Leis de assinatura eletrónica na UE: o regulamento eIDAS explicado para empresas

Há uns meses, estava a ajudar uma amiga que gere uma pequena agência de marketing em Lisboa a fechar um negócio com um cliente alemão. Estava tudo a correr bem até à parte do contrato. A equipa jurídica alemã enviou um PDF a pedir uma "assinatura eletrónica qualificada". A minha amiga ficou a olhar para o email durante um bom minuto e depois mandou-me uma mensagem: "O que é isto, e porque é que não posso simplesmente usar a mesma ferramenta de assinatura que uso há dois anos?"

Se geres uma empresa na Europa, é provável que já tenhas batido com a cabeça nesta parede. A UE tem um único regulamento que rege as assinaturas eletrónicas em todos os 27 Estados-membros, mas está cheio de siglas e nuances jurídicas que a maioria dos fundadores nunca se dá ao trabalho de aprender até precisar. Vamos resolver isso.

Isto é tudo o que eu gostava que alguém me tivesse explicado sobre o eIDAS, escrito como o explicaria a um amigo num café.

O que é realmente o eIDAS

eIDAS significa "electronic IDentification, Authentication and trust Services". É um regulamento da UE (n.º 910/2014) em vigor desde julho de 2016. O objetivo todo era criar um único enquadramento jurídico para assinaturas eletrónicas, selos eletrónicos, carimbos temporais e identificação digital em toda a União Europeia.

Antes do eIDAS, cada país tinha as suas próprias regras. A França tinha uma abordagem, a Alemanha tinha outra, a Espanha fazia à sua maneira. Se assinasses um contrato digitalmente em Itália e tentasses usá-lo num tribunal na Bélgica, podias ter problemas. O eIDAS acabou com isso ao dizer: uma assinatura eletrónica criada em qualquer Estado-membro da UE tem de ser reconhecida em todos os outros.

Isto é enorme para PME. Significa que posso vender uma subscrição SaaS a um cliente em Atenas, obter a sua assinatura eletrónica, e o mesmo documento tem o mesmo peso legal em Helsínquia, Dublin ou Varsóvia.

Para um aprofundamento sobre como funcionam as assinaturas eletrónicas em geral, o meu guia legal de assinatura eletrónica cobre o básico em linguagem simples.

Uma pequena história (prometo que é curta)

A primeira tentativa da UE foi a Diretiva eSignature de 1999. As diretivas no direito da UE são estranhas porque têm de ser transpostas para o direito nacional por cada país, e foi aí que as coisas se complicaram. Cada Estado-membro interpretou a diretiva de forma um pouco diferente, o que anulava o objetivo.

O eIDAS substituiu essa diretiva em 2014 e aplica-se diretamente em todos os Estados-membros desde 1 de julho de 2016. Sem transposição, sem margem nacional (bem, quase). E depois, em 2024, a UE aprovou o eIDAS 2.0, que traz a Carteira Europeia de Identidade Digital para a equação. Mais sobre isso à frente.

Os três níveis de assinatura: SES, AES e QES

É aqui que começa a sopa de siglas. O eIDAS define três níveis de assinaturas eletrónicas, e não são intermutáveis. Escolher a errada é um dos erros mais comuns que vejo as PME cometerem.

Assinatura eletrónica simples (SES)

Esta é a básica. Uma SES é "dados em formato eletrónico anexados ou logicamente associados a outros dados em formato eletrónico e utilizados pelo signatário para assinar". É a definição legal, e é deliberadamente ampla.

Na prática, uma SES pode ser:

• Escrever o teu nome no fundo de um email
• Clicar numa caixa "Aceito"
• Digitalizar uma assinatura manuscrita e colá-la num PDF
• Desenhar uma assinatura com o rato ou o dedo num tablet

É a mais fácil de usar e funciona para a grande maioria das situações de negócio. NDAs, contratos de venda, ofertas de emprego, acordos com fornecedores, contratos de freelancer: tudo isto fica normalmente bem com uma SES.

Assinatura eletrónica avançada (AES)

Uma AES é um degrau acima. Para se qualificar como AES, a assinatura tem de cumprir quatro requisitos específicos:

1. Está ligada de forma única ao signatário
2. Permite identificar o signatário
3. É criada usando dados que o signatário pode manter sob o seu controlo exclusivo
4. Qualquer alteração aos dados assinados após a assinatura é detetável

Na prática, isto significa normalmente uma assinatura criptográfica usando uma chave privada, mais alguma forma de verificação de identidade (link de email, código SMS, upload de documento). A maioria das plataformas modernas de assinatura eletrónica, incluindo a nossa na CanUSign, gera assinaturas de nível AES por defeito nos planos empresariais.

