Backup no iCloud pode ser acessado pela polícia? Entenda em quais casos é permitido

Neste guia, você entenderá se os dados do iCloud podem ser acessados pela polícia e em quais casos isso é permitido. Além disso, verá os desdobramentos do assunto à luz da criptografia, limites técnicos e privacidade. Para isso, o TechTudo conversou com Alexander Coelho, sócio do Godke Advogados e especialista em Direito Digital, Inteligência Artificial e Cibersegurança. A seguir, veja um índice do que será abordado:

O acesso a dados armazenados no iCloud não acontece por iniciativa própria das autoridades. Depende de uma investigação formal em andamento, de indícios concretos de que aquelas informações são relevantes para a apuração de crimes e, na grande maioria dos casos, de autorização da Justiça.

Na prática, isso ocorre em investigações de crimes como fraudes, lavagem de dinheiro, organização criminosa, crimes digitais e qualquer situação em que haja evidências de que dados na nuvem estejam ligados à infração investigada.

Há também uma diferença importante entre dados cadastrais, como nome, e-mail, IP e informações básicas de conta, e o conteúdo efetivo armazenado, como fotos, backups e arquivos. Os primeiros podem ser obtidos com requisições mais simples; o segundo exige sempre autorização judicial.

Para conteúdo armazenado como fotos, backups, documentos, e-mails e mensagens, a exigência de ordem judicial é a regra no Brasil. Essa proteção tem base na Constituição Federal, que garante o sigilo das comunicações e a inviolabilidade da privacidade, e no Marco Civil da Internet (Lei 12.965/2014), que regula especificamente o acesso a dados digitais por autoridades.

Segundo Alexander Coelho:

No entanto, existem exceções pontuais. Dados cadastrais básicos, como nome e informações de conta, podem ser solicitados com menos rigor em alguns cenários investigativos. Em situações emergenciais, como risco imediato à vida, algumas normas preveem acesso mais ágil a determinadas informações, mas sempre com prestação de contas posterior ao Judiciário. Para conteúdo efetivo na nuvem, porém, o mandado judicial é incontornável.

Ter uma ordem judicial não significa ter acesso a tudo. Essa é a parte que mais surpreende: em alguns casos, a impossibilidade de acesso é puramente técnica, não jurídica.

Por padrão, o iCloud armazena backups, fotos, notas e arquivos com criptografia, mas a Apple guarda as chaves de descriptografia em seus servidores. Se um serviço simplesmente criptografar os dados, o provedor de serviço possui a chave para descriptografá-los. Isso significa que pode descriptografar e ler os dados a qualquer momento, ou permitir que o governo o faça. É isso que torna o backup padrão do iCloud acessível mediante ordem judicial: a Apple tem a chave e pode entregá-la.

A situação muda completamente quando o usuário ativa a Proteção Avançada de Dados, recurso opcional da Apple disponível a partir do iOS 16.2. A Proteção Avançada de Dados usa criptografia de ponta a ponta para garantir que a maioria dos dados do iCloud só possam ser descriptografados a partir dos dispositivos de confiança do usuário. Como a Apple não tem as chaves necessárias para recuperar os dados, somente os métodos de recuperação de conta do próprio usuário podem ajudá-lo, caso perca o acesso.

Alexander Coelho confirma o impacto dessa configuração:

Vale registrar um precedente recente: em fevereiro de 2025, a Apple retirou a Proteção Avançada de Dados do iCloud para usuários do Reino Unido após pressão do governo britânico, que exigiu acesso aos arquivos armazenados por meio de um backdoor. A empresa preferiu desativar o recurso no país a criar uma porta clandestina, o que mostra que esse debate está longe de ser resolvido globalmente.

Há uma diferença importante entre o que a Apple tecnicamente consegue entregar e o que fica inacessível mesmo com mandado. Na configuração padrão do iCloud, sem a Proteção Avançada de Dados ativada, a Apple pode fornecer às autoridades, mediante ordem judicial:

Já com a Proteção Avançada de Dados ativada, a maior parte desses dados fica fora de alcance, inclusive para a própria Apple. Alguns dados, no entanto, permanecem protegidos por criptografia de ponta a ponta independentemente de qualquer configuração adicional: senhas, dados de saúde, pagamentos e registros do iMessage continuam protegidos por criptografia mesmo sem a Proteção Avançada ativada.

No caso dos MCs, o backup acessado pela PF estava na configuração padrão, sem a proteção adicional ativada, o que permitiu que a Apple atendesse à requisição judicial e entregasse o conteúdo armazenado.

A maioria dos problemas de segurança digital não vem de falhas do sistema, vem de comportamento do usuário. Alexander Coelho lista os erros mais comuns:

Na prática, os principais pontos de atenção são:

Backup ativado sem atenção às configurações. O iCloud faz backup automático por padrão, e muitos usuários nunca verificaram o que está sendo enviado para a nuvem nem qual nível de criptografia está ativo.

Proteção Avançada de Dados desativada. Esse recurso não vem habilitado por padrão. Para ativá-lo: Ajustes > [seu nome] > iCloud > Proteção Avançada de Dados. Lembre-se: se esquecer a senha, nem a Apple consegue recuperar os dados.

Ausência de autenticação em dois fatores. Sem esse recurso, uma senha comprometida é suficiente para que terceiros acessem a conta e, por consequência, tudo que está no iCloud.

Senhas fracas ou reutilizadas. Credenciais usadas em vários serviços são as primeiras a vazar em ataques a bancos de dados, e a primeira porta de entrada para o iCloud.

A jurisprudência brasileira sobre privacidade digital ainda está em construção, mas a tendência é clara. Alexander Coelho explica:

Um ponto sensível é a cooperação com empresas estrangeiras. A Apple tem sede nos Estados Unidos, e qualquer requisição de dados feita por autoridades brasileiras precisa passar por canais de cooperação internacional, o que envolve acordos de assistência mútua (MLAT, na sigla em inglês) entre os países. Isso não impede o acesso, mas pode adicionar tempo ao processo.

O especialista acrescenta:

No caso da Operação Narco Fluxo, a Justiça autorizou a ampliação das medidas de coleta de provas, permitindo o acesso a novos dados armazenados em plataformas como iCloud e Google Drive, além da apreensão de celulares, computadores e outros dispositivos eletrônicos, com autorização para análise imediata do conteúdo durante o cumprimento dos mandados.

A resposta curta é: privados sim, intocáveis não. E a diferença entre esses dois conceitos é o que a maioria das pessoas não entende.

Alexander Coelho resume com precisão:

O usuário tem controle real sobre parte desse risco. Ativar a Proteção Avançada de Dados move a chave de descriptografia dos servidores da Apple para os seus próprios dispositivos, o que significa que nem a empresa, nem as autoridades, conseguem acessar o conteúdo sem cooperação ativa do dono da conta. A outra parte do controle está nos comportamentos básicos de segurança: senhas fortes, autenticação em dois fatores e atenção às configurações de backup.

O que nenhuma tecnologia resolve é o descuido. No caso investigado pela PF, o backup estava na configuração padrão. A segurança existia, só não foi ativada.

🎥 Galaxy S26 Ultra estreia tela de privacidade exclusiva; veja como funciona