4990-(2)N.o 178 — 2-8-1999DIÁRIO DA REPÚBLICA — I SÉRIE-A

MINISTÉRIO DA CIÊNCIA E DA TECNOLOGIA
Decreto-Lei n.o 290-D/99
de 2 de Agosto

A Resolução do Conselho de Ministros n.o 115/98,
de 1 de Setembro, determinou a definição do regime
jurídico aplicável aos documentos electrónicos e assinatura digital, como um dos objectivos a alcançar noâmbito da Iniciativa Nacional para o Comércio Electrónico, necessário à plena afirmação do comércio
electrónico.
As redes electrónicas abertas, como a Internet, têmassumido uma importância crescente na vida quotidiana
dos cidadãos e dos agentes económicos, proporcionando
uma teia de relações comerciais globais. Para aproveitar
da melhor forma estas oportunidades, urge criar um
ambiente seguro para a autenticação electrónica. Na
realidade, as comunicações e o comércio electrónicos
exigem assinaturas electrónicas e serviços a elas associados que permitam a autenticação electrónica dos
dados.
As assinaturas electrónicas possibilitam ao utente dedados enviados electronicamente que verifique a sua
origem (autenticação), bem como se os dados foram
entretanto alterados (integridade). Em matéria de assinatura electrónica, o presente diploma assenta no
modelo tecnológico ora prevalecente: a assinatura digitalproduzida através de técnicas criptográficas. Como se
depreende dos estudos disponíveis sobre tecnologias deassinaturas digitais baseadas na criptografia de chaves
públicas, a assinatura digital constitui, neste momento,a técnica mais reconhecida de assinatura electrónica,
apresentando o mais elevado grau de segurança paraas trocas de dados em redes abertas. E é esta constatação
do estado da tecnologia que tem levado as experiências
legislativas estrangeiras a privilegiar esta forma de assinatura electrónica.
Contudo, e considerando que em face do constantedesenvolvimento tecnológico esta solução de autenticação de dados pode ser, em pouco tempo, tecnicamente
ultrapassada pela afirmação de outras formas de assinatura electrónica, o regime previsto no presente
diploma poderá vir a ser aplicado a outras modalidadesde assinatura electrónica que satisfaçam os requisitos
de segurança da assinatura digital.
A verificação da autenticidade e da integridade dos
dados, facultada pelas assinaturas electrónicas, em
geral, e pela assinatura digital, em particular, não prova
necessariamente a identidade do signatário que cria
as assinaturas electrónicas. Assim, considera-se necessário, de acordo com a prática tecnicamente recomendada e internacionalmente consagrada, instituir um
sistema de confirmação por entidades certificadoras,
às quais incumbe assegurar os elevados níveis de segurança do sistema indispensáveis para a criação da desejada confiança no tocante às assinaturas de documentos electrónicos.
Neste contexto, o presente diploma, por um lado,
regula o reconhecimento e o valor jurídico dos documentos electrónicos e das assinaturas digitais e, poroutro, confia o controlo da actividade de certificação
de assinaturas a uma entidade a designar e define os
poderes e procedimentos desta, bem como as condições

de credenciação da actividade e os direitos e os deveres
das entidades certificadoras.
Esta actividade de certificação de assinaturas digitais,de harmonia com a orientação consagrada já noutros
países da União Europeia, não está sujeita a autorização
administrativa prévia. Importa, porém, que o Estado
providencie um controlo das condições de idoneidadee segurança asseguradas pelas entidades certificadoras,e desse modo ofereça ao público e ao mercado a orientação e a garantia de qualidade que são indispensáveis
para a confiança nos novos meios de documentação e
assinatura. De harmonia com este desiderato, prevê-se
um sistema voluntário de credenciação e fiscalização
das entidades certificadoras pela autoridade competente.
Com este diploma dá-se, em Portugal, o primeiro
passo no sentido da consagração legal das assinaturas
electrónicas,, acolhendo-se, designadamente, as soluções avançadas no quadro da União Europeia, na proposta de directiva do Parlamento Europeu e do Conselho, relativa a um quadro legal comunitário para as
assinaturas electrónicas. A evolução tecnológica, que
nesta matéria é constante, determinará a médio prazoa revisão, adaptação e aprofundamento do regime estabelecido no presente diploma.
Assim:
Nos termos da alínea a) do n.o 1 do artigo 198.o daConstituição, o Governo decreta, para valer como lei
geral da República, o seguinte:CAPÍTULO I
Documentos e actos jurídicos electrónicos
Artigo 1.oObjecto1 — O presente diploma regula a validade, eficácia
e valor probatório dos documentos electrónicos e a assinatura digital.
2 — O regime previsto no presente diploma pode sertornado aplicável a outras modalidades de assinatura
electrónica que satisfaçam exigências de segurança idênticas às da assinatura digital.
Artigo 2.oDefinições

Para os fins do presente diploma, entende-se por:a) Documento electrónico: documento elaborado
mediante processamento electrónico de dados;b) Assinatura electrónica: resultado de um processamento electrónico de dados susceptível deconstituir objecto de direito individual e exclusivo e de ser utilizado para dar a conhecer a
autoria de um documento electrónico ao qual
seja aposta, de modo que:i) Identifique de forma unívoca o titular
como autor do documento;ii) A sua aposição ao documento dependa
apenas da vontade do titular;

