Assinatura eletrônica e LGPD: o que sua empresa precisa saber sobre conformidade e dados pessoais

A assinatura eletrônica coleta, processa e armazena dados pessoais a cada documento assinado — nome, e-mail, endereço IP, metadados de acesso. Por isso, qualquer organização que adota esse recurso precisa entender como a Lei Geral de Proteção de Dados (Lei 13.709/2018) se aplica a esse fluxo. A boa notícia é que assinatura eletrônica e LGPD são perfeitamente compatíveis quando o processo é estruturado corretamente: com base legal definida, finalidade clara, dados mínimos e contratos adequados com o fornecedor de assinatura. Este guia explica cada um desses pontos de forma prática.

O que a LGPD tem a ver com assinatura eletrônica

Toda vez que alguém assina um documento eletronicamente, pelo menos um dado pessoal é tratado: o nome do signatário. Na prática, porém, a maioria das plataformas registra muito mais — endereço de e-mail, número de telefone para autenticação, localização geográfica aproximada, horário do acesso, tipo de dispositivo e hash do documento. Cada um desses itens pode ser considerado dado pessoal nos termos da LGPD, pois permite identificar ou tornar identificável uma pessoa natural.

Isso significa que a empresa que envia documentos para assinatura atua, em regra, como controladora desses dados: ela decide a finalidade do tratamento. Já o fornecedor de assinatura eletrônica que processa os dados por conta e ordem da empresa é, em regra, um operador. Essa distinção é fundamental para definir responsabilidades.

Bases legais aplicáveis ao fluxo de assinatura

A LGPD exige que qualquer tratamento de dados pessoais se apoie em uma das hipóteses legais previstas na lei. No contexto de assinatura de contratos, as mais comuns são:

• Execução de contrato: quando o documento assinado é o próprio contrato com a pessoa cujos dados são tratados, a base legal tende a ser a execução contratual.
• Cumprimento de obrigação legal ou regulatória: em setores como saúde, financeiro ou trabalhista, normas específicas exigem o registro de consentimento ou a guarda de documentos.
• Legítimo interesse: pode ser invocado em situações em que a organização tem interesse legítimo no arquivamento de provas e esse interesse não prevalece sobre os direitos dos titulares, mas exige teste de proporcionalidade documentado.
• Consentimento: adequado quando não há outra base aplicável, mas é a mais frágil — pode ser revogado a qualquer momento, o que cria complicações para contratos já celebrados.

Escolher a base legal correta antes de iniciar o fluxo de assinatura não é detalhe burocrático: é o fundamento sobre o qual toda a conformidade será construída.

Princípios da LGPD que afetam o processo de assinatura

Além da base legal, a LGPD impõe princípios que moldam como o fluxo de assinatura deve ser desenhado:

• Finalidade: os dados coletados durante a assinatura só podem ser usados para aquela finalidade declarada. Usá-los para prospecção comercial, por exemplo, viola o princípio.
• Necessidade (minimização): coletar apenas o que for estritamente necessário. Se a autenticação pode ser feita por e-mail, não há justificativa para exigir RG escaneado em todo e qualquer contrato.
• Transparência: o signatário deve saber quais dados são coletados, por quem e para quê — o que normalmente se resolve com uma política de privacidade acessível antes do ato de assinatura.
• Segurança: medidas técnicas e organizacionais adequadas devem proteger os dados contra acessos não autorizados, perda ou vazamento.

A relação controlador–operador com o fornecedor de assinatura eletrônica

Quando uma empresa contrata um serviço de assinatura eletrônica, ela transfere o processamento de dados pessoais para um terceiro. A LGPD exige que essa relação seja formalizada em um contrato de operação de dados (ou cláusulas específicas no contrato de serviço) que, no mínimo:

• Identifique as instruções que o operador deve seguir;
• Proíba o operador de usar os dados para finalidades próprias;
• Garanta que o operador adote medidas de segurança adequadas;
• Preveja como o operador deve agir em caso de incidente de segurança;
• Regule o que acontece com os dados ao término do contrato — devolução ou eliminação.

