Com o fim do certificado digital de pessoa jurídica novas normas irão afetar a vida de empresas e profissionais
Por Renato Martini
Os certificados de assinatura digital já atuam como uma infraestrutura de confiança que reduz custos transacionais, elimina atritos operacionais e eleva a produtividade sistêmica da economia.
A substituição de processos em papel por fluxos cifrados com validade jurídica e não-repúdio, a tecnologia gera valor econômico direto e indireto em diversos setores.
Dessa forma a massificação dos certificados digitais fortalece a infraestrutura vetor de competitividade nacional e eficiência macroeconômica.
Por outro lado, muitos gestores não têm ideia do modelo de governança da ICP-Brasil que mantém tal infraestrutura de confiança. Na verdade a autarquia Instituto Nacional de tecnologia da Informação – ITI, não define as normas do sistema nacional de certificação digital. Antes disso, é um Comitê de gestão de políticas: o Comitê Gestor da ICP-Brasil, designado por Decreto sem número, que define assentos para governo e sociedade.
Em outubro de 2024, o CG da ICP-Brasil, sob a diligente coordenação de Enylson Camolesi, presidente do ITI[1], aprovou a Resolução nº 211, que trouxe enormes inovações à ICP-Brasil. Ressalte-se, além de inovação ao cenário nacional, também a adequação desta ao cenário global, em especial ao padrão europeu.
Por óbvio, não trataremos dos vários ajustes nesta Resolução regulados. Certamente, a extinção do CD do tipo A1 no seu artigo 3° é um dos mais expressivos[2]. Não será o objeto de nossas notas, mas ele está de uma certa maneira conectado ao tema da criação do Selo Eletrônico – SE. O tão utilizado CD A1 é um certificado muito usado pela perigosa praticidade para assinatura digital (ressalte-se o “A” de assinatura). Ele é gerado em software e armazenado em software, e que tem apenas um ano de validade (“1”).
Portanto, ele não é gerado num dispositivo de segurança tal como um smart card ou um token criptográfico, e mais modernamente, num hardware específico chamado HSM (Hardware Security Module) em ambiente de rede, o que viabiliza o CD em nuvem da ICP-Brasil. O uso de todos estes dispositivos seguros, resistentes à violação, nos três casos, impede a exportação da chave privada. No padrão ICP-Brasil chamamos este último de CD de tipo A3, um certificado de assinatura de três anos.
No caso do CD A1 a exportação da chave é feita ao copiarmos aqueles singelos arquivos PFX ou P12, que levam livremente a chave privada do CD, que é o elemento maior de risco e de segurança, por isso também é chamada de chave secreta, o que já revela a sua natureza. Ela deveria ser guardada num dispositivo que eliminasse qualquer forma de exportação. O padrão europeu, por isso mesmo, não atribui validade jurídica aos CDs que não se valem deste dispositivo seguro, tal a sua fragilidade.
O chamado A1 pode ser tanto um CD de pessoa física quanto de pessoa jurídica; este último suporta por sua vez um certificado do tipo A3. Todavia, e mais vez, tornou-se hábito pela praticidade, o uso do CD A1 para um CNPJ.
A Resolução em tela extinguiu ambos os tipos A1? Seja para um CPF seja para um CNPJ? Sim, na medida que não haverá mais um CD PJ em formato A1, com o perfil de assinar digitalmente. Para este intuito foi criado o Selo Eletrônico. Mas, por outro lado, o SE poderá admitir sua geração/armazenamento também em software na Resolução 211:
“Art. 2º Ficam criados os seguintes tipos de certificado digital no âmbito da ICP-Brasil:
I – certificado digital de selo eletrônico em software – SE-S;
II – certificado digital de selo eletrônico em hardware – SE-H…”
Admitir-se-á o SE tanto em software quanto hardware, isto é, gerado em software ou num dispositivo seguro em hardware. Admite-se o formato de software, no entanto não haverá mais a vinculação do SE a um CPF, ele não portará nos seus campos a identificação de uma pessoa física (holder).
Se fizermos um dumping de uma CD PJ que hoje se emitido na ICP-Brasil, pode-se encontrar tecnicamente nos campos de um CD tal vinculação. A exposição desses campos, OIDs (“object identifier” ou identificador de objeto), ao formatarmos esses OIDs em forma de texto puro reduzindo esse conjunto de informações numa listagem detalhada, podemos encontrar tais informações essenciais[3]. Destaquemos inicialmente o OID que tipfica o CD como um A1 para um CNPJ:
334 20: . . . . SEQUENCE {
336 3: . . . . . OBJECT IDENTIFIER organizationalUnitName (2 5 4 11)
341 13: . . . . . UTF8String ‘RFB e-CNPJ A1’
: . . . . . }
Depois deve se encontrar o campo que identificará o nome da empresa e seu CNPJ:
410 71: . . . . SEQUENCE {
412 3: . . . . . OBJECT IDENTIFIER commonName (2 5 4 3)
417 64: . . . . . UTF8String
: . . . . . . EMPRESA XYZ ‘
: . . . . . . ‘T:12345678912345 ‘
: . . . . . }
E, por fim, não poderia faltar o objeto identificador que vinculará o CD PJ a um dado CPF, vejamos:
1322 186: . . . . SEQUENCE {
1325 3: . . . . . OBJECT IDENTIFIER subjectAltName (2 5 29 17)
1330 178: . . . . . OCTET STRING, encapsulates {
1333 175: . . . . . . SEQUENCE {
1336 24: . . . . . . . [1] ‘jose@email.com’
1362 56: . . . . . . . [0] {
1364 5: . . . . . . . . OBJECT IDENTIFIER ‘2 16 76 1 3 4’
1371 47: . . . . . . . . [0] {
1373 45: . . . . . . . . . OCTET STRING
: . . . . . . . . . ‘010119650012345678900000000000000000000000000‘
: . . . . . . . . . }
Assim sendo, todo CD de PJ da ICP-Brasil portará um dado CPF se valendo do OID 2.16.76.1.3.4, ele trará a informação do email, nome do usuário, data de nascimento (acima grifado) e seu CPF. Tecnicamente ele é definido pela ISO/ITU[4] nos seus atributos obrigatórios como sendo:
A bem da verdade, tal vinculação a um CPF no CD sempre foi de um certo embaraço. Era necessária a leitura de complexos Contratos Sociais, o que nem sempre é trivial, havia depois o deslocamento de poderes do CPF portado no CD etc. Todavia, note-se que o CPF desaparece como um holder do CD, e ainda que não esteja presente num campo do certificado de SE, não é colocado na condição de um fantasma deste selo digital.
