Decreto Ejecutivo 24 de 2019.

Artículo 1. Las disposiciones de este reglamento serán de aplicación a los servicios de almacenamiento tecnológico y a los servicios comerciales a través de Internet regulados por la Ley 51 de 2008, a los que también le serán aplicables los reglamentos técnicos que para tales efectos dicte la DGCE como encargada de velar por el correcto desarrollo de la prestación de servicios de almacenamiento tecnológico de documentos y la utilización de Internet como medio para la prestación de servicios comerciales.

Artículo 2. Para los efectos de este Decreto, en adición a los términos definidos en la Ley 51 de 2008, los siguientes términos se definen así: 1. Almacenador tecnológico: Persona natural o jurídica que realiza almacenamiento tecnológico por cuenta propia con el interés de que estos tengan el valor otorgado por la Ley 51 de 2008. 2. Almacenamiento tecnológico por cuenta propia: Sistema de archivo de documentos a través de medios tecnológicos que realiza una persona natural o jurídica como resultado de sus actividades personales, comerciales, industriales o de servicios por sus propios medios. 3. Almacenamiento tecnológico de documentos de terceros: Sistema de archivo de documentos a través de medios tecnológicos que realiza un prestador de servicios de almacenamiento tecnológico a nombre del contratante. 4. Auditorias o Evaluaciones Técnicas: Auditorias o evaluaciones técnicas que realiza la DGCE por cuenta propia, o a través de terceros autorizados por ésta, con el propósito de verificar el fiel cumplimiento de la ley y los reglamentos que rigen el comercio electrónico y el almacenamiento tecnológico de documentos, principalmente en los que se refiere a los aspectos técnicos. 5. Digitalización Certificada de Documentos: Proceso tecnológico de convertir un documento análogo en uno o varios archivos digitales que contienen la imagen codificada, fiel e integra del documento, con la certificación tecnológica de integridad, disponibilidad, fiabilidad y autenticidad que proporciona el uso de certificados electrónicos o la firma electrónica calificada y que no permiten la manipulación de la imagen durante el proceso de captura y su volcado final a los sistemas de almacenamiento. 6. DNFE: Siglas correspondientes a la Dirección Nacional de Firmas Electrónicas. 7. Información nativa digital: Información que nace en formato digital o es entregada al sistema de almacenamiento tecnológico en formato digital, por ejemplo, captura de firma en un pad, captura digital de audio o video, imágenes médicas en formato digital. Puede ser generada directamente por el sistema de almacenamiento tecnológico. 8. Ley: Se refiere a la Ley 51 de 2008, tal como fue modificada por la Ley 82 de 2012. 9. Prueba de penetración o Hacking Ético: Pruebas de intrusión de seguridad que se realizan sobre sistemas, redes, y tecnologías corporativas para medir el nivel de seguridad digital, identificar las vulnerabilidades y proceder a proteger y solucionar las mismas. Art. 3. 10. Reglamentos Técnicos: conjunto ordenado de reglas o preceptos dictados por la DGCE, que incluye las especificaciones y condiciones tecnológicas mínimas requeridas ya sea para el almacenamiento tecnológico de documentos, para la prestación de servicios comerciales a través de internet o cualquier otra actividad o servicio bajo la regulación y/o supervisión de la DGCE.

Artículo 3. La prestación de servicios comerciales a través de internet que procedan de un prestador establecido en el territorio nacional se realizará en régimen de libre prestación de servicios, sin que pueda establecerse ningún tipo de restricciones, salvo aquellas formalidades legales establecidas para el ejercicio del comercio en el territorio nacional y las derivadas de convenios internacionales en los que Panamá sea parte firmante.

Artículo 4. La DGCE creará reglamentaciones destinadas a promover y facilitar la participación de diferentes agentes económicos dentro de un marco legal que garantice la igualdad de condiciones y la seguridad jurídica.

Artículo 5. La DGCE reconocerá y reglamentará toda tecnología utilizada para el almacenamiento tecnológico de documentos y la realización y prestación de actividades y/o servicios comerciales por medios electrónicos cuando se demuestre que dicha tecnología cumple con los parámetros mínimos de seguridad establecidos en la legislación vigente para garantizar la seguridad e integridad de la información y de las operaciones realizadas por dicha tecnología.

Artículo 6. La DGCE promoverá el desarrollo y uso de tecnologías basadas en estándares internacionalmente aceptados o con capacidad para intercambiar datos y servicios con otras plataformas tecnológicas, directamente o a través de la Internet, desde y hacia la República de Panamá.

Artículo 7. Todo el personal de un prestador de servicios, incluidos contratistas, que tenga o pueda tener "acceso a" o "control sobre" los repositorios y/o a las operaciones relacionadas directamente con la seguridad de la información confidencial, será considerado como "personal en puestos sensibles". El prestador de servicios deberá tomar medidas razonables para garantizar que cada persona que ocupa un puesto sensible cumple con los siguientes requisitos: 1. Posee los conocimientos técnicos y experiencia necesaria para realizar las tareas bajo su responsabilidad; 2. Ha sido capacitado y tiene conocimiento sobre la legislación vigente en la materia; 3. No ha sido condenado penalmente en la República de Panamá u otros países por delitos contra la seguridad jurídica de los medios electrónicos, la inviolabilidad de domicilio o lugar de trabajo, la inviolabilidad del secreto y derecho a la intimidad o por estafa y otros fraudes descritos en el código penal panameño. Los prestadores de servicios llevarán a cabo investigaciones periódicas de todo el personal que actúa en puestos sensibles para verificar su confiabilidad y competencia de acuerdo con las políticas de seguridad que establezca la DGCE.

Artículo 8. Los prestadores de servicios regulados por la Ley 51 de 2008, no divulgarán información confidencial, sin una orden previa de la autoridad competente y de conformidad con las leyes de la República de Panamá o previa autorización expresa, debidamente acreditada y razonablemente especifica, por parte de la persona titular de la información que debe ser mantenida en forma confidencial por parte del prestador de servicios.