N.o 178 — 2-8-1999

4990-(3)DIÁRIO DA REPÚBLICA — I SÉRIE-Aiii) A sua conexão com o documento permita
detectar toda e qualquer alteração superveniente do conteúdo deste;c) Assinatura digital: processo de assinatura electrónica baseado em sistema criptográfico assimétrico composto de um algoritmo ou série dealgoritmos, mediante o qual é gerado um parde chaves assimétricas exclusivas e interdependentes, uma das quais privada e outra pública,
e que permite ao titular usar a chave privada
para declarar a autoria do documento electrónico ao qual a assinatura é aposta e concordância com o seu conteúdo, e ao declaratário
usar a chave pública para verificar se a assinatura foi criada mediante o uso da correspondente chave privada e se o documento electrónico foi alterado depois de aposta a assinatura;d) Chave privada: elemento do par de chaves assimétricas destinado a ser conhecido apenas pelo
seu titular, mediante o qual se apõe a assinatura
digital no documento electrónico, ou se decifra
um documento electrónico previamente cifrado
com a correspondente chave pública;e) Chave pública: elemento do par de chaves assimétricas destinado a ser divulgado, com o qual
se verifica a assinatura digital aposta no documento electrónico pelo titular do par de chaves
assimétricas, ou se cifra um documento electrónico a transmitir ao titular do mesmo parde chaves;f) Credenciação: acto pelo qual é reconhecido a
uma entidade que o solicite e que exerça actividade de entidade certificadora referida na alínea h) deste artigo o preenchimento dos requisitos definidos no presente diploma para os efeitos nele previstos;g) Autoridade credenciadora: entidade competentepara a credenciação e fiscalização das entidades
certificadoras;h) Entidade certificadora: entidade ou pessoa singular ou colectiva credenciada que cria ou fornece meios para a criação das chaves, emite
os certificados de assinatura, assegura a respectiva publicidade e presta outros serviços relativos a assinaturas digitais;i) Certificado de assinatura: documento electrónico autenticado com assinatura digital e que
certifique a titularidade de uma chave públicae o prazo de validade da mesma chave;j) Validação cronológica: declaração de entidade
certificadora que atesta a data e hora da criação,expedição ou recepção de um documento electrónico;l) Endereço electrónico: identificação de um equipamento informático adequado para receber earquivar documentos electrónicos.
Artigo 3.oForma e força probatória

1 — O documento electrónico satisfaz o requisito
legal de forma escrita quando o seu conteúdo seja susceptível de representação como declaração escrita.

2 — Quando lhe seja aposta uma assinatura digital
certificada por uma entidade credenciada e com osrequisitos previstos neste diploma, o documento electrónico com o conteúdo referido no número anterior
tem a força probatória de documento particular assinado, nos termos do artigo 376.o do Código Civil.
3 — Quando lhe seja aposta uma assinatura digital
certificada por uma entidade credenciada e com osrequisitos previstos neste diploma, o documento electrónico cujo conteúdo não seja susceptível de representação como declaração escrita tem a força probatória
prevista no artigo 368.o do Código Civil e no artigo 167.odo Código de Processo Penal.
4 — O disposto nos números anteriores não obsta àutilização de outro meio de comprovação da autoria
e integridade de documentos electrónicos, incluindo aassinatura electrónica não conforme com os requisitos
do presente diploma, desde que tal meio seja adoptado
pelas partes ao abrigo de válida convenção sobre prova
ou seja aceite pela pessoa a quem for oposto odocumento.
5 — O valor probatório dos documentos electrónicos
aos quais não seja aposta uma assinatura digital certificada por uma entidade credenciada e com os requisitos previstos neste diploma é apreciado nos termos
gerais de direito.
Artigo 4.oCópias de documentos

As cópias de documentos electrónicos, sobre idêntico
ou diferente tipo de suporte, são válidas e eficazes nos
termos gerais de direito e têm a força probatória atribuída às cópias fotográficas pelo n.o 2 do artigo 387.o
do Código Civil e pelo artigo 168.o do Código de Processo Penal, se forem observados os requisitos aíprevistos.
Artigo 5.oDocumentos electrónicos dos organismos públicos

1 — Os organismos públicos podem emitir documentos electrónicos com assinatura digital aposta em conformidade com as normas do presente diploma.
2 — Nas operações relativas à criação, emissão,arquivo, reprodução, cópia e transmissão de documentos
electrónicos que formalizem actos administrativos através de sistemas informáticos, incluindo a sua transmissão
por meios de telecomunicações, os dados relativos aoorganismo interessado e à pessoa que tenha praticado
cada acto administrativo devem ser indicados de forma
a torná-los facilmente identificáveis e a comprovar afunção ou cargo desempenhado pela pessoa signatária
de cada documento.
Artigo 6.oComunicação de documentos electrónicos

1 — O documento electrónico comunicado por um
meio de telecomunicações considera-se enviado e recebido pelo destinatário se for transmitido para o endereço
electrónico definido por acordo das partes e neste forrecebido.

