Un contrato laboral firmado electrónicamente contiene el nombre, la cédula, la dirección, el cargo y la remuneración de una persona. Un certificado médico firmado contiene datos de salud. Una carpeta compartida con cientos de documentos firmados es, para efectos de la Ley Orgánica de Protección de Datos Personales, una base de datos personales, con todo lo que eso implica.
La mayoría de las empresas piensa la firma electrónica como un problema de validez y de tecnología, y llega tarde a la otra mitad del asunto: qué pasa con la información contenida en esos documentos, quién puede verla, dónde se guarda, por cuánto tiempo y qué se hace cuando alguien reclama. Este artículo ordena esas obligaciones para el circuito de firma y archivo.
Los principios que aplican a cada documento firmado
La normativa de protección de datos se sostiene sobre principios, y todos se traducen en decisiones concretas del circuito documental:
| Principio | Traducción al circuito de firma |
|---|---|
| Licitud y finalidad | Debe existir una razón válida para recolectar cada dato y una finalidad declarada |
| Minimización | No pedir en el documento datos que la finalidad no requiere |
| Calidad y exactitud | Mantener la información actualizada y corregir lo inexacto |
| Conservación limitada | Guardar el documento el tiempo necesario, no para siempre por comodidad |
| Seguridad | Proteger el archivo firmado con medidas acordes al riesgo |
| Confidencialidad | Acceso restringido a quien lo necesita para su función |
| Responsabilidad demostrada | No basta cumplir: hay que poder demostrarlo con evidencia |
El último principio es el que más trabajo genera y el que más se descuida. Demostrar cumplimiento exige documentación: registro de actividades de tratamiento, políticas escritas, contratos con proveedores y registros de acceso.
Quién es responsable y quién es encargado
La distinción define quién responde por qué. La empresa que decide qué documentos firma, con qué datos y para qué finalidad es el responsable del tratamiento. Los proveedores que tratan esos datos siguiendo sus instrucciones —el servicio de firma, el almacenamiento en la nube, el sistema documental— actúan como encargados.
Esa relación debe estar formalizada por escrito. El contrato con cada encargado debería precisar la finalidad y el alcance del tratamiento, la prohibición de usar los datos para fines propios, las medidas de seguridad comprometidas, el régimen de subcontratación, el deber de asistencia ante solicitudes de los titulares, la notificación de incidentes y qué ocurre con los datos al terminar la relación. Elegir proveedor sin revisar esto es asumir un riesgo que después no se puede trasladar: ante la autoridad, quien responde es el responsable.
Base de licitud: por qué puedes firmar ese documento
Todo tratamiento necesita una base que lo habilite, y en el circuito documental de una empresa casi siempre hay una distinta de la que se supone. La ejecución de un contrato habilita el tratamiento de los datos del trabajador o del cliente; el cumplimiento de una obligación legal habilita la conservación de respaldos tributarios y laborales; el interés legítimo puede sostener ciertos controles internos. El consentimiento es solo una de las bases posibles y suele ser la más frágil, porque se puede retirar.
La consecuencia práctica es útil: no hace falta pedir consentimiento para firmar un contrato de trabajo, porque la base es la relación contractual. Pero sí hace falta identificar y documentar cuál es la base de cada tratamiento. En los circuitos de recursos humanos, donde esto se aplica todos los días, el contexto operativo está en firma electrónica para contratos y actas de recursos humanos.
Datos sensibles: cuidado especial
Algunos documentos firmados contienen categorías que requieren protección reforzada: datos de salud, datos biométricos, información sobre condición de discapacidad, afiliación sindical, entre otras. Los certificados médicos, los expedientes de seguridad ocupacional y ciertos trámites de personal caen ahí.
Para esos casos, el criterio es más estricto en tres frentes: la base que habilita el tratamiento, las medidas de seguridad y el control de acceso. En la práctica, significa que ese repositorio no puede estar en la misma carpeta compartida a la que accede toda el área administrativa.
Seguridad del archivo firmado
La firma electrónica protege la integridad del documento, no su confidencialidad: un archivo firmado se puede leer igual que cualquier otro. La protección de la información es un trabajo aparte:
- Control de acceso por rol. Que cada persona vea solo los documentos que su función requiere, no todo el repositorio.
- Cifrado en tránsito y en reposo. Especialmente cuando el almacenamiento está en la nube.
- Registro de accesos. Saber quién consultó, descargó o compartió cada documento. Los criterios están en logs y trazabilidad de cada firma.
- Custodia de credenciales. Las claves que protegen el repositorio y el propio certificado, con los criterios de manejo de secretos y rotación de claves.
- Respaldos con el mismo nivel de protección. Es habitual que la copia de seguridad esté peor protegida que el original.
Conservación y supresión: la tensión real
Aquí aparece el conflicto que más consultas genera. La normativa de protección de datos pide conservar solo el tiempo necesario; otras normas obligan a conservar determinados documentos por períodos específicos. No hay contradicción: la obligación legal de conservación es, en sí misma, la justificación para mantener el documento.
Lo que la empresa debe hacer es construir una tabla de retención documental: por cada tipo de documento firmado, el plazo de conservación, la norma que lo justifica y qué se hace al vencerlo. Los plazos concretos los define el área legal según la materia —tributaria, laboral, societaria, contractual—; no los tomes de un artículo, porque varían por tipo de documento.
Y una precisión importante: el derecho de supresión no permite borrar un documento que la empresa está obligada a conservar. Si un extrabajador pide eliminar su contrato firmado, la respuesta correcta no es borrarlo, sino explicar la base legal que obliga a conservarlo y por cuánto tiempo. El contexto de estos documentos está en firma electrónica para contratos laborales a distancia.
Derechos de los titulares
Las personas cuyos datos están en los documentos firmados pueden ejercer derechos de acceso, rectificación, actualización, eliminación, oposición y portabilidad, entre otros. Para el circuito documental, esto exige tres capacidades que conviene probar antes de recibir la primera solicitud:
- Localizar. Encontrar todos los documentos que contienen datos de una persona determinada. Sin un archivo bien organizado, esto es inviable.
- Responder con fundamento. Entregar lo que corresponde y explicar, cuando aplique, por qué una solicitud no procede.
- Registrar. Dejar constancia de la solicitud, de la respuesta y de su fecha, como evidencia de cumplimiento.
Un detalle propio de la firma: rectificar un dato en un documento ya firmado no se hace editando el archivo, porque eso rompería la firma. Se hace mediante un documento nuevo —una adenda o una corrección— firmado y vinculado al anterior.
Incidentes de seguridad
Si un repositorio de documentos firmados queda expuesto, existen obligaciones de notificación a la autoridad de protección de datos y, según el caso, a las personas afectadas. Lo que la empresa necesita tener listo de antemano es un procedimiento: cómo se detecta, quién evalúa el impacto, quién decide notificar, en qué plazo y con qué contenido. Los plazos y formalidades los define la normativa vigente y su reglamentación; confírmalos con tu asesoría legal en lugar de improvisar el día del incidente.
Quién coordina todo esto
Estas obligaciones cruzan a legal, tecnología, recursos humanos y administración, y sin una figura que las coordine terminan sin dueño. Ese rol, sus funciones y su relación específica con el circuito de firma están desarrollados en delegado de protección de datos y firma electrónica. La visión general del proyecto de implementación está en cómo implementar firma electrónica en tu organización, y lo que ocurre cuando un documento firmado llega a un proceso judicial, en el valor probatorio de un documento firmado en juicio.
Para conocer valores de certificados corporativos según la cantidad de firmantes de tu organización, revisa la página de precios o pide una cotización corporativa.
Canales de contacto con los titulares
El grupo también desarrolla Omnifox, una plataforma omnicanal que reúne WhatsApp, correo, redes sociales y llamadas en una sola bandeja compartida. Para el cumplimiento aporta algo concreto: las solicitudes de las personas sobre sus datos llegan por cualquier canal y deben atenderse y registrarse. Con una bandeja compartida quedan asignadas a un responsable, con estado, fecha y evidencia de la respuesta. Más información en omnifox.io.
Preguntas frecuentes
¿Hace falta consentimiento para firmar un contrato con un empleado o un cliente?
Normalmente no, porque la base que habilita el tratamiento es la ejecución del propio contrato o el cumplimiento de una obligación legal. El consentimiento es una de varias bases y no siempre es la que corresponde. Lo que sí hace falta es identificar y documentar cuál aplica en cada caso.
¿Puedo guardar documentos firmados en un servicio en la nube del exterior?
Es posible, y hay que cumplir las condiciones previstas para transferencias internacionales, además de tener un contrato de encargo adecuado con el proveedor. Verifica con tu asesoría legal el mecanismo aplicable antes de mover el repositorio fuera del país.
¿Un extrabajador puede exigir que borre su contrato firmado?
Puede solicitarlo, y la empresa debe responder de forma fundamentada. Si existe una obligación legal de conservar el documento por un período determinado, esa obligación prevalece durante ese tiempo. Lo correcto es explicar la base y el plazo, no borrar ni ignorar la solicitud.
¿La firma electrónica protege la confidencialidad del documento?
No. La firma garantiza integridad y autoría: permite saber quién firmó y detectar alteraciones posteriores. La confidencialidad depende de otras medidas, como el cifrado y el control de acceso al repositorio donde se guarda el archivo.
¿Los datos del certificado de firma son datos personales?
Sí. El certificado identifica a una persona natural e incluye información sobre ella, así que su tratamiento —y el de los registros de firma asociados— queda dentro del alcance de la normativa de protección de datos, con los mismos principios de finalidad, minimización y seguridad.
Si tu empresa necesita certificados corporativos y un circuito de firma alineado con sus obligaciones de protección de datos, conversa con un asesor de Firmas.com.ec. Solicita tu cotización corporativa.