HFD> Derecho
Informático - Internet > Legislación y Proyectos
Extranjeros
LEY PORTUGUESA DE DOCUMENTO
ELECTRÓNICO Y FIRMA DIGITAL
Decreto-Lei nº 290-D/99,
de 02.08.99
Aprova o regime jurídico
dos documentos electrónicos e da assinatura digital
A Resolução do Conselho de
Ministros nº. 115/98, de 1 de Setembro, determinou a
definição do regime jurídico aplicável
aos documentos electrónicos e assinatura digital, como
um dos objectivos a alcançar no âmbito da Iniciativa
Nacional para o Comércio Electrónico, necessário
à plena afirmação do comércio
electrónico.
As redes electrónicas abertas, como
a Internet, têm assumido uma importância crescente
na vida quotidiana dos cidadãos e dos agentes económicos,
proporcionando uma teia de relações comerciais
globais. Para aproveitar da melhor forma estas oportunidades,
urge criar um ambiente seguro para a autenticação
electrónica. Na realidade, as comunicações
e o comércio electrónicos exigem assinaturas
electrónicas e serviços a elas associados que
permitam a autenticação electrónica dos
dados.
As assinaturas electrónicas possibilitam
ao utente de dados enviados electronicamente que verifique
a sua origem (autenticação), bem como se os
dados foram entretanto alterados (integridade). Em matéria
de assinatura electrónica, o presente diploma assenta
no modelo tecnológico ora prevalecente: a assinatura
digital produzida através de técnicas criptográficas.
Como se depreende dos estudos disponíveis sobre tecnologias
de assinaturas digitais baseadas na criptografia de chaves
públicas, a assinatura digital constitui, neste momento,
a técnica mais reconhecida de assinatura electrónica,
apresentando o mais elevado grau de segurança para
as trocas de dados em redes abertas. E é esta constatação
do estado da tecnologia que tem levado as experiências
legislativas estrangeiras a privilegiar esta forma de assinatura
electrónica.
Contudo, e considerando que em face do constante
desenvolvimento tecnológico esta solução
de autenticação de dados pode ser, em pouco
tempo, tecnicamente ultrapassada pela afirmação
de outras formas de assinatura electrónica, o regime
previsto no presente diploma poderá vir a ser aplicado
a outras modalidades de assinatura electrónica que
satisfaçam os requisitos de segurança da assinatura
digital.
A verificação da autenticidade
e da integridade dos dados, facultada pelas assinaturas electrónicas,
em geral, e pela assinatura digital, em particular, não
prova necessariamente a identidade do signatário que
cria as assinaturas electrónicas. Assim, considera-se
necessário, de acordo com a prática tecnicamente
recomendada e internacionalmente consagrada, instituir um
sistema de confirmação por entidades certificadoras,
às quais incumbe assegurar os elevados níveis
de segurança do sistema indispensáveis para
a criação da desejada confiança no tocante
às assinaturas de documentos electrónicos.
Neste contexto, o presente diploma, por um
lado, regula o reconhecimento e o valor jurídico dos
documentos electrónicos e das assinaturas digitais
e, por outro lado, confia o controle da actividade de certificação
de assinaturas a uma entidade a designar, e define os poderes
e procedimentos desta, bem como as condições
de credenciação da actividade e os direitos
e os deveres das entidades certificadoras.
Esta actividade de certificação
de assinaturas digitais, de harmonia com a orientação
consagrada já noutros países da União
Europeia não está sujeita a autorização
administrativa prévia. Importa, porém, que o
Estado providencie um controle das condições
de idoneidade e segurança asseguradas pelas entidades
certificadoras, e desse modo ofereça ao público
e ao mercado a orientação e a garantia de qualidade
que são indispensáveis para a confiança
nos novos meios de documentação e assinatura.
De harmonia com este desiderato, prevê-se um sistema
voluntário de credenciação e fiscalização
das entidades certificadoras pela autoridade competente.
Com este diploma dá-se, em Portugal,
o primeiro passo no sentido da consagração legal
das assinaturas electrónicas acolhendo-se, designadamente,
as soluções avançadas no quadro da União
Europeia, na proposta de Directiva do Parlamento Europeu e
do Conselho, relativa a um quadro legal comunitário
para as assinaturas electrónicas. A evolução
tecnológica, que nesta matéria é constante,
determinará a médio prazo a revisão,
adaptação e aprofundamento do regime estabelecido
no presente diploma.
Nos termos da alínea a) do nº. 1 do artigo 198º.
da Constituição o Governo decreta para valer
como lei geral da República o seguinte:
Capítulo I
Documentos e actos jurídicos electrónicos
Artigo 1 - (Objecto)
1.O presente diploma regula a validade, eficácia
e valor probatório dos documentos electrónicos
e a assinatura digital.
2.O regime previsto no presente diploma pode ser tornado aplicável
a outras modalidades de assinatura electrónica que
satisfaçam exigências de segurança idênticas
às da assinatura digital.
