Assinatura eletrônica ICP-Brasil e certificado digital A1 e A3: quando cada um é necessário

A assinatura eletrônica respaldada pela ICP-Brasil é o nível mais robusto de autenticação digital reconhecido pelo ordenamento jurídico brasileiro. Ela utiliza um certificado digital emitido por uma Autoridade Certificadora credenciada e garante, ao mesmo tempo, a identidade do signatário e a integridade do documento. Mas nem todo contrato ou ato jurídico exige esse nível de segurança: a Lei 14.063/2020 reconhece três categorias distintas de assinatura eletrônica, cada uma adequada a um contexto específico. Compreender quando o certificado ICP-Brasil é obrigatório — e quando uma assinatura eletrônica mais simples já é suficiente — é o primeiro passo para tomar decisões jurídicas e operacionais seguras.

O que é a ICP-Brasil e qual é o papel dos certificados digitais

A Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) foi instituída pela Medida Provisória 2.200-2/2001 e é gerida pelo Comitê Gestor da ICP-Brasil, presidido pelo Instituto Nacional de Tecnologia da Informação (ITI). Seu objetivo principal é garantir a autenticidade, a integridade e o não repúdio de documentos eletrônicos.

Como funciona a cadeia de confiança

A ICP-Brasil opera por meio de uma hierarquia de Autoridades Certificadoras (ACs). No topo está a AC Raiz, seguida pelas Autoridades Certificadoras de primeiro e segundo níveis, até chegar às Autoridades de Registro (ARs), que validam presencialmente ou por videoconferência a identidade de cada titular antes de emitir o certificado. Essa cadeia cria um elo verificável entre a chave criptográfica e uma pessoa física ou jurídica real.

Diferença entre certificado A1 e A3

O certificado A1 é gerado e armazenado em software, diretamente no computador ou no servidor da empresa. Tem validade de um ano e é mais prático para quem assina um grande volume de documentos de forma automatizada. Já o A3 é armazenado em dispositivo físico criptografado — token USB, cartão inteligente ou módulo de segurança de hardware (HSM) — e pode ter validade de um a três anos. O A3 oferece maior proteção porque a chave privada nunca sai do dispositivo; por isso é exigido em operações de maior risco, como procurações públicas eletrônicas ou alguns atos perante órgãos públicos federais.

A escolha entre A1 e A3 depende do volume de assinaturas, do nível de risco do ato jurídico e da exigência específica do receptor do documento.

Quando a assinatura ICP-Brasil é obrigatória

A regra geral do Código Civil brasileiro (art. 107) é a liberdade de forma: os negócios jurídicos só exigem forma especial quando a lei expressamente determinar. Isso significa que, na maior parte dos contratos privados, uma assinatura eletrônica de nível simples ou avançado já é juridicamente válida.

Atos que exigem certificado ICP-Brasil por imposição legal ou regulatória

Há situações em que a legislação ou normas setoriais impõem o uso de certificado ICP-Brasil:

• Documentos fiscais eletrônicos: NF-e, NFS-e, CT-e e MDF-e precisam ser assinados com certificado ICP-Brasil para ter validade perante a Receita Federal e as Secretarias de Fazenda estaduais.
• Processos judiciais e petições eletrônicas: o sistema PJe (Processo Judicial Eletrônico) e outros portais dos tribunais exigem certificado ICP-Brasil para advogados e partes representadas.
• Atos perante o INSS e outros órgãos federais: a Lei 14.063/2020 estabelece que determinadas interações com o poder público federal requerem assinatura eletrônica qualificada, que no Brasil equivale à assinatura com certificado ICP-Brasil.
• Escrituras e atos notariais eletrônicos: tabelionatos de notas que operam o sistema e-Notariado utilizam certificado ICP-Brasil para lavrar escrituras públicas digitais.
• Operações no mercado financeiro e de capitais: regulamentações do Banco Central e da CVM podem exigir o uso de certificado ICP-Brasil em determinadas situações.

