Qué es la firma electrónica y si es válida en Colombia

Cuando firmas un papel, tu firma hace dos cosas: dice que fuiste tú y dice que estás de acuerdo con lo que está escrito encima. Una firma electrónica hace lo mismo con un documento que no está en papel, como un PDF.

La norma colombiana la define así: métodos como códigos, contraseñas, datos biométricos o claves criptográficas privadas que permiten identificar a una persona frente a un mensaje de datos, siempre que sean confiables y apropiados para el fin con que se usa la firma. «Mensaje de datos» es el nombre legal de cualquier información electrónica: un correo, un PDF, un formulario enviado.

Fíjate en que la definición no habla de dibujos. Lo que hace que algo sea una firma electrónica es el método que identifica a la persona, no la imagen que se ve en la hoja. Puedes dibujar tu rúbrica con el dedo en la pantalla, y eso ayuda a que el documento se vea firmado, pero lo que pesa es lo que hay detrás: cómo se comprobó que eras tú y qué quedó registrado.

Ejemplos de todos los días

Ya usas firmas electrónicas aunque no las llames así. Cuando aceptas una transacción en la app de tu banco con una clave, cuando confirmas una compra con un código que te llega al celular o cuando aceptas unos términos después de iniciar sesión, estás expresando tu voluntad por un medio electrónico que te identifica.

La Ley 527 de 1999 es la ley de comercio electrónico. Sus reglas básicas son cortas y claras:

• Artículo 5. No se le pueden negar efectos jurídicos, validez ni fuerza obligatoria a una información por estar en forma de mensaje de datos.
• Artículo 6. Cuando la ley pide que algo conste por escrito, un mensaje de datos cumple si la información se puede consultar después.
• Artículo 7. Cuando se exige una firma, un mensaje de datos cumple si se usa un método que identifique a quien firma y muestre que aprueba el contenido, y si ese método es confiable y apropiado.
• Artículo 10. Los mensajes de datos son admisibles como prueba y tienen la misma fuerza probatoria que los documentos en papel.

El Decreto 2364 de 2012 reglamentó la firma electrónica y hoy está compilado en el Decreto 1074 de 2015, el Decreto Único del sector Comercio, Industria y Turismo. Allí está la definición que viste arriba y una regla que resume todo: la firma electrónica que cumple los requisitos tiene la misma validez y los mismos efectos jurídicos que la firma.

El decreto dice que una firma electrónica es confiable si los datos con que se crea corresponden solo a quien firma, en el contexto en que se usan, y si se puede detectar cualquier cambio no autorizado al documento hecho después de firmar.

Llevado a la práctica, eso significa preguntarle a cualquier servicio de firma:

• ¿Cómo sabe que fui yo? Por ejemplo, con un código de un solo uso enviado a un correo o un celular que nadie puede cambiar después de crear la solicitud.
• ¿Cómo se demuestra que el documento no cambió? Por ejemplo, con una huella digital del archivo, como la SHA-256, registrada al sellarlo: si alguien cambia una coma, la huella deja de coincidir.

Así lo hace Fyrelis: cada firmante confirma que es él con un código de 6 dígitos que vence a los 5 minutos, y el documento sellado queda atado a su huella SHA-256. Lo explicamos con detalle en seguridad.

Si un día alguien dice «yo no firmé eso», el juez no mira la rúbrica dibujada. El artículo 11 de la Ley 527 le pide valorar el documento electrónico con las reglas de la sana crítica, mirando qué tan confiable fue la forma de generarlo, archivarlo y comunicarlo, cómo se conservó su integridad y cómo se identificó a quien lo firmó.

Por eso importa tanto lo que queda guardado. Una buena firma electrónica deja registro de:

• Quién firmó y cómo demostró que era él.
• La hora de cada paso: cuándo recibió el enlace, cuándo lo abrió, cuándo firmó.
• La dirección IP y el dispositivo desde el que firmó.
• El texto que aceptó al firmar.
• La huella del documento, para probar que no cambió.

En Fyrelis todo eso va en un anexo probatorio que se agrega al final del PDF firmado. Y guarda el archivo tal como lo recibiste: el Código General del Proceso (artículo 247) valora como mensaje de datos el documento aportado en el formato en que se generó, mientras que una simple impresión se valora como cualquier papel.

Para casi todo lo demás que firma una empresa, sí sirve: contratos de arrendamiento y laborales, autorizaciones de datos, actas, cotizaciones, aceptación de términos. Lo revisamos documento por documento en qué documentos se pueden firmar.