Artigo 2 - (Definições)
Para os fins do presente diploma, entende-se
por:
a) Documento electrónico: documento elaborado mediante
processamento electrónico de dados;
b) Assinatura electrónica: resultado de um processamento
electrónico de dados susceptível de constituir
objecto de direito individual e exclusivo e de ser utilizado
para dar a conhecer a autoria de um documento electrónico
ao qual seja aposta, de modo que:
i. Identifique de forma unívoca o
titular como autor do documento;
ii. A sua aposição ao documento dependa apenas
da vontade do titular;
iii. A sua conexão com o documento permita detectar
toda e qualquer alteração superveniente do conteúdo
deste;
c) Assinatura digital: processo de assinatura
electrónica baseado em sistema criptográfico
assimétrico composto de um algoritmo ou série
de algoritmos, mediante o qual é gerado um par de chaves
assimétricas exclusivas e interdependentes, uma das
quais privada e outra pública, e que permite ao titular
usar a chave privada para declarar a autoria do documento
electrónico ao qual a assinatura é aposta e
concordância com o seu conteúdo, e ao declaratário
usar a chave pública para verificar se a assinatura
foi criada mediante o uso da correspondente chave privada
e se o documento electrónico foi alterado depois de
aposta a assinatura;
d) Chave privada: elemento do par de chaves assimétricas
destinado a ser conhecido apenas pelo seu titular, mediante
o qual se apõe a assinatura digital no documento electrónico,
ou se decifra um documento electrónico previamente
cifrado com a correspondente chave pública;
e) Chave pública: elemento do par de chaves assimétricas
destinado a ser divulgado, com o qual se verifica a assinatura
digital aposta no documento electrónico pelo titular
do par de chaves assimétricas, ou se cifra um documento
electrónico a transmitir ao titular do mesmo par de
chaves;
f ) Credenciação: Acto pelo qual é reconhecido
a uma entidade que o solicite e que exerça actividade
de entidade certificadora referida na alínea h) deste
artigo o preenchimento dos requisitos definidos no presente
diploma para os efeitos nele previstos.
g) Autoridade credenciadora: Entidade competente para a credenciação
e fiscalização das entidades ceritificadoras
h) Entidade certificadora: entidade ou pessoa singular ou
colectiva credenciada que cria ou fornece meios para a criação
das chaves, emite os certificados de assinatura, assegura
a respectiva publicidade e presta outros serviços relativos
a assinaturas digitais;
i) Certificado de assinatura: documento electrónico
autenticado com assinatura digital e que certifique a titularidade
de uma chave pública e o prazo de validade da mesma
chave;
j) Validação cronológica: declaração
de entidade certificadora que atesta a data e hora da criação,
expedição ou recepção de um documento
electrónico;
l) Endereço electrónico: identificação
de um equipamento informático adequado para receber
e arquivar documentos electrónicos;
Artigo 3 - (Forma e força
probatória)
1. O documento electrónico satisfaz
o requisito legal de forma escrita quando o seu conteúdo
seja susceptível de representação como
declaração escrita.
2. Quando lhe seja aposta uma assinatura digital certificada
por uma entidade credenciada e com os requisitos previstos
neste diploma, o documento electrónico com o conteúdo
referido no número anterior tem a força probatória
de documento particular assinado, nos termos do artigo 376º
do Código Civil.
3. Quando lhe seja aposta uma assinatura digital certificada
por uma entidade credenciada e com os requisitos previstos
neste diploma, o documento electrónico cujo conteúdo
não seja susceptível de representação
como declaração escrita tem a força probatória
prevista no artigo 368º do Código Civil e no artigo
167º do Código de Processo Penal.
4. O disposto nos números anteriores não obsta
à utilização de outro meio de comprovação
da autoria e integridade de documentos electrónicos,
incluindo a assinatura electrónica não conforme
com os requisitos do presente diploma, desde que tal meio
seja adoptado pelas partes ao abrigo de válida convenção
sobre prova ou seja aceite pela pessoa a quem for oposto o
documento.
5. O valor probatório dos documentos electrónicos
aos quais não seja aposta uma assinatura digital certificada
por uma entidade credenciada e com os requisitos previstos
neste diploma é apreciado nos termos gerais de direito.
Artigo 4 - (Cópias
de documentos)
As cópias de documentos electrónicos,
sobre idêntico ou diferente tipo de suporte, são
válidas e eficazes nos termos gerais de direito e têm
a força probatória atribuída às
cópias fotográficas pelo nº 2 do artigo
387º do Código Civil e pelo artigo 168º do
Código de Processo Penal, se forem observados os requisitos
aí previstos.
Artigo 5 - (Documentos
electrónicos dos organismos públicos)
1. Os organismos públicos podem emitir
documentos electrónicos com assinatura digital aposta
em conformidade com as normas do presente diploma.
2. Nas operações relativas à criação,
emissão, arquivo, reprodução, cópia
e transmissão de documentos electrónicos que
formalizem actos administrativos através de sistemas
informáticos, incluindo a sua transmissão por
meios de telecomunicações, os dados relativos
ao organismo interessado e à pessoa que tenha praticado
cada acto administrativo devem ser indicados de forma a torná-los
facilmente identificáveis e a comprovar a função
ou cargo desempenhado pela pessoa signatária de cada
documento.
Artigo 6 - (Comunicação
de documentos electrónicos)
1. O documento electrónico comunicado
por um meio de telecomunicações considera-se
enviado e recebido pelo destinatário se for transmitido
para o endereço electrónico definido por acordo
das partes e neste for recebido.
