26 NORMAS LEGALES Sábado 4 de marzo de 2017 / El Peruano Aprueban el Reglamento de Infracciones y Sanciones aplicable a los Prestadores de Servicios de Certificación Digital RESOLUCIÓN DE LA PRESIDENCIA DEL CONSEJO DIRECTIVO DEL INDECOPI Nº 39-2017-INDECOPI/COD Lima, 28 de febrero de 2017 CONSIDERANDO: Que, el artículo 4 de la Ley de Organización y Funciones del INDECOPI, aprobada por el Decreto Legislativo Nº 1033, y el artículo 4 del Reglamento de sábado, marzo 04, 2017

26 NORMAS LEGALES Sábado 4 de marzo de 2017 / El Peruano Aprueban el Reglamento de Infracciones y Sanciones aplicable a los Prestadores de Servicios de Certificación Digital
RESOLUCIÓN DE LA PRESIDENCIA DEL CONSEJO DIRECTIVO DEL INDECOPI Nº 39-2017-INDECOPI/COD
Lima, 28 de febrero de 2017
CONSIDERANDO:

Que, el artículo 4 de la Ley de Organización y Funciones del INDECOPI, aprobada por el Decreto Legislativo Nº 1033, y el artículo 4 del Reglamento de Organización y Funciones del INDECOPI, aprobado por el Decreto Supremo Nº 009-2009-PCM y modificado por el Decreto Supremo Nº 107-2012-PCM, establecen que el Consejo Directivo es el órgano de máxima jerarquía institucional;

Que, el literal l) del artículo 5 de la Ley de Organización y Funciones del INDECOPI, aprobada por el Decreto Legislativo Nº 1033, y el literal o) del artículo 5 del Reglamento de Organización y Funciones del INDECOPI, aprobado por el Decreto Supremo Nº 009-2009-PCM y modificado por el Decreto Supremo Nº 107-2012-PCM, establecen como funciones del Consejo Directivo del INDECOPI, además de las expresamente establecidas en la referida Ley, aquellas otras que le sean encomendadas por normas sectoriales y reglamentarias;

Que, la Quinta Disposición Complementaria Final de la Ley Nº 30224, estableció que el INDECOPI administrará la Infraestructura Oficial de Firma Electrónica (IOFE)
hasta que mediante decreto supremo, se establezca la entidad administrativa que asumirá dicha competencia;

Que, el artículo 15-A de la Ley Nº 27269, Ley de Firmas y Certificados Digitales, estableció que la autoridad administrativa competente tiene la facultad de tipificar las infracciones por incumplimiento de lo establecido en la referida Ley, su Reglamento y las Guías de Acreditación de la Autoridad Administrativa Competente;

Que, asimismo, el último párrafo del artículo 15-A de la Ley Nº 27269, Ley de Firmas y Certificados Digitales, precisó que la autoridad administrativa competente aprobará el correspondiente reglamento de infracciones y sanciones que comprenda la tipificación de las infracciones administrativas, el procedimiento administrativo sancionador y la escala de sanciones correspondientes;

Que, el último párrafo del artículo 57 del Reglamento de la Ley de Firmas y Certificados Digitales, aprobado por Decreto Supremo Nº 052-2008-PCM designó al INDECOPI como Autoridad Administrativa Competente;

Que, el literal r) del artículo 57 del Reglamento de la Ley de Firmas y Certificados Digitales, aprobado por Decreto Supremo Nº 052-2008-PCM, señala que la Autoridad Administrativa Competente, esto es INDECOPI, tiene la función de elaborar el Reglamento de infracciones y sanciones a los usuarios finales y los procedimientos correspondientes en caso de incumplimiento por parte de los Prestadores de Servicios de Certificación Digital de lo establecido en la Ley, el presente Reglamento y en los Reglamento y Guías de Acreditación de la Autoridad Administrativa Competente;

Que, de conformidad con lo expuesto, se advierte que el Consejo Directivo del INDECOPI es el órgano encargado de aprobar el Reglamento de Infracciones y Sanciones de los Prestadores de Servicios de Certificación Digital;