Quando uma assinatura avançada ou simples já basta

Para contratos entre particulares — como contratos de prestação de serviços, locação residencial, acordos comerciais e até contratos de trabalho em admissão remota — a assinatura eletrônica avançada ou simples é suficiente na maioria dos casos, desde que as partes consintam e o documento permita a identificação dos signatários. O princípio da validade jurídica da assinatura eletrônica no Brasil é justamente que a forma segue a função: o que importa é a capacidade probatória do documento.

Certificado digital no dia a dia das empresas

Para além das obrigações legais, o certificado ICP-Brasil tornou-se parte da rotina de muitas empresas brasileiras, especialmente após a expansão do eSocial, do SPED e da nota fiscal eletrônica.

Uso corporativo do certificado A1

Empresas que emitem grandes volumes de NF-e preferem o A1 pela facilidade de integração com ERPs e sistemas de gestão. O certificado fica armazenado no servidor e pode assinar milhares de documentos por dia de forma automatizada. A desvantagem é a necessidade de renovação anual e o risco de comprometimento caso o servidor seja invadido.

Uso do certificado A3 por profissionais liberais e representantes legais

Advogados, contadores, médicos e outros profissionais que atuam em plataformas governamentais — como o Portal de Serviços do Governo Federal, o e-CAC ou o PJe — frequentemente utilizam o A3 em token ou smart card. A portabilidade do dispositivo físico permite assinar documentos de qualquer computador sem expor a chave privada.

Integração com plataformas de assinatura eletrônica

Uma tendência crescente é integrar o certificado ICP-Brasil a plataformas de assinatura eletrônica online, permitindo que o signatário utilize seu próprio certificado A1 ou A3 para validar documentos dentro de um fluxo de aprovação digital. Isso combina a conveniência de uma plataforma centralizada com a força jurídica do certificado ICP-Brasil. Ao avaliar planos e preços de serviços de assinatura eletrônica, verifique se a plataforma suporta esse tipo de integração conforme as suas necessidades.

Proteção de dados e responsabilidade ao usar certificados digitais

O uso de certificados digitais envolve, por definição, o tratamento de dados pessoais sensíveis — inclusive biometria e documentos de identificação coletados no processo de emissão. A Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD) se aplica integralmente a esse fluxo de informações.

Obrigações do titular do certificado

O titular de um certificado ICP-Brasil é responsável pelo uso da chave privada. Se o dispositivo for perdido, roubado ou comprometido, deve revogar o certificado imediatamente junto à Autoridade Certificadora emissora. A assinatura realizada com um certificado não revogado, mesmo que feita por terceiro não autorizado, pode gerar responsabilidade civil e penal ao titular.

Cuidados ao compartilhar documentos assinados

Documentos assinados com certificado ICP-Brasil contêm metadados que identificam o signatário. Ao compartilhá-los, a empresa deve verificar se está respeitando os princípios da LGPD, especialmente a finalidade e a necessidade do tratamento dos dados pessoais contidos no arquivo. O tema é aprofundado no artigo sobre assinatura eletrônica e conformidade com a LGPD.

Como escolher entre certificado ICP-Brasil e outras formas de assinatura eletrônica

A decisão deve considerar três variáveis principais:

1. Natureza do ato jurídico

Se o ato envolve um órgão público federal, uma plataforma judicial ou a emissão de documentos fiscais, o certificado ICP-Brasil é, na prática, indispensável. Para atos entre privados, analise o risco do negócio e o valor envolvido.

2. Perfil operacional da empresa

Uma pequena empresa que assina alguns contratos por mês pode optar por uma solução de assinatura eletrônica avançada sem certificado ICP-Brasil, reduzindo custos e burocracia. Uma empresa que emite milhares de notas fiscais por dia precisa do certificado A1 integrado ao seu ERP.

3. Exigências contratuais da outra parte

Clientes governamentais, grandes empresas do setor financeiro ou entidades reguladas frequentemente exigem certificado ICP-Brasil em seus contratos. Verifique as exigências antes de escolher a solução. Se tiver dúvidas sobre qual formato se adequa ao seu caso, você pode falar com a equipe de especialistas para uma avaliação personalizada.

