7)

Se añade el siguiente apéndice 3: «Apéndice 3 Procedimiento de aprobación y autorización de agentes independientes para que puedan acceder a las características de seguridad del vehículo (*5) 1. Ámbito de aplicación El presente apéndice contiene los requisitos a efectos de la aprobación y autorización de agentes independientes que requieran acceso a la información sobre la reparación y el mantenimiento (IRM) de los vehículos relacionada con la seguridad. Especifica detalladamente el proceso y los organismos necesarios para la aprobación y autorización de los agentes independientes a los que se concederá acceso a la información sobre la reparación y el mantenimiento de los vehículos en relación con la seguridad, para los turismos, los vehículos comerciales ligeros y los vehículos pesados. 2. Definiciones y términos abreviados 2.1. Definiciones A los efectos del presente apéndice, se aplicarán las definiciones siguientes: 2.1.1. “Acreditación” “Acreditación”: acreditación según se define en el artículo 2, punto 10, del Reglamento (CE) n.o 765/2008. 2.1.2. “Empleado del agente independiente” “Empleado del agente independiente”: el empleado de un agente independiente aprobado que, previa autorización de su organismo de evaluación de la conformidad (OEC), tendrá acceso a la IRM relacionada con la seguridad. 2.1.3. “Información sobre la reparación y el mantenimiento relacionada con la seguridad” o “IRM relacionada con la seguridad” “Información sobre la reparación y el mantenimiento relacionada con la seguridad” o “IRM relacionada con la seguridad”: la información, el software, las funciones y los servicios necesarios para reparar y mantener las características incluidas en un vehículo por el fabricante para evitar que el vehículo sea robado o conducido sin permiso y para permitir el seguimiento y la recuperación del vehículo. 2.1.4. “Certificado de inspección de aprobación” “Certificado de inspección de aprobación”: el certificado expedido por el OEC a los agentes independientes que cumplan los criterios de aprobación establecidos en el presente apéndice y que confirma que dichos agentes independientes están aprobados y que sus empleados pueden solicitar la autorización para acceder a la IRM relacionada con la seguridad. 2.1.5. “Certificado de inspección de autorización” “Certificado de inspección de autorización”: el certificado expedido por el OEC a los empleados del agente independiente que cumplan los criterios de autorización establecidos en el presente apéndice y que confirma que dichos empleados están autorizados a acceder a la IRM relacionada con la seguridad en el sitio web de un fabricante de vehículos. 2.1.6. “Centro de confianza” o “CC” “Centro de confianza” o “CC”: el organismo designado por el SERMI y aprobado por la Comisión y que es responsable de: a) gestionar los certificados digitales y el estado de autorización de los empleados del agente independiente y facilitar al OEC los testigos de seguridad y los certificados digitales necesarios para los empleados del agente independiente autorizados; b) proporcionar a los fabricantes de vehículos información sobre el estado de autorización de los empleados del agente independiente. 2.1.7. “Testigo de seguridad” “Testigo de seguridad”: dispositivo que permite la autenticación segura de un agente independiente. 2.1.8. “Certificado digital” “Certificado digital”: certificado digital que requiere una firma digital del centro de confianza emisor para vincular una clave pública a la identidad del empleado del agente independiente de conformidad con la norma ISO 9594. 2.1.9. “Base de datos de autorizaciones” “Base de datos de autorizaciones”: una base de datos mantenida por el centro de confianza y que contiene los datos anonimizados de autorización de los empleados del agente independiente autorizados y el registro de agentes independientes autorizados. 2.1.10. “Base de datos de certificación” “Base de datos de certificación”: una base de datos mantenida por el centro de confianza para gestionar la validez del certificado digital y de los identificadores de los empleados del agente independiente autorizados. 2.1.11. “Cooperación Europea para la Acreditación” o “EA” “Cooperación Europea para la Acreditación” o “EA”: el organismo reconocido por la Comisión de conformidad con el artículo 14 del Reglamento (CE) n.o 765/2008 y que es responsable del desarrollo, el mantenimiento y la aplicación de la acreditación en la Unión. 