Qué es la firma electrónica y cuándo la acepta la ley en España y México

¿Qué es la firma electrónica? Pregúntaselo a un abogado y la respuesta resulta más amplia de lo que la mayoría espera. El artículo 3.10 del Reglamento eIDAS la define como los datos en formato electrónico anejos a otros datos electrónicos o asociados de manera lógica con ellos que utiliza el firmante para firmar. Nada más. Un nombre escrito a teclado entra en la definición, y también un clic en «Acepto», una línea dibujada con el dedo, un código recibido por SMS o un certificado criptográfico.

En México, el Código de Comercio dice casi lo mismo con sus palabras (art. 89): datos en forma electrónica consignados en un mensaje de datos, o asociados lógicamente a él, que identifican al firmante e indican que aprueba lo que el mensaje contiene. Y el ESIGN Act de Estados Unidos habla de un sonido, símbolo o proceso electrónico asociado a un documento y adoptado con la intención de firmarlo (15 U.S.C. §7006(5)). Para un contrato entre empresas de dos países no hay que elegir entre definiciones.

Dos ideas están en todos los textos:

• La voluntad de firmar. Tu nombre en el campo «Para» de un correo no es una firma. El mismo nombre escrito bajo «De acuerdo» probablemente sí lo es.
• El vínculo con un documento concreto. La foto de tu letra, enviada suelta, no está unida a nada.

Ahora viene lo que las páginas de los proveedores se saltan. La definición dice qué cuenta. No dice si tu firma aguantará una disputa, y eso es una cuestión de prueba, de la que trata la mayor parte de este artículo. Si lo que quieres saber es cuándo todavía hace falta tinta, la guía de la firma manuscrita lo explica.

Casi cualquier gesto que hagas en pantalla para decir «estoy de acuerdo con este documento» puede ser una firma electrónica. Los siete métodos de la tabla entran en la definición del eIDAS y en la del Código de Comercio. Lo que los distingue es cuánta prueba deja cada uno.

¿Escribir tu nombre es una firma electrónica? Sí, si lo escribiste para firmar. El punto débil es la atribución: cualquiera con acceso a tu correo pudo teclearlo. En el día a día, un presupuesto aceptado en línea, un acuerdo de confidencialidad con un clic o un acta de entrega firmada en una tableta no dan problemas mientras ninguna ley imponga una forma. En España rige la libertad de forma del artículo 1278 del Código Civil.

La firma escaneada es el caso que más se juzga mal. Pegar una imagen de tu letra en un PDF crea una firma en sentido jurídico, pero pobre: no dice quién la pegó ni si la página cuatro cambió después.

Hacerla lleva un minuto: abres el documento en un servicio de firma, escribes o dibujas tu nombre y confirmas. El trazo es la parte fácil. Cuando firmas y envías documentos con Chaindoc, lo que trabaja después es el registro de quién abrió y firmó, y cuándo.

La ley decide si una firma está permitida. La prueba decide si la tuya gana. Cuando alguien dice «yo nunca firmé eso», surgen cuatro preguntas, más o menos en este orden.

Voluntad: ¿quería firmar la persona?

El firmante tiene que hacer algo que se lea como conformidad: marcar «Acepto las condiciones anteriores», pulsar «Firmar», escribir su nombre bajo «De acuerdo». El silencio no cuenta. Tampoco una casilla marcada de antemano por otra persona.

Acuerdo: ¿aceptaron las dos partes el método?

Nadie está obligado a aceptar tu método de firma si no se pactó, y bancos, aseguradoras y administraciones suelen imponer el suyo. Entre empresas, el acuerdo se deduce a menudo de la conducta: se negocia por correo y se firma en el mismo servicio. El Código de Comercio mexicano lo recoge así: si las partes acuerdan que haya firma, basta una firma electrónica apropiada para los fines del mensaje (art. 97). Aun así, una cláusula en el contrato sale más barata que la discusión de después.

Atribución e integridad: ¿quién firmó y es el mismo documento?

La atribución vincula la firma con una persona: correo verificado, código de un solo uso, comprobación de identidad, dirección IP y dispositivo. En México, el requisito de firma se cumple si el mensaje de datos es atribuible a las partes (art. 93). La integridad demuestra que el archivo no ha cambiado desde entonces, y un hash criptográfico lo hace bien. Cambia un solo byte y el resultado es totalmente distinto. Es aritmética, no una promesa del proveedor, y cualquiera puede repetirla.