Marco legal

O arcabouço jurídico brasileiro para assinaturas eletrônicas e certificados digitais é formado por um conjunto de normas que se complementam. Conhecê-las é fundamental para tomar decisões seguras e evitar nulidades processuais ou fiscais.

Medida Provisória 2.200-2/2001 (ICP-Brasil)

Esta é a norma fundadora da Infraestrutura de Chaves Públicas Brasileira. Ela atribui presunção legal de autenticidade e integridade aos documentos eletrônicos assinados com certificado emitido no âmbito da ICP-Brasil. Também admite, expressamente, que as partes convencionem entre si outras formas de comprovação de autoria e integridade — abrindo espaço para assinaturas eletrônicas fora da ICP-Brasil, desde que acordadas.

Lei 14.063/2020 (Assinaturas eletrônicas simples, avançada e qualificada)

Esta lei organizou o ecossistema de assinaturas eletrônicas no Brasil em três níveis — simples, avançada e qualificada — e definiu critérios para o uso de cada um nas interações com o poder público e entre particulares. A assinatura eletrônica qualificada corresponde, no Brasil, ao uso de certificado ICP-Brasil, e é a única que goza de presunção legal plena de autoria sem necessidade de provas adicionais. A lei também orienta quais atos públicos demandam cada nível, reduzindo insegurança jurídica.

Lei 13.709/2018 — LGPD

A Lei Geral de Proteção de Dados impõe obrigações a todo agente que trate dados pessoais no processo de emissão, uso e armazenamento de certificados digitais. O titular do certificado, as Autoridades Certificadoras e as plataformas que recebem documentos assinados são agentes de tratamento sujeitos aos princípios de finalidade, necessidade e segurança. O descumprimento pode resultar em sanções administrativas aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD).

Código Civil — Liberdade de forma (art. 107)

O artigo 107 do Código Civil consagra o princípio da liberdade de forma: salvo quando a lei exigir forma especial, a validade do negócio jurídico não depende do suporte utilizado. Isso fundamenta a validade de contratos assinados eletronicamente sem certificado ICP-Brasil, desde que as partes consintam e o documento permita identificar os signatários.

Código de Processo Civil — Prova documental eletrônica

O CPC reconhece documentos eletrônicos como meio de prova. Em caso de impugnação de autenticidade, o juiz pode determinar perícia técnica sobre o documento digital. Documentos assinados com certificado ICP-Brasil têm presunção legal de autoria, o que facilita — mas não elimina completamente — a produção de prova em juízo; documentos com outros tipos de assinatura eletrônica também são admissíveis, cabendo ao juiz valorar as evidências disponíveis.

Casos de uso

Caso 1: Escritório de advocacia e o PJe

Um escritório de advocacia de médio porte que atua em diversas varas federais e estaduais precisa peticionar eletronicamente pelo sistema PJe e por portais equivalentes dos tribunais. Nesse contexto, todos os advogados que assinam peças precisam de certificado ICP-Brasil — geralmente do tipo A3 em token USB, para garantir que a chave privada não seja exposta ao peticionar de diferentes máquinas. O custo do certificado e da renovação periódica faz parte do orçamento operacional do escritório, e a renovação antecipada é planejada para evitar interrupções no fluxo de trabalho.

Caso 2: Empresa de tecnologia e contratos comerciais com parceiros privados

Uma empresa de tecnologia que celebra contratos de licenciamento de software, acordos de nível de serviço (SLAs) e termos de parceria exclusivamente com outras empresas privadas optou por utilizar assinatura eletrônica avançada, sem certificado ICP-Brasil, para agilizar o fechamento de negócios. Como todos os contratos são entre particulares e as partes concordaram com o meio eletrônico, a solução é juridicamente válida e reduz o tempo médio de assinatura de dias para horas. Para os contratos que envolvem clientes do setor público, a empresa mantém um certificado A1 para uso pontual.

