Assinatura Eletrônica e Assinatura Digital: A Diferença Que Decide a Validade

"Assinatura eletrônica" e "assinatura digital" são usadas como se fossem sinônimos, e essa confusão custa caro. Um clique em "aceito" no fim de um formulário é uma assinatura eletrônica. Uma assinatura feita com certificado ICP-Brasil também é. Mas as duas têm pesos jurídicos muito diferentes, e usar a mais fraca onde a lei exige a mais forte pode invalidar um ato inteiro. Entender essa hierarquia não é preciosismo jurídico; é o que separa um documento que se sustenta de um que pode ser derrubado.

Este artigo desfaz a confusão. Explica o que é cada tipo, o que diz a legislação brasileira, e quando o certificado digital é indispensável.

Assinatura eletrônica é o gênero; digital é uma espécie#

Comece pela hierarquia correta. Assinatura eletrônica é o termo guarda-chuva, o gênero. Ela engloba qualquer método eletrônico de manifestar concordância ou autoria: um clique em um botão, um nome digitado no fim de um e-mail, um código enviado por SMS, uma imagem de assinatura colada em um PDF, ou uma assinatura feita com certificado digital.

Assinatura digital é uma espécie específica e mais robusta dentro desse gênero. Ela é a assinatura eletrônica que usa criptografia assimétrica e um certificado digital para garantir a identidade do signatário e a integridade do documento. Toda assinatura digital é uma assinatura eletrônica; nem toda assinatura eletrônica é digital. É como dizer que todo polegar é um dedo, mas nem todo dedo é um polegar.

A diferença técnica importa porque a assinatura digital baseada em certificado oferece três garantias que uma assinatura eletrônica simples não oferece: autenticidade (prova de quem assinou), integridade (prova de que o documento não foi alterado depois de assinado) e não repúdio (o signatário não pode negar de forma plausível que assinou). Como isso funciona por baixo, com par de chaves e hierarquia de confiança ancorada no ITI, está explicado em o que é certificado digital ICP-Brasil e por que ele tem validade jurídica.

Os três níveis da Lei 14.063/2020#

A legislação brasileira organizou esse assunto de forma clara. A Lei nº 14.063, de 23 de setembro de 2020, que trata do uso de assinaturas eletrônicas nas interações com entes públicos, estabeleceu três níveis de assinatura, em ordem crescente de robustez:

1. Assinatura eletrônica simples. É a de menor exigência. Identifica o signatário e anexa ou associa dados eletrônicos ao documento. Um login e senha, um aceite em plataforma, um código por e-mail se enquadram aqui. Serve para atos de baixo risco, onde a formalidade não é crítica.

2. Assinatura eletrônica avançada. Um degrau acima. Ela usa certificados não emitidos pela ICP-Brasil ou outro meio de comprovação de autoria e integridade que esteja associado ao signatário de maneira unívoca, permitindo detectar alterações posteriores. É mais forte que a simples porque amarra a assinatura ao signatário e ao documento de forma verificável, mas não tem o respaldo da infraestrutura oficial do Estado. Muitas plataformas privadas de assinatura operam nesse nível.

3. Assinatura eletrônica qualificada. O nível máximo. É a que utiliza certificado digital da ICP-Brasil. Esta é, tecnicamente, a assinatura digital no sentido estrito, e é a única que goza da presunção legal de veracidade estabelecida pela MP 2.200-2. É o padrão-ouro, exigido para os atos mais sensíveis.

Essa escada de três degraus é a chave para entender quando cada tipo basta e quando só o certificado resolve.

O que significa "presunção de veracidade"#

A expressão aparece o tempo todo e merece tradução. Quando a lei diz que a assinatura qualificada tem presunção de veracidade em relação ao signatário, ela está estabelecendo uma inversão do ônus da prova. Com uma assinatura qualificada, presume-se que o documento é autêntico e íntegro; quem quiser contestar é que precisa provar a fraude, o que é tecnicamente muito difícil dada a robustez criptográfica.

Com assinaturas de níveis inferiores, essa presunção não opera com a mesma força. Em caso de disputa, pode caber a quem apresenta o documento demonstrar que a assinatura é legítima, o que nem sempre é trivial. É por isso que, para atos de alto valor ou alta litigiosidade, a assinatura qualificada oferece muito mais segurança: ela transfere para o contestante o trabalho, quase impossível, de provar que a criptografia foi burlada.

Quando o certificado ICP-Brasil é obrigatório#

Nem todo documento exige assinatura qualificada, e usar certificado para tudo seria exagero. Mas há situações em que ele é obrigatório ou fortemente recomendado:

• Nota fiscal eletrônica (NF-e): a assinatura da nota exige certificado da empresa, sem alternativa.
• eSocial, SPED e obrigações fiscais digitais: a transmissão exige certificado.
• Interações com o poder público que a lei classifica como de maior risco: a própria Lei 14.063 prevê que atos mais sensíveis exijam assinatura qualificada.
• Processos judiciais eletrônicos: petições e atos processuais costumam exigir assinatura com certificado.
• Documentos que precisam de validade jurídica plena e incontestável: procurações, contratos de alto valor, escrituras e atos que se quer blindar contra contestação.

