Aspectos teórico-prácticos de la firma digital en Colombia y su referente en Latinoamérica

Si bien, como vemos, la doctrina transitaba hacia la aceptación del documento electrónico, el mayor grado de exigencias del documento escrito, en materia civil, sobre todo en el contexto del negocio jurídico, requería un estudio particular de las propiedades del documento electrónico para su aceptación plena dentro de la categoría documental civil, situación que fue superada al integrar la rigurosidad probatoria de los documentos contenidos en mensajes de datos, en el Código General del Proceso.

Dejando de lado la practicidad de la admisibilidad con fuerza probatoria del documento legal, en el marco de un proceso judicial o administrativo, vemos, con preocupación, que la técnica legislativa no se enmarca en un concepto tecnológico adecuado, de tal suerte que a la fecha se admite la incorporación de un documento en un mensaje de datos, pero no se ha tratado la interoperabilidad de las distintas formas del documento electrónico, por lo menos en el caso colombiano.

Sumado esto, existe la necesidad de compaginar la posición doctrinal, legal y jurisdiccional sobre los principios rectores de interpretación y ejecución del documento electrónico, ya que, actualmente, la ausencia de una adecuada capacitación y entendimiento del documento electrónico ocasiona multiplicidad de derivaciones de interpretación, unas acertadas otras equivocadas que impiden un tratamiento unívoco de las clases de documentos electrónicos incorporados en mensajes de datos, así como el grado de demostración de un hecho que pueden incorporar.

1.3.5. Definición de documento electrónico y de su valor probatorio

El doctrinante nacional, Devis Echandía, considera que “documento” es “toda cosa que sirve de prueba histórica indirecta y representativa de un hecho cualquiera”, y, por su parte, el tratadista internacional, Carnelutti, considera que “el documento no es solo una cosa, sino una cosa representativa, o sea capaz de representar un hecho”.41

Se ha definido “documento electrónico” como “la representación en forma electrónica de hechos jurídicamente relevantes, susceptibles de ser representados en una forma humanamente comprensible”.42

Algunas propuestas legislativas, como el caso de la Recomendación 95/144/CEE43 del Consejo de Europa, consideran que lo verdaderamente importante no es la representación de la información, sino el dato, es decir, la información incorporada en el registro electrónico; mientras que otros autores con un criterio estrictamente material opinan que el documento informático es el soporte, por cuanto este permite la representación del documento.

El documento, en general, y, por tanto, el documento electrónico como una de sus especies, es un bien de naturaleza mueble, por lo que pueden ser trasladados de un lugar a otro y puestos a consideración del juez. Por lo anterior, el documento se caracteriza por lo siguiente:

• Se trata de un bien mueble representativo de un hecho o de un acto del hombre.

• Esa representación se da por medio de signos inteligibles.

• Es susceptible de llevarse o transportarse al proceso.

En ese orden de ideas, se encuentra que el mensaje de datos, entendido como documento electrónico, también es susceptible de ser firmado, de tener un titular o creador, e, igualmente, puede diferenciarse cuando un mensaje de datos es un documento electrónico original y auténtico, en la medida en que no ha sido alterado. Así mismo, se podrá deducir que son aplicables las distinciones entre documento electrónico público y privado en los términos del Código General del Proceso.44

Parte de las consignas locales y globales, a nivel público y privado, son las estrategias paperless que pretenden crear ecosistemas de consumo reducido o mínimo de recursos como el papel o el plástico, con el fin de ser más rentables y amigables con el ambiente; para ello, se da paso al procesamiento de documentos digitales, cuya característica principal radica en desarrollar el ciclo de vida documental completo en cadenas de mensaje de datos. Esta es la sociedad que, sin tener papeles, tiene mucha más información, con la misma validez legal.45

En tal sentido, se encuentran normas como el artículo 6º de la Ley 527 de 1999, en el caso colombiano, el cual dispone que “cuando una norma requiera que la información conste por escrito, ese requisito quedará satisfecho con un mensaje de datos, siempre y cuando la información que contiene sea accesible para su posterior consulta”.

