Firmaste con una imagen pegada en el PDF: quién tiene que probar qué cuando el otro lo niega
Un contrato de servicios por dieciocho meses. Se acordó por correo, se pasó a PDF, cada parte pegó al final la imagen escaneada de su firma manuscrita y se devolvió el archivo. Nueve meses después la otra parte deja de pagar y su abogado responde una frase: mi cliente nunca firmó ese documento.
A partir de ahí la discusión no es si la firma escaneada «vale». Es quién tiene que demostrar qué, y esa pregunta tiene desde febrero de 2021 una respuesta escrita en el reglamento. Está en un artículo de once líneas que casi nadie cita.
Las tres modalidades que reconoce el reglamento
El D.S. 052-2008-PCM, reglamento de la Ley 27269, no clasificaba las firmas electrónicas cuando se publicó en El Peruano el 19 de julio de 2008. La clasificación entró trece años después, con la Primera Disposición Complementaria Modificatoria del reglamento aprobado por el D.S. 029-2021-PCM, publicado el 19 de febrero de 2021, que incorporó el artículo 1A:
a) Firma Electrónica Simple. Es un dato en formato electrónico anexo a otros datos electrónicos o asociado de manera lógica con ellos, que utiliza un firmante para firmar.
b) Firma Electrónica Avanzada. Es aquella firma electrónica simple que cumple con las siguientes características: (i) está vinculada al firmante de manera única, (ii) permite la identificación del firmante, (iii) ha sido creada utilizando datos de creación de firmas que el firmante puede utilizar bajo su control, y (iv) está vinculada con los datos firmados de modo tal que cualquier modificación posterior de los mismos es detectable.
c) Firma Electrónica Cualificada. La firma electrónica cualificada o firma digital es aquella firma electrónica avanzada que cumple con lo establecido en el capítulo II del presente Reglamento.
La imagen escaneada del ejemplo es firma electrónica simple. Cabe en el inciso a) sin esfuerzo: es un dato electrónico asociado a otros datos electrónicos que alguien usó para firmar. También lo son el nombre al pie de un correo, la casilla de «acepto los términos» y el trazo hecho con el dedo en una tableta de la mensajería.
Lo que ninguna de esas tres consigue es el inciso b), porque no hay forma de detectar una modificación posterior del documento. Y sin el inciso b) no se llega al c).
La diferencia entre las tres categorías, con lo que produce cada una en un juicio, está desarrollada en el artículo sobre lo que dice exactamente la ley peruana.
El artículo que reparte la carga de la prueba
El mismo decreto de 2021 incorporó el artículo 2A, y este es el que decide el caso del contrato:
Para cada modalidad de firma electrónica la aplicación de la carga de la prueba varía conforme a lo siguiente:
a) En caso de controversia sobre la autoría de la firma electrónica simple o avanzada, la carga de la prueba recae en quien la invoque como auténtica.
b) En caso de controversia, en la utilización de la firma electrónica cualificada, la carga de la prueba se invierte debiendo quien niegue la autoría, demostrar que la firma es apócrifa.
Léelo con el contrato delante. Quien invoca el documento es quien reclama el pago, es decir, el que se quedó sin cobrar. Con una firma escaneada, le toca a él demostrar que esa firma es de la otra parte. La otra parte no tiene que demostrar nada: le basta con negar.
Con firma digital el reparto se da la vuelta. Quien niega haber firmado tiene que demostrar que la firma es apócrifa, y esa demostración es cara y técnica porque hay que atacar una operación criptográfica y la custodia de una clave privada.
Qué significa «probar» una firma escaneada
Aquí es donde el asunto se vuelve concreto. Probar la autoría de una firma electrónica simple no consiste en enseñarle el PDF al juez. El archivo no contiene ninguna información sobre quién lo firmó ni sobre si fue alterado después.
Lo que se acaba llevando a un proceso es material indirecto: el correo desde el que llegó el archivo, los mensajes previos donde se negoció el contrato, los actos posteriores que suponen aceptación —una factura pagada, un servicio recibido sin queja—, lo que declare quien estuvo en la reunión. Todo eso puede bastar. También puede no bastar, y la diferencia se decide después de meses de proceso.
Un detalle que suele sorprender: la imagen escaneada juega en contra de quien la invoca. Una firma manuscrita en papel se puede peritar grafotécnicamente sobre el trazo original, con su presión y su dinámica. Un mapa de píxeles no tiene nada de eso, y además es copiable con dos clics desde cualquier otro documento que la persona haya firmado. Un perito no puede afirmar que ese archivo de imagen fue puesto ahí por su titular.
Lo que la firma digital añade y no se puede pactar
El artículo 8 del reglamento establece tres presunciones que solo se aplican a los documentos firmados digitalmente con certificados generados dentro de la Infraestructura Oficial de Firma Electrónica:
a) Que el suscriptor del certificado digital tiene el control de la clave privada asociada, con un elevado grado de confianza, incluso cuando la misma es gestionada por un Prestador de Servicios de Valor Añadido acreditado en la modalidad de sistema de creación de firma remota.
b) Que el documento electrónico fue firmado empleando la clave privada del suscriptor del certificado digital.
c) Que el documento electrónico no ha sido alterado con posterioridad al momento de la firma.