O mapa dos sistemas de governo que exigem certificado, com o que cada um demanda, está reunido em onde usar o certificado digital: gov.br, Receita, eSocial e NF-e na prática.

Quando a assinatura eletrônica simples basta#

Do outro lado, é importante não superdimensionar. Para uma enorme quantidade de atos do cotidiano, a assinatura eletrônica simples ou avançada resolve com sobra: aceites de termos de uso, contratos de baixo risco entre partes que confiam uma na outra, autorizações internas, confirmações de pedido. Exigir certificado ICP-Brasil para assinar um comunicado interno é desperdício de esforço.

O critério prático é o risco. Quanto maior o valor envolvido, a probabilidade de disputa e a exigência legal, mais robusta deve ser a assinatura. Documentos de baixo risco toleram assinaturas simples; documentos de alto risco ou com exigência legal pedem a qualificada. A arte está em calibrar o nível ao risco real, sem burocratizar o trivial nem fragilizar o crítico.

O carimbo do tempo: quando a data também precisa de prova#

Há uma dimensão que costuma escapar da discussão: quando um documento foi assinado. A assinatura digital prova quem assinou e que o conteúdo não mudou, mas a data e a hora vêm do relógio do computador de quem assinou, que pode estar errado ou ser manipulado. Para situações em que o momento exato importa juridicamente, existe o carimbo do tempo (timestamp), emitido por Autoridades de Carimbo do Tempo credenciadas na ICP-Brasil. Ele atesta, de forma confiável e independente, que determinado documento existia em determinado instante. Para contratos com prazos críticos, propriedade intelectual e provas que dependem de cronologia, o carimbo do tempo agrega uma camada de segurança que a assinatura sozinha não dá.

A questão do documento assinado: PDF e formatos#

Um detalhe operacional que gera dúvida: como uma assinatura digital fica "dentro" de um documento? No caso mais comum, o PDF, a assinatura é embutida no próprio arquivo seguindo padrões técnicos (como o PAdES), de modo que qualquer leitor compatível consegue verificar a assinatura e alertar se o documento foi alterado após a assinatura. Também existe o formato de assinatura destacada, em que o arquivo de assinatura acompanha o documento separadamente. O importante é que, em qualquer caso, a verificação confirme três coisas: o certificado do signatário é válido e confiável, a assinatura corresponde ao conteúdo, e o documento não foi modificado depois de assinado.

Como se verifica uma assinatura na prática#

Saber que uma assinatura é válida é uma coisa; comprovar isso é outra. Para as assinaturas qualificadas com certificado ICP-Brasil, existem verificadores oficiais e ferramentas de leitores de PDF que conferem a assinatura e devolvem um laudo: quem assinou, quando, se o certificado era válido e confiável no momento, e se o documento foi alterado depois. O ITI e o próprio Validador de Conformidade da ICP-Brasil permitem verificar se um documento assinado atende às regras da infraestrutura. Essa capacidade de verificação independente é o que dá musculatura à assinatura qualificada: qualquer parte, a qualquer momento, pode auditar a assinatura sem depender da boa vontade de quem assinou. Para assinaturas de níveis inferiores, essa verificação nem sempre é possível ou padronizada, o que é justamente parte do que as torna menos robustas em disputa.

Assinatura em nuvem também é qualificada#

Um esclarecimento que evita confusão: a assinatura feita com certificado em nuvem — aquele em que a chave fica em um módulo de segurança de hardware da Autoridade Certificadora e você autoriza pelo celular — também é uma assinatura qualificada, desde que o certificado seja ICP-Brasil. O fato de a assinatura ser acionada remotamente não a rebaixa de nível. O que define a qualificação é o certificado ICP-Brasil por trás, não o dispositivo em que a chave repousa. Portanto, quem assina com certificado em nuvem produz o mesmo efeito jurídico de quem assina com token A3 ou arquivo A1: presunção legal de veracidade pela MP 2.200-2.

Não confunda validade jurídica com aceitação prática#

Um último alerta. Uma coisa é a assinatura ter validade jurídica; outra é ela ser aceita por um sistema ou órgão específico. Um cartório, um banco ou um sistema de governo pode exigir um tipo específico de assinatura, ou um formato particular, independentemente de outra forma ser juridicamente válida. Antes de assinar um documento importante, vale confirmar qual nível e qual formato o destinatário exige. Ter a assinatura mais forte do mundo não adianta se o sistema que vai recebê-la só aceita um formato que você não usou.

O resumo que evita erro#

Guarde a hierarquia: assinatura eletrônica é o gênero, com três níveis pela Lei 14.063 — simples, avançada e qualificada. A qualificada é a assinatura digital com certificado ICP-Brasil, a única com presunção legal de veracidade pela MP 2.200-2. Use a simples para o trivial, a qualificada para o que a lei exige ou para o que você não pode se dar ao luxo de ver contestado. Confundir os níveis é o erro que transforma um documento aparentemente assinado em um documento potencialmente inválido — e esse é um risco que se evita simplesmente entendendo a diferença.