Assinatura eletrônica simples: o que é e quando a lei brasileira a aceita

O que é assinatura eletrônica? Pergunte a um advogado e a resposta será mais ampla do que a maioria espera. A Lei 14.063/2020 chama de assinatura eletrônica simples a que permite identificar o signatário ou que anexa dados a outros dados dele em formato eletrônico (art. 4º, I). Na definição geral (art. 3º, II), são dados eletrônicos ligados a outros dados e usados pelo signatário para assinar. Um nome digitado entra, um clique em "Concordo" também, uma linha traçada com o dedo, um código por SMS ou um certificado digital.

A lei dos Estados Unidos diz o mesmo com outras palavras: o ESIGN Act fala de um som, símbolo ou processo eletrônico associado a um documento e adotado com a intenção de assiná-lo (15 U.S.C. §7006(5)). Num contrato entre empresas de dois países, você não precisa escolher entre definições.

Duas ideias aparecem em todos os textos:

• A vontade de assinar. Seu nome no campo "Para" de um e-mail não é assinatura. O mesmo nome digitado abaixo de "De acordo" provavelmente é.
• A ligação com um documento específico. A foto da sua letra, enviada solta, não está presa a nada.

Agora, o que as páginas dos fornecedores pulam. A definição diz o que conta. Ela não diz se a sua assinatura aguenta uma disputa, e isso é questão de prova, assunto da maior parte deste artigo. Se o que você quer saber é quando ainda precisa de tinta, o guia da assinatura manuscrita explica.

Quase tudo que você faz na tela para dizer "concordo com este documento" pode ser uma assinatura eletrônica. Os sete métodos da tabela cabem na definição da lei. O que muda é a quantidade de prova que cada um deixa. Na Lei 14.063, quase todos são assinatura eletrônica simples. Só quem usa certificado da ICP-Brasil chega à qualificada.

Digitar o nome é assinatura eletrônica? É, se você digitou para assinar. O ponto fraco é a atribuição: qualquer pessoa com acesso ao seu e-mail poderia ter digitado. No dia a dia, uma proposta aceita online, um NDA com um clique ou um termo de entrega assinado no tablet não dão problema enquanto nenhuma lei exigir forma especial (Código Civil, art. 107).

A assinatura escaneada é o caso mais mal avaliado. Colar a imagem da sua letra num PDF cria uma assinatura em sentido jurídico, mas fraca: ela não diz quem colou nem se a página quatro mudou depois.

Fazer uma leva um minuto: abrir o documento num serviço de assinatura, digitar ou desenhar o nome, confirmar. O traço é a parte fácil. Quando você assina e envia documentos com a Chaindoc, o que trabalha depois é o registro de quem abriu e assinou, e quando.

A lei decide se uma assinatura é permitida. A prova decide se a sua ganha. No processo civil, o documento é autêntico quando a autoria está identificada por qualquer meio legal de certificação, inclusive eletrônico, ou quando ninguém o impugna (CPC, art. 411). Quando alguém diz "eu nunca assinei isso", quatro perguntas aparecem, mais ou menos nesta ordem.

Vontade: a pessoa quis assinar?

O signatário precisa fazer algo que se leia como concordância: marcar "Aceito as condições acima", apertar "Assinar", digitar o nome abaixo de "De acordo". Silêncio não conta. Uma caixa marcada de antemão por outra pessoa também não.

Acordo: as duas partes aceitaram o método?

Ninguém é obrigado a aceitar o seu método de assinatura se ele não foi combinado. A MP 2.200-2 diz isso com todas as letras (art. 10, § 2º): outro meio de comprovar autoria e integridade vale se admitido pelas partes como válido ou aceito por quem recebe o documento. Entre empresas, o acordo costuma se deduzir da conduta: negocia-se por e-mail e assina-se no mesmo serviço. Mesmo assim, uma cláusula no contrato custa menos do que a discussão depois.

Atribuição e integridade: quem assinou, e é o mesmo documento?

A atribuição liga a assinatura a uma pessoa: e-mail verificado, código de uso único, checagem de identidade, endereço IP e dispositivo. A integridade mostra que o arquivo não mudou desde então, e um hash criptográfico faz isso bem. Mude um único byte e o resultado é totalmente outro. É aritmética, não promessa de fornecedor, e qualquer um pode refazer a conta.

Conservação: você ainda consegue apresentar o documento?