2.1.12. “Foro para el Acceso a la IRM de los vehículos relacionada con la seguridad” o “SERMI” “Foro para el Acceso a la IRM de los vehículos relacionada con la seguridad” o “SERMI” (por sus siglas en inglés): la entidad encargada de coordinar y asesorar a la Comisión sobre la aplicación de los procedimientos de acreditación, aprobación y autorización con el fin de acceder a la IRM relacionada con la seguridad. 2.1.13. “Autoridades pertinentes” “Autoridades pertinentes”: las autoridades públicas con mandato legal para actuar en el ámbito de la protección, la investigación y el enjuiciamiento de los delitos relacionados con la seguridad de los vehículos. 3. Acreditación de los OEC, aprobación de los agentes independientes y autorización de los empleados del agente independiente Solo los OEC acreditados por el organismo nacional de acreditación (ONA), tal como se define en el artículo 2, punto 11, del Reglamento (CE) n.o 765/2008, del Estado miembro en el que estén establecidos expedirán certificados de inspección de aprobación que certifiquen que un agente independiente ha sido aprobado y certificados de inspección de autorización que certifiquen que un empleado de la organización puede acceder a IRM relacionada con la seguridad. La aprobación del agente independiente y la autorización del empleado del agente independiente se concederán por un período de sesenta meses a partir de la fecha de expedición de los certificados de inspección pertinentes. Los agentes independientes que deseen recibir IRM relacionada con la seguridad deberán obtener un certificado de inspección de aprobación de un OEC acreditado por el ONA del Estado miembro en el que estén establecidos. Los empleados del agente independiente que vayan a gestionar la IRM relacionada con la seguridad deberán obtener un certificado de inspección de autorización de un OEC acreditado por el ONA del Estado miembro en el que residan. Los OEC informarán a los CC de la expedición de cualquier certificado de inspección de aprobación o certificado de inspección de autorización, y los CC crearán un registro de autorización y expedirán una llave de seguridad y un certificado digital con datos que permitan a los empleados del agente independiente ser identificables de forma inequívoca para el sitio web de la IRM del fabricante del vehículo. Los OEC proporcionarán a los empleados del agente independiente un testigo de seguridad y el certificado digital. Los fabricantes de vehículos podrán exigir una tasa por la inscripción de los empleados del agente independiente en los sitios web de IRM de dichos fabricantes y por el acceso a la IRM relacionada con la seguridad. Dicha tasa será proporcional al coste del registro y de la prestación de acceso. Las tasas debidas se especificarán en los sitios web de IRM de los fabricantes de vehículos. Todas las transferencias de datos digitales entre agentes independientes, CC y OEC se llevarán a cabo a través de transacciones entre empresas (B2B) utilizando protocolos seguros y de manera oportuna. La declaración que certifique que el agente independiente lleva a cabo una actividad empresarial legítima, tal como se menciona en el punto 6.3 del presente anexo, será firmada por el agente independiente que solicite la autorización del OEC. Un agente independiente solo podrá ser aprobado tras una inspección por el OEC que verificará que esta declaración ha sido firmada y que evaluará si el agente independiente y sus empleados cumplen los requisitos establecidos en el presente apéndice. Los empleados del agente independiente solo podrán ser autorizados tras una inspección por parte de un OEC. Los OEC comprobarán los documentos presentados y verificarán si el empleado del agente independiente en cuestión ya hubiese presentado una solicitud de autorización anterior que hubiese sido rechazada por el OEC en cuestión o cualquier otro OEC a escala de la Unión. Los OEC enviarán al CC todos los datos necesarios para que el CC genere el certificado digital y configure el testigo de seguridad, que el OEC enviará a los empleados del agente independiente. Los empleados del agente independiente que hayan sido autorizados recibirán de sus OEC el número de identificación personal (PIN) asociado al certificado digital. 