Estando al Acuerdo Nº 023-2017 adoptado por el Consejo Directivo de la Institución en sesión de fecha 27 de febrero de 2017; y, De conformidad con lo establecido en los literales f) y h) del numeral 7.3 del artículo 7 de la Ley de Organización y Funciones del INDECOPI, aprobada por el Decreto Legislativo Nº 1033;

RESUELVE:

Artículo 1º.- Aprobar el Reglamento de Infracciones y Sanciones aplicable a los Prestadores de Servicios de Certificación Digital, el cual forma parte integrante de la presente Resolución.

Artículo 2º.- Disponer que el Reglamento de Infracciones y Sanciones aplicable a los Prestadores de Servicios de Certificación Digital entre en vigencia a partir del día siguiente de su publicación en el Diario Oficial "El Peruano".

Regístrese, comuníquese y publíquese.

IVO GAGLIUFFI PIERCECHI
Presidente del Consejo Directivo
REGLAMENTO DE INFRACCIONES Y SANCIONES
DE LOS PRESTADORES DE SERVICIOS
DE CERTIFICACIÓN DIGITAL
TÍTULO I
DISPOSICIONES GENERALES
Artículo 1º.- Objeto.

El presente Reglamento regula el procedimiento, los criterios y los requisitos para la aplicación de la potestad sancionadora de la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica (en adelante, La Comisión) sobre los Prestadores de Servicios de Certificación Digital acreditados y/o reconocidos en dicha Infraestructura, tipificando las conductas constitutivas de infracción.

Artículo 2º.- Ámbito de Ampliación.

2.1 Se considera infracción a toda conducta u omisión que se encuentre tipificado como tal en los Cuadros Nº 1; 2; 3 y 4; que forman parte del Anexo 01 del presente Reglamento. Asimismo, las infracciones pueden ser calificadas como leves, graves y muy graves.

2.2 La potestad sancionadora de La Comisión se ejerce contra aquellos que al momento de incurrir en la infracción cuenten con la acreditación o el reconocimiento otorgada por la Comisión, pese a que con posterioridad la acreditación o el reconocimiento haya sido cancelada, expirada, suspendida o estuvieran inhabilitados.

Artículo 3º. - Alcance.

Están sujetos al presente Reglamento:

3.1. Los Prestadores de Servicios de Certificación Digital debidamente acreditados por la Comisión o por el órgano funcional que la antecedió en sus funciones, la Comisión de Normalización y de Fiscalización de Barreras Comerciales no Arancelarias -CNB-.

3.2. Los Prestadores de Servicios de Certificación Digital reconocidos por la CNB o por la CFE en el marco de lo dispuesto por los Decretos Supremos Nº 070-2012-PCM, Nº 105-2012-PCM y Nº 026-2016-PCM o por cualquier régimen transitorio que pudiera aprobarse.

En lo sucesivo, cualquier referencia a los Prestadores de Servicios de Certificación Digital debe entenderse tanto a los acreditados como a los reconocidos.

27 NORMAS LEGALES
Sábado 4 de marzo de 2017
El Peruano /
TÍTULO II
DE LOS ÓRGANOS
Artículo 4º.- Entidad competente.

La determinación de la existencia de infracción, así como la imposición de la sanción correspondiente constituye una competencia funcional de La Comisión.

Artículo 5º.- Órgano Instructor.

La Secretaria Técnica de la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica es responsable de llevar a cabo las actuaciones conducentes a la determinación de la infracción, observando el derecho de defensa y el debido procedimiento administrativo. Dicha Secretaría Técnica cuenta con las atribuciones contenidas en la Ley de Organización y Funciones Del INDECOPI, en el Reglamento de Organización y Funciones del INDECOPI, así como en el Decreto Legislativo Nº 807, Ley sobre Facultades, Normas y Organización del INDECOPI, y demás normas que sean aplicables.

TÍTULO III
DEL PROCEDIMIENTO
ADMINISTRATIVO SANCIONADOR
Artículo 6º- Actuaciones previas e inicio del procedimiento.