2. São oponíveis entre as partes e a terceiros
a data e a hora da criação, da expedição
ou da recepção de um documento electrónico
que contenha uma validação cronológica
emitida por uma entidade certificadora.
3. A comunicação do documento electrónico,
assinado de acordo com os requisitos do presente diploma,
por meio de telecomunicações que assegure a
efectiva recepção equivale à remessa
por via postal registada e, se a recepção for
comprovada por mensagem de confirmação dirigida
ao remetente pelo destinatário com assinatura digital
e recebida pelo remetente equivale à remessa por via
postal registada com aviso de recepção.
4. Os dados e documentos comunicados por meio de telecomunicações
consideram-se em poder do remetente até à recepção
pelo destinatário.
5. Os operadores que assegurem a comunicação
de documentos electrónicos por meio de telecomunicações
não podem tomar conhecimento do seu conteúdo,
nem duplicá-los por qualquer meio ou ceder a terceiros
qualquer informação, ainda que resumida ou por
extracto, sobre a existência ou sobre o conteúdo
desses documentos, salvo quando se trate de informação
que, pela sua natureza ou por indicação expressa
do seu remetente, se destine a ser tornada pública.
Capítulo II
Assinaturas digitais
Artigo 7 - (Assinatura
digital)
1. A aposição de uma assinatura
digital a um documento electrónico ou a uma cópia
deste equivale à assinatura autógrafa dos documentos
com forma escrita sobre suporte de papel e cria a presunção
de que:
a) a pessoa que apôs a assinatura digital é o
titular desta ou é representante, com poderes bastantes,
da pessoa colectiva titular da assinatura digital;
b) a assinatura digital foi aposta com a intenção
de assinar o documento electrónico;
c) o documento electrónico não sofreu alteração
desde que lhe foi aposta a assinatura digital, sempre que
seja utilizada para verificação uma chave pública
contida em certificado válido emitido por entidade
certificadora credenciada nos termos deste diploma.
2. A assinatura digital deve referir-se inequivocamente a
uma só pessoa singular ou colectiva e ao documento
ao qual é aposta.
3. A aposição de assinatura digital substitui,
para todos os efeitos legais, a aposição de
selos, carimbos, marcas ou outros sinais identificadores do
seu titular.
4. Para a aposição de assinatura digital deve
utilizar-se uma chave privada cuja correspondente chave pública
conste de certificado válido, emitido por entidade
certificadora credenciada nos termos deste diploma, e que,
na data da aposição da assinatura digital, não
se encontre suspenso ou revogado por decisão da entidade
certificadora, e cujo prazo de validade não tenha terminado.
5. A aposição de assinatura digital cuja chave
pública conste de certificado que esteja revogado,
caduco ou suspenso, na data da aposição ou não
respeite as condições dele constantes, equivale
à falta de assinatura.
Artigo 8 - (Obtenção
das chaves e certificado)
Quem pretenda utilizar uma assinatura digital
para os fins deste diploma deve, nos termos do nº 1 do
artigo 29.º, criar ou obter a emissão de um par
de chaves assimétricas, bem como obter o certificado
da respectiva chave pública emitido por entidade certificadora
credenciada nos termos deste diploma.
Capítulo III
Certificação
Secção I
Acesso à actividade de certificação
Artigo 9 - (Livre acesso
à actividade de certificação)
É livre o exercício da actividade
de entidade certificadora referida na alínea h) do
artigo 2º, sendo facultativa a solicitação
da credenciação regulada nos artigos 11º
e seguintes.
Artigo 10 - (Livre escolha
da entidade certificadora)
1. É livre a escolha da entidade certificadora.
2. A escolha de entidade determinada não pode constituir
condição de oferta ou de celebração
de qualquer negócio jurídico.
Artigo 11 - (Entidade
competente para a credenciação)
A credenciação de entidades
certificadoras para efeitos do presente diploma compete à
entidade, a designar nos termos do artigo 40º, adiante
designado autoridade credenciadora.
Artigo 12 - (Credenciação
da entidade certificadora)
Será concedida a credenciação
de entidades certificadoras de assinaturas digitais, mediante
pedido apresentado à autoridade credenciadora, a entidades
que satisfaçam os seguintes requisitos:
a) Estejam dotadas de capital e meios financeiros adequados;
b) Dêem garantias de absoluta integridade e independência
no exercício da actividade de certificação
de assinaturas digitais;
c) Disponham de recursos técnicos e humanos que satisfaçam
os padrões de segurança e de eficácia
que sejam previstos na regulamentação a que
se refere o artigo 38º;
d) Mantenham contrato de seguro válido para cobertura
adequada da responsabilidade civil emergente da actividade
de certificação.
