BOLETÍN OFICIAL DEL ESTADO
Núm. 298 Jueves 12 de noviembre de 2020 Sec. I.   Pág. 98821
I. DISPOSICIONES GENERALES
JEFATURA DEL ESTADO
14046 Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los 
servicios electrónicos de confianza.
FELIPE VI
REY DE ESPAÑA
A todos los que la presente vieren y entendieren.
Sabed:  Que  las  Cortes  Generales  han  aprobado  y  Yo  vengo  en  sancionar  la 
siguiente ley:
PREÁMBULO
I
Desde el 1 de julio de 2016 es de aplicación el Reglamento (UE) n.º 910/2014 del 
Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación 
electrónica  y  los  servicios  de  confianza  para  las  transacciones  electrónicas  en  el 
mercado interior y por el que se deroga la Directiva 1999/93/CE.
La  Ley  59/2003,  de  19  de  diciembre,  de  firma  electrónica,  que  supuso  la 
transposición al ordenamiento jurídico español de la derogada Directiva 1999/93/CE del 
Parlamento Europeo y del Consejo, de 13 de diciembre de 1999, por la que se establece 
un  marco  comunitario  para  la  firma  electrónica,  se  encuentra  desde  entonces 
jurídicamente desplazada en todo aquello regulado por el citado Reglamento. El objeto 
de esta Ley es, por tanto, adaptar nuestro ordenamiento jurídico al marco regulatorio de 
la Unión Europea, evitando así la existencia de vacíos normativos susceptibles de dar 
lugar a situaciones de inseguridad jurídica en la prestación de servicios electrónicos de 
confianza.
La presente Ley no realiza una regulación sistemática de los servicios electrónicos 
de confianza, que ya han sido legislados por el Reglamento (UE) 910/2014, el cual, por 
respeto al principio de primacía del Derecho de la Unión Europea, no debe reproducirse 
total o parcialmente. La función de esta Ley es complementarlo en aquellos aspectos 
concretos  que  el  Reglamento  no  ha  armonizado  y  cuyo  desarrollo  prevé  en  los 
ordenamientos de los diferentes Estados miembros, cuyas disposiciones han de ser 
interpretadas de acuerdo con él.
II
En lugar de una revisión de la Directiva 1999/93/CE, la elección de un reglamento 
como instrumento legislativo por el legislador europeo, de aplicación directa en los 
Estados miembros, vino motivada por la necesidad de reforzar la seguridad jurídica en el 
seno  de  la  Unión,  terminando  con  la  dispersión  normativa  provocada  por  las 
transposiciones de la citada Directiva en los ordenamientos jurídicos internos a través de  s
leyes nacionales, que había provocado una importante fragmentación e imposibilitado la  oe.
dpinirfseetsrrAetuasnmcíc,ieó iamnnst  eoedd nei an lonosstree msr ivaesitctle iivoRmosea  gstdl radaemen  sesafunrpoptolneic trea(vUricsiziEióóo)nns    9a1edp0nilri/ ce2aec0dlt1 ao4 sm  eeesnernc   capadleodorsa s  iEignEsutetseart idaoroder, og msuai legamrmra bveieranomd .aub nro psmo ri sdmloaoss    2020-14046n https://www.
realidades,  la  identificación  y  los  servicios  de  confianza  electrónicos  en  sentido
amplio, armonizando y facilitando el uso transfronterizo de los servicios en línea,
públicos y privados, así como el comercio electrónico en la UE, contribuyendo así al 
desarrollo del mercado único digital.
Por una parte, en el ámbito de la identificación electrónica, el Reglamento instaura la 
aceptación mutua, para el acceso a los servicios públicos en línea, de los sistemas 
nacionales  de  identificación  electrónica  que  hayan  sido  notificados  a  la  Comisión 
Europea  por  parte  de  los  Estados  miembros,  con  objeto  de  facilitar  la  interacción 
telemática segura con las Administraciones públicas y su utilización para la realización 
de  trámites  transfronterizos,  eliminando  esta  barrera  electrónica  que  excluía  a  los 
ciudadanos del pleno disfrute de los beneficios del mercado interior.
Por otra parte, introduce la regulación armónica de nuevos servicios electrónicos 
cualificados de confianza, adicionales a la tradicional firma electrónica, tales como el 
sello  electrónico  de  persona  jurídica,  el  servicio  de  validación  de  firmas  y  sellos 
cualificados, el servicio de conservación de firmas y sellos cualificados, el servicio de 
sellado electrónico de tiempo, el servicio de entrega electrónica certificada y el servicio 
de expedición de certificados de autenticación web, que pueden ser combinados entre sí 
para la prestación de servicios complejos e innovadores.
Se establece un régimen jurídico específico para los citados servicios electrónicos de 
confianza  cualificados,  consecuente  con  las  elevadas  exigencias  de  supervisión  y 
seguridad que soportan, y cuyo reflejo es la singular relevancia probatoria que poseen 
respecto de los servicios no cualificados. Se refuerza así la seguridad jurídica de las 
transacciones electrónicas entre empresas, particulares y Administraciones públicas.
III
La aplicabilidad directa del Reglamento no priva a los Estados miembros de toda 
capacidad normativa sobre la materia regulada, es más, aquellos están obligados a 
adaptar los ordenamientos nacionales para garantizar que aquella cualidad se haga 
efectiva. Esta adaptación puede exigir tanto la modificación o derogación de normas 
existentes,  como  la  adopción  de  nuevas  disposiciones  llamadas  a  completar  la 
regulación europea.
En  tal  sentido,  el  objetivo  de  la  presente  Ley,  como  se  indicaba  ut  supra,  es 
complementar el Reglamento (UE) 910/2014 en aquellos aspectos que este no ha 
armonizado y que se dejan al criterio de los Estados miembros. Por tanto, la Ley se 
abstiene de reproducir las previsiones del Reglamento, abordando únicamente aquellas 
cuestiones que la norma europea remite a la decisión de los Estados miembros o que no 
se encuentran armonizadas, adquiriendo la regulación coherencia y sentido en el marco 
de la normativa europea.
Así, en virtud del principio de proporcionalidad, esta Ley contiene la regulación 
imprescindible para cubrir aquellos aspectos previstos en el Reglamento (UE) 910/2014, 
como es el caso, entre otros, del régimen de previsión de riesgo de los prestadores 
cualificados, el régimen sancionador, la comprobación de la identidad y atributos de los 
solicitantes de un certificado cualificado, la inclusión de requisitos adicionales a nivel 
nacional para certificados cualificados tales como identificadores nacionales, o su tiempo 
máximo de vigencia, así como las condiciones para la suspensión de los certificados.
El  Reglamento  (UE)  910/2014  garantiza  la  equivalencia  jurídica  entre  la  firma 
electrónica cualificada y la firma manuscrita, pero permite a los Estados miembros 
determinar los efectos de las otras firmas electrónicas y de los servicios electrónicos de 
confianza en general. En este aspecto, se modifica la regulación anterior al atribuir a los  s
documentos electrónicos para cuya producción o comunicación se haya utilizado un  e.
servicio de confianza cualificado una ventaja probatoria. A este respecto, se simplifica la  w.
prueba, pues basta la mera constatación de la inclusión del citado servicio en la lista de  046ww
dcoenl Rfiaengzlaam deen ptore (sUtaEd)o 9r1e0s /2cu0a1l4if.icados de servicios electrónicos regulada en el artículo 22
dispPoosirc iloon qeus er erleastipveacst aa  ala  leoxsp ceedritcifióicna dyo cso enlteecntirdóon idceo sl,o ss ec einrttirfiocdaudcoesn c euna lilfaic aLdeoys ,v acruiayos   BOE-A-cable e
tiempo máximo de vigencia se mantiene en cinco años. En este sentido, no se permite a 
los prestadores de servicios el denominado «encadenamiento» en la renovación de 
certificados cualificados utilizando uno vigente, más que una sola vez, por razones de 
seguridad en el tráfico jurídico. Sin perjuicio de lo anterior, el Reglamento (UE) 910/2014 
contempla la posibilidad de verificación de la identidad del solicitante de un certificado 
cualificado utilizando otros métodos de identificación reconocidos a escala nacional que 
garanticen una seguridad equivalente en términos de fiabilidad a la presencia física. 
Haciéndose eco de esta previsión, la Ley habilita a que reglamentariamente se regulen 
las condiciones y requisitos técnicos que lo harían posible.
Los certificados cualificados expedidos a personas físicas incluirán el número de 
Documento Nacional de Identidad, número de identidad de extranjero o número de 
identificación fiscal, salvo en los casos en los que el titular carezca de todos ellos. La 
misma regla se aplica en cuanto al número de identificación fiscal de las personas 
jurídicas o sin personalidad jurídica titulares de certificados cualificados, que en defecto 
de este han de utilizar un código que les identifique de forma unívoca y permanente en el 
tiempo, tal como se recoja en los registros oficiales.
En lo que se refiere a las obligaciones de los prestadores, la Ley establece el 
requisito de constitución de una garantía económica para la prestación de servicios 
cualificados de confianza. Se fija una cuantía mínima única de 1.500.000 euros, que se 
incrementa en 500.000 euros por cada tipo de servicio adicional que se preste, lo que se 
estima  suficiente  para  cubrir  los  riesgos  derivados  del  servicio,  tiene  en  cuenta  la 
diversidad de servicios en el mercado y no penaliza a los prestadores con mayor oferta.
