O que é o eIDAS: assinatura eletrónica na UE explicada

Se a sua empresa celebra contratos na Europa, é provável que já tenha encontrado o termo "eIDAS" em discussões sobre assinaturas eletrónicas, identificação digital ou conformidade. Compreender o que o eIDAS realmente estabelece, e o que isso significa para os contratos que a sua empresa assina todas as semanas, não exige a leitura de um regulamento com 80 páginas. Este guia aborda o essencial: o que é o eIDAS, os três tipos de assinatura eletrónica que define e como aplicá-los aos processos contratuais da sua empresa.

Principais conclusões

• O regulamento eIDAS é o Regulamento (UE) n.º 910/2014 relativo à identificação eletrónica e aos serviços de confiança. Aplica-se diretamente em todos os Estados-Membros da UE desde 1 de julho de 2016, criando um quadro jurídico único para assinaturas eletrónicas, identidades digitais e serviços de confiança em toda a União Europeia e no EEE.

• Ao abrigo do eIDAS, uma assinatura eletrónica não pode ser desprovida de efeito jurídico apenas por se apresentar em formato eletrónico. Este princípio de não discriminação garante o reconhecimento mútuo nos 27 países da UE, além da Noruega, Islândia e Listenstaine.

• O eIDAS define três tipos de assinatura eletrónica: a assinatura eletrónica simples (SES), a assinatura eletrónica avançada (AdES) e a assinatura eletrónica qualificada (QES). A maioria dos contratos comerciais do dia a dia utiliza uma assinatura eletrónica avançada.

• O eIDAS 2.0, adotado em 2024, introduz o quadro da carteira europeia de identidade digital, mas não altera a forma como os contratos-padrão são assinados atualmente.

• A Contracko disponibiliza assinaturas eletrónicas avançadas conformes com o eIDAS na sua plataforma de gestão de contratos, alojada na UE, permitindo gerir assinaturas eletrónicas juridicamente válidas e prazos contratuais num único local.

O que é o eIDAS? (Uma definição clara, antes de mais)

O regulamento eIDAS, formalmente Regulamento (UE) n.º 910/2014, é o quadro jurídico da União Europeia para a identificação eletrónica e os serviços de confiança nas transações eletrónicas no mercado interno. Rege o modo como as interações eletrónicas, as transações digitais e a verificação de identidade funcionam em toda a UE.

Adotado em 2014 e plenamente aplicável desde 1 de julho de 2016, o eIDAS substituiu a antiga Diretiva 1999/93/CE, que deixava a maior parte dos detalhes de implementação ao critério do direito nacional. Ao contrário dessa diretiva, o eIDAS é um regulamento, o que significa que se aplica diretamente em todos os Estados-Membros da UE e do EEE, sem que cada país tenha de o transpor para a legislação nacional.

O acrónimo "eIDAS" significa electronic Identification, Authentication and trust Services. O regulamento abrange:

• Sistemas de identificação eletrónica (eID nacionais usados para aceder a serviços públicos e a serviços em linha)

• Assinaturas eletrónicas e assinaturas digitais

• Selos eletrónicos para pessoas coletivas

• Carimbos de data e hora eletrónicos

• Serviços de entrega eletrónica registada

• Certificados de autenticação de sítios web

Em síntese, o eIDAS criou um quadro jurídico harmonizado único para a identificação eletrónica e a confiança em toda a UE e no EEE, substituindo o que antes eram 27 conjuntos distintos de regras nacionais.

Porque foi criado o regulamento eIDAS

Antes do eIDAS, uma assinatura eletrónica aceite na Alemanha podia ser questionada ou recusada em França. Cada Estado-Membro tinha implementado a diretiva de 1999 de forma diferente, resultando numa manta de retalhos de regras nacionais sobre assinaturas eletrónicas. Isto atrasava as transações transfronteiriças e complicava a transformação digital das empresas com atividade em toda a UE.

