Assinatura Digital vs Assinatura Eletrônica: O Que Realmente Muda

Eis a versão curta, porque a maioria dos artigos a esconde sob três parágrafos de rodeios: uma assinatura eletrônica é um conceito legal, e uma assinatura digital é uma tecnologia criptográfica. Uma assinatura digital é uma forma de criar uma assinatura eletrônica forte, não uma categoria separada ao seu lado.

Toda assinatura digital é uma assinatura eletrônica. Nem toda assinatura eletrônica é uma assinatura digital. É essa a relação inteira. Se você não guardar mais nada desta página, guarde essa única linha.

Por que essa confusão acontece? Ambos os termos descrevem "assinar algo sem caneta", e a linguagem cotidiana não separa naturalmente "o ato de assinar" de "a engrenagem que torna a assinatura comprovável". Advogados se preocupam com o primeiro. Criptógrafos se preocupam com o segundo. A maioria das pessoas que assina um contrato de aluguel ou um NDA nunca pensa em nenhum dos dois, até que um contrato seja contestado.

Este guia desembaraça os dois termos: o que cada um significa, legal e tecnicamente, como a lei dos EUA e da UE os trata de forma diferente, e de qual você realmente precisa para um determinado documento. Quer a regra prática direto ao ponto primeiro? Veja o nosso guia sobre assinatura eletrônica segura de documentos, ou vá direto para verificar um documento assinado se foi isso que te trouxe até aqui.

Uma assinatura eletrônica é qualquer som, símbolo ou processo eletrônico anexado a um registro, ou logicamente associado a ele, feito com a intenção de assiná-lo. Essa é a definição legal, quase palavra por palavra, extraída do ESIGN Act dos EUA e da Uniform Electronic Transactions Act (UETA), adotada por 98% dos estados americanos (49 de 50), de acordo com a Uniform Law Commission (Nova York conta com o seu próprio estatuto estadual de assinatura eletrônica). A versão da UE, sob o eIDAS, chama esse patamar básico de Assinatura Eletrônica Simples (SES), e a define de forma quase idêntica: dados eletrônicos anexados a outros dados eletrônicos, usados pelo signatário para assinar.

Repare no que está ausente dessa definição: qualquer menção a criptografia, certificados ou chaves criptográficas. A lei não se importa com o mecanismo. Ela se importa com a intenção. É por isso que tudo isto conta, legalmente, como assinatura eletrônica:

• Digitar o seu nome no final de um e-mail e clicar em enviar
• Desenhar um rabisco com o dedo na tela sensível ao toque de um aplicativo de assinatura
• Clicar em uma caixa de seleção "Eu concordo" em uma página de termos de serviço
• Colar uma imagem escaneada da sua assinatura manuscrita em um PDF

Algumas dessas formas se sustentam melhor em uma disputa do que outras. É aí que está a pegadinha. Um nome digitado sem trilha de auditoria é, tecnicamente, uma assinatura eletrônica válida, mas se alguém negar tê-la assinado, você tem pouco a apontar além de "bem, está escrito o nome dela". Uma plataforma de assinatura que registra endereço IP, carimbo de data e hora, impressão digital do dispositivo e verificação por e-mail entrega uma assinatura eletrônica muito mais forte, ainda que continue não sendo uma assinatura digital no sentido criptográfico.

É essa lacuna que o fluxo de assinatura do Chaindoc fecha: toda assinatura carrega uma trilha de auditoria com carimbo de data e hora e um hash ancorado em blockchain, garantindo a você certeza de identidade e evidência de adulteração sem a compra de um certificado separado para a maioria dos documentos comerciais.

Uma assinatura digital é um mecanismo criptográfico específico, construído sobre a infraestrutura de chave pública (PKI), que vincula matematicamente uma assinatura tanto à identidade de quem assina quanto ao conteúdo exato de um documento no momento da assinatura. Eis a versão em linguagem simples de como isso funciona, sem matemática necessária:

1. 1
   Você tem um par de chaves. Uma chave privada (que só você possui, idealmente em um dispositivo seguro) e uma chave pública (compartilhada abertamente, geralmente embrulhada em um certificado emitido por uma autoridade certificadora).
2. 2
   Assinar gera o hash do documento. O software de assinatura processa o documento por uma função de hash, produzindo uma impressão digital curta, de tamanho fixo, exclusiva daquele arquivo específico. Mude um único caractere, e o hash muda completamente.
3. 3
   A sua chave privada criptografa esse hash. Esse hash criptografado *é* a assinatura digital. Ele fica anexado ao documento.
4. 4
   Qualquer pessoa pode verificá-la. Ela descriptografa o hash usando a sua chave pública e o compara com um novo hash do documento tal como recebido. A correspondência significa duas coisas ao mesmo tempo: a assinatura realmente veio de você, e nada mudou desde que você assinou.

