Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza

El artículo 1 establece que la Ley 6/2020, de 11 de noviembre, tiene por objeto regular determinados aspectos de los servicios electrónicos de confianza, como complemento del Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior, norma que derogó la Directiva 1999/93/CE y desplazó jurídicamente a la anterior Ley 59/2003, de firma electrónica.

El artículo 2 delimita el ámbito de aplicación: la Ley se aplica a los prestadores públicos y privados de servicios electrónicos de confianza establecidos en España. Asimismo, se aplica a los prestadores residentes o domiciliados en otro Estado que tengan un establecimiento permanente en España, siempre que ofrezcan servicios no supervisados por la autoridad competente de otro país de la Unión Europea.

El artículo 3, apartado 1, dispone que los documentos electrónicos públicos, administrativos y privados tienen el valor y la eficacia jurídica que corresponda a su respectiva naturaleza, de conformidad con la legislación que les resulte aplicable.

El apartado 2 remite la prueba de los documentos electrónicos privados a la Ley de Enjuiciamiento Civil: si se hubiese utilizado un servicio de confianza no cualificado, se aplica el apartado 3 del artículo 326 de la Ley 1/2000, de 7 de enero; si el servicio fue cualificado, se aplica el apartado 4 del mismo artículo 326, apartado introducido por la disposición final segunda de esta Ley.

El Título II regula los certificados electrónicos. El artículo 4, apartado 1, establece que los certificados electrónicos se extinguen por caducidad, al expirar su período de vigencia, o mediante revocación por los prestadores de servicios electrónicos de confianza en los supuestos del artículo 5.

El apartado 2 fija que el período de vigencia de los certificados cualificados no será superior a cinco años, período que se determina en atención a las características y a la tecnología empleada para generar los datos de creación de firma, sello o autenticación de sitio web.

El artículo 5, apartado 1, enumera las causas de revocación de certificados electrónicos por los prestadores: solicitud del firmante, de la persona representada, de un tercero autorizado, del creador del sello o del titular del certificado de autenticación de sitio web (letra a); violación o puesta en peligro del secreto de los datos de creación de firma o sello, o utilización indebida por un tercero (letra b); resolución judicial o administrativa que lo ordene (letra c); fallecimiento del firmante, capacidad modificada judicialmente, extinción de la personalidad jurídica o disolución del creador del sello, o cambio o pérdida de control del nombre de dominio (letra d); terminación de la representación en certificados con atributo de representante, con obligación tanto del representante como del representado de solicitar la revocación (letra e); cese en la actividad del prestador, salvo transferencia de la gestión a otro prestador (letra f); descubrimiento de falsedad o inexactitud de los datos, o alteración posterior de las circunstancias verificadas (letra g); mecanismos criptográficos que no cumplan los estándares mínimos de seguridad (letra h); y cualquier otra causa lícita prevista en la declaración de prácticas del servicio (letra i).

El apartado 2 permite la suspensión de la vigencia en los supuestos de las letras a), c) y h), y en los casos de duda sobre las letras b) y g), siempre que la declaración de prácticas de certificación prevea esa posibilidad.

El apartado 3 obliga al prestador a comunicar al titular, de forma previa o simultánea a su indicación en el servicio de consulta sobre el estado de validez, la revocación o suspensión, especificando motivos, fecha y hora en que el certificado quedará sin efecto; en los casos de suspensión, la vigencia se extingue si transcurrido el plazo de duración de la suspensión el prestador no la hubiera levantado.

El artículo 6, apartado 1, letra a), establece que en los certificados de firma electrónica y de autenticación de sitio web expedidos a personas físicas, la identidad se consigna mediante nombre y apellidos junto con el Documento Nacional de Identidad, el número de identidad de extranjero o el número de identificación fiscal, o mediante un pseudónimo inequívoco; estos números solo pueden sustituirse por otro código identificativo si el titular carece de todos ellos por causa lícita, siempre que lo identifique de forma unívoca y permanente en el tiempo.

La letra b) del mismo apartado establece que en los certificados de sello electrónico y de autenticación de sitio web expedidos a personas jurídicas se consignan la denominación o razón social y el número de identificación fiscal; en defecto de este, un código identificativo unívoco y permanente según conste en los registros oficiales.