4990-(4)N.o 178 — 2-8-1999DIÁRIO DA REPÚBLICA — I SÉRIE-A

2 — São oponíveis entre as partes e a terceiros a datae a hora da criação, da expedição ou da recepção deum documento electrónico que contenha uma validação
cronológica emitida por uma entidade certificadora.
3 — A comunicação do documento electrónico, assinado de acordo com os requisitos do presente diploma,
por meio de telecomunicações que assegure a efectiva
recepção equivale à remessa por via postal registadae, se a recepção for comprovada por mensagem de confirmação dirigida ao remetente pelo destinatário com
assinatura digital e recebida pelo remetente, equivale
à remessa por via postal registada com aviso de recepção.
4 — Os dados e documentos comunicados por meiode telecomunicações consideram-se em poder do remetente até à recepção pelo destinatário.
5 — Os operadores que assegurem a comunicação dedocumentos electrónicos por meio de telecomunicações
não podem tomar conhecimento do seu conteúdo, nem
duplicá-los por qualquer meio ou ceder a terceiros qualquer informação, ainda que resumida ou por extracto,
sobre a existência ou sobre o conteúdo desses documentos, salvo quando se trate de informação que, pela
sua natureza ou por indicação expressa do seu remetente, se destine a ser tornada pública.

não se encontre suspenso ou revogado por decisão daentidade certificadora, e cujo prazo de validade nãotenha terminado.
5 — A aposição de assinatura digital cuja chave
pública conste de certificado que esteja revogado,
caduco ou suspenso, na data da aposição, ou não respeite
as condições dele constantes equivale à falta de assinatura.
Artigo 8.oObtenção das chaves e certificado

Quem pretenda utilizar uma assinatura digital paraos fins deste diploma deve, nos termos do n.o 1 doartigo 29.o, criar ou obter a emissão de um par de chaves
assimétricas, bem como obter o certificado da respectiva
chave pública emitido por entidade certificadora credenciada nos termos deste diploma.
CAPÍTULO III
Certificação
SECÇÃO I
Acesso à actividade de certificação

CAPÍTULO II

Artigo 9.oAssinaturas digitais

Livre acesso à actividade de certificação

Artigo 7.oAssinatura digital

1 — A aposição de uma assinatura digital a um documento electrónico ou a uma cópia deste equivale à assinatura autógrafa dos documentos com forma escrita
sobre suporte de papel e cria a presunção de que:a) A pessoa que apôs a assinatura digital é o titular
desta ou é representante, com poderes bastantes, da pessoa colectiva titular da assinatura
digital;b) A assinatura digital foi aposta com a intenção
de assinar o documento electrónico;c) O documento electrónico não sofreu alteração
desde que lhe foi aposta a assinatura digital,
sempre que seja utilizada para verificação uma
chave pública contida em certificado válido emitido por entidade certificadora credenciada nos
termos deste diploma.
2 — A assinatura digital deve referir-se inequivocamente a uma só pessoa singular ou colectiva e ao documento ao qual é aposta.
3 — A aposição de assinatura digital substitui, para
todos os efeitos legais, a aposição de selos, carimbos,
marcas ou outros sinais identificadores do seu titular.
4 — Para a aposição de assinatura digital deve utilizar-se uma chave privada cuja correspondente chave
pública conste de certificado válido, emitido por entidade certificadora, credenciada nos termos deste
diploma, e que, na data da aposição da assinatura digital,

É livre o exercício da actividade de entidade certificadora referida na alínea h) do artigo 2.o, sendo facultativa a solicitação da credenciação regulada nos artigos 11.o e seguintes.
Artigo 10.oLivre escolha da entidade certificadora

1 — É livre a escolha da entidade certificadora.
2 — A escolha de entidade determinada não podeconstituir condição de oferta ou de celebração de qualquer negócio jurídico.
Artigo 11.o
Entidade competente para a credenciação

A credenciação de entidades certificadoras para efeitos do presente diploma compete à entidade, a designar
nos termos do artigo 40.o, adiante designada autoridade
credenciadora.
Artigo 12.oCredenciação da entidade certificadora

Será concedida a credenciação de entidades certificadoras de assinaturas digitais, mediante pedido apresentado à autoridade credenciadora, a entidades que
satisfaçam os seguintes requisitos:a) Estejam dotadas de capital e meios financeiros
adequados;b) Dêem garantias de absoluta integridade e independência no exercício da actividade de certificação de assinaturas digitais;

N.o 178 — 2-8-1999

4990-(5)DIÁRIO DA REPÚBLICA — I SÉRIE-Ac) Disponham de recursos técnicos e humanos que
satisfaçam os padrões de segurança e de eficácia
que sejam previstos na regulamentação a quese refere o artigo 38.o;d) Mantenham contrato de seguro válido paracobertura adequada da responsabilidade civil
emergente da actividade de certificação.
Artigo 13.o

3 — As declarações previstas na alínea c) do n.o 1
poderão ser entregues em momento posterior ao pedido,
nos termos e prazo que a autoridade credenciadora fixar.
4 — Consideram-se como participações significativas,
para os efeitos do presente diploma, as que igualem
ou excedam 10 % do capital da sociedade anónima.
Artigo 14.oRequisitos patrimoniais