Conservación: ¿puedes seguir presentando el documento?

Es lo que casi todos olvidan. Un contrato firmado que solo vive en la cuenta de un proveedor que ya cancelaste es un contrato débil. En México, además, los comerciantes deben conservar al menos diez años los originales de los contratos, también cuando constan en mensajes de datos (art. 49 del Código de Comercio).

En la práctica, voluntad y acuerdo se resuelven con el diseño del flujo de firma. Atribución y conservación son donde se pierden las disputas reales.

En España el reglamento europeo se aplica directamente, y la Ley 6/2020, reguladora de determinados aspectos de los servicios electrónicos de confianza, lo completa. Para ti importan dos cosas.

La primera es el valor del documento. El artículo 3 de la Ley 6/2020 dice que los documentos electrónicos, públicos, administrativos o privados, tienen el valor y los efectos jurídicos que corresponden a su naturaleza. Para el contrato corriente no hay forma especial: rige el artículo 1278 del Código Civil, que obliga a los contratos cualquiera que sea la forma en que se hayan celebrado, siempre que concurran las condiciones esenciales para su validez.

La segunda es la prueba, y aquí la ley remite al artículo 326 de la Ley de Enjuiciamiento Civil:

1. 1.
   Si se usó un servicio de confianza no cualificado y se impugna la autenticidad, la integridad o la fecha del documento, se prueba conforme al apartado 2 y al eIDAS (art. 326.3).
2. 2.
   Si se usó un servicio cualificado, se presume que el documento reúne la característica discutida y que el servicio se prestó bien, siempre que figurara en la lista de confianza en ese momento (art. 326.4).
3. 3.
   Si aun así se impugna, la comprobación corre a cargo de quien impugna. Si el resultado es negativo, paga los costes, y una impugnación temeraria puede costarle una multa de entre 300 y 1200 euros.

Una firma simple sigue valiendo. Si se discute, tendrás que demostrar tú qué pasó.

El Reglamento eIDAS distingue tres niveles de firma electrónica, y los tres son válidos. Según el artículo 25.1, no se puede negar efecto jurídico ni admisibilidad como prueba a una firma por ser electrónica o por no ser cualificada. Los niveles deciden cuánto tendrás que probar, no si puedes firmar. La cualificada añade un dispositivo cualificado y un certificado cualificado, equivale a la manuscrita (art. 25.2) y se reconoce en todos los Estados miembros (art. 24 bis, que sustituyó en 2024 al antiguo 25.3). La guía de firmas cualificadas explica cómo se obtiene y cuándo compensa.

El Código de Comercio mexicano parte de la equivalencia funcional: la firma electrónica de un mensaje de datos produce los mismos efectos jurídicos que la autógrafa y se admite como prueba (art. 89). Es «avanzada o fiable» si cumple los cuatro requisitos del artículo 97: los datos de creación corresponden solo al firmante, estaban bajo su control exclusivo, y cualquier alteración de la firma o del contenido es detectable. Si la ley o las partes piden firma, basta una firma electrónica apropiada para los fines del mensaje.

Para conservar, la NOM-151-SCFI-2016 fija cómo se emite una constancia de conservación de mensajes de datos con sello digital de tiempo, a través de un prestador de servicios de certificación.

La e.firma del SAT es la firma electrónica avanzada más conocida de México. Se tramita ante el SAT y sirve para identificarte en trámites con el SAT, con otras autoridades y con particulares. Para ella, sigue las instrucciones de sat.gob.mx y no las de este artículo.

En español las dos palabras se usan como sinónimos, y no lo son. La firma electrónica es el concepto jurídico: la voluntad de obligarse, expresada por medios electrónicos. La firma digital es una técnica para producirla. El software del firmante usa una clave privada, respaldada por un certificado de una autoridad de certificación, para firmar un hash del documento. Quien tenga la clave pública puede comprobar qué certificado firmó y si el archivo ha cambiado desde entonces. El Código de Comercio mexicano lo dice casi con estas palabras: la firma digital es una especie de la firma electrónica (art. 89).

Esa pareja es lo que los especialistas en seguridad llaman no repudio: el firmante difícilmente puede negar su firma, porque la prueba viaja dentro del archivo y no en la base de datos de un tercero. Estrictamente, solo prueba que se usó la clave. Que la persona correcta la tuviera es una cuestión de hecho.

