El certificado digital de tu empresa lleva el nombre de una persona: quién responde de qué
La conversación se repite en cada implantación. La empresa compró «el certificado de la empresa», lo trata como trata la licencia del antivirus o el dominio, y lo guarda en el cajón de sistemas. Entonces el gerente que aparece dentro del certificado renuncia, y alguien descubre a mitad de un cierre contable que el certificado dejó de servir.
No es un fallo del proveedor ni una letra pequeña del contrato. Está escrito en el reglamento y responde a una decisión de diseño: dentro de la Infraestructura Oficial de Firma Electrónica una empresa no firma. Firma una persona natural, en nombre de la empresa, con unos poderes que el propio certificado declara.
Este artículo desarma ese reparto. Si todavía estás decidiendo qué certificado comprar, antes conviene leer qué tipos hay y cuál corresponde a cada caso; si lo que buscas es el trámite, está en la guía para obtener tu certificado digital.
Dos figuras, dos apellidos jurídicos
El artículo 9 del D.S. 052-2008-PCM, publicado en El Peruano el sábado 19 de julio de 2008, empieza por lo que a casi nadie le cuentan al comprar:
«Dentro de la Infraestructura Oficial de Firma Electrónica, la responsabilidad sobre los efectos jurídicos generados por la utilización de una firma digital corresponde al titular del certificado.»
Y a continuación separa los dos papeles. Cuando el certificado es de una persona natural, esa persona es titular y suscriptor a la vez: no hay nada que repartir. Cuando es de una persona jurídica, la empresa es la titular y «los suscriptores son las personas naturales responsables de la generación y uso de la clave privada».
Puesto en una frase corta: la empresa carga con las consecuencias, la persona maneja la clave privada. Son dos responsabilidades distintas y el reglamento las regula por separado.
El glosario del mismo decreto añade una precisión que conviene tener presente antes de repartir el token por la oficina. Al definir «Suscriptor» dice que, cuando el titular es una persona jurídica, «la responsabilidad de suscriptor recaerá sobre el representante legal designado por esta entidad». No es un usuario cualquiera del área de contabilidad.
Lo que va escrito dentro del certificado
El artículo 16 enumera el contenido mínimo, y la lista para personas jurídicas es más larga que la de personas naturales:
- Razón social
- Número de RUC
- Nombres completos del suscriptor
- Número y tipo de documento oficial de identidad del suscriptor
- Facultades del suscriptor
- Correo electrónico del suscriptor
- Dirección oficial de correo electrónico del suscriptor
- Dirección oficial de correo electrónico de la persona jurídica
La quinta línea es la que cambia el enfoque. Las facultades del suscriptor no viven en un archivo del área legal: viajan dentro del certificado, y cualquiera que reciba un documento firmado puede leerlas. El artículo 14 lo confirma desde el lado del trámite, al describir la solicitud de una persona jurídica: «debe indicarse la persona natural que será el suscriptor, señalando para tal efecto las atribuciones y los poderes de representación correspondientes».
Ese mismo artículo exige que la solicitud y la verificación de identidad se hagan «a través de un representante debidamente acreditado», y el artículo 12 pide acreditar la existencia y la vigencia de la persona jurídica «mediante los instrumentos públicos o norma legal respectiva». Traducido al mostrador: vigencia de poderes de SUNARP, y una comprobación que hace la Entidad de Registro o Verificación, cuyo trabajo contamos en quién comprueba que eres tú antes de emitirte un certificado.
La consecuencia incómoda: firmar fuera de las facultades
El artículo 11 dice cuándo una firma digital emitida bajo la Infraestructura Oficial «carece de validez», y su primer supuesto es este:
«a) Es utilizada en fines distintos para los que fue extendido el certificado.»
Júntalo con la línea de las facultades del artículo 16 y sale una conclusión que casi nadie del sector escribe: si el certificado declara que el suscriptor tiene facultades para, pongamos, representar a la empresa ante SUNAT, y esa persona firma con él un contrato de compraventa de un inmueble, la firma no nace bien. Técnicamente se verifica, criptográficamente es correcta, y el reglamento le niega la validez.
En la práctica esto importa sobre todo en dos sitios. Uno, cuando la empresa pide un certificado con facultades estrechas para abaratar el trámite y luego lo usa para todo. Dos, cuando el token pasa de mano en mano dentro de la empresa: quien firma no es el suscriptor, y ahí ya no estamos hablando de facultades sino de la obligación del artículo 10 c) de «mantener el control y la reserva de la clave privada bajo su responsabilidad».
