Assinatura eletrônica: tem validade jurídica? Quando usar

O contrato está pronto e o cliente concordou com o preço. A última mensagem do dia chega do jurídico dele: "a assinatura eletrônica de vocês tem validade, ou precisa ser com certificado digital?"

Quem vende para empresa recebe essa pergunta com frequência e costuma responder de um de dois jeitos ruins. Um diz que qualquer clique vale. O outro manda o cliente comprar um certificado só para assinar uma proposta de serviço.

A lei brasileira dá uma resposta mais útil que as duas, e ela cabe em dois textos curtos: uma medida provisória de 2001 e uma lei de 2020.

Assinatura eletrônica tem validade jurídica no Brasil desde 2001. O que decide se ela segura um contrato é a prova que deixa sobre quem assinou, quando e se o documento mudou depois. Contrato entre empresas raramente precisa de certificado ICP-Brasil, e sempre precisa dessa trilha.

Assinatura eletrônica tem validade jurídica? O que diz a lei

O ponto de partida é a Medida Provisória 2.200-2, de 24 de agosto de 2001. Ela criou a ICP-Brasil, a infraestrutura de chaves públicas que emite os certificados digitais oficiais do país. No art. 10, a MP diz que o documento eletrônico vale como documento público ou particular para todos os fins legais.

O mesmo artigo tem dois parágrafos que resolvem quase toda a dúvida do jurídico do cliente. O §1º diz que as declarações num documento assinado com certificado ICP-Brasil se presumem verdadeiras em relação aos signatários. O §2º diz que a MP não impede outro meio de comprovar autoria e integridade, inclusive certificado emitido fora da ICP-Brasil. A condição está no fim do parágrafo: "desde que admitido pelas partes como válido ou aceito pela pessoa a quem for oposto o documento".

A diferença entre os dois parágrafos está em quem precisa provar. Com certificado ICP-Brasil, a lei presume que o signatário assinou. Sem ele, a assinatura vale quando as partes aceitam o método, e se uma delas contestar depois, alguém vai ter de mostrar a prova. Por isso faz sentido o contrato trazer uma cláusula em que as partes aceitam o meio de assinatura: ela registra por escrito a aceitação que o §2º pede.

Este texto explica o que a lei diz e não é aconselhamento jurídico. Para um contrato específico, com valor alto ou com uma parte que já sinaliza conflito, converse com um advogado.

Os três níveis da Lei 14.063

Dezenove anos depois da MP, a Lei 14.063, de 23 de setembro de 2020, classificou as assinaturas em três tipos no art. 4º. O foco da lei é o uso de assinaturas nas interações com entes públicos, e é nesse contexto que ela diz qual nível cada situação exige.

A simples identifica o signatário ou associa dados a outros dados em formato eletrônico. A avançada usa certificado fora da ICP-Brasil ou outro meio de comprovar autoria e integridade. Ela tem três requisitos: ligação unívoca com o signatário, dados sob controle exclusivo dele e detecção de qualquer modificação posterior. A qualificada usa certificado ICP-Brasil, e o §1º do art. 4º a descreve como a de maior nível de confiabilidade.

O art. 5º diz onde o nível mais alto é obrigatório. A qualificada é exigida nos atos assinados por chefes de Poder e ministros e nos atos de transferência e registro de bens imóveis. Também é exigida na emissão de nota fiscal eletrônica, e para pessoa física e MEI ela é facultativa. Uma inclusão posterior, o art. 17-A, permite que instituições financeiras de crédito imobiliário autorizadas a celebrar instrumento particular com força de escritura pública usem também a avançada.

Fora dessas hipóteses, cada Poder ou órgão define por ato próprio o nível mínimo que aceita. O ente público também tem de publicar no site os requisitos para reconhecer a avançada. Contrato comercial entre duas empresas privadas não aparece em nenhuma dessas listas. Ele volta para o §2º da MP: vale o meio de prova que as partes aceitaram.

Assinatura eletrônica e assinatura digital: a diferença

Assinatura eletrônica é o gênero, qualquer forma de manifestar concordância em meio eletrônico. Assinatura digital, no uso corrente, é a que usa certificado ICP-Brasil, que a Lei 14.063 chama de qualificada. Toda assinatura digital é eletrônica, e a recíproca não vale.

O próprio governo mistura os termos. A página do serviço no gov.br fala em assinatura eletrônica, e o documento assinado mostra o campo "Assinado digitalmente por". A página do ITI sobre a assinatura avançada desfaz a dúvida: a assinatura do gov.br é avançada, nos termos da Lei 14.063. O sistema emite automaticamente e de graça um certificado digital avançado, que não é o certificado ICP-Brasil da qualificada.

Para pessoa física, essa é a opção mais simples de assinatura eletrônica para fechar um contrato com uma empresa. O gov.br informa que o serviço é gratuito para o cidadão com conta prata ou ouro. Ele aceita arquivos DOC, DOCX, ODT, JPG, PNG e PDF de até 100 MB. A conferência fica em validar.iti.gov.br.

