARTICULO 20.- Servicios de Terceros.. 20.1. En 10s casos en que la Entidad de Certificacion requiera o utilice 10s servicios o infraestructura tecnologicos prestados por un tercero, debera prever dentro de su Plan de Contingencia 10s procedimientos a seguir en cas0 de intermpcion de estos servicios, de modo tal que permita continuar prestando sus servicios de certificacihn sin ningun perjuicio para 10s suscriptores. 20.2. Los contratos entre la Entidad de Certificacion y 10s Proveedores de Servicios o Infraestructura, deberan garantizar la ejecucion de 10s procedimientos contemplados en el Plan de Cese de Actividades aprobado por el INDOTEL. La Entidad de Certificacion autorizada o que haya iniciado el procedimiento para obtener la autorizacion, facilitara a1 INDOTEL toda aquella informacion, contenida en 10s contratos, vinculada a la prestacion de 10s servicios de certificacion y a la implernentacion del Plan de Cese de Actividades y del Plan de Contingencia. ARTICULO 21.- Efectos de la Autorizacion. Sin perjuicio de cualesquiera otras obligaciones impuestas bajo la Ley, disposiciones legales o reglamentarias, u otras obligaciones contraidas de manera particular, las Entidades de Certificacion estan obligadas a: a) Prestar 10s servicios autorizados por el INDOTEL, de manera continua, de acuerdo a 10s terminos, condiciones y plazos establecidos en la Ley, este Reglamento, las Resoluciones que a1 efecto dicte el INDOTEL y la respectiva autorizacion; Cumplir con 10s requisitos economicos, tecnicos y juridicos minimos que hayan sido requeridos por el INDOTEL y en virtud de 10s cuales se le haya otorgado la autorizacion, asi como cumplir con cualquier otro requisito establecido por el INDOTEL; Cumplir con las Politicas de Certificacion para las cuales obtuvo autorizacion, que respaldan la emision de sus certificados, con el Manual de Procedimientos, con el Plan de Seguridad, con el Plan de Cese de Actividades y con el Plan de Contingencia aprobados por el INDOTEL, asi como con las normas complementarias dictadas por el INDOTEL en materia de estandares tecnologicos, procedimientos de certificacihn, resguardo de la seguridad y confidencialidad de la informacion, proteccion de datos personales de 10s suscriptores de certificados, y toda otra norma emitida por el INDOTEL. Adoptar las medidas necesarias para garantizar la confidencialidad de la informacion y la proteccion de 10s datos personales de 10s suscriptores de certificados digitales; Pagar oportunamente 10s costos y derechos establecidos en este Reglamento, asi como cualesquiera tasas, contribuciones u otras obligaciones que origine la autorizacion; Cooperar con el INDOTEL en sus labores de defensa de 10s intereses de 10s suscriptores y usuarios de servicios de certificacihn digital; Admitir como cliente o usuario de 10s servicios que suministra, de manera no discriminatoria, a todas las personas que lo deseen y cumplan con las condiciones tecnicas y economicas que se establezcan, sin mas limitaciones que las que se deriven de la capacidad del servicio; Suministrar a1 INDOTEL, en el plazo requerido, las informaciones y datos fidedignos que este les solicite, concernientes a la actividad regulada; y, Cooperar con el INDOTEL en sus labores de deteccion de actividades fraudulentas relativas a 10s servicios de certificacion digital objeto de este Reglamento. ARTICULO 22.- Us0 Exclusivo de la Expresion “Entidad de Certificacion’’ El us0 de la expresion “Entidad de Certificacion” y frases similares es de us0 exclusivo de 10s prestadores de servicios de certificacihn digital que hayan sido autorizados para operar como Entidades de Certificacion a tal efecto por el INDOTEL mediante resolucion e incorporados a1 Registro de Entidades de Certificacion. PARTE I1 UNIDADES DE REGISTRO ARTICULO 23.- Funciones y Obligaciones de las Unidades de Registro.. Sin perjuicio de lo que pueda disponer la reglamentacihn dictada por el INDOTEL, las Unidades de Registro tendran las funciones y obligaciones de: Recepcihn de las solicitudes de emisihn de certificados digitales; Validacihn de la identidad y autenticacihn de 10s datos de 10s solicitantes de certificados digitales; Validacihn de otros datos de 10s solicitantes de certificados digitales que se presenten ante ella, cuya verificacihn delegue la Entidad de Certificacihn, para el otorgamiento de certificados digitales con atributos determinados, como por ejemplo, calidad de representante de una persona juridica, calidad de funcionario de una organizacihn, calidad de miembro de un colegio profesional, entre otros; Remisihn de las solicitudes aprobadas a la Entidad de Certificacihn con la que se encuentre operativamente vinculada; Recepcihn y validacihn de las solicitudes de suspension o revocacihn de certificados digitales, y su direccionamiento a la Entidad de Certificacihn con la que se vinculen, una vez que se realicen las verificaciones de identidad correspondientes; Identificacihn y autenticacihn de 10s solicitantes de suspension o revocacihn de certificados digitales emitidos por la Entidad de Certificacihn; Conservacihn y archivo de toda la documentacihn de respaldo del proceso de validacihn de identidad, de acuerdo con 10s procedimientos establecidos por la Entidad de Certificacihn: Cumplimiento de las normas legales aplicables asi como las que pudiera dictar el INDOTEL en relacihn con la proteccihn de datos personales, la confidencialidad de la informacihn y otros temas vinculados con la actividad; Cumplimiento de las disposiciones que establezca la Politica de Certificacihn y el Manual de Procedimientos de la Entidad de Certificacihn con la que se encuentre vinculada, en la parte que resulte aplicable; y, Colaboracihn para la realizacihn de inspecciones o auditorias por parte de la Entidad de Certificacihn, el INDOTEL o sus auditores. ARTICULO 24.