3.1. Visión general del acceso a la IRM relacionada con la seguridad Los fabricantes de vehículos facilitarán el acceso a la IRM relacionada con la seguridad a través de sus sitios web, siempre que los empleados del agente independiente estén autorizados y puedan presentar el certificado de inspección de autorización, y que el agente independiente para el que trabajan esos empleados disponga de un certificado de inspección de aprobación. Los fabricantes podrán ofrecer acceso, a los empleados autorizados que trabajen para agentes independientes aprobados, a un servicio de pedido en línea para partes relacionadas con la seguridad utilizando una aplicación especializada vinculada al sitio web de IRM. Tras la recepción de una solicitud de acceso a un sitio web de IRM, los sitios web de los fabricantes de vehículos exigirán la identificación a través del identificador único del empleado del agente independiente y requerirán la autenticación. La autenticación de los empleados del agente independiente se llevará a cabo exclusivamente utilizando certificados digitales. Tras la recepción de un certificado digital, los sitios web de IRM de los fabricantes de vehículos verificarán el identificador único del empleado del agente independiente y el estado actual del certificado digital y de la autorización, mediante el intercambio de información con el CC indicado en el certificado digital. Todas las transferencias de datos digitales entre agentes independientes, fabricantes de vehículos, CC y OEC se llevarán a cabo a través de transacciones entre empresas (B2B) utilizando protocolos seguros y de manera oportuna. Una vez verificados el identificador único y el estado de autorización del empleado del agente independiente, el fabricante del vehículo facilitará el acceso a la IRM relacionada con la seguridad que se haya solicitado a través de su sitio web. 4. Normas detalladas sobre el acceso a la IRM relacionada con la seguridad 4.1. El papel del SERMI 4.1.1. Responsabilidades y obligaciones El SERMI supervisará la aplicación del proceso de acreditación en todos los Estados miembros e informará de ello a la Comisión. El SERMI asesorará a la Comisión sobre las solicitudes de modificaciones del proceso de acreditación. a) el SERMI asesorará a la Comisión sobre las solicitudes de modificaciones del proceso de acreditación; el SERMI supervisará la aplicación del proceso de acreditación en todos los Estados miembros e informará de ello a la Comisión; b) el SERMI consultará a la Comisión sobre la creación de los criterios de selección de los CC; c) el SERMI asesorará a la Comisión sobre la introducción de directrices técnicas de aplicación para la interacción entre las entidades que participan en el proceso; d) el SERMI seguirá las normas de la EA sobre la propiedad del régimen; e) los miembros del SERMI estarán representados por las partes interesadas que participen en el proceso de acreditación, aprobación y autorización a efectos de acceder a la IRM relacionada con la seguridad. 4.1.2. Selección del centro de confianza (CC) El CC será seleccionado por el SERMI y notificado a la Comisión para su aprobación. El CC seleccionado cumplirá la norma ETSI TS 319 411-3 y cumplirá los requisitos sobre firmas electrónicas establecidos en el Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo (*6) y los requisitos establecidos en el punto 4.6 del presente apéndice. Además, el CC: — tendrá la competencia técnica y de gestión, así como la viabilidad financiera y la experiencia pertinentes para el proceso de acreditación; — contará con personal clave que posea las capacidades, la experiencia y la disponibilidad necesarias para el proceso de acreditación; — podrá operar en todos los Estados miembros; — dispondrá de un proceso de garantía de la calidad a nivel operativo. 4.2. El papel de los ONA El ONA será responsable de la acreditación de los OEC a efectos de aprobación de los agentes independientes y autorización de sus empleados para acceder a la IRM relacionada con la seguridad. 4.2.1. Responsabilidades y requisitos Las responsabilidades y requisitos del ONA se establecen en los artículos 8 a 12 del Reglamento (CE) n.o 765/2008. 4.2.2. Criterios para la acreditación de los OEC Los OEC serán acreditados como organismos de inspección de tipo A de conformidad con la norma ISO/IEC 17020:2012. Los OEC deberán cumplir los requisitos relativos al máximo nivel de independencia. Además, el ONA evaluará la capacidad de los OEC para cumplir los requisitos establecidos en los puntos 4.3.1 a 4.3.4. El personal encargado de las inspecciones de los agentes independientes tendrá un nivel de conocimientos en el sector de la reparación y el mantenimiento de vehículos de motor y de las características específicas del mercado posventa del automóvil que sea adecuado para las tareas que realicen. 