Igualmente, el artículo 8º de la ley comentada señala que cuando una norma requiera que la información sea presentada en su forma original, ese requisito se satisface si cumple los siguientes requisitos:

a. Que pueda garantizarse que la información se ha conservado íntegra desde cuando se generó por primera vez.

b. Que al requerirse que la información sea presentada, esta pueda ser mostrada a quien deba presentarse.46

Es así como se puede distinguir, dentro de los mensajes de datos, aquellos documentos electrónicos originales, es decir, que pueden reemplazar los escritos originales que suelen solicitarse en las relaciones entre particulares o frente al Estado, si cumplen las condiciones que trae la ley. Esas condiciones, en gran parte, se relacionan con la labor de las entidades de certificación y con las pruebas complementarias que puedan desprenderse, tales como declaraciones e inspecciones con peritos dirigidas a examinar el terminal físico o lógico donde se expidió o recibió un mensaje de datos.

Sin embargo, por economía procesal, resulta de mayor valor entender que, salvo la impugnación del documento electrónico original, certificado o no, el juez debe admitirlo como prueba sin hacer elucubraciones extraordinarias al respecto, aunque sí teniendo en cuenta las declaraciones en el libelo petitorio, respecto de la autenticidad e integridad del documento contenido en el mensaje de datos.

Adicionalmente, como complemento a los anteriores artículos está el 9º, según el cual: “se considerará que la información consignada en un mensaje de datos es íntegra si ha permanecido completa e inalterada, o si se ha adicionado algún endoso o cambio que sea inherente o propio de su mismo proceso de comunicación, archivo o presentación”.47

De lo anteriormente expuesto, puede deducirse lo siguiente:

a. El mensaje de datos obliga a quien lo expide y vincula a sus destinatarios.

b. El mensaje de datos tiene valor y fuerza probatoria al tratarse de una prueba contenida en un documento, con lo que se pone fin a la discusión sobre la admisibilidad como prueba de los documentos electrónicos, iniciada con el uso del télex y el telefax y seguida con la utilización de tecnologías como el EDI e Internet.

c. Además, ya no es solo original el papel escrito, sino, también, el mensaje de datos que tenga las características propias de serlo.48

Funcionalmente, el documento es una cosa que sirve para representar otra o un hecho acaecido, concepto que, en lo estrictamente jurídico, queda enmarcado por la necesidad de expresión a través de la escritura; pero, además, es preciso que esté dirigido a un objetivo probatorio, pudiéndose demostrar la cosa representada a través de él; ahora bien, sin ánimo de dar definiciones, pues ya son suficientes, lo importante es tener en cuenta lo siguiente: a) si ese objeto nos brinda una idea clara sobre su autor y su contenido, b) entrar a analizar cada una de las características y las innumerables formas en que se puede dar es irrelevante.

En ese orden de ideas, el documento electrónico, para poseer valor probatorio, debe reunir los mismos requisitos de un documento o instrumento per cartam; esto es, aquellos requisitos que se refieren a la esencia del documento mismo. En primer término, deberá reunir las exigencias instrumentales probatorias propias de todo acto o contrato, como: a) ser instrumento público o privado, de aquellos reconocidos por el ordenamiento jurídico como tales; b) reunir los requisitos de eficacia que establecen los diferentes estatutos procesales, para que tengan valor probatorio en juicio.49

En segundo término, el documento electrónico debe reunir los requisitos de fondo exigidos por la ley, respecto al acto que se instituye en el documento, según su especie y calidad, y, adicionalmente, deberá reunir los requisitos formales establecidos por la ley para el valor de ciertos actos en consideración a la naturaleza de ellos, consentimiento y causa lícitos.50

Tratándose del documento electrónico, tenemos que decir que este hace constituir como objeto de la prueba los hechos que en él se incorporan, es decir, lo que denomina los elementos del documento electrónico.51

El medio de prueba se puede ver desde dos puntos de vista; el primero de ellos es entendido como la actividad del juez o de otras personas, que suministran, al primero, el conocimiento de los hechos de la litis, y, desde otro punto de vista, como los instrumentos y órganos que suministran al juez ese convencimiento, es decir, los elementos personales y materiales de la prueba.52

Ahora bien, a partir de determinar cuál es el objeto de la prueba, es necesario indicar qué fuerza probatoria tiene el documento electrónico. En principio, y como se indicó, el documento electrónico debe apreciarse como documento y tendrá el valor probatorio que el juez, en su libertad probatoria, le otorgue, y se deberá tener en cuenta la confiabilidad en tres aspectos, como son: la forma como se generó, la forma como se ha conservado y la forma como se identifique el iniciador.