Pedido de credenciação

1 — O pedido de credenciação de entidade certificadora de assinaturas digitais será instruído com os
seguintes documentos:a) Estatutos da pessoa colectiva e, tratando-se desociedade, contrato de sociedade ou, tratando-se de pessoa singular, a respectiva identificação e domicílio;b) Tratando-se de sociedade, relação de todos ossócios, com especificação das respectivas participações, bem como dos membros dos órgãos
de administração e de fiscalização, e, tratando-se de sociedade anónima, relação de todos
os accionistas com participações significativas,
directas ou indirectas;c) Declarações subscritas por todas as pessoas singulares e colectivas referidas no n.o 1 doartigo 15.o de que não se encontram em
nenhuma das situações indiciadoras de inidoneidade referidas no respectivo n.o 2;d) Prova do substrato patrimonial e dos meios
financeiros disponíveis e, designadamente, tratando-se de sociedade, da realização integral do
capital social;e) Descrição da organização interna e plano desegurança;f) Descrição dos recursos materiais e técnicos disponíveis, incluindo características e localização
de todos os imóveis utilizados;g) Designação do auditor de segurança;h) Programa geral da actividade prevista para os
primeiros três anos;i) Descrição geral das actividades exercidas nosúltimos três anos ou no tempo decorrido desdea constituição, se for inferior, e balanço e contas
dos exercícios correspondentes;j) Comprovação de contrato de seguro válido paracobertura adequada da responsabilidade civil
emergente da actividade de certificação.
2 — Se à data do pedido a pessoa colectiva não estiver
constituída, o pedido será instruído, em substituição doprevisto na alínea a) do número anterior, com os seguintes documentos:a) Acta da reunião em que foi deliberada aconstituição;b) Projecto de estatutos ou contrato de sociedade;c) Declaração de compromisso, subscrita por todos
os fundadores, de que no acto de constituição,e como condição dela, estará integralmente realizado o substrato patrimonial exigido por lei.

1 — As entidades certificadoras privadas, que sejam
pessoas jurídicas, devem estar dotadas de capital social
no valor mínimo de 40 000 000$, ou, não sendo sociedades, do substrato patrimonial equivalente.
2 — O substrato patrimonial, e designadamente ocapital social mínimo de sociedade, encontrar-se-á sempre integralmente realizado à data da credenciação, sea pessoa colectiva estiver já constituída, ou será sempre
integralmente realizado com a constituição da pessoa
colectiva, se esta ocorrer posteriormente.
3 — As entidades certificadoras que sejam pessoas
singulares devem ter e manter durante toda a sua actividade um património, livre de quaisquer ónus, de valor
equivalente ao previsto no n.o 1.
Artigo 15.oRequisitos de idoneidade

1 — A pessoa singular e, no caso de pessoa colectiva,
os membros dos órgãos de administração e fiscalização,os empregados, comitidos e representantes das entidades certificadoras com acesso aos actos e instrumentos
de certificação, os sócios da sociedade e, tratando-se
de sociedade anónima, os accionistas com participações
significativas serão sempre pessoas de reconhecida
idoneidade.
2 — Entre outras circunstâncias atendíveis, considera-se indiciador de falta de idoneidade o facto de a
pessoa ter sido:a) Condenada, no País ou no estrangeiro, porcrime de furto, roubo, burla, burla informática
e nas comunicações, extorsão, abuso de confiança, infidelidade, falsificação, falsas declarações, insolvência dolosa, insolvência negligente,favorecimento de credores, emissão de chequessem provisão, abuso de cartão de garantia ou
de crédito, apropriação ilegítima de bens do sector público ou cooperativo, administração
danosa em unidade económica do sector público
ou cooperativo, usura, suborno, corrupção,recepção não autorizada de depósitos ou outros
fundos reembolsáveis, prática ilícita de actos ou
operações inerentes à actividade seguradora ou
dos fundos de pensões, branqueamento de capitais, abuso de informação, manipulação do mercado de valores mobiliários ou crime previsto
no Código das Sociedades Comerciais;b) Declarada, por sentença nacional ou estrangeira, falida ou insolvente ou julgada responsável por falência ou insolvência de empresa

4990-(6)N.o 178 — 2-8-1999DIÁRIO DA REPÚBLICA — I SÉRIE-A

por ela dominada ou de cujos órgãos de administração ou fiscalização tenha sido membro;c) Sujeita a sanções, no País ou no estrangeiro,
pela prática de infracções às normas legais ou
regulamentares que regem as actividades deprodução, autenticação, registo e conservação
de documentos, e designadamente as do notariado, dos registos públicos, do funcionalismo
judicial, das bibliotecas públicas e da certificação de assinaturas digitais.
3 — A falta dos requisitos de idoneidade previstos
no presente artigo constitui fundamento de recusa ede revogação da credenciação, nos termos da alínea c)do n.o 1 do artigo 19.o e da alínea f) do n.o 1 do artigo 21.o

6 — A decisão de credenciação será comunicada às
autoridades fiscalizadoras dos Estados membros daUnião Europeia.
Artigo 19.oRecusa de credenciação

1 — A credenciação será recusada sempre que:a) O pedido de credenciação não estiver instruído
com todas as informações e documentos necessários;b) A instrução do pedido enfermar de inexactidões
ou falsidades;c) A autoridade credenciadora não considerar
demonstrado algum dos requisitos enumerados
nos artigos 12.o e 15.o