4.3. El papel de los OEC El OEC será responsable de la inspección de los agentes independientes y de sus respectivos empleados, de la expedición de los certificados de inspección de aprobación y autorización, de conformidad con el presente apéndice, y de la revocación de dichos certificados. 4.3.1. Responsabilidades y requisitos a) los OEC conservarán los datos presentados para la aprobación de los agentes independientes; b) los OEC establecerán un canal de comunicación seguro con el CC y proporcionarán los resultados de la inspección al CC para expedir el testigo de seguridad con un certificado digital; c) los OEC enviarán una notificación a los empleados del agente independiente seis meses antes de que expire su autorización; d) los OEC mantendrán una base de datos que contenga los datos presentados para la autorización de los empleados del agente independiente; e) los OEC que se nieguen a aprobar a un agente independiente o a autorizar a uno de sus empleados comunicarán los resultados de la inspección relativa a dicho agente independiente o empleado al CC; f) los OEC solo recopilarán y utilizarán los datos necesarios para el proceso de aprobación o autorización; g) los OEC mantendrán la confidencialidad de todos los datos relativos al agente independiente y a sus empleados y velarán por que solo los empleados autorizados tengan acceso a dichos datos; h) los OEC facilitarán una vez al año estadísticas sobre el número de aprobaciones y autorizaciones expedidas, así como sobre el número de denegaciones, al SERMI y a la Comisión; i) los OEC conservarán registros seguros de las inspecciones de aprobación y autorización durante un período de cinco años; j) los OEC informarán a todos los demás OEC del Estado miembro en el que estén establecidos de los resultados negativos de las inspecciones de los agentes independientes; k) los agentes independientes y sus empleados que hayan recibido un resultado negativo de la inspección podrán facilitar al OEC información adicional para corregir deficiencias menores en un plazo de 15 días hábiles a partir de la recepción del resultado negativo de la inspección; los OEC determinarán en consecuencia si el resultado de la inspección debe modificarse; l) los OEC enviarán una notificación a los agentes independientes seis meses antes de que expire su aprobación; m) los OEC efectuarán inspecciones in situ aleatorias y por sorpresa de los agentes independientes dentro del período de validez de la aprobación de sesenta meses, y someterán a cada agente independiente aprobado a, al menos, una inspección aleatoria in situ durante dicho período de validez; n) sobre la base de una reclamación contra un agente independiente o uno de sus empleados autorizados, los OEC comprobarán que el agente independiente en cuestión o su empleado cumple los criterios con arreglo a los cuales fueron aprobados o autorizados respectivamente; el OEC determinará durante su investigación si es necesaria una inspección in situ; o) a efectos de las inspecciones in situ, los OEC podrán solicitar la asistencia de las autoridades de vigilancia del mercado del Estado miembro en el que estén establecidos; p) los OEC revocarán las aprobaciones de los agentes independientes y las autorizaciones de sus empleados cuando dejen de cumplir los criterios con arreglo a los cuales fueron aprobadas o autorizadas respectivamente. los OEC solicitarán al CC en consecuencia que suspenda e invalide el certificado digital de los empleados del agente independiente en cuestión. 4.3.2. Renovación de la aprobación A petición de un agente independiente o seis meses antes de la expiración de la validez de la aprobación, los OEC efectuarán una inspección in situ y, en caso de que la inspección dé un resultado positivo, renovarán la aprobación. Los OEC expedirán un nuevo certificado de inspección de aprobación para los agentes independientes que cumplan los criterios de aprobación. Los OEC evaluarán las solicitudes de renovación de las autorizaciones y expedirán un certificado de inspección de autorización a los empleados del agente independiente que cumplan los criterios de autorización. 