Riscos de compartilhar o certificado digital

O certificado digital funciona como a assinatura eletrônica do seu CPF ou CNPJ. Tudo o que é feito com ele no ambiente digital é atribuído, legal e juridicamente, ao seu titular. Compartilhar esse instrumento com outra pessoa, seja um funcionário, um contador ou qualquer terceiro, é o mesmo que entregar o carimbo da sua empresa com a sua assinatura já aposta e dizer: “pode usar à vontade”.

Essa prática é mais comum do que parece. Muitos empresários repassam a senha do certificado ao escritório de contabilidade por comodidade. Outros permitem que colaboradores internos o utilizem para agilizar rotinas fiscais. A intenção, na maioria dos casos, é apenas ganhar tempo. O problema é que a lei não distingue intenção de responsabilidade.

Contratos assinados, declarações enviadas à Receita Federal, notas fiscais emitidas e qualquer outra operação realizada com aquela credencial são juridicamente atribuídos ao titular. Se algo der errado, a responsabilidade recai sobre quem consta como titular, independentemente de quem estava operando o sistema.

Para contadores e empresários, entender esse risco não é preciosismo jurídico. É proteção real contra consequências que podem incluir multas, resposta civil por danos e, em casos mais graves, implicações criminais.

Neste artigo, você vai entender por que compartilhar o certificado digital é uma prática arriscada, quais são as consequências concretas e o que fazer para organizar o acesso a sistemas fiscais sem expor o titular a riscos desnecessários.

Por que o compartilhamento da senha é um perigo jurídico invisível?

O compartilhamento do certificado digital raramente parece perigoso no momento em que acontece. A senha é passada por mensagem, o acesso é liberado para resolver uma pendência urgente, e tudo corre bem. O problema é que o risco não está no uso cotidiano, mas no que pode acontecer quando algo sai do controle.

Do ponto de vista jurídico, o certificado digital não é uma ferramenta de trabalho qualquer. Ele é um instrumento de identificação com força legal equivalente à assinatura digital reconhecida pela ICP-Brasil. Quando a senha é compartilhada, o titular perde o controle sobre quem está praticando atos em seu nome, mas não perde a responsabilidade por esses atos.

A pessoa que usa o certificado pode cometer erros, praticar atos fraudulentos ou agir fora do escopo autorizado. Cada um desses cenários gera um tipo de exposição diferente: desde a necessidade de contestar um contrato indevido até o risco de autuação fiscal por declarações incorretas ou, nos casos mais graves, investigação criminal por participação em ilícito.

O que significa o princípio do não-repúdio na ICP-Brasil?

O não-repúdio é um dos pilares técnicos e jurídicos da ICP-Brasil. Ele estabelece que o titular de um certificado digital não pode negar a autoria de um ato praticado com aquela credencial, desde que não haja prova concreta de comprometimento ou uso indevido por terceiros.

Na prática, isso significa que, se um contrato for assinado, uma declaração for enviada ou uma nota fiscal for emitida com o seu certificado, o sistema jurídico presume que foi você quem agiu. Não é necessário provar que você estava presente. Basta que a operação tenha sido realizada com a sua chave privada.

Quando o titular compartilha a senha e outra pessoa pratica um ato com aquele certificado, o princípio do não-repúdio continua operando em pleno vigor. Para afastar a responsabilidade, o titular precisaria demonstrar que houve uso indevido sem o seu conhecimento ou consentimento, o que é tecnicamente difícil quando a própria senha foi repassada voluntariamente.

Como a responsabilidade civil e criminal afeta o titular do certificado?

No plano civil, o titular do certificado responde pelos efeitos de todos os atos praticados com aquela credencial. Se um terceiro, usando o certificado compartilhado, assinar um contrato prejudicial, emitir uma nota fiscal incorreta ou realizar uma operação não autorizada, o titular pode ser chamado a responder pelos danos causados, mesmo sem ter participado diretamente da ação.

