Lei da assinatura eletrônica: MP 2.200-2, Lei 14.063 e LGPD na prática

Conformidade de assinatura eletrônica não é um certificado que se compra. Significa duas coisas: a assinatura cumpre as regras da lei que rege o documento, e você consegue provar isso depois a um juiz, a um auditor ou a um órgão regulador. Se faltar uma das metades, até um contrato bem assinado pode ser desmontado.

No Brasil, a lei da assinatura eletrônica se espalha por três textos. A Medida Provisória 2.200-2/2001 criou a ICP-Brasil e admite qualquer outro meio de comprovação de autoria e integridade que as partes aceitem (art. 10, § 2º). A Lei 14.063/2020 separa assinatura simples, avançada e qualificada e trata, em primeiro lugar, da relação com entes públicos. E o Código Civil diz que a validade da declaração de vontade não depende de forma especial, salvo quando a lei exigir (art. 107). Para os dados que o processo de assinatura coleta, vale a LGPD.

A maioria dos contratos se resolve com uma assinatura eletrônica comum. Os problemas aparecem nas exceções (escritura pública, por exemplo), nas contrapartes de outros países e nos registros regulados, em que um órgão acrescenta regras próprias.

Se você só precisa que alguém assine hoje, assinar um documento online leva minutos. O resto do texto serve para o dia em que um auditor ou o advogado da outra parte começar a fazer perguntas mais difíceis.

Se a outra parte está nos Estados Unidos, a lei federal resolveu a questão em 2000. O ESIGN Act diz que não se pode negar efeito jurídico a uma assinatura, a um contrato ou a um registro só porque é eletrônico. A definição é ampla: um som, um símbolo ou um processo ligado a um registro e adotado com a intenção de assinar. Um nome digitado conta. Um clique também, desde que o registro mostre o que foi clicado e por quem.

No nível estadual, a UETA faz o mesmo trabalho em quase todos os estados, e Nova York tem lei própria, a Electronic Signatures and Records Act. A UETA traz uma regra prática de atribuição: a assinatura pertence a uma pessoa se foi ato dela, e isso pode ser provado de qualquer forma, inclusive pelo procedimento de segurança usado.

Na prática, os requisitos americanos se resumem a cinco coisas que você deve conseguir demonstrar:

• Intenção: o signatário quis assinar, não apenas abrir o arquivo.
• Acordo para fechar o negócio por meio eletrônico, que a UETA deduz do contexto e da conduta.
• Atribuição, ou seja, prova de quem agiu (link por e-mail, código de acesso, verificação de identidade).
• Associação: a assinatura está ligada àquela versão exata do registro.
• Conservação, uma cópia que «reflita com exatidão» o registro e continue acessível a quem tem direito, nos termos do § 7001(d).

Documentos que o ESIGN Act não cobre

As exceções estão no § 7003. A lei não alcança os testamentos, os codicilos e trusts testamentários, documentos de adoção e divórcio, boa parte do Uniform Commercial Code, ordens e petições judiciais nem uma lista curta de avisos: cortes de serviços essenciais, execução hipotecária ou despejo da moradia principal, cancelamento de seguro de saúde ou de vida, recall de produtos e papéis que acompanham materiais perigosos. Para esses casos, decide outra norma.

Sendo franco, a barra nos Estados Unidos é baixa para um contrato empresarial comum. As empresas tropeçam no lado do consumidor, onde a papelada anterior à assinatura pesa tanto quanto a assinatura.

Para a conformidade eIDAS, comece pela frase que a maioria dos guias pula. O artigo 25(1) do Regulamento (UE) n.º 910/2014 diz que não se pode negar efeito jurídico nem admissibilidade como prova a uma assinatura eletrônica só porque é eletrônica ou não é qualificada. Uma assinatura simples é válida. Ela só prova menos por si mesma.