4.3.3. Criterios para la aprobación de los agentes independientes por los OEC Antes de aprobar a un agente independiente y durante cualquier inspección in situ durante el período de validez de la aprobación, los OEC comprobarán lo siguiente: a) la propiedad documentada del agente independiente, el nombre del director gerente; b) la lista facilitada por el agente independiente de los empleados que vayan a ser autorizados; c) la información sobre la responsabilidad y la función de los empleados a que se refiere la letra a); d) si el agente independiente cuenta con un seguro de responsabilidad civil con una cobertura mínima de un millón EUR para lesiones corporales y de medio millón EUR para daños materiales; e) si la aprobación del agente independiente ha sido revocada por motivos de uso indebido; f) si el agente independiente ha aportado pruebas de actividad en el sector del automóvil; g) si la declaración por la que se certifica que el agente independiente lleva a cabo una actividad empresarial legítima, tal como se menciona en el punto 6.3, ha sido firmada por el agente independiente y, durante las inspecciones in situ, si el agente independiente lleva a cabo efectivamente una actividad empresarial legítima; h) si el agente independiente o sus empleados no tienen antecedentes penales; i) si existe una declaración firmada por el representante legal del agente independiente de que se garantiza el cumplimiento de los requisitos de procedimiento establecidos en el punto 4.3.4 para todas las operaciones relacionadas con la seguridad del vehículo. 4.3.4. Criterios para la autorización de los empleados de los agentes independientes por los OEC Antes de autorizar a un empleado de un agente independiente y durante cualquier inspección in situ durante el período de validez de la autorización, los OEC comprobarán lo siguiente: a) que el trabajador en cuestión no dispusiera de una autorización previa revocada a causa de un uso indebido de dicha autorización; b) que el trabajador no tenga antecedentes penales; c) que exista un contrato laboral entre el trabajador en cuestión y un agente independiente aprobado; d) que el empleado en cuestión disponga de un documento nacional de identidad válido o de un documento equivalente. 4.4. Papel de los agentes independientes 4.4.1. Responsabilidades y requisitos a) los agentes independientes solicitarán una inspección a su OEC para obtener la aprobación; b) los agentes independientes informarán a su OEC de los cambios en sus datos de contacto; c) los agentes independientes informarán a su OEC cuando se disuelvan; d) los agentes independientes registrarán todas las transacciones y operaciones de IRM relacionadas con la seguridad; e) los agentes independientes informarán a su OEC de cualquier rescisión del contrato laboral de cualquiera de sus empleados autorizados; f) los agentes independientes informarán a las autoridades pertinentes de cualquier delito o falta que hayan cometido sus empleados autorizados y que afecten a la IRM relacionada con la seguridad; g) los agentes independientes velarán por que sus empleados autorizados solo utilicen sus propios certificados de inspección de autorización; h) los agentes independientes velarán por que se hayan pagado todas las tasas relativas a la autorización de sus empleados; i) los agentes independientes velarán por que sus empleados reciban formación para las actividades de reparación relacionadas con el mantenimiento del automóvil, la reprogramación y las funciones de seguridad y protección; j) los agentes independientes solicitarán a su OEC una inspección in situ en los seis meses anteriores a la expiración de su certificado de inspección de aprobación. 4.5. Papel de los empleados de los agentes independientes 4.5.1. Responsabilidades y requisitos a) los empleados de los agentes independientes solicitarán su autorización a su OEC; b) los empleados de los agentes independientes se registrarán en el sistema de IRM del fabricante del vehículo; c) los empleados de los agentes independientes accederán a la IRM relacionada con la seguridad de conformidad con la norma EN ISO 18541-2014; d) los empleados de los agentes independientes velarán por que todos los registros de IRM relacionados con la seguridad descargados del sistema IRM del fabricante del vehículo no se almacenen más tiempo del necesario para llevar a cabo la operación para la que se necesita la información; e) cuando proceda, los empleados de los agentes independientes notificarán a su empleador que ya no se requiere su certificado digital; f) los empleados de los agentes independientes no compartirán con terceros el testigo de seguridad, el certificado digital o el número de identificación personal; g) los empleados de los agentes independientes serán responsables de utilizar correctamente el testigo de seguridad personal y el número de identificación personal; h) los empleados de los agentes independientes informarán a su agente independiente y a su CC de cualquier pérdida o uso indebido de su testigo de seguridad en un plazo de 24 horas a partir de dicha pérdida o uso indebido; i) los empleados de los agentes independientes informarán a las autoridades pertinentes de cualquier solicitud o acto de otros empleados del agente independiente en relación con la IRM relacionada con la seguridad que no constituya una actividad empresarial legítima a tenor del punto 6.3 del presente anexo. 