No plano criminal, os riscos são ainda mais graves. O uso indevido de certificado digital pode configurar crimes como falsidade ideológica, estelionato e fraude eletrônica, previstos no Código Penal e na Lei nº 14.155/2021, que endureceu as penas para crimes praticados por meio eletrônico. Se o titular cedeu o acesso voluntariamente e o terceiro praticou um ilícito, a discussão sobre cumplicidade ou omissão dolosa pode surgir dependendo do contexto.

Para contadores, o risco tem uma camada adicional. O uso do certificado do cliente pelo escritório de contabilidade, sem a devida formalização por meio de uma procuração eletrônica, pode configurar exercício irregular de representação e expor tanto o profissional quanto o cliente a questionamentos perante a Receita Federal e o Conselho Federal de Contabilidade.

Leia também: Como validar assinatura eletrônica e digital ICP-Brasil

Quais as consequências práticas do uso indevido por terceiros?

O risco do compartilhamento não fica restrito ao momento em que acontece. Seus efeitos se acumulam silenciosamente: contratos podem ser firmados sem autorização, declarações podem ser enviadas com informações incorretas e operações financeiras podem ser realizadas sem que o titular sequer saiba que aconteceram.

O agravante é que o rastro digital de todas essas ações aponta para o titular. Os sistemas da Receita Federal, dos cartórios eletrônicos e dos tribunais registram o certificado utilizado, não a pessoa física que estava diante do teclado. Reverter esse registro exige contestação formal, produção de provas e, na maioria dos casos, intervenção jurídica.

Além do esforço para desfazer os atos praticados, o titular ainda precisa lidar com os efeitos que esses atos já produziram. Um contrato assinado indevidamente pode ter gerado obrigações. Uma declaração enviada com erro pode ter provocado uma autuação fiscal. Uma nota fiscal emitida incorretamente pode ter afetado o relacionamento com um cliente. Cada um desses cenários gera um passivo próprio.

Como o compartilhamento compromete a integridade das assinaturas digitais?

A validade jurídica de uma assinatura digital depende da certeza de que ela foi produzida pelo titular da chave privada. Quando a senha é compartilhada, essa certeza desaparece. Qualquer pessoa com acesso à credencial pode gerar uma assinatura tecnicamente válida, mas juridicamente problemática, porque o consentimento real do titular não pode ser verificado.

Esse comprometimento afeta não apenas os documentos assinados indevidamente, mas também a credibilidade de todas as assinaturas produzidas com aquele certificado.

Se houver uma disputa sobre a autoria de um determinado ato, a admissão de que a senha foi compartilhada com terceiros enfraquece a presunção de autenticidade de todas as operações realizadas com aquela credencial, inclusive as legítimas.

Na prática, isso significa que um empresário que compartilhou o certificado pode ter dificuldade em provar, em juízo, que determinada assinatura foi realmente sua, ou que determinado ato não foi praticado por ele. O histórico de compartilhamento vira um argumento contra o próprio titular.

Quais são os riscos específicos para o escritório de contabilidade?

Para o escritório de contabilidade, o uso do certificado do cliente é uma prática que mistura conveniência operacional com risco jurídico significativo. Quando o contador acessa sistemas como o e-CAC ou envia declarações usando o certificado do empresário, está praticando atos em nome de um terceiro sem o instrumento legal adequado para isso.

A forma correta de o contador representar o cliente nesses ambientes é por meio de uma procuração eletrônica, emitida pelo próprio titular no portal da Receita Federal. Esse instrumento delimita exatamente quais ações o procurador está autorizado a praticar e preserva a rastreabilidade dos atos. O uso do certificado digital vai muito além da nota fiscal, e o contador que opera com certificado próprio e procuração formalizada demonstra domínio sobre essa realidade.

Além do risco perante a Receita Federal, o escritório também fica vulnerável perante o Conselho Federal de Contabilidade. O CFC já se manifestou sobre a importância de os profissionais contábeis utilizarem seus próprios certificados digitais para acessar sistemas em nome de clientes, formalizando a relação por meio dos instrumentos legais disponíveis.