O eIDAS define três níveis:

• Simples (SES): qualquer dado eletrônico usado para assinar, do nome digitado ao clique com rastro por e-mail.
• Avançada (AES): o artigo 26 acrescenta quatro testes. Ela é ligada de forma única ao signatário, permite identificá-lo, é criada com dados que o signatário pode manter, com alto nível de confiança, sob seu controle exclusivo, e é ligada ao documento de modo que qualquer alteração posterior seja detectável.
• Qualificada (QES), uma assinatura avançada criada com um dispositivo qualificado e um certificado qualificado. O artigo 25(2) dá a ela, em toda a UE, o efeito de uma assinatura manuscrita.

No Brasil o eIDAS não vale, e a escada tem outros degraus. A Lei 14.063/2020 (art. 4º) define a assinatura simples (identifica o signatário e anexa dados a outros dados dele), a avançada (usa certificados não emitidos pela ICP-Brasil ou outro meio aceito pelas partes, com três características parecidas com as do eIDAS) e a qualificada (usa certificado ICP-Brasil, nos termos do art. 10, § 1º, da MP 2.200-2). Esse último dispositivo presume verdadeiras, em relação aos signatários, as declarações em documentos produzidos com certificação da ICP-Brasil. O § 2º do mesmo artigo mantém aberta a porta para outros meios de prova, desde que aceitos pelas partes ou por quem receber o documento.

Por isso a pergunta útil não é «qual nível a lei exige», e sim «o que a forma do ato exige». Na maior parte dos contratos privados, nada, e o problema é a prova. Para o contrato com uma parte europeia, vale conferir a Lista de Confiança da UE, e quando um ato exigir de fato esse nível, leia como funciona o nível qualificado. A revisão de 2024, o Regulamento (UE) 2024/1183, manteve os efeitos do artigo 25 e os quatro testes da assinatura avançada. Ela trata sobretudo da carteira de identidade digital, explicada em o que mudou com a revisão de 2024.

Se a outra parte é portuguesa, o quadro é europeu. O Decreto-Lei 12/2021, de 9 de fevereiro, executa o eIDAS em Portugal e revogou o Decreto-Lei 290-D/99. O artigo 3.º diz que o documento eletrônico cumpre o requisito de forma escrita quando o conteúdo pode ser representado como declaração escrita. Só a assinatura eletrônica qualificada equivale à manuscrita e dá ao documento a força probatória de documento particular assinado (art. 376.º do Código Civil). Os demais documentos têm o valor probatório apreciado pelas regras gerais do direito. A entidade supervisora é o Gabinete Nacional de Segurança, e a proteção de dados é regida pelo RGPD.

Todo fluxo de assinatura coleta dados pessoais: nomes, e-mails e endereços IP, dados do aparelho, às vezes um telefone e, com verificação de identidade, a digitalização de um documento e uma selfie. A LGPD (Lei 13.709/2018) vale para tudo isso, qualquer que seja o nível de assinatura. Para a assinatura eletrônica, essa é a metade que os auditores abrem primeiro. A autoridade é a ANPD. Se a outra parte está na UE, o RGPD também pode alcançar o tratamento dos dados dela, e o contrato com o fornecedor precisa cobrir os dois regimes.

Cinco perguntas resolvem quase tudo:

1. 1.
   Quem é o controlador? Sua empresa, pelos contratos que você envia. O fornecedor costuma ser o operador, que deve tratar os dados conforme as instruções do controlador (art. 39), e vale ter isso num contrato escrito.
2. 2.
   Qual é a base legal? Em geral a execução de contrato (art. 7º, V) para os signatários e o cumprimento de obrigação legal ou regulatória (art. 7º, II) para guardar o documento assinado.
3. 3.
   Você coleta mais do que precisa? O princípio da necessidade (art. 6º, III) explica por que a verificação de identidade fica para os negócios que a justificam, e não para cada NDA.
4. 4.
   Por quanto tempo você guarda? A eliminação após o fim do tratamento puxa para um lado, os prazos legais para o outro. O art. 16, I, autoriza conservar para cumprir obrigação legal ou regulatória, e o Código Civil fixa a prescrição em dez anos quando a lei não dá prazo menor (art. 205).
5. 5.
   Para onde vão os dados? A transferência internacional só é permitida nos casos do art. 33, como país com grau de proteção adequado ou garantias oferecidas pelo controlador.