El apartado 2 exige que, si los certificados admiten una relación de representación, incluyan la identidad de la persona representada en las formas del apartado anterior, así como una indicación del documento, público si resulta exigible, que acredite las facultades del firmante, y de los datos registrales cuando la inscripción sea obligatoria.

El artículo 7, apartado 1, exige la personación física del solicitante de un certificado cualificado ante los encargados de verificarla, acreditada mediante Documento Nacional de Identidad, pasaporte u otros medios admitidos en Derecho; puede prescindirse de la personación si la firma en la solicitud ha sido legitimada en presencia notarial.

El apartado 2 habilita a que, mediante orden de la persona titular del Ministerio de Asuntos Económicos y Transformación Digital, se determinen otras condiciones y requisitos técnicos de verificación de la identidad a distancia, como la videoconferencia o la vídeo-identificación, siempre que aporten una seguridad equivalente a la presencia física, certificada por un organismo de evaluación de la conformidad.

El apartado 3 permite que la forma de identificación conste en el certificado; en otro caso, los prestadores deben colaborar entre sí para determinar cuándo se produjo la última personación.

El apartado 4 añade que, en certificados cualificados de sello electrónico y de firma con atributo de representante, debe comprobarse también la constitución y personalidad jurídica del representado y la vigencia de las facultades de representación, pudiendo emplearse los medios telemáticos del registro público correspondiente.

El apartado 5 exige acreditar mediante documentos oficiales otras circunstancias personales del solicitante, como la condición de titular de un cargo público, la pertenencia a un colegio profesional o la titulación.

El apartado 6 exime de repetir estas comprobaciones cuando la identidad ya constara al prestador por una relación preexistente identificada conforme al apartado 1, si no han transcurrido más de cinco años desde la identificación.

El apartado 7 encomienda al Ministerio de Asuntos Económicos y Transformación Digital velar por que los prestadores cualificados puedan contribuir a la elaboración de la norma reglamentaria del apartado 2, conforme al artículo 26.6 de la Ley 50/1997, de 27 de noviembre, del Gobierno.

El Título III regula las obligaciones y responsabilidad de los prestadores. El artículo 8, apartado 1, sujeta el tratamiento de los datos personales que precisen los prestadores y los órganos administrativos a la legislación aplicable en materia de protección de datos de carácter personal.

El apartado 2 obliga a los prestadores que consignen un pseudónimo en un certificado electrónico a constatar la verdadera identidad del titular y a conservar la documentación que la acredite.

El apartado 3 obliga a revelar dicha identidad cuando lo soliciten órganos judiciales u otras autoridades públicas en el ejercicio de funciones legalmente atribuidas, con sujeción a la legislación de protección de datos.

El artículo 9, apartado 1, impone a todos los prestadores publicar información veraz y acorde con la Ley y el Reglamento (UE) 910/2014 (letra a), y no almacenar ni copiar los datos de creación de firma, sello o autenticación de sitio web salvo en caso de gestión en nombre del titular, supuesto en el que deben utilizar sistemas y productos fiables y canales de comunicación seguros, y custodiar dichos datos frente a alteración, destrucción o acceso no autorizado (letra b).

El apartado 2 obliga a disponer de un servicio de consulta, accesible al público, sobre el estado de validez o revocación de los certificados emitidos.

El apartado 3 añade obligaciones exclusivas de los prestadores cualificados: conservar la información relativa a los servicios prestados durante 15 años desde la extinción del certificado o la finalización del servicio, registrando también la identidad de la persona física receptora en certificados de sello electrónico o autenticación de sitio web expedidos a personas jurídicas (letra a); constituir un seguro de responsabilidad civil por importe mínimo de 1.500.000 euros, salvo prestadores del sector público, incrementado en 500.000 euros por cada tipo de servicio cualificado adicional, sustituible por aval bancario o seguro de caución (letra b); comunicar el cese de actividad a los clientes y al órgano de supervisión con una antelación mínima de dos meses al cese efectivo (letra c); y enviar el informe de evaluación de la conformidad conforme al artículo 20.1 del Reglamento (UE) 910/2014, cuyo incumplimiento conlleva la retirada de la cualificación y la eliminación de la lista de confianza, previo requerimiento al prestador (letra d).

