Jornalista: como os metadados podem expor uma fonte

Sim, um arquivo enviado por uma fonte pode identificá-la, e quase sempre por campos comuns, sem nenhuma técnica sofisticada: o autor do documento, o nome do computador, o número de série da câmera, o GPS de uma foto ou os pontos de rastreamento deixados por uma impressora. A regra prática é nunca publicar nem repassar o arquivo original recebido. Trabalhe com uma cópia limpa e guarde o original separado, sem edição.

Como um arquivo entrega quem o criou

Um documento ou uma foto carrega informações sobre o aparelho e a conta que os produziu, muitas vezes sem que a pessoa perceba. Uma foto tirada com câmera profissional, lida com exiftool, pode trazer algo assim:

Make             : Canon
Model            : Canon EOS R6
SerialNumber     : 0123456789
OwnerName        : Joana Mota
GPSLatitude      : 23 deg 33' 1.20" S
GPSLongitude     : 46 deg 38' 2.40" W
DateTimeOriginal : 2026:08:14 07:52:10

Cada linha identifica algo diferente. SerialNumber liga a foto a um corpo de câmera específico, o que permite reconhecer outras imagens da mesma máquina. OwnerName é o nome que o próprio dono cadastrou na câmera, quando cadastrou. As coordenadas de GPSLatitude e a hora da captura dizem onde e quando a pessoa estava. Foi por GPS de uma foto publicada pela Vice, em 2012, que a localização do empresário John McAfee apareceu para todos.

Em documentos, o padrão se repete. No Word, o campo Author é o nome da conta do computador, e LastModifiedBy mostra quem salvou por último, o que pode ser um colega que só revisou o texto. Nenhum desses campos é escondido: ficam ali porque o programa os grava por padrão.

Digitalizações e impressões deixam marcas

Um documento impresso e depois digitalizado carrega uma marca que não está em metadado nenhum. Algumas impressoras deixam pontos amarelos quase invisíveis em cada página, um padrão de rastreamento que identifica o equipamento. Em 2017, uma digitalização de documento publicada por um veículo de imprensa trazia esses pontos, e eles foram um dos elementos que levaram à identificação de quem teve acesso àquela impressão. Vale ler o que o scanner grava no arquivo antes de digitalizar qualquer material sensível.

O caso ilustra um princípio que serve a qualquer fonte: o arquivo é um objeto físico com histórico. Ele foi impresso em algum lugar, escaneado em algum aparelho, salvo por alguém. Cada etapa deixa um rastro que não depende da intenção de quem enviou.

Captura de tela: o que a imagem mostra

Muitas fontes enviam prints de conversas, de painéis e de sistemas internos. O print tem metadados próprios, como o programa e a data, mas o risco maior está nos pixels. A imagem mostra o que estava na tela: o nome de um contato, uma notificação com uma mensagem, a barra de status com o horário e o layout do aplicativo usado.

Recortar a imagem não resolve, porque o recorte é salvo como arquivo novo e pode herdar os campos do original. O que protege é a cópia limpa com os elementos pessoais apagados e, quando possível, a informação reescrita. Os detalhes do formato estão em como um print de tela carrega metadados.

O fluxo que reduz o risco

1. Guarde o original como chegou. Não edite, não renomeie e não encaminhe. Anote a data e o canal de recebimento. Ele fica numa cópia separada, com acesso restrito. Um anexo de e-mail, por exemplo, chega sem nenhuma alteração, como mostra o caso de uma foto enviada por e-mail.
2. Trabalhe sempre em uma cópia. Leia a cópia para ver os campos. Em a leitura gratuita do MetaWipe, você vê autor, aparelho, GPS e datas antes de decidir. A leitura envia o arquivo ao servidor, que o apaga em até uma hora. Para material de uma fonte, isso pode não ser aceitável: nesse caso, use o ExifTool no próprio computador, que não envia nada para fora.
3. Limpe o que for publicar, e só isso. Use o limpador do MetaWipe na cópia de trabalho, inclusive em lote quando houver vários arquivos. Para fotos de celular, o caminho é o mesmo de remover metadados de fotos HEIC do iPhone.
4. Converta documentos antes de publicar. Um DOCX limpo ainda pode conter comentários, alterações controladas e notas de apresentação, que são conteúdo. A limpeza não os apaga, e é preciso removê-los no próprio programa. Quando o material puder sair como PDF, publique a versão limpa, como em remover metadados de documentos DOCX.
5. Confirme antes de publicar. Releia a versão final. O relatório mostra o que foi encontrado e o que sobreviveu, e é isso que interessa, não a intenção do processo.

Quando o original é a prova

Há situações em que o original precisa existir e ser verificável: uma matéria que pode ser contestada, um dossiê que terá de ser apresentado à Justiça, uma fonte que precisa de comprovação. Nesses casos, remover metadados do original é um erro, porque a cadeia de custódia depende dele. O Pacote Anticrime, Lei 13.964/2019, incluiu no Código de Processo Penal regras sobre cadeia de custódia de vestígios. Essas regras tratam de provas penais, não de reportagem, mas mostram por que guardar o original sem alteração importa.

A saída é separar as duas funções: o original fica preservado para verificação, e a cópia publicada é limpa. Em caso de dúvida sobre o que guardar, o artigo sobre quando não remover metadados trata dessa escolha.

O histórico de revisões conta a autoria

Em 2003, o governo britânico publicou um dossiê sobre o Iraque em formato Word. O arquivo guardava um registro de revisões que mostrava quem o tinha editado. O texto parecia uma peça única, mas o histórico dizia o contrário.

A lição para uma redação é direta. Um arquivo que chega da fonte pode ter passado por mais de uma pessoa. O campo Última modificação por aponta para quem salvou por último, e o registro de alterações controladas, se ficou ativado, aponta para as demais. Um DOCX original costuma guardar essa trilha inteira. Por isso o arquivo publicado deve ser sempre uma versão que não o carregue.

Tarja preta não apaga o texto

Em 2019, um documento judicial nos Estados Unidos saiu com tarjas pretas sobre trechos do texto, e o conteúdo embaixo podia ser copiado. A tarja era uma forma desenhada por cima, não uma remoção do texto. O mesmo erro aparece em PDFs de redações e de fontes, e por que a tarja preta no PDF não apaga o texto embaixo é explicado em detalhe.

Uma ressalva honesta

Nenhuma ferramenta garante o anonimato de uma fonte. Metadados são um risco real, mas costumam ser o mais fácil de resolver: o restante depende de quem tem acesso ao material, de como ele circulou e do que está escrito no próprio texto. O caso de Dennis Rader, identificado em 2005 em parte pelos metadados de um documento Word enviado num disquete, mostra que o arquivo pode trair alguém muito antes de o conteúdo fazer isso.

Por isso a limpeza é uma etapa, não o procedimento inteiro. Canais seguros, orientação jurídica e regras internas da redação pesam mais do que qualquer campo. O MetaWipe reduz a superfície do arquivo publicado; o resto do trabalho de proteção é da redação.