Validade jurídica das assinaturas eletrônicas

1. Resumo para o fiscal

Os documentos deste sistema (POPs, Manual de Boas Práticas, PGRSS, registros e treinamentos) são assinados eletronicamente. Cada assinatura vem com um código de verificação (formato RH-XXXX-XXXX) e um QR code impressos no documento. Ao consultar o código em /verificardocumento, o sistema mostra quem assinou, quando, em qual revisão do documento e confirma se o conteúdo é o mesmo que foi assinado (comparação do hash). Não é preciso ter conta para verificar.

2. Fundamento legal

• MP nº 2.200-2/2001, art. 10, § 2º: admite outros meios de comprovação de autoria e integridade de documentos eletrônicos, inclusive sem certificado ICP-Brasil, desde que admitidos pelas partes como válidos ou aceitos pela pessoa a quem for oposto o documento.
• Lei nº 14.063/2020, art. 4º: define as assinaturas eletrônicas simples, avançada e qualificada. A assinatura avançada (inciso II) usa dados sob controle exclusivo do signatário e permite detectar qualquer alteração posterior — é o que o sistema implementa com código por e-mail, CPF, rubrica e hash do conteúdo.
• Código Civil, art. 107 e art. 219: validade da declaração de vontade independe de forma especial, salvo quando a lei exigir; declarações constantes de documentos assinados presumem-se verdadeiras em relação aos signatários.
• Código de Processo Civil, art. 411, III e art. 441: autenticidade de documento com meio de certificação admitido pelas partes ou previsto em lei; documentos eletrônicos com garantia de origem e integridade têm valor probatório.
• Lei nº 12.965/2014 (Marco Civil da Internet), arts. 10 e 15: guarda dos registros de acesso (IP, data e hora) que compõem a trilha de cada assinatura.
• Lei nº 13.709/2018 (LGPD), art. 7º, II, V e VI: tratamento dos dados do signatário para execução do contrato, obrigação legal e exercício regular de direitos.

Documentos de gestão sanitária (POPs, manuais, PGRSS, registros de controle e treinamentos) não exigem, por lei, assinatura com certificado ICP-Brasil: as normas da ANVISA (RDC nº 63/2011, RDC nº 222/2018 e correlatas) exigem que os documentos existam, sejam assinados pelos responsáveis e estejam disponíveis à fiscalização — o que a assinatura eletrônica avançada atende.

3. O que cada assinatura registra

• Identificação do signatário: nome, cargo/função, CPF (validado pelos dígitos verificadores e exibido mascarado) e e-mail.
• Prova de posse do e-mail: código de 6 dígitos enviado ao e-mail do signatário, com validade de 15 minutos e limite de tentativas (quando o solicitante exige).
• Manifestação de vontade: rubrica desenhada na tela e aceite expresso do texto de ciência.
• Integridade: hash SHA-256 do conteúdo do documento no momento da assinatura, gravado junto com a assinatura. Qualquer alteração posterior gera novo hash e a verificação aponta divergência; alterações no documento criam nova revisão e invalidam as assinaturas anteriores, que ficam preservadas no histórico.
• Autoria e contexto: data/hora do servidor, endereço IP, navegador (user agent) e, quando informada, localização.
• Cadeia de eventos do link de assinatura: criação, envio do e-mail, abertura, validação do código, assinatura ou recusa — com data/hora e IP de cada evento.
• Código público de verificação e QR code impressos no documento.

4. Como verificar

• Leia o QR code na caixa de assinatura do documento, ou acesse /verificardocumento e digite o código RH-XXXX-XXXX.
• Confira se o nome do signatário, a data e a revisão exibidos batem com o documento em mãos.
• A tela informa se o conteúdo atual do documento corresponde ao que foi assinado (hash confere) ou se houve alteração posterior.
• Em caso de dúvida, solicite ao estabelecimento a exportação da trilha de auditoria (CSV) ou o relatório de assinatura completo.

5. Quando usar certificado digital ICP-Brasil

Alguns atos exigem por lei assinatura eletrônica qualificada (ex.: prescrições e atestados médicos digitais, documentos endereçados a determinados órgãos públicos, escrituras). Para esses atos o sistema não deve ser usado; consulte a norma específica. Para a documentação interna de conformidade sanitária, a assinatura eletrônica avançada aqui descrita é suficiente e amplamente aceita.

6. Guarda e imutabilidade

As assinaturas e a trilha de auditoria não podem ser alteradas ou apagadas pelos usuários. Documentos assinados são retidos por 5 anos mesmo após a exclusão da conta, para atender a fiscalizações e obrigações legais. Backups automáticos semanais preservam os registros.