3️⃣ Já utilizam assinaturas e selos eletrónicos?

Ao longo desta série temos vindo a tratar da presença digital juridicamente válida, confiável e sustentável no tempo. Começámos pelo website (Tema 1) e passámos pelas comunicações por email (Tema 2). Eram, em ambos os casos, canais: a forma como a organização aparece no mundo digital.

Chegou agora o momento de mudar de plano e olhar para os atos. Não apenas para a forma como a organização se apresenta, mas para aquilo que efetivamente decide, declara, contrata, fatura, certifica ou comunica com valor jurídico.

A autoria identificada desses atos digitais é o tema central das assinaturas e dos selos eletrónicos.

E é aqui que surge uma das confusões mais frequentes na adoção de serviços de confiança em Portugal: tratar assinatura eletrónica e selo eletrónico como se fossem a mesma coisa, ou como se a escolha entre um e outro fosse apenas uma decisão técnica menor.

Não é.

A diferença entre assinatura e selo, e dentro das assinaturas a diferença entre uma assinatura em nome próprio e uma assinatura em representação de pessoa coletiva, define quem fica associado ao ato, quem pode ficar juridicamente vinculado, que valor probatório se produz e que riscos podem surgir em caso de litígio.

Vale a pena fazer este percurso com algum cuidado.

As três figuras: assinatura, assinatura em representação e selo

O Regulamento eIDAS reconhece duas figuras fundamentais de imputação eletrónica de um ato: a assinatura eletrónica e o selo eletrónico. Mas, na prática das organizações, é útil distinguir três situações diferentes:

• Assinatura eletrónica em nome próprio
• Assinatura eletrónica em representação de pessoa coletiva
• Selo eletrónico

A assinatura eletrónica em nome próprio é a expressão de vontade de uma pessoa singular sobre um documento, imputada a essa pessoa. Quando um cidadão assina uma declaração, quando um particular subscreve um contrato em nome próprio, quando alguém presta consentimento num formulário ou aprova uma declaração pessoal, o ato é seu. A assinatura identifica a pessoa e associa-a juridicamente àquele conteúdo.

A assinatura eletrónica em representação de pessoa coletiva também é uma assinatura de uma pessoa singular, mas com uma diferença essencial: essa pessoa atua em nome de uma organização, com poderes para a representar ou obrigar. É o caso do administrador que assina um contrato em nome da empresa, do gerente que submete uma proposta num concurso público, ou do dirigente que subscreve uma declaração institucional. Há uma pessoa concreta que pratica o ato, mas o efeito jurídico pretendido projeta-se sobre a pessoa coletiva.

O selo eletrónico é diferente. Não traduz, em regra, um ato de vontade individual de uma pessoa concreta. É a própria organização, enquanto pessoa coletiva, que sela um documento através de um sistema, garantindo a sua origem e a sua integridade. O selo é muitas vezes descrito como o equivalente eletrónico do carimbo institucional, mas essa comparação é limitada: o selo eletrónico qualificado tem um regime jurídico próprio e uma força probatória muito superior à de um simples carimbo visual.

A distinção crítica entre as três figuras, em especial entre assinatura em representação e selo, está no ato de vontade.

Confundir estes planos pode gerar problemas reais.

A representação de pessoa coletiva: a resposta nacional do GNS

A assinatura em representação levanta um problema prático muito relevante: como é que a contraparte sabe não apenas quem assinou, mas também com que poderes essa pessoa atuou?

Tradicionalmente, essa verificação faz-se por vias externas ao próprio ato: certidões permanentes, registos comerciais, procurações, estatutos, atas, poderes delegados ou outros instrumentos documentais. A assinatura prova a identidade do signatário; os poderes de representação são provados à parte.

Portugal deu uma resposta importante a este problema através do Despacho n.º 5108/2023, do Gabinete Nacional de Segurança, relativo à emissão de certificados qualificados de assinatura eletrónica em que a pessoa singular titular do certificado representa uma pessoa coletiva. O despacho determina que a emissão destes certificados deve cumprir requisitos normalizados e que a informação relativa aos poderes de representação deve constar do próprio certificado qualificado.

O objetivo é simples: permitir que, no momento da validação da assinatura, seja possível identificar de forma clara não apenas a pessoa que assinou, mas também a pessoa coletiva representada e os poderes que foram conferidos ao titular do certificado.

O que o despacho faz, em termos práticos, é reduzir a dependência de verificações laterais. Os atributos de representação passam a estar inscritos no próprio certificado qualificado de assinatura, em campos normalizados, tornando a validação mais clara, mais automatizável e mais robusta.

Há três aspetos que merecem destaque.

• Estrutura normalizada para identificar que o certificado qualificado é utilizado por uma pessoa singular que atua em representação de uma pessoa coletiva.
• Poderes inscritos no próprio certificado, de forma suficientemente clara para permitir a sua leitura e interpretação no processo de validação.
• Limitações expressas aos poderes de representação, por exemplo quanto ao âmbito, tipo de atos, contexto de utilização ou limites de valor, quando aplicável.

