Custodia de la clave de cifrado biométrico según CTEAJE
CTEAJE establece cómo cifrar la biometría de una firma manuscrita y quién debe custodiar la clave privada. Analizamos el modelo y su aplicación en Justicia
Custodia de la clave de cifrado de datos biométricos según CTEAJE
Una solución de firma manuscrita biométrica no consiste únicamente en capturar sobre una tableta la imagen de una rúbrica.
Durante el gesto de firma pueden obtenerse datos dinámicos como la presión, velocidad, aceleración, coordenadas o secuencia temporal del trazo. Estas evidencias pueden resultar especialmente valiosas si, años después, alguien niega haber realizado la firma.
Precisamente por ese valor probatorio, una de las cuestiones más importantes al diseñar una plataforma profesional es:
¿quién puede acceder a los datos biométricos y quién debe custodiar la clave necesaria para descifrarlos?
La Guía de Interoperabilidad y Seguridad de Autenticación, Certificados y Firma Electrónica del CTEAJE responde expresamente a esta cuestión para las firmas manuscritas biométricas utilizadas en documentos PDF dentro del ámbito de la Administración de Justicia.
La versión 2.0 de la guía está fechada el 12 de diciembre de 2025 y fue aprobada por el Pleno del CTEAJE el 17 de diciembre de 2025. La revisión adapta el documento, entre otras cuestiones, al Real Decreto-ley 6/2023 y actualiza determinados apartados al marco normativo vigente.
Su apartado 10.12 —“Pautas de realización de firmas electrónicas en PDF basadas en firmas manuscritas, sin uso de certificado”— establece un modelo muy concreto para proteger la información biométrica.
Y la custodia de la clave privada es una de sus piezas fundamentales.
¿Qué dice exactamente CTEAJE sobre el cifrado de los datos biométricos?
CTEAJE establece que, cuando se utilicen firmas electrónicas avanzadas basadas en firmas manuscritas capturadas mediante técnicas biométricas, la información biométrica asociada al trazo debe:
- cifrarse;
- incorporarse al propio documento;
- protegerse mediante una clave pública;
- y quedar asociada a una clave privada custodiada de forma separada.
La guía indica concretamente que la clave privada debe quedar custodiada por:
un notario
o
un Prestador de Servicios de Confianza Digital.
Esta arquitectura persigue un objetivo fundamental:
la persona o sistema que utiliza normalmente el documento no debe disponer libremente de la capacidad de descifrar la biometría.
Los datos biométricos pueden permanecer dentro del PDF, pero protegidos.
Clave pública para cifrar y clave privada para descifrar
Aquí existe una confusión frecuente.
Cuando hablamos de “la clave de cifrado de la biometría”, en realidad interviene un par de claves asimétricas.
Clave pública
Puede utilizarse para cifrar los datos biométricos.
No necesita mantenerse secreta.
El sistema de firma puede disponer de ella durante el funcionamiento ordinario.
Clave privada
Permite realizar la operación inversa y recuperar la información protegida.
Ésta sí debe mantenerse bajo control estricto.
Por tanto, conceptualmente:
firma manuscrita
↓
captura de datos biométricos
↓
cifrado mediante clave pública
↓
biometría cifrada
↓
incorporación al PDF
Mientras tanto:
clave privada
↓
custodia independiente
↓
utilización excepcional en caso de controversia
Ésta es precisamente la separación que busca el modelo descrito por CTEAJE.
¿Por qué no debería estar disponible la clave privada durante el funcionamiento normal?
Porque durante el funcionamiento ordinario no es necesario descifrar los datos biométricos.
El sistema únicamente necesita:
- capturar la firma;
- generar las evidencias biométricas;
- cifrarlas;
- vincularlas al documento;
- producir el PDF firmado.
Para realizar esas operaciones basta con disponer de la clave pública.
No existe ninguna necesidad funcional de que el puesto de firma, el navegador o el servidor encargado de generar diariamente los documentos disponga también de la clave privada de descifrado.
Separarla proporciona una garantía adicional.
Aunque alguien tuviera acceso al PDF o incluso a determinados componentes de la plataforma de firma, no podría recuperar directamente la biometría sin activar el procedimiento de custodia correspondiente.
