1. Os desafios do meio eletrônico: autoria e integridade das declarações de vontade

A necessidade do desenvolvimento do conceito de assinatura eletrônica está relacionada à disseminação da comunicação e dos negócios realizados com o auxílio de computadores e da Internet. Como se sabe, esta é uma tendência cada vez mais acentuada, não apenas no Brasil, mas em nível mundial, tendo em vista o declínio da utilização da escrita à mão e da assinatura manuscrita.¹  

Sempre que alguém optar pela utilização de uma mensagem eletrônica, de um contrato eletrônico, ou de qualquer documento eletrônico, com o intuito de vinculação jurídica das partes, terá de empregar meios com robustez probatória suficiente para comprovar pelo menos a autoria da declaração de vontade e a integridade do conteúdo da comunicação ou do documento, ou seja, que não houve alteração da declaração de vontade originariamente produzida. 

Um terceiro aspecto que em muitos casos pode ser relevante é o que diz respeito ao sigilo dos documentos, informações e dados transmitidos, a fim de que o seu conteúdo não seja conhecido por quem não tenha autorização.

A insegurança do ambiente virtual, onde relações são travadas sem um contato presencial e com pouca confiabilidade acerca da identidade do interlocutor, agrega elemento que torna ainda mais necessário o desenvolvimento de mecanismos de identificação dos usuários, e de atribuição de integridade e sigilo dos dados, informações e documentos eletrônicos.  

2. Assinatura eletrônica e assinatura digital

O primeiro conceito técnico voltado a auxiliar na identificação das partes no meio virtual pode ser denominado de assinatura eletrônica. Ele auxilia na tarefa de saber quem produziu a declaração de vontade, a fim de que seja possível imputar a alguém a respectiva consequência jurídica, pois, consoante afirma Otto Ulrich,² “sem identificação não se pode responsabilizar”. 

Tendo em vista a precisão da definição apresentada no Guia para a Incorporação ao Direito Interno da Lei Modelo da Uncitral de Assinaturas Eletrônicas,³ calha a sua citação: 

“o escopo de várias técnicas atualmente disponíveis no mercado, ou ainda em desenvolvimento, é o de oferecer os meios técnicos pelos quais algumas ou todas as funções identificadas como características das assinaturas manuscritas podem ser desempenhadas em um ambiente eletrônico. Tais técnicas podem ser, em sentido largo, denominadas de ‘assinaturas eletrônicas’ [...] por exemplo, certas técnicas seriam respaldadas na autenticação por meio de dispositivos biométricos baseados em assinaturas manuscritas. Em tais dispositivos, o signatário assinaria manualmente, utilizando uma caneta especial, ou em uma tela de computador ou em uma planilha digital. A assinatura manuscrita seria então analisada pelo computador e armazenada como um conjunto de valores numéricos, que poderia ser anexado a uma mensagem de dados e recuperada pelo relying party⁴ para fins de conferência da autoria. Um tal sistema de comprovação de autoria seria baseado no pressuposto de que amostras da assinatura manuscrita tenham sido previamente analisadas e armazenadas utilizando o dispositivo biométrico. Outras técnicas compreenderiam a utilização de números de identificação pessoal (os PINs), versões digitalizadas de assinaturas manuscritas, e outros métodos, como o clicar numa opção de uma janela de diálogo”.⁵   

Assim, sob a denominação assinatura eletrônica encontram-se os variados métodos de comprovação de autoria e integridade empregados no meio virtual. A assinatura digital, desta feita, consiste em espécie do gênero assinatura eletrônica, e representa um dos meios, dentre os diversos existentes, que associam a identidade de um indivíduo a uma declaração de vontade veiculada eletronicamente. Há, pois, uma diferença entre as nomenclaturas “assinatura eletrônica” e “assinatura digital”, que não poderão ser utilizadas como sinônimas.⁶ 

Enquanto o termo “assinatura eletrônica” abrange o leque de métodos de comprovação de autoria mencionados, e até mesmo outros que possam vir a ser criados, a palavra “assinatura digital” refere-se exclusivamente ao procedimento de comprovação de autoria e integridade baseado na criptografia assimétrica, conforme abaixo descrito.

