Como o direito digital analisa o uso de metadados como prova

As revelações envolvendo o escritório Barci de Moraes e o Banco Master colocaram no centro do debate público um tipo de evidência que normalmente permanece restrito às perícias e investigações digitais: os metadados.

Freepik

Eles não estão sozinhos. O material tornado público contém mensagens, arquivos, registros de aplicativos, logs e outros vestígios digitais. Mas um detalhe chamou particularmente a atenção: duas versões de uma minuta contratual apresentavam, nas propriedades do documento, o usuário identificado como “Ministro Alexandre de Moraes” no campo relativo à última modificação.

Avaliar o mérito das condutas relacionadas ao caso cabe às instituições competentes. A questão que interessa ao direito digital é outra: o que exatamente um metadado desses demonstra e, principalmente, o que ele não demonstra?

Primeiro, metadado atribui um evento a uma identidade técnica, não necessariamente a uma pessoa natural. Quando um documento informa que sua última modificação foi realizada pelo usuário “Ministro Alexandre de Moraes”, existe um elemento relevante de atribuição. Mas nome de usuário, identidade de conta e identidade física de quem operou determinado equipamento são conceitos diferentes.

A força dessa atribuição aumenta à medida que aparecem elementos de corroboração: autenticação da conta, dispositivo utilizado, endereço IP, histórico de versões, logs do ambiente corporativo e outras informações capazes de demonstrar como aquela identidade técnica foi utilizada.

Segundo, “última modificação” não informa, sozinha, o que foi modificado. É um erro ir para qualquer dos extremos. O registro não deve ser reduzido a mero indício de que alguém abriu o documento, porque ele aponta uma modificação ou gravação associada àquela identidade. Mas também não permite concluir, isoladamente, que determinada cláusula foi escrita, suprimida ou negociada por aquela pessoa.

Para isso seria necessário comparar versões do documento, verificar controle de alterações, histórico de versões ou outros vestígios capazes de revelar exatamente o que ocorreu entre uma versão e outra.

Essa distinção é fundamental. Há uma enorme distância técnica entre afirmar “este usuário aparece como o último modificador do arquivo” e afirmar “esta pessoa redigiu determinada cláusula do contrato”.

Terceiro, a atribuição digital mais robusta normalmente não vem de uma única fonte. Arquivo, metadado, histórico de versões e logs precisam conversar entre si.

Em um ambiente Microsoft 365, por exemplo, registros de auditoria podem conter a identidade da conta responsável por determinada operação, horário, endereço IP, cliente utilizado e natureza do evento. Esses elementos permitiriam reconstruir com muito mais precisão o contexto em que determinado arquivo foi acessado ou modificado.

Existe, porém, uma característica cruel da prova digital: ela expira.

No Microsoft 365, a auditoria padrão possui retenção ordinária limitada, embora ambientes corporativos mais sofisticados possam contratar períodos superiores ou exportar continuamente os registros para sistemas próprios. Para fatos ocorridos em janeiro de 2024, descobrir em 2026 que seria interessante consultar determinado log pode ser tarde demais.

A ausência desse registro não confirma nem refuta nenhuma versão. Significa simplesmente que uma fonte de evidência potencialmente importante pode não estar mais disponível.

Quarto, cadeia de custódia continua sendo decisiva.

O documento encontrado no aparelho de Daniel Vorcaro não foi obtido diretamente do computador em que originalmente teria sido produzido. Trata-se de arquivo recebido por aplicativo de mensagens e posteriormente recuperado de um aparelho apreendido.

Isso não torna a evidência inválida

A Polícia Federal afirma ter realizado extração forense do aparelho e registrado hash dos dados obtidos, mecanismo utilizado para demonstrar sua integridade a partir da coleta. O ponto relevante é distinguir duas coisas.

Uma coisa é demonstrar que o arquivo recuperado do celular é o mesmo encontrado no aparelho apreendido. Outra, mais complexa, é reconstruir tudo o que aconteceu com aquele documento antes de ele chegar ao destinatário.

É por isso que a cadeia de custódia digital não se resume a perguntar se existe um “arquivo original”. O que importa é documentar origem, coleta, preservação, integridade, processamento e possibilidade de verificação independente do vestígio.

Quinto, uma anotação digital isolada é apenas uma anotação. Mas deixa de ser apenas isso quando outros vestígios demonstram sua transmissão.

No caso examinado pela Polícia Federal, a análise descrita no relatório foi além do conteúdo existente no aplicativo Notas. Os investigadores correlacionaram horários de abertura do aplicativo, capturas de tela, arquivos temporários produzidos pelo sistema, abertura do WhatsApp e registros de envio. A metodologia foi ainda confrontada com mensagens cujo envio havia sido recuperado.

Isso não transforma automaticamente toda anotação em comunicação comprovada. Mas demonstra uma das características centrais da perícia digital contemporânea: fatos podem ser reconstruídos pela correlação de vestígios que, considerados isoladamente, diriam muito pouco.

Há ainda uma peculiaridade importante neste episódio. A vinculação de Alexandre de Moraes ao exame da minuta não repousa exclusivamente nos metadados. O escritório Barci de Moraes declarou publicamente que o ministro foi consultado, na condição de marido da sócia-diretora, para verificar a existência de eventuais impedimentos relacionados à contratação.

A questão técnica deixa, portanto, de ser simplesmente se o documento passou por um ambiente associado ao ministro. Passa a ser qual foi a natureza da intervenção realizada no arquivo e qual o significado jurídico dessa atuação. Metadados, isoladamente, não respondem a essa pergunta.

O episódio deixa, entretanto, uma lição que ultrapassa seus personagens.

Todo documento digital possui uma biografia.

Arquivos de Word podem carregar autor, último usuário responsável por sua modificação, horários, comentários, revisões e outras propriedades que não aparecem no texto visível. Sistemas corporativos podem registrar acessos, versões, contas, endereços IP e eventos ocorridos muito tempo antes de surgir qualquer disputa.

O que para uma organização parece ser apenas uma minuta pode, anos depois, transformar-se em uma sequência reconstruível de vestígios digitais.

Para empresas e escritórios de advocacia, três práticas deveriam ser elementares.

A primeira é higienizar metadados antes do envio externo de documentos quando essas informações não forem necessárias e não houver dever jurídico de preservação.

A segunda é impedir que documentos profissionais sejam tratados em contas pessoais, perfis compartilhados ou ambientes sem governança adequada. A identidade técnica utilizada para modificar um arquivo pode permanecer incorporada ao documento e acompanhá-lo quando ele deixa a organização.

A terceira é definir previamente políticas de retenção de logs e evidências digitais. Auditoria que não foi preservada não pode ser criada retroativamente quando começa uma investigação.

Empresas brasileiras ainda tratam metadados como detalhe de TI. Não são.

Metadados não substituem investigação, contexto ou contraditório. Também não são registros irrelevantes que possam ser descartados simplesmente porque não identificam, sozinhos, quem estava diante do teclado.

São peças de atribuição.

E, quando combinadas com logs, arquivos, comunicações e outros vestígios, podem reconstruir uma história que seus próprios protagonistas talvez imaginassem ter desaparecido.

No direito digital, a ausência de memória humana muitas vezes é compensada pela memória das máquinas.

O post Como o direito digital analisa o uso de metadados como prova apareceu primeiro em Consultor Jurídico.