É o que quase todo mundo esquece. Um contrato assinado que só existe na conta de um fornecedor que você já cancelou é um contrato frágil. O que você consegue pôr na mesa do juiz, completo e intacto, pesa mais do que qualquer argumento.

Na prática, vontade e acordo se resolvem pelo desenho do fluxo de assinatura. Atribuição e conservação são onde se perdem as disputas de verdade.

No Brasil, duas normas dividem o assunto, e vale saber o que cada uma faz.

A Medida Provisória 2.200-2/2001 diz, no art. 10, que os documentos eletrônicos são públicos ou particulares para todos os fins legais. Duas regras são o centro:

1. 1.
   As declarações de documentos produzidos com certificação ICP-Brasil presumem-se verdadeiras em relação aos signatários (§ 1º). É a presunção de veracidade.
2. 2.
   A MP não impede outro meio de comprovar autoria e integridade, inclusive certificados não emitidos pela ICP-Brasil, desde que admitido pelas partes como válido ou aceito por quem recebe o documento (§ 2º).

A Lei 14.063/2020 classifica as assinaturas em três tipos no art. 4º, que caracterizam o nível de confiança sobre a identidade e a manifestação de vontade do titular. Um detalhe que os fornecedores raramente contam: a lei trata de interações com entes públicos, de atos de pessoas jurídicas e de saúde (art. 1º), e as regras do capítulo sobre entes públicos não se aplicam à interação entre particulares (art. 2º, parágrafo único). Entre empresas, o que vale é a liberdade de forma do Código Civil e o § 2º do art. 10 da MP.

Resumo prático: uma assinatura eletrônica simples vale entre particulares quando nenhuma lei exige forma especial e as partes a aceitaram. A presunção de veracidade, essa fica com o certificado da ICP-Brasil.

A Lei 14.063 (art. 4º) e o eIDAS usam os mesmos três nomes, com definições parecidas, o que ajuda quem contrata dos dois lados do Atlântico.

No Brasil, a simples permite identificar o signatário ou anexa dados a outros dados dele. A avançada usa certificados não emitidos pela ICP-Brasil ou outro meio de comprovar autoria e integridade, admitido pelas partes ou aceito por quem recebe o documento, e tem três características: associa-se ao signatário de forma unívoca, usa dados que ele opera sob seu controle exclusivo e torna detectável qualquer modificação posterior. A qualificada usa o certificado digital da ICP-Brasil (MP 2.200-2, art. 10, § 1º), tem o nível mais alto de confiabilidade e é a que a lei exige em certos atos, como a transferência e o registro de imóveis nas interações com o poder público.

Na União Europeia, o art. 25.º do eIDAS impede negar efeito a qualquer dos três só por ser eletrônico, e apenas a qualificada equivale à assinatura autógrafa. Como obter uma e quando vale a pena está no guia da assinatura qualificada.

Em Portugal vale o eIDAS, completado pelo Decreto-Lei 12/2021. O art. 3.º, n.º 2, diz que a assinatura eletrónica qualificada (a grafia portuguesa) equivale à autógrafa e cria a presunção de que quem a apôs é o titular, quis assinar e o documento não foi alterado. Outros meios valem se as partes os adotarem por convenção sobre prova ou se forem aceites por quem recebe o documento (n.º 9). Sem serviço de confiança qualificado, o valor probatório segue as regras gerais (n.º 10). A supervisão cabe ao Gabinete Nacional de Segurança (art. 6.º).

No Brasil, muita gente chama de "assinatura digital" o que a lei chama de qualificada, a feita com certificado da ICP-Brasil. Na técnica, os dois nomes não são sinônimos. A assinatura eletrônica é o conceito jurídico: a vontade de se obrigar, expressa por meio eletrônico. A assinatura digital é uma técnica para produzi-la. O software do signatário usa uma chave privada, respaldada por um certificado de uma autoridade certificadora, para assinar um hash do documento. Quem tem a chave pública pode conferir qual certificado assinou e se o arquivo mudou desde então.

Esse par é o que o pessoal de segurança chama de não repúdio: o signatário dificilmente nega a assinatura, porque a prova viaja dentro do arquivo e não no banco de dados de um terceiro. Em rigor, ela prova só que a chave foi usada. Que a pessoa certa a tinha na mão continua sendo questão de fato.

