SIC - Concepto-12003405

Bogotá D.C., 10

Asunto: Radicación: 12-003405- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 11

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 25 del Código Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Objeto de la consulta Se solicita información para desarrollar actividades de comercio electrónico, mercadeo de productos y servicios a través de Internet, al por mayor y al detal.

2. Materia objeto de la consulta En materia de comercio electrónico, la Superintendencia de Industria y Comercio, de acuerdo con el decreto 4886 de 2011 y la Ley 527 de 1999, tuvo las siguientes funciones hasta el 10 de enero de 2012, cuando entró en vigencia el Decreto 19 de 2012, el cual, mediante su artículo 176 derogó los artículos 41 y 42 de la Ley 527 de 1999, que nos había conferido funciones de vigilancia y control sobre las entidades de certificación de firmas digitales: (i) autorizar las entidades de certificación para prestar sus servicios en el país, de acuerdo con lo previsto en la Ley 527 de 1999 y ejercer respecto de estas las funciones establecidas en dicha ley o en las demás normas que la modifiquen, adicionen o sustituyan, (ii) velar por el funcionamiento y la eficiente prestación del servicio por parte de las entidades de certificación, (iii) realizar

visitas de auditoría a las entidades de certificación, (iv) revocar o suspender la autorización para operar como entidad de certificación, (v) solicitar la información pertinente para el ejercicio de sus funciones, (vi) imponer sanciones a las entidades de certificación en caso de incumplimiento de las obligaciones derivadas de la prestación del servicio, (vii) ordenar la revocación de certificados cuando la entidad de certificación los emita sin el cumplimiento de las formalidades legales, (viii) designar los repositorios y entidades de certificación en los eventos previstos en la ley, (ix) emitir certificados en relación con las firmas digitales de las entidades de certificación, (x) velar por la observancia de las disposiciones constitucionales y ( legales sobre la promoción de la competencia y prácticas comerciales restrictivas, competencia desleal y protección del consumidor, en los mercados atendidos por las entidades de certificación, e (xi) impartir instrucciones sobre el adecuado cumplimiento de las normas a las cuales deben sujetarse las entidades de certificación. Por lo anterior, actualmente la Superintendencia de Industria y Comercio no es competente para pronunciarse sobre la actividad de las entidades de certificación de firmas digitales, así como tampoco la tiene para brindar asesoría empresarial particular. Por lo tanto, le sugerimos consultar el asunto de su interés en cualquiera de las cámaras de comercio del país, entidades que de acuerdo con lo dispuesto en el artículo 86 del Código de Comercio tienen la función de servir de órgano de los intereses generales del comercio ante el Gobierno y ante los comerciantes. No obstante, lo anterior, con el ánimo de ilustrarlo sobre el desarrollo normativo y

jurisprudencial que ha tenido nuestra legislación en materia de firmas digitales, dado el conocimiento que hasta hace poco tuvimos acerca del tema, nos permitimos darle la siguiente información esperando que le sea útil. Por otra parte, lo informaremos sobre la obligación de inscribir en el registro mercantil las páginas web o sitios en Internet, a cargo todo aquel obligado a inscribirse en el registro mercantil. 2.1 Del mensaje de datos a la firma digital En el artículo 2 de la Ley 527 de 1999 se define el mensaje de datos como \”la información generada, enviada, recibida, almacenada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el Intercambio Electrónico de Datos (EDI), Internet, el correo electrónico, el telegrama, el télex o el telefax\”. (Subraya fuera del texto) La misma norma, en sus artículos 5 y 10 le reconoce al mensaje de datos los mismos efectos jurídicos de validez y fuerza probatoria que tienen los documentos (Capítulo VIII Título XIII, Sección Tercera, Libro Segundo del Código de Procedimiento Civil) y se dispone que en toda actuación administrativa o judicial no se negará eficacia, validez o fuerza obligatoria y probatoria a todo tipo de información en forma de mensaje de datos, por el solo hecho que se trate de un mensaje de datos o en razón de no haber sido presentado en su forma original. Al respecto, la Corte Constitucional en sentencia C-831, del 8 de agosto de 2001, con ponencia del Magistrado Alvaro Tafur Galvis, al fallar la acción pública de inconstitucionalidad contra el artículo 6o de la Ley 527 de 1999 se ha pronunció así:

