Erick Rincón Cárdenas - Aspectos teórico-prácticos de la firma digital en Colombia y su referente en Latinoamérica

De lo anterior se colige una importante consecuencia en materia de carga probatoria. Quien afirme que un mensaje de datos está firmado, no solamente debe probar la existencia del mensaje de datos, sino que debe probar, igualmente, que el documento se encuentra firmado; debe probarse la “existencia” de la firma. Esta es una verdadera carga probatoria adicional para quien pretende darle fuerza probatoria a un mensaje de datos firmado; quien afirme que un mensaje de datos se encuentra firmado, debe allegar las pruebas: (i) del método de firma utilizado, (ii) que permitan probar que ese método es confiable para el tipo de transacción, (iii) que el método es apropiado para el tipo de transacción.

Quien solamente allega a un proceso judicial un mensaje de datos, por ejemplo, un archivo electrónico en formato de procesador de textos, y afirma que el mismo está firmado, pero no allega ninguna prueba para corroborar los hechos relacionados con la firma del documento, no podrá esperar que el juez considere que el documento se encuentra verdaderamente firmado. En otras palabras, la firma es un hecho que debe ser probado dentro de un proceso. Determinar si un documento está firmado es relativo al tipo de transacción realizada, a su contexto y a la información contenida en el mensaje de datos que se está firmando. Esta es sin duda una de las principales diferencias que encontramos entre el medio físico y el medio electrónico.

Esto se puede apreciar mejor cuando se repara en las diferencias que el Código General del Proceso establece respecto de los documentos sin firma y a los documentos firmados. Para que un documento sin firma tenga efectos probatorios en un proceso judicial, se requiere de la aceptación expresa de a quién se opone; pero si el documento se encuentra firmado, bastará con el silencio de quien se supone es el firmante para que el mismo se entienda reconocido. En el contexto del mensaje de datos, si no se allegan las pruebas relacionadas con el método de firma, se tomará como un documento no firmado y su tratamiento será el de ese tipo de documentos. Si se allegan las pruebas de la firma y el juez o la autoridad que evalúa la prueba considera que las mismas prueban que el método fue confiable y apropiado, el tratamiento será el de los documentos firmados y la parte a quien se opone deberá afirmar la falsedad del documento.

La ley colombiana que regula el comercio electrónico (Ley 527 de 1999), en la parte técnica sobre firma digital y entidades prestadoras de servicios de certificación, establece condiciones adicionales de seguridad técnica jurídica a las transacciones electrónicas, que garantizan confidencialidad, integridad, identificación o autenticación y no rechazo. Estos cuatro pilares son los garantes de que las transacciones electrónicas cuenten con la seguridad necesaria para su ejecución, los cuales son estudiados y resueltos por la criptografía asimétrica. 18

Con la confidencialidad se garantiza que los mensajes de datos lleguen, exclusivamente, a las personas autorizadas para ello; con la integridad , que el mensaje de datos no sea interceptado y modificado durante el envío; con la autenticación y mediante el uso de una firma digital (sistema de clave pública), que se reconozca al titular de la firma y del mensaje, y, con el no rechazo y a través del uso de los servicios de certificación digital, se podrá tener claridad de que el destinatario de un mensaje no desconocerá su recepción y que el autor no negará su autoría.

En el modelo de las normas colombianas se pueden ver tres tipos de equivalencia, a saber: a) firma, b) firma electrónica y c) firma digital con certificado de entidad de certificación.

Estas equivalencias se pueden resumir en la tabla 1.1.

Tabla 1.1. Presupuestos técnico-jurídicos de las firmas o su equivalente

Fuente: Rincón Cárdenas, Erick, Derecho del comercio electrónico y de Internet , Tirant Lo Blanch, 2020

La firma digital 19es una de las especies de la llamada firma electrónica y consiste en un conjunto de caracteres que se extraen de un documento, que conforman un valor numérico único, el cual es cifrado, para impedir su reproducción con dos claves, una pública y otra privada. 20Este procedimiento asegura la autenticidad y la integridad, y determina la autoría y recepción, así como el contenido de los datos transmitidos. El funcionamiento de la firma digital se podría verificar en los siguientes pasos:

a. El autor firma el documento 21por medio de la clave privada (sistema de claves asimétrico); con esto no puede negar la autoría, pues solo él tiene el conocimiento de esa clave, lo que aminora el riesgo de repudio del mensaje firmado y transmitido.

b. El receptor comprueba la validez de la firma por medio de la utilización de la clave pública vinculada a la clave privada, con lo cual es posible descifrar el valor numérico obtenido del mensaje de datos originario.

c. El software del firmante aplica un algoritmo hash sobre el texto a firmar (algoritmo matemático unidireccional, es decir, el valor obtenido no arroja el contenido inicial), y obtiene un extracto de longitud fija, absolutamente específico para ese mensaje. Un mínimo cambio en el mensaje produciría un extracto completamente diferente y, por tanto, no correspondería con el que originalmente firmó el autor. 22

En consecuencia, la firma digital se configura como la expresión de la voluntad de una persona frente a cierto acto o negocio y, por lo tanto, debe garantizarse que esta no pueda ser utilizada sino por su autor, de esta forma no se defrauda él mismo o un tercero, por ello, los métodos empleados de cifrado asimétrico + funciones de hash o resumen son los mayormente empleados en la seguridad informática y comunicación P2P o entre máquinas. A continuación, los criterios más usados en esta materia para identificar al firmador, sea una persona y/o un software:

a) Algo que el usuario es (ejemplo, la huella digital o el patrón retiniano), la secuencia de ADN (hay definiciones clasificadas de cuál es suficiente), el patrón de la voz (otra vez varias definiciones), el reconocimiento de la firma, las señales bio-eléctricas únicas producidas por el cuerpo vivo, u otro identificador biométrico.

b) Algo que el usuario tiene (ejemplo, tarjeta de la identificación, símbolo de la seguridad, símbolo del software o teléfono celular).

c) Algo que el usuario sabe (ejemplo, una contraseña, una frase o un número de identificación personal [el PIN] del paso).

d) Algo que el usuario hace (ejemplo, reconocimiento de voz, firma, o el paso).

e) Autenticación mediante dos factores “algo que tengo” la llave + “algo que sé” un número de PIN (token criptográfico).

f) Autenticación triple factor “algo que tengo” el dispositivo criptográfico + “algo que sé” una clave de autenticación tipo PIN (al token criptográfico) + “quién soy” la huella dactilar que me permite autenticarme al dispositivo de forma unívoca. 23

Esto con el fin de lograr la confiabilidad y que los actos realizados de esta manera sean válidos.

1.2.3. El equivalente funcional de original