Perícias em Informática e Telecomunicações | Auditoria e Segurança da Informação

São Paulo/ SP, 14 de fevereiro de 2017 Parecer LTECH: 01/ 2017 v1 À Advocacia, Autoridade Judicial, Autoridade Policial ou Ministério Público

PARECER TÉCNICO SIMPLIFICADO Documento aberto a interessados no tema. Ref: Parecer sobre o fornecimento de registros de acesso à aplicação WhatsApp I INTRODUÇÃO Tem sido comum em disputas judiciais no Brasil, envolvendo a obtenção de registros de acesso à aplicação WhatsAPP, para apuração da autoria de crimes e delitos cometidos através do aplicativo, a resistência do provedor responsável pelo serviço no Brasil em fornecer tais dados, alegando que o fornecimento é desnecessário. Diante de inúmeras demandas repetitivas, este perito judicial subscritor, analisando tecnicamente a questão, esperando contribuir com jurisdicionados, partes e autoridades do Brasil, em consonância com o art. 156 do Novo Código de Processo Civil, fixou o presente ponto controvertido, o qual enfrenta através deste documento, tecendo suas conclusões amparadas em análises: A necessidade e importância ou não do fornecimento judicial de registros de acessos a aplicação pelo WhatsAPP, quando Facebook é demandado judicialmente, eis que demandado, este informa que os dados do "número telefônico" do suspeito é informação suficiente para apuração da autoria, razão pela qual este perito elabora o presente

Parecer técnico simplificado (v.1)1 (podendo ser utilizado como prova técnica simplificada nos termos do § 2o do art. 464 da Lei 13.105/2015)

nos termos e detalhamentos que passa a expor: 1 O autor autoriza uso do parecer em sua integralidade em processos judiciais ou administrativos, não sendo autorizada a edição, adulteração, montagem, supressão de assinatura ou alteração do documento. O uso deste parecer não faz do autor/ subscritor do documento parte integrante, assistente técnico, participe ou integrante de qualquer modo e em qualquer condição do processo em que for usado. As partes reconhecem e concordam, ao baixarem e utilizarem o parecer em isentar este perito de quaisquer responsabilidades decorrentes da sua utilização. O Parecer reflete o entendimento técnico deste perito, em linhas gerais, sendo que situações específicas devem ser analisadas em detalhes.

II PARECER TÉCNICO Comumente demandada judicialmente, a empresa FACEBOOK SERVIÇOS ONLINE DO BRASIL LTDA., em relação ao aplicativo WhatsAPP, afirma que não poderá fornecer os registros de acesso a aplicação 2 , informando que o número do equipamento de celular do usuário que se busca identificar seria suficiente para que se oficiasse as operadoras e para identificação do autor da ofensa. De fato, identificamos em uma série de processos judiciais que versam sobre o tema certa dúvida judicial sobre tal assertiva, vejamos (dados do processo omitidos):

Tecnicamente, porém, a premissa pregada pelo FACEBOOK é mais que errônea e os registros de acesso a aplicação "WhatsApp" continuam sendo necessários, embora possa-se apurar o titular (dono) de um número celular oficiando-se a operadora responsável pelo número, senão vejamos: 1) Um usuário que utiliza um equipamento celular para criar uma conta e acessar o WhatsApp pode fazer por meio da contratação de um plano 3G atrelado ao seu chip (plano de dados); Neste caso, a operadora poderá fornecer os dados do titular do

2 Nos termos do Art. 4o. da Lei 12.965/ 2015, significa: VIII - registros de acesso a aplicações de internet: o conjunto de informações referentes à data e hora de uso de uma determinada aplicação de internet a partir de um determinado endereço IP.