Caso 3: Profissional autônomo e obrigações fiscais

Uma profissional autônoma que presta serviços de consultoria e emite NFS-e pelo portal da prefeitura de sua cidade precisou obter um certificado ICP-Brasil para autenticar sua identidade no sistema municipal. Após comparar as opções, optou pelo A1 pela praticidade — trabalha sempre do mesmo computador e não precisa de portabilidade. A renovação anual é lembrada por alerta no calendário, evitando a interrupção do faturamento. Para os contratos com seus clientes, ela utiliza uma plataforma de assinatura eletrônica online, suficiente para formalizar os acordos de prestação de serviços.

Perguntas frequentes

Qual é a diferença entre assinatura eletrônica e assinatura digital com certificado ICP-Brasil?

Assinatura eletrônica é o termo amplo que abrange qualquer método eletrônico de manifestar consentimento em um documento — de um clique de confirmação a uma assinatura biométrica. Assinatura digital com certificado ICP-Brasil é uma categoria específica e mais robusta, baseada em criptografia assimétrica e na cadeia de confiança da ICP-Brasil, que garante por presunção legal a autoria e a integridade do documento assinado.

Todo contrato eletrônico precisa de certificado ICP-Brasil para ter validade jurídica?

Não. A regra geral do Código Civil é a liberdade de forma: contratos entre particulares são válidos independentemente do suporte, desde que as partes sejam capazes e o objeto seja lícito. O certificado ICP-Brasil é obrigatório apenas quando exigido por lei ou regulamento específico — como na emissão de notas fiscais eletrônicas, petições judiciais no PJe ou atos perante determinados órgãos públicos.

O certificado A1 é menos seguro do que o A3?

O A1 armazena a chave privada em software, o que o torna mais vulnerável a ataques caso o computador ou servidor seja comprometido. O A3 guarda a chave em hardware criptográfico, impossibilitando a exportação da chave privada. Para operações de alto valor ou atos com maior exposição jurídica, o A3 oferece garantia adicional. Para automação fiscal em servidores protegidos, o A1 é amplamente utilizado e aceito.

O que acontece se meu certificado digital vencer durante a vigência de um contrato já assinado?

O vencimento do certificado não invalida retroativamente os documentos já assinados. O que importa é que, no momento da assinatura, o certificado era válido e não estava revogado. Plataformas e sistemas confiáveis registram o carimbo de tempo (timestamp) no momento da assinatura, comprovando que ela ocorreu dentro do prazo de validade do certificado.

Como posso verificar se um documento foi assinado com certificado ICP-Brasil válido?

O ITI disponibiliza o Verificador de Conformidade de Assinatura Digital, ferramenta gratuita acessível pelo portal oficial do instituto. Também é possível verificar a validade diretamente em leitores de PDF compatíveis com a cadeia ICP-Brasil, que exibem informações sobre o certificado utilizado, o status de revogação e o carimbo de tempo aplicado à assinatura.

Conclusão

A assinatura eletrônica com certificado ICP-Brasil é um pilar da segurança jurídica digital no Brasil, indispensável em obrigações fiscais, processos judiciais eletrônicos e diversas interações com o poder público. Ao mesmo tempo, a Lei 14.063/2020 deixa claro que nem todo ato jurídico exige esse nível de robustez: assinaturas eletrônicas simples e avançadas são plenamente válidas para a grande maioria dos contratos entre particulares.

A decisão correta começa por mapear os tipos de documentos que sua empresa assina, identificar quais exigem certificado ICP-Brasil por imposição legal e quais permitem formas mais ágeis de assinatura eletrônica. Essa análise reduz custos desnecessários sem abrir mão da segurança jurídica.

Se você quer digitalizar seus processos de forma segura e em conformidade com a legislação brasileira, crie sua conta gratuita no Certyneo e explore como uma solução de assinatura eletrônica pode transformar a rotina documental da sua empresa.