Existe um padrão nos casos em que a prova digital cai: quase nunca ela cai pelo conteúdo. Cai pelo caminho que percorreu. A mensagem podia ser verdadeira, o arquivo podia ser autêntico, o registro podia demonstrar exatamente o que a parte alegava. Mas ninguém consegue dizer quem tocou naquele material, quando, com qual ferramenta e com qual garantia de que nada foi alterado. Sem essa história documentada, o que era prova vira objeto de dúvida razoável. O nome dessa história é cadeia de custódia.
O conceito entrou no Código de Processo Penal pela Lei 13.964/2019, nos artigos 158-A a 158-F do CPP: o registro rastreável de todo vestígio, do reconhecimento na cena ao descarte, passando por coleta, acondicionamento, transporte, processamento e armazenamento. A letra da lei fala do processo penal, mas a lógica migrou para todas as arenas. Juízes cíveis e trabalhistas, árbitros e autoridades regulatórias fazem hoje a mesma pergunta: como esse material chegou até aqui?
A régua técnica: ISO/IEC 27037
Antes de a lei brasileira nomear o instituto, a técnica já o disciplinava. A norma ISO/IEC 27037 orienta as quatro operações que decidem o destino de uma evidência digital: identificação, coleta, aquisição e preservação. Dela derivam os procedimentos que qualquer laudo sério documenta: a imagem forense, cópia integral bit a bit da mídia original; o bloqueador de escrita, que impede qualquer alteração durante a aquisição; e o código hash, a impressão digital matemática que permite a qualquer das partes conferir, a qualquer tempo, que a cópia examinada é idêntica ao material original.
As normas irmãs completam o ciclo: a ISO/IEC 27041 trata da garantia de idoneidade dos métodos, a 27042 da análise e interpretação, a 27043 dos princípios da investigação. Juntas, formam a metodologia que o site do laboratório declara em cada núcleo pericial, e que o laudo precisa demonstrar caso a caso.
O que os tribunais vêm decidindo
O Superior Tribunal de Justiça aplicou a régua com rigor crescente à prova digital. Prints extraídos diretamente de aparelho apreendido, sem ferramenta forense, sem hash e sem documentação da extração, foram considerados prova inadmissível. Aparelho que circulou sem lacre e sem registro de identificador levou à nulidade. Acesso ao dispositivo antes do exame pericial tornou as provas imprestáveis. A mensagem das decisões é uma só: o conteúdo não salva a prova cujo percurso ninguém consegue reconstituir.
"A cadeia de custódia não é formalidade cartorial. É a diferença entre a evidência que decide o caso e a evidência que a parte contrária descarta em uma petição."
Como o laboratório materializa a cadeia
Na prática pericial, a cadeia de custódia é uma sequência de gestos documentados. O recebimento do material é fotografado e descrito, com lacre numerado. A aquisição acontece com bloqueador de escrita e gera a imagem forense, autenticada por hash calculado na hora e registrado no laudo. Todo exame corre sobre a cópia; o original permanece intocado, guardado em sala-cofre com acesso controlado até o desfecho do caso. Cada interação com o material tem autor, data, hora e finalidade anotados. A mídia de entrega é finalizada como somente leitura. Qualquer perito, da parte contrária inclusive, consegue refazer o caminho e chegar à mesma conferência.
Esse desenho vale para o celular apreendido em uma investigação, para o servidor em disputa societária, para a base de dados em concorrência desleal. A arena muda; o método, não.
Um cenário que se repete
Duas partes discutem um contrato. A primeira junta aos autos o print de uma conversa de aplicativo, fotografado da tela do próprio celular. A segunda contrata a extração forense do aparelho, com ferramenta reconhecida, hash calculado e relatório de aquisição. No confronto, a extração demonstra que a conversa do print teve mensagens suprimidas e a ordem alterada. O print não era falso no sentido vulgar: as mensagens existiram. Mas a edição da sequência mudava o sentido do acordo, e só a evidência com custódia documentada tinha autoridade para demonstrar isso. O caso, comum na rotina do laboratório, resume a hierarquia: entre duas versões do mesmo fato, prevalece a que pode provar o próprio percurso.
Custódia além do processo judicial
A disciplina nasceu no processo penal, mas as arenas que mais crescem estão fora dele. Na arbitragem, o tribunal arbitral avalia a prova técnica com a mesma régua, e a parte que apresenta evidência sem lastro perde credibilidade diante de árbitros habituados a disputas sofisticadas. Nas apurações internas de compliance, a investigação que pretende sustentar demissão por justa causa ou comunicação a autoridades precisa nascer com custódia, porque será desafiada depois. Nos sinistros de seguro cibernético, a auditoria da seguradora examina como a evidência do incidente foi preservada antes de autorizar a indenização. E na fiscalização da ANPD, a empresa que demonstra ter preservado e examinado o incidente com método negocia em outra posição. O investimento é o mesmo; o retorno aparece em quatro mesas diferentes.
O que verificar em um laudo (o seu ou o adverso)
Para o advogado, a cadeia de custódia é um instrumento de dupla face. Na construção do próprio caso, ela é requisito: material coletado sem método nas primeiras horas dificilmente se recupera depois. No exame do laudo adverso, ela é a primeira linha de ataque. Perguntas que expõem a fragilidade:
- Qual ferramenta realizou a aquisição, em qual versão, e onde isso está declarado?
- Qual o valor de hash calculado na origem e como ele foi conferido no exame?
- Quem manipulou o material, quando, e onde está o registro dessas interações?
- O exame correu sobre cópia forense ou sobre o próprio original?
- Houve lacre, registro de identificadores e guarda documentada entre a coleta e o exame?
Laudo que não responde a essas perguntas com documentos costuma ser laudo que não tem as respostas. E o artigo 479 do CPC lembra que o juiz não está adstrito ao laudo pericial: precisa apenas de fundamento técnico para não segui-lo. O parecer que demonstra a quebra da cadeia de custódia é, muitas vezes, exatamente esse fundamento.
A conclusão é menos jurídica do que parece: cadeia de custódia é uma disciplina de primeiras horas. Quando a suspeita surge, o que se faz antes de acionar o perito define o que restará para provar depois. Preservar primeiro, examinar depois, documentar sempre.
