Cadeia de custódia de prova digital: os pontos em que ela costuma se romper

Prova digital costuma chegar ao advogado já pronta: um laudo, um relatório de extração, um conjunto de arquivos, um print. E chega com uma pergunta implícita que quase ninguém formula em voz alta: como se sabe que isto é o que diz ser?

A resposta a essa pergunta tem nome no Código de Processo Penal desde 2019. A Lei 13.964, o chamado Pacote Anticrime, inseriu os arts. 158-A a 158-F, que definem cadeia de custódia e descrevem suas etapas. Antes disso a matéria era doutrina e praxe; hoje é texto de lei.

Este texto não é sobre o que a lei garante — isso é discussão para o advogado do caso. É sobre onde, na prática, a corrente arrebenta.

O que a lei chama de cadeia de custódia

O art. 158-A define a cadeia de custódia como o conjunto de procedimentos para manter e documentar a história cronológica do vestígio, desde o reconhecimento até o descarte. A palavra que importa ali é documentar: não basta que nada tenha acontecido de errado, é preciso poder demonstrar que não aconteceu.

O art. 158-B lista as etapas: reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte. São dez, e nenhuma delas foi escrita pensando em arquivo — foram escritas pensando em objeto físico, e é justamente essa tradução que produz a maior parte dos problemas.

Um lacre rompido se vê. Uma cópia alterada, não.

Onde a corrente costuma arrebentar

1. A coleta começou antes de alguém pensar em prova

É o ponto de ruptura mais comum, e acontece antes de o caso existir. A pessoa recebe a ameaça, tira o print, apaga o que a incomoda, responde à mensagem, bloqueia o contato, desinstala o aplicativo. Nada disso é erro de quem fez — é reação humana. Mas cada uma dessas ações altera o vestígio, e nenhuma foi registrada.

Quando o caso chega ao escritório semanas depois, a pergunta não é mais "como coletar corretamente", e sim "o que sobrou". É uma pergunta diferente, e é respondível — mas só depois de saber o que aconteceu no intervalo.

O que muda o jogo: a orientação dada ao cliente na primeira conversa. Não apagar nada, não continuar a conversa, não "organizar" o aparelho. Não custa nada, e é irreversível se não for feito.

2. O aparelho continuou sendo usado

Um celular ligado não fica parado. O sistema escreve, sincroniza, atualiza, descarta cache, rotaciona registros. Cada hora de uso depois do fato reduz o que ainda pode ser recuperado, e o que se perde não volta.

Isso importa mesmo quando o conteúdo principal continua visível: o que desaparece primeiro são os rastros periféricos, o que existia em volta da mensagem — e são eles que sustentam a resposta a "isso pode ter sido forjado?".

3. O vestígio é volátil e ninguém tratou como urgência

Prova digital tem prazo. O perfil pode ser apagado pelo autor, a postagem pode ser removida pela plataforma, a conta pode ser encerrada, o site pode sair do ar. O art. 158-B começa pelo reconhecimento do vestígio justamente porque não se preserva o que não se identificou a tempo.

E há o relógio dos provedores. O Marco Civil da Internet fixa guarda mínima de um ano para registros de conexão (art. 13) e de seis meses para registros de acesso a aplicações (art. 15). São pisos: passado o prazo, não há obrigação de o dado ainda existir. E o acesso depende de ordem judicial, com fundados indícios, finalidade e período determinado — os requisitos do art. 22. Entre o fato e o pedido deferido há semanas, às vezes meses. O prazo corre o tempo todo.

4. A coleta não registrou o próprio estado inicial

Aqui está a diferença entre extrair conteúdo e produzir prova.

Uma extração feita sem registro do estado do aparelho quando ele chegou, sem identificadores do material copiado, sem anotação de quem operou e quando, devolve exatamente o conteúdo que estava lá — e não devolve nada que responda à pergunta "como você garante que continua igual?".

O conteúdo aparece. Falta tudo o que permitiria demonstrá-lo depois.

5. Faltou o equivalente digital do lacre

Os arts. 158-D e 158-E tratam de recipiente, lacre e central de custódia. A tradução disso para arquivo é o conjunto de identificadores e registros que permite comparar o material analisado com o material apreendido, e o histórico de quem teve acesso a cada cópia.

Quando esse registro não existe, a distância entre "esta é a cópia original" e "esta é uma cópia" deixa de ser demonstrável. Não porque alguém adulterou algo, mas porque ninguém pode mais mostrar que não.

6. O caminho de mãos não foi anotado

Acondicionamento, transporte, recebimento e armazenamento: quatro das dez etapas tratam de deslocamento e guarda. No mundo digital elas viram uma pergunta só — por quantas mãos e por quantos dispositivos esse material passou, e há registro de cada passagem?

