Compras de Cellebrite pela Índia expõem lacunas nas regras para buscas em celulares apreendidos

Uma compra de Rs 4,98 crore com implicações mais amplas para a privacidade

Uma carta do Ministério do Interior, datada de 20 de janeiro de 2026, registra a aprovação do ministro do Interior da União, Amit Shah, para que a Agência Nacional de Investigação (NIA) contornasse as exigências de compras do programa Make in India e adquirisse o Cellebrite Premium, uma ferramenta desenvolvida para desbloquear celulares e extrair seu conteúdo. O contrato resultante foi concedido à Nextechno Gen Private Limited por Rs 4,97,99,515, ou cerca de Rs 4,98 crore.

A compra faz parte de um padrão mais amplo identificado pela Internet Freedom Foundation (IFF), uma organização de direitos digitais. Ao examinar registros de compras, a entidade encontrou 15 itens mencionando produtos da Cellebrite em 11 licitações de 2026, envolvendo órgãos federais de investigação, autoridades militares e polícias ou departamentos de perícia estaduais.

Os registros descrevem recursos avançados: recuperar senhas, tentar contornar códigos de acesso e copiar dados de dispositivos compatíveis, incluindo conteúdo armazenado em algumas pastas protegidas. A Índia tem leis que tratam de apreensão, descriptografia e provas eletrônicas, mas não conta com uma lei, regra ou protocolo publicado específico que estabeleça todo o processo de extração forense de celulares.

Para quem tem o aparelho apreendido, as consequências podem ir além de ficar sem acesso a chamadas ou mensagens. Uma cópia forense pode preservar fotos, conversas, registros de localização e dados de aplicativos mesmo depois que o celular físico é devolvido. Os registros de compra analisados pela IFF não contêm prazos de retenção, exigências de exclusão nem proteções específicas para jornalistas, advogados e pessoas que não foram acusadas de um crime.

O debate ganhou urgência depois que o youtuber Dhruv Rathee alegou que a polícia de Delhi tentou copiar seu iPhone durante sua detenção, em outubro de 2026. A alegação não foi verificada, e a polícia não se manifestou publicamente. Enquanto isso, os documentos de compra detalham o que os órgãos buscaram adquirir e o trâmite administrativo usado para aprovar a compra.

O que o ministério aprovou

A carta do Ministério do Interior tem o número de processo 80016/2026/ADMIN NIA-HQ. Emitida pela Divisão de Modernização Policial, foi assinada por Vinod Kumar Dubey, comissário assistente de compras, e dirigida ao diretor-geral da NIA. O documento faz referência a uma nota da NIA datada de 20 de agosto de 2025.

A carta registra a aprovação de uma única dispensa da Ordem de Compras Públicas (Preferência ao Make in India) de 2017 e de sua revisão, datada de 19 de julho de 2024. Essas regras de compras dão preferência à produção nacional. A dispensa permitiu que o órgão prosseguisse com a aquisição do produto estrangeiro especificado.

A proposta aprovada incluía uma ferramenta Cellebrite Premium com licença de três anos, ao custo proposto de Rs 4,98,15,000. A Divisão de Finanças Integradas do ministério deu parecer favorável em 13 de janeiro de 2026, e a carta registra a aprovação ministerial em 17 de janeiro.

O valor final do contrato ficou Rs 15,485 abaixo do montante proposto. Essa pequena diferença não altera a questão central: os registros explicam a autorização para comprar a ferramenta, mas as regras que controlam o acesso às informações pessoais que ela pode recuperar continuam incompletas.

A licitação contém informações conflitantes

A NIA publicou a licitação GEM/2026/B/7172473 em 6 de fevereiro de 2026. Cinco participantes apresentaram propostas, e o contrato foi concedido à Nextechno Gen Private Limited. A licitação identifica o ministro do Interior como a autoridade que concedeu a dispensa das regras de compras.

Os documentos apresentam duas discrepâncias. A carta do ministério e a especificação técnica descrevem uma licença de três anos, enquanto a licitação lista uma assinatura de um ano. Um certificado também informa a data de aprovação como 13 de agosto de 2025, enquanto a carta do ministério registra a aprovação em 17 de janeiro de 2026.