Destarte, no momento de sua emissão, a Resolução exigirá por óbvio o “responsável legal da organização e a verificação dos documentos elencados”, que é, em última instância, uma pessoa física. E da mesma forma, “os responsáveis pelo uso de certificados emitidos para pessoas jurídicas” devem ser igualmente os responsáveis formais pelo uso indevido do SE. Acontecerá a assinatura deste do “termo de titularidade” deste SE pela pessoa física responsável, incluindo a possibilidade de fazê-lo com seu CD ICP-Brasil.
Parece um mero formalismo ou uma listagem vazia. Antes disso, são informações que são buscadas pela aplicação. E, principalmente, nas aplicações rotineiras do mundo tributário. Com o fim dos chamados eCNPJ, ou seja, de um CD PJ, as aplicações irão exigir os chamados SEs, sendo o SE-S (em software) apenas um ano de validade, e o SE-H (em hardware) até 5 anos (art. 10, item 6.3.2.3, Tabela 6).
A partir do advento do SE não mais haverá o caso de uma assinatura como se fizera com os eCNPJs. Grife-se: o SE não assina digitalmente. E para que ele se presta? Podemos ler de forma objetiva no item 1.3.1.5: “Certificados do tipo SE-S e SE-H serão utilizados para garantir origem e integridade de um documento eletrônico, servindo de prova da emissão do documento por uma pessoa jurídica.”
Assim, na ICP-Brasil doravante assinar e selar digitalmente serão verbos distintos. Nas aplicações da Receita Federal muito seguramente serão usadas, ao substituir o A1 PJ, para a emissão automatizada de documentos fiscais e transmissão de obrigações acessórias.
Com efeito, um SE não assina um documento, mas sim o sela, garantido integridade e origem a este documento ao apor um selo. Logo abaixo do item supracitado, assevera-se: “É proibido o uso do certificado de selo eletrônico para assinatura digital com o propósito de manifestação de vontade.”
O SE não se presta à assinatura digital, – ainda uma vez se assevere que ele é usado para selar ou carimbar um documento e resguardar integridade e origem. E quem sela é a pessoa jurídica. Se aplicação necessita da vontade que se quer manifesta de uma pessoa física, deve-se usar um CD tout court. Por isso mesmo fica clara a metáfora de selar que se pode aqui neste caso de uso.
Quem tem familiaridade com padrão europeu eIDAS[5] (electronic Identification, Authentication and Trust Services), já se dá conta que se trata de uma apropriação daquele regulamento. O eSeal está ali bem definido e já falava em “electronically signed or sealed”. Todo e qualquer documento digital que não configurar um contrato ou acordo entre partes, algum tipo declaração personalíssimo, é candidato a selagem eletrônica de um certificado de SE. Com o SE o que se poderá obter é, como dito anteriormente, a integridade e a origem de um documento digital. O que é de uma enorme utilidade na sociedade da informação.
[1] https://www.in.gov.br/en/web/dou/-/resolucao-cg-icp-brasil-n-211-de-31-de-outubro-de-2024-593690315.
[2] Os artigos 13 e 14 tratam das “regras de transição”, portanto não se trata de uma extinção imediata, dada as dificuldades naturais em aplicações legadas.
[3] Cf. Jalal Feghhi, Jalil Feghhi e Peter Williams. Digital Certificates. Applied Internet Security. Reading (Mass.), Addison-Wesley, 1999, pp. 68ss.
[4] https://oid-base.com/get/2.16.76.1.3.4.
[5] Resumo do eIDAS: https://digital-strategy.ec.europa.eu/en/policies/discover-eidas. Para as definições do SE no regulamento europeu leia-se em espacial os artigos 35 e ss: Regulamento (UE) N.o 910/2014 do Parlamento Europeu e do Conselho de 23 de julho de 2014.
SNCR: Anvisa mantém ICP-Brasil obrigatório em receitas de controlados
Redtrust apresenta gestão centralizada de certificados digitais no Mind The Sec 2026
ID Talk direto do Febraban Tech: ZapSign amplia atuação em identidade digital e antifraude
INSS Empresa reforça uso do certificado digital ICP-Brasil no acesso a dados previdenciários
O certificado digital é um documento eletrônico que identifica pessoas físicas ou jurídicas e coisas na internet. Leia mais e se aprofunde na coluna de Certificado Digital!