3. Os detalhamentos do conceito de assinatura digital

A assinatura digital, espécie de assinatura eletrônica, é viabilizada pelo emprego da criptografia assimétrica ou criptografia de chaves públicas, cuja utilização foi consagrada no Brasil com a edição da Medida Provisória 2.200-2/2001.  A compreensão dos conceitos atrelados a esta técnica é de fundamental importância para o correto entendimento das consequências jurídicas associadas à aposição de uma assinatura digital a um documento eletrônico.

Antes que se aborde a criptografia assimétrica, é preciso fazer uma rápida passagem pelas características da criptografia simétrica. A criptografia simétrica é bastante antiga, havendo registros de que já era conhecida na época das guerras helênicas, na Mesopotâmia e no Egito. Sua utilização original esteve relacionada a finalidades militares, para a codificação das comunicações encetadas entre os chefes de Estado e os comandantes dos exércitos. Simon Singh relata que “o primeiro documento que usou uma cifra de substituição para propósitos militares aparece nas Guerras da Gália de Júlio César”.⁸ O método empregado por Júlio César era o do alfabeto cifrado, de acordo com o qual cada letra da mensagem era substituída pela terceira letra subsequente do alfabeto. Assim, o texto original “veni, vidi, vici”, cifrado, ficava assim: “YHQL, YLGL, YLFL”. 

O destinatário da mensagem deveria ter prévio conhecimento dessa substituição, ou seja, do número exato de letras que foi avançado (a denominada chave ou código, como se chama na linguagem técnica da criptografia), a fim de que pudesse compreender o conteúdo. 

É de se notar que na criptografia simétrica os interlocutores compartilham o código (ou chave) de cifração e de decifração da mensagem. E mais, utilizam o mesmo código para esses dois processos de ocultar e tornar claro o texto. Essas características da criptografia simétrica implicam em limitações ou dificuldades facilmente verificáveis. A primeira delas é que previamente à comunicação entre duas pessoas que a utilizarão será necessário um contato para que elas convencionem o código a ser utilizado. 

A segunda dificuldade é a de escala, ou seja, a chave que Carlos utilizar para se comunicar com Maria deverá necessariamente ser diferente daquela que utilizará na interlocução com Pedro, caso contrário, não terá a garantia da confidencialidade e da autoria da mensagem. Numa comunidade de 1.000 usuários, Carlos precisaria de 999 chaves diferentes para que a confidencialidade das mensagens não fosse comprometida.

A terceira dificuldade, com claras implicações jurídicas no que diz respeito à vinculação ou não da declaração de vontade a uma pessoa, diz respeito ao fato de que há compartilhamento entre os interlocutores do código secreto que dará acesso à informação. Isto implica em dizer que ambas as partes, em tese, podem ser consideradas “suspeitas” no caso de alegação de vazamento deste código. 

Daí, pode-se imaginar os complicadores de sua aplicação para um universo maior de pessoas, como aquele verificado numa sociedade de massas.

Traçando-se um paralelo com o que hoje ocorre no âmbito do comércio eletrônico, chega-se à conclusão de que a atribuição de senhas funciona com base na mesma lógica do compartilhamento de códigos da criptografia assimétrica, uma vez que os usuários conhecem a sua própria senha, que também é do conhecimento do sistema que acessam, e, portanto, potencialmente do dono do sistema e de seus funcionários.

Com claras evoluções no que diz respeito a estas fraquezas da criptografia simétrica, a criptografia assimétrica ou de chave pública, foi desenvolvida a partir de estudos feitos nos anos 1970 pelos pesquisadores norte-americanos Whitfield Diffie, Martin Hellman e Ralph Merkle, considerados os inventores dos conceitos de criptografia de chave pública.  Ela consiste num método que utiliza duas chaves, uma a ser aplicada pelo remetente e outra pelo receptor da mensagem, e é sobre esse conceito que se funda a criação da chamada assinatura digital. As chaves são denominadas chave pública e chave privada, ou privativa.

