Artículo 3º-Aplicación al Estado. A los efectos del párrafo segundo del artículo 1º de la Ley, los Supremos Poderes, el Tribunal Supremo de Elecciones, los demás órganos constitucionales y todas las entidades públicas podrán adoptar separadamente las disposiciones particulares que requiera su ámbito específico de competencia o la prestación del servicio público, incluyendo la posibilidad de fungir como certificador respecto de sus funcionarios.

Artículo 4º-Incentivo de los mecanismos de gobierno electrónico. Con excepción de aquellos trámites que necesariamente requieran la presencia física del ciudadano, o que éste opte por realizarlos de ese modo, el Estado y todas las dependencias públicas incentivarán el uso de documentos electrónicos, certificados y firmas digitales para la prestación directa de servicios a los administrados, así como para facilitar la recepción, tramitación y resolución electrónica de sus gestiones y la comunicación del resultado correspondiente.

En la emisión de los reglamentos particulares a que se refieren los artículos 2º, inciso c) y 33 de la Ley, todas las dependencias públicas procurarán ajustar sus disposiciones a los principios de neutralidad tecnológica e interoperatividad. En ningún caso se impondrán exigencias técnicas o jurídicas que impidan o dificulten injustificadamente la interacción con las oficinas públicas por medio de firmas o certificados digitales emitidos por un certificador registrado. 

En lo relativo a la conservación de los documentos electrónicos, así como la migración de documentos de soporte físico a electrónico, se aplicará lo dispuesto en el artículo 6º de la Ley.

CAPÍTULO SEGUNDO

Certificados Digitales

   Artículo 5°-Contenido y características. El contenido, condiciones de emisión, suspensión, revocación y expiración de los certificados digitales, serán los que se señalan en la Norma INTE /ISO 21188 versión vigente y las políticas que al efecto emita la DCFD.

(Así reformado por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

Artículo 6°-Tipos de certificados. La DCFD establecerá los tipos de certificados que podrán emitir los certificadores, con estricto apego a las normas técnicas y estándares internacionales aplicables que promuevan la interoperabilidad con otros sistemas.

En el caso de los certificados digitales que vayan a ser utilizados en procesos de firma digital y de autenticación de la identidad, los certificadores necesariamente deberán:

    1)  Utilizar al menos un proceso de verificación y registro presencial (cara a cara) de sus suscriptores.

    (Así reformado el inciso anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

2) Guardar copia de la documentación utilizada para verificar la identidad de la persona.

3) Registrar de forma biométrica (fotografía, huellas digitales, etc.) al suscriptor a quién le será emitido un certificado.

4) Requerir el uso de módulos seguros de creación de firma, con certificación de seguridad que se indique conforme a las normas internacionales y a las Políticas establecidas por la DCFD.

    (Así reformado el inciso anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

5) Establecer un contrato de suscripción detallando el nivel de servicio que ofrece y los deberes y responsabilidades de las partes.

6) La DCFD podrá establecer cualquier otro requisito que considere pertinente, en tanto emisor y gestor de políticas del sistema de firma digital.

Artículo 7º-Obligaciones de los usuarios. Para los efectos de los artículos 14, inciso d) y 15 de la Ley, todos los suscriptores del sistema de certificados y firmas digitales estarán obligados a:

1) Suministrar a los certificadores la información veraz, completa y actualizada que éstos requieran para la prestación de sus servicios.

2) Resguardar estrictamente la confidencialidad de la clave, contraseña o mecanismo de identificación que se les haya asignado con ese carácter, informando inmediatamente al certificador en caso de que dicha confidencialidad se vea o se sospeche que haya sido comprometida.

3) Acatar las recomendaciones técnicas y de seguridad que le señale el correspondiente certificador.

Artículo 9º-Revocación por cese de actividades. Para los efectos del artículo 16 de la Ley, en el caso del cese de actividades de un certificador, éste mismo -o la DCFD en su defecto- gestionarán el traslado de la cartera de suscriptores que así lo hayan consentido a otro certificador, que expedirá los nuevos certificados.

CAPÍTULO TERCERO

Certificadores

Artículo 10.-Reconocimiento jurídico. Solo tendrán pleno efecto legal frente a terceros, así como respecto del Estado y sus instituciones, los certificados digitales expedidos por certificadores registrados ante la Dirección de Certificadores de Firma Digital.

