Resumen: Que un documento tenga constancia NOM-151 no significa que esa constancia acredite lo que parece. Hay plataformas que generan la constancia sobre el documento original antes de añadir las firmas, que confunden integridad con atribución, o que trabajan con PSC sin la acreditación correspondiente. Este artículo explica cómo identificar cada uno de estos problemas y qué consecuencia tiene cuando el documento llega a juicio.
Este artículo es parte de la serie “Firma electrónica en juicio: lo que está pasando del lado del demandado.” Si llegaste directamente aquí, el artículo introductorio te da el marco completo.
Cuando un documento firmado electrónicamente llega a juicio con una constancia de conservación NOM-151, la reacción natural es asumir que ese elemento está cubierto. Hay un sello, hay un PSC, hay una fecha. Eso cierra la discusión sobre integridad.
Pero la constancia de conservación es un instrumento más específico de lo que parece, y su valor probatorio depende de dos preguntas que rara vez se hacen: ¿sobre qué exactamente se emitió esta constancia, y quién la emitió?
Qué hace y qué no hace la NOM-151
La constancia de conservación emitida bajo la NOM-151-SCFI-2016 responde a una pregunta concreta: ¿existía este mensaje de datos, con este contenido exacto, en este momento?
Para responderla, el PSC recibe el mensaje de datos, calcula su valor hash y emite una constancia firmada digitalmente que incluye ese hash y un sello de tiempo certificado. Cuando esa constancia existe y es válida, acredita dos cosas: que el mensaje de datos existía en ese momento, y que no ha sido modificado desde entonces.
Lo que la NOM-151 no acredita es quién firmó ni si las firmas son técnicamente válidas. La constancia responde por integridad y fecha cierta. La atribución corresponde a otros elementos del documento. Son preguntas distintas y no deben confundirse.
La primera confusión: NOM-151 como sustituto de la firma válida
Hemos visto plataformas que presentan la NOM-151 como evidencia de validez integral del documento. La cadena implícita es: tenemos constancia NOM-151, por lo tanto nuestra firma es válida. Esa cadena es incorrecta.
Una constancia NOM-151 válida acredita que un conjunto de datos existió en cierto momento y no ha sido alterado. No dice nada sobre si las firmas incluidas en ese conjunto de datos son auténticas, si los certificados que las respaldan son válidos, ni si la plataforma que las generó puede someterse a verificación técnica independiente.
Un documento puede tener una constancia NOM-151 impecable y firmas completamente inverificables. El primer vector de esta serie aplica con independencia de si el documento tiene o no constancia de conservación.
La segunda confusión: NOM-151 sobre el objeto equivocado
Este problema es más técnico y, en nuestra experiencia, más común de lo que parece.
Una constancia de conservación certifica la integridad de lo que se le entregó para certificar. Si se le entregó el documento original (el archivo que se mandó a firmar, antes de que alguien lo firmara), certifica la integridad de ese documento original. Si las firmas se añadieron después, la constancia no las cubre.
Hemos visto plataformas que operan exactamente así: generan la constancia sobre el mensaje de datos inicial y después añaden las firmas al documento. El resultado es un documento que tiene constancia NOM-151 y tiene firmas, pero la constancia no cubre las firmas.
Las consecuencias son significativas. Una constancia que no cubre las firmas no puede acreditar que esas firmas existían cuando se emitió la constancia, ni que no fueron modificadas o añadidas posteriormente. El elemento que debería dar certeza sobre la integridad del documento firmado deja de cumplir esa función.
Lo que debe verificarse es que la constancia cubra el documento y sus firmas, no solo el documento en su estado original previo a la firma.
El PSC: no basta con que exista
El segundo elemento que debe verificarse es quién emitió la constancia.
La NOM-151 requiere que la constancia sea emitida por un Prestador de Servicios de Certificación con la acreditación correspondiente. La Secretaría de Economía publica el directorio de PSC acreditados con el detalle de los servicios que cada uno tiene reconocidos. Lo que hay que confirmar es que el emisor tenga acreditado específicamente el servicio de conservación de mensajes de datos. Si no aparece con esa acreditación, la constancia carece del respaldo normativo que la NOM-151 requiere.
Adicionalmente, la constancia está firmada digitalmente por el PSC. Esa firma debe ser verificable a través de una cadena de certificación válida. Si el certificado del PSC estaba vencido o revocado al momento de emitir la constancia, la validez del sello de tiempo queda comprometida.
Lo que estamos viendo
El problema de la constancia ausente es el más simple y el más frecuente: muchas plataformas no generan constancias NOM-151 sobre sus documentos, o las generan de forma opcional. Cuando el documento llega a juicio sin constancia, no hay fecha cierta certificada ni acreditación de integridad más allá de lo que la parte actora afirme.
El problema de la confusión entre NOM-151 y firma válida aparece en escritos donde la constancia se invoca como prueba de que el proceso de firma fue correcto en su totalidad. Es un argumento que no resiste el análisis una vez que se precisa qué acredita y qué no acredita la constancia.
El problema de la constancia sobre el objeto equivocado es el más difícil de detectar a simple vista: el documento tiene su constancia, el sello está ahí. La diferencia aparece cuando se verifica si la constancia cubre el documento y sus firmas, o solo el documento en su estado previo a la firma.
El problema del PSC inválido es el más fácil de verificar de forma independiente: el directorio de la Secretaría de Economía es público y la verificación toma minutos.
En los cuatro casos, la consecuencia procesal sigue la misma lógica: si la constancia no puede acreditar lo que se afirma que acredita, el elemento que debería cerrar la discusión sobre integridad y fecha cierta deja de cerrarlo.
Verificabilidad y constancia de conservación son condiciones distintas e independientes. Una tercera es el tipo de firma. Que el documento diga “firma electrónica avanzada” no significa que lo sea, y la diferencia tiene consecuencias procesales directas sobre quién carga con la prueba. El siguiente artículo lo desarrolla.
