Firmaron con tu certificado digital o sacaron uno a tu nombre: cancelar, denunciar y desconocer lo firmado

Imagina a una contadora de Trujillo que un lunes abre su correo y encuentra el aviso de un proveedor: le han emitido un certificado digital que ella no pidió. Otro caso: un gerente al que robaron la mochila con el token y a quien, el viernes siguiente, un cliente le envía un contrato firmado con su certificado, que él nunca vio.

Las dos personas necesitan lo mismo en las primeras horas, pero no tienen el mismo problema de fondo. Este artículo es un satélite de Suplantación, fraude y disputas con la firma digital: qué puede salir mal, quién responde y qué hacer, donde está el mapa completo. Aquí solo la guía de la víctima, en orden: cancelar, denunciar, desconocer lo firmado y distinguir cuál de los dos casos es el tuyo. Leímos las normas el 15 de octubre de 2026. Donde no hay norma, lo decimos.

1. Cancelar el certificado, hoy

Una precisión de palabras. La Ley 27269 llama revocación a un acto de la entidad de certificación, que revoca en tres casos (artículo 10): información inexacta, muerte del titular e incumplimiento del contrato. Lo que pides tú es la cancelación, que su artículo 9 prevé «a solicitud del titular de la firma digital». En la solicitud, escribe cancelación.

El reglamento, D.S. 052-2008-PCM, te impone una obligación. El artículo 18 dice que titular y suscriptor están obligados, bajo responsabilidad, a pedirla «al tomar conocimiento» de la «exposición, puesta en peligro o uso indebido de la clave privada». El artículo 10, literal e), añade que el suscriptor debe notificarlo «de inmediato» a la entidad de registro o a la de certificación. El artículo 15, literal c), que reescribió el D.S. 029-2021-PCM, exceptúa la clave privada que gestiona un prestador de firma remota acreditado. Volvemos a ello más abajo.

Desde cuándo surte efecto. El artículo 17 dice tres cosas. La entidad de certificación debe indicar el momento desde el cual se aplica, «precisando la fecha, hora, minuto y segundo». La cancelación «no puede ser aplicada retroactivamente». Y el certificado debe entrar en la siguiente publicación de la lista de cancelados. Lo que el texto no fija es cuánto tarda la entidad en procesar tu pedido: el literal a) remite a un plazo de la Autoridad Administrativa Competente que no encontramos. Pídelo por escrito, desde el correo registrado, y exige la constancia con fecha y hora. Cómo se pide está en PIN bloqueado o token perdido, y qué consulta un validador, en comprobar que un certificado no está revocado.

Qué pasa con lo firmado antes. Cancelar corta hacia adelante y no deshace nada. Lo firmado antes del instante registrado conserva las presunciones del artículo 8. Lo firmado después carece de validez según el artículo 11, literal b), y el artículo 17 añade que usar un certificado cancelado conlleva «la inaplicabilidad de los artículos 3º, 4º y 8º». Los efectos completos están en cancelar un certificado digital.

2. Dejar constancia y denunciar

Guarda lo que tengas: el aviso, el número de serie del certificado, el documento sospechoso y la constancia de cancelación. No encontramos norma que diga cómo preservar esa evidencia; es consejo nuestro.

Qué dice la Ley 30096. Se publicó el 22 de octubre de 2013 y entró en vigor el 23, según la ficha técnica del Congreso. Dos artículos interesan:

• Artículo 9, suplantación de identidad. Su texto vigente es el del Decreto Legislativo 1591, publicado el 13 de diciembre de 2023: castiga a quien «mediante las tecnologías digitales suplanta la identidad de una persona natural o jurídica», si resulta perjuicio «material, moral o de cualquier otra índole», con tres a cinco años de cárcel; si la víctima es menor de 18 años, de seis a nueve. La Ley 30171 (10 de marzo de 2014) tocó otros artículos, no el 9. Un texto consolidado que aún diga «tecnologías de la información o de la comunicación» y perjuicio «material o moral» es anterior a 2023.
• Artículo 8, fraude informático. Su texto vigente es el del Decreto Legislativo 1614, publicado el 21 de diciembre de 2023: procurar para sí o para otro un provecho ilícito en perjuicio de tercero mediante el diseño, introducción, alteración, borrado, supresión o clonación de datos informáticos, la «suplantación de interfaces o páginas web» o la manipulación de un sistema informático. Pena de cuatro a ocho años y de sesenta a ciento veinte días multa. La misma pena alcanza a quien colabora «facilitando la transferencia de activos». La Ley 30171 lo había dejado en tres a ocho años.

