SIC - Concepto-11026765

Bogotá D.C., 10

Asunto: Radicación: 11-026765- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 25 del Código Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Consulta y respuesta 1.1 Quisiera saber dónde está regulada la firma escaneada o digital o mecánica.

Respuesta: Lo primero que es necesario advertirle es que existen diferencias sustanciales entre las firmas mecánica y digital y que son las normas que las regulan las que aclaran el punto: De acuerdo con el artículo 12 del Decreto 2150 de 1995, la firma mecánica es aquella que procede de algún medio mecánico, es decir, ejecutado por un mecanismo o máquina , tal como la digitalizada o escaneada (la imagen de ia firma) en formatos gif, tiff, jpg, etc., en tanto que la firma digital está definida en la Ley 527 de 1999 como un valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático conocido, vinculado a la clave del iniciador y al texto del mensaje permite determinar que este valor se ha obtenido Exclusivamente con la clave del iniciador y que el mensaje inicial no ha sido modificado después de efectuada la transformación.

A la firma digital y no a la mecánica, el legislador le ha otorgado la misma fuerza y efectos que el uso de una firma manuscrita (identificar a una persona como el

autor del documento que firma, dar certeza de la participación exclusiva del firmante en el acto de firmar y asociarlo con el contenido del documento), si aquélla incorpora los atributos señalados en el artículo 28 de la Ley 527 de 1999, entre los cuales se encuentra el de estar conforme a las reglamentaciones adoptadas por el Gobierno Nacional, es decir, a las establecidas en el Decreto 1747 de 2000, reglamentario de la Ley 527 en lo relacionado con las entidades de certificación, los certificados y las firmas digitales, y en el Título V, Capítulo VIII de la Circular Única de la Superintendencia de Industria y Comercio. Finalmente, en el artículo 41 de la Ley 527 de 1999 y en los artículos 1 y 9 del Decreto 3523 de 2009 (modificado por el Decreto 1687 del 2010), se establecieron las funciones de la Superintendencia de Industria y Comercio con respecto a las entidades de certificación. 1.2 “\Yo puedo enviar un documento en word, por ejemplo, por correo (no escaneado) que tenga una firma digital mía escaneada? Tiene validez? o esa firma para que sea válida debo registrarla antes? en dónde puedo registrarla.“\ Atendiendo a su definición legal la firma digital no puede ser escaneada y, por lo tanto, no podría enviar un mensaje de datos con su firma digital escaneada. Pero si se quiso referir a la validez de su firma mecánica aplicada a un correo electrónico podemos informarle que por hacer parte de un mensaje de datos, de acuerdo con el artículo 10 de la Ley 527 de 1999, su eficacia, validez o fuerza obligatoria y probatoria deberá ser evaluada de acuerdo con las normas

particulares previstas en los artículos 3 a 25 de esa misma norma y con las generales establecidas en el Código de Procedimiento Civil para analizar la prueba documental, al tiempo que las consecuencias jurídicas del mensaje de datos se regirán por las normas aplicables al acto o negocio que contenga. La ley no tiene previsto el registro de firmas mecánicas. Por lo tanto, si su firma mecánica en el mensaje de datos cumple con las condiciones establecidas en el artículo 7 de la Ley 527 de 1999, dentro de las cuales no se encuentra la de ser firma digital, la validez o eficacia de! acto que aprueba dependerá del efecto que las normas especiales o generales que lo regulen le confieran a esa firma. Ahora, si desea obtener las claves que conforman una firma digital, además del certificado digital sobre la misma puede dirigirse a cualquiera de las entidades de certificación abierta autorizadas por la Superintendencia de Industria y Comercio, por haber cumplido con los requisitos exigidos en la ley 527 de 1999, en el Decreto 1747 de 2000 y en el Título V, Capítulo VIII de la Circular Única de la Superintendencia de Industria y Comercio:

SOCIEDAD CAMERAL DE CERTIFICACION DIGITAL CERTICÁMARA, S.A.

Dirección: Carrera 7 No. 26 - 20 Piso 18 Edificio Seguros Tequendama - Bogotá

D.C., Colombia

Teléfonos: +57 (1) 3790300

Fax: +57 (1) 7442727 Opción 5

E-mail: info@certicamara.com Página web: www.certicamara.com Autorizada mediante Resolución 1007 del 24 de enero de 2002

Autorización de nuevos servicios - Ampliación de la Autorización: Resolución 22456 (10/09/2004) Resolución 28012 (12/11/2004) Resolución 9887 (13/04/2007) Resolución 3816 (30/01/2009)

GESTIÓN DE SEGURIDAD ELECTRÓNICA S A - GSE S.A.

Dirección: Calle 103B No. 5050. Piso 2. Bogotá, D.C. Colombia

Teléfono: +57(1)7051888

Fax: +57(1)7081881

E-mail: info@gse.com.co Página web: www.gse.com.co Autorizada mediante Resolución 23344 del 12 de mayo de 2009

Autorización de nuevos servicios - Ampliación de la Autorización: Resolución 1194 (21/01/2010). Con el fin de brindarle mayores elementos de juicio sobre el tema de su consulta, a continuación nos permitimos ampliar la información soporte del presente concepto: 2 Facultades generales de la Superintendencia de Industria y Comercio De acuerdo con las atribuciones conferidas por mandato legal a esta Superintendencia, en particular por el Decreto 3523 de 2009, modificado por el Decreto 1687 de 2010, corresponde a esta entidad, entre otras funciones, velar por el cumplimiento de las normas sobre protección al consumidor, protección de la competencia, administrar el sistema nacional de la propiedad industrial, así como tramitar y decidir los asuntos relacionados con la misma, y conocer y decidir los asuntos jurisdiccionales en materia de protección al consumidor y competencia desleal. 3 Facultades de la Superintendencia de Industria y Comercio en materia de entidades de certificación de firmas digitales

Las facultades legales de la Superintendencia de Industria y Comercio, del Superintendente y del Superintendente Delegado para Protección del Consumidor y Metrología, en materia de comercio electrónico, de acuerdo con los artículos 1 y 9 del Decreto 3523 de 2009 (modificado por el Decreto 1687 del 2010), son las siguientes: - Autorizar las entidades de certificación para prestar sus servicios en el país, de acuerdo con lo previsto en la Ley 527 de 1999 y ejercer respecto de estas las funciones previstas en dicha ley o en las demás normas que la modifiquen o adicionen - Velar por el funcionamiento y la eficiente prestación del servicio por parte de las entidades de certificación. - Realizar visitas de auditoría a las entidades de certificación. - Revocar o suspender la autorización para operar como entidad de certificación. - Solicitar la información pertinente para el ejercicio de sus funciones. - Imponer sanciones a las entidades de certificación en caso de incumplimiento de las obligaciones derivadas de la prestación del servicio. - Ordenar la revocación de certificados cuando la entidad de certificación los emita sin el cumplimiento de las formalidades legales. - Designar los repositorios y entidades de certificación en los eventos previstos en la ley. - Emitir certificados en relación con las firmas digitales de las entidades de certificación. - Velar por la observancia de las disposiciones constitucionales y legales sobre la promoción de la competencia y prácticas comerciales restrictivas, competencia desleal y protección del consumidor, en los mercados atendidos por las entidades de certificación. - Impartir instrucciones sobre el adecuado cumplimiento de las normas a las

cuales deben sujetarse las entidades de certificación.

4. Mensaje de datos En el artículo 2 de la Ley 527 de 1999 se define el mensaje de datos como \”la información generada, enviada, recibida, almacenada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el Intercambio Electrónico de Datos (EDI), Internet, el correo electrónico, el telegrama, el télex o el telefax.\”. (Subraya fuera del texto) La misma norma, en sus artículos 5 y 10 le reconoce al mensaje de datos los mismos efectos jurídicos de validez y fuerza probatoria que tienen los documentos

(Capítulo VIII Título XIII, Sección Tercera, Libro Segundo del Código de Procedimiento Civil) y se dispone que en toda actuación administrativa o judicial no se negará eficacia, validez o fuerza obligatoria y probatoria a todo tipo de información en forma de mensaje de datos, por el solo hecho que se trate de un mensaje de datos o en razón de no haber sido presentado en su forma original. Al respecto, la Corte Constitucional en sentencia C-831, del 8 de agosto de 2001, con ponencia del Magistrado Alvaro Tafur Galvis, al fallar la acción pública de inconstitucionalidad contra el artículo 6o de la Ley 527 de 1999 se ha pronunció así: "El mensaje de datos como tal debe recibir el mismo tratamiento de los documentos consignados en papel, es decir, debe dársele la misma eficacia jurídica, por cuanto el mensaje de datos comporta los mismos criterios de un documento. Dentro de las características esenciales del mensaje de datos encontramos que es una prueba de la existencia y naturaleza de la voluntad de las partes

de comprometerse; es un documento legible que puede ser presentado ante las entidades públicas y los tribunales; admite su almacenamiento e inalterabilidad en el tiempo; facilita la revisión y posterior auditoría para los fines contables, impositivos y reglamentarios; afirma derechos y obligaciones jurídicas entre los intervinientes y es accesible para su ulterior consulta, es decir, que la información en forma de datos computarizados es susceptible de leerse e interpretarse. (...)\” En sentencia C-622 del 8 de junio de 2000, que resolvió la acción pública de inconstitucionalidad contra la Ley 527 de 1999 y, particularmente sus artículos 10, 11, 12, 13, 14, 15, 27, 28, 29, 30, 32, 33, 34, 35, 36, 37, 38, 39, 40, 41, 42, 43, 44 y 45 la misma Corporación, a través de la ponencia del Magistrado Fabio Morón Díaz se pronunció sobre los criterios para valorar la fuerza probatoria del mensaje de datos, como sigue: \”AI hacer referencia a la definición de documentos del Código de Procedimiento Civil, le otorga al mensaje de datos la calidad de prueba, permitiendo coordinar el sistema telemático con el sistema manual o documentarlo, encontrándose en igualdad de condiciones en un litigio o discusión jurídica, teniendo en cuenta para su valoración algunos criterios como: confiabilidad, integridad de la información e identificación del autor. Criterio para valorar probatoriamente un mensaje de datos. Al valorar la Fuerza probatoria de un mensaje de datos se habrá de tener presente la confiabilidad de la forma en la que se haya generado, archivado o

comunicado el mensaje, la confiabilidad de la forma en que se haya conservado la integridad de la información, la forma en la que se identifique a su iniciador y cualquier otro factor pertinente (artículo 11) \” El concepto de los elementos aludidos por la Corte en el párrafo anterior se explicó por la Corte Suprema de Justicia en la sentencia del 16 de diciembre de 2010, con ponencia del Magistrado Pedro Octavio Munar Cadena. \”La integralidad de la información tiene que ver con que el texto del documento transmitido por vía electrónica sea recibido en su integridad por el destinatario, tarea que puede cumplirse técnicamente utilizando el procedimiento conocido como "sellamiento" del mensaje, mediante el cual aquel se condensa de forma algorítmica y acompaña al mensaje durante la transmisión, siendo recalculado al final de ella en función de las características del mensaje realmente recibido; de modo, pues, que si el mensaje recibido no es exacto al remitido, el sello recalculado no coincidirá con el original y, por tanto, así se detectará que existió un problema en la transmisión y que el destinatario no dispone del mensaje completo. Incluso, la tecnología actual permite al emisor establecer si el receptor abrió el buzón de correo electrónico y presumiblemente leyó el mensaje. Esa característica guarda una estrecha relación con la "inalterabilidad", requisito que demanda que el documento generado por primera vez en su forma definitiva no sea modificado, condición que puede satisfacerse mediante la aplicación de sistemas de protección de la información, tales como la criptografía y las firmas digitales. Otros aspectos importantes son el de la "rastreabilidad" del mensaje de datos que

consiste en la posibilidad de acudir a la fuente original de creación o almacenamiento del mismo con miras a verificar su originalidad y su autenticidad. La "recuperabilidad", o sea la condición física por cuya virtud debe permanecer accesible para ulteriores consultas; y la "conservación", pues de ella depende la perduración del instrumento en el tiempo, siendo necesario prevenir su pérdida, ya sea por el deterioro de los soportes informáticos en que fue almacenado, o por la destrucción ocasionada por "virus informáticos" o cualquier otro dispositivo o programa ideado para destruir los bancos de datos informáticos. Una óptima conservación de la información puede lograrse mediante la aplicación de protocolos de extracción y copia, como también con un adecuado manejo de las reglas de cadena y custodia. 4.1.3 Ahora, la autenticidad del mensaje de datos corre paralela con la contabilidad del mismo, determinada por la seguridad de que esté dotado en cuanto a la forma como se hubiese generado y conservado la integridad de la información y, por supuesto, en la forma en que se identifique a su iniciador y la asociación de éste a su contenido. Como todo documento, la eficacia probatoria del electrónico dependerá, también, de su autenticidad, contándose con mecanismos tecnológicos que permiten identificar el autor del mismo y asociarlo con su contenido. En este aspecto cobra particular relevancia la firma electrónica, que es el género, y que puede comprender las firmas escaneadas, o los métodos biométricos (como el iris y las huellas digitales), y la firma digital -especie-, basada en la criptografía asimétrica.

4.1.4. Siendo las cosas de ese modo, resulta oportuno precisar en qué condiciones el mensaje de datos puede ser auténtico, no sin antes reiterar que en la prueba documental la firma juega un papel importante, en tanto que facilita la prueba de su autoría y, en determinados eventos está revestida de una presunción legal de autenticidad. Por tal razón y ante la imposibilidad de que el documento informático pudiese tener una firma manuscrita, fue concebida la de carácter electrónico, que consiste, según la doctrina, en "cualquier método o símbolo basado en medios electrónicos utilizado o adoptado por una parte con la intención actual de vincularse o autenticar un documento, cumpliendo todas o algunas de las funciones características de una firma manuscrita". En otras palabras, todo dato que en forma electrónica cumpla una función identificadora, con independencia del grado de seguridad que ofrezca, puede catalogarse como firma electrónica; de suerte, pues, que dentro de este amplio concepto tienen cabida signos de identificación muy variados, como los medios biométricos, la contraseña o password, la criptografía, etc. No obstante, dicha firma sólo producirá los efectos jurídicos de la manuscrita — equivalencia funcional— cuando cumpla determinados requisitos de seguridad y de fiabilidad, cuestiones que dependen del proceso técnico utilizado en su creación, siendo altamente seguro el basado en la criptografía asimétrica —arte de cifrar la información, mediante algoritmos de clave secreta—, porque garantiza la identificación del autor del mensaje, integridad y confidencialidad del mismo. Dicho sistema es el utilizado para la creación de la denominada firma digital (...)

(L. 527/99, art. 2o, lit. c) (...). Dicha especie de firma electrónica se equipara a la firma ológrafa, por cuanto cumple idénticas funciones que ésta, con las más exigentes garantías técnicas de seguridad, pues no sólo se genera por medios que están bajo el exclusivo control del firmante, sino que puede estar avalada por un certificado digital reconocido, mecanismos que permiten identificar al firmante, detectar cualquier modificación del mensaje y mantener la confidencialidad de éste. De manera, pues, que el documento electrónico estará cobijado por la presunción de autenticidad cuando hubiese sido firmado digitalmente, puesto que, al tenor de lo dispuesto en el artículo 28 ibídem, se presumirá que su suscriptor tenía la intención de acreditarlo y de ser vinculado con su contenido, claro está, siempre que ella incorpore los siguientes atributos: a) fuere única a la persona que la usa y estuviere bajo su control exclusivo; b) fuere susceptible de ser verificada; c) estuviere ligada a! mensaje, de tal forma que si éste es cambiado queda invalidada; y d) estar conforme a las reglamentaciones adoptadas por el Gobierno Nacional. Por lo demás, será necesario que hubiese sido refrendada por una entidad acreditada, toda vez, que conforme lo asentó la Corte Constitucional, éstas "certifican técnicamente que un mensaje de datos cumple con los elementos esenciales para considerarlo como tal, a saber la confidencialidad, la autenticidad, la integridad y la no repudiación de la información, lo que, en últimas permite inequívocamente tenerlo como auténtico" (C-662 de 2000), pues, a decir verdad, ellas cumplen una función similar a la fedante.

4.2 Por otra parte, debe dejarse en claro qué ocurre con los documentos electrónicos carentes de firma, punto en el cual cabe asentar que aunque ella es útil para establecer la autenticidad del documento electrónico no es imprescindible, habida cuenta que cuando el mensaje carece de ella, el juez puede adquirir certeza sobre su autoría mediante otros mecanismos, particularmente, mediante el reconocimiento que del mismo haga la persona a quien se le atribuye o el que hagan sus causahabientes, todo esto sin olvidar que podrá la parte que lo aportó tramitar el incidente de autenticidad, en el que le incumbirá la carga de probarla. En ese orden de ideas, el reconocimiento regulado por el artículo 269 del Código de Procedimiento Civil se impondrá como insoslayable respecto del mensaje de datos desprovisto de una firma digital, habida cuenta que se trata de un documento que no ha sido suscrito ni manuscrito por su autor y carece de un signo de individualidad que permita imputar autoría y, por ende, ejercer el derecho de contradicción a la persona que la parte que lo aporta señala como su creador".

5. La firma digital y las entidades autorizadas para certificarla La Ley 527 de 1999, por medio de la cual se definió y reglamentó el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales y se establecieron las entidades de certificación, definió y la equiparándola a la firma manuscrita cuando incorpora: Artículo 2. \”Definiciones. Para los efectos de la presente ley se entenderá por: (...) c) Firma digital. Se entenderá como un valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático

conocido, vinculado a la clave del iniciador y al texto del mensaje permite determinar que este valor se ha obtenido exclusivamente con la clave del iniciador y que el mensaje inicial no ha sido modificado después de efectuada la transformación; \” Artículo 28. \”Atributos jurídicos de una firma digital. Cuando una firma digital haya sido fijada en un mensaje de datos se presume que el suscriptor de aquella tenía la intención de acreditar ese mensaje de datos y de ser vinculado con el contenido del mismo.

Parágrafo: El uso de una firma digital tendrá !a misma fuerza y efectos que el uso de una firma manuscrita, si aquélla incorpora los siguientes atributos: 1 Es única a la persona que la usa. 2 Es susceptible de ser verificada. 3 Está bajo el control exclusivo de la persona que la usa. 4 Está ligada a la información o mensaje, de ta! manera que si éstos son cambiados, la firma digital es invalidada. 5 Está conforme a las reglamentaciones adoptadas por el Gobierno

Nacional\”. Precisamente para garantizar las atribuciones de la firma digital que la hacen equivalente a la autógrafa (que identifica a una persona como el autor del documento que firma, que da certeza de la participación exclusiva del firmante en el acto de firmar y que lo asocia con el contenido del documento) es que se hace necesario que alguna entidad autorizada por la Superintendencia de Industria y Comercio certifique la validez de esa firma a través de un certificado en relación con las firmas digitales, que es un mensaje de datos firmado por la entidad de Certificación, que identifica tanto a la entidad de certificación que lo expide como al suscriptor (persona a cuyo nombre se expide un certificado) y contiene la clave pública de éste.

Con el uso del certificado digital expedido en las condiciones establecidas en el artículo 15 del Decreto 1747 del 2000 se dan por satisfechos los atributos de la firma digital que la equiparan en fuerza y efectos jurídicos a la firma manuscrita. 6 La firma mecánica La firma mecánica es aquella que procede de algún medio mecánico, es decir, ejecutado por un mecanismo o máquina , tal como la digitalizada o escaneada (la imagen de la firma) en formatos gif, tiff, jpg, etc. En particular, su uso por las entidades del Estado fue autorizado en nuestra legislación a través del artículo 12 del Decreto 2150 del 5 de diciembre de 1995, por el cual se suprimieron y reformaron regulaciones, procedimientos o trámites innecesarios existentes en la Administración Pública, así: \”Firma mecánica. Los jefes de las entidades que integran la Administración Pública podrán hacer uso, bajo su responsabilidad, de la firma que procede de algún medio mecánico, en tratándose de firmas masivas. En tal caso, previamente mediante acto administrativo de carácter general, deberá informar sobre el particular y sobre las características del medio mecánico \”. En cuanto al uso de la firma mecánica por los particulares, debido a que el legislador no le confirió atributos jurídicos especiales, como lo hizo con !a firma digital, la validez o eficacia de la misma dependerá de los términos contractuales y las normas sustanciales y procedimentales que rigen los actos a los que pretenden darle autenticidad o expresar la aprobación de su contenido mediante la firma; en todo caso, la iey no le reconoce a la firma mecánica equivalencia con

la firma autógrafa, tal como lo hace con la digital. Ahora frente al uso de la firma mecánica en mensajes de datos es importante tener en cuenta el artículo 7 de la Ley 527 del 1999 que determina claramente las condiciones que debe reunir la firma en un mensaje de datos para tenerla por tal: \”Firma: Cuando cualquier norma exija la presencia de una firma o establezca ciertas consecuencias en ausencia de la misma, en relación con un mensaje de datos, se entenderá satisfecho dicho requerimiento si: a. se ha utilizado un método que permita identificar al iniciador de un mensaje de datos y para indicar que el contenido cuenta con su aprobación; b. que el método sea tanto confiable como apropiado para el propósito por el cual el mensaje fue generado o comunicado. Lo dispuesto en este artículo se aplicará tanto si el requisito establecido en cualquier norma constituye una obligación, como si las normas simplemente prevén consecuencias en el caso de que no exista una firma, \” Como se nota en el texto legal, una de las exigencias no es la de ser una firma digital, por lo que otra clase de firma electrónica podría cumplir con estas condiciones y generar los efectos establecidos por las normas que regulan el acto o negocio jurídico que contiene el mensaje de datos, pues, en su artículo 22 la Ley 527 de 1999 deja claro que \”las consecuencias jurídicas del mensaje de datos se regirán conforme a las normas aplicables al acto o negocio jurídico contenido en dicho mensaje de datos\”. Para mayor información sobre el desarrollo de nuestras funciones y de las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA