Ley de Comercio Electrónico en Colombia. (Ley 527 de 1999)
El 18 de agosto de 1999 fue expedida en Colombia la Ley 527 de 1999, por medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales, se establecen las entidades de certificación y se dictan otras disposiciones.” A continuación se hace un tratamiento de los siguientes puntos relacionados con esta Ley:
1. Algunos antecedentes de la Ley 527 en Colombia
2. Limitaciones de la Ley
3. Contenido
4. Posibles críticas a la Ley
5. Principales disposiciones
1. Algunos antecedentes de la Ley 527 en Colombia
Como ha sucedido en otros países latinoamericanos, los primeros intentos por regular los mensajes electrónicos de datos han tenido por ámbito de aplicación la administración pública. Un primer antecedente en la legislación colombiana es el Decreto 2150 de 1995 (vigente en la actualidad), por medio del cual se buscó la simplificación de trámites ante las entidades estatales. En su art. 26 establece:
“ARTÍCULO 26: Utilización de sistemas electrónicos de archivo y transmisión de datos. Las entidades de la administración pública deberán habilitar sistemas de transmisión electrónica de datos para que los usuarios envíen o reciban información requerida en sus actuaciones frente a la administración.
En ningún caso las entidades públicas podrán limitar el uso de tecnologías para el archivo documental por parte de los particulares sin perjuicio de los estándares tecnológicos que las entidades públicas adopten para el cumplimiento de algunas de las obligaciones legales a cargo de los particulares.”
Posteriormente, en el año 1999, se expidió el Decreto 1122, el cual fue declarado inexequible por vicios de forma, mediante sentencia de la Corte Constitucional C-923/99. Este Decreto contenía múltiples disposiciones sobre el tema:
a) En su artículo 8º expresamente autorizaba a la Administración Pública y a los particulares que cumplen funciones públicas, para el empleo de cualquier medio tecnológico o documento electrónico, estableciendo las condiciones y requisitos de seguridad que para cada caso fueran convenientes.
b) El Decreto permitía presentar peticiones, quejas o reclamaciones ante cualquier autoridad, vía mensajes de datos. Adicionalmente, exigía que las entidades públicas compilaran las regulaciones sobre los requisitos jurídicos o técnicos que las disposiciones vigentes imponen a las peticiones, actuaciones, solicitudes o quejas (art. 10). Esta información debería ser actualizada permanentemente y publicada en medios impresos o electrónicos que faciliten su acceso a través de redes de información, como INTERNET.
c) De acuerdo con el art. 16, en toda entidad u organismo público o privado encargado de cumplir funciones públicas o de prestar servicios públicos, se debería informar al público acerca de los siguientes asuntos:
- Normas básicas que determinan su competencia. - Funcionamiento de sus distintos órganos y servicios.- Regulaciones, procedimientos y trámites a que están sujetas las actuaciones de los particulares, precisando de manera detallada los documentos que deben ser suministrados, así como las dependencias responsables y plazos en que éstas deberán cumplir con las etapas previstas para cada caso. - Localización de las dependencias y horarios de trabajo.
2. Limitaciones de la Ley
Es bien sabido que el reconocimiento de valor jurídico a las operaciones que se realizan electrónicamente, es apenas uno de los múltiples problemas jurídicos que las mismas plantean.
En este orden de ideas, es importante aclarar que La Ley 527 de 1999, a pesar del título o rótulo que se le dio , dista mucho de ser una regulación integral de los asuntos jurídicos relacionados con el comercio electrónico. Prácticamente la ley se limita al punto del reconocimiento de valor jurídico a los mensajes electrónicos de datos, regulando algunos temas adicionales.
Particularmente, la Ley no contiene normas sobre propiedad industrial y nombres de dominio, protección de los derechos de autor, delitos informáticos, tributación por operaciones en Internet, problemas de ley y jurisdicción aplicable, régimen de telecomunicaciones e Internet, ni sobre protección del consumidor. Sobre este último tema se tiene solamente el artículo 46, a cuyo tenor la ley se aplicará sin perjuicio de las normas vigentes en materia de protección al consumidor.
3. Contenido
Los asuntos regulados por la Ley 527 son:
- Aplicación de los requisitos jurídicos de los mensajes de datos; - Comunicación de los mensajes de datos; - Comercio electrónico en materia de transporte de mercancías; - Firmas digitales - Certificados Digitales - Entidades de certificación - Suscriptores de firmas digitales - Funciones de la Superintendencia de Industria y Comercio.
4. Posibles críticas a la Ley
Ley 527 sigue muy de cerca la Ley Modelo de Comercio Electrónico elaborada por la UNCITRAL. Esta Ley Modelo nació vinculada “al entorno tecnológico propio del EDI (Electronic Data Interchange), que influye fuertemente en las definiciones, formatos y estructuras de funcionamiento adoptadas. Consecuente con su propósito de resolver los conflictos generados por la expansión del comercio electrónico, se caracteriza por regular dicho fenómeno en forma exhaustiva e integral, aunque no excluye la aplicación de sus normas a actos no comerciales.
