Emitieron un certificado digital a un impostor: qué responde la entidad de certificación, la de registro y quién te indemniza

Un arquitecto de Chiclayo recibe un aviso de un banco: su firma digital figura en una solicitud de crédito que él no hizo. Al investigar, descubre un certificado a su nombre, emitido tres semanas antes, que nunca pidió. Es un caso inventado. Si una entidad le entregó el certificado a un impostor, ¿no responde ella?

Este artículo es un satélite de Suplantación, fraude y disputas con la firma digital. Lo urgente, cancelar y denunciar, está en otro artículo de la serie. Aquí va lo que viene después: qué exige la norma a las dos entidades, qué seguro hay detrás, qué pedirles y ante quién reclamar. Leímos las normas el 17 de octubre de 2026. Esto no es asesoría legal.

Qué dice la ley y qué no dice

La Ley 27269 (El Peruano, 28 de mayo de 2000) tiene dieciséis artículos. Tres tocan a las entidades. El 12 dice que la de certificación emite o cancela certificados. El 13 dice que la de registro o verificación hace «levantamiento de datos y comprobación de la información de un solicitante», identifica y autentica al suscriptor y autoriza las solicitudes. El 10 manda a la de certificación revocar el certificado cuando «se determine que la información contenida en el certificado digital es inexacta o ha sido modificada».

Ninguno dice que la entidad responda por los daños de un certificado mal emitido. El pilar de la serie lo había escrito, y lo confirmamos leyendo la ley completa con su única modificación (Ley 27310, sobre el artículo 11). La responsabilidad hay que buscarla en el reglamento.

Lo que el reglamento les exige

El D.S. 052-2008-PCM (El Peruano, 19 de julio de 2008) reparte así las obligaciones:

• Entidad de registro. El artículo 29 a), con la redacción del D.S. 029-2021-PCM, manda identificar con presencia física, con los certificados del DNI electrónico o a distancia con métodos que apruebe INDECOPI. El 30 b) le obliga a «determinar objetivamente y en forma directa la veracidad de la información proporcionada por los solicitantes del certificado digital, bajo su responsabilidad». El 13 añade que en personas naturales la solicitud y la verificación de identidad «son estrictamente personales».
• Entidad de certificación. El 26 e) la obliga a cancelar cuando se da una causal del artículo 17, el 26 g) a conservar la información de los certificados diez años desde su cancelación y el 26 b) a informar las condiciones de emisión, uso y cancelación.

«Bajo su responsabilidad» es lo más cercano a un reproche. No dice ante quién se responde ni con qué consecuencia.

La única regla de daños escrita está en el artículo 17 a), y es para otro supuesto: la demora en cancelar. Si la de registro aprobó tu cancelación y tardó en comunicarla, responde ella por los daños. Si la comunicó a tiempo, o si pediste directo a la de certificación, responde la de certificación. Te sirve en un punto: desde que pides cancelar, cada hora de retraso es de ellos. Guarda la hora de tu pedido.

Quién te indemniza: el seguro que sí está escrito

Lo que la norma fija es que alguien debe tener dinero detrás. El artículo 27 obliga a las entidades de certificación acreditadas o reconocidas a «mantener vigente la contratación de seguros o garantías bancarias que respalden sus certificados» e informar a los usuarios los montos. El D.S. 082-2024-PCM (El Peruano, 6 de agosto de 2024) reescribió ese artículo solo para exceptuar a la entidad de certificación nacional del Estado. El 31 impone lo mismo a las de registro acreditadas.

La cuantía mínima la fija INDECOPI. En las seis preguntas antes de pagar un certificado escribimos que no la habíamos localizado. Ahora sí: las guías de acreditación que INDECOPI publica en gob.pe (páginas del 13 de mayo de 2026) traen una tabla por nivel de seguridad. La guía de entidades de certificación, versión 4.1, pide seguros o garantías bancarias «equivalentes a $50 000.00 dólares americanos». La guía de entidades de registro, versión 4.0, pide US$ 35 000. Que esas cifras sean la cuantía mínima de los artículos 27 y 31 es lectura nuestra: el reglamento dice que INDECOPI aprueba las guías, y las guías no lo repiten con esas palabras.

Tres advertencias:

1. Las guías no aclaran si la cifra es por reclamo o el total de todos los afectados. No lo encontramos.
2. Es un piso para acreditarse. Una entidad puede tener más.
3. El reglamento exoneró esa contratación: un año desde 2008, luego hasta el 31 de diciembre de 2012 (D.S. 070-2011-PCM) y después hasta el 31 de diciembre de 2013 (D.S. 105-2012-PCM, 21 de octubre de 2012). No hallamos prórrogas posteriores. Las guías exigen una declaración jurada de que se contratará el seguro y verifican su vigencia en la auditoría anual, así que debería existir. Pide la prueba.

Queda saber si ese seguro te cubre a ti. El artículo dice «respalden sus certificados», sin decir a quién. Y el marco de INDECOPI para las declaraciones de prácticas de registro (anexo 1 de la guía de registro) deja que la entidad declare qué cobertura ofrece a suscriptores y a terceros que confían, y que fije «cualquier limitación de responsabilidad» y «obligación de indemnización» (requerimientos 130, 142 y 143). Tú no eres ninguna de las dos cosas: no suscribiste nada. Si la póliza cubre a una víctima como tú depende de su texto, que no hemos visto.

El Código Civil, como inferencia

Lo que sigue es razonamiento nuestro, no una regla del reglamento.

El artículo 1969 dice que quien por dolo o culpa causa un daño a otro debe indemnizarlo, y que probar la falta de dolo o culpa le toca al autor. Si no tenías contrato con la entidad, es el camino que parece natural. El 1985 incluye el lucro cesante y el daño moral, pero exige «relación de causalidad adecuada» entre el hecho y el daño. El 1983 hace solidarios a varios responsables, algo que importa porque la culpa puede repartirse entre la de registro y la de certificación. El 1987 permite dirigir la acción también contra el asegurador.

Si tu empresa sí tenía contrato con esa entidad, entra el 1321: quien incumple por dolo, culpa inexcusable o culpa leve debe indemnizar. Un tope en ese contrato choca con el 1986, que declara nulos los convenios que limiten por adelantado la responsabilidad por dolo o culpa inexcusable. No encontramos ninguna sentencia que aplique estos artículos a una entidad de certificación.

Un plazo a tener a la vista: el artículo 2001, inciso 4, fija en dos años la acción indemnizatoria por responsabilidad extracontractual (edición oficial de 2015). Si tu caso lo es, el plazo ya corre. Desde cuándo y si te aplica lo decide un abogado.

Qué pedirle por escrito

El certificado dice quién lo emitió. Pídele a esa entidad de certificación el nombre de la de registro que verificó la identidad, y escribe a las dos.

1. Cancelación inmediata, con constancia de fecha y hora. Escribe cancelación, no revocación.
2. Copia del expediente de emisión: solicitud, documento de identidad presentado, método de verificación aplicado y fecha de cada paso. El marco de INDECOPI exige a la de registro guardar «resultados y evidencias de cada proceso de validación de identidad», y su archivo no se destruye sin autorización de INDECOPI antes de diez años (requerimientos 98 y 101).
3. La declaración de prácticas y el contrato, para ver topes y exclusiones.
4. Los montos del seguro o garantía que manda informar el artículo 27, y el nombre de la aseguradora.
5. Que conserven todo. Puede ser prueba en un juicio.

Hay un obstáculo previsible. El artículo 26 f) obliga a la entidad de certificación a guardar reserva de la información de titulares y suscriptores salvo «orden judicial o pedido del titular o suscriptor». El expediente trae los datos del impostor, y la entidad puede negarse por eso. Es nuestra lectura de cómo lo alegarían. Si pasa, pide al fiscal de tu denuncia que lo requiera, o una orden judicial. Para tus propios datos personales hay además derechos ARCO.

A quién reclamar

La propia entidad, por escrito y con cargo de recepción. Fija fechas y no cuesta nada.

INDECOPI. El artículo 57 del reglamento lo designa Autoridad Administrativa Competente y le da las funciones de supervisar a los prestadores (literal f) y sancionarlos según un reglamento de infracciones y sanciones (literales r y s). El 74 le da la facultad de verificar el cumplimiento de las obligaciones legales y técnicas de las entidades acreditadas y el 75, la facultad «fiscalizadora y sancionadora». El Reglamento General de Acreditación (anexo 5 de las guías, revisión 2018) prevé visitas de supervisión sin aviso cuando el análisis de «un reclamo» ponga en duda el cumplimiento de las condiciones de acreditación (artículo 39 e). La página oficial del ROPS da la central de la Comisión de Firma Electrónica, 224 7800 anexo 3614, de lunes a viernes de 8:30 a. m. a 5:30 p. m., y su mesa de partes virtual.

Lo que hace INDECOPI es regulatorio: supervisa, sanciona, puede retirar la acreditación. Ningún texto que leímos dice que fije una indemnización a tu favor; el 57 l) solo le encarga «impulsar» la conciliación y el arbitraje. El reglamento de infracciones y sanciones que ordena el 57 r) no lo hallamos, así que ignoramos qué conductas tipifica.

La vía civil, con abogado, para pedir la indemnización de la sección anterior.

La denuncia penal está en el artículo sobre cancelar y denunciar.

Lo que sale mal

• El certificado ya firmó algo. La cancelación no es retroactiva (artículo 17), y las presunciones del artículo 8 apuntan a ti mientras el 2A te pide probar que la firma es apócrifa. Está en impugnar un documento firmado digitalmente.
• La entidad responde que verificó bien. Puede ser cierto: un DNI falsificado de buena calidad puede pasar. La norma pide verificar «objetivamente» pero no define cuándo una verificación fue negligente.
• Cada entidad señala a la otra. Pasa cuando son empresas distintas. Pide a ambas el expediente y la póliza.
• El seguro cubre otra cosa. Respaldar «sus certificados» no significa cubrir tu perjuicio.

Qué sigue sin respuesta

No encontramos en la Ley 27269 ni en el reglamento: que la entidad de registro responda por un certificado emitido a un impostor, un tope de indemnización, un procedimiento para reclamarla, un plazo para entregar el expediente, ni cómo se reparte la culpa entre las dos entidades. Tampoco si lo firmado con ese certificado te obliga. Eso se resuelve caso por caso, con un abogado.

Cuando necesites un certificado nuevo, con la identidad verificada otra vez, el catálogo está en mifirmadigital.pe/certificados. Antes de comprar a cualquier proveedor, aplica las seis preguntas y mira qué hace la entidad de registro. Si el aviso que te alertó era un correo, este artículo cuenta cómo distinguir uno falso. Si quieres revisar tu caso con nosotros, escríbenos.

Lo que este artículo no afirma

• Que la entidad de registro o la de certificación respondan por un certificado emitido a un impostor. Describimos sus obligaciones y su seguro, nada más.
• Que los US$ 50 000 y US$ 35 000 sean la cuantía mínima oficial de los artículos 27 y 31, ni que cubran a la víctima, ni si son por reclamo o en total.
• Que el seguro exista hoy. La exoneración llegó hasta el 31 de diciembre de 2013 y no hallamos prórrogas, pero no revisamos todas las normas posteriores.
• Que un juez aplique los artículos 1321, 1969, 1983, 1985 a 1987 y 2001 del Código Civil a estas entidades. Los leímos en la edición oficial de 2015 y pueden haber cambiado.
• Que INDECOPI te indemnice, ni cómo se tramita un reclamo ante él. No localizamos su reglamento de infracciones y sanciones ni un trámite específico en su TUPA.
• Que se aplique el Código de Protección y Defensa del Consumidor (Ley 29571). No lo leímos.
• Que tengamos el reglamento vigente completo. Leímos el texto de 2008 y las modificaciones de los D.S. 070-2011, 105-2012 (los artículos que citamos), 029-2021 y 082-2024. Podrían existir otras.
• Que los teléfonos y horarios de INDECOPI estén vigentes hoy.

Cuando termines, vuelve al mapa del problema en Suplantación, fraude y disputas con la firma digital.

Última revisión: 17 de octubre de 2026.

Fuentes

Consultadas el 17 de octubre de 2026.

• Ley 27269, El Peruano, 28 de mayo de 2000: artículos 10, 12 y 13; Ley 27310, 17 de julio de 2000, que modifica el artículo 11.
• D.S. 052-2008-PCM, 19 de julio de 2008: artículos 13, 17, 26, 27, 30, 31, 57, 74 y 75 y Décima Primera Disposición Complementaria Final.
• D.S. 070-2011-PCM, 27 de julio de 2011: exoneración de seguros hasta el 31 de diciembre de 2012.
• D.S. 105-2012-PCM, El Peruano, 21 de octubre de 2012 (edición del día, copia del MEF): exoneración hasta el 31 de diciembre de 2013.
• D.S. 029-2021-PCM, 19 de febrero de 2021: artículos 2A, 8 y 29 del reglamento.
• D.S. 082-2024-PCM, El Peruano, 6 de agosto de 2024 (copia de IUS Latin): artículo 6, nueva redacción del artículo 27.
• Guía de Acreditación de Entidades de Certificación, versión 4.1, INDECOPI, página del 13 de mayo de 2026.
• Guía de Acreditación de Entidades de Registro, versión 4.0, INDECOPI, página del 13 de mayo de 2026: cuerpo, anexo 1 (requerimientos 98, 101, 130, 142 y 143) y anexo 5 (artículos 39 y 40).
• Registro Oficial de Prestadores de Servicios de Certificación Digital (ROPS), gob.pe.
• Código Civil, decimosexta edición oficial, marzo de 2015: artículos 1321, 1969, 1983, 1985, 1986, 1987 y 2001.