O regulamento eIDAS estabeleceu o reconhecimento mútuo da identificação eletrónica e dos serviços de confiança qualificados entre os Estados-Membros, apoiando diretamente o Mercado Único Digital da UE. Quando a Comissão Europeia avaliou a implementação em 2020-2021, uma parte significativa dos Estados-Membros ainda não tinha notificado nenhum sistema nacional de eID, o que mostrava que a identificação eletrónica transfronteiriça estava longe de estar disponível na prática em todo o lado. Esta lacuna evidenciou o trabalho que ainda faltava fazer, mas a base jurídica já estava estabelecida.

Os principais componentes do regulamento incluem:

• Identificação eletrónica (eID) para verificação transfronteiriça da identidade digital

• Assinaturas eletrónicas e selos eletrónicos para transações eletrónicas seguras

• Carimbos de data e hora eletrónicos e serviços de validação

• Serviços de entrega eletrónica registada (o equivalente digital do correio registado)

• Certificados qualificados de autenticação de sítios web, para autenticar os sítios utilizados em transações eletrónicas

O principal benefício empresarial é simples: uma única norma jurídica para assinaturas eletrónicas e identificação digital em todo o mercado interno da UE, permitindo transações eletrónicas mais seguras sem necessidade de um parecer jurídico separado para cada país.

Princípio jurídico central: não discriminação das assinaturas eletrónicas

A base do eIDAS é o artigo 25.º, que estabelece a regra da não discriminação. Não pode ser negado a uma assinatura eletrónica o efeito jurídico ou a admissibilidade como prova em processos judiciais apenas por esta se apresentar em formato eletrónico ou por não cumprir os requisitos aplicáveis às assinaturas eletrónicas qualificadas.

Isto não significa que toda a assinatura eletrónica tenha automaticamente o mesmo peso jurídico de uma assinatura manuscrita. Significa que os tribunais devem considerar as assinaturas eletrónicas como prova eletrónica, a par de outras formas de prova, em vez de as rejeitarem à partida.

Esta distinção é relevante na prática:

• Uma assinatura eletrónica qualificada tem, de forma explícita, o mesmo efeito jurídico de uma assinatura manuscrita em todos os países da UE e do EEE, com presunção de validade jurídica em tribunal.

• As assinaturas avançadas e simples têm um peso jurídico proporcional ao nível de garantia de identidade e às medidas de segurança que as sustentam.

• Os contratos assinados com uma solução de assinatura eletrónica conforme com o eIDAS são executórios além-fronteiras, sem necessidade de impressão, digitalização ou envio por estafeta.

Para a sua empresa, isto significa que uma assinatura eletrónica corretamente executada num acordo com um fornecedor ou num contrato de serviços se mantém válida em qualquer Estado-Membro da União Europeia.

Tipos de assinatura eletrónica ao abrigo do eIDAS

O eIDAS define três níveis de assinatura eletrónica, cada um com requisitos de segurança e valor probatório distintos. Compreender estes tipos de assinatura eletrónica é o aspeto mais prático a reter deste guia.

Os três tipos são a assinatura eletrónica simples (SES), a assinatura eletrónica avançada (AdES) e a assinatura eletrónica qualificada (QES). Eis a comparação:

Critério	Simples (SES)	Avançada (AdES)	Qualificada (QES)
Definição	Quaisquer dados eletrónicos associados de forma lógica a um documento para indicar a intenção de assinar	Deve cumprir quatro critérios específicos previstos no artigo 26.º	AdES com um certificado qualificado emitido por um QTSP e um dispositivo qualificado de criação de assinaturas
Exemplos	Nome escrito num e-mail, caixa de verificação, imagem de assinatura digitalizada	Assinatura através de uma plataforma com verificação de identidade e deteção de adulteração	Assinatura baseada em certificado, através de um prestador incluído na lista de confiança da UE
Garantia de identidade	Baixa	Média a alta	A mais elevada
Peso jurídico	Depende do contexto; mais facilmente contestável	Forte; amplamente aceite pelos tribunais da UE	Equivalente a uma assinatura manuscrita em todos os Estados-Membros
Casos de uso típicos	Aprovações de baixo risco, confirmações internas	Contratos de serviços, acordos de confidencialidade, contratos com fornecedores, subscrições SaaS	Escrituras de imóveis, determinadas procurações, apresentações em tribunal

A maioria dos contratos comerciais enquadra-se claramente na coluna da assinatura eletrónica avançada. Segue-se o funcionamento de cada tipo na prática.