plano. Por outro lado, um usuário pode simplesmente desativar sua interface de dados (3G) e utilizar por exemplo o WIRELESS (WIFI) de uma empresa, shopping, praça, igreja, pessoa, que é cliente de um outro provedor de acesso (operadora de telefonia). Logo, somente o FACEBOOK poderia indicar estes acessos, fornecendo os registros de acesso a aplicação WhatsAPP (dados que armazena). A operadora cujo número está vinculado só tem dados de sua rede. 2) Assim, nos registros que devem ser fornecidos pelo Facebook, aparecerão, data, hora, fuso horário e IPs3 das conexões do usuário o qual busca-se apurar a autoria no WhatsApp. Nesta lista entrarão os IPs da operadora de telefonia do número do suspeito, mas também (se houver), IPs de todos os demais provedores de acesso por meio dos quais acessou a Internet para se logar (cadastrar/acessar) o aplicativo. Esta informação jamais será descoberta se o Judiciário aceitar a tese pregada pelo Facebook, de que basta oficiar a operadora responsável pelo número telefônico do suspeito, número este que seria exibido a todos no WhatsApp. O suspeito pode contratar uma operadora de telefonia, mas nunca ter usado seu pacote de dados, o que pode ser usado em sua defesa, confundindo e dificultando a responsabilização. Pode até mesmo se conectar à Internet por meio de uma VPN ou outro equipamento celular que esteja com a função ancoragem e roteador wi-fi ativada. 3) Imagine-se a hipótese de um criminoso que vai divulgar fotos íntimas de uma jovem pelo Whatsapp. Um criminoso que pense minimamente irá comprar um chip, validar no CPF de outrem e usar o plano de dados (pré-pago) para postar as informações. Neste caso, ao oficiar a operadora de telefonia esta informará dados de um inocente ou de um laranja. Já, porém, com os dados de acesso à aplicação fornecidos pelo Facebook, bem mais completos, outras informações adicionais, como conexões wireless utilizadas e IPs diferentes poderão ser apresentadas, auxiliando na apuração da real autoria do delito e evitando falsos positivos. 4) Embora o usuário suspeito seja titular de um número de celular, este pode estar em nome de outrem, ou mesmo o usuário ter usado softwares web para acessar o WhatsApp (Web WhatsApp ou BlueStacks, por exemplo). Imagine agora recebendo apenas dados da operadora de telefonia, onde o chip está no nome do Avô ou Sogro do atacante, por exemplo. Uma argumentação forte que será utilizada em defesa será a imprecisão na autoria e o criminoso poderá até ser absolvido por ausência de confirmação técnica. Com os dados de acesso a aplicação, que devem ser fornecidos pelo Facebook, serão apresentados os IPs da Internet (Web) que o usuário usou para realizar as postagens a partir de um computador/dispositivo, o que pode auxiliar na apuração da real autoria e evitar manobras técnicas e jurídicas que afastem a certeza da autoria. É preciso que fique claro que quando se acessa este aplicativo pelo

3 Endereço IP, de forma genérica, é uma identificação de um dispositivo (computador, impressora, etc) em uma rede local ou pública. Cada computador na internet possui um IP (Internet Protocol ou Protocolo de internet) único, que é o meio em que as máquinas usam para se comunicarem na Internet. Fonte: https:/ / pt.wikipedia.org/ wiki/ Endere%C3%A7o_IP

computador, pode-se estar a utilizar um provedor de acesso que não o mesmo do plano de dados do celular. Daí também o reforço à assertiva de que os dados que Facebook guarda são fundamentais para a comprovação da materialidade e apuração da autoria. 5) Alguns equipamentos no mercado possuem dual chip o que importa em dois IMEIS (http://www.microsoft.com/pt- br/celulares/suporte/faq/?action=singleTopic&topic=FA135004). O usuário atacante pode usar seu CHIP em outros equipamentos. Embora remota a possibilidade, ao se pedir dados diretamente às operadores pode-se ter casos de retorno de uso de vários IMEIS para o mesmo número celular, o que facilita teses defensivas para afastar autoria. (Como a alegação, por exemplo, que a conta foi usada por outrem) Os registros de conexão que o Facebook possui poderão auxiliar neste sentido, reduzindo falsas argumentações ou, minimamente, evitando argumentações no sentido de descaracterizar a autoria. 6) Um número telefônico pode ser bloqueado, cancelado e até mesmo liberado para outro usuário, diante de situações como falta de pagamento, por exemplo. Conhecer os dados de acesso a aplicação do WhatsAPP, que o Facebook registra, é identificar exatamente o IP da exata data e hora da postagem indevida, podendo-se, então, oficiar a operadora de telefonia para que indique dados cadastrais da exata data e hora das ofensas, encaminhando-se a ela os dados fornecidos pelo Facebook (primeiro a ser processado), o que assegura mais exatidão na coleta de informações sobre um suposto agressor. Sem estes dados, em se oficiando diretamente e somente a operadora de telefonia, esta poderá retornar dados da pessoa “atualmente” usuária do número ou mesmo um usuário “antecessor” do número, e que nada tem relação com o delito. A operadora fornecerá apenas dados cadastrais (nome, rg, cpf, endereço...) do responsável pela contratação da linha. Já o Facebook pode precisar, antes da fase acima narrada, exatamente os dados de conexão (IPs, data, hora, fuso horário) da pessoa que estava conectada na aplicação na exata data e hora da postagem/mensagem ofensiva, possibilitando à operadora de telefonia maior exatidão na busca dos dados cadastrais do usuário que for identificado como seu cliente. 7) Pode ser que a vítima que ingressa em juízo está buscando dados do administrador de um "Grupo" e que detenha apenas o nome do grupo e não o número do equipamento celular. A rede social WhatsAPP não apresenta um identificador de recursos (https://tools.ietf.org/html/rfc3986) - URI - para grupos, sendo exibido para o usuário somente o nome do grupo. Este fato, por si só, já caracteriza a importância do fornecimento dos dados de acesso a aplicação do usuário vinculado ao grupo como administrador, pois será a única forma de se apurar o provedor de internet (ou operadora de telefonia) utilizado pelo suspeito. Não é possível oficiar a operadora de telefonia para que esta “identifique os dados cadastrais de um suposto número (que não se sabe), mas que no WhatsAPP era administrador do Grupo xpto”. Só o Facebook tem esta informação, responsável pela aplicação em estudo.