Una de las exigencias del Reglamento (UE) 910/2014 se centra en garantizar la 
seguridad de los servicios de confianza frente a actos deliberados o fortuitos que afecten 
a sus productos, redes o sistemas de información. En este sentido, todos los prestadores 
de servicios de confianza, cualificados y no cualificados, están sometidos a la obligación 
de adoptar las medidas técnicas y organizativas adecuadas para gestionar los riesgos 
para la seguridad de los servicios de confianza que prestan, así como de notificar al 
órgano de supervisión cualquier violación de la seguridad o pérdida de la integridad que 
tenga un impacto significativo en el servicio de confianza prestado. Esta Ley sanciona el 
incumplimiento de las citadas obligaciones.
En  respuesta  a  la  evolución  de  la  tecnología  y  las  demandas  del  mercado,  el 
Reglamento (UE) 910/2014 abre la posibilidad de prestación de servicios innovadores 
basados en soluciones móviles y en la nube, como la firma y sello electrónicos remotos, 
en los que el entorno es gestionado por un prestador de servicios de confianza en 
nombre del titular. A fin de garantizar que estos servicios electrónicos obtengan el mismo 
reconocimiento jurídico que aquellos utilizados en un entorno completamente gestionado 
por el usuario, estos prestadores deben aplicar procedimientos de seguridad específicos 
y utilizar sistemas y productos fiables, incluidos canales de comunicación electrónica 
seguros, para garantizar que el entorno es fiable y se utiliza bajo el control exclusivo del 
titular. Se pretende alcanzar, así, un equilibrio entre la facilidad para el acceso y el uso 
de los servicios, sin detrimento de la seguridad.
IV
Esta Ley deroga la Ley 59/2003, de 19 de diciembre, de firma electrónica, y con ella 
aquellos preceptos incompatibles con el Reglamento (UE) 910/2014.
Así sucede con los antiguos certificados de firma de personas jurídicas, introducidos  s
por la citada Ley de firma electrónica. El nuevo paradigma instaurado por el mencionado  e.
reglamento implica que únicamente las personas físicas están capacitadas para firmar  w.
electrónicamente, por lo que no prevé la emisión de certificados de firma electrónica a  046ww
sfaevlloors d eel epcetrrsóonnicaoss ,j uqríudeic paes rom eitnetnid gaadreasn tsizina rp elars aountaelnidtaicdid jaudrí dei cian.t eAg reidstaads  dsee  rdeosceurmvaenn tlooss 
tales como facturas electrónicas. Sin perjuicio de lo anterior, las personas jurídicas
podrán actuar por medio de los certificados de firma de aquellas personas físicas que 
legalmente les representen.
La Ley permite la posibilidad de que el órgano supervisor mantenga un servicio de 
difusión de información sobre los prestadores cualificados que operan en el mercado, 
con el fin de proporcionar a los usuarios información útil sobre los servicios que ofrecen 
en el desarrollo de su actividad.
Mediante la presente Ley se deroga también el artículo 25 de la Ley 34/2002, de 11 de 
julio, de servicios de la sociedad de la información y de comercio electrónico, referido a los 
terceros de confianza, debido a que los servicios ofrecidos por este tipo de proveedores se 
encuentran  subsumidos  en  los  tipos  regulados  por  el  Reglamento  (UE)  910/2014, 
fundamentalmente en los servicios de entrega electrónica certificada y de conservación de 
firmas y sellos electrónicos.
V
Si bien la prestación de servicios electrónicos de confianza se realiza en régimen de 
libre competencia, el Reglamento (UE) 910/2014 prevé, para los servicios cualificados, 
un  sistema  de  verificación  previa  de  cumplimiento  de  los  requisitos  que  en  él  se 
imponen.  Así,  se  diseña  un  sistema  mixto  de  colaboración  público-privada  para  la 
supervisión de los prestadores cualificados, pues su inclusión en la lista de confianza, 
que permite iniciar esa actividad, debe basarse en un informe de evaluación de la 
conformidad  emitido  por  un  organismo  de  evaluación  acreditado  por  un  organismo 
nacional de acreditación, establecido en alguno de los Estados miembros de la Unión 
Europea. A partir de entonces, los prestadores cualificados deberán remitir el citado 
informe al menos cada veinticuatro meses.
Por su parte, los prestadores de servicios no cualificados pueden prestar servicios 
sin verificación previa de cumplimiento de requisitos, sin perjuicio de su sujeción a las 
potestades de seguimiento y control posterior de la Administración. No obstante, deberán 
comunicar al órgano supervisor la prestación del servicio en el plazo de tres meses 
desde que inicien su actividad, a los meros efectos de conocer su existencia y posibilitar 
su supervisión.
Por último, se define el régimen sancionador aplicable a los prestadores cualificados 
y no cualificados de servicios electrónicos de confianza, sin perjuicio de la posibilidad ya 
prevista en el artículo 20.3 del Reglamento (UE) 910/2014 de retirar la cualificación al 
prestador o servicio que presta, y su exclusión de la lista de confianza, en determinados 
supuestos. Asimismo, se han adecuado las cuantías de las sanciones, reduciéndose a la 
mitad la máxima imponible respecto a la legislación anterior, y se ha previsto la división 
en tramos de la horquilla sancionadora para la determinación de la multa imponible, en 
atención a los criterios de graduación concurrentes.
VI
Con arreglo a todo lo anterior, la presente Ley contiene veinte artículos, cuatro 
disposiciones  adicionales,  dos  transitorias,  una  disposición  derogatoria  y  siete 
disposiciones finales.
Las  disposiciones  adicionales  se  refieren:  la  primera  a  Fe  pública  y  servicios 
electrónicos de confianza; la segunda a los efectos jurídicos de los sistemas utilizados en 
las Administraciones públicas; la tercera al Documento Nacional de Identidad y sus 
certificados electrónicos, y la cuarta al secreto de la identidad de los miembros del  e.
Centro Nacional de Inteligencia. w.b
La disposición transitoria primera se refiere a la comunicación de actividad por  046ww
speregsutnaddao rmesa ndtiee nese ernvi cviiogso r neol  Rceuaal lDifieccardeotos  1y5a5 3e/2x0is0te5n, tdees ,2 3y  dela d idciisepmobsrieci,ó pno rt real nqsuiteo rsiea 
regula la expedición del Documento Nacional de Identidad y sus certificados de firma
electrónica, el cual constituye desarrollo reglamentario parcial de la Ley 59/2003, de 19 
de diciembre, de firma electrónica.
En  las  disposiciones  finales  se  modifican  diversas  leyes.  En  la  primera,  la 
Ley  56/2007,  de  28  de  diciembre,  de  medidas  de  impulso  de  la  sociedad  de  la 
información, de forma que las empresas que presten servicios al público en general de 
especial  trascendencia  económica  deberán  disponer  de  un  medio  seguro  de 
interlocución telemática, no necesariamente basado en certificados electrónicos. Con 
ello, se flexibiliza la norma y se da cabida a otros medios de identificación generalmente 
usados en el sector privado.
En la disposición final segunda, se modifica la Ley 1/2000, de 7 de enero, de 
Enjuiciamiento Civil, con objeto de adaptarla al nuevo marco regulatorio de los servicios 
electrónicos de confianza definido en esta Ley y en el Reglamento (UE) 910/2014.
En la disposición final tercera, se modifica la Ley 34/2002, de 11 de julio, de servicios 
de la sociedad de la información y de comercio electrónico, para adaptar su regulación al 
Reglamento  (UE)  2019/1150  del  Parlamento  Europeo  y  del  Consejo,  referente  a 
plataformas digitales.
En la disposición final cuarta se introduce una nueva disposición adicional séptima en 
la Ley 17/2009, de 23 de noviembre, sobre el libre acceso a las actividades de servicios 
y su ejercicio, para adaptar su regulación al Reglamento (UE) 2018/302 del Parlamento 
Europeo y del Consejo, sobre medidas destinadas a impedir el bloqueo geográfico 
injustificado y otras formas de discriminación por razón de la nacionalidad, del lugar de 
residencia o del lugar de establecimientos de los clientes en el mercado interior.
La disposición final quinta contiene el título competencial, en virtud del cual la Ley se 
dicta al amparo de las competencias exclusivas que corresponden al Estado en materia 
de  legislación  civil,  telecomunicaciones  y  seguridad  pública,  conforme  al 
artículo 149.1.8.ª, 21.ª y 29.ª de la Constitución Española. El artículo 3 y la disposición 
final segunda se dictan, además, al amparo de lo previsto en el artículo 149.1.6.ª de la 
Constitución, el cual atribuye al Estado competencia exclusiva en materia de legislación 
procesal. Por su parte la disposición adicional segunda se dicta al amparo de lo previsto 
en el artículo 149.1.18.ª de la Constitución, en relación con la competencia estatal 
exclusiva sobre las bases del régimen jurídico de las Administraciones públicas y el 
procedimiento administrativo común.
Finalmente  las  disposiciones  finales  sexta  y  séptima  se  refieren  al  desarrollo 
reglamentario de la Ley y a su entrada en vigor, respectivamente.
TÍTULO I
Disposiciones generales
Artículo 1.  Objeto de la Ley.
La presente Ley tiene por objeto regular determinados aspectos de los servicios 
electrónicos de confianza, como complemento del Reglamento (UE) n.º 910/2014 del 
Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación 
electrónica  y  los  servicios  de  confianza  para  las  transacciones  electrónicas  en  el 
mercado interior y por el que se deroga la Directiva 1999/93/CE.
