Resumo
A digitalização das relações econômicas e da atividade estatal fez com que endereços IP, registros de acesso, metadados, mensagens eletrônicas, geolocalização, biometria e arquivos extraídos de dispositivos passassem a ocupar posição central na formação da prova. O problema jurídico contemporâneo, contudo, já não consiste apenas em saber se esses elementos são admissíveis ou se foram preservados sem adulteração, mas em determinar aquilo que efetivamente são capazes de provar e em que condições um vestígio tecnológico pode ser convertido em imputação dirigida a uma pessoa jurídica. A questão assume particular importância no Processo Administrativo de Responsabilização previsto na Lei nº 12.846/2013, no qual a natureza objetiva da responsabilidade empresarial não elimina o dever estatal de demonstrar o ato lesivo, sua vinculação à organização e o interesse ou benefício desta. Partindo de recente acórdão do Tribunal de Justiça de Mato Grosso do Sul acerca da utilização de registros de endereços IP em processo sancionador, o trabalho examina precedentes civis e penais relativos à prova digital, cadeia de custódia, função hash, ata notarial, perícia, auditabilidade e contraditório. Propõe-se distinguir admissibilidade, autenticidade, integridade, atribuição e suficiência, formulando-se as categorias da lacuna de atribuição digital, da escada de atribuição e da força atributiva da prova. Sustenta-se, ao final, que a carga de motivação e de corroboração exigível deve crescer proporcionalmente à distância inferencial existente entre o vestígio tecnológico e a responsabilidade empresarial que dele se pretende extrair.
Palavras-chave: prova digital; Lei Anticorrupção; processo administrativo sancionador; cadeia de custódia; atribuição digital; motivação probatória.
Abstract
The increasing digitalization of economic relations and governmental activity has placed IP addresses, access logs, metadata, electronic messages, geolocation, biometrics and device-extracted files at the center of modern evidentiary reasoning. The contemporary legal problem, however, is no longer limited to determining whether such evidence is admissible or whether it has been preserved without alteration. It is also necessary to establish what digital traces are actually capable of proving and under which conditions technological data may legitimately be converted into legal attribution to a corporation. This question is particularly relevant in administrative proceedings under the Brazilian Anti-Corruption Act, where strict corporate liability does not relieve public authorities from proving the harmful act, its organizational connection and the company's interest or benefit. Taking as its starting point a recent judgment of the Court of Appeals of Mato Grosso do Sul concerning IP address records used in an administrative liability proceeding, this article examines civil and criminal precedents dealing with digital evidence, chain of custody, hash functions, notarial records, expert examination, auditability and adversarial proceedings. It distinguishes admissibility, authenticity, integrity, attribution and evidentiary sufficiency and proposes the concepts of digital attribution gap, attribution ladder and attributive strength of digital evidence. It concludes that the burden of reasoning and corroboration must increase proportionally to the inferential distance between a technological trace and the corporate liability ultimately inferred from it.
Keywords: digital evidence; Anti-Corruption Act; administrative sanctions; chain of custody; digital attribution; evidentiary reasoning.
Sumário: 1. Introdução; 2. A responsabilidade objetiva não torna objetiva a prova; 3. A prova digital e a insuficiência da pergunta sobre sua “validade”; 4. Entre a ata notarial e a perícia: a experiência do processo civil; 5. Cadeia de custódia: preservar o vestígio não encerra o problema; 6. O processo penal como laboratório da prova digital; 7. Do endereço IP à pessoa jurídica: a lacuna de atribuição digital; 8. Marco Civil da Internet, porta lógica e limites da individualização; 9. A força atributiva da prova digital; 10. O paradoxo da prova impossível e o contraditório técnico; 11. Um modelo graduado para a prova digital no PAR; 12. Controle judicial e racionalidade da inferência sancionadora; 13. Conclusão; Referências.
1.Introdução
A prova mudou de matéria. O documento de papel, a assinatura manuscrita e o depoimento presencial passaram a conviver com registros de autenticação, metadados, endereços IP, geolocalização, biometria, históricos de acesso, mensagens instantâneas, bancos de dados e arquivos extraídos de dispositivos eletrônicos. Não houve apenas uma substituição de suporte. A natureza imaterial, reproduzível, tecnicamente mediada e frequentemente volátil do vestígio digital introduziu dificuldades próprias de obtenção, preservação, interpretação e atribuição, tornando insuficiente a simples transposição de categorias construídas para documentos tradicionais e vestígios físicos.
A literatura processual recente já identifica essa especificidade. Saad, Rossi e Partata sustentam que as peculiaridades das provas digitais e os direitos fundamentais envolvidos em sua obtenção justificam tratamento jurídico especialmente atento às formas de acesso e preservação. Fisberg, por sua vez, demonstra que mecanismos tecnológicos de integridade, como a função hash, são instrumentos relevantes, mas não infalíveis nem autossuficientes. No direito administrativo sancionador, Pastore e Fonseca já chamaram atenção para o crescimento das provas digitais e para a necessidade de mecanismos destinados a assegurar sua custódia e auditabilidade. Esses estudos formam um terreno importante, mas ainda deixam aberta uma questão posterior à obtenção e à preservação: de que modo o vestígio digital pode ser racionalmente atribuído à pessoa que se pretende responsabilizar?
Um acórdão proferido pela 4ª Câmara Cível do Tribunal de Justiça de Mato Grosso do Sul oferece ponto de partida especialmente fértil. No Agravo de Instrumento nº 2000451-73.2026.8.12.0000, relatado pela Desembargadora Elisabeth Rosa Baisch, discutiu-se tutela concedida em ação anulatória proposta por empresas sancionadas no Processo Administrativo de Responsabilização nº 53.000.237/2024, instaurado com fundamento na Lei nº 12.846/2013. A imputação administrativa estava relacionada a suposta atuação coordenada em procedimentos licitatórios realizados entre 2014 e 2018, enquanto as empresas questionavam, entre outros aspectos, a obtenção de registros referentes a endereços IP, a existência de fishing expedition e a própria suficiência do acervo probatório (TJMS, AI nº 2000451-73.2026.8.12.0000, Rel. Des. Elisabeth Rosa Baisch).
