Identidad, autoría, aprobación y capacidad de actuar
La identificación permite establecer quién interviene; la autenticación utiliza mecanismos para verificar atributos y vincular confiablemente una actuación con la persona correspondiente. En el procedimiento electrónico debe precisarse qué se comprueba en cada operación. Acceder a una cuenta no demuestra por sí mismo aprobación de cualquier documento alojado allí; identificar a una persona tampoco acredita que pueda representar a otra. La autenticación en la actuación administrativa sirve a una atribución verificable de intervenciones y documentos. No reemplaza las reglas de competencia, representación o contenido exigidas por el régimen de la actuación que se pretende realizar.
El artículo 5 del CPACA reconoce identificarse ante autoridades mediante autenticación digital, y el artículo 54 relaciona actuación electrónica con registro gratuito, respetando protección de datos y sus excepciones. El registro permite organizar la interacción, pero no vuelve jurídicamente necesaria cualquier información que el formulario decida pedir. Debe comprobarse el requerimiento real de cada trámite y la finalidad del dato. Una barrera de registro no puede utilizarse para desconocer una modalidad exceptuada ni una medida de seguridad convertirse por su nombre en justificación suficiente para una carga que carece de fundamento.
La Ley 527, artículo 7, ofrece un criterio funcional cuando se requiere firma en un mensaje de datos: identificar al iniciador e indicar su aprobación del contenido mediante un método confiable y apropiado para el propósito. El análisis pregunta qué persona y qué versión del mensaje quedaron vinculadas, con cuáles condiciones de seguridad. Una imagen que se parece a una firma puede formar parte del documento, pero su apariencia no demuestra por sí sola todas esas funciones. A la inversa, la ausencia de tinta no invalida un método electrónico que cumple los requisitos aplicables.
Firma electrónica, firma digital y nivel de confianza
El Decreto 1074 de 2015, capítulo 47, regula firma electrónica con neutralidad tecnológica, confiabilidad y adecuación al fin. Su definición incluye métodos como códigos, contraseñas, biometría o claves criptográficas bajo las condiciones que establece. Esto no significa que toda contraseña sea suficiente para cualquier acto ni que pueda exigirse sin fuente un único mecanismo comercial. Debe evaluarse el contexto de utilización y los requisitos pertinentes. La equivalencia funcional permite métodos jurídicamente idóneos sin reducir seguridad a una preferencia tecnológica o a una afirmación de que todo lo digital merece idéntica confianza.
La firma digital tiene definición y atributos específicos en la Ley 527. Se vincula al mensaje mediante el procedimiento que la norma describe y sus efectos dependen de condiciones legales, entre ellas verificación, control y vínculo con la información. No debe utilizarse la expresión como sinónimo indiscriminado de cualquier firma electrónica o de una imagen insertada. La distinción importa para determinar qué se afirma probado y con qué soporte. Tampoco la validez del método acredita por sí sola la competencia del funcionario que firma o el derecho material de quien presenta una petición.
Los artículos incorporados por el Decreto 1789 de 2021 al capítulo 47 del Decreto 1074 relacionan transformación digital, firmas y grados de confianza, así como el derecho de las personas a mecanismos de autenticación en los trámites bajo su regulación. Deben articularse con el título 17 del Decreto 1078 y con las condiciones y lineamientos aplicables. La elección requiere atender al proceso y su finalidad, no tratar un nivel como exigencia universal de todo escrito. Este marco tampoco autoriza ignorar la garantía de acceso gratuito o alternativo que conserva el CPACA.
Atribución, custodia y anomalías verificables
La Ley 527 distingue atribución del mensaje, presunciones de origen y correspondencia entre lo enviado y recibido. Deben leerse en su ámbito y junto a las reglas administrativas específicas. Si interviene una persona autorizada o un sistema programado, es necesario identificar el título y alcance que permite atribuir el mensaje. La automatización no hace inexistente toda intervención, pero tampoco vuelve correcta cualquier atribución porque el sistema la registró. Cuando aparecen indicios de error o uso no autorizado, el analista debe examinarlos con las pruebas pertinentes y no tratar una presunción como certeza inmune a contradicción.
