Contraditório como filtro de admissibilidade: precedente EncroChat

Atualmente vivemos uma expansão sistêmica das infraestruturas de comunicação cifrada, consolidando a criptografia como ferramenta imprescindível à salvaguarda da privacidade e do sigilo de dados. Em um cenário onde direitos fundamentais são fragmentados sob o pretexto da segurança pública [1], a técnica de cifração atua como uma barreira técnica e jurídica, transmutando informações inteligíveis em códigos inacessíveis a terceiros desprovidos da respectiva chave de decodificação.

No ordenamento brasileiro, o WhatsApp corporifica a ubiquidade dessa tecnologia por meio da criptografia de ponta a ponta (end-to-end encryption). Tal arquitetura garante a inviolabilidade de mensagens, arquivos e áudios, obstando a interceptação direta pelo próprio provedor de aplicação. Sob a ótica da cooperação judiciária, essa limitação tecnológica implica que, ante a ausência de vulnerabilidades intencionais (backdoors), a plataforma encontra-se impossibilitada de revelar o conteúdo das comunicações em trânsito, restringindo o cumprimento de ordens judiciais ao fornecimento de metadados — tais como registros de conexão, IPs e logs de interações — e dados eventualmente armazenados em backups desprovidos de cifragem.

Criptografia e investigações orientadas por dados

Porém, em um ambiente cada vez mais digital e hiperconectado, a mesma criptografia que preserva a nossa privacidade da “curiosidade” alheia, é também instrumento para a prática delitiva, impulsionando o Estado a buscar métodos cada dia mais sofisticados de infiltração remota e extração de dados que suplantam a apreensão física de aparelhos e alcançam operações técnico-informacionais para além das fronteiras físicas dos países. Investigações como a EncroChat e a Sky ECC se tornaram exemplos paradigmáticos da chamada data-driven criminal investigations [2] (investigações movidas por dados), nas quais o universo de dados colhidos – em um vasto universo geográfico de servidores, provedores e usuários – retroalimenta futuras investigações e amplia de maneira surpreendente o alcance do sistema penal, comprimindo a nossa autonomia, liberdade e privacidade.

Nesse cenário, a cooperação penal europeia, estruturada pela Diretiva 2014/41/UE (OEI [3]), passa a operar como mecanismo de circulação da prova digital, exigindo, por um lado, eficiência investigativa e, por outro, a salvaguarda de um processo penal equitativo (CDFUE, artigo 47 [4]). Para melhor compreensão desse dilema teórico e prático, passaremos a tratar da decisão do Tribunal de Justiça da União Europeia (TJUE) de 30 de abril de 2024 (C-670/22, M.N. – EncroChat); processo relacionado a um caso penal ocorrido na Alemanha, no qual se questionou a licitude de três Ordens Europeias de Investigação (OEI) expedidas pelo Ministério Público, voltadas à obtenção e transferência de dados provenientes de comunicações criptografadas associadas ao serviço EncroChat.

Operação EncroChat

Operando com um servidor instalado na cidade de Roubaix, na França, o EncroChat consistia em um serviço de comunicação criptografada por meio de telefones dedicados (“cryptophones”) — isto é, aparelhos móveis dotados de software e hardware específicos para viabilizar criptografia de ponta a ponta (end-to-end encryption), com a finalidade prática de permitir que os usuários trocassem comunicações sem a interceptação de terceiros [5]. No dia a dia, o serviço era amplamente utilizado como meio de comunicação para fins delitivos, sobretudo por redes de criminalidade organizada, levando a polícia francesa a construir uma ferramenta avançada para conseguir quebrar a barreira criptográfica.

Com autorização judicial, a polícia francesa desenvolveu uma ferramenta cibernética de invasão, descrita tecnicamente como um vírus, implant ou software do tipo “cavalo de Troia“, que foi inicialmente carregado no servidor central do EncroChat, passando então a enviar uma mensagem a todos os usuários da plataforma alertando que era necessário realizar uma atualização de software em seus dispositivos. Quando os usuários aceitavam e iniciavam a suposta atualização, o vírus era instalado secretamente nos terminais móveis, permitindo a extração e a transferência contínua dos dados armazenados no aparelho diretamente para as autoridades policiais.

Spacca

A eficácia tática desse vírus residia no fato de que ele não precisava quebrar chaves criptográficas complexas, pois capturava as mensagens de texto diretamente no aparelho no exato momento em que o usuário as digitava (antes mesmo de serem criptografadas pelo aplicativo para envio) ou logo após serem recebidas (assim que o próprio aparelho as descriptografava para leitura). Por meio dessa técnica o software infectou 32.477 aparelhos, num total de 66.134 usuários inscritos, espalhados por 122 países, dentre os quais 4.600 estavam na Alemanha.