Como evitar que o uso por colaboradores gere passivos trabalhistas?

Quando um colaborador usa o certificado digital do empregador ou do sócio da empresa para executar tarefas no dia a dia, cria-se uma situação de risco que vai além do campo fiscal.

Se esse colaborador praticar um ato irregular, como enviar uma declaração com informações falsas ou assinar um documento sem autorização expressa, a empresa pode tentar responsabilizá-lo. O problema é que a prova de que foi o colaborador quem agiu, e não o titular, é difícil de produzir justamente porque o certificado foi compartilhado voluntariamente.

A saída mais segura é nunca delegar o uso do certificado a colaboradores. Para tarefas que exigem acesso a sistemas como o e-CAC ou o eSocial, o correto é emitir procurações eletrônicas com escopo específico ou utilizar certificados próprios dos colaboradores habilitados, vinculados às funções que exercem.

Isso preserva a rastreabilidade e deixa claro quem praticou cada ato, o que protege tanto a empresa quanto o colaborador em caso de disputa.

Qual a validade jurídica de documentos assinados por terceiros com seu token?

Do ponto de vista técnico, um documento assinado com um certificado digital válido produz todos os efeitos jurídicos previstos na Medida Provisória 2.200-2/2001. O sistema não distingue se foi o titular ou um terceiro quem operou o token. A assinatura é gerada, o documento é considerado autêntico e o ato produz efeitos imediatos.

Isso significa que contratos, declarações e outros instrumentos assinados por terceiros com o certificado do titular têm, a princípio, validade jurídica plena. Para contestar esses atos, o titular precisaria ingressar com ação judicial demonstrando que houve uso não autorizado da credencial, o que é extremamente difícil quando a própria senha foi cedida voluntariamente.

Em outras palavras, o terceiro que usou o token assinou juridicamente em nome do titular, e o titular dificilmente conseguirá desfazer esse ato sem custo jurídico relevante e sem demonstrar, de forma convincente, que não houve consentimento para aquela operação específica.

Veja também: Assinatura digital com validade jurídica

Como proteger o certificado digital no cotidiano da empresa?

A proteção do certificado digital começa com uma mudança de percepção. Ele não é uma senha de sistema interno que pode ser compartilhada entre a equipe para facilitar o trabalho.

É um instrumento jurídico pessoal, com força equivalente à assinatura manuscrita reconhecida em cartório. Tratá-lo como tal é a base de qualquer política de segurança de acesso em empresas e escritórios contábeis.

Na prática, isso significa que o certificado deve ser acessado exclusivamente pelo seu titular, armazenado em dispositivo sob custódia direta dessa pessoa e protegido por senha que não seja compartilhada com ninguém.

Para o certificado A3, o token ou cartão físico não deve circular entre colaboradores nem ficar conectado a computadores de uso compartilhado. Para o A1, é fundamental saber como instalar o certificado digital corretamente e garantir que o arquivo fique restrito ao dispositivo do titular.

Quando a rotina operacional da empresa exige que outras pessoas acessem sistemas fiscais ou assinem documentos, a solução não é compartilhar o certificado. Existem mecanismos legais criados exatamente para essa finalidade, que permitem delegar acesso sem transferir responsabilidade de forma desordenada.

Por que o uso de procurações eletrônicas é a única alternativa segura?

A procuração eletrônica é o instrumento que permite ao titular do certificado autorizar formalmente outra pessoa a praticar atos específicos em seu nome perante a Receita Federal e outros órgãos públicos.

Ela é emitida pelo próprio titular no portal da Receita Federal, com uso do seu certificado digital, e delimita com precisão quais serviços o procurador está autorizado a acessar.

Ao utilizar uma procuração eletrônica, o contador ou colaborador passa a operar com o seu próprio certificado, mas com os poderes delegados pelo titular. Cada ação fica registrada em nome do procurador, não do outorgante. Isso preserva a rastreabilidade, protege o titular de atos praticados fora do escopo autorizado e formaliza juridicamente a relação entre as partes.