Artigo 16.o
Auditor de segurança

1 — Todas as entidades certificadoras terão um auditor de segurança, pessoa singular ou colectiva, o qualelaborará um relatório anual de segurança e o enviaráà autoridade credenciadora, até 31 de Março de cadaano civil.
2 — A designação do auditor de segurança será sujeita
a aprovação prévia pela autoridade credenciadora.
Artigo 17.oSeguro obrigatório de responsabilidade civil

O Ministro das Finanças definirá, por portaria, as
características do contrato de seguro de responsabilidade civil a que se refere a alínea d) do artigo 12.o

2 — Se o pedido estiver deficientemente instruído,a autoridade credenciadora, antes de recusar a credenciação, notificará o requerente, dando-lhe prazo razoável para suprir a deficiência.
Artigo 20.o
Caducidade da credenciação

1 — A credenciação caduca se os requerentes a ela
expressamente renunciarem, se não iniciarem a actividade no prazo de 12 meses ou, tratando-se de pessoa
colectiva, esta não for constituída no prazo de 6 meses.
2 — A credenciação caduca ainda se a pessoa colectiva for dissolvida, sem prejuízo da prática dos actos
necessários à respectiva liquidação.
Artigo 21.o

Artigo 18.o

Revogação da credenciação

Decisão

1 — A credenciação será revogada, sem prejuízo deoutras sanções aplicáveis nos termos da lei, quando severifique alguma das seguintes situações:1 — A autoridade credenciadora poderá solicitar dos
requerentes informações complementares e proceder,
por si ou por quem para o efeito designar, às averiguações, inquirições e inspecções que entenda necessárias para a apreciação do pedido.
2 — A decisão sobre o pedido de credenciação deve
ser notificada aos interessados no prazo de três meses
a contar da recepção do pedido ou, se for o caso, acontar da recepção das informações complementares
solicitadas ou da conclusão das diligências que entenda
necessárias, não podendo no entanto exceder o prazo
de seis meses sobre a data da recepção daquele.
3 — A falta de notificação nos prazos referidos nonúmero anterior constitui presunção de indeferimento
tácito do pedido.
4 — A autoridade credenciadora poderá incluir na
credenciação condições adicionais desde que necessárias
para assegurar o cumprimento das disposições legais
e regulamentares aplicáveis ao exercício da actividade
pela entidade certificadora.
5 — A emissão da credenciação será acompanhada
da emissão pela autoridade credenciadora do certificado
das chaves a ser usado pela entidade certificadora na
emissão de certificados.

a) Se tiver sido obtida por meio de falsas declarações ou outros expedientes ilícitos;b) Se deixar de se verificar algum dos requisitos
enumerados no artigo 12.o;c) Se a entidade cessar a actividade de certificação
ou a reduzir para nível insignificante por
período superior a 12 meses;d) Se ocorrerem irregularidades graves na administração, organização ou fiscalização interna da
entidade;e) Se no exercício da actividade de certificação ou
de outra actividade social forem praticados actos
ilícitos que lesem ou ponham em perigo a confiança do público na certificação;f) Se supervenientemente se verificar alguma das
circunstâncias de inidoneidade referidas no
artigo 15.o em relação a qualquer das pessoas
a que alude o seu n.o 1.
2 — A revogação da credenciação compete à autoridade credenciadora, em decisão fundamentada que
será notificada à entidade no prazo de oito dias úteis.

N.o 178 — 2-8-1999

4990-(7)DIÁRIO DA REPÚBLICA — I SÉRIE-A

3 — A autoridade credenciadora dará à decisão derevogação publicidade adequada.
4 — A decisão de revogação será comunicada às autoridades fiscalizadoras dos Estados membros da União
Europeia.

5 — Sem prejuízo do que resulte de outras disposições
legais aplicáveis, a falta de registo não determina porsi só invalidade dos actos jurídicos praticados pela pessoa
em causa no exercício das suas funções.

Artigo 22.oSECÇÃO II

Anomalias nos órgãos de administração e fiscalização

Exercício da actividade

1 — Se por qualquer motivo deixarem de estar preenchidos os requisitos legais e estatutários do normal funcionamento dos órgãos de administração ou fiscalização,a autoridade credenciadora fixará prazo para ser regularizada a situação.
2 — Não sendo regularizada a situação no prazo
fixado, será revogada a credenciação nos termos do
artigo anterior.

Artigo 25.o

Artigo 23.oComunicação de alterações

Devem ser comunicadas à autoridade credenciadora,
no prazo de 30 dias, as alterações das entidades certificadoras relativas a:a) Firma ou denominação;b) Objecto;c) Local da sede, salvo se a mudança ocorrer dentro do mesmo concelho ou para concelho
limítrofe;d) Substrato patrimonial ou património, desde quese trate de uma alteração significativa;e) Estrutura de administração e de fiscalização;f) Limitação dos poderes dos órgãos de administração e fiscalização;g) Cisão, fusão e dissolução.
Artigo 24.oRegisto1 — O registo das pessoas referidas no n.o 1 doartigo 15.o deve ser solicitado à autoridade credenciadora no prazo de 15 dias após assumirem qualquer das
qualidades nele referidas, mediante pedido da entidade
certificadora ou dos interessados, juntamente com as
provas de que se encontram preenchidos os requisitos
definidos no mesmo artigo, sob pena de a credenciação
ser revogada.
2 — Poderão a entidade certificadora ou os interessados solicitar o registo provisório, antes da assunção
por estes de qualquer das qualidades referidas no n.o 1
do artigo 15.o, devendo a conversão do registo em definitivo ser requerida no prazo de 30 dias a contar dadesignação, sob pena de caducidade.
3 — Em caso de recondução, será esta averbada no
registo, a pedido da entidade certificadora ou dosinteressados.
4 — O registo será recusado em caso de inidoneidade,nos termos do artigo 15.o, e a recusa será comunicada
aos interessados e à entidade certificadora, a qual
tomará as medidas adequadas para que aqueles cessem
imediatamente funções ou deixem de estar para com
a pessoa colectiva na relação prevista no mesmo artigo,
seguindo-se no aplicável o disposto no artigo 22.oDeveres da entidade certificadora