El artículo 10 hace responsables a los prestadores de servicios electrónicos de confianza frente a terceros por la actuación de las personas u otros prestadores en quienes deleguen la ejecución de funciones necesarias para la prestación del servicio, incluidas las comprobaciones de identidad previas a la expedición de un certificado cualificado.

El artículo 11, apartado 1, exime de responsabilidad por daños y perjuicios al prestador cuando el usuario incurra en alguno de los supuestos del Reglamento (UE) 910/2014 o en los siguientes: no haber proporcionado información veraz, completa y exacta cuando su inexactitud no fuera detectable actuando el prestador con la debida diligencia (letra a); no comunicar sin demora indebida modificaciones de las circunstancias reflejadas en el certificado (letra b); negligencia en la conservación de sus datos de creación de firma, sello o autenticación (letra c); no solicitar la suspensión o revocación en caso de duda sobre la confidencialidad de dichos datos (letra d); y utilizarlos tras la expiración del período de validez o tras la notificación de extinción o suspensión (letra e).

El apartado 2 exonera también al prestador si el destinatario actúa de forma negligente, entendiéndose por tal no tener en cuenta la suspensión o pérdida de vigencia del certificado, o no verificar la firma o sello electrónico.

El apartado 3 exime de responsabilidad por inexactitud de los datos del certificado cuando estos hayan sido acreditados mediante documento público u oficial, inscrito en un registro público si así resulta exigible.

El artículo 12 exime a los prestadores de servicios de confianza no cualificados de verificación administrativa previa para iniciar su actividad, pero les obliga a comunicarla al Ministerio de Asuntos Económicos y Transformación Digital en el plazo de tres meses desde que la inicien; el Ministerio publicará en su página web el listado de prestadores no cualificados, en lista diferenciada de la de prestadores cualificados, con descripción de las características de cada tipo. En el mismo plazo de tres meses deben comunicarse la modificación de los datos inicialmente transmitidos y el cese de actividad.

El artículo 13 regula las obligaciones de seguridad de la información: los prestadores cualificados y no cualificados deben notificar al Ministerio las violaciones de seguridad o pérdidas de integridad señaladas en el artículo 19.2 del Reglamento (UE) 910/2014, sin perjuicio de su notificación a la Agencia Española de Protección de Datos, a otros organismos relevantes o a los afectados (apartado 1); deben adoptar las medidas necesarias para resolver los incidentes que les afecten (apartado 2); y deben ampliar la información de la notificación inicial en el plazo máximo de un mes tras la notificación del incidente y, de haber tenido lugar, tras su resolución (apartado 3).

El Título IV regula la supervisión y el control. El artículo 14, apartado 1, designa al Ministerio de Asuntos Económicos y Transformación Digital como órgano de supervisión, encargado de controlar el cumplimiento del Reglamento (UE) 910/2014 y de esta Ley por los prestadores cualificados y no cualificados que ofrezcan servicios al público.

El apartado 2 faculta al Ministerio para acordar medidas apropiadas, dictar directrices para la elaboración y comunicación de informes, recomendaciones sobre obligaciones técnicas y de seguridad, y normas de auditoría y certificación, teniendo en cuenta las guías del Centro Criptológico Nacional y las especificaciones de la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA).

El artículo 15, apartado 1, atribuye al Ministerio las actuaciones inspectoras precisas para su función de supervisión y control, reconociendo a los funcionarios que las realicen la consideración de autoridad pública. El apartado 2 permite recurrir a entidades independientes y técnicamente cualificadas que asistan en la supervisión. El apartado 3 permite requerir pruebas en laboratorios o entidades especializadas, corriendo los prestadores con los gastos de esa evaluación.

El artículo 16, apartado 1, encomienda al Ministerio de Asuntos Económicos y Transformación Digital establecer, mantener y publicar la lista de confianza de los prestadores cualificados y de los servicios cualificados que prestan, conforme al artículo 22 del Reglamento (UE) 910/2014.

El apartado 2 fija en seis meses el plazo máximo para dictar y notificar resolución en el procedimiento de verificación previa de cumplimiento de requisitos, transcurrido el cual puede entenderse desestimada la solicitud. El apartado 3 establece que la revocación de la cualificación mediante retirada de la lista de confianza es independiente de la aplicación del régimen sancionador.