Artigo 13 - Pedido de
credenciação)
1. O pedido de credenciação
de entidade certificadora de assinaturas digitais será
instruído com os seguintes documentos:
a) Estatutos da pessoa colectiva e, tratando-se de sociedade,
contrato de sociedade ou, tratando-se de pessoa singular,
a respectiva identificação e domicílio;
b) Tratando-se de sociedade, relação de todos
os sócios, com especificação das respectivas
participações, bem como dos membros dos órgãos
de administração e de fiscalização,
e, tratando-se de sociedade anónima, relação
de todos os accionistas com participações significativas,
directas ou indirectas;
c) Declarações subscritas por todas as pessoas
singulares e colectivas referidas no nº 1 do artigo 15º
de que não se encontram em nenhuma das situações
indiciadoras de inidoneidade referidas no respectivo n.º
2.
d) Prova do substrato patrimonial e dos meios financeiros
disponíveis, e designadamente, tratando-se de sociedade,
da realização integral do capital social;
e) Descrição da organização interna
e plano de segurança;
f) Descrição dos recursos materiais e técnicos
disponíveis, incluindo características e localização
de todos os imóveis utilizados;
g) Designação do auditor de segurança;
h) Programa geral da actividade prevista para os primeiros
três anos;
i) Descrição geral das actividades exercidas
nos últimos três anos ou no tempo decorrido desde
a constituição, se for inferior, e balanço
e contas dos exercícios correspondentes;
j) Comprovação de contrato de seguro válido
para cobertura adequada da responsabilidade civil emergente
da actividade de certificação.
2. Se à data do pedido a pessoa colectiva não
estiver constituída, o pedido será instruído,
em substituição do previsto na alínea
a) do número anterior, com os seguintes documentos:
a) Acta da reunião em que foi deliberada a constituição;
b) Projecto de estatutos ou contrato de sociedade;
c) Declaração de compromisso, subscrita por
todos os fundadores, de que no acto de constituição,
e como condição dela, estará integralmente
realizado o substrato patrimonial exigido por lei.
3. As declarações previstas na alínea
c) do nº 1, poderão ser entregues em momento posterior
ao pedido, nos termos e prazo que a autoridade credenciadora
fixar.
4. Consideram-se como participações significativas,
para os efeitos do presente diploma, as que igualem ou excedam
dez por cento do capital da sociedade anónima.
Artigo 14 - (Requisitos
patrimoniais)
1. As entidades certificadoras privadas,
que sejam pessoas jurídicas, devem estar dotadas de
capital social no valor mínimo de Esc. 40.000.000$00,
ou, não sendo sociedades, do substrato patrimonial
equivalente.
2. O substrato patrimonial, e designadamente o capital social
mínimo de sociedade, encontrar-se-á sempre integralmente
realizado à data da credenciação, se
a pessoa colectiva estiver já constituída, ou
será sempre integralmente realizado com a constituição
da pessoa colectiva, se esta ocorrer posteriormente.
3. As entidades certificadoras que sejam pessoas singulares
devem ter e manter durante toda a sua actividade um património,
livre de quaisquer ónus, de valor equivalente ao previsto
no nº 1.
Artigo 15 - (Requisitos
de idoneidade)
1. A pessoa singular e, no caso de pessoa
colectiva, os membros dos órgãos de administração
e fiscalização, os empregados, comitidos e representantes
das entidades certificadoras com acesso aos actos e instrumentos
de certificação, os sócios da sociedade
e, tratando-se de sociedade anónima, os accionistas
com participações significativas serão
sempre pessoas de reconhecida idoneidade.
2. Entre outras circunstâncias atendíveis, considera-se
indiciador de falta de idoneidade o facto de a pessoa ter
sido:
a) Condenada, no país ou no estrangeiro, por crime
de furto, roubo, burla, burla informática e nas comunicações,
extorsão, abuso de confiança, infidelidade,
falsificação, falsas declarações,
insolvência dolosa, insolvência negligente, favorecimento
de credores, emissão de cheques sem provisão,
abuso de cartão de garantia ou de crédito, apropriação
ilegítima de bens do sector público ou cooperativo,
administração danosa em unidade económica
do sector público ou cooperativo, usura, suborno, corrupção,
recepção não autorizada de depósitos
ou outros fundos reembolsáveis, prática ilícita
de actos ou operações inerentes à actividade
seguradora ou dos fundos de pensões, branqueamento
de capitais, abuso de informação, manipulação
do mercado de valores mobiliários ou crime previsto
no Código das Sociedades Comerciais;
b) Declarada, por sentença nacional ou estrangeira,
falida ou insolvente ou julgada responsável por falência
ou insolvência de empresa por ela dominada ou de cujos
órgãos de administração ou fiscalização
tenha sido membro;
c) Sujeita a sanções, no País ou no estrangeiro,
pela prática de infracções às
normas legais ou regulamentares que regem as actividades de
produção, autenticação, registo
e conservação de documentos, e designadamente
as do notariado, dos registos públicos, do funcionalismo
judicial, das bibliotecas públicas, e da certificação
de assinaturas digitais.
4. A falta dos requisitos de idoneidade previstos
no presente artigo constitui fundamento de recusa e de revogação
da credenciação, nos termos da alínea
c) do nº 1 do artigo 19.º e da alínea f)
do nº 1 do artigo 21º.
Artigo 16 - (Auditor de
segurança )
1. Todas as entidades certificadoras terão
um auditor de segurança, pessoa singular ou colectiva,
o qual elaborará um relatório anual de segurança
e o enviará à autoridade credenciadora, até
31 de Março de cada ano civil.
2. A designação do auditor de segurança
será sujeita a aprovação prévia
pela autoridade credenciadora.
