El no repudio: por qué (casi) no puedes negar que firmaste

Ya recorrimos los tres pilares: atribución (¿quién firmó?), integridad (¿lo cambiaron?) y accesibilidad (¿podrás consultarlo?). El no repudio no es un cuarto ingrediente: es lo que resulta de tener esos tres bien resueltos.

Planteémoslo con el escenario que todos tememos: firmaste algo, te arrepientes y decides decir “yo no firmé eso”. ¿Funciona? Casi nunca. Y este artículo trata precisamente de por qué “casi”: dónde está la fuerza del no repudio y dónde su límite.

Qué es el no repudio

El no repudio es la imposibilidad jurídica y práctica de que el firmante desconozca válidamente lo que firmó. No es que la ley te prohíba negarlo; es que, si lo niegas sin pruebas, tu negativa no prospera. El documento se sostiene solo.

Por eso decimos que no es un pilar independiente, sino la consecuencia de combinar los anteriores: si el documento está atribuido a ti, no fue alterado y puede consultarse, negarlo se vuelve enormemente difícil.

De dónde sale (no de un solo artículo)

El no repudio no vive en un artículo aislado; emerge de varias piezas del Código de Comercio que encajan entre sí:

• Presunción de atribución (art. 90): se presume que el mensaje proviene de ti si se envió con tus medios de identificación.

• Integridad (art. 97, fr. III y IV, y la NOM-151): se puede detectar cualquier alteración posterior, de modo que no puedes alegar que “decía otra cosa”.

• Obligaciones del firmante (art. 99): debes cuidar tus datos de creación y respondes por el uso no autorizado de tu firma cuando no obraste con la debida diligencia para impedirlo.

• Deberes de la contraparte (art. 107): quien confía en la firma también debe verificar su fiabilidad; el no repudio no es un cheque en blanco a su favor.

  
  

El mecanismo real: la carga de la prueba

Aquí se cierra el círculo que abrimos en el primer artículo. La presunción de atribución invierte la carga de la prueba: no es la contraparte quien debe demostrar que firmaste; eres tú quien, si lo desconoces, debe demostrar que no fuiste tú. Ese giro es, en la práctica, casi todo el poder del no repudio.

En un litigio, esa diferencia lo decide casi todo: partir con la presunción a favor no es lo mismo que tener que construirla desde cero.

El “casi”: por qué el no repudio no es absoluto

Fiel al espíritu de esta serie, hay que decirlo con claridad: el no repudio es el reverso de una presunción iuris tantum, y toda presunción de ese tipo admite prueba en contrario. El firmante sí puede repudiar válidamente si logra acreditar, por ejemplo:

• Que hubo uso no autorizado de sus credenciales y que él sí obró con la debida diligencia para impedirlo (art. 99, fr. IV).

• Que el método de firma no era fiable —el propio art. 97 permite presentar pruebas de que una firma no es fiable.

• Que la contraparte conocía la inseguridad de la firma o no actuó con la debida diligencia.

En otras palabras: el no repudio no es una puerta blindada, es una puerta muy pesada. Se puede abrir, pero hay que empujar con pruebas.

El talón de Aquiles: tus credenciales

Todo el edificio del no repudio descansa en un supuesto: que solo tú controlas tus datos de creación de firma (tu e.firma, tu archivo de llave privada, tus contraseñas). La tecnología verifica que se usó tu llave; no puede ver quién estaba físicamente frente a la pantalla.

Por eso el artículo 99 pone la custodia en tus manos: si compartes tu e.firma, prestas tus contraseñas o guardas tu llave sin protección, y alguien firma con ellas, el no repudio deja de protegerte y empieza a operar en tu contra. Cuidar las credenciales no es un consejo de seguridad informática: es la condición que sostiene tu capacidad de repudiar o de no ser repudiado el día del conflicto.

¿El no repudio es exclusivo de la firma avanzada?

Es un punto debatido y conviene presentarlo con honestidad. Algunos proveedores sostienen que solo la firma avanzada otorga un “verdadero” no repudio y que, con ella, la contraparte ni siquiera podría exigir una pericial. Otros apoyados en el principio de neutralidad tecnológica del propio Código sostienen que también una firma electrónica simple, cuando es fiable, produce atribución y, por tanto, efectos de no repudio; solo que más fáciles de desvirtuar.

La lectura práctica: el no repudio no es un interruptor de encendido/apagado, sino una escala. Cuantos más elementos de fiabilidad incorpores al proceso de firma, más difícil será para la otra parte derribar la presunción. La firma avanzada te ubica muy arriba en esa escala; una simple bien implementada, más arriba de lo que muchos creen.

Un matiz útil: no repudio de origen y de recepción

Solemos pensar en el no repudio del que firma (no repudio de origen): que no pueda negar haber firmado. Pero existe su espejo: el no repudio de recepción, ligado al acuse de recibo de los mensajes de datos (art. 92). En operaciones donde importa probar que la otra parte recibió algo una notificación, una aceptación, conviene pactar y conservar ese acuse con el mismo cuidado que la firma.

Qué significa esto para ti

• Custodia tus credenciales como si fueran efectivo. Tu e.firma, tu archivo .key y tus contraseñas no se comparten ni se prestan: quien las tenga, firma como tú.

• Documenta el proceso de firma. Autenticación en dos pasos, registros de IP y hora, evidencia de identidad: cada elemento suma y hace tu no repudio más sólido.

• Si de verdad no firmaste, actúa rápido. Reúne pruebas del uso no autorizado, denuncia el robo de credenciales y conserva bitácoras; la ley te deja repudiar, pero la carga es tuya.

• Elige el nivel de firma según el riesgo. Entre más importe blindar el no repudio de un documento, más justifica usar una firma robusta y sumar constancia de conservación.

• Recuerda que el no repudio corta para los dos lados. Si eres tú quien recibe una firma, también tienes el deber de verificar su fiabilidad antes de confiar en ella.

En el próximo (y penúltimo) artículo de la serie bajamos todo esto a la decisión práctica que de verdad importa: firma avanzada vs. firma simple cuándo necesitas cada una y cuándo pagar de más por seguridad que no ocuparás.