Assinatura digital ou eletrônica: entenda o papel da ICP-Brasil

Assinatura digital e assinatura eletrônica são termos usados como sinônimos no dia a dia, mas não significam exatamente a mesma coisa no contexto jurídico brasileiro. A assinatura eletrônica é o conceito mais amplo: pode ser simples, avançada ou qualificada. Já a assinatura digital costuma designar o método baseado em criptografia e certificado digital, especialmente aquele emitido dentro da ICP-Brasil. A ICP-Brasil, por sua vez, não é um tipo de assinatura, mas a infraestrutura que organiza a emissão e a validação de certificados digitais.

O que é assinatura eletrônica?

Assinatura eletrônica é o conjunto de dados ou procedimentos usados para identificar uma pessoa e demonstrar sua concordância com um documento ou operação em formato eletrônico. Ela pode envolver login, senha, código enviado por SMS ou e-mail, biometria, reconhecimento facial, certificado digital e outros mecanismos.

A Lei nº 14.063/2020 adotou três níveis principais de assinatura eletrônica para as relações com órgãos públicos e como referência para a avaliação do nível de confiança do processo:

• Assinatura eletrônica simples: permite identificar o signatário e associa dados eletrônicos a ele. É o nível mais básico;
• Assinatura eletrônica avançada: utiliza um certificado que não precisa ser emitido pela ICP-Brasil ou outro método capaz de comprovar autoria e integridade, desde que aceito pelas partes ou pela pessoa a quem o documento será apresentado;
• Assinatura eletrônica qualificada: utiliza certificado digital emitido conforme as regras da ICP-Brasil. É o nível com maior grau de confiabilidade previsto na lei.

Essa classificação não significa que a assinatura simples seja automaticamente inválida ou que todo contrato particular exija certificado digital. O nível adequado depende do tipo de documento, do risco da operação, das regras aplicáveis e da exigência feita pelo destinatário.

O que é assinatura digital?

Em sentido técnico, a assinatura digital é uma forma de assinatura eletrônica que utiliza recursos criptográficos para vincular o signatário ao conteúdo assinado e permitir a verificação de alterações posteriores. O processo normalmente utiliza um par de chaves: uma chave privada, mantida sob controle do titular, e uma chave pública, usada para conferir a assinatura.

Quando o documento é assinado digitalmente, o sistema calcula uma espécie de impressão digital do arquivo. Se o conteúdo for alterado depois da assinatura, a verificação poderá apontar a quebra da integridade. Por isso, a assinatura digital não é apenas uma imagem da assinatura manuscrita inserida no PDF.

O termo, porém, é usado de maneira ampla no mercado. Muitas plataformas chamam de “assinatura digital” processos que, juridicamente, podem ser classificados como assinatura eletrônica simples ou avançada. Para saber o que realmente foi utilizado, é necessário verificar o método de identificação, a evidência de autoria, o controle do signatário e a forma de detecção de alterações.

ICP-Brasil: o que é e qual é sua função?

A ICP-Brasil é a Infraestrutura de Chaves Públicas Brasileira, criada pela Medida Provisória nº 2.200-2/2001. Ela reúne regras, autoridades certificadoras, autoridades de registro, procedimentos e padrões técnicos para a emissão e o gerenciamento de certificados digitais.

O Instituto Nacional de Tecnologia da Informação (ITI) atua como Autoridade Certificadora Raiz da ICP-Brasil. Na prática, uma autoridade certificadora credenciada emite o certificado digital depois de procedimentos de identificação e validação. Esse certificado relaciona uma identidade a uma chave criptográfica.

Portanto, a ICP-Brasil não é um aplicativo, uma plataforma de assinatura nem o arquivo PDF assinado. É uma cadeia de confiança que permite verificar quem recebeu o certificado, se ele estava válido e se a assinatura corresponde ao documento apresentado.

Qual é a diferença entre assinatura eletrônica e assinatura digital?

A diferença principal está no alcance dos termos:

• Assinatura eletrônica é a categoria geral, que inclui métodos simples, avançados e qualificados;
• Assinatura digital normalmente se refere a uma assinatura eletrônica baseada em criptografia e certificado, mas o uso comercial do termo pode ser mais abrangente;
• Assinatura eletrônica qualificada é a modalidade definida pela Lei nº 14.063/2020 que utiliza certificado digital nos termos da MP nº 2.200-2;
• ICP-Brasil é a infraestrutura de confiança que regulamenta e sustenta os certificados digitais usados na modalidade qualificada.

Em resumo, toda assinatura qualificada é eletrônica. Uma assinatura digital baseada em certificado também é eletrônica. Mas nem toda assinatura eletrônica é digital no sentido técnico ou utiliza a ICP-Brasil.

É obrigatório usar certificado digital em qualquer documento?

Não. A MP nº 2.200-2/2001, no artigo 10, parágrafo 2º, reconhece que outros meios de comprovação de autoria e integridade podem ser utilizados, inclusive certificados que não sejam emitidos pela ICP-Brasil, desde que aceitos pelas partes ou pela pessoa a quem o documento será apresentado.

Para contratos comerciais, propostas, documentos internos de RH e rotinas de pequenas empresas, uma assinatura avançada pode ser suficiente quando o processo oferece evidências consistentes de identidade, consentimento e integridade. Já atos sujeitos a uma exigência legal específica podem requerer a modalidade qualificada.

A própria Lei nº 14.063 prevê situações em que a assinatura qualificada é obrigatória em interações com o poder público, como determinados atos de autoridades, algumas emissões fiscais e atos de transferência e registro de imóveis, ressalvadas as hipóteses previstas na legislação. Além disso, órgãos públicos e entidades reguladas podem definir requisitos próprios para seus procedimentos.

Como escolher o nível de assinatura?

Antes de contratar uma solução, a empresa deve responder a quatro perguntas:

1. O destinatário exige certificado ICP-Brasil?
2. O documento envolve alto risco financeiro, patrimonial ou regulatório?
3. O processo consegue comprovar a identidade do signatário?
4. Há registro de data, hora, documento original, eventos de autenticação e alterações?

Quanto maior o risco e a exigência formal, maior deve ser o nível de confiança escolhido. O ponto central não é chamar o processo de “digital”, mas verificar se a modalidade utilizada é compatível com o documento e se as provas do aceite poderão ser apresentadas posteriormente.