SIC - Concepto-12051517

Bogotá D.C 10

Asunto: Radicación: 12-051517--00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Estimado(a) Señora: [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 25 del Código Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos. 1 Objeto de la consulta Se solicita información acerca de qué tan viable es suscribir un contrato electrónicamente, si tiene validez jurídica el hecho que alguien acepte las condiciones de un contrato dándose por entendido que existe responsabilidad entre las partes. 2 Materia objeto de la consulta En materia de comercio electrónico, la Superintendencia de Industria y Comercio, de acuerdo con el Decreto 4886 de 2011 y la Ley 527 de 1999, tuvo las siguientes funciones hasta el 10 de enero de 2012, cuando entró en vigencia el Decreto 19 de 2012, el cual, mediante su artículo 176 derogó los artículos 41 y 42 de la Ley 527 de 1999, que nos había conferido funciones de vigilancia y control sobre las entidades de certificación de firmas digitales: (i) autorizar las entidades de certificación para prestar sus servicios en el país, de acuerdo con lo previsto en la Ley 527 de 1999 y ejercer respecto de estas las funciones establecidas en dicha ley o en las demás normas que la modifiquen, adicionen o sustituyan, (ii) velar por el funcionamiento y la eficiente

prestación del servicio por parte de las entidades de certificación, (iii) realizar visitas de auditoría a las entidades de certificación, (iv) revocar o suspender la autorización para operar como entidad de certificación, (v) solicitar la información pertinente para el ejercicio de sus funciones, (vi) imponer sanciones a las entidades de certificación en caso de incumplimiento de las obligaciones derivadas de la prestación del servicio, (vii) ordenar la revocación de certificados cuando la entidad de certificación los emita sin el cumplimiento de las formalidades legales, (viii) designar los repositorios y entidades de certificación en los eventos previstos en la ley, (ix) emitir certificados en relación con las firmas digitales de las entidades de certificación, (x) velar por la observancia de las disposiciones constitucionales y legales sobre la promoción de la competencia y prácticas comerciales restrictivas, competencia desleal y protección del consumidor, en los mercados atendidos por las entidades de certificación, e (xi) impartir instrucciones sobre el adecuado cumplimiento de las normas a las cuales deben sujetarse las entidades de certificación. Por lo anterior, actualmente la Superintendencia de Industria y Comercio no es competente para pronunciarse sobre la actividad de las entidades de certificación de firmas digitales, así como tampoco la tiene para brindar asesoría empresarial particular. Por lo tanto, le sugerimos consultar el asunto de su interés en cualquiera de las cámaras de comercio del país, entidades que de acuerdo con lo dispuesto en el artículo 86 del Código de Comercio tienen la función de servir de órgano de los intereses generales del comercio ante el Gobierno y ante los comerciantes.

No obstante lo anterior, con el ánimo de ilustrarlo sobre el desarrollo normativo y jurisprudencial que ha tenido nuestra legislación en materia de firmas digitales, dado el conocimiento que hasta hace poco tuvimos acerca del tema, nos permitimos darle la siguiente información esperando que le sea útil. 2.1 Del mensaje de datos a la firma digital En el artículo 2 de la Ley 527 de 1999 se define el mensaje de datos como “la información generada, enviada, recibida, almacenada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el Intercambio Electrónico de Datos (EDI), Internet, el correo electrónico, el telegrama, el télex o el telefax.” (Subraya fuera del texto) La misma norma, en sus artículos 5 y 10 le reconoce al mensaje de datos los mismos efectos jurídicos de validez y fuerza probatoria que tienen los documentos (Capítulo VIII Título XIII, Sección Tercera, Libro Segundo del Código de Procedimiento Civil) y se dispone que en toda actuación administrativa o judicial no se negará eficacia, validez o fuerza obligatoria y probatoria a todo tipo de información en forma de mensaje de datos, por el solo hecho que se trate de un mensaje de datos o en razón de no haber sido presentado en su forma original. Al respecto, la Corte Constitucional en sentencia C-831, del 8 de agosto de 2001, con ponencia del Magistrado Alvaro Tafur Galvis, al fallar la acción pública de inconstitucionalidad contra el artículo 6o de la Ley 527 de 1999 se ha pronunció así: "El mensaje de datos como tal debe recibir el mismo tratamiento de los documentos consignados en papel, es decir, debe dársele la misma eficacia jurídica, por cuanto