Artículo 9. La DGCE emitirá los reglamentos, resoluciones y demás documentos técnicos que sean necesarios, en cumplimiento de lo establecido en la Ley 51 de 2008 y sus reglamentos, en base al siguiente procedimiento: 1. La DGCE, por iniciativa propia o a solicitud de parte interesada, elaborara los borradores del texto del respectivo reglamento, resolución o cualquier documento técnico que deba emitir. 2. La DGCE podrá conformar comités técnicos de consulta, integrados por representantes del sector público y del sector privado, para la revisión del texto y nutrir su contenido. 3. Una vez finalizado, la DGCE, publicará el texto en su sitio web y lo someterá a consulta pública por un término no menor de diez (10) días hábiles, ni mayor de un treinta (30) días calendario. La consulta pública deberá ser anunciada en dos periódicos de circulación nacional por un día, así como en los canales de comunicación digital del MICI. El término de consulta empezará a correr al día siguiente de la publicación en el periódico. 4. Las consultas, sugerencias y/o comentarios podrán ser presentadas vía electrónica, dirigidas a [email protected], o en las oficinas de la DGCE. La consulta, sugerencia y/o comentario deberá contener el nombre, dirección, teléfono y correo electrónico del proponente; en caso contrario, la consulta y/o comentario no será tomado en cuenta. La DGCE remitirá un correo confirmatorio de recibo a quienes envíen la comunicación vía electrónica. 5. Vencido el término de consulta pública, si no se presentan consultas, sugerencias y/o comentarios, la DGCE emitirá el respectivo reglamento, indicando la fecha a partir de la cual entrará a regir el mismo. 6. Si dentro del término de consulta pública se recibieran consultas, sugerencias y/o comentarios, la DGCE convocará a una reunión, a más tardar cinco (5) días hábiles después de vencido el término, en la que podrán participar, con derecho a voz, aquellas personales naturales o jurídicas que hubiesen presentado consultas, sugerencias y/o comentarios al texto. La DGCE tendrá un plazo máximo de treinta (30) días calendario para aprobar o rechazar modificaciones al texto original, emitir y publicar la resolución, reglamento o documento técnico respectivo.

Artículo 10. El almacenador tecnológico de documentos pagará una tasa de registro de doscientos balboas con 00/100 (B/. 200.00); el prestador de servicios de almacenamiento tecnológico de documentos de terceros pagará una tasa de registro de trescientos cincuenta balboas con 00/100 (B/. 350.00) y las empresas autorizadas para realizar evaluaciones y/o auditorias a las empresas anteriormente mencionadas pagarán una tasa de registro de quinientos balboas con 00/100 (B/. 500.00). La tasa de registro será pagada una sola vez al momento de solicitar el registro y no será restituida aún cuando la solicitud sea rechazada mediante resolución debidamente motivada. El registro será permanente y solamente será cancelado a petición de parte o por incumplimiento de la Ley, el presente reglamento o los reglamentos técnicos que expida la DGCE.

Artículo 11. Los documentos almacenados tecnológicamente deberán contar con la autenticación del jefe de archivo u oficina que ostenta la custodia de dicha información mediante firma electrónica calificada. Cuando el documento almacenado tecnológicamente se imprima en papel, deberá incluirse una marca gráfica que permita validar que el documento impreso es fiel reflejo del custodiado electrónicamente, mediante un código de barras o una dirección web que permita el acceso digital para la verificación del documento impreso. Estas marcas graficas se colocaran en un área de impresión que no altere el documento.

Artículo 12. Los documentos físicos que hayan sido almacenados tecnológicamente mediante digitalización certificada podrán ser depurados así: 1. El jefe de archivo u oficina que ostenta la custodia de los documentos almacenados tecnológicamente deberá levantar un inventario de los documentos a depurar, previo a su destrucción, y verificar en el sistema de almacenamiento lo siguiente: a. Que el documento puede ser accedido basado en la referencia o clasificación asignada durante el proceso de almacenamiento tecnológico del documento. b. Que el documento pueda visualizarse, mostrarse o reproducirse claramente. c. Que el documento mantiene su integridad desde que fue almacenado tecnológicamente. Para ello deberá aplicar el procedimiento de verificación de integridad a dicho documento basado en la tecnología utilizada al momento de almacenarse tecnológicamente. El resultado de la verificación debe arrojar o indicar con certeza que no ha sido modificado. d. Que la fecha y hora en que se almacenó tecnológicamente el documento está debidamente registrada. 2. El jefe de archivo u oficina que ostenta la custodia de los documentos almacenados tecnológicamente colocará los documentos depurados de conformidad con el numeral que antecede en un contenedor, el cual deberá sellar e identificar claramente, según el respectivo inventario. 3. El jefe de archivo u oficina que ostenta la custodia de los documentos almacenados tecnológicamente elaborará un acta con la información del inventario de documentos a depurar, la identificación del contenedor de los documentos, así como el método que será utilizado para la destrucción de los documentos, la que será firmada tanto como por él como por el propietario de los documentos autorizando su destrucción. 4. Los documentos podrán ser destruidos mediante incineración o trituración. En ambos casos deberá verificar primero que el contenedor esta intacto, sellado y que corresponde al acta de autorización que se adjunta. Se seguirán los siguientes pasos: a. Incineración: i. Romper el sello y verificar que los documentos coinciden con los detallados en el acta. ii. Depositar todos los documentos, a medida que los verifica en el pozo o recipiente donde se incineran. iii. Proceder a la incineración, asegurándose de que todo quede reducido a cenizas. iv. Concluida la incineración, esperar un tiempo prudencial para depositar las cenizas en bolsa y liberar tanto el contenedor como el incinerador para futuros usos. b. Trituración mediante trituradora transversal: i. Romper el sello y verificar que los documentos coinciden con los detallados en el acta. ii. Introducir los documentos a la trituradora, a medida que los verifica, de acuerdo con la capacidad de esta. iii. Depositar los documentos triturados en bolsas para liberar el contenedor y la trituradora para futuros usos. 5. Destruido los documentos, se deberá generar un acta indicando la forma en que se ha cumplido con este procedimiento y deberá ser firmada por la persona que realizo la destrucción. 6. Concluida la destrucción, el jefe de archivo u oficina que ostenta la custodia de los documentos almacenados tecnológicamente deberá conservar ambas actas.

Artículo 13. En ningún caso podrán destruirse, aunque hayan sido almacenados tecnológicamente, los documentos de identificación personal tales como la cédula, el pasaporte o la licencia de conducir, o cualquier otro documento que la Constitución, la Ley y reglamentos así lo determinen, tales como los documentos que por su valor histórico deban conservarse.

