Firma digital, firma electrónica y firma electrónica avanzada: qué dice exactamente la ley peruana
Dos contratos llegan al mismo juzgado. Uno se firmó pegando una imagen de la firma en un PDF. El otro se firmó con un certificado emitido por una entidad acreditada por INDECOPI. Los dos son documentos electrónicos y los dos se van a admitir como prueba.
La diferencia aparece después, cuando una de las partes dice que ella no firmó eso. En el primer caso, quien presentó el contrato tiene que demostrar que la otra parte lo firmó. En el segundo, la ley ya le dio a esa firma el mismo valor que a una manuscrita, y el trabajo de desmontarlo le toca a quien lo niega.
Esa inversión es todo el asunto. Este artículo explica de dónde sale, con el número de artículo de cada norma, y por qué la tercera categoría que aparece en casi todos los comparativos del mercado peruano no existe en la ley peruana.
La ley peruana define dos cosas, y las define en dos artículos seguidos
La norma es la Ley 27269, Ley de Firmas y Certificados Digitales, publicada el 28 de mayo de 2000. Su artículo 1 fija el objetivo de todo lo demás:
Regular la utilización de la firma electrónica otorgándole la misma validez y eficacia jurídica que el uso de una firma manuscrita u otra análoga que conlleve manifestación de voluntad.
El artículo 2 define la especie general:
Firma electrónica: cualquier símbolo basado en medios electrónicos utilizado o adoptado por una parte con la intención precisa de vincularse o autenticar un documento cumpliendo todas o algunas de las funciones características de una firma manuscrita.
Léelo despacio, porque es más amplio de lo que la gente supone. Un nombre escrito al final de un correo cabe ahí. Un botón de «acepto» cabe ahí. Una imagen escaneada pegada en un PDF cabe ahí. Todos son firma electrónica en el sentido del artículo 2, siempre que haya intención de vincularse.
El artículo 3 define la especie concreta:
Firma digital: aquella firma electrónica que utiliza una técnica de criptografía asimétrica, basada en el uso de una clave privada y una clave pública relacionadas matemáticamente entre sí.
Toda firma digital es firma electrónica. Al revés no. Y la ley no define ninguna categoría intermedia entre ambas.
Lo que añade la IOFE, que es donde está el valor
La Ley 27269 se reglamentó ocho años después, con el Decreto Supremo 052-2008-PCM, publicado el 19 de julio de 2008. Su artículo 3 dice una sola frase, y es la que hay que memorizar:
La firma digital generada dentro de la Infraestructura Oficial de Firma Electrónica tiene la misma validez y eficacia jurídica que el uso de una firma manuscrita.
Fíjate en la condición: generada dentro de la Infraestructura Oficial de Firma Electrónica. No basta con usar criptografía asimétrica. La equivalencia automática con la firma manuscrita se la lleva la firma digital hecha con un certificado emitido dentro de la IOFE.
¿Y las de fuera? El artículo 2 del mismo reglamento las resuelve, y conviene citarlo entero porque casi nadie lo hace:
Las disposiciones contenidas en el presente Reglamento no restringen la utilización de las firmas digitales generadas fuera de la Infraestructura Oficial de Firma Electrónica, las cuales serán válidas en consideración a los pactos o convenios que acuerden las partes.
Es decir: son válidas, pero su validez depende de que las partes lo hayan pactado. Si hay un contrato marco entre dos empresas que dice «aceptamos firmar así», funciona. Si no hay pacto y la otra parte lo niega, te quedas sin el atajo.
Quién administra la IOFE también está escrito. El artículo 57 del reglamento designa al Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual, INDECOPI, como Autoridad Administrativa Competente. Es quien acredita a las entidades de certificación y quien mantiene el registro de las acreditadas. Comprobar que tu proveedor está en ese registro lleva dos minutos y explicamos cómo en cómo comprobar que un certificado digital está acreditado.
Qué pasa de verdad en un juicio
Aquí es donde se cuentan más medias verdades, en las dos direcciones.
El artículo 4 del reglamento dice que los documentos electrónicos firmados digitalmente dentro del marco de la IOFE deberán ser admitidos como prueba en los procesos judiciales. Eso es admisibilidad: el juez tiene que aceptarlos y mirarlos.