Há, contudo, uma limitação importante: o despacho aplica-se à emissão de certificados em que a pessoa singular atua sozinha como representante da pessoa coletiva. Ou seja, o modelo não resolve, por si só, todos os casos de representação conjunta. O próprio GNS esclareceu, em circular interpretativa, que quando uma sociedade se obriga, por exemplo, com duas assinaturas, poderá ser necessário um instrumento adicional, como uma procuração, que confira a uma pessoa singular poderes bastantes para vincular sozinha a sociedade naquele âmbito específico.

Isto é relevante porque muitas sociedades se obrigam pela assinatura conjunta de dois administradores ou gerentes. Nesses casos, não basta assumir que qualquer gerente pode obter um certificado de representação individual. É necessário verificar a forma de obrigar constante do registo ou dos instrumentos aplicáveis.

Mesmo com esta limitação, o Despacho 5108/2023 representou um avanço significativo. Antes da sua aplicação prática, a inscrição de poderes nos certificados podia depender da prática de cada prestador. Com este despacho, passou a existir uma base nacional normalizada para a emissão de certificados qualificados de assinatura eletrónica em representação de pessoa coletiva.

O modelo europeu interoperável que aí vem

O modelo nacional português é útil, operacional e juridicamente relevante, mas tem uma limitação natural: é um modelo de normalização nacional.

Um certificado emitido segundo este esquema pode ser tecnicamente validável no espaço europeu, porque assenta no quadro eIDAS e em normas técnicas europeias. Mas a leitura semântica dos atributos de representação pode não estar harmonizada com a forma como outros Estados-Membros tratam o mesmo problema.

É aqui que o Regulamento (UE) 2024/1183, conhecido como eIDAS 2.0, introduz uma evolução importante: os certificados eletrónicos de atributos, frequentemente tratados no discurso técnico como Electronic Attestations of Attributes ou EAA.

Em vez de todos os atributos viverem dentro do certificado de assinatura, como acontece no modelo nacional de representação, os atributos podem passar a existir como objetos autónomos, verificáveis e interoperáveis. Isto permite separar duas dimensões que muitas vezes são confundidas: a assinatura, que identifica quem pratica o ato e expressa a vontade de assinar; e o atributo, que demonstra uma qualidade, poder, função, estatuto ou autorização relevante.

Do ponto de vista prático, convém distinguir três conceitos:

• EAA, enquanto atestação eletrónica de atributos em sentido geral.
• QEAA, enquanto certificado eletrónico qualificado de atributos.
• PuB-EAA, expressão usada para referir certificados de atributos emitidos por, ou em nome de, organismos do setor público responsáveis por fontes autênticas.

O eIDAS 2.0 estabelece que os certificados eletrónicos qualificados de atributos e os certificados de atributos emitidos por organismos públicos responsáveis por fontes autênticas, ou em seu nome, têm o mesmo efeito jurídico que certificados legalmente emitidos em papel, e devem ser reconhecidos entre Estados-Membros quando emitidos no quadro previsto pelo regulamento.

Para a representação de pessoa coletiva, isto abre uma possibilidade muito relevante: a demonstração dos poderes de representação pode vir a ser feita através de um certificado eletrónico de atributos emitido a partir de uma fonte autêntica, por exemplo um registo comercial ou entidade pública competente. Nesse cenário, a contraparte poderia receber, no mesmo processo, a assinatura eletrónica e a prova verificável dos poderes de representação.

Na prática, o modelo nacional do Despacho 5108/2023 e o modelo europeu dos certificados eletrónicos de atributos não devem ser vistos como alternativas excludentes, mas como instrumentos complementares: um já operacional para muitos atos em contexto português; o outro especialmente relevante para fluxos transfronteiriços, carteiras digitais europeias e demonstração modular de poderes, funções ou qualidades.

Onde se deve usar cada figura

A escolha entre assinatura em nome próprio, assinatura em representação e selo eletrónico não deve ser tratada como uma decisão meramente informática. É uma decisão jurídica, operacional e probatória.

Há também casos mistos.

Um contrato pode ser assinado por um administrador com poderes de representação e, depois, selado pelo sistema de gestão documental da organização para garantir a integridade da versão arquivada. Uma fatura pode ser emitida e selada automaticamente pelo sistema de faturação, enquanto uma declaração excecional com impacto jurídico pode exigir assinatura em representação. Um documento interno pode ser aprovado por uma pessoa singular e posteriormente selado pela organização para efeitos de preservação, arquivo e prova de origem.

A boa prática é mapear os principais fluxos documentais da organização e definir, para cada tipo de ato, qual a figura correta: assinatura em nome próprio, assinatura em representação ou selo eletrónico.

Os problemas de não usar, ou de usar a figura errada

A ausência de assinaturas e selos eletrónicos, ou o uso da figura errada, não é apenas um problema técnico. Pode ser um problema jurídico, operacional, financeiro e reputacional.

A ausência total de assinatura ou selo eletrónico em atos digitais fragiliza a prova de autoria, origem e integridade. Em caso de litígio, pode ser mais difícil demonstrar quem produziu o documento, se o conteúdo foi alterado, quando foi emitido e com que intenção. Em certos setores ou procedimentos, a falta do instrumento adequado pode mesmo comprometer a validade formal do ato.