A AES é o que queres para contratos de maior valor: acordos B2B SaaS, parcerias, documentos de empréstimo, e qualquer coisa em que queiras provas sólidas de quem assinou e de que o documento não foi adulterado.

Assinatura eletrónica qualificada (QES)

Esta é a artilharia pesada. Uma QES é essencialmente uma AES com dois requisitos extra: tem de ser criada usando um "dispositivo qualificado de criação de assinaturas" (pensa num módulo de segurança de hardware ou cartão inteligente), e tem de ser suportada por um "certificado qualificado" emitido por um prestador de serviços de confiança oficialmente listado na Lista de Confiança da UE.

A grande vantagem de uma QES? Tem o mesmo efeito jurídico que uma assinatura manuscrita em toda a UE. Ponto. Nenhum tribunal a pode recusar com o argumento de ser eletrónica.

A desvantagem é que configurar uma QES é uma chatice. O signatário tem normalmente de verificar a sua identidade pessoalmente ou por videochamada, obter um certificado emitido por um Prestador de Serviços de Confiança Qualificado (QTSP) e usar um dispositivo de assinatura especial. É mais lento e mais caro do que SES ou AES.

Se queres perceber o lado técnico de como as assinaturas digitais realmente funcionam por dentro, escrevi sobre isso em assinatura digital vs assinatura eletrónica.

SES vs AES vs QES: comparação rápida

Validade transfronteiriça (a verdadeira magia)

Esta é a parte do eIDAS que acho que não recebe crédito suficiente. O artigo 25 do regulamento diz que não se pode negar efeito jurídico ou admissibilidade em tribunal a uma assinatura eletrónica apenas por ser eletrónica, ou por não cumprir os requisitos de uma QES.

E o artigo 25(3) vai mais longe: uma QES de um Estado-membro tem o mesmo efeito jurídico que uma assinatura manuscrita em todos os outros Estados-membros. Não vale o "mas o nosso país tem regras especiais".

Isto é enorme para PME transfronteiriças. Já trabalhei com fundadores que pagavam advogados em três países diferentes para refazer contratos porque pensavam que cada jurisdição precisava da sua própria assinatura em papel. Não precisavam. Uma única assinatura eletrónica conforme com o eIDAS teria sido suficiente.

Casos de uso práticos para PME

Vamos ao concreto. Eis o que vi funcionar na prática para pequenas e médias empresas em toda a Europa:

Contratos de venda e orçamentos: a SES serve em 99% dos casos. Se o tamanho médio dos teus negócios é inferior a 50.000 € e não estás a vender para setores altamente regulados, não compliques.

Contratos de trabalho: a AES é o ponto certo. Queres conseguir provar quem assinou e quando, e queres deteção de adulteração. A maioria dos países aceita AES para contratos de trabalho, embora alguns (como a Alemanha para certos tipos de acordos) ainda prefiram ou exijam QES.

NDAs: SES, sempre. Próximo.

Acordos com freelancers: SES ou AES dependendo do valor. Abaixo de 5.000 €, SES serve. Acima disso, eu inclinava-me para AES.

Contratos de arrendamento (comerciais): AES na maioria dos países. QES em alguns. Verifica localmente.

Contratos de empréstimo (B2B): AES se for um pequeno empréstimo a empresas. QES se estiveres a lidar com bancos ou credores regulados.

Compras imobiliárias: QES, quase sempre. E em muitos países, ainda precisas de um notário por cima.

Contratos com fornecedores transfronteiriços: a AES é a escolha segura. Funciona em todo o lado e dá-te as provas que precisas se as coisas correrem mal.

O que exige QES em Estados-membros específicos

Aqui tenho de ser sincero: o eIDAS não substitui o direito nacional sobre que tipo de assinatura é exigida para tipos específicos de documentos. Cada Estado-membro continua a poder dizer "para este tipo de documento, é preciso uma QES, e ponto final".

Alguns exemplos:

• Alemanha: a rescisão de contratos de trabalho (em alguns casos), os contratos de crédito ao consumo e certas inscrições no registo comercial exigem QES. A Alemanha é provavelmente o país mais rigoroso da UE neste tema.
• França: a maioria dos contratos com consumidores pode usar AES, mas as transações imobiliárias e alguns acordos financeiros exigem QES.
• Itália: muitos documentos da administração pública e algumas formalidades comerciais exigem QES, frequentemente chamada localmente "firma digitale".
• Espanha: as declarações fiscais à AEAT (autoridade fiscal espanhola) e muitas interações com o governo exigem QES, normalmente usando o DNI electrónico (cartão de identidade espanhol com chip integrado).
• Polónia: a maioria dos contratos business-to-business funciona com AES, mas as petições judiciais exigem QES.