Artigo 17- (Seguro obrigatório
de responsabilidade civil)
O Ministro das Finanças definirá,
por portaria, as características do contrato de seguro
de responsabilidade civil a que se refere a alínea
d) do artigo12.º
Artigo 18 - (Decisão)
1. A autoridade credenciadora poderá
solicitar dos requerentes informações complementares
e proceder, por si ou por quem para o efeito designar, às
averiguações, inquirições e inspecções
que entenda necessárias para a apreciação
do pedido.
2. A decisão sobre o pedido de credenciação
deve ser notificada aos interessados no prazo de três
meses a contar da recepção do pedido ou, se
for o caso, a contar da recepção das informações
complementares solicitadas ou da conclusão das diligências
que entenda necessárias, não podendo no entanto
exceder o prazo de seis meses sobre a data da recepção
daquele.
3. A falta de notificação nos prazos referidos
no número anterior constitui presunção
de indeferimento tácito do pedido.
4. A autoridade credenciadora poderá incluir na credenciação
condições adicionais desde que necessárias
para assegurar o cumprimento das disposições
legais e regulamentares aplicáveis ao exercício
da actividade pela entidade certificadora.
5. A emissão da credenciação será
acompanhada da emissão pela autoridade credenciadora
do certificado das chaves a ser usado pela entidade certificadora
na emissão de certificados.
6. A decisão de credenciação será
comunicada às autoridades fiscalizadoras dos Estados-Membros
da União Europeia.
Artigo 19 - (Recusa de
credenciação)
1. A credenciação será
recusada sempre que:
a) O pedido de credenciação não estiver
instruído com todas as informações e
documentos necessários;
b) A instrução do pedido enfermar de inexactidões
ou falsidades;
c) A autoridade credenciadora não considerar demonstrado
algum dos requisitos enumerados nos artigos 12.º e 15º.
2. Se o pedido estiver deficientemente instruído,
a autoridade credenciadora, antes de recusar a credenciação,
notificará o requerente, dando-lhe prazo razoável
para suprir a deficiência.
Artigo 20 - (Caducidade
da credenciação)
1. A credenciação caduca se
os requerentes a ela expressamente renunciarem, se não
iniciarem a actividade no prazo de doze meses ou, tratando-se
de pessoa colectiva esta não for constituída
no prazo de seis meses.
2. A credenciação caduca ainda se a pessoa colectiva
for dissolvida, sem prejuízo da prática dos
actos necessários à respectiva liquidação.
Artigo 21 - (Revogação
da credenciação)
1. A credenciação será
revogada, sem prejuízo de outras sanções
aplicáveis nos termos da lei, quando se verifique alguma
das seguintes situações:
a) Se tiver sido obtida por meio de falsas declarações
ou outros expedientes ilícitos,
b) Se deixar de se verificar algum dos requisitos enumerados
no artigo 12.º;
c) Se a entidade cessar a actividade de certificação
ou a reduzir para nível insignificante por período
superior a doze meses;
d) Se ocorrerem irregularidades graves na administração,
organização ou fiscalização interna
da entidade;
e) Se no exercício da actividade de certificação
ou de outra actividade social forem praticados actos ilícitos
que lesem ou ponham em perigo a confiança do público
na certificação;
f) Se supervenientemente se verificar alguma das circunstâncias
de inidoneidade referidos no artigo 15º em relação
a qualquer das pessoas a que alude o seu número 1.
2. A revogação da credenciação
compete à autoridade credenciadora, em decisão
fundamentada que será notificada à entidade
no prazo de oito dias úteis.
3. A autoridade credenciadora dará à decisão
de revogação publicidade adequada.
4. A decisão de revogação será
comunicada às autoridades fiscalizadoras dos Estados-Membros
da União Europeia.
Artigo 22 - (Anomalias
nos órgãos de administração e
fiscalização)
1. Se por qualquer motivo deixarem de estar
preenchidos os requisitos legais e estatutários do
normal funcionamento dos órgãos de administração
ou fiscalização, a autoridade credenciadora
fixará prazo para ser regularizada a situação.
2. Não sendo regularizada a situação
no prazo fixado, será revogada a credenciação
nos termos do artigo anterior.
Artigo 23 - (Comunicação
de alterações)
Devem ser comunicadas à autoridade
credenciadora, no prazo de trinta dias, as alterações
das entidades certificadoras relativas a:
a) Firma ou denominação;
b) Objecto;
c) Local da sede, salvo se a mudança ocorrer dentro
do mesmo concelho ou para concelho limítrofe;
d) Substrato patrimonial ou património, desde que se
trate de uma alteração significativa ;
e) Estrutura de administração e de fiscalização;
f) Limitação dos poderes dos órgãos
de administração e fiscalização;
g) Cisão, fusão e dissolução.
Artigo 24 - (Registo)
1. O registo das pessoas referidas no número
1 do artigo 15.º deve ser solicitado à autoridade
credenciadora no prazo de quinze dias após assumirem
qualquer das qualidades nele referidas, mediante pedido da
entidade certificadora ou dos interessados, juntamente com
as provas de que se encontram preenchidos os requisitos definidos
no mesmo artigo, e sob pena da credenciação
ser revogada
2. Poderão a entidade certificadora ou os interessados
solicitar o registo provisório, antes da assunção
por estes de qualquer das qualidades referidas no número
1 do artigo 15º, devendo a conversão do registo
em definitivo ser requerida no prazo de 30 dias a contar da
designação, sob pena de caducidade.