Por la estructura del documento electrónico,53 se puede considerar que el medio más idóneo de prueba en este punto lo constituye el documental, sin embargo, es importante indicar otro medio probatorio que es factible de utilización: la prueba pericial, por cuanto puede requerirse de personas con conocimientos en sistemas e informática para convertir la información contenida en el sistema en datos inteligibles, para que el documento llegue al juez de forma tal que lo pueda comprender, como es el caso de un documento que se encuentra encriptado.54

El documento tiene eficacia probatoria si, además de ser válido, reúne los requisitos de idoneidad y es conducente para probar un hecho; además, deberá tenerse establecida su autenticidad; si es otorgado en el exterior deben cumplirse las autenticaciones previstas en la ley; por último, no puede existir prueba legalmente válida en contra, agregando, además, que el autor del documento tenga la capacidad requerida para suscribir el acto documentado.55

Lo anterior hace que el objeto de la prueba pueda ser todo aquello que es susceptible de demostración histórica, limitado, por Devis Echandía, a los hechos pasados, presentes y futuros y a los que puedan asimilarse a estos.

Pero, además de lo anterior, debe tenerse en cuenta que el documento electrónico deberá dar cumplimiento a los requisitos formales instrumentales, esto es, aquellos establecidos para la validez del acto, y, por lo tanto, en caso de ser necesaria la formalidad por la ley, deberá cumplir con las exigencias de la escritura pública o ser otorgado por funcionario público competente.

Sin embargo, será necesario tener en cuenta que la firma digital, la cual consiste en “datos asociados con o la transformación criptográfica de una unidad de datos que permite al receptor probar la fuente y la integridad de la unidad de datos y proteger contra una falsificación”, ofrece quizá mayores garantías, además, en la medida en que son varios los intervinientes en la elaboración de la misma, se podría pensar en mayor grado porcentual de riesgo al fraude. Lo importante radica, entonces, en que bien sea firma electrónica, definida como “métodos tales como, códigos, contraseñas, datos biométricos, o claves criptográficas privadas, que permite identificar a una persona, en relación con un mensaje de datos, siempre y cuando el mismo sea confiable y apropiado respecto de los fines para los que se utiliza la firma, atendidas todas las circunstancias del caso, así como cualquier acuerdo pertinente”,56 o firma digital, esta cumple con las mismas funciones que una firma ológrafa definida como aquella que sirve para identificar al autor de un documento y simultáneamente asegurar la integridad del contenido cuando se cumplen las siguientes condiciones: (i) el documento está escrito con tinta indeleble y en soporte papel absorbente, tal que una enmienda o raspadura que altere la información escrita sea visible y evidente; (ii) el documento posee márgenes razonables que contienen los renglones escritos, tal que cualquier escritura adicional sea visible y evidente; (iii) la firma manuscrita se coloque delimitando la información escrita, tal que no sea posible agregar texto escrito excepto a continuación de la firma manuscrita; (iv) el firmante utiliza siempre la misma o similar firma manuscrita para firmar los documentos de su autoría; (v) la firma manuscrita es suficientemente compleja tal que su falsificación deviene no trivial, y (vi) existen peritos caligráficos que pueden detectar las falsificaciones con un razonable grado de certeza.

En resumen, una firma electrónica (para nuestro análisis, firma digital) debe cumplir con las siguientes funciones:

• Identificar al autor.

• Dar certeza de la participación de esa persona en el acto de firmar.

• Relacionar a la persona con el contenido del documento.57

Finalmente, lo importante cuando llegue el momento de valorar la fuerza probatoria de un mensaje de datos que contenga cualquier documento será tener en cuenta, entre otros aspectos: a) la confiabilidad de la forma en la que se haya generado, archivado o comunicado el mensaje; b) la confiabilidad de la forma en que se haya conservado la integridad de la información; c) la forma en la que se identifique a su iniciador y d) cualquier otro factor pertinente.58

1.4. Requisitos esenciales para alcanzar la seguridad en entornos electrónicos

1.4.1. La autenticación

La autenticación no es un tema nuevo. Sin embargo, las nuevas realidades y riesgos del e-commerce han hecho del problema de la autenticación el corazón de la construcción de la confianza en las transacciones electrónicas.

Muchos países han adoptado legislación dando validez legal a los documentos electrónicos y a las firmas digitales. Así mismo, las aplicaciones para transacciones electrónicas comerciales buscan la confidencialidad, integridad y seguridad proporcionando seguridad sobre el riesgo de negocios relativo a esas transacciones.