Luego de recibido el informe de la Secretaría Técnica dando cuenta de la existencia de posibles indicios de la comisión de una o más infracciones por parte de uno o más Prestadores de Servicios de Certificación Digital, La Comisión evaluará el informe y determinará si corresponde el inicio de un procedimiento administrativo sancionador.

Si lo considerase necesario, La Comisión dispondrá la realización de actuaciones previas de investigación o inspección, por un plazo no mayor de veinte (20) días hábiles.

Previamente a la emisión del informe por el cual se pone en conocimiento de La Comisión la existencia de posibles indicios de la ocurrencia de una infracción, la Secretaria Técnica podrá realizar las investigaciones necesarias a fin de determinar la existencia de tales indicios, sin perjuicio de que la Comisión disponga la realización de investigaciones adicionales.

Concluidas las actuaciones previas, se iniciará el procedimiento sancionador mediante Resolución Administrativa, o se adoptarán las acciones a que hubiera lugar en caso que no corresponda su iniciación.

Artículo 7º.- Contenido de la Resolución Administrativa que da inicio al procedimiento.

La Resolución Administrativa que da inicio al procedimiento contendrá la siguiente información:

7.1 Los actos u omisiones que se imputan a título de cargos, consignando las infracciones que tales actos u omisiones pueden configurar.

7.2 Las sanciones que, en su caso, se pudieran imponer.

7.3 El órgano competente para imponer la sanción.

7.4 El plazo para la presentación de descargos, así como la posibilidad de prorrogarlo cuando corresponda y, 7.5 Otros datos o información que resultara necesaria para el procedimiento.

Artículo 8º.- Presentación de descargos.

Los descargos deberán hacerse por escrito y contener la exposición ordenada de los hechos, fundamentos legales y medios probatorios que contradigan o desvirtúen los cargos materia del procedimiento. Deben ser presentados dentro de los cinco (05) días hábiles siguientes a la notificación del inicio del procedimiento sancionador, más el término de la distancia.

De modo excepcional, dicho período puede ser ampliado a solicitud del Prestador de Servicios de Certificación Digital en los términos señalados en el artículo 41º del Decreto Legislativo Nº 807.

Artículo 9º.- Desarrollo del procedimiento.

La Secretaría Técnica realizará las actuaciones que sean necesarias, evaluará los medios probatorios aportados y los descargos presentados por el Prestador de Servicios de Certificación Digital, y convocará a informe oral al Prestador cuando La Comisión lo estime necesario para la dilucidación de los hechos. Al cabo la Secretaría Técnica emitirá un informe sobre la existencia o inexistencia de infracciones y propondrá a la Comisión las sanciones que correspondan.

Artículo 10º.- Contenido de las resoluciones que ponen término al procedimiento sancionador.

Las Resoluciones Administrativas que ponen término al procedimiento sancionador deberán contener, por lo menos, la siguiente información:

10.1. El número y fecha de la Resolución.

10.2. La determinación de los hechos constitutivos de infracción y las normas infringidas.

10.3. La individualización de los Prestadores de Servicios de Certificación Digital, debidamente identificados.

10.4. La descripción de los descargos y su correspondiente análisis.

10.5. La motivación de la resolución en proporción al contenido y conforme al ordenamiento jurídico.

10.6. Las sanciones que correspondan aplicar o la declaración de inexistencia de infracción.

10.7. La instancia administrativa que emite la resolución.

10.8. La expresión clara y precisa de lo que se ordena cumplir, según sea el caso, y el plazo para tal efecto.

Artículo 11º.- Recurso contra la resolución.

Contra la Resolución Administrativa que impone sanciones procede la apelación ante el Tribunal de Defensa de la Competencia y de la Propiedad Intelectual, la que se interpondrá ante La Comisión en el plazo de quince (15) días hábiles contado a partir del día siguiente a la fecha de la notificación de la Resolución sancionadora.

TÍTULO IV
DETERMINACIÓN DE INFRACCIONES
Artículo 12º.- Tipos de sanciones.