Admisibilidad no es lo mismo que verdad indiscutible, y este es el punto que los vendedores de certificados suelen saltarse. Un documento con firma digital acreditada no gana el juicio solo. Lo que gana es la equivalencia del artículo 3: se trata como un papel firmado a mano. Un papel firmado a mano también se puede impugnar, alegando que la firma se falsificó o que se firmó bajo coacción. La diferencia es que ahora esa impugnación tiene que argumentarla y probarla quien la plantea.
Con una firma electrónica simple ocurre lo contrario. También se admite como prueba, porque en Perú no hay una regla que excluya el documento electrónico. Pero nadie te regala la equivalencia: si la contraparte dice que ese correo no lo escribió, quien lo presenta tiene que construir la prueba de que sí, con registros de acceso, direcciones IP, testigos y peritaje. Eso cuesta tiempo y dinero, y a veces no se consigue.
La pregunta útil antes de elegir no es cuál es «más segura». Es: si mañana la otra parte niega haber firmado esto, ¿quién tiene que probar qué, y cuánto me cuesta?
El Código Civil lo permitió antes que la ley de firmas
Un mes después de la Ley 27269, la Ley 27291, de junio de 2000, modificó dos artículos del Código Civil que sostienen todo lo demás.
El artículo 141 quedó así: la manifestación de voluntad es expresa cuando se realiza en forma oral o escrita, a través de cualquier medio directo, manual, mecánico, electrónico u otro análogo.
El artículo 141-A, incorporado por esa misma ley, resuelve el caso de la formalidad: cuando la ley exija que la manifestación de voluntad se haga con alguna formalidad expresa o requiera de firma, esta podrá ser generada o comunicada a través de medios electrónicos, ópticos o cualquier otro análogo. Para los instrumentos públicos, la autoridad competente debe dejar constancia del medio empleado y conservar una versión íntegra para consultas posteriores.
Ese segundo artículo es el que permite, por ejemplo, que un contrato que la ley exige por escrito se firme electrónicamente. También marca los límites: hay actos donde la formalidad la impone otra norma y esa norma manda. Lo desarrollamos en qué documentos se pueden firmar digitalmente en Perú, y cuáles no.
Los tres niveles que sí existen en el reglamento
Si buscabas una gradación en la norma peruana, existe, pero no es la que se suele citar. El artículo 22 del D.S. 052-2008-PCM establece tres niveles de seguridad para los certificados: Medio, Medio Alto y Alto.
Esos niveles se refieren a cómo se protege la clave privada y a cómo se validó la identidad del titular al emitirlo. Un certificado en un archivo .p12 guardado en el disco de un servidor y uno cuya clave privada nunca sale de un módulo de hardware no están en el mismo nivel, aunque los dos sean firma digital dentro de la IOFE y los dos tengan la equivalencia del artículo 3.
Para uso tributario esto tiene una consecuencia práctica: SUNAT acepta el certificado en archivo para firmar comprobantes, y la mayoría de emisores trabajan así. Para firmar contratos de importe alto o documentos que van a vivir diez años, el nivel del certificado es una decisión que conviene tomar a propósito y no por descarte.
De dónde viene «firma electrónica avanzada»
Si has comparado proveedores, habrás visto una tabla de tres filas: simple, avanzada y cualificada. Esa tabla es correcta, y describe el Reglamento (UE) 910/2014, conocido como eIDAS, que rige en la Unión Europea. Su artículo 3 define la firma electrónica avanzada como la que cumple los requisitos del artículo 26, y reserva la equivalencia plena con la manuscrita para la cualificada.
Chile tiene su propia versión con la Ley 19.799. México trabaja con la firma electrónica avanzada del SAT.
En el texto del reglamento peruano, el término «firma electrónica avanzada» no aparece. Las dos categorías son las de los artículos 2 y 3 de la Ley 27269, y la línea que separa el valor jurídico de una y otra es la IOFE.
Esto importa cuando contratas. Si una propuesta comercial en Perú te ofrece «firma electrónica avanzada», la pregunta que hay que hacer es concreta: ¿el certificado lo emite una entidad acreditada por INDECOPI dentro de la IOFE, sí o no? Todo lo demás es descripción de producto. Lo desarrollamos en firma electrónica avanzada: qué la distingue y cuándo hace falta.