Artículo 14. Todo sistema a través del cual se efectué almacenamiento tecnológico en la República de Panamá, con el fin de que tenga plena validez legal, deberá cumplir con los requisitos mínimos del Título IV de la Ley 51 de 2008 y los reglamentos técnicos de almacenamiento tecnológico que emita la DGCE, los cuales estarán fundamentados en normas técnicas, buenas prácticas y estándares internacionales, cuando corresponda, que pueden incluir aspectos como las especificaciones de procesamiento y almacenamiento de información, especificaciones del software y hardware utilizados en el proceso de digitalización de documentos, aspectos técnicos del centro de procesamiento de datos, sistemas de seguridad y protección de la información, seguridad de los recursos humanos, controles operativos, de acceso físico y lógico a los sistemas, planes de contingencia contra desastres y planes de continuidad del negocio.

Artículo 15. La DGCE llevara un registro de almacenadores tecnológicos y un registro de prestadores de servicio de almacenamiento tecnológico de documentos, manteniendo un control transparente de la información que permita ver el historial, incluyendo la fecha de registro, suspensiones, cancelaciones, sanciones o cualquier otra actualización con respecto al registro.

Artículo 16. Toda persona natural o jurídica que desee realizar almacenamiento tecnológico de documentos por cuenta propia por el interés de que dichos documentos tecnológicamente almacenados tengan el valor legal otorgado por la Ley 51 de 2008, deberá cumplir con los requisitos mínimos establecidos en el Título IV de la citada Ley, así como en los reglamentos técnicos que emita la DGCE y podrá registrarse ante la DGCE. Este registro, mientras esté vigente, servirá como plena prueba de que cumple con los requisitos antes citados.

Artículo 17. La solicitud de registro como almacenador tecnológico se hará mediante formulario que para el fin estará disponible en la página web de la DGCE o podrá ser adquirido físicamente ante la DGCE. El peticionario deberá presentar la siguiente documentación en la DGCE: 1. Poder y solicitud mediante abogado. 2. Certificación del Registro Público (no más de tres meses de expedida), en la cual conste el nombre de la sociedad, representante legal, directores, dignatarios, apoderados, capital social y vigencia. 3. Fotocopia de la cédula o del pasaporte del solicitante y del representante legal si es una persona jurídica. 4. Documentación que acredite que los estándares técnicos utilizados cumplen con los requisitos mínimos establecidos en el artículo 46 de la Ley 51 de 2008 y en la reglamentación técnica emitida por la DGCE, el cual previa verificación deberá emitir concepto favorable. 5. Títulos académicos, certificados de entrenamiento o diplomas de cursos que acrediten que la(s) persona(s) responsable(s) del proceso de almacenamiento tecnológico han recibido la capacitación para sus roles dentro de la prestación de este servicio o que su formación es adecuada para hacerlo. 6. Especificaciones técnicas del software y/o hardware involucrados en el proceso de digitalización. 7. Documentación que acredite que cuenta con una firma electrónica calificada emitida por la DNFE o por un prestador de servicios de certificación autorizada por ella. 8. Plan de control de calidad en los procesos de preservación de nivel de fidelidad adecuado. 9. Nombre del jefe de archivo u oficina que ostenta la custodia de los documentos almacenados tecnológicamente. 10. Resultado final de una auditoria de sistemas y procedimiento realizada por una empresa de auditoria y evaluación técnica registrada en la DGCE. (Este resultado final debe ser entregado directamente a la DGCE por la empresa que realizó la auditoria o evaluación). 11. Comprobante del pago de la Tasa de Registro.

Artículo 18. Toda persona natural o jurídica que desee realizar almacenamiento tecnológico de documentos de terceros deberán cumplir con los requisitos mínimos establecidos en el Título IV de la citada Ley, así como en los reglamentos técnicos que emita la DGCE y registrarse ante la DGCE. Este registro, mientras esté vigente, servirá como plena prueba de que cumple con los requisitos antes citados.

Artículo 19. La solicitud de registro como prestador de servicios de almacenamiento tecnológico se hará mediante formulario que para tal fin estará disponible en la página web de la DGCE o podrá ser adquirido físicamente ante la DGCE. El peticionario deberá presentar la siguiente documentación en la DGCE: 1. Poder y solicitud mediante abogado. 2. Certificación del Registro Público (no más de tres meses de expedida), en la cual conste el nombre de la sociedad, representante legal, directores, dignatarios, apoderados, capital social y vigencia. 3. Fotocopia de la cédula o del pasaporte del solicitante y del representante legal si es una persona jurídica. 4. Documentación que acredite que los estándares técnicos utilizados cumplen con los requisitos mínimos establecidos en el artículo 46 de la Ley 51 de 2008 y en la reglamentación técnica emitida por la DGCE, sujeto a verificación de la DGCE, la cual deberá emitir concepto favorable. 5. Títulos académicos, certificados de entrenamiento o diplomas de cursos que acrediten la(s) persona(s) responsable(s) del proceso de almacenamiento tecnológico han recibido la capacitación para sus roles dentro de la presentación de este servicio o que su formación es adecuada para hacerlo. 6. Especificaciones técnicas del software y/o hardware involucrados en el proceso de digitalización. 7. Documentación que acredite que cuenta con una firma electrónica calificada emitida por la DNFE o por un prestador de servicios de certificación autorizada por ella. 8. Plan de control de calidad en los procesos de preservación de nivel de fidelidad adecuado. 9. Nombre del jefe de archivo u oficina que ostenta la custodia de los documentos almacenados tecnológicamente. 10. Estados financieros, carta bancaria y/o cualquier otro documento que permita evaluar la capacidad económica del solicitante. Si el solicitante es persona jurídica con mas de un (1) año de existencia, presentar copia del estado financiero del año anterior. Si tiene mas de dos (2) años, copia de los dos últimos estados financieros. 11. Documentación que acredite la contratación de una póliza de responsabilidad civil con una cobertura mínima de Ciento Cincuenta Mil Balboas con 00/100 (B/. 150,000.00) con una compañía de seguros autorizada por la Superintendencia de Seguros y Reaseguros de Panamá. 12. Declaración de prácticas de almacenamiento tecnológicos con las informaciones en el articulo 47 de la Ley 51 de 2008. 13. Declaración del solicitante indicando que se compromete a cumplir con las obligaciones como prestador de servicios de almacenamiento tecnológico establecidas en el articulo 55 de la Ley 51 de 2008. 14. Resultado final de una auditoria de sistemas y procedimiento realizada por una empresa de auditoria y evaluación técnica registrada en la DGCE. (Este resultado final debe ser entregado directamente a la DGCE por la empresa que realizó la auditoria o evaluación). 15. Comprobante del pago de la Tasa de Registro.