Artículo 2.  Ámbito de aplicación.
Esta Ley se aplicará a los prestadores públicos y privados de servicios electrónicos  o
dsqeeur evc Aioctsenioínf isagm nanizsnoam  su eouns,p  teesaersbvt laieasbcpalildedicocoaissmr  ápei eonanr   Etlloaos  psap auepñtrroamer.siadtnaaeddno ctreoe mss pirteuesateiddnoet ene tdenes   Eoost rpdoao pñmaaií,cs is ldiiaeedm loaps rU een nqió uonet rE oou fErroespztaecdaaon.   OE-A-2020-14046able en https://www.
Artículo 3.  Efectos jurídicos de los documentos electrónicos.
1.  Los documentos electrónicos públicos, administrativos y privados, tienen el valor 
y la eficacia jurídica que corresponda a su respectiva naturaleza, de conformidad con la 
legislación que les resulte aplicable.
2.  La prueba de los documentos  electrónicos  privados  en los que se hubiese 
utilizado  un  servicio  de  confianza  no  cualificado  se  regirá  por  lo  dispuesto  en  el 
apartado 3 del artículo 326 de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil. Si el 
servicio fuese cualificado, se estará a lo previsto en el apartado 4 del mismo precepto.
TÍTULO II
Certificados electrónicos
Artículo 4.  Vigencia y caducidad de los certificados electrónicos.
1.  Los certificados electrónicos se extinguen por caducidad a la expiración de su 
período de vigencia, o mediante revocación por los prestadores de servicios electrónicos 
de confianza en los supuestos previstos en el artículo siguiente.
2.  El período de vigencia de los certificados cualificados no será superior a cinco 
años.
Dicho período se fijará en atención a las características y tecnología empleada para 
generar los datos de creación de firma, sello, o autenticación de sitio web.
Artículo 5.  Revocación y suspensión de los certificados electrónicos.
1.  Los prestadores de servicios electrónicos de confianza extinguirán la vigencia de 
los certificados electrónicos mediante revocación en los siguientes supuestos:
a)  Solicitud formulada por el firmante, la persona física o jurídica representada por 
este, un tercero autorizado, el creador del sello o el titular del certificado de autenticación 
de sitio web.
b)  Violación o puesta en peligro del secreto de los datos de creación de firma o de 
sello, o del prestador de servicios de confianza, o de autenticación de sitio web, o 
utilización indebida de dichos datos por un tercero.
c)  Resolución judicial o administrativa que lo ordene.
d)  Fallecimiento del firmante; capacidad modificada judicialmente sobrevenida, total 
o parcial, del firmante; extinción de la personalidad jurídica o disolución del creador del 
sello en el caso de tratarse de una entidad sin personalidad jurídica, y cambio o pérdida 
de control sobre el nombre de dominio en el supuesto de un certificado de autenticación 
de sitio web.
e)  Terminación de la representación en los certificados electrónicos con atributo de 
representante.  En  este  caso,  tanto  el  representante  como  la  persona  o  entidad 
representada están obligados a solicitar la revocación de la vigencia del certificado en 
cuanto se produzca la modificación o extinción de la citada relación de representación.
f)  Cese en la actividad del prestador de servicios de confianza salvo que la gestión 
de los certificados electrónicos expedidos por aquel sea transferida a otro prestador de 
servicios de confianza.
g)  Descubrimiento de la falsedad o inexactitud de los datos aportados para la 
expedición del certificado y que consten en él, o alteración posterior de las circunstancias  e.e
verificadas para la expedición del certificado, como las relativas al cargo. w.b
h)  En caso de que se advierta que los mecanismos criptográficos utilizados para la  046ww
gneenceesraacriioósn  pdaera  gloasr ancetizrtaifric saud oses gunroid acdu.mplen  los  estándares  de  seguridad  mínimos
confii)a nzCau.alquier otra causa lícita prevista en la declaración de prácticas del servicio de
2.  Los  prestadores  de  servicios  de  confianza  suspenderán  la  vigencia  de  los 
certificados electrónicos en los supuestos previstos en las letras a), c) y h) del apartado 
anterior, así como en los casos de duda sobre la concurrencia de las circunstancias 
previstas  en  sus  letras  b)  y  g),  siempre  que  sus  declaraciones  de  prácticas  de 
certificación prevean la posibilidad de suspender los certificados.
3.  En su caso, y de manera previa o simultánea a la indicación de la revocación o 
suspensión de un certificado electrónico en el servicio de consulta sobre el estado de 
validez o revocación de los certificados por él expedidos, el prestador de servicios 
electrónicos de confianza comunicará al titular, por un medio que acredite la entrega y 
recepción  efectiva  siempre  que  sea  factible,  esta  circunstancia,  especificando  los 
motivos y la fecha y la hora en que el certificado quedará sin efecto.
En los casos de suspensión, la vigencia del certificado se extinguirá si transcurrido el 
plazo de duración de la suspensión, el prestador no la hubiera levantado.
Artículo 6.  Identidad y atributos de los titulares de certificados cualificados.
1.  La  identidad  del  titular  en  los  certificados  cualificados  se  consignará  de  la 
siguiente forma:
a)  En el supuesto de certificados de firma electrónica y de autenticación de sitio 
web expedidos a personas físicas, por su nombre y apellidos y su número de Documento 
Nacional de Identidad, número de identidad de extranjero o número de identificación 
fiscal, o a través de un pseudónimo que conste como tal de manera inequívoca. Los 
números anteriores podrán sustituirse por otro código o número identificativo únicamente 
en  caso  de  que  el  titular  carezca  de  todos  ellos  por  causa  lícita,  siempre  que  le 
identifique de forma unívoca y permanente en el tiempo.
b)  En el supuesto de certificados de sello electrónico y de autenticación de sitio web 
expedidos a personas jurídicas, por su denominación o razón social y su número de 
identificación fiscal. En defecto de este, deberá indicarse otro código identificativo que le 
identifique de forma unívoca y permanente en el tiempo, tal como se recoja en los 
registros oficiales.
2.  Si los certificados admiten una relación de representación incluirán la identidad 
de la persona física o jurídica representada en las formas previstas en el apartado 
anterior, así como una indicación del documento, público si resulta exigible, que acredite 
de forma fehaciente las facultades del firmante para actuar en nombre de la persona o 
entidad a la que represente y, en caso de ser obligatoria la inscripción, de los datos 
registrales.
Artículo 7.  Comprobación de la identidad y otras circunstancias de los solicitantes de un 
certificado cualificado.
1.  La identificación de la persona física que solicite un certificado cualificado exigirá 
su  personación  ante  los  encargados  de  verificarla  y  se  acreditará  mediante  el 
Documento Nacional de Identidad, pasaporte u otros medios admitidos en Derecho. 
Podrá prescindirse de la personación de la persona física que solicite un certificado 
cualificado si su firma en la solicitud de expedición de un certificado cualificado ha sido 
legitimada en presencia notarial.
2.  Reglamentariamente, mediante Orden de la persona titular del Ministerio de 
Asuntos  Económicos  y  Transformación  Digital,  se  determinarán  otras  condiciones  y  e.
requisitos técnicos de verificación de la identidad a distancia y, si procede, otros atributos  w.b
específicos  de  la  persona  solicitante  de  un  certificado  cualificado,  mediante  otros  046ww
smeégtuordidoasd d eeq iudievnatliefinctaec ieónn  tcéormmion ovsid deeo cfioanbfielidreandc aia  lao  pvrídeeseon-icdiean ftíisfiiccaac sióeng úqnu es ua peovratleuna cuinóan 
pcoonr duicnio noersg ayn risemquoi sidtoes  teévcanliucaocsi ósne  rdeea lizlaa rác oan pfoarrmtirid daed .l osL ae sdtáentedramreinsa qcuióen,  edne s ud cicahsaos, 
hayan sido determinados a nivel comunitario.
Serán considerados métodos de identificación reconocidos a escala nacional, a los 
efectos de lo previsto en el presente apartado, aquellos que aporten una seguridad 
equivalente en términos de fiabilidad a la presencia física y cuya equivalencia en el nivel 
de seguridad sea certificada por un organismo de evaluación de la conformidad, de 
acuerdo  con  lo  previsto  en  la  normativa  en  materia  de  servicios  electrónicos  de 
confianza.
3.  La forma en que se ha procedido a identificar a la persona física solicitante podrá 
constar en el certificado. En otro caso, los prestadores de servicios de confianza deberán 
colaborar entre sí para determinar cuándo se produjo la última personación.
4.  En el caso de certificados cualificados de sello electrónico y de firma electrónica 
con atributo de representante, los prestadores de servicios de confianza comprobarán, 
además de los datos señalados en los apartados anteriores, los datos relativos a la 
constitución  y  personalidad  jurídica,  y  a  la  persona  o  entidad  representada, 
respectivamente, así como la extensión y vigencia de las facultades de representación 
del solicitante mediante los documentos, públicos si resultan exigibles, que sirvan para 
acreditar  los  extremos  citados  de  manera  fehaciente  y  su  inscripción  en  el 
correspondiente  registro  público  si  así  resulta  exigible.  Esta  comprobación  podrá 
realizarse, asimismo, mediante consulta en el registro público en el que estén inscritos 
los documentos de constitución  y de  apoderamiento,  pudiendo emplear los medios 
telemáticos facilitados por los citados registros públicos.
