Responsabilidade do contador quando o certificado digital do cliente é usado de forma indevida

Um escritório contábil guarda, há anos, o token do certificado digital de um cliente antigo, apenas por comodidade operacional. Um dia, esse certificado é usado para assinar um documento que o próprio cliente jura nunca ter autorizado.

A primeira pergunta do cliente não é sobre quem apertou o botão de assinatura, e sim: por que o escritório ainda tinha esse acesso guardado?

Esse tipo de cenário é mais comum do que a maioria dos contadores gostaria de admitir. Diferente do uso indevido praticado por um estranho, um hacker ou um golpista externo, aqui o escritório está no centro da história, ou porque guardava o dispositivo, ou porque tinha acesso amplo às credenciais, ou porque um colaborador interno acabou usando o certificado além do que estava autorizado.

A linha editorial sobre segurança de certificado digital costuma tratar o contador como vítima ou como testemunha de um golpe externo.

Este artigo trata do cenário inverso, e mais delicado, aquele momento em que o próprio escritório é o intermediário que detém o acesso, e por isso pode ser chamado a responder quando esse acesso é usado de forma indevida.

Neste conteúdo, você vai entender o que configura uso indevido nesse contexto, em quais circunstâncias essa responsabilidade recai sobre o escritório contábil, como documentar o uso do certificado para se proteger e o que fazer diante da suspeita de irregularidade praticada pelo próprio titular.

O que configura uso indevido do certificado digital e quando o contador está envolvido?

Uso indevido, nesse contexto, não se limita a fraude praticada por terceiros maliciosos.

Também se enquadra qualquer utilização do certificado que extrapole a finalidade e os limites autorizados pelo titular ao escritório contábil.

De que forma o ato de guardar o certificado do cliente já implica obrigações para o escritório?

A partir do momento em que o escritório passa a guardar ou controlar o acesso ao certificado digital do cliente, assume o dever de adotar medidas compatíveis com essa custódia, restringindo seu uso à finalidade autorizada e zelando para evitar acessos indevidos

Ainda que não exista uma cláusula contratual específica sobre a guarda do certificado, a forma como o escritório exerce essa custódia pode gerar deveres de diligência e cuidado.

A simples posse continuada do certificado já cria expectativa legítima, por parte do cliente, de que o acesso está sendo tratado com cuidado, o que já impõe ao escritório um padrão de diligência elevado.

Quais situações do cotidiano contábil são consideradas uso além do autorizado pelo titular?

Algumas situações que parecem rotineiras podem, na prática, configurar uso além do que foi autorizado pelo cliente:

• utilizar o certificado para assinar documentos fora do escopo contratado;
• acessar sistemas ou informações sem relação com o serviço prestado;
• manter o certificado ativo mesmo após o cliente solicitar sua devolução, ou;
• emprestar o acesso a outro cliente do escritório para resolver uma pendência pontual.

Mesmo sem intenção fraudulenta, essas condutas escapam da autorização original dada pelo titular.

Em quais circunstâncias a responsabilidade do uso indevido recai sobre o escritório contábil?

Nem toda falha relacionada ao certificado gera automaticamente responsabilidade do escritório, mas alguns fatores tendem a pesar fortemente nessa análise quando o caso é levado a discussão formal.

De que modo responde o contador que acessa dados do cliente além do estritamente necessário?

Quando o próprio contador, ou alguém do escritório, acessa o certificado para finalidade distinta daquela contratada, a responsabilidade tende a ser direta, já que não há terceiro externo a quem atribuir a falha.

Nesse cenário, o escritório pode responder tanto na esfera civil, com dever de indenizar o cliente pelos prejuízos causados, quanto na esfera ética, perante o Conselho Regional de Contabilidade, caso a conduta configure violação ao Código de Ética da profissão.

A gravidade dessa responsabilização varia conforme o prejuízo causado e a reiteração da conduta. Um acesso isolado, sem dano concreto, tende a ser tratado de forma distinta de um padrão recorrente de uso indevido que gera prejuízo financeiro ou reputacional relevante ao titular.

