Assinatura eletrônica: validade, tipos e cuidados para empresas

Assinatura eletrônica vale para qualquer documento? O que a empresa precisa conferir

Contratos digitais podem ser válidos sem papel ou reconhecimento de firma, mas o método de assinatura, a identificação das partes, a integridade do arquivo e as formalidades exigidas para cada ato precisam ser avaliados

Por Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade

Um contrato chega por e-mail. O empresário abre um link, confirma alguns dados e, segundos depois, recebe um PDF com a indicação de que todas as partes assinaram.

O processo parece concluído.

Mas uma dúvida pode surgir meses ou anos depois:

como provar quem realmente assinou, qual documento foi aceito e se o arquivo permaneceu íntegro desde então?

A digitalização tornou contratos, procurações, termos, aprovações e outros documentos muito mais rápidos de formalizar. Ao mesmo tempo, criou um erro recorrente: tratar qualquer procedimento chamado de “assinatura eletrônica” como se todos oferecessem exatamente o mesmo nível de identificação e segurança.

Não oferecem.

A legislação brasileira reconhece diferentes mecanismos eletrônicos e a Lei nº 14.063/2020 classifica assinaturas eletrônicas em simples, avançadas e qualificadas, com requisitos distintos. A modalidade qualificada utiliza certificado digital emitido no âmbito da Infraestrutura de Chaves Públicas Brasileira, a ICP-Brasil.

Isso não significa que toda empresa precise utilizar certificado ICP-Brasil para qualquer contrato.

Significa que o método de assinatura precisa ser compatível com o documento, com o risco de contestação e com eventuais formalidades legais específicas daquele ato.

A primeira pergunta não deveria ser “a assinatura é digital?”

No uso cotidiano, diferentes procedimentos acabam recebendo o mesmo nome.

Uma pessoa pode “assinar eletronicamente” utilizando:

• login e senha;
• confirmação por e-mail;
• código enviado ao celular;
• aplicativo;
• conta GOV.BR;
• autenticação multifator;
• certificado digital;
• certificado ICP-Brasil;
• outros mecanismos de identificação.

Para a empresa, o ponto central não está na aparência da assinatura desenhada sobre o PDF.

Está nas evidências produzidas pelo processo.

Um procedimento robusto deve permitir compreender, conforme a tecnologia utilizada:

• quem participou;
• como a pessoa foi identificada;
• quando assinou;
• qual arquivo foi apresentado;
• se o conteúdo foi alterado posteriormente;
• quais registros foram produzidos.

Em outras palavras, o valor do processo eletrônico está menos na imagem da assinatura e mais na capacidade de demonstrar autoria e integridade.

Assinatura simples, avançada e qualificada: qual a diferença?

A Lei nº 14.063/2020 estabelece três modalidades.

Assinatura eletrônica simples

Permite identificar o signatário e associar dados eletrônicos a outros dados em formato eletrônico.

Pode ser suficiente em determinados contextos de menor risco, conforme a operação e as regras aplicáveis.

Seu menor nível de requisitos técnicos não significa, isoladamente, que o ato seja inválido. Significa que a empresa precisa avaliar se as evidências geradas são adequadas para aquele documento.

Assinatura eletrônica avançada

Exige requisitos adicionais.

Entre eles estão a associação ao signatário de maneira unívoca, utilização de dados que estejam sob elevado nível de controle da pessoa e possibilidade de detectar alterações posteriores no conteúdo assinado. A legislação admite certificados não ICP-Brasil ou outros meios de comprovação de autoria e integridade nas condições previstas.

A assinatura disponibilizada por meio da conta GOV.BR é um exemplo de assinatura eletrônica avançada nos serviços em que é aceita.

Assinatura eletrônica qualificada

É a modalidade realizada com certificado digital ICP-Brasil.

A ICP-Brasil é a infraestrutura oficial de confiança utilizada para emissão de certificados digitais destinados à identificação virtual.