1.4.2. La confianza en los negocios

Las personas solo hacen negocios con personas en quienes confían, conocen o tienen la certeza de su identidad o de su capacidad legal. Esa confianza no es una cuestión de fe, regulación o tecnología, surge de la propia gestión de tales relaciones. El cuidadoso manejo de los canales y procesos de información construye y refuerza la confianza, limitando el riesgo propio de los negocios.

La firma es parte de ese ambiente de confianza. Aunque la necesidad de una firma no está específicamente definida, en términos de riesgo de negocios y de aplicación legal, la firma asocia y da efecto a un documento de manera exclusiva con una entidad o individuo.

Crear una firma válida no requiere una tecnología específica. La ley simplemente requiere reconocer que las firmas pueden ser impuestas por medios electrónicos que sean equivalentes funcionales.

La seguridad informática debe preservar la confidencialidad, integridad y disponibilidad de los datos de una organización proporcionando seguridad y reconocimiento legal. Al respecto, será necesario tener en cuenta los siguientes conceptos fundamentales para lo que se abordará en adelante:

a. Seguridad: cualidad o estado de protección contra pérdidas o efectos incontrolables. No es posible en términos absolutos, solo existe en niveles según su sensibilidad.59

b. Confidencialidad: implica que la información solo es compartida entre las personas u organizaciones autorizadas. La seguridad apropiada depende del nivel de confidencialidad de la información.

c. Integridad: implica que la información es auténtica y completa, y que puede confiarse que es suficientemente precisa para un propósito.

d. Disponibilidad: significa que los sistemas responsables por la entrega, almacenamiento y procesamiento de la información son accesibles cuando sean necesitados por aquellos que los necesiten.

e. Conservación de archivos: la información comercial es auditable, por lo tanto, debe ser segura y estar disponible en un estándar de integridad que garantice la conservación de un alto valor como evidencia por largos periodos de tiempo.

f. Autenticación: es la verificación de la autenticidad de identificadores exhibidos por una persona, organización o máquina. Es el segundo paso después de la presentación de un identificador a un sistema de seguridad. Usualmente, la autenticación de la firma tiene efectos legales, mientras la autenticación de origen, destino e identidad tiene objetivos de seguridad tecnológica.

g. Presunción de autenticación: las firmas digitales no solo validan al remitente, sino que pueden estampar cronológicamente la transacción. Las partes pueden utilizar firmas electrónicas con validez legal, la única diferencia con las firmas digitales son las presunciones asociadas con la transacción. Casi todas las leyes asignan una presunción de autoría e integridad a las firmas digitales. Las firmas electrónicas frecuentemente requieren un acuerdo entre las partes para darle este valor describiendo el método específico. La presunción implica que quien presenta un hecho no debe demostrarlo, quedando la carga de la prueba para quien pretende refutarlo. Un método para refutar una firma digital es demostrar que el usuario del certificado digital era un impostor que fraudulentamente convenció a la autoridad de certificación (CA, por sus siglas en inglés) para que emitiera un certificado digital con otro nombre.

La idea de no repudiación es una fuerte evidencia de la identidad del firmante de un documento electrónico que es suficiente para persuadir a una autoridad (juez, árbitro, jurado) del origen, entrega e integridad del documento contra un intento de rechazo.

h. Autoría: la firma manuscrita tradicionalmente es demostrativa de autoría o consentimiento. En e-commerce se ha buscado un equivalente funcional. Muchos países lo han resuelto adoptando leyes similares a la Ley Modelo sobre Comercio Electrónico de la CNUDMI. Existen diversas técnicas de firma electrónica que sirven como equivalentes funcionales.

La presunción de autoría de una firma digital se basa en el principio de que el firmante debe tener cuidado razonable con respecto al uso de esta firma impidiendo el uso de terceros. Por sí sola la firma digital no garantiza la identidad de quien firma, en el mejor de los casos, permite atribuir a una persona esa firma.

No hay verdadera equivalencia funcional si el procedimiento de aplicación de la firma es inseguro. Es necesario que si el firmante sabe que la seguridad de su firma está afectada debe dar noticia sin falta de ello a quien se espera que confíe en tal firma.

