Del renovado proyecto de decreto sobre firma electrónica

En mayo del 2009 el Ministerio de Comercio, Industria y Turismo presentó para comentarios de la opinión pública un proyecto de decreto que regulaba la firma electrónica como mecanismo de autenticación. En junio del presente año, se presentó a consideración el mismo proyecto de decreto que se diferencia de su predecesor en que el artículo 4º de la edición 2009 se divide en los artículos 4º y 5º de la edición 2012. Esta “renovada” versión dista de ser una novedad reglamentaria, pues constituye el “copy-paste” de la versión que por serios defectos jurídico-técnicos se archivó en el 2009.

Lo más preocupante es la insistencia de opiniones –como hace tres años– que desconocen el ordenamiento jurídico vigente, e incluso las condiciones del mercado. Lo anterior se hace evidente en la columna denominada Firma electrónica: valiosa herramienta para el Estado, ciudadanos y empresas escrita por el abogado Nelson Remolina (ÁMBITO JURÍDICO, edición 354, 17 al 30 de septiembre de 2012), sobre la cual voy a revisar punto a punto:

El uso de firmas electrónicas y  de firmas digitales es opcional, no solo desde la Ley 1564, sino desde el artículo 7º de la Ley 527 de 1999. Lo que se debe distinguir y está claramente diferenciado es su valor probatorio. El uso de una u otra modalidad de firma dependerá de un análisis de riesgos para cada trámite o actuación frente a peligros como la suplantación de identidad, la alteración de mensajes de datos o el repudio de la información. En la actividad judicial es importante reconocer también lo que antes prescribía la Ley 794 del 2003 y el Acuerdo 3334 del Consejo Superior de la Judicatura.

La firma digital no es tecnología PKI. Revísese por favor la definición de la Ley 527 en los artículos 2º y 28. El resultado perseguido por la firma digital hoy se logra, entre otras tecnologías, a través de PKI, pero ya existen otras tecnologías aplicables.

Las firmas digitales en Colombia ya no son un instrumento de lujo. Hoy en día para trámites transaccionales una firma digital puede costar 8.000 pesos, lo que no constituye un lujo, ni mucho menos un despilfarro de recursos, pues se está invirtiendo en seguridad transaccional para proteger al usuario.

El Estado desde definiciones de la COINFO, definió no ser juez y parte en el modelo de autenticación de sus procedimientos administrativos electrónicos. Las razones de inconveniencia son muchas pero basta con señalar los problemas en generación de firmas digitales que ha tenido la DIAN en su infraestructura de certificación y que han derivado en importantes fraudes al fisco.

Lo que se debe reglamentar es lo descrito en el artículo 161 del Decreto Ley 019 del 2012, que modificó el artículo 30 de la Ley 527, en cuanto a la posibilidad de que entidades de certificación intervengan en la generación de firmas electrónicas. Hoy en día tenemos las firmas electrónicas del artículo 7º de la Ley 527, las firmas electrónicas certificadas del artículo 30 y las firmas digitales del artículo 28.

La propuesta de decreto no es técnica, pues usurpa lo definido en la ley al homologar los efectos probatorios de una firma electrónica y de una firma digital. Los artículos 4º y 5º propician gran inseguridad técnica y jurídica en la autenticación de las operaciones electrónicas y validan como seguros modelos que técnicamente han demostrado gran vulnerabilidad. Ejemplo: la clave de un cajero electrónico.

La mencionada propuesta tampoco corresponde a estándares globales, basta leer las definiciones que trae la ley modelo de firma electrónica del 2002, donde se avala la distinción probatoria cuando interviene un prestador de servicios de certificación en el mecanismo de autenticación, o iniciativas regionales como los decretos sobre la materia en países como Panamá, Nicaragua, Paraguay y México.

El TLC con EE UU ya se encuentra cubierto por la legislación vigente en materia de autenticación. Solamente se debe aplicar lo ya dispuesto en los artículos 17 y subsiguientes de la Ley 527. El capítulo 15 sobre comercio electrónico del mencionado tratado no requiere de un esfuerzo reglamentario particular como se está pretendiendo hacer ver, pues las partes de una comunicación electrónica ya pueden acordar los mecanismos de autenticación que consideren necesarios.

Las entidades de certificación no son notarios públicos o no se pueden asemejar a ellos. Se trata de terceros de confianza que no dan fe pública. Se sugiere revisar la naturaleza jurídica que se encuentra descrita en la Sentencia C-662 del 2000. Por lo tanto, utilizar los servicios de estas no se puede comparar con acudir a un notario.

Es lamentable que se pretenda “pontificar” a  través de opiniones académicas que denotan una cruzada contra el modelo de aseguramiento técnico y jurídico de transacciones electrónicas y que esconden intereses particulares que deberían ser visibles para que el debate se diera con mayor altura.

Erick Rincón Cárdenas

Director Especialización en Derecho y Tecnologías Universidad del Rosario