3. Em caso de recondução, será esta averbada
no registo, a pedido da entidade certificadora ou dos interessados.
4. O registo será recusado em caso de inidoneidade,
nos termos do artigo 15.º, e a recusa será comunicada
aos interessados e à entidade certificadora, a qual
tomará as medidas adequadas para que aqueles cessem
imediatamente funções ou deixem de estar para
com a pessoa colectiva na relação prevista no
mesmo artigo, seguindo-se no aplicável o disposto no
artigo 22.º.
5. Sem prejuízo do que resulte de outras disposições
legais aplicáveis, a falta de registo não determina
por si só invalidade dos actos jurídicos praticados
pela pessoa em causa no exercício das suas funções.
Secção II
Exercício da actividade
Artigo 25 - (Deveres da entidade certificadora)
Compete à entidade certificadora:
a) Verificar rigorosamente a identidade dos
requerentes de pares de chaves e respectivos certificados
e, tratando-se de representantes de pessoas colectivas, os
respectivos poderes de representação, bem como,
quando aplicável, as qualidades específicas
a que se refere a alínea i) do nº 1 do artigo
30º;
b) Emitir os pares de chaves, ou fornecer os meios técnicos
necessários para a sua criação, bem como
o certificado de assinatura com rigorosa observância
do disposto neste diploma e nas normas regulamentares, zelando
pela correspondência funcional das duas chaves de cada
par e pela exactidão das informações
constantes dos certificados;
c) Especificar no certificado de assinatura ou num certificado
complementar, a pedido do requerente do par de chaves, a existência
dos poderes de representação ou de outros títulos
relativos à actividade profissional ou a outros cargos
desempenhados;
d) Informar os requerentes, de modo completo e claro, sobre
o processo de certificação e sobre os requisitos
técnicos necessários para ter acesso ao mesmo;
e) Cumprir as regras de segurança para tratamento de
dados pessoais estabelecidas na legislação respectiva;
f) Assegurar a publicidade das chaves públicas e respectivos
certificados e prestar informação sobre eles
a qualquer pessoa que deseje consultá-los, por meios
informáticos e de telecomunicações adequados
e expeditos;
g) Abster-se de tomar conhecimento do conteúdo das
chaves privadas, aceitar o seu depósito, conservá-las,
reproduzi-las ou prestar quaisquer informações
sobre as mesmas;
h) Proceder à publicação imediata da
revogação ou suspensão dos certificados,
nos casos previstos no presente diploma;
i) Conservar os certificados que emitir, por um período
não inferior a vinte anos;
j) Assegurar que a data e hora da emissão, suspensão
e revogação dos certificados possam ser determinadas,
através de validadação cronológica.
Artigo 26 - (Protecção
de dados )
1. As entidades certificadoras só
podem coligir dados pessoais necessários ao exercício
das suas actividades e obtê-los directamente das pessoas
interessadas na titularidade de pares de chaves e respectivos
certificados, ou de terceiros junto dos quais aquelas pessoas
autorizem a sua colecta.
2. Os dados pessoais coligidos pela entidade certificadora
não poderão ser utilizados para outra finalidade
que não seja a de certificação, salvo
se outro uso for consentido expressamente por lei ou pela
pessoa interessada.
3. As entidades certificadoras e a autoridade credenciadora
respeitarão as normas legais vigentes
sobre a protecção, tratamento e circulação
dos dados pessoais e sobre a protecção da privacidade
no sector das telecomunicações.
4. As entidades certificadoras comunicarão à
autoridade judiciária, sempre que esta o ordenar nos
termos legalmente previstos, os dados relativos à identidade
dos titulares de certificados que sejam emitidos com pseudónimo
seguindo-se, no aplicável, o regime do artigo 182.º
do Código de Processo Penal.
Artigo 27 - (Responsabilidade
civil)
1. A entidade certificadora é responsável
civilmente pelos danos sofridos pelos titulares dos certificados
e quaisquer terceiros, em consequência do incumprimento
culposo dos deveres decorrentes do presente diploma e sua
regulamentação.
2. São nulas as convenções de exoneração
e limitação da responsabilidade prevista no
n.º 1.
Artigo 28 - (Cessação
da actividade)
1. No caso de pretender cessar voluntariamente
a sua actividade, a entidade certificadora deve comunicar
essa intenção à autoridade credenciadora
e às pessoas a quem tenha emitido certificados que
permaneçam em vigor, com a antecipação
mínima de três meses, indicando também
qual a entidade certificadora à qual transmitirá
a sua documentação ou a revogação
dos certificados no termo daquele prazo, devendo neste último
caso colocar a sua documentação à guarda
da autoridade credenciadora.
2. A entidade certificadora que se encontre em risco de decretação
de falência, de processo de recuperação
de empresa ou de cessação da actividade por
qualquer outro motivo alheio à sua vontade, deve informar
imediatamente a autoridade credenciadora.
3. No caso previsto no número anterior, se a entidade
certificadora vier a cessar a sua actividade, a autoridade
credenciadora promoverá a transmissão da documentação
daquela para outra entidade certificadora ou, se tal transmissão
for impossível, a revogação dos certificados
emitidos e a conservação dos elementos de tais
certificados pelo prazo em que deveria fazê-lo a entidade
certificadora.