Con arreglo al artículo 15-A de la Ley de Firmas y Certificados Digitales, incorporado mediante la Segunda Disposición Complementaria Modificatoria de la Ley Nº 30224, los Prestadores de Servicios de Certificación Digital podrán ser sancionados administrativamente con multas pecuniarias, suspensión temporal de la acreditación, y cancelación definitiva de la misma.

Artículo 13º.- Graduación de las Infracciones:

Leves, Graves y Muy Graves.

La tipificación de las infracciones se presenta en los Cuadros Nº 1, 2, 3 y 4 que forman parte del Anexo 01 del presente reglamento.

TÍTULO V
DE LAS SANCIONES
CAPÍTULO I
OBJETIVOS, ESCALAS Y LÍMITES
DE LAS SANCIONES
Artículo 14º.- Objetivos de la sanción.

La sanción tiene como objetivos:
a. Orientar la conducta de los Prestadores de Servicios de Certificación Digital, a fin de que cumplan a cabalidad con las obligaciones inherentes a la acreditación.
b. Disuadir comportamientos que atenten contra el cumplimiento de las obligaciones inherentes a la acreditación.

28 NORMAS LEGALES
Sábado 4 de marzo de 2017 / El Peruano Artículo 15º.- Escala de sanciones para los Prestadores de Servicios de Certificación Digital.

Los Prestadores de Servicios de Certificación Digital que incurran en alguna de las infracciones tipificadas recibirán la sanción que corresponda según el Anexo 01 del presente Reglamento.

Cuando en un período de dos (02) años se imponga a un Prestador de Servicios de Certificación Digital dos (02) o más sanciones que en conjunto sumen veinticuatro (24) meses o más de suspensión temporal, una siguiente infracción grave será sancionada con la cancelación definitiva de la acreditación.

Artículo 16º.- Ejecución de Sanciones. Una vez que la Resolución que impone la sanción haya quedado firme o causado estado, la Comisión dispondrá la ejecución de las sanciones en la siguiente forma:
a. En el caso de multas, se remitirá copia del cargo de notificación de la Resolución al Área de Ejecución Coactiva.
b. En el caso de suspensión o cancelación, la Comisión dispondrá que la Secretaria Técnica retire temporal o definitivamente del Registro Oficial de Prestadores Acreditados.

CAPÍTULO II
CRITERIOS PARA EXIMIR, IMPONER
y REDUCIR SANCIONES
Artículo 17º.- Criterios de graduación para la aplicación de la sanción.

Para el cálculo de las multas aplicables, se tomarán en cuenta los siguientes criterios:

17.1. Agravantes.
• Obstrucción o directa negativa a prestar colaboración durante la investigación.
• Reincidencia o incumplimiento reiterado.

17.2. Atenuantes.
• Reparación voluntaria del daño causado.
• Subsanación de la conducta infractora durante el procedimiento.
• Reconocimiento expreso de responsabilidad.

El efecto de los criterios agravantes o atenuantes sobre la sanción final se detalla en el Anexo 01 del presente Reglamento.

Artículo 18º.- Subsanación de la conducta infractora durante el procedimiento.

Si los indicios que motivasen el inicio del procedimiento sancionador se refiriesen a una infracción de carácter leve y el Prestador corrigiese su conducta dentro de los cinco (05) días posteriores a la fecha de notificación de la Resolución de inicio del procedimiento, será eximido de sanción, salvo que tenga antecedentes de infracciones inscritas en el Registro al que alude el artículo 22º del presente Reglamento.

Artículo 19º.- Reiteración.

Se considerará agravante el hecho de que el Prestador tenga antecedentes de infracciones de la misma gravedad a la imputada.

Artículo 20º.- Persistencia en el incumplimiento de obligaciones.

Si los hechos u omisiones que hubieran motivado la imposición de una sanción persisten luego de los treinta (30) días calendarios posteriores a la fecha en que la misma haya quedado firme o causado estado en vía administrativa, podrá imponerse una nueva sanción.

Artículo 21º.- Reducción de la Multa.

