Ús de Cl@ve per tercers: enfortiment de l'enfocament restrictiu de l'Administració Pública i el seu impacte en els models d'intermediació digital
L'objectiu d'aquesta Nota informativa és exposar les consideracions plantejades per l'Agència Estatal d'Administració Tributària ("AEAT") pel que fa a la naturalesa personal i intransferible dels sistemes Cl@ve i la necessitat de prevenir pràctiques d'intermediació o l'ús per tercers, publicat l'abril passat amb el títol «Ús personal de Cl@ve i prevenció de pràctiques d'intermediació no autoritzades».
I. MARC D'ANTECEDENTS
Abans d'abordar el contingut específic de les declaracions fetes per l'AEAT, val la pena situar la seva publicació en el context del marc normatiu vigent.
Cl@ve és un sistema d'identificació, autenticació i signatura electrònica establert per l'Administració General de l'Estat per facilitar les relacions electròniques dels ciutadans amb les administracions públiques. Segons la pròpia definició de Cl@ve:
És una plataforma comuna per a la identificació, l'autenticació i les signatures electròniques, un sistema interoperable i horitzontal que estalvia a les administracions públiques la necessitat d'implementar i gestionar els seus propis sistemes d'identificació i signatura, i estalvia als ciutadans la necessitat d'utilitzar diferents mètodes d'identificació per interactuar electrònicament amb l'administració.
Cal destacar que aquests sistemes són el resultat de la entrada en vigor de la legislació pertinent, que té com a objectiu impulsar la transformació digital i regular els mecanismes d'identificació i autenticació electrònica dels ciutadans en les seves relacions amb les administracions públiques.
En aquest context, els articles 9 i 10 de la LPACAP estableixen els diferents sistemes d'identificació i signatura electrònics permesos perquè els ciutadans interactuïn amb les administracions públiques, incloent-hi Cl@ve. Per la seva banda, el Reglament eIDAS reconeix expressament el paper dels prestadors de serveis de confiança, definits com aquelles persones físiques o jurídiques que proporcionen un o més serveis de confiança, ja siguin qualificats o no qualificats.
Un cop aclarit això, cal destacar que no és la primera vegada que les autoritats públiques s'han pronunciat sobre aquesta qüestió. De fet, ja el 2022, el Ministeri d'Afers Econòmics i Transformació Digital va publicar la «Nota de aclariment sobre l'ús de certificats electrònics per a persones diferents del titular o signatari», en la qual s'afirmava expressament que:
En conclusió, es reitera que els certificats electrònics són d'ús personal i intransferibles, i la possibilitat que el titular o signatari d'un certificat electrònic emès a nom seu transfereixi-ne la possessió i comuniqui les seves claus d'accés a tercers no és conforme a la legislació vigent sobre serveis electrònics de confiança. (èmfasi afegit)
Aquesta posició és totalment coherent amb les disposicions establertes tant a les Preguntes freqüents (PF) sobre el PIN de Cl@ve com en els documents informatius publicats per la mateixa AEAT i per l'Administració General de l'Estat, que destaquen repetidament la seva naturalesa personal i intransferible.
No obstant això, atès que l'Administració ha defensat aquest principi durant anys, sorgeix una qüestió fonamental: què aporta de nou la recent declaració de l'AEAT?
II. CONTINGUT DE LES RECOMANACIONS
La declaració de l'AEAT s'ha d'interpretar com un avís explícit contra certs models de negoci basats a actuar com a intermediaris en l'accés a dades públiques, particularment aquells que depenen del consentiment de l'usuari o del client per operar amb les seves credencials, repliquen esquemes de «delegació pràctica» de l'autenticació o permeten a tercers accedir directament a la informació personal en portals en línia.
Tanmateix, en l'actualitat, en el context de la digitalització dels serveis públics i dels models de compartició d'informació d'«Open Data», s'han desenvolupat solucions d'intermediació a través de les quals el prestador de serveis actua com a intermediari tècnic entre el ciutadà i l'Administració, duent a terme efectivament el procés d'autenticació en nom del ciutadà.
Tot i que la gran majoria d'aquests models es basen generalment en el consentiment de l'usuari i tenen com a objectiu simplificar l'experiència d'usuari, l'AEAT és inequívoca en aquest assumpte.
Tot i que la comunicació de l'AEAT no introdueix per si mateixa prohibicions legals, sí que considera certs pràctiques un mal ús; aquestes s'han d'interpretar com a recomanacions o directrius administratives.
A continuació, resumim les pràctiques a què es fa referència:
- Cl@ve és un mecanisme d'identificació, autenticació i signatura electrònica per a ús personal, directe i intransferible;
- no es permet que tercers utilitzin els mecanismes d'autenticació Cl@ve d'un ciutadà per accedir als serveis electrònics de l'administració pública en nom seu;
- es considera un mal ús accedir a serveis utilitzant les credencials d'un ciutadà, encara que aquest hi hagi donat el seu consentiment;
- constitueix un mal ús utilitzar sistemes d'intermediació tècnica que capturin, reutilitzin o automatitzin processos d'autenticació, o que mostrin o gestionin codis QR o elements similars a través de sistemes intermediaris;
- constitueix un ús indegut emmagatzemar, processar o reutilitzar contrasenyes, contrasenyes d'un sol ús (OTP) i altres elements destinats a autenticar el ciutadà.
En resum, l'AEAT considera un ús indegut qualsevol ús del sistema Cl@ve que impliqui intermediació, és a dir, que un tercer accediixi a les administracions públiques fent servir les credencials d'un ciutadà.
En definitiva, tot i que els criteris de l'AEAT no introdueixen una prohibició legal expressa, sí que representen un enduriment clar de la interpretació administrativa de l'ús dels sistemes d'identificació electrònica. Des d'una perspectiva pràctica, això no invalida automàticament els models existents, però augmenta significativament la seva exposició a riscos de compliment normatiu, de supervisió i de continuïtat empresarial a mitjà termini
A més, l'AEAT mateixa adverteix expressament que pot implementar les mesures tècniques i organitzatives que consideri necessàries per protegir els ciutadans i garantir la integritat dels mecanismes d'identificació i autenticació, la qual cosa reforça la idea d'un enfocament clarament restrictiu i presagia possibles limitacions futures, mitjançant desenvolupaments normatius o tècnics, pel que fa als models d'intermediació basats en l'ús de credencials de tercers.
Finalment, cal tenir en compte que, en aquests sistemes, les accions realitzades mitjançant Cl@ve s'atribueixen íntegrament al titular del compte, fins i tot quan hi intervé un tercer, la qual cosa augmenta el risc associat al seu ús compartit o delegat.
Professionals relacionats
ACTUALITAT #ECIJA
La iniciativa amplia la cobertura d'ECIJA a Navarra i incorpora un equip d'experts en fiscalitat, dret laboral, dret mercantil, assessorament financer i afers internacionals.
Deu anys després de l'entrada en vigor del RGPD, els mecanismes de certificació establerts als articles 42 i 43 estan emergint com a eines avançades per demostrar el compliment normatiu de manera verificable i estructurada.
ECIJA Brasil ha estat reconeguda per Leaders League com una de les firmes capdavanteres en protecció de dades el 2026, consolidant la seva posició en el mercat brasiler en els àmbits de la innovació, la tecnologia i les telecomunicacions.
El president de l'Agència Espanyola de Protecció de Dades assenyala que la intel·ligència artificial no s'hauria de veure com una barrera per a l'ocupació, sinó que hauríem d'acceptar que el treball evolucionarà cap a un model híbrid que combinarà persones i sistemes intel·ligents.
La implementació del Sistema d'Informació Intern ha plantejat qüestions pràctiques en moltes organitzacions pel que fa a l'assignació de responsabilitats internes i, en particular, com això encaixa amb el paper del Delegat de Protecció de Dades.
Aquesta sentència és especialment significativa des de dues perspectives — la protecció de dades i el dret laboral — ja que defineix els límits del control dels empresaris sobre els dispositius personals i reforça els requisits de compliment per a les empreses amb polítiques BYOD (Bring Your Own Device).
L'AEPD ha multat una empresa per obligar els empleats a instal·lar aplicacions als seus telèfons mòbils personals, vulnerant així els principis de minimització de dades, base jurídica i informació a l'empleat.
L'AEPD ha multat la Fundació Trilema amb 6.000 € per publicar imatges d'un menor i la seva mare a les xarxes socials sense consentiment vàlid i per no complir el principi de límits a la conservació de dades.
L'Agència Espanyola de Protecció de Dades (AEPD) ha multat una institució educativa per diverses infraccions de la normativa de protecció de dades.