Secção III
Certificados
Artigo 29 - (Emissão das chaves e dos certificados)
1. A entidade certificadora, a pedido de
uma pessoa singular ou colectiva interessada, cuja identidade
e poderes de representação, quando existam,
verificará por meio legalmente idóneo e seguro,
emitirá a favor daquela um par de chaves, privada e
pública, ou porá à disposição
dessa pessoa, se esta o solicitar, os meios técnicos
necessários para que ela crie o par de chaves.
2. A entidade certificadora emitirá, a pedido do titular
do par de chaves, uma ou mais vias do certificado de assinatura
e do certificado complementar.
3. A entidade certificadora deve tomar medidas adequadas para
impedir a falsificação ou alteração
dos dados constantes dos certificados e assegurar o cumprimento
das normas legais e regulamentares aplicáveis recorrendo
a pessoal devidamente habilitado.
4. A entidade certificadora fornecerá aos titulares
dos certificados as informações necessárias
para a utilização correcta e segura das assinaturas
digitais, nomeadamente as respeitantes:
a) às obrigações do titular do certificado
e da entidade certificadora;
b) ao procedimento de aposição e verificação
de uma assinatura digital;
c) à conveniência de os documentos aos quais
foi aposta uma assinatura digital serem novamente assinados
quando ocorrerem circunstâncias técnicas que
o justifiquem.
5. A entidade certificadora organizará
e manterá permanentemente actualizado um registo informático
dos certificados emitidos, suspensos ou revogados, o qual
estará acessível a qualquer pessoa para consulta,
inclusivamente por meio de telecomunicações,
e será protegido contra alterações não
autorizadas.
Artigo 30 - (Conteúdo
dos certificados)
1. O certificado de assinatura deve conter,
pelo menos, as seguintes informações:
a) Nome ou denominação do titular da assinatura
e outros elementos necessários para a sua identificação
inequívoca e, quando existam poderes de representação,
o nome do seu representante ou representantes habilitados,
ou um pseudónimo distintivo do titular da assinatura,
claramente mencionado como tal;
b) Nome e assinatura digital da entidade certificadora, bem
como indicação do país onde está
estabelecida;
c) Chave pública correspondente à chave privada
detida pelo titular;
d) Número de série do certificado;
e) Início e termo de validade do certificado;
f) Identificadores de algoritmos necessários para o
uso da chave pública do titular e da chave pública
da entidade certificadora;
g) Indicação de o uso do certificado ser ou
não restrito a determinados tipos de utilização,
bem como eventuais limites do valor das transacções
para as quais o certificado é válido;
h) Limitações convencionais da responsabilidade
da entidade certificadora, sem prejuízo do disposto
no nº 2 do artigo 27.º;
i) Eventual referência a uma qualidade específica
do titular da assinatura, em função da utilização
a que o certificado estiver destinado.
2. A pedido do titular podem ser incluídas
no certificado de assinatura ou em certificado complementar
informações relativas a poderes de representação
conferidos ao titular por terceiro, à sua qualificação
profissional ou a outros atributos, mediante fornecimento
da respectiva prova, ou com a menção de se tratar
de informações não confirmadas.
Artigo 31 - (Suspensão
e revogação de certificados)
1. A entidade certificadora suspenderá
o certificado:
a) A pedido por escrito do titular, devidamente identificado
para o efeito;
b) Quando existam fundadas razões para crer que o certificado
foi emitido com base em informações erróneas
ou falsas, que as informações nele contidas
deixaram de ser conformes com a realidade ou que a confidencialidade
da chave privada foi violada.
2. A suspensão com um dos fundamentos
previstos na alínea b) do número anterior será
sempre motivada e comunicada prontamente ao titular, bem como
imediatamente inscrita no registo do certificado, podendo
ser levantada quando se verifique que tal fundamento não
corresponde à realidade.
3. A entidade certificadora revogará o certificado:
a) A pedido por escrito do titular, devidamente
identificado para o efeito;
b) Quando, após suspensão do certificado, se
confirme que o certificado foi emitido com base em informações
erróneas ou falsas, que as informações
nele contidas deixaram de ser conformes com a realidade, ou
que a confidencialidade da chave privada foi violada;
c) Quando a entidade certificadora cesse as suas actividades
sem ter transmitido a sua documentação a outra
entidade certificadora;
d) Quando a autoridade credenciadora ordene a revogação
do certificado por motivo legalmente fundado;
e) Quando finde o prazo do certificado;
f) Quando tomar conhecimento do falecimento, interdição
ou inabilitação da pessoa singular ou da extinção
da pessoa colectiva.
4. A decisão de revogação
do certificado com um dos fundamentos previstos nas alíneas
b), c), d) e e) do n.º 3 será sempre fundamentada
e comunicada ao titular, bem como imediatamente inscrita.
5. A suspensão e a revogação do certificado
são oponíveis a terceiros a partir da inscrição
no registo respectivo, salvo se for provado que o seu motivo
já era do conhecimento do terceiro.