8) Não bastasse, sob o prisma legal, a recusa ou não guarda e fornecimento de registros de acesso a aplicações (IP, data, hora, fuso horário), após determinação judicial, é violação à Lei 12.965/2014 (Art. 10 § 1o, dentre outros), que estabelece igualmente em seu artigo 15 que o provedor de aplicações de internet constituído na forma de pessoa jurídica e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 6 (seis) meses, nos termos do regulamento. Neste sentido, na aplicação de sanções pelo descumprimento ao disposto no Marco Civil (Previstas no art. 12 da Lei 12.965/2015), serão consideradas a natureza e a gravidade da infração, os danos resultantes, eventual vantagem auferida pelo infrator, as circunstâncias agravantes, os antecedentes do infrator e a reincidência. III CONCLUSÕES Assim, demonstrado tecnicamente que a despeito da rede social WhatsAPP referenciar usuários por meio do seu número telefônico (que é o ID da aplicação), oficiar diretamente a operadora de telefonia (suprimindo uma fase necessária), com base nos números telefônicos de suspeitos, sem antes receber os dados de acesso a aplicação registrados pelo Facebook para um dado número telefônico não é a melhor prática, impede a ampla produção probatória, gera uma prova incompleta, imprecisa, pode gerar falsos negativos e positivos e prejudica e dificulta a comprovação da materialidade e autoria de uma ofensa, calúnia, injuria, violação à privacidade ou delito de qualquer natureza, cometido por meio do aplicativo em estudo. Restou demonstrado que, embora o número de celular possa ser usado para expedição de oficio direto à operadora de telefonia para acesso à registros cadastrais, os registros de acesso a aplicação mantidos pelo Facebook são mais completos, indicam números IPs de diversos provedores utilizados durante o uso do aplicativo e continuam tendo fundamental importância, pois podem apresentar dados que a operadora responsável pelo número telefônico não possui, como por exemplo, dados IPs de conexões realizadas por outros provedores de acesso. Ademais, em casos em que a ofensa se dá em grupos que a vítima não integra, a relevância dos dados de acesso à aplicação, que só o Facebook tem, é maior, considerando que a vítima não tem sequer os números telefônicos dos usuários integrantes dos grupos ofensivos. Deste modo, enfrentando a questão controvertida, este perito conclui pela total necessidade e importância do fornecimento dos registros de acesso à aplicação WhatsApp pelo Facebook, em casos de ordens judiciais neste sentido, não suprindo tais informações os eventuais dados fornecidos pela operadora de telefonia responsável pelo número identificado. As operadoras de telefonia deverão ser oficiadas

após o recebimento das informações pelo provedor da aplicação (Facebook). Agindo nesta sistemática, assegura-se, sem sombra de dúvidas, segurança, não só para as partes, mas para a sociedade.

Este é s.m.j nosso parecer para o momento

JOSÉ ANTONIO MILAGRE45 Perito em Informática (Perito Digital)

Professor Universitário, Técnico em Informática, Pós Graduado em GTI, Mestre em Ciência da Informação pela Universidade Estadual Paulista

(UNESP) ja.milagre@gmail.com

4 Mini-Curriculum http:/ / josemilagre.com.br/ blog/ quem-sou/ Currículo Lattes http://lattes.cnpq.br/0103047320098610#sthash.KRUFOP0J.dpuf 5 Documento assinado digitalmente. Caso não exista assinatura digital procure versão autêntica no site do Perito José Milagre (www.josemilagre.com.br)