El marco de la firma electrónica en Brasil se asienta sobre tres pilares: la Medida Provisória 2.200-2/2001, la Ley 14.063/2020 y el Código Civil brasileño.

La MP 2.200-2/2001 estableció ICP-Brasil, la infraestructura de clave pública de Brasil, y fijó la regla básica que aún rige los contratos privados en la actualidad: un documento firmado con un certificado ICP-Brasil se presume auténtico, pero la ley preserva explícitamente la validez de cualquier otro método de firma que las partes acuerden aceptar, sin que se le asocie ninguna presunción automática. Este enfoque de libertad de forma se ve reforzado por el Código Civil y la Ley de Libertad Económica de 2019, que valida los instrumentos jurídicos privados ejecutados por cualquier medio capaz de probar la autoría y la integridad.

Tipos de firma reconocidos

La Ley 14.063/2020 introdujo un sistema formal de tres niveles —simple, avanzada y cualificada— que se aplica textualmente a las interacciones con entidades públicas, actos societarios, asuntos de salud y licencias de software del sector público. Desde entonces, los tribunales han aplicado por analogía el mismo criterio sustantivo a los litigios privados. La definición del nivel avanzado exige una vinculación única con el firmante, la identificación del firmante, datos de creación de la firma bajo el control exclusivo del firmante y la detección de cualquier cambio posterior en el documento, un criterio casi idéntico al estándar AES de la UE.

La señal más clara de la postura de los tribunales brasileños al respecto se produjo en 2024, cuando el Superior Tribunal de Justicia (STJ) se pronunció sobre un contrato firmado a través de una plataforma de firma electrónica de terceros sin certificación ICP-Brasil (REsp 2.159.442/PR). El Tribunal rechazó explícitamente la certificación cualificada obligatoria por considerarla un «formalismo excesivo e innecesario» para un contrato ordinario, aceptando las pistas de auditoría, el registro de IP y la autenticación multifactor como pruebas suficientes de identidad e integridad. Una sentencia de 2025 (Tema Repetitivo 1061) fue más allá en el caso de los contratos de banca digital, trasladando la carga de la prueba a la institución cuando un consumidor impugna la autenticidad de una firma.

ICP-Brasil sigue siendo un requisito indispensable, sin posibilidad de utilizar firmas avanzadas, para un conjunto específico de casos de uso: facturas electrónicas de impuestos (NF-e), actos de transferencia y registro de bienes inmuebles, escrituras públicas notariales, sustitución legal completa de historiales médicos en papel y la mayoría de las presentaciones judiciales y gubernamentales. Fuera de esas categorías, los contratos comerciales ordinarios, los acuerdos laborales, los acuerdos de confidencialidad (NDA) y las licencias de software son plenamente válidos con firmas simples o avanzadas.

En materia de protección de datos, la LGPD de Brasil refleja fielmente la estructura del RGPD, con sus propias especificidades de procedimiento: un plazo de 3 días hábiles para la notificación de brechas de seguridad a la ANPD y un plazo de 15 días para atender las solicitudes de los interesados. En enero de 2026, la Comisión Europea y la ANPD concluyeron una decisión de adecuación mutua, la primera entre la UE y un país latinoamericano, que elimina la necesidad de salvaguardas de transferencia específicas de Brasil al mover datos personales entre la UE/EEE y Brasil.