Compete à entidade certificadora:a) Verificar rigorosamente a identidade dos requerentes de pares de chaves e respectivos certificados e, tratando-se de representantes de pessoas
colectivas, os respectivos poderes de representação, bem como, quando aplicável, as qualidades
específicas a que se refere a alínea i) do n.o 1
do artigo 30.o;b) Emitir os pares de chaves ou fornecer os meios
técnicos necessários para a sua criação, bemcomo o certificado de assinatura com rigorosaobservância do disposto neste diploma e nas
normas regulamentares, zelando pela correspondência funcional das duas chaves de cadapar e pela exactidão das informações constantes
dos certificados;c) Especificar no certificado de assinatura ou num
certificado complementar, a pedido do requerente do par de chaves, a existência dos poderes
de representação ou de outros títulos relativos
à actividade profissional ou a outros cargos
desempenhados;d) Informar os requerentes, de modo completo eclaro, sobre o processo de certificação e sobre
os requisitos técnicos necessários para ter acesso
ao mesmo;e) Cumprir as regras de segurança para tratamento
de dados pessoais estabelecidas na legislação
respectiva;f) Assegurar a publicidade das chaves públicas erespectivos certificados e prestar informação
sobre eles a qualquer pessoa que deseje consultá-los, por meios informáticos e de telecomunicações adequados e expeditos;g) Abster-se de tomar conhecimento do conteúdo
das chaves privadas, aceitar o seu depósito, conservá-las, reproduzi-las ou prestar quaisquer
informações sobre as mesmas;h) Proceder à publicação imediata da revogação
ou suspensão dos certificados, nos casos previstos no presente diploma;i) Conservar os certificados que emitir, por um
período não inferior a 20 anos;j) Assegurar que a data e hora da emissão, suspensão e revogação dos certificados possam ser
determinadas através de validação cronológica.
Artigo 26.oProtecção de dados

1 — As entidades certificadoras só podem coligir
dados pessoais necessários ao exercício das suas acti-

4990-(8)N.o 178 — 2-8-1999DIÁRIO DA REPÚBLICA — I SÉRIE-A

vidades e obtê-los directamente das pessoas interessadas
na titularidade de pares de chaves e respectivos certificados, ou de terceiros junto dos quais aquelas pessoas
autorizem a sua colecta.
2 — Os dados pessoais coligidos pela entidade certificadora não poderão ser utilizados para outra finalidade que não seja a de certificação, salvo se outro
uso for consentido expressamente por lei ou pela pessoa
interessada.
3 — As entidades certificadoras e a autoridade credenciadora respeitarão as normas legais vigentes sobrea protecção, tratamento e circulação dos dados pessoaise sobre a protecção da privacidade no sector das
telecomunicações.
4 — As entidades certificadoras comunicarão à autoridade judiciária, sempre que esta o ordenar nos termos
legalmente previstos, os dados relativos à identidade dos
titulares de certificados que sejam emitidos com pseudónimo seguindo-se, no aplicável, o regime doartigo 182.o do Código de Processo Penal.
Artigo 27.o
Responsabilidade civil

1 — A entidade certificadora é responsável civilmente
pelos danos sofridos pelos titulares dos certificados equaisquer terceiros, em consequência do incumprimento
culposo dos deveres decorrentes do presente diplomae sua regulamentação.
2 — São nulas as convenções de exoneração e limitação da responsabilidade previstas no n.o 1.
Artigo 28.o
Cessação da actividade

1 — No caso de pretender cessar voluntariamente a
sua actividade, a entidade certificadora deve comunicar
essa intenção à autoridade credenciadora e às pessoas
a quem tenha emitido certificados que permaneçam emvigor, com a antecipação mínima de três meses, indicando também qual a entidade certificadora à qual transmitirá a sua documentação ou a revogação dos certificados no termo daquele prazo, devendo neste último
caso colocar a sua documentação à guarda da autoridade
credenciadora.
2 — A entidade certificadora que se encontre em risco
de decretação de falência, de processo de recuperação
de empresa ou de cessação da actividade por qualquer
outro motivo alheio à sua vontade deve informar imediatamente a autoridade credenciadora.
3 — No caso previsto no número anterior, se a entidade certificadora vier a cessar a sua actividade, a autoridade credenciadora promoverá a transmissão da documentação daquela para outra entidade certificadora ou,
se tal transmissão for impossível, a revogação dos certificados emitidos e a conservação dos elementos detais certificados pelo prazo em que deveria fazê-lo a
entidade certificadora.
SECÇÃO III
Certificados

