ICP-Brasil

ICP-Brasil (Infraestrutura de Chaves Públicas Brasileira) é a cadeia hierárquica de confiança que viabiliza a emissão de certificados digitais no país. A MP 2.200-2, de 24 de agosto de 2001, a instituiu para garantir autenticidade, integridade e validade jurídica de documentos eletrônicos que usem certificados digitais.

A AC Raiz, primeira autoridade da cadeia, é o ITI (Instituto Nacional de Tecnologia da Informação), autarquia federal que hoje é vinculada ao Ministério da Gestão e da Inovação em Serviços Públicos. As políticas são definidas pelo Comitê Gestor da ICP-Brasil.

Quem faz parte

Segundo o ITI, a ICP-Brasil reúne a AC Raiz, as Autoridades Certificadoras (AC), as Autoridades de Registro (AR), as Autoridades Certificadoras do Tempo (ACT), prestadores de serviço biométrico, prestadores de serviço de suporte e o Comitê Gestor. O ITI credencia, supervisiona e audita os participantes. Uma empresa que queira emitir certificado ICP-Brasil precisa ser credenciada.

O que diz a lei

O art. 10, §1º, da MP 2.200-2 diz que as declarações em documentos eletrônicos produzidos com processo de certificação da ICP-Brasil presumem-se verdadeiras em relação aos signatários. O §2º do mesmo artigo não impede outros meios de comprovar autoria e integridade, inclusive certificados de fora da ICP-Brasil, desde que as partes os admitam como válidos ou que sejam aceitos por quem recebe o documento.

Por isso, uma plataforma de assinatura que não use certificado ICP-Brasil não é ilegal. O que muda é o nível: a Lei 14.063/2020 chama de qualificada a assinatura com certificado ICP-Brasil e de avançada a que usa outros meios, com requisitos próprios. Veja o verbete assinatura eletrônica.

Na prática

O ITI mantém o repositório com as cadeias de certificados da ICP-Brasil, e um programa só valida a cadeia se a tiver instalada. Se aparecer aviso de assinatura não confiável num leitor de PDF, verifique se a cadeia da AC Raiz está nele ou use o Validador de Assinaturas Eletrônicas do ITI (validar.iti.gov.br), que verifica assinaturas ICP-Brasil e gov.br, identifica o titular e confirma se o documento foi alterado depois de assinado. O site informa que não armazena os arquivos.

A conta gov.br tem seu próprio certificado, emitido pelo ITI para a assinatura avançada, e o ITI também orienta a importar a cadeia do gov.br no Adobe Acrobat Reader para o programa confiar nela.

O que a ICP-Brasil não cobre

A ICP-Brasil trata de certificados e assinatura, não do conteúdo do documento. Uma cláusula ilegal continua ilegal mesmo assinada com certificado A3 e carimbo do tempo. O uso do certificado ICP-Brasil também não é obrigatório em tudo: a MP admite outros meios entre as partes, e cada órgão público define o nível mínimo aceito. Mais no guia sobre certificado digital.