Firmaste con un certificado emitido fuera del Perú: las tres vías por las que puede valer aquí, y qué pasa si no está en ninguna
Una plataforma internacional de firma te devuelve el contrato con un PDF firmado. El visor de Adobe muestra el candado verde, la cadena de confianza sube hasta una autoridad conocida y todo parece correcto. Después, en un juicio o ante una entidad pública, alguien pregunta si esa firma es una firma digital peruana. Y la respuesta suele ser que no.
El D.S. 052-2008-PCM, reglamento de la Ley 27269, dedica un capítulo entero a los certificados emitidos por entidades extranjeras. Ninguno de los seis competidores que seguimos lo cita. Este artículo lo lee.
Lo que dice el artículo 6, que es donde empieza todo
El artículo 6 es el que da a la firma digital «la misma validez y eficacia jurídica que el uso de una firma manuscrita», con dos condiciones: que la haya generado un Prestador de Servicios de Certificación Digital acreditado dentro de la Infraestructura Oficial de Firma Electrónica, y que no medie ninguno de los vicios de la voluntad del Título VIII del Libro IV del Código Civil.
Y a continuación enumera de dónde puede venir un certificado para producir ese efecto. Son cuatro procedencias:
| Procedencia | Qué es |
|---|---|
| a) | Emitidos por entidades de certificación acreditadas ante la Autoridad Administrativa Competente |
| b) | Incorporados a la IOFE bajo acuerdos de certificación cruzada |
| c) | Reconocidos al amparo de acuerdos de reconocimiento mutuo suscritos por la Autoridad Administrativa Competente |
| d) | Emitidos por entidades de certificación extranjeras incorporados por reconocimiento a la IOFE |
La primera es el caso normal, el de un certificado peruano. Las otras tres son las puertas de entrada de lo extranjero, y a cada una le corresponde un artículo del capítulo III del Título IV.
Una advertencia sobre la numeración. En el texto publicado en El Peruano el 19 de julio de 2008, las remisiones del artículo 6 no coinciden con los títulos de los artículos a los que remiten: el 6 b) manda al artículo 74, que se titula «De las facultades de supervisión»; el 6 c) manda al 72, que se titula «Del reconocimiento»; y el 6 d) manda al 73, que se titula «De la certificación cruzada». Las tres remisiones aparecen desplazadas una posición respecto del artículo que de verdad regula cada mecanismo. Lo decimos porque quien vaya a la fuente se va a encontrar con ello, y porque el contenido se identifica igual leyendo los artículos por su título en vez de por el número citado. Es lo que hacemos aquí.
Vía 1: el acuerdo de reconocimiento mutuo (artículo 71)
Es la vía de Estado a Estado, o más exactamente de autoridad a autoridad. El artículo 71 permite a la Autoridad Administrativa Competente, que es INDECOPI, suscribir acuerdos con «entidades extranjeras que cumplan funciones similares, a fin de reconocer la validez de los certificados digitales otorgados en el extranjero y extender la interoperabilidad de la Infraestructura Oficial de Firmas Electrónicas».
El requisito de fondo está en la última frase: esos acuerdos «deben garantizar en forma equivalente las funciones exigidas por la Ley y su Reglamento».
Para ti, como comprador, esta vía tiene una propiedad útil: no depende de tu proveedor. O existe el acuerdo con el país de origen, o no existe, y eso se comprueba una vez.
Vía 2: el reconocimiento (artículo 72)
Aquí la autoridad no firma con otra autoridad, sino que reconoce certificados concretos. El artículo 72 dice que INDECOPI «podrá reconocer los certificados digitales emitidos por Entidades Extranjeras, de acuerdo con las prácticas y políticas que para tal efecto apruebe».
El mismo artículo abre una segunda posibilidad que es la que más se parece a lo que ofrece el mercado: autorizar la operación de entidades de certificación peruanas que usen los servicios de entidades extranjeras. Y ahí pone el pie encima: «de verificarse tal supuesto, las entidades nacionales asumirán las responsabilidades del caso».
Además, la entidad extranjera tiene un deber concreto de transparencia: «deberá comunicar a la Autoridad Administrativa Competente los nombres de aquellas Entidades de Certificación que autorizarán las solicitudes de emisión de certificados digitales y que asumirán la gestión de tales certificados». No basta con decir «somos una autoridad global»: hay que dar nombres.
Vía 3: la certificación cruzada (artículo 73)
Es la vía privada, y la más común en la práctica. Una entidad de certificación peruana acreditada hace una certificación cruzada con una extranjera «a fin de reconocer los certificados digitales que éstas emitan en el extranjero, incorporándolos como suyos dentro de la Infraestructura Oficial de Firmas Electrónicas», con autorización previa de INDECOPI.
Fíjate en «incorporándolos como suyos». No es una pasarela: la entidad peruana los adopta. Y el artículo saca de ahí dos consecuencias que conviene tener escritas antes de firmar cualquier contrato:
- Quien paga los platos rotos es la entidad peruana. «Las entidades que presten servicios de acuerdo a lo establecido en el párrafo precedente, asumirán responsabilidad de daños y perjuicios por la gestión de tales certificados.»