Cuando el Prestador de Servicios de Certificación Digital sancionado por una infracción leve pague el cincuenta por ciento (50%) de la multa dentro de los quince (15) días hábiles posteriores a la notificación de la Resolución sancionadora, se dará por cancelada la totalidad de la multa, siempre que el Prestador no apele la resolución que le impuso la multa.

Cuando el Prestador de Servicios de Certificación Digital sancionado por una infracción grave pague el setenta por ciento (70%) de la multa dentro de los quince (15) días hábiles posteriores a la notificación de la Resolución sancionadora, se dará por cancelada la totalidad de la multa, siempre que el Prestador no apele la resolución que le impuso la multa.

Cuando el Prestador de Servicios de Certificación Digital sancionado por una infracción muy grave pague el ochenta y cinco por ciento (85%) de la multa dentro de los quince (15) días hábiles posteriores a la notificación de la Resolución sancionadora, se dará por cancelada la totalidad de la multa, siempre que el Prestador no apele la resolución que le impuso la multa.

Artículo 22º- Registro de Prestadores de Servicios de Certificación Digital Sancionados.

En el Registro de Prestadores de Servicios de Certificación Digital Sancionados se anotará el nombre completo del Prestador de Servicios de Certificación Digital, la infracción cometida, la sanción impuesta, la identificación y fecha de las Resoluciones Administrativas de carácter firme que impongan sanciones, y la fecha de cancelación del íntegro de las multas. El asiento quedará registrado por el lapso de dos años contados a partir del día siguiente a la notificación de la Resolución Administrativa sancionadora firme.

TÍTULO VI
DISPOSICIÓN COMPLEMENTARIA FINAL
Única. - Aplicación supletoria.

En todo lo no previsto en el presente Reglamento, se aplica en forma supletoria lo establecido en la Ley del Procedimiento Administrativo General, Ley Nº 27444.

ANEXO 01
Aplicación para la Graduación de Sanciones Para la determinación de multas en cada caso se deberá utilizar la siguiente fórmula:
ܯݑ݈ݐܽൌ ܦ ݌ כቌͳ൅෍ܨ ௜ ௜ୀ଻ ௜ୀଵ ቍ En donde:

D = Gravedad del daño ocasionado, es el valor expresado en UIT obtenido de los dos (02) componentes, que se señalan a continuación:

D = D
b * F
t - D
b = Valor del daño base, monto expresado en UIT el cual representa la afectación que genera de manera real o potencial la infracción. Considerando que el tope máximo establecido para las multas en materia de Firmas Digitales es de 50 UIT y que los factores agravantes pueden hasta duplicar la multa, se establece el daño base según se califique con los valores establecidos en los factores de gravedad de cada infracción (Ver Cuadro Nº 1, 2, 3 y 4).
- F
t = Factor tamaño de la empresa, el cual incorpora el tamaño del agente materia de incumplimiento (Ver Cuadro Nº 5).
p = Probabilidad de detección, recoge la percepción que tiene el agente infractor sobre la posibilidad que pueda ser detectado por la administración, lo cual está relacionado con la capacidad y el esfuerzo que realiza el Estado para detectar el incumplimiento. Debido a que la cantidad de proveedores están concentrados en una escala menor, con respecto a las otras empresas del mercado, la posibilidad que se puede detectar alguna infracción en el marco de la presente ley es muy alta, en tal sentido se establece que la probabilidad de detección asciende a 1.

F = Factores agravantes y/o atenuantes, la presente variable es la suma de los valores individuales que se asignen a cada factor establecido. Cada factor plantea distintos escenarios a los que se asocia un determinado porcentaje de agravación y/o atenuación; los factores agravantes pueden incluso duplicar la multa, en tanto los factores atenuantes puede reducir hasta en un 80% en valor de la multa base en relación a los criterios expuestos en el Cuadro Nº 6.

