XML y documentos administrativos electrónicos. Su utilización en la Universitat Jaume I

XML y documentos administrativos electrónicos. Su utilización en la Universitat Jaume I II Simposio sobre XML Legislativo. LEXML.es Congreso Red Derecho TICs Valencia 19 y 20 de noviembre de 2009 Modesto Fabra Valls Profesor TU Derecho Financiero Vicerrector de Asuntos Económicos y Servicios en Red. Universitat Jaume I fabra@uji.es 1 La utilización del XML como formato de los documentos administrativos electrónicos y de las firmas electrónicas que incorporan FORMATO DOCUMENTO FORMATO FIRMA En la definición de documento electrónico se exige la información que incorpora sea susceptible de tratamiento. Los documentos administrativos deben incorporan metadatos. Los documentos administrativos electrónicos deben archivarse (incorporando metadatos relativos a su conservación) y deben preservarse en el tiempo. La Ley 11/2007 promueve el intercambio de información entre administraciones. Los documentos electrónicos deben incorporar una firma electrónica. La firma electrónica debe ser susceptible de ser intercambiada y validada por terceros. 2 El tratamiento diferenciado de la información en el documento electrónico 3 1

La evolución normativa del documento electrónico (I) Art. 49.1 Ley 16/1985, de 25 de junio del Patrimonio Histórico Español. Se entiende por documento, a los efectos de la presente Ley, toda expresión en lenguaje natural o convencional y cualquier otra expresión gráfica, sonora o en imagen, recogidas en cualquier tipo de soporte material, incluso los soportes informáticos. Artículo 45.2 Ley 30/1992,de 26 de noviembre (LRJPAC). Contrapone el documento electrónico al documento original, atribuyéndole. Le atribuye la misma validez y eficacia si se garantiza la autenticidad, integridad, conservación y, en su caso, recepción. Artículo 3.d. del RD 263/1996,de 16 de febrero. Le atribuye como características su susceptibilidad de ser almacenada, editada, extraída e intercambiada entre sistemas de tratamiento de la información. Artículo 318, Ley 1/2000, de 7 de enero (LEC) -Los documentos públicos pueden aportarse mediante documentos 4 electrónicos. La evolución normativa del documento electrónico (II) Artículo 3.5. Ley 59/2003, de 19 de diciembre, de firma electrónica (LFE) en su redacción original: El redactado en soporte electrónico que incorpore datos que estén firmados electrónicamente. Artículo 29 Ley 11/2007, de 22 de junio (LAECSP). Documentos administrativos, emitidos por medios electrónicos, cuando incorporen una o varias firmas electrónicas. Esta definición debe ser completada con la de la letra j del anexo: Documento electrónico: Información de cualquier naturaleza en forma electrónica, archivada en un soporte electrónico según un formato determinado y susceptible de identificación y tratamiento diferenciado. La Ley 56/2007, de 28 de diciembre, modifica la LFE para hacer coincidir la definición de documento electrónico con la anterior. Se desprende una evolución: La relevancia del contenido frente al continente: la información y la susceptibilidad de su tratamiento. 5 Elementos esenciales del documento electrónico (art. 41 PRDD Ley 11/2007) Característicasdel documento electrónico: -Debe contenerinformación (de cualquier naturaleza). -Archivar la información en soporte electrónico. -Debe tener un formato determinado y conocido. -Susceptibilidad de identificación y tratamiento diferenciado. Los documentos administrativos electrónicos deben ser expedidos y firmados electrónicamente (incorporar firmas electrónicas). Los documentos electrónicos deben cumplir con requisitos de validez previstos en la Ley 30/1992 (autenticidad, integridad, conservación y, en su caso, recepción). 6 2