"El mensaje de datos como tal debe recibir el mismo tratamiento de los documentos consignados en papel, es decir, debe dársele la misma eficacia jurídica, por cuanto el mensaje de datos comporta los mismos criterios de un documento. Dentro de las características esenciales del mensaje de datos encontramos que es una prueba de la existencia y naturaleza de la voluntad de las partes de comprometerse; es un documento legible que puede ser presentado ante las entidades públicas y los tribunales; admite su almacenamiento e inalterabilidad en el tiempo; facilita la revisión y posterior auditoría para los fines contables, impositivos y reglamentarios; afirma derechos y obligaciones jurídicas entre los intervinientes y es accesible para su ulterior consulta, es decir, que la información en forma de datos computarizados es susceptible de leerse e interpretarse. (...)\”. En sentencia C-622 del 8 de junio de 2000, que resolvió la acción pública de inconstitucionalidad contra la Ley 527 de 1999 y, particularmente sus artículos 10, 11, 12, 13, 14, 15, 27, 28, 29, 30, 32, 33, 34, 35, 36, 37, 38, 39, 40, 41, 42, 43, 44 y 45 la misma Corporación, a través de la ponencia del Magistrado Fabio Morón Díaz se pronunció sobre los criterios para valorar la fuerza probatoria del mensaje de datos, como sigue: \”AI hacer referencia a la definición de documentos del Código de Procedimiento Civil, le otorga al mensaje de datos la calidad de prueba, permitiendo coordinar el sistema telemático con el sistema manual o documentario, encontrándose en igualdad de condiciones en un litigio o

discusión jurídica, teniendo en cuenta para su valoración algunos criterios como: confiabilidad, integridad de la información e identificación del autor. Criterio para valorar probatoriamente un mensaje de datos. Al valorar la fuerza probatoria de un mensaje de datos se habrá de tener presente la confiabilidad de la forma en la que se haya generado, archivado o comunicado el mensaje, la confiabilidad de la forma en que se haya conservado la integridad de la información, la forma en la que se identifique a su iniciador y cualquier otro factor pertinente (artículo 11).\". El concepto de los elementos aludidos por la Corte en el párrafo anterior se explicó por la Corte Suprema de Justicia en la sentencia del 16 de diciembre de 2010, con ponencia del Magistrado Pedro Octavio Munar Cadena. \”La integralidad de la información tiene que ver con que el texto del documento transmitido por vía electrónica sea recibido en su integridad por el destinatario, tarea que puede cumplirse técnicamente utilizando el procedimiento conocido como "sellamiento" del mensaje, mediante el cual aquel se condensa de forma algorítmica y acompaña al mensaje durante la transmisión, siendo recalculado al final de ella en función de las características del mensaje realmente recibido; de modo, pues, que si el mensaje recibido no es exacto al remitido, el sello recalculado no coincidirá con el original y, por tanto, así se detectará que existió un problema en la transmisión y que el destinatario no dispone del mensaje completo. Incluso, la tecnología actual permite al emisor establecer si el receptor abrió el buzón de correo electrónico y presumiblemente leyó el mensaje. Esa característica guarda una estrecha relación con la "inalterabilidad",