29 NORMAS LEGALES
Sábado 4 de marzo de 2017
El Peruano / Cuadro Nº 1
Infracciones y sanciones base por tipo de infracción Entidades de Certificación
I. DE LAS ENTIDADES DE CERTIFICACIÓN TIPO DE INFRACCIÓN
FACTOR
GRAVEDAD (UIT)
No emitir certificados digitales manteniendo una secuencia correlativa en el número de serie. LEVE 10
No reconocer certificados digitales emitidos por entidades de certificación extranjeras que hayan sido incorporadas por reconocimiento a la Infraestructura Oficial.

LEVE 10
No cumplir con los requerimientos de la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica en lo referente a la Política de Certificación, Declaración de Prácticas de Certificación, Política de Seguridad, Política de Privacidad y Plan de Privacidad.

Estos documentos deberán ser aprobados por la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica dentro del procedimiento de acreditación y de los seguimientos anuales.

GRAVE 19
No informar a los usuarios de todas las condiciones de emisión y de uso de sus certificados digitales, incluyendo las referidas a la cancelación de éstos.

LEVE 15
No mantener el control y la reserva de la clave privada que emplea para firmar digitalmente los certificados digitales que emite.

MUY GRAVE 25
No mantener la debida diligencia y cuidado respecto a la clave privada de la Entidad de Certificación, estando en la obligación de comunicar inmediatamente a la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica cualquier potencial o real compromiso de la clave privada.

MUY GRAVE 24
No mantener depósito de los certificados digitales emitidos y cancelados, consignando su fecha de emisión y vigencia.

GRAVE 16
Almacenar las claves privadas de los usuarios finales. MUY GRAVE 24
No cancelar el certificado digital pese a suscitarse alguna de las causales establecidas en el artículo 17º del Reglamento de la Ley de Firmas y Certificados Digitales; y, No estipular en los contratos de los titulares y suscriptores las causales y condiciones bajo las cuales deba efectuarse la cancelación del certificado.

MUY GRAVE 25
No mantener la confidencialidad de la información relativa a los titulares y suscriptores de certificados digitales o no limitar su empleo a las necesidades propias del servicio de certificación.

MUY GRAVE 22
No mantener la información relativa a los certificados digitales, por un período mínimo de diez (10) años a partir de su cancelación.

LEVE 15
No cumplir los términos bajo los cuales obtuvo la acreditación, así como los requerimientos adicionales que establezca la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica conforme a lo establecido en el Reglamento.

MUY GRAVE 22
No informar a la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica respecto de acuerdos de certificación cruzada que proyecte celebrar, así como los términos bajo los cuales dichos acuerdos se suscribirían.

GRAVE 17
No solicitar autorización a la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica respecto de acuerdos de certificación cruzada que proyecte celebrar, así como los términos bajo los cuales dichos acuerdos se suscribirían.

GRAVE 17
No informar a la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica para efectos del reconocimiento de certificados emitidos por entidades extranjeras.

GRAVE 20
No solicitar autorización a la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica para efectos del reconocimiento de certificados emitidos por entidades extranjeras.

GRAVE 17
No cumplir con las disposiciones de la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica a que se refiere el artículo 27 del presente Reglamento.

LEVE 13
No brindar todas las facilidades al personal autorizado por la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica para efectos de supervisión y auditoría.

MUY GRAVE 22
No demostrar que los controles técnicos que emplea son adecuados y efectivos a través de la verificación independiente del cumplimiento de los requisitos especificados en el estándar WebTrust for Certification Authorities y la obtención del sello de Webtrust.

GRAVE 18
No acreditar domicilio en el país durante las supervisiones que lleve a cabo la AAC. MUY GRAVE 22
30 NORMAS LEGALES
Sábado 4 de marzo de 2017 / El Peruano Cuadro Nº 2
Infracciones y sanciones base por tipo de infracción Entidades de Registro o Verificación
II. DE LAS ENTIDADES DE REGISTRO O VERIFICACIÓN
TIPO DE
INFRACCIÓN
FACTOR
GRAVEDAD (UIT)
No identificar a los titulares y/o suscriptores del certificado digital contenidas en sus políticas de registro o verificación, declaración de prácticas de registro, verificación, política de seguridad y política y plan de privacidad.

