Firma electrónica y RGPD: soberanía de los datos

• Dependiendo del procedimiento, una firma electrónica genera datos personales como el nombre, la marca de tiempo o la dirección IP; en el caso del registro biométrico, se añaden características como la fuerza de presión, la velocidad de escritura y el tiempo transcurrido.
• Los datos de firma biométrica pueden estar sujetos al artículo 9 del RGPD si se utilizan para identificar de forma inequívoca a una persona; lo decisivo es la configuración técnica concreta.
• En caso de que el tratamiento lo realice un proveedor externo, por lo general es necesario un contrato de encargado del tratamiento conforme al artículo 28 del RGPD.
• signoSign/2 se ejecuta localmente; signoSign/Universal está disponible en las propias instalaciones o como solución SaaS alojada en Alemania.

Este artículo no sustituye al asesoramiento jurídico en casos concretos ni a una evaluación de impacto sobre la protección de datos individual.

¿Es una firma electrónica conforme al RGPD? La respuesta breve: Sí, si el tratamiento de los datos generados en el proceso se basa en una base jurídica, está garantizado contractualmente con el proveedor y se diseña técnicamente de tal manera que solo se recojan y almacenen los datos necesarios. En este sentido, lo decisivo no es tanto la firma en sí misma como la cuestión de qué datos se generan en segundo plano y dónde terminan.

Cada firma electrónica genera, como mínimo, metadatos: el nombre de la persona que firma, la fecha y la hora, a menudo la dirección IP y un valor hash del documento firmado. Si la firma se registra a mano en una tableta de firma de signotec, se añaden características biométricas, como la velocidad de escritura, la presión ejercida y la evolución temporal. Estas características sirven para poder atribuir la firma a una persona en caso de litigio, de forma similar a una muestra de firma en papel, solo que evaluable digitalmente.

Los datos biométricos se incluyen entre las categorías de datos especialmente protegidos cuando se tratan con el fin de identificar de forma inequívoca a una persona. El artículo 4, apartado 14, del RGPD vincula la definición a que los datos permitan o confirmen una identificación inequívoca; el artículo 9 del RGPD prohíbe, en principio, el tratamiento de dichos datos, salvo que se aplique alguna de las excepciones allí mencionadas. En la práctica, dependiendo de la finalidad concreta, cabe considerar, en particular, el consentimiento expreso. La base jurídica de la ejecución del contrato, prevista en el artículo 6, apartado 1, letra b) del RGPD, que se utiliza con frecuencia en otros casos, no es suficiente por sí sola para los datos contemplados en el artículo 9.

En las soluciones de signotec, los datos biométricos brutos de la firma se cifran y se incorporan al documento PDF de forma a prueba de manipulaciones; no se cifra el documento en sí, sino los datos biométricos que contiene. No se almacenan en una base de datos central con fines de identificación; sirven para la verificación posterior de una persona ya conocida, no para la identificación inicial a partir de un conjunto de datos. En la práctica, esta distinción se valora de forma dispar. Las empresas con elevadas necesidades de protección deberían aclarar la clasificación con su propio delegado de protección de datos y documentarla en el registro de actividades de tratamiento.

Si la solución de firma se gestiona a través de un proveedor externo o un proveedor de servicios de confianza, este tratará los datos personales por encargo. Para ello, es necesario un contrato de tratamiento por encargo conforme al artículo 28 del RGPD, que regule, entre otras cosas, la finalidad, la duración, el tipo de datos, los grupos de personas afectadas, las medidas técnicas y organizativas, así como los plazos de supresión. Si se recurre a un proveedor de servicios de confianza para la firma electrónica cualificada, se añade su propia obligación legal de conservación de los certificados de firma, que es independiente del plan de supresión de datos de la propia empresa.

