Regulación local de la firma electrónica en Colombia

Conforme a consulta elevada por FMC respecto a la regulación local de las firmas electrónicas, con la finalidad de implementar la firma electrónica a través de docusign, inicialmente para la firma de convenios de confidencialidad y contratos de prestación de servicios, se procede a otorgar el presente concepto para su análisis y consideración:

1. Conceptualización del marco jurídico colombiano con relación a la implementación de la firma electrónica.

La denominada “Firma Digital” o “Firma Electrónica” es una figura que fue consagrada dentro del ordenamiento jurídico colombiano a partir de la Ley 527 de 1999, por medio de la cual procedió a otorgar la validez legal de la firma digital, como
bien se resalta en su artículo 7:

“Artículo 7º. Firma. Cuando cualquier norma exija la presencia de una firma o establezca ciertas consecuencias en ausencia de la misma, en relación con un mensaje de datos, se entenderá satisfecho dicho requerimiento si:

a. Se ha utilizado un método que permita identificar al iniciador de un mensaje de datos y para indicar que el contenido cuenta con su aprobación,

b. Que el método sea tanto confiable como apropiado para el propósito por el cual el mensaje fue generado o comunicado.

Lo dispuesto en este artículo se aplicará tanto si el requisito establecido en Cualquier norma constituye una obligación como si las normas simplemente prevén consecuencias en el caso de que no exista una firma.”

De igual manera, el artículo 28 de la misma ley equipara sus efectos a los de una firma manuscrita, siempre y cuando cumpla ciertas características, como por ejemplo que sea susceptible de ser verificada, que la persona que firma sea el único que la utiliza y esté bajo su exclusivo control, entre otros.

“Artículo 28. Atributos jurídicos de una firma ciertas. Cuando una firma digital haya sido fijada en un mensaje de datos se presume que el suscriptor de aquella tenía la intención de acreditar ese mensaje de datos y de ser
vinculado Con el contenido del mismo.

Parágrafo. El uso de una firma digital tendrá la misma fuerza y efectos que el uso de una firma manuscrita, si aquélla incorpora los siguientes atributos:

1. Es única a la persona que la usa.
2. Es susceptible de ser verificada.
3. Está bajo el control exclusivo de la persona que la usa.
4. Está ligada a la información o mensaje, de tal manera que si éstos son cambiados, la firma digital es invalidada.
5. Está conforme a las reglamentaciones adoptadas por el Gobierno Nacional.”

Ahora bien, a partir de la promulgación del Decreto único Reglamentario 1074 de 2015, se recogió toda la reglamentación existente en materia de firma electrónica entre los artículos 2.2.2.47.1 a 2.2.2.47.10; en este Decreto Único Reglamentario se otorga una definición mas certera y amplia de que debe ser entendido por “Firma Electrónica”:

“Artículo 2.2.2.47.1. Definiciones. Para los fines del presente capítulo se entenderá por:

1. Acuerdo sobre el uso del mecanismo de firma electrónica: Acuerdo de voluntades mediante el cual se estipulan las condiciones legales y técnicas a las cuales se ajustarán las partes para realizar comunicaciones, efectuar transacciones, crear documentos electrónicos o cualquier otra actividad mediante el uso del intercambio electrónico de datos.
2. Datos de creación de la firma electrónica: Datos únicos y personalísimos, que el firmante utiliza para firmar.
3. Firma electrónica. Métodos tales como, códigos, contraseñas, datos biométricos, o claves criptográficas privadas, que permite identificar a una persona, en relación con un mensaje de datos, siempre y cuando el mismo sea confiable y apropiado respecto de los fines para los que se utiliza la firma, atendidas todas las circunstancias del caso, así como cualquier acuerdo pertinente.
4. Firmante. Persona que posee los datos de creación de la firma y que actúa en nombre propio o por cuenta de la persona a la que representa.” (Subrayado y Negrilla Fuera del Texto Original)