O uso de selo onde deveria existir assinatura em representação é um erro frequente em contexto empresarial. O selo pode provar que o documento teve origem na organização e que não foi alterado desde a sua emissão. Mas não demonstra, por si só, que uma pessoa com poderes praticou um ato de vontade em nome da pessoa coletiva. Em contratos, propostas, declarações formais ou outros atos que exijam vinculação por representante, isto pode abrir espaço a contestação.

O caso inverso, assinatura em nome próprio onde deveria existir assinatura em representação, também é problemático. Se o certificado não demonstrar os poderes de representação, a assinatura identifica a pessoa singular, mas pode não demonstrar adequadamente que essa pessoa atuou em nome da organização. O risco não deve ser apresentado de forma automática como responsabilidade pessoal, mas há pelo menos uma zona de incerteza: pode abrir discussão sobre a imputação do ato, sobre a suficiência da representação e sobre a prova dos poderes existentes no momento da assinatura.

O uso de assinatura de pessoa singular onde deveria existir selo é outro erro comum. Em fluxos massivos, como a emissão de milhares de documentos por mês, a assinatura individual pode ser operacionalmente inadequada. Mais grave: se a assinatura for aplicada automaticamente por um sistema em nome de uma pessoa que não tomou conhecimento concreto de cada documento, pode deixar de corresponder ao verdadeiro sentido jurídico de uma assinatura. Nesses casos, o instrumento natural será o selo eletrónico, precisamente porque foi desenhado para fluxos sistémicos onde não há decisão individual sobre cada documento.

O problema, no fundo, não está apenas em “ter assinatura eletrónica” ou “ter selo eletrónico”. Está em usar a figura certa para o ato certo.

O valor legal: o quadro consolidado

O valor jurídico das assinaturas e selos eletrónicos resulta de várias camadas do quadro eIDAS e da legislação nacional portuguesa.

• Princípio da não discriminação. Uma assinatura ou selo eletrónico não deve ser recusado como prova apenas por estar em formato eletrónico ou por não ser qualificado. Isto significa que mesmo uma assinatura eletrónica simples pode ter valor probatório, embora esse valor dependa da apreciação concreta do caso.
• Assinatura eletrónica qualificada. Nos termos do Decreto-Lei n.º 12/2021, a aposição de uma assinatura eletrónica qualificada a um documento eletrónico equivale à assinatura autógrafa em documento escrito em papel e cria presunções relevantes: presume-se que quem assinou é o titular da assinatura ou representante com poderes bastantes da pessoa coletiva, que a assinatura foi aposta com intenção de assinar e que o documento não foi alterado desde a aposição da assinatura.
• Selo eletrónico qualificado. Beneficia de uma presunção própria de origem e integridade do documento eletrónico. Quando uma organização utiliza um selo eletrónico qualificado, reforça a prova de que o documento teve origem nessa organização e de que o conteúdo não foi alterado desde a aposição do selo.
• Certificados eletrónicos de atributos (eIDAS 2.0). Permitem demonstrar qualidades, poderes, funções ou atributos de forma eletrónica, verificável e interoperável. No caso dos certificados qualificados de atributos e dos emitidos por organismos públicos responsáveis por fontes autênticas, ou em seu nome, o regulamento atribui-lhes o mesmo efeito jurídico que certificados legalmente emitidos em papel.

A tendência é clara: os atos digitais mais robustos deixarão de depender apenas de uma assinatura ou de um certificado isolado. Passarão a assentar em cadeias de confiança compostas por identidade, assinatura, selo, atributos, validação, selos temporais e preservação de evidências.

O que se segue

Tudo o que descrevemos neste artigo responde à pergunta: como é que a organização produz atos digitais corretamente imputáveis hoje?

Mas há duas perguntas adicionais que ficam em aberto.

A primeira é a da validade no tempo. Uma assinatura eletrónica qualificada produzida hoje é válida hoje. Mas continuará a ser verificável daqui a cinco, dez ou vinte anos? O que acontece quando o certificado expira, quando o algoritmo enfraquece, quando o prestador cessa atividade ou quando é necessário demonstrar, muitos anos depois, que a assinatura era válida no momento em que foi aposta?

Esse será o Tema 4: assinaturas com validade a longo prazo, formatos LT e LTA, selos temporais qualificados, conservação de evidências e preservação ativa da prova digital.

A segunda pergunta é a da identidade digital do utilizador final que interage com a organização. A EUDI Wallet vai alterar a forma como cidadãos, profissionais e representantes apresentam a sua identidade e os seus atributos perante organizações públicas e privadas. Para as organizações, isto levanta questões práticas: estão preparadas para receber credenciais digitais? sabem validar atributos? conseguem distinguir identidade, representação, função e poderes? precisam de adaptar os seus processos?

Esse será o Tema 5: carteiras digitais europeias, atributos eletrónicos e preparação das organizações para validar credenciais digitais.

Para já, a pergunta essencial é mais imediata.