Assinatura digital do médico: ICP-Brasil, A1, A3 e quando usar
Assinatura simples, avançada e qualificada pela Lei 14.063/2020, certificado A1, A3 ou em nuvem, e qual assinatura cada documento médico exige.
A assinatura digital do médico, no sentido que as normas usam, é a assinatura eletrônica qualificada: a feita com certificado digital da ICP-Brasil, a infraestrutura criada pela MP 2.200-2/2001. A Lei 14.063/2020 separa três níveis de assinatura eletrônica (simples, avançada e qualificada) e exige a qualificada para atestado eletrônico e para receita eletrônica de medicamento controlado. O CFM vai além e pede certificado ICP-Brasil em todo documento médico eletrônico. O certificado pode ser A1 (um arquivo no computador ou celular, válido por 1 ano) ou A3 (em cartão, token ou nuvem, válido de 1 a 5 anos), e o A1 tem data para deixar de ser aceito: 2 de março de 2029, pela Resolução CG ICP-Brasil 211/2024.
Os três níveis de assinatura eletrônica
A Lei 14.063/2020, no art. 4º, classifica as assinaturas eletrônicas assim:
| Nível | O que é | Exemplos | Confiança |
|---|---|---|---|
| Simples | Identifica quem assinou ou associa dados ao signatário | Login e senha num sistema, aceite por e-mail, nome digitado | Menor |
| Avançada | Usa certificado que não é da ICP-Brasil ou outro meio que comprove autoria e integridade, ligado de forma única ao signatário, sob seu controle exclusivo, e que revela qualquer alteração posterior | Assinatura do gov.br; certificados privados admitidos pelas partes | Média |
| Qualificada | Usa certificado digital ICP-Brasil | Certificado A1 ou A3 emitido por autoridade certificadora credenciada | A mais alta, pela própria lei |
A MP 2.200-2/2001 explica por que a qualificada pesa mais: as declarações em documento assinado com certificado ICP-Brasil presumem-se verdadeiras em relação a quem assinou. Outros meios valem quando as partes os aceitam como válidos.
Qual assinatura cada documento exige
| Documento | O que a lei exige | O que o CFM exige do médico |
|---|---|---|
| Atestado médico eletrônico | Qualificada (Lei 14.063/2020, art. 13) | Qualificada (Resolução 2.381/2024) |
| Receita eletrônica de controlado (Portaria 344) | Qualificada (art. 13 e Lei 5.991/1973, art. 35) e integração ao SNCR | Qualificada |
| Receita eletrônica comum, antimicrobiano, GLP-1 | Avançada ou qualificada (Lei 5.991/1973, art. 35) | Qualificada |
| Demais documentos de saúde eletrônicos (relatório, laudo, pedido de exame) | Avançada ou qualificada (Lei 14.063/2020, art. 14) | Qualificada (Resoluções 2.299/2021 e 2.381/2024) |
| Prontuário só eletrônico, sem papel | Digitalização com ICP-Brasil ou outro padrão legalmente aceito (Lei 13.787/2018) | NGS2, com assinatura digital ICP-Brasil (Resolução 1.821/2007) |
| Documento em papel | Assinatura de próprio punho | Assinatura e carimbo ou número do CRM |
A lei abre exceção para atos internos do ambiente hospitalar, que não precisam desses níveis mínimos.
Leitura prática: a lei aceita a assinatura avançada em vários documentos, mas a Resolução CFM 2.299/2021 e a Resolução CFM 2.381/2024 pedem ao médico a qualificada em todo documento eletrônico. Quem assina tudo com certificado ICP-Brasil cumpre as duas camadas.
Os detalhes de cada documento estão em modelo de atestado médico, receita digital e prontuário eletrônico.
Certificado A1, A3 ou em nuvem
Segundo o ITI, a diferença está em onde a chave fica guardada e por quanto tempo o certificado vale.
| A1 | A3 em cartão ou token | A3 em nuvem | |
|---|---|---|---|
| Onde fica a chave | Arquivo no computador ou celular | Cartão ou token criptográfico | Equipamento seguro remoto (HSM), acessado pelo computador ou celular |
| Validade | 1 ano | De 1 a 5 anos | De 1 a 5 anos |
| Mobilidade | Só nos aparelhos onde foi instalado | Onde o cartão ou token estiver | Em qualquer aparelho autorizado |
| Risco principal | Cópia do arquivo; perda ao formatar o computador | Perda ou quebra do dispositivo | Senha e segundo fator do acesso |
| Integração com sistemas | Simples para assinatura em lote | Depende de leitor e driver | Depende de o sistema aceitar o provedor |
| Situação | Aceito até 02/03/2029 | Continua | Continua |
A mudança de 2029
O ITI informa que a Resolução CG ICP-Brasil 211/2024 atualizou os tipos de certificado e que os certificados A1 serão admitidos e utilizados até 2 de março de 2029. Até lá, continuam valendo. Para quem vai tirar ou renovar o certificado agora, vale perguntar à certificadora qual tipo atende o seu uso depois dessa data.
Qual escolher
- Atende em vários lugares ou pelo celular: A3 em nuvem costuma ser o mais prático, desde que a sua plataforma de prescrição aceite o provedor.
- Atende num computador fixo e assina muito em lote: A1 é simples de usar, com atenção ao prazo de 2029 e à proteção do arquivo.
- Quer o mínimo de dependência de internet para a chave: A3 em cartão ou token.
Antes de comprar, confirme com a plataforma de prescrição e o sistema de prontuário quais tipos eles aceitam.
Como tirar o certificado
- Escolha uma autoridade certificadora credenciada na ICP-Brasil. A lista oficial está no site do ITI. O CFM informa, na sua plataforma de prescrição, que oferece certificado digital gratuito para médicos; confira as condições atuais.
- Escolha o tipo (A1 ou A3, em mídia ou em nuvem) e o prazo.
- Faça a validação da identidade com a certificadora, nas formas que ela aceitar, levando os documentos pedidos.
- Instale ou ative o certificado e crie a senha. Guarde a senha só com você.
- Teste: assine um documento e confira no validador do ITI, em validar.iti.gov.br.
- Anote a data de vencimento e programe a renovação com antecedência.
Cuidados de segurança
- O certificado é pessoal. Quem usa a sua chave assina por você. Não entregue a senha à secretária nem instale o seu A1 no computador da recepção.
- Perdeu ou desconfia de vazamento? Peça a revogação à certificadora. A Lei 14.063/2020 exige que existam formas de revogar o meio de assinatura, especialmente em caso de comprometimento.
- Backup do A1 só em local protegido e com senha. Um arquivo de certificado esquecido num pen drive é uma assinatura sua solta por aí.
- Renove antes de vencer. Certificado vencido não assina, e o atendimento para.
E-CNPJ: a assinatura da clínica não é a do médico
O e-CNPJ é o certificado da empresa. Ele serve para obrigações da pessoa jurídica, como as fiscais, e para documentos que a própria clínica emite. Não substitui o certificado do médico em atestado, receita, laudo ou relatório, que são documentos pessoais do profissional.
Perguntas frequentes
A assinatura do gov.br serve para o médico?
A assinatura gov.br é avançada. A lei a aceita em vários documentos de saúde, e a Anvisa a aceita em receita comum e de antimicrobianos. Não serve para atestado eletrônico nem para receita de controlado. E o CFM pede ao médico assinatura qualificada (ICP-Brasil) em documentos eletrônicos.
Assinatura escaneada colada no PDF vale?
Não é assinatura eletrônica em nenhum dos três níveis da lei. É uma imagem, que qualquer pessoa pode copiar.
A secretária pode assinar por mim com o meu certificado?
Não. A assinatura qualificada presume que foi você quem assinou. Emprestar o certificado é o mesmo que assinar em branco.
Preciso de certificado para usar prontuário eletrônico?
Para usar, não. Para eliminar o papel por completo, a Resolução CFM 1.821/2007 pede o nível NGS2, que exige assinatura digital ICP-Brasil. Veja prontuário eletrônico.
Como sei se um documento foi assinado com ICP-Brasil?
Envie o arquivo original ao validador do ITI, em validar.iti.gov.br. Ele mostra quem assinou, se o certificado é ICP-Brasil e se o documento foi alterado depois da assinatura.