A lição: se operas além-fronteiras e tens dúvidas, pergunta a um advogado local. Custa menos do que ver um contrato ser anulado.

eIDAS 2.0 e a Carteira Europeia de Identidade Digital

A UE aprovou o eIDAS 2.0 em 2024, e os Estados-membros estão a implementá-lo até 2026. A grande mudança é a Carteira Europeia de Identidade Digital (EUDI Wallet), que cada Estado-membro da UE tem de oferecer aos seus cidadãos até 2026.

A carteira é basicamente uma app de smartphone que te permite guardar a tua identidade verificada pelo Estado, a carta de condução, diplomas, credenciais de pagamento e, sim, o teu certificado de assinatura qualificada. A ideia é que vais poder assinar um documento de nível QES com um toque no telemóvel, sem cartão inteligente nem verificação presencial para assinaturas seguintes.

Para PME, isto deve tornar a QES muito mais acessível. Neste momento, configurar uma QES para um único signatário pode demorar uma semana e custar mais de 100 €. Com a EUDI Wallet, deve ser mais à volta de cinco minutos e gratuito para os cidadãos.

O senão? A implementação é desigual. Alguns países estão à frente (a Estónia faz isto há anos com o programa e-Residency), outros estão muito atrasados. Não esperes uma implementação suave em todo o lado até 2026.

Como escolher o nível certo de assinatura

O meu pequeno guia rápido de decisão:

1. Quanto vale o documento? Abaixo de 10.000 € e não regulado? SES. 10.000 a 100.000 €? AES. Acima disso, ou setor regulado? Considera QES.
2. É legalmente exigida QES? Se sim, sem debate. Usa QES.
3. Vai parar a tribunal? Se houver alguma probabilidade de litígio, vai pelo menos para AES. A trilha de auditoria vale a pena.
4. Transfronteiriço? A AES é o mínimo seguro. A SES pode ver-lhe negado o efeito jurídico em alguns tribunais, mesmo que o eIDAS diga que não devia.
5. O que quer a contraparte? Se um cliente empresarial alemão diz que precisa de QES, dá-lhe QES. Discutir não vale o negócio.

Limitações honestas

O eIDAS é ótimo, mas não é uma varinha mágica. Algumas coisas para teres em mente:

• O direito nacional ainda conta. O eIDAS define o piso, não o teto. Os Estados-membros podem exigir QES para tipos específicos de documentos, e exigem.
• A interpretação dos tribunais varia. A SES é tecnicamente válida em todo o lado, mas um tribunal francês e um tribunal romeno podem pesar as provas de forma muito diferente.
• A QES ainda é cara. Mesmo com o eIDAS 2.0 a chegar, o atrito é real. Não prometas QES aos clientes se não tiveres um caminho claro para a entregar.
• A qualidade dos prestadores de serviços de confiança varia. Mantém-te com QTSPs na Lista de Confiança oficial da UE. A lista é pública e atualizada regularmente.
• O reconhecimento fora da UE é uma questão à parte. Só porque um contrato é válido na UE ao abrigo do eIDAS, não significa que será exequível nos EUA, no Reino Unido (pós-Brexit) ou em qualquer outro lado. Verifica as regras locais.

A fechar

Se tiveres de levar uma única coisa de tudo isto, leva esta: a maioria dos contratos de PME não precisa de QES. A AES chega para a grande maioria das situações de negócio, e a SES serve para o dia a dia. O truque é saber quando subir de nível.

O eIDAS deu às empresas europeias o melhor enquadramento jurídico do mundo para assinaturas eletrónicas, e a maioria de nós ainda não o usa bem. Pagamos por ferramentas antigas e caras quando existem opções melhores, ou ficamos presos ao papel por medo da parte legal. Nenhuma das duas coisas é necessária.

Se andas à procura de uma plataforma de assinatura eletrónica que faça AES de raiz e não te leve à falência, dá uma olhadela à nossa comparação de alternativas mais baratas ao DocuSign. E se quiseres ver como é, na prática, assinar em conformidade com o eIDAS, podes experimentar a CanUSign de graça e assinar o teu primeiro documento em menos de dois minutos.

A lei está do teu lado. Usa-a.