Firma electrónica avanzada: qué la distingue y cuándo hace falta
Una propuesta comercial que llega a una empresa peruana con la frase «firma electrónica avanzada con validez legal» tiene un problema de traducción antes que un problema de producto. El término existe, está bien definido y significa algo preciso. Lo que ocurre es que significa algo preciso en otra jurisdicción.
Este artículo explica de dónde sale la categoría, qué te están ofreciendo de verdad cuando te la nombran en Perú, y en qué casos ese producto resuelve el problema aunque su etiqueta venga de fuera.
De dónde viene el término
La categoría es europea. El Reglamento (UE) 910/2014, llamado eIDAS, organiza la firma electrónica en tres escalones. Su artículo 3 define la firma electrónica avanzada como la que cumple los requisitos del artículo 26, que son cuatro:
- Estar vinculada al firmante de manera única.
- Permitir la identificación del firmante.
- Haber sido creada con datos de creación que el firmante puede utilizar, con un alto nivel de confianza, bajo su control exclusivo.
- Estar vinculada con los datos firmados de modo que cualquier modificación posterior sea detectable.
Léelos otra vez y fíjate en lo que no dicen: en ningún punto se exige un certificado emitido por una entidad supervisada. Son requisitos sobre el comportamiento de la firma, no sobre quién respalda la identidad del firmante.
Ese respaldo llega en el escalón siguiente, el de la firma electrónica cualificada, y es el escalón al que eIDAS reserva la equivalencia con la firma manuscrita.
Otros países adoptaron la misma etiqueta con su propio contenido. Chile llamó firma electrónica avanzada a la suya en la Ley 19.799. México usa el término para la e.firma del SAT. Que la palabra coincida no significa que los requisitos coincidan.
Qué hay en Perú en su lugar
En Perú hay dos categorías, y las dos están en la Ley 27269. El artículo 2 define la firma electrónica en sentido amplio. El artículo 3 define la firma digital como la que usa criptografía asimétrica con una clave privada y una clave pública relacionadas matemáticamente.
La equivalencia con la firma manuscrita la fija el artículo 3 del D.S. 052-2008-PCM, y la condiciona a una cosa: que la firma digital se haya generado dentro de la Infraestructura Oficial de Firma Electrónica.
En el texto de ese reglamento el término «firma electrónica avanzada» no aparece. Lo que sí aparece, en su artículo 22, son tres niveles de seguridad para los certificados: Medio, Medio Alto y Alto. Miden cómo se protege la clave privada y cómo se validó la identidad del titular, y son una gradación dentro de la firma digital, no un escalón intermedio por debajo de ella.
La comparación, puesta una al lado de la otra:
| eIDAS (Unión Europea) | Perú (Ley 27269 y su reglamento) |
|---|---|
| Firma electrónica simple | Firma electrónica, artículo 2 |
| Firma electrónica avanzada | sin equivalente |
| Firma electrónica cualificada | Firma digital dentro de la IOFE |
El hueco de la fila central es el que produce toda la confusión comercial en el mercado peruano.
Qué te están vendiendo, en realidad
Cuando un proveedor ofrece «firma electrónica avanzada» en Perú, casi siempre es una de estas dos cosas, y la diferencia entre ellas es la que decide si te sirve.
Una plataforma de firma con controles de identidad. Verificación por SMS, foto del documento de identidad, prueba de vida, registro de la dirección IP y la hora, y un informe de auditoría al final. Técnicamente cumple los cuatro requisitos del artículo 26 de eIDAS. Jurídicamente, en Perú, es firma electrónica del artículo 2 de la Ley 27269: vale, y su fuerza depende del pacto entre las partes y de lo que puedas probar con ese informe de auditoría.
Firma digital con certificado acreditado, presentada con etiqueta europea. Es firma digital dentro de la IOFE, con la equivalencia del artículo 3 del reglamento, vendida con el vocabulario del catálogo internacional del proveedor. Aquí el producto es el correcto y solo sobra la etiqueta.
Las dos son cosas legítimas. Cuestan distinto y protegen distinto.
Las tres preguntas que lo resuelven
Antes de firmar el contrato con el proveedor, pregunta esto por escrito:
¿El certificado lo emite una entidad acreditada por INDECOPI dentro de la IOFE? La respuesta es sí o no, y es verificable por tu cuenta en el registro de entidades acreditadas. Cómo consultarlo está en cómo comprobar que un certificado digital está acreditado.
Si mi contraparte niega haber firmado, ¿qué me entregáis? Con firma digital dentro de la IOFE, el propio documento lo sostiene. Con una plataforma de firma electrónica, lo que te entregan es un informe de auditoría, y entonces conviene saber cuánto tiempo lo conservan y en qué formato te lo dan si algún día cambias de proveedor.
¿Sirve para mis comprobantes ante SUNAT? Aquí no hay margen. SUNAT exige firma digital con certificado dentro de la IOFE, y una plataforma de firma con controles de identidad no cubre ese uso por muy avanzada que se llame. Los rechazos que produce equivocarse están en los 7 errores de SUNAT al firmar un comprobante.
Cuándo la plataforma de firma electrónica es la decisión correcta
Nada de esto significa que haya que comprar certificado para todo. Hay casos donde la firma electrónica con controles de identidad gana, y conviene decirlos.
Cuando firmas con muchas personas que no tienen certificado y no lo van a comprar. Un contrato de trabajo con cien candidatos al mes, una autorización de un cliente final, la aceptación de unas condiciones. Exigir certificado a cada firmante convierte un trámite de dos minutos en un proyecto.
Cuando el riesgo de que alguien niegue la firma es bajo y el documento vive poco. Aprobaciones internas, conformidades de servicio, actas de reunión.
Cuando hay relación previa y contrato marco. El artículo 2 del reglamento peruano valida expresamente las firmas generadas fuera de la IOFE en consideración a los pactos que acuerden las partes. Un contrato marco bien redactado convierte esa firma en suficiente entre vosotros.
El criterio que aplicamos: si el documento puede acabar delante de un tercero que no estaba en la sala, certificado dentro de la IOFE. Si se queda entre partes que ya acordaron cómo firman, la plataforma hace el trabajo y cuesta bastante menos.
En resumen
«Firma electrónica avanzada» describe un escalón del reglamento europeo eIDAS que la norma peruana no reproduce. En Perú la línea que separa el valor jurídico está en otro sitio: dentro o fuera de la Infraestructura Oficial de Firma Electrónica.
Traducir la etiqueta a esa línea es todo el trabajo. El marco completo, con los artículos de cada norma, está en qué dice exactamente la ley peruana sobre firma digital y firma electrónica.
Si lo que necesitas es el lado de la IOFE, nuestros certificados se emiten dentro de ella y figuran en el registro que INDECOPI publica, que es el dato que puedes comprobar tú antes de pagar.