5.  Cuando el certificado cualificado contenga otras circunstancias personales o 
atributos del solicitante, como su condición de titular de un cargo público, su pertenencia 
a  un  colegio  profesional  o  su  titulación,  estas  deberán  comprobarse  mediante  los 
documentos oficiales que las acrediten, de conformidad con su normativa específica.
6.  Lo  dispuesto  en  los  apartados  anteriores  podrá  no  ser  exigible  cuando  la 
identidad  u  otras  circunstancias  permanentes  de  los  solicitantes  de  los  certificados 
constaran  ya  al  prestador  de  servicios  de  confianza  en  virtud  de  una  relación 
preexistente, en la que, para la identificación del interesado, se hubiese empleado el 
medio  señalado  en  el  apartado  1  y  el  período  de  tiempo  transcurrido  desde  la 
identificación fuese menor de cinco años.
7.  El Ministerio de Asuntos Económicos y Transformación Digital velará por que los 
prestadores cualificados de servicios electrónicos de confianza puedan contribuir a la 
elaboración de la norma reglamentaria prevista en el apartado 2 del presente artículo, de 
acuerdo con lo previsto en el artículo 26.6 de la Ley 50/1997, de 27 de noviembre, del 
Gobierno.
TÍTULO III
Obligaciones y responsabilidad de los prestadores de servicios electrónicos 
de confianza
Artículo 8.  Protección de los datos personales.
1.  El tratamiento de los datos personales que precisen los prestadores de servicios 
electrónicos de confianza para el desarrollo de su actividad y los órganos administrativos 
para el ejercicio de las funciones atribuidas por esta Ley se sujetará a lo dispuesto en la 
legislación aplicable en materia de protección de datos de carácter personal.
2.  Los  prestadores  de  servicios  electrónicos  de  confianza  que  consignen  un 
pseudónimo en un certificado electrónico deberán constatar la verdadera identidad del  e.e
titular del certificado y conservar la documentación que la acredite. b
3.  Dichos prestadores de servicios de confianza estarán obligados a revelar la  046ww
ecilt aedjae ricdiecinot iddaed  cfuunacnidoon elos  sloelgicaitlemne nlotse  óargtraibnuoisd ajusd, iccioanle ss yu joetcriaósn  auat olroid addisepsu peústboli ceans  elna 
legislación aplicable en materia de protección de datos personales.
Artículo 9.  Obligaciones de los prestadores de servicios electrónicos de confianza.
1.  Los prestadores de servicios electrónicos de confianza deberán:
a)  Publicar información veraz y acorde con esta Ley y el Reglamento (UE) 910/2014.
b)  No almacenar ni copiar, por sí o a través de un tercero, los datos de creación de 
firma, sello o autenticación de sitio web de la persona física o jurídica a la que hayan 
prestado sus servicios, salvo en caso de su gestión en nombre del titular.
En  este  caso,  utilizarán  sistemas  y  productos  fiables,  incluidos  canales  de 
comunicación electrónica seguros, y se aplicarán procedimientos y mecanismos técnicos 
y organizativos adecuados, para garantizar que el entorno sea fiable y se utilice bajo el 
control exclusivo del titular del certificado. Además, deberán custodiar y proteger los 
datos  de  creación  de  firma,  sello  o  autenticación  de  sitio  web  frente  a  cualquier 
alteración,  destrucción  o  acceso  no  autorizado,  así  como  garantizar  su  continua 
disponibilidad.
2.  Los prestadores de servicios de confianza que expidan certificados electrónicos 
deberán disponer de un servicio de consulta sobre el estado de validez o revocación de 
los certificados emitidos accesible al público.
3.  Los  prestadores  cualificados  de  servicios  electrónicos  de  confianza  deberán 
cumplir las siguientes obligaciones adicionales:
a)  El período de tiempo durante el que deberán conservar la información relativa a 
los servicios prestados de acuerdo con el artículo 24.2.h) del Reglamento (UE) 910/2014, 
será de 15 años desde la extinción del certificado o la finalización del servicio prestado.
En caso de que expidan certificados cualificados de sello electrónico o autenticación 
de sitio web a personas jurídicas, los prestadores de servicios de confianza registrarán 
también la información que permita determinar la identidad de la persona física a la que 
se hayan entregado los citados certificados, para su identificación en procedimientos 
judiciales o administrativos.
b)  Constituir un seguro de responsabilidad civil por importe mínimo de 1.500.000 
euros, excepto si el prestador pertenece al sector público. Si presta más de un servicio 
cualificado de los previstos en el Reglamento (UE) 910/2014, se añadirán 500.000 euros 
más por cada tipo de servicio.
La  citada  garantía  podrá  ser  sustituida  total  o  parcialmente  por  una  garantía 
mediante aval bancario o seguro de caución, de manera que la suma de las cantidades 
aseguradas sea coherente con lo dispuesto en el párrafo anterior.
Las cuantías y los medios de aseguramiento y garantía establecidos en los dos 
párrafos anteriores podrán ser modificados mediante real decreto.
c)  El prestador cualificado que vaya a cesar en su actividad deberá comunicarlo a 
los clientes a los que preste sus servicios y al órgano de supervisión con una antelación 
mínima de dos meses al cese efectivo de la actividad, por un medio que acredite la 
entrega y recepción efectiva siempre que sea factible. El plan de cese del prestador de 
servicios puede incluir la transferencia de clientes, una vez acreditada la ausencia de 
oposición  de  los  mismos,  a  otro  prestador  cualificado,  el  cual  podrá  conservar  la 
información relativa a los servicios prestados hasta entonces.
Igualmente,  comunicará  al  órgano  de  supervisión  cualquier  otra  circunstancia 
relevante  que  pueda  impedir  la  continuación  de  su  actividad.  En  especial,  deberá 
comunicar, en cuanto tenga conocimiento de ello, la apertura de cualquier proceso 
concursal que se siga contra él. e.
d)  Enviar el informe de evaluación de la conformidad al Ministerio de Asuntos  w.
Económicos y Transformación Digital en los términos previstos en el artículo 20.1 del  046ww
Rdee glala mcueanlitfoic a(UciEón)  9a1l 0p/r2e0s1ta4d. oErl  yin aclu smeprvlimiciioe nqtuoe d ees etes tpar eosbtlaig, ayc isóun  ecloimnilnleavcaiórán  ldae r elati rlaisdtaa 
dpere sctoandfoiarn dzeal  sperervviicsitoa  peanra e ql uaer tcíceusleo  e2n2  edl ecli tacditoa dinoc uRmegpllaimmieennttoo., previo requerimiento al  BOE-A-cable e
Artículo 10.  Responsabilidad de los prestadores de servicios electrónicos de confianza.
Los  prestadores  de  servicios  electrónicos  de  confianza  asumirán  toda  la 
responsabilidad frente a terceros por la actuación de las personas u otros prestadores en 
los que deleguen la ejecución de alguna o algunas de las funciones necesarias para la 
prestación  de  servicios  electrónicos  de  confianza,  incluyendo  las  actuaciones  de 
comprobación de identidad previas a la expedición de un certificado cualificado.
Artículo  11.  Limitaciones  de  responsabilidad  de  los  prestadores  de  servicios 
electrónicos de confianza.
1.  El prestador de servicios electrónicos de confianza no será responsable de los 
daños y perjuicios ocasionados a la persona a la que ha prestado sus servicios o a 
terceros  de  buena  fe,  si  esta  incurre  en  alguno  de  los  supuestos  previstos  en  el 
Reglamento (UE) 910/2014 o en los siguientes:
a)  No  haber  proporcionado  al  prestador  de  servicios  de  confianza  información 
veraz, completa y exacta para la prestación del servicio de confianza, en particular, sobre 
los datos que deban constar en el certificado electrónico o que sean necesarios para su 
expedición o para la extinción o suspensión de su vigencia, cuando su inexactitud no 
haya podido ser detectada,  actuando  con la debida diligencia, por el prestador de 
servicios.
b)  La falta de comunicación sin demora indebida al prestador de servicios de 
cualquier modificación de las circunstancias que incidan en la prestación del servicio de 
confianza, en particular, aquellas reflejadas en el certificado electrónico.
c)  Negligencia en la conservación de sus datos de creación de firma, sello o 
autenticación de sitio web, en el aseguramiento de su confidencialidad y en la protección 
de todo acceso o revelación de estos o, en su caso, de los medios que den acceso a 
ellos.
d)  No solicitar la suspensión o revocación del certificado electrónico en caso de 
duda en cuanto al mantenimiento de la confidencialidad de sus datos de creación de 
firma, sello o autenticación de sitio web o, en su caso, de los medios que den acceso a 
ellos.
e)  Utilizar los datos de creación de firma, sello o autenticación de sitio web cuando 
haya expirado el período de validez del certificado electrónico o el prestador de servicios 
de confianza le notifique la extinción o suspensión de su vigencia.
2.  El prestador de servicios de confianza tampoco será responsable por los daños y 
perjuicios si el destinatario actúa de forma negligente. Se entenderá que el destinatario 
actúa de forma negligente cuando no tenga en cuenta la suspensión o pérdida de 
vigencia del certificado electrónico, o cuando no verifique la firma o sello electrónico.