Assinatura eletrónica simples (SES)

Uma assinatura eletrónica simples é qualquer dado eletrónico associado ou logicamente ligado a um documento, utilizado pelo signatário para assinar. Não são exigidas salvaguardas técnicas rígidas.

Exemplos concretos incluem escrever o nome no final de um e-mail, assinalar uma caixa de "aceito" num formulário web, ou colar a imagem digitalizada de uma assinatura manuscrita num PDF. Todas estas são formas de SES.

A SES oferece o nível mais baixo de garantia de identidade e é, em geral, adequada a transações de baixo risco e baixo valor, em que a probabilidade de litígio é mínima. Pense em aprovações internas, confirmações informais ou correspondência de rotina. Para qualquer situação com exposição financeira ou jurídica relevante, é aconselhável optar por algo mais robusto.

Assinatura eletrónica avançada (AdES)

Uma assinatura eletrónica avançada deve cumprir quatro critérios definidos no artigo 26.º do eIDAS:

1. Estar univocamente ligada ao signatário

2. Permitir identificar o signatário

3. Ter sido criada com dados de criação de assinatura eletrónica sob o controlo exclusivo do signatário

4. Estar ligada aos dados assinados de modo a que qualquer alteração posterior seja detetável

Na prática, isto significa que uma plataforma segura de assinatura eletrónica verifica a identidade do signatário, associa criptograficamente a assinatura ao documento exato e regista uma trilha de auditoria à prova de adulteração. As plataformas implementam isto habitualmente através de normas como o PAdES (para documentos PDF) ou outros formatos definidos pela ETSI.

A AdES é adequada à maioria dos contratos empresariais, incluindo acordos de serviços B2B, contratos SaaS recorrentes, documentos de recursos humanos e contratos com fornecedores. Oferece um bom equilíbrio entre segurança e facilidade de utilização, sem o esforço adicional de certificados qualificados ou tokens físicos.

A funcionalidade de assinatura eletrónica integrada da Contracko foi concebida para cumprir os requisitos da assinatura eletrónica avançada, combinando identificação única do signatário, verificações de integridade do documento e um registo de auditoria detalhado. Depois de assinado, o documento avança diretamente para o fluxo de gestão contratual, onde as funcionalidades de gestão de contratos da Contracko ajudam a organizar, acompanhar e analisar cada acordo.

Assinatura eletrónica qualificada (QES)

Uma assinatura eletrónica qualificada é um subtipo específico da assinatura eletrónica avançada. Requer um certificado qualificado emitido por um prestador qualificado de serviços de confiança (QTSP) incluído na lista de confiança da UE, combinado com um dispositivo qualificado de criação de assinaturas eletrónicas (QSCD).

Ao abrigo do eIDAS, uma QES tem o mesmo valor jurídico de uma assinatura manuscrita em todos os países da UE e do EEE. Beneficia de uma presunção de validade em processos judiciais, o que significa que o ónus da prova recai sobre a parte que a contesta.

A QES pode ser legalmente exigida em determinadas transações imobiliárias, certos tipos de procurações, apresentações junto de tribunais nacionais ou submissões a determinados registos públicos. O processo envolve, em regra, uma verificação de identidade mais rigorosa (presencial ou por videoidentificação) e a emissão de certificados digitais por um prestador incluído na lista de confiança da UE.

