Source: https://doctrina-administrativa.vlex.es/vid/771238517
Timestamp: 2019-03-20 21:06:06+00:00

Document:
Circular nº 5/2019 de Fiscalía General del Estado, 6 de Marzo de 2019 - Doctrina Administrativa - VLEX 771238517
Circular nº 5/2019 de Fiscalía General del Estado, 6 de Marzo de 2019
Número de Resolución: 5/2019
Índice: 1. Introducción 2. Derecho fundamental afectado 3. Registro de dispositivos de almacenamiento masivo de información 3.1. Regulación legal 3.2. Los dispositivos de almacenamiento masivo de información 3.3. La resolución judicial como presupuesto de la medida 3.3.1. La resolución judicial habilitante 3.3.2. El consentimiento del afectado y otros supuestos excepcionales 3.3.3. La resolución judicial en los supuestos de registros domiciliarios 3.3.4. Incautación de dispositivos fuera del domicilio 3.4. Alcance del registro 3.4.1. Fijación de los términos y alcance del registro 3.4.2. Realización de copias 3.4.3. Fijación de las condiciones para asegurar la integridad de los datos y las garantías de su preservación 3.4.4. Incautación de los soportes físicos que contienen los datos 3.5. Registro de repositorios telemáticos de datos y ampliación del registro a otros sistemas 3.6. Registro policial de dispositivos 3.7. Deber de colaboración 4. Registros remotos sobre equipos informáticos 4.1. Regulación legal 4.2. Sistemas de acceso 4.3. Ámbito de aplicación 4.4. Contenido de la resolución judicial 4.5. Ampliación del registro 4.6. Deber de colaboración 4.7. Duración de la medida 5. Cláusula de vigencia 6. Conclusiones
El punto de partida de esta regulación y que da sentido a la misma aparece recogido en el Preámbulo de la Ley 13/2015, cuando descarta que los dispositivos de almacenamiento masivo de información puedan ser considerados como simples piezas de convicción. Su capacidad para recoger y conservar datos de muy diferente índole permite que el acceso a los mismos pueda llegar a afectar de manera intensa a diversos derechos fundamentales y, de ahí, la naturaleza y exigencias de la regulación legal. Esta idea, ya reconocida por la jurisprudencia, deriva de la consideración de los ordenadores como algo más que un instrumento recipiendario de una serie de datos con mayor o menor relación con el derecho a la intimidad del usuario (STS nº 342/2013, de 17 de
La nueva regulación ha venido a dar cumplimiento a diversas exigencias internacionales, como la que recogía el art. 19 del Convenio sobre la Ciberdelincuencia, hecho en Budapest el 23 de noviembre de 2001 (BOE de 17 de septiembre de
2010), que señalaba: 'Cada Parte adoptará las medidas legislativas y de otro tipo que resulten necesarias para facultar a sus autoridades competentes a registrar o a tener acceso de una forma similar:
b) a un medio de almacenamiento de datos informáticos en el que puedan almacenarse datos informáticos, en su territorio'. Ya antes, incluso, se venía poniendo de relieve en diversos instrumentos internacionales la grave afectación de 2
la intimidad que podía derivar del acceso inconsentido a datos informáticos almacenados, como ocurría en el Convenio núm. 108 del Consejo de Europa de 28 de Enero de 1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal o en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas); se llegaba a hablar ya de la necesidad de control judicial en cualquier clase de medida de vigilancia informática, como en la Resolución del Parlamento Europeo de 17 de diciembre de 1998, sobre el respeto de los derechos humanos en la Unión Europea (apartado
La regulación legal del registro de dispositivos y sistemas informáticos, por lo demás, venía siendo demandada, igualmente, por los Tribunales al resultar evidente la trascendencia que para la tutela de los derechos fundamentales podía suponer la protección del contenido almacenado (en este sentido, STC nº 173/2011, de 7 de
Derecho fundamental afectado
Tradicionalmente, la doctrina jurisprudencial venía considerando que en el registro de dispositivos o sistemas informáticos podían verse comprometidos dos diferentes 3