Os registros de compra descritos pela IFF não esclarecem essas inconsistências. O período da licença é importante porque determina por quanto tempo o acesso adquirido permanece válido e quando poderá ser necessário realizar novos gastos.

Os documentos da NIA afirmam que nenhuma outra empresa produz software com o mesmo nome e as mesmas especificações. Não mostram, porém, uma avaliação sobre a possibilidade de um produto indiano desempenhar a mesma função. Comparar um produto específico com uma alternativa capaz de executar a tarefa investigativa necessária é um processo de compra diferente.

Como as compras evoluíram

A polícia de Delhi já tinha ferramentas da Cellebrite pelo menos desde dezembro de 2020, incluindo UFED e Physical Analyzer no Laboratório Nacional de Perícia Cibernética, em Dwarka. Seus recursos forenses também incluíam produtos de outros fornecedores.

Uma ordem do Ministério do Interior, datada de 20 de março de 2025, aprovou uma dispensa que abrangia 19 produtos forenses estrangeiros para a Divisão de Crimes da polícia de Delhi. Três eram produtos da Cellebrite: UFED 4PC, Digital Collector e Inspector com MacBook Pro.

Os registros e processos judiciais abrangem vários anos:

• 2019: A IFF entrou com uma ação no Supremo Tribunal questionando o Artigo 69 da Lei de Tecnologia da Informação e as regras e autorizações relacionadas à interceptação.
• Dezembro de 2023: O governo central informou ao Supremo Tribunal que um comitê prepararia diretrizes sobre buscas e apreensões de dispositivos digitais.
• 20 de março de 2025: O Ministério do Interior aprovou a dispensa das regras de compra da polícia de Delhi para três produtos da Cellebrite.
• 20 de agosto de 2025: A NIA apresentou a nota mencionada na carta de aprovação posterior do ministério.
• De 13 a 20 de janeiro de 2026: Vieram o parecer favorável financeiro, a aprovação ministerial e a carta do ministério.
• 6 de fevereiro de 2026: A NIA publicou sua licitação para a Cellebrite.
• 10 de outubro de 2026: Rathee foi detido antes de um protesto planejado, e seus celulares foram apreendidos, segundo seu relato.

As licitações de 2026 vão além da NIA. Incluem um contrato do Escritório de Investigação de Fraudes Graves concedido à TNS Networking Solutions, compras ou renovações envolvendo Karnataka e Himachal Pradesh e um serviço de gestão de instalações em Kerala que inclui extração de dados de celulares, com a Alibi Global identificada como vencedora. Licitações do Departamento de Assuntos Militares buscaram lotes de desbloqueios de celulares.

O monitoramento mais amplo da IFF reúne cerca de 100 licitações relacionadas à vigilância publicadas desde julho de 2025. Outras 25 licitações tratavam de extração forense de celulares sem mencionar marcas na fase de concorrência. Não é possível identificar os fornecedores e produtos escolhidos posteriormente apenas com base nessas descrições.

O que a extração de dados de celulares pode recuperar

A Cellebrite é uma empresa israelense de perícia digital. Suas ferramentas ajudam investigadores a acessar dispositivos compatíveis e coletar informações para análise. A especificação da NIA mostra que o acesso depende do modelo do celular, do software e do estado de segurança.

A especificação exige a quebra de códigos de acesso por força bruta para os dispositivos Android listados e alguns iPhones mais antigos. Força bruta significa testar repetidamente possíveis códigos até encontrar a combinação correta, dentro dos limites dos recursos da ferramenta e das proteções do aparelho.

Para os modelos iPhone 11 a iPhone 14, a especificação prevê a extração completa do sistema de arquivos depois que o dispositivo tiver sido desbloqueado pelo menos uma vez desde a inicialização. O estado de segurança de um celular muda após o primeiro desbloqueio bem-sucedido, o que pode afetar o acesso do software forense.

Os recursos solicitados também abrangem áreas de armazenamento protegidas, como Samsung Secure Folder, Huawei Private Space e Xiaomi Second Space, além de dados de aplicativos específicos. Essas são as especificações solicitadas pelo comprador; o êxito da extração em um determinado celular depende de sua configuração e do software compatível.