Qué delito encaja lo decide el fiscal. Un certificado a tu nombre se acerca al artículo 9; usar tus credenciales para cobrar, al 8. Ninguna fuente que leímos aplica esos artículos a certificados digitales, y no afirmamos que lo hagan. Dos normas posteriores: la Ley 32314 (29 de abril de 2025) añadió al artículo 11 la agravante de usar inteligencia artificial, hasta un tercio sobre el máximo legal; y el Decreto Legislativo 1700 (24 de enero de 2026) creó el artículo 12-A, de cinco a ocho años para quien compra, vende o trafica credenciales de acceso obtenidas sin consentimiento o mediante un delito informático. Esto último importa si tu PIN circuló.

Ante quién. Tres vías en páginas oficiales:

1. Policía Nacional, DIVINDAT. Una guía de gob.pe de la Presidencia del Consejo de Ministros, escrita para otro delito, indica la línea gratuita 1818, el (01) 431-8898, el correo divindat.depcpi@policia.gob.pe y la atención en el piso 9 de la Dirincri, Av. España 323. Es de setiembre de 2024: confirma los datos al llamar.
2. Central Única de Denuncias del Ministerio del Interior. Su servicio en línea para delitos informáticos cita la suplantación de identidad entre sus ejemplos y da un código para consultar el estado (actualizado el 20 de abril de 2026).
3. Ministerio Público. Su trámite en línea pide DNI, adjuntar pruebas cuando el fiscal las requiera y emite una constancia imprimible. Se atiende de lunes a viernes de 8:00 a. m. a 4:45 p. m. y advierte que la denuncia falsa es delito.

Las fuentes no dicen cuál conviene primero. Quédate con el número o la constancia: lo necesitas en el paso siguiente.

3. Desconocer lo firmado frente a quien lo recibió

No encontramos en el reglamento ni en la Ley 27269 un procedimiento, formato o plazo para desconocer un documento firmado con tu certificado. Lo que sigue es consejo nuestro: escribe cuanto antes a quien lo recibió, con constancia de entrega. Di que no firmaste, a qué hora cancelaste y con qué número denunciaste, y pídele que no ejecute lo firmado mientras se aclara.

Hazlo pronto por prueba, no por cortesía. El artículo 8 presume que la clave privada era tuya, que el documento se firmó con ella y que no se alteró; su párrafo final dice que el suscriptor «no podrá repudiar o desconocer» lo firmado con su clave privada, salvo vicios de la voluntad. Y el artículo 2A invierte la carga: ante una firma digital, quien niega la autoría debe demostrar que es apócrifa. Tu carta no prueba nada por sí sola. La prueba la armas tú, con la carga de la prueba en mente y, si firmaste en remoto, con el registro de eventos de tu proveedor.

Dos datos mueven el caso. Uno: la hora de la firma frente a la de la cancelación; para fijarla hace falta sellado de tiempo. Dos: lo que diga el validador sobre el estado del certificado. Y queda una pregunta que la norma no responde: si el robo de tu certificado cuenta como vicio de la voluntad. El reglamento remite al Código Civil; no lo analizamos, y es tema para un abogado.

4. Dos casos distintos

Usaron tu clave privada (token robado, PIN filtrado, credenciales de firma remota). El artículo 9 del reglamento dice que la responsabilidad por los efectos jurídicos de la firma «corresponde al titular del certificado», sin excepción para la firma remota. Con token, tu defensa depende de cuándo perdiste el control y cuándo avisaste. Con firma remota, el reglamento de 2021 reparte el control con el prestador (artículo 10, literal c) y te libera de la obligación del 15 c); pero el artículo 18, que no se tocó en 2021, sigue obligando a pedir la cancelación ante un uso indebido. Nuestra lectura prudente: si te roban las credenciales, cancela igual. Qué pasó lo dirá el registro del proveedor, como cuentan las obligaciones de 2021. Quién paga el daño entre tú y el proveedor no lo dice la norma que leímos: depende del contrato.