La biometría puede viajar dentro del propio PDF sin quedar expuesta
Uno de los aspectos más interesantes de la recomendación CTEAJE es que plantea incorporar la información biométrica al propio documento electrónico.
Esto permite evitar una arquitectura como:
por un lado,
y
base de datos biométrica
por otro.
En su lugar:
↓
documento + firma visible + biometría cifrada
La evidencia acompaña al documento durante toda su vida.
Pero acompañar al documento no significa que pueda leerse directamente.
La biometría permanece cifrada.
Este planteamiento tiene una ventaja importante para expedientes que deben conservarse durante muchos años: reduce el riesgo de perder la relación entre un documento concreto y las evidencias correspondientes a su firma.
¿Quién debe custodiar la clave privada según CTEAJE?
El apartado 10.12 utiliza una formulación bastante clara.
La clave privada asociada a la clave pública utilizada para proteger la biometría debe estar custodiada por:
Un notario
o
Un Prestador de Servicios de Confianza Digital
Por tanto, si una organización quiere seguir específicamente el modelo definido en este apartado de la guía, no debería diseñar el procedimiento de forma que cualquier administrador técnico o aplicación operativa pueda acceder libremente a la clave.
La custodia forma parte de la cadena de confianza de la evidencia.
¿Exige CTEAJE que el prestador sea cualificado?
Es importante no afirmar más de lo que dice la guía.
En el apartado 10.12, CTEAJE utiliza literalmente la expresión:
Prestador de Servicios de Confianza Digital.
No indica en ese punto que el custodio tenga necesariamente que ser un prestador cualificado para un servicio concreto.
Por tanto, no deberíamos transformar el requisito en:
“CTEAJE obliga a que la clave esté custodiada por un QTSP”.
Eso no es exactamente lo que establece el texto.
Otra cuestión diferente es que un prestador pueda tener servicios cualificados reconocidos bajo eIDAS.
edatalia, por ejemplo, figura como prestador de servicios de confianza y dispone actualmente de un servicio cualificado de sellado de tiempo, algo que puede verificarse en las fuentes oficiales y en su documentación pública.
Pero la condición cualificada de un servicio concreto no debe confundirse con el requisito específico de custodia descrito por CTEAJE.
Certificado de firma y certificado de cifrado biométrico: dos funciones diferentes
Ésta es otra de las cuestiones que suele generar confusión.
En una arquitectura profesional pueden coexistir al menos dos mecanismos criptográficos diferentes:
1. Certificado utilizado para proteger o firmar el PDF
Su función está relacionada con la integridad y autenticidad criptográfica del documento.
2. Certificado o clave pública utilizado para cifrar la biometría
Su función es proteger los datos dinámicos asociados a la firma manuscrita.
No tienen por qué ser el mismo certificado.
De hecho, conceptualmente es preferible tratarlos como funciones independientes.
Podemos representarlo así:
DATOS BIOMÉTRICOS
→ clave pública de cifrado biométrico
→ biometría protegida
mientras que:
DOCUMENTO PDF
→ certificado de firma/sello
→ protección criptográfica del documento.
Una clave responde a:
¿quién puede acceder a la biometría?
La otra responde a cuestiones relacionadas con:
¿podemos detectar modificaciones del documento y verificar su protección criptográfica?
Son problemas distintos.
La firma biométrica del ciudadano no utiliza necesariamente un certificado personal
El propio título del apartado 10.12 es significativo:
firmas electrónicas en PDF basadas en firmas manuscritas, sin uso de certificado.
Esto significa que el ciudadano que firma sobre una tableta no necesita necesariamente disponer de:
- DNI electrónico;
- certificado FNMT;
- tarjeta criptográfica;
- certificado personal instalado.
La evidencia de su firma se construye mediante la captura manuscrita biométrica y su vinculación al documento.
Otra cosa diferente es que el sistema, después de recoger esa firma, utilice certificados, sellos o sellos de tiempo para reforzar la integridad y las evidencias del PDF.
De hecho, la propia guía establece que este tipo de firmas puede reforzarse mediante sellos de tiempo o firmas o sellos automatizados.
¿Qué sucede si una persona niega posteriormente haber firmado?
Aquí aparece la verdadera razón de existir de la clave privada.
Durante años puede no utilizarse nunca.
Pero si surge una controversia, el sistema debe permitir reconstruir la evidencia.