Uma extração completa do sistema de arquivos pode coletar conversas, fotos, contatos, registros de chamadas, histórico de localização e dados de aplicativos. Em seguida, os investigadores podem analisar essa cópia separadamente do aparelho. Assim, a devolução do celular deixa uma questão prática adicional: quem controla as informações copiadas e por quanto tempo?

Por que as apreensões de outubro são importantes

Rathee disse que a polícia apreendeu seu celular e os celulares de seus pais quando ele foi detido em 10 de outubro, antes de um protesto planejado em Jantar Mantar, em Delhi. O protesto pedia a renúncia do presidente da Comissão Eleitoral, e a polícia havia negado autorização para sua realização.

Mais tarde, Rathee descreveu suas suspeitas durante uma participação no podcast do comediante Kunal Kamra. Disse que especialistas examinaram o celular depois que ele foi devolvido e não encontraram spyware, e que acreditava que uma tentativa de extração com a Cellebrite havia falhado porque sua versão do iOS era mais recente do que a ferramenta conseguia processar. Ele também mencionou o histórico da bateria do celular, que mostrava várias horas de carregamento enquanto o aparelho estava sob custódia policial.

A DIGIPUB News India Foundation documentou a detenção de jornalistas que cobriam o protesto, incluindo repórteres que haviam mostrado suas credenciais de imprensa. Alguns jornalistas também tiveram os celulares apreendidos. Em 12 de outubro, a IFF exigiu a devolução dos aparelhos e a divulgação dos registros de apreensão.

Quase um mês após as detenções, alguns celulares ainda estavam com a polícia, segundo o relato da IFF, e seus donos não haviam sido informados sobre o que fora feito com os aparelhos. O celular de um jornalista pode conter reportagens não publicadas, conversas privadas e a identidade de fontes confidenciais. O aparelho de um familiar pode conter muitas informações pessoais sem relação com o motivo da detenção de outra pessoa.

O que as leis atuais abrangem

A Bharatiya Nagarik Suraksha Sanhita (BNSS), lei indiana de processo penal, prevê poderes relacionados a buscas e apreensões. O Artigo 106 trata da apreensão de bens relacionados a um crime, enquanto o Artigo 105 exige o registro dos procedimentos de busca e apreensão por meios audiovisuais.

Essas disposições tratam da tomada de posse de bens e do registro do procedimento. Não estabelecem um conjunto completo de condições para desbloquear um celular, escolher quais arquivos copiar, limitar o acesso posterior ou excluir informações depois da análise.

O Artigo 63 da Bharatiya Sakshya Adhiniyam trata da certificação de registros eletrônicos para uso como prova judicial. A certificação diz respeito ao tratamento e à apresentação de provas eletrônicas. As regras que determinam o que os investigadores podem coletar desde o início exigem fundamento jurídico e salvaguardas próprios.

O Artigo 69 da Lei de Tecnologia da Informação confere poderes para ordenar a interceptação, o monitoramento ou a descriptografia de informações em um recurso computacional. O marco legal exige uma ordem por escrito da autoridade competente, normalmente o secretário do Interior da União ou do estado. A IFF afirma não ter conhecimento de nenhuma ordem desse tipo relativa aos celulares apreendidos durante os protestos de outubro.

O Artigo 17(1)(c) da Lei de Proteção de Dados Pessoais Digitais prevê uma isenção para o tratamento de dados relacionado à investigação de crimes. Essa isenção torna especialmente importantes as regras que regem as investigações criminais para as pessoas que buscam limites ao uso de suas informações.

Dois processos no Supremo Tribunal tratam das lacunas

A ação da IFF, W.P. (C) 44/2019, questiona o Artigo 69, as Regras de Interceptação de 2009 e a autorização do Ministério do Interior para que dez órgãos federais interceptem, monitorem e descriptografem informações. A ação continua pendente.