Artículo 20. Recibirá la solicitud de registro, la DGCE cuenta con el plazo máximo de noventa (90) días para evaluar toda la documentación presentada, decidir si procede o no el registro y practicar evaluaciones técnicas, de ser necesarias. En el evento de que la solicitud tenga algún defecto o se haya omitido la presentación de algún documento exigido por la Ley o los reglamentos, el solicitante contará con un plazo máximo de diez (10) días hábiles para subsanar. Si transcurrido este plazo no entrega la subsanación a la DGCE, se emitirá la respectiva resolución de rechazo indicando los recursos legales disponibles. Cumplidos satisfactoriamente los requisitos documentales y técnicos, la DGCE emitirá resolución motivada aprobando el registro. Si transcurridos los noventa (90) a que hace referencia esté artículo, la DGCE no emite la resolución aprobando o rechazando el registro, se entenderá que la solicitud ha sido aprobada y el interesado podrá solicitar a la DGCE que proceda a inscribirla en el registro inmediatamente. La DGCE está obligada a registrar la empresa en un plazo no mayor de tres (3) días hábiles.

Artículo 21. En virtud de las facultades reguladoras y fiscalizadoras conferidas por la Ley 51 de 2008, la DGCE, en cualquier momento, por si misma o utilizando los servicios de personas naturales o jurídicas acreditadas para tal fin, podrá realizar inspecciones a las instalaciones, realizar evaluaciones técnicas, ordenar auditorias a los sistemas y procedimientos, y requerir toda documentación relacionada con la prestación de los servicios que considere necesaria para garantizar la correcta prestación de los servicios y su reglamentación. Las auditorías serán ordenadas mediante resolución motivada, en base a un informe de campo de la DGCE, o por denuncias presentadas ante la DGCE por autoridades competentes y debidamente sustentadas por los usuarios de los servicios prestados. La resolución indicará los sistemas o procedimientos que deben ser auditados y/o evaluados. La resolución que ordena una auditoria o no es recurrible.

Artículo 22. Toda persona natural o jurídica que desee registrarse como entidad autorizada para realizar evaluaciones técnicas y/o auditorias a los almacenadores tecnológicos, a los prestadores de servicio de almacenamiento tecnológico de documentos de terceros o prestadores de servicios comerciales a través de internet, deberá formalizar su solicitud mediante formulario electrónico que para tal fin estará disponible en la página web de la DGCE o podrá ser adquirido físicamente ante la DGCE. El peticionario deberá presentar la siguiente documentación en la DGCE: 1. Poder y solicitud mediante abogado. 2. Certificación en la que conste que el Representante Legal de la empresa posee título en Ingeniería o Licenciatura en Sistemas, Telecomunicaciones, Informática o ramas afines. 3. Certificación que acredite que la empresa cuenta con certificación en normas internacionales sobre seguridad de la información. 4. Certificación que acredite que el personal que realizará las evaluaciones posee especialización o certificación en las siguientes áreas: a. Auditorias en sistemas. b. Pruebas de penetración o hacking ético. c. Seguridad en redes y protocolos de comunicación. d. Sistemas operativos y bases de datos. 5. Certificación en la que conste que cuenta con un mínimo de cinco (5) años de experiencia comprobada en el área. 6. Estados financieros auditados correspondientes al último año de operaciones y/o declaración de renta correspondiente a la última vigencia fiscal, si llevan más de un año en existencia. 7. Hoja de vida, diplomas y/o certificaciones del personal encargado de las evaluaciones y/o auditorías. 8. Certificación en la que conste que en los contratos a suscribir con los clientes se incluye una cláusula de confidencialidad según la cual se prohíbe a la empresa que realiza las evaluaciones técnicas y/o auditorias a las empresas de almacenamiento tecnológico y/o de servicios de comercio a través de Internet divulgar ninguna información a la que tenga acceso. 9. Descripción de las tarifas que cobrará por servicios de evaluaciones técnicas y/o auditorías, la cual no podrá ser alterada sin comunicación previa a la DGCE. 10. Comprobante de pago de la tasa de registro. La DGCE revisará la documentación presentada por el peticionario y comunicará, en un plazo no mayor de cinco (5) días si deben subsanar algunos de los requisitos. El peticionario contará con un plazo de cinco (5) días hábiles para subsanar. Si no presenta subsanación, se entenderá que desiste la solicitud y la DGCE emitirá resolución motivada, mediante la cual rechaza la solicitud. Si el peticionario subsana, la DCGE contará con un plazo de hasta diez (10) días hábiles para emitir la resolución que admite o rechaza la solicitud de registro. Notificada la resolución, el peticionario contará con un plazo de cinco (5) días hábiles para presentar recurso de reconsideración o apelación.

Artículo 23. La DGCE publicará en su sitio web la lista oficial de las empresas autorizadas a realizar las evaluaciones técnicas y/o auditorias a los prestadores de servicios regulados por este decreto.

Artículo 24. Son obligaciones de las empresas autorizadas a realizar evaluaciones técnicas las siguientes: 1. Designar el personal que estará a cargo de realizar la auditoria o evaluación técnica, incluyendo la designación del líder o responsable principal. 2. Preparar el plan de auditoria. 3. Elaborar el informe y entregar un original a la empresa auditada o evaluada, así como a la DGCE. 4. Actuar con objetividad. 5. Hacer recomendaciones para subsanar riesgos y vulnerabilidades encontradas durante la evaluación técnica, y advertir en los casos en que se debe tomar acciones inmediatas.