Las firmas y certificados emitidos dentro o fuera del país que no cumplan con esa exigencia no surtirán efectos por sí solos, pero podrán ser empleados como elemento de convicción complementario para establecer la existencia y alcances de un determinado acto o negocio.

Artículo 12.-Formalidades de la solicitud. La solicitud de inscripción del certificador se presentará debidamente autenticada ante la DCFD y deberá incluir la siguiente información:

1)  Nombre o razón social de la solicitante, número de cédula de persona jurídica, domicilio y dirección postal, así como los correspondientes números telefónicos y de fax (si lo tuviera), su sitio Web en Internet y al menos una dirección de correo electrónico para la recepción de comunicaciones de la DCFD. En el caso de los sujetos privados, deberá adjuntar además una certificación de personería jurídica con no menos de un mes de expedida, o el acuerdo de nombramiento debidamente certificado, en el caso de los funcionarios públicos. Dicho documento deberá acreditar, en el primer supuesto, que la persona jurídica se encuentra debidamente constituida de acuerdo con la ley y en pleno goce y ejercicio de su capacidad jurídica.

(Así reformado el inciso el anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

2)  Identificación completa de la persona o personas que fungirán como responsables administrativos del certificador ante la DCFD. Ésta o éstas necesariamente serán los firmantes de la gestión y ostentarán la representación legal u oficial de la solicitante.

(Así reformado el inciso el anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

3) Identificación completa de la persona o personas que fungirán como responsables técnicos del certificador, si no fueren las mismas del punto anterior. Se entenderá por tales a la persona o personas que recibirán y custodiarán las claves, contraseñas y/o mecanismos de identificación asignados al certificador y que podrán firmar digitalmente en su nombre.

4) La dirección física precisa del establecimiento o local desde el cual se realizará la actividad de certificación digital.

5) Documentación en la cual se demuestre a juicio de la DCFD , que cuenta con los requisitos para brindar el servicio de certificación digital (con personal calificado, con los conocimientos y experiencia necesarios para las labores que realizan, procedimientos de seguridad y de gestión apropiados, así como la infraestructura adecuada para realizar las actividades de certificación digital, todo acorde a los requerimientos de las normas INTE/ISO 21188 versión vigente, INTE-ISO/IEC 17021 versión vigente, así como a las políticas dictadas por la DCFD ).

(Así reformado el inciso el anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

6) Certificación de composición y propiedad del capital social, si la solicitante fuera una sociedad mercantil.

7) (Derogado este inciso por el artículo 3° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

Artículo 13.-Caución. Los sujetos privados deberán rendir una caución que será utilizada para responder por las eventuales consecuencias civiles, contractuales y extracontractuales de su actividad. Esta caución será rendida preferiblemente por medio de una póliza de fidelidad expedida por el Instituto Nacional de Seguros. El monto -de acuerdo con la Ley- será fijado por la DCFD en consulta con el Instituto Nacional de Seguros, tomando en consideración los riesgos y responsabilidades inherentes en la labor de certificación digital.

(Así reformado el párrafo anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

Cuando la caución esté sujeta a vencimiento, necesariamente deberá ser renovada por el interesado al menos dos meses antes de la fecha de expiración.

Artículo 16.-Resolución. Cumplido lo dispuesto en el artículo anterior, la DCFD resolverá lo que corresponda -incluyendo las oposiciones formuladas, si las hubiere- en un plazo no mayor de quince días, por medio de resolución fundada que notificará a los interesados. Si el acuerdo fuera favorable, se publicará a través de los medios electrónicos previstos en la Ley y este Reglamento.

Artículo 17.-Silencio positivo. La gestión que no haya sido resuelta dentro del plazo que señala el artículo precedente se entenderá aprobada.

Artículo 18.-Recursos. Contra lo resuelto por la DCFD, se admitirá el recurso de reposición, aplicándose al efecto lo dispuesto en los artículos 346, siguientes y concordantes, de la LGAP.

Artículo 19.-Funciones. Los certificadores registrados tendrán las siguientes atribuciones y responsabilidades:

1) Expedir las claves, contraseñas o dispositivos de identificación a sus suscriptores, en condiciones seguras y previa verificación fehaciente de su identidad. Lo mismo hará respecto de sus certificadores subordinados cuando los hubiere, los cuales también deberán registrarse ante la DCFD.