O art. 46 pede medidas de segurança «aptas a proteger» os dados. O texto é aberto de propósito, e é por isso que quem compra pede um certificado ISO 27001 como atalho.

A assinatura apoiada em blockchain levanta uma pergunta incômoda: como atender a um pedido de eliminação num registro que ninguém consegue editar? O Comitê Europeu para a Proteção de Dados (CEPD) responde nas suas diretrizes sobre blockchain, com versão final adotada em 7 de julho de 2026. Em geral, diz o CEPD, dados pessoais não devem ir para a cadeia e nunca no conteúdo das transações. Se algo precisa ir, deve funcionar como prova de existência (um ponteiro, um compromisso ou um hash com chave), com os dados necessários para conferir mantidos fora da cadeia.

Dois detalhes pesam mais que a manchete. O CEPD trata o hash de um dado pessoal como dado pessoal, e diz que um hash sem sal e sem chave em geral não protege o bastante numa cadeia pública. «Só guardamos hashes» não é, sozinho, uma resposta de proteção de dados. Pergunte ao fornecedor exatamente o que ele grava na cadeia e se uma pessoa poderia ser ligada ao registro, e leve a resposta para o seu relatório de impacto. As diretrizes são europeias, mas servem de régua para a LGPD, que também dá ao titular direitos de eliminação (art. 18).

Ainda assim, uma impressão digital num registro público é uma entrada que nem você nem o fornecedor conseguem reescrever em silêncio. Documentar essa troca faz parte da conformidade da assinatura eletrônica.

Se você fabrica medicamentos, dispositivos médicos ou biológicos, ou conduz ensaios clínicos sob a supervisão da FDA, há uma camada que o direito comum da assinatura eletrônica não conhece. A Part 11 cobre os registros e as assinaturas eletrônicas que as regras da FDA obrigam você a guardar ou apresentar. É a forma mais rígida de conformidade de assinatura eletrônica que a maioria das empresas vai encontrar.

Os requisitos da 21 CFR Part 11 em que as equipes mais tropeçam:

• Manifestação da assinatura (§ 11.50). O registro assinado mostra o nome impresso do signatário, a data e a hora e o significado: revisão, aprovação, responsabilidade ou autoria.
• Vínculo (§ 11.70). As assinaturas ficam ligadas aos seus registros de modo que não possam ser removidas, copiadas ou transferidas para falsificar outro registro por meios comuns.
• Cada assinatura é única de uma pessoa, nunca é reatribuída e só é emitida depois que a organização verifica a identidade dela (§ 11.100).
• Uma carta única à FDA, com assinatura manuscrita, certificando que as assinaturas eletrônicas da sua equipe são vinculantes. É uma carta, não uma configuração, e por isso se esquece.
• Dois componentes de identificação distintos, como código de usuário e senha, para assinaturas não biométricas (§ 11.200).
• Trilhas de auditoria seguras, geradas por computador e com carimbo de data e hora, que nunca ocultem entradas anteriores (§ 11.10(e)), além de validação, limites de acesso e políticas escritas de responsabilidade.

Releia a lista e note quanto dela descreve o seu sistema e os seus procedimentos. Na UE, o Anexo 11 das Boas Práticas de Fabricação, sobre sistemas computadorizados, faz perguntas parecidas sobre validação, trilhas de auditoria e assinaturas eletrônicas. Para a parte de registros, veja o que uma trilha de auditoria de assinatura registra.

O NIST aparece tanto em questionários de segurança que muita gente o toma por obrigatório. Para a maioria das empresas privadas, não é. A SP 800-63-4, finalizada em julho de 2025, vale para sistemas federais dos EUA, e os demais podem tomá-la como referência. Seu valor está no vocabulário: níveis de garantia de identidade (IAL), de autenticação (AAL) e de federação (FAL). Um cliente que pede «AAL2» está falando de autenticação multifator. O outro texto do NIST que você vai ver, a FIPS 186-5, de fevereiro de 2023, é o Digital Signature Standard da criptografia em si.

Passe por ele antes de um tipo de contrato entrar em uso, não depois de uma disputa. Cada linha é um requisito de uma das leis acima, o que costuma cumpri-lo e a prova que você entregaria a um auditor. Pule as linhas que não se aplicam. Se não conseguir preencher a última coluna, essa é a sua lacuna. Para os prazos de guarda, veja a tabela de temporalidade da empresa.

Nenhuma ferramenta de conformidade de assinatura eletrônica deixa você em conformidade. Ela dá controles e provas. Quem decide quais documentos passam por ela, em que nível, com que consentimento e por quanto tempo você guarda é você. Escreva essa divisão antes de assinar contrato com um fornecedor, porque é nela que as auditorias encontram as falhas.

Os fornecedores se diferenciam mais em certificações e extras para setores regulados, e a DocuSign está à frente da maioria. A central de confiança dela lista ISO 27001:2022, relatórios SOC 1 e SOC 2 Type 2, e a adesão à 21 CFR Part 11 e ao Anexo 11 da UE. A subsidiária Docusign France SAS consta como prestador qualificado de serviços de confiança na lista de confiança da ANSSI, da França (ambos lidos em 14 de outubro de 2026). Se o setor de compras perguntar se a DocuSign cobre o eIDAS ou a Part 11, essas páginas respondem. A coluna da direita abaixo continua sendo sua, seja qual for o fornecedor.

Veja o que o Chaindoc oferece e onde ele termina.

As assinaturas padrão do Chaindoc são assinaturas eletrônicas avançadas PAdES-BES no sentido do eIDAS, e o ESIGN Act e a UETA as aceitam como qualquer assinatura eletrônica que passe nos testes acima. Para uma assinatura qualificada, o signatário traz um certificado de um prestador qualificado de serviços de confiança (uma identidade eletrônica nacional ou um provedor compatível com CSC) e o Chaindoc conduz a sessão de assinatura; nós mesmos não somos prestador de serviços de confiança. O Chaindoc também não emite certificados ICP-Brasil. O PAdES-BES não leva carimbo do tempo, então a validação de longo prazo não vem embutida. Guarde a trilha de auditoria e o relatório de verificação junto com o arquivo.

Cada documento concluído vem com uma trilha de auditoria em PDF e um relatório de verificação. O servidor calcula a impressão digital de um arquivo no upload, a impressão digital de cada versão publicada é gravada numa blockchain pública, e a prova de cada signatário é registrada quando ele termina. Nomes e e-mails não vão para a cadeia. Os arquivos trafegam por TLS e as chaves privadas de assinatura são cifradas com AES-256, mas os documentos não têm criptografia de ponta a ponta: o servidor os lê para analisar, converter e assinar.

Nosso aviso de privacidade apresenta o Chaindoc como seu operador para documentos enviados, assinaturas e trilhas de auditoria, com dados tratados na UE, nos EUA ou onde operarem os suboperadores. O Chaindoc tem certificados ISO 27001 e ISO 9001. Você acrescenta verificações de identidade negócio a negócio pelas verificações de identidade opcionais, e uma ordem de assinatura fixa passa pelas rotas de aprovação do plano Business. Compare os planos antes de decidir.

Isso cobre a metade de provas da lei da assinatura eletrônica. A coluna da direita lá em cima continua sendo sua.