Una diferencia fundamental con respecto a muchas soluciones de firma: signoSign/2 se ejecuta de forma local en el ordenador del usuario o en un servidor de terminales. signoSign/Universal puede ejecutarse «on-premises» en el propio centro de datos. De este modo, los datos de firma y los documentos firmados permanecen en la propia infraestructura informática. Para las empresas con estrictos requisitos de cumplimiento normativo, como las del sector sanitario o financiero, esto puede reducir el esfuerzo de coordinación en la tramitación de pedidos, ya que se puede prescindir de un procesador externo adicional.

Quienes utilicen signoSign/Universal como SaaS también pueden identificar claramente la ubicación de almacenamiento: signotec certifica que el alojamiento y la ubicación de los datos de la solución en la nube se encuentran en Alemania. El tratamiento se regula mediante un contrato de encargado del tratamiento conforme al artículo 28 del RGPD, que establece la finalidad, la duración y las medidas técnicas.

• Documentar la actividad de tratamiento en el registro previsto en el artículo 30 del RGPD, incluyendo la finalidad y la base jurídica
• Comprobar si, en la configuración concreta, los datos de firma biométrica entran en el ámbito de aplicación del artículo 9 del RGPD y documentar el resultado
• Celebrar un contrato de subcontratación con el proveedor de firmas o con el proveedor de servicios de confianza
• Aclarar la ubicación de almacenamiento de los datos: en las propias instalaciones, en un centro de datos de la UE o en un tercer país
• Establecer plazos de supresión para los datos de firma, teniendo en cuenta las obligaciones legales de conservación de los certificados
• Implementar técnicamente los derechos de los interesados, como el derecho de acceso a los datos de firma almacenados

¿Los datos de firma biométrica se consideran automáticamente datos especialmente protegidos?

No, eso depende de la configuración técnica y de la finalidad de su uso. Lo decisivo es si los datos se utilizan para la identificación inequívoca o si sirven exclusivamente para la verificación de una firma ya conocida. De esta clasificación depende cuál sea la base jurídica que se necesite para el tratamiento.

¿Es necesario obtener el consentimiento conforme al RGPD para toda firma electrónica?

No necesariamente. A menudo, el tratamiento se basa en la ejecución del contrato, de conformidad con el artículo 6, apartado 1, letra b) del RGPD. La situación es diferente si, en un caso concreto, los datos biométricos de la firma entran en el ámbito de aplicación del artículo 9 del RGPD. En ese caso, el cumplimiento del contrato por sí solo no es suficiente; además, debe aplicarse una excepción prevista en el artículo 9, apartado 2, del RGPD, que en la práctica, dependiendo de la finalidad, puede ser, por ejemplo, el consentimiento expreso.

¿Durante cuánto tiempo se pueden conservar los datos de firma?

Esto depende de la finalidad del tratamiento y de las posibles obligaciones legales de conservación, como las derivadas del Derecho mercantil o fiscal. No existe un plazo general.

¿Es automáticamente inadmisible una solución de firma en la nube?

No, las soluciones en la nube también pueden funcionar de conformidad con el RGPD, siempre que el tratamiento por encargo, la ubicación de almacenamiento y las medidas técnicas estén debidamente regulados. El modelo «on-premises» (en las propias instalaciones) solo reduce el número de encargados del tratamiento implicados.

¿Quién es responsable si el proveedor de la solución de firma pierde datos?

En principio, la empresa, en su calidad de responsable del tratamiento, sigue teniendo la obligación frente a los interesados, pero puede protegerse internamente mediante el contrato de encargado del tratamiento con el proveedor.

El cumplimiento del RGPD en materia de firmas electrónicas no es algo que una herramienta pueda garantizar por sí sola, sino que es el resultado de una configuración técnica, unas garantías contractuales y una documentación adecuada. Quienes utilicen signoSign/2 de forma local o signoSign/Universal On-Premises pueden reducir el número de encargados del tratamiento implicados. En el caso de la variante SaaS de signoSign/Universal, signotec cuenta con un servicio de alojamiento en Alemania. Póngase en contacto con nuestro equipo si desea configurar o revisar su sistema de firmas para que cumpla con la normativa de protección de datos.