Há uma cena que o advogado criminalista reconhece antes de precisar lê-la até o fim: o aparelho apreendido em flagrante, o policial que "só deu uma olhada", a tela que acende, o chip que sai "para garantir que não vai apagar nada". Às vezes acontece na frente do investigado. Às vezes no caminho até a delegacia. Às vezes já no plantão, com o aparelho tecnicamente sob custódia, antes de qualquer formalização. A cena é comum demais para surpreender — e rara demais nos autos para ser enfrentada.
O que a defesa raramente explora é que o dispositivo estava presente. E que registrou tudo.
Cada interação com um aparelho celular gera eventos com timestamp. Tela que acende, evento. Tentativa de desbloqueio — bem-sucedida ou não —, evento. Aplicativo aberto, evento. Boot inesperado, evento. Remoção do SIM, evento. Esses registros ficam nos arquivos de log do sistema operacional, arquivos que as ferramentas de extração forense capturam integralmente e que um processamento adequado indexa e torna pesquisáveis.
O que o relatório padrão de perícia apresenta é o conteúdo de interesse investigativo: mensagens, contatos, fotos, ligações. O que ele não apresenta, quase nunca, é o histórico de eventos do sistema no período anterior ao exame. Não apresenta porque ninguém pediu. E ninguém pediu porque a defesa, em geral, não sabe que está lá.
Há ainda um degrau anterior a esse. Mesmo quando se pede, certos eventos de sistema gravam o instante em campos que as consultas convencionais não interrogam — e, para a consulta, um evento sem data não existe. Tratei desse problema em Quando a indexação não enxerga. Aqui a pergunta é outra: supondo que os eventos apareçam, o que fazer com eles.
A primeira janela está entre dois documentos que chegam juntos nos autos sem que ninguém os compare: o Termo de Apreensão, que registra a hora da apreensão declarada, e o relatório de extração forense, que registra quando o exame foi realizado. Entre os dois há um intervalo — horas, às vezes dias, dependendo da fila do setor de informática forense. Tudo que aconteceu nesse intervalo está nos logs do dispositivo. Cruzar os dois documentos com a linha do tempo de eventos do aparelho é o pedido que a defesa não faz.
A segunda janela é mais grave, porque não é sobre o que aconteceu durante o intervalo — é sobre se o intervalo está sendo medido a partir do ponto certo.
O Termo de Apreensão é redigido pelo policial que realizou a apreensão, depois do fato, no plantão ou na delegacia. O horário declarado não é necessariamente o horário em que o aparelho saiu da mão do investigado — é o horário em que o policial sentou para escrever, ou o horário que ele considerou adequado declarar. O dispositivo não participou dessa decisão. Ele registrou o que aconteceu.
Quando os logs mostram eventos em momento anterior ao horário declarado no Termo, a defesa tem duas hipóteses factualmente demonstráveis: o aparelho foi acessado antes mesmo do ato que formaliza a custódia — o que significa acesso a dados sem qualquer registro que o documente — ou o horário declarado no Termo está incorreto, o que é, por si só, um problema de cadeia no documento que inaugura o rastro. Qualquer das duas serve à defesa. O dispositivo as documenta com a mesma indiferença.
Há ainda uma terceira camada que potencializa o argumento: Boletim de Ocorrência, Termo de Apreensão e registro do plantão frequentemente carregam horários que não fecham entre si. Quando os logs do dispositivo conflitam com qualquer um desses documentos, a base para solicitar o cotejo completo das fontes está estabelecida — e é raro que o cotejo venha inteiramente limpo.
Antes de seguir, a disciplina que separa o achado utilizável do achado que desaba no contraditório.
Evento de tela não é operação humana
Uma tela que acende é evento de sistema. Pode vir de notificação, de rotina interna do sistema operacional, de conexão a carregador, de manuseio incidental. O registro prova que houve evento de energia ou de tela. Não prova que alguém leu, digitou ou alterou o que quer que seja.
Aparelho com atividade não é aparelho adulterado
Eventos posteriores à apreensão são anomalia de custódia que demanda explicação — não prova de manipulação dolosa. O aparelho pode ter sido carregado para a própria extração. Pode ter processado notificações, se não foi corretamente isolado. Pode ter registrado eventos por procedimento legítimo da perícia. O achado abre a pergunta. Não a responde.
A formulação que resiste é a de indício técnico
Os registros constituem indício de que o dispositivo não permaneceu inerte durante a custódia, o que demanda esclarecimento sobre o manuseio no período. "Provamos que adulteraram a prova" não resiste ao primeiro contraditório — e, ao cair, leva junto a credibilidade de todo o restante do trabalho técnico.
A contenção não enfraquece o argumento. É o que o mantém de pé quando a perícia adversa vier testá-lo.
A acusação vai responder com o hash. É o argumento padrão: o valor calculado sobre o arquivo de extração confere com o hash documentado no laudo, logo a prova está íntegra.
Essa resposta está certa e é irrelevante.
Hash garante que o arquivo de extração não foi modificado depois de sua geração. Não prova o estado do dispositivo no momento da apreensão. Não prova o que aconteceu com o aparelho nas horas entre a abordagem policial e a chegada ao laboratório. A manipulação que ocorreu antes da extração não aparece no hash — aparece nos logs, que existiam antes dele e que o hash não alcança. "Hash conferido" responde à pergunta "o arquivo foi alterado após a extração?". Não responde à pergunta "o aparelho foi acessado antes da extração?". Essas são perguntas diferentes, e confundi-las — intencionalmente ou não — é o que o argumento do hash permite.
O STJ consolidou, na Edição 279 das Jurisprudências em Teses, que o acesso a dados em aparelho celular apreendido em flagrante, realizado diretamente pela polícia sem autorização judicial, é ilícito — ressalvada apenas a hipótese de voluntariedade do detentor. É a Tese 3 da edição, ancorada em julgados recentes de ambas as Turmas criminais, o mais recente de março de 2026.
Na Edição 281, publicada em maio de 2026, o STJ fixou que a integridade e auditabilidade da prova digital exigem preservação da cadeia de custódia e possibilidade de exame técnico independente, em observância ao princípio da mesmidade (Tese 3). E que, havendo dúvida razoável sobre a integridade e autenticidade da prova digital, é necessária a realização de exame pericial para assegurar a confiabilidade do material e o exercício do contraditório (Tese 4).
A sequência é operacionalmente precisa. Logs que mostram eventos no intervalo entre a apreensão declarada e a extração pericial — ou que conflitam com os horários dos documentos de custódia — constituem dúvida razoável sobre a integridade da cadeia, no sentido exato que a Tese 4 da Edição 281 estabelece. O pedido de exame pericial independente com análise específica dos logs de sistema não é especulação defensiva. É a consequência direta do padrão que o próprio STJ fixou.
O dispositivo não tem interesse na narrativa de ninguém. Registrou o que aconteceu, no horário em que aconteceu, sem saber o que o Termo ia declarar depois. Não conclui nada sozinho — mas também não omite nada por conveniência.
O que está nesses logs, na maioria dos casos, nunca foi lido. Não porque não esteja lá — está, em todo aparelho extraído, indexado e arquivado. Porque ninguém pediu para ver.
Ex-delegado de Polícia, com 20 anos de serviço público. Fundador da Cyberlex, atua como assistente técnico da defesa em prova digital e forense de dispositivos móveis.
Material técnico-educativo, sem referência a caso, processo, comarca ou pessoa determinada. A Cyberlex produz documentos técnicos de assistência ao advogado e ao cliente — parecer de assistência técnica, nota técnica e análise —, com linguagem de indício técnico e limitações explícitas, e não emite laudo pericial oficial nem exerce advocacia. Anomalias de custódia são sinalizadas com linguagem de incerteza, jamais asseridas como manipulação provada.