derechos fundamentales. Con carácter general, se entendía que se afectaba la intimidad del usuario del dispositivo, ya que todos los datos que es posible almacenar en el mismo (en forma de documentos, carpetas, fotografías, vídeos, etc.) son susceptibles de 'afectar al núcleo más profundo de su intimidad por referirse a ideologías, creencias religiosas, aficiones personales, información sobre la salud, orientaciones sexuales, etc.' (STC nº 173/2011, de 7 de
noviembre). Pero, al mismo tiempo, podían también derivarse limitaciones para el derecho fundamental al secreto de las comunicaciones si el registro del dispositivo (ordenador o teléfono móvil, por
ejemplo) alcanzaba a datos almacenados que formaran parte de procesos comunicativos. A esta distinción aludía la Circular 1/2013, de 11 de enero, sobre pautas en relación con la diligencia de intervención de las comunicaciones telefónicas, señalando que 'lo determinante para la delimitación del contenido de los derechos fundamentales recogidos en los arts. 18.1 y 18.3 CE no es el tipo de soporte, físico o electrónico, en el que la agenda de contactos esté alojada ni el hecho de que la agenda sea una aplicación de un terminal telefónico móvil, que es un instrumento de y para la comunicación, sino el carácter de la información a la que se accede'.
La distinción en el tratamiento del registro de los contenidos de esta clase de dispositivos generaba no pocos problemas en atención al diferente grado de exigencia que ambos derechos fundamentales requerían para su limitación: autorización judicial en el caso del art. 18.3 CE y no necesidad de la misma en el del art. 18.1 CE. Así, por ejemplo, se venía distinguiendo una diferente naturaleza a los mensajes de correo electrónico según que hubiesen sido ya leídos o no, al entenderse que el proceso comunicativo había finalizado ya en el primer caso y no así en el segundo, no resultando precisa autorización judicial para su incautación en un caso y sí en el otro (STS nº 864/2015, de 10 de
diciembre). Igualmente, se distinguía entre el registro de la agenda de contactos de un teléfono móvil, no necesitada de autorización judicial (STC nº 115/2013, de 9 de
mayo) y la revisión del registro de llamadas entrantes y salientes que, por afectar al derecho fundamental al secreto de las comunicaciones, precisaba de autorización judicial (STC nº 230/2007, de 5 de
noviembre). 4
La solución al problema vino dada por el nacimiento de una nueva doctrina jurisprudencial que abordaba de manera unitaria el problema, introduciendo el concepto del 'derecho al entorno virtual' como un derecho omnicomprensivo que abarca la protección de la gran diversidad de datos que pueden guardarse en un dispositivo o sistema informático, como puede ser un ordenador. De esta manera, señalaba la STS nº 342/2013, de 17 de abril: 'la ponderación judicial de las razones que justifican, en el marco de una investigación penal, el sacrificio de los derechos de los que es titular el usuario del ordenador, ha de hacerse sin perder de vista la multifuncionalidad de los datos que se almacenan en aquel dispositivo. Incluso su tratamiento jurídico puede llegar a ser más adecuado si los mensajes, las imágenes, los documentos y, en general, todos los datos reveladores del perfil personal, reservado o íntimo de cualquier encausado, se contemplan de forma unitaria. Y es que, más allá del tratamiento constitucional fragmentado de todos y cada uno de los derechos que convergen en el momento del sacrificio, existe un derecho al propio entorno virtual'. Efectivamente, como expresa la STC nº 173/2011, de 7 de noviembre, 'quizás, estos datos que se reflejan en un ordenador personal puedan tacharse de irrelevantes o livianos si se consideran aisladamente, pero si se analizan en su conjunto, una vez convenientemente entremezclados, no cabe duda que configuran todos ellos un perfil altamente descriptivo de la personalidad de su titular, que es preciso proteger frente a la intromisión de terceros o de los poderes públicos, por cuanto atañen, en definitiva, a la misma peculiaridad o individualidad de la persona'.