Artigo 29.oEmissão das chaves e dos certificados

1 — A entidade certificadora, a pedido de uma pessoa
singular ou colectiva interessada, cuja identidade e pode-res de representação, quando existam, verificará pormeio legalmente idóneo e seguro, emitirá a favordaquela um par de chaves, privada e pública, ou poráà disposição dessa pessoa, se esta o solicitar, os meios
técnicos necessários para que ela crie o par de chaves.
2 — A entidade certificadora emitirá, a pedido dotitular do par de chaves, uma ou mais vias do certificado
de assinatura e do certificado complementar.
3 — A entidade certificadora deve tomar medidas
adequadas para impedir a falsificação ou alteração dos
dados constantes dos certificados e assegurar o cumprimento das normas legais e regulamentares aplicáveis
recorrendo a pessoal devidamente habilitado.
4 — A entidade certificadora fornecerá aos titularesdos certificados as informações necessárias para a utilização correcta e segura das assinaturas digitais, nomeadamente as respeitantes:a) Às obrigações do titular do certificado e da entidade certificadora;b) Ao procedimento de aposição e verificação deuma assinatura digital;c) À conveniência de os documentos aos quais foi
aposta uma assinatura digital serem novamente
assinados quando ocorrerem circunstâncias técnicas que o justifiquem.
5 — A entidade certificadora organizará e manterá
permanentemente actualizado um registo informático
dos certificados emitidos, suspensos ou revogados, oqual estará acessível a qualquer pessoa para consulta,
inclusivamente por meio de telecomunicações, e seráprotegido contra alterações não autorizadas.
Artigo 30.oConteúdo dos certificados

1 — O certificado de assinatura deve conter, pelo
menos, as seguintes informações:a) Nome ou denominação do titular da assinatura
e outros elementos necessários para a sua identificação inequívoca e, quando existam poderes
de representação, o nome do seu representanteou representantes habilitados, ou um pseudónimo distintivo do titular da assinatura, claramente mencionado como tal;b) Nome e assinatura digital da entidade certificadora, bem como indicação do país onde está
estabelecida;c) Chave pública correspondente à chave privada
detida pelo titular;d) Número de série do certificado;e) Início e termo de validade do certificado;f) Identificadores de algoritmos necessários parao uso da chave pública do titular e da chave
pública da entidade certificadora;g) Indicação de o uso do certificado ser ou não
restrito a determinados tipos de utilização, bemcomo eventuais limites do valor das transacções
para as quais o certificado é válido;

N.o 178 — 2-8-1999

4990-(9)DIÁRIO DA REPÚBLICA — I SÉRIE-Ah) Limitações convencionais da responsabilidadeda entidade certificadora, sem prejuízo do disposto no n.o 2 do artigo 27.o;i) Eventual referência a uma qualidade específica
do titular da assinatura, em função da utilização
a que o certificado estiver destinado.
2 — A pedido do titular podem ser incluídas no certificado de assinatura ou em certificado complementar
informações relativas a poderes de representação conferidos ao titular por terceiro, à sua qualificação profissional ou a outros atributos, mediante fornecimento
da respectiva prova, ou com a menção de se tratar deinformações não confirmadas.
Artigo 31.orespectivo, salvo se for provado que o seu motivo jáera do conhecimento do terceiro.
6 — A entidade certiflcadora conservará as informações referentes aos certificados durante um prazo nãoinferior a 20 anos a contar da suspensão ou revogação
de cada certificado e facultá-las-á a qualquer interessado.
7 — A revogação ou suspensão do certificado indicará
a data e hora a partir das quais produzem efeitos, nãopodendo essa data e hora ser anterior àquela em queessa informação for divulgada publicamente.
8 — A partir da suspensão ou revogação de um certificado, ou do termo do seu prazo de validade, é proibida a emissão de certificado referente ao mesmo parde chaves pela mesma ou outra entidade certificadora.
Artigo 32.o

Suspensão e revogação de certificados
Obrigações do titular

1 — A entidade certificadora suspenderá o certificado:a) A pedido escrito do titular, devidamente identificado para o efeito;b) Quando existam fundadas razões para crer queo certificado foi emitido com base em informações erróneas ou falsas, que as informações
nele contidas deixaram de ser conformes com
a realidade ou que a confidencialidade da chave
privada foi violada.
2 — A suspensão com um dos fundamentos previstos
na alínea b) do número anterior será sempre motivada
e comunicada prontamente ao titular, bem como imediatamente inscrita no registo do certificado, podendo
ser levantada quando se verifique que tal fundamentonão corresponde à realidade.
3 — A entidade certificadora revogará o certificado:a) A pedido escrito do titular, devidamente identificado para o efeito;b) Quando, após suspensão do certificado, se confirme que o certificado foi emitido com baseem informações erróneas ou falsas, que as informações nele contidas deixaram de ser conformes
com a realidade, ou que a confidencialidade dachave privada foi violada;c) Quando a entidade certificadora cesse as suas
actividades sem ter transmitido a sua documentação a outra entidade certificadora;d) Quando a autoridade credenciadora ordene a
revogação do certificado por motivo legalmente
fundado;e) Quando finde o prazo do certificado;f) Quando tomar conhecimento do falecimento,
interdição ou inabilitação da pessoa singular ou
da extinção da pessoa colectiva.
4 — A decisão de revogação do certificado com um
dos fundamentos previstos nas alíneas b), c), d) e e)
do n.o 3 será sempre fundamentada e comunicada ao
titular, bem como imediatamente inscrita.
5 — A suspensão e a revogação do certificado são
oponíveis a terceiros a partir da inscrição no registo