Antes de contratar qualquer fornecedor de assinatura, portanto, é imprescindível analisar se ele disponibiliza um Acordo de Processamento de Dados (DPA) ou cláusulas equivalentes e se suas práticas de segurança são documentadas e auditáveis. A ausência desses instrumentos é um risco jurídico para o controlador, que responde solidariamente perante a ANPD e os titulares pelos danos causados pelo operador.

Para entender melhor as diferenças entre os tipos de assinatura e seus requisitos técnicos, vale consultar o guia completo sobre assinatura eletrônica simples, avançada e qualificada.

O que avaliar no contrato com o fornecedor

Ao negociar o contrato com a plataforma de assinatura, observe especialmente:

• Suboperadores: o fornecedor utiliza outros serviços em nuvem para hospedar ou processar os dados? Ele deve informar isso e garantir que os suboperadores se submetam às mesmas obrigações.
• Transferências internacionais: se o fornecedor processa dados em servidores fora do Brasil, a LGPD impõe condições específicas — como adequação do país receptor ou garantias contratuais equivalentes.
• Prazos de retenção: o contrato deve definir por quanto tempo o fornecedor manterá os dados dos signatários após o encerramento do serviço, em consonância com a finalidade e com eventuais obrigações legais de guarda.
• Direitos dos titulares: o fornecedor deve ter mecanismos para viabilizar o exercício de direitos como acesso, correção e eliminação, quando aplicável.

Como estruturar um fluxo de assinatura eletrônica em conformidade com a LGPD

A conformidade não se resolve apenas no contrato com o fornecedor. É preciso estruturar o processo interno. Veja os pontos críticos:

Mapeamento de dados no processo de assinatura

O primeiro passo é incluir o fluxo de assinatura eletrônica no Registro de Operações de Tratamento (ROPA) da organização, também chamado de relatório de mapeamento de dados. Isso significa documentar: quais dados são coletados, de quem, para quê, com qual base legal, por quanto tempo ficam retidos e com quem são compartilhados.

Esse mapeamento facilita a resposta a eventual fiscalização da ANPD e é exigido pelas boas práticas de governança em privacidade.

Avisos de privacidade e transparência para o signatário

O signatário — especialmente quando é uma pessoa física, como um cliente consumidor — precisa receber informações claras antes de assinar. O aviso de privacidade deve indicar quem é o controlador, qual a finalidade do tratamento de seus dados no contexto daquele documento e como ele pode exercer seus direitos.

Numa plataforma de assinatura eletrônica, isso se resolve com um link para a política de privacidade exibido na tela de assinatura, de forma clara e prévia ao ato. Essa prática está alinhada tanto à LGPD quanto às recomendações da ANPD.

Para contratos de locação, por exemplo, onde dados de locador e locatário são amplamente tratados, veja como assinar contrato de aluguel online com validade de forma segura e em conformidade.

Incidentes de segurança e resposta a violações

A LGPD exige que, em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o controlador comunique a ocorrência à ANPD e, quando necessário, aos próprios titulares, em prazo razoável. O contrato com o fornecedor de assinatura deve prever a obrigação de notificação imediata ao controlador em caso de violação que afete os dados tratados pelo operador.

Validade jurídica da assinatura eletrônica não compromete a conformidade — e vice-versa

Um questionamento comum é se adotar medidas de proteção de dados pode enfraquecer a validade do documento assinado. A resposta é não. A validade jurídica da assinatura eletrônica no Brasil é garantida pelo marco legal próprio — MP 2.200-2/2001 e Lei 14.063/2020 — e não depende de processos de privacidade. Esses dois conjuntos normativos convivem sem conflito: um cuida da autenticidade e integridade do documento; o outro, da proteção dos dados pessoais tratados no processo.

Na prática, uma assinatura eletrônica juridicamente válida e protegida pela LGPD é mais robusta do que apenas uma delas: o documento tem validade probatória e o processo está em conformidade com a legislação de proteção de dados, reduzindo riscos regulatórios em qualquer eventual litígio ou fiscalização.

Para conhecer as opções de assinatura eletrônica disponíveis e verificar os planos e preços que se encaixam na realidade da sua operação, vale explorar as alternativas do mercado.

