Resumo: A mesma extração forense de um telefone costuma alimentar procedimentos distintos, com objetos, investigados e finalidades diversos. O Código de Processo Penal disciplina a cadeia de custódia do vestígio nos arts. 158-A a 158-F, mas nada diz sobre o que deve acompanhar o dado quando ele muda de procedimento. A partir da jurisprudência recente do Superior Tribunal de Justiça, do regime da prova emprestada e das normas ISO/IEC 27037, 27041 e 27042, o texto distingue integridade, integralidade, rastreabilidade e auditabilidade, trata da seleção não auditável de trechos e mostra por que a ferramenta forense integra o resultado do exame. O recorte alcança as investigações de criptoativos, lavagem de capitais e organizações criminosas transnacionais, e a cooperação internacional sob a Convenção sobre o Crime Cibernético. Ao final, propõe-se um protocolo de reaproveitamento em cinco requisitos.
Palavras-chave: Cadeia de custódia. Prova digital. Forense digital. Forense de dispositivos móveis. Prova emprestada. Encontro fortuito. Criptoativos. Lavagem de capitais. Organizações criminosas. Cooperação jurídica internacional.
1. Introdução
Um telefone apreendido numa investigação sobre fraudes financeiras rende uma extração forense. Meses depois, o mesmo material reaparece noutra frente, com outros alvos e outra pergunta. Ninguém estranha: é assim que a investigação funciona. O que quase nunca se pergunta é o que, exatamente, atravessou de um procedimento para o outro.
O caso Master deu visibilidade pública a essa pergunta. No Supremo Tribunal Federal, a Petição 16.662 tem entre seus pontos controvertidos a validade de informações de polícia judiciária elaboradas a partir da análise técnica do aparelho celular apreendido com o banqueiro Daniel Vorcaro, alvo da Operação Compliance Zero. A decisão de 1º de setembro de 2026 do então relator ilustra bem o fenômeno: registra que aquelas informações, elaboradas "a partir de análise técnica empreendida no aparelho celular apreendido", já haviam embasado as representações que deram ensejo à sexta fase ostensiva da operação, deflagrada em 14 de maio de 2026.
Não interessa aqui arbitrar essa disputa nem antecipar juízo sobre admissibilidade ou mérito, mas a questão que sobrevive a qualquer desfecho e se repete, longe dos holofotes, em inquéritos comuns: que condições técnicas mínimas uma extração deve cumprir para ser reaproveitada em procedimentos distintos, com finalidades diversas daquela que autorizou a medida original? O compartilhamento pode ser lícito e, em muitos casos, necessário; o problema está em que frequentemente ocorre sem documentação suficiente do que foi efetivamente transportado.
Em texto anterior, publicado nesta Revista Jus Navigandi, tratou-se da verificabilidade técnica da prova digital em investigações de alta repercussão e propôs-se um protocolo mínimo de documentação pericial. A pergunta, ali, era o que o ato público informa sobre a prova; aqui é outra e complementar: o que deve acompanhar o dado quando ele circula. Os fundamentos comuns às duas discussões ficam lá detalhados e são retomados adiante apenas quando indispensáveis ao problema do reaproveitamento. O texto foi encerrado em 24 de setembro de 2026, com a tramitação da petição em curso.
2. Uma fonte, vários destinos
Convém separar categorias que a prática mistura: o aparelho e seus dados são fonte de prova; a busca e a extração, meios de obtenção; o laudo pericial, meio de prova. A distinção, assentada entre nós por Antonio Magalhães Gomes Filho, evita um equívoco corrente: o relatório investigativo de análise é elemento informativo, e o art. 155. do CPP impede que a decisão judicial se fundamente exclusivamente em elementos informativos colhidos na investigação, ressalvadas as provas cautelares, não repetíveis e antecipadas.
A simples transferência de elementos informativos entre investigações não se confunde, em sentido técnico estrito, com prova emprestada, categoria ligada à utilização, em outro processo, de prova já produzida. Quando uma diligência válida revela fortuitamente fatos ou pessoas estranhos ao objeto inicial, pode haver encontro fortuito: em 2026, o STJ reafirmou sua validade quando a diligência originária é lícita e não há desvio de finalidade (AgRg no HC 1.070.138/SP). Ainda assim, o regime da prova emprestada oferece parâmetro útil de controle: o art. 372. do CPC, aplicável por força do art. 3º do CPP, admite prova produzida em outro processo, observado o contraditório; e a Corte Especial do STJ, no EREsp 617.428/SP, dispensou a identidade de partes desde que ele seja preservado. Some-se a Súmula Vinculante 14, que assegura ao defensor acesso aos elementos já documentados. Na prova digital, o contraditório só é efetivo se alcançar, quando disponível e pertinente, a fonte verificável e a documentação metodológica, e não apenas as conclusões do relatório.