A assinatura qualificada possui requisitos técnicos e de identificação próprios, mas isso não significa que seja obrigatória para qualquer documento empresarial.

Todo contrato precisa ser assinado com certificado ICP-Brasil?

Não.

Essa é uma das conclusões mais importantes para evitar dois extremos.

O primeiro é acreditar que um contrato eletrônico somente pode produzir efeitos se utilizar certificado ICP-Brasil.

O segundo é acreditar que qualquer clique em “aceito” serve indistintamente para qualquer situação.

A análise depende:

• da natureza do negócio;
• da legislação específica;
• de eventual formalidade obrigatória;
• do que as partes pactuaram;
• da capacidade de comprovar autoria;
• da integridade do documento;
• do risco de contestação.

Existem atos para os quais a própria legislação exige determinada modalidade ou estabelece regras específicas. Em registros públicos realizados pela internet, por exemplo, a legislação prevê utilização de assinatura avançada ou qualificada nas condições regulamentadas pelo sistema registral.

Portanto, a política empresarial não deve ser simplesmente “usar sempre a assinatura mais forte” ou “usar a mais barata”.

Deve ser:

utilizar o método adequado ao risco e à exigência jurídica do documento.

Validade jurídica e força probatória não são exatamente a mesma pergunta

Esse é um ponto especialmente importante.

Perguntar se determinado mecanismo “tem validade” pode ser insuficiente.

Em eventual conflito, a discussão prática pode ser:

• quem realizou a assinatura;
• se a pessoa possuía poderes;
• qual documento estava disponível naquele momento;
• se houve alteração posterior;
• como ocorreu a autenticação;
• quais evidências ficaram registradas;
• se houve fraude;
• se alguma formalidade legal específica foi cumprida.

Por isso, além de perguntar:

“isso é juridicamente válido?”

a empresa deveria perguntar:

“se essa assinatura for contestada daqui a três anos, o que teremos para demonstrar como o processo ocorreu?”

Essa segunda pergunta melhora significativamente a escolha da tecnologia.

Colar uma imagem da assinatura no PDF não oferece as mesmas evidências

Uma assinatura manuscrita digitalizada pode ser inserida visualmente dentro de um documento eletrônico.

Isso não é a mesma coisa que utilizar um sistema que vincula tecnicamente determinado signatário àquele arquivo e preserva informações sobre o processo.

Uma imagem pode ser:

• copiada;
• recortada;
• reutilizada;
• transferida para outro documento.

Por isso, a existência de uma rubrica visível não demonstra, isoladamente, como ocorreu a manifestação de vontade.

Nos documentos eletrônicos, as evidências técnicas podem ser muito mais relevantes do que a aparência gráfica.

Integridade importa tanto quanto identidade

Imagine que seja possível demonstrar perfeitamente quem assinou determinado contrato.

Ainda resta uma segunda questão:

o arquivo apresentado hoje é exatamente o arquivo que aquela pessoa assinou?

Integridade é a capacidade de detectar alterações incompatíveis com o documento originalmente firmado.

Esse é um dos requisitos presentes na definição legal da assinatura eletrônica avançada e está no núcleo dos mecanismos criptográficos utilizados nas assinaturas qualificadas.

Para documentos relevantes, portanto, a empresa precisa preservar simultaneamente:

quem assinou e o que foi assinado.

Abrir normalmente o PDF não significa validar a assinatura

Um arquivo pode abrir perfeitamente no computador e, ainda assim, isso não representar uma verificação técnica da assinatura.

O Instituto Nacional de Tecnologia da Informação mantém o VALIDAR, serviço oficial que permite verificar a conformidade de assinaturas eletrônicas qualificadas e avançadas existentes em arquivos compatíveis.

O próprio ITI esclarece que a validação técnica da assinatura não representa uma avaliação do mérito ou do conteúdo do documento.

