Cadeia de custódia digital: cuidados na preservação e especificação da metodologia

Em 7 de fevereiro deste ano, o STJ (Superior Tribunal de Justiça) proferiu decisão da 5ª Turma relativa à inissibilidade de provas digitais sem registro documental acerca dos procedimentos adotados pela polícia para a preservação da integridade, autenticidade e confiabilidade dos elementos informáticos. A decisão, que teve como relator original o ministro Messod Azulay e relator para acórdão o ministro Ribeiro Dantas, não foi identificada por ser tratar de segredo de Justiça.

Em relação aos crimes digitais, a integridade da cadeia de custódia é assegurada por hashes, algoritmos, que funcionam como a impressão digital de um arquivo. Se os hashes forem idênticos, entre a busca e uso posterior, reforça-se a ideia de preservação da cadeia de custódia. Por outro lado, se apontada a divergência entre os hashes da coleta com os de um uso posterior no curso da investigação ou mesmo no processo judicial, por exemplo, há indícios de quebra dessa cadeia de custódia.

Pelo relato do caso em questão, não houve registro de como foi feita a coleta e a preservação da prova pela polícia. A decisão indica, ainda, tratar-se de um crime que teve como vítima uma instituição financeira. Antes do exame policial, segundo texto da decisão, "o conteúdo extraído dos equipamentos foi analisado pela própria instituição financeira vítima. O laudo produzido pelo banco não esclarece se o perito particular teve o aos computadores propriamente ditos, mas diz que recebeu da polícia um arquivo de imagem. Entretanto, em nenhum lugar há a indicação de como a polícia extraiu a imagem, tampouco a indicação da hash respectiva, para que fosse possível confrontar a cópia periciada com o arquivo original e, assim, aferir sua autenticidade". A prova foi anulada pela incerteza entre a identidade do conteúdo constante do processo e o material ado pela instituição financeira.

No fim das contas, a decisão reforça a ideia de que sem a comprovação de que os elementos processuais apresentados são, de fato, aqueles que iniciaram a investigação, ou seja, que não foram editados (alterados, suprimidos, adicionados), pode tratar-se de um elemento sem aptidão probatória. Em meu livro Provas Ilícitas no Processo Civil, sustento que "…o levantamento dos padrões de diligência e de checagem da prova obtida, a cuidar, quando for o caso, de cadeia de custódia, por exemplo, são variáveis que podem ou não ser tomadas para a issão da prova" [1].

Essa decisão deixa duas importantes lições que gostaríamos de dividir, sendo uma mais facilmente perceptível e outra mais implícita: por certo, a preservação da cadeia de custódia e a descrição do o a o na obtenção da prova, incluindo-se a extração dos hashes, revelam-se os indispensáveis a serem considerados em investigações internas e por eventuais times de forensics que venham a atuar. Em outras palavras, deve haver a demonstração de que o material investigado corresponde ao material originalmente em poder das pessoas sob investigação.

A segunda lição, mais sutil, reside na tomada de cautela ao se documentar os os antecedentes ao o a esses arquivos, a uma estação de trabalho ou telefone corporativo. É importante que o laudo privado esclareça esse ponto e, se possível, que seja acompanhado de outros elementos de corroboração, como registro audiovisual, termo subscrito pelo detentor dos arquivos sob exame ou, ainda, prova testemunhal.