Artículo 25. A las empresas autorizadas a realizar evaluaciones técnicas les esta prohibido: 1. Realizar evaluaciones técnicas a almacenadores tecnológicos o prestadores de servicio de almacenamiento tecnológico de datos de terceros con los que mantenga o haya mantenido en los últimos tres (3) años anteriores a la práctica de dicha evaluación técnica vínculos comerciales. 2. Utilizar para la realización de la auditoria o evaluación técnica personas que hayan laborado en la empresa que este siendo auditada o evaluada. 3. Divulgar o comercializar la información confiada, o a la que tengan acceso en virtud de la auditoria o evaluación técnica, así como los nombres de los solicitantes o cualquier otra información que los identifique, salvo que medie orden de autoridad competente de conformidad con las leyes de la República de Panamá, o autorización previa y expresa del titular de la información de conformidad con el artículo siguiente.

Artículo 26. La empresa autorizada por la DGCE para realizar evaluaciones técnicas y/o auditorias que incumpla con lo establecido en los artículos anteriores será sancionada con la suspensión del registro por un año la primera vez, y la cancelación definitiva de la autorización en caso de reincidencia.

Artículo 27. Tanto los almacenados tecnológicos registrados ante la DGCE, como los prestadores de servicio de almacenamiento tecnológico están obligados a presentar anualmente el resultado final de una evaluación técnica realizada por una empresa debidamente registrada ante la DGCE. Esta evaluación técnica deberá presentarse dentro de los treinta (30) días siguientes al vencimiento de cada año, utilizando como referencia la fecha de la resolución que autoriza el respectivo registro.

Artículo 28. La evaluación técnica deberá contener lo siguiente: 1. Nombre, RUC y número de registro de la empresa autorizada por la DGCE. 2. Fecha y hora de inicio y finalización de la evaluación. 3. Objeto de la evaluación (i.e. primera vez, evaluación anual, etc.) 4. Criterios de evaluación. a. Control de acceso (Políticas de acceso, gestión de usuarios, responsabilidad de los usuarios, acceso a sistema y aplicación). b. Seguridad física (Seguridad del área y equipos) c. Confidencialidad de la información. d. Seguridad de las operaciones (Operaciones de procesamiento, protección contra códigos maliciosos, respaldo, registro y monitoreo, instalación de software, gestión de vulnerabilidades técnicas) e. Integridad de la información. f. Seguridad de las comunicaciones (Gestión de seguridad de la red, transferencia de información). g. Mantenimiento de sistemas. h. Proveedores. i. Gestión de incidentes de seguridad. j. Gestión de continuidad y contingencia. k. Disponibilidad de la información. 5. Si se trata de una evaluación anual, deberá incluir una breve descripción de los resultados anteriores, así como la resolución de las vulnerabilidades y hallazgos, si los hubiese. 6. Identificación de los requisitos o condiciones mínimas de seguridad presentes en el sistema auditado para preservar la integridad y disponibilidad de la información, así como la confidencialidad, si aplica. 7. Identificación del riesgo y vulnerabilidades encontradas en los controles de organización de la información, recursos humanos, gestión de activos, plan de contingencias y capacidad de los recursos informáticos, ambientales y facilidades. 8. Identificación del riesgo y vulnerabilidades encontradas en los controles de seguridad informática de la empresa evaluada. 9. Resultados y recomendaciones de la evaluación. 10. Resumen Ejecutivo.

Artículo 29. Las personas que se consideren afectadas o estén inconformes con el resultado de la evaluación técnica podrán presentar quejas ante la DGCE, mediante memorial dirigido al Director, en el que deberán indicar: 1. Información general de contacto del denunciante y del denunciado, tales como nombre, identificación, dirección, teléfono, e-mail, etc. 2. Los motivos que originan la queja, así como documentos de respaldo. 3. Cualquier otra información que considere relevante. La DGCE contará con un plazo de cinco (5) días hábiles para decidir mediante resolución motivada si admite o rechaza la solicitud. En caso de ser admitida, deberá correr traslado a la parte afectada, la que contará con un plazo de tres (3) días hábiles contestar, contados a partir del día siguiente hábil a la notificación. La DGCE contará con un plazo de hasta diez (10) días hábiles para fallar.

Artículo 30. De conformidad con lo establecido en el articulo 58 de la Ley, cuando un prestador de servicio de almacenamiento tecnológico registrado ante la DGCE decida cesar el servicio de forma voluntaria, deberá comunicar su decisión tanto a sus usuarios, como a la DGCE en un plazo no menor de noventa (90) días anterior a la fecha de cese definitivo de sus actividades. La comunicación a la DGCE deberá incluir la siguiente información: 1. Motivo del cese de actividades. 2. Fecha efectiva del cese de actividades. 3. Declaración Jurada por parte del Representante Legal de la empresa certificando que ha cumplido con la notificación formal por escrito del cese de operaciones a la totalidad de sus clientes. Adicionalmente, deberá comunicar por escrito a la DGCE, con un mínimo de cuarenta y cinco (45) días de anticipación al cese de su actividad, previa autorización del usuario, el destino que vaya a dar a la información bajo su custodia, especificado si se va a transferir la información tecnológicamente almacenada a otro prestador de servicios de almacenamiento tecnológico o si va a entregarlos a su propietario.

Artículo 31. Recibida la comunicación de cese voluntario de actividades, la DGCE contará con un plazo no mayor de quince (15) días hábiles para emitir resolución decidiendo si se procede o no el cese definitivo de actividades. Además, adoptará las medidas que resulten consecuente a la admisión del cese, tales como cancelación del registro, la publicación respectiva en el portal web, ordenar el cierre y archivo del trámite y otras que a juicio de la DGCE resulten pertinentes.

Artículo 32. Cuando se adopte como medida provisional para asegurar el cumplimiento del debido proceso, la eficacia de la resolución y evitar el mantenimiento de los efectos de la conducta considerada infractora, la suspensión temporal del registro del prestador de servicio de almacenamiento tecnológico de documentos, la empresa podrá continuar prestando soporte técnico y atención postventa a sus clientes, pero en ningún caso podrá almacenar nuevos documentos ni brindar nuevos servicios a clientes existentes, ni brindar ningún tipo de servicio a clientes nuevos. El prestador de servicios de almacenamiento tecnológico al que se le aplique esta prohibición temporal está en la obligación de comunicar a todos sus clientes la prohibición y deberá presentar, en un plazo no mayor de treinta (30) días, una Declaración Jurada firmada por el Representante Legal de la empresa certificando que ha cumplido con la notificación formal por escrito de la prohibición a la totalidad de sus clientes.

Artículo 33. Lo dispuesto en el artículo anterior también aplicará cuando se ordene la prohibición temporal de la prestación de servicios de almacenamiento tecnológicos de documentos contemplada en el articulo 63 de la Ley. En este caso se hará una anotación marginal en el Registro y se comunicará a los interesados, en la página Web de la DGCE, la existencia de la prohibición, así como el plazo durante el cual está vigente la prohibición. El prestador de servicios de almacenamiento tecnológico al que se le aplique esta prohibición temporal está en la obligación de comunicar a todos sus clientes la prohibición, así como el plazo durante el cual estará vigente la prohibición.

Artículo 34. En el evento de que un prestador se le sancione con la prohibición definitiva de la prestación de servicio de almacenamiento tecnológico de documentos, se hará una anotación marginal en el Registro, se comunicará a los interesados, en la página Web de la DGCE, la existencia de la prohibición definitiva. El prestador de servicios de almacenamiento tecnológico al que se le aplique esta prohibición está en la obligación de comunicar a todos sus clientes la prohibición y deberá presentar, en un plazo no mayor de treinta (30) días, una Declaración Jurada firmada por el Representante Legal de la empresa certificando que ha cumplido con la notificación formal por escrito del cese de operaciones, en virtud de la prohibición, a la totalidad de sus clientes. Esta comunicación deberá incluir la solicitud al cliente de que especifique el destino que le quiere dar a la información bajo su custodia; es decir, si desea que sea transferida a otro prestador de servicios de almacenamiento tecnológico o desea que le sea entregada a él.

Artículo 35. Las empresas nacionales y extranjeras que desde o hacia Panamá brinden servicios comerciales a través de Internet podrán registrarse gratuitamente ante la DGCE. La voluntariedad del registro no exime a estas empresas del cumplimiento obligatorio de los requerimientos mínimos establecidos en la reglamentación técnica que emitirá la DGCE para garantizar la integridad y seguridad jurídica de las transacciones y operaciones comerciales realizadas desde y hacia el territorio nacional a través de Internet. El registro podrá realizarse en las instalaciones de la DGCE o a través de su sitio web, por lo menos dentro de los quince (15) días hábiles siguientes al inicio de la prestación del servicio para el cual es utilizado el nombre de dominio. Los interesados deberán aportar la documentación que acredite la información presentada. La DGCE emitirá las resoluciones técnicas que definirán el procedimiento a cumplir y los documentos que serán considerados válidos para acreditar la información presentada por la empresa.

Artículo 36. La solicitud de inscripción en el registro deberá incluir la siguiente información: 1. Nombre o denominación comercial de la empresa, así como del propietario. 2. Datos de inscripción en el Registro Público, si aplica, y el número del Aviso de Operación (o equivalente en el país donde tenga su domicilio principal). 3. Dirección física de la empresa, números de teléfono, fax, apartado postal y correo(s) electrónico(s) a través de los cuales sus usuarios podrán contactar a la empresa. 4. El nombre del Representante Legal de la empresa. 5. Nombre(s) de dominio y direcciones URL que utilizará la empresa. 6. Nombre de aplicaciones descargables o de cualquier otro medio electrónico a través del cual la empresa ofrezca servicios comerciales. 7. Lista de los prestadores de servicios que utiliza para garantizar la protección de datos, la seguridad en las transacciones y de los sistemas a través de los cuales ofrece servicios comerciales y/o de suscripción. Toda modificación de los datos mínimos de registro deberá ser publicada a través de una Resolución Técnica de la DGCE, dentro de los siguientes quince (15) días hábiles.

Artículo 37. Sin perjuicio de la información mínima exigida para realizar el registro ante la DGCE y que será de acceso público, el prestador de servicios comerciales a través de internet deberá tomar las medidas necesarias para garantizar que los destinatarios de sus servicios y las autoridades competentes puedan acceder, por medios electrónicos, de forma permanente, fácil, directa y gratuita, a la siguiente información: 1. Su nombre o dominación social; su domicilio y, cuando sea el caso, la dirección de uno de sus establecimientos permanentes en la República de Panamá; una dirección de correo electrónico para contactos y cualquier otro dato que permita establecer una comunicación directa y efectiva; 2. Los datos de su inscripción en el Registro Público y el Aviso de Operación, o su equivalente en el país donde tenga su domicilio principal, así como los datos de inscripción en el MICI, si se trata de una empresa que se ha acogido a este registro; 3. Si se trata de actividades sujetas a regulación y/o autorización administrativa previa, los datos relativos a dicha autorización, incluyendo el nombre de la entidad competente para la supervisión de dicha actividad. 4. Si ejerce una profesión regulada deberá indicar: a. Autoridad que emitió la idoneidad. b. El título académico oficial o profesional con el que cuente. c. Centro de estudios nacional en donde obtuvo el título que sirvió para solicitar la idoneidad, en su defecto, la correspondiente homologación o reconocimiento del título obtenido en el extranjero. d. Las normas profesionales aplicables al ejercicio de su profesión y los medios a través de los cuales se puedan conocer, incluidos los electrónicos. 5. El número del Registro Único de Contribuyente (RUC) 6. Los términos y condiciones de servicios con información clara y exacta sobre el precio del producto o servicio, indicando los impuestos aplicables y, cuando sea el caso, los gastos de envío, procedimientos de solicitud de devolución y cualquier otra información que defina las reglas de la relación comercial con el consumidor o la interacción con los usuarios, así como las políticas de privacidad y seguridad de los sistemas a través de los cuales ofrece servicios comerciales. 7. Los códigos de conducta a los que este adherido y la manera de consultarlos electrónicamente. La obligación de facilitar esta información se dará por cumplida si el prestador la incluye en su sitio de Internet y demás medios electrónicos a través de los cuales ofrezca sus servicios, en las condiciones señaladas en el apartado.

Artículo 38. Los prestadores de servicios comerciales a través de internet deberán comunicar a la DGCE, en un plazo no mayor de tres (3) días hábiles, la sustitución y/o cancelación de su(s) nombre(s) de dominio. La DGCE tendrá un plazo no mayor de cinco (5) días hábiles, contados a partir del día hábil siguiente a la notificación, para hacer las adecuaciones respectivas en su repositorio.

Artículo 39. Con la finalidad de dotar a los usuarios y consumidores de un mecanismo para incrementar la confiabilidad en el comercio electrónico y elevar la confianza de la ciudadanía en la utilización de documentos electrónicos, así como la realización de transacciones a través del Internet, la DGCE, en conjunto con entidades públicas y privadas, creará un sistema de reconocimiento basado en el cumplimiento de códigos de conductas que establecerán elevados estándares técnicos y procedimientos para garantizar la privacidad de la información y seguridad de las operaciones y transacciones realizadas a través de sitios web comerciales. La adhesión a este sistema de acreditación será voluntaria. Para tal fin, los prestadores de servicios comerciales a través de Internet deberán completar un formulario de suscripción, cumplir los requisitos mínimos establecidos para cada código de conducta y comprometerse a cumplir los estándares establecidos en el respectivo código.

Artículo 40. Sin perjuicio de lo expresado en el artículo anterior, las asociaciones u organizaciones, comerciales, profesionales y de consumidores podrán promover la adopción de códigos de conducta destinados a regular las relaciones entre prestadores de servicios comerciales a través de internet y los consumidores y usuarios, siempre y cuando dichos códigos cumplan con lo establecido en este Decreto y en los reglamentos técnicos que emita la DGCE. El proceso de elaboración y modificación de estos códigos de conducta deberá garantizar que: 1. Las asociaciones que creen y promuevan la adopción de los códigos pongan en conocimiento de la DGCE su voluntad de adoptarlos y soliciten su colaboración a través del procedimiento que, en cada caso, se acuerde; 2. Las asociaciones profesionales que creen y promuevan la adopción de los códigos soliciten a las asociaciones de consumidores y usuarios, la identificación de necesidades y problemas específicos del sector; 3. La DGCE no emita opinión desfavorable sobre el contenido definitivo del código de conducta en el plazo de treinta (30) días calendario desde que la asociación que crea y promueve el código de conducta se lo hubiera solicitado. Para los efectos de este artículo, la formulación de observaciones al código por parte de la DGCE no supone la emisión de un dictamen desfavorable, el cual deberá ser motivado y basarse en el incumplimiento de los requisitos establecidos en este Decreto y en el reglamento técnico respectivo.

Artículo 41. Los códigos de conducta deberán estar redactados en idioma español, en términos claros y deberán establecer, cómo mínimo: 1. El procedimiento para adherirse al sello de confianza. 2. Las garantías que ofrecen a los consumidores y usuarios y que mejoran o incrementan aquellas reconocidas por la legislación vigente; 3. Los compromisos específicos que asumen los prestadores de servicios adheridos al código; 4. Las actividades del prestador de servicios que son sometidas al código, entre las cuales deberá mencionar, por lo menos: a. Las comunicaciones comerciales o la información precontractual. b. La contratación. c. Los procedimientos de solución de quejas o reclamaciones. 5. Si el código establece compromisos adicionales sobre: a. El grado de accesibilidad a los contenidos de los consumidores y usuarios que tengan alguna discapacidad o de edad avanzada, conforme a los criterios de accesibilidad generalmente reconocidos, así como las revisiones programadas para el establecimiento de medidas adicionales. b. Las medidas concretas adoptadas en materia de protección de los menores y de respeto a la dignidad humana y a los valores y derechos constitucionalmente reconocidos. c. La adopción de medidas sobre clasificación y etiquetado de contenidos, facilitando información completa sobre estas medidas. d. Las instrucciones sobre los sistemas de filtrado de contenidos utilizables en las relaciones con los prestadores de servicios. 6. Un sistema de resolución voluntaria de conflictos. 7. Los procedimientos previstos para comprobar que los prestadores de servicios reúnen las condiciones exigidas para la adhesión al código de conducta y la utilización del distintivo. 8. Procedimiento de denuncia ciudadana sobre incumplimiento de los códigos de conducta. Los códigos podrán editarse en varios idiomas, pero la versión que prevalecerá para delimitar responsabilidades será la versión en idioma español.

Artículo 42. Con independencia de lo establecido en cada código de conducta, el procedimiento de adhesión deberá establecer: 1. El contenido del formulario de inscripción, que deberá indicar por lo menos: a. Datos de la persona natural o jurídica propietaria del sitio web. b. Dirección física de la empresa, números de teléfono y fax y el apartado postal. c. Nombres de dominio y direcciones URL que utilizará. d. Correo electrónico que serán puestos a disposición de los consumidores para contactar a la empresa. e. Código de conducta al que se está adhiriendo. Cada Código de Conducta establecerá la información complementaria que debe facilitar el adherente, la documentación que será considerada válida para acreditar dicha información y el monto de la tasa de registro y fiscalización de dicho Código de Conducta, si se ha establecido alguna. 2. El plazo para que el adherente a la entidad reguladora con el comprobante de haber pagado las Tasas por el servicio de registro y de fiscalización del código de conducta, cuando la adhesión al código de conducta conlleve el pago de alguna tasa y esta no pueda ser pagada "en línea" al momento de completar el formulario. 3. El plazo que requerirá la entidad creadora del código para tramitar la solicitud y verificar si el sitio web cumple con todos los estándares establecidos en dicho código. 4. El mecanismo y procedimiento de notificación a la DGCE, cuando el código sea creado por otra entidad, de la adhesión al código de conducta para la entrega del sello de confianza que indicará que el solicitante cumple con los estándares del código de confianza respectivo. El plazo para esta notificación no podrá ser mayor de tres (3) días hábiles.

Artículo 43. Los códigos de conducta deberán establecer procedimientos voluntarios de resolución de conflictos entre los prestadores de servicios y los consumidores y usuarios, con base en reglas generales de arbitraje o de cualquier otro medio reconocido de resolución extrajudicial de controversias. En los procedimientos voluntarios de resolución de conflictos a que hace referencia el párrafo anterior podrá hacerse uso de medios electrónicos. Sin embargo, la designación de un modelo de resolución voluntaria es requisito indispensable para la incorporación de los prestadores de servicios a los códigos de conducta.