Piénsese, por ejemplo, que cualquier persona conserva actualmente en su teléfono móvil información sobre todos sus contactos (personales y
profesionales), su agenda, con información acerca de sus hábitos más íntimos, sus mensajes de correo electrónico y mensajería instantánea, fotografías familiares, íntimas o relacionadas con secretos profesionales, la geolocalización que resulte de las rutas o desplazamientos que haya realizado en los últimos meses (o años), etc. Por eso, 5
el registro de alguno de los actuales dispositivos de almacenamiento, como los ordenadores o los smartphones o teléfonos inteligentes, puede suponer una intromisión en los derechos fundamentales del individuo que supere ampliamente la limitación aislada de cada uno de los derechos comprometidos, justificando de esta manera su tratamiento unitario para, de esta forma, llevar a cabo una ponderación y valoración, también unitaria, de los derechos e intereses que pudieran resultar comprometidos.
Así lo reconocía ya la citada STS nº 342/2013, de 17 de abril, cuando señalaba que en el derecho al entorno virtual se integraría 'sin perder su genuina sustantividad como manifestación de derechos constitucionales de nomen iuris propio, toda la información en formato electrónico que, a través del uso de las nuevas tecnologías, ya sea de forma consciente o inconsciente, con voluntariedad o sin ella, va generando el usuario, hasta el punto de dejar un rastro susceptible de seguimiento por los poderes públicos'. Esta resolución pone de relieve 'la necesidad de dispensar una protección jurisdiccional frente a la necesidad del Estado de invadir, en las tareas de investigación y castigo de los delitos, ese entorno digital'.
Pero es que, además, el tratamiento unitario de los derechos comprometidos resulta necesario para garantizar la eficacia de un eventual registro, en atención a la gran diversidad de datos y archivos que pueden encontrarse en un dispositivo o sistema informático. Así, no sería extraño que se autorizase el acceso a datos íntimos amparados por el art. 18.1 CE y, en el curso del registro, aparecieran comunicaciones relevantes para la investigación amparadas por el art. 18.3 CE (STS nº 204/2016, de 10 de
marzo). Por ello, la autorización para el registro de un dispositivo o sistema informático en la que se habilite para el acceso a la totalidad del entorno virtual de su usuario, evitará que puedan surgir problemas derivados de la naturaleza del contenido que pudiera ser hallado.
Este es el fundamento de la nueva regulación que incorpora la LO 13/2015. El registro de dispositivos de almacenamiento masivo de información o de equipos o sistemas informáticos se regirá ahora por las previsiones que la LECrim contiene 6
para esta clase de diligencias. Resultará innecesario, por lo tanto, plantearse si resulta comprometido el derecho a la intimidad o el secreto de las comunicaciones. La nueva regulación legal encomienda ahora al Juez valorar -normalmente con carácter previo, aunque, en algunos supuestos con posterioridad al registro, como se verá- la procedencia de la medida en el caso concreto, teniendo en cuenta que, con ella, como se ha señalado, los poderes públicos accederán a ese entorno virtual constitucionalmente protegido del que es titular el investigado. Como expresa la STS nº 786/2015, de 4 de diciembre, 'la ponderación judicial de las razones que justifican, en el marco de una investigación penal, el sacrificio de los derechos de los que es titular el usuario del ordenador, ha de hacerse sin perder de vista la multifuncionalidad de los datos que se almacenan en aquel dispositivo'. Solo a la hora de motivar específicamente la medida deberá descenderse al análisis particular de los derechos controvertidos, cuyo mayor o menor protagonismo y afectación, determinarán la mayor o menor exigencia de los principios rectores que habrán de presidir la medida.