Toda assinatura digital é eletrônica. A maioria das assinaturas eletrônicas não é digital, e para contratos comuns a lei não exige que seja. O lado técnico está na comparação completa entre assinatura digital e eletrônica.

Quase todo documento comercial pode ser assinado eletronicamente. As exceções são poucas, específicas e locais, e por isso pegam muita gente desprevenida. No Brasil, as mais comuns:

• Negócios que constituem, transferem, modificam ou renunciam direitos reais sobre imóveis de valor superior a trinta vezes o maior salário mínimo vigente: a escritura pública é essencial à validade (Código Civil, art. 108)
• Atos de transferência e de registro de bens imóveis nas interações com o poder público. A lei exige assinatura eletrônica qualificada (Lei 14.063, art. 5º, § 2º, IV)
• Emissão de notas fiscais eletrônicas: assinatura qualificada obrigatória, com exceção de pessoas físicas e MEIs, para quem é facultativa (art. 5º, § 2º, III)
• Cada ente público fixa o nível mínimo de assinatura para suas interações, e a lei prevê a assinatura eletrônica simples para as interações de menor impacto e sem informação sigilosa (art. 5º, § 1º, I)

Excluído não significa sempre papel. Na escritura pública, quem lavra o ato é o tabelião. Na relação com o poder público, o que muda é o nível exigido, e uma assinatura eletrônica simples não resolve; a qualificada sim.

Confira o tipo de ato contra a forma exigida antes de enviar, não depois. Isso leva cinco minutos e costuma poupar um documento refeito em papel.

Uma assinatura recusada raramente é falsificada. Quase sempre há um descompasso entre o que você enviou e o que a outra parte, ou a lei, precisava.

Nível errado. O destinatário precisava de uma assinatura qualificada, em geral porque uma norma exige o certificado, e você mandou uma assinatura eletrônica simples. Reenviar não resolve: é preciso um certificado emitido por uma autoridade credenciada.

Método não combinado. Ninguém precisa aceitar o seu processo de assinatura se ele não foi acordado, e bancos, seguradoras e órgãos públicos costumam definir o deles.

Arquivo alterado depois de assinado. Achatar um PDF, incluir um comentário ou salvar em outro editor pode quebrar o hash.

Registro impossível de apresentar. Sem uma cópia que todas as partes possam guardar e reproduzir fielmente, você entrega um argumento ao outro lado.

Certificado vencido ou revogado. Uma assinatura feita enquanto o certificado era válido pode continuar de pé, mas depois será preciso comprovar quando ela foi feita.

Um caso real

Um fornecedor envia um contrato-quadro assinado. O jurídico abre, acrescenta um comentário, salva e encaminha ao financeiro. O financeiro roda um validador e recebe um erro. Pânico rápido.

Nada foi falsificado. O comentário reescreveu o arquivo, o hash não bate mais com o que foi registrado na assinatura, e o validador fez exatamente o seu trabalho. O original estava certo; a cópia, não. Se você não sabe qual cópia tem em mãos, uma verificação de assinatura em PDF mostra se a assinatura ainda confere com o arquivo.

Pouco, para ser sincero. Então, o que é assinatura eletrônica simples, tirando o juridiquês? Um rótulo para uma vontade que a lei aceita com facilidade e que um juiz pesa pela prova que a cerca.

Esse também é o critério para qualquer ferramenta de assinatura. Julgue pelo registro que ela deixa, não pela aparência do traço:

• Um registro de auditoria da assinatura com carimbo de tempo: quem abriu, assinou ou recusou, com e-mail e IP em cada etapa
• Um hash do arquivo, para que qualquer alteração posterior apareça
• Uma exportação que você guarda e abre sem o aplicativo do fornecedor
• Um armazenamento que dure o mesmo que o prazo de guarda do documento, e não o mesmo que a sua assinatura do serviço

Veja o que a Chaindoc faz, já que você está lendo isto no nosso blog. Cada arquivo recebe um hash no envio. Quando você publica um documento, o hash dessa versão é gravado numa blockchain pública, e a prova de cada signatário é registrada quando a assinatura termina. O registro de atividade e um relatório de verificação saem em PDF, e os arquivos trafegam por TLS. Uma solicitação normal convida todos de uma vez; uma ordem fixa de assinatura vem pelas rotas de aprovação do plano Business.

Nada disso muda a lei. Muda o que você consegue mostrar quando alguém pergunta.