Aspectos a tener en cuenta sobre las pruebas de transacción en el sector fintech
- El clic en «Invest» constituye una orden financiera en el sentido del reglamento de la ECSP: su fecha exacta puede condicionar la validez de la orden.
- Un registro interno no certificado no constituye una prueba admisible: el Reglamento ECSP y la DORA exigen la conservación de los datos sin especificar el nivel de prueba necesario para que sean admisibles.
- Soloel sello de tiempo cualificado eIDAS, en virtud del artículo 41, genera una presunción legal de exactitud de la fecha y de integridad de los datos, y invierte la carga de la prueba.
- Un expediente probatorio que pueda devolverse, en el que se incluyan todos los elementos constitutivos de la orden con fecha y hora, es un requisito imprescindible para dar una respuesta eficaz tanto en los procedimientos contenciosos como en los controles reguladores.
El clic en «Invertir»: una orden financiera sujeta a los requisitos del Reglamento ECSP
Desde el momento de su validación, el clic de inversión vincula jurídicamente a las partes, independientemente de su tramitación posterior. Este principio se deriva de la relación entre el derecho común en materia de pruebas electrónicas y el Reglamento ECSP[1].
El clic, un acto jurídico en toda regla
En España, el artículo 326 de la Ley de Enjuiciamiento Civil y el artículo 3 de la Ley 6/2020 reconocen que un documento electrónico tiene la misma fuerza probatoria que un documento en papel, siempre que su autor esté debidamente identificado y que el documento se haya elaborado y conservado en condiciones que garanticen su integridad. El artículo 23 de la Ley 34/2002 (LSSI) regula la validez de los contratos celebrados por vía electrónica. Este marco resulta aplicable a cualquier actuación en línea con efectos contractuales, incluido el clic de inversión.
En el contexto de las plataformas de crowdfunding inmobiliario y de préstamos P2P, este clic adquiere una dimensión adicional. Desde noviembre de 2021, el Reglamento ECSP somete a estas plataformas a una autorización obligatoria como proveedores europeos de servicios de financiación participativa (PSFP). En este marco, reciben y transmiten órdenes de clientes: el clic en «Invertir» no es una simple acción técnica, sino la materialización de una orden financiera que compromete a ambas partes.
Un marco específico para los PSFP, con ciertas lagunas
Este es el modelo que han adoptado las plataformas de financiación colectiva inmobiliaria y de préstamos entre particulares (P2P), así como las plataformas de inversión participativa en general: un proceso íntegramente en línea, accesible a partir de unos pocos cientos de euros, sin ningún tipo de contacto humano en el proceso de validación.
El Reglamento ECSP establece, a este respecto, una distinción entre inversores experimentados y no experimentados. Estos últimos, que constituyen una parte significativa de los usuarios de estas plataformas, se benefician de un plazo de desistimiento de cuatro días previsto en el artículo 22 del Reglamento. Este detalle no es baladí: significa que la fecha y la hora exactas en que se realiza el clic pueden condicionar directamente la validez de la orden.
El reglamento ECSP excluye expresamente a los PSFP de la Directiva MiFID II[2], que, sin embargo, impone a los operadores financieros tradicionales un registro riguroso de las comunicaciones relacionadas con las órdenes. A falta de este marco preestablecido, la responsabilidad de aportar una prueba irrefutable recae íntegramente en la plataforma.
Las tres formas de impugnación a las que se expone una empresa fintech en ausencia de pruebas certificadas
La reclamación de un pedido realizado en línea no se limita a una única forma y los motivos de reclamación pueden acumularse.
Cuestionar la existencia del orden
El inversor niega haber validado la orden: afirma que nunca hizo clic o, simplemente, contrapone su palabra a la de la plataforma. Ante esta impugnación, se puede presentar un registro interno. Sin embargo, su valor probatorio sigue siendo débil: nada garantiza que no haya sido alterado a posteriori.
El principio según el cual nadie puede servir de testigo de sí mismo se aplica plenamente a los datos generados de forma unilateral por los sistemas de la plataforma. El concepto de no repudio abarca esta cuestión: la capacidad de impedir que un usuario niegue una acción que realmente ha realizado, lo que supone una prueba externa, certificada y auditable.
Impugnar la fecha y la hora
En algunos productos, el plazo de entrada está limitado en el tiempo. Ya sea por haber superado un plazo límite o porque el plazo de desistimiento de cuatro días siga abierto, según lo dispuesto en el artículo 22 del Reglamento ECSP: la hora exacta en que se realizó el clic puede ser suficiente para cambiar por completo la situación. Sin embargo, una simple marca de tiempo del servidor no resiste esta impugnación. Dicha marca es generada por las propias infraestructuras de la plataforma y puede ser cuestionada precisamente por este motivo.
Impugnar la versión de las condiciones aceptadas
La plataforma ha actualizado sus condiciones generales de uso o las condiciones del producto entre la validación del pedido y el momento en que se produjo el litigio. ¿Qué versión aceptó el inversor en el momento de hacer clic? Afirmarlo es fácil. Demostrarlo supone haber registrado el contenido exacto de las condiciones en el momento preciso de la validación.
Un marco normativo exigente, pero que no se pronuncia sobre el nivel de prueba
La conservación de datos es una obligación reglamentaria. Poder presentarlos ante los tribunales es una cuestión probatoria. La normativa sectorial exige la trazabilidad sin definir en ningún momento el estándar requerido en caso de litigio.
