Zachary McCoy soube que era suspeito de um furto por um aviso do Google: a polícia da Flórida queria os dados da conta dele. O instrumento era um mandado de cerca virtual, o geofence warrant, a ordem judicial que colhe do provedor a identidade de todos os aparelhos que estiveram perto do local do crime numa certa janela de tempo. O aplicativo de corrida o registrara pedalando três vezes diante da casa no dia do furto [1]. O que o tirou da mira foi o mesmo registro que o incriminava. O advogado apresentou ao detetive o histórico de localização exportado da conta do cliente, meses de voltas idênticas pelo bairro, rotina de quem se exercita, e a promotoria retirou a ordem reconhecendo que ele não era o ladrão. Nenhuma denúncia chegou a existir. A testemunha que o acusava era dele; arrolada pela defesa, contou o resto da história.
ReproduçãoMcCoy apareceu de passagem no primeiro artigo desta série, como retrato da suspeição geográfica: o mapa criando suspeitos [2]. Faltava contar o desfecho, e ele carrega a tese deste segundo artigo: o mesmo dado que acusa pode defender, e, quando o dado é do próprio acusado, a defesa não precisa pedir licença a ninguém para usá-lo. A prática tem nome, autodefesa informacional: o investigado, titular dos próprios dados, usa os direitos que a lei lhe dá para reconstituir, por fora do processo, o acervo que interessa à sua defesa. Vale desde já uma distinção: quando o dispositivo pertence a outra pessoa, à vítima, ao delator, ao corréu, o caminho continua sendo requerer ao juízo. A testemunha que mais importa, porém, costuma acompanhar o próprio acusado, no bolso e no pulso.
O que o STJ acabou de dizer, e o que não disse
O momento é bom para essa conversa. Em 4 de agosto, o Superior Tribunal de Justiça publicou, no Informativo 895, um acórdão importante para qualquer defesa. Gravações mantidas no banco de dados do Gaeco só apareceram no processo depois das alegações finais, e a 5ª Turma anulou tudo desde a resposta à acusação. A defesa, disse o tribunal, tem direito ao acervo completo sob custódia estatal, não só ao recorte que instruiu a denúncia. E não se lhe pode exigir que demonstre que o material omitido a favoreceria, porque exigir prova do conteúdo que ela nunca viu é exigir prova impossível [3].
É uma vitória, e das grandes. Mas ela se exerce contra o Estado, no ritmo do Estado: a defesa requer, o juiz decide, o órgão responde. E o acervo mais rico sobre a vida do acusado não está com o Estado. Está nas empresas: na operadora, no fabricante do relógio, no provedor de e-mail, no aplicativo de corrida. Sobre essa parte, o acórdão nada diz. Nem precisaria: a chave está em outra lei.
Como se intima essa testemunha
Os dados que essas empresas guardam pertencem, na linguagem da Lei Geral de Proteção de Dados, a um titular, e o titular costuma ser exatamente o investigado. O artigo 18 lhe garante, a qualquer momento e por simples requisição, a confirmação do tratamento e o acesso; o artigo 19 dá ao controlador quinze dias para entregar declaração completa e, quando o tratamento nasce de contrato, caso desses serviços, assegura cópia eletrônica integral, em formato reutilizável [4]. Não há juiz no circuito porque não há sigilo alheio a romper: o dado é do próprio cliente. Essa é a essência da autodefesa informacional.
Na prática, a intimação dessa testemunha é um formulário. As grandes plataformas mantêm ferramentas de exportação que entregam, em minutos, anos de histórico de localização, atividade e acesso. O pedido pode ser feito na primeira entrevista com o advogado, por meio de procuração com poderes específicos, dentro da investigação defensiva que o Provimento 188/2018 reserva à advocacia [5], e antes da resposta à acusação, que é quando as teses se escolhem. Enquanto o requerimento ao juízo espera despacho, a exportação já aconteceu.
E o que essa testemunha sabe? Três coisas, em ordem crescente de interesse.
Sabe onde o cliente estava: o histórico exportado pode desmentir a cronologia da denúncia, que é o álibi clássico, agora com registro objetivo.
Sabe o que o acervo estatal deveria conter: com a cópia integral em mãos, a defesa compara a origem com o que veio aos autos, que é exatamente a auditoria que o STJ acaba de exigir, feita por fora e sem depender de quem selecionou.
E sabe uma coisa que nem o cliente sabe: com quem seus dados foram compartilhados. O inciso VII do artigo 18 obriga a empresa a informar as entidades públicas e privadas com as quais houve uso compartilhado. A defesa pergunta, por escrito: a quem vocês entregaram os dados dele? A resposta, confrontada com o que os autos afirmam sobre a origem de cada elemento, revela se alguma prova circulou por caminho que os autos não contam. Não tem fé pública, mas aponta onde cavar.
Compromisso que ela presta
Testemunha também jura dizer a verdade, e aqui o processo penal brasileiro é mais generoso do que parece. O critério que ele sempre aplicou ao material trazido pelo próprio interessado nunca foi autorização prévia; foi integridade. Desde 1941, o destinatário pode exibir cartas particulares “para a defesa de seu direito, ainda que não haja consentimento do signatário”, e o pacote anticrime admitiu a gravação feita por um dos interlocutores “em matéria de defesa, quando demonstrada a integridade da gravação” [6]. Esse é o preço da autodefesa informacional: guardar o registro do pedido, a resposta completa, o arquivo original com verificação criptográfica e um relatório de como tudo foi obtido.