Essa distinção é fundamental.

O validador pode ajudar a confirmar aspectos técnicos da assinatura.

Ele não responde, por exemplo:

• se o contrato é vantajoso;
• se quem assinou possuía poderes societários;
• se existe vício de vontade;
• se todas as cláusulas são juridicamente válidas.

Validação técnica da assinatura e validade jurídica do negócio são análises diferentes.

Quem assinou pode estar identificado corretamente e ainda não ter poderes

Imagine que a plataforma comprove sem qualquer dúvida que determinado gerente assinou um contrato.

Ainda assim, existe outra pergunta:

esse gerente podia assumir aquela obrigação em nome da empresa?

A tecnologia identifica a pessoa.

Ela não cria poderes de representação.

Por isso, documentos empresariais também precisam observar:

• contrato social;
• estatuto;
• procurações;
• políticas de alçada;
• limites financeiros;
• autorizações internas.

Esse é um dos motivos pelos quais gestão societária e assinatura eletrônica precisam conversar.

Política de alçadas não desaparece quando o contrato vira digital

No processo físico, um contrato relevante normalmente passa por etapas como:

1. elaboração;
2. revisão;
3. aprovação;
4. assinatura.

A implantação de uma plataforma não deveria eliminar automaticamente essas etapas.

Ela deveria digitalizá-las.

A empresa precisa definir:

• quem pode preparar documentos;
• quem pode revisar;
• quem aprova condições comerciais;
• quem possui poder de assinatura;
• quem envia para as partes;
• quem pode cancelar o processo;
• quem acompanha a conclusão.

Uma plataforma rápida não deve permitir que qualquer usuário assuma obrigações em nome da empresa apenas porque recebeu uma licença de acesso.

O certificado digital empresarial merece controles próprios

Certificados digitais são utilizados em diferentes rotinas, como:

• assinatura;
• emissão de documentos;
• acesso a portais;
• obrigações fiscais;
• procurações eletrônicas;
• autenticações.

Quando arquivos de certificado, dispositivos ou respectivas credenciais circulam entre várias pessoas, a empresa perde controle e rastreabilidade.

É necessário saber:

• qual certificado existe;
• quem é seu titular;
• onde está armazenado;
• quem está autorizado a utilizá-lo;
• para quais sistemas é empregado;
• quando vence;
• como será revogado.

O certificado não deveria funcionar como uma “senha coletiva” de determinado departamento.

Compartilhar credenciais dificulta descobrir quem realizou determinada ação

Quando várias pessoas utilizam o mesmo acesso, uma evidência importante desaparece: a individualização do usuário.

Isso pode prejudicar:

• auditoria;
• investigação;
• responsabilização;
• segurança;
• controles internos.

Sempre que a tecnologia permitir, ações relevantes devem permanecer associadas à pessoa que efetivamente as executou.

A conveniência de compartilhar uma conta não deveria superar a necessidade de rastreabilidade.

A empresa precisa guardar mais do que uma captura de tela

Dependendo da plataforma, um processo eletrônico pode produzir:

• documento final;
• relatório;
• histórico;
• certificado de conclusão;
• identificador;
• registro de autenticação;
• informações técnicas.

O que precisa ser arquivado depende da tecnologia e da importância do documento.

Para contratos relevantes, porém, existe uma regra prática útil:

a empresa precisa preservar material suficiente para reconstruir o processo de assinatura no futuro.

Guardar apenas uma captura de tela mostrando “documento concluído” pode ser insuficiente.

E se a plataforma de assinatura deixar de ser utilizada?

Esse risco normalmente aparece tarde.

Durante anos, todos os contratos ficam acessíveis no portal do fornecedor.

Depois a empresa troca de plataforma.

Surge então a pergunta:

onde estão os documentos e as evidências dos contratos antigos?

