Política interna de firma digital: un modelo de una página, cláusula por cláusula y con la norma de cada una

Imagina una constructora con 35 trabajadores. El jefe de administración renuncia un viernes. Llevaba cuatro años firmando contratos con subcontratistas con un token que guarda en su cajón, y el PIN lo sabe solo él. El certificado salió a su nombre con los poderes de un gerente que dejó el cargo en junio. El lunes, el gerente nuevo descubre que nadie sabe dónde está el token, si el certificado sigue vigente ni quién habló la última vez con la entidad de certificación. Nada de eso es un problema técnico. Faltaba una hoja escrita.

Esa hoja es la política interna de firma digital. El artículo pilar sobre implantar la firma digital en la empresa la resume en seis líneas. Aquí va el modelo para copiar y, debajo, cada cláusula con su norma.

Cómo leer este modelo

Cada cláusula lleva una de dos etiquetas. Norma: un artículo vigente obliga o prevé lo que la cláusula dice, y lo citamos. Recomendación nuestra: no hay norma y lo escribimos por prudencia. Una recomendación no te obliga; una norma sí.

El reglamento de la Ley 27269 es el D.S. 052-2008-PCM (El Peruano, 19 de julio de 2008), y varios de sus artículos ya no dicen lo que dijeron en 2008. Usamos el texto vigente: el D.S. 029-2021-PCM (19 de febrero de 2021) reescribió, entre otros, los artículos 8, 10, 15, 16 y 36, y el D.S. 105-2012-PCM (21 de octubre de 2012) cambió el último párrafo del artículo 5. Una política que copie el artículo 5, 10 o 15 de una versión de 2008 cita texto que ya no existe.

El modelo

Copia el bloque, cambia lo que va entre corchetes y quita lo que no aplique.

POLÍTICA INTERNA DE FIRMA DIGITAL - [RAZÓN SOCIAL], RUC [____]
Aprobada por [cargo] el [fecha]. Responsable: [nombre]. Revisión cada [12] meses.

1. DOCUMENTOS. Se firman digitalmente: [contratos, boletas, adendas, actas].
   Siguen en papel: [escrituras, pagarés, lo que la contraparte exija].
   Cada documento indica quién firma y con qué certificado.
2. SUSCRIPTORES. Certificados a nombre de: [nombre, DNI, cargo, poder, partida].
   Solo ellos firman por la empresa, y solo para [el fin del certificado].
3. CUSTODIA. Soporte: [token / firma remota del prestador X]. El token se guarda en
   [lugar]. El PIN no se anota ni se comparte. Prohibido exportar la clave privada.
4. CANCELACIÓN. Se pide el mismo día en que: el suscriptor se va o cambia de cargo;
   cambian sus poderes; cambia un dato del certificado; se pierde el token o se
   sospecha que alguien conoce el PIN. Pide: [cargo]. Guarda la constancia: [cargo].
5. VENCIMIENTOS. [Cargo] lleva la lista de fechas y avisa [60] días antes.
6. CONSERVACIÓN. Archivo en [ubicación], en formato original. Sello de tiempo en lo
   que deba durar más que el certificado. Cada [12] meses se valida una muestra.
7. REGISTRO. Se anota fecha, documento, firmante y certificado en [sistema], solo
   para control interno, por [plazo]. Los firmantes están informados.
8. USO INDEBIDO. Usar un certificado para otro fin, o el de otra persona, se comunica
   de inmediato al responsable. Consecuencias: [según el reglamento interno].

Cláusula 1: qué documentos se firman y con qué certificado

Norma. El artículo 3 dice que la firma digital generada dentro de la Infraestructura Oficial de Firma Electrónica «tiene la misma validez y eficacia jurídica que el uso de una firma manuscrita», y que eso no excluye «el cumplimiento de las formalidades específicas requeridas para los actos jurídicos y el otorgamiento de fe pública». De ahí las dos listas: lo digital y lo que sigue en papel. En lo laboral, el numeral 3.1 del Decreto Legislativo 1310 (firmado el 29 de diciembre de 2016) deja al empleador sustituir su firma ológrafa «por su firma digital, conforme a lo regulado por el artículo 141-A del Código Civil».

El certificado va escrito junto al documento por el artículo 11: la firma «carece de validez» cuando «es utilizada en fines distintos para los que fue extendido el certificado». El caso típico es el de facturación usado en un contrato: qué cubre el de SUNAT.

Recomendación nuestra. Una tabla de tres columnas: documento, quién firma, certificado.

Cláusula 2: quién es suscriptor y con qué poderes

Norma. El artículo 9 dice que la responsabilidad por los efectos de la firma «corresponde al titular del certificado» y que, si el titular es una persona jurídica, los suscriptores son «las personas naturales responsables de la generación y uso de la clave privada». El artículo 14 exige que la solicitud la presente un representante acreditado, indicando el suscriptor «señalando para tal efecto las atribuciones y los poderes de representación correspondientes». El 15 b) obliga al titular a «actualizar la información provista» a la entidad de certificación y a la de registro.

Lo que no dice la norma es que el certificado lleve los poderes impresos. Con el artículo 16 vigente, el de persona jurídica trae razón social, RUC, y nombre, documento y tipo de documento del suscriptor. El certificado dice quién firma, no hasta dónde puede obligar a la empresa, y eso tiene que estar escrito aparte. Cómo comprobar el alcance y qué pasa con la firma conjunta: poderes, firma conjunta y vigencia del poder. El reparto entre titular y suscriptor: el certificado de tu empresa lleva el nombre de una persona.

Recomendación nuestra. Por suscriptor: nombre, DNI, cargo, poder que lo respalda (partida y asiento, si está inscrito) y fecha de la última revisión. En los certificados para agentes automatizados el artículo 9 hace a la persona jurídica titular y suscriptora a la vez, así que ahí se anota el sistema y su responsable.

Cláusula 3: custodia de la clave privada y del PIN

Norma. El artículo 10, tras el D.S. 029-2021-PCM, dice en su literal c) que el suscriptor debe «mantener el control y la reserva de la clave privada bajo su responsabilidad, sin perjuicio de la responsabilidad del Prestador de Servicios de Valor Añadido acreditado en la modalidad de sistema de creación de firma remota que genere la clave privada para el servicio de firma remota». El literal e), igual que en 2008, manda avisar «de inmediato» a la entidad de registro o de certificación si la clave privada queda comprometida.

El artículo 8 a) presume que el suscriptor tiene el control de la clave privada «con un elevado grado de confianza, incluso cuando la misma es gestionada» por un prestador acreditado de firma remota. Es la presunción que protege a la empresa, y es difícil sostenerla si el PIN anda en un papel pegado al monitor. Elegir soporte: token USB o firma remota. Si el token se pierde: qué se desbloquea y qué se cancela.

Recomendación nuestra. Dónde vive el token y quién tiene la llave, PIN fuera del lugar del token, y ni certificado exportado ni contraseña en el panel de un tercero (le diste el certificado a tu facturador). Con firma remota, anota el nombre del prestador y comprueba su acreditación antes de contratar (qué exige INDECOPI).

Cláusula 4: qué pasa cuando alguien se va o cambian los poderes

Norma. El artículo 18 obliga al titular y al suscriptor, «bajo responsabilidad, a solicitar la cancelación del certificado al tomar conocimiento» de, entre otras circunstancias: la «exposición, puesta en peligro o uso indebido de la clave privada» (a); la «revocación de las facultades de representación y/o poderes de sus representantes legales o apoderados» (c); y que «la información contenida en el certificado ya no resulte correcta» (d). No fija número de días: dice «al tomar conocimiento».

El artículo 17 dice que la cancelación «no puede ser aplicada retroactivamente», así que lo firmado antes sigue valiendo, y que usar un certificado «con posterioridad a su cancelación conlleva la inaplicabilidad de los artículos 3, 4 y 8» (equivalencia con la firma manuscrita, valor probatorio y presunciones). Mientras el certificado de quien se fue siga sin cancelar, esa persona puede firmar con apariencia de validez y la empresa carga con ello.

Un matiz que el texto de 2008 no tenía. Según el artículo 15 c) vigente, el titular debe solicitar la cancelación si la reserva de la clave privada se compromete, «excepto cuando dicha clave sea gestionada por un Prestador de Servicios de Valor Añadido acreditado en la modalidad de sistema de creación de firma remota». El artículo 18 no hace esa distinción. Nuestra lectura es que, con firma remota, la excepción no libera a la empresa de avisar cuando un suscriptor se va, porque eso entra por el literal c) del 18 y no por el 15 c). El procedimiento completo: cuándo la norma te obliga a cancelar.

Recomendación nuestra. Convertir el «al tomar conocimiento» en una regla verificable, el mismo día, y poner la cancelación en la lista de salida de personal junto con la laptop y los accesos.

Cláusula 5: vencimientos

Norma. El artículo 16 dice que la vigencia de los certificados «comienza y finaliza en las fechas indicadas en él», y el 17 c) incluye entre las causales de cancelación la «expiración del plazo de vigencia». Qué hacer cuando ya venció: renovar un certificado vencido.

Recomendación nuestra. La norma no obliga a avisar a nadie; la política sí. Una lista con cada fecha, un responsable y un aviso anticipado. Los [60] días son un número nuestro: el trámite lo hace el suscriptor y necesita margen.

Cláusula 6: conservación y sellado de tiempo

Norma. El artículo 5 pide, para los documentos con formalidad de conservación, que sean accesibles, que se guarden «con su formato original de generación, envío, recepción u otro formato que reproduzca en forma demostrable la exactitud e integridad del contenido electrónico» y que se conserven los datos de origen, destino, fecha y hora. Su último párrafo cambió con el D.S. 105-2012-PCM: «la firma digital vinculada a un certificado digital generada bajo la Infraestructura Oficial de Firma Electrónica no requiere mecanismos adicionales para conservar dicho documento a salvo de adulteraciones». La exigencia de microformas con notario, que cerraba el artículo en 2008, ya no figura en el texto vigente (conservar un documento firmado).

El artículo 36 a) define el sistema de sellado de tiempo como el que «consigna la fecha y hora cierta para evidenciar que un dato u objeto digital ha existido en un momento determinado del tiempo, y que no ha sido alterado desde entonces»; el 36 b), la preservación digital, como la que permite «validar una firma digital en el largo plazo». Ninguno obliga a la empresa a contratarlos. Ver sellado de tiempo.

Un plazo con número, solo laboral: el numeral 3.4 del D.Leg. 1310 obliga al empleador a conservar los documentos y constancias de pago de obligaciones laborales económicas «solamente hasta cinco años después de efectuado el pago».

Recomendación nuestra. Sellar lo que deba poder verificarse después de que caduque el certificado que lo firmó, y decidirlo antes del primer documento. Y validar una muestra al año en el validador del Estado: es la prueba de que los archivos siguen verificándose.

Cláusula 7: registro de quién firmó qué

Norma. Ninguna norma de firma digital obliga a una empresa privada a llevar este registro: la cláusula es recomendación nuestra. Pero un registro que nombra personas contiene datos personales y entra la Ley 29733. Su texto vigente pide en el artículo 6 una «finalidad determinada, explícita y lícita» y prohíbe extender el tratamiento a otra; en el 7, que sea «adecuado, relevante y no excesivo»; en el 8, conservar los datos «solo por el tiempo necesario para cumplir con la finalidad»; y el 18 da al titular derecho a ser informado de antemano de la finalidad y del tiempo de conservación.

En la práctica, el registro sirve para controlar qué se firmó, no para vigilar al firmante, y este debe saberlo. El artículo 14.5 exime del consentimiento los datos «necesarios para la preparación, celebración y ejecución de una relación contractual en la que el titular de datos personales sea parte». Si cubre el registro de firmas de un trabajador depende del caso y no lo damos por cerrado (consentimiento y prueba).

Si el registro vive en un sistema informático, el D.S. 016-2024-JUS (El Peruano, 30 de noviembre de 2024) pide en su artículo 46 control de accesos y registros que «provean evidencia de las interacciones con los datos lógicos», conservados «por un periodo mínimo de dos (2) años». Esos dos años son de las bitácoras del sistema, no del contenido del registro. Sobre firma remota: registro de eventos.

Recomendación nuestra. Fecha, documento, firmante y certificado. Nada más.

Cláusula 8: qué pasa si se usa el certificado para otro fin

Norma. El artículo 11 a), ya citado, quita validez a la firma. El 10 d) obliga al suscriptor a observar las condiciones que fije la entidad de certificación para usar el certificado, el 15 d) obliga lo mismo al titular, y el 18 a) incluye el «uso indebido de la clave privada» entre los motivos para pedir la cancelación. Qué sanción interna corresponde no lo dice ningún artículo del reglamento. Depende del reglamento interno de trabajo y del contrato, y no la inventamos.

Recomendación nuestra. Escribir el deber de comunicar el uso indebido de inmediato, porque eso activa la cláusula 4. Rinde más que una amenaza genérica: cada hora sin cancelar es una hora en que la empresa responde por lo que firme otro.

Para cerrar

Con tres RUC, cada uno necesita su certificado y su lista (tres empresas, un solo sistema). Si firmas boletas, añade el acuerdo con los trabajadores (boletas y contratos). Y si dudas qué certificado asignar a cada firmante, mira el catálogo o escríbenos con tres datos: cuántas personas firman, qué documentos y qué soporte usan hoy.

Lo que este artículo no afirma

Que el modelo sea exigible. Ninguna norma impone esta política a una empresa privada. El modelo es nuestro y las normas respaldan solo las cláusulas que lo indican.

Que el reglamento citado sea el vigente completo. Leímos el texto original del D.S. 052-2008-PCM y las modificaciones de los D.S. 070-2011-PCM, 105-2012-PCM, 026-2016-PCM (solo para descartar que tocara los artículos usados) y 029-2021-PCM. No barrimos otras normas. Los artículos 3, 9, 11, 14, 17 y 18 se citan en su redacción de 2008 porque ninguna de esas modificaciones los toca; el último párrafo del artículo 16 (vigencia), en la redacción del D.S. 070-2011-PCM, que el 029-2021 no reescribe en lo que muestra.

Que la firma remota exima de pedir la cancelación cuando alguien se va. Es nuestra lectura de los artículos 15 c) y 18, sin pronunciamiento de la autoridad.

Que el registro de firmas se pueda llevar sin consentimiento. El numeral 14.5 de la Ley 29733 puede cubrirlo o no. No lo resolvemos.

Un plazo general de conservación. El único que citamos es el de cinco años del D.Leg. 1310 para pagos laborales.

Cifras de ahorro o de tiempo. No hay fuente que las sustente.

Última revisión: 6 de octubre de 2026.

Fuentes de esta página

Consultadas el 6 de octubre de 2026.

• D.S. 052-2008-PCM, Reglamento de la Ley 27269, El Peruano, 19 de julio de 2008: artículos 3, 5, 8, 9, 10, 11, 14, 15, 16, 17 y 18.
• D.S. 029-2021-PCM, El Peruano, 19 de febrero de 2021: Segunda Disposición Complementaria Modificatoria (artículos 8 a), 10 b) y c), 15 c) y d), 16 y 36).
• D.S. 070-2011-PCM, El Peruano, 27 de julio de 2011: artículo 16.
• D.S. 105-2012-PCM, El Peruano, 21 de octubre de 2012: último párrafo del artículo 5.
• Decreto Legislativo 1310, firmado el 29 de diciembre de 2016: artículo 3, numerales 3.1 y 3.4.
• Ley 29733, texto vigente: artículos 6, 7, 8, 14.5 y 18.
• D.S. 016-2024-JUS, reglamento de la Ley 29733, El Peruano, 30 de noviembre de 2024: artículo 46.