A chave privada é de único e exclusivo domínio do titular da chave de assinatura, enquanto que a chave pública poderá ser amplamente divulgada. Elas constituem combinação de letras e números bastante extensa, que não são criadas pelo usuário, mas sim por programas de computador. O que interessa saber é que as chaves se complementam e atuam em conjunto. O remetente “assina” a sua mensagem aplicando a ela a sua chave privada (que fica armazenada, usualmente, em cartões inteligentes, dispositivos similares a um cartão de crédito, ou tokens), enquanto que o receptor, ao receber a mensagem, aplicará a chave pública do remetente para verificar se ela efetivamente dele se originou. 

A princípio não é possível derivar uma chave privada a partir da respectiva chave pública.¹⁰ As chaves criptográficas assimétricas podem possuir tamanho variável – de acordo com o grau de segurança desejado – e serão tanto mais seguras quanto maiores forem. Na ICP-Brasil, por exemplo, as chaves criptográficas da denominada Autoridade Certificadora Raiz chegam a 4096 bits, valor este que pode ser revisto conforme o desenvolvimento da técnica. 

Os programas de computador do receptor fazem uma conferência, e se houver correspondência entre as chaves, a mensagem abrirá com uma confirmação positiva, o que garantirá a presunção da origem bem como da integridade do conteúdo, ou seja, de sua não alteração no caminho percorrido na rede. 

Assim, diferentemente da criptografia simétrica, que utiliza a mesma chave tanto para a cifração quanto para a decifração da mensagem, a diversidade das chaves permite a comunicação com um universo ilimitado, e, fundamentalmente, que não se tenha que conhecer previamente o interlocutor e com ele ter contato prévio, algo bastante necessário numa sociedade como a da atualidade, que tem por característica marcante a impessoalidade. 

Digno de menção é que no processo de aposição de uma assinatura digital em documento eletrônico, o texto em si que é assinado não é criptografado, mas apenas o seu resumo. Na prática, qualquer mensagem – não importando o tamanho, se de 10 bytes ou de 10.000 bytes – é condensada em 20 bytes. O resumo da mensagem ou função hash é um algoritmo¹¹ que recebe uma informação de qualquer tamanho e a transforma em dado de largura fixa. Portanto, para se ganhar em velocidade, cifra-se o resumo da mensagem ou do arquivo.

Para agregar mais segurança às comunicações virtuais, é necessário outro elemento que dê certeza àquela pessoa que recebeu uma mensagem eletrônica assinada digitalmente de que a pessoa que a assinou é realmente quem diz ser. É aí que entram os certificados digitais, que serão analisados a partir do próximo tópico.

4. O certificado digital

Uma das vulnerabilidades das assinaturas eletrônicas que se baseiam em senhas, é que, na maioria dos casos, o próprio titular da assinatura é quem define a sua senha e a armazena no sistema de seu interlocutor (por exemplo, um site de comércio eletrônico). Isso faz com que um fraudador possa criar uma identificação falsa, valendo-se de dados de terceiro que ignora completamente o ato ilícito praticado. Esta prática é comum na criação de contas de e-mail falsas.

O certificado digital agrega segurança ao meio eletrônico e tenta contornar esta vulnerabilidade de grande parte das assinaturas eletrônicas, uma vez que se trata de estrutura de dados sob a forma eletrônica,¹² assinada digitalmente por uma terceira parte confiável que associa o nome e atributo do titular ao par de chaves criptográficas, mediante a sua identificação prévia.

Este terceiro de confiança é denominado, no âmbito da ICP-Brasil, de Autoridade Certificadora, que, no fornecimento de certificado digital presta serviço semelhante ao de identificação para a expedição de carteiras de identidade, com a particularidade de que o certificado é emitido com prazo de validade determinado.¹³ O interessado é identificado mediante a sua presença física pela Autoridade Certificadora¹⁴ – com a apresentação dos documentos necessários – e este emite o respectivo certificado digital. 

No âmbito da ICP-Brasil, poderão ser titulares de certificados digitais as pessoas naturais ou as pessoas jurídicas. Importante observar, entretanto, que no caso das pessoas jurídicas sempre haverá uma pessoa natural responsável pela utilização da chave privada relacionada à chave pública constante do certificado. 

5. Equivalência funcional e valor probatório

A utilização do conceito de criptografia assimétrica e dos procedimentos técnico-operacionais da ICP-Brasil embasaram a equiparação dos efeitos jurídicos da assinatura digital à assinatura manuscrita, a partir do aproveitamento do art. 131 do Código Civil de 1916, reproduzido integralmente no art. 219 do Código Civil de 2002.¹⁵ De acordo com o Art. 10, § 1°, da Medida Provisória 2.200-2:

“As declarações constantes dos documentos em forma eletrônica produzidos com a utilização de processo de certificação disponibilizado pela ICP-Brasil presumem-se verdadeiros em relação aos signatários, na forma do art. 131 da Lei 3.071/1916 – Código Civil”.

Como já tivemos a oportunidade de registrar,¹⁶ tanto o art. 131 do Código Civil de como o art. 219 do Código Civil de 2002, ao preverem que serão consideradas verdadeiras em relação ao signatário as declarações assinadas, tem por finalidade atribuir uma presunção relativa¹⁷ de autoria às mensagens assinadas de próprio punho.  

Ao transpor este dispositivo para o meio eletrônico, a Medida Provisória 2.200-2 atribuiu presunção (também relativa) de autoria ao documento eletrônico assinado com certificado digital da ICP-Brasil.¹⁸ Apesar de a Medida Provisória 2.200-2 ter, em seu art. 1º, feito referência ao escopo de garantir “a validade jurídica” dos documentos em forma eletrônica,¹⁹ esta “garantia da validade jurídica” significa primordialmente o intuito de afastar entendimentos que discriminem as manifestações de vontade exaradas pelo meio eletrônico, pelo simples fato de terem sido produzidas neste meio. É o reconhecimento do postulado que no âmbito da UNCITRAL leva a nomenclatura de princípio da não-discriminação.²⁰ A Medida Provisória 2.200-2 não pretendeu reservar para o seu regramento, ou para os mecanismos de atribuição de autoria que prevê, a exclusividade do atributo de validade. Em outras palavras, a Medida Provisória 2.200-2 não determina que ou bem se observe os requisitos da ICP-Brasil, ou se estará diante de invalidade.

Não há que se perder de vista, outrossim, o contido no § 2º do art. 10 da Medida Provisória 2.200-2, segundo o qual: 

“O disposto nesta Medida Provisória não obsta a utilização de outro meio de comprovação da autoria e integridade de documentos em forma eletrônica, inclusive os que utilizem certificados não emitidos pela ICP-Brasil, desde que admitido pelas partes como válido ou aceito pela pessoa a quem for oposto o documento”.

Este dispositivo tem o intuito de flexibilizar a referida regra do § 1º, esclarecendo que as partes têm a liberdade de escolher outros meios de atribuição de autoria que não a assinatura digital ICP-Brasil.²¹  

A Medida Provisória 2.200-2, portanto, não criou uma forma especial²² obrigatória para o meio eletrônico. E mais, sua disciplina sobre forma e prova dos atos e negócios jurídicos se situa no âmbito do disciplinado no Código Civil, que determina, no já referido art. 107, que “A validade da declaração de vontade não dependerá de forma especial, senão quando a lei expressamente a exigir”. Não se verifica, portanto, no texto da Medida Provisória 2.200-2, a fixação da forma especial para os procedimentos de atribuição de autoria da ICP-Brasil.

Acrescente-se a isso a existência de outras regras, tanto do Código Civil quanto do Código de Processo Civil,²³ que disciplinam a questão da prova e de sua valoração, e que estão em consonância com os princípios da liberdade de formas²⁴ e da livre apreciação das provas, como o art. 369 deste último diploma legal, que determina: 

“As partes têm o direito de empregar todos os meios legais, bem como os moralmente legítimos, ainda que não especificados neste Código, para provar a verdade dos fatos em que se funda o pedido ou a defesa e influir eficazmente na convicção do juiz.”

