Ninguém tem o metadado inteiro

Uma foto enviada num golpe carrega três datas. A que a câmera gravou dentro do arquivo. A que o aparelho anotou ao salvar. A que o serviço de mensagens registrou ao transportar. Três datas, três donos, e nenhum deles tem as outras duas.

O capítulo anterior desta série, o glossário da prova digital, disse o que cada termo é e quem o define. Este diz onde cada um mora, por classe de lugar, e o que abre a porta de cada casa. A pergunta muda: não é mais "o que é", é "com quem está, e o que custa pedir".

Camada 1: dentro do arquivo

Quem tem: quem tem o arquivo. O que tem: o que o próprio arquivo carrega. Numa foto, o padrão EXIF: modelo do aparelho, data, ajustes da câmera e, quando o aparelho grava, a coordenada. Num documento, quem criou, quando alterou, com que programa.

O que abre a porta: posse. Se o arquivo está com a vítima, ela entrega, e o que decide o valor do que entregou é o original preservado, com a data em que foi guardado e uma impressão digital matemática que qualquer perito confere depois. É o que As primeiras horas ensinou sem o vocabulário e o glossário nomeou: cadeia de custódia, art. 158-A do Código de Processo Penal. Se o arquivo está com o investigado, a porta é outra, e é a camada seguinte.

Uma frase basta sobre o que não se escreve aqui: dizer que uma foto carrega coordenada é princípio; dizer onde ficam os vestígios de que ela foi editada é mapa. Este texto fica no princípio.

Camada 2: o sistema que guarda

Quem tem: quem controla o aparelho, ou a conta na nuvem. O que tem: as datas que o sistema anota por conta própria, os artefatos que ele deixa ao funcionar, a cópia que subiu para a nuvem sem que ninguém pedisse.

O que abre a porta, quando o aparelho é do investigado, é busca e apreensão. O Código de 1941 autoriza a busca domiciliar "quando fundadas razões a autorizarem", entre outros fins, para "descobrir objetos necessários à prova" e "colher qualquer elemento de convicção", com mandado que diga "o motivo e os fins da diligência". A lei fala em coisa, casa e pessoa. Não fala em conteúdo.

Quem respondeu sobre o conteúdo foi o Supremo Tribunal Federal (STF), em junho de 2025, no Tema 977 de repercussão geral. A tese separa exatamente as duas portas. Apreender o aparelho, pelo art. 6º do Código ou em flagrante, "não está sujeita à reserva de jurisdição". Ler o que está dentro de aparelho apreendido "será condicionado ao consentimento expresso e livre do titular dos dados ou de prévia decisão judicial", fundamentada em elementos concretos e delimitada. Aparelho encontrado por acaso é a exceção: o acesso só para descobrir de quem é e quem fez "não depende de consentimento ou de prévia decisão judicial, desde que justificada posteriormente". E a tese usa a palavra desta série: a polícia "poderá adotar as providências necessárias para a preservação dos dados e metadados contidos no aparelho" antes da ordem, justificando depois. Preservar não é ler. É a cadeia de custódia dita pelo Supremo.

A tese nomeia o art. 6º e o flagrante. Pela leitura desta redação, o mesmo vale para o aparelho apreendido com mandado do art. 240: a regra é sobre o acesso ao conteúdo, não sobre a forma da apreensão. A tese tem efeitos prospectivos e embargos de declaração pendentes, com vista à Procuradoria-Geral da República desde junho de 2026. O Superior Tribunal de Justiça (STJ) tinha chegado antes: em 2016, no RHC 51.531, decidiu que "sem prévia autorização judicial, é ilícita a devassa de dados e das conversas de whatsapp obtidas diretamente pela polícia em telefone celular apreendido no flagrante".

Quando o que se quer está na nuvem, o dono é o provedor, e aí é a camada seguinte.

Camada 3: o serviço que transportou, em três balcões

É aqui que o metadado mais importa, porque é o registro que o investigado não controla. E "o serviço" não é um balcão. São três, com três leis, e cada um responde de um jeito para três pedidos diferentes: o cadastral, o registro e o conteúdo.

O provedor de internet

Vale para quem dá a conexão e para quem roda a aplicação, do e-mail à rede social. A lei é o Marco Civil da Internet.

Sem juiz: os dados cadastrais que informem "qualificação pessoal, filiação e endereço", que a autoridade administrativa com competência legal pode requisitar (art. 10, § 3º).

Com juiz: os registros, de conexão e de acesso a aplicações, "de forma autônoma ou associados a dados pessoais", só "mediante ordem judicial" (art. 10, § 1º). E o conteúdo das comunicações, só por ordem judicial, "nas hipóteses e na forma que a lei estabelecer" (art. 10, § 2º).

Por quanto tempo existe: o registro de conexão é guardado por um ano (art. 13); o de acesso a aplicações, por seis meses (art. 15). Depois disso, o provedor pode apagar, e a lei permite à autoridade pedir que guarde por mais tempo (art. 13, § 2º, e art. 15, § 2º). É o conselho de prazo que o glossário deixou para cá: o registro de aplicação some em seis meses se ninguém pedir.

A fronteira em julgamento: correlacionar o cadastral com o registro para chegar a uma pessoa é o ato que a Ação Declaratória de Constitucionalidade (ADC) 91 discute. Na tese do relator, ministro Cristiano Zanin, essa correlação "exige autorização judicial específica". O julgamento está suspenso, e a análise que comparou a regra americana com o Marco Civil conta a cronologia.

A operadora de telefonia

Aqui a lei se divide em duas, e uma decisão do Supremo em andamento organiza as duas.

Sem juiz: nas ADIs 5.059 e 5.073, sobre a lei que define o que o delegado pode requisitar, o relator, ministro Dias Toffoli, votou em 27 de agosto de 2026 que o delegado e o Ministério Público podem requisitar diretamente às operadoras os "dados cadastrais" do titular da linha, "assim considerados, unicamente, nome completo, filiação e endereço". O voto-vista que o ministro Cristiano Zanin, o mesmo que relata a ADC 91, deu em 2025 tem a formulação que melhor explica onde a linha passa: requisição direta só para o que "implique intervenção de baixa intensidade na esfera da privacidade, como o acesso a dados cadastrais básicos". O julgamento foi suspenso no mesmo dia.

Sem juiz, mas só em alguns crimes: o Código de Processo Penal abre uma exceção estreita. Nos crimes contra a liberdade pessoal que lista, e no tráfico de pessoas, o delegado e o Ministério Público podem requisitar direto dados cadastrais de vítima e suspeitos (art. 13-A) e, no tráfico de pessoas, os sinais que permitam localizar vítima ou suspeito, por até trinta dias (art. 13-B). O voto do relator de 27 de agosto coloca nessa exceção a localização por estação de rádio e, no tráfico de pessoas, também o extrato de chamadas e o de mensagens de texto, "sem controle judicial prévio, mas sempre sujeito ao controle judicial posterior".

Com juiz, e sob segredo: o conteúdo. Interceptar comunicação telefônica, "de qualquer natureza", depende de ordem do juiz "sob segredo de justiça" (Lei 9.296/1996, art. 1º), e a lei se aplica também "à interceptação do fluxo de comunicações em sistemas de informática e telemática". Não se admite quando não houver "indícios razoáveis da autoria", quando "a prova puder ser feita por outros meios" ou quando o crime for punido só com detenção (art. 2º). A decisão vale por quinze dias, renovável uma vez (art. 5º). Pela letra das duas leis, isso é o fluxo, a comunicação em trânsito. Mensagem que já chegou e ficou guardada no provedor é conteúdo armazenado, e cai no art. 10, § 2º, do Marco Civil.

O banco e o cartão

A regra é o sigilo. As instituições financeiras "conservarão sigilo em suas operações ativas e passivas e serviços prestados" (Lei Complementar 105/2001, art. 1º), e a lista inclui a administradora de cartão de crédito.

