La firma electrónica: qué es y qué la hace válida

La firma electrónica es hoy la llave de casi todo trámite empresarial en Ecuador: constituir una compañía, emitir una factura, presentar un escrito judicial, firmar un contrato sin verse. Y es también donde más se confunden dos cosas distintas: el dibujo de una firma sobre un PDF, que no es nada, y la firma hecha con un certificado digital, que el sistema puede comprobar y que es tan vinculante como la de puño y letra.

Qué es una firma electrónica

La ley la define sin recurrir a la tecnología. Una firma electrónica son «los datos en forma electrónica consignados en un mensaje de datos, adjuntados o lógicamente asociados al mismo, y que puedan ser utilizados para identificar al titular de la firma en relación con el mensaje de datos, e indicar que el titular de la firma aprueba y reconoce la información contenida» en él.

Dos ideas caben ahí. La primera es la identidad: la firma dice quién es el autor. La segunda es la integridad: la firma queda asociada a un contenido concreto, de modo que si el documento cambia después, la firma deja de cuadrar.

Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos (Ley 2002-67, Suplemento del Registro Oficial 557, 17 de abril de 2002), art. 13.

Por qué vale lo mismo que la manuscrita

Porque lo dice el artículo 14 de esa misma ley: la firma electrónica «tendrá igual validez y se le reconocerán los mismos efectos jurídicos que a una firma manuscrita en relación con los datos consignados en documentos escritos, y será admitida como prueba en juicio».

Esa equivalencia no es incondicional: el artículo 15 pone cinco requisitos.

• La firma es individual y está vinculada exclusivamente a su titular.
• Permite verificar sin dudas quién la puso.
• Su método de creación y verificación es confiable, seguro e inalterable.
• Los datos con los que se crea están bajo control exclusivo del firmante.
• La controla la persona a quien pertenece.

Un garabato insertado en un PDF no cumple ninguno de los cinco.

El certificado y el archivo .p12

El certificado de firma electrónica es, en palabras de la ley, «el mensaje de datos que certifica la vinculación de una firma electrónica con una persona determinada, a través de un proceso de comprobación que confirma su identidad» (art. 20). Contiene, entre otros requisitos, la identificación de la entidad que lo emite, los datos del titular y el método de verificación de su firma (art. 22).

Lo que se descarga al comprarlo suele ser un archivo con extensión .p12 (o .pfx): el certificado y su clave privada dentro de un contenedor cifrado, protegido por una contraseña. En la práctica, ese archivo es la firma: quien lo tenga junto con su contraseña puede firmar en nombre del titular. Guárdalo con el mismo cuidado que la clave del banco. Por eso la ley obliga al titular a actuar «con la debida diligencia» y a mantenerlo bajo su control (art. 17).

Quién puede emitir un certificado válido

No cualquiera. La ley reserva la emisión a las entidades de certificación de información: empresas autorizadas por el organismo estatal de telecomunicaciones para emitir certificados y prestar servicios relacionados (art. 29). La norma de 2002 nombraba al CONATEL, el antiguo Consejo Nacional de Telecomunicaciones; tras la reorganización del sector que dispuso la Ley Orgánica de Telecomunicaciones (Tercer Suplemento del Registro Oficial 439, 18 de febrero de 2015), que fusionó los antiguos organismos en la nueva agencia, la acreditación la otorga hoy la Agencia de Regulación y Control de las Telecomunicaciones (ARCOTEL), que publica en su portal el listado vigente de entidades acreditadas y de los distribuidores autorizados (los «terceros vinculados») que venden certificados bajo su respaldo.

Es la comprobación que más gente se salta. Un certificado emitido por alguien que no figura en ese registro puede producir un PDF de aspecto impecable, y aun así esa firma no equivale a una manuscrita en Ecuador ni la acepta el SRI para facturar.

Para qué se usa en la práctica

• Facturar. Todo comprobante electrónico se firma antes de transmitirse al SRI; sin certificado no hay XML válido. Lo detallamos en la guía de facturación electrónica.
• Constituir una compañía. El trámite en línea de la S.A.S. y de las demás figuras se firma electrónicamente (ver cómo se constituye una compañía).
• Trámites ante el Estado. Presentaciones judiciales, contratación pública, trámites societarios y buena parte de las ventanillas digitales.
• Contratos y documentos privados. Acuerdos, actas, autorizaciones: cualquier documento donde antes hacía falta reunir firmas en papel.

Vigencia, revocación y extinción

La firma electrónica, dice el artículo 18, tiene duración indefinida; lo que caduca es el certificado que la respalda, que se emite por un plazo determinado y puede ser revocado o suspendido. El artículo 19 enumera además las causas de extinción: la voluntad del titular, su fallecimiento o incapacidad, y la disolución o liquidación de la compañía titular. Esto último importa a las empresas: al disolverse, su firma se extingue.

La consecuencia operativa es prosaica pero cara: un certificado vencido detiene la facturación. Conviene anotar la fecha de expiración el mismo día en que se compra.

Qué mirar antes de comprar una

• Que el emisor esté acreditado en el registro que publica la ARCOTEL, o que sea tercero vinculado de una entidad que sí lo esté.
• Titular correcto. Para facturar como compañía se necesita el certificado de la persona que representa a la compañía, con el RUC asociado; un certificado de persona natural sin esa vinculación no sirve para ese uso.
• Formato. El archivo .p12 o .pfx es el que admiten los sistemas de facturación. Los certificados en token (una llave USB) o en la nube resuelven otros escenarios, pero no siempre encajan en un servidor que factura sin intervención humana.
• Vigencia y renovación. Cuánto dura y cómo se renueva sin cortar la operación.

Cómo se firma un documento

El procedimiento es siempre el mismo: se carga el documento, se aporta el certificado y su contraseña, y el programa incrusta la firma en el archivo. Lo que varía es la presentación: puede quedar una estampa visible con los datos del firmante y un código QR, solo el QR, o ninguna marca: la llamada firma invisible, que queda dentro del archivo sin verse en la página.

Esa elección es estética, no jurídica: la validez depende del certificado y del cumplimiento de los requisitos del artículo 15, no de que se vea un recuadro en la esquina. Del otro lado, cuando recibes un documento firmado, lo que hay que hacer no es mirar el recuadro sino validar la firma: comprobar quién firmó, con qué certificado y si el documento cambió después.