La tendencia actual, representada en buena medida por la por la directiva de la Unión Europea sobre Firma Electrónica, dictada el 13 de mayo de 1998, se aparta del modelo UNCITRAL, y tiende a legislar exclusivamente sobre el tema del documento y la firma electrónica, estableciendo regulaciones mínimas, aplicables a toda clase de actos y entornos tecnológicos.
Los países con legislaciones más recientes sobre el tema (Italia, Alemania y Argentina, entre otros) han optado por proyectos más simples, tecnológicamente neutros y dinámicos, en los cuales se mantienen los grandes aciertos del modelo UNCITRAL (su aplicación indistinta a todo tipo de actos y contratos, tanto en el sector público como en el privado, y la homologación con los documentos en formato tradicional). El mecanismo adoptado ha sido la dictación de normas legales de carácter muy general, que validan los actos y contratos celebrados por estos medios, y que contienen provisiones reglamentarias para su implementación.”
Es claro que la nueva ley de comercio electrónico no es tecnológicamente neutra porque adopta como esquema de seguridad la Infraestructura de Clave Pública (Public Key Infrastructure).
Esta tecnología está basada en la existencia de entidades certificadoras, legalmente facultadas para generar firmas digitales, sobre la base de un par de claves, una de conocimiento público y otra secreta.
5. Principales disposiciones
El principal objetivo de la Ley de Comercio Electrónico es adoptar un marco normativo que avale los desarrollos tecnológicos sobre seguridad en materia de comercio electrónico, de manera que se pueda dar pleno valor jurídico a los mensajes electrónicos de datos que hagan uso de esta tecnología.
La nueva Ley de Comercio Electrónico es clara en establecer que cuando una norma exija que la información conste por escrito, este requisito queda satisfecho con un mensaje de datos, si la información que éste contiene es accesible para su posterior consulta.
El mecanismo de seguridad avalado por la Ley está compuesto por: - La firma digital (digital signature)- Las entidades de certificación (Certification Authority – CA) - Los certificados digitales (certificate) - Los repositorios
5.1 La firma digital
La firma digital es un instrumento que garantiza tanto la autenticidad de un documento (certeza sobre su originador) como la integridad del mismo (certeza sobre la integridad de su contenido).
Se puede decir que la firma digital es un conjunto de caracteres, que son puestos en un documento y que viajan con el mismo de una manera completamente electrónica. Estos caracteres son puestos en el documento por su creador mediante una llave privada que solo él conoce, previamente asignada por una entidad certificadora.
De acuerdo con el Código de Comercio, cuando la ley exija que un acto o contrato conste por escrito, bastará el instrumento privado con las firmas autógrafas de los suscriptores. Es decir, la solemnidad escrita lleva implícita la necesidad de la firma autógrafa de los suscriptores.
En adelante, la firma digital tendrá los mismos efectos de la firma escrita, siempre y cuando cumpla con unos requisitos mínimos:
- Es única la persona que la usa, es decir, el sistema utilizado permite asignar una firma digital diferente a cada persona que lo solicite. - Es susceptible de ser verificada, esto es, existe un mecanismo para verificar quién es el titular de la firma digital. - Está bajo el control exclusivo de la persona que la usa. - Esta ligada a la información contenida en el mensaje de datos, de tal manera que si estos son cambiados, la firma digital es invalidada.
En el proceso de emisión de un certificado digital, se crean dos llaves o claves en forma simultánea: una privada y una pública. La llave pública es de conocimiento general y forma parte del certificado digital que será emitido por la entidad y utilizada por el suscriptor para identificarse en sus operaciones. La clave privada, por el contrario, es almacenada en la computadora del solicitante del certificado y es manejada exclusivamente por este.
Una vez el mensaje llega a su destinatario, este verifica cuál es el origen del mensaje. La verificación se hace mediante el certificado del creador u originador, el cual contiene el nombre y la llave pública del mismo. Si dicha llave pública logra el efecto de desencriptar o permitir la lectura de la firma contenida en el mensaje, puede tener la seguridad de que éste efectivamente fue creado mediante el uso de la llave privada correspondiente.
5.1.1 Ventajas de la firma digital
- Es un instrumento que garantiza la autenticidad del remitente de un mensaje de datos. - Adicionalmente garantiza la integridad del mismo (certeza sobre la integridad de su contenido). Esto es así dado que cuando el contenido del documento es alterado, la firma digital es automáticamente invalidada. La firma va ligada inseparablemente al mensaje. - Es imposible de falsificar, a diferencia de lo que sucede con la firma manuscrita. - Como regla general, su uso por terceras personas se da solo bajo consentimiento del suscriptor o en todo caso por algún tipo de negligencia de su parte.