El capítulo de firma electrónica contempla control y custodia de los datos de creación, diligencia frente a uso no autorizado y aviso cuando su seguridad queda comprometida. Esas obligaciones permiten entender por qué compartir indiscriminadamente credenciales puede afectar la confiabilidad de la atribución. La respuesta a una anomalía exige preservar evidencia, identificar mensajes afectados y aplicar los cauces pertinentes. No se puede declarar automáticamente inválido todo un expediente por una duda aislada ni suponer que el titular siempre aprobó cualquier contenido porque su nombre aparece en una cuenta. Deben comprobarse hechos y alcance del incidente.
Identidad y representación deben mantenerse separadas. Una persona puede estar correctamente identificada y carecer de poder para formular una actuación ajena; otra puede actuar válidamente mediante un representante cuyo título también debe acreditarse. La firma técnica de un auxiliar no crea por sí misma autorización para sustituir al interesado. Del mismo modo, una autoridad debe verificar quién aprobó su acto y bajo qué competencia, aunque el soporte asegure integridad. La seguridad del documento y la habilitación jurídica del autor son preguntas complementarias: resolver una no permite omitir la otra.
Ejemplo colombiano 1: credencial compartida y autoría discutida
Caso hipotético: un equipo de una entidad colombiana utiliza una misma credencial para elaborar mensajes atribuidos a un funcionario. Surge una controversia concreta sobre quién aprobó cierto documento y se acredita que varias personas podían usar indistintamente los datos de creación de firma. La oficina sostiene que el nombre de la cuenta cierra toda discusión. Debe examinarse la confiabilidad del método en ese contexto, los registros y el contenido aprobado, conforme a Ley 527 y Decreto 1074. La duda no invalida automáticamente todo lo actuado, pero impide sustituir el examen de autoría por una etiqueta técnica que los propios hechos hacen discutible.
Ejemplo colombiano 2: apoyo técnico sin representación
Caso hipotético: una persona ayuda a otra a digitalizar documentos y queda identificada electrónicamente como quien realiza un envío. No tiene poder ni otra autorización acreditada para formular en nombre de la interesada una actuación que requiere su manifestación. La plataforma considera suficiente identificar al auxiliar y omite examinar a quién se atribuye jurídicamente el escrito. Deben distinguirse apoyo material, iniciador y facultad de actuar por otro. El mecanismo puede acreditar quién envió, sin demostrar que existe representación o aprobación de todo el contenido por la interesada. La solución exige verificar el título y el requisito aplicable, sin imponer ni presumir una representación universal.
Ejemplo colombiano 3: imagen de firma y mensaje alterado
Caso hipotético: un documento electrónico presentado en una actuación colombiana conserva la imagen visible de una firma, pero existe evidencia de que el texto relevante fue cambiado después y el método utilizado no permite atribuir aprobación de esa versión al supuesto firmante. La oficina considera que ver el dibujo basta para tener por satisfecho todo requisito. El artículo 7 de Ley 527 exige examinar identificación y aprobación mediante método confiable y apropiado; la integridad tiene además sus condiciones. Debe valorarse la evidencia de modificación y determinar consecuencias en el cauce pertinente. No se prohíbe universalmente la imagen: se rechaza convertir su apariencia en demostración concluyente de la versión discutida.
Síntesis y fuentes
La identificación y autenticación deben permitir explicar quién realizó una intervención, qué contenido aprobó y con qué método y título puede atribuírsele. El análisis no se agota en reconocer una cuenta o una firma visible. Debe conservar la diferencia entre seguridad técnica, representación y competencia y tratar anomalías con prueba y garantías. Esta precisión protege tanto al ciudadano cuya actuación podría ser atribuida indebidamente como a la administración que necesita decisiones confiables. Los métodos electrónicos válidos facilitan el procedimiento; no reemplazan sus fuentes materiales ni producen una presunción universal sobre toda conducta.
Fuentes: CPACA, artículos 5, 53–55 y 57; Ley 527 de 1999, artículos 2, 7, 11, 16–18 y 28; Decreto 1074 de 2015, capítulo 47, incluidas adiciones de Decreto 1789 de 2021; Decreto 1078 de 2015, título 17 vigente. El uso de biometría debe relacionarse con protección de datos sensibles y con las competencias normativas pertinentes, sin presentar un requisito biométrico como condición automática de toda petición. La selección concreta del método exige el régimen y las condiciones del trámite.