A diferença em relação ao compartilhamento direto do certificado é estrutural. Com a procuração, o titular sabe exatamente o que foi delegado, a quem foi delegado e por quanto tempo. Com o compartilhamento da senha, nenhuma dessas informações existe de forma rastreável, e qualquer ato praticado recai sobre o titular sem filtro ou limite.

Como implementar uma política de segurança da informação no escritório?

Uma política de segurança da informação voltada para certificados digitais não precisa ser um documento complexo para ser eficaz. O essencial é que ela estabeleça regras claras sobre como os certificados são emitidos, armazenados, utilizados e renovados dentro da organização, e que essas regras sejam seguidas de forma consistente.

O ponto de partida é o mapeamento: identificar quantos certificados existem na empresa, quem são os titulares, onde estão armazenados e para quais finalidades são utilizados. Escritórios de contabilidade, em especial, precisam garantir que cada colaborador que acessa sistemas de clientes utilize seu próprio certificado, com as devidas procurações eletrônicas formalizadas.

A partir desse mapeamento, algumas regras práticas fazem diferença imediata. O titular deve ser o único a conhecer a senha do seu certificado. O token ou arquivo não deve ser compartilhado fisicamente nem copiado para dispositivos de terceiros.

E o vencimento do certificado deve ser monitorado com antecedência para evitar que a urgência da renovação leve a decisões precipitadas, como a cessão temporária de acesso.

A implementação dessas práticas reduz significativamente a exposição jurídica do escritório e dos seus clientes, além de demonstrar, perante o CFC e os órgãos fiscalizadores, que a organização opera com padrões adequados de conformidade digital.

Leia também: O que é ICP-Brasil e como ela garante a validade do seu certificado

Blindagem digital: a gestão de acessos como diferencial

Compartilhar o certificado digital nunca é uma decisão neutra. Mesmo quando feita com boa intenção, por comodidade ou por falta de conhecimento sobre os mecanismos legais disponíveis, ela transfere o controle sobre um instrumento jurídico de alto valor para pessoas que não carregam a responsabilidade pelo seu uso.

O empresário que protege seu certificado digital não está apenas evitando uma multa ou um problema com a Receita Federal. Está preservando a integridade de todas as operações realizadas em seu nome, a validade dos contratos que assina e a sua própria capacidade de se defender caso algo seja questionado no futuro.

Para o escritório de contabilidade, a gestão adequada dos certificados é também um diferencial competitivo. Clientes que entendem os riscos jurídicos envolvidos passam a valorizar escritórios que operam com procurações eletrônicas formalizadas, certificados próprios para cada colaborador e processos internos que garantem rastreabilidade. Isso não é burocracia, é profissionalismo mensurável.

A boa notícia é que os instrumentos para fazer essa gestão de forma correta já existem e estão disponíveis. A procuração eletrônica, o uso individualizado de certificados e-CPF e e-CNPJ e a renovação planejada com antecedência são práticas acessíveis que eliminam a necessidade de compartilhamento e os riscos que ele carrega.

Blindagem digital não significa complexidade. Significa escolher, conscientemente, operar dentro dos limites que a lei estabeleceu para proteger o titular do certificado. E essa escolha começa com uma decisão simples: nunca compartilhar a senha.

Confira também: Como renovar certificado digital sem perder validade

Dúvidas frequentes sobre a segurança e o compartilhamento do certificado

1. Posso ser preso por fraudes cometidas com meu certificado compartilhado?

Sim, essa possibilidade existe e não deve ser subestimada. Se um terceiro, usando o seu certificado, praticar um ato que configure crime, como falsidade ideológica, fraude fiscal ou estelionato, você pode ser investigado como coautor ou partícipe, dependendo do que o inquérito demonstrar sobre o seu conhecimento e consentimento.