El artículo 17, apartado 1, obliga a los prestadores de servicios de confianza, a la entidad nacional de acreditación, a los organismos de evaluación de la conformidad y de certificación, y a cualquier otra persona relacionada, a facilitar al Ministerio toda la información y colaboración precisas, incluido el acceso a instalaciones y documentación para la inspección. El apartado 2 permite publicar la información de los prestadores cualificados en la web del Ministerio. El apartado 3 obliga a los prestadores cualificados a remitir, a más tardar el 1 de febrero de cada año, un informe sobre sus datos de actividad del año civil precedente. El apartado 4 obliga al Ministerio a informar a la Agencia Española de Protección de Datos en caso de infracción de las normas de protección de datos o de incidentes de seguridad con violación de datos personales.

El Título V regula las infracciones y sanciones. El artículo 18, apartado 1, clasifica las infracciones del Reglamento (UE) 910/2014 y de esta Ley en muy graves, graves y leves.

El apartado 2 tipifica como infracciones muy graves la reincidencia en una infracción grave de la misma naturaleza dentro de los dos años siguientes a la resolución sancionadora firme anterior (letra a), y la expedición de certificados cualificados sin realizar las comprobaciones previas de identidad o de representación cuando afecte a la mayoría de los certificados expedidos en el año anterior al inicio del procedimiento sancionador (letra b).

El apartado 3 tipifica quince infracciones graves, entre ellas: la resistencia, obstrucción, excusa o negativa a la actuación inspectora (letra a); actuar como prestador cualificado, ofrecer servicios como cualificados o usar la etiqueta de confianza «UE» sin haber obtenido la cualificación (letra b); almacenar o copiar indebidamente los datos de creación de firma, sello o autenticación de sitio web (letra c); no proteger dichos datos conforme al artículo 9.1.b) (letra d); no registrar o conservar la información del artículo 9.3.a) (letra e); incumplir la notificación de incidentes del artículo 19.2 del Reglamento en los términos del artículo 13 (letra f); no adoptar medidas suficientes para resolver incidentes de seguridad en el plazo de diez días desde que se produjeron (letra i); y prestar servicios cualificados careciendo del seguro obligatorio del artículo 9.3.b) (letra o).

El apartado 4 tipifica seis infracciones leves: publicar información no veraz o no acorde con la Ley y el Reglamento (letra a); no comunicar el inicio, modificación o cese de actividad en el plazo del artículo 12 (letra b); incumplir las obligaciones del artículo 24.2, letras a) e i), del Reglamento (letra c); incumplir la obligación de remitir el informe anual antes del 1 de febrero (letra d); incumplir el deber de comunicación del artículo 9.3.c) (letra e); y presentar de forma deficiente la información requerida por el Ministerio en su función de inspección y control (letra f).

El artículo 19, apartado 1, fija las multas: de 150.001 a 300.000 euros por infracciones muy graves (letra a); de 50.001 a 150.000 euros por infracciones graves (letra b); y de hasta 50.000 euros por infracciones leves (letra c).

El apartado 2 gradúa la cuantía dentro de cada tramo, en grado mínimo, medio y máximo, atendiendo a ocho criterios: el grado de culpabilidad o la intencionalidad; la continuidad o persistencia en la conducta infractora; la naturaleza y cuantía de los perjuicios causados; la reincidencia por comisión, en el término de un año, de más de una infracción de la misma naturaleza declarada por resolución firme; el volumen de facturación del prestador responsable; el número de personas afectadas; la gravedad del riesgo generado; y las acciones del prestador para paliar los efectos de la infracción.

El apartado 3 exige publicar en la web del Ministerio de Asuntos Económicos y Transformación Digital las resoluciones sancionadoras por infracciones muy graves, con indicación de los recursos interpuestos.

El artículo 19 bis regula el apercibimiento: los órganos con competencia sancionadora pueden, ante infracciones leves o graves, no iniciar el procedimiento sancionador y apercibir al responsable para que acredite en el plazo fijado la adopción de medidas correctoras (apartado 1); si el apercibimiento no se atiende en el plazo fijado, procede la apertura del procedimiento sancionador por dicho incumplimiento (apartado 2).

El artículo 20, apartado 1, atribuye la potestad sancionadora: para infracciones muy graves, a la persona titular del Ministerio de Asuntos Económicos y Transformación Digital; para infracciones graves y leves, a la persona titular de la Secretaría de Estado de Digitalización e Inteligencia Artificial. El apartado 2 remite el procedimiento a la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, con una duración máxima de nueve meses desde el acuerdo de iniciación, o de tres meses en el procedimiento simplificado.

La disposición adicional primera, sobre fe pública y servicios electrónicos de confianza, aclara que la Ley no sustituye ni modifica las normas que regulan las funciones de los funcionarios con facultad legal de dar fe en documentos, en el ámbito de sus competencias.

La disposición adicional segunda, referida a los efectos jurídicos de los sistemas utilizados en las Administraciones públicas, se dicta al amparo del artículo 149.1.18.ª de la Constitución, sobre la competencia estatal exclusiva en materia de bases del régimen jurídico de las Administraciones públicas y procedimiento administrativo común.

La disposición adicional tercera regula el Documento Nacional de Identidad electrónico, que permite acreditar electrónicamente la identidad personal de su titular conforme al artículo 8 de la Ley Orgánica 4/2015, de 30 de marzo, y la firma electrónica de documentos (apartado 1); obliga a reconocer su eficacia para acreditar la identidad y los datos personales del titular, y la identidad e integridad de los documentos firmados (apartado 2); somete a los órganos del Ministerio del Interior competentes en su expedición a las obligaciones que la Ley impone a los prestadores que expiden certificados cualificados (apartado 3); y remite, en lo demás, a su normativa específica (apartado 4).

La disposición adicional cuarta preserva, respecto de las obligaciones de los artículos 7 y 8, el secreto sobre la identidad de los miembros del Centro Nacional de Inteligencia previsto en la Ley 11/2002, de 6 de mayo.

La disposición transitoria primera obliga a los prestadores de servicios no cualificados que ya vinieran prestando servicios a comunicar su actividad al Ministerio de Asuntos Económicos y Transformación Digital en el plazo de tres meses desde la entrada en vigor de la Ley, salvo que ya la hubieran comunicado con anterioridad.

La disposición transitoria segunda mantiene en vigor el Real Decreto 1553/2005, de 23 de diciembre, sobre expedición del Documento Nacional de Identidad y sus certificados de firma electrónica, hasta que se desarrolle reglamentariamente el nuevo Documento Nacional de Identidad.

La disposición derogatoria deroga cuantas disposiciones de igual o inferior rango se opongan a la Ley, y en particular: la Ley 59/2003, de 19 de diciembre, de firma electrónica (letra a); el artículo 25 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, referido a los terceros de confianza (letra b); y la Orden del Ministerio de Fomento de 21 de febrero de 2000, por la que se aprueba el Reglamento de acreditación de prestadores de servicios de certificación y de certificación de determinados productos de firma electrónica (letra c).

La disposición final primera modifica el apartado 1 del artículo 2 de la Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información, obligando a las empresas que presten servicios al público de especial trascendencia económica a facilitar un medio seguro de interlocución telemática para: la contratación electrónica y la modificación, finalización o rescisión de contratos (letra a); la consulta de datos de cliente, incluido el historial de facturación de al menos los últimos tres años y el contrato suscrito (letra b); la presentación de quejas, incidencias, sugerencias y reclamaciones, con constancia de su presentación y atención personal directa (letra c); y el ejercicio de los derechos de acceso, rectificación, cancelación y oposición en materia de protección de datos (letra d).

La disposición final segunda modifica el artículo 326 de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil: el apartado 3 remite al apartado 2 del mismo artículo y al Reglamento (UE) 910/2014 cuando se impugne un documento electrónico con servicio de confianza no cualificado; el nuevo apartado 4 establece que, si se utilizó un servicio de confianza cualificado que figurase en la lista de confianza en el momento relevante, se presume que el documento reúne la característica cuestionada, correspondiendo la carga de la comprobación a quien impugne; si el resultado es negativo, las costas y gastos de la comprobación son a su cargo, y si la impugnación fue temeraria, el tribunal puede imponer una multa de 300 a 1.200 euros.

La disposición final tercera modifica la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico: introduce un nuevo artículo 12 ter sobre portabilidad de datos no personales, que obliga a los proveedores de servicios de intermediación a remitir a los usuarios, a su solicitud, los contenidos facilitados en formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro proveedor si es técnicamente posible; modifica el artículo 35.1 para atribuir al Ministerio el control del cumplimiento del Reglamento (UE) 2019/1150 sobre equidad y transparencia para usuarios profesionales de servicios de intermediación en línea; introduce el artículo 36 bis sobre el deber de comunicación de las organizaciones representativas de usuarios profesionales; añade doce nuevas letras (j a u) al artículo 38.3 y diez nuevas letras (j a s) al artículo 38.4, tipificando como infracciones graves o leves, respectivamente, los incumplimientos habituales o no habituales de las obligaciones del Reglamento (UE) 2019/1150; y reforma el artículo 43 sobre competencia sancionadora, atribuyéndola al Ministerio de Asuntos Económicos y Transformación Digital para infracciones muy graves, a la Secretaría de Estado de Digitalización e Inteligencia Artificial para graves y leves, y a la Agencia Española de Protección de Datos para las infracciones tipificadas en los artículos 38.3, letras c), d) e i), y 38.4, letras d), g) y h). Esta misma disposición final tercera añade una disposición adicional séptima a la Ley 34/2002, conforme a la cual el incumplimiento de la prohibición de discriminación del Reglamento (UE) 2018/302, sobre bloqueo geográfico injustificado, se reputa desleal a los efectos de la Ley 3/1991, de 10 de enero, de Competencia Desleal.

La disposición final cuarta modifica la Ley 17/2009, de 23 de noviembre, sobre el libre acceso a las actividades de servicios y su ejercicio.

La disposición final quinta contiene el título competencial: la Ley se dicta al amparo de las competencias exclusivas del Estado en materia de legislación civil, telecomunicaciones y seguridad pública, conforme al artículo 149.1.8.ª, 21.ª y 29.ª de la Constitución Española; el artículo 3 y la disposición adicional segunda se dictan al amparo del artículo 149.1.18.ª de la Constitución, sobre las bases del régimen jurídico de las Administraciones públicas y el procedimiento administrativo común.

La disposición final sexta habilita al Gobierno para dictar las disposiciones reglamentarias precisas para el desarrollo y aplicación de la Ley.

La disposición final séptima establece la entrada en vigor de la Ley al día siguiente al de su publicación en el Boletín Oficial del Estado. La Ley fue sancionada en Madrid el 11 de noviembre de 2020 por el Rey Felipe VI, siendo Presidente del Gobierno Pedro Sánchez Pérez-Castejón.

• Vigencia máxima de los certificados cualificados: 5 años (art. 4.2)
• Multas: muy graves de 150.001 a 300.000 euros, graves de 50.001 a 150.000 euros, leves hasta 50.000 euros (art. 19.1)
• Seguro de responsabilidad civil de los prestadores cualificados: mínimo 1.500.000 euros, más 500.000 euros por cada servicio cualificado adicional (art. 9.3.b)
• Conservación de la información de los servicios prestados por prestadores cualificados: 15 años desde la extinción del certificado o la finalización del servicio (art. 9.3.a)
• Plazo de comunicación de inicio de actividad de los prestadores no cualificados: 3 meses desde que la inician (art. 12)
• Plazo de comunicación del cese de actividad de un prestador cualificado: mínimo 2 meses de antelación (art. 9.3.c)
• Plazo máximo de resolución del procedimiento de verificación previa para la lista de confianza: 6 meses (art. 16.2)
• Duración máxima del procedimiento sancionador: 9 meses, o 3 meses en el procedimiento simplificado (art. 20.2)
• Órgano de supervisión: Ministerio de Asuntos Económicos y Transformación Digital (art. 14.1)
• Potestad sancionadora: infracciones muy graves, titular del Ministerio; graves y leves, titular de la Secretaría de Estado de Digitalización e Inteligencia Artificial (art. 20.1)
• Ley derogada por esta norma: Ley 59/2003, de 19 de diciembre, de firma electrónica (disposición derogatoria, letra a)
• Multa por impugnación temeraria de un documento electrónico ante los tribunales: de 300 a 1.200 euros (disposición final segunda, nuevo art. 326.4 LEC)
• Plazo del informe anual de actividad de los prestadores cualificados: antes del 1 de febrero de cada año (art. 17.3)
• Entrada en vigor: al día siguiente de su publicación en el BOE (disposición final séptima)