Conservar un documento firmado: lo que exige la norma y lo que exige la criptografía
La escena aparece siempre igual y siempre tarde. Alguien pide un contrato firmado hace seis años, el archivo aparece en una carpeta compartida, se abre sin problema, y al validar la firma el resultado es un aviso que nadie sabe interpretar.
El documento no se corrompió. Lo que falló es que guardar un archivo y conservarlo no son la misma cosa, ni en la norma ni en la criptografía. Son dos exigencias distintas y hay que cumplir las dos.
La exigencia legal: el artículo 5
El D.S. 052-2008-PCM trata la conservación en un solo artículo, y empieza por acotar cuándo aplica: «Cuando los documentos, registros o informaciones requieran de una formalidad para la conservación de documentos electrónicos firmados digitalmente».
Esa condición inicial es importante y se pasa por alto en casi todo lo que se publica del tema. No todo documento firmado cae aquí. Cae el que tiene una formalidad de conservación exigida por su propia normativa: contable, tributaria, laboral, sectorial. El resto se conserva con criterio, no con el procedimiento que viene a continuación.
Para los que sí caen, el artículo pide tres cosas:
- Ser accesibles para su posterior consulta.
- Conservarse en su formato original de generación, envío o recepción, u otro que reproduzca «en forma demostrable la exactitud e integridad del contenido electrónico».
- Conservar todo dato que permita determinar el origen, destino, fecha y hora del envío y recepción.
Fíjate en el tercero, porque no habla del documento sino de su trazabilidad. Un archivo suelto en una carpeta cumple el primero y falla el tercero: nadie puede decir de dónde salió ni cuándo llegó.
Y el requisito caro
El mismo artículo continúa: «Para estos casos, los documentos electrónicos deberán ser conservados mediante microformas o microarchivos», observando el Decreto Legislativo 681, «siendo, en tales supuestos, indispensable la participación de un notario o fedatario que cuente con Diploma de Idoneidad Técnica y se encuentre registrado ante su correspondiente Colegio o Asociación Profesional».
Es decir: para esos documentos, un bucket con copias de seguridad no es conservación en el sentido de la norma. Hace falta un proceso de microformas y una persona habilitada que lo certifique.
Conviene saberlo al presupuestar el proyecto y no dos años después. Es también la razón por la que existe un mercado entero de digitalización con valor legal en Perú, que trabaja precisamente esa pieza.
La exigencia técnica: que la firma siga verificándose
La otra mitad no la impone ninguna norma peruana. La impone la criptografía, y no admite negociación.
Una firma digital se verifica comprobando cuatro cosas: que el documento no cambió, quién firmó, si ese certificado pertenece a la cadena de confianza y si estaba vigente y sin revocar en el momento de firmar. Las tres primeras se sostienen solas con el tiempo. La cuarta no.
Cuando pasan los años, el certificado del firmante caduca y los servicios que publicaban su estado de revocación cambian o desaparecen. Si la firma no incorpora una marca de tiempo fiable y los datos de validación del momento en que se hizo, el validador ya no puede afirmar que el certificado estaba vigente al firmar. El documento no se vuelve falso: se vuelve indemostrable, que a efectos de prueba es casi lo mismo.
Por eso los niveles de firma con sello de tiempo y con datos de validación incrustados no son un lujo de conformidad, sino la condición para que un documento sobreviva a su propio certificado. Lo explicamos con los formatos y niveles concretos en PAdES, XAdES y las decisiones que no se pueden deshacer.
Y aquí está lo que hace de esto una decisión urgente: no tiene arreglo retroactivo. No se le puede añadir hoy una marca de tiempo creíble a una firma de hace tres años, porque lo único que se podría certificar es que el archivo existe hoy. Si faltaba, faltaba.
Qué hacer, según en qué punto estés
Si vas a empezar a firmar. Decide el nivel antes del primer documento, no después. Los documentos con plazo de conservación largo se firman desde el día uno con sello de tiempo y datos de validación.
Si ya llevas años firmando. Haz la prueba incómoda: coge documentos firmados hace uno, tres y cinco años y válidalos hoy en el validador de Firma Perú. El resultado te dice exactamente qué parte de tu archivo es demostrable. Cómo leer lo que responde está en validar una firma digital.
Si el resultado no es bueno. Lo que queda no es técnico sino documental: reforzar la trazabilidad alrededor del archivo, es decir, el tercer requisito del artículo 5. Registros de origen, destino y fechas, guardados de forma que no dependan del mismo sistema que puede fallar. No sustituye a un sello de tiempo, pero es lo que hay.
Una opinión, porque el asunto la pide
La conservación es la parte del proyecto que siempre se deja para el final y la única cuyo error no se puede corregir después. Todo lo demás de una integración de firma se puede rehacer: el formato, el proveedor, la interfaz. Los documentos que se firmaron mal hace tres años se quedan firmados mal.
Si tienes que elegir dónde poner atención al arrancar, ponla aquí antes que en la pantalla de firma.
Las siete decisiones de una integración, en el orden en que conviene tomarlas, están en la guía completa. Y si necesitas certificados dentro de la IOFE para personas naturales, jurídicas o agentes automatizados, escríbenos contando cuántos años tienen que durar tus documentos: esa respuesta cambia la recomendación entera.