el mensaje de datos comporta los mismos criterios de un documento. Dentro de las características esenciales del mensaje de datos encontramos que es una prueba de la existencia y naturaleza de la voluntad de las partes de comprometerse; es un documento legible que puede ser presentado ante las entidades públicas y los tribunales; admite su almacenamiento e inalterabilidad en el tiempo; facilita la revisión y posterior auditoría para los fines contables, impositivos y reglamentarios; afirma derechos y obligaciones jurídicas entre los intervinientes y es accesible para su ulteriorconsulta, es decir, que la información en forma de datos computarizados es susceptible de leerse e interpretarse. (...)” En sentencia C-622 del 8 de junio de 2000, que resolvió la acción pública de inconstitucionalidad contra la Ley 527 de 1999 y, particularmente sus artículos 10, 11, 12, 13, 14, 15, 27, 28, 29, 30, 32, 33, 34, 35, 36, 37, 38, 39, 40, 41, 42, 43, 44 y 45 la misma Corporación, a través de la ponencia del Magistrado Fabio Morón Díaz se pronunció sobre los criterios para valorar la fuerza probatoria del mensaje de datos, como sigue: “AI hacer referencia a la definición de documentos del Código de Procedimiento Civil, le otorga al mensaje de datos la calidad de prueba, permitiendo coordinar el sistema telemático con el sistema manual o documentario, encontrándose en igualdad de condiciones en un litigio o discusión jurídica, teniendo en cuenta para su valoración algunos criterios como: confiabilidad, integridad de la información e

identificación del autor. Criterio para valorar probatoriamente un mensaje de datos. Al valorar la fuerza probatoria de un mensaje de datos se habrá de tener presente la confiabilidad de la forma en la que se haya generado, archivado o comunicado el mensaje, la confiabilidad de la forma en que se haya conservado la integridad de la información, la forma en la que se identifique a su iniciador y cualquier otro factor pertinente (artículo 11).\". El concepto de los elementos aludidos por la Corte en el párrafo anterior se explicó por la Corte Suprema de Justicia en la sentencia del 16 de diciembre de 2010, con ponencia del Magistrado Pedro Octavio Munar Cadena. \".La integralidad de la información tiene que ver con que el texto del documento transmitido por vía electrónica sea recibido en su integridad por el destinatario, tarea que puede cumplirse técnicamente utilizando el procedimiento conocido como "sellamiento" del mensaje, mediante el cual aquel se condensa de forma algorítmica y acompaña al mensaje durante la transmisión, siendo recalculado al final de ella en función de las características del mensaje realmente recibido; de modo, pues, que si el mensaje recibido no es exacto al remitido, el sello recalculado no coincidirá con el original y, por tanto, así se detectará que existió un problema en la transmisión y que el destinatario no dispone del mensaje completo. Incluso, la tecnología actual permite al emisor establecer si el receptor abrió el buzón de correo electrónico y presumiblemente leyó el mensaje. Esa característica guarda una estrecha relación con la "inalterabilidad", requisito que demanda que el documento generado por primera vez en su forma definitiva no

sea modificado, condición que puede satisfacerse mediante la aplicación de sistemas de protección de la información, tales como la criptografía y las firmas digitales. Otros aspectos importantes son el de la "rastreabilidad" del mensaje de datos que consiste en la posibilidad de acudir a la fuente original de creación o almacenamiento del mismo con miras a verificar su originalidad y su autenticidad. La "recuperabilidad", o sea la condición física por cuya virtud debe permanecer accesible para ulteriores consultas; y la "conservación", pues de ella depende la perduración del instrumento en el tiempo, siendo necesario prevenir su pérdida, ya sea por el deterioro de los soportes informáticos en que fue almacenado, o por la destrucción ocasionada por "virus informáticos" o cualquier otro dispositivo o programa ideado para destruir los bancos de datos informáticos. Una óptima conservación de la información puede lograrse mediante la aplicación de protocolos de extracción y copia, como también con un adecuado manejo de las reglas de cadena y custodia. 4.1.3 Ahora, la autenticidad del mensaje de datos corre paralela con la confiabilidad del mismo, determinada por la seguridad de que esté dotado en cuanto a la forma como se hubiese generado y conservado la integridad de la información y, por supuesto, en la forma en que se identifique a su iniciador y la asociación de éste a su contenido. Como todo documento, la eficacia probatoria del electrónico dependerá, también, de su autenticidad, contándose con mecanismos tecnológicos que permiten identificar el autor del mismo y asociarlo con su contenido. En este aspecto cobra particular relevancia la firma electrónica, que es el género, y que