O que muda juridicamente se o uso indevido foi praticado por funcionário ou estagiário do escritório?

Perante o cliente, o escritório responde pelos atos de seus funcionários e estagiários praticados no exercício de suas funções, independentemente de quem materialmente cometeu a irregularidade.

O cliente contratou o escritório, não o colaborador individualmente, e é essa relação contratual que baliza a responsabilidade externa.

Internamente, o escritório pode buscar ressarcimento junto ao colaborador responsável, especialmente em casos de dolo ou culpa grave comprovada, conforme as regras trabalhistas aplicáveis.

Essa possibilidade de regresso interno não altera a obrigação do escritório de responder inicialmente perante o cliente lesado.

Como o nível de acesso concedido ao escritório influencia o grau de responsabilidade?

Quanto mais amplo o nível de acesso que o escritório detém sobre o certificado, maior tende a ser sua responsabilidade em caso de uso indevido.

Um escritório com acesso irrestrito e permanente, sem qualquer limitação de horário, finalidade ou sistema, assume risco muito superior ao de um escritório que utiliza o certificado apenas em momentos pontuais previamente combinados com o cliente.

Por isso, negociar com o cliente um nível de acesso proporcional à real necessidade do serviço contratado, em vez de aceitar automaticamente um acesso amplo por comodidade, reduz a exposição do escritório desde o início da relação.

Como o escritório deve documentar o uso do certificado para se proteger em caso de disputa?

A melhor defesa contra uma acusação de uso indevido é a capacidade de comprovar, com registros objetivos, que cada acesso realizado teve finalidade legítima e estava dentro do que foi combinado com o cliente.

De que forma um log de acessos comprova a regularidade do uso perante o cliente ou o judiciário?

Um registro estruturado de quando o certificado foi utilizado, por qual colaborador, para qual finalidade e em qual sistema funciona como prova objetiva da regularidade do uso.

Diante de uma disputa, esse log permite ao escritório demonstrar que cada acesso correspondeu a uma tarefa efetivamente contratada, em vez de depender apenas da palavra do contador contra a palavra do cliente.

Sistemas que já registram automaticamente esse tipo de informação, vinculando cada uso a uma ordem de serviço específica, tornam essa comprovação muito mais simples do que reconstruir manualmente um histórico após o surgimento da disputa.

Qual é o mínimo de formalização que o escritório deve ter para cada acesso realizado?

Mesmo sem sistema sofisticado de log automático, um registro mínimo que conste os dados a seguir, já reduz os riscos:

• data do acesso;
• finalidade específica;
• nome do responsável interno pela execução e;
• referência ao documento ou sistema acessado.

Esse conjunto básico, mantido de forma consistente para todo acesso realizado, cria um histórico defensável sem exigir grande investimento em tecnologia.

E é interessante que essa formalização não fique restrita aos casos mais sensíveis, sendo aplicada rotineiramente a todo uso do certificado, já que é o hábito de documentar sistematicamente que transforma esse registro em prova confiável quando mais se precisa dele.

O que fazer ao suspeitar que o titular do certificado está praticando uso irregular?

Existe também o cenário inverso, em que é o próprio cliente, titular do certificado, quem parece estar utilizando o documento de forma irregular, colocando o escritório em uma posição delicada entre o dever de sigilo e a necessidade de se resguardar.

De que maneira o dever de sigilo profissional entra em conflito com a obrigação de denúncia?

O contador tem o dever de preservar o sigilo das informações obtidas em razão da profissão, mas esse sigilo não é absoluto quando há indício de prática ilícita em curso, especialmente nas hipóteses em que a legislação imponha deveres específicos de comunicação ou colaboração com autoridades competentes.

Esse conflito exige análise cuidadosa e, sempre que possível, orientação jurídica específica, já que denunciar precipitadamente pode configurar quebra indevida de sigilo, mas silenciar diante de um indício concreto de ilicitude também pode gerar responsabilidade para o escritório, especialmente se o silêncio for interpretado como conivência.

Quais providências o escritório pode tomar sem violar suas obrigações profissionais?