El Capítulo VIII, del Título VIII, del Libro II, LECrim, aparece dedicado al registro de dispositivos de almacenamiento masivo de información. Comprende tres preceptos (arts. 588 sexies a a 588 sexies
c), a lo largo de los cuales se condensa toda la regulación que, igual que ocurre con el resto de diligencias de investigación tecnológica, aparece complementada por las Disposiciones Comunes que se incluyen en el Capítulo IV de este mismo Título (arts. 588 bis a a 588 bis
Al analizar la aplicación de estos preceptos no debe desconocerse, igual que ocurre en relación con otras medidas de investigación tecnológica, que la regulación que la LECrim recoge quedará circunscrita a los supuestos que la justifican en atención a su encuadramiento sistemático dentro de la propia Ley; en particular, de la rúbrica que encabeza el Título VIII -De las medidas de 7
investigación limitativas de los derechos reconocidos en el artículo 18 de la Constitución- se desprende que los preceptos que se analizan resultarán únicamente aplicables a aquellos registros de dispositivos de almacenamiento masivo de información que sean acordados por las autoridades públicas en la persecución de delitos, pudiendo resultar afectados los derechos reconocidos en el art. 18 CE.
Así, por ejemplo, quedarán excluidos del ámbito de la regulación los accesos a dispositivos de almacenamiento masivo de información llevados a cabo por particulares en contextos desconectados de la investigación de los delitos. En este sentido, proclama la STS nº 287/2017, de 19 de abril: 'se trata de una prueba proporcionada por un particular a los agentes de la autoridad sin que esa entrega haya sido concebida como un mecanismo de elusión de las garantías que el sistema constitucional reconoce para la protección de los derechos a la intimidad y al entorno virtual. Hemos dicho que '... las reglas de exclusión probatoria se distancian de su verdadero sentido cuando no tienen relación con la finalidad que está en el origen mismo de su formulación. De lo que se trata es de limitar el afán del Estado en la persecución de los ilícitos penales, de apartar a los agentes de la autoridad de la tentación de valerse de medios de prueba que, por su alto grado de injerencia en el círculo de los derechos fundamentales, están sometidos a unas garantías constitucionales concebidas para la salvaguardia de aquéllos. Se ha dicho con acierto que la proscripción de la prueba ilícita se explica por el efecto disuasorio que para el aparato oficial del Estado representa tener plena conciencia de que nunca podrá valerse de pruebas obtenidas con vulneración de las reglas constitucionales en juego'. En este mismo sentido, el ejercicio de la patria potestad por los padres les confiere también a estos una facultad de control sobre la intimidad de sus hijos menores que puede traducirse en el acceso y registro legítimo de sus datos íntimos, pudiendo llegar a generar prueba valorable por un Tribunal, no obstante su obtención al margen de la previsión legal (STS nº 864/2015, de 10 de
Igualmente quedarían excluidos de la regulación los supuestos de registro de dispositivos que, por el objeto y fines para los que se utilizan, resultaran extraños al ejercicio del derecho a la intimidad por particulares. Es el caso de la STS nº 426/2016, de 19 de mayo, que señala que 'no obstante lo anterior en el caso presente no se trata de despachos, ni ordenadores privados del recurrente sino de los existentes en un organismo público como es la Jefatura Provincial de Tráfico, que no ampara la intimidad que protege el domicilio y quienes trabajan en ellos y los utilizan por razón de su trabajo, no tienen una pretensión de privacidad que el lugar no les puede proporcionar'. La falta de expectativa razonable de privacidad constituye también el argumento del Tribunal Constitucional (STC nº 170/2013, de 7 de
octubre) para no considerar vulnerados los derechos fundamentales de un trabajador cuyo ordenador fue intervenido y registrado por la empresa.
Los dispositivos que hoy en día se utilizan de manera generalizada pueden agruparse en tres grandes categorías: dispositivos magnéticos (fundamentalmente, unidades de disco duro o HDD, del inglés Hard Disk Drive), dispositivos ópticos (CD, DVD o BD) y los dispositivos de memoria sólida o SSD (acrónimo inglés de solid-state
drive) (tarjetas de memoria, memorias USB, etc.)
