Volver a página de inicio

I. Introducción

El aumento exponencial de los ciberdelitos, los cuales no dejan de crecer —tanto delitos informáticos, como delitos en los que la tecnología se utiliza como medio para la comisión de un ilícito penal— mientras que la técnica legislativa para combatirlo tarda en reaccionar provocó en su momento que la Comisión Europea autorizará a los Estados miembros a firmar el II Protocolo adicional del Convenio de Budapest para facilitar la lucha contra las estas nuevas formas de delincuencia (2) .

El elemento disruptor de este texto consistía en abrir la posibilidad de conseguir una cooperación transnacional en el proceso penal entre las autoridades investigadoras y las entidades prestadoras de servicios informáticos (3) . El objeto último de estas medidas es desarrollar la cooperación procesal internacional, ya que la colaboración entre las Administraciones públicas y las empresas privadas agiliza los procedimientos —en este caso, la entrega de pruebas— haciendo más eficiente las investigaciones en los casos en los que por la propia naturaleza de las pruebas —electrónicas— la rapidez es fundamental para obtener y conservar las mismas, ya que la posibilidad de que desaparezcan o sean manipuladas es muy alta (4) ; más aún en el entorno virtual propio de los ciberdelitos (5) . Éste loable y necesario objetivo choca con la problemática propia de la cesión de datos personales en los procesos penales, pues esto supone prima facie una vulneración del derecho fundamental a la protección de datos, que debe concretar de manera lo más precisa posible los «…presupuestos habilitantes para que dicha injerencia sea constitucionalmente legítima» (6) .

II. La prueba electrónica como conjunto de datos

1. El Convenio de Budapest

Como antecedente legislativo a partir del cual toma forma el Reglamento E-evidence debemos volver a referirnos al Convenio sobre la Ciberdelincuencia, relativo a la cooperación reforzada y la revelación de pruebas electrónicas, conocido como Convenio de Budapest.

En el segundo protocolo adicional del Convenio de Budapest se codifican, dentro del título de «medidas reforzadas», una serie de preceptos relacionados con la aportación de datos dentro de una investigación de carácter penal. Aunque de manera genérica se hace una remisión general a las definiciones del Convenio, el art. 3 presenta una ampliación o recordatorio de términos que han de aplicarse a este segundo protocolo.

Entre ellos, mencionaremos —por su relación directa con el objeto de este trabajo—, los datos personales (7) ; que habrán de entenderse como «…la información relativa a una persona física identificada o identificable» (8) . Además de esto, tiene especial interés el capítulo II sobre medidas de cooperación reforzada que regula «…procedimientos que refuerzan la cooperación internacional con proveedores y entidades en el territorio de otra parte». En concreto, los artículos 8 y 9 regulan la cooperación internacional «… a efectos de revelación de datos informáticos almacenados». La propia nomenclatura de los preceptos avanza una idea de los tipos de datos que el legislador considera que serán necesarios para realizar una investigación con ayuda de la cooperación entre Estados y proveedores privados. A modo de ejemplo, el art. 7 habla de revelación de información relativa a los abonados «…cuando […] sea necesaria para las investigaciones o procesos penales específicos de la parte emisora». A continuación, el art. 8 amplia el supuesto a datos relativos al tráfico, diferenciando entre datos de tráfico específicos y datos de tráfico almacenados. Todo ello, siempre que «…sean necesarios para investigaciones o procesos penales». Por último, el art. 9 trata del supuesto de los casos de emergencia, en los que la parte solicitante, requerirá al proveedor de servicios domiciliado en su territorio la «…revelación de datos específicos almacenados que obren en su poder o estén bajo su control…». Como vemos, existen unas ideas claras que avanzan las que analizaremos ut infra, al tratar del Reglamento E-evidence; a saber: una clara identificación entre datos informáticos y pruebas, hasta el punto de que a la información para procesos penales se la denomina en todos los casos como datos informáticos, a lo que añadir otros requisitos como el que estos se encuentren almacenados, que el soporte sea electrónico y que estos se utilicen en procesos de tipo penal.