3.  El prestador de servicios de confianza no será responsable por los daños y 
perjuicios en caso de inexactitud de los datos que consten en el certificado electrónico si 
estos le han sido acreditados mediante documento público u oficial, inscrito en un 
registro público si así resulta exigible.
Artículo  12.  Inicio  de  la  prestación  de  servicios  electrónicos  de  confianza  no 
cualificados.
Los prestadores de servicios de confianza no cualificados no necesitan verificación  e
administrativa  previa  de  cumplimiento  de  requisitos  para  iniciar  su  actividad,  pero  bo
deberán comunicar su actividad al Ministerio de Asuntos Económicos y Transformación  046ww
lDisitgaitdaol  edne  epl rpelsatzaod odree str edse  mseersveicsi odse sddee c qounefi alan zinai cnieon c, uqauleifi cpaudbolisc aerná  eunn as uli sptaá gdinifae rwenetbe  eal 
yla  cdlaer alo sd ep rlaess tacadroarcetse rdíset iscearsv ipcrioosp idaes  yc odniffeiarneznac iaculeasl ifdicea ldooss p, rceosnta ldao dreessc cruipacliióficna ddeotsa lyla ddae 
los prestadores no cualificados.
En el mismo plazo deberán comunicar la modificación de los datos inicialmente 
transmitidos y el cese de su actividad.
Artículo 13.  Obligaciones de seguridad de la información.
1.  Los  prestadores  cualificados  y  no  cualificados  de  servicios  electrónicos  de 
confianza notificarán al Ministerio de Asuntos Económicos y Transformación Digital las 
violaciones de seguridad o pérdidas de la integridad señaladas en el artículo 19.2 del 
Reglamento (UE) 910/2014, sin perjuicio de su notificación a la Agencia Española de 
Protección de Datos, a otros organismos relevantes o a las personas afectadas.
2.  Los  prestadores  de  servicios  tienen  la  obligación  de  tomar  las  medidas 
necesarias para resolver los incidentes de seguridad que les afecten.
3.  Los prestadores de servicios ampliarán, en un plazo máximo de un mes tras la 
notificación del incidente y, de haber tenido lugar, tras su resolución, la información 
suministrada en la notificación inicial con arreglo a las directrices y formularios que 
pueda establecer el Ministerio de Asuntos Económicos y Transformación Digital.
TÍTULO IV
Supervisión y control
Artículo 14.  Órgano de supervisión.
1.  El Ministerio de Asuntos Económicos y Transformación Digital, como órgano de 
supervisión, controlará el cumplimiento por los prestadores de servicios electrónicos de 
confianza cualificados y no cualificados que ofrezcan sus servicios al público de las 
obligaciones establecidas en el Reglamento (UE) 910/2014 y en esta Ley.
2.  El Ministerio de Asuntos Económicos y Transformación Digital podrá acordar las 
medidas apropiadas para el cumplimiento del Reglamento (UE) 910/2014 y de esta Ley.
En particular, podrá dictar directrices para la elaboración y comunicación de informes 
y documentos, así como recomendaciones para el cumplimiento de las obligaciones 
técnicas y de seguridad exigibles a los servicios de confianza, así como sobre requisitos 
y normas técnicas de auditoría y certificación para la evaluación de la conformidad de los 
prestadores  cualificados  de  servicios  de  confianza.  Al  efecto,  se  tendrán  en 
consideración  las  normas,  instrucciones,  guías  y  recomendaciones  emitidas  por  el 
Centro Criptológico Nacional en el marco de sus competencias, así como informes, 
especificaciones o normas elaboradas por la Agencia de Seguridad de las Redes y de la 
Información  de  la  Unión  Europea  (ENISA)  o  por  organismos  de  estandarización 
europeos e internacionales.
Artículo 15.  Actuaciones inspectoras.
1.  El  Ministerio  de  Asuntos  Económicos  y  Transformación  Digital  realizará  las 
actuaciones inspectoras que sean precisas para el ejercicio de su función de supervisión 
y  control.  Los  funcionarios  adscritos  al  Ministerio  de  Asuntos  Económicos  y 
Transformación Digital que realicen la inspección tendrán la consideración de autoridad 
pública en el desempeño de sus cometidos.
2.  El Ministerio de Asuntos Económicos y Transformación Digital podrá recurrir a 
entidades independientes y técnicamente cualificadas para que le asistan en las labores 
de supervisión y control sobre los prestadores de servicios de confianza que le asigna el  e.
Reglamento (UE) 910/2014 y esta Ley. w.
3.  Podrá  requerirse  la  realización  de  pruebas  en  laboratorios  o  entidades  046ww
elossp perceiasltiazdaodraess  pdaer as earcvriecidoista cr oerlr ecruámn pcloimni elonst og adset odse tqeurem oincaadsoiosn ree qeusitsai teovsa. lEuanc eiósnte. caso,
Artículo 16.  Mantenimiento de la lista de confianza.
1.  El  Ministerio  de  Asuntos  Económicos  y  Transformación  Digital  establecerá, 
mantendrá y publicará la lista de confianza con información relativa a los prestadores 
cualificados de servicios de confianza sujetos a esta Ley, junto con la información 
relacionada con los servicios de confianza cualificados prestados por ellos, según lo 
previsto en el artículo 22 del Reglamento (UE) 910/2014.
2.  El  plazo  máximo  para  dictar  y  notificar  resolución  en  el  procedimiento  de 
verificación  previa  de  cumplimiento  de  los  requisitos  establecidos  en  el  citado 
Reglamento será de 6 meses, transcurridos los cuales se podrá entender desestimada la 
solicitud.
3.  La revocación de la cualificación a un prestador o a un servicio mediante su 
retirada  de  la  lista  de  confianza  es  independiente  de  la  aplicación  del  régimen 
sancionador.
Artículo 17.  Información y colaboración.
1.  Los prestadores de servicios de confianza, la entidad nacional de acreditación, 
los organismos de evaluación de la conformidad, los organismos de certificación y 
cualquier otra persona o entidad relacionada con el prestador de servicios de confianza, 
tienen la obligación de facilitar al Ministerio de Asuntos Económicos y Transformación 
Digital toda la información y colaboración precisas para el ejercicio de sus funciones.
Si el organismo de certificación perteneciera a la Autoridad Nacional de Certificación 
de la Ciberseguridad o estuviese supervisado por ella, se acordarán con dicha Autoridad 
los mecanismos de colaboración y el contenido de la información necesaria.
Los prestadores de servicios de confianza deberán permitir a sus funcionarios o al 
personal  inspector  el  acceso  a  sus  instalaciones  y  la  consulta  de  cualquier 
documentación relevante para la inspección de que se trate, siendo de aplicación, en su 
caso, lo dispuesto en el artículo 8.6 de la Ley 29/1998, de 13 de julio, reguladora de la 
Jurisdicción Contencioso-administrativa. En sus inspecciones podrán ir acompañados de 
expertos o peritos en las materias sobre las que versen aquellas.
2.  La información referente a los prestadores cualificados de servicios de confianza 
podrá ser objeto de publicación en la dirección de Internet del Ministerio de Asuntos 
Económicos y Transformación Digital para su difusión y conocimiento.
3.  A más tardar el 1 de febrero de cada año, los prestadores cualificados de 
servicios de confianza remitirán al Ministerio de Asuntos Económicos y Transformación 
Digital un informe sobre sus datos de actividad del año civil precedente, con objeto de 
cumplimiento  por  parte  de  este  de  las  obligaciones  de  información  a  la  Comisión 
Europea.
4.  El Ministerio de Asuntos Económicos y Transformación Digital informará a la 
Agencia Española de Protección de Datos en caso de resultar infringidas las normas 
sobre protección de datos de carácter personal, así como sobre los incidentes en materia 
de seguridad que impliquen violaciones de los datos de carácter personal.
TÍTULO V
Infracciones y sanciones
Artículo 18.  Infracciones. es
1.  Las infracciones de los preceptos del Reglamento (UE) 910/2014 y de esta Ley  w.
se clasifican en muy graves, graves y leves. 046ww
2.  Son infracciones muy graves:
sidoa s) anLcaio cnoamdois ipóonr  duen au nian frinafcrcaicócnió gnr agvraev dee e lna  eml pislmazao  ndaet udroasle azñao, sc odnetsaddeo sq udee shdueb iqeusee 
recaiga la resolución sancionadora firme.
b)  La expedición de certificados cualificados sin realizar todas las comprobaciones 
previas relativas a la identidad u otras circunstancias del titular del certificado o al poder 
de representación de quien lo solicita en su nombre, señaladas en el Reglamento 
(UE)  910/2014  y  en  esta  Ley,  cuando  ello  afecte  a  la  mayoría  de  los  certificados 
cualificados expedidos en el año anterior al inicio del procedimiento sancionador o desde 
el inicio de la actividad del prestador si este periodo es menor.