Y remata con la consecuencia: «el suscriptor no podrá repudiar o desconocer un documento electrónico que ha sido firmado digitalmente usando su clave privada, siempre que no medie ninguno de los vicios de la voluntad».
Ese literal a) se reescribió en 2021 por una razón práctica. La versión de 2008 decía «control exclusivo de la clave privada», y con firma remota la clave privada vive en el módulo criptográfico del proveedor, no en un dispositivo del firmante. Sin la reescritura, la firma remota habría quedado fuera de la presunción. Lo que cambia en cada modalidad y cuándo compensa cada una está en token USB o firma remota.
Un desajuste de numeración que conviene conocer. El texto vigente del artículo 6 remite los vicios de la voluntad al «Título VIII del Libro IV del Código Civil», y los vicios de la voluntad están en el Libro II. La remisión al Libro IV venía del texto de 2008; el D.S. 026-2016-PCM la corrigió a Libro II en el artículo 6 el 29 de abril de 2016, y la reescritura de 2021 volvió a poner Libro IV. El artículo 8, en cambio, dice Libro II. Es un error de remisión que no cambia el fondo, porque la referencia material es inequívoca, pero explica por qué distintas fuentes citan libros distintos para lo mismo.
La salida contractual, que existe y tiene límites
El artículo 2 del reglamento deja una puerta abierta:
Las disposiciones contenidas en el presente Reglamento no restringen la utilización de las firmas digitales generadas fuera de la Infraestructura Oficial de Firma Electrónica, las cuales serán válidas en consideración a los pactos o convenios que acuerden las partes.
Traducido: dos empresas pueden acordar por escrito que se reconocen mutuamente las firmas hechas con determinada plataforma, y ese acuerdo las vincula. Es lo que hay detrás de las cláusulas de «reconocimiento de firma electrónica» que traen los contratos marco.
Tiene dos límites que conviene tener claros antes de confiarlo todo a esa cláusula. El primero es que el pacto solo alcanza a quienes lo firmaron: no sirve frente a un tercero, ni frente a una entidad pública que no lo suscribió. El segundo es circular y por eso se pasa por alto: si la otra parte niega haber firmado el propio acuerdo de reconocimiento, y ese acuerdo también se firmó electrónicamente en modalidad simple, el artículo 2A vuelve a aplicarse sobre él. La cláusula que iba a resolver el problema tiene el mismo problema.
Por eso el acuerdo de reconocimiento mutuo se firma en papel o con firma digital, y a partir de ahí cubre lo demás.
Qué hacer si ya tienes contratos firmados así
No hay que rehacerlo todo. La escala razonable es por riesgo:
Contratos vivos con dinero pendiente o plazos largos. Vale la pena refirmarlos con firma digital, o al menos generar un acto posterior que confirme el acuerdo y sí esté firmado digitalmente: una adenda corta, un acta de conformidad.
Contratos ya ejecutados y cobrados. El riesgo es bajo, porque los actos posteriores de las dos partes son prueba de la relación. Guardar los correos y los comprobantes de pago es la medida proporcionada.
Documentos que van a una entidad pública o a un procedimiento administrativo. Aquí no hay término medio. El artículo 4 del reglamento obliga a admitir como prueba los documentos firmados digitalmente dentro de la infraestructura oficial, y esa obligación no alcanza a los demás.
Lo que se firme de aquí en adelante. La pregunta no es cuánto vale cada modalidad en abstracto, sino a quién le tocaría probar si esto se discute. Si la respuesta es «a nosotros», ahí hay una decisión que tomar.
Antes de elegir plataforma
Tres preguntas por escrito al proveedor, y las tres se contestan en una línea:
- ¿Con qué modalidad del artículo 1A firma la plataforma: simple, avanzada o cualificada?
- Si dice cualificada, ¿con qué certificado y de qué entidad acreditada, y sale en la lista de INDECOPI?
- ¿El documento resultante se puede verificar sin la plataforma, con un lector de PDF cualquiera o con el validador del Estado?
La tercera separa dos productos que se venden con el mismo nombre. Una firma digital viaja dentro del archivo y se comprueba en cualquier sitio; una firma simple con panel de auditoría depende de que el proveedor siga existiendo y siga guardando su registro. Cómo comprobarlo está en validar una firma digital.
En mifirmadigital.pe emitimos certificados dentro de la Infraestructura Oficial de Firma Electrónica, que es lo que hace aplicable el artículo 8 y lo que mueve la carga de la prueba al otro lado. Si tienes contratos firmados con imagen escaneada y quieres saber cuáles conviene rehacer, escríbenos con el tipo de documento y el plazo que le queda.