Há um segundo vazio normativo, paralelo ao do CPP e raramente notado. Reaproveitar uma extração com finalidade diversa é, no vocabulário da proteção de dados, um problema de limitação de finalidade: dados coletados para um propósito passam a servir a outro. A Lei Geral de Proteção de Dados afasta do seu âmbito, no art. 4º, III, o tratamento realizado para fins exclusivos de segurança pública e de investigação criminal, e o § 1º remete a matéria a legislação específica, que deverá prever medidas proporcionais e estritamente necessárias. Até o encerramento deste texto, essa legislação específica não havia sido editada. Duas lacunas incidem, assim, sobre o mesmo ato: quando a extração muda de procedimento, o destino pode receber apenas afirmações sobre o dado, sem receber documentação suficiente de sua história.
3. O que o hash garante e o que não garante
Os arts. 158-A a 158-F do CPP mandam documentar a história cronológica do vestígio, do reconhecimento ao descarte. Embora o texto legal tenha sido redigido a partir de uma lógica predominantemente material, sua finalidade de rastreabilidade alcança a prova digital: o art. 158-E, §§ 3º e 4º, exige identificar quem acessa o vestígio armazenado e registrar sua tramitação. No ambiente digital, a mesma lógica recomenda documentar cópias, transferências, acessos e transformações relevantes do arquivo de extração.
A função hash produz um identificador matemático do arquivo examinado e permite comparar estados distintos do mesmo conjunto de dados. Para novas aplicações que exijam resistência a colisões, SHA-1 deixou de ser referência adequada: o NIST decidiu retirá-lo da próxima revisão da FIPS 180-4, que também especifica algoritmos da família SHA-2, como SHA-256 e SHA-512.
Interessa aqui o que o reaproveitamento torna crítico. O hash permite detectar alterações quando se comparam identificadores calculados sobre arquivos ou imagens forenses em momentos distintos, mas não demonstra, por si só, que a aquisição foi completa nem que a decodificação posterior foi correta. O hash recai sobre uma representação digital adquirida, e não sobre o aparelho enquanto objeto físico; por isso, a fidelidade do resultado depende também do registro da ferramenta, de sua versão, do método de aquisição e do estado do dispositivo. No AgRg no RHC 184.003/SP, a Quinta Turma do STJ ressaltou que a mera documentação dos hashes não basta: sua função probatória está justamente na possibilidade de comparação posterior entre os arquivos.
Para fins deste artigo, convém separar quatro atributos que frequentemente aparecem confundidos. Integridade é a ausência de alteração indevida do arquivo considerado; integralidade é a correspondência entre o conjunto disponibilizado e o universo que se afirma ter sido coletado; rastreabilidade é a possibilidade de reconstruir o percurso do dado desde a origem; auditabilidade é a possibilidade de conferir, por critérios objetivos, a correspondência entre a fonte, o conteúdo extraído, o procedimento de análise e o elemento submetido à valoração judicial. Uma extração pode conservar sua integridade e, ainda assim, ser parcial; pode ser íntegra e parcial e, mesmo assim, não ser rastreável. A distinção é decisiva no reaproveitamento, porque o procedimento de destino pode receber garantia sobre a integridade de um arquivo sem receber informação suficiente sobre completude, percurso e método.
Daí duas cautelas. Quem afirma que determinado conteúdo "não está" no aparelho deve dizer de qual classe de aquisição está falando, porque métodos distintos alcançam universos distintos de dados. Além disso, nova aquisição do mesmo dispositivo pode não reproduzir, bit a bit, a anterior, sobretudo se o aparelho permaneceu ativo ou teve seu estado lógico alterado. Para o controle posterior, deve ser repetível a análise sobre a cópia forense preservada. Em termos funcionais, isso aproxima a aquisição digital das provas não repetíveis mencionadas no art. 155. do CPP e reforça a necessidade de documentação e contraditório diferido.
4. A ferramenta faz parte do resultado
Extrair é uma coisa; decodificar e interpretar são outras. Depois da aquisição, a ferramenta forense processa estruturas, lê bancos de dados de aplicativos, converte formatos e reconstrói artefatos; a interpretação probatória, porém, continua sendo tarefa do examinador. Brian Carrier descreve as ferramentas como sucessões de camadas de abstração, nas quais regras de tradução transformam dados de uma camada em outra e podem introduzir erros de implementação ou de simplificação.