El Reglamento ECSP: una obligación de conservación sin garantía probatoria
Obliga a los PSFP a conservar los registros de las órdenes y los mandatos en un soporte duradero durante un plazo mínimo de cinco años. Por lo tanto, esta obligación de conservación existe efectivamente.
Sin embargo, el reglamento no se pronuncia sobre el nivel técnico de prueba exigido para que un registro sea oponible a un tercero que lo impugne. Un registro interno cumple formalmente con esta obligación, sin por ello constituir una prueba irrefutable.
DORA: la integridad de los datos como obligación de resultado
El Reglamento DORA[3], en vigor desde enero de 2025, se aplica expresamente a los PSFP y les obliga a preservar la autenticidad y la integridad de sus datos digitales. Las plataformas de menor tamaño se benefician de un régimen simplificado, pero la obligación de resultados sigue vigente. Una vez más, DORA establece un requisito sin definir los medios para demostrarlo ante un juez o un organismo regulador.
eIDAS: la presunción como única respuesta jurídica
Solo el Reglamento eIDAS, en su artículo 41, establece una presunción legal relativa a la fecha y la integridad de los datos con marca de tiempo cualificada. Es el eslabón que faltaba: convierte estas obligaciones sectoriales de conservación e integridad en pruebas jurídicamente válidas. Sin él, la plataforma cumple con la normativa, pero se encuentra indefensa a la hora de hacer valer sus derechos en caso de litigio.
Este mecanismo probatorio, ya probado en el contexto de la obtención del consentimiento en el marco del RGPD, se aplica aquí con la misma lógica de presunción legal.
El sellado de tiempo cualificado según eIDAS: una presunción legal frente al riesgo de impugnación
El concepto de no repudio encuentra aquí su respuesta técnica y jurídica. Impedir que un inversor niegue una acción que realmente ha llevado a cabo requiere una prueba que no dependa únicamente de los sistemas de la plataforma.El sellado de tiempo cualificado cumple este requisito.
A diferencia de la marca de tiempo del servidor generada internamente, la marca de tiempo cualificada eIDAS es emitida por un proveedor de servicios de confianza cualificado (PSCo cualificado), independiente de la plataforma. En virtud del artículo 41 del Reglamento eIDAS, goza de una presunción legal de exactitud de la fecha y de integridad de los datos.
Esta presunción modifica la distribución de la carga de la prueba. Ya no corresponde a la plataforma demostrar que el pedido es auténtico: corresponde a quien lo impugna refutar dicha presunción. En un contexto contencioso o durante una inspección reguladora, esta inversión resulta determinante.
El sellado de tiempo no se refiere únicamente al clic, sino a una huella criptográfica de los elementos que componen la orden: identificador de la transacción, parámetros de la orden, versión de las condiciones aceptadas en el momento de la validación y datos de la sesión. Es precisamente este vínculo entre la prueba y el contenido exacto de la orden lo que le confiere su valor probatorio.
Conclusión: la constitución de un expediente probatorio recuperable
El sellado de tiempo cualificado constituye la base de una prueba oponible. No obstante, su plena eficacia depende de la capacidad de reconstruir un expediente completo que integre todos los elementos relacionados con la orden: sellado de tiempo cualificado vinculado mediante huella criptográfica a los parámetros de la transacción, versión exacta de las condiciones aceptadas sellada en el mismo instante, datos de sesión e identificación del inversor y trazabilidad conservada durante el periodo exigido por el Reglamento ECSP.
Este expediente será requerido en dos situaciones distintas. En caso de litigio, la plataforma debe poder presentarlo ante un juez o ante el servicio de reclamaciones de la CNMV. En caso de supervisión regulatoria, ya se trate de una auditoría de la CNMV en aplicación del Reglamento ECSP o de una inspección DORA relativa a la integridad de los sistemas, debe poder facilitarse a requerimiento de la autoridad competente en un formato auditable.
Soluciones como Evidency permiten generar y conservar este tipo de expediente, conforme a las exigencias de eIDAS y recuperable en cualquier momento. Para las plataformas que desean transformar una obligación regulatoria en una verdadera capacidad probatoria, constituye una respuesta técnica con efectos jurídicos.
Fuentes
[1] Reglamento (UE) 2020/1503 del Parlamento Europeo y del Consejo, de 7 de octubre de 2020, relativo a los prestadores europeos de servicios de financiación participativa para emprendedores: https://eur-lex.europa.eu/eli/reg/2020/1503/oj
[2] Directiva 2014/65/UE del Parlamento Europeo y del Consejo, de 15 de mayo de 2014, relativa a los mercados de instrumentos financieros: https://eur-lex.europa.eu/eli/dir/2014/65/oj
[3]Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero: http://data.europa.eu/eli/reg/2022/2554/oj
Exención de responsabilidad
Las opiniones, presentaciones, cifras y estimaciones que figuran en el sitio web, incluido el blog, tienen únicamente fines informativos y no deben considerarse asesoramiento jurídico. Para obtener asesoramiento jurídico, debe ponerse en contacto con un profesional del derecho en su jurisdicción.
Queda prohibida la utilización del contenido de esta página web, incluido el blog, con fines comerciales, incluida la reventa, sin el permiso previo de Evidency. La solicitud de permiso debe especificar el propósito y el alcance de la reproducción. Para fines no comerciales, todo el material de esta publicación puede citarse o reimprimirse libremente, pero se requiere un reconocimiento, junto con un enlace a este sitio web.