Material que foi de um pen-drive para um e-mail, de lá para um computador compartilhado, e daí para o processo, atravessou várias mãos sem nenhum registro. Cada uma dessas passagens é uma etapa da lei que não foi cumprida.

7. O aparelho foi devolvido antes da hora

O descarte é a última etapa do art. 158-B, e o equivalente prático costuma ser a devolução do aparelho ao dono. Depois disso não há refazer: se surgir questionamento sobre o que foi extraído, a fonte não está mais disponível para conferência.

E fora do processo penal?

Os arts. 158-A e seguintes estão no Código de Processo Penal, e boa parte da prova digital não nasce num inquérito: nasce numa reclamação trabalhista, numa ação de família, num litígio entre sócios. Ali não existe cadeia de custódia legalmente descrita — o que existe é o ônus de sustentar a prova quando ela é impugnada.

O art. 422, § 1º, do Código de Processo Civil é direto sobre isso: fotografias digitais e imagens extraídas da internet fazem prova do que reproduzem, mas, se impugnadas, é preciso apresentar a autenticação eletrônica ou, não sendo possível, realizar perícia. A frase toda gira em torno de uma condição — e a condição é a outra parte impugnar, que é exatamente o que ela fará se o caso importar.

Por isso a pergunta prática no cível não é "preciso de cadeia de custódia?", e sim "o que eu apresento no dia em que impugnarem?". Quem tem essa resposta pronta antes de juntar a prova está numa posição bem diferente de quem vai procurá-la depois.

A ata notarial (art. 384 do mesmo código) é o instrumento mais conhecido para essa antecipação: o tabelião atesta o que existia e o que ele viu, com fé pública. Ela é excelente para o que estava visível na tela, e não alcança o que estava por trás — origem, integridade do arquivo, metadados. São coisas diferentes, e confundi-las é o erro mais comum: a ata prova que aquilo estava lá naquele dia; ela não prova que aquilo é autêntico.

Quando a prova vem do outro lado

Recebida uma perícia produzida por terceiro, as perguntas úteis são as que a própria norma pressupõe respondidas:

• Quem reconheceu e coletou o vestígio, quando e como? O art. 158-C trata da coleta e de quem a realiza.
• Como o material foi acondicionado e transportado? Há descrição, ou o laudo começa direto na análise?
• O que liga o material analisado ao material apreendido? Sem isso, a análise é de alguma coisa, não daquela coisa.
• Quem teve acesso ao material entre a coleta e a análise, e há registro?
• O que o laudo declara ter examinado, e o que ele explicitamente não examinou? Laudo sem seção de limitações costuma ter limitações não declaradas.

Ausência de resposta a qualquer um desses itens não significa fraude, e tratar como se significasse enfraquece a própria arguição. Significa que ali existe uma discussão técnica com base — e que ela precisa ser conduzida por quem entende do assunto, o que leva ao outro lado da mesa.

Quando a prova é sua

Do lado de quem produz, três coisas valem ser exigidas de quem quer que faça o trabalho, e todas são verificáveis antes de contratar:

Que o registro comece antes da coleta. Se o relatório começa no momento em que o material já estava com o profissional, a parte mais frágil da história ficou de fora.

Que exista uma seção de limitações. O que não foi possível examinar, o que já estava alterado quando chegou, o que depende de terceiro. Trabalho que não declara limites está escondendo os que tem.

Que a conclusão possa ser conferida por outro perito. É o teste mais simples: um profissional independente, lendo o mesmo laudo, consegue refazer o raciocínio e chegar ao mesmo lugar? Se a resposta depende de acreditar em quem assinou, não é laudo — é opinião.

Onde isso deixa de ser algo que o escritório resolve sozinho

Três coisas o advogado faz sem ninguém, e são as que mais mudam o resultado: orientar o cliente a não apagar nada na primeira conversa, tratar conteúdo que ainda está no ar como urgente, e pedir os registros da cadeia quando a prova vem pronta. Nenhuma delas exige perito, e nenhuma se refaz depois.

Daí em diante há um limite.

Quando o conteúdo ainda está no ar. Coleta feita com registro de cada passo vale muito mais que a mesma captura feita às pressas e explicada depois — e tem janela. É o serviço de coleta de provas digitais com cadeia de custódia.

Quando a prova do outro lado precisa ser examinada tecnicamente. Arguir falha de cadeia sem apoio técnico é arriscado: se a arguição não se sustenta, a prova sai fortalecida da discussão. É o papel do assistente técnico em perícia digital, que trabalha junto com o advogado do caso.

Quando não está claro em que fase o caso está. É a situação mais comum. A consulta inicial é conduzida com sigilo e respeito, e serve, entre outras coisas, para dizer com honestidade se ainda há o que preservar — em vez de vender uma expectativa que não se sustenta.

Cadeia de custódia não é formalidade de perito. É a diferença entre uma prova que resiste à pergunta "como você sabe?" e uma que só funciona enquanto ninguém pergunta.