Assinatura digital e assinatura eletrônica: qual é a diferença?

A diferença entre assinatura digital e eletrônica é de natureza. Assinatura eletrônica é a categoria jurídica: qualquer dado eletrônico que a pessoa usa para assinar um documento, como define o art. 3º da Lei 14.063/2020. Um nome digitado, um rabisco na tela ou um "Li e concordo" entram. Assinatura digital é uma técnica: criptografia de chave pública com um certificado, que liga a assinatura aos bytes exatos de um único arquivo. Toda assinatura digital é eletrônica; a maioria das assinaturas eletrônicas não é digital.

No Brasil, o uso do dia a dia acrescenta uma camada. "Assinatura digital" costuma significar a assinatura feita com certificado ICP-Brasil, que a Lei 14.063 chama de qualificada, e "assinatura eletrônica" funciona como guarda-chuva para qualquer meio. O resto do guia mostra quando isso pesa, que documento pede qual nível e como saber o que um PDF contém.

Só precisa enviar um documento para assinatura? Respire: para a maioria dos contratos comuns, uma assinatura eletrônica com boa trilha de auditoria resolve.

Pela Lei 14.063, assinatura eletrônica são os dados em formato eletrônico que se ligam ou estão logicamente associados a outros dados eletrônicos e que o signatário usa para assinar (art. 3º, II). A redação é quase a do art. 3(10) do eIDAS, e o ESIGN Act americano diz o mesmo com outras palavras (§ 7006(5)). Em nenhum desses textos há definição de "assinatura digital". O mercado chama esse nível básico de "assinatura eletrônica simples", e a Lei 14.063 usa o mesmo nome para o primeiro tipo.

Nenhuma definição menciona chave ou certificado. O que vale é a intenção de assinar, então tudo isto entra:

• um nome digitado no fim de um e-mail
• um rabisco feito com o dedo na tela do celular
• a caixa "Li e concordo" marcada antes de clicar em Continuar
• a imagem escaneada da sua assinatura manuscrita colada num PDF. Válida, sim. Prova forte, não.

Para contratos entre particulares, o que sustenta isso é mais antigo que a Lei 14.063: a MP 2.200-2/2001 aceita outros meios de comprovar autoria e integridade, inclusive certificados de fora do ICP-Brasil, desde que as partes os admitam ou que a pessoa contra quem o documento é usado o aceite (art. 10, §2º).

É no último item da lista que a diferença entre assinatura eletrônica e assinatura digital aparece na prática. Um nome digitado prova pouco se o remetente nega depois tê-lo escrito. Um serviço que registra como cada pessoa se identificou, quando abriu o arquivo e de que endereço IP deixa você com muito mais. Esse registro é a trilha de auditoria da assinatura eletrônica, e numa disputa costuma ser o que o juiz lê.

Continua não sendo uma assinatura digital. A prova está nos registros do serviço, não no arquivo.

O que é assinatura digital, na prática? Uma técnica PKI que liga três coisas: um par de chaves, uma pessoa e os bytes exatos de um arquivo. Esta é a sequência, sem fórmulas:

1. 1.
   Você tem um par de chaves. A privada fica com você, num token, num cartão ou no hardware seguro de um prestador; a pública vai dentro de um certificado.
2. 2.
   O programa calcula o hash do documento, uma impressão digital curta daquele arquivo exato. Mude uma vírgula e a impressão muda por inteiro.
3. 3.
   Sua chave privada assina esse hash, e a assinatura e o certificado ficam embutidos no arquivo (num PDF, num campo de assinatura PAdES).
4. 4.
   Um validador recalcula o hash, confere a assinatura com a sua chave pública e segue a cadeia do certificado até uma raiz em que ele confia.

Se tudo bate, duas coisas ficam provadas de uma vez: essa chave assinou, e o arquivo não mudou desde então. Nenhuma das duas depende de o serviço de assinatura ainda existir. Os fornecedores chamam isso de não repúdio, o que promete um pouco demais: o signatário ainda pode alegar que roubaram a chave, e o juiz continua pesando as provas.

