Brasiliens Rahmenwerk für elektronische Signaturen ruht auf drei Säulen: Medida Provisória 2.200-2/2001, Gesetz 14.063/2020 und dem brasilianischen Zivilgesetzbuch.

MP 2.200-2/2001 hat ICP-Brasil, die Public-Key-Infrastruktur Brasiliens, ins Leben gerufen und die grundlegende Regel aufgestellt, die auch heute noch für private Verträge gilt: Ein mit einem ICP-Brasil-Zertifikat unterzeichnetes Dokument gilt als authentisch, aber das Gesetz bewahrt ausdrücklich die Gültigkeit jeder anderen Signaturmethode, die die Parteien vereinbaren, ohne dass damit eine automatische Vermutung einhergeht. Dieser Ansatz der Formfreiheit wird durch das Zivilgesetzbuch und das Gesetz über die wirtschaftliche Freiheit von 2019 verstärkt, welches private Rechtsinstrumente validiert, die mit allen Mitteln ausgeführt werden, die in der Lage sind, die Urheberschaft und Integrität nachzuweisen.

Anerkannte Signaturtypen

Das Gesetz 14.063/2020 führte ein formelles dreistufiges System ein – einfach, fortgeschritten und qualifiziert –, das textlich für Interaktionen mit öffentlichen Stellen, Unternehmensakte, Gesundheitsangelegenheiten und Softwarelizenzierungen im öffentlichen Sektor gilt. Die Gerichte haben seitdem denselben materiellen Test analog auf private Streitigkeiten angewendet. Die Definition der fortgeschrittenen Stufe erfordert eine eindeutige Verknüpfung mit dem Unterzeichner, die Identifizierung des Unterzeichners, Signaturerstellungsdaten unter der alleinigen Kontrolle des Unterzeichners und die Erkennung jeder späteren Änderung des Dokuments – ein nahezu identischer Test wie der AES-Standard der EU.

Das klarste Signal dafür, wo die brasilianischen Gerichte in dieser Frage stehen, kam im Jahr 2024, als der Superior Court of Justice (STJ) über einen Vertrag entschied, der über eine E-Signatur-Plattform eines Drittanbieters ohne ICP-Brasil-Zertifizierung unterzeichnet wurde (REsp 2.159.442/PR). Das Gericht lehnte eine obligatorische qualifizierte Zertifizierung explizit als "übermäßigen und unnötigen Formalismus" für einen gewöhnlichen Vertrag ab und akzeptierte Audit-Trails, IP-Protokollierung und Multi-Faktor-Authentifizierung als ausreichenden Nachweis von Identität und Integrität. Ein Urteil aus dem Jahr 2025 (Tema Repetitivo 1061) ging bei digitalen Bankverträgen noch weiter und verlagerte die Beweislast auf das Institut, wenn ein Verbraucher die Echtheit einer Signatur bestreitet.

ICP-Brasil bleibt für eine Reihe spezifischer Anwendungsfälle eine zwingende Voraussetzung, ohne die Möglichkeit einer Umgehung durch eine fortgeschrittene Signatur: elektronische Steuerrechnungen (NF-e), Immobilienübertragungs- und -registrierungsakte, notarielle Urkunden, der vollständige rechtliche Ersatz von Papier-Patientenakten sowie die meisten Gerichts- und Behördeneinreichungen. Außerhalb dieser Kategorien sind gewöhnliche Handelsverträge, Arbeitsverträge, Geheimhaltungsvereinbarungen (NDAs) und Softwarelizenzen mit einfachen oder fortgeschrittenen Signaturen vollkommen gültig.

Im Bereich des Datenschutzrechts spiegelt die brasilianische LGPD die DSGVO in ihrer Struktur stark wider, weist jedoch eigene verfahrenstechnische Besonderheiten auf: ein Zeitfenster von 3 Werktagen für die Meldung von Datenschutzverletzungen an die ANPD und eine Frist von 15 Tagen für Anfragen von betroffenen Personen. Im Januar 2026 schlossen die Europäische Kommission und die ANPD einen gegenseitigen Angemessenheitsbeschluss ab, den ersten zwischen der EU und einem lateinamerikanischen Land, wodurch die Notwendigkeit brasilien-spezifischer Übertragungsgarantien bei der Übermittlung personenbezogener Daten zwischen der EU/dem EWR und Brasilien entfällt.