Podría inducir a confusión la enumeración que recoge el precepto, al hacer referencia a los ordenadores e instrumentos de comunicación telefónica o telemática, que sitúa en un plano de igualdad con los dispositivos de almacenamiento masivo de información digital. En realidad, tanto los ordenadores como los instrumentos de comunicación telefónica o telemática son tecnologías que contienen y hacen uso de dispositivos de almacenamiento masivo de información digital, pero, aun siendo los más frecuentemente utilizados, no son los únicos. Son, igualmente, instrumentos que contienen y utilizan dispositivos de almacenamiento masivo de información, las tabletas (a mitad de camino entre el ordenador personal y el teléfono
inteligente), las cámaras fotográficas, los GPS o incluso numerosos electrodomésticos de uso cotidiano hoy en día que permiten grabar y almacenar información de diversa naturaleza.
Por lo tanto, lo que la regulación legal autoriza a registrar será, además de los ordenadores y teléfonos móviles expresamente mencionados, cualquier otro dispositivo de almacenamiento masivo que forme parte de otro instrumento más complejo -como los anteriormente reseñados-, así como los soportes de almacenamiento de datos que puedan ser hallados (como CD´s ó DVD´s) y los dispositivos de almacenamiento masivo de información que, sin formar parte de otro sistema más complejo, pudieran tener relación con la investigación (discos 10
duros externos, memorias USB, tarjetas de memoria, etc.) A ello deberá añadirse, además, el acceso a cualquiera de estos dispositivos o instrumentos por vía telemática, esto es, lo que la ley llama el acceso a repositorios telemáticos de datos.
La necesidad del control judicial de esta medida ya había sido puesta de manifiesto por el TEDH (STEDH de 22 de mayo de 2008, caso Iliya Stefanov contra Bulgaria) y, más recientemente, por el Tribunal Supremo de Estados Unidos que, en su sentencia de 25 de junio de 2014 (casos acumulados Riley contra California y Estados Unidos contra Brima Wurie -573 U.S.-
2014), destacaba la gravísima afectación de la privacidad que podía derivarse de un examen indiscriminado y sin límites de un teléfono inteligente. En esta línea, como ya se señalaba, la STS nº 342/2013, de 17 de abril, acogía en nuestro país el concepto del derecho al propio entorno virtual para justificar esa necesidad de autorización judicial, precisando la STS nº 246/2014, de 2 de abril, ante la diferente naturaleza de los derechos que pueden verse afectados por el registro de un ordenador: 'Son muchos los espacios de exclusión que han de ser garantizados. No todos ellos gozan del mismo nivel de salvaguarda desde la perspectiva constitucional. De ahí la importancia de que la garantía de aquellos derechos se haga efectiva siempre y en todo caso, con carácter anticipado, actuando como verdadero presupuesto habilitante de naturaleza formal'.
Efectivamente, la diversa naturaleza de los datos que pueden ser almacenados en un dispositivo digital se traduce, también, en diferentes grados de afectación de los derechos fundamentales de su titular, lo que impone un tratamiento unitario que permita salvaguardar las intromisiones que pudieran resultar más intensas (en este sentido, la STS nº 204/2016, de 10 de
Pues bien, esa multifuncionalidad de los datos que se almacenan y el diferente grado de afectación de los derechos fundamentales del investigado, no solo justifica la exigencia de una resolución judicial para su registro, sino que también constituye el núcleo y la esencia de la fundamentación que debe recoger esa autorización judicial. Deberá valorarse el alcance del registro, la naturaleza de los datos a los que se accederá y el grado de afectación de los derechos del investigado, como criterio fundamental para llevar a cabo una adecuada ponderación de los intereses en conflicto que justifique el registro. De esta manera, las exigencias de justificación se incrementarán en los casos en los que pueda 12
presumirse la limitación de diversos derechos fundamentales (intimidad, secreto de las comunicaciones o protección de
datos) o cuando, aun siendo solo uno el derecho afectado, se prevea de especial intensidad su afectación (por ejemplo, cuando se trate de datos pertenecientes al ámbito más exclusivo de la
privacidad). Por el contrario, la justificación podrá no ser tan intensa cuando se trate de acceder a datos concretos y limitados que no incidan de manera especialmente grave en el derecho fundamental (por ejemplo, el simple acceso al directorio de contactos de un teléfono móvil).
El principio de especialidad, en estos casos, va a hacer que no resulte lícito el registro preventivo o genérico de dispositivos (como podría ser un teléfono móvil, por
ejemplo) sin que exista una investigación sobre un delito concreto. Esta circunstancia, unida a las exigencias del principio de excepcionalidad, debe traducirse en la ilegalidad de cualquier registro de dispositivos que se llevara a cabo de manera sistemática ante cualquier detención, por ejemplo. La excepcionalidad de la medida deberá ser apreciada juntamente con su idoneidad y necesidad. Por ello, solo ante la posibilidad indiciariamente acreditada de obtener con el registro datos relevantes para la investigación, podría justificarse el mismo. Por lo tanto, el registro resultará ilícito cuando se lleve a cabo de manera prospectiva, esto es, buscando el hallazgo casual de datos o pruebas que, a priori, no aparezcan justificados.
Finalmente, y en cuanto a la proporcionalidad de la medida, pudiera llamar la atención que el legislador no haya establecido un catálogo de delitos fijando una 13
gravedad mínima que permita el recurso a esta medida, si se tiene en cuenta la importancia de la intromisión en los derechos fundamentales que con ella puede producirse. La razón de ello estriba en que, frente a esa gravedad que se presenta en algunos casos concretos, existen otros, como ya se adelantaba, mucho más livianos. Por ello, deberá ser el juicio de proporcionalidad que lleve a cabo el Juez el que justifique la medida en cada caso concreto; y ese juicio deberá valorar la gravedad del delito, no solo desde la perspectiva de la pena que le corresponda, sino atendiendo también a la naturaleza del bien jurídico protegido.
Especial significación alcanzará, en estos casos, el ámbito tecnológico en el que el delito se haya cometido, ya que únicamente mediante el análisis del medio tecnológico de comisión podrán reunirse pruebas de su perpetración. En este sentido, señala la STS nº 811/2015, de 9 de diciembre, que 'cuando de infracciones cometidas mediante la utilización de equipos informáticos se trata, la diligencia tendente a su ocupación y al examen de sus contenidos, ha de considerarse como proporcionada, no tanto en función de la pena eventualmente aplicable sino de la propia naturaleza de los hechos investigados, de su mecánica comisiva y de las inevitables necesidades para su ulterior probanza'.
De todas formas, no debe olvidarse que la menor gravedad de la infracción puede compensarse, desde la perspectiva de la proporcionalidad, con una limitación de los datos a los que se permite el acceso. Así, mientras que una simple estafa de escasa cuantía no justificaría el pleno acceso a la totalidad de los datos íntimos del investigado que pudiera almacenar en su ordenador personal, no existiría inconveniente en considerar proporcionada la autorización judicial que concediera acceso a su actividad en internet, si este hubiera sido el medio de comisión del delito. 3.3.2. El consentimiento del afectado y otros supuestos excepcionales
La autorización judicial habilitante del registro de un dispositivo de almacenamiento masivo de información no será necesaria en los casos en los que el afectado haya prestado su consentimiento para ello. Aunque no lo prevea expresamente la Ley, la eficacia del consentimiento sobre el derecho a la intimidad ha sido objeto de un intenso desarrollo jurisprudencial; de esta manera, el Tribunal Constitucional, en STC nº 173/2011, de 7 de noviembre, proclamaba que 'corresponde a cada persona acotar el ámbito de intimidad personal y familiar que reserva al conocimiento ajeno, por lo que el consentimiento del titular del derecho fundamental legitimará la inmisión en el ámbito de la intimidad e impedirá, por tanