O que registrar na cadeia de custódia de prova digital

Um áudio de WhatsApp, um contrato escaneado e um anexo de e-mail podem trazer, cada um, um fato decisivo. Mas o fato é só parte do registro. A cadeia de custódia da prova digital documenta de onde veio o material, como ele foi recebido, o que aconteceu com ele e se o item analisado continua ligado à fonte original.

Para a equipe do caso, isso não é um exercício burocrático feito depois da coleta. É uma disciplina de trabalho. Quanto antes a equipe estabelecer um processo claro de recebimento, preservação, acesso e análise, mais fácil fica explicar o histórico de um arquivo, de uma conversa ou de uma gravação quando surgirem perguntas depois.

O que a cadeia de custódia da prova digital registra

A cadeia de custódia é o relato cronológico da posse e do manuseio. Num caso digital, esse relato deve identificar a fonte, quem coletou ou guardou o material, a data e a hora do recebimento, o meio de transferência e cada evento relevante de processamento ou de transferência. Deve também distinguir o material original das cópias de trabalho, das exportações, dos extratos e do que o advogado produziu na análise.

O registro exigido depende do caso, do procedimento, das regras aplicáveis e da prova em questão. Uma caixa de e-mail corporativa recebida de alguém de dentro da empresa levanta questões diferentes de uma exportação de conversa do WhatsApp feita no iPhone e entregue pelo cliente. Uma pasta do OneDrive acessada com permissão somente leitura apresenta outro conjunto de fatos: quem autorizou o acesso, que pasta foi conectada e quando o conteúdo foi coletado ou analisado.

No mínimo, um registro útil responde a quatro perguntas práticas:

1. Qual é a fonte deste item?
2. Quando e como a equipe o obteve?
3. Quem teve a posse ou manuseou o item depois do recebimento?
4. É possível ligar o item analisado ao material de origem preservado?

Essas perguntas devem ser respondidas com registros feitos na hora, e não reconstruídos de memória meses depois. Uma nota de coleta que identifica quem guardava o material, o aparelho ou a conta, o meio de transferência, a data, o fuso horário e o conjunto de arquivos costuma ser mais útil do que uma frase genérica dizendo que os documentos foram recebidos.

Por que o hash importa, e o que ele não prova

O hash criptográfico é um valor curto calculado a partir do conteúdo de um arquivo. O SHA-256 é o mais usado para isso. Se o mesmo arquivo passa de novo pelo cálculo e devolve o mesmo valor, há forte indício técnico de que o conteúdo não mudou entre os dois cálculos.

O hash não resolve todo fato de que o advogado precisa. Ele não prova quem escreveu uma mensagem, se o relógio do aparelho estava certo, se determinada conta era mesmo controlada por determinada pessoa, nem que significado jurídico uma conversa tem. São perguntas separadas, que podem exigir depoimento, registros da conta, contexto, documentos de apoio ou outras provas.

Ainda assim, o hash é valioso porque estreita a discussão. Permite afirmar com precisão que o arquivo analisado tem o mesmo conteúdo do arquivo recebido na entrada, desde que os registros em volta estabeleçam essa ligação. Se um arquivo precisa ser copiado para processamento ou enviado a um perito, calcular o hash do arquivo recebido e o da cópia transferida cria um ponto de comparação claro.

Uma divergência pede investigação, não suposição. Às vezes a explicação é banal: um sistema de e-mail pode alterar o nome de um anexo, o usuário pode ter gerado um PDF novo, ou um arquivo compactado pode ter sido aberto e compactado de novo. O registro deve dizer o que mudou, quando e por quê. Não sobrescreva o material original para fazer a divergência desaparecer.

Preserve a fonte antes de organizar os fatos

Coleta e análise são tarefas relacionadas, mas não são a mesma coisa. A preservação protege o material original e o contexto dele. A análise ajuda a equipe do caso a identificar os fatos relevantes, montar a cronologia e testar as teses. Misturar as duas sem fronteiras claras cria incerteza evitável sobre o que foi recebido e o que foi gerado depois.

Um fluxo sólido começa por guardar o pacote de origem como ele chegou. Por exemplo: preserve a exportação da conversa do WhatsApp em ZIP como foi recebida, mantenha o arquivo da caixa de e-mail no formato original e registre o alcance da pasta do OneDrive conectada. Faça cópias de trabalho para a análise quando for o caso, mas identifique-as como tais.

Essa distinção importa nas comunicações fragmentadas. O print de uma mensagem pode servir para uma petição ou para preparar a inquirição de uma testemunha, mas não equivale à exportação completa da conversa, que traz as mensagens em volta, os horários, os anexos e o contexto. Do mesmo modo, um trecho de planilha pode sustentar um ponto de fato, enquanto a planilha original pode ter outras abas e lançamentos em volta que mudam a interpretação.

A mesma disciplina vale para o material derivado. Transcrições, resumos, cronologias, resultados de busca e descrições geradas por IA podem ajudar na análise. Devem ser guardados e identificados como trabalho derivado ou resultado de análise, e não apresentados como a prova original.

