A assinatura eletrônica qualificada é o tipo de assinatura eletrônica que utiliza certificado digital emitido no âmbito da ICP-Brasil, a infraestrutura de chaves públicas brasileira. Tem o mais alto nível de segurança entre os três tipos previstos na Lei nº 14.063/2020 e conta com a presunção de veracidade prevista na Medida Provisória nº 2.200-2/2001, ou seja, os documentos assinados com esse tipo de certificado presumem-se verdadeiros em relação aos signatários. É aceita em qualquer interação com o poder público, o que a torna a opção mais robusta e a exigida em atos de maior risco.
O que a lei diz
Pela Lei nº 14.063/2020, a assinatura qualificada é a que utiliza certificado digital, nos termos da MP 2.200-2/2001. A lei determina seu uso obrigatório em algumas hipóteses, entre elas, nos atos assinados por chefes de Poder e por titulares de órgãos constitucionalmente autônomos, na emissão de notas fiscais eletrônicas (salvo por pessoas físicas e microempreendedores individuais) e nos atos de transferência e de registro de bens imóveis (art. 5º, § 2º). Nas demais situações, o ente público define o nível exigido, com base no risco. Confira sempre o texto vigente, no site do Planalto.
Como funciona
A assinatura qualificada depende de um certificado digital, que é como uma identidade eletrônica emitida por uma autoridade certificadora credenciada na ICP-Brasil, após identificação presencial ou por meio equivalente. O certificado pode estar em:
- cartão inteligente (smart card) ou token USB, que guardam a chave privada e exigem senha;
- nuvem, em que a chave é custodiada pela autoridade certificadora e acessada por aplicativo e autenticação do usuário.
Ao assinar, o sistema usa a chave privada do titular para gerar uma assinatura vinculada ao conteúdo do documento. Qualquer alteração posterior invalida a assinatura. A validade do certificado é limitada no tempo e ele pode ser revogado em caso de perda ou comprometimento. Para que a assinatura continue verificável depois do vencimento do certificado, usa-se o carimbo do tempo.
Quando a prefeitura precisa dela
- Atos do prefeito e de outros chefes de Poder, nos casos exigidos por lei.
- Emissão de notas fiscais eletrônicas pelo município, quando for o emissor.
- Atos de registro e transferência de imóveis, quando a prefeitura for parte e a lei exigir.
- Documentos de alto risco ou valor, a critério do regulamento local.
- Interações com sistemas federais e com tribunais que exigem certificado ICP-Brasil.
- Contratações eletrônicas, em que plataformas pedem certificado para assinatura de contratos ou documentos.
Passo a passo de implantação
- Levante quais servidores precisam assinar atos com certificado (prefeito, secretários, procurador, tesoureiro, ordenadores de despesa, responsáveis por sistemas federais).
- Escolha a autoridade certificadora credenciada e o tipo de certificado (cartão, token ou nuvem) mais adequado ao uso.
- Planeje custo e validade: certificados têm prazo e custo de renovação; inclua no orçamento.
- Defina política de uso: guarda de tokens, senhas, procedimentos em caso de perda, responsabilidade do titular.
- Controle os vencimentos: mantenha uma planilha ou sistema de alerta antes da expiração.
- Integre aos sistemas de assinatura e protocolo da prefeitura.
- Capacite os servidores para assinar e verificar assinaturas.
Um exemplo hipotético: a secretaria de administração mantém um registro de todos os certificados em uso, com titular, validade e finalidade. Sessenta dias antes do vencimento, a equipe inicia a renovação, evitando que atos fiquem sem assinatura. O token do prefeito é guardado conforme a política, e há procedimento de revogação imediato em caso de perda.
Custo, nuvem e segurança
Certificados em nuvem facilitam o uso em diferentes dispositivos, mas exigem política de segurança, como autenticação em múltiplos fatores. Cartões e tokens oferecem controle físico, porém podem ser perdidos. O titular responde pelo uso do certificado, por isso não deve compartilhar senhas nem dispositivos. A prefeitura deve avaliar o custo-benefício e escolher o modelo conforme o perfil do usuário.
Erros comuns
- Exigir certificado ICP-Brasil para todos os atos, mesmo os de baixo risco, o que encarece e burocratiza.
- Deixar certificados vencerem, paralisando atos e prazos.
- Compartilhar token ou senha entre servidores.
- Não manter registro de certificados e de responsáveis.
- Não usar carimbo do tempo em documentos de longa guarda.
Verificação e conservação
Depois de assinado, o documento deve ser armazenado com sua assinatura. Para conferir, use verificadores públicos que mostram o signatário, o status do certificado na data da assinatura e se o conteúdo foi alterado. Em documentos que precisam ser guardados por muitos anos, como atos de pessoal e contratos, combine a assinatura qualificada com carimbo do tempo e com práticas de preservação digital, para que a prova de autenticidade subsista após o vencimento do certificado. A área de arquivo e a de tecnologia devem trabalhar juntas nessa definição.