5.2. Entidades de certificación (Certification Authority – CA)
Para que el receptor pueda asociar unívocamente la firma digital del mensaje a un emisor, debe existir una autoridad que certifique que la clave pública efectivamente le corresponde a esa persona. La Autoridad Certificante "da fe" de que una determinada clave pública le corresponde a un sujeto específico mediante la expedición del certificado.
Este certificado le es entregado al suscriptor una vez generado el par de llaves, y es utilizado por dicho suscriptor para identificarse en sus operaciones.
En Colombia, las entidades de certificación son aquellas personas jurídicas y privadas, incluidas las Cámaras de Comercio, que poseen el hardware y software necesarios para la generación de firmas digitales, la emisión de certificados sobre la autenticidad de las mismas y la conservación y archivo de documentos soportados en mensajes de datos.
La entidad certificadora brinda la tecnología necesaria para generar las claves, desarrolla los procedimientos requeridos para la identificación de los solicitantes, administra el proceso de emisión, verificación y revocación, controla el funcionamiento y desarrolla nuevas tecnologías para incrementar la confiabilidad y seguridad de las transacciones.
Estas entidades serán vigiladas por la Superintendencia de Industria y Comercio en lo referente a:
- Acceso al mercado y salida del mismo; - Cumplimiento de todos los requisitos de seguridad en el ejercicio de sus funciones; - Tarifas que cobran por sus servicios.
Cualquier persona natural o jurídica puede solicitar a una entidad de certificación, la expedición de una firma digital.
5.3 Certificados digitales
El certificado se materializa en un archivo que es emitido por la C.A., luego de controlar la identificación del suscriptor.
El certificado es emitido para ser almacenado en la computadora del solicitante. Con este archivo, su propietario se identifica cuando realiza operaciones electrónicas.
El destinatario del mensaje firmado digitalmente verifica la autenticidad de dicho mensaje y procede a descifrar su contenido mediante el uso de la llave pública, contenida en el certificado.
En la actividad certificadora mundial existen diversas clases de certificados, dependiendo de la información sobre el suscriptor certificada por la entidad certificadora. Los certificados más simples contienen el nombre y la clave pública del suscriptor.
La Ley de Comercio electrónico sancionada en Colombia dispuso que un certificado expedido por una entidad certificadora, además de estar firmado digitalmente por dicha entidad, deben contener como mínimo los siguientes requisitos:
- Nombre, dirección y domicilio del suscriptor. - Identificación del suscriptor nombrado en el certificado. - El nombre, la dirección y el lugar donde realiza actividades la entidad de certificación. - La clave pública del usuario. - La metodología para verificar la firma digital del suscriptor impuesta en el mensaje de datos. - El número de serie del certificado. - Fecha de emisión y expiración del certificado.
5.4 Otras características de los certificados
- Tiene una vigencia limitada
El certificado expedido por una entidad certificadora tiene una duración limitada, toda vez que su validez expira en la fecha indicada en el mismo.
A partir de dicha fecha la entidad certificadora deja de asumir cualquier responsabilidad sobre la relación existente entre el suscriptor y los mensajes de datos que puedan ser desencriptados con la clave pública contenida en el certificado expirado.
- Puede ser revocado
El certificado también pierde vigencia cuando sea revocado por la entidad certificadora, bien sea por su propia iniciativa o a solicitud del suscriptor.
El suscriptor tiene el deber de solicitar la revocación del certificado en los siguientes casos:
- Por pérdida de la clave privada;
- Cuando la clave privada ha sido expuesta o corre peligro de que se le de un uso indebido.
5.5 Repositorios
Es la publicación que la entidad certificadora hace de los certificados que ha expedido, cuáles han expirado y cuáles han sido revocados. Una vez el destinatario de un mensaje recibe un mensaje electrónico y el respectivo certificado para con el nombre y la llave pública del iniciador, tiene la posibilidad de verificar ante la entidad certificadora si el certificado se encuentra vigente. Es posible que el certificado haya expirado o que haya sido revocado, caso en el cual lo más prudente será no dar por probada la identidad del iniciador.
5.6 Deberes de los suscriptores
Todo suscriptor de una firma digital debe cumplir los siguientes deberes:
- Recibir la firma digital por parte de la entidad de certificación o generarla, utilizando un método autorizado por ésta. - Suministrar la información que requiera la entidad de certificación. - Mantener el control de la firma digital. - Solicitar oportunamente la revocación de los certificados.
Los suscriptores serán responsables por la falsedad, error u omisión en la información suministrada a la entidad de certificación y por el incumplimiento de sus deberes como suscriptor.