Monte um registro de entrada que outra pessoa consiga seguir

Os bons registros de custódia são específicos a ponto de outra pessoa da equipe entender a coleta sem precisar de quem coletou ao lado. Isso não exige um formulário complicado em cada caso. Exige campos constantes e o hábito de registrar os fatos quando eles são conhecidos.

Para cada fonte, anote a identificação do caso, quem guardava ou forneceu o material, a data e a hora da coleta, o fuso horário quando houver, o meio de transferência, o nome original do arquivo ou o caminho de origem e quem foi responsável pelo recebimento. Registre também o alcance. Numa caixa de e-mail, isso pode incluir a conta e o período entregue. Numa pasta na nuvem, o lugar da pasta e em que permissão o acesso se apoia.

Depois, registre os eventos relevantes. Se o pacote de origem é transferido para um ambiente de análise, anote a data, quem recebeu, o meio e a identificação do arquivo. Se um original é entregue a um fornecedor externo ou a um perito, registre a transferência e guarde a confirmação de recebimento. Se um item fica de fora porque está corrompido ou protegido por senha, preserve o fato da exclusão e o motivo.

Evite rótulos vagos como “documentos finais” ou “provas do cliente”. Use identificações que liguem o registro de custódia ao pacote de origem de verdade. Nomes constantes reduzem o risco de alguém, mais tarde, confundir a exportação original com uma cópia revisada ou com um subconjunto entregue à outra parte.

Use um sistema de análise sem perder a origem

Casos grandes costumam exigir busca, transcrição, leitura de documentos e organização. Essas atividades facilitam encontrar os fatos, mas não devem romper a ligação entre um achado e a fonte dele.

O TranscriptMe foi feito em torno dessa ligação. Ele organiza exportações de conversa do WhatsApp em ZIP, caixas de e-mail em .mbox ou .eml e pastas do OneDrive conectadas com permissão somente leitura num caso pesquisável. Na chegada, cada arquivo recebe um hash SHA-256. Os dados de cada caso ficam isolados no banco, e o transporte é cifrado.

O valor da análise está na rastreabilidade até a fonte. Uma pergunta sobre um pagamento controvertido pode levar a equipe à mensagem de e-mail específica, à página do PDF, à seção do documento do Word ou da planilha, ou ao segundo da gravação de áudio ou de vídeo. PDFs escaneados podem ser lidos com OCR. Nos planos pagos, áudio e vídeo são transcritos em português e em inglês, e fotos e vídeos recebem descrição por IA.

Esses resultados organizam fatos, não direito. A descrição da foto de uma escritura pode apontar o que está visível. A transcrição pode trazer à tona uma frase dita num áudio. A seção citada de uma planilha pode apontar um lançamento de pagamento. Quem decide a relevância, a confiabilidade, o sigilo profissional, o fundamento jurídico e o peso do fato na tese continua sendo o advogado.

Trate o acesso e as passagens de mão como eventos da prova

Arquivo digital se duplica com facilidade, e por isso as práticas de acesso precisam ser claras. Convém limitar o acesso a quem tem necessidade ligada ao caso, usar os meios de transferência definidos e não movimentar o material de origem por contas pessoais ou canais informais. Quando o acesso é ampliado, quando o material é transferido ou quando uma fonte nova entra, registre o evento segundo o protocolo da equipe.

Os controles de segurança e a documentação da custódia servem a propósitos próximos, mas distintos. A cifra no transporte ajuda a proteger os dados enquanto eles se movem. O isolamento no banco ajuda a separar as informações de cada caso. Nenhum dos dois substitui um registro de coleta que identifique a fonte e o alcance do material recebido. Na direção contrária, um registro de custódia detalhado não conserta uma prática de transferência insegura.

O grau de formalidade depende do que está em jogo. Uma ação de consumo pequena pede um protocolo mais leve do que uma investigação regulatória com muita gente guardando material e peritos externos. Nos dois casos, a constância vale mais do que a cerimônia. Um registro modesto feito a cada passagem de mão costuma ser mais confiável do que um protocolo sofisticado seguido só depois que o conflito começa.

Quando a discussão de custódia vira discussão de fato

Nem toda discussão sobre material digital é um problema de cadeia de custódia. A parte pode admitir que o arquivo foi recebido e não mudou, e ainda assim contestar a autoria, a integralidade, a data ou o sentido dele. Essas perguntas pedem outras provas: depoimento de testemunha, registros de sistema, as comunicações em volta, dados da conta ou perícia.

Essa distinção ajuda a equipe do caso a não afirmar mais do que pode. Um hash conferido sustenta uma afirmação sobre a constância do arquivo. A citação da fonte mostra onde a afirmação de fato aparece. Nenhum dos dois, sozinho, resolve toda questão de autenticidade ou de tratamento probatório. O padrão aplicável continua sendo assunto do advogado, conforme o procedimento em que a prova será usada.

Uma cadeia de custódia disciplinada deixa a equipe com algo mais útil do que uma pasta de documentos: o registro do que foi recebido, de como foi manuseado e de onde cada fato importante pode ser encontrado. Quando a análise começa com essa disciplina, a construção do acervo do caso fica mais precisa.