Um processo separado, movido pela Foundation for Media Professionals, W.P. (Crl.) 395/2022, trata de buscas e apreensões de dispositivos digitais. Em dezembro de 2023, o governo central informou ao Supremo Tribunal que um comitê elaboraria diretrizes. Segundo a IFF, essas diretrizes não foram apresentadas ao tribunal. O relato não informa uma data para a próxima audiência nem um prazo para a apresentação do documento.

A lacuna prática é particularmente evidente nos casos de celulares apreendidos durante detenções preventivas, quando as autoridades mantêm alguém sob custódia para evitar um incidente previsto. O aparelho pode não constituir prova em uma investigação criminal, mas seu conteúdo ainda pode ser copiado sem um procedimento publicado que explique o motivo, o alcance ou a duração do acesso.

A IFF não encontrou, nos registros de compra analisados, exigências sobre prazos de retenção, exclusão de dados, auditorias ou tratamento especial de materiais pertencentes a jornalistas, advogados ou pessoas que não foram acusadas de crimes. Uma cadeia de custódia documentada registraria quem teve contato com um aparelho ou com uma cópia e quando, ajudando tribunais e proprietários a entender como as informações foram tratadas.

Casos internacionais mostram os riscos do acesso

A Anistia Internacional documentou o uso da Cellebrite pela polícia sérvia para desbloquear o celular de um jornalista antes da instalação de spyware, além da extração de dados de aparelhos de ativistas. O desbloqueio e a extração dão aos investigadores acesso a informações armazenadas; o spyware pode permitir acesso contínuo após a instalação.

O Citizen Lab documentou o uso da Cellebrite contra ativistas na Jordânia e no celular do ativista queniano Boniface Mwangi. Pesquisadores também descreveram casos envolvendo jornalistas ou ativistas na Rússia, em Hong Kong, Botsuana e Bangladesh.

A Cellebrite anunciou restrições ou suspensões de vendas para Hong Kong e China, Rússia e Belarus, além de clientes sérvios específicos. Pesquisadores documentaram a continuidade do uso após alguns desses anúncios, inclusive por meio de revendedores ou sistemas que operam sem conexão com a internet. Controlar vendas futuras e controlar equipamentos que já estão em circulação são desafios de fiscalização distintos.

Na Índia, a IFF está solicitando registros da polícia de Delhi e do Ministério do Interior, incluindo documentos de apreensão, registros das estações de trabalho forenses, licenças da Cellebrite, registros de acesso, eventuais ordens emitidas nos termos do Artigo 69, o processo de compra da NIA e a nota de aprovação do ministro do Interior.

A organização também pediu que se informe se os celulares apreendidos durante o protesto foram conectados a ferramentas de extração, que os aparelhos ainda retidos sejam devolvidos e que os dados copiados de pessoas que não foram acusadas de crimes sejam excluídos, com certificação. A IFF quer que o uso dessas ferramentas em celulares de pessoas sob detenção preventiva, jornalistas e advogados seja suspenso até que existam regras vinculantes e que as diretrizes prometidas sejam apresentadas ao Supremo Tribunal.

Principais pontos

• A NIA concedeu um contrato da Cellebrite no valor de Rs 4,97,99,515 após obter do Ministério do Interior uma dispensa das regras de compras do Make in India.
• A IFF identificou 15 itens relacionados à Cellebrite em 11 licitações de 2026, além de 25 licitações de extração de dados de celulares que não mencionavam marcas.
• Os registros da NIA contêm informações conflitantes sobre os períodos das licenças e as datas de aprovação.
• A tecnologia solicitada pode desbloquear celulares compatíveis e copiar grandes volumes de dados pessoais, incluindo informações armazenadas em algumas áreas protegidas de aplicativos.
• A alegação de Rathee de que houve uma tentativa de extração não foi verificada, e a polícia de Delhi não se manifestou publicamente.
• As leis atuais abrangem apreensão, descriptografia e provas eletrônicas, mas ainda não há regras públicas específicas para extração, retenção e exclusão de dados.
• Dois processos no Supremo Tribunal tratam dos poderes pertinentes e das buscas em dispositivos; segundo a IFF, as diretrizes prometidas sobre buscas e apreensões não foram apresentadas ao tribunal.