Marco legal

Lei 13.709/2018 — Lei Geral de Proteção de Dados (LGPD)

A LGPD é a principal norma aplicável ao tratamento de dados pessoais no Brasil e incide diretamente sobre o fluxo de assinatura eletrônica sempre que há coleta, armazenamento, uso ou compartilhamento de dados de pessoas naturais. Ela estabelece as bases legais para o tratamento, os princípios que devem orientar qualquer operação de dados e os direitos dos titulares — como acesso, correção e eliminação — que precisam ser respeitados pelo controlador e pelo operador envolvidos no processo de assinatura.

Medida Provisória 2.200-2/2001 — ICP-Brasil

A MP 2.200-2/2001 instituiu a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) e estabeleceu as condições de presunção de autoria e integridade dos documentos assinados com certificados emitidos por essa cadeia. Ela é a base normativa para a assinatura qualificada no Brasil e convive com a LGPD: a validade jurídica do documento assinado não afasta as obrigações de proteção de dados que recaem sobre quem processa os dados do signatário.

Lei 14.063/2020 — Assinaturas Eletrônicas em Atos de Pessoas Jurídicas de Direito Público

A Lei 14.063/2020 classificou as assinaturas eletrônicas em simples, avançadas e qualificadas e definiu os critérios de uso de cada nível, sobretudo em interações com órgãos públicos. Do ponto de vista da LGPD, o nível de assinatura adotado impacta diretamente o volume e a sensibilidade dos dados pessoais tratados: a assinatura qualificada exige certificado digital com dados biométricos ou identificação robusta, o que eleva a criticidade do tratamento de dados e demanda medidas de segurança correspondentes.

Código Civil — Liberdade de forma dos contratos (art. 107)

O art. 107 do Código Civil consagra a liberdade de forma como regra geral dos contratos: salvo quando a lei exigir forma especial, as partes podem celebrar negócios jurídicos por qualquer meio, incluindo a assinatura eletrônica. Esse princípio não afasta a LGPD: ainda que um contrato seja válido em qualquer forma, o tratamento de dados pessoais realizado para formalizar esse contrato deve observar a legislação de proteção de dados.

Código de Processo Civil — Prova documental eletrônica

O CPC reconhece documentos eletrônicos como meio de prova e confere ao juiz critérios para avaliar sua autenticidade. Em eventual litígio que envolva documento assinado eletronicamente, os logs e metadados gerados durante o processo de assinatura podem ser requeridos como prova — o que reforça a importância de que esses dados sejam armazenados com segurança e por prazo adequado, em conformidade com a LGPD e com as obrigações legais de guarda aplicáveis a cada tipo de documento.

Casos de uso

Empresa de RH que digitaliza admissões

Uma empresa de médio porte do setor de recursos humanos passou a utilizar assinatura eletrônica para formalizar contratos de trabalho, termos de confidencialidade e políticas internas. Ao adotar a plataforma, o time jurídico percebeu que o fornecedor processava dados sensíveis dos candidatos — como cópias de documentos de identificação para autenticação avançada. A solução foi revisar o contrato com o fornecedor para incluir cláusulas de operação de dados nos termos da LGPD, limitar a coleta ao mínimo necessário para cada tipo de documento e incluir um aviso de privacidade específico na tela de assinatura. O resultado foi um processo de admissão digital válido juridicamente e em conformidade com a legislação de proteção de dados.

Escritório de advocacia com clientela pessoa física

Um escritório de advocacia que representa pessoas físicas em causas cíveis passou a enviar procurações e contratos de honorários por meio de assinatura eletrônica. O desafio era garantir que os clientes — muitas vezes leigos em tecnologia — soubessem que seus dados seriam processados e por quem. O escritório adicionou um parágrafo de transparência no e-mail de convite para assinatura, informando a finalidade do tratamento e o prazo de retenção do documento. Também revisou seu mapeamento de dados para incluir esse fluxo como operação de tratamento distinta, com base legal de execução contratual. A adequação reduziu riscos perante a ANPD e aumentou a confiança dos clientes no processo.