Qué mata el certificado por cada lado
El artículo 17 lista las causales de cancelación. Ordenadas por quién las provoca, se ve el problema de golpe.
Por el lado de la empresa, el inciso g): «Por extinción de la personería jurídica o declaración judicial de quiebra».
Por el lado de la persona, el inciso h): «Por muerte, o por inhabilitación o incapacidad declarada judicialmente de la persona natural suscriptor del certificado».
Ahí está la escena del principio, con su norma detrás. La empresa sigue existiendo, el RUC sigue activo, el certificado está pagado hasta dentro de dos años, y basta con que le ocurra algo a la persona nombrada dentro para que ese certificado deje de valer. El certificado es de la empresa en cuanto a titularidad y responsabilidad, y depende de una persona en cuanto a vigencia.
Hay un tercer supuesto que no es automático sino una obligación de hacer. El artículo 18 dice que el titular y el suscriptor están obligados, bajo responsabilidad, a pedir la cancelación al enterarse de ciertas circunstancias, y una de ellas es la «Revocación de las facultades de representación y/o poderes de sus representantes legales o apoderados». Es la que se incumple siempre, porque un cambio societario no se parece en nada a un trámite técnico. Lo contamos entero, con lo que se pierde al firmar después, en cuándo la norma te obliga a cancelar.
El reparto de obligaciones, lado a lado
El reglamento dedica un artículo a cada figura, y leerlos seguidos ahorra discusiones internas sobre de quién es cada tarea.
El suscriptor, por el artículo 10, entrega información veraz bajo su responsabilidad, genera la clave privada y firma por los procedimientos de la Entidad de Certificación, mantiene el control y la reserva de la clave privada, observa las condiciones de uso y, si esa clave privada queda comprometida, lo notifica de inmediato a la Entidad de Registro o Verificación o a la Entidad de Certificación para que cancele.
El titular, por el artículo 15, entrega información veraz en la solicitud y en los demás procesos de certificación, mantiene actualizada esa información ante las dos entidades, solicita la cancelación si la reserva sobre la clave privada se vio comprometida, y cumple de forma permanente las condiciones de uso.
Fíjate en lo que pasa ante un mismo incidente. Si la clave privada se compromete, el suscriptor tiene que avisar de inmediato y el titular tiene que pedir la cancelación. Son dos deberes distintos sobre dos personas distintas, y ninguno excusa al otro. En una empresa eso se traduce en un procedimiento escrito de dos líneas que casi nadie tiene: a quién llama el suscriptor y quién firma la solicitud de cancelación.
La excepción: cuando no hay persona detrás
Queda el caso del agente automatizado, que es justo el que usa un sistema de facturación o un servidor de firma desatendida. El artículo 9 lo saca de la regla general: en los certificados «para su utilización a través de agentes automatizados […] las personas jurídicas asumen las facultades de titulares y suscriptores del certificado digital». El artículo 14 lo repite y añade que la persona jurídica «asumirá la responsabilidad por el uso de dicho certificado digital».
Aquí desaparece la persona natural y con ella el inciso h) del artículo 17. Un certificado de agente automatizado no se cae porque alguien renuncie. Es la razón práctica —además de la operativa— por la que un proceso desatendido no debería correr con el certificado personal del gerente de finanzas, aunque funcione. Cuando ese gerente cambie de trabajo, el proceso se para.
Qué hacer con esto esta semana
Cuatro comprobaciones concretas, en orden de lo que más duele:
- Abre el certificado de tu empresa y lee el campo de facultades. Si no coincide con lo que estás firmando, el artículo 11 ya te está mirando.
- Comprueba si la persona que figura como suscriptor sigue en la empresa y conserva sus poderes. Si revocaste poderes y no pediste la cancelación, estás incumpliendo el artículo 18 desde el día de la revocatoria.
- Separa el uso desatendido del uso personal. Los procesos automáticos van con certificado de agente automatizado, donde la titularidad y la condición de suscriptor son de la empresa.
- Escribe el procedimiento de aviso. Quién llama a la Entidad de Registro y quién firma la cancelación, con nombres. Son diez minutos y evitan el día perdido.
Ninguna de las cuatro cuesta dinero. La que cuesta es la quinta, que llega cuando el certificado se cae en mitad de un vencimiento y hay que reemitir con la empresa parada.
Si estás montando este reparto por primera vez, o revisando el que heredaste, en mifirmadigital.pe emitimos certificados de persona jurídica y de agente automatizado dentro de la Infraestructura Oficial de Firma Electrónica, con las facultades del suscriptor consignadas como pide el artículo 16. Y si la duda es cuál de los dos te toca, empieza por la comparativa de tipos de certificado.