¿Tiene validez legal una firma digital en una propuesta? ¿Cuál es la diferencia entre firma simple, avanzada y cualificada, qué dice el artículo 25 y qué debe contener un audit trail? Las reglas de eIDAS explicadas para los Países Bajos y la UE.
Sí, en casi todos los casos. La base es el Reglamento europeo eIDAS (UE 910/2014), que se aplica directamente en todos los estados miembros desde 2016 y que en los Países Bajos se concreta en el artículo 3:15a del Código Civil neerlandés. La regla central es que una firma electrónica tiene el mismo efecto jurídico que una manuscrita, siempre que el método empleado sea suficientemente fiable para el fin al que sirve. Para una propuesta comercial entre dos empresas ese fin es sencillo: dejar constancia de que el cliente acepta el alcance y el precio descritos. No hay motivo para esperar un PDF firmado por correo postal. Lo que sí importa son las pruebas que conservas si más adelante surge una discusión sobre quién aceptó qué versión y cuándo. Este artículo explica los tres niveles de eIDAS, qué debe contener un audit trail y cuándo necesitas un nivel más alto. Es información general, no asesoramiento jurídico, así que consulta a un abogado si tienes dudas.
eIDAS distingue tres niveles, cada uno con sus propios requisitos. Una firma electrónica simple (SES) es cualquier dato electrónico unido a otros datos y usado por el firmante para firmar. Un nombre escrito al final de un correo, una casilla marcada junto a "Acepto" o una firma dibujada con el ratón son todas una SES. Una firma electrónica avanzada (AES) añade cuatro requisitos: está vinculada de manera única al firmante, permite identificar al firmante, se crea con medios que el firmante controla en exclusiva y está vinculada al documento de forma que cualquier cambio posterior sea detectable. Una firma electrónica cualificada (QES) es una AES creada con un dispositivo cualificado de creación de firma y basada en un certificado cualificado emitido por un prestador de servicios de confianza supervisado, en los Países Bajos bajo la supervisión de la Autoridad neerlandesa de Infraestructura Digital. Solo la QES equivale automáticamente por ley a una firma manuscrita. Para SES y AES un tribunal valora caso por caso si el método fue suficientemente fiable.
El artículo 25 de eIDAS es el que conviene conocer. El apartado 1 establece que no se denegarán efectos jurídicos ni admisibilidad como prueba a una firma electrónica por el mero hecho de estar en formato electrónico o de no cumplir los requisitos de una firma cualificada. Eso significa que un tribunal no puede descartar una SES con el argumento de que es "solo" una firma electrónica. El apartado 2 da a una QES el efecto jurídico de una firma manuscrita. El apartado 3 establece que una QES basada en un certificado de un estado miembro se reconoce en todos los demás. En la práctica esto quiere decir que una SES te da una firma válida, pero que en una disputa tienes que demostrar tú mismo que la firma vino del cliente y que el documento no ha cambiado desde entonces. Ahí es donde entra el audit trail.
Un audit trail es el libro de registro que rodea a la firma y determina la fuerza de tus pruebas. Un audit trail útil contiene al menos lo siguiente. 1. La identidad del firmante: nombre y dirección de correo, y la forma en que esa persona accedió al documento, por ejemplo un enlace único enviado solo a esa dirección. 2. El momento de cada evento: envío, apertura, visualización de secciones y firma, con zona horaria. 3. La dirección IP y el dispositivo usado para firmar. 4. Un hash criptográfico del documento en el momento de la firma, para poder demostrar que el texto no ha cambiado. 5. La versión de la propuesta que se firmó, porque las propuestas se revisan a menudo después del envío. 6. Un sello sobre el documento firmado y un lugar donde el cliente o un tercero pueda verificar la firma. Proposal Expert entrega una SES dentro de eIDAS con exactamente ese tipo de audit trail: marca de tiempo, registro de IP, documento sellado y una URL de verificación única por firma. La página de firmas electrónicas enumera los campos que contiene el informe de pruebas.
Una QES es obligatoria en un número limitado de situaciones. Cuando una ley prescribe expresamente una firma cualificada, como ocurre con ciertas escrituras y con algunos trámites judiciales y administrativos. Cuando un contrato con la otra parte o una norma sectorial exige ese nivel, algo que se ve sobre todo en entidades financieras y en licitaciones públicas. Cuando lo que está en juego es tan alto que quieres descartar cualquier discusión sobre la identidad del firmante, por ejemplo una adquisición o un contrato de larga duración por un valor elevado. Y cuando trabajas más allá de las fronteras y quieres la certeza de que la firma se reconoce en todos los estados miembros sin discusión. Para una propuesta de una web, un encargo de consultoría o una reforma no se da ninguno de esos casos. Ahí basta una SES con un audit trail sólido, y eso es lo que Proposal Expert ofrece de forma deliberada.
Un ejemplo. Una agencia de marketing envía el lunes una propuesta de 14.500 euros a un cliente a través de un enlace único. El martes el cliente abre la propuesta, lee el enfoque y el precio, y reenvía el enlace al director financiero. El miércoles el director firma por el mismo enlace con un nombre escrito y una casilla marcada junto a las condiciones. El informe de pruebas muestra entonces: dos direcciones IP y dos dispositivos distintos, el momento de cada paso, el hash de la versión 2 de la propuesta que estaba abierta en ese instante, y el sello aplicado después de firmar. Si tres meses después el cliente afirma que se acordó otro importe, puedes demostrar qué texto estaba en pantalla en el momento de la firma y que no se ha modificado desde entonces. Esa es exactamente la prueba que el artículo 25 te pide con una SES.
Es una SES y por tanto válida en principio, pero la prueba es débil. Cualquiera puede copiar esa imagen y el documento se puede editar después de firmar sin que se note. No tienes marca de tiempo, ni registro, ni sello. En una disputa, la pregunta de quién firmó qué y cuándo se vuelve difícil de responder.
Dentro de la UE sí, eIDAS se aplica en todos los estados miembros. El Reino Unido mantuvo tras el Brexit su propia versión de eIDAS que funciona igual en lo esencial. Para clientes fuera de Europa, por ejemplo en Estados Unidos, se aplican otras leyes como la ESIGN Act, que también reconocen las firmas electrónicas. Para importes elevados fuera de la UE, comprueba qué se aplica en el país.
Entonces todo depende de tu audit trail. Demuestras que el enlace se envió solo a la dirección de correo del cliente, desde qué dirección IP y qué dispositivo se puso la firma y a qué hora, y que el documento está sellado desde entonces. Guarda el informe de pruebas junto con la propuesta firmada mientras duren el acuerdo y el plazo de prescripción.