puede comprender las firmas escaneadas, o los métodos biométricos (como el iris y las huellas digitales), y la firma digital -especie-, basada en la criptografía asimétrica. 4.1.4. Siendo las cosas de ese modo, resulta oportuno precisar en qué condiciones el mensaje de datos puede ser auténtico, no sin antes reiterar que en la prueba documental la firma juega un papel importante, en tanto que facilita la prueba de su autoría y, en determinados eventos está revestida de una presunción legal de autenticidad. Por tal razón y ante la imposibilidad de que el documento informático pudiese tener una firma manuscrita, fue concebida la de carácter electrónico, que consiste, según la doctrina, en "cualquier método o símbolo basado en medios electrónicos utilizado o adoptado por una parte con la intención actual de vincularse o autenticar un documento, cumpliendo todas o algunas de las funciones características de una firma manuscrita". En otras palabras, todo dato que en forma electrónica cumpla una función identificadora, con independencia del grado de seguridad que ofrezca, puede catalogarse como firma electrónica; de suerte, pues, que dentro de este amplio concepto tienen cabida signos de identificación muy variados, como los medios biométricos, la contraseña o password, la criptografía, etc. No obstante, dicha firma sólo producirá los efectos jurídicos de la manuscrita — equivalencia funcional— cuando cumpla determinados requisitos de seguridad y de fiabilidad, cuestiones que dependen del proceso técnico utilizado en su creación, siendo altamente seguro el basado en la criptografía asimétrica —arte de cifrar la información, mediante algoritmos de clave secreta—, porque garantiza la

identificación del autor del mensaje, integridad y confidencialidad del mismo. Dicho sistema es el utilizado para la creación, de la denominada firma digital (...) (L. 527/99, art. 2o, lit. c) (...). Dicha especie de firma electrónica se equipara a la firma ológrafa, por cuanto cumple idénticas funciones que ésta, con las más exigentes garantías técnicas de seguridad, pues no sólo se genera por medios que están bajo el exclusivo control del firmante, sino que puede estar avalada por un certificado digital reconocido, mecanismos que permiten identificar al firmante, detectar cualquier modificación del mensaje y mantener la confidencialidad de éste. De manera, pues, que el documento electrónico estará cobijado por la presunción de autenticidad cuando hubiese sido firmado digitalmente, puesto que, al tenor de lo dispuesto en el artículo 28 ibídem, se presumirá que su suscriptor tenía la intención de acreditarlo y de ser vinculado con su contenido, claro está, siempre que ella incorpore los siguientes atributos: a) fuere única a la persona que la usa y estuviere bajo su control exclusivo; b) fuere susceptible de ser verificada; c) estuviere ligada al mensaje, de tal forma que si éste es cambiado queda invalidada; y d) estar conforme a las reglamentaciones adoptadas por el Gobierno Nacional. Por lo demás, será necesario que hubiese sido refrendada por una entidad acreditada, toda vez, que conforme lo asentó la Corte Constitucional, éstas "certifican técnicamente que un mensaje de datos cumple con los elementos esenciales para considerarlo como tal, a saber la confidencialidad, la autenticidad, la integridad y la no repudiación de la información, lo que, en últimas permite inequívocamente

tenerlo como auténtico" (C-662 de 2000), pues, a decir verdad, ellas cumplen una función similar a la fedante. 4.2 Por otra parte, debe dejarse en claro qué ocurre con los documentos electrónicos carentes de firma, punto en el cual cabe asentar que aunque ella es útil para establecer la autenticidad del documento electrónico no es imprescindible, habida cuenta que cuando el mensaje carece de ella, el juez puede adquirir certeza sobre su autoría mediante otros mecanismos, particularmente, mediante el reconocimiento que del mismo haga la persona a quien se le atribuye o el que hagan sus causahabientes, todo esto sin olvidar que podrá la parte que lo aportó tramitar el incidente de autenticidad, en el que le incumbirá la carga de probarla. En ese orden de ideas, el reconocimiento regulado por el artículo 269 del Código de Procedimiento Civil se impondrá como insoslayable respecto del mensaje de datos desprovisto de una firma digital, habida cuenta que se trata de un documento que no ha sido suscrito ni manuscrito por su autor y carece de un signo de individualidad que permita imputar autoría y, por ende, ejercer el derecho de contradicción a la persona que la parte que lo aporta señala como su creador". (Subrayado nuestro) 2.2 Las firmas electrónicas Lo primero que es necesario advertirle que la firma digital, la firma mecánica son especies de firmas electrónicas entre las cuales existen diferencias sustanciales: 2.2.1 La firma digital La Ley 527 de 1999, por medio de la cual se definió y reglamentó el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales y se establecieron las entidades de certificación, equiparó la firma digital a la firma

manuscrita: Artículo 2. \"Definiciones. Para los efectos de la presente ley se entenderá por: (...) c) Firma digital. Se entenderá como un valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático conocido, vinculado a la clave del iniciador y al texto del mensaje permite determinar que este valor se ha obtenido exclusivamente con la clave del iniciador y que el mensaje inicial no ha sido modificado después de efectuada la transformación;\". Artículo 28. \"Atributos jurídicos de una firma digital. Cuando una firma digital haya sido fijada en un mensaje de datos se presume que el suscriptor de aquella tenía la intención de acreditar ese mensaje de datos y de ser vinculado con el contenido del mismo. Parágrafo. El uso de una firma digital tendrá la misma fuerza y efectos que el uso de una firma manuscrita, si aquélla incorpora los siguientes atributos: 1 Es única a la persona que la usa. 2 Es susceptible de ser verificada. 3 Está bajo el control exclusivo de la persona que la usa. 4 Está ligada a la información o mensaje, de tal manera que si éstos son cambiados, la firma digital es invalidada. 5 Está conforme a las reglamentaciones adoptadas por el Gobierno Nacional\" 2.3.2 La firma mecánica La firma mecánica es aquella que procede de algún medio mecánico, es decir, ejecutado por un mecanismo o máquina(1), tal como la digitalizada o escaneada (la imagen de la firma) en formatos gif, tiff, jpg, etc. En particular, su uso por las entidades del Estado fue autorizado en nuestra legislación a través del artículo 12 del Decreto 2150 del 5 de diciembre de 1995, por el cual se

suprimieron y reformaron regulaciones, procedimientos o trámites innecesarios existentes en la Administración Pública, así: \"Firma mecánica. Los jefes de las entidades que integran la Administración Pública podrán hacer uso, bajo su responsabilidad, de la firma que procede de algún medio mecánico, en tratándose de firmas masivas. En tal caso, previamente mediante acto administrativo de carácter general, deberá informar sobre el particular y sobre las características del medio mecánico. \" En cuanto al uso de la firma mecánica por los particulares, debido a que el legislador no le confirió atributos jurídicos especiales, como lo hizo con la firma digital, la validez o eficacia de la misma dependerá de los términos contractuales y las normas sustanciales y procedimentales que rigen los actos a los que pretenden darle autenticidad o expresar la aprobación de su contenido mediante la firma; en todo caso, la ley no le reconoce a la firma mecánica equivalencia con la firma autógrafa, tal como lo hace con la digital. Ahora, frente al uso de la firma mecánica en mensajes de datos es importante tener en cuenta el artículo 7 de la Ley 527 del 1999 que determina claramente las condiciones que debe reunir la firma en un mensaje de datos para tenerla por tal: \"Firma: Cuando cualquier norma exija la presencia de una firma o establezca ciertas consecuencias en ausencia de la misma, en relación con un mensaje de datos, se entenderá satisfecho dicho requerimiento si: a. se ha utilizado un método que permita identificar al iniciador de un mensaje de datos y para indicar que el contenido cuenta con su aprobación; b. que el método sea tanto confiable como apropiado para el propósito por el

cual el mensaje fue generado o comunicado. Lo dispuesto en este artículo se aplicará tanto si el requisito establecido en cualquier norma constituye una obligación, como si las normas simplemente prevén consecuencias en el caso de que no exista una firma\" Como se nota en el texto legal, una de las exigencias no es la de ser una firma digital, por lo que otra clase de firma electrónica podría cumplir con estas condiciones y generar los efectos establecidos por las normas que regulan el acto o negocio jurídico que contiene el mensaje de datos, pues, en su artículo 22 la Ley 527 de 1999 deja claro que \"las consecuencias jurídicas del mensaje de datos se regirán conforme a las normas aplicables al acto o negocio jurídico contenido en dicho mensaje de datos\"

3. Conclusión De acuerdo con el artículo 12 del Decreto 2150 de 1995, la firma mecánica es aquella que procede de algún medio mecánico, es decir, ejecutado por un mecanismo o máquina, tal como la digitalizada o escaneada (la imagen de la firma) en formatos gif, tiff, jpg, etc., en tanto que la firma digital está definida en la Ley 527 de 1999 como un valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático conocido, vinculado a la clave del iniciador y al texto del mensaje permite determinar que este valor se ha obtenido exclusivamente con la clave del iniciador y que el mensaje inicial no ha sido modificado después de efectuada la transformación.

A la firma digital y no a la mecánica, el legislador le ha otorgado la misma fuerza y efectos que el uso de una firma manuscrita (identificar a una persona como el autor del

documento que firma, dar certeza de la participación exclusiva del firmante en el acto de firmar y asociarlo con el contenido del documento), si aquélla incorpora los atributos señalados en el artículo 28 de la Ley 527 de 1999, entre los cuales se encuentra el de estar conforme a las reglamentaciones adoptadas por el Gobierno Nacional, es decir, a las establecidas en el Decreto 1747 de 2000, reglamentario de la Ley 527 en lo relacionado con las entidades de certificación. De acuerdo con todo lo anterior, el documento firmado electrónicamente tendrá la misma validez de un documento firmado con firma manuscrita, si se cumplen las condiciones establecidas en la ley para tal efecto. Para mayor información sobre el desarrollo de nuestras funciones y de las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página en Internet, www.sic.gov.co.

Nota de referencia: (1) DICCIONARIO DE LA REAL ACADEMIA ESPAÑOLA, vigésima segunda edición.

Disponible en www.rae.es. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

Jefe Oficina Asesora Jurídica