Por otra parte, y como aspecto mejorable en este texto normativo, nos encontramos con que sigue aferrado al principio de territorialidad, que, debido a la característica de ubicuidad propia de los datos informáticos, lo hace ineficiente. A esto habría que sumar otro problema práctico, como son los amplios plazos que establece este protocolo de hasta treinta días y que redunda en su ineficacia por la volatilidad de estas pruebas (9) .

2. Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016

Dentro de la normativa europea que trata sobre la protección de datos — y sin querer extenderme en el desarrollo de la legislación europea sobre protección de datos pues sobrepasaría los objetivos de este trabajo— nos encontramos con el Reglamento (UE) 2016/679 (LA LEY 6637/2016) (10) (en adelante RGPD) y, a nivel nacional con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LA LEY 19303/2018) ( en adelante LOPDGDD (LA LEY 19303/2018)), pero estas normativas no son de aplicación para los datos contenidos en un proceso penal (11) . En estos casos se ha de aplicar la Directiva 2016/680 (LA LEY 6638/2016), que ha sido transpuesta al ordenamiento nacional a través de la LO 7/2021 (LA LEY 11831/2021) de protección da datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales.

En esta Directiva la clasificación de datos se divide entre las «datos personales», y de manera secundaria define los «datos genéticos», «datos biométricos», y «datos relativos a la salud». Estos últimos son explicados por el legislador en el art. 10 que titula como «tratamiento de categorías especiales de datos personales» (12) . Como vemos esta división se aparta de la que utiliza el segundo protocolo adicional del Convenio de Budapest, y su definición a efectos de la aplicación de éste texto resulta demasiado amplia e imprecisa, pues se refiere a cualquier información de una «persona física identificada o identificable», gracias a toda una serie de datos desde el nombre al identificador en línea o demás «…datos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona…». Por otra parte, tanto la Directiva como la LO 7/2021 (LA LEY 11831/2021) que traspone la misma al ordenamiento nacional, considera esta categoría de datos como excepcional (13) y lo condiciona a los supuestos que prevé el art. 13 de la LO 7/2021 (LA LEY 11831/2021) (datos biométricos y datos personales que afecten a menores y personas con discapacidad). La doctrina se ha venido refiriendo a ellos como datos especialmente sensibles (14) , sin perjuicio que algunos autores como MONTORO, considere mejorable la redacción de estos preceptos, en especial en lo referido a la interpretación de los apartados 2º y 3º de la Ley (15) .

3. Los datos como prueba electrónica en el Reglamento E-evidence

En el Reglamento E-evidence se conceptualiza la prueba electrónica como «los datos de abonado, datos de tráfico o datos de contenido, de manera que el propio texto normativo reduce las posibilidades de ser considerado una prueba electrónica. Asimismo, la definición, encierra dimensión material, temporal y territorial, pues además exige que estos datos se encuentren «…almacenados por un prestador de servicios, o en nombre de un prestador de servicios…», que dicho almacenamiento se realice en «…formato electrónico…» y que todos estos requisitos o condiciones confluyan en el «…momento de la recepción de un certificado de orden europea de producción (EPOC) o un certificado de orden europea de conservación (EPOC-PR)» (16) .

En esta definición se dejan claros algunos puntos y otros no. En primer lugar, parece indiscutible que el legislador busca equipar la prueba electrónica al concepto de datos (17) . Algo que por otra parte ya estableció el Consejo Europeo al determinar que las pruebas electrónicas —también conocidas como digitales— son «…los datos electrónicos que se utilizan para investigar y enjuiciar delitos» (18) . No obstante, esta equiparación no es admitida pacíficamente por la doctrina; a modo de ejemplo, CUETO SANTA EUGENIA, clasifica la prueba electrónica en virtud del método que se haya utilizado para almacenarlos antes de transferirlos, ya sea en soporte físico o los que se hayan enviado haciendo uso de medios de comunicación electrónica, es decir que se encuentren almacenados en los servidores de estos proveedores (19) ; categorización que nos resulta muy interesante, pues resalta el presupuesto de pruebas almacenadas fuera del territorio del estado solicitante y en un medio tan etéreo —con las dificultades que esto entraña— como puede ser la nube. En cambio, no se nos aclara dónde deben encajar las categorías de datos personales o datos especialmente sensibles a la que se refiere la normativa de protección de datos.

En nuestra opinión esta asimilación no es correcta y por tanto la definición de prueba electrónica debería ser más exacta como propone desde hace tiempo BUENO DE MATA (20) , aun admitiendo que, debido a la evolución constante de las nuevas tecnologías y los métodos de almacenamiento, es un concepto en constante evolución y que nunca pude darse por cerrado (21) .

Del mismo modo, gran parte de la doctrina (22) , así como la Comisión LIBE (23) consideran incorrecta esta equiparación, pues los datos electrónicos de los que habla el Reglamento serían un tipo de prueba electrónica, pero no el único, de manera que todos los datos electrónicos pueden constituirse en prueba electrónica, pero no todas las pruebas electrónicas han de estar formadas por datos electrónicos.

III. La categorización de los datos en el Reglamento E-evidence

El Reglamento E-evidence categoriza los datos en cuatro clases, aunque realmente deberíamos hablar de tres.

En el texto de la propuesta inicial de 2018 (24) , en cambio, los datos se dividían en cuatro clases: datos de abonado, datos de acceso, datos de transacción y datos de contenido. En cuanto a la modificación conducente a la nueva clasificación podemos suponer que tiene como explicación el intentar dar respuesta a las críticas —muy razonables por otra parte— del Consejo Europeo de la Abogacía (en adelante CCBE) que consideraba deficiente la división que se presentaba en el texto inicial (25) .

El CCBE consideró que era necesario extender la protección procesal de los investigados, al solicitar los datos del abonado y de acceso, que en principio no requerirían de validación judicial. Esta preocupación proviene de la falta de concreción sobre qué debemos considerar datos de abonado y qué datos de acceso (26) . Las definiciones resultaban vagas e imprecisas, lo que conlleva inseguridad jurídica, pues sin saber exactamente qué datos pueden solicitarse y por quién —que autoridad está habilitada para realizar la solicitud— se podrían producir indeseables situaciones de indefensión en el investigado, ya que la práctica de dichas pruebas electrónicas podrá ser consideradas irregulares con el resultado de ser declaradas por un tribunal como ilícitas.

Como es sabido, el elemento diferenciador en los tipos de datos sería el grado de injerencia que supone el conocimiento de la información que contienen en los derechos de los investigados. DE HOYOS los clasifica según este criterio de menor a mayor grado de injerencia en la esfera privada del investigado en: datos de abonado, datos de tráfico y datos de contenido (27) .

Como ya avanzamos en un primer grupo de datos se encontrarían los «datos de abonado», cuyo fin sería únicamente logra la identificación del investigado; lo cual constituye el punto de partida habitual en las indagaciones que realizan las autoridades para determinar el sujeto activo de un tipo penal. Hay que señalar que el legislador refiere que estos datos han de «…obrar en poder del prestado de servicios…». Es decir, se reduciría a la información sobre la filiación del consumidor de sus servicios, así como su relación comercial o profesional concreta que lo une con la empresa tecnológica.

El legislador ha querido mostrar una mayor exhaustividad que en anteriores propuestas, dividiendo los mismos entre los datos relativos de manera estricta al sujeto investigado, dentro de un subapartado a), mientras que reserva un subapartado b) para los correspondientes a datos técnicos relativos al servicio que recibe de la empresa tecnológica, como pueden ser los servicios que tiene contratados o los utilizados para registrarse en la empresa.