Diante da suspeita de uso irregular pelo próprio titular, o escritório pode adotar algumas providências que preservam sua posição sem configurar quebra indevida de sigilo:

• Restringir o próprio acesso ao certificado às tarefas estritamente necessárias, evitando qualquer etapa relacionada à conduta suspeita.
• Documentar internamente os indícios observados, com data e descrição objetiva do que motivou a preocupação.
• Buscar orientação do Conselho Regional de Contabilidade ou de assessoria jurídica especializada antes de qualquer decisão unilateral.

Em casos de maior gravidade, avaliar a rescisão da prestação de serviços, formalizando o encerramento e a devolução do certificado sob custódia do escritório.

Proteção jurídica preventiva como prática de gestão do escritório contábil

A responsabilidade do contador diante do uso indevido de certificado digital raramente nasce de um único erro grave, e sim do acúmulo de pequenas concessões operacionais feitas em nome da praticidade: guardar o token por mais tempo do que o necessário, aceitar acesso mais amplo do que a tarefa exige, deixar de registrar cada uso porque “não dá tempo” na correria do dia a dia.

Tratar o certificado digital do cliente com o mesmo rigor dado a qualquer outro ativo sensível sob custódia profissional é o que separa o escritório exposto do escritório protegido. Isso não significa burocratizar excessivamente a rotina, mas incorporar hábitos simples, como registrar acessos, limitar o tempo de guarda e negociar o nível de permissão adequado a cada cliente, como parte natural da gestão do escritório.

No fim, a proteção jurídica preventiva custa muito menos do que a defesa em uma disputa já instaurada, e é essa lógica que deveria orientar como cada escritório trata o certificado digital sob sua guarda.

Perguntas frequentes

O contador pode ser processado civilmente por uso indevido que ele não praticou diretamente?

Pode, especialmente quando o uso indevido foi praticado por colaborador do escritório no exercício de suas funções, já que a responsabilidade por atos de prepostos costuma recair sobre quem os contratou e se beneficia de seu trabalho. Mesmo sem participação direta do contador titular, o escritório enquanto pessoa jurídica pode ser demandado a responder pelo dano causado.

Revogar o certificado do cliente sem autorização expressa gera responsabilidade para o escritório?

Sim, revogar um certificado sem autorização do titular pode gerar responsabilidade, já que essa é uma decisão que impacta diretamente a capacidade do cliente de assinar documentos e cumprir obrigações que dependem daquele certificado. Se o escritório tiver poderes para solicitar a revogação em nome do cliente, essa providência deve observar os limites da autorização recebida. Fora dessas hipóteses, uma revogação sem autorização pode gerar responsabilidade.

Seguro de responsabilidade profissional cobre danos causados por uso indevido de certificado?

Depende da apólice contratada. Alguns seguros de responsabilidade civil profissional para contadores incluem cobertura para danos decorrentes de falhas na prestação do serviço, o que pode alcançar uso indevido de certificado digital sob custódia do escritório. Vale revisar as condições específicas da apólice para confirmar se esse evento está expressamente coberto ou se há exclusões que afastem a proteção justamente no cenário mais provável de ocorrência.

Existe diferença de responsabilidade entre uso indevido de e-CPF e de e-CNPJ do cliente?

A lógica de responsabilidade em si é semelhante nos dois casos, mas o e-CNPJ costuma envolver múltiplos representantes legais e um impacto potencialmente mais amplo, já que afeta diretamente a pessoa jurídica e suas obrigações fiscais e contratuais. Isso tende a exigir do escritório um cuidado ainda maior na definição de quem pode autorizar cada uso do certificado da empresa cliente.

O contrato de prestação de serviços contábeis é suficiente para regular o uso do certificado?

Um contrato genérico de prestação de serviços contábeis, sem cláusulas específicas sobre custódia e uso do certificado digital, costuma ser insuficiente para regular essa relação com a clareza necessária. O ideal é incluir cláusulas específicas, ou um termo apartado, detalhando o escopo de uso autorizado, o prazo de guarda e as condições de devolução ao final da prestação de serviço.