A Lei nº 14.155/2021 endureceu as penas para crimes praticados por meios eletrônicos no Brasil. Fraudes cometidas com uso de certificado digital se enquadram nesse contexto, e o titular que cedeu voluntariamente o acesso tem dificuldade em demonstrar que não participou da conduta.

A melhor proteção é preventiva. Nunca compartilhar a senha elimina a possibilidade de ser responsabilizado por atos que você não praticou e não autorizou.

2. O contador pode ser responsabilizado por atos feitos com o certificado do cliente?

Sim. Quando o contador utiliza o certificado do cliente para acessar sistemas fiscais ou assinar documentos, está praticando atos jurídicos sem o instrumento legal adequado para isso. Se esses atos gerarem danos, o profissional pode responder civilmente perante o cliente e administrativamente perante o Conselho Federal de Contabilidade.

O CFC orienta que o contador deve utilizar seu próprio certificado digital, operando com base em procuração eletrônica emitida pelo cliente. Essa formalização protege o profissional porque delimita o escopo da sua atuação e registra cada ato em seu próprio nome, separando claramente a responsabilidade do titular da responsabilidade do procurador.

Escritórios que ainda operam com o certificado do cliente assumem um risco desnecessário que pode ser eliminado com a adoção da procuração eletrônica.

3. Como cancelar um certificado digital em caso de suspeita de uso indevido?

O cancelamento, tecnicamente chamado de revogação, deve ser solicitado diretamente à autoridade certificadora que emitiu o certificado. No caso de certificados emitidos dentro da ICP-Brasil, o titular pode solicitar a revogação pelo canal de atendimento da certificadora, presencialmente ou por meio eletrônico, dependendo das opções disponíveis.

A revogação é imediata e impede que o certificado seja utilizado para qualquer nova operação a partir do momento em que é processada. Operações realizadas antes da revogação continuam produzindo efeitos, o que reforça a importância de agir rapidamente ao identificar qualquer indício de uso indevido.

Após a revogação, o titular deve emitir um novo certificado e, se necessário, comunicar formalmente às partes afetadas que operações realizadas no período de suspeita podem estar sendo contestadas.

4. Existe alguma exceção legal que permita o compartilhamento da senha?

Não. A legislação e as normas da ICP-Brasil não prevêem nenhuma hipótese em que o compartilhamento da senha do certificado digital seja permitido ou regulamentado. A chave privada é, por definição, de uso exclusivo do titular, e qualquer cessão desse acesso a terceiros contraria os princípios técnicos e jurídicos que sustentam a validade do certificado.

O que a lei oferece como alternativa são os instrumentos de delegação formal, como a procuração eletrônica e a emissão de certificados vinculados a cargos ou funções específicas dentro de uma organização. Esses mecanismos permitem que terceiros pratiquem atos em nome do titular de forma legal, rastreável e com responsabilidade delimitada.

Buscar atalhos fora desses instrumentos não é apenas uma prática arriscada. É uma conduta que, dependendo dos seus efeitos, pode ser enquadrada como facilitação de fraude.

5. O uso de procuração eletrônica substitui totalmente a necessidade do certificado do cliente?

Para a maioria das operações junto à Receita Federal, sim. A procuração eletrônica habilita o procurador a acessar os serviços especificados no e-CAC, enviar declarações, consultar débitos e realizar outras ações em nome do outorgante, tudo isso usando o próprio certificado do procurador.

Há situações específicas em que o certificado do titular ainda é necessário, como a emissão da própria procuração eletrônica, que exige autenticação direta do outorgante, e determinadas operações em sistemas estaduais ou municipais que não reconhecem a procuração federal como instrumento suficiente.

Por isso, o ideal é que o empresário mantenha seu certificado ativo e sob sua guarda, utilizando-o pessoalmente para os atos que exigem sua presença digital direta. Um certificado vencido nesse momento pode bloquear justamente a emissão da procuração, criando um problema operacional evitável com simples monitoramento do prazo de validade.

Confira depois: e-CPF ou e-CNPJ: entenda as diferenças e qual sua empresa precisa