Los tipos de incidentes, en materia de seguridad, se pueden clasificar de la siguiente manera:

a. Pruebas: se trata de la realización de diferentes tipos de pruebas con el fin de encontrar fallas en la seguridad de los sistemas, causados por errores de configuración o por defectos en los programas que se instalan. En la actualidad, dichas pruebas se hacen de manera automática con programas específicos, por lo tanto, el número de ordenadores probados es mayor.

b. Acceso a cuentas de usuario: los hackers tienen la posibilidad de entrar al sistema como un usuario legal, adivinando la clave de acceso y aprovechando algún agujero de seguridad que haya en el sistema de seguridad para crear un usuario nuevo. Esto ocurre en varias oportunidades, debido a que los usuarios utilizan claves que son fáciles de adivinar. La mejor protección para esta situación es la imposición de restricciones respecto de palabras que se puedan utilizar (que contengan letras y números que caduquen o que no puedan repetirse las claves utilizadas anteriormente).

c. Acceso a la cuenta del administrador: el objetivo de un hacker es entrar a la cuenta del administrador del sistema, pero cuando este tiene los privilegios necesarios para controlar todos los aspectos. La protección limita el acceso a esa cuenta desde otros ordenadores o utiliza técnicas hardware de identificación como son las tarjetas, huella digital, voz, entre otras.

d. Analizador de red: o sniffer es un programa que lee toda la información que circula por una red de ordenadores. Dentro de la información que viaja en la red se encuentran las claves de acceso de los usuarios, datos de tarjetas de crédito, cuentas bancarias en otros países, cualquier tipo de información de interés para los hackers. En la actualidad, se pretende que dicha información sensible circule de manera encriptada para anular la efectividad de esos ataques.

e. Denegación de servicio: el fin de los ataques es un bombardeo a los sitios para que colapsen y para que los usuarios que entran a la red de manera legal no lo puedan hacer. Para protegerse de estos ataques, los administradores pueden restringir el acceso al sistema, negando el acceso desde los ordenadores que son considerados no fiables. Este tipo de protección no es tan fácil de implementar en los sitios de alta circulación por parte de los usuarios.60

f. Explotación de la credibilidad: entre los ordenadores de una red se establecen diferentes niveles de credibilidad, por ejemplo, cuando un usuario se conecta a otro ordenador que considera el suyo como una máquina segura, y este tiene una cuenta en dicho ordenador, ya no se le solicita la clave de acceso. Cuando un hacker consigue suplantar la identidad de dicho ordenador utilizando uno de esos bajo su control, crea usuarios en el suyo para acceder a las cuentas de los usuarios de otro ordenador. Para evitar este tipo de problemas, el administrador de la red debe utilizar con cuidado la concesión de la calificación de máquina segura a otros ordenadores.61

g. Código malicioso: son los programas que una vez ejecutados producen resultados no deseados como los caballos de Troya, virus y gusanos. Los caballos de Troya son los programas instalados en el ordenador y ejecutados pensando que hacen alguna determinada cosa como traducir un texto, realizar cálculos, etc., y que, además, de forma clandestina, realizan otras actividades sin informar al usuario, como, por ejemplo, crear un usuario nuevo con una clave determinada, enviar un correo a otro ordenador con información confidencial del usuario, borrar información existente, etc.

Existen, por supuesto, otras modalidades de suplantación (SIM swapping), robo de identidades, robo de contraseñas, etc., que evolucionan cada día, en la medida en que los sistemas logran vencer sus propias vulnerabilidades y la educación en esta materia se extiende al interior de las organizaciones y entidades públicas.

1 Emolina, Nelson y Peña, Lisandro, De los títulos valores y de los valores en el contexto digital, primera edición, Bogotá: GECTI Universidad de los Andes, Ediciones Uniandinas, Temis, 2011.

2 Ibíd.

3 Polanco López, Hugo Armando, “Manifestaciones del principio de equivalencia funcional y no discriminación en el ordenamiento jurídico colombiano”, Criterio Jurídico, vol. 16, núm. 1, 2018, pp. 37-67. Disponible en: https://revistas.javerianacali.edu.co/index.php/criteriojuridico/article/view/1787

4 Al respecto se puede ver Pincus, Andrew, Hacia un marco jurídico comercial uniforme para transacciones electrónicas mundiales, Departamento de Comercio de los Estados Unidos, 1999.

5 Disponible en: https://ecommerce-platforms.com/es/glossary/ecommerce

6 Fortich, Silvana, “Una nota sobre formación y formalismo del contrato electrónico”, Revista de Derecho Privado, núm. 20, 2011, pp. 347-357. Disponible en: https://revistas.uexternado.edu.co/index.php/derpri/article/download/2896/2537/