Registros da cadeia de custódia

A confiabilidade de uma evidência depende de seu histórico. A cadeia de custódia é o registro documentado e ininterrupto de quem esteve com um item, quando, onde, por quê e em que condições, desde o momento em que ele foi coletado até sua devolução ou destruição. Esta aula explica o que um registro de custódia contém, como ele se aplica tanto a cópias digitais quanto a dispositivos físicos, como os lacres e os sistemas eletrônicos o apoiam e o que fazer quando algo dá errado. A apreensão e o acondicionamento são abordados no Módulo 3, e os valores de hash que demonstram que uma cópia permanece inalterada, no Módulo 4.

Por que a cadeia deve ser ininterrupta

Um tribunal, um perito da parte contrária ou um auditor fará duas perguntas sobre qualquer item de evidência: este é o mesmo item que foi coletado e alguém poderia tê-lo alterado desde então? A cadeia de custódia responde a ambas. Cada pessoa que teve controle sobre o item é um elo, e cada transferência entre elas é registrada. Uma lacuna, como um dia em que ninguém consegue dizer onde um telefone estava, não prova que algo foi alterado, mas elimina a comprovação de que nada foi. Dependendo do sistema jurídico e das circunstâncias, uma lacuna pode reduzir o peso atribuído à evidência, obrigar as testemunhas a explicá-la em detalhes ou levar à exclusão da evidência.

A cadeia de custódia é o que torna possível a auditabilidade descrita no Módulo 1: uma pessoa independente deve ser capaz de rastrear toda a movimentação de cada item apenas pelos registros, sem depender da memória de ninguém.

O que um registro de custódia contém

Os formulários variam entre as organizações, mas um registro completo contém dois tipos de informação: uma descrição do item, preenchida uma única vez, e uma entrada para cada transferência.

• Identificador único: um número de evidência ou de item que aparece no item, em sua embalagem, nas anotações, em quaisquer imagens criadas a partir dele e no laudo.
• Descrição: tipo de item, marca, modelo e número de série, além de características distintivas, como danos, adesivos ou uma etiqueta patrimonial.
• Detalhes da coleta: onde e quando foi coletado, por quem e sob qual autorização ou referência de caso.
• Cada transferência: quem entregou o item, quem o recebeu, a data e a hora com o fuso horário e a finalidade, como transporte, armazenamento, exame ou apresentação em juízo.
• Condição do item e estado do lacre em cada transferência: o número do lacre, se estava intacto e qualquer mudança na condição do item.
• Assinaturas tanto da pessoa que entrega o item quanto da pessoa que o recebe.

O armazenamento conta como custódia. Enquanto um item permanece em um depósito de evidências, o custodiante responsável pelo depósito é seu detentor, e cada retirada e devolução constitui uma transferência.

Lacres e seus números

Um lacre com evidência de violação é uma etiqueta, fita ou fechamento de saco que não pode ser removido sem deixar danos visíveis. A maioria possui um número único impresso. O número do lacre é anotado no registro de custódia e nas anotações, para que qualquer pessoa que receba o item possa verificar se o mesmo lacre continua no lugar e intacto. Os lacres não impedem a violação; eles a tornam visível.

Quando precisa do item, o perito abre pessoalmente a embalagem, registra que o fez e depois a lacra novamente com um novo lacre, cujo número também é registrado. Escrever as iniciais e a data sobre o lacre e a embalagem acrescenta uma verificação adicional. Um lacre nunca é reutilizado.

Itens físicos e cópias digitais

A custódia não termina no dispositivo. Uma imagem forense também é uma evidência e, em geral, é a evidência que de fato é examinada. Cada imagem, exportação ou conjunto de arquivos extraídos precisa de seu próprio registro:

• O identificador do item de origem e um identificador separado para a cópia.
• Os valores de hash calculados na aquisição, para que qualquer cópia posterior possa ser verificada em relação a eles.
• Cada cópia feita: quando, por quem, em qual mídia ou local de armazenamento e para qual finalidade.
• Quem acessou cada cópia e quando ela foi excluída ou destruída.

As mídias que contêm cópias de evidências, como unidades externas usadas para transportar imagens, são rastreadas como itens próprios, com números de série e entradas de custódia.

Sistemas eletrônicos de custódia

Muitos laboratórios e organizações registram a custódia em software, em vez de em papel: um sistema de gestão de casos, um sistema de gestão de informações laboratoriais (LIMS) ou um sistema dedicado de gestão de evidências digitais. Os itens possuem etiquetas de código de barras ou RFID que são lidas a cada transferência. As vantagens são entradas legíveis, campos padronizados e um log de auditoria: um registro automático, com marcação de data e hora, de cada ação, como visualizar, retirar, baixar ou alterar uma entrada, vinculado a uma conta de usuário individual.

A qualidade de um sistema eletrônico depende de seus controles. Cada pessoa precisa de sua própria conta, o log de auditoria deve ser protegido contra edição, o relógio do sistema deve estar correto e as correções devem ser adicionadas como novas entradas, em vez de sobrescrever as antigas. Quando um formulário em papel também acompanha o item, os dois registros devem coincidir.

Quando algo dá errado

Erros acontecem: um lacre chega rompido, falta uma assinatura, um horário foi anotado no fuso horário errado. A regra é documentar com honestidade, nunca corrigir silenciosamente.

• Registre o que encontrou, quando e quem estava presente; fotografe um lacre ou uma embalagem danificada antes de fazer qualquer outra coisa.
• Comunique o problema à pessoa responsável pelo caso.
• Adicione uma correção ou explicação datada. Nunca coloque uma data retroativa em uma entrada, apague uma entrada ou peça a alguém que assine por uma transferência que não presenciou.
• Quando já existe uma imagem verificada, um novo hash do original pode mostrar se os dados nele foram alterados desde a aquisição.

Um problema revelado e explicado geralmente pode ser resolvido. Um problema ocultado que vem à tona durante a inquirição pela parte contrária prejudica a credibilidade do perito muito mais do que o erro original.

Um exemplo prático: da apreensão ao tribunal

Ana Ruiz, investigadora de uma empresa fictícia de logística, coleta um notebook na mesa de um funcionário sob uma autorização de investigação interna. Ela registra a marca, o modelo e o número de série, atribui o número de evidência LT-01, acondiciona o notebook em um saco para evidências e o fecha com o lacre S-104. O registro então cresce a cada transferência:

Cada linha é assinada por ambas as pessoas. Paralelamente, a imagem LT-01-IMG tem seu próprio registro: seu valor SHA-256 na aquisição, a cópia mestre no servidor de evidências do laboratório e uma cópia de trabalho entregue a M. Lind e posteriormente excluída com autorização. Na audiência, Ana pode demonstrar que o notebook apresentado em juízo é o LT-01 e que seu histórico não tem lacunas, e M. Lind pode demonstrar que a imagem que analisou corresponde ao hash da aquisição.

Foco no exame: Saiba o que um registro da cadeia de custódia contém: identificador único, descrição com número de série, detalhes da coleta e, para cada transferência, as pessoas que entregam e recebem, data e hora, finalidade, número e estado do lacre, condição do item e assinaturas. Lembre-se de que retiradas do armazenamento são transferências e de que imagens forenses e suas cópias também precisam de registros de custódia. Espere cenários sobre lacres rompidos, assinaturas ausentes e lacunas: documente e explique com honestidade, nunca corrija silenciosamente nem use datas retroativas.