A referência americana é o FIPS 186-5 do NIST, o Digital Signature Standard (em inglês), publicado em 3 de fevereiro de 2023. Segundo o NIST, as assinaturas digitais servem para detectar modificações não autorizadas nos dados e para autenticar a identidade do signatário. Mais curto do que isso não dá.

Certificado digital e assinatura digital: qual é qual

O certificado é o documento de identidade; a assinatura, o ato de assinar com ele. Um certificado digital liga o seu nome à sua chave pública e é assinado, por sua vez, por quem o emitiu. Tudo depende desse emissor. Um certificado que você mesmo cria no Acrobat gera uma assinatura matematicamente válida que a maioria dos validadores vai sinalizar assim mesmo, porque ninguém responde pelo nome que está dentro dele.

Quem emite: a autoridade certificadora e o ICP-Brasil

Uma autoridade certificadora confere a sua identidade e emite o certificado. No Brasil, a camada jurídica dessa técnica é o ICP-Brasil: a MP 2.200-2 o instituiu para garantir a autenticidade, a integridade e a validade jurídica de documentos eletrônicos (art. 1º) e fez do ITI a Autoridade Certificadora Raiz (art. 13). Nem toda assinatura digital é ICP-Brasil, porém. Um certificado de fora dele gera uma assinatura tecnicamente idêntica, só que sem a presunção de veracidade do art. 10, §1º. Para uma assinatura qualificada europeia, o emissor tem de ser um prestador qualificado de serviços de confiança, e você consulta cada um na Lista de Confiança da UE: nosso artigo sobre prestadores qualificados de serviços de confiança na Lista de Confiança da UE mostra como.

Sendo franco, é essa etapa que consome tempo: conferência de identidade, um token ou um aplicativo, a renovação quando o certificado vence. Por isso pouca gente assina assim um NDA de rotina.

Brasil: três níveis na Lei 14.063

A Lei 14.063/2020 classifica a assinatura eletrônica em três tipos (art. 4º):

• Simples: identifica quem assina, ou anexa ou associa dados ao documento (inciso I).
• Avançada: usa certificado de fora do ICP-Brasil ou outro meio aceito pelas partes, está associada ao signatário de forma unívoca, é criada com dados sob o controle exclusivo dele, e qualquer alteração posterior é detectável (inciso II).
• Qualificada: usa certificado digital ICP-Brasil, nos termos do art. 10, §1º, da MP 2.200-2 (inciso III).

Os três tipos indicam níveis de confiança sobre a identidade e a vontade de quem assina, e a qualificada é a de nível mais elevado. Onde fica a "assinatura digital" nesse quadro? Tecnicamente, na avançada feita com certificado e na qualificada, porque as duas usam o mecanismo de chave pública. No uso comum, quase sempre quer dizer a qualificada. Na dúvida, pergunte a quem pediu a assinatura qual nível exige.

Cuidado com o alcance da lei. O art. 1º trata de interações com entes públicos, atos de pessoas jurídicas e questões de saúde, e o capítulo sobre entes públicos exclui a interação entre pessoas naturais ou entre pessoas jurídicas de direito privado (art. 2º, parágrafo único). Num contrato comum entre duas empresas, a base continua sendo a MP 2.200-2, art. 10, §2º.

União Europeia: três níveis

O Regulamento (UE) n.º 910/2014 também tem três: assinatura eletrônica (art. 3(10)), avançada (art. 3(11), com os requisitos do art. 26) e qualificada, uma avançada criada por dispositivo qualificado e baseada em certificado qualificado (art. 3(12)). Pelo art. 25(1), nenhuma assinatura eletrônica pode ter efeitos legais ou admissibilidade como prova negados só por ser eletrônica ou por não ser qualificada; pelo art. 25(2), só a qualificada tem efeito equivalente ao da assinatura manuscrita. Nosso guia de assinatura eletrônica qualificada detalha esse nível mais alto.

O texto de 2014 não usa a expressão "assinatura digital", assim como a lei brasileira. O Regulamento (UE) 2024/1183, o eIDAS 2.0, manteve as três definições e o art. 25(1) e (2), e levou o reconhecimento entre países para o novo art. 24-A.

Portugal e Estados Unidos, em uma linha cada

Em Portugal valem o eIDAS e o Decreto-Lei n.º 12/2021, e o Estado oferece a "assinatura digital qualificada" com a Chave Móvel Digital ou o Cartão de Cidadão, que ali é o nome do serviço do governo. Nos Estados Unidos, o ESIGN Act proíbe, no § 7001(a), negar efeito jurídico a uma assinatura só porque é eletrônica, e não tem níveis.

Entre assinatura digital e eletrônica, escolha pelo documento e pela lei que o rege, não por hábito. A tabela cobre os casos mais perguntados. Uma assinatura mais forte raramente atrapalha no plano jurídico, mas custa tempo e, às vezes, a paciência da outra parte.

A Índia é o único lugar em que a diferença entre assinatura digital e eletrônica está escrita na lei como dois instrumentos. Esta seção vale para a Índia, não para o Brasil.

O Information Technology Act, 2000 define a assinatura digital na seção 2(1)(p), por remissão à seção 3: um sistema criptográfico assimétrico e uma função hash. Na prática, é um Digital Signature Certificate (DSC) de uma autoridade certificadora licenciada pelo Controller of Certifying Authorities (CCA), quase sempre num token. A alteração de 2008 acrescentou a seção 2(1)(ta): uma assinatura eletrônica usa uma técnica da Second Schedule e inclui expressamente a assinatura digital.

O Aadhaar eSign segue a segunda via. O CCA descreve o eSign como um serviço de assinatura online chamado por API: o signatário passa por uma verificação e-KYC por biometria ou OTP, é emitido um certificado de curta duração e a chave é destruída logo após um único uso. A seção 5 aceita as duas vias, a menos que um portal exija um DSC.

Um detalhe para quem valida fora da Índia: as duas vias levam à raiz do CCA. Um validador ancorado na Lista de Confiança da UE lê a criptografia como íntegra e a cadeia como não resolvida. É uma lacuna de âncora de confiança, não um arquivo falsificado.

Os dois fornecedores traçam a linha entre assinatura digital e eletrônica de um jeito que ajuda quem lê este guia. A página da DocuSign no Brasil sobre assinatura digital, lida em 14 de outubro de 2026, define a assinatura digital como a modalidade de assinatura eletrônica qualificada que usa certificado digital ICP-Brasil, e a assinatura eletrônica como a categoria mais ampla, que inclui também os tipos simples e avançado. É a divisão da Lei 14.063 com o rótulo "digital" no topo. No vocabulário da DocuSign no Brasil, "assinatura digital" já é, portanto, o nível ICP-Brasil. Quem lê "docusign assinatura digital" como "o envelope comum" está lendo errado.

A Adobe traça uma linha parecida dentro do Acrobat. Suas páginas de ajuda (em inglês) separam as e-signatures, como preencher e assinar ou solicitar assinaturas, das assinaturas digitais, que a Adobe descreve como assinar com uma identidade digital baseada em certificado. Quem busca "adobe assinatura digital" cai no segundo caso. O Acrobat também deixa você criar a sua própria identidade digital. Continua sendo uma assinatura digital, só que uma em que nenhum validador confia até alguém avisar.

Eis onde ficamos nesse mapa, sem rodeios: a Chaindoc não é uma autoridade certificadora nem uma fornecedora de certificados de assinatura digital. É um serviço de assinatura com duas vias.

A via do dia a dia gera assinaturas eletrônicas avançadas PAdES-BES, no sentido do art. 26 do eIDAS: uma assinatura PKI embutida no PDF, de modo que o próprio arquivo mostra se mudou depois de assinado. BES é o perfil PAdES básico, e o nosso não traz carimbo de tempo confiável. A validação de longo prazo não está embutida: se um arquivo precisa continuar verificável anos depois de os certificados vencerem, planeje isso à parte.

A via qualificada é para os documentos que exigem uma assinatura qualificada. A Chaindoc conduz a sessão de assinatura e o signatário traz o certificado qualificado, por uma identidade eletrônica nacional como Smart-ID, itsme ou ID Austria, ou por qualquer provedor compatível com a API do Cloud Signature Consortium. Para quem ainda não tem certificado, existe uma assinatura qualificada pontual. O certificado vem sempre do prestador qualificado de serviços de confiança, nunca de nós.

Em volta das duas vias está o registro de evidências. O servidor calcula o hash de cada arquivo no upload. Quando você publica um documento, o hash da versão vai para a blockchain, e a prova de cada signatário é registrada quando a assinatura termina. Nomes e e-mails ficam na trilha de auditoria, não na blockchain, e os arquivos trafegam por TLS. Uma verificação KYC opcional acrescenta uma identidade confirmada quando um negócio pede.

A diferença entre assinatura digital e eletrônica fica fácil de ver quando você sabe onde olhar: um painel de assinaturas, não uma imagem. No Acrobat ou no Reader, uma assinatura digital aparece no painel Assinaturas, com o certificado do signatário, um status de validade e um aviso sobre o documento ter mudado desde então. Uma assinatura desenhada ou colada que não aparece ali? É uma assinatura eletrônica, e a prova dela está na trilha de auditoria do serviço de assinatura.

Para uma segunda opinião, o nosso verificador de assinaturas em PDF informa integridade, cadeia de certificados, revogação, carimbos de tempo embutidos e perfil PAdES, cada item com o seu resultado. Aceita arquivos de até 50 MB, pede o seu e-mail e um código de uso único antes da primeira verificação e não guarda o arquivo depois. A âncora de confiança principal é a Lista de Confiança da UE; como a raiz da ICP-Brasil não faz parte dela, a cadeia de um certificado ICP-Brasil não se resolve ali, e o veredito sobre o ICP-Brasil fica com o Validar do ITI.

Assinaturas que reivindicam o nível qualificado são um trabalho à parte, que a validação de assinaturas qualificadas confere pelas regras do eIDAS.

E se o Acrobat disser que a validade da assinatura é desconhecida? Calma, e não salve o arquivo de novo. Em geral, o leitor não confia na raiz emissora. Nosso guia explica o que o aviso de assinatura não verificada significa e quais passos seguir.

A maior parte da confusão vem de poucos hábitos. Estes são os cinco que mais vemos:

• Tratar uma assinatura escaneada como digital. É uma imagem. Não valida como nada, e qualquer pessoa pode colá-la em outro arquivo.
• Ler "digital" no nome de um produto como se fosse PKI. Muitas ferramentas chamam de "digital" qualquer assinatura desenhada na tela. Pergunte se há certificado e de quem, e lembre que nem toda assinatura digital é ICP-Brasil.
• Achar que uma assinatura digital é automaticamente qualificada. A qualificada pede certificado ICP-Brasil (no Brasil) ou certificado e dispositivo qualificados (na UE); a maioria das assinaturas PKI não tem nada disso.
• Exigir ICP-Brasil onde a lei não exige. Cada signatário precisa do próprio certificado, e uma contraparte a quem você pede isso para um NDA de rotina pode simplesmente não assinar. O contrato precisava mesmo?
• Ignorar os casos em que a lei manda a qualificada, como nota fiscal eletrônica e registro de imóveis (art. 5º, §2º, da Lei 14.063).

O remédio para os cinco é a pergunta do início deste guia. A diferença entre assinatura digital e eletrônica nunca é "qual é a melhor" em abstrato. É "o que este documento precisa provar, e para quem?". Responda isso e a escolha quase se faz sozinha.