Sem juiz: o mesmo trio. O art. 17-B da Lei 9.613/1998 dá à polícia e ao Ministério Público acesso, "independentemente de autorização judicial", aos dados cadastrais "que informam qualificação pessoal, filiação e endereço", mantidos por instituições financeiras, operadoras, provedores e administradoras de cartão. O Supremo fixou o limite em tese, na ADI 4906, em 2024: a norma é constitucional, "excluído do âmbito de incidência da norma a possibilidade de requisição de qualquer outro dado cadastral além daqueles referentes à qualificação pessoal, filiação e endereço". Há embargos pendentes: o relator votou por rejeitá-los, e o julgamento foi levado ao plenário presencial em setembro de 2026.

Com juiz: o resto. As informações "ordenadas pelo Poder Judiciário" são prestadas "preservado o seu caráter sigiloso mediante acesso restrito às partes" (LC 105, art. 3º).

O que não é violação de sigilo: a comunicação de ilícito às autoridades (art. 1º, § 3º, IV), que é o caminho pelo qual o banco avisa, e a troca de informações cadastrais entre instituições (inciso I), que é o caminho pelo qual o cadastro circula.

Um ponto que o art. 13-A deixa aberto: ele fala em "dados e informações cadastrais" de qualquer órgão ou empresa, sem o trio. Se o limite que o Supremo fixou para o 17-B alcança também o 13-A é leitura que esta série ainda não fecha.

A tabela

O mesmo dado, duas leis, de novo

Enquanto está no provedor, na operadora ou no banco, tudo isso é dado pessoal, sob a Lei Geral de Proteção de Dados. Quando a autoridade requisita para investigar, sai do alcance dela, porque a própria lei diz que não se aplica à investigação penal e promete uma lei específica que não veio. O glossário já contou essa história. Aqui ela serve para uma coisa só: o regime que protege o dado muda de nome na porta, mas a porta continua existindo.

Por que o cruzamento precisa de três portas

Como nenhum dono tem tudo, o cruzamento que sustenta uma prova passou por mais de uma porta. E as portas que exigem juiz deixam rastro: a ordem, o ofício, a resposta com data. Esse rastro é a cadeia de custódia do cruzamento. Um cruzamento que não consegue mostrar por onde entrou em cada camada é um dado como outro qualquer, e a tese do relator na ADC 91 diz exatamente isso quando faz da correlação, e não do dado, o ato que depende de autorização.

Em uma linha

Ninguém tem o metadado inteiro. Quem junta as partes precisa mostrar por qual porta entrou em cada uma, e é essa conta, não o dado, que a lei fiscaliza.

Fontes

• Código de Processo Penal — arts. 6º, 13-A, 13-B, 158-A e 240 a 250
• Marco Civil da Internet — Lei nº 12.965, de 23 de abril de 2014, arts. 5º, 10, 13 e 15
• Lei de interceptações — Lei nº 9.296, de 24 de julho de 1996, arts. 1º, 2º e 5º
• Sigilo bancário — Lei Complementar nº 105, de 10 de janeiro de 2001, arts. 1º e 3º
• Lei de Lavagem de Dinheiro — Lei nº 9.613, de 3 de março de 1998, art. 17-B
• Lei Geral de Proteção de Dados — Lei nº 13.709, de 14 de agosto de 2018, art. 4º
• Supremo Tribunal Federal (STF) — ARE 1.042.075, Tema 977 de repercussão geral, tese fixada em 25 de junho de 2025; despacho sobre os embargos de 17 de junho de 2026
• Supremo Tribunal Federal (STF) — ADC 91, certidão da sessão de 27 de agosto de 2026
• Supremo Tribunal Federal (STF) — ADI 5.059 e ADI 5.073, certidão da sessão de 27 de agosto de 2026 e voto-vista de setembro de 2025
• Supremo Tribunal Federal (STF) — ADI 4906, tese de 11 de setembro de 2024; certidão da sessão virtual dos embargos, de 11 a 18 de setembro de 2026
• Superior Tribunal de Justiça (STJ) — RHC 51.531-RO, Informativo de Jurisprudência, edição extraordinária n. 18, julgado em 19 de abril de 2016
• CyberX — Dado não é prova: um glossário do que sustenta a evidência digital