MUY GRAVE 23
No aprobar las solicitudes de emisión, modificación, re-emisión, suspensión o cancelación de certificados digitales, comunicándolo a la respectiva Entidad de Certificación, según se encuentre estipulado en la correspondiente Declaración de Prácticas de Certificación.

MUY GRAVE 22
No denegar las solicitudes de emisión, modificación, re-emisión, suspensión o cancelación de certificados digitales, comunicándolo a la respectiva Entidad de Certificación, según se encuentre estipulado en la correspondiente Declaración de Prácticas de Certificación.

GRAVE 20
No cumplir con los requerimientos de la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica respecto de la Política de Registro o Verificación, Declaración de Prácticas de Registro o Verificación, Política de Seguridad y Política y Plan de Privacidad. Estos documentos deberán ser aprobados por la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica dentro del procedimiento de acreditación.

MUY GRAVE 23
No determinar objetivamente y en forma directa la veracidad de la información proporcionada por los solicitantes del certificado digital, bajo su responsabilidad.

MUY GRAVE 24
No mantener la confidencialidad de la información relativa a los suscriptores y titulares de certificados digitales, limitando su empleo a las necesidades propias del servicio de registro o verificación, salvo orden judicial o pedido del titular o suscriptor del certificado digital, según sea el caso, realizado mediante un mecanismo que garantice el no repudio, debiendo respetar para tales efectos los lineamientos establecidos por la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica en la Norma Marco sobre Privacidad.

MUY GRAVE 23
No recoger únicamente información o datos personales de relevancia para la emisión de los certificados.

GRAVE 17
No acreditar domicilio en el país durante las supervisiones que lleve a cabo la AAC. MUY GRAVE 22
No cumplir con las disposiciones de la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica a que se refiere el artículo 31 del presente Reglamento.

LEVE 15
No brindar todas las facilidades al personal autorizado por la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica para efectos de supervisión y auditoría.

MUY GRAVE 22
No informar a los usuarios de todas las condiciones para la prestación de sus servicios. GRAVE 18
Cuadro Nº 3
Infracciones y sanciones base por tipo de infracción Prestadores de Servicios de Valor Añadido
III. DE LOS PRESTADORES DE SERVICIOS DE VALOR AÑADIDO
TIPO DE
INFRACCIÓN
FACTOR
GRAVEDAD (UIT)
No participar en la transmisión o envío de documentos electrónicos firmados digitalmente, siempre que el usuario lo haya solicitado expresamente.

GRAVE 17
No certificar los documentos electrónicos con fecha y hora cierta (Sellado de Tiempo) o en el almacenamiento de tales documentos, aplicando medios que garanticen la integridad y no repudio de los datos de origen y recepción (Sistema de Intermediación Digital).

GRAVE 19
No almacenar los documentos electrónicos con fecha y hora cierta (Sellado de Tiempo) aplicando medios que garanticen la integridad y no repudio de los datos de origen y recepción (Sistema de Intermediación Digital).

GRAVE 17
No generar certificados de autenticación a los usuarios que lo soliciten. LEVE 11
No cumplir con los requerimientos de la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica respecto de la Política de Valor Añadido, Declaración de Prácticas de Servicios de Valor Añadido, Política de Seguridad, Política y Plan de Privacidad. Estos documentos deberán ser aprobados por la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica dentro del procedimiento de acreditación.

GRAVE 18
No informar a los usuarios de todas las condiciones para la prestación de sus servicios. LEVE 14
31 NORMAS LEGALES
Sábado 4 de marzo de 2017
El Peruano /
III. DE LOS PRESTADORES DE SERVICIOS DE VALOR AÑADIDO
TIPO DE
INFRACCIÓN
FACTOR
GRAVEDAD (UIT)
No mantener la confidencialidad de la información relativa a los usuarios de los servicios, limitando su empleo a las necesidades propias del servicio de valor añadido prestado, salvo orden judicial o pedido del usuario utilizando medios que garanticen el no repudio, debiendo respetar para tales efectos los lineamientos establecidos en la Norma Marco sobre Privacidad.