Artículo 44. Los códigos de conducta deberán establecer procedimientos de evaluación para comprobar el cumplimiento de las obligaciones asumidas por los prestadores de servicios adheridos. El procedimiento de evaluación deberá poder realizarse por medios electrónicos y deberá garantizar: 1. La independencia e imparcialidad de la entidad responsable de la evaluación. 2. Capacidad de la entidad evaluadora para realizar evaluaciones de oficio y la cantidad mínima de estas evaluaciones por año. 3. Si la evaluación conlleva algún costo para el prestador de servicios adherido. 4. La simplicidad, accesibilidad y gratuidad para la prestación de quejas y reclamaciones ante dicha entidad por los eventuales incumplimientos del código de conducta. 5. La celeridad en todas las fases del procedimiento. 6. La notificación de la investigación al prestador denunciado y su derecho a réplica. 7. La notificación al denunciante de la decisión sobre la denuncia. 8. El derecho, del denunciante y del denunciado, a solicitar reconsideración sobre la decisión.

Artículo 45. Los códigos de conducta deberán establecer un régimen sancionador adecuado, eficaz y disuasorio y una graduación de sanciones que permita ajustarlas a la gravedad del incumplimiento. Esas sanciones podrán incluir la publicidad de la sanción, la sanción temporal del sello de confianza o expulsión definitiva de la adhesión al código de conducta, en caso de incumplimiento reiterado. Cuando se trate de códigos de conductas administrados por otras asociaciones u organizaciones, comerciales o de consumidores, las sanciones que se impongan a los prestadores de servicio por incumplimiento de los códigos de conducta deberán notificarse a la DGCE dentro de los tres (3) días hábiles siguientes de que la decisión se encuentre ejecutoriada, para la desactivación del sello de confianza respetivo. La DGCE tendrá un plazo de dos (2) hábiles para la desactivación del distintivo. Si el adherente desea volver a activar el enlace, deberá realizar todo el procedimiento de reconocimiento desde el principio, incluyendo el pago de las tasas de registro y fiscalización.

Artículo 46. Las entidades creadoras de códigos de conducta regulados por este Decreto tendrán las siguientes obligaciones: 1. Administrar, facilitar y gestionar su utilización por los prestadores de servicios adheridos al código de conducta adoptado por ellas; 2. Informar periódicamente a la DGCE de los nuevos adherentes o de las exclusiones, voluntarias o por sanción, para la concesión y retirada del sello de confianza; 3. Mantener al público informado de forma clara y accesible, por lo menos en forma electrónica, sobre: a. El contenido del código de conducta; b. Los procedimientos de adhesión y de denuncia frente a posibles incumplimientos del código; c. Los sistemas de resolución voluntaria de conflictos que promueven el código; y d. Los prestadores de servicios adheridos a este en cada momento. 4. Remitir a la DGCE un informe semestral que deberá indicar, por lo menos: a. Las actividades realizadas para difundir el código de conducta y promover la adhesión a este; b. Las actuaciones de verificación del cumplimiento del código y sus resultados; c. Las quejas y reclamaciones recibidas y el trámite que se les dio; d. Las sanciones impuestas; e. Cualquier otro aspecto que las asociaciones deseen resaltar. 5. Evaluar periódicamente la eficacia del código de conducta, midiendo el grado de satisfacción de los consumidores y usuarios. Esta evaluación deberá realizarse por lo menos una vez cada tres (3) años; 6. Actualizar el contenido del código para adaptarlo a los cambios experimentados en la tecnología, en la prestación y uso de los servicios de la sociedad de la información y en la normativa que les sea aplicable; 7. Favorecer la accesibilidad de las personas que tengan alguna discapacidad o sea de edad avanzada a toda la información disponible sobre el código de conducta.

Artículo 47. La asignación e inhabilitación del sello de confianza regulado por este Decreto, así como el control y verificación del mantenimiento de los requisitos para su otorgamiento, corresponde a la entidad creadora del código de conducta respectivo. Cuando el código de conducta haya sido creado por una asociación u organización de comerciantes o consumidores, la entidad creadora deberá comunicar a la DGCE, en un plazo no mayor de tres (3) días hábiles, los actos de concesión o inhabilitación, temporal o definitiva, de la adhesión, para que esta proceda a otorgar o deshabilitar el sello de confianza respectivo. La entidad deberá transmitir a la DGCE toda la información necesaria para cumplir con las obligaciones impuestas por este Decreto.

Artículo 48. Cuando los estándares de los códigos de conducta sean modificados, la entidad creadora del código concederá un término mínimo de quince (15) días hábiles para que el adherente cumpla con los nuevos estándares. Cumplido esté término, si el adherente no ha manifestado por escrito el cumplimiento de los nuevos estándares, la entidad creadora y fiscalizadora del código iniciará el procedimiento de terminación de la adhesión e inhabilitación del sello de confianza sin costo o sanción alguna para el adherente.

Artículo 49. Cuando la DGCE ejerza la facultad sancionadora, incluyendo la acción de suspensión, de oficio o a petición de parte interesada, previa verificación en este último caso de que quien la presenta está legitimado para presentarlo. La solicitud se presentará por intermedio de abogado y mediante la presentación de memorial escrito ante la DGCE, acompañada de cualquier documento que sirva para acreditar la pretensión. Recibida la solicitud, la DGCE emitirá una resolución donde se admite o rechaza la solicitud. De ser admitida, correrá traslado a la parte afectada para que responda dentro del término de cinco (5) días hábiles. Vencido el plazo anterior, la DGCE contara con un plazo de hasta cinco (5) días hábiles para decidir si existe mérito para ordenar a la parte denunciada que suspensa el acto que se considera contrario a la Ley o reglamentos. Esta decisión admite los recursos de reconsideración y de apelación, recursos que podrán presentarse dentro del término de cinco (5) días hábiles, contados a partir de la notificación de la resolución respectiva. Estos recursos se concederán en el efecto devolutivo.

Artículo 50. El pago de cualquier tasa se realizará en efectivo o mediante cheque certificado a nombre del Tesoro Nacional, en la Cuenta Única del Tesoro Nacional, o mediante cualquier otro medio de pago autorizado por el Ministerio de Comercio e Industrias, tales como pago por ACH o tarjeta de crédito.

Artículo 51. El presente Decreto Ejecutivo deroga el Decreto Ejecutivo 40 de 19 de mayo de 2009.

Artículo 52. Este Decreto Ejecutivo comenzará a regir a partir de su promulgación.