3.  Son infracciones graves:
a)  La resistencia, obstrucción, excusa o negativa a la actuación inspectora de los 
órganos facultados para llevarla a cabo con arreglo a esta Ley.
b)  Actuar en el mercado como prestador cualificado de servicios de confianza, 
ofrecer servicios de confianza como cualificados o utilizar la etiqueta de confianza «UE» 
sin haber obtenido la cualificación de los citados servicios.
c)  En caso de que el prestador expida certificados electrónicos, almacenar o copiar, 
por sí o a través de un tercero, los datos de creación de firma, sello o autenticación de 
sitio web de la persona física o jurídica a la que hayan prestado sus servicios, salvo en 
caso de su gestión en nombre del titular.
d)  No proteger adecuadamente los datos de creación de firma, sello o autenticación 
de sitio web cuya gestión se le haya encomendado en la forma establecida en el 
artículo 9.1.b) de esta Ley.
e)  No registrar o conservar la información a la que se refiere el artículo 9.3.a) de 
esta Ley.
f)  El incumplimiento de la obligación de notificación de incidentes establecida en el 
artículo 19.2 del Reglamento (UE) 910/2014, en los términos previstos en el artículo 13 
de esta Ley.
g)  En caso de prestadores cualificados de servicios de confianza, el incumplimiento 
de alguna de las obligaciones establecidas en los artículos 24.2, letras b), c), d), e), f), g), 
h), y k), 24.3 y 24.4 del Reglamento (UE) 910/2014, con las precisiones establecidas, en 
su caso, por esta Ley.
h)  La expedición de certificados cualificados sin realizar todas las comprobaciones 
previas relativas a la identidad u otras circunstancias del titular del certificado o al poder 
de representación de quien lo solicita en su nombre, señaladas en el Reglamento 
(UE) 910/2014 y en esta Ley, cuando no constituya infracción muy grave.
i)  La ausencia de adopción de medidas, o la adopción de medidas insuficientes, 
para la resolución de los incidentes de seguridad en los productos, redes y sistemas de 
información, en el plazo de diez días desde que aquellos se hubieren producido.
j)  El  incumplimiento  de  las  resoluciones  dictadas  por  el  Ministerio  de  Asuntos 
Económicos  y  Transformación  Digital  para  requerir  a  un  prestador  de  servicios  de 
confianza que corrija cualquier incumplimiento de los requisitos establecidos en esta Ley 
y en el Reglamento (UE) 910/2014.
k)  La  falta  o  deficiente  presentación  de  información  solicitada  por  parte  del 
Ministerio de Asuntos Económicos y Transformación Digital en su función de inspección 
y control, a partir del segundo requerimiento.
l)  No cumplir con las obligaciones de constatar la verdadera identidad del titular de 
un certificado electrónico y de conservar la documentación que la acredite, en caso de 
consignación de un pseudónimo.
m)  El incumplimiento por parte de los prestadores cualificados y no cualificados de 
servicios de confianza de la obligación establecida en el artículo 19.1 del Reglamento  e
(UE)  910/2014  de  adoptar  las  medidas  técnicas  y  organizativas  adecuadas  para  bo
gestionar los riesgos para la seguridad de los servicios de confianza que presten. 046ww
señanl)a doNso e ne xetsintag uLier y.la  vigencia  de  los  certificados  electrónicos  en  los  supuestos
obligoa) torLioa,  perne lsotsa ctéiórnm idneo ss perrevvicisiotos sc euna leifli caardtíocsu loc a9r.e3c.bie) nddeo e dsetal  Lceoyrr.espondiente seguro
4.  Constituyen infracciones leves:
a)  Publicar  información  no  veraz  o  no  acorde  con  esta  Ley  y  el  Reglamento 
(UE) 910/2014.
b)  No comunicar el inicio de actividad, su modificación o cese por los prestadores 
de servicios no cualificados en el plazo establecido en el artículo 12 de esta Ley.
c)  El incumplimiento por los prestadores cualificados de servicios de confianza de 
alguna de las obligaciones establecidas en el artículo 24.2, letras a) e i) del Reglamento 
(UE) 910/2014.
d)  El incumplimiento por los prestadores cualificados de servicios de confianza de 
su  obligación  de  remitir  un  informe  anual  de  actividad  al  Ministerio  de  Asuntos 
Económicos y Transformación Digital antes del 1 de febrero de cada año.
e)  El incumplimiento del deber de comunicación establecido en el artículo 9.3.c) de 
esta Ley.
f)  La  falta  o  deficiente  presentación  de  información  solicitada  por  parte  del 
Ministerio de Asuntos Económicos y Transformación Digital en su función de inspección 
y control.
Artículo 19.  Sanciones.
1.  Por la comisión de infracciones recogidas en el artículo anterior, se impondrán al 
infractor las siguientes sanciones:
a)  Por la comisión de infracciones muy graves, una multa por importe de 150.001 
hasta 300.000 euros.
b)  Por  la  comisión  de  infracciones  graves,  una  multa  por  importe  de  50.001 
hasta 150.000 euros.
c)  Por la comisión de infracciones leves, una multa por importe de hasta 50.000 
euros.
2.  La cuantía de las sanciones que se impongan se determinará aplicando una 
graduación de importe mínimo, medio y máximo a cada nivel de infracción, teniendo en 
cuenta lo siguiente:
a)  El grado de culpabilidad o la existencia de intencionalidad.
b)  La continuidad o persistencia en la conducta infractora.
c)  La naturaleza y cuantía de los perjuicios causados.
d)  La reincidencia, por comisión en el término de un año de más de una infracción 
de la misma naturaleza cuando así haya sido declarado por resolución firme en vía 
administrativa.
e)  El volumen de facturación del prestador responsable.
f)  El número de personas afectadas por la infracción.
g)  La gravedad del riesgo generado por la conducta.
h)  Las acciones realizadas por el prestador encaminadas a paliar los efectos o 
consecuencias de la infracción.
3.  Las resoluciones sancionadoras por la comisión de infracciones muy graves 
serán  publicadas  en  el  sitio  de  Internet  del  Ministerio  de  Asuntos  Económicos  y 
Transformación Digital, con indicación, en su caso, de los recursos interpuestos contra 
ellas. es
Artículo 20.  Potestad sancionadora. 046www.
corrLeasp oimndpeorsáic, ieónn  edl ec assaon dceio ninefsra cpcoior neels  mincuuym gpralivmeise,n ato  lad pee rlsoo npare tvitiusltaor  deenl  Mesintais teLreioy 
ad ela A pseurnstoonsa E tcitounlaórm diec olas  Sy eTcrraentasrfoíar mdea cEiósnta Ddoig ditael ,D yig eitna leizla dceió inn fera Icncteiolingeesn cgiraa Avertsif iyc ilaelv.es,  BOE-A-cable e
Disposición adicional primera.  Fe pública y servicios electrónicos de confianza.
Lo  dispuesto  en  esta  Ley  no  sustituye  ni  modifica  las  normas  que  regulan  las 
funciones  que  corresponden  a  los  funcionarios  que  tengan  legalmente  atribuida  la 
facultad de dar fe en documentos en lo que se refiere al ámbito de sus competencias.
Disposición  adicional  segunda.  Efectos  jurídicos  de  los  sistemas  utilizados  en  las 
Administraciones públicas.
Todos  los  sistemas  de  identificación,  firma  y  sello  electrónico  previstos  en  la 
Ley  39/2015,  de  1  de  octubre,  del  Procedimiento  Administrativo  Común  de  las 
Administraciones Públicas, y en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico 
del Sector Público, tendrán plenos efectos jurídicos.
Disposición  adicional  tercera.  Documento  Nacional  de  Identidad  y  sus  certificados 
electrónicos.
1.  El Documento Nacional de Identidad electrónico es el Documento Nacional de 
Identidad que permite acreditar electrónicamente la identidad personal de su titular, en 
los términos establecidos en el artículo 8 de la Ley Orgánica 4/2015, de 30 de marzo, de 
protección de la seguridad ciudadana, así como la firma electrónica de documentos.
2.  Todas  las  personas  físicas  o  jurídicas,  públicas  o  privadas,  reconocerán  la 
eficacia del Documento Nacional de Identidad para acreditar la identidad y los demás 
datos personales del titular que consten en el mismo, así como la identidad del firmante y 
la integridad de los documentos firmados con sus certificados electrónicos.
3.  Los  órganos  competentes  del  Ministerio  del  Interior  para  la  expedición  del 
Documento  Nacional  de  Identidad  cumplirán  las  obligaciones  que  la  presente  Ley 
impone a los prestadores de servicios electrónicos de confianza que expidan certificados 
cualificados.
4.  Sin perjuicio de la aplicación de la normativa vigente en materia del Documento 
Nacional de Identidad en todo aquello que se adecúe a sus características particulares, 
el Documento Nacional de Identidad se regirá por su normativa específica.
Disposición  adicional  cuarta.  Secreto  de  la  identidad  de  los  miembros  del  Centro 
Nacional de Inteligencia.
Lo dispuesto en los artículos 7 y 8 de esta Ley se entenderá sin perjuicio de lo dispuesto 
en la Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, en 
relación con la obligación de guardar secreto sobre la identidad de sus miembros.
Disposición transitoria primera.  Comunicación de actividad por prestadores de servicios 
no cualificados ya existentes.
Los prestadores de servicios no cualificados que ya vinieran prestando servicios 
deberán comunicar su actividad al Ministerio de Asuntos Económicos y Transformación 
Digital en el plazo de tres meses a contar desde la entrada en vigor de esta Ley.
Se exceptúan aquellos que hubieran comunicado los servicios prestados al Ministerio 
de Asuntos Económicos y Transformación Digital antes de la entrada en vigor de esta Ley.