Reenvio prejudicial ao TJUE

O acervo probatório derivado da referida técnica de fishing expedition foi subsequentemente compartimentalizado e difundido entre diversas jurisdições internacionais, compelindo o Tribunal Regional de Berlim a submeter um reenvio prejudicial ao Tribunal de Justiça da União Europeia (TJUE — Grande Secção). O pleito objetivava a uniformização interpretativa sobre pontos fundamentais da Diretiva 2014/41/UE, a saber: (1) a definição da autoridade legitimada para a emissão da OEI quando a diligência visa à obtenção de evidências digitais já custodiadas pelo Estado de execução [6]; (2) quais são os critérios de necessidade e proporcionalidade para emissão da ordem; (3) se as medidas de infiltração e extração de dados devem ser consideradas uma forma de “interceptação de telecomunicações” atraindo o dever de notificação (artigo 31 da Diretiva 2014/41/UE) a uma autoridade do país que é alcançado com a medida [7]; e (4) a compatibilidade do regime de utilização de provas transfronteiriças com os postulados do contraditório e do fair trial (direito a um julgamento justo).

Com relação ao último ponto — tema que circunscreve o presente texto — o Tribunal Regional de Berlim interrogou se “à luz do direito a um processo equitativo, o princípio da proporcionalidade se opõe à emissão de uma decisão europeia de investigação nos casos em que a integridade dos dados obtidos através da medida de intercessão não possa ser verificada devido ao caráter confidencial da tecnologia de base que permitiu essa medida e nos casos em que, por essa razão, o arguido possa não estar em condições de comentar eficazmente esses dados no processo penal posterior” [8].

Artigo 14(7) da Diretiva 2014/41/UE

Tal questionamento encontra amparo no disposto no artigo 14(7) da Diretiva 2014/41/EU, 03 de abril de 2014, relativa à ordem europeia de investigação em matéria penal, que reza:

“Art. 14(7). Se a impugnação do reconhecimento ou execução de uma DEI [OEI] for procedente, essa decisão será tida em conta pelo Estado de emissão de acordo com a lei nacional. Sem prejuízo do disposto no direito processual nacional, os Estados-Membros asseguram-se de que, no processo penal no Estado de emissão, quando da avaliação dos elementos de prova obtidos através da DEI [OEI], são respeitados os direitos da defesa e a equidade do processo”. (destaque do colunista)

Nos casos levados a julgamento a partir do material angariado com a operação EncroChat — em espelhamento ao que ocorreu na operação SKY ECC – a defesa alegou violação do direito a um julgamento justo/equitativo (artigo 6 da CEDH e artigo 47 da CDFUE) devido à impossibilidade de verificar a integridade e a autenticidade das mensagens interceptadas. No caso, o Ministério Público e a polícia não forneceram os dados “brutos” originais extraídos (nos formatos PCAP ou JSON com as chaves de descriptografia), entregando apenas transcrições filtradas em planilhas do Excel, ou seja, arquivos editáveis que não possuíam assinatura digital, certificação de autenticidade ou valores de hash que comprovassem sua inalterabilidade desde o momento da captação [9].

Além disso, as autoridades opuseram o “Segredo de Estado” (Segredo de Defesa Nacional na França) para não revelar o procedimento de acesso ao servidor, a ferramenta técnica de invasão (o vírus ou implant), o algoritmo de criptografia e como as informações foram filtradas e decifradas. Isso impediu que assistentes técnicos da defesa analisassem se o material colhido sofreu manipulação ou erros técnicos, minando a confiabilidade e utilidade dos dados [10].

Assimetria probatória e contraditório

Nesse contexto, a defesa é colocada em situação de assimetria estrutural, despojada de meios adequados para impugnar, com profundidade técnica, a origem, a integridade e a completude do material, tornando sem efeito a estrutura básica de um processo equitativo.

Levando em consideração esse quadro de desconformidade com a garantia do contraditório efetivo, o Tribunal de Justiça da União Europeia assentou que, em procedimentos penais, as cortes nacionais devem desconsiderar informações e provas quando a pessoa não estiver em posição de comentar (impugnar) eficazmente sobre elas e quando tais elementos forem suscetíveis de exercer influência preponderante na fixação dos fatos [11].

Dessa forma, o artigo 14(7) da Diretiva 2014/41/EU, tal como interpretado, opera como válvula de proteção de um processo justo, sobretudo quando a defesa não dispõe de meios para contestar a integridade, a origem, a completude e a cadeia informacional do dado. O binômio impossibilidade de comentar [impugnar] eficazmente a prova e a análise do seu grau de influência preponderante estabelece um critério analítico que, na prática, exige do magistrado que recebe o material produzido um juízo qualificado de confiabilidade e de paridade de armas, compatível com a sensibilidade epistêmica da prova digital num ambiente de grande opacidade tecnológica e assimetria informacional entre a acusação e a defesa.

A decisão reforça o núcleo do devido processo legal (artigo 47 da CDFUE e artigo 6º da CEDH) num diálogo direto com a garantia do contraditório que, na sua acepção substancial, não se reduz à mera ciência formal dos atos, pois pressupõe que as partes tenham efetivo conhecimento de tudo o que foi produzido e seja apto a ser considerado pelo julgador. Sem a paridade de armas e a possibilidade real de manifestação, a decisão judicial perde a sua densidade democrática e se converte num ato assimétrico produzido sob o crivo de elementos unilaterais, incompletos ou não testados. Assim, ao determinar o desentranhamento das provas, o TJUE desloca o contraditório do plano meramente formal para o patamar de condição de legitimidade epistêmica da prova, reforçando a paridade de armas e prevenindo condenações fundadas em evidências “imunes ao debate” e camufladas sob o rótulo de “segredo de Estado”.

 

---

[1] “A privacidade, além de não ser mais vista como um direito fundamental, é, de fato, frequentemente considerada um obstáculo à segurança, sendo superada por legislações de emergência”. (RODOTÀ, Stefano. A vida na sociedade de vigilância. A privacidade hoje. Org. Maria Celina B. de Moraes; Trad. Danilo Doneda e Luciana C. Doneda. Rio de Janeiro: Renovar, 2008, p. 14).

[2] OERLEMANS, J. J.; VAN TOOR, D. A. G. Legal Aspects of the EncroChat Operation: A Human Rights Perspective. European Journal of Crime, Criminal Law and Criminal Justice, [s. l.], v. 30, n. 3-4, p. 309-328, 2022.

[3] A Ordem Europeia de Investigação (OEI) é uma decisão judicial emitida ou validada por uma autoridade judicial de um Estado-Membro da União Europeia com o objetivo de que uma ou várias medidas de investigação específicas sejam executadas noutro Estado-Membro (o “Estado executor”) para recolher ou utilizar provas em processos penais. (OERLEMANS… op. cit.).

[4] Carta de Direitos Fundamentais da União Europeia, art. 47: “Toda a pessoa cujos direitos e liberdades garantidos pelo direito da União tenham sido violados tem direito a uma acção perante um tribunal nos termos previstos no presente artigo. Toda a pessoa tem direito a que a sua causa seja julgada de forma equitativa, publicamente e num prazo razoável, por um tribunal independente e imparcial, previamente estabelecido por lei. Toda a pessoa tem a possibilidade de se fazer aconselhar, defender e representar em juízo. É concedida assistência judiciária a quem não disponha de recursos suficientes, na medida em que essa assistência seja necessária para garantir a efectividade do acesso à justiça”.

[5] BAJOVIĆ, Vanja; ĆORIĆ, Vesna. Encrochat and SkyECC data as evidence in criminal proceedings in light of the CJEU decision. European Journal of Crime, Criminal Law and Criminal Justice, v. 33, p. 235-262, 2025.

[6] Outras questões ainda poderiam surgir: seria possível um estado “A”, cuja legislação não autoriza o uso de técnicas equiparáveis a “hacking” de dispositivos e servidores, se valer da prova produzida pelo estado “B”, numa forma se superar suas limitações domésticas?

[7] O Estado executor deve notificar o Estado no qual se encontra o alvo da interceptação, mesmo quando não se exige assistência técnica do Estado notificado?

[8] Item 83.

[9] Há uma dimensão político-institucional que não pode ser desprezada. Se apenas “segmentos” dos dados são compartilhados, o Estado detentor preserva a totalidade e decide estrategicamente o que revelar; e, se o Estado receptor tem acesso amplo mas seleciona alvos, pode fazê-lo por razões extrajurídicas, criando uma forma de “justiça seletiva” impulsionada por interesses (talvez) pouco republicanos. Nesse sentido: BAJOVIĆ, Vanja, op. cit., p. 252.

[10] O sigilo técnico pode ser necessário para, no futuro, não neutralizar o uso da mesma ferramenta. Mas, de outro giro, a opacidade excessiva compromete a capacidade defensiva. A resposta institucional adequada, esclarece BAJOVIĆ, et ali, exige ao menos um nível mínimo de explicação do processo de obtenção (sem expor detalhes técnicos sensíveis).

[11] 131. Tendo em conta os fundamentos acima expostos, há que responder à quinta questão que o artigo 14.o, n. 7, da Diretiva 2014/41 deve ser interpretado no sentido de que impõe que o juiz penal nacional exclua informações e elementos de prova, no âmbito de um processo penal instaurado contra uma pessoa suspeita da prática de crimes, se essa pessoa não puder comentar eficazmente essas informações e esses elementos de prova e se estes últimos puderem influenciar de forma preponderante a apreciação dos factos.