Perícia forense computacional: o que o dado consegue provar

É o exame técnico de vestígios armazenados ou transmitidos por meio eletrônico, feito com método reprodutível e cadeia de custódia documentada, para responder a perguntas de fato dentro de um processo judicial, de um procedimento administrativo ou de uma investigação interna. O objeto pode ser um computador, um celular, um servidor, uma conta em nuvem, uma mensagem, uma imagem ou um documento eletrônico. O que distingue a perícia de uma simples análise técnica é a possibilidade de demonstrar que o material examinado é o mesmo que foi coletado e que outro profissional, com os mesmos dados, chegaria ao mesmo resultado.

Na prática do mercado brasileiro os três termos são usados como sinônimos e designam a mesma atividade. Perícia forense digital e perícia digital são as formas mais comuns no meio jurídico; computação forense e análise forense computacional aparecem mais no meio técnico e acadêmico. Não existe distinção normativa entre elas no CPC ou no CPP.

O perito é auxiliar da Justiça, nomeado pelo juiz, e se sujeita a impedimento e suspeição. O assistente técnico é profissional de confiança da parte, indicado por ela, e não se sujeita a impedimento ou suspeição, conforme o art. 466, §1º, do CPC. O perito produz o laudo; o assistente acompanha a produção da prova, formula quesitos e apresenta parecer. São funções distintas e o mesmo profissional não exerce as duas no mesmo processo.

Computadores, notebooks e servidores; celulares e tablets; mídias removíveis; mensagens de aplicativos; e-mails e seus cabeçalhos; documentos eletrônicos e assinaturas digitais; imagens, vídeos e áudios; registros de acesso e de conexão; sistemas e bancos de dados; e movimentação em blockchain. O que muda entre eles é o método de aquisição e o que cada tipo de vestígio consegue provar.

No processo civil, o art. 473 do CPC exige exposição do objeto da perícia, análise técnica ou científica, indicação do método utilizado com demonstração de que é predominantemente aceito pelos especialistas da área, e resposta conclusiva a todos os quesitos. O §1º manda usar linguagem simples e coerência lógica, e o §2º veda ao perito ultrapassar os limites da designação ou emitir opinião pessoal que exceda o exame técnico.

Serve como indício, não como prova técnica de autenticidade. Uma captura de tela mostra o que estava sendo exibido naquele instante e nada afirma sobre a origem do conteúdo, sobre a ordem real das mensagens ou sobre exclusões anteriores. Existem geradores de conversa falsa acessíveis a qualquer pessoa. Ata notarial melhora a situação porque um tabelião atesta o que viu, mas ainda não substitui o exame do dispositivo ou da base de dados de origem.

É o rastreamento documentado do vestígio desde o reconhecimento até o descarte. O art. 158-B do CPP, incluído pela Lei 13.964/2019, lista dez etapas: reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte. Em meio digital, o instrumento central é o valor de hash calculado na coleta, que permite demonstrar depois que o material examinado é idêntico ao que foi apreendido.

Às vezes, e a resposta honesta depende do dispositivo, do sistema, do tempo decorrido e do uso feito do aparelho depois da exclusão. Em alguns cenários há recuperação integral, em outros apenas fragmentos, e em outros nada. Qualquer profissional que garanta recuperação antes de examinar o material está prometendo o que não pode saber. O primeiro passo é sempre um exame de viabilidade.

O Marco Civil da Internet estabelece prazos mínimos de guarda: um ano para registros de conexão, conforme o art. 13, e seis meses para registros de acesso a aplicações, conforme o art. 15. Por isso a preservação precisa ser requerida cedo. O art. 22 exige que o requerimento judicial contenha fundados indícios do ilícito, justificativa da utilidade dos registros e período ao qual se referem.

Na maior parte dos casos, sim. O exame é feito sobre cópia forense, não sobre o local dos fatos, e mídias e arquivos podem ser recebidos digitalmente ou por envio lacrado com rastreio e termo de recebimento. Exigem presença física a coleta de equipamento que não pode sair do local, o acompanhamento presencial de diligência da perícia oficial e as audiências em que o juízo determinar comparecimento.

Depende do objeto, do volume de dados e do prazo. Um exame de viabilidade em um único aparelho é bem diferente de uma análise de servidor corporativo com meses de registros. Para perito nomeado pelo juízo, os honorários são estimados e submetidos ao juiz, que decide sobre o valor e sobre quem adianta o pagamento. Para assistente técnico, o valor é contratado diretamente com a parte e apresentado antes de o trabalho começar.

Ata notarial serve bem para fixar o que está publicamente visível em determinado momento, como uma publicação em rede social ou uma página na internet. Não serve para afirmar autenticidade de conteúdo, autoria, cronologia real ou existência de exclusões. Quando o ponto controvertido é se aquilo é verdadeiro, e não se aquilo estava lá, o caminho é a perícia.