Duas regras de ouro completam o compromisso. Obter não é juntar: exporta-se para saber, e só depois se decide; se o material favorece, junta-se inteiro, nunca em recorte, porque recorte da defesa repetiria o vício que o STJ censurou no recorte da acusação. E jamais se apaga, altera ou orienta alguém a apagar: a fronteira entre preservar e obstruir não tem zona cinzenta.
Quando ela não pode falar, e quando esquece
Nem tudo ela pode dizer. O acesso não alcança o que corre sob sigilo judicial, porque o direito de acesso mira o que a empresa guarda a título próprio, não a diligência sob reserva. As operadoras de telefonia, guardiãs dos registros que a lei manda reter, costumam resistir mais que as plataformas digitais, e é aí que a porta emperra com mais frequência. Em junho, a Autoridade Nacional de Proteção de Dados abriu processo contra uma operadora apontando, entre outras infrações, a dificuldade dos titulares para acessar o encarregado [7]. Para a recusa há degraus: petição à própria ANPD e, no último, um conhecido esquecido, o habeas data, que a era dos dados reacendeu. A lei que o disciplina manda o depositário decidir o pedido de acesso em quarenta e oito horas [8]. A recusa documentada não prova o fato, mas muda o requerimento judicial seguinte: quem tentou a via direta e esbarrou não pede no escuro.
E ela esquece. Registros de conexão duram um ano; registros de acesso a aplicações, seis meses; imagens de câmeras privadas, dias [9]. O Marco Civil permite que polícia e Ministério Público prorroguem essa guarda por simples requerimento, sem juiz, e a defesa não está nessa lista. O titular não precisa dela: exporta antes que a memória se apague.
Resta a objeção previsível: usar a lei de dados para instruir defesa criminal não seria desvio de finalidade? Onde o direito de acesso é mais velho, a resposta já foi dada. O Tribunal de Justiça da União Europeia decidiu, em 2023, que o paciente pode pedir o prontuário justamente para processar o dentista: o motivo é irrelevante, e a primeira cópia é gratuita [10]. O que vale para o prontuário do paciente vale para o histórico do investigado.
Conclusão
A rotina que este artigo propõe cabe em quatro gestos, todos anteriores à denúncia: mapear, na primeira entrevista, onde mora a vida digital do cliente; exportar antes que os prazos de guarda apaguem a memória da testemunha; preservar com registro e verificação de integridade; e decidir, por estratégia e nunca por impulso, o que entra nos autos. Nenhum desses gestos depende de juiz, de despacho ou da boa vontade do adversário.
O que a série inteira defende é a mudança de mentalidade por trás deles. A prova digital não é território natural da acusação; é território de quem chega primeiro com método. E as duas portas deste artigo se completam: quando o acervo está em mãos estatais, o STJ acaba de derrubar o fardo que mais matava teses defensivas, o de demonstrar o prejuízo, porque ninguém prova o conteúdo do que nunca viu. Quando o acervo está em mãos privadas, nem pedido é preciso: a autodefesa informacional não aguarda permissão, não espera prazo alheio e está na lei desde 2018. O mapa que transformou o ciclista da Flórida em suspeito foi o mesmo que o libertou, e a diferença inteira esteve em quem o chamou a depor. De todas as testemunhas do processo, essa é a única que não depende de convencer o adversário a entregar.
Notas
[1] NBC News, “Google tracked his bike ride past a burglarized home. That made him a suspect”, 7/3/2020: a promotoria de Alachua County retirou a ordem depois que a defesa exibiu o histórico de localização do próprio investigado.
[2] “Suspeição geográfica: o suspeito que o mapa criou”, ConJur, 5/8/2026.
[3] STJ, AREsp 3.028.845/PR, 5ª Turma, rel. min. Ribeiro Dantas, unânime, j. 16/6/2026, DJEN 23/6/2026, Informativo de Jurisprudência nº 895, de 4/8/2026.
[4] Lei 13.709/2018, arts. 18, caput e incisos I, II e VII, e 19, II e § 3º.
[5] Provimento nº 188/2018 do Conselho Federal da OAB, arts. 1º a 3º; LGPD, art. 18, § 3º (exercício por representante legalmente constituído).
[6] CPP, art. 233, parágrafo único; Lei 9.296/1996, art. 8º-A, § 4º, incluído pela Lei 13.964/2019.
[7] ANPD, processos nº 00261.003285/2026-15 (sancionador, Claro) e nº 00261.003351/2026-49 (fiscalização, Serasa), 8/6/2026.
[8] CF, art. 5º, LXXII; Lei 9.507/1997, art. 1º, parágrafo único, e art. 2º.
[9] Lei 12.965/2014, arts. 13 (um ano) e 15 (seis meses), com os §§ 2º, que autorizam a prorrogação por requerimento de autoridade policial ou do Ministério Público.
[10] TJUE, C-307/22 (FT), j. 26/10/2023.
O post Autodefesa informacional: a testemunha que ninguém arrola apareceu primeiro em Consultor Jurídico.