Assinatura eletrônica e assinatura digital: qual é a diferença?

Os dois termos são usados como se fossem sinônimos. Não são, e a diferença não é de grau: pertencem a categorias distintas. Uma é um status jurídico. A outra é criptografia. Esclarecido isso, a maior parte da confusão em torno do tema se dissolve.

A versão curta

• Uma assinatura eletrônica é uma categoria jurídica. É a lei que diz o que conta como tal. Tanto no direito norte-americano quanto no europeu o critério é a intenção, não a aparência: um nome digitado, um traço desenhado ou um clique podem cumpri-lo.
• Uma assinatura digital é um método técnico. Usa criptografia de chave pública — uma chave privada, um certificado correspondente e um resumo (hash) do documento — de modo que qualquer alteração posterior no arquivo seja detectável e a assinatura possa ser atribuída à chave que a produziu.
• As duas não são rivais. Uma assinatura digital é uma forma de produzir uma assinatura eletrônica. Toda assinatura digital em um acordo é também uma assinatura eletrônica; a maioria das assinaturas eletrônicas não são assinaturas digitais.

O que as leis realmente definem

O ESIGN Act define a assinatura eletrônica em 15 U.S.C. § 7006(5) como:

“um som, símbolo ou processo eletrônico, anexado a um contrato ou outro documento ou logicamente associado a ele, e executado ou adotado por uma pessoa com a intenção de assinar o documento”.

O Regulamento eIDAS a define no Artigo 3(10) como:

“dados em formato eletrônico que se ligam ou estão logicamente associados a outros dados em formato eletrônico e que são utilizados pelo signatário para assinar”.

Releia as duas definições e repare no que falta: nenhuma tecnologia. Nenhum certificado, nenhuma chave, nenhum algoritmo. Isso é deliberado. Ambos os textos foram redigidos para serem neutros quanto à tecnologia, de modo a não caducarem quando a criptografia do momento for substituída.

Nenhuma das duas normas define, em qualquer ponto, o termo “assinatura digital”.

De onde vem a confusão

Lê-se com frequência que o eIDAS define “dois tipos de assinatura digital”: a avançada e a qualificada. Não é o que o Regulamento diz, e vale desfazer o erro porque ele se repete muito.

O eIDAS define três níveis de assinatura eletrônica, em três definições consecutivas:

Nível	Definido em	O que acrescenta
Assinatura eletrônica (comumente “SES”)	Artigo 3(10)	O nível base. Admissível nos termos do Artigo 25(1).
Avançada (AdES)	Artigo 3(11), por remissão ao Artigo 26	Ligada de forma unívoca ao signatário e capaz de identificá-lo, sob seu controlo exclusivo, com alterações posteriores detectáveis.
Qualificada (QES)	Artigo 3(12)	Uma AdES criada num dispositivo certificado (um QSCD) com um certificado qualificado.

Daí decorrem três pontos:

1. São níveis de assinatura eletrônica, não tipos de assinatura digital. A palavra “digital” não cumpre função alguma no Regulamento: não está entre os termos definidos.
2. São três, não dois. É justamente ao omitir o nível base do Artigo 3(10) que se produz a afirmação dos “dois tipos” — e é esse nível base que sustenta a maioria dos acordos comerciais.
3. “Assinatura Eletrônica Simples” e “SES” são abreviações do setor, não termos legais. O Regulamento diz apenas “assinatura eletrônica”. A abreviação é útil e também a usamos, mas vale saber que é nossa e não do legislador.

Na prática, a AdES e a QES são quase sempre implementadas por meio de criptografia de assinatura digital. Esse é o núcleo de verdade sobre o qual a afirmação dos “dois tipos” se apoia. Mas os níveis são definidos pelo que uma assinatura precisa alcançar, não pela técnica usada para alcançá-lo.

Uma assinatura digital torna um documento “mais legal”?

Não — e essa é a pergunta que a confusão terminológica está de fato escondendo.