requisito que demanda que el documento generado por primera vez en su forma definitiva no sea modificado, condición que puede satisfacerse mediante la aplicación de sistemas de protección de la información, tales como la criptografía y las firmas digitales. Otros aspectos importantes son el de la "rastreabilidad" del mensaje de datos que consiste en la posibilidad de acudir a la fuente original de creación o almacenamiento del mismo con miras a verificar su originalidad y su autenticidad. La "recuperabilidad", o sea la condición física por cuya virtud debe permanecer accesible para ulteriores consultas; y la "conservación", pues de ella depende la perduración del instrumento en el tiempo, siendo necesario prevenir su pérdida, ya sea por el deterioro de los soportes informáticos en que fue almacenado, o por la destrucción ocasionada por "virus informáticos" o cualquier otro dispositivo o programa ideado para destruir los bancos de datos informáticos. Una óptima conservación de la información puede lograrse mediante la aplicación de protocolos de extracción y copia, como también con un adecuado manejo de las reglas de cadena y custodia. 4.1.3 Ahora, la autenticidad del mensaje de datos corre paralela con la confiabilidad del mismo, determinada por la seguridad de que esté dotado en cuanto a la forma como se hubiese generado y conservado la integridad de la información y, por supuesto, en la forma en que se identifique a su iniciador y la asociación de éste a su contenido. Como todo documento, la eficacia probatoria del electrónico dependerá, también, de su autenticidad, contándose con mecanismos tecnológicos que permiten identificar el autor del mismo y

asociarlo con su contenido. En este aspecto cobra particular relevancia la firma electrónica, que es el género, y que puede comprender las firmas escaneadas, o los métodos biométricos (como el iris y las huellas digitales), y la firma digital -especie-, basada en la criptografía asimétrica. 4.1.4. Siendo las cosas de ese modo, resulta oportuno precisar en qué condiciones el mensaje de datos puede ser auténtico, no sin antes reiterar que en la prueba documental la firma juega un papel importante, en tanto que facilita la prueba de su autoría y, en determinados eventos está revestida de una presunción legal de autenticidad. Por tal razón y ante la imposibilidad de que el documento informático pudiese tener una firma manuscrita, fue concebida la de carácter electrónico, que consiste, según la doctrina, en "cualquier método o símbolo basado en medios electrónicos utilizado o adoptado por una parte con la intención actual de vincularse o autenticar un documento, cumpliendo todas o algunas de las funciones características de una firma manuscrita". En otras palabras, todo dato que en forma electrónica cumpla una función identificadora, con independencia del grado de seguridad que ofrezca, puede catalogarse como firma electrónica; de suerte, pues, que dentro de este amplio concepto tienen cabida signos de identificación muy variados, como los medios biométricos, la contraseña o password, la criptografía, etc. No obstante, dicha firma sólo producirá los efectos jurídicos de la manuscrita —equivalencia funcional— cuando cumpla determinados requisitos de seguridad y de fiabilidad, cuestiones que dependen del proceso técnico utilizado en su creación, siendo altamente seguro el basado en la criptografía

asimétrica —arte de cifrar la información, mediante algoritmos de clave secreta—, porque garantiza la identificación del autor del mensaje, integridad y confidencialidad del mismo. Dicho sistema es el utilizado para la creación de la denominada firma digital (...) (L. 527/99, art. 2o, lit. c) (...). Dicha especie de firma electrónica se equipara a la firma ológrafa, por cuanto cumple idénticas funciones que ésta, con las más exigentes garantías técnicas de seguridad, pues no sólo se genera por medios que están bajo el exclusivo control del firmante, sino que puede estar avalada por un certificado digital reconocido, mecanismos que permiten identificar al firmante, detectar cualquier modificación del mensaje y mantener la confidencialidad de éste. De manera, pues, que el documento electrónico estará cobijado por la presunción de autenticidad cuando hubiese sido firmado digitalmente, puesto que, al tenor de lo dispuesto en el artículo 28 ibídem, se presumirá que su suscriptor tenía la intención de acreditarlo y de ser vinculado con su contenido, claro está, siempre que ella incorpore los siguientes atributos: a) fuere única a la persona que la usa y estuviere bajo su control exclusivo; b) fuere susceptible de ser verificada; c) estuviere ligada al mensaje, de tal forma que si éste es cambiado queda invalidada; y d) estar conforme a las reglamentaciones adoptadas por el Gobierno Nacional. Por lo demás, será necesario que hubiese sido refrendada por una entidad acreditada, toda vez, que conforme lo asentó la Corte Constitucional, éstas "certifican técnicamente que un mensaje de datos cumple con los elementos esenciales para considerarlo como tal, a saber la

