No. El certificado digital es personal e intransferible, y entregar el fichero y la contraseña a otra persona, aunque sea tu gestoría de toda la vida, no encaja con la normativa de servicios de confianza. Hay algo peor que la legalidad: todo lo que se firme con él se te atribuye a ti, y ninguna norma te protege de eso.
Es una de esas cosas que medio España hace sin pensar. Le pasas el certificado a quien te lleva los papeles, él te resuelve los trámites y todos contentos. Hasta que alguien pregunta si eso se puede hacer, busca en internet y encuentra respuestas que se contradicen entre sí: unas dicen que es ilegal y te multan, otras que es legal si lo autorizas por escrito.
Ninguna de las dos es exacta. Vamos con lo que dicen de verdad las normas, con la letra en la mano, y sobre todo con las alternativas, porque existen, son gratuitas y llevan años funcionando.
¿Qué dice exactamente la ley sobre ceder el certificado digital?
Que las claves las guardas tú y nadie más. El reglamento europeo exige que los datos de creación de firma puedan protegerse frente al uso por otros, y la ley española deja sin cobertura al titular que sea negligente conservándolos. Lo que no vas a encontrar es un artículo que diga, con esas palabras, "prohibido prestar el certificado".
El punto de partida es el Reglamento (UE) 910/2014, el que se conoce como eIDAS. Su anexo II, en el apartado 1.d), exige que los datos de creación de firma electrónica "puedan ser protegidos por el firmante legítimo de forma fiable frente a su utilización por otros" (texto en español del reglamento, consultado el 30 de agosto de 2026). Firmante legítimo: uno. No un despacho.
La norma española que lo desarrolla es la Ley 6/2020, de 11 de noviembre, de servicios electrónicos de confianza. Su artículo 11.1 enumera los casos en los que el prestador deja de responder por los daños, y la letra c) es literalmente esta: "Negligencia en la conservación de sus datos de creación de firma, sello o autenticación de sitio web, en el aseguramiento de su confidencialidad y en la protección de todo acceso o revelación de estos" (texto consolidado del BOE, consultado el 30 de agosto de 2026). La letra d) añade el no pedir la suspensión o revocación cuando dudas de que esas claves sigan siendo secretas.
Un apunte para cuando busques esto por tu cuenta: verás citado en muchos sitios "el artículo 25 de la Ley 6/2020". Esa ley tiene veinte artículos. El que habla de este asunto es el 11.
Y luego está lo más claro de todo, que no es una ley sino dos avisos de quien manda en esto. El entonces Ministerio de Economía y Empresa, como órgano supervisor, mandó en mayo de 2019 una nota informativa al Consejo General de la Abogacía en la que concluía que "la posibilidad de que el titular/firmante de un certificado electrónico expedido a su nombre transfiera su posesión y revele sus claves de acceso a un tercero, no es conforme con la legislación vigente". Y la propia FNMT, en su página de recomendaciones sobre la custodia de los certificados (consultada el 30 de agosto de 2026), lo resume así: "Los certificados emitidos por la FNMT-RCM son personales e intransferibles y cualquier operación realizada con ellos es responsabilidad del titular y/o firmante".
¿Me pueden multar por prestarle el certificado a mi gestor?
A ti, no. El régimen sancionador de la Ley 6/2020 está dirigido a los prestadores de servicios de confianza, es decir a las entidades que emiten certificados, no a los ciudadanos que los usan. Lo que te pasa si lo prestas es distinto, y en el día a día es bastante peor que una multa.
Te quedas sin defensa. El artículo 11 que acabamos de citar sirve precisamente para eso: si has sido negligente guardando tus claves, el prestador no responde de los daños. Traducido a lo que importa: todo lo que se haya firmado con tu certificado se presume hecho por ti, y discutirlo después es tu problema y a tu costa. Una firma con certificado no es un "creo que fui yo", es tu identidad.
Hay una segunda consecuencia que la gente no espera. El artículo 5.1.b) de esa misma ley obliga al prestador a revocar el certificado cuando hay "violación o puesta en peligro del secreto de los datos de creación de firma o de sello [...] o utilización indebida de dichos datos por un tercero". Es decir, que el propio hecho de que las claves anden por ahí es motivo para dejarte el certificado sin efecto, normalmente en el peor momento.
Así que la respuesta honesta a "¿es ilegal?" es esta: no vas a recibir una carta con una sanción por prestarlo, pero estás haciendo algo que el supervisor ha dicho por escrito que no es conforme a derecho, y estás asumiendo tú solo todo lo que salga mal. Que no haya multa no significa que no haya consecuencias.
