Le cadre de la signature électronique au Brésil repose sur trois piliers : la Medida Provisória 2.200-2/2001, la loi 14.063/2020 et le Code civil brésilien.

La MP 2.200-2/2001 a établi l'ICP-Brasil, l'infrastructure à clés publiques du Brésil, et a fixé la règle de base qui régit encore aujourd'hui les contrats privés : un document signé avec un certificat ICP-Brasil est présumé authentique, mais la loi préserve explicitement la validité de toute autre méthode de signature que les parties conviennent d'accepter, sans présomption automatique. Cette approche de liberté de forme est renforcée par le Code civil et la loi de 2019 sur la liberté économique, qui valide les actes juridiques privés passés par tout moyen capable de prouver l'auteur et l'intégrité du document.

Types de signatures reconnus

La loi 14.063/2020 a introduit un système formel à trois niveaux - simple, avancée et qualifiée - qui s'applique textuellement aux interactions avec les entités publiques, aux actes de sociétés, aux questions de santé et aux licences de logiciels du secteur public. Depuis lors, les tribunaux ont appliqué le même test de fond aux litiges privés par analogie. La définition du niveau avancé exige un lien unique avec le signataire, l'identification de ce dernier, des données de création de signature sous le contrôle exclusif du signataire et la détection de toute modification ultérieure du document - un test presque identique à la norme AES de l'UE.

Le signal le plus clair de la position des tribunaux brésiliens à ce sujet est survenu en 2024, lorsque la Cour supérieure de justice (STJ) s'est prononcée sur un contrat signé via une plateforme tierce de signature électronique sans certification ICP-Brasil (REsp 2.159.442/PR). La Cour a explicitement rejeté la certification qualifiée obligatoire comme un « formalisme excessif et inutile » pour un contrat ordinaire, acceptant les pistes d'audit, la journalisation des adresses IP et l'authentification multifacteur comme des preuves suffisantes d'identité et d'intégrité. Un arrêt de 2025 (Tema Repetitivo 1061) est allé plus loin pour les contrats bancaires numériques, en transférant la charge de la preuve à l'institution lorsqu'un consommateur conteste l'authenticité d'une signature.

L'ICP-Brasil reste une exigence stricte, sans solution de contournement par signature avancée, pour un ensemble spécifique de cas d'usage : les factures électroniques (NF-e), les actes de transfert et d'enregistrement de biens immobiliers, les actes notariés publics, le remplacement juridique complet des dossiers de santé papier, ainsi que la plupart des dépôts auprès des tribunaux et du gouvernement. En dehors de ces catégories, les contrats commerciaux ordinaires, les contrats de travail, les accords de confidentialité (NDA) et les licences de logiciels sont pleinement valides avec des signatures simples ou avancées.

En matière de protection des données, la LGPD du Brésil reflète étroitement le RGPD dans sa structure, avec ses propres spécificités procédurales : un délai de notification des violations de 3 jours ouvrables à l'ANPD, et un délai de 15 jours pour les demandes des personnes concernées. En janvier 2026, la Commission européenne et l'ANPD ont finalisé une décision d'adéquation mutuelle, la première entre l'UE et un pays d'Amérique latine, éliminant ainsi le besoin de garanties de transfert spécifiques au Brésil lors du transfert de données personnelles entre l'UE/EEE et le Brésil.