Metadatos y documentos electrónicos 7 Los metadatos El artículo 42 del PRDD de la Ley 11/2007 se refiere expresamente a la adición de metadatos a los documentoselectrónicos. Son metadatos la información electrónica asociada a los documentos electrónicos de carácter instrumental, que sirve para facilitar el conocimiento inmediato y automatizable de alguna de sus características a los efectos de garantizar su disponibilidad, el acceso, la conservacióny la interoperabilidaddel documento. Los metadatos permitirán, en relación con el documento administrativo electrónico relacionar los documentos con los expedientes de los que forman parte. Es decir, contextualizar el documento en el marco del órgano, función y procedimiento a que corresponden. Los metadatos también incorporan datos relacionados con la firma y referencia temporal. 8 El expediente electrónico Art. 32 Ley 11/2007. Carácter básico Conjunto de documentos electrónicos correspondientes a un procedimiento administrativo, cualquiera que sea el tipo de información que contengan. Su foliado se lleva a cabo mediante un índice electrónico, firmado por la Administración, órgano o entidad actuante, según proceda. El índice garantiza la integridad del expediente electrónico y permite su recuperación siempre que sea preciso. Un mismo documento forme parte de distintos expedientes electrónicos. La remisión de expedientes puede ser sustituida a todos los efectos legales por la puesta a disposición del expediente electrónico, teniendo el interesado derecho a obtener copia del mismo. 9 3

La referencia temporal Según el artículo 29.2 Ley 11/2007 (tiene carácter de básico) los documentos administrativos incluirán referencia temporal, que se garantizará a través de medios electrónicos cuando la naturaleza del documento así lo requiera. La referencia temporal debe incluirse en todos los documentos administrativos electrónicos. Esta referencia temporal debe garantizarse por medios electrónicos (el sello de tiempo prestado por un PSC constituye un medio idóneo a este respecto) cuando la naturaleza así lo requiera. Es suficiente con añadir la fecha al documento en el cuerpo del documento para cumplir con la exigencia de referencia temporal o debe incorporarse la fecha por medios electrónicos? El proyecto de Real Decreto de desarrollo de la LAE (aplicable a la AGE) opta por la marca de tiempo. En todos los documentos electrónicos en los que no sea exigible el sello de tiempo, debe asignarse por medios electrónicos de la fecha y, en su caso, la hora a un documento electrónico. 10 El archivo de los documentos electrónicos 11 El archivo electrónico de los documentos electrónicos El artículo 31 LAE (no tiene carácter básico) recoge principios muy generales respecto al archivo: Pueden almacenarse por medios electrónicos todos los documentos. Los documentos electrónicos deben conservarse en este formato (preferencia del formato electrónico). Los documentos electrónicos pueden conservarse en el formato en que se originaron o en otro si se garantiza la identidad e integridad. Debe contarse con medidas de seguridad, que garanticen la integridad, autenticidad, calidad, protección y conservación. En particular es necesario garantizar el control de accesos y el cumplimiento de la LOPD. 12 4

El intercambio de información entre administraciones 13 El intercambio de información entre administraciones Según el artículo 6.2.b LFE (carácter básico) los ciudadanos tienen derecho a no aportar los datos y documentos que obren en poder de las Administraciones Públicas. Según el artículo 9.1 LFE (carácter básico) para cumplir con este derecho cada Administración deberá facilitar el acceso de las restantes AAPP a los datos relativos a los interesados que obren en su poder y se encuentren en soporte electrónico, especificando las condiciones, protocolos y criterios funcionales o técnicos necesarios para acceder a dichos datos con las máximas garantías de seguridad, integridad y disponibilidad, de conformidad con la LOPD. 14 El ejercicio del derecho El artículo 1 del PRDD Ley 11/2007 establece las condiciones en quese ejerce este derecho. Si el órgano tiene los datos o acceso a los mismos los incorporará. En los ficheros del órgano cedente quedará constancia del acceso a los datos o documentos efectuados. Si no los tiene los pedirá. Si forma parte de la AGE tendrá obligación de cederlos por medios electrónicos en el plazo que establezca en la normativa o, en su defecto, en 10 días. Los órganos ante los que se ejerce el derecho deben conservar la documentación acreditativa del ejercicio del derecho incorporándola al expediente. 15 5

