Condiciones de uso de firma electrónica no criptográfica en el ámbito de la Seguridad Social

Esta Resolución, que entró en vigor el día 13 de julio de 2024, tiene como objeto determinar las condiciones de uso de firma electrónica no criptográfica en las relaciones de las personas interesadas con las entidades gestoras y servicios comunes de la Seguridad Social adscritos a la Secretaría de Estado de la Seguridad Social y Pensiones.

Se podrán utilizar sistemas de firma electrónica no criptográfica cuando el sistema de información, aplicación o servicio electrónico asociado al procedimiento de que se trate haya sido categorizado, según el Esquema Nacional de Seguridad, de categoría básica y aquellos de categoría media en los que no sea necesario utilizar la firma electrónica avanzada, cuando así lo disponga la normativa aplicable.

La identificación de la persona interesada deberá hacerse con anterioridad al acto de firma mediante alguno de los sistemas, distinto de los basados en certificado electrónico cualificado, establecidos en la Resolución de 8 de marzo de 2023, de la Secretaría de Estado de la Seguridad Social y Pensiones, por la que se habilitan trámites y actuaciones a través de los canales telefónico y telemático mediante determinados sistemas de identificación y expresión de la voluntad y se regulan aspectos relativos a la presentación y firma de solicitudes mediante formularios electrónicos a través de ambos canales, o en los sistemas de identificación mediante claves concertadas del sistema Cl@ve que no permitan utilizar Cl@ve Firma.

El sistema de firma no criptográfica es un servicio horizontal, gestionado y administrado por la Gerencia de Informática de la Seguridad Social, que podrá ser invocado desde aplicaciones o servicios electrónicos desde los que se generará el documento a firmar.

El sistema permitirá a la persona usuaria acceder al documento a firmar y requerirá la introducción del número de teléfono móvil de la persona interesada y el consentimiento de firma mediante una manifestación expresa de conformidad con el contenido del documento y de la voluntad de firmarlo.

El sistema, comprobado que el número de teléfono móvil introducido por la persona interesada se corresponde con el obrante en las bases de datos corporativas de la Administración de la Seguridad Social, requerirá a la persona interesada la introducción del código de un solo uso y validez temporal limitada enviado al mismo.

El sistema podrá asimismo ejecutarse, cuando desde la aplicación o servicio desde el que se invoque así lo contemple, mediante la introducción de una dirección de correo electrónico obrante en las bases de datos corporativas de la Administración de la Seguridad Social o cuya validez se contraste en línea, a través de la que se requerirá a la persona interesada la introducción del código de un solo uso y validez temporal limitada enviado a dicha dirección.

La introducción con éxito del código producirá la firma del documento y generará un justificante de firma sin certificado que se pondrá a disposición de la persona interesada y del sistema, aplicación o servicio desde el que se haya invocado la firma.

El justificante, firmado digitalmente por la entidad gestora o servicio común, incluirá los datos identificativos de la persona firmante, la identificación del documento firmado, la indicación de la fecha y hora en que se ha efectuado la firma y un código electrónico de autenticidad que permitirá comprobar su validez a través del servicio de verificación de integridad de documentos de la sede electrónica de la Secretaría de Estado de la Seguridad Social y Pensiones. Será un documento legible de acuerdo con la norma técnica de interoperabilidad de catálogo de estándares y preferiblemente en formato PDF.

Garantías del sistema

El sistema de firma electrónica no criptográfica garantizará el no repudio, la trazabilidad del caso, la gestión de la evidencia de autenticación y el sellado de la información presentada.

En concreto, el sistema asegurará una adecuada trazabilidad para lo cual conservará por cada firma y, por tanto, por cada proceso de autenticación, la siguiente información sellada con un certificado de sello electrónico:

a) Nombre y apellidos de la persona interesada.
b) DNI/NIF/NIE de la persona interesada.
c) Sistema de identificación previa empleado en el acceso al servicio.
d) Número de teléfono para envío del SMS o, en su caso, dirección de correo electrónico y código de seguridad de autenticación.
e) Fecha y hora de la autenticación mediante código de seguridad.
f) Fecha y hora de la firma.
g) Resumen criptográfico de los datos firmados con un algoritmo de hash que cumpla las especificaciones del Esquema Nacional de Seguridad.
h) Referencia al justificante de firma mediante el código electrónico de autenticidad asociado a dicho justificante.

En el caso de que los datos de identificación obtenidos en la autenticación anterior a la firma no coincidan con los datos de identificación obtenidos en la aplicación o servicio desde el que se invoca la firma, el sistema no permitirá la realización de la misma, informando de esta eventualidad al sistema de información asociado al procedimiento o servicio electrónico que haya requerido dicha firma.