El certificador no podrá copiar o conservar información relativa a la clave privada de firma digital de un suscriptor y deberá abstenerse de tomar conocimiento o acceder a ella bajo ninguna circunstancia.

2) Llevar un registro completo y actualizado de todos sus suscriptores, para lo cual les requerirá la información necesaria. En el caso de los certificadores, comerciales, no se solicitará de sus clientes más información personal que la que sea estrictamente necesaria, quedando obligados a mantenerla bajo estricta confidencialidad, con la salvedad prevista en el inciso último de este artículo.

3) Expedir el certificado digital que respalde la firma digital de los suscriptores de sus servicios y de sus certificadores subordinados, así como suspenderlo o revocarlo bajo las condiciones previstas en la Ley y este Reglamento.

4) Prestar los servicios ofrecidos a sus suscriptores, en estricta conformidad con las políticas de certificación que haya comunicado al público y que hayan sido aprobados por la DFCD.

5) Conservar la información y registros relativos a los certificados que emitan, durante no menos de diez años contados a partir de su expiración o revocación. En caso de cese de actividades, la información y registros respectivos deberán ser remitidos a la DCFD, quien dispondrá lo relativo a su adecuada conservación y consulta.

6) Mantener un repositorio electrónico, permanentemente accesible en línea y publicado en internet para posibilitar la consulta de la información pública relativa a los certificados digitales que haya expedido y de su estado actual, de la manera que se indique en la Norma INTE /ISO 21188 versión vigente y en los lineamientos que sobre el particular dicte la DCFD.

(Así reformado el inciso anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

7) Suministrar, con arreglo a las disposiciones constitucionales y legales pertinentes, la información que las autoridades competentes soliciten con relación a sus suscriptores y a los certificados que les hayan sido expedidos.

8) Impartir lineamientos técnicos y de seguridad a los suscriptores y certificadores subordinados, con base en los que a su vez dicte la DCFD.

9) Acatar las instrucciones y directrices que emita la DCFD para una mayor seguridad o confiabilidad del sistema de firma digital.

(Así reformado el inciso anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

10) Rendir a la DCFD los informes y datos que ésta requiera para el adecuado desempeño de sus funciones y comunicarle a la mayor brevedad cualquier otra circunstancia relevante que pueda impedir o comprometer su actividad.

Artículo 20.-Divulgación de datos. En adición al repositorio en línea a que se refiere el artículo previo, todo certificador registrado deberá mantener un sitio o página electrónica en Internet, de alta disponibilidad y protegida con esquemas de seguridad razonables para impedir su subplantación, por medio del cual suministre permanentemente al público al menos los datos siguientes, empleando un lenguaje fácilmente comprensible y en idioma español:

1) Su nombre, dirección física y postal, número(s) telefónico(s) y de fax (si lo tuviera), así como un mecanismo de contacto por medio de correo electrónico.

2) Los datos de inscripción ante la DCFD y su estado actual (activo o suspendido).

3) Las políticas de certificación que aplica y que son respaldados y aprobados por la DCFD

4) El resultado final más reciente de evaluación o auditoría de sus servicios, efectuada por el Ente Costarricense de Acreditación.

5) Cualesquiera restricciones establecidas por la DCFD.

6) Cualquier otro dato de interés general que disponga la Ley, este Reglamento o la DCFD.

Artículo 21.-Corresponsalías. Al informar a la DCFD sobre el establecimiento de relaciones de corresponsalía conforme al artículo 20 de la Ley, se deberá especificar si la homologación de certificados expedidos por certificadores extranjeros está o no sujeta a alguna clase de restricción o salvedad y, caso afirmativo, en qué consiste. Lo mismo se hará al momento de ofrecer este servicio al público.

CAPÍTULO CUARTO

Dirección de Certificadores de Firma Digital

Artículo 23.-Responsabilidad. La Dirección de Certificadores de Firma Digital -perteneciente al Ministerio de Ciencia, Tecnología y telecomunicaciones (*)- será el órgano administrador y supervisor del sistema nacional de certificación digital. Tendrá el carácter de órgano de desconcentración máxima y las resoluciones dictadas en los asuntos de su competencia agotarán la vía administrativa.