1 — O titular do certificado deve tomar todas as medidas de organização e técnicas que sejam necessárias paraevitar danos a terceiros e para preservar a confidencialidade de toda a informação transmitida.
2 — Em caso de dúvida quanto à perda de confidencialidade da chave privada, o titular deve pedir a suspensão do certificado e, se a perda for confirmada, asua revogação.
3 — A partir da suspensão ou revogação de um certificado, ou do termo do seu prazo de validade, é proibida ao titular a utilização da respectiva chave privada
para gerar uma assinatura digital.
4 — Sempre que se verifiquem motivos que justifiquem a revogação ou suspensão do certificado, deveo respectivo titular efectuar, com a necessária celeridade
e diligência, o correspondente pedido de suspensão ou
revogação à entidade certificadora.
CAPÍTULO IV
Fiscalização
Artigo 33.o
Deveres de informação das entidades certificadoras

1 — As entidades certificadoras fornecerão à autoridade credenciadora, de modo pronto e exaustivo, todas
as informações que ela lhes solicite para fins de fiscalização da sua actividade e facultar-lhe-ão para os mesmos fins a inspecção dos seus estabelecimentos e oexame local de documentos, objectos, equipamentos dehardware e software e procedimentos operacionais, nodecorrer dos quais a autoridade credenciadora poderá
fazer as cópias e registos que sejam necessários.
2 — As entidades certificadoras comunicarão sempre
à autoridade credenciadora, no mais breve prazo possível, todas as alterações relevantes que sobrevenham
nos requisitos e elementos referidos nos artigos 13.oe 15.o3 — Até ao último dia útil de cada semestre, as entidades certificadoras enviarão à autoridade credenciadora uma versão actualizada das relações referidas na
alínea b) do n.o 1 do artigo 13.o

4990-(10)N.o 178 — 2-8-1999DIÁRIO DA REPÚBLICA — I SÉRIE-A
Artigo 34.o

Artigo 38.o

Revisores oficiais de contas e auditores externos

Normas regulamentares

Os revisores oficiais de contas ao serviço das entidades
certificadoras e os auditores externos que, por imposição
legal, prestem às mesmas entidades serviços de auditoria
devem comunicar à autoridade credenciadora as infracções graves às normas legais ou regulamentares relevantes para a fiscalização e que detectem no exercício
das suas funções.
Artigo 35.o

1 — A regulamentação do presente diploma, nomeadamente no que se refere às normas de carácter técnicoe de segurança, constará de decreto regulamentar, a
adoptar no prazo de 150 dias.
2 — Os serviços e organismos da Administração
Pública poderão emitir normas regulamentares relativas
aos requisitos a que devem obedecer os documentos
que recebam por via electrónica.

Recursos

Artigo 39.oNos recursos interpostos das decisões tomadas pela
autoridade credenciadora no exercício dos seus poderesde credenciação e fiscalização, presume-se, até prova
em contrário, que a suspensão da eficácia determina
grave lesão do interesse público.
Artigo 36.o

Evolução tecnológica

A autoridade credenciadora acompanhará a evolução
tecnológica em matéria de assinatura electrónica,
podendo propor a aplicação do regime previsto no presente diploma para a assinatura digital a outras modalidades de assinatura electrónica que satisfaçam os
requisitos de segurança e fiabilidade daquela.

Colaboração das autoridades

Artigo 40.oA autoridade credenciadora poderá solicitar às autoridades policiais e judiciárias e a quaisquer outras autoridades e serviços públicos toda a colaboração ou auxílio
que julgue necessários para a credenciação e fiscalização
da actividade de certificação.

A entidade referida no artigo 11.o será designada,
em diploma próprio, no prazo de 150 dias.

CAPÍTULO V

Artigo 41.o

Designação da autoridade credenciadora

Entrada em vigor

Disposições finais
Artigo 37.o
Certificados de outros países

1 — As assinaturas digitais susceptíveis de serem verificadas por uma chave pública constante de um certificado emitido ou garantido por entidade certificadora
credenciada em outro Estado membro da União Europeia, ou noutro Estado abrangido por um acordo internacional que vincule o Estado Português, serão equiparadas às assinaturas digitais certificadas nos termos
do presente diploma.
2 — A autoridade credenciadora divulgará, sempre
que possível e pelos meios de publicidade que considerar
adequados, e facultará aos interessados, a pedido, as
informações de que dispuser acerca das entidades certificadoras credenciadas em Estados estrangeiros.

O presente diploma entra em vigor no dia imediato
ao da sua publicação.
Visto e aprovado em Conselho de Ministros de 22
de Julho de 1999. — António Manuel de Oliveira Guterres — António Luciano Pacheco de Sousa Franco — José
Eduardo Vera Cruz Jardim — José Mariano Rebelo Pires
Gago.
Promulgado em 29 de Julho de 1999.
Publique-se.
O Presidente da República, JORGE SAMPAIO.
Referendado em 29 de Julho de 1999.
O Primeiro-Ministro, António Manuel de Oliveira
Guterres.