É isso. Sem senha, sem "confie em mim", apenas matemática que qualquer pessoa pode verificar de forma independente. Em 2023, o NIST publicou o relatório FIPS 186-5, o padrão técnico relevante e o Digital Signature Standard, que especifica comprimentos de chave RSA a partir de 2048 bits, aproximadamente 2x o mínimo de 1024 bits agora obsoleto, e variantes de curva elíptica como algoritmos aprovados, junto com o formato de certificado X.509, que empacota chaves públicas com identidade verificada.

Uma assinatura digital comprova duas coisas que uma assinatura eletrônica simples não consegue garantir sozinha: forte atribuição de identidade, respaldada por um certificado examinado em vez de "alguém digitou um nome", e evidência de adulteração embutida, já que o hash se quebra no instante em que o documento é alterado. Esse é um patamar significativamente mais alto, e é por isso que os setores regulamentados dependem dela.

Eis todas as distinções das seções acima reunidas em um só lugar, porque essa é a parte que as pessoas realmente salvam e enviam a um colega no meio de uma negociação. Seis linhas, uma resposta clara em cada uma: o que é, como a identidade é comprovada, o que acontece se alguém adulterar o arquivo, e onde cada tipo se posiciona legalmente nos EUA e na UE.

Uma ressalva rápida sobre essa tabela: "evidência mais forte em tribunal" para assinaturas digitais não é uma garantia, é uma tendência. Uma assinatura eletrônica bem documentada, com uma trilha de auditoria sólida, ainda pode se sustentar perfeitamente bem em juízo. E "uso típico" é um padrão, não uma regra. Muitos NDAs são assinados digitalmente, e muitos contratos de fornecedores de seis dígitos rodam com simples assinaturas eletrônicas sem que ninguém pisque.

Para o detalhamento legal mais aprofundado sobre o sistema em níveis da UE, veja o nosso guia sobre assinaturas eletrônicas qualificadas, que prepara bem o terreno para a próxima seção.

É aqui que os dois sistemas jurídicos genuinamente divergem, e isso confunde as pessoas o tempo todo. Nos EUA, não existe sistema legal em níveis para assinaturas. O ESIGN e a UETA validam qualquer assinatura eletrônica respaldada por intenção clara de assinar, ponto final.

Não há um conceito jurídico americano que separe "eletrônica" de "digital" como faz a lei da UE. Um PDF assinado criptograficamente e um nome digitado em um e-mail contam igualmente como assinaturas eletrônicas válidas sob a lei federal, embora um juiz pese a evidência por trás de cada uma de forma diferente se a autenticidade for contestada.

Na UE, o eIDAS construiu o mapeamento de tecnologia para nível legal que os EUA deixaram de lado. A SES (Assinatura Eletrônica Simples) é o patamar básico: qualquer método de assinatura eletrônica conta, legalmente válido, mas com o menor patamar probatório. A AdES (Assinatura Eletrônica Avançada) precisa estar vinculada de forma exclusiva ao signatário, ser criada com dados sob seu controle exclusivo, e ser capaz de detectar adulteração; a maioria das implementações de AdES são, na prática, assinaturas digitais. A QES (Assinatura Eletrônica Qualificada) é uma AdES criada em um dispositivo qualificado, respaldada por um certificado qualificado de um prestador de confiança credenciado. Sob o Artigo 25(2), uma QES carrega "efeito jurídico equivalente ao de uma assinatura manuscrita". Não semelhante. Equivalente.

Assim, na UE, "assinatura digital" e "AdES/QES" se sobrepõem fortemente na prática, ainda que o próprio eIDAS nunca defina "assinatura digital" como termo legal. Ele define SES, AdES e QES. A tecnologia PKI por trás da AdES e da QES é o que as pessoas chamam coloquialmente de "assinatura digital" em conversas de conformidade na UE. Essa estrutura de três níveis também não mudou sob o eIDAS 2.0; o regulamento mais recente acrescenta uma camada de carteira de identidade digital por cima, mas não redefine o que conta como SES, AdES ou QES.

Combine o tipo de assinatura com a situação, não o contrário. É esse o quadro de decisão inteiro, na verdade: não recorra a uma assinatura digital baseada em certificado por hábito quando uma assinatura eletrônica bem documentada já cobre o risco, e não corte caminho em um contrato onde a prova extra realmente importa. Eis um detalhamento prático por cenário:

• Aprovações internas, reconhecimentos de baixo risco. Uma assinatura eletrônica básica (caixa de seleção, nome digitado) já basta. Não superdimensione isso.
• A maioria dos contratos B2B: NDAs, acordos com fornecedores, contratos de venda. Uma assinatura eletrônica forte, com uma trilha de auditoria sólida, cobre você nos EUA e satisfaz as exigências no nível AdES na UE. É aqui que a maioria das empresas deveria adotar como padrão, e é o que o Chaindoc entrega de fábrica.
• Apresentações regulatórias, contratos de forma notarial, certos acordos de crédito ao consumidor na UE. Você provavelmente precisa de uma assinatura digital completa no patamar QES: um certificado qualificado de um prestador credenciado. Verifique o estatuto específico; não existe uma única lista, válida em toda a UE, de "contratos que exigem QES".
• Contratos de alto valor ou longa validade, como contratos de aluguel, cessões de PI ou documentos de fusões e aquisições. Mesmo sem uma exigência legal, a evidência extra de adulteração vale o atrito se uma disputa puder surgir anos depois.
• Negócios transfronteiriços onde o local de execução é incerto. Combine o formato com o lugar onde a execução é mais provável de ocorrer, não com o padrão mais rigoroso em todos os lugares.

Sinceramente, o maior erro que vemos é empresas presumindo que "assinatura digital" é sempre a escolha mais segura, recorrendo à assinatura baseada em certificado mesmo quando uma assinatura eletrônica bem documentada resolveria com menos atrito. Mais segurança não é de graça. Custa tempo de configuração, às vezes uma taxa por assinatura, e ocasionalmente uma contraparte irritada se perguntando por que um simples NDA precisa de um certificado.

A ancoragem em blockchain não é uma terceira categoria de assinatura competindo com a eletrônica e a digital. Pense nela como uma camada de integridade independente que se apoia em cima de qualquer uma das duas. Eis a diferença prática em relação à PKI padrão: a evidência de adulteração de uma assinatura digital comum depende de alguém reverificar o hash criptográfico usando a chave pública original e a cadeia de certificados.

Essa verificação é possível, mas geralmente acontece dentro da plataforma que emitiu a assinatura, então você está confiando que os registros dessa plataforma permanecerão inalterados anos depois.

A ancoragem em blockchain registra o hash do documento em um livro-razão público e distribuído no momento da assinatura. Qualquer pessoa, incluindo uma parte sem conta na plataforma de assinatura, pode confirmar de forma independente mais tarde que o hash corresponde e foi registrado naquele carimbo de data e hora, sem confiar no banco de dados interno da plataforma. Essa é uma garantia genuinamente diferente: não "confie em nós, nós verificamos", mas "verifique você mesmo, aqui está o registro público".

Isso complementa a PKI e as trilhas de auditoria; não as substitui. Um documento pode carregar uma assinatura eletrônica forte, uma assinatura digital completa baseada em PKI, e uma âncora em blockchain, cada uma cobrindo uma pergunta diferente: intenção, identidade criptográfica e verificabilidade pública independente. O Chaindoc ancora o hash de todo documento assinado dessa forma, como parte do fluxo padrão de assinatura.

A verificação é diferente dependendo do tipo de assinatura, mas a pergunta subjacente é sempre a mesma: este documento corresponde ao que foi de fato assinado, e por quem? Para uma assinatura eletrônica simples, verificar geralmente significa revisar a trilha de auditoria da plataforma: e-mail de quem assinou, endereço IP, carimbo de data e hora, e a confirmação de que a sessão de assinatura correspondeu à parte pretendida.

Não há matemática independente para checar aqui; você está confiando nos registros da plataforma.

Para uma assinatura digital, verificar significa checar o hash criptográfico em relação ao documento, confirmar que o certificado era válido (nem expirado, nem revogado) no momento da assinatura, e rastrear o certificado até uma autoridade certificadora legítima. A maioria dos leitores de PDF, incluindo o Adobe Acrobat, consegue fazer isso automaticamente se a assinatura foi aplicada por meio de uma ferramenta em conformidade.

Para um documento ancorado em blockchain, você pode verificar de forma independente da plataforma que o gerou. É exatamente isso que a ferramenta gratuita de verificação de PDF do Chaindoc faz: envie um documento assinado, e ela checa a integridade e a trilha de auditoria em relação ao registro na blockchain em segundos, sem exigir conta. Edite um único caractere que seja após a assinatura, e o hash não vai corresponder, você saberá imediatamente.

Uma limitação honesta que vale a pena mencionar: as ferramentas de verificação confirmam que um documento não foi alterado e que a cadeia criptográfica de uma assinatura é válida. Elas geralmente não conseguem confirmar que a pessoa que detinha as credenciais de assinatura era mesmo quem alegava ser no momento da assinatura. Essa é uma pergunta que a verificação de identidade durante a assinatura deve responder, não algo que uma ferramenta possa corrigir retroativamente.