A vueltas con la firma electrónica: Todo puede empeorar

La Administración pública insiste en querer ser ágil, transparente, automatizada y robotizada… pero, día tras día, contradice el principio sagrado de la programación y el diseño: el principio KISS (Keep It Simple, Stupid! ¡Mantenlo sencillo,!).

¿por qué pedir un crédito, invertir en bolsa, hacer una transferencia o comprar online es tan sencillo, y actuar o firmar frente a la Administración es tan complicado? ¿Por qué las analíticas de sangre o informes médico llegan al móvil en la privada, y en la sanidad pública no? Lo mismo se puede decir de las notas del colegio…Spoiler: no nos diferencia la normativa ni es una cuestión de dinero. La cuestión es meramente organizativa.

Seguimos sosteniendo una política de firma basada de forma casi exclusiva en la apuesta europea de los certificados electrónicos y que tiene dos problemas principales:

• Usabilidad: Vivimos en un mundo en el que el móvil se ha convertido en la puerta de entrada a prácticamente todos los servicios digitales.Pero los certificados electrónicos no terminan de casar bien con ese modelo.
• Suplantación de identidad: Los problemas de usabilidad hacen buscar atajos...como es dejar nuestro certificado a los gestores administrativos (os dejo enlace al interesante post en Attico que analizaba la problemática por Guillermo Areán). Al fin y al cabo, no se percibe riesgo al prestarlo, porque…¿para qué lo ibas a usar? (banca, compras…no permiten el uso de certificados) Pero pensemos…¿quién deja su movil hoy dia? Por eso la privada basa en él su autenticación…porque no dejamos nuestro movil a terceras personas.

Y, por si fuera poco, en la firma de empleado público el uso del certificado ahora choca con la normativa de protección de datos, por una razón evidente: al ciudadano no le interesa conocer el DNI del cargo o funcionario actuante, sino el puesto que le habilita para ejercer la competencia. Si firmo electrónicamente una instrucción o una propuesta de resolución con certificado, uno de los atributos que se mostrará es mi DNI.

El Consorci AOC explicaba recientemente en su blog el origen del problema de la protección de datos «: la Ley 6/2020, de 11 de noviembre, y los perfiles de certificado de la AGE obligan a incluir el DNI como parte estructural del certificado digital, necesaria para su validación e interoperabilidad. Los prestadores de servicios de confianza no pueden eliminarlo unilateralmente. Mientras no haya reforma normativa, la AOC propone tres medidas que ya están siendo aplicadas por distintas Administraciones pero que, a mi juicio, dos de ellas en lugar de atajar el problema simplificando y mirando a los casos de éxito, nos alejan aún más del mundo actual, convirtiéndonos en una especie cada vez más exótica:

1️⃣ Ocultar el DNI en la imagen de la firma: Esto me parece un maquillaje del síntoma, una solución de corto y escaso recorrido. El dato sigue presente en el certificado y en las propiedades del documento; dejar de mostrarlo visualmente no tiene relevancia jurídica alguna ni corrige el tratamiento excesivo de datos que señala la AEPD.

2️⃣ Generar una copia electrónica auténtica para esconder el DNI me parece una solución totalmente ineficaz: obliga a producir y gestionar dos documentos (el original firmado y su copia auténtica) Si modernizar y simplificar significa generar dos documentos donde en papel había uno, algo falla. Y construir una solución compleja para esconder un problema no lo resuelve: solo lo aplaza.

3️⃣ La tercera, parece casi como una salida de emergencia: «otros medios de firma». Y, paradójicamente, creo que ahí está la verdadera solución…aunque la normativa sea bastante mejorable( la deficiente ley 39 /2015 que además se empeoró con ocasión del tema catalán)

Los certificados ofrecen garantías muy relevantes, especialmente respecto de la integridad de los documentos pero esto no puede llevarnos a concluir que tengamos que utilizar el mismo mecanismo para todo.

La banca, el comercio electrónico, la educación o la sanidad privada llevan años utilizando mecanismos de autenticación y firma diferentes al certificado..Simplemente han puesto en relación el nivel de riesgo, la seguridad necesaria y la experiencia de usuario y han diseñado sus sistemas en consecuencia.

¿Por qué la Administración no puede hacer lo mismo? No necesitamos que todo sea extremadamente seguro, necesitamos que sea suficientemente seguro y mucho más sencillo. Necesitamos una política de firma basada en riesgos, finalidad y contexto. La clave está en entender que no es lo mismo firmar un acto administrativo desde un sistema corporativo (gestor contable, de contratación o control…) que firmar como ciudadano una solicitud desde el móvil. Y tampoco tiene sentido diseñar ambos escenarios como si fueran el mismo problema.

En los sistemas corporativos, buena parte de la seguridad puede descansar en el propio entorno, en la autenticación del empleado, en los perfiles de acceso, en la trazabilidad, en los registros de actividad,. Si además , queremos reforzar la integridad porque el acto asi lo requiera podemos superponerle el sello de órgano.

Para la ciudadanía podemos utilizar sistemas de identificación y firma mucho más próximos a los que ya utiliza con normalidad en otros ámbitos.(basados en los elementos que nunca dejaría a un tercero y que le puede identificar usando elementos biométricos)

No hace falta innovación alguna, basta observar que el futuro lleva años funcionando fuera de la Administración.

Pasan los años y el problema se agrava. Cada vez es más notoria la diferencia entre la actuación en el ámbito privado y en la Administración..pero en este caso y sin que sirva de precedente… creo que todo puede empeorar!