El formato de los documentos administrativos 16 Formato de documento. Preferencia de estándares abiertos El artículo 4. i Ley 11/2007 alude a la utilización preferente de estándaresabiertospara favorecer la neutralidad tecnológica. También permite en su caso y de forma complementaria estándaresque sean de uso generalizado por los ciudadanos. Estándaresabiertos: Los que cumplan las siguientes condiciones: Sean públicos y su utilización sea disponible de manera gratuita o a un coste que no suponga una dificultad de acceso. Su uso y aplicación no esté condicionada al pago de un derecho de propiedad intelectual o industrial. 17 Estándares abiertos en el Proyecto ENI Art. 11 Proyecto Esquema Nacionalde Interoperabilidad (ENI): Los documentosy servicios administrativos electrónicos: Se encontraráncomo mínimo disponibles en estándares abiertos. Serán accesibles, visualizables y fácilmente operables, respetando el principio de neutralidad tecnológica. Consideracionesadicionalesparala selección de estándares: Adecuación a necesidades y funcionalidades requeridas. Potencial. Grado de implantación. Condiciones de mercado, incluyendo implementaciones de fuentes abiertas. Multiplataformidad, multicanalidad. Completitud de la especificación técnica. Reusabilidad. 18 6

Estándares abiertos recomentados Principales estándares abiertos recomentados para los documentos administrativos (CAU): De texto:.txt,.pdf/a (ISO 19005-1:2005),.xml,.html de datos estructurados:.xml gráficos:.jpg, ISO10918,.tif, vectoriales: cgm. La normativa de la UJI está pensando en permite documentos generados con aplicaciones ofimáticas y permite también OpenDocument. 19 PFD/A El PDF es un formato de archivo creado por Adobe Systems en 1993 para el intercambio de documentos. PDF se utiliza para la representación de los documentos una manera independiente de la aplicación de software, hardware y sistema operativo que lo creo. Cada archivo PDF encapsula una descripción completa de un documento que incluye su diseño, el texto, fuentes, imágenes y gráficos vectoriales 2D que componen los documentos. Inicialmente fue un formato propietario pero actualmente es formato abierto (se define por normas ISO: ISO 19005-1:2005 ISO / IEC 32000-1:2008). El PDF/A está diseñado para la conservación a largo plazo y es 100 % autocontenido y, por tanto, reproducible. No tiene dependencia de fuentes externas de informacion. VENTAJAS: Muy generalizado. Numerosas aplicaciones lo reproducen. 20 Idóneo para aplicaciones de escritorio. XML El otro gran estándar abierto para los documentos administrativos es el XML. VENTAJAS: Es texto plano, abierto e independiente tecnológicamente de cualquier software o sistema. Legible por máquinas y humanos. Es texto estructurado. Permite la incorporación de metadatos. Interoperable.Idóneo para servicios web. Permite una representación en otros formatos (html o pdf) para su consultamediante hojas de estilo xsl. 21 7

XML como continente del documento Pueden archivarse documentos que utilizan otro formato por ejemplo el.pdf/a, en un XML. Concretamente codificándose (ej. en base64) e incorporándose a un documento XML con las firmas y metadatos necesarias a efectos de su tratamiento, archivo y conservación. 22 Conservación permanente XML acompañado de DTD Para permitir el acceso a largo plazo para los documentos de conservación permanente y sus metadatos se recomienda (entre otros la Comisión de Archiveros de Universidades Españolas) su conservación en texto plano (independiente de cualquier software) en formato como el XML con su correspondiente DTD, documentando laestructurade datos. De este modo se facilita su exportación a otros sistemas de información para su consulta. 23 Los metadatos de conservación Hay esquemas de metadatos para la gestión documental (Dublin Core, METS). Aunque se trata de esquemas para la gestión de bibliotecas de objetos digitales, de propósito general pueden ser adaptados a la gestión de documentación administrativa. También se puede utilizar la norma ISO/UNE 23081 sobre metadatos para documentos electrónicos. Metadatosde descripción: (contenido, estructura y contexto) Metadatosadministrativos: se utilizan para la gestión y administración. Metadatostécnicos: requisitos técnicos de acceso Metadatosde uso: (nivel de utilización y tipos de usuarios) Metadatos de conservación: para gestionar la preservación de los documentos. Los metadatos de gestión documental más generalizados se expresan en 24 XML. 8

XML e interoperabilidad Interoperabilidad: Capacidad de los sistemas de información, y de los procedimientos a los que éstos dan soporte, de compartir datos y posibilitarel intercambio de información y conocimiento entre ellos. El XML es el formato más generalizado en las distintas iniciativas del marco europeo de interoperabilidad. EJ: Esquemas IDABC para la contratación pública electrónica: IDA e-procurement XML schemas initiative - e-ordering and e-invoicing phases. IDA e-procurement XML schemas initiative - e-tendering and e- Awarding. El proyecto de ENI contiene una referencia a los modelos de datos que faciliten la interoperabilidad semántica, que se materializarán con casi toda seguridad en las especificaciones técnicas de desarrolloen forma de esquemas XML. 25 La firma electrónica incorporada a los documentos 26 Se regulan en la LFE: Tipos de firmas electrónicas La firma electrónica: conjunto de datos en forma electrónica, consignados junto a otros o asociados con ellos, que pueden ser utilizadoscomo medio de identificación del firmante. Firma electrónica avanzada: firma electrónica que permite identificar al firmante y detectarcualquiercambio ulteriorde los datos firmados. Está vinculada al firmante de manera única y a los datos a que se refiere. Ha sido creada por medios que el firmante puede mantener bajo su exclusivo control. Se considera firma electrónica reconocida la firma electrónica avanzada basada en un certificado reconocido (expedidos por PSC que cumpla los requisitos previstos en la Ley) y generada mediante un dispositivo seguro de creación de firma. 27 9

La firma electrónica en la Ley 11/2007 Art. 13. 2 se refiere a la identificaciónde los ciudadanos: DNI electrónico (certificado reconocido). Sistemas de firma electrónica avanzada, incluyendo los basados en certificado reconocido, admitidos por la Administración pública (el PRDD Ley 11/2007 recuerda que también sistemas de firma electrónica de personajurídica). Otros sistemas de firma electrónica. Incluyendo claves concertadas. Utilización subsidaria. 28 Qué firma electrónica incorporan los documentos electrónicos administrativos? No se exige que sea la firma electrónicareconocida. Según el artículo 3.9 LFE no se negarán efectos jurídicos a una firma electrónica que no reúna los requisitos de firma electrónica reconocida en relación a los datos a los que esté asociada por el mero hecho de presentarse en forma electrónica. Pero Según el artículo 45.5 LRJPAC los documentos electrónicos no sólo deben garantizar la autenticidad sino también la integridad. La firma electrónica que no es avanzada no permite garantizar la integridad. No permite la vinculación objetiva, sino únicamente la subjetiva. Esta vinculación objetiva se deberá garantizar de otro modo. Por ejemplo, añadiendo un sello electrónico. 29 Qué firma electrónica incorporan los documentos electrónicos administrativos? (II) Para la determinación del tipo de firma exigible en cada caso debe aplicarse el principio de proporcionalidad: sólo se exigirán las garantías y medidas de seguridad adecuadas a la naturaleza y circunstancias de los distintos trámites y actuaciones. Por los efectos que producen y para no perder fuerza probatoria la firma a utilizar en ambos casos es recomendable utilizar en estos casos firma electrónica reconocida o, al menos, firma electrónicaavanzada basada en certificado reconocido. 30 10

Diferencia entre FE avanzada y FE reconocida La diferencia entre ambas consiste en la prueba en relación con la firma electrónica reconocida tiene la prueba tasada: Se limita a comprobar que se trata de una firma electrónica avanzada basada en un certificado reconocido, que cumple todos los requisitos y condiciones y que la firma se ha generado mediante un dispositivo seguro de creación de firma electrónica (art. 3.8 LFE). Si se impugna la veracidad de la firma electrónica avanzada se aplica la prueba pericial. De ahí la ventaja de utilizar certificados reconocidos. 31 Formatos o estándares de firma electrónica 32 Formatos de firma electrónica PCKs, CMS Los PKCS: estándares criptográficos de clave pública los concebidos y publicados por los laboratorios de seguridad RSA (california). El PKCS#7 usado para firmar y/o cifrar mensajes en PKI es la base del estándar CMS Cryptographic Message Syntax, de la asociación de normalización IETF (Internet Engineering Task Force). RFC 3852. Una de sus aplicaciones es el S/MIME (Secure/Multipurpose Internet Mail Extensions) un estandar para la firma de correos electrónicosen PKI encapsuladosen MIME. La funcionalidad S/MIME se incorpora en la mayoría de los clientes de correo electrónico y son capaces de interoperar entre ellos. 33 11

Estándares XML de firma. XMLDsig Firma XML (también llamado XMLDsig, DSig XML, XML-Sig) es una recomendación del W3C que define una sintaxis XML para la firma digital. Comparte aspectos con el estándar de firma PKCS#7, pero es más extensibley está orientadahacia la firma de documentosxml. 34 Principales elementos XMLDsig (I) SignedInfo: Información sobre los datos firmados. Incluye: CORE Algoritmo de normalización (CanonicalizationMethod). Algoritmo de firma (SignatureMethod). Una o varias referencias (Reference) : Al algoritmo hash utilizado (DigestMethod). Al resultado de aplicar el algoritmo hash (DigestValue). A una o diversas referencias URI. SignatureValue contiene el resultado de la firma codificada en Base64. KeyInfo elemento opcional que permite al destinatario obtener la clave necesaria para validar la firma. Generalmente el certificado digitale X.509 utilizado. Object: Información adicional que puede ser firmada. 35 ESQUEMA APLICACIÓN 36 12

<ds:signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> <ds:signedinfo Id="1234"> <ds:canonicalizationmethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n- 20010315"/> <ds:signaturemethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n- 20010315"/> <ds:signaturemethod Algorithm="http://www.w3.org/2000/09/xmldsig#dsa-sha1"/> <ds:reference URI="#1"> <ds:digestmethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/> <ds:digestvalue>51108f51a3262d980abaae98b7f63bdcf80e84d9</ds:digestvalue> </ds:reference> </ds:signedinfo> <ds:signaturevalue> 78df11f(...) </ds:signaturevalue> <ds:keyinfo> <ds:x509data> <ds:x509subjectname> C=ES, O=Generalitat Valenciana, OU=Ciudadanos, CN=RICARDO GARCIA GARCIA NIF:00000000X, SURNAME=GARCIA GARCIA, GIVENNAME=RICARDO, SN=0000000X </ds:x509subjectname> <ds:x509certificate> MIIGYTCC (...) </ds:x509certificate> </ds:x509data> </ds:keyinfo> </ds:signature> 37 XAdES XAdES define perfiles o formatos de XMLDSig para las firmas electrónicas avanzadas que incorporan elementos que permiten cumplir com exigencias de Directiva Europea de firma electrónica (1999/93/EC). Ha sido elaborado por el European Telecommunications Standards Institute (ETSI). Puede consultarse en: HTTP://uri.etsi.org/01903/v1.2.2/ts_101903v010202p.pdf 38 Perfiles XAdES (I) XAdES define diversos perfiles (formas) según el nivel de protección ofrecido. Cada perfil incluye y extiendeal previo. Cada uno de estos perfiles añade como objeto de XMLDSig, información adicional. XAdES-BES, forma básica que añade información sobre el firmante necesaria para permitir la identificación del firmante. También permite detectarcualquiercambio ulteriordel documento. XAdES-EPES, Añade información sobre la política de firma. XAdES-T (timestamp), añade un campo de sellado de tiempo. XAdES-C (complete), añade referencias de datos de verificación (certificados y listas de revocación) respecto a los documentos firmados para permitir verificación y validación off-line en el futuro (pero no almacena los datos en sí mismos). 39 13