Toda firma digital es una firma electrónica. La mayoría de las firmas electrónicas no son digitales, y para los contratos corrientes la ley no lo exige. El lado técnico lo trata la comparación completa de la firma digital y la electrónica.

Casi cualquier documento comercial se puede firmar electrónicamente. Las excepciones son pocas, concretas y locales, y por eso sorprenden. En España y México, las más habituales:

• Actos y contratos que crean, transmiten, modifican o extinguen derechos reales sobre inmuebles: documento público (art. 1280 del Código Civil)
• Arrendamientos de inmuebles por seis o más años, si deben perjudicar a tercero, y capitulaciones matrimoniales: también documento público (art. 1280)
• El testamento ológrafo. Escrito todo él y firmado por el testador (art. 688 del Código Civil)
• En México, los actos que la ley manda otorgar ante fedatario público, como suele ocurrir con la compraventa de inmuebles. El notario puede recibir los términos por mensaje de datos, pero tiene que dejar constancia en el instrumento (art. 93 del Código de Comercio)

Excluido no siempre significa papel. En el documento público, la intervención del notario sustituye a la firma privada. En el testamento ológrafo, ningún nivel de firma ayuda: se escribe a mano y punto.

Comprueba el tipo de acto contra la forma exigida antes de enviar, no después. Eso lleva cinco minutos y suele ahorrar un documento que habría que rehacer en papel.

Una firma rechazada rara vez es una firma falsificada. Casi siempre hay un desajuste entre lo que enviaste y lo que necesitaba el otro lado, o la ley.

Nivel equivocado. El destinatario necesitaba una firma cualificada, normalmente porque una norma exige una forma concreta, y le enviaste una simple. Reenviar no arregla nada: hace falta un certificado de un prestador cualificado de servicios de confianza.

Método no pactado. Nadie tiene que aceptar tu proceso de firma si no lo ha acordado, y bancos, aseguradoras y administraciones suelen fijar el suyo.

Archivo modificado después de firmar. Aplanar un PDF, añadir un comentario o guardarlo en otro editor puede romper el hash.

Imposible aportar el registro. Si no puedes entregar una copia que todas las partes guarden y reproduzcan fielmente, le das al otro bando un argumento.

Certificado caducado o revocado. Una firma hecha mientras el certificado era válido puede seguir en pie, pero luego tendrás que acreditar cuándo se hizo.

Un caso real

Un proveedor envía un contrato marco firmado. Jurídico lo abre, añade un comentario, guarda y lo reenvía a finanzas. Finanzas pasa un validador y recibe un error. Pánico breve.

No se falsificó nada. El comentario reescribió el archivo, su hash ya no coincide con el que se tomó al firmar y el validador hizo exactamente su trabajo. El original estaba bien; la copia no. Si no sabes qué copia tienes en las manos, una comprobación de firma en PDF te dice si la firma sigue coincidiendo con el archivo.

No mucho, siendo sinceros. Entonces, ¿qué es la firma electrónica una vez quitado el lenguaje jurídico? Una etiqueta para una voluntad que la ley acepta con facilidad y que un juez pesa según la prueba que la rodea.

Ese es también el listón para cualquier herramienta de firma. Júzgala por el registro que deja, no por cómo se ve el trazo:

• Un registro de actividad de la firma con sello de tiempo: quién abrió, firmó o rechazó, con correo e IP en cada paso
• Un hash del archivo, para que cualquier cambio posterior se note
• Una exportación que te quedes y abras sin la aplicación del proveedor
• Un almacenamiento que dure lo que el plazo de conservación del documento, no lo que dure tu suscripción

En México, pregunta además si el proveedor puede darte una constancia de conservación conforme a la NOM-151.

Esto es lo que hace Chaindoc, ya que lees esto en nuestro blog. Calcula el hash de cada archivo al subirlo. Cuando publicas un documento, el hash de esa versión se escribe en una blockchain pública, y la prueba de cada firmante se registra cuando termina la firma. El registro de actividad y un informe de verificación se exportan como PDF, y los archivos viajan por TLS. Una solicitud normal invita a todos a la vez; un orden de firma fijo se consigue con las rutas de aprobación del plan Business.

Nada de eso cambia la ley. Cambia lo que puedes enseñar cuando alguien te lo pide.