Aspectos teórico-prácticos de la firma digital en Colombia y su referente en Latinoamérica
- -
- 100%
- +
Por lo que debemos entender, los retos legales de la firma electrónica, como género, y la firma digital, electrónica avanzada o certificada, como especie, son distintos y así mismo deberemos comprender su desarrollo doctrinal y jurisprudencial.
Nuevamente, en este punto debemos referirnos a la necesidad de comprender que esto no es creación completamente autónoma del Estado colombiano, sino que obedece a la réplica instrumentada de la CNUDMI, en su Ley Modelo sobre las Firmas Electrónicas del año 2001, y que, a razón de ello, los modelos sobre firmas pactadas mediante acuerdo, en otras legislaciones latinoamericanas, cumplen efectos legales más o menos parecidos.
Dejando de lado, momentáneamente, el desarrollo jurídico de la firma electrónica general y abordando, nuevamente, la firma digital certificada, es pertinente entender un poco mejor en qué consiste el proceso de certificación digital prestado por los terceros de confianza, respecto de lo cual podemos decir que su actividad está reglada por la ley, y así lo evidenciamos tanto en Colombia como en otras naciones latinoamericanas.
Para hacernos una idea de su construcción legal, el caso colombiano, durante el periodo comprendido entre el 2000 y el 2011, la actividad de acreditación de las entidades de certificación digital abiertas y cerradas fue administrada en forma directa por la Superintendencia de Industria y Comercio; a partir del año 2012, dicha actividad se encuentra en cabeza del Organismo Nacional de Acreditación de Colombia (ONAC).
Siguiendo con el caso colombiano, la actividad de los terceros de confianza gira esencialmente alrededor de la emisión de certificados digitales de cualquiera de las actividades que previamente hayan acreditado ante el ONAC y que estén dentro del marco del artículo 30 de la Ley 527 de 1999.
Artículo 30. Actividades de las entidades de certificación. Las entidades de certificación acreditadas por el Organismo Nacional de Acreditación de Colombia para prestar sus servicios en el país, podrán realizar, entre otras, las siguientes actividades:
1. Emitir certificados en relación con las firmas electrónicas o digitales de personas naturales o jurídicas.
2. Emitir certificados sobre la verificación respecto de la alteración entre el envío y recepción del mensaje de datos y de documentos electrónicos transferibles.
3. Emitir certificados en relación con la persona que posea un derecho u obligación con respecto a los documentos enunciados en los literales f) y g) del artículo 26 de la Ley 527 de 1999.
4. Ofrecer o facilitar los servicios de generación de los datos de creación de las firmas digitales certificadas.
5. Ofrecer o facilitar los servicios de registro y estampado cronológico en la generación, transmisión y recepción de mensajes de datos.
6. Ofrecer o facilitar los servicios de generación de datos de creación de las firmas electrónicas.
7. Ofrecer los servicios de registro, custodia y anotación de los documentos electrónicos transferibles.
8. Ofrecer los servicios de archivo y conservación de mensajes de datos y documentos electrónicos transferibles.
9. Cualquier otra actividad relacionada con la creación, uso o utilización de firmas digitales y electrónicas.
En general, los certificados digitales son “documentos electrónicos” expedidos por una “entidad de certificación” los cuales identifican al suscriptor (firmante) y le permiten firmar digitalmente mensajes de datos. La ventaja jurídica de las firmas digitales es que permiten presumir que quien la impuso en un mensaje de datos tenía la intención de “acreditar ese mensaje de datos y de ser vinculado con el contenido del mismo”. Este es el efecto jurídico de la propiedad del no repudio de mensajes de datos que tiene la certificación digital. Esta presunción garantiza que quien observe una firma digital en un mensaje de datos puede suponer, válidamente y de manera inequívoca, que el firmante es quien dice ser y que se vincula con el contenido del mensaje.
Sobre las posibilidades de uso de la certificación digital, en primer término, se puede afirmar que los certificados digitales cumplen la función de informar sobre la autenticidad del firmante, en compañía de la evidencia de una cadena de confianza, que informa que una autoridad o entidad ha verificado la posesión de la firma y que dicha firma le pertenece a una persona real, existente y determinada. Esto se explica por la necesidad de conservar las propiedades auténticas de los documentos físicos que requieren un valor jurídico otorgado por la firma manuscrita, tales como estados financieros, autorizaciones, órdenes de compra, certificación de disponibilidad presupuestal, títulos valores y cualquier comunicación escrita que involucre el uso de una firma o que trate de garantizar la seguridad en el origen y la integridad de la información.
La certificación digital se puede aplicar en sistemas de correo electrónico seguro. En este escenario, la utilidad radica en el aseguramiento entre el envío y la recepción de comunicaciones mediante correo electrónico, implementando una garantía de autenticidad del origen de los mensajes, de su integridad y el no repudio de la comunicación.
Otra aplicación está constituida por el aseguramiento de transacciones web, mediante firmas digitales para la protección de transacciones instrumentadas a través de Internet. La firma digital de formularios web soluciona problemas propios de estas aplicaciones, como son la suplantación, el repudio de la transacción o la adulteración de la información, que se pueden generar en transacciones financieras, sistemas de aprobación o autorización, sistemas de workflow, de operaciones y, en general, de cualquier aplicación que requiera: (i) control de identidad, (ii) integridad en el manejo de la información y (iii) un soporte jurídico para la validación de la operación.
De igual forma —en este tercer escenario—, con la utilización de certificados digitales para el aseguramiento de sitios web, se puede determinar la identidad de un sitio en Internet y emplear el ciframiento de los datos con el propósito de garantizar la confidencialidad de la información intercambiada entre la aplicación web y sus usuarios.
En las fintech, término procedente del inglés, que une la primera sílaba de las palabras finance y technology, industria que en el campo de transformación digital de servicios financieros, se emplean las firmas electrónicas y digitales para recrear ambientes de seguridad jurídica, también como canales seguros de comunicación entre el cliente y su fintech, sin necesidad de concurrir en espacios físicos que resultan costosos e innecesarios, versatilidad aplicada, por supuesto, desde ecosistemas digitales edificados para tal fin.
Las técnicas de criptografía asimétrica en certificados de sitios web garantizan la identidad de los dos extremos de la comunicación y dejan sin utilidad páginas web falsas. Así, de la seguridad en la red no solo se benefician los clientes, sino también sus contrapartes comerciales.
Otra ventaja asimilable a una forma de aplicación son los sistemas de gestión de identidad, mediante la implementación de certificados digitales para la autenticación de usuarios ante sistemas de información y aplicaciones en general. Esta solución está enfocada a la gestión de identidad, contando con uno o varios factores de identificación y/o autenticación que añaden seguridad jurídica a las operaciones desplegadas o la certeza de los actores intervinientes para control de acceso, permisos, movilidad digital y física, sin perjuicio de la evolución de mecanismos de identidad digital basados en factores biométricos y bases de datos gubernamentales, así como la gestión de documentos de identidad electrónicos o totalmente digitales y sus productos de data analytics que de allí se derivan.
Por último, pero sin limitarnos a las diferentes formas de empleo de firmas electrónicas, se encuentra la posibilidad de aplicación de la certificación digital de usarla en mecanismos de seguridad de criptoactivos, transacciones y documentos almacenados en sistemas descentralizados como blockchain, así como usar dichas firmas en protocolos de arbitraje técnico dentro de las mismas cadenas de bloques.
Teniendo en cuenta lo anterior, las especiales funcionalidades de la certificación digital en los entornos electrónicos y los atributos de seguridad técnica y jurídica que las legislaciones le confieren, en el presente texto se expresan las más importantes características de la firma digital certificada, electrónica avanzada o certificada, partiendo de la experiencia colombiana y analizando la normativa legal técnica de distintas legislaciones latinoamericanas o de países hispanoparlantes.
Como se mencionó, si bien la firma digital o electrónica avanzada o certificada es una especie dentro de la firma electrónica, es importante tener claridad sobre su principal diferencia, ya que las primeras involucran un marco legal y técnico reglamentario, apoyado en autoridades o entidades que tienen roles de terceros de confianza; mientras que la firma electrónica por fuera del marco de alguna certificación es un acuerdo entre las partes que tiene por tal validez entre los involucrados, que puede o no usar certificados digitales, en este caso sin contar con el tercero de confianza y asumiendo las cargas previas o probatorias de autenticidad e integridad.
Ahora bien, todo lo anterior juega un papel importante dentro de la armonización que para Colombia trajo consigo el Código General del Proceso (Ley 1564 de 2012), en cuanto al examen de la prueba judicial del mensaje de datos, por cuanto dicha norma recoge de forma sabia las posiciones doctrinales y jurisprudenciales sobre la materia y da fuerza de ley al valor probatorio de los mensajes de texto, en líneas sencillas que dan claridad a estos aspectos, como a continuación, a modo de ejemplificación, se muestra:
Artículo 247. Valoración de mensajes de datos. Serán valorados como mensajes de datos los documentos que hayan sido aportados en el mismo formato en que fueron generados, enviados, o recibidos, o en algún otro formato que lo reproduzca con exactitud.
La simple impresión en papel de un mensaje de datos será valorada de conformidad con las reglas generales de los documentos.
De forma resumida, podríamos afirmar que las anteriores líneas extraídas del Código General del Proceso, hoy vigentes y con fuerza de ley, arrojan la suficiente claridad sobre el valor probatorio de los mensajes de datos y, a su vez, desdibujan cualquier asomo de duda sobre la pertinencia de la prueba judicial contenida en mensajes de datos.
Al respecto, y en hilo de lo anterior, la mayoría de las comunicaciones públicas y privadas, negocios, consumo de bienes y servicios se ejecutan o tienen interacción en algún punto con tecnologías de la información, lo que conlleva a concluir que actualmente la mayoría de las pruebas judiciales son mensajes de datos.
Como parte final de esta nota introductoria general, queremos manifestar que esta obra nace de la necesidad de tejer un puente renovado entre el derecho y la tecnología, ahora desde la óptica legaltech, en la que se busca crear un diálogo fluido legal, social, cultural y semántico para el entendimiento de la legislación latinoamericana, buscando la apropiación de las firmas digitales, electrónicas avanzadas o certificadas, en los sistemas de comercio regional latinoamericano como generadoras de valor en los ecosistemas digitales, desbordando las fronteras políticas y, lo más importante, proponiendo la interoperabilidad legal y técnica entre sistemas informáticos de distintos países, para afrontar de forma más eficiente y práctica los retos de la cuarta revolución industrial.
1 Ley 527 de 1999, artículo 2°.
2 Decreto 2364 de 2012.
3 Ídem.
Capítulo I
Introducción a la regulación del comercio electrónico
1.1. Tendencias regulatorias en materia de comercio electrónico
Al ser Internet o el ciberespacio, como es denominado por el profesor Daniel Peña Valenzuela,1 en un ámbito más amplio, un nuevo espacio de contraposición de intereses, que debe ser regulado de manera legal y social. La regulación tradicional tiene como condicionamiento la construcción y desarrollo de las herramientas tecnológicas, las redes e instrumentos de telecomunicaciones, los programas de ordenador y los controles de seguridad de contenidos y transacciones en línea.
Las nuevas tecnologías son una realidad que está ahí; existen y se utilizan. En relación con la existencia, desarrollo y aplicación de las nuevas tecnologías, se constata un doble fenómeno:
a. Vienen a dar respuesta a demandas existentes en la sociedad, en general, y en el ejercicio de la actividad económica.
b. Al mismo tiempo, se acude a ellas, una vez que existen, para utilizarlas y rentabilizarlas en sustitución de viejos instrumentos.
Entre las nuevas tecnologías, se destacan hoy las que se desarrollan en el mundo de las telecomunicaciones y la electrónica. El tratamiento autorizado de información, así como su transmisión y transferencia internacional constituyen un fenómeno de dimensiones inabarcables y probablemente ilimitables:
Por otra parte, en el sector público el uso de estas tecnologías para el intercambio de datos tuvo su origen en las actividades militares. A fines de los años setenta el Ministerio de Defensa de Estados Unidos inició un programa de investigación destinado a desarrollar técnicas y tecnologías que permitiesen intercambiar de manera transparente paquetes de información entre diferentes redes de computadores, el proyecto encargado de diseñar esos protocolos de comunicación se llamó Internetting Project [de este proyecto de investigación proviene el nombre del popular sistema de redes], del que surgieron el TCP/IP (Transmission Control Protocol)/(Internet Protocol) que fueron desarrollados conjuntamente por Vinton Cerf y Robert Kahn y son los que, actualmente, se emplean en Internet. A través de este proyecto se logró estandarizar las comunicaciones entre computadoras y en 1989 aparece un nuevo servicio, la www (World Wide Web, telaraña global), cuando un grupo de investigadores en Ginebra, Suiza, ideó un método a través del cual empleando la tecnología de Internet enlazaban documentos científicos provenientes de diferentes computadoras, a los que podían integrarse recursos multimedia.2
Sin entrar en los medios técnicos que permiten la veloz y prácticamente inmediata transmisión o transferencia de información, el hecho es que las tecnologías de la información han transformado el planteamiento y el escenario en que se desarrolla la actividad empresarial; son nuevas tecnologías con un fuerte impacto social y económico. Al impactar a la sociedad, en general, y a la actividad económica, en particular, se llega inmediatamente a la constatación de que el uso de las tecnologías de la información en la vida social y económica suscita importantes cuestiones jurídicas.
En este nuevo contexto, el papel del derecho, como fuente reguladora de las relaciones sociales, se convierte en presupuesto fundamental para el desarrollo de lo que se ha denominado sociedad de la información, ya que, así como la vida social no se concibe sin el derecho, tampoco podemos concebir las tecnologías de la información sin orden. Aquí vale la pena destacar los principios jurídicos del comercio electrónico, los cuales han sido sintetizados de la siguiente forma: a) la equivalencia funcional de los mensajes de datos3, b) la neutralidad tecnológica, c) la no alterabilidad del derecho preexistente de obligaciones y contratos, d) la buena fe, y e) la autonomía de las partes. Estos principios se verán más adelante.
En los primeros albores de la discusión jurídica, sobre los presupuestos fundamentales para la elaboración de las normas jurídicas, en el ámbito del comercio electrónico, se establecieron los siguientes:
• Las partes debían tener la mayor libertad para establecer la relación contractual que más les conviniera.
• Las normas debían ser tecnológicamente neutras y orientadas hacia el futuro, es decir, no debían convertirse en un obstáculo para el uso o creación de nuevas tecnologías.
• La modificación de las normas vigentes o la adopción de nuevas normas solo debía hacerse cuando fuera necesario, para apoyar el uso de nuevas tecnologías.
• En el proceso de creación de normas aplicadas a nuevas tecnologías debía participar el sector comercial de alta tecnología, así como las empresas o entidades gubernamentales que no se hubieran incorporado a las nuevas tecnologías y que requerían de procesos de modernización, para reorientar sus procesos y organizaciones.4
Para algunos, comercio electrónico “es solo el proceso de compra y venta de productos por medios electrónicos, como aplicaciones móviles e Internet. El comercio electrónico se refiere tanto al comercio minorista en línea como a las compras en línea, así como a las transacciones electrónicas”.5
El negocio jurídico electrónico como formulación temática es de una gran amplitud, por tanto, el contrato electrónico se ha definido así: “El contrato electrónico es el acuerdo de voluntades que tiene lugar por medios electrónicos, de esta manera, el contrato será electrónico cuando la aceptación es transportada en línea sin importar, por ejemplo, si las partes negociaron en presencia el uno del otro, o si la oferta fue enviada por correo ordinario”.6
Ahora bien, el comercio electrónico se puede entender como cualquier forma de transacción comercial en la cual las partes involucradas interactúan de manera electrónica en lugar de hacerlo de la manera tradicional, con intercambios físicos o trato físico directo. Actualmente, la manera de comerciar se caracteriza por el mejoramiento constante en los procesos de abastecimiento, y, como respuesta a ello, los negocios a escala mundial están cambiando tanto su organización como sus operaciones.
El comercio electrónico es el medio para llevar a cabo dichos cambios dentro de una escala global, al permitir a las compañías ser más eficientes y flexibles en sus operaciones internas, para así producir modelos de datos que le permitan trabajar de forma más eficiente con sus proveedores y lograr por medio de los mismos datos, ya sea con software como inteligencia de negocios, big data, machine learning, etc., realizar perfiles de consumo y anticiparse de forma asertiva a las necesidades y expectativas de sus clientes. Además, permite seleccionar a los mejores proveedores sin importar su localización geográfica para que, de esa forma, se pueda vender a un mercado global.
Teniendo en cuenta lo anterior, se han desarrollado algunas medidas jurídicas tendientes a promover el comercio electrónico y el uso progresivo de las tecnologías de la información; entre ellas, cabe destacar las siguientes:7
• Eliminar las barreras legales basadas en documentos escritos que se oponen a las transacciones electrónicas y aplicación de disposiciones pertinentes en la Ley Modelo sobre Comercio Electrónico de las Naciones Unidas.
• Reafirmar los derechos de las partes para decidir sobre los medios tecnológicos apropiados para autenticar sus transacciones.
• Garantizar a todas las partes la posibilidad de defender un sistema de autenticación de mensajes de datos en los tribunales.
• Otorgar a las tecnologías y proveedores de autenticación de mensajes de datos de otros países un trato no discriminatorio.
• Establecer un marco jurídico que propenda por mantener en debido resguardo, dentro del uso de las nuevas tecnologías, derechos tan importantes como la confidencialidad, la protección del consumidor, la autonomía de la voluntad en las relaciones comerciales, entre otros.8
La regulación, en todo caso, no debe desconocer la importancia de la estructura propia del comercio electrónico, la cual, siguiendo a Arrubla Paucar, podríamos sintetizar como elementos conceptuales del comercio electrónico de la siguiente forma:
• Elementos objetivos
– El mensaje de datos o archivo electrónico
– La norma técnica de estructuración
– La firma digital
– Sistema de información
– Las redes e interconexión de redes (Internet)
– Intercambio electrónico de datos (EDI)
• Elementos subjetivos
– El iniciador o signatario del mensaje de datos
– El destinatario
– Los intermediarios
– Entidad de certificación9
1.2. Equivalencia funcional como principio cardinal, desde el punto de vista jurídico, del comercio electrónico
El principio de la equivalencia funcional de los actos jurídicos celebrados a través de medios electrónicos respecto a aquellos actos jurídicos suscritos en forma manuscrita, e incluso oral, constituye el principal fundamento de la interrelación del derecho con las nuevas tecnologías. Dicho principio se puede simplificar en la siguiente forma: la función jurídica que cumple la instrumentación escrita y autógrafa, respecto de todo acto jurídico, o su expresión oral o por actos inequívocos; la cumple de igual forma la instrumentación electrónica a través de mensajes de datos, con independencia del contenido, extensión, alcance y finalidad del acto así instrumentado.
Es así como este principio constituye la base fundamental para evitar la discriminación de los mensajes de datos con respecto a las declaraciones de voluntad expresadas de manera escrita o tradicional.
En este orden de ideas, las distintas legislaciones consagran el principio de equivalencia funcional de los actos electrónicos; en el caso colombiano, la Ley 527 de 1999, en su artículo 6º, establece que cuando una norma exija que determinada información conste por escrito, este requisito queda satisfecho con un mensaje de datos, si la información contenida en este es susceptible de consulta posterior.
Este equivalente funcional de escrito —principio importantísimo de la regulación en materia de comercio electrónico— se ve complementado con los equivalentes funcionales de firma, original y archivo.10
Es así como la exposición de motivos del proyecto de ley —que posteriormente se convertiría en la ley de comercio electrónico colombiana— argumentaba:
El proyecto de ley, al igual de la ley modelo, sigue el criterio de los equivalentes funcionales que se fundamenta en un análisis de los propósitos y funciones de la exigencia tradicional del documento sobre el papel, para determinar como podrían cumplirse esos propósitos y funciones con técnicas electrónicas.
Se adoptó el criterio flexible de equivalente funcional, que tuviera en cuenta los requisitos de forma fiabilidad, inalterabilidad y rastreabilidad, que son aplicables a la documentación consignada sobre papel, ya que los mensajes de datos por su naturaleza, no equivalen en estricto sentido a un documento consignado en papel.
En conclusión, los documentos electrónicos están en capacidad de brindar similares niveles de seguridad que el papel y, en la mayoría de los casos, un mayor grado de confiabilidad y rapidez, especialmente con respecto a la identificación del origen y el contenido de los datos, siempre que se cumplan los requisitos técnicos y jurídicos plasmados en la ley.
En general, las legislaciones disponen que cuando cualquier norma requiera que la información conste por escrito, que se presente o conserve en su forma original, exija la presencia de una firma o prevea consecuencias por su ausencia, se entenderán satisfechos los requerimientos si se cumplen las siguientes condiciones, así: (i) en relación con el escrito, si la información que el mensaje de datos contiene es accesible para su posterior consulta; (ii) en relación con la firma, si se ha utilizado un método que permita identificar al iniciador de un mensaje de datos e indicar que el contenido cuenta con su aprobación y que el método sea confiable y apropiado para el propósito por el cual el mensaje fue generado o comunicado; (iii) en relación con el original, si existe alguna garantía confiable de que se ha conservado la integridad de la información, a partir del momento en que se generó por primera vez en su forma definitiva, como mensaje de datos o en alguna otra forma y, de requerirse que la información sea presentada, si dicha información puede ser mostrada a la persona que se debe presentar. Para efectos del mensaje de datos original, se considera que la información es íntegra, si esta ha permanecido completa e inalterada, salvo la adición de algún endoso o cambio que sea inherente al proceso de comunicación, archivo o presentación. Finalmente, se establece que el grado de confiabilidad requerido será determinado a la luz de los fines para los que se generó la información y de todas las circunstancias relevantes del caso.