Disposición transitoria segunda.  Desarrollo reglamentario del Documento Nacional de  es
Identidad. o
Hasta que se desarrolle reglamentariamente el Documento Nacional de Identidad, se  046ww
mla anetxepneddráic ieónn  vidgeolr  eDl oRceuaml eDnetocr eNtoa c1i5o5n3a/l2 0d0e5 , Iddee n2t3id daed  dyic iesmusb rec,e prtoifri ceal dqouse  sdee  refigrmulaa 
electrónica.
Disposición derogatoria.
Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo 
dispuesto en esta Ley, y en particular:
a)  La Ley 59/2003, de 19 de diciembre, de firma electrónica.
b)  El artículo 25 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la 
información y de comercio electrónico.
c)  La Orden del Ministerio de Fomento de 21 de febrero de 2000 por la que se 
aprueba el Reglamento de acreditación de prestadores de servicios de certificación y de 
certificación de determinados productos de firma electrónica.
Disposición final primera.  Modificación de la Ley 56/2007, de 28 de diciembre, de 
Medidas de Impulso de la Sociedad de la Información.
Se modifica el apartado 1 del artículo 2 de la Ley 56/2007, de 28 de diciembre, de 
Medidas de Impulso de la Sociedad de la Información, que queda redactado como sigue:
«1.  Sin  perjuicio  de  la  utilización  de  otros  medios  de  comunicación  a 
distancia con los clientes, las empresas que presten servicios al público en general 
de especial trascendencia económica deberán facilitar a sus usuarios un medio 
seguro de interlocución telemática que les permita la realización de, al menos, los 
siguientes trámites:
a)  Contratación electrónica de servicios, suministros y bienes, la modificación 
y finalización o rescisión de los correspondientes contratos, así como cualquier 
acto o negocio jurídico entre las partes, sin perjuicio de lo establecido en la 
normativa sectorial.
b)  Consulta  de  sus  datos  de  cliente,  que  incluirán  información  sobre  su 
historial de facturación de, al menos, los últimos tres años y el contrato suscrito, 
incluidas las condiciones generales si las hubiere.
c)  Presentación  de  quejas,  incidencias,  sugerencias  y,  en  su  caso, 
reclamaciones, garantizando la constancia de su presentación para el consumidor 
y asegurando una atención personal directa.
d)  Ejercicio de sus derechos de acceso, rectificación, cancelación y oposición 
en los términos previstos en la normativa reguladora de protección de datos de 
carácter personal.»
Disposición  final  segunda.  Modificación  de  la  Ley  1/2000,  de  7  de  enero,  de 
Enjuiciamiento Civil.
Uno.  Se modifica el apartado 3 del artículo 326 de la Ley 1/2000, de 7 de enero, de 
Enjuiciamiento Civil, que queda redactado en los siguientes términos:
«3.  Cuando la parte a quien interese la eficacia de un documento electrónico 
lo solicite o se impugne su autenticidad, integridad, precisión de fecha y hora u 
otras características del documento electrónico que un servicio electrónico de 
confianza no cualificado de los previstos en el Reglamento (UE) 910/2014 del 
Parlamento  Europeo  y  del  Consejo,  de  23  de  julio  de  2014,  relativo  a  la 
identificación  electrónica  y  los  servicios  de  confianza  para  las  transacciones 
electrónicas en el mercado interior, permita acreditar, se procederá con arreglo a lo  e.
establecido  en  el  apartado  2  del  presente  artículo  y  en  el  Reglamento  (UE)  w.
n.º 910/2014.» 046ww
Dos.  Se añade un apartado 4 al citado artículo 326, con el siguiente tenor:
«4.  Si se hubiera utilizado algún servicio de confianza cualificado de los
previstos en el Reglamento citado en el apartado anterior, se presumirá que el
documento reúne la característica cuestionada y que el servicio de confianza se 
ha prestado correctamente si figuraba, en el momento relevante a los efectos de la 
discrepancia, en la lista de confianza de prestadores y servicios cualificados.
Si aun así se impugnare el documento electrónico, la carga de realizar la 
comprobación corresponderá a quien haya presentado la impugnación. Si dichas 
comprobaciones  obtienen  un  resultado  negativo,  serán  las  costas,  gastos  y 
derechos que origine la comprobación exclusivamente a cargo de quien hubiese 
formulado la impugnación. Si, a juicio del tribunal, la impugnación hubiese sido 
temeraria, podrá imponerle, además, una multa de 300 a 1200 euros.»
Disposición final tercera.  Modificación de la Ley 34/2002, de 11 de julio, de servicios de 
la sociedad de la información y de comercio electrónico.
La Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de 
comercio electrónico, se modifica en los siguientes términos:
Uno.  Se añade un nuevo artículo 12 ter que queda redactado como sigue:
«Artículo 12 ter.  Obligaciones relativas a la portabilidad de datos no personales.
Los proveedores de servicios de intermediación que alojen o almacenen datos 
de  usuarios  a  los  que  presten  servicios  de  redes  sociales  o  servicios  de  la 
sociedad de la información equivalentes deberán remitir a dichos usuarios, a su 
solicitud, los contenidos que les hubieran facilitado, sin impedir su transmisión 
posterior  a  otro  proveedor.  La  remisión  deberá  efectuarse  en  un  formato 
estructurado, de uso común y lectura mecánica.
Asimismo, deberán transmitir dichos contenidos directamente a otro proveedor 
designado por el usuario, siempre que sea técnicamente posible, según prevé el 
artículo 95 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos 
Personales y Garantía de los Derechos Digitales.
Para el cumplimiento de estas obligaciones será aplicable lo dispuesto en el 
artículo  12.5  del  Reglamento  (UE)  2016/679  del  Parlamento  Europeo  y  del 
Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en 
lo que respecta al tratamiento de sus datos personales y a la libre circulación de 
estos datos y por el que se deroga la Directiva 95/46/CE.»
Dos.  El primer párrafo del apartado 1 del artículo 35 queda redactado como sigue:
«1.  El Ministerio de Asuntos Económicos y Transformación Digital controlará 
el cumplimiento por los prestadores de servicios de la sociedad de la información 
de las obligaciones establecidas en esta Ley y en sus disposiciones de desarrollo, 
en lo que se refiere a los servicios propios de la sociedad de la información, así 
como en el Reglamento (UE) 2019/1150 del Parlamento Europeo y del Consejo, 
de 20 de junio de 2019, sobre el fomento de la equidad y la transparencia para los 
usuarios  profesionales  de  servicios  de  intermediación  en  línea,  por  parte  de 
aquellos proveedores incluidos en su ámbito de aplicación.»
Tres.  Se añade un nuevo artículo 36 bis que queda redactado como sigue:
«Artículo 36 bis.  Deber de comunicación de las organizaciones y asociaciones  s
representativas de usuarios profesionales o de los usuarios de sitios web  oe.
corporativos. 046www.
reprLeasse ntoarcgióann izadcei onuesus aryio sa sporcoiafecsioionneasl esq uoe   dpeo seloasn  uusnu airniotesr édse  lesgitíitoims o wedbe 
c(UoErp)o r2a0ti1vo9s/1,1 y5 q0u, eh, ucbuimerpelnie nsdool icciotand loo s arel qMuiisniitsotse rdioe l adretí cAulsou 1n4to.3s  dEecl oRneógmlaimcoesn toy   BOE-A-cable e
Transformación Digital su inclusión en la lista elaborada al efecto por la Comisión 
Europea, notificarán inmediatamente al citado Ministerio cualquier circunstancia 
que afecte a su entidad que derive en un incumplimiento sobrevenido de los 
mencionados requisitos.»
Cuatro.  El primer párrafo del artículo 37 queda redactado como sigue:
«Los prestadores de servicios de la sociedad de la información a los que les 
sea de aplicación la presente Ley, así como los proveedores incluidos en el ámbito 
de  aplicación  del  Reglamento  (UE)  2019/1150,  están  sujetos  al  régimen 
sancionador establecido en este Título.»
Cinco.  Se añaden doce nuevas letras de la j) a la u) al apartado 3 del artículo 38 
con la siguiente redacción:
«j)  La exigencia del pago de un canon por atender la obligación prevista en el 
artículo  12  ter,  fuera  de  los  supuestos  establecidos  en  el  artículo  12.5  del 
Reglamento (UE) 2016/679.
k)  El incumplimiento habitual de la obligación prevista en el artículo 12 ter.
l)  El incumplimiento habitual por parte de los proveedores de servicios de 
intermediación en línea de la obligación establecida en el apartado 5 del artículo 3 
del Reglamento (UE) 2019/1150 en materia de visibilidad de la identidad del 
usuario profesional.
m)  El incumplimiento habitual por parte de los proveedores de servicios de 
intermediación en línea de cualquiera de las obligaciones en materia de restricción, 
suspensión y terminación del servicio establecidas en los apartados 1, 2 y 3 del 
artículo 4 del Reglamento (UE) 2019/1150.
n)  El incumplimiento habitual por parte de los proveedores de servicios de 
intermediación en línea o proveedores de motores de búsqueda en línea de 
cualquiera  de  las  obligaciones  en  materia  de  clasificación  establecidas  en  el 
artículo 5 del Reglamento (UE) 2019/1150 que les resulten aplicables.
o)  El incumplimiento habitual por parte de los proveedores de servicios de 
intermediación en línea de la obligación de incluir en sus condiciones generales la 
información exigida en el artículo 6 del Reglamento (UE) 2019/1150 sobre los 
bienes y servicios auxiliares ofrecidos.