Empresa de saúde suplementar

Uma operadora de plano de saúde que envia contratos de adesão e termos de autorização de procedimentos por assinatura eletrônica identificou que tratava dados de saúde — categoria especial na LGPD — no contexto de alguns documentos. Para esse fluxo específico, foi necessário adotar medidas reforçadas de segurança, definir base legal adequada para dados sensíveis e garantir que o fornecedor de assinatura tivesse controles técnicos compatíveis. O exercício de revisão do processo revelou lacunas no contrato com o operador que foram corrigidas antes de qualquer fiscalização, evitando riscos regulatórios significativos.

Perguntas frequentes

A assinatura eletrônica é considerada tratamento de dados pessoais pela LGPD?

Sim. Toda plataforma de assinatura eletrônica coleta, armazena e processa dados de identificação dos signatários — nome, e-mail, endereço IP, registros de acesso e outros metadados. Esses dados se enquadram na definição de dados pessoais da LGPD. Portanto, qualquer empresa que use assinatura eletrônica está realizando tratamento de dados pessoais e deve observar as exigências da lei, incluindo base legal, princípios e direitos dos titulares.

Quem é o responsável pelos dados tratados durante a assinatura eletrônica?

Em regra, a empresa que decide enviar o documento para assinatura é a controladora e responde pelo tratamento. O fornecedor da plataforma de assinatura é o operador — processa os dados por conta e ordem do controlador. Essa distinção é importante porque o controlador responde perante a ANPD e os titulares pelos atos do operador, o que torna essencial formalizar a relação em um contrato de processamento de dados adequado.

É necessário obter o consentimento do signatário para tratar seus dados durante a assinatura?

Não necessariamente. O consentimento é apenas uma das bases legais previstas na LGPD. Em muitos casos, a execução do próprio contrato ou o cumprimento de obrigação legal são bases mais adequadas e mais estáveis do que o consentimento, que pode ser revogado. A escolha da base legal correta depende da natureza do documento, do tipo de dado tratado e da relação entre as partes, sendo recomendável a análise caso a caso com suporte jurídico especializado.

Como verificar se um fornecedor de assinatura eletrônica está em conformidade com a LGPD?

Solicite ao fornecedor um Acordo de Processamento de Dados (DPA) ou cláusulas contratuais equivalentes. Verifique se ele informa quais suboperadores utiliza, onde os dados são armazenados, como trata incidentes de segurança e quais são as condições para eliminação ou devolução dos dados ao final do contrato. A ausência de qualquer um desses elementos é um sinal de alerta que deve ser resolvido antes da contratação.

A LGPD pode invalidar um documento assinado eletronicamente?

Não. A validade jurídica da assinatura eletrônica é regulada pela MP 2.200-2/2001, pela Lei 14.063/2020 e pelo Código Civil, e não é afetada pelas normas de proteção de dados. Uma eventual violação da LGPD no processo de assinatura pode gerar sanções administrativas e responsabilidade civil para o controlador, mas não torna o documento assinado nulo ou ineficaz. Os dois regimes jurídicos operam de forma independente e complementar.

Conclusão

Assinatura eletrônica e LGPD não são universos separados: toda vez que um documento é assinado digitalmente, dados pessoais são tratados. Estruturar esse processo com base legal adequada, contratos claros com o operador, avisos de privacidade transparentes e mapeamento de dados não é apenas uma exigência regulatória — é uma forma de construir confiança com clientes, parceiros e colaboradores em um ambiente de negócios cada vez mais digital.

A conformidade começa na escolha do fornecedor. Antes de escalar o uso de assinatura eletrônica na sua organização, avalie cuidadosamente os instrumentos contratuais oferecidos, as práticas de segurança documentadas e a capacidade de suportar o exercício dos direitos dos titulares. Esses critérios devem pesar tanto quanto o preço ou a facilidade de uso da plataforma.

Se você está em busca de uma solução para dar esse passo com segurança, crie uma conta gratuita no Certyneo e explore como a plataforma pode atender às necessidades da sua operação. Em caso de dúvidas sobre o volume de documentos ou as opções disponíveis, fale com o time de vendas.