Perfiles XAdES (II) XAdES-X (extended), añade sellos de tiempo a las referencias introducidas por XAdES-C. XAdES-X-L (extended long-term), añade los propios certificados y listas de revocación a los documentos firmados para permitir la verificación en el futuro incluso si las fuentes originales (de consulta de certificados o de las listas de revocación) no estuvieran ya disponibles. XAdES-A (archivado), añade la posibilidad de timestamping periódico (por ej. cada año) de documentos archivados para prevenir que puedan ser comprometidos debido a la debilidad de la firma durante un periodo largo de almacenamiento. 40 CAdES y PAdES ETSI también ha elaborado las mismas extensiones o perfiles del CMS Cryptographic Message Syntax para ser usados con firma electrónica reconocida (CAdES). ETSI TS 101 733 CAdES Asimismo, ha elaborado un conjunto de adaptaciones o extensiones para que los documentos.pdf firmados respeten las exigenias de la Directiva europea sobre firma electrónica reconocida. ETSI Technical Specification (TS) 102 778. 41 XAdES y Administración Pública En el proyecto ENI se dice que se tendrán el cuenta los estándares de Organizaciones Europeas de Estandarización TIC aplicadas a la firma electrónica (ETSI). A efectos del ENI (se tendrá que desarrollar en especifícaciones técnicas) parece que se admitirán XAdES y CAdES. XAdES tiene mayor penetración en la UE. XAdES es el estándar de firma electrónica más adecuado para interoperaren un entorno de servicios web. El estandar utilizado por la Agencia tributaria a efectos de la firma de facturas electrónicas dirigidas a la Administración Pública es el estándar XAdES. También se define un formato XML de factura (ORDEN PRE/2971/2007) También desde el Ministerio de Industria (aplicaciones del plan avanza) se está promoviendo XAdES. 42 14

Aplicaciones gratuitas XAdES Facturae: Aplicación del Ministerio de Industria para la gestión de facturas: http://www.facturae.es/descargas/aplicaciones/ ecofirma, Aplicación del Ministerio de Industria, para la aplicación y gestión de documentos firmados: http://oficinavirtual.mityc.es/javawebstart/soc_info/ecofirma/index.html esigna Viewer: Visor gratuito de firma electrónica de Indenova http://www.indenova.com/indenova.php?opc=5 Cryptoapplet: Applet de generación de firma electrónica de la UJI http://forja.uji.es/projects/cryptoapplet 43 Cryptoapplet CryptoApplet es una aplicación Java para la realización de firma electrónica avanzada Dada una entrada de datos cliente web puede realizar una firma digital sobre los datos, y obtener como resultado larepresentación de la firma en el formato definido en la configuración. Los formatos son: Firma "en bruto". CMS/PKCS#7. XAdES-X-L en formato DigiDoc. Firma PDF. La gestión de los certificados con los que se va a firma se lleva a cabo de forma transparente para el usuario mediante el acceso directo al CryptoAPI si se utiliza Microsoft Internet Explorer o PKCS#11 si se usa Firefox (en Windows XP o GNU/Linux). El applet también es capaz de ejecutarse en los sistemas operativos Microsoft Windows XP y GNU/Linux con el único requerimiento de tener instalada la Máquina Virtual Java de SUN (versión 1.5 o superior). Es software libre. Se han efectuado cerca de 2.000 descargas. 44 Aplicación en la UJI 45 15

XML en documentos administrativos en la UJI Los documentos administrativos y servicios que se generan mediante aplicaciones web institucionales utilizan XML con sus correspondientes hojas de estilo (XSL) para su representación en el formado deseado (html o pdf). Todos los documentos firmados se generan y conservan en formato DIGIDOC que es un XML que incorpora: El original firmado codificado en base 64. La Firma del original en formato XAdES-X-L. Se muestra también un.pdf con un código que permite acceder a una url para recuperar el XML original firmado. 46 47 48 16

49 50 17