No obstante, se cuida mucho el legislador en exceptuar de este subapartado los medios de autenticación del consumidor ante la empresa consistentes en la contraseña para acceder al servicio u «…otros de medios de identificación…»; que normalmente consisten en el uso de datos biométricos, lo cual tiene una lógica explicación debido a que estos son datos considerados especialmente sensibles (28) según la legislación y, por tanto, cuentan con la máxima protección, como determina el art. 13 de la LO 7/21 (LA LEY 11831/2021) (29) y la Directiva 2016/680, en su artículo 10 (LA LEY 6638/2016).

A continuación, el reglamento ha introducido un apartado 10) que se refiere a los «datos solicitados con el único fin de identificar al usuario», lo cual crea cierta confusión, ya que aparenta que se han categorizado los datos en cuatro tipos (30) , cuando en realidad, este correspondería a una subcategoría del primero, es decir, un subtipo dentro de los datos de abonado. Aunque existe autores que no están de acuerdo con esta división (31) por considerarla inexacta.

Asimismo, FUENTES SORIANO, refiere que la «…la utilización de esta categoría se separa de las referencias habituales en la normativa de los diversos estados europeos que reconocen, normalmente la existencia de, tan sólo, los datos de abonado, los de transacciones y los de contenido…» y, prevé que la cohabitación entre diferentes normas en el futuro conducirá a «…algunos puntos de fricción durante la vigencia de la norma a los que habrá de prestar la debida atención» (32) .

En todo caso el motivo de esta nueva clasificación por parte del legislador europeo buscaría, en mi opinión, conducir la investigación de tipo penal de manera progresiva, permitiendo que las autoridades policiales o judiciales inician una instrucción solicitando los datos menos invasivos de la privacidad y, posteriormente —y sólo si fuese necesario— otros que pudieran ser más intrusivos.

En cuanto a la importancia de la IP, es muy ilustrativo —por lo extenso y exhaustivo de su explicación— el considerando 32 del propio texto analizado. En él, se nos advierte de uno de los problemas que surge por momentos durante el estudio del Reglamento E-evidence, en concreto, en su aplicación práctica, y es, la fragmentación normativa en cuanto a la consideración de los datos dependiendo de la normativa interna de cada estado miembro (33) , así como la confrontación entre el Reglamento E-evidence y la legislación referente a la protección de datos —en concreto el RGPD (LA LEY 6637/2016), bien es cierto que más teórica que práctica— que clasifica los diferentes datos de manea diferente; dando el resultado —como en este caso— que un tipo de datos que el Reglamento E-evidence considera como de injerencia menor, el acervo de la Unión, a través del RGPD (LA LEY 6637/2016), los considera «datos personales», y por lo tanto merecedores de un grado mayor de protección, por su relación con datos que afectan a la esfera más íntima de la vida del investigado. No obstante, este aparente choque, se salva por el propio legislador, al determinar la inaplicabilidad de esta norma a las investigaciones penales (34) , pues como es fácil comprender, de aplicarse el art. 4 de RGPD (LA LEY 6637/2016), que hace referencia a los datos personales, sería imposible avanzar en una investigación de tipo penal.

Esto nos deriva al supuesto en el que las IP contengan estos datos más invasivos, para lo cual habrá de considerarse datos de tráfico, de manera que podemos deducir que existe una equiparación entre estos y los datos personales, en cuanto a su nivel de injerencia, quedando, por tanto, los datos de abonado y los solicitados con el único fin de identificar al usuario, en un escalón menor (35) . Siguiendo con este ejercicio hipotético de equivalencias con la legislación de protección de datos en proceso penal, el supuesto de las IP con datos especialmente invasivos debería ceñirse a la categoría de datos especialmente sensibles (36) .

Como se puede comprobar, el intento de equiparar categorías de datos según sus definiciones entre ambos textos legislativos produce cierta confusión, de manera que podría producirse una indeterminación o inexactitud que solo puede conducirnos a una inseguridad jurídica, siempre perjudicial para el investigado. El propio considerando 34 reconoce esta «mezcla» o solapamiento de definiciones al advertir que al contener todas las categoría de datos, datos personales, en principio, estarían «…cubiertas por las garantías establecidas en el acervo de la Unión sobre protección de datos…»; para a continuación recordarnos que existe una diferente graduación del nivel de intrusión en la privacidad del investigados y, por ello, debe ser tenido en cuenta a la hora de solicitarlo en una investigación y diferenciar entre la tratar de identificar a un sospechoso y conseguir material probatorio determinante para la instrucción del caso; supuesto éste en el que se debería hacer uso de los datos de contenido (37) .

El apartado 11) del Reglamento, nos informa de que debemos considerar «datos de tráfico» (38) , que serían aquellas de carácter técnico (39) que describen la relación comercial o mercantil entre el consumidor y el prestador de servicios. Engloba, el origen y destino de los mensajes o «…u otro tipo de interacción…», la ubicación del dispositivo (40) y demás datos relativos al servicio, como fecha, duración de este, como los metadatos (41) del servicio.

No olvida la definición del apartado, mencionar la excepción de «…datos de abonados, relativos al inicio y final de una sesión de acceso del usuario a un servicio, tales como la fecha y hora del acceso, la conexión al servicio y la desconexión del servicio», los cuales se consideran que estarían encuadrados en las categorías anteriores y se intenta así evitar un indeseable solapamiento (42) .

Por último, el Reglamento realiza una breve definición de los «datos de contenido» en el apartado 12), algo que llama la atención, ya que como venimos comentado, esta categoría estaría en el escalón superior de datos que producen una mayor injerencia en la privacidad del investigado y, por tanto, seria de esperar una mayor concreción (43) . La definición se limita a hacer referencia a «…cualesquiera datos en formato digital…» y, continúa realizando una enumeración que suponemos más ejemplificativa que tasada, de texto, voz, videos imágenes y sonido. Pues bien, el hecho de considerar estos datos, que son claramente identificadores e identificativos de una persona concreta, nos parece correcto, pero la amplitud la definición refriéndose a cualquier dato en soporte digital nos parece mejorable por cuanto crea cierta indefinición y permite que entren en esta categoría cualquier dato electrónico.

IV. Finalidad de las órdenes europeas de producción y conservación en relación con los datos que constituyen la prueba electrónica

A la hora de solicitar una orden europea de producción y/o conservación de prueba electrónica en el proceso penal, el tipo de datos que contenga ésta, resulta crucial, de ahí, que hayamos analizado los diferentes tipos de datos y como definidos por el propio Reglamento E-evidence. La importancia de estos reside en la dimensión/finalidad de dichas órdenes, es decir; que dependiendo del tipo de delito que se investiga se podrán o no solicitar determinados datos.

Es por ello, por lo que parte de la doctrina, considera que esto constituye una clasificación de los datos más apropiada con los procesos penales a los que esta específicamente dirigida (44) .

El tratamiento legal que reciben los diferentes tipos de datos hace que se confirme la división en dos grupos que hemos adelantado, pues el legislador ha realizado una diferenciación entre los tipos de delitos y, su gravedad a la hora de cumplir con los requisitos para solicitar una orden europea de producción o conservación.

De esta manera tenemos que en el primer grupo que engloba a los datos de abonado y datos a meros efectos de identificación pueden ser solicitados como nos indican los arts. 4 y 5 del Reglamento por un juez, pero también por un fiscal o investigadores encargados del caso. Esto ocurre, por la diferencia entre los procedimientos de los Estados, algunos de los cuales permite realizar solicitudes de prueba a la policía o fiscalía en fases iniciales de instrucción (45) .

En cambio, si los datos solicitados incluyen la información contenida en datos de tráfico y datos de contenido deben contar, con la validación de una autoridad judicial del estado emisor, para de este modo otorgar una mayor protección de las garantías procesales del investigado.

En cuando a los datos de conservación, estos conllevan una menor injerencia en los derechos de los investigados y, deben hacerse una serie de apreciaciones. En primer lugar, que este tipo de datos por definición deberían preceder a las EPOC, pues es lógico siguiendo una secuencia cronológica dentro de una investigación que se pida al estado receptor que conserve los datos que puedan obrar en su poder (46) y, posteriormente que los entregue (47) .