CTEAJE describe conceptualmente el siguiente procedimiento:
documento controvertido
↓
intervención del custodio
↓
uso controlado de la clave privada
↓
descifrado de la información biométrica
↓
extracción de los datos dinámicos
↓
comparación con firmas indubitadas
↓
análisis pericial
La guía contempla expresamente la participación de un perito calígrafo para comparar la firma cuestionada con otras firmas indubitadas del mismo autor.
Esto demuestra algo importante:
la finalidad del cifrado no es impedir para siempre el acceso a la biometría, sino garantizar que ese acceso se produzca únicamente bajo un procedimiento controlado y justificado.
CTEAJE también exige que pueda recuperarse la información dinámica
No sería suficiente cifrar perfectamente los datos si posteriormente nadie pudiera utilizarlos.
La guía establece que debe existir la posibilidad de extraer la información dinámica y que esa capacidad esté disponible para los firmantes y terceros con interés legítimo.
Además, establece que el software de análisis pericial necesario para comparar una firma controvertida con firmas indubitadas esté disponible mediante un tercero depositario.
Por tanto, el diseño debe resolver simultáneamente dos objetivos aparentemente opuestos:
confidencialidad
y
recuperabilidad probatoria.
Una solución que protege completamente la biometría pero hace imposible recuperarla años después no cumple la finalidad del modelo.
Una solución que permite recuperarla libremente a cualquier administrador tampoco proporciona la separación que busca CTEAJE.
El riesgo más grave: perder la clave privada
Cuando la biometría está correctamente cifrada, perder la clave privada correspondiente puede tener una consecuencia importante:
la información podría quedar técnicamente inaccesible.
Por eso la custodia no debe entenderse únicamente como:
“guardar un fichero PFX en un directorio seguro”.
Debe plantearse como un proceso de largo plazo.
Aunque CTEAJE no define en el apartado 10.12 un procedimiento operativo detallado de backup, rotación o recuperación, una arquitectura profesional debería contemplar cuestiones como:
- generación segura;
- identificación inequívoca de la clave;
- control de acceso;
- registro de utilización;
- copia de seguridad;
- recuperación ante desastre;
- renovación;
- conservación de claves históricas;
- procedimiento de descifrado;
- responsables autorizados.
Estas medidas son una consecuencia técnica del requisito de poder recuperar posteriormente la evidencia, no una lista literal impuesta por el apartado 10.12.
Rotar una clave no significa destruir la anterior
Supongamos que una Administración utiliza un certificado de cifrado biométrico entre 2026 y 2029.
En 2030 decide sustituirlo.
A partir de ese momento:
documentos nuevos
→ nueva clave pública.
Pero los documentos de 2026 siguen conteniendo biometría cifrada con:
la clave pública anterior.
Por tanto, la clave privada antigua debe conservarse mientras exista la posibilidad jurídica o probatoria de necesitar acceder a aquellos documentos.
Una correcta política de rotación debe mantener una relación como:
certificado A → documentos 2026-2029 → clave privada A
certificado B → documentos 2030-2033 → clave privada B
y así sucesivamente.
La destrucción prematura de una clave puede inutilizar evidencias perfectamente conservadas dentro de los PDFs.
¿Debe utilizarse la misma clave de cifrado durante toda la vida del sistema?
No necesariamente.
De hecho, utilizar una única clave indefinidamente puede aumentar el impacto potencial de una eventual exposición.
La rotación periódica permite limitar el alcance de cada clave.
Pero obliga a gestionar correctamente:
- versiones;
- fechas;
- certificados;
- histórico;
- identificación de la clave correspondiente a cada documento.
El PDF debe contener información suficiente para determinar qué mecanismo criptográfico protege sus datos.
El objetivo es poder localizar décadas después la clave privada correspondiente sin necesidad de recurrir a suposiciones.
Protección de datos y biometría
La Guía CTEAJE establece también expresamente que estos sistemas deben cumplir la normativa vigente en materia de protección de datos personales.
El RGPD define los datos biométricos como aquellos obtenidos mediante un tratamiento técnico específico de características físicas, fisiológicas o conductuales que permiten o confirman la identificación única de una persona.
Además, cuando los datos biométricos se tratan con la finalidad de identificar de manera unívoca a una persona, entran en el régimen de categorías especiales del artículo 9 del RGPD.