Antes de encerrar um serviço, é necessário avaliar:

• exportação dos documentos;
• exportação das evidências;
• formato dos arquivos;
• prazo de disponibilidade;
• backups;
• retenção do fornecedor;
• possibilidade de validação futura.

O arquivo empresarial não pode depender indefinidamente da existência de determinada conta em uma plataforma.

Assinatura eletrônica também é gestão documental

Digitalizar a assinatura é apenas uma etapa.

Depois do fechamento, os documentos precisam ser:

• classificados;
• armazenados;
• localizados;
• protegidos;
• relacionados à operação;
• mantidos pelo período aplicável.

Sem gestão documental, contratos podem acabar distribuídos entre:

• caixas de e-mail;
• computadores;
• nuvem;
• plataformas de assinatura;
• sistemas empresariais;
• pastas pessoais.

O problema aparece quando alguém precisa localizar rapidamente o documento que sustenta uma obrigação.

O desligamento de funcionários precisa alcançar plataformas de assinatura

Quando um trabalhador deixa a organização, os acessos associados à formalização de documentos também precisam ser revisados.

Isso inclui:

• plataforma de assinatura;
• certificados;
• tokens;
• contas administrativas;
• modelos;
• permissões;
• procurações;
• poderes delegados.

Um usuário não deveria manter capacidade de visualizar documentos confidenciais ou iniciar fluxos em nome da empresa depois que perdeu essa atribuição.

A assinatura eletrônica precisa fazer parte do checklist de desligamento digital.

Assinatura eletrônica e contabilidade se encontram na documentação

A contabilidade não depende apenas de números.

Muitos registros precisam ser compreendidos a partir dos documentos que explicam os fatos econômicos.

Contratos podem sustentar:

• receitas;
• despesas;
• empréstimos;
• financiamentos;
• locações;
• aquisições;
• compromissos;
• prestação de serviços;
• condições comerciais.

Quando a documentação passa a existir exclusivamente no ambiente eletrônico, sua disponibilidade, integridade e rastreabilidade tornam-se parte dos próprios controles internos.

Na avaliação de Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade, eliminar o papel não significa eliminar a necessidade de controle documental.

“Uma assinatura eletrônica eficiente precisa permitir que a empresa responda, mesmo anos depois, quem assinou, se aquela pessoa possuía poderes, qual documento foi efetivamente firmado e onde estão as evidências do processo. A digitalização traz velocidade, mas a rastreabilidade continua sendo indispensável.”

Como escolher o nível de controle pelo risco do documento

A empresa pode organizar seus documentos por criticidade.

Menor risco

Documentos internos ou manifestações de baixa repercussão, nos quais eventual contestação teria consequência limitada.

Risco intermediário

Contratos comerciais, termos ou aprovações que precisam de boa identificação das partes e preservação consistente de evidências.

Maior risco

Operações com:

• valores relevantes;
• compromissos de longo prazo;
• poderes societários;
• garantias;
• patrimônio;
• alta exposição jurídica;
• formalidades legais específicas.

Quanto maior a consequência de alguém alegar “não fui eu quem assinou”, mais robusto deve ser o procedimento de identificação e prova.

Antes de escolher uma plataforma, responda oito perguntas

1. Como o signatário é identificado?

Conheça o método de autenticação.

2. Que evidências são produzidas?

Não avalie somente a aparência do documento.

3. A integridade pode ser verificada?

Alterações posteriores precisam ser detectáveis quando isso for relevante.

4. Como o documento poderá ser validado no futuro?

A empresa não deveria depender apenas de abrir o PDF.

5. Quem pode enviar contratos em nome da empresa?

Permissões precisam acompanhar as alçadas internas.

6. Os documentos e registros podem ser exportados?

Isso é importante para continuidade e troca de fornecedor.

7. Onde ficam armazenados?

Analise guarda, acesso e backup.

8. O que acontece quando um funcionário ou fornecedor deixa a empresa?

O encerramento de acessos precisa ser previsto.

Sinais de que o processo de assinatura eletrônica precisa ser revisto

• ninguém sabe qual tecnologia é utilizada;
• certificados são compartilhados;
• contas administrativas são coletivas;
• qualquer funcionário consegue enviar contratos;
• não existe política de alçadas;
• ninguém sabe validar os arquivos;
• contratos ficam espalhados em e-mails;
• somente o fornecedor mantém as evidências;
• não existe procedimento de exportação;
• ex-funcionários mantêm permissões;
• a empresa verifica somente a imagem da assinatura;
• não existe gestão documental centralizada.

Esses sinais não indicam que a assinatura eletrônica seja insegura.

Indicam que a digitalização avançou mais rapidamente do que os controles internos.

Perguntas frequentes

Assinatura eletrônica tem validade jurídica?

Sim, mecanismos eletrônicos podem produzir documentos juridicamente válidos no Brasil. A análise concreta depende do negócio, da forma utilizada, das evidências de autoria e integridade e de eventuais formalidades específicas previstas para determinado ato.

Qual a diferença entre assinatura simples, avançada e qualificada?

A Lei nº 14.063/2020 estabelece três categorias. A simples possui requisitos básicos de identificação; a avançada acrescenta requisitos de vinculação ao signatário, controle e integridade; e a qualificada utiliza certificado digital ICP-Brasil.

Todo contrato empresarial precisa de certificado ICP-Brasil?

Não. Não existe exigência geral de certificado ICP-Brasil para todos os contratos empresariais. Entretanto, determinados atos podem possuir formalidades próprias. A modalidade deve ser escolhida conforme legislação aplicável, risco e necessidade de comprovação.

Assinatura GOV.BR é assinatura qualificada?

Não. A assinatura realizada pelo serviço de assinatura GOV.BR é classificada como assinatura eletrônica avançada nos serviços aplicáveis. A assinatura qualificada utiliza certificado digital ICP-Brasil.

Como verificar uma assinatura eletrônica?

O ITI mantém o serviço oficial VALIDAR para aferir a conformidade de assinaturas eletrônicas qualificadas e avançadas compatíveis com os padrões aceitos pelo serviço. A validação técnica não equivale a uma análise jurídica do conteúdo do documento.

Colar uma imagem da assinatura no PDF é a mesma coisa?

Não. Uma imagem da assinatura não oferece, sozinha, as mesmas evidências de identificação, autenticação e integridade produzidas por mecanismos eletrônicos estruturados. O nível adequado de comprovação depende do risco e da natureza do documento.

O que a empresa deve guardar depois da assinatura?

Além do documento final, pode ser necessário preservar relatórios, registros e demais evidências produzidas pela plataforma, conforme a importância do ato. O objetivo é conseguir demonstrar posteriormente quem assinou, como foi identificado e qual arquivo foi efetivamente firmado.

Fontes consultadas

Presidência da República
Lei nº 14.063, de 23 de setembro de 2020 - estabelece, em seu âmbito de aplicação, as categorias de assinatura eletrônica simples, avançada e qualificada.

Presidência da República
Medida Provisória nº 2.200-2, de 24 de agosto de 2001 - institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil e disciplina a certificação digital.

Instituto Nacional de Tecnologia da Informação - ITI
ICP-Brasil - informações institucionais sobre a infraestrutura brasileira de certificação digital.

Instituto Nacional de Tecnologia da Informação - ITI
Assinatura Eletrônica Avançada - informações sobre assinatura disponibilizada por meio da conta GOV.BR.

Instituto Nacional de Tecnologia da Informação - ITI
VALIDAR - Serviço de Validação de Assinaturas Eletrônicas.

Presidência da República
Lei nº 14.382, de 27 de junho de 2022 - regras relativas ao Sistema Eletrônico dos Registros Públicos e modalidades de assinatura aplicáveis em operações eletrônicas específicas.