Aun así, hay quien considera la orden de conservación como una herramienta auxiliar de la orden de producción, pues su intención es evitar mientras avanzan las investigaciones que se supriman o modifiquen datos que pretender solicitarse. Y esto nos conduce a la dificultad que presenta la conservación de pruebas electrónicas. Como sabemos una de las principales necesidades a la hora de presentar una prueba en el proceso penal consiste en garantizar la cadena de custodia (48) , de manera que podamos acreditar que la prueba se incorpora al proceso sin haber sufrido manipulaciones, supuesto que aumenta en el caso de pruebas electrónicas por lo complejo de su composición y su almacenamiento, ya que al estar constituida por datos (información electrónica) y, estos guardarse en espacios virtuales las hace más susceptibles de manipulación.

La diferencia fundamental entre la EPO-PR y la EPOC estaría en que en las primeras no se fija un umbral de aplicabilidad en relación con la infracción penal investigada. La explicación de esta diferencia en los requisitos estaría como ya hemos avanzado, en que, al presentarse esta orden con anterioridad a la EPOC, sería a través de esta última cuando se realizarían las comprobaciones atinentes a la conducta supuestamente ilícita, y si se cumplen los mínimos de pena que establece el Reglamento. Además de facilitar —al no exigir el cumplimiento de estas comprobaciones— la rapidez en la presentación del certificado de la EPOC-PR y, portento, asegurar la conservación de los datos que conforman la prueba electrónica (49) .

V. Conclusiones

Del análisis de la clasificación de los datos que efectúa el Reglamento E-evidence podemos extraer algunas interesantes conclusiones. La primera de ella tiene que ver con una equiparación en nuestra opinión incorrecta, por excesiva, entre el concepto de prueba electrónica y el de datos, o más bien, conjunto de datos. Esta asimilación entre ambos términos, en cuanto a su conceptualización puede resultar perjudicial para el proceso penal.

La segunda, sería la necesidad de uniformar la nomenclatura relativa a los datos, pues existe el riesgo de fricción entre textos normativos, en concreto, entre la LO 7/2021 (LA LEY 11831/2021) y el Reglamento E-evidence, ya que ambos definen los datos de diferente modo, haciendo con ello, que no tengamos claro, el nivel de injerencia que existe en cada uno de ello y, por tanto, cual es la solicitud de prueba que debemos procesar. La utilización de distinta terminología que definen supuestos similares puede producir un solapamiento que dificulte las investigaciones de carácter penal.

En tercer lugar, creemos necesario recordar que sigue persistiendo la dificultad en encontrar un punto de equilibrio entre el loable deseo del legislador de conseguir una mayor rapidez en la conservación ( como elemento preventivo) y la entrega de datos al estado emisor y, el respeto de los requisitos que a su vez garantizan los derechos de los investigados (que han ido aumentando desde las primeras versiones del Reglamento); de manera que en la práctica nos encontramos con que este instrumento legislativo no aporta mejoras sustanciales con respecto de los anteriores y vigentes, en la actualidad.

Por último, no se aportan soluciones destacadas en cuanto a evitar que los datos almacenados que pueden conforman la prueba electrónica, en soportes virtuales, en línea, la nube o servidores fuera de la UE, sean modificados, manipulados o eliminados, en el momento de su conservación y posterior entrega.

Como propuesta, creemos conveniente que el legislador a la mayor brevedad posible, formule una modificación que contenga un equiparación exacta y concreta ante los términos recogidos en la legislación sobre protección de datos personales y las diferentes categorías de datos codificadas en el Reglamento E-evidence; de manera que, las partes implicadas en un proceso penal tengan la seguridad jurídica previa de conocer cuáles de los datos personales solicitados deben considerarse datos de abonado, de tráfico a los únicos fines de identificación o, si los datos de tráfico y contenido, por el contrario, deben ser considerados similares a los datos especialmente sensibles.