O Tribunal não declarou inválido o PAR, tampouco resolveu definitivamente a controvérsia acerca das provas. Considerou, entretanto, que a discussão transcendia o exame formal do ato administrativo e envolvia a natureza dos dados utilizados, os limites da atividade investigatória administrativa, a incidência do Marco Civil da Internet, a eventual utilização de prova ilícita e a possível contaminação do restante do conjunto probatório. A complexidade desses elementos justificou a manutenção da suspensão das sanções até que a causa fosse submetida ao contraditório pleno e à cognição exauriente (TJMS, AI nº 2000451-73.2026.8.12.0000, Rel. Des. Elisabeth Rosa Baisch).
O caso suscita uma pergunta maior do que a licitude de determinado endereço IP. Entre a existência de um registro tecnológico e a responsabilização de uma empresa há uma sucessão de inferências que frequentemente permanece invisível na decisão sancionadora. Uma coisa é demonstrar que certo endereço IP foi utilizado; outra é identificar a conexão a que correspondia; outra, ainda, determinar quem utilizava determinado terminal e por qual razão; e algo substancialmente diferente é concluir que a atuação digital encontrada corresponde a um comportamento imputável à organização e praticado em seu interesse ou benefício.
Este estudo parte dessa distância para sustentar que a discussão sobre prova digital precisa ultrapassar a dicotomia entre validade e invalidade. Propõe-se distinguir cinco dimensões — admissibilidade, autenticidade, integridade, atribuição e suficiência — e desenvolver, a partir delas, três categorias analíticas: a lacuna de atribuição digital, a escada de atribuição e a força atributiva da prova digital. A hipótese é que a responsabilidade objetiva prevista na Lei Anticorrupção não reduz o ônus epistemológico do Estado. Ao contrário, quanto maior a distância entre o dado bruto e a conclusão sancionadora, maior deverá ser o esforço de corroboração e de motivação.
2. A responsabilidade objetiva não torna objetiva a prova
O art. 2º da Lei nº 12.846/2013 estabelece a responsabilidade objetiva das pessoas jurídicas pelos atos lesivos praticados em seu interesse ou benefício, exclusivo ou não. A opção legislativa dispensa a Administração de demonstrar dolo ou culpa da organização como condição para responsabilizá-la, preservada a responsabilidade individual de dirigentes, administradores e demais pessoas naturais, esta dependente da medida de sua culpabilidade, nos termos do art. 3º. A objetivação incide, assim, sobre o elemento subjetivo da responsabilidade empresarial, e não sobre a existência dos fatos que a constituem.
A distinção parece elementar, mas se torna crucial quando a imputação repousa sobre rastros digitais. Para aplicar as sanções da Lei Anticorrupção, a Administração continua obrigada a demonstrar a prática de algum dos atos descritos no art. 5º, bem como a ligação juridicamente relevante entre esse comportamento e a pessoa jurídica. Nos ilícitos licitatórios, por exemplo, a lei alcança ajustes destinados a frustrar o caráter competitivo da licitação, comportamentos voltados a perturbar o procedimento e fraudes à licitação ou ao contrato. A objetividade da responsabilidade não autoriza que a existência ou a autoria organizacional desses fatos sejam presumidas.
A própria configuração do Processo Administrativo de Responsabilização confirma essa leitura. A Lei nº 12.846/2013 assegura contraditório e ampla defesa e exige que a comissão, ao término da instrução, apresente relatório sobre os fatos apurados e a eventual responsabilidade da pessoa jurídica. O Decreto nº 11.129/2022 desenvolve esse regime procedimental e submete a responsabilização à produção e à apreciação motivada do conjunto probatório. A sanção não emerge da mera existência de suspeita, mas da transformação argumentativamente controlável de fatos comprovados em conclusão jurídica.
Em estruturas empresariais complexas, nem sempre será indispensável identificar nominalmente a pessoa natural que executou cada ato. Uma prática pode ser difusa, institucionalizada ou realizada por diversos agentes. Isso não significa que a vinculação organizacional possa ser abandonada. Ainda que não se saiba qual empregado acionou um sistema, enviou determinado arquivo ou utilizou uma conexão em certo momento, é necessário demonstrar por que aquele comportamento pode ser atribuído à pessoa jurídica e por que se realizou em seu interesse ou benefício.
Chega-se, portanto, a uma distinção fundamental: a responsabilidade pode ser objetiva, mas a atribuição probatória não é automática. O afastamento da culpa não elimina a necessidade de demonstrar a conduta, a relação entre ela e a organização e a correspondência entre os fatos comprovados e o tipo administrativo imputado. Em matéria digital, essa exigência se torna particularmente delicada porque registros aparentemente precisos podem demonstrar apenas uma fração do percurso necessário à responsabilização.
3. A prova digital e a insuficiência da pergunta sobre sua “validade”
Grande parte das controvérsias judiciais ainda é apresentada sob a pergunta genérica acerca da “validade” da prova digital. Um print sem ata notarial é válido? Uma mensagem cuja extração não possui código hash deve ser desconsiderada? Uma assinatura eletrônica sem certificado ICP-Brasil produz prova suficiente? Formuladas nesses termos, as perguntas aproximam problemas juridicamente diferentes e induzem à busca de respostas binárias onde deveria haver exame graduado da confiabilidade.
A admissibilidade é apenas a primeira dimensão. O art. 369 do Código de Processo Civil admite todos os meios legais e moralmente legítimos, mesmo que não estejam expressamente especificados no Código, enquanto o art. 371 determina que a prova seja apreciada de maneira motivada. O art. 384, ao disciplinar a ata notarial, cria importante instrumento de documentação de fatos, inclusive de imagens e sons eletrônicos, mas não a converte em condição necessária para a existência jurídica de toda prova produzida em meio digital.
Uma captura de tela pode, portanto, ingressar regularmente no processo e possuir reduzida capacidade de comprovar o fato controvertido. Pode ser autêntica e, ainda assim, estar incompleta. Pode estar íntegra e não demonstrar quem utilizava a conta retratada. Pode reproduzir fielmente determinada mensagem, mas não permitir saber se houve exclusão de trechos anteriores ou posteriores. Pode, enfim, superar o exame de admissibilidade sem superar o exame de suficiência.
Daí a necessidade de distinguir cinco planos. Admissibilidade indaga se o meio pode ingressar no processo. Autenticidade procura saber se o elemento é aquilo que afirma ser e se provém da fonte que lhe é atribuída. Integridade investiga se seu conteúdo permaneceu completo e inalterado. Atribuição pergunta a quem a atividade documentada pode ser imputada. Suficiência, por fim, verifica se o conjunto formado por aquela prova e pelas demais é bastante para fundamentar a conclusão jurídica pretendida.
Esses planos não são intercambiáveis. Um arquivo pode ser absolutamente íntegro e ainda não revelar seu autor. A geolocalização pode indicar a posição de determinado dispositivo sem demonstrar quem o portava. Um código de autenticação pode identificar uma conta sem esclarecer quem dispunha das credenciais. O problema da prova digital, portanto, não é apenas preservar corretamente o vestígio, mas evitar que a precisão do registro tecnológico seja indevidamente transferida para inferências que permanecem probabilísticas.
4. Entre a ata notarial e a perícia: a experiência do processo civil
A jurisprudência civil recente oferece um laboratório particularmente útil dessa distinção. O Tribunal de Justiça de Minas Gerais reconheceu, em ação de divórcio e partilha, que fotografias e documentos digitais não se tornam inválidos simplesmente por estarem desacompanhados de ata notarial ou de ferramenta específica de certificação, especialmente quando a alegação de inautenticidade é genérica e o conteúdo eletrônico encontra confirmação em conta bancária conjunta, aquisições patrimoniais, testemunhos e documentação rural (TJMG, Apelação Cível nº 5001076-58.2024.8.13.0110, Rel. Des. Roberto Apolinário de Castro).
Em situação diversa, o Tribunal de Justiça de São Paulo recusou força probatória suficiente a prints e áudios especificamente impugnados em ação indenizatória, destacando a ausência de elementos capazes de conferir segurança à autenticidade e à integridade dos documentos (TJSP, Apelação Cível nº 1002740-19.2024.8.26.0180, Rel. Des. Ana Paula Corrêa Patiño). A decisão não precisa ser lida como consagração da ata notarial como requisito sacramental, mas como reconhecimento de que a fragilidade do conjunto, diante de impugnação concreta, exigia mecanismos adicionais de confiabilidade. O próprio acórdão oficial confirma a relatoria e o julgamento pela 2ª Câmara de Direito Privado.
Não há incompatibilidade necessária entre os dois julgados. No primeiro caso, o registro digital convivia com elementos independentes que corroboravam o fato discutido e a objeção à autenticidade era abstrata. No segundo, a prova impugnada ocupava papel relevante na construção da responsabilidade e não havia demonstração satisfatória de sua origem e integridade. A variável central, assim, não é a presença ou ausência da ata notarial, mas a relação entre vulnerabilidade do suporte, especificidade da impugnação, centralidade da prova e existência de corroboração externa.
A mesma lógica aparece em litígios bancários. Em recurso envolvendo transações contestadas, a 2ª Turma Recursal do Paraná considerou insuficientes capturas de tela apresentadas pela instituição financeira porque não ofereciam dados mínimos de verificação, como assinatura digital, endereço IP, geolocalização ou elementos técnicos aptos a demonstrar a integridade das operações (TJPR, Recurso Inominado nº 0004898-96.2023.8.16.0109, Rel. Álvaro Rodrigues Junior). Em outros casos, ao contrário, a contratação digital foi reputada comprovada quando convergiram assinatura eletrônica, biometria facial, geolocalização, documentos pessoais, histórico de contratação e efetiva utilização do crédito (TJSP, Apelação Cível nº 1003117-79.2025.8.26.0236, Rel. Rodolfo Pellizari; TJSP, Apelação Cível nº 1005337-80.2025.8.26.0032, Rel. Achile Alesina; TJSP, Apelação Cível nº 1009112-83.2024.8.26.0438, Rel. Álvaro Torres Júnior).
Também a perícia não pode ser convertida em ritual automático. Quando a assinatura digital foi especificamente impugnada e o exame técnico era capaz de esclarecer ponto central da controvérsia, o Tribunal de Justiça do Paraná reconheceu cerceamento de defesa no julgamento antecipado da causa (TJPR, Apelação Cível nº 0000802-37.2025.8.16.0119, Rel. Luciane Bortoleto). Em contrapartida, quando o acervo documental já apresentava elementos convergentes capazes de demonstrar a contratação, a prova pericial foi considerada dispensável em precedentes paulistas.
Essa diferenciação está em sintonia com o Tema 1.061 do Superior Tribunal de Justiça. Impugnada pelo consumidor a autenticidade da assinatura constante de contrato bancário produzido pela instituição financeira, incumbe a esta demonstrar a autenticidade, seja por perícia, seja por outros meios probatórios idôneos (STJ, REsp nº 1.846.649/MA, Rel. Min. Marco Aurélio Bellizze). O precedente não institui a perícia como meio exclusivo; define, antes, quem suporta o ônus de demonstrar a origem confiável do documento quando a autenticidade é concretamente questionada.
A experiência civil conduz, portanto, a uma conclusão útil para o direito administrativo sancionador: a atipicidade amplia as portas de entrada da prova, mas não reduz as exigências de confiabilidade necessárias para que ela sustente uma decisão. Ata notarial, biometria, geolocalização, assinatura eletrônica e perícia são instrumentos de reforço, e não certificados universais de verdade. Seu peso depende do fato que se pretende demonstrar e da qualidade do restante do conjunto probatório.
5. Cadeia de custódia: preservar o vestígio não encerra o problema
O Código de Processo Penal contém a disciplina legislativa brasileira mais detalhada sobre cadeia de custódia. O art. 158-A a define como o conjunto dos procedimentos utilizados para manter e documentar a história cronológica do vestígio, rastreando sua posse e manuseio desde o reconhecimento até o descarte. Os arts. 158-B a 158-F regulam etapas como reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento e armazenamento. Embora essas disposições tenham sido construídas para o processo penal, revelam exigência que ultrapassa esse domínio: quem pretende utilizar um vestígio em procedimento sancionador deve ser capaz de demonstrar sua trajetória.
No ambiente digital, essa trajetória assume peculiar complexidade. Um telefone celular ou computador é um objeto físico, mas o elemento probatório relevante normalmente reside em estruturas lógicas capazes de ser copiadas, filtradas, convertidas e reorganizadas. A prova apresentada ao julgador muitas vezes não é o dado originalmente armazenado, mas o resultado de uma extração realizada por software, submetida a filtros, organizada em relatório e posteriormente selecionada por quem conduz a investigação.
Por essa razão, a cadeia de custódia digital não desempenha apenas função preservativa, destinada a assegurar que o conteúdo não tenha sido adulterado ou substituído. Possui também função epistemológica, pois deve permitir conhecer como o material originário se transformou na informação apresentada no processo. Há, ainda, uma função participativa, consistente em assegurar à parte adversa condições materiais para compreender, reproduzir e contestar o percurso técnico da prova.
Pastore e Fonseca examinaram especificamente esse problema no direito administrativo sancionador, observando o crescimento de evidências digitais provenientes de sistemas informatizados, documentos nativamente eletrônicos e grandes bases de dados e propondo mecanismos tecnológicos destinados à sua auditabilidade. A relevância do trabalho está em demonstrar que a cadeia de custódia não constitui preocupação exclusivamente criminal: a própria expansão da atividade administrativa digital torna inevitável a discussão sobre a confiabilidade dos elementos que fundamentam decisões punitivas.
A função hash constitui importante instrumento desse percurso, mas não o esgota. Como demonstra Fisberg, trata-se de técnica eficiente para aferir integridade de dados digitais, sujeita, contudo, a limitações tecnológicas e incapaz de substituir o exame global do procedimento de coleta e preservação. O fato de duas cópias apresentarem o mesmo hash pode demonstrar identidade entre elas; não demonstra necessariamente que o dado foi corretamente obtido, que a extração foi completa, que nenhuma seleção relevante ocorreu antes da geração do código ou que a interpretação posterior esteja correta.
Preservação, portanto, não se confunde com atribuição. Uma mensagem pode ser integralmente preservada sem que se saiba quem efetivamente controlava a conta remetente. Um registro de conexão pode permanecer tecnicamente intacto e, mesmo assim, não individualizar o usuário da rede. A cadeia de custódia resolve parte essencial do problema probatório, mas não elimina o salto existente entre o vestígio e a conclusão jurídica.
6. O processo penal como laboratório da prova digital
A jurisprudência criminal recente oferece importantes parâmetros, embora deva ser lida com cuidado metodológico. Grande parte dos julgamentos relacionados à cadeia de custódia digital surge em habeas corpus, cuja cognição sumária inviabiliza aprofundamento técnico e dilação probatória. A denegação da ordem, por isso, não equivale necessariamente à declaração definitiva de que a prova é íntegra ou confiável. Muitas vezes significa apenas que a questão deverá ser examinada durante a instrução ordinária.
O Tribunal de Justiça de Mato Grosso adotou essa compreensão em processo no qual se alegavam manipulação indevida de aparelho celular, ausência de software forense certificado e inexistência de registros técnicos suficientes à auditabilidade. A Corte considerou que a verificação dessas alegações exigiria perícia e instrução incompatíveis com o habeas corpus, ressaltando, ainda, a existência de provas autônomas sustentando a acusação (TJMT, HC nº 1037575-71.2025.8.11.0000, Rel. Des. Wesley Sanchez Lacerda).
O Tribunal de Justiça de São Paulo também tem afastado a ideia de nulidade automática decorrente de defeitos na cadeia de custódia, reconhecendo que irregularidades precisam ser valoradas em conjunto com o restante do acervo e com a demonstração concreta de comprometimento da confiabilidade (TJSP, HC nº 2285088-17.2025.8.26.0000, Rel. Des. Pinheiro Franco). Linha semelhante aparece em precedente mineiro no qual a ausência de hash, alegações de dessincronia entre áudio e vídeo e deficiências documentais foram consideradas insuficientes, em sede de habeas corpus, para demonstrar adulteração concreta do material (TJMG, HC nº 1667349-09.2026.8.13.0000, Rel. Des. Paula Cunha e Silva).
Essas decisões dialogam com a orientação estabelecida pelo Superior Tribunal de Justiça no HC nº 653.515/RJ. A Sexta Turma assentou que irregularidades na cadeia de custódia não conduzem, por si, a uma consequência uniforme, devendo ser ponderadas juntamente com os demais elementos da instrução para que se determine se o vestígio permaneceu confiável (STJ, HC nº 653.515/RJ, Rel. Min. Laurita Vaz, Rel. p/ acórdão Min. Rogerio Schietti Cruz). O precedente associa a cadeia de custódia ao chamado princípio da mesmidade, isto é, à necessidade de assegurar que a prova levada à decisão seja aquilo que afirma ser.
O afastamento da nulidade automática é razoável, mas não pode produzir o erro inverso de tornar toda falha irrelevante enquanto a defesa não demonstrar adulteração material. As irregularidades possuem intensidades diferentes. A ausência de uma anotação secundária não se equipara à inexistência do arquivo originário; a falta de hash pode ser suprida por outros mecanismos de integridade, enquanto a manipulação não documentada do aparelho antes da extração pode comprometer a própria possibilidade de reconstruir o que ocorreu.
Também a existência de provas autônomas exige análise mais refinada. Se o material digital for retirado e o restante do conjunto ainda sustentar independentemente a imputação, eventual deficiência poderá ter alcance limitado. Se, ao contrário, a prova supostamente autônoma somente tiver sido descoberta porque o vestígio questionado indicou seu caminho, surgirá problema de derivação que não se resolve pela simples contagem de elementos probatórios.
O processo penal oferece, assim, um laboratório valioso, mas não um modelo de importação automática. O PAR possui estrutura própria e concentra na Administração funções de investigação, produção, custódia e avaliação inicial da prova. Justamente por essa concentração, auditabilidade e transparência metodológica ganham importância particular. A experiência criminal serve menos para fornecer nulidades prontas do que para evidenciar quais perguntas precisam ser formuladas.
7. Do endereço IP à pessoa jurídica: a lacuna de atribuição digital
O ponto mais original revelado pelo acórdão do TJMS está na distância entre o vestígio tecnológico e a entidade responsabilizada. Pode-se designar essa distância como lacuna de atribuição digital: o espaço existente entre aquilo que determinado dado demonstra diretamente e a conclusão jurídica que se pretende extrair dele.
Um endereço IP é exemplo paradigmático. Ele pode identificar determinada conexão em certo contexto temporal. A partir daí, porém, outros passos podem ser necessários para se chegar ao terminal, ao usuário, à conduta, à organização e ao interesse ou benefício empresarial. A existência do registro não elimina essas transições; apenas fornece o primeiro elemento da cadeia inferencial.
Pode-se representar esse percurso por uma escada de atribuição digital:
vestígio digital → infraestrutura tecnológica → terminal ou conta → usuário ou processo organizacional → conduta → ato lesivo → interesse ou benefício → pessoa jurídica.
Cada seta representa uma inferência que deve possuir fundamento próprio. Em determinados casos, a passagem será praticamente imediata. Uma conta individual protegida por múltiplos fatores de autenticação, utilizada em dispositivo exclusivo e corroborada por comportamento posterior pode oferecer elevada capacidade de atribuição. Em outros, o salto será expressivo: uma rede compartilhada, uma conta genérica ou um endereço IP utilizado por múltiplos terminais pode admitir diversas hipóteses concorrentes.
A importância da categoria está justamente em impedir que a precisão técnica do primeiro elemento seja artificialmente estendida às etapas seguintes. O endereço IP pode estar corretamente registrado e ser indiscutivelmente autêntico. Ainda assim, permanece aberta a pergunta sobre quem estava por trás da conexão e, sobretudo, se o fato observado possui significado organizacional suficiente para responsabilizar uma pessoa jurídica.
No âmbito da Lei Anticorrupção, essa última passagem é decisiva. Não basta que algum evento tecnológico tenha relação remota com infraestrutura vinculada à empresa. A decisão sancionadora deve demonstrar como aquele vestígio se conecta à prática do ato previsto no art. 5º e por que a conduta pode ser considerada realizada em interesse ou benefício da organização. A existência da conexão é um fato; a existência de um acordo fraudulento entre concorrentes é uma conclusão muito mais complexa.
Daí decorre uma proposição central: quanto maior a lacuna de atribuição, maior deverá ser o ônus de justificação da decisão sancionadora. A Administração não precisa eliminar toda possibilidade abstrata de explicação alternativa, mas deve enfrentar aquelas que sejam tecnicamente plausíveis e juridicamente relevantes. Uma conclusão que dependa de sucessivos saltos não explicitados é uma conclusão deficientemente motivada.
8. Marco Civil da Internet, porta lógica e limites da individualização
A questão da atribuição não pode ser dissociada da licitude da obtenção. O Marco Civil da Internet distingue registros de conexão, registros de acesso a aplicações e demais categorias de dados, impondo garantias específicas para sua guarda e disponibilização. Os arts. 10 e 22 estruturam mecanismos de proteção que não desaparecem simplesmente porque o dado será utilizado por autoridade administrativa.
O poder instrutório da comissão de PAR é amplo, mas não constitui autorização genérica para afastar reservas de jurisdição estabelecidas no restante do ordenamento. A Lei nº 12.846/2013, ao admitir que a comissão requeira judicialmente medidas necessárias à investigação, reconhece que determinados poderes dependem de intervenção jurisdicional. A discussão sobre a origem do registro digital deve, portanto, preceder a discussão sobre seu peso.
Em 20 de maio de 2026, o Decreto nº 12.975 alterou a regulamentação do Marco Civil e acrescentou disciplina específica sobre a porta lógica de origem. O novo art. 15-A do Decreto nº 8.771/2016 prevê que, quando necessária à identificação inequívoca do terminal de origem ou do próximo enlace de rede, a guarda do endereço IP abrangerá também a porta lógica correspondente. O fornecimento dessas informações permanece submetido às garantias dos arts. 10 e 22 da Lei nº 12.965/2014.
A inovação é especialmente reveladora do ponto de vista probatório. Se, em determinadas arquiteturas de rede, o próprio ordenamento reconhece que o endereço IP necessita de informação complementar para permitir individualização adequada do terminal ou enlace, torna-se difícil sustentar que o IP isolado possua, em qualquer circunstância, capacidade identificadora absoluta.
O Decreto não autoriza a retroação de novos deveres de guarda a períodos anteriores à sua vigência. Pode, contudo, iluminar um dado técnico relevante para a valoração: endereços IP, especialmente em ambientes sujeitos a compartilhamento, não equivalem necessariamente à identidade de determinada pessoa. A conclusão não decorre de opção interpretativa favorável ao investigado, mas da própria arquitetura contemporânea das redes.
Mesmo a combinação de IP, data, horário e porta lógica não elimina todos os problemas. Esses dados podem auxiliar na individualização da conexão ou do terminal, mas não demonstram automaticamente quem realizava a operação, quais credenciais estavam sob seu domínio, se o acesso foi remoto ou compartilhado e, menos ainda, se a conduta correspondeu a uma decisão empresarial. A solução de um problema de rede não soluciona, por si só, o problema jurídico da atribuição.
9. A força atributiva da prova digital
A partir dessas premissas, pode-se formular o conceito de força atributiva da prova digital. Ele expressa a capacidade concreta do vestígio não apenas de existir e permanecer íntegro, mas de ligar racionalmente determinado fato tecnológico ao sujeito ou à organização cuja responsabilidade se pretende afirmar.
Há baixa força atributiva quando o dado apenas aproxima infraestrutura e fato. Um endereço IP isolado, uma conta genérica, uma geolocalização aproximada, um arquivo encontrado em dispositivo de uso comum ou uma captura sem contexto podem ser indícios importantes, mas admitem número significativo de explicações concorrentes. São capazes de orientar a investigação, embora dificilmente devam, sozinhos, sustentar uma sanção grave.
A força torna-se intermediária quando surgem elementos de individualização: horário preciso, porta lógica, dispositivo identificado, autenticação específica, credencial pessoal, log interno, histórico coerente de acessos ou metadados convergentes. Esses dados reduzem o espaço de hipóteses alternativas, embora ainda não transformem necessariamente uma atividade técnica em comportamento juridicamente atribuível à organização.
A alta força atributiva emerge da convergência entre elementos independentes. Registro de acesso, comunicação contemporânea, documento correlato, comportamento posterior, fluxo financeiro, padrão licitatório, vantagem empresarial e vínculo funcional podem, quando coerentes, formar conjunto substancialmente mais robusto do que qualquer elemento isolado. É o que a jurisprudência bancária intuitivamente demonstra ao valorizar conjuntamente biometria, geolocalização, assinatura, documentos pessoais, histórico da operação e efetiva utilização dos valores.
A corroboração possui, assim, função central. Não se exige que cada prova demonstre autonomamente toda a hipótese acusatória. Exige-se que os elementos se reforcem de modo independente e que a conclusão não resulte da simples repetição do mesmo dado sob aparências diferentes. Dez capturas produzidas a partir da mesma base não equivalem necessariamente a dez fontes probatórias.
Esse modelo permite superar tanto a rejeição indiscriminada da prova digital quanto sua supervalorização. Um endereço IP pode possuir extraordinária relevância quando associado a comunicações, vínculos empresariais, coincidências inexplicáveis em propostas e outros elementos. O que não possui é um significado incriminador abstrato, válido independentemente do contexto.
10. O paradoxo da prova impossível e o contraditório técnico
Outro problema emerge quando se exige da parte que demonstre a adulteração ou a deficiência de uma prova cujo funcionamento técnico permanece sob domínio exclusivo de quem a produziu. Surge o que se pode chamar de paradoxo da prova impossível da adulteração: a defesa precisa comprovar concretamente o defeito, mas os dados necessários para fazê-lo não foram preservados, documentados ou disponibilizados.
A ausência de código hash, tomada isoladamente, não comprova manipulação. Tampouco a inexistência de determinado software forense demonstra que o material foi alterado. O raciocínio muda, contudo, quando a deficiência da documentação torna impossível verificar o percurso da prova. Não seria racional exigir prova positiva de adulteração quando a própria falta de auditabilidade impede que qualquer perícia posterior determine se ela ocorreu.
Nessas hipóteses, não é necessário presumir automaticamente a falsidade. A consequência mais adequada consiste em elevar o ônus de justificação daquele que pretende utilizar o material. Se a técnica ordinária de comprovação da integridade não foi empregada ou se algum elo documental se perdeu, caberá demonstrar por outros meios por que o vestígio ainda merece confiança.
Essa lógica é compatível com a distribuição dinâmica das condições de produção da prova. O Tema 1.061 do STJ oferece exemplo próximo: quando o consumidor impugna a autenticidade da assinatura apresentada pela instituição financeira, o ônus de demonstrá-la recai sobre quem produziu o documento e possui maior aptidão para explicar seu processo de formação. No ambiente sancionador, a concentração de dados técnicos sob controle estatal recomenda exigência semelhante de transparência.
O contraditório técnico, portanto, não se satisfaz necessariamente com a entrega do relatório final. É possível discutir juridicamente uma conclusão sem possuir os elementos materiais necessários para discutir tecnicamente as premissas que a produziram. Quando o relatório resulta de grandes bases de dados, extrações eletrônicas ou filtros informáticos, o contraditório efetivo pode exigir conhecimento da fonte, dos critérios de seleção, dos parâmetros empregados, das transformações realizadas e dos registros que permitam reproduzir a análise.
A ideia de disclosure assume particular relevância nesse ponto. Não significa acesso irrestrito a quaisquer dados, sobretudo quando houver informações de terceiros ou sigilos legalmente protegidos, mas disponibilidade suficiente do material pertinente para que a parte compreenda a formação da evidência e possa contestá-la em condições reais. Contradizer a conclusão não equivale necessariamente a contradizer a prova que a produziu.
11. Um modelo graduado para a prova digital no PAR
As considerações anteriores permitem propor um modelo de análise em cinco etapas. A primeira diz respeito à licitude da obtenção. A decisão deve identificar a natureza jurídica do dado, sua fonte, a autoridade responsável pela requisição, a delimitação da investigação e a existência de eventual reserva de jurisdição. Antes de perguntar o que o dado demonstra, é necessário saber se ele podia legitimamente estar no processo.
A segunda etapa corresponde à integridade e à auditabilidade. Deve ser possível compreender como o elemento foi coletado, extraído, copiado, armazenado, filtrado e transformado. A cadeia de custódia não precisa assumir idêntica forma em todos os ambientes, nem o CPP deve ser transplantado mecanicamente ao PAR, mas o devido processo sancionador exige algum mecanismo funcional capaz de preservar a história do vestígio e possibilitar sua verificação.
A terceira etapa é a atribuição. Nesse ponto se percorre a escada que conecta o registro à infraestrutura, ao terminal ou conta, ao usuário ou processo organizacional, à conduta e, finalmente, à pessoa jurídica. Cada salto relevante deve estar amparado por dado técnico, fato comprovado ou inferência explicitamente motivada.
A quarta consiste na corroboração. Quanto menor a capacidade direta de individualização do vestígio, maior deverá ser o apoio fornecido por fontes independentes. Um IP compartilhado possui valor distinto quando aparece sozinho e quando converge com mensagens, documentos, fluxos financeiros, vínculos pessoais e padrões licitatórios incompatíveis com comportamento competitivo ordinário.
A quinta etapa é a suficiência motivada. A comissão deverá explicar quais fatos considera diretamente comprovados, quais inferências realizou, quais hipóteses alternativas relevantes enfrentou e por que o conjunto, considerado globalmente, autoriza a responsabilização. A exigência pode ser condensada em uma regra: a carga de motivação deve crescer na proporção da distância inferencial entre o vestígio digital e a responsabilidade atribuída.
Também as consequências das irregularidades precisam ser graduadas. Uma falha documental secundária pode reduzir o peso da prova sem torná-la imprestável. Uma deficiência capaz de prejudicar a auditabilidade exige justificação reforçada. A impossibilidade injustificada de reprodução pode impedir que aquele elemento seja empregado como fundamento decisivo da sanção. Indícios concretos de adulteração reclamam investigação técnica própria. A obtenção juridicamente ilícita, por sua vez, desloca a discussão para a admissibilidade e para eventual repercussão sobre elementos derivados.
Esse modelo recusa dois extremos. O primeiro é o formalismo tecnológico, que transforma ata notarial, hash, ferramenta forense ou perícia em requisitos sacramentais. O segundo é a permissividade tecnológica, segundo a qual qualquer registro eletrônico produzido pelo Estado, empresa ou plataforma permaneceria confiável até que a parte adversa demonstrasse materialmente sua adulteração. A prova digital exige mais sutileza: nem fetichismo da técnica, nem fé cega nela depositada.
12. Controle judicial e racionalidade da inferência sancionadora
A proposta também repercute sobre os limites do controle jurisdicional do PAR. Examinar a racionalidade da inferência probatória não significa substituir a comissão administrativa na investigação nem transformar o Judiciário em nova instância de conveniência. Significa verificar se a conclusão sancionadora decorre efetivamente das premissas probatórias indicadas.
A presunção de legitimidade do ato administrativo não pode converter-se em presunção absoluta de veracidade dos fatos que constituem infração. Especialmente no direito sancionador, devido processo, ampla defesa, contraditório e dever de motivação impedem que a Administração simplesmente invoque relatório técnico ou base de dados como se a autoridade institucional de sua origem dispensasse demonstração do percurso inferencial.
O controle judicial poderá, nessa perspectiva, examinar a licitude da obtenção, a integridade do material, a possibilidade concreta de contraditório, a adequação técnica entre o vestígio e o fato que se pretende demonstrar, a consideração de hipóteses alternativas relevantes e a suficiência da corroboração. Não se trata de escolher entre duas narrativas apenas porque o julgador prefere uma delas, mas de identificar inferências incompatíveis com os limites objetivos da própria prova.
O caso examinado pelo TJMS é particularmente significativo porque a Corte não substituiu a Administração nem antecipou a invalidação definitiva do PAR. Reconheceu, porém, que questões envolvendo natureza dos dados, limites da investigação, Marco Civil da Internet, ilicitude e possível contaminação do conjunto não poderiam ser resolvidas superficialmente. Ao fazê-lo, recusou a ideia de que a presunção de legitimidade fosse suficiente para restabelecer imediatamente os efeitos da sanção (TJMS, AI nº 2000451-73.2026.8.12.0000, Rel. Des. Elisabeth Rosa Baisch).
O mesmo acórdão também reconheceu a gravidade das consequências imediatas. Além de multas superiores a R$ 1,4 milhão, havia sanção de publicação extraordinária da decisão condenatória, cujo potencial de repercussão reputacional foi expressamente considerado pelo Tribunal. A observação demonstra que deficiências probatórias em processos dessa natureza podem produzir efeitos econômicos e reputacionais difíceis de recompor mesmo quando a decisão administrativa venha posteriormente a ser afastada.
A análise pode, ainda, ser compreendida em termos de custos de erro. Um sistema excessivamente permissivo quanto à prova digital aumenta a probabilidade de falsos positivos, com imposição de sanções a partir de correlações tecnológicas incapazes de demonstrar participação efetiva. Um regime demasiadamente rígido eleva os falsos negativos e dificulta a repressão de ilícitos sofisticados justamente quando seus principais vestígios são eletrônicos.
O objetivo de uma teoria da força atributiva não é, portanto, enfraquecer a capacidade investigatória do Estado. É aperfeiçoá-la. Quanto mais claro for o padrão exigido para transformar um vestígio em imputação, maior a previsibilidade para as comissões, melhor a capacidade defensiva das empresas e menor o risco de invalidação judicial de procedimentos que poderiam ter sido tecnicamente estruturados desde a origem.
Nesse espaço, a deferência administrativa possui limite identificável: a liberdade de valorar a prova não compreende a liberdade de omitir as inferências que sustentam a responsabilização. Uma decisão pode escolher racionalmente entre hipóteses concorrentes. O que não pode é agir como se o endereço IP fosse a empresa, a conta fosse o usuário, o dispositivo fosse seu operador ou a correlação fosse, por si, causalidade.
13.Conclusão
A digitalização modificou profundamente a estrutura da prova. Registros eletrônicos podem oferecer níveis de precisão temporal e técnica impensáveis em outros meios probatórios, mas também podem produzir uma ilusão de certeza. O sistema registra que determinado evento ocorreu; o intérprete, então, tende a transportar a exatidão desse registro para perguntas distintas, como quem praticou a conduta, por que o fez e a qual organização ela deve ser atribuída.
A jurisprudência civil demonstra que a solução não está na busca de um selo universal de validade. Ata notarial, assinatura eletrônica, biometria, geolocalização e perícia possuem funções relevantes, mas o peso de cada ferramenta depende da natureza da controvérsia, da especificidade da impugnação e do grau de corroboração disponível. A admissibilidade da prova não encerra o problema de sua confiabilidade.
A experiência penal acrescenta que a cadeia de custódia não pode ser compreendida como simples ritual de nulidade nem reduzida à existência de um código hash. Ela desempenha funções preservativa, epistemológica e participativa: procura conservar o vestígio, permitir a compreensão do percurso técnico que o transformou em prova e assegurar condições reais de contraditório.
No Processo Administrativo de Responsabilização, esses dois debates encontram problema adicional: a atribuição à pessoa jurídica. A responsabilidade objetiva do art. 2º da Lei nº 12.846/2013 elimina a necessidade de demonstrar culpa empresarial, mas não dispensa a prova do ato lesivo, da vinculação organizacional e do interesse ou benefício. Não existe responsabilidade objetiva sem fatos objetivamente demonstráveis.
Por essa razão, propôs-se a noção de lacuna de atribuição digital, correspondente à distância entre aquilo que o vestígio demonstra diretamente e a conclusão jurídica que dele se deseja retirar. A escada de atribuição permite visualizar os sucessivos passos entre dado, infraestrutura, terminal, usuário, conduta, organização e responsabilidade. A força atributiva, por sua vez, procura avaliar em que medida esses passos são sustentados por individualização técnica e corroboração independente.
A tese resultante é simples, embora suas consequências sejam profundas: uma prova digital pode ser perfeitamente autêntica e íntegra e, ainda assim, ser atributivamente insuficiente. Integridade não é autoria; autoria tecnológica não é necessariamente atribuição organizacional; e atribuição não equivale automaticamente à suficiência necessária para sancionar.
Quanto maior a distância entre o dado bruto e a conclusão jurídica, maior deve ser o dever de explicação da autoridade. O processo sancionador não exige certeza metafísica, mas exige que a passagem da informação à responsabilidade possa ser compreendida, contestada e racionalmente reproduzida.
Um endereço IP pode ser uma pista decisiva. Pode revelar conexões improváveis, orientar investigações e integrar, ao lado de outros elementos, um conjunto probatório robusto. O que não deveria fazer é carregar sozinho aquilo que tecnicamente não é capaz de demonstrar.
Afinal, um endereço IP pode ajudar a provar que uma empresa participou de um ilícito; não pode tornar desnecessário provar por que aquele endereço conduz, juridicamente, até ela.
Referências
ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR ISO/IEC 27037:2013: tecnologia da informação — técnicas de segurança — diretrizes para identificação, coleta, aquisição e preservação de evidência digital. Rio de Janeiro: ABNT, 2013.
BRASIL. Constituição da República Federativa do Brasil de 1988. Brasília, DF: Presidência da República, 1988.
BRASIL. Decreto-Lei nº 3.689, de 3 de outubro de 1941. Código de Processo Penal. Diário Oficial da União: Rio de Janeiro, RJ, 13 out. 1941.
BRASIL. Lei nº 12.846, de 1º de agosto de 2013. Dispõe sobre a responsabilização administrativa e civil de pessoas jurídicas pela prática de atos contra a administração pública, nacional ou estrangeira, e dá outras providências. Diário Oficial da União: Brasília, DF, 2 ago. 2013.
BRASIL. Lei nº 12.965, de 23 de abril de 2014. Estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil. Diário Oficial da União: Brasília, DF, 24 abr. 2014.
BRASIL. Lei nº 13.105, de 16 de março de 2015. Código de Processo Civil. Diário Oficial da União: Brasília, DF, 17 mar. 2015.
BRASIL. Lei nº 13.964, de 24 de dezembro de 2019. Aperfeiçoa a legislação penal e processual penal. Diário Oficial da União: Brasília, DF, 24 dez. 2019. Edição extra.
BRASIL. Decreto nº 8.771, de 11 de maio de 2016. Regulamenta a Lei nº 12.965, de 23 de abril de 2014. Diário Oficial da União: Brasília, DF, 11 maio 2016.
BRASIL. Decreto nº 11.129, de 11 de julho de 2022. Regulamenta a Lei nº 12.846, de 1º de agosto de 2013. Diário Oficial da União: Brasília, DF, 12 jul. 2022.
BRASIL. Decreto nº 12.975, de 20 de maio de 2026. Altera o Decreto nº 8.771, de 11 de maio de 2016, que regulamenta a Lei nº 12.965, de 23 de abril de 2014. Diário Oficial da União: Brasília, DF, 21 maio 2026.
BRASIL. Superior Tribunal de Justiça. Habeas Corpus nº 653.515/RJ. Sexta Turma. Relatora: Ministra Laurita Vaz. Relator para acórdão: Ministro Rogerio Schietti Cruz. Julgado em 23 nov. 2021.
BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 1.846.649/MA. Tema Repetitivo nº 1.061. Segunda Seção. Relator: Ministro Marco Aurélio Bellizze. Julgado em 24 nov. 2021.
FISBERG, Yuri. Função ‘hash’ e a integridade da prova digital. Revista Brasileira de Direito Processual Penal, Porto Alegre, v. 11, n. 3, e1227, 2025. DOI: 10.22197/rbdpp.v11i3.1227.
MATO GROSSO. Tribunal de Justiça. Habeas Corpus Criminal nº 1037575-71.2025.8.11.0000. Primeira Câmara Criminal. Relator: Desembargador Wesley Sanchez Lacerda. Julgado em 9 dez. 2025. Publicado em 10 dez. 2025.
MATO GROSSO DO SUL. Tribunal de Justiça. Agravo de Instrumento nº 2000451-73.2026.8.12.0000. 4ª Câmara Cível. Relatora: Desembargadora Elisabeth Rosa Baisch. Julgado em 29 jul. 2026.
MINAS GERAIS. Tribunal de Justiça. Apelação Cível nº 5001076-58.2024.8.13.0110. 4ª Câmara Cível Especializada. Relator: Desembargador Roberto Apolinário de Castro. Julgado em 26 fev. 2026. Publicado em 3 mar. 2026.
MINAS GERAIS. Tribunal de Justiça. Habeas Corpus Criminal nº 1667349-09.2026.8.13.0000. 3ª Câmara Criminal. Relatora: Desembargadora Paula Cunha e Silva. Julgado em 14 maio 2026. Publicado em 15 maio 2026.
PARANÁ. Tribunal de Justiça. Apelação Cível nº 0000802-37.2025.8.16.0119. 15ª Câmara Cível. Relatora: Desembargadora Luciane Bortoleto. Julgado em 3 dez. 2025. Publicado em 4 dez. 2025.
PARANÁ. Tribunal de Justiça. Recurso Inominado nº 0004898-96.2023.8.16.0109. 2ª Turma Recursal. Relator: Álvaro Rodrigues Junior. Julgado em 19 ago. 2025.
PASTORE, Alexandro Mariano; FONSECA, Manoel Augusto Cardoso da. Cadeia de custódia de provas digitais nos processos do Direito Administrativo Sancionador com a adoção da tecnologia blockchain. Cadernos Técnicos da CGU, Brasília, DF, v. 3, 2022.
SAAD, Marta; ROSSI, Helena Costa; PARTATA, Pedro Henrique. A obtenção das provas digitais no processo penal demanda uma disciplina jurídica própria? Uma análise do conceito, das características e das peculiaridades das provas digitais. Revista Brasileira de Direito Processual Penal, Porto Alegre, v. 10, n. 3, set./dez. 2024. DOI: 10.22197/rbdpp.v10i3.1071.
SÃO PAULO. Tribunal de Justiça. Apelação Cível nº 1002740-19.2024.8.26.0180. 2ª Câmara de Direito Privado. Relatora: Desembargadora Ana Paula Corrêa Patiño. Julgado em 26 jan. 2026.
SÃO PAULO. Tribunal de Justiça. Apelação Cível nº 1003117-79.2025.8.26.0236. 15ª Câmara de Direito Privado. Relator: Desembargador Rodolfo Pellizari. Julgado em 11 mar. 2026.
SÃO PAULO. Tribunal de Justiça. Apelação Cível nº 1005337-80.2025.8.26.0032. 15ª Câmara de Direito Privado. Relator: Desembargador Achile Alesina. Julgado em 30 out. 2025.
SÃO PAULO. Tribunal de Justiça. Apelação Cível nº 1009112-83.2024.8.26.0438. 20ª Câmara de Direito Privado. Relator: Desembargador Álvaro Torres Júnior. Julgado em 15 jun. 2026.
SÃO PAULO. Tribunal de Justiça. Habeas Corpus Criminal nº 2285088-17.2025.8.26.0000. 5ª Câmara de Direito Criminal. Relator: Desembargador Pinheiro Franco. Julgado em 7 out. 2025.