6. A entidade certificadora conservará as informações
referentes aos certificados durante um prazo não inferior
a vinte anos a contar da suspensão ou revogação
de cada certificado e facultá-las-á a qualquer
interessado.
7. A revogação ou suspensão do ceritificado
indicará a data e hora a partir das quais produzem
efeitos, não podendo essa data e hora ser anterior
àquela em que essa informação for divulgada
publicamente.
8. A partir da suspensão ou revogação
de um certificado, ou do termo do seu prazo de validade é
proibida a emissão de certificado referente ao mesmo
par de chaves pela mesma ou outra entidade certificadora.
Artigo 32 - (Obrigações
do titular)
1. O titular do certificado deve tomar todas
as medidas de organização e técnicas
que sejam necessárias para evitar danos a terceiros
e para preservar a confidencialidade de toda a informação
transmitida.
2. Em caso de dúvida quanto à perda de confidencialidade
da chave privada, o titular deve pedir a suspensão
do certificado e, se a perda for confirmada, a sua revogação.
3. A partir da suspensão ou revogação
de um certificado, ou do termo do seu prazo de validade, é
proibida ao titular a utilização da respectiva
chave privada para gerar uma assinatura digital.
4. Sempre que se verifiquem motivos que justifiquem a revogação
ou suspensão do certificado, deve o respectivo titular
efectuar, com a necessária celeridade e diligência,
o correspondente pedido de suspensão ou revogação
à entidade certificadora.
Capítulo IV
Fiscalização
Artigo 33 - (Deveres de informação das entidades
certificadoras)
1. As entidades certificadoras fornecerão
à autoridade credenciadora, de modo pronto e exaustivo,
todas as informações que ela lhes solicite para
fins de fiscalização da sua actividade, e facultar-lhe-ão
para os mesmos fins a inspecção dos seus estabelecimentos
e o exame local de documentos, objectos, equipamentos de hardware
e software e procedimentos operacionais, no decorrer dos quais
a autoridade credenciadora poderá fazer as cópias
e registos que sejam necessários.
2. As entidades certificadoras comunicarão sempre à
autoridade credenciadora, no mais breve prazo possível,
todas as alterações relevantes que sobrevenham
nos requisitos e elementos referidos nos artigos 13º
e 15º.
3. Até ao último dia útil de cada semestre,
as entidades certificadoras enviarão à autoridade
credenciadora uma versão actualizada das relações
referidas na alínea b) do nº 1 do artigo 13.º.
Artigo 34 - (Revisores
oficiais de contas e auditores externos)
Os revisores oficiais de contas ao serviço
das entidades certificadoras e os auditores externos que,
por imposição legal, prestem às mesmas
entidades serviços de auditoria devem comunicar à
autoridade credenciadora as infracções graves
às normas legais ou regulamentares relevantes para
a fiscalização e que detectem no exercício
das suas funções.
Artigo 35 - (Recursos)
Nos recursos interpostos das decisões
tomadas pela autoridade credenciadora no exercício
dos seus poderes de credenciação e fiscalização,
presume-se, até prova em contrário, que a suspensão
da eficácia determina grave lesão do interesse
público.
Artigo 36 - (Colaboração
das autoridades)
A autoridade credenciadora poderá
solicitar às autoridades policiais e judiciárias
e a quaisquer outras autoridades e serviços públicos
toda a colaboração ou auxílio que julgue
necessários para a credenciação e fiscalização
da actividade de certificação.
Capítulo V
Disposições finais
Artigo 37 - (Certificados de outros países)
1. As assinaturas digitais susceptíveis
de serem verificadas por uma chave pública constante
de um certificado emitido ou garantido por entidade certificadora
credenciada em outro Estado membro da União Europeia,
ou noutro Estado abrangido por um acordo internacional que
vincule o Estado Português, serão equiparadas
às assinaturas digitais certificadas nos termos do
presente diploma.
2. A autoridade credenciadora divulgará, sempre que
possível e pelos meios de publicidade que considerar
adequados, e facultará aos interessados, a pedido,
as informações de que dispuser acerca das entidades
certificadoras credenciadas em Estados estrangeiros.
Artigo 38 - (Normas regulamentares)
1. A regulamentação do presente
diploma, nomeadamente no que se refere às normas de
carácter técnico e de segurança constará
de Decreto Regulamentar, a adoptar no prazo de 150 dias.
2. Os serviços e organismos da Administração
Pública poderão emitir normas regulamentares
relativas aos requisitos a que devem obedecer os documentos
que recebam por via electrónica.
Artigo 39 - (Evolução
tecnológica)
A autoridade credenciadora acompanhará
a evolução tecnológica em matéria
de assinatura electrónica, podendo propor a aplicação
do regime previsto no presente diploma para a assinatura digital
a outras modalidades de assinatura electrónica que
satisfaçam os requisitos de segurança e fiabilidade
daquela.
Artigo 40 - (Designação
da autoridade credenciadora)
A autoridade pública referida no artigo
11º será designada, em diploma próprio,
no prazo de 150 dias.
Artigo 41 - (Entrada em
vigor)
O presente diploma entra em vigor no dia
imediato ao da sua publicação.
Visto e Aprovado em Conselho de Ministros
de 22 de Julho de 1999.
Promulgado em 29 de Julho de 1999.
Referendado em 29 de Julho de 1999.
|