É que nem a Medida Provisória 2.200-2, nem a técnica que ela reconhece, a criptografia assimétrica, alteraram a disciplina do Código Civil relativa à possibilidade de invalidação das declarações de vontade viciadas por erro, dolo ou coação. É verdade que a utilização do meio eletrônico, de modo geral, pode dificultar ainda mais a já difícil comprovação dos vícios da vontade, tendo em vista que a manifestação da vontade por esta via, como regra geral, é realizada pelos contratantes de forma isolada, sem a presença de outras pessoas que poderiam figurar como testemunhas para comprovarem os vícios. Ricardo Lorenzetti chega a falar na denominada irrelevância dos estados subjetivos para o meio eletrônico.²⁵  

Mas não se pode chegar ao ponto de afirmar que não é mais possível fazer valer a tradicional dogmática dos defeitos dos atos e negócios jurídicos no meio eletrônico. E isso porque a vontade do declarante (livre de vícios), mesmo após a edição do Código Civil de 2002, continua ocupando um local de destaque na teoria do negócio jurídico, como bem assevera Antônio Junqueira de Azevedo, ao comentar a disciplina do erro:²⁶ “[é] no capítulo do erro que mais intensamente se vê a influência da vontade sobre a declaração”. Ainda assim, registre-se que o Código Civil de 2002 afastou os exageros do subjetivismo do dispositivo que trata da interpretação das declarações de vontade.²⁷ 

Relacionado a este assunto, já tivemos a oportunidade de registrar, ao comentar sobre o denominado não-repúdio, e a possibilidade de impugnar documentos eletrônicos assinados digitalmente, mesmo com base em certificado da ICP-Brasil, que: 

“o não-repúdio de origem é uma presunção relativa de que aquele que assinou digitalmente, a princípio, estará vinculado à declaração de vontade manifestada. Por ser uma presunção relativa ou juris tantum, é possível a prova em contrário. Por exemplo, o suposto autor da manifestação de vontade poderá provar que foi coagido a assinar determinado documento eletrônico, e, assim, fazer cessar a presunção de autoria. Todavia, tudo dependerá da análise do conjunto probatório, e se o caso chegar ao Poder Judiciário, o magistrado competente deverá investigar fatos como, se após cessada a coação, o coagido tomou as devidas cautelas para comunicar ao destinatário da mensagem sobre o ocorrido, a fim de paralisar eventual execução contratual (comunicando até mesmo a necessidade de revogação do certificado perante a autoridade certificadora). Enfim, existem infinitas possibilidades de combinação de fatos que deverão ser analisados com prudência e cuidado pelo juiz”.²⁸ 

O diferencial da assinatura digital da ICP-Brasil assim, não é o atributo de uma pretensa validade exclusiva e absoluta para o meio eletrônico, mas sim o de efeitos jurídico-probatórios diferenciados que o documento eletrônico comum não dispõe.²⁹ Consoante o já observado: 

“Em decorrência, no direito brasileiro, via de regra, só terá os mesmos efeitos da assinatura manuscrita aquela assinatura digital aposta com base em certificado digital emitido por uma das autoridades certificadoras credenciadas pelo Instituto Nacional de Tecnologia da Informação, entidades que têm a obrigação de cumprir com todos os requisitos técnicos, administrativos, operacionais e jurídicos elencados nas normas da ICP-Brasil”.³⁰  

A questão se resolve, portanto, no plano da eficácia e não da validade. Esses efeitos jurídico-probatórios diferenciados da ICP-Brasil agregam um maior poder de convencimento sobre a autoria e a integridade do documento eletrônico, portanto uma segurança jurídica muito mais robusta, ao dificultar sobremaneira (mas não impossibilitar de todo) as alegações de ausência de autoria.

Portanto, seja valendo-se da Infraestrutura de Chaves Públicas Brasileira ou de outros mecanismos de atribuição de identificação, com atribuição de autoria e integridade, pode-se considerar que os interessados encontrarão uma moldura jurídica no mínimo razoável para realizarem os seus negócios no que diz respeito às possibilidades de agregar segurança às transações eletrônicas sem que haja grandes obstáculos jurídicos quanto a este ponto.

Vale observar que o Código de Processo Civil de 2015 (CPC) não alterou a disciplina sobre as regras do documento eletrônico prevista na MP 2.200-2, pelo contrário, reafirmou-a, uma vez que remete à legislação específica,³¹ que consiste justamente na MP 2.200-2.