Daí duas consequências. A mesma aquisição, processada por ferramentas ou versões diferentes, pode produzir conjuntos distintos de artefatos: uma solução pode reconhecer estruturas que outra não decodifica. O AgRg no HC 828.054/RN destaca auditabilidade, repetibilidade, reprodutibilidade e justificabilidade na evidência digital. Em termos simples, repetibilidade é a possibilidade de repetir o procedimento em condições equivalentes; reprodutibilidade, a de outro examinador obter resultado compatível por método tecnicamente comparável. Isso exige registrar ferramenta, versão, configurações e etapas relevantes; sem esses dados, uma ausência no relatório pode ser confundida com inexistência do registro.
Validar métodos e instrumentos não é invenção doutrinária: a ISO/IEC 27041:2015 trata da adequação e da validação dos métodos de investigação, e o NIST mantém, no programa de testes de ferramentas forenses conhecido pela sigla CFTT, especificações e resultados públicos de testes de ferramentas de aquisição em dispositivos móveis. Nada disso obriga o perito a usar determinada solução; serve para explicar, quando uma parte ou o juízo questionar, por que aquele instrumento é adequado à finalidade e quais limitações relevantes apresenta.
Há, enfim, três objetos que a prática frequentemente funde: o arquivo ou a cópia forense da aquisição, com seu hash; o relatório automático da ferramenta, dependente de versão e configuração e que convém preservar com identificador próprio; e o relatório de análise, no qual o examinador seleciona, contextualiza e interpreta. Verificar a integridade do primeiro não demonstra, por si só, a correção dos outros dois.
5. O que o Superior Tribunal de Justiça já decidiu, e o que falta decidir
Os critérios de confiabilidade que o STJ vem fixando para a prova digital foram construídos, em grande medida, para aferir o elemento no processo em que surgiu. Ainda não há, na jurisprudência examinada, protocolo sistematizado para a mesma extração passar a servir a outro procedimento, mas decisões recentes oferecem parâmetros próximos do problema.
Em 2026, no AREsp 3.028.845/PR, a Quinta Turma assegurou à defesa acesso integral a gravações, dados brutos e elementos necessários ao controle da origem, custódia, completude, autenticidade e confiabilidade, com renovação dos atos instrutórios afetados. O precedente desloca o foco da mera existência de relatórios para a possibilidade de retorno à fonte e de fiscalização do percurso probatório. A premissa dialoga com o AgRg no RHC 143.169/RJ, em que a mesma Turma afirmou ser ônus do Estado comprovar a integridade e a confiabilidade das fontes de prova que apresenta.
Em 2026, o AgRg no AgRg no HC 1.041.340/RS acrescentou um ponto particularmente próximo do problema do reaproveitamento: a disponibilização apenas de relatórios em PDF e de áudios selecionados, sem acesso comprovado à íntegra das extrações forenses e à documentação técnica correlata, não assegura integralidade e auditabilidade suficientes ao exercício do contraditório. A distinção importa porque seleção analítica e preservação da cadeia de custódia são problemas relacionados, mas não idênticos: um diz respeito ao modo como se escolhe e interpreta o material; o outro, à possibilidade de demonstrar a identidade e o percurso do vestígio.
Há contraponto, e ele delimita o argumento. No HC 653.515/RJ, a Sexta Turma assentou que irregularidades na cadeia de custódia devem ser sopesadas com os demais elementos para aferir a confiabilidade da prova. No Inq 1.658/DF, a Corte Especial, ao tratar de prints de WhatsApp, remeteu a comprovação da quebra à instrução, inclusive com possibilidade de perícia. A jurisprudência não autoriza converter toda falha documental em nulidade automática; por isso, o procedimento de destino precisa receber informação suficiente para que o julgador avalie a confiabilidade e o peso do elemento.
6. Seleção auditável: o problema do relatório de análise
O ponto mais sensível do reaproveitamento é a seleção de trechos que não pode ser auditada: o problema não está em escolher, porque toda análise seleciona, mas em não registrar como se escolheu. É o controle epistêmico sobre elementos obtidos por métodos ocultos de que trata Geraldo Prado, e são os standards metodológicos de produção da prova digital formulados por Gustavo Badaró: sem rastreabilidade do percurso, o resultado não pode ser posto à prova.
Um exemplo mostra por que dado e inferência precisam aparecer separados no documento que circula. Encontrar num celular um texto armazenado como nota não equivale a encontrar uma mensagem enviada: o vínculo exige registro de envio ou outra evidência corroboradora. O mesmo vale para imagens. Se um arquivo sofre recompressão ou transformação no compartilhamento, deixa de ser idêntico byte a byte; hashes criptográficos diferentes, portanto, não excluem origem visual comum. Nesses casos, técnicas de perceptual hashing comparam similaridade de conteúdo, não identidade binária (MCKEOWN; AABY; STEYVEN, 2024). Os horários também exigem normalização: componentes da Foundation da Apple usam como referência 1º de janeiro de 2001, 00:00:00 UTC, distinta do Unix epoch de 1970.