A validade jurídica vem da lei: intenção de assinar, atribuição a quem assinou, consentimento onde ele é exigido e retenção do documento. Um documento cumpre esses critérios ou não cumpre. A criptografia não é um deles.

O que a criptografia muda é a prova. Se uma assinatura for contestada, a pergunta deixa de ser “esse tipo de assinatura é válido?” e passa a ser “você consegue mostrar quem assinou, o que essa pessoa viu e que o arquivo não mudou desde então?”. Esse é um problema probatório, e é o que uma trilha de auditoria sólida e a detecção de adulteração existem para resolver.

O único ponto em que o nível realmente muda o resultado jurídico está no eIDAS, onde uma QES — e apenas uma QES — equivale automaticamente a uma assinatura manuscrita nos 27 Estados-Membros. Sob o ESIGN Act e a UETA não há níveis: uma assinatura cumpre a definição legal ou não cumpre.

Qual deles um acordo comum exige?

Para a grande maioria dos acordos comerciais — acordos de confidencialidade, contratos de venda, ordens de serviço, propostas de emprego — o que a lei pede, e o que a contraparte espera, é uma assinatura eletrônica com uma trilha de auditoria completa. Nem o ESIGN Act, nem a UETA, nem o nível base do eIDAS exigem uma assinatura digital no sentido criptográfico.

Recorra à AdES ou à QES quando a lei de um Estado-Membro a exigir para aquele tipo de documento. Essa é uma questão sobre o documento, não sobre o software de assinatura. Nosso guia sobre o que torna uma assinatura eletrônica juridicamente vinculante cobre os requisitos de fundo.

A Signatura emite Assinaturas Eletrônicas Simples, com uma trilha de auditoria completa e um selo SHA-256 à prova de adulteração em cada documento concluído. Não emite AdES nem QES.

Perguntas frequentes

Assinatura digital é o mesmo que assinatura eletrônica?

Não. “Assinatura eletrônica” é uma categoria jurídica definida em lei; “assinatura digital” é uma técnica criptográfica. Uma assinatura digital é uma forma de criar uma assinatura eletrônica, de modo que toda assinatura digital num acordo é também uma assinatura eletrônica — mas o inverso não é verdadeiro.

O ESIGN Act exige uma assinatura digital?

Não. O ESIGN Act define a assinatura eletrônica em 15 U.S.C. § 7006(5) como um símbolo ou processo adotado “com a intenção de assinar o documento”. Não prescreve tecnologia alguma e não usa o termo “assinatura digital”.

O eIDAS define “assinatura digital”?

Não. O eIDAS define “assinatura eletrônica” (Artigo 3(10)), “assinatura eletrônica avançada” (Artigo 3(11)) e “assinatura eletrônica qualificada” (Artigo 3(12)). “Assinatura digital” não é um termo definido no Regulamento.

Um nome digitado é uma assinatura digital?

Não: um nome digitado não envolve criptografia alguma. Ainda assim pode ser uma assinatura eletrônica válida se a intenção e a atribuição puderem ser demonstradas; tratamos de quando ela se sustenta em Uma assinatura digitada é juridicamente vinculante?

Uma é mais segura que a outra?

Elas não estão no mesmo eixo. A segurança depende do que um sistema de fato faz: como autentica os signatários, o que registra e se alterações no arquivo concluído são detectáveis. A assinatura criptográfica é uma ferramenta forte para isso, mas uma assinatura vale apenas o que valer a prova que a sustenta.

---

Esta página explica a lei em termos gerais. Não é aconselhamento jurídico e não pode dizer o que o seu documento exige. Para isso, consulte um advogado na sua jurisdição.

Fontes: ESIGN Act, 15 U.S.C. § 7006, definições · 15 U.S.C. § 7001 · Regulamento (UE) n.º 910/2014 (eIDAS), EUR-Lex — ver os Artigos 3, 25 e 26.