O relatório de extração parece o fato. Não é.

O aparelho é apreendido numa quinta-feira à noite. Fica na delegacia. Alguém anota o número do IMEI num termo, alguém guarda o celular numa gaveta, e semanas depois ele chega ao instituto de criminalística. De lá volta um relatório de seiscentas páginas, com brasão, assinatura e as conversas em ordem cronológica.

Aquilo tem cara de fato. Não é fato: é o resultado de um procedimento, e procedimento se faz bem ou se faz mal. O que a defesa precisa saber é qual dos dois aconteceu — e o único jeito de saber é ler o laudo procurando o que ele não diz.

Esse trabalho tem hora certa. Antes da denúncia ainda dá para requerer diligência, formular quesito, indicar assistente técnico e pedir que se preserve o que ainda existe. Depois da instrução, dúvida técnica não requerida na hora vira alegação sem lastro — e o juiz, com razão, trata como o que é.

A lei já exige o que a prática ainda não faz

O Pacote Anticrime pôs no Código de Processo Penal os arts. 158-A a 158-F. A cadeia de custódia deixou de ser boa prática e virou obrigação escrita: reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento, descarte. Dez etapas, cada uma com registro de quem teve o material na mão, quando e em que estado.

Para uma arma isso sempre foi intuitivo. Ninguém entrega revólver sem lacre. Para um celular, não: o aparelho circula, é ligado para "conferir uma coisa", fica num armário sem lacre e ninguém sente falta do termo — porque arquivo não enferruja e não deixa digital. É exatamente aí que a coisa se perde. Um dado pode ser alterado sem que se veja qualquer marca.

Apreender o aparelho e acessar o conteúdo do aparelho são dois atos. Só o primeiro está no mandado.

Comece pelo hash. Ou pela falta dele.

Hash é um número calculado sobre o conjunto de dados. Muda um bit, muda o número inteiro. Calcula-se na aquisição, recalcula-se na análise: se os dois batem, o que o perito examinou é o que foi coletado. Se não batem, alguma coisa aconteceu no meio do caminho.

O problema quase nunca é hash divergente. É hash nenhum. Extração sem hash documentado não pode ser conferida por ninguém — nem pela defesa, nem pela acusação, nem pelo próprio perito, seis meses depois, se lhe perguntarem. É o primeiro item a procurar, e é o que mais falta.

Leia a decisão. Depois leia o laudo. Compare.

A decisão autorizou acesso às conversas relacionadas a determinados fatos. O laudo devolveu o aparelho inteiro: cinco anos de mensagens, as fotos todas, o histórico de localização, a agenda, os áudios de família. Isso é excesso, e excesso se impugna pelo que é — independentemente de ter aparecido, no meio do que não podia ser examinado, algo que interesse à acusação.

É o ponto mais barato de verificar e um dos mais ignorados. Não exige perito nem conhecimento técnico. Exige ler duas peças e pôr uma ao lado da outra.

O aparelho ficou ligado na rede?

Celular apreendido e não isolado continua vivo: recebe mensagem, sincroniza nuvem, apaga conversa que alguém apagou do outro lado e, em certas configurações, pode ser limpo à distância por quem tiver a senha da conta. Modo avião, bolsa de Faraday, hora do isolamento anotada — é o bê-á-bá, e o laudo tem que dizer se foi feito.

Quando não diz, pergunte. A resposta costuma ser sincera, e quando é ruim, contamina tudo o que veio depois dela.

Qual ferramenta, qual versão, quais parâmetros

Extração lógica, do sistema de arquivos e física são três coisas diferentes. Recuperam conteúdos diferentes e mexem no aparelho em medidas diferentes. Laudo que não informa a ferramenta, a versão e como foi configurada não permite que outro perito repita o exame — e perícia que não se repete é perícia que ninguém confere.

Aqui o pedido certo não é nulidade. É esclarecimento do perito, na forma do art. 159, § 5.º, I, do CPP. Nova perícia vem depois, se a resposta não resolver — e boa parte das vezes ela não resolve, porque o dado não foi anotado na hora e não tem como ser inventado agora.

A mensagem estava no aparelho. E daí?

Este é o ponto que decide caso, e não tem nada de técnico. A extração demonstra uma coisa só: que determinado conteúdo estava armazenado em determinado aparelho. Não demonstra quem digitou. Não demonstra que o telefone estava com o titular naquela hora. Não distingue o que foi escrito do que foi recebido, encaminhado ou colado de outra conversa.

Quem nunca emprestou o celular para alguém mandar um recado? Quem nunca teve o aparelho desbloqueado em cima da mesa, num escritório com dez pessoas? A denúncia costuma passar por cima disso em uma linha — "consta do aparelho do acusado a seguinte mensagem" — e a linha faz o trabalho de uma prova de autoria que ninguém produziu.

Separar o que a prova demonstra do que ela apenas sugere: é isso, no fim, a defesa técnica em prova digital. O resto é acessório.

Pedir tudo é o jeito mais rápido de não receber nada

Nem toda falha é nulidade. Tratar as duas como a mesma coisa não fortalece a peça: enfraquece as teses boas por associação. A impugnação tem camadas, e cada uma comporta um pedido.

Quebra documentada — elo faltando na cadeia, lacre violado, hash ausente ou divergente — sustenta imprestabilidade da prova, com desentranhamento em pedido subsidiário. Irregularidade formal — termo incompleto, encaminhamento com atraso não explicado — sustenta redução do valor probatório e a impossibilidade de condenar com apoio preponderante naquela prova. Dúvida metodológica sustenta esclarecimento, e nova perícia se o esclarecimento não bastar.

Impugnação sem pedido é parecer, não é peça. E quem pede a nulidade de tudo diante de um termo mal preenchido entrega ao juízo o argumento pronto para tratar como exagero aquilo que, pedido na camada certa, teria sido acolhido.

Quando é o cliente que precisa provar

O rigor que se cobra da acusação vale para a prova que a gente produz. E aqui a advertência é uma só: print de tela é prova frágil. Não carrega metadado, não tem como ser verificado e qualquer pessoa com meia hora e um editor de imagem faz um convincente. Serve de indício. Não serve de plano.

Quando o conteúdo importa de verdade, a coleta se faz por ata notarial, ou por ferramenta forense com hash registrado, ou com o e-mail exportado com cabeçalho completo — e, se possível, com alguém tecnicamente habilitado presenciando o ato. Prova digital feita às pressas custa mais caro na impugnação do que teria custado bem feita.

Um detalhe final, prosaico e responsável por mais erro do que se imagina: registro de aplicação vem em UTC. Três horas de diferença. Timeline montada sem converter o fuso já derrubou álibi verdadeiro e já sustentou acusação errada. Antes de discutir o que a mensagem diz, confira que horas ela foi enviada.

Texto de caráter informativo, publicado em conformidade com o Código de Ética e Disciplina da OAB. Não constitui consulta, parecer ou orientação para caso concreto, e as teses aqui descritas dependem de exame individual dos autos. A jurisprudência sobre prova digital evolui rapidamente: recomenda-se a verificação dos precedentes atuais do STJ e do STF antes de qualquer manifestação processual.