(*)(Así modificada su denominación por el artículo 11 de la Ley "Traslado del sector Telecomunicaciones del Ministerio de Ambiente, Energía y Telecomunicaciones al Ministerio de Ciencia y Tecnología, N° 9046 del 25 de junio de 2012)

La DCFD tendrá, de pleno derecho, el carácter de certificador raíz. No obstante, para garantizar una óptima efectividad en el cumplimiento de esta función, podrá gestionar el apoyo de otro órgano, entidad o empresa del Estado, a los efectos de que supla la infraestructura material y el personal idóneo necesarios para operar la raíz, debiendo acreditar la operación técnica de la misma ante el ECA, para lo cual tendrá un plazo de un año a partir de que la misma entre en operación completa.

(Así reformado el párrafo anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

Artículo 24.-Funciones. La Dirección de Certificadores de Firma Digital (DCFD tendrá las funciones que señala la Ley. El registro de certificados digitales a que se refiere el inciso b) del artículo 24 de la Ley tendrá un contenido y propósitos puramente cuantitativos y estadísticos. 

Artículo 25.-Cooperación interinstitucional. Se autoriza a las instituciones del Estado para presupuestar y girar recursos, en la medida de sus posibilidades jurídicas y materiales, a fin de contribuir a lograr los objetivos de la DCFD.

Artículo 26.-Jefatura. El superior administrativo de la DCFD será el Director, quien será nombrado por el Ministro de Ciencia y Tecnología y será un funcionario de confianza, de conformidad con el inciso g) del artículo 4, del Estatuto de Servicio Civil. El Director deberá declarar sus bienes oportunamente, de conformidad con lo establecido en la Ley Contra la Corrupción y el Enriquecimiento Ilícito en la Función Pública.

(Así reformado el párrafo anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

Quien sea designado Director deberá reunir los siguientes requisitos:

1) Poseer un título universitario pertinente al cargo, con grado mínimo de licenciatura.

2) Tener experiencia profesional demostrable en el tema.

3) Estar incorporado al respectivo colegio profesional y al día en sus obligaciones con éste.

4) Los demás que establezca el manual de clasificación y puestos del Ministerio de Ciencia, Tecnología y Telecomunicaciones (*).

(*)(Así modificada su denominación por el artículo 11 de la Ley "Traslado del sector Telecomunicaciones del Ministerio de Ambiente, Energía y Telecomunicaciones al Ministerio de Ciencia y Tecnología, N° 9046 del 25 de junio de 2012)

Artículo 27.-Régimen interior. El régimen de servicio al que estará sujeto el personal de la DCFD será el establecido en el reglamento autónomo de servicio del Ministerio de Ciencia, Tecnología y Telecomunicaciones (*), que se aplicará también al Director en lo que legalmente sea procedente.

(*)(Así modificada su denominación por el artículo 11 de la Ley "Traslado del sector Telecomunicaciones del Ministerio de Ambiente, Energía y Telecomunicaciones al Ministerio de Ciencia y Tecnología, N° 9046 del 25 de junio de 2012)

Artículo 28.-Comité Asesor de Políticas. El Director de la DCFD contará con la asesoría de un comité de políticas, integrado por representantes de los siguientes órganos y entidades:

1) Banco Central de Costa Rica;

2) Tribunal Supremo de Elecciones;

3) Poder Ejecutivo;

4) Poder Judicial;

5) Consejo Nacional de Rectores (CONARE), en representación del sector académico; y,

6) Asociación Cámara Costarricense de Tecnologías de la Información y Comunicaciones (CAMTIC), en representación del sector privado. 

Cada una de esas dependencias designará a un representante propietario y otro suplente, por períodos de dos años, reelegibles automáticamente y en forma indefinida salvo manifestación en contrario de la respectiva dependencia. Deberá tratarse en todos los casos de profesionales con grado mínimo de licenciatura, graduados en materias afines y con experiencia demostrable en el tema. El cargo será desempeñado en forma ad honórem.

(Así reformado el párrafo anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

El Comité Asesor será presidido por el Director de la DCFD. Se reunirá ordinariamente al menos una vez cada seis meses y extraordinariamente cada vez que lo convoque el Director de la DCFD o lo soliciten por escrito al menos cuatro de sus integrantes.

(Así reformado el párrafo anterior por el artículo 1° del decreto ejecutivo N° 34890 del 27 de octubre de 2008)

En lo demás, el Comité ajustará su funcionamiento al régimen de los órganos colegiados previsto en la LGAP.