O ponto essencial: a maioria dos contratos comerciais de rotina não exige uma QES. Se houver suspeita de uma obrigação de QES para um determinado tipo de documento, deve consultar-se a legislação local ou um jurista, em vez de recorrer por defeito à QES para todos os acordos.

Outros serviços de confiança abrangidos pelo eIDAS

Para além das assinaturas eletrónicas, o eIDAS define vários outros serviços de confiança eletrónicos relevantes para a segurança digital e a conformidade das empresas que lidam com documentos eletrónicos sensíveis.

• Os selos eletrónicos são o equivalente organizacional das assinaturas. Comprovam a origem e a integridade de documentos enviados por empresas ou entidades públicas, sem identificar um signatário individual específico. Podem ser vistos como um carimbo digital da empresa.

• Os carimbos de data e hora eletrónicos fornecem registos fiáveis do momento exato em que um documento ou transação existiu. Úteis para conformidade, proteção da propriedade intelectual, trilhas de auditoria e para comprovar quando um acordo foi celebrado.

• Os serviços de entrega eletrónica registada funcionam como o equivalente digital do correio registado. Fornecem prova eletrónica do envio e da receção de mensagens ou documentos importantes, útil na resolução de litígios ou em comunicações formais.

• A autenticação de sítios web, através de certificados qualificados de autenticação de sítios web, ajuda a confirmar que os sítios utilizados em transações eletrónicas são operados pela entidade que afirmam ser, apoiando a troca segura de dados nos serviços em linha.

Estes serviços de certificação e certificados de autenticação fazem parte da infraestrutura de confiança mais ampla que as soluções eIDAS disponibilizam, tanto ao setor público como ao setor privado.

O que é o eIDAS 2.0 e a carteira europeia de identidade digital?

O eIDAS 2.0 é o regulamento atualizado da União Europeia, formalmente Regulamento (UE) 2024/1183, publicado no Jornal Oficial em 30 de abril de 2024 e em vigor desde 20 de maio de 2024. Baseia-se no regulamento eIDAS original, introduzindo uma carteira de identidade digital padronizada para particulares e empresas em toda a UE.

A carteira europeia de identidade digital permitirá aos utilizadores armazenar e partilhar atributos verificados (como documentos de identificação, qualificações e credenciais profissionais), com controlo total sobre os dados que divulgam. Isto apoia a divulgação seletiva: partilha-se apenas a informação de que uma parte necessita, e não tudo o que consta da carteira. A carteira foi concebida para permitir que os cidadãos acedam a serviços, tanto públicos como privados, com uma única identidade verificada em linha.

Os Estados-Membros devem disponibilizar pelo menos uma carteira europeia de identidade digital, com uma implementação prática prevista até ao final de 2026. A utilização por parte dos cidadãos é voluntária.

Para a maioria dos contratos comerciais atuais, continuam a aplicar-se os mesmos três tipos de assinatura eIDAS. O regulamento atualizado incide sobretudo sobre a forma como a identificação e a verificação digital são geridas ao longo do tempo, e não sobre os fundamentos da assinatura de um contrato. As empresas devem continuar a utilizar ferramentas conformes com o eIDAS e acompanhar os anúncios nacionais sobre a implementação da carteira nos próximos anos.

O que o eIDAS significa para os contratos da sua empresa

Traduzir o regulamento para os processos contratuais do dia a dia é mais simples do que o texto legal sugere.

Para acordos comerciais-padrão (contratos de serviços, acordos de confidencialidade, contratos com fornecedores, renovações de subscrições), uma assinatura eletrónica avançada conforme com o eIDAS é, em geral, suficiente e amplamente aceite na UE e no EEE. Não é necessária uma assinatura eletrónica qualificada para a maioria destes casos.

A utilização de uma ferramenta de assinatura eletrónica conforme com o eIDAS centraliza a verificação de identidade, os registos de auditoria e os registos à prova de adulteração. Isto reduz a necessidade de provar manualmente quem assinou o quê e quando, o que é relevante caso um contrato venha a ser contestado.