¿Cómo hace entonces mi gestoría los trámites sin mi certificado?
Con el suyo. La ley lleva años previendo que un profesional actúe en tu nombre usando su propio certificado, y hay cuatro vías según ante quién sea el trámite. Todas son gratuitas, todas dejan rastro de quién hizo qué y todas se pueden revocar en cinco minutos. Ninguna te obliga a soltar tus claves.
La base general está en la Ley 39/2015. Su artículo 5.4 dice que la representación se entiende acreditada "mediante apoderamiento apud acta efectuado por comparecencia personal o comparecencia electrónica en la correspondiente sede electrónica, o a través de la acreditación de su inscripción en el registro electrónico de apoderamientos de la Administración Pública competente". Y el artículo 6.4 permite tres alcances distintos: poder general para cualquier Administración, poder para una Administración concreta, o poder solo para determinados trámites especificados. Los poderes inscritos duran como máximo cinco años y los puedes revocar cuando quieras (artículo 6.6).
| Vía | Para qué sirve | Dónde se hace |
|---|---|---|
| Registro Electrónico de Apoderamientos | Actuar ante la Administración General del Estado, con poder general, por organismo o por trámites concretos | Sede electrónica, con tu certificado o presencialmente en una oficina de asistencia en materia de registros |
| Registro de apoderamientos de la AEAT | Trámites tributarios por internet, con el catálogo de trámites que tú marques | Sede de la Agencia Tributaria, que dispone de su propio registro de poderes |
| Colaboración social | Que tu asesor presente declaraciones y autoliquidaciones en tu nombre | Su colegio o asociación profesional, con acuerdo firmado con la AEAT |
| Autorización RED | Altas, bajas, partes y cotización ante la Tesorería General de la Seguridad Social | Dirección provincial de la Tesorería, que resuelve la autorización |
La colaboración social está en el artículo 92 de la Ley General Tributaria, que en su apartado 3.e) la extiende a la "presentación y remisión a la Administración tributaria de autoliquidaciones, declaraciones, comunicaciones o cualquier otro documento con trascendencia tributaria, previa autorización de los obligados tributarios". Esa autorización previa es tuya, y no consiste en darle tu certificado a nadie.
En Seguridad Social funciona igual. La Orden ESS/484/2013, que regula el Sistema RED, exige en su artículo 6.b) que, cuando la autorización sea para actuar en nombre de terceros, se acredite "la representación otorgada por los sujetos responsables en cuyo nombre se actúe". Y su artículo 7 es tajante con quién responde: "La responsabilidad de las actuaciones realizadas recae en todo caso sobre el autorizado, con independencia de quien las efectúe". Fíjate en el matiz: con el apoderamiento, el que se equivoca responde. Con el certificado prestado, respondes tú.
¿Y si quien usa el certificado no es una persona, sino un programa?
Depende de dónde esté el certificado y de quién controle las claves, no de si al otro lado hay un humano o software. Si el programa se ejecuta en tu propio equipo, con tu certificado instalado en tu equipo y con alguien de tu empresa delante, no ha habido transferencia de posesión ni revelación de claves. Si para funcionar te pide exportar el fichero y subirlo a algún sitio, eso es una cesión con otro nombre.
Esta es la pregunta que más nos hacen y la que peor se contesta por ahí, porque casi todo lo que se lee sobre certificados está escrito pensando en personas. Pero la norma no habla de personas, habla de datos de creación de firma: quién los tiene, quién los puede usar y quién es responsable de que sigan siendo secretos. Ese es el examen que hay que pasar.
Y el examen tiene tres preguntas muy sencillas, que puedes hacerle a cualquiera que te ofrezca automatizar trámites:
- ¿Dónde vive el certificado mientras el programa trabaja? Si la respuesta es "en un servidor nuestro", ya sabes lo que estás firmando.
- ¿Hay alguien de mi empresa que lanza y supervisa cada ejecución? Un proceso desatendido que firma solo, con tu identidad, sin que nadie mire, es otra cosa muy distinta.
- ¿Queda registro de qué se hizo, cuándo y con qué expediente? Sin trazabilidad no hay forma de defenderte si algún día alguien pregunta.
Ese es exactamente el diseño con el que trabajamos nosotros en la automatización de trámites en sede electrónica: el robot entra en la AEAT, en la Seguridad Social, en la DEHú o en el Catastro con el certificado del cliente, y el certificado no sale del equipo del cliente. En modo supervisado, con una persona que arranca el proceso y ve lo que hace. No porque quede bonito en un folleto, sino porque es la única forma de que la respuesta a las tres preguntas de arriba sea la correcta.
Si el trámite lo repites cien veces y siempre igual, el problema no es el certificado Automatizamos la entrada en la sede electrónica y el trámite entero, con tu certificado en tu equipo y una persona supervisando. Lo que se automatiza y lo que no se decide en la primera llamada. Ver cómo automatizamos trámites →Tengo una asesoría y guardo los certificados de mis clientes: ¿qué me juego?
Bastante más de lo que parece, y no es un problema legal abstracto: es un problema de custodia. Cada certificado que tienes instalado es la identidad completa de un cliente. Si mañana alguien entra en tu red, no se lleva unos ficheros: se lleva la capacidad de actuar como veinte empresas a la vez ante Hacienda, la Seguridad Social y cualquier registro.
Y hay otro detalle que suele pasarse por alto. Es tu cliente quien queda expuesto, pero el que tiene que explicar qué pasó eres tú. Lo que te protege de esa conversación no es una cláusula en el contrato de servicios: es no haber tenido nunca sus claves. El apoderamiento cambia justo eso, porque cada actuación queda firmada con tu propio certificado y con tu nombre detrás.
La objeción de siempre es que migrar a apoderamientos da trabajo, y es verdad que la primera vez lo da. También es verdad que ese trabajo se hace una vez y el otro no se acaba nunca: según el análisis que la Federación Nacional de Asociaciones de Trabajadores Autónomos (ATA) difundió el 25 de agosto de 2026, cada autónomo en España dedica 226 horas al año a trámites administrativos, fiscales, laborales y de Seguridad Social, casi cuatro horas por semana. Ese es el volumen real que estás moviendo por cliente.
El punto en el que esto deja de ser una cuestión de papeles y pasa a ser una cuestión de gestión es cuando no sabes de memoria qué apoderamientos tienes de cada cliente, con qué alcance y cuándo caducan. Con quince clientes se lleva en una hoja. Con ciento cincuenta, esa hoja es el siguiente problema.
Si no sabes decir de memoria qué apoderamientos tienes vivos de cada cliente Montamos el sistema sobre tu forma de trabajar: expedientes, vencimientos, avisos y quién hizo cada trámite, en un sitio y con permisos de verdad. No te cambiamos las herramientas que ya funcionan. Ver cómo montamos un sistema de gestión →Ya se lo he dado. ¿Qué hago ahora?
No hace falta que rompas nada hoy ni que dejes a tu gestoría sin poder trabajar. Se hace en orden, y el orden importa: primero montas la vía legal, después retiras el certificado, y solo al final decides si merece la pena renovarlo. Al revés te quedas unos días sin poder presentar nada.
- Da de alta el apoderamiento que corresponda: en la sede de la AEAT para lo tributario, la autorización RED para lo laboral, y el registro electrónico de apoderamientos para el resto. Marca solo los trámites que de verdad hagan falta.
- Comprueba que funciona con un trámite real y pequeño antes de tocar nada más. Que tu asesor entre con su certificado y presente algo de poco riesgo.
- Pide que borren tu certificado de sus equipos, por escrito y con una confirmación por escrito. Un correo vale.
- Revoca y vuelve a emitir el certificado si ha estado en manos de terceros durante tiempo o si no puedes confirmar que se ha borrado de todos los sitios. Es gratis en el caso del certificado de persona física de la FNMT y es la única forma de estar seguro.
- Revisa quién tiene qué una vez al año, y aprovecha para quitar los apoderamientos de asesores con los que ya no trabajas. Los poderes inscritos duran hasta cinco años y se quedan ahí solos.
En resumen
- No es conforme a derecho transferir la posesión del certificado y revelar las claves a un tercero. Lo dijo por escrito el órgano supervisor en mayo de 2019 y lo repite la FNMT en sus recomendaciones de custodia.
- No hay multa para ti, porque el régimen sancionador de la Ley 6/2020 apunta a los prestadores. Lo que hay es que respondes tú de todo lo firmado, y que el prestador queda exonerado si fuiste negligente con las claves (artículo 11.1.c).
- La alternativa existe y es gratis: apoderamiento en el registro electrónico, registro de apoderamientos de la AEAT, colaboración social del artículo 92 de la Ley General Tributaria o autorización RED, según el trámite.
- Con un programa la pregunta cambia: no es si lo usa una máquina, es dónde está el certificado, quién supervisa y qué rastro queda.
- Lo que toca hacer esta semana no es revocar nada a lo loco: es dar de alta el apoderamiento, probarlo con un trámite pequeño y solo después retirar el certificado de donde no debería estar.
La forma corta de recordarlo: tu certificado digital es tu firma, no una llave de la oficina. Las llaves se prestan y se recuperan. Una firma, no.