Cuál usar, por caso
| Situación | Qué necesitas | Por qué |
|---|---|---|
| Firmar comprobantes electrónicos ante SUNAT | Certificado digital dentro de la IOFE | Lo exige la normativa tributaria; sin él el comprobante se rechaza |
| Contrato con un tercero que puede acabar en juicio | Firma digital IOFE | Equivalencia del artículo 3 sin tener que pactarla |
| Aprobación interna entre áreas de la misma empresa | Firma electrónica simple | El artículo 2 del reglamento la valida por acuerdo interno |
| Trámite ante una entidad pública | Firma digital IOFE | La entidad suele exigirla y verifica contra el registro de INDECOPI |
| Acuerdo recurrente con un proveedor habitual | Firma electrónica con contrato marco | Artículo 2 del reglamento: vale por el pacto entre las partes |
La regla que aplicamos con clientes: si el documento puede terminar discutido ante un tercero que no estaba en la sala, firma digital dentro de la IOFE. Si se queda dentro de una relación donde las dos partes ya acordaron cómo firman, la firma electrónica simple hace el trabajo y cuesta menos.
Un error frecuente que no es legal, es técnico
Hay una confusión que aparece cuando la decisión jurídica ya está tomada y toca comprar: creer que cualquier certificado sirve. Un certificado de servidor web y un certificado de firma son archivos con el mismo aspecto y usos declarados distintos, y confundirlos produce rechazos de SUNAT que parecen problemas de la firma. Está contado con los códigos concretos en certificado de firma o certificado SSL.
Si lo que necesitas es emitir comprobantes, el recorrido completo de compra y configuración está en certificado digital SUNAT para facturación electrónica.
La pregunta que casi nadie hace: ¿y dentro de ocho años?
Un certificado digital de persona jurídica dura uno, dos o tres años. Un contrato de arrendamiento dura cinco. Un pagaré puede discutirse mucho después. Ahí aparece un problema que la ley no resuelve sola y que se arregla en el momento de firmar, no cuando estalla.
Cuando verificas hoy una firma hecha hace seis años, el programa comprueba si el certificado estaba vigente. Si venció hace tres, la respuesta por defecto es que la firma no valida, aunque el día en que se firmó todo estuviera en regla. El verificador no tiene forma de saber cuándo se firmó, porque la fecha que trae el documento la puso el mismo equipo que firmó y se puede cambiar.
La solución es el sello de tiempo. Una tercera parte de confianza certifica que ese documento, exactamente ese, existía en tal fecha y hora. Con sello de tiempo, el verificador razona hacia atrás: el certificado estaba vigente cuando se selló, luego la firma era buena entonces, aunque hoy el certificado ya no lo esté.
Los formatos que lo incorporan tienen nombre y conviene pedirlos por su nombre al proveedor de software:
- PAdES-LTV para documentos PDF, que además embebe la información de revocación dentro del propio archivo.
- XAdES-A para XML, el mismo estándar sobre el que SUNAT construye la firma de los comprobantes.
El coste de añadirlo al firmar es bajo. El coste de no tenerlo aparece años después, cuando el documento tiene que sostenerse solo y ya no hay nadie a quien preguntarle. Es el error que más veces hemos visto en expedientes de empresas que digitalizaron pronto y bien: firmaron con certificado acreditado, hicieron todo correcto, y guardaron archivos sin sello de tiempo.
Lo que conviene retener
La ley peruana tiene dos categorías. La firma electrónica del artículo 2 de la Ley 27269 vale, pero su fuerza depende de lo que las partes hayan pactado y de lo que puedas probar. La firma digital dentro de la IOFE tiene, por el artículo 3 del D.S. 052-2008-PCM, la misma validez que tu firma a mano, sin necesidad de pactar nada con nadie.
Si vas a emitir comprobantes o firmar documentos que pueden acabar discutidos, nuestros certificados digitales se emiten dentro de la IOFE y aparecen en el registro de INDECOPI, que es lo único que puedes verificar tú mismo antes de pagar.