Assinatura eletrônica na operação: os três níveis da Lei 14.063/2020 e quando usar cada um

A cena é comum em operações que começaram a digitalizar: o técnico conclui o serviço, o cliente assina na tela do celular, o sistema gera um PDF e a equipe respira aliviada. Meses depois, o cliente contesta o atendimento e alguém pergunta: essa assinatura vale? A resposta honesta costuma ser "depende" - e o que ela depende está escrito em lei desde 2020.

A Lei nº 14.063, de 23 de setembro de 2020, regulamenta o uso de assinaturas eletrônicas nas interações com órgãos públicos, em atos de pessoas jurídicas e em questões de saúde. O ponto mais útil dela para quem gere uma operação não é jurídico, é prático: a lei classifica as assinaturas em três níveis e associa cada nível a um grau de confiabilidade. Entender essa escala permite decidir, documento por documento, quanto rigor faz sentido exigir.

O que é assinatura eletrônica (e o que ela não é)

Assinatura eletrônica é o conjunto de mecanismos que permitem identificar quem assinou um documento eletrônico e verificar se ele foi alterado depois disso. São duas funções distintas e igualmente importantes: autoria e integridade. Um mecanismo que prova quem assinou mas não detecta mudanças posteriores resolve metade do problema.

É por isso que colar a imagem de uma assinatura manuscrita em um PDF não é, tecnicamente, assinar eletronicamente. A imagem pode ser recortada e colada em outro documento, e nada no arquivo revela se um valor foi alterado depois. Ela é um elemento visual, não uma prova.

Os três níveis da Lei 14.063/2020

O art. 4º da lei classifica as assinaturas eletrônicas em simples, avançada e qualificada, em ordem crescente de confiabilidade.

Assinatura eletrônica simples

É aquela que permite identificar o signatário e anexar ou associar dados ao documento. Na prática, é o aceite feito por login, código enviado por mensagem, clique em "concordo" ou coleta de assinatura na tela do dispositivo. Identifica quem assinou dentro de um contexto controlado, mas depende do sistema que a gerou para sustentar essa identificação.

Assinatura eletrônica avançada

Usa certificados não emitidos pela ICP-Brasil ou outros meios de comprovação de autoria e integridade, desde que admitidos pelas partes como válidos ou aceitos por quem recebe o documento. A lei exige três características: estar associada ao signatário de maneira unívoca, usar dados de criação sob o controle exclusivo do signatário e estar relacionada ao documento de forma que qualquer modificação posterior seja detectável.

Assinatura eletrônica qualificada

É a que utiliza certificado digital nos termos da Medida Provisória nº 2.200-2, de 2001, ou seja, certificado da ICP-Brasil. Representa o nível mais elevado de confiabilidade previsto na lei e é o único exigido de forma obrigatória em determinados atos.

Quando a lei exige o nível mais alto

O art. 5º trata do nível mínimo exigido nas interações com o ente público e reserva a assinatura qualificada para hipóteses específicas, entre elas atos assinados por chefes de Poder e ministros de Estado, emissão de notas fiscais eletrônicas (com ressalvas, como as de pessoas físicas e microempreendedores individuais), atos de transferência e registro de bens imóveis e demais casos previstos em lei. A assinatura simples é admitida em interações de menor impacto que não envolvam informações protegidas por grau de sigilo.

No âmbito federal, o Decreto nº 10.543, de 13 de novembro de 2020, regulamenta esse artigo e dispõe sobre o uso de assinaturas eletrônicas na administração pública federal, definindo os níveis mínimos por tipo de ato. Estados e municípios têm competência para estabelecer suas próprias regras dentro do que a lei permite, o que significa que a exigência aplicável a um contrato com uma prefeitura pode não ser a mesma de um contrato com um órgão federal.

A assinatura gov.br na prática

Para quem interage com o setor público ou precisa de uma opção sem custo, o governo federal disponibiliza a assinatura eletrônica gov.br. Segundo o Portal Gov.br, o serviço é gratuito, de autosserviço e imediato, funciona pelo assinador do ITI e está fundamentado na Lei nº 14.063/2020 e no Decreto nº 10.543/2020. O documento assinado por esse meio tem a mesma validade de um documento com assinatura física.

Dois detalhes operacionais fazem diferença no dia a dia:

• Nível da conta: é necessário ter conta gov.br nos níveis prata ou ouro. Contas bronze não acessam o assinador. A elevação de nível é feita por reconhecimento facial pelo aplicativo gov.br, por validação em bancos credenciados ou por certificado digital.
• Formato do arquivo: a página oficial do Governo Digital lista os tipos aceitos (.DOC, .DOCX, .ODT, .JPG, .PNG e .PDF, com limite de 100 MB) e alerta para um erro frequente: usar a função "imprimir para salvar" gera um arquivo que não inclui a assinatura.

Para conferir a autenticidade de um documento recebido, o ITI mantém o Validador de Assinaturas, que verifica assinaturas ICP-Brasil, assinaturas gov.br e assinaturas de acordos de reconhecimento mútuo, informando o titular do certificado utilizado e se o documento sofreu alteração após a assinatura. Vale incorporar essa conferência à rotina de quem recebe documentos assinados de terceiros, especialmente em processos de contratação e prestação de contas. Esse tipo de checagem é a mesma lógica que sustenta a digitalização de serviços públicos: digitalizar sem verificar apenas move o problema de lugar.

Como escolher o nível para cada documento da operação

Fora das hipóteses em que a lei já define o nível, a escolha é uma decisão de gestão de risco. Um caminho simples é classificar cada documento por duas perguntas: qual o impacto se a autoria for contestada? e qual o atrito aceitável para quem vai assinar?

Repare que a coluna do meio é uma avaliação de risco, não uma regra legal. A recomendação prática é registrar essa classificação em uma política interna curta, aprovada pela área jurídica, para que a equipe não decida caso a caso. Isso é governança de atividades aplicada a documentos.

O que registrar junto com a assinatura

Em qualquer nível, a assinatura ganha força quando vem acompanhada de evidências do ato. No nível simples, elas são praticamente tudo o que se tem para reconstituir o que aconteceu. Um conjunto mínimo útil inclui:

• Identificação de quem assinou: nome, documento e vínculo com o cliente ou órgão.
• Data e hora do ato, com fuso definido.
• Versão exata do documento apresentada no momento da assinatura, preservada sem edição posterior.
• Trilha de auditoria: quem gerou, quem enviou, quem visualizou e quando.
• Contexto do atendimento: ordem de serviço vinculada, equipe responsável e, quando pertinente, geolocalização do registro.

Um cuidado que caminha junto: essas evidências são dados pessoais e precisam respeitar finalidade e minimização. Coletar geolocalização em toda assinatura "por precaução" é o tipo de excesso que a LGPD desestimula. Tratamos disso em detalhe no artigo sobre LGPD na operação.

Cinco erros comuns na adoção

• Tratar todos os documentos no mesmo nível: gera atrito onde não precisa e risco onde precisaria de rigor.
• Confundir imagem de assinatura com assinatura eletrônica: o desenho na tela é a interface, não a prova.
• Não guardar a versão assinada: se o documento é regenerado depois, a integridade se perde.
• Ignorar a norma do ente público contratante: cada ente pode definir seu nível mínimo, e a regra federal não é automaticamente a do município.
• Deixar a validação de fora do processo: receber documentos de terceiros sem conferir autenticidade anula boa parte do ganho.