confidencialidad, la autenticidad, la integridad y la no repudiación de la información, lo que, en últimas permite inequívocamente tenerlo como auténtico" (C-662 de 2000), pues, a decir verdad, ellas cumplen una función similar a la fedante. 4.2 Por otra parte, debe dejarse en claro qué ocurre con los documentos electrónicos carentes de firma, punto en el cual cabe asentar que aunque ella es útil para establecer la autenticidad del documento electrónico no es imprescindible, habida cuenta que cuando el mensaje carece de ella, el juez puede adquirir certeza sobre su autoría mediante otros mecanismos, particularmente, mediante el reconocimiento que del mismo haga la persona a quien se le atribuye o el que hagan sus causahabientes, todo esto sin olvidar que podrá la parte que lo aportó tramitar el incidente de autenticidad, en el que le incumbirá la carga de probarla. En ese orden de ideas, el reconocimiento regulado por el artículo 269 del Código de Procedimiento Civil se impondrá como insoslayable respecto del mensaje de datos desprovisto de una firma digital, habida cuenta que se trata de un documento que no ha sido suscrito ni manuscrito por su autor y carece de un signo de individualidad que permita imputar autoría y, por ende, ejercer el derecho de contradicción a la persona que la parte que lo aporta señala como su creador". (Subrayado nuestro) 2.2 La firma digital y su equivalencia con la firma manuscrita La Ley 527 de 1999, por medio de la cual se definió y reglamentó el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales y se establecieron las entidades de certificación, equiparó la firma digital a la firma

manuscrita: Artículo 2. \”Definiciones. Para los efectos de la presente ley se entenderá por: (...) c) Firma digital. Se entenderá como un valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático conocido, vinculado a la clave del iniciador y al texto del mensaje permite determinar que este valor se ha obtenido exclusivamente con la clave del iniciador y que el mensaje inicial no ha sido modificado después de efectuada la transformación;\". Artículo 28. \”Atributos jurídicos de una firma digital. Cuando una firma digital haya sido fijada en un mensaje de datos se presume que el suscriptor de aquella tenía la intención de acreditar ese mensaje de datos y de ser vinculado con el contenido del mismo. Parágrafo. El uso de una firma digital tendrá la misma fuerza y efectos que el uso de una firma manuscrita, si aquélla incorpora los siguientes atributos:

1. Es única a la persona que la usa.

2. Es susceptible de ser verificada.

3. Está bajo el control exclusivo de la persona que la usa.

4. Está ligada a la información o mensaje, de tal manera que si éstos son cambiados, la firma digital es invalidada.

5. Está conforme a las reglamentaciones adoptadas por el Gobierno Nacional\”. 2.3 Inscripción de las páginas web en el registro mercantil En el artículo 91 de la Ley 633 de 2000 se establece que: \”Todas las páginas Web y los sitios de Internet de origen colombiano que operan en el Internet y cuya actividad económica sea de carácter comercial, financiera o de prestación de servicios, deberán inscribirse en el registro

mercantil y suministrar a la Dirección de Impuestos y Aduanas Nacionales, DIAN, la información de transacciones económicas en los términos que esta entidad lo requiera\”. Sobre el particular, la Corte Constitucional, en Sentencia C-1147 de 2001, por la cual declaró la exequibilidad condicionada del artículo 91 citado, señaló: \"4.1. El artículo 91° de la Ley 633 de 2000 es una disposición que regula una serie de circunstancias económicas específicas que tradicionalmente están sometidas a la inspección del Estado. La norma acusada alude a una serie de actividades, económicamente significativas, como la prestación de servicios o el desarrollo de labores de naturaleza comercial o financiera -que se prestan a través de sitios de Internet páginas web-, respecto de las cuales se consagran dos deberes concretos que tradicionalmente se predican de otros sujetos que se dedican también al ejercicio de actividades comerciales: se trata de la inscripción en el registro mercantil y la provisión de información a la DIAN sobre las transacciones económicas realizadas. En primer lugar, debe señalarse que el artículo 91° de la Ley 633 de 2000 se limita a extender la necesidad de cumplimiento de estos dos deberes administrativos, en el plano comercial y tributario, al nuevo escenario de acción que se crea en Internet; ello, con el fin de que el Estado cuente con la información necesaria acerca de la existencia de agentes económicos que acuden a este medio electrónico como vehículo para desarrollar sus actividades. Para tal efecto, la norma demandada señala el hecho que hace posible la aplicación de las obligaciones que crea -la existencia

de las páginas web y los sitios de Internet de origen colombiano cuya actividad económica sea de carácter comercial, financiera o de prestación de serviciosy la naturaleza concreta de tales obligaciones -deberán inscribirse en el registro mercantil y suministrar a la Dirección de Impuestos y Aduanas Nacionales, DIAN, la información de transacciones económicas en los términos que esta entidad lo requiera-. (...) 4.2. Los deberes que consagra el artículo 91 de la Ley 633 de 2000 se predican de las personas que efectivamente prestan los servicios personales, económicos y financieros que se realizan por medio de páginas web y sitios de Internet -los agentes materiales de la actividad económica-, (...) Como se advirtió, el supuesto de hecho que sirve de base para la fijación de los deberes que señala la norma acusada es la ejecución de una actividad económica concreta que alguien realiza a través de Internet. Ahora bien: la obligación de inscripción en el registro mercantil y la de remisión de información comercial a la DIAN sobre las transacciones ocurridas a través de las páginas web y sitios de Internet, recaen sobre el agente material de tales operaciones, esto es, la persona natural o jurídica cuya actividad económica profesional está relacionada con servicios personales, comerciales y financieros prestados, en todo o en parte, por la red.

5. Del origen de las páginas web y sitios de Internet sometidos a los deberes señalados por el artículo 91 de la Ley 633 de 2000. (...) [L]a referencia que se hace a las disposiciones existentes en la materia, resulta pertinente, pues ellas ofrecen una alternativa que, si bien no es la única, permite desentrañar el sentido de la expresión "de origen colombiano". Se

acude, entonces, a un referente legal, aplicable de manera extensiva al presente caso, que puede llevar a precisar el origen de la información que circula por Internet, y por esta vía, establecer un criterio que pueda utilizarse en la determinación del origen de las páginas web y sitios de Internet. (,..)Así, la Ley 527 de 1999 señala qué debe entenderse por "mensaje de datos" (artículo 2), a quién se atribuye un mensaje de datos enviado por Internet (artículo 16), y cuál es el lugar real de envío y recepción de datos (artículo 25). Este último elemento resulta ser especialmente relevante en el presente caso, en la medida en que el mensaje de datos, en principio, se tendrá por expedido en el lugar donde el iniciador tenga su establecimiento. De esta manera, el legislador establece una relación entre el espacio virtual de acción que se crea en Internet y su correlato real expresado en las actividades de sus diseñadores y operadores, con el propósito de precisar ciertos efectos jurídicos relevantes tal y como ha sido reconocido por las legislaciones internacionales sobre la materia. Así, existe un criterio legal para afirmar el origen de las páginas web y sitios de Internet que, en el caso de ser colombiano, tal y como lo dispone el artículo acusado, deberán inscribirse en el registro mercantil y remitir a la DIAN la información que esta entidad precise cuando se dediquen a la prestación de servicios personales, comerciales y financieros. (...) 6.2. Los deberes contenidos en el artículo 91 de la Ley 633 de 2000 y los derechos de los usuarios de Internet 6.2.1. Sobre el deber de inscripción en el registro mercantil. (...) En el presente caso, es claro que la inscripción en el registro mercantil es un acto que informa

acerca de la existencia de páginas web o sitios de Internet mediante los que se prestan servicios y se realizan actividades, comerciales o financieras. Esto facilita la identificación de los agentes económicos que operan en un nuevo escenario tecnológico. La información que se recopila por esta vía puede contribuir a múltiples finalidades, sin duda, también relevantes en materia tributaria, pues de esta forma "se facilita a la administración el ejercicio de labores de control, acordes con el movimiento de la economía nacional y con las exigencias por sectores económicos". Este registro, sin embargo, no implica revelar información sobre las transacciones realizadas ni sobre la evolución de la actividad comercial. Aunque sí representa hacer pública cierta información para identificar el sitio web o la página de Internet, ésta es la misma que debe revelar cualquier agente económico sobre el cual recaiga el deber de efectuar un registro mercantil. Por eso, prima facie, tal deber resulta razonable, de lo contrario, quienes ejercen el comercio virtual tendrían privilegios frente a quienes también ejercen profesionalmente el comercio por la vía real. 6.2.2. El deber de suministro de información requerida por la DIAN sobre las transacciones económicas realizadas a través de sitios de Internet o páginas web dedicadas a la prestación de servicios personales, comerciales y financieros. El segundo deber que el artículo 91 predica de las páginas web o sitios de Internet tiene que ver con el suministro a la Dirección de Impuestos y Aduanas Nacionales de la información sobre transacciones económicas "en los términos que esta entidad lo requiera". Se trata de una obligación que, al consagrar una de las formas posibles a las que el legislador puede acudir con el propósito de que se pueda hacer un seguimiento del intercambio comercial

que se realiza por Internet, incide en el goce efectivo de derechos constitucionales, en especial, el habeas data y la intimidad. Al respecto, es pertinente recordar el contenido del artículo 15 de la Carta: (...) En lo relativo al deber de suministro de la información requerida por la DIAN, el artículo 91 de la Ley 633 de 2000 tiene el objetivo de brindar a la administración los datos que le permitan ejercer sus atribuciones de registro, inspección e investigación en materia tributaria sobre la actividad que se realiza en Internet. (...) El medio escogido por el legislador para obtener dicho fin es el suministro de información que la DIAN requiera a los agentes materiales de la actividad acerca de las transacciones económicas que se perfeccionan en sitios web y páginas de Internet. (…)\”. De los apartes transcritos de la sentencia C-1147 de 2001 es claro que el artículo 91 de la Ley 633 de 2000 contiene 2 obligaciones bien diferenciadas, para los agentes que ejercen su actividad económica prestando servicios personales, comerciales o financieros, en todo (desde las actividades de promoción y comercialización de los productos o servicios hasta la realización del negocio jurídico que entraba la relación contractual) o en parte (sólo una o algunas de las etapas de promoción, publicidad, negociación, contratación, etc.), a través de Internet: (i) la de hacer pública la existencia de su página web o sitio en Internet, de origen colombiano, inscribiéndola en el registro mercantil, con el fin de identificar a los agentes económicos que operan en un nuevo escenario tecnológico y (ii) la de suministrar a la DIAN la información directamente relevante y estrictamente necesaria para el cumplimiento de sus

funciones en ejercicio de sus competencias legales, sobre las transacciones económicas realizadas a través de sitios en Internet o páginas web, con el propósito de hacer seguimiento al intercambio comercial que se realiza por esta vía. Al cumplimiento de la primera obligación están obligados todos los comerciantes, sobre quienes recae la obligación de inscribirse en el registro mercantil. La segunda obligación deben cumplirla los agentes económicos requeridos por la DIAN. El objeto de la primera obligación es la existencia de la página web o sitio en Internet del agente económico. El objeto de la segunda obligación es la realización de transacciones comerciales a través de Internet. En este sentido, la obligación de inscribir en el registro mercantil las páginas web o sitios en Internet la debe cumplir todo aquel obligado a inscribirse en el registro mercantil y tal información tomada del formulario del registro único empresarial diligenciado por el interesado, constará en los Libros VII, VIII, IX del registro mercantil, tal como lo ha dispuesto esta Superintendencia en el Título VIII, Capítulo Primero, de su Circular Única. Para mayor información sobre el desarrollo de nuestras funciones y de las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA