SIC - Concepto-18138851

Bogotá D.C., 10

Asunto: Radicación: 18-138851-1

Trámite: 113

Evento: 0

Actuación: 440

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Reciba cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, que sustituyó el Título II del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer, así: Nos permitimos realizar las siguientes precisiones:

1. OBJETO DE LA CONSULTA.

Atendiendo a la consulta por usted radicada en esta entidad a través de su comunicación de la referencia en la cual señala: “necesito información sobre normatividad en Colombia acerca de la validez de las firmas digitales y el envío a través de la web de constancias.” Previo a resolver su consulta es necesario realizar las siguientes precisiones:

2. CUESTIÓN PREVIA Reviste de gran importancia precisar, en primer lugar, que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de

petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizada la anterior precisión, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por Usted manifestadas, de esta forma se iniciará especificando las funciones de esta Superintendencia en lo pertinente a su consulta, luego se expondrá uno a uno de manera general los temas a relacionados directamente con su consulta para finalizar en las conclusiones relacionando los temas expuestos para orientarlo en la solución de su consulta de forma general.

3. FACULTADES DE LA SUPERINTENDENCIA DE LA SUPERINTENDENCIA DE

INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN AL CONSUMIDOR.

En atención al tema de su consulta, le informamos que las competencias de la Superintendencia de Industria y Comercio, según lo disponen los numerales 22 al 31, 42 al 46 y 61 al 66 del artículo 1 del Decreto 4886 de 2011, a través del cual se modificó la estructura de la Entidad, en materia de protección al consumidor, tiene entre otras las siguientes facultades: • Velar por la observancia de las disposiciones sobre protección al consumidor. • Adelantar procedimientos por violación al régimen de protección del consumidor, en ejercicio de funciones administrativas y jurisdiccionales.

• Imponer sanciones por violación al régimen de protección al consumidor, una vez surtida una investigación. • Impartir instrucciones en materia de protección al consumidor con el fin de establecer criterios y procedimientos que faciliten el cumplimiento de las normas.

En virtud de dichas competencias, entre otras, las funciones que cumple esta Superintendencia se relacionan con los temas concernientes a la calidad, la idoneidad y las garantías de los bienes y servicios, así como, la verificación de la responsabilidad por el incumplimiento de las normas sobre información veraz y suficiente, publicidad engañosa e indicación pública de precios, protección contractual (cláusulas abusivas). En este orden de ideas, se procederá en primer lugar al desarrollo legal, que corresponda realizar en torno al objeto de su petición como eje central.

4. DEL MENSAJE DE DATOS A LA FIRMA DIGITAL En el artículo 2 de la Ley 527 de 1999 se define el mensaje de datos como ”la información generada, enviada, recibida, almacenada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el Intercambio Electrónico de Datos (EDI), Internet, el correo electrónico, el telegrama, el télex o el telefax”'. (Subraya fuera del texto) La misma norma, en sus artículos 5 y 10 le reconoce al mensaje de datos los mismos efectos jurídicos de validez y fuerza probatoria que tienen los documentos (Capítulo VIII Título XIII, Sección Tercera, Libro Segundo del Código de Procedimiento Civil) y se dispone que en toda actuación administrativa o judicial no se negará eficacia, validez o fuerza obligatoria y

probatoria a todo tipo de información en forma de mensaje de datos, por el solo hecho que se trate de un mensaje de datos o en razón de no haber sido presentado en su forma original. Al respecto, la Corte Constitucional en sentencia C-831, del 8 de agosto de 2001, con ponencia del Magistrado Alvaro Tafur Galvis, al fallar la acción pública de inconstitucionalidad contra el artículo 6 de la Ley 527 de 1999 se ha pronunció así: "El mensaje de datos como tal debe recibir el mismo tratamiento de los documentos consignados en papel, es decir, debe dársele la misma eficacia jurídica, por cuanto el mensaje de datos comporta los mismos criterios de un documento. Dentro de las características esenciales del mensaje de datos encontramos que es una prueba de la existencia y naturaleza de la voluntad de las partes de comprometerse; es un documento legible que puede ser presentado ante las entidades públicas y los tribunales; admite su almacenamiento e inalterabilidad en el tiempo; facilita la revisión y posterior auditoría para los fines contables, impositivos y reglamentarios; afirma derechos y obligaciones jurídicas entre los intervinientes y es accesible para su ulterior consulta, es decir, que la información en forma de datos computarizados es susceptible de leerse e interpretarse. (...)” En sentencia C-622 del 8 de junio de 2000, que resolvió la acción pública de inconstitucionalidad contra la Ley 527 de 1999 y, particularmente sus artículos 10, 11, 12, 13, 14, 15, 27, 28, 29, 30, 32, 33, 34, 35, 36, 37, 38, 39, 40, 41, 42, 43, 44 y 45 la misma

Corporación, a través de la ponencia del Magistrado Fabio Morón Díaz se pronunció sobre los criterios para valorar la fuerza probatoria del mensaje de datos, como sigue: “AI hacer referencia a la definición de documentos del Código de Procedimiento Civil, le otorga al mensaje de datos la calidad de prueba, permitiendo coordinar el sistema telemático con el sistema manual o documentario, encontrándose en igualdad de condiciones en un litigio o discusión jurídica, teniendo en cuenta para su valoración algunos criterios como: confiabilidad, integridad de la información e identificación del autor. Criterio para valorar probatoriamente un mensaje de datos. Al valorar la fuerza probatoria de un mensaje de datos se habrá de tener presente la confiabilidad de la forma en la que se haya generado, archivado o comunicado el mensaje, la confiabilidad de la forma en que se haya conservado la integridad de la información, la forma en la que se identifique a su iniciador y cualquier otro factor pertinente (artículo 11 ) ”. El concepto de los elementos aludidos por la Corte en el párrafo anterior se explicó por la Corte Suprema de Justicia en la sentencia del 16 de diciembre de 2010, con ponencia del Magistrado Pedro Octavio Munar Cadena. ”La integralidad de la información tiene que ver con que el texto del documento transmitido por vía electrónica sea recibido en su integridad por el destinatario, tarea que puede cumplirse técnicamente utilizando el procedimiento conocido como "sellamiento" del mensaje, mediante el cual aquel se condensa de forma algorítmica y acompaña al mensaje durante la transmisión, siendo recalculado al final de ella en función de las características del mensaje realmente recibido; de

modo, pues, que si el mensaje recibido no es exacto al remitido, el sello recalculado no coincidirá con el original y, por tanto, así se detectará que existió un problema en la transmisión y que el destinatario no dispone del mensaje completo. Incluso, la tecnología actual permite al emisor establecer si el receptor abrió el buzón de correo electrónico y presumiblemente leyó el mensaje. Esa característica guarda una estrecha relación con la "inalterabilidad", requisito que demanda que el documento generado por primera vez en su forma definitiva no sea modificado, condición que puede satisfacerse mediante la aplicación de sistemas de protección de la información, tales como la criptografía y las firmas digitales. Otros aspectos importantes son el de la "rastreabilidad" del mensaje de datos que consiste en la posibilidad de acudir a la fuente original de creación o almacenamiento del mismo con miras a verificar su originalidad y su autenticidad. La "recuperabilidad", o sea la condición física por cuya virtud debe permanecer accesible para ulteriores consultas; y la "conservación", pues de ella depende la perduración del instrumento en el tiempo, siendo necesario prevenir su pérdida, ya sea por el deterioro de los soportes informáticos en que fue almacenado, o por la destrucción ocasionada por "virus informáticos" o cualquier otro dispositivo o programa ideado para destruir los bancos de datos informáticos. Una óptima conservación de la información puede lograrse mediante la aplicación de protocolos de extracción y copia, como también con un adecuado manejo de las reglas de cadena y custodia. 4.1.3 Ahora, la autenticidad del mensaje de datos corre paralela con la

confiabilidad del mismo, determinada por la seguridad de que esté dotado en cuanto a la forma como se hubiese generado y conservado la integridad de la información y, por supuesto, en la forma en que se identifique a su iniciador y la asociación de éste a su contenido. Como todo documento, la eficacia probatoria del electrónico dependerá, también, de su autenticidad, contándose con mecanismos tecnológicos que permiten identificar el autor del mismo y asociarlo con su contenido. En este aspecto cobra particular relevancia la firma electrónica, que es el género, y que puede comprender las firmas escaneadas, o los métodos biométricos (como el iris y las huellas digitales), y la firma digital -especie-, basada en la criptografía asimétrica. 4.1.4. Siendo las cosas de ese modo, resulta oportuno precisar en qué condiciones el mensaje de datos puede ser auténtico, no sin antes reiterar que en la prueba documental la firma juega un papel importante, en tanto que facilita la prueba de su autoría y, en determinados eventos está revestida de una presunción legal de autenticidad. Por tal razón y ante la imposibilidad de que el documento informático pudiese tener una firma manuscrita, fue concebida la de carácter electrónico, que consiste, según la doctrina, en "cualquier método o símbolo basado en medios electrónicos utilizado o adoptado por una parte con la intención actual de vincularse o autenticar un documento, cumpliendo todas o algunas de las funciones características de una firma manuscrita". En otras palabras, todo dato que en forma electrónica cumpla una función identificadora, con independencia del grado de seguridad que ofrezca, puede catalogarse como firma electrónica; de suerte,

pues, que dentro de este amplio concepto tienen cabida signos de identificación muy variados, como los medios biométricos, la contraseña o password, la criptografía, etc. No obstante, dicha firma sólo producirá los efectos jurídicos de la manuscrita —equivalencia funcional— cuando cumpla determinados requisitos de seguridad y de fiabilidad, cuestiones que dependen del proceso técnico utilizado en su creación, siendo altamente seguro el basado en la criptografía asimétrica —arte de cifrar la información, mediante algoritmos de clave secreta—, porque garantiza la identificación del autor del mensaje, integridad y confidencialidad del mismo. Dicho sistema es el utilizado para la creación de la denominada firma digital (...) (L. 527/99, art. 2o, lit. c) (...). Dicha especie de firma electrónica se equipará a la firma ológrafa, por cuanto cumple idénticas funciones que ésta, con las más exigentes garantías técnicas de seguridad, pues no sólo se genera por medios que están bajo el exclusivo control del firmante, sino que puede estar avalada por un certificado digital reconocido, mecanismos que permiten identificar al firmante, detectar cualquier modificación del mensaje y mantener la confidencialidad de éste. De manera, pues, que el documento electrónico estará cobijado por la presunción de autenticidad cuando hubiese sido firmado digitalmente, puesto que, al tenor de lo dispuesto en el artículo 28 ibídem, se presumirá que su suscriptor tenía la intención de acreditarlo y de ser vinculado con su contenido, claro está, siempre que ella incorpore los siguientes atributos: a) fuere única a la persona que la usa y estuviere bajo su control exclusivo; b) fuere susceptible de ser verificada; c)

estuviere ligada al mensaje, de tal forma que si éste es cambiado queda invalidada; y d) estar conforme a las reglamentaciones adoptadas por el Gobierno Nacional. Por lo demás, será necesario que hubiese sido refrendada por una entidad acreditada, toda vez, que conforme lo asentó la Corte Constitucional, éstas "certifican técnicamente que un mensaje de datos cumple con los elementos esenciales para considerarlo como tal, a saber la confidencialidad, la autenticidad, la integridad y la no repudiación de la información, lo que, en últimas permite inequívocamente tenerlo como auténtico" (C-662 de 2000), pues, a decir verdad, ellas cumplen una función similar a la fedante. 4.2 Por otra parte, debe dejarse en claro qué ocurre con los documentos electrónicos carentes de firma, punto en el cual cabe asentar que aunque ella es útil para establecer la autenticidad del documento electrónico no es imprescindible, habida cuenta que cuando el mensaje carece de ella, el juez puede adquirir certeza sobre su autoría mediante otros mecanismos, particularmente, mediante el reconocimiento que del mismo haga la persona a quien se le atribuye o el que hagan sus causahabientes, todo esto sin olvidar que podrá la parte que lo aportó tramitar el incidente de autenticidad, en el que le incumbirá la carga de probarla. En ese orden de ideas, el reconocimiento regulado por el artículo 269 del Código de Procedimiento Civil se impondrá como insoslayable respecto del mensaje de datos desprovisto de una firma digital, habida cuenta que se trata de un documento que no ha sido suscrito ni manuscrito por su autor y carece de un signo

de individualidad que permita imputar autoría y, por ende, ejercer el derecho de contradicción a la persona que la parte que lo aporta señala como su creador". Además, doctrina a identificado que “la firma digital es una especie de firma electrónica que para el caso se presentaría como el género. Igualmente es importante precisar que la enumeración de algunos métodos que la norma trae para la generación de una firma electrónica, no es una enumeración exhaustiva, de tal forma que se podrá aceptar cuantos métodos se utilicen siempre y cuando estos sean confiables y apropiados para el fin de la firma, así como el cumplimiento de cualquier acuerdo entre las partes.”1 1 FLOREZ, German; La validez jurídica de los documentos electrónicos en Colombia a partir de sus evolución legislativa y jurisprudencial, Revista, Verba Iuris 31; pág. 43-71 de Enero - Junio 2014 • Bogotá D.C. Colombia 4.1. DIFERENCIA ENTRE FIRMA DIGITAL, FIRMA ELECTRÓNICA EN CUANTO A LOS ATRIBUTOS JURÍDICOS DE LAS MISMAS: La doctrina2 ha diferenciado la firma digital, de la firma electrónica haciendo énfasis en sus atributos jurídicos, es así como en ha establecido: La firma electrónica, de conformidad con lo establecido por el Decreto 1074 de 2015, “Por medio del cual se expidió el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo” en su capítulo 47 expresa las siguientes definiciones: “Artículo 2.2.2.47.1. Definiciones. Para los fines del presente capítulo se entenderá por: Acuerdo sobre el uso del mecanismo de firma electrónica: Acuerdo de

voluntades mediante el cual se estipulan las condiciones legales y técnicas a las cuales se ajustarán las partes para realizar comunicaciones, efectuar transacciones, crear documentos electrónicos o cualquier otra actividad mediante el uso del intercambio electrónico de datos. Datos de creación de la firma electrónica: Datos únicos y personalísimos, que el firmante utiliza para firmar. Firma electrónica. Métodos tales como, códigos, contraseñas, datos biométricos, o claves criptográficas privadas, que permite identificar a una persona, en relación con un mensaje de datos, siempre y cuando el mismo sea confiable y apropiado respecto de los fines para los que se utiliza la firma, atendidas todas las circunstancias del caso, así como cualquier acuerdo pertinente. Firmante. Persona que posee los datos de creación de la firma y que actúa en nombre propio o por cuenta de la persona a la que representa.” Así podemos destacar los siguientes atributos jurídicos de la firma electrónica. • Identificar al firmante de manera inequívoca • Asegurar la integridad del documento firmado. Asegura que el documento firmado es exactamente el mismo que el original y que no ha sufrido alteración o manipulación • Asegurar la integridad del documento firmado. Los datos que utiliza el firmante para realizar la firma son únicos y exclusivos y, por tanto, posteriormente, no puede decir que no ha firmado el documento Igualmente, el Decreto 2364 de 2012 define la firma electrónica como “métodos tales como, códigos, contraseñas, datos biométricos, o claves criptográficas privadas, que permite identificar a una persona, en relación con un mensaje de datos, siempre y cuando el mismo sea confiable y apropiado respecto de los fines para

2 concepto técnico de referencia 1-2014-935 - 1028/2014/SGC - 430 del 2014 proferido por el Archivo General de la Nación los que se utiliza la firma, atendidas todas las circunstancias del caso, así como cualquier acuerdo pertinente. La firma digital, de acuerdo con lo establecido por la ley 527 de 1999, es un equivalente funcional de la firma manuscrita y cuenta con los siguientes atributos jurídicos: • Autenticidad: permite garantizar la identidad del emisor de un mensaje y/o el origen del mismo y tener la plena seguridad que quien remite el mensaje es realmente quien dice ser. • Integridad: garantiza que el mensaje de datos o información electrónica no haya sido alterado ni modificado. • No repudio: el emisor no podrá negar el conocimiento de un mensaje de datos ni los compromisos adquiridos a partir de éste. Así las cosas, se puede observar la diferencia que existe entre firma digital, firma electrónica, no obstante, estos son conceptos que se usan equitativamente. La firma electrónica implica que a través de códigos, contraseñas, o claves criptográficas, se le crea un registro a una persona con sus datos personales. La firma digital asocia la identidad de una persona al mensaje o documento asegurando la integridad del documento o del mensaje.

5. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA PRESENTADA.

Esta oficina asesora jurídica respecto de la consulta presentada considera que: Es nuestro deber informar que los proveedores y productores de bienes o servicios que acudan al comercio electrónico, deben observar juiciosamente las normas relativas en primer lugar a las ventas a distancia, y en caso tal de realizar financiación que no se encuentre regulada por

ninguna otra entidad, deberán observar las reglas establecidas a la venta de bienes y prestación de servicios mediante sistemas de financiación ya expuestas en este concepto. Por otro lado, tanto la firma electrónica como la firma digital producen los mismos efectos jurídicos como mecanismos de autenticación, no obstante, poseen amplias diferencias en cuanto a la carga probatoria respecto de los atributos de seguridad antes explicados y en particular dada la intervención de un tercero como lo es la entidad de certificación en las firmas digitales. Así las cosas, tanto la firma electrónica como la firma digital coexisten en nuestro ordenamiento jurídico, diferenciándose en cuanto a su fortaleza probatoria dado que la firma digital elimina cualquier discusión respecto de los atributos de seguridad jurídica y no requiere acuerdo previo para su utilización, en contra posición con la firma digital la cual es preciso tener un acuerdo previo a su utilización. Con relación a su consulta es importante destacar la siguiente normatividad Colombiana. • Ley 527 de 1999, “Por medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales, y se establecen las entidades de certificación y se dictan otras disposiciones.” • Ley 794 de 2003, artículo 320, “Por la cual se modifica el Código de Procedimiento Civil, se regula el proceso ejecutivo y se dictan otras disposiciones”, actualmente derogado por la Ley 1564 de 2012. • Ley 962 de 2005, “Por la cual se dictan disposiciones sobre racionalización de trámites y procedimientos administrativos de los organismos y entidades del Estado y de los particulares que ejercen funciones públicas o prestan servicios públicos.” • Ley 1150 de 2007, “Por medio de la cual se introducen medidas para la eficiencia y la

transparencia en la Ley 80 de 1993 y se dictan otras disposiciones generales sobre la contratación con Recursos Públicos.” • Ley 1437 de 2011, “Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo.” • Ley 1564 de 2012, “Por medio de la cual se expide el Código General del Proceso y se dictan otras disposiciones.” • Decreto 2364 de 2012, “Por medio del cual se reglamenta el artículo 7 de la Ley 527 de 1999, sobre la firma electrónica y se dictan otras disposiciones.” Como modelos de referencia de normas internacionales se encuentran: • Ley Modelo de CNUDMI 2002 sobre firma electrónica • Directiva Europea sobre firma electrónica Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/Doctrina-1 En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1437 de 2011, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carlos Saavedra

Revisó: Rocío Soacha

Aprobó: Rocío Soacha