O que dá força de prova a uma assinatura

Uma contestação costuma ter uma de duas formas: "não fui eu que assinei" ou "o documento que eu assinei era outro". As evidências servem para responder a essas duas frases sem depender da palavra de ninguém.

• Identificação: e-mail sozinho prova que alguém com acesso àquela caixa clicou. Código por SMS, foto de documento, conta gov.br e certificado acrescentam camadas que prendem a assinatura a uma pessoa.
• Hash do documento: é a impressão digital matemática do arquivo. Uma vírgula alterada gera outro valor, e é assim que se prova que o PDF de hoje é o mesmo do dia da assinatura. A base disso está explicada em o que é criptografia e hash.
• Carimbo de tempo: registra o momento de cada assinatura com um relógio que não depende do computador do signatário.
• Trilha de auditoria: quem abriu, quem assinou, quando e de onde. Ela guarda IP e dispositivo, que são dados pessoais, e por isso entra no seu inventário de tratamento, assunto de LGPD para PMEs.
• Verificação independente: uma página ou serviço em que o juiz, o auditor ou a outra parte confere o documento e a trilha sem pedir nada a você.

Uma assinatura eletrônica simples com essas cinco peças pode convencer mais que uma avançada sem trilha nenhuma. O nível descreve como a pessoa foi identificada, e as evidências registram o que aconteceu com o documento depois.

O que conferir antes de contratar uma ferramenta

A escolha da ferramenta de assinatura eletrônica define a prova que você vai ter daqui a três anos, quando alguém contestar. Antes de assinar o plano, confira:

1. O nível, por escrito. Se o fornecedor fala em validade jurídica sem dizer se a assinatura é simples, avançada ou qualificada, pergunte e guarde a resposta.
2. Como identifica o signatário. Só e-mail é o mínimo. Veja se há segundo fator, documento ou integração com gov.br para quando o contrato pedir mais.
3. Se o documento congela. Todos os signatários precisam assinar a mesma versão, e qualquer mudança depois da primeira assinatura tem de invalidar o processo.
4. O que vai anexado ao PDF final. Hash, carimbo de tempo e trilha precisam sair junto com o arquivo, não ficar só no painel do fornecedor.
5. Como um terceiro verifica. Página pública, validador ou relatório que qualquer pessoa consiga conferir.
6. Exportação. Contrato dura mais que assinatura de software. Você precisa conseguir baixar documento e evidências e guardar fora da ferramenta.
7. Certificado ICP-Brasil, se o seu caso pedir. Se você vende para órgão público ou lida com imóvel, a ferramenta precisa aceitar a qualificada, ou você vai precisar de outra.

Esse desenho é o que eu segui no Pactuo, ferramenta de propostas que eu desenvolvo. O contrato nasce da proposta aceita e o documento congela na primeira assinatura. Cada assinatura leva carimbo de tempo, e uma página pública confere pela impressão digital que nada mudou depois do aceite. Ele não usa certificado ICP-Brasil, então não atende aos casos em que a lei exige a qualificada. Os limites estão no review do Pactuo.

Onde a prova costuma cair

O primeiro ponto fraco é o PDF mexido depois. Alguém abre o contrato assinado num editor, corrige um valor e salva. O hash denuncia a mudança, mas só se alguém conferir. A página do gov.br traz um alerta parecido: salvar o documento pela função de imprimir descarta a assinatura, e o impresso não tem validade. Subir o contrato num site gratuito para converter ou comprimir pode gerar um arquivo novo, sem a assinatura. E ainda entrega o conteúdo a terceiros, como mostra o post sobre conversor de PDF online.

O segundo é o e-mail compartilhado. Se o link de assinatura vai para comercial@ ou financeiro@, qualquer pessoa com acesso à caixa assina. A trilha vai mostrar que a caixa assinou, e a contestação vai perguntar quem estava do outro lado. Peça o e-mail pessoal do signatário com poderes para assinar.

O terceiro vem de fora. A notificação falsa de "documento para assinar" é um formato comum de phishing, porque o e-mail parece rotina para quem assina contratos. O link leva a uma tela que imita a plataforma e pede a senha do e-mail. A regra para a equipe é simples: plataforma de assinatura não pede senha de e-mail, e na dúvida o documento se abre pelo site da plataforma, digitado à mão.

Quando cada nível resolve

Para contrato comercial entre empresas, a assinatura eletrônica avançada ou uma simples com boa trilha costuma bastar, desde que o contrato registre que as partes aceitam o método. Para pessoa física do outro lado, o gov.br entrega a avançada sem custo. Para imóvel, nota fiscal eletrônica e o que um órgão público exigir por ato próprio, a resposta é o certificado ICP-Brasil.

Na dúvida, a pergunta certa para o fornecedor é qual prova ele entrega quando alguém disser que não assinou. E quem recebe um PDF assinado pelo gov.br pode abrir validar.iti.gov.br e conferir a assinatura sem pedir nada a ninguém.