QSeal
Um QSeal, um selo eletrónico qualificado, é o equivalente da QES ao nível da organização. É criado por uma pessoa coletiva e não por um ser humano, e o eIDAS associa-lhe a presunção jurídica de que os dados selados estão inalterados e provêm realmente dessa organização.
O eIDAS reconhece três níveis de selo eletrónico. Um selo eletrónico simples é qualquer dado associado a outros dados para garantir a sua origem e integridade. Um selo eletrónico avançado tem de estar ligado de forma inequívoca à organização que o criou, identificar essa organização, ser criado com dados de criação de selo que a organização mantém sob o seu próprio controlo e estar ligado aos dados selados de modo que qualquer alteração posterior seja detetável. Um selo eletrónico qualificado é um selo avançado que acrescenta duas coisas: é criado com um dispositivo qualificado de criação de selos eletrónicos e baseia-se num certificado qualificado de selo eletrónico, designado QSealC nos perfis da ETSI.
Só o nível qualificado obtém a presunção jurídica. O artigo 35.º do eIDAS confere ao selo eletrónico qualificado a presunção de integridade dos dados e de correção da origem desses dados, o que na prática inverte o ónus da prova: quem contesta um documento selado tem de demonstrar que foi alterado, em vez de ser a organização a ter de demonstrar que não foi. Um selo que fica aquém do nível qualificado continua a ser prova admissível, mas o tribunal aprecia-o livremente em vez de ser obrigado a partir dessa presunção.
O certificado por detrás do selo vem de um QTSP, um prestador de serviços de confiança a quem um organismo de supervisão de um Estado-Membro concedeu o estatuto de qualificado e que publicou na sua Trusted List nacional. Como o certificado identifica uma pessoa coletiva e não um ser humano, contém um identificador de organização, por exemplo baseado no VAT ou no LEI, em vez de um nome de pessoa, e os requisitos que tem de cumprir constam do anexo III do eIDAS. O dispositivo de criação é certificado separadamente, no mesmo regime do dispositivo que suporta uma assinatura qualificada. O mesmo certificado surge com o seu nome ETSI, QSealC, também fora do mundo documental: na banca aberta um prestador de serviços de pagamento sela as suas mensagens de API com um QSealC e protege o canal com um QWAC.
A diferença prática face a uma QES está em quem está por detrás. Uma assinatura exprime a vontade de uma pessoa singular identificada, pelo que é o instrumento certo quando alguém aceita pessoalmente alguma coisa. Um selo exprime a origem e a integridade de dados emitidos por uma organização, pelo que é o instrumento certo para faturas, extratos, certidões de registo e tudo o resto que é emitido em grande número, em que não se pede a ninguém que aceite seja o que for. Os ficheiros selados usam os mesmos formatos de contentor PAdES, XAdES, CAdES e ASiC que os assinados, pelo que uma única cadeia de verificação serve ambos.
Nas credenciais digitais isto importa porque um emissor é normalmente uma pessoa coletiva. Selar os dados emitidos com um certificado qualificado de selo eletrónico é a forma de a presunção do eIDAS se fixar no próprio conteúdo, para além da assinatura que o formato da credencial já transporta. Uma QEAA tem ela própria de conter a assinatura qualificada ou o selo qualificado do QTSP que a emite, pelo que um QSeal e uma QEAA funcionam em conjunto e não como alternativas: a atestação afirma algo sobre um titular, enquanto o selo estabelece que organização a emitiu e que ninguém a alterou depois.
Qual é a diferença entre uma QES e um QSeal?
Uma QES é criada por uma pessoa singular e exprime a vontade dessa pessoa de aceitar o conteúdo. Um QSeal é criado por uma pessoa coletiva e exprime que a organização emitiu os dados e que estes não mudaram desde então. Ambos provêm de prestadores qualificados de serviços de confiança e ambos têm uma presunção jurídica ao abrigo do eIDAS, mas respondem a perguntas diferentes, pelo que um selo não pode substituir uma assinatura onde a lei procura uma decisão humana.
Um QSeal é reconhecido em todos os Estados-Membros da UE?
Sim. Um selo eletrónico qualificado baseado num certificado qualificado emitido num Estado-Membro tem de ser reconhecido como selo eletrónico qualificado em todos os outros. O certificado é verificado face à Trusted List do país que o emitiu, e a Comissão Europeia publica uma lista central que remete para cada Trusted List nacional, pelo que um verificador no estrangeiro pode confirmar o seu estado sem um procedimento nacional separado.