Artículo 29.-Funciones del Comité Asesor de Políticas. El Comité Asesor tendrá las siguientes funciones:

1) Recomendar a la DCFD las políticas generales de operación del sistema nacional de certificación digital, observando los estándares y buenas prácticas internacionales de la materia;

2) Interpretar, aclarar o adicionar esas políticas ante las dudas o consultas de cualquier operador del sistema;

3) Evaluar y actualizar periódicamente las políticas de operación, formulando -en caso necesario- las recomendaciones pertinentes a la DCFD; y,

4) Aconsejar a la DCFD en cualquier otro aspecto que ésta someta a su consideración.

Salvo caso de urgencia, la adopción o modificación de políticas que afecten la operación del sistema nacional de certificación digital se hará previa consulta pública, en la que se invitará a las entidades públicas y privadas, organizaciones representativas y público en general a ofrecer comentarios y sugerencias pertinentes; todo conforme a los artículos 361 y 362 de la LGAP.

CAPÍTULO QUINTO

Sanciones

Artículo 30.-Aplicación de mecanismos alternativos de solución de conflictos. Tanto antes como durante la tramitación de los procedimientos disciplinarios por quejas o denuncias planteadas contra un certificador, la DCFD procurará aplicar mecanismos alternativos de resolución de conflictos para encontrar salidas que permitan tutelar los derechos legítimos de las partes, así como la continuidad y confiabilidad del sistema, todo conforme a la legislación aplicable.

Artículo 31.-Multas. El pago de las multas impuestas conforme al artículo 28 de la Ley se realizará por medio de Entero de Gobierno, dentro de los diez días hábiles siguientes a la firmeza de la resolución que las imponga.

El cobro de multas no canceladas oportunamente se realizará conforme a lo dispuesto en el artículo 36 siguiente.

Artículo 32.-Suspensión. La suspensión que se aplique de acuerdo con el artículo 29 de la Ley implicará la imposibilidad para el certificador sancionado de expedir nuevos certificados digitales o de renovar los que expiren durante el plazo de la suspensión. No afectará en nada los emitidos previamente.

En los casos del inciso a) del referido artículo, si al cabo del plazo de suspensión el certificador persiste en no renovar debidamente la caución a pesar de la prevención que en ese sentido se le hará, se procederá conforme al artículo 30, inciso c) de la Ley, a efectos de declarar la revocatoria de la inscripción.

Artículo 33.-Revocatoria de la inscripción. Para los efectos del artículo 30, inciso a) de la Ley, se entenderá por "certificado falso" aquel que no esté respaldado por una solicitud previa demostrable del correspondiente suscriptor o cuyo trámite no haya seguido los procedimientos de seguridad establecidos para la clase de certificado de que se trate.

Artículo 34.-Publicidad de las sanciones. Para los propósitos del artículo 32 párrafo segundo de la Ley, la publicación electrónica de las sanciones impuestas se mantendrá:

1) En el caso de multa, por todo el lapso en que ésta permanezca sin cancelar y posteriormente por dos años a partir del pago.

2) En el caso de suspensión o revocatoria de la inscripción, durante cinco años desde la firmeza de la resolución sancionatoria.

Artículo 35.-Determinación de responsabilidades adicionales. Si corresponde, lo relativo a la responsabilidad civil en que pueda haber incurrido un certificador se examinará y resolverá en el mismo procedimiento en que se discuta la responsabilidad disciplinaria. Caso de estimarse que ha lugar al pago de una indemnización, el acto final prevendrá al certificador su oportuno pago, dentro del plazo que al efecto se señalará y que no excederá de un mes.

De llegarse a considerar además que los hechos investigados suponen la posible comisión de un ilícito penal, la Dirección ordenará testimoniar las piezas correspondientes y pondrá los hechos en conocimiento del Ministerio Público.

Artículo 36.-Medios de ejecución. Si el certificador sancionado no realiza oportunamente el pago a que estuviere obligado, se procederá a ejecutar la caución por el monto respectivo. En tal caso (así como para el reclamo de cualquier saldo en descubierto que pudiera subsistir) se aplicará en lo pertinente lo dispuesto en los artículos 149 y 150 de la LGAP. La DCFD será el órgano competente para realizar las intimaciones de ley, así como para expedir el título ejecutivo, si corresponde.

CAPÍTULO SEXTO

Disposiciones finales

Artículo 37.-Vigencia. Rige a partir de su publicación. 

Dado en la Presidencia de la República.-San José, a los veinte días del mes de marzo del dos mil seis.

ANEXO ÚNICO