- Delegation.. 24.1 Las Entidades de Certificacion podran delegar en Unidades de Registro la funcion de validacion de identidad y de otros datos de 10s suscriptores de certificados, asi como la funcion de registro de las presentaciones y de 10s tramites que les Sean formulados. 24.2 Para efectuar esta delegacion, tanto las Entidades de Certificacion como las Unidades de Registro, deben cumplir con las normas y procedimientos establecidos en la Ley, el presente Reglamento y las disposiciones dictadas por el INDOTEL. Las Entidades de Certificacion seran autorizadas por el INDOTEL para efectuar 24.3 esta delegacion. ARTICULO 25.- Responsabilidad de la Entidad de Certificacion Respecto de la Unidad de Registro.. 25.1. Una Unidad de Registro puede constituirse como una unica unidad o como varias unidades dependientes jerarquicamente entre si, pudiendo delegar su operacion en otras Unidades de Registro, siempre que medie la aprobacion de la Entidad de Certificacion y la respectiva autorizacion del INDOTEL. 25.2. La Entidad de Certificacion es responsable de acuerdo con lo establecido en la Ley, aun en el cas0 que delegue parte de su operacion en Unidades de Registro, sin perjuicio del derecho de la Entidad de Certificacion de reclamar a la Unidad de Registro las indemnizaciones por 10s daiios y perjuicios que sufriera como consecuencia de 10s actos u omisiones de esta. ARTICULO 26.- Titulares de Unidades de Registro.. Podran cumplir la funcion de Unidad de Registro 10s notarios publicos, las oficinas del Registro Civil, las asociaciones profesionales para sus miembros, las Camaras de Comercio para sus miembros, las entidades bancarias para sus clientes y en relacion con las Entidades de Certificacihn pertenecientes a organismos publicos, las areas de personal de las jurisdicciones u otras dependencias, que cumplan con 10s requisitos establecidos por el INDOTEL a tales fines. Esta enumeracion no es limitativa pudiendo ser modificada por el INDOTEL en us0 de su facultad regulatoria. ARTICULO 27.- Supervision por el INDOTEL. 27.1. del INDOTEL como organo de vigilancia y de control en materia de firma digital. Las Unidades de Registro estan sujetas a las facultades regulatorias y de inspeccion 27.2. El INDOTEL autorizara el funcionamiento de las Unidades de Registro sobre la base del cumplimiento de 10s recaudos establecidos en 10s procedimientos que dicte a tal fin. 27.3. de Certificacihn en las siguientes materias: Las Unidades de Registro estan sujetas a las mismas obligaciones que las Entidades Conservacion de datos de suscriptores de certificados; a) Proteccion de derechos del consumidor; b) c) Confidencialidad de la informacion; d) Proteccion de datos personales; y, e) En todo otro aspect0 que establezca el INDOTEL mediante normas que complementan este Reglamento. PARTE I11 COSTOS Y DERECHOS ARTICULO 28.- Costos y Derechos.. Toda entidad regulada esta sujeta a1 pago de 10s siguientes costos y derechos, 10s 28.1. cuales serin aplicados por el INDOTEL: a) Costos de Procesamiento, que se refieren a 10s costos directamente involucrados en la tramitacion administrativa, de la autorizacion, de la inscripcion en el Registro de Entidades de Certificacion y de otros tramites que determine el INDOTEL; y, b) Derecho de supervision, correspondiente a la realizacion de inspecciones y auditorias ordinarias y extraordinarias. Los costos de procesamiento seran aplicados por servicio, y seran recaudados 28.2. concomitantemente a la presentacion de las siguientes solicitudes: Solicitud de autorizacion para constituirse en Entidad de Certificacion; a) Solicitud de autorizacion para constituirse en Unidad de Registro; b) c) Solicitud de autorizacion para una transferencia, cesion, arrendamiento, otorgamiento del derecho de USO, constitucion de gravamenes o transferencia de control de una Entidad de Certificacion, de un Proveedor de Servicios de Firma Electronica o de una Unidad de Registro vigente; y, d) Toda otra presentacihn que el INDOTEL incluya en el listado precedente. 28.3. Los costos de procesamiento serin pagados, segun corresponda. Estos costos no seran restituidos en el evento que la autorizacihn o la inscripcihn no se concedan por incumplimiento de 10s requisitos y obligaciones legales y reglamentarias exigidas. 28.4. El derecho de supervision comprendera 10s costos correspondientes a las inspecciones y auditorias ordinarias y extraordinarias. El monto debera ser pagado dentro de 10s NOVENTA