A cautela vale nos dois sentidos. Não encontrar uma mensagem em determinada aquisição não prova que ela nunca existiu: pode ter sido apagada, ser efêmera, estar fora do alcance do método usado ou não ter sido decodificada pela ferramenta. Do mesmo modo, uma nota não prova que seu conteúdo foi enviado nem, sem outros artefatos, onde foi originalmente criado, sobretudo em ambientes sincronizados.
Eoghan Casey propôs uma escala de C0 a C6 para categorizar níveis de certeza na evidência digital e advertiu expressamente que ela se aplica aos dados, não às conclusões extraídas deles. A distinção é útil aqui: quando o relatório migra desacompanhado da fonte verificável, dos critérios de seleção e da metodologia, o procedimento de destino pode receber como resultado técnico aquilo que, em parte, depende de inferência do examinador.
7. Criptoativos, lavagem de capitais e organizações criminosas transnacionais
Nas investigações financeiras, o problema ganha outra dimensão. A diferença entre integridade do dado e atribuição a uma pessoa torna-se especialmente relevante no campo dos ativos virtuais, cujo marco regulatório brasileiro está hoje assentado, entre outros diplomas, na Lei 14.478/2022, no Decreto 11.563/2023 e na Resolução BCB 520/2025. Interessa aqui o que acontece com essa diferença quando a extração começa a circular.
A extração de um dispositivo pode ligar uma pessoa a endereços ou contas de ativos virtuais. Aplicativos de carteira, acessos a prestadoras de serviços, credenciais, fragmentos de frases de recuperação e mensagens podem contribuir para a atribuição, mas nenhum deles prova isoladamente titularidade ou controle. O NISTIR 8202 descreve blockchains como livros-razão distribuídos, resistentes a adulterações e capazes de evidenciá-las, e ressalta que a rede, por si, não associa o titular de uma chave a uma identidade do mundo real. Essa ponte costuma ser reaproveitada: um aparelho apreendido numa investigação financeira pode depois subsidiar medidas patrimoniais, pedidos a prestadoras de serviços e imputações relacionadas a organização criminosa, nos termos da Lei 12.850/2013 e da Convenção de Palermo. Cada uso tem finalidade e exigência probatória próprias.
Laudos que agrupam endereços por heurísticas trabalham com inferências, não com identidade civil inscrita na blockchain. A heurística co-spend, por exemplo, infere controle comum dos endereços usados como entradas da mesma transação; estudos de validação mostram que CoinJoin é uma exceção relevante, porque reúne entradas controladas por participantes distintos (KAPPOS et al., 2022). Em ferramentas proprietárias, documentar método e limitações torna-se ainda mais importante. Também variam os obstáculos de rastreamento: o GAFI/FATF identifica criptomoedas com anonimato reforçado, mixers/tumblers e privacy wallets como mecanismos de menor transparência e maior ofuscação. Já as bridges exigem correlacionar registros de cadeias diferentes; estudos recentes fazem essa ligação por heurísticas de tempo, valor e ativo (YAN; HUANG; TESSONE, 2025).
Quanto mais a análise depende de heurísticas, maior a distância entre o registro observável e a conclusão de atribuição. O documento deve, por isso, explicitar a inferência, os dados que a sustentam e suas limitações. Dizer que um endereço "pertence" ao investigado, sobretudo após mecanismos de ofuscação, exige qualificação metodológica; sem ela, uma probabilidade analítica pode chegar ao destino com aparência de fato diretamente observado.
8. A dimensão transnacional: cooperação e cibercrime
Quando o reaproveitamento cruza fronteiras, a documentação condiciona sua utilidade. A Convenção sobre o Crime Cibernético, promulgada pelo Decreto 11.491/2023, prevê, no plano interno, preservação expedita e busca e apreensão de dados (arts. 16, 17 e 19) e, na cooperação, assistência mútua para conservação e acesso a dados armazenados no exterior (arts. 25, 29 e 31). O art. 32. permite, sem autorização da outra Parte, acessar dados publicamente disponíveis ou recebê-los mediante consentimento legítimo e voluntário de quem tenha autoridade legal para revelá-los.
Cópias de dados e relatórios que atravessam esse circuito serão avaliados por uma autoridade que não participou da aquisição e pode desconhecer ferramenta, versão, escopo e estado do dispositivo. Sem esses registros, o material perde auditabilidade fora do contexto em que nasceu. No sentido inverso, quando dados chegam por cooperação direta com provedores ou outra via juridicamente admitida, documentar origem, percurso, escopo e condições de obtenção é essencial para o controle pelo juízo brasileiro.