En efecto, se evidencia que la firma electrónica es un instrumento perfectamente válido y aceptado dentro del ordenamiento jurídico colombiano. Ahora, el artículo 2.2.2.47.2. indica claramente que no se excluirá, restringirá o privará de efecto jurídico a cualquier método para emplear el uso de la firma electrónica, siempre y cuando se cumpla a cabalidad con los requisitos señalados en el artículo 7 de la Ley 527 de 1999, es decir que el método permita identificar al iniciador de un mensaje de datos y para indicar que el contenido cuenta con su aprobación, y que el método que se desee utilizar sea confiable y apropiado para el propósito por el cual el mensaje fue generado:

“Artículo 2.2.2.47.2. Neutralidad tecnológica e igualdad de tratamiento de las tecnologías para la firma electrónica. Ninguna de las disposiciones del presente capítulo será aplicada de modo que excluya, restrinja o prive de efecto jurídico cualquier método, procedimiento, dispositivo o tecnología para crear una firma electrónica que cumpla los requisitos señalados en el artículo 7° de la Ley 527 de 1999.”

Ahora bien, con respecto a la confiabilidad de la firma y el método empleado, el artículo 2.2.2.47.4. determina una serie de pautas para entender cuando efectivamente se verifica que el método es confiable:

“Artículo 2.2.2.47.4. Confiabilidad de la firma electrónica. La firma electrónica se considerará confiable para el propósito por el cual el mensaje de datos fue generado o comunicado si:

1. Los datos de creación de la firma, en el contexto en que son utilizados, corresponden exclusivamente al firmante.
2. Es posible detectar cualquier alteración no autorizada del mensaje de datos, hecha después del momento de la firma.

Parágrafo. Lo dispuesto anteriormente se entenderá sin perjuicio de la posibilidad de que cualquier persona:

1. Demuestre de otra manera que la firma electrónica es confiable, o
2. Aduzca pruebas de que una firma electrónica no es confiable.”

Así las cosas, y en consonancia con la consulta formulada por FMC COLOMBIA S.A.S por medio de correo electrónico el día 17 de agosto de 2023, se evidencia que en efecto la firma electrónica es permitida y válida en Colombia, no obstante, el método que plantee utilizar, en este caso DocuSign, debe garantizar la seguridad y confiabilidad de la misma a efectos de que su validez no sea puesta en tela de juicio; esto teniendo en cuenta los criterios para establecer el grado de seguridad de las firmas electrónicas consagrado en el artículo 2.2.2.47.8 del Decreto 1074 de 2015:

“Artículo 2.2.2.47.8. Criterios para establecer el grado de seguridad de las firmas electrónicas. Para determinar si los procedimientos, métodos o dispositivos electrónicos que se utilicen como firma electrónica son seguros,
y en qué medida lo son, podrán tenerse en cuenta, entre otros, los siguientes factores:

1. El concepto técnico emitido por un perito o un órgano independiente y especializado.
2. La existencia de una auditoría especializada, periódica e independiente sobre los procedimientos, métodos o dispositivos electrónicos que una parte suministra a sus clientes o terceros como mecanismo electrónico de identificación personal.” (Subrayado y Negrilla Fuera del Texto Original)

Por lo tanto, si la herramienta que se pretende utilizar efectivamente permite establecer que el firmante es el único titular de la firma impuesta electrónicamente y este sistema permite certificarlo de alguna manera, como por ejemplo a través de
mecanismos de identificación personal como lo sería ingresar sus datos de identificación y el sistema permita tomar fotografías del rostro del firmante, se entendería que el sistema empleado efectivamente es confiable, podría emplearse y
se le otorgaría la validez para que surta plenamente efectos jurídicos dentro del territorio colombiano.

A manera de conclusión, se indica que cualquier método que permita certificar que el firmante es efectivamente el titular, por medio de diversos métodos o mecanismos como podría ser la auditoría especializada o mecanismos de identificación personal
proporcionados, permiten el uso de la firma electrónica en cualquier escenario comercial, judicial, administrativo e incluso doméstico, por lo que es menester consultar previamente con el prestador del servicio de firma electrónica, si este tiene
certificaciones de terceros sobre sus parámetros de seguridad y de igual forma consultar cual es el método o forma en que la empresa DocuSign puede certificar que el documento fue firmado por el titular y la forma como entrega el mensaje de
datos y soportes que se deben demostrar ante una autoridad en caso de ser necesario.

El presente concepto se emite a los 23 días del mes agosto del año 2023.