4.6. Papel del centro de confianza Los CC crearán y enviarán los certificados digitales a los agentes independientes a través de los respectivos OEC de los agentes independientes y sus empleados. Los CC mantendrán una base de datos de los certificados de inspección de autorización expedidos. Los CC facilitarán a los fabricantes de vehículos el acceso a una interfaz para verificar el estado de los certificados digitales y los certificados de inspección de autorización. Los CC conservarán la información relativa a los empleados de los agentes independientes en la base de datos de autorizaciones durante un período adicional máximo de sesenta meses. Dicho período no será superior al período de validez restante de la aprobación concedida al agente independiente en el que trabaje el empleado en cuestión. 4.6.1. Responsabilidades y requisitos a) los CC pueden suspender e invalidar certificados digitales a petición del OEC; b) los CC proporcionarán el software para utilizar los certificados digitales a los agentes independientes y a sus empleados; c) los CC deberán funcionar 24 horas al día, 7 días a la semana. 4.7. Papel de los fabricantes de vehículos Los fabricantes de vehículos facilitarán a todos los agentes independientes autorizados y a sus empleados autorizados el acceso a la información sobre la reparación y el mantenimiento relacionada con la seguridad. Los fabricantes de vehículos se comunicarán con los CC para verificar el estado de autorización y autenticación de los empleados de los agentes independientes que deseen acceder a dicha información. 4.7.1. Responsabilidades y requisitos a) Los fabricantes de vehículos se asegurarán de que sus sitios web estén adaptados para facilitar el acceso de los agentes independientes a la IRM relacionada con la seguridad; b) los fabricantes de vehículos se asegurarán de descargar las especificaciones técnicas publicadas en el sitio web del SERMI. 4.7.2. Requisitos de procedimiento para los fabricantes de vehículos Los fabricantes de vehículos no concederán acceso a la IRM relacionada con la seguridad, a menos que se hayan cumplido todos los requisitos de procedimiento siguientes: 1) Requisitos de procedimiento aplicables a los vehículos robados Los fabricantes de vehículos llevarán un registro de todos los vehículos de su marca notificados por las autoridades como robados. Los fabricantes de vehículos establecerán un proceso que proporcione una trazabilidad y una rendición de cuentas claras y permita a las autoridades pertinentes rastrear los datos facilitados por el fabricante del vehículo hasta el empleado del agente independiente al que se haya concedido acceso a la información relacionada con el vehículo robado. 2) Requisitos de procedimiento para el almacenamiento de información Los fabricantes de vehículos almacenarán la siguiente información sobre cada acceso concedido a la información sobre la reparación y el mantenimiento relacionada con la seguridad: a) el número de identificación del vehículo (NIV) del vehículo para el que se solicitó la información; b) la fecha de presentación de la solicitud; c) el número de matrícula del vehículo para el que se solicitó la información, cuando se conozca; d) la variante del tipo del vehículo para el que se solicitó la información y la versión de dicho vehículo, si se conocen. Los fabricantes de vehículos conservarán estos datos durante cinco años. (*5) Los requisitos establecidos en el presente apéndice se basan en los establecidos en el Régimen de acreditación, aprobación y autorización para el acceso a la información sobre la reparación y el mantenimiento relacionada con la seguridad, validado el 19 de mayo de 2016 por la Cooperación Europea para la Acreditación (https://www.vehiclesermi.eu/)." (*6) Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE (DO L 257 de 28.8.2014, p. 73)."