p)  El incumplimiento habitual por parte de los proveedores de servicios de 
intermediación en línea o los proveedores de motores de búsqueda en línea de la 
obligación de incluir en sus condiciones generales la información exigida en los 
apartados  1  y  2,  respectivamente,  con  las  precisiones  establecidas  en  el 
apartado  3,  del  artículo  7  del  Reglamento  (UE)  2019/1150,  en  materia  de 
tratamiento diferenciado de bienes o servicios.
q)  El  incumplimiento  por  parte  de  los  proveedores  de  servicios  de 
intermediación  de  la  obligación  establecida  en  la  letra  a)  del  artículo  8  del 
Reglamento  (UE)  2019/1150,  así  como  el  incumplimiento  habitual  de  las 
obligaciones contenidas en las letras b) y c) del citado precepto.
r)  El incumplimiento habitual por parte de los proveedores de servicios de 
intermediación en línea de la obligación de informar sobre el acceso a datos por 
parte de los usuarios profesionales establecida en el artículo 9 del Reglamento 
(UE) 2019/1150.
s)  El incumplimiento habitual por parte de los proveedores de servicios de  e.
intermediación en línea de la obligación de justificar las restricciones a la oferta de  w.
condiciones diferentes por otros medios prevista en el artículo 10 del Reglamento  046ww
(UE) 2019/1150.
t)  El  incumplimiento  por  parte  de  los  proveedores  de  servicios  de 
intermediación en línea que no sean pequeñas empresas, de la obligación de 
establecer un sistema interno y gratuito para tramitar las reclamaciones de los 
usuarios profesionales, en los términos previstos por el artículo 11 del Reglamento 
(UE) 2019/1150.
u)  El incumplimiento por parte de los proveedores de servicios de intermediación 
en línea que no sean pequeñas empresas, de la obligación de designar al menos dos 
mediadores,  o  de  cualquier  otra  de  las  obligaciones  en  materia  de  mediación 
establecidas en el artículo 12 del Reglamento (UE) 2019/1150.»
Seis.  Se añaden diez nuevas letras de la j) a la s) al apartado 4 del artículo 38 con 
la siguiente redacción:
«j)  La exigencia del pago de un canon por atender la obligación prevista en el 
artículo  12  ter,  cuando  así  lo  permita  el  artículo  12.5  del  Reglamento 
(UE) 2016/679, si su cuantía excediese el importe de los costes afrontados.
k)  El incumplimiento de la obligación prevista en el artículo 12 ter, cuando no 
constituya infracción grave.
l)  El  incumplimiento  por  parte  de  los  proveedores  de  servicios  de 
intermediación en línea de la obligación establecida en el apartado 5 del artículo 3 
del Reglamento (UE) 2019/1150 en materia de visibilidad de la identidad del 
usuario profesional, cuando no constituya infracción grave.
m)  El  incumplimiento  por  parte  de  los  proveedores  de  servicios  de 
intermediación en línea de cualquiera de las obligaciones en materia de restricción, 
suspensión y terminación del servicio establecidas en los apartados 1, 2 y 3 del 
artículo 4 del Reglamento (UE) 2019/1150, cuando no constituya infracción grave.
n)  El  incumplimiento  por  parte  de  los  proveedores  de  servicios  de 
intermediación en línea o proveedores de motores de búsqueda en línea de 
cualquiera  de  las  obligaciones  en  materia  de  clasificación  establecidas  en  el 
artículo 5 del Reglamento (UE) 2019/1150 que les resulten aplicables, cuando no 
constituya infracción grave.
o)  El  incumplimiento  por  parte  de  los  proveedores  de  servicios  de 
intermediación en línea de la obligación de incluir en sus condiciones generales la 
información exigida en el artículo 6 del Reglamento (UE) 2019/1150 sobre los 
bienes y servicios auxiliares ofrecidos, cuando no constituya infracción grave.
p)  El  incumplimiento  por  parte  de  los  proveedores  de  servicios  de 
intermediación en línea y los proveedores de motores de búsqueda en línea de la 
obligación de incluir en sus condiciones generales la información exigida en los 
apartados  1  y  2,  respectivamente,  con  las  precisiones  establecidas  en  el 
apartado  3,  del  artículo  7  del  Reglamento  (UE)  2019/1150,  en  materia  de 
tratamiento diferenciado de bienes o servicios, cuando no constituya infracción 
grave.
q)  El  incumplimiento  por  parte  de  los  proveedores  de  servicios  de 
intermediación en línea de las obligaciones en materia de cláusulas contractuales 
específicas establecidas en el artículo 8 del Reglamento (UE) 2019/1150, cuando 
no constituya infracción grave.
r)  El  incumplimiento  por  parte  de  los  proveedores  de  servicios  de 
intermediación en línea de la obligación de informar sobre el acceso a datos por 
parte de los usuarios profesionales establecida en el artículo 9 del Reglamento  e
(UE) 2019/1150, cuando no constituya infracción grave. bo
s)  El  incumplimiento  por  parte  de  los  proveedores  de  servicios  de  046ww
icnotenrdmiceiodniaecsi ódnif eerne nlítneesa p doer  loat roobsl imgaecdióions  dper ejuvsisttifaic eanr  leals  arretíscturilcoc i1o0n edse la R lae golfaemrtae ndtoe 
(UE) 2019/1150, cuando no constituya infracción grave.»
Siete.  El artículo 43 queda redactado como sigue:
«Artículo 43.  Competencia sancionadora.
1.  La imposición de sanciones por el incumplimiento de lo previsto en esta 
Ley corresponderá, en el caso de infracciones muy graves, a la persona titular del 
Ministerio de Asuntos Económicos y Transformación Digital, y en el de infracciones 
graves y leves, a la persona titular de la Secretaria de Estado de Digitalización e 
Inteligencia Artificial.
No obstante lo anterior, la imposición de sanciones por incumplimiento de las 
resoluciones dictadas por los órganos competentes en función de la materia o 
entidad de que se trate a que se refieren las letras a) y b) del artículo 38.2 de esta 
Ley  corresponderá  al  órgano  que  dictó  la  resolución  incumplida.  Igualmente, 
corresponderá a la Agencia de Protección de Datos la imposición de sanciones 
por la comisión de las infracciones tipificadas en los artículos 38.3 c), d) e i) y 38.4 
d), g) y h) de esta Ley.
2.  La  potestad  sancionadora  regulada  en  esta  Ley  se  ejercerá  de 
conformidad con lo establecido al respecto en la Ley 39/2015, de 1 de octubre, del 
Procedimiento Administrativo Común de las Administraciones Públicas, y en sus 
normas de desarrollo. El procedimiento tendrá una duración máxima de nueve 
meses a contar desde la fecha del acuerdo de iniciación. El plazo máximo de 
duración del procedimiento simplificado será de tres meses.»
Disposición final cuarta.  Modificación de la Ley 17/2009, de 23 de noviembre, sobre el 
libre acceso a las actividades de servicios y su ejercicio.
Se introduce una nueva disposición adicional séptima con el siguiente contenido:
«Disposición  adicional  séptima.  Incumplimiento  de  la  prohibición  de 
discriminación.
El  incumplimiento  de  la  prohibición  de  discriminación  prevista  en  el 
artículo 16.3 de esta Ley y el Reglamento (UE) 2018/302 del Parlamento Europeo 
y del Consejo, de 28 de febrero de 2018, sobre medidas destinadas a impedir el 
bloqueo geográfico injustificado y otras formas de discriminación por razón de la 
nacionalidad, del lugar de residencia o del lugar de establecimiento de los clientes 
en el mercado interior y por el que se modifican los Reglamentos (CE) 2006/2004 
y (UE) 2017/2394 y la Directiva 2009/22/CE, se reputará desleal a los efectos de la 
Ley 3/1991, de 10 de enero, de Competencia Desleal, sin perjuicio del régimen de 
infracciones y sanciones contenido en el Texto Refundido de la Ley General para 
la Defensa de los Consumidores y Usuarios y otras leyes complementarias.»
Disposición final quinta.  Título competencial.
Esta Ley se dicta al amparo de las competencias exclusivas que corresponden al 
Estado en materia de legislación civil, telecomunicaciones y seguridad pública, conforme 
a lo dispuesto en el artículo 149.1.8.ª, 21.ª y 29.ª de la Constitución Española.
El artículo 3 y la disposición final segunda se dictan, además, al amparo de lo 
previsto en el artículo 149.1.6.ª de la Constitución, el cual atribuye al Estado competencia 
exclusiva  en  materia  de  legislación  procesal.  Por  su  parte  la  disposición  adicional  e.e
segunda se dicta al amparo de lo previsto en el artículo 149.1.18.ª de la Constitución, en  w.b
relación con la competencia estatal exclusiva sobre las bases del régimen jurídico de las  046ww
Administraciones públicas y el procedimiento administrativo común.
Disposición final sexta.  Desarrollo reglamentario.
Se  habilita  al  Gobierno  para  dictar  las  disposiciones  reglamentarias  que  sean 
precisas para el desarrollo y aplicación de esta Ley.
Disposición final séptima.  Entrada en vigor.
La presente Ley entrará en vigor al día siguiente al de su publicación en el «Boletín 
Oficial del Estado».
Por tanto,
Mando a todos los españoles, particulares y autoridades, que guarden y hagan 
guardar esta ley.
Madrid, 11 de noviembre de 2020.
FELIPE R.
El Presidente del Gobierno,
PEDRO SÁNCHEZ PÉREZ-CASTEJÓN