Esta precisión es importante.
No debe simplificarse diciendo que cualquier información relacionada con una rúbrica constituye automáticamente, en cualquier contexto, una categoría especial.
Depende de su tratamiento y finalidad.
En las soluciones de firma biométrica utilizadas precisamente para aportar evidencia sobre la identidad del firmante, la protección criptográfica adquiere por ello todavía más relevancia.
Cómo responde la arquitectura de edatalia a este modelo
La solución de firma manuscrita de edatalia está diseñada para separar la captura biométrica de la capacidad posterior de descifrado.
En las implantaciones con webSign, los datos dinámicos capturados mediante tabletas Wacom pueden protegerse criptográficamente e incorporarse al documento PDF.
webSign permite integrar la captura biométrica directamente dentro de aplicaciones web y trabajar con dispositivos Wacom sin depender de Java. La solución puede desplegarse además dentro del propio centro de datos de la organización.
En una arquitectura in-house para Administración de Justicia pueden distinguirse claramente:
certificado de firma o protección documental
y
certificado utilizado para cifrar la biometría.
Esto permite personalizar ambos elementos según las políticas de cada Administración.
Arquitectura de ejemplo para Justicia
Una implantación puede representarse conceptualmente así:
Sistema de gestión procesal / AVANTIUS
↓
webSign
↓
Wacom DTU
↓
captura de firma + datos biométricos
↓
servidor de firma in-house
↓
cifrado de la biometría con clave pública configurada
↓
incorporación de biometría cifrada al PDF
↓
protección criptográfica del documento
↓
Expediente Judicial Electrónico
La clave privada asociada al cifrado biométrico queda fuera de ese flujo operativo y bajo el modelo de custodia definido para el proyecto.
Éste es un punto especialmente importante.
El servidor que genera miles de documentos diariamente puede disponer de la clave pública necesaria para proteger la biometría sin necesitar la clave privada que permitiría leerla.
¿Puede cada Administración utilizar su propio certificado de cifrado?
Tecnológicamente, la arquitectura de edatalia permite personalizar el certificado utilizado para proteger los datos biométricos.
Esto permite adaptar cada despliegue a la política definida por la Administración responsable.
Por ejemplo, dos Administraciones pueden utilizar:
Administración A
→ certificado/clave pública A
→ custodio A
mientras:
Administración B
→ certificado/clave pública B
→ custodio B.
La aplicación de firma puede ser la misma mientras cambia la infraestructura criptográfica utilizada en cada implantación.
Este desacoplamiento resulta especialmente útil en soluciones instaladas in-house.
¿Puede personalizarse también el certificado que protege el PDF?
Sí.
Y no debe confundirse con el anterior.
El servidor puede configurarse para utilizar los certificados definidos por el proyecto para proteger criptográficamente los documentos generados.
Así podemos tener:
Certificado A
→ protección/firma del PDF.
Certificado B
→ cifrado de biometría.
Este modelo permite adaptar la solución a las políticas de certificados, seguridad y custodia de cada Administración de Justicia.
El servidor in-house no implica que la clave biométrica deba estar en el servidor
Ésta es probablemente una de las conclusiones más importantes.
Una Administración puede exigir:
“quiero toda la solución instalada dentro de mi infraestructura”.
Eso es perfectamente compatible con que la clave privada utilizada para acceder a la biometría tenga un modelo de custodia independiente.
Son conceptos diferentes:
ubicación del servidor
no equivale a
custodia de la clave de descifrado.
Un despliegue on-premise puede mantener:
- aplicación;
- documentos;
- servidor de firma;
- integración;
- claves operativas;
dentro de la infraestructura de Justicia,
mientras reserva la clave privada biométrica al custodio previsto para ese propósito.
¿Puede una Administración guardar directamente una copia de la clave privada?
Si hablamos estrictamente de alineación con el modelo definido por el apartado 10.12 de CTEAJE, hay que ser prudentes.
La guía indica expresamente que la clave privada está custodiada por:
un notario
o
un Prestador de Servicios de Confianza Digital.
Por tanto, no deberíamos afirmar de forma genérica que una copia almacenada por cualquier departamento interno de la Administración satisface automáticamente ese criterio.
Es posible diseñar arquitecturas de seguridad con redundancia, copias de contingencia o distintos mecanismos de recuperación, pero la política concreta debe mantener el modelo de custodia exigido y analizarse jurídicamente dentro del proyecto.
¿Puede existir más de una copia de la clave?
CTEAJE no especifica en el apartado 10.12 cuántas copias técnicas pueden existir ni detalla un procedimiento de backup.
Por tanto, no sería correcto atribuirle una regla como:
“CTEAJE permite exactamente dos copias”.
o:
“CTEAJE exige que exista una copia notarial y otra en el prestador”.
No lo dice.
Lo que sí define es quién debe ejercer la función de custodia.
A partir de ahí, la política concreta de backup, recuperación ante desastre y continuidad debe diseñarse de forma que no desvirtúe ese control.
¿Tiene que ser un HSM?
Tampoco existe en el apartado 10.12 una exigencia específica de almacenar esta clave en un Hardware Security Module —HSM—.
Un HSM puede ser una medida de seguridad muy apropiada para determinados proyectos, pero no deberíamos presentarlo como un requisito literal de CTEAJE.
Lo obligatorio según la recomendación que estamos analizando es el modelo de:
cifrado mediante clave pública
custodia de la clave privada
posibilidad de recuperación controlada ante controversia.
La tecnología utilizada para implementar la custodia debe diseñarse de acuerdo con los requisitos de seguridad del proyecto.
El momento crítico no es la firma: es una controversia años después
Cuando se implanta una plataforma, casi toda la atención se concentra en:
“¿funciona la tableta?”
“¿se genera correctamente el PDF?”
“¿se integra con AVANTIUS?”
Pero el verdadero test de una arquitectura probatoria puede producirse diez años después.
Supongamos que una persona niega haber firmado un documento incluido en un expediente.
En ese momento necesitaremos responder:
¿conservamos el PDF original?
¿contiene la biometría?
¿permanece cifrada?
¿sabemos qué clave se utilizó?
¿sigue existiendo la clave privada?
¿quién la custodia?
¿podemos activar legalmente el procedimiento de acceso?
¿podemos extraer los datos dinámicos?
¿existe software para analizarlos?
¿podemos compararlos con firmas indubitadas?
El apartado 10.12 obliga a pensar en todas estas preguntas antes de implantar el sistema, no después de aparecer el litigio.
Custodiar la clave significa custodiar la capacidad futura de prueba
Una clave privada de cifrado biométrico no es simplemente un elemento técnico.
Es el mecanismo que permite pasar de:
PDF con evidencia protegida
a
evidencia biométrica susceptible de análisis.
Por eso su custodia forma parte de la propia estrategia probatoria.
Si la clave se pierde, se compromete la posibilidad de recuperar la evidencia.
Si la clave se distribuye sin control, se compromete su confidencialidad.
Si no existe un procedimiento claro para utilizarla, se compromete la capacidad de actuar ante una controversia.
La arquitectura correcta busca equilibrar los tres objetivos:
confidencialidad
integridad
disponibilidad probatoria.
CTEAJE y edatalia: diseñar pensando en toda la vida de la firma
La principal aportación del apartado 10.12 no es simplemente recomendar un algoritmo de cifrado.
Obliga a pensar en el ciclo de vida completo de una evidencia biométrica:
captura
↓
cifrado
↓
incorporación al documento
↓
custodia
↓
conservación
↓
controversia eventual
↓
descifrado controlado
↓
análisis pericial
La arquitectura de firma biométrica de edatalia permite implementar este modelo mediante captura sobre Wacom, incorporación de las evidencias cifradas al PDF, certificados configurables y despliegues in-house adaptados a los requisitos de cada Administración.
Esta capacidad resulta especialmente relevante en entornos como la Administración de Justicia, donde el documento puede formar parte durante años del Expediente Judicial Electrónico y donde la capacidad futura de acreditar una firma tiene tanta importancia como la experiencia del usuario en el momento de firmar.
Preguntas frecuentes sobre custodia de claves biométricas y CTEAJE
¿Quién debe custodiar la clave privada de cifrado biométrico según CTEAJE?
El apartado 10.12 establece que la clave privada asociada a la clave pública utilizada para cifrar la biometría debe quedar custodiada por un notario o un Prestador de Servicios de Confianza Digital.
¿La clave privada se utiliza para firmar el documento?
No necesariamente. Su función en este modelo es permitir el descifrado de la información biométrica previamente protegida mediante la clave pública correspondiente.
¿Qué clave utiliza el sistema durante la firma?
Para cifrar la biometría necesita la clave pública. La clave privada no necesita participar en el funcionamiento ordinario del proceso.
¿Tiene que estar la clave privada instalada en el servidor de firma?
CTEAJE no exige eso. Su modelo de custodia apunta precisamente a separar la capacidad de descifrado del proceso operativo habitual.
¿Tiene que utilizarse el mismo certificado para firmar el PDF y cifrar la biometría?
No. Son funciones criptográficas diferentes y pueden configurarse de forma independiente.
¿CTEAJE exige que el certificado de cifrado sea cualificado?
El apartado 10.12 no establece ese requisito. Habla de una clave pública asociada a una clave privada custodiada por un notario o Prestador de Servicios de Confianza Digital.
¿CTEAJE obliga a utilizar un HSM?
No específicamente en el apartado 10.12. Un HSM puede formar parte de una arquitectura de seguridad, pero no debe presentarse como una exigencia literal de este apartado.
¿Puede haber varias copias de la clave privada?
La guía no establece un número concreto de copias. La política de backup y recuperación debe diseñarse manteniendo el modelo de custodia y el control sobre el acceso.
¿Qué sucede si se pierde la clave privada?
Puede resultar imposible recuperar la información biométrica cifrada con la clave pública correspondiente. Por eso la continuidad y recuperación de la clave deben planificarse a largo plazo.
¿Qué ocurre cuando se renueva el certificado de cifrado?
Los nuevos documentos pueden utilizar la nueva clave pública, pero debe conservarse la clave privada anterior mientras sea necesario poder acceder a la biometría de los documentos históricos.
¿Quién puede solicitar el acceso a la biometría?
CTEAJE contempla el acceso en un contexto de controversia y establece que las capacidades de extracción estén a disposición de firmantes y terceros con interés legítimo.
¿Puede un perito analizar posteriormente la firma?
Sí. La guía contempla el descifrado controlado de la biometría para posibilitar el cotejo de la firma controvertida con firmas indubitadas y establece además la disponibilidad de software de análisis pericial.
¿edatalia puede personalizar el certificado de cifrado biométrico?
Sí. En los despliegues in-house, la arquitectura de edatalia permite configurar el certificado utilizado para proteger la biometría de acuerdo con el modelo definido para el proyecto.
¿Puede utilizarse otro certificado para proteger el PDF?
Sí. El certificado utilizado para la protección criptográfica del documento puede configurarse independientemente del mecanismo destinado a cifrar los datos biométricos.
¿webSign puede desplegarse dentro de la infraestructura de una Administración?
Sí. webSign admite integración web y despliegues dentro del propio centro de datos, además de otros modelos de implementación.
La clave privada es una parte de la evidencia, aunque nunca aparezca en el PDF
Cuando se habla de firma biométrica suele prestarse atención a la tableta, al trazo o al PDF.
Sin embargo, una de las piezas más importantes permanece deliberadamente fuera del documento:
la clave privada que permitiría recuperar la biometría.
CTEAJE sitúa esa clave bajo custodia independiente porque su función no pertenece al uso ordinario del documento.
Pertenece al escenario excepcional en el que una firma es cuestionada y debe demostrarse qué ocurrió.
Por eso una solución de firma biométrica robusta debe diseñarse desde el primer día pensando no solamente en:
cómo firmamos hoy
sino también en:
cómo podremos demostrar esa firma dentro de diez años.
Y en ese escenario, la correcta custodia de la clave privada es una pieza esencial de la cadena de evidencias.
Sigue leyendo
Firma cualificada y normativa
Seguro decenal con firma electrónica cualificada: qué exige el BOE en 2026
19 de octubre de 2026
Firma cualificada y normativa
Firma biométrica en banca: validez jurídica, eIDAS y protección de datos
15 de julio de 2026
Firma cualificada y normativa
Firma electrónica y cumplimiento en la FDA (Administración de Alimentos y Medicamentos de EE. UU)
3 de julio de 2026
¿Estás digitalizando tu proceso de firma?
Hablamos contigo y te enseñamos qué encaja en tu caso.