MUY GRAVE 23
No tener operativo software, hardware y demás componentes adecuados para la prestación de servicios de valor añadido y las condiciones de seguridad adicionales basadas en estándares internacionales o compatibles a los internacionalmente vigentes que aseguren la interoperabilidad y las condiciones exigidas por la Autoridad Administrativa Competente.

MUY GRAVE 22
Incumplir los términos bajo los cuales obtuvo la acreditación, así como los requerimientos adicionales que establezca la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica conforme a lo establecido en el presente Reglamento.

MUY GRAVE 21
Incumplir con las disposiciones de la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica a que se refiere el artículo 38 del presente Reglamento.

LEVE 15
No brindar todas las facilidades al personal autorizado por la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica para efectos de supervisión y auditoría.

MUY GRAVE 22
No informar a los usuarios de todas las condiciones para la prestación de sus servicios. LEVE 15
No acreditar domicilio en el país durante las supervisiones que lleve a cabo la AAC. MUY GRAVE 22
Cuadro Nº 4
Infracciones y sanciones base por tipo de infracción Software de Firma Digital
IV. DEL SOFTWARE DE FIRMA DIGITAL
TIPO DE
INFRACCIÓN
FACTOR
GRAVEDAD (UIT)
Incumplir con los requerimientos de la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica respecto de los manuales de uso y/o administración del software de creación de firma digital.

LEVE 15
Incumplir los términos bajo los cuales obtuvo la acreditación, así como los requerimientos adicionales que establezca la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica conforme a lo establecido en el Reglamento de la Ley de Firmas y Certificados Digitales y la respectiva Guía de Acreditación.

MUY GRAVE 24
No acreditar domicilio en el país durante las supervisiones que lleve a cabo la AAC. MUY GRAVE 22
No informar a los usuarios de todas las condiciones para la prestación de sus servicios. GRAVE 17
No brindar facilidades al personal autorizado por la Comisión Transitoria para la Gestión de la Infraestructura Oficial de Firma Electrónica para efectos de supervisión y auditoría.

GRAVE 19
Cuadro Nº 5
Factor tamaño de empresa infractora Tipo de empresa Facturación Factor = F
t Microempresa Hasta 150 UIT
Hasta 50 UIT 0.1
Más de 50 hasta 100 UIT 0.2
Más de 100 hasta 150 UIT 0.3
Pequeña empresa Mayor a 150 UIT hasta 1700 UIT
Más de 150 hasta 500 0.4
Más de 500 hasta 900 0.5
Más de 900 hasta 1,300 0.6
Más de 1,300 hasta 1,700 UIT 0.7
Mediana empresa Mayor a 1700 UIT hasta 2300
UIT
Más de 1,700 hasta 2,000 UIT 0.8
Más de 2,000 hasta 2,300 UIT 0.9
Gran empresa Mayor a 2300 UIT
Mayor a 2,300 UIT 1
32 NORMAS LEGALES
Sábado 4 de marzo de 2017 / El Peruano Cuadro Nº 6
Factores Agravantes y Atenuantes Factores Agravantes y Atenuantes Calificación
AGRAVANTES
F
1
: Entorpecimiento o negativa durante las diligencias de investigación Sí +30%
No 0
F
2
: Reincidencia o incumplimiento reiterado 1º vez +10%
2º vez +25%
3º vez o más +40%
No hay reincidencia 0
F
3
: Otras circunstancias de la comisión de la infracción Si aplica Hasta +30%
No 0
ATENUANTES
F
4
: Adoptó las medidas necesarias para la reparación voluntaria del daño causado Sí adoptó medidas -10%
No aplica 0%
F
5
: Subsanación total de la conducta presuntamente infractora durante el procedimiento.

Sí -10%
No aplica 0%
F
6
: Administrado reconoce su responsabilidad de forma expresa (Modificatoria LPAG-DL 1272)
Sí reconoce Desde -1%
hasta -50%
No Aplica 0%