- Y garantiza la equivalencia por escrito. La entidad peruana «garantizará ante la Autoridad Administrativa Competente que las firmas digitales y/o certificados digitales reconocidos han sido emitidos bajo requisitos equivalentes a los exigidos en la Infraestructura Oficial de Firmas Electrónicas, y que cumplen las funciones señaladas en el artículo 2º de la Ley». Incumplirlo «ameritará las sanciones correspondientes».
Esto responde una pregunta que se hace mucho y se contesta mal: si el certificado extranjero falla, ¿a quién reclamas? A la entidad peruana que lo incorporó. No al emisor original, no a la plataforma que te vendió el servicio.
La palabra que cambia todo: «podrá»
Los tres artículos usan verbos facultativos. INDECOPI «podrá suscribir» acuerdos de reconocimiento mutuo, «podrá reconocer» certificados extranjeros y «podrá autorizar» la operación de entidades nacionales que usen servicios extranjeros. La certificación cruzada exige «autorización previa».
De ahí sale la regla que resume el artículo entero: un certificado extranjero no vale en Perú por defecto, ni por ser bueno, ni por venir de una autoridad respetada en su país. Vale si media un acto de INDECOPI o de una entidad peruana acreditada. Sin ese acto, lo que tienes es una firma electrónica, que es algo, pero no es lo que produce los efectos del artículo 3, del artículo 4 y del artículo 8 del reglamento, y esos son los que hacen que un juez tenga que admitir el documento y que la carga de la prueba se mueva. La diferencia entre las dos cosas la explicamos entera en el artículo sobre lo que dice exactamente la ley peruana.
Cómo se comprueba, y hasta dónde llega la comprobación
La forma pública de ver quién está dentro de la infraestructura peruana es la lista de confianza que publica INDECOPI, la TSL, en iofe.indecopi.gob.pe/TSL/tsl-pe.pdf. Enumera a los prestadores inscritos en el ROPS con sus certificados raíz.
Tiene un límite que ya señalamos cuando escribimos sobre quién comprueba tu identidad antes de emitirte un certificado: la TSL no trae el nivel de seguridad de cada entidad de registro. Y añade otro para este tema: no distingue en su portada cuáles de esas raíces llegaron por certificación cruzada. Lo que sí puedes hacer es lo contrario, que resuelve la mayoría de los casos: abrir tu documento firmado, mirar el emisor del certificado y comprobar si esa cadena termina en alguna de las raíces de la TSL. Si no termina ahí, no está en la IOFE. Los comandos para leer el certificado están en abre tu certificado digital y léelo.
Un matiz para no asustar de más: que un certificado no esté en la IOFE no lo convierte en inútil. Entre dos empresas privadas que aceptan ese medio, la firma vincula por acuerdo. El problema aparece cuando la contraparte lo niega, cuando hay que presentarlo ante una entidad pública o cuando el documento tiene que aguantar diez años. Ahí es donde la IOFE importa, y por eso el mismo reglamento reserva para ella la admisión obligatoria como prueba.
Las cuatro preguntas para una plataforma internacional de firma
Redactadas para mandarlas por correo y guardar la respuesta:
- ¿Los certificados con los que firman mis documentos están incorporados a la Infraestructura Oficial de Firma Electrónica del Perú? ¿Por cuál de las tres vías del D.S. 052-2008-PCM?
- Si es por certificación cruzada, ¿qué entidad de certificación peruana acreditada los incorporó? Su nombre está en la TSL de INDECOPI.
- ¿Tienen la autorización previa de INDECOPI que exige el artículo 73? ¿Con qué número y fecha?
- Si un documento firmado con su servicio es impugnado ante un juez peruano, ¿quién asume los daños y perjuicios?
La cuarta no es retórica. La norma ya la contesta —la entidad peruana— pero la respuesta del proveedor te dice si conoce la norma o si te está vendiendo la reputación de su marca en otro país.
Cuándo esto no te hace falta
Si firmas comprobantes electrónicos para SUNAT, si presentas escritos ante una entidad pública peruana o si necesitas la equivalencia con la firma manuscrita, necesitas un certificado dentro de la IOFE y punto. La vía más corta suele ser comprar uno peruano, que además evita la conversación entera.
Si lo que firmas son acuerdos internos entre partes que aceptan el medio, y el riesgo de impugnación es bajo, una plataforma extranjera puede bastarte. Lo que no conviene es tomar esa decisión sin saber cuál de las dos situaciones tienes, que es lo que pasa casi siempre.
Y si el proveedor guarda además tus documentos fuera del país, hay una segunda norma que te aplica y que no tiene nada que ver con las firmas: la de protección de datos. La contamos hoy mismo en qué exige el reglamento antes de que tus datos salgan del Perú.
Fuentes de esta página
- D.S. 052-2008-PCM, texto de El Peruano del 19 de julio de 2008: artículos 3, 4, 6, 8 y 71 a 75.
- Ley 27269, artículo 2, para las funciones que la certificación cruzada debe garantizar como equivalentes.
- TSL de INDECOPI,
iofe.indecopi.gob.pe/TSL/tsl-pe.pdf, para el contraste con el ROPS.