Emitieron un certificado a tu nombre (fallo en la verificación de identidad). El artículo 13 dice que, para personas naturales, la solicitud y el registro de identidad son «estrictamente personales». El artículo 30, literal b), obliga a la entidad de registro a determinar la veracidad de la información «bajo su responsabilidad», y el 31 le exige seguros o garantías y verificar contra RENIEC: su base de datos en el nivel Medio, su sistema biométrico en el Medio Alto. El 29, tal como lo dejó 2021, admite verificar a distancia con el DNI electrónico o con métodos que apruebe la autoridad. Está en quién comprueba que eres tú.

Lo que no encontramos es la consecuencia. Ningún artículo dice que lo firmado con un certificado emitido a un impostor no te obligue, ni que la entidad de registro responda por ello; la única responsabilidad por daños que fija el artículo 17 es la de la demora en cancelar. Nuestra inferencia: como el certificado lleva tu nombre, las presunciones del artículo 8 apuntan a ti y el 2A te pide probar que es apócrifo. Tus mejores pruebas son que nunca te presentaste y el expediente de la entidad. El artículo 26, literal g), obliga a la entidad de certificación a conservar la información de los certificados diez años desde su cancelación: pídela por escrito.

Para cancelar un certificado que no pediste, el artículo 17 da dos puertas: el tercero que pruebe «de manera fehaciente» que la información del certificado es inexacta (literal i, con el artículo 10 de la Ley) y la resolución administrativa o judicial (literal e). Que la primera valga para un certificado con tus datos reales en manos ajenas es una lectura nuestra; no la hemos visto aplicada.

El primer día, en cinco pasos

1. Pide la cancelación por escrito y guarda la constancia con fecha y hora.
2. Reúne el aviso, el número de serie y el documento dudoso.
3. Denuncia y anota el número.
4. Escribe a quien recibió el documento.
5. Pide a la entidad el expediente: verificación de identidad o eventos de firma.

Después necesitarás un certificado nuevo, con la identidad verificada otra vez. El catálogo está en mifirmadigital.pe/certificados, y si tienes dudas sobre tu caso, escríbenos.

Lo que este artículo no afirma

• Que tengamos el reglamento vigente completo. Leímos el D.S. 052-2008-PCM original y las modificaciones de los D.S. 070-2011-PCM y 029-2021-PCM. Los artículos 9, 11, 13, 17, 18, 26 y 30 van en su redacción de 2008; otros decretos que no abrimos podrían haberlos tocado.
• Que la Ley 30096 vigente sea solo lo citado. Verificamos el artículo 9 en el Decreto Legislativo 1591 y el 8 en el Decreto Legislativo 1614. No leímos un texto consolidado actualizado (el del Congreso que bajamos recoge el original), así que puede haber cambios posteriores.
• Que esos delitos se apliquen a certificados digitales, ni que la entidad de registro responda por un certificado emitido a un impostor.
• Cuánto tarda cada entidad en reflejar una cancelación, ni cómo reclamar ante INDECOPI. No leímos esos procedimientos.
• Cuál vía de denuncia es mejor, ni que los teléfonos sigan vigentes.
• Cómo valora un juez una carta de desconocimiento. Con montos altos, consulta a un abogado penalista.

Cuando termines, vuelve al mapa del problema en Suplantación, fraude y disputas con la firma digital.

Última revisión: 15 de octubre de 2026.

Fuentes

Consultadas el 15 de octubre de 2026.

• Ley 27269, publicada el 28 de mayo de 2000: artículos 9 y 10.
• D.S. 052-2008-PCM, 19 de julio de 2008: artículos 8 a 11, 13, 15, 17, 18, 26, 29, 30 y 31.
• D.S. 029-2021-PCM, 19 de febrero de 2021: artículos 2A, 8, 10, 15 y 29 del reglamento.
• Ley 30096, ficha técnica: publicada el 22 de octubre de 2013, vigente desde el 23.
• Ley 30171, ficha técnica: publicada el 10 de marzo de 2014, vigente desde el 11.
• Decreto Legislativo 1614, El Peruano, publicado el 21 de diciembre de 2023: modifica los artículos 2 y 8 de la Ley 30096.
• Decreto Legislativo 1591, 13 de diciembre de 2023.
• Ley 32314, 29 de abril de 2025.
• Decreto Legislativo 1700, 24 de enero de 2026.
• Central Única de Denuncias: denunciar delitos informáticos, Ministerio del Interior, 20 de abril de 2026.
• Presentar denuncia ante el Ministerio Público, gob.pe, 4 de enero de 2021.
• Qué hacer si eres víctima de ciberbullying, Presidencia del Consejo de Ministros, 6 de setiembre de 2024.