Uma abordagem prática consiste em definir regras internas que associem os tipos de documento a níveis de assinatura:

• SES para aprovações internas de baixo risco e confirmações

• AdES para a maioria dos contratos (abrange a grande maioria dos acordos de serviços profissionais, contratos com fornecedores e subscrições SaaS)

• QES apenas quando expressamente exigida por lei ou pelas contrapartes

Para orientação de implementação passo a passo, consulte os nossos guias sobre conformidade da assinatura eletrónica e melhores práticas de gestão de contratos, e veja como a Contracko apoia as equipas jurídicas com revisão e organização assistidas por IA.

Como a Contracko apoia a assinatura e a gestão conformes com o eIDAS

A Contracko é uma plataforma europeia de gestão de contratos, conforme com o RGPD, com assinaturas eletrónicas nativas conformes com o eIDAS que cumprem a norma da assinatura eletrónica avançada. Por ser desenvolvida na Europa e alojada em servidores na UE, os contratos assinados, as trilhas de auditoria e os dados pessoais permanecem dentro da jurisdição onde o regulamento se aplica.

Entre as funcionalidades relevantes para a conformidade com o eIDAS incluem-se:

• Identificação única do signatário e autenticação segura

• PDF à prova de adulteração com integridade criptográfica

• Trilhas de auditoria que registam data e hora, dados de IP e identidade do signatário

• Armazenamento alojado na UE com encriptação de nível empresarial

• Controlos de acesso baseados em funções e registos de auditoria para a segurança digital

Assim que um contrato é assinado, avança automaticamente para o repositório central de contratos da Contracko. A partir daí, a IA extrai as cláusulas essenciais, identifica datas de renovação e configura lembretes inteligentes que apoiam o acompanhamento automatizado de contratos, para que nenhum prazo crítico seja perdido. As equipas gerem o acesso através de funções e permissões, garantindo que apenas as pessoas certas podem consultar ou alterar acordos assinados.

O eIDAS comparado com outras regulamentações (RGPD, ESIGN, etc.)

Uma questão frequente é saber se o eIDAS e o RGPD são a mesma coisa. Não são. O eIDAS regula a identificação eletrónica e os serviços de confiança, incluindo assinaturas eletrónicas, selos eletrónicos e serviços de autenticação e confiança. O RGPD regula a forma como os dados pessoais são recolhidos, armazenados e utilizados. Muitas interações digitais exigem conformidade com ambos os regulamentos, razão pela qual o alojamento na UE e as práticas de privacidade desde a conceção são importantes na escolha de um fornecedor de assinatura eletrónica.

Em comparação com o ESIGN Act e o UETA dos Estados Unidos, o eIDAS é claramente mais prescritivo. Os três quadros reconhecem que as assinaturas eletrónicas têm validade jurídica, mas o eIDAS define níveis de assinatura distintos (SES, AdES, QES), com requisitos técnicos e efeitos jurídicos próprios. O ESIGN é mais neutro do ponto de vista tecnológico e concentra-se sobretudo no consentimento e na manutenção de registos, sem a estrutura em níveis nem o conceito de certificados qualificados e prestadores de serviços de confiança.

O eIDAS aplica-se diretamente no interior da UE e do EEE. Embora não vincule países fora da UE, muitos parceiros comerciais internacionais optam por aceitar assinaturas conformes com o eIDAS em transações transfronteiriças, por oferecerem uma norma clara e bem documentada de garantia de identidade e integridade documental. Isto é particularmente relevante para empresas que trabalham com clientes europeus.

Perguntas frequentes

O eIDAS aplica-se a empresas fora da UE?

O regulamento eIDAS só tem força jurídica dentro dos países da UE e do EEE. No entanto, as empresas fora da UE que negoceiam regularmente com parceiros da UE beneficiam significativamente da utilização de assinaturas conformes com o eIDAS. Uma empresa sediada nos Estados Unidos, no Reino Unido ou noutro local pode assinar através de uma plataforma conforme com o eIDAS, e esses contratos terão o mesmo reconhecimento dentro da UE que os documentos assinados por entidades estabelecidas na UE. Note-se que o Reino Unido dispõe da sua própria regulamentação UK eIDAS após o Brexit, que reflete em grande medida o quadro da UE. Para empresas que trabalham regularmente com clientes, fornecedores ou investidores europeus, alinhar-se com as normas eIDAS é um passo prático para garantir que os contratos sejam executórios sem entraves.

O eIDAS é o mesmo que o RGPD?

Não. O eIDAS e o RGPD são regulamentos distintos. O eIDAS regula a identificação eletrónica, as assinaturas eletrónicas e os serviços de confiança eletrónicos. O RGPD regula a forma como os dados pessoais são recolhidos, armazenados e tratados. Muitos serviços conformes com o eIDAS tratam também dados pessoais (nomes de signatários, endereços de e-mail, endereços IP), pelo que têm de cumprir ambos os regulamentos em simultâneo. Ao avaliar um fornecedor de assinatura eletrónica ou de gestão de contratos, deve verificar-se tanto a conformidade com o eIDAS como práticas sólidas de RGPD, incluindo o armazenamento de dados na UE e contratos de subcontratação claros.

Quando é realmente necessária uma assinatura eletrónica qualificada (QES)?

A QES é, em regra, exigida apenas em contextos específicos de risco elevado definidos pela legislação nacional: algumas transações imobiliárias, determinados atos notariais, apresentações junto de determinadas autoridades públicas ou tribunais, e certos tipos de procurações. Para a maioria dos contratos comerciais, uma assinatura eletrónica avançada é suficiente, mais rápida de implementar e mais fácil de utilizar para os signatários. Se houver suspeita de que um requisito de QES se aplica a um determinado tipo de documento, deve consultar-se um jurista local ou verificar a regulamentação específica do setor, em vez de recorrer por defeito à QES para todos os acordos.

De que forma o eIDAS 2.0 altera a assinatura diária de contratos?

Para a assinatura diária de contratos, a principal alteração prática do eIDAS 2.0 será na forma como os signatários comprovam a sua identidade. Assim que as carteiras europeias de identidade digital estiverem amplamente disponíveis (previsto para o final de 2026), poderão simplificar a verificação de identidade digital nos processos de assinatura. O conceito central das assinaturas eletrónicas simples, avançada e qualificada mantém-se inalterado. Os processos de assinatura eletrónica existentes continuarão a funcionar. As empresas devem concentrar-se, desde já, na utilização de ferramentas conformes com o eIDAS e acompanhar os anúncios nacionais sobre a disponibilidade da carteira de identidade digital.

Como saber se a atual solução de assinatura eletrónica é conforme com o eIDAS?

Deve verificar-se se o fornecedor declara explicitamente o suporte ao eIDAS, em particular para assinaturas eletrónicas avançadas ou qualificadas. Deve perguntar-se como são cumpridos os quatro critérios do artigo 26.º: identificação única do signatário, controlo exclusivo dos dados de criação da assinatura, capacidade de identificação do signatário e deteção de adulteração. Deve também rever-se onde os dados são armazenados (servidores alojados na UE são relevantes para contratos europeus), que informação de trilha de auditoria é registada, e se o fornecedor trabalha com prestadores qualificados de serviços de confiança quando a QES é disponibilizada. Uma plataforma como a Contracko, desenvolvida na Europa com a conformidade com o eIDAS e o RGPD como prioridade, simplifica esta avaliação para pequenas e médias empresas.

O período de avaliação gratuito de 7 dias da Contracko dá acesso, desde o primeiro dia, a assinaturas eletrónicas conformes com o eIDAS e a uma gestão de contratos completa. Os planos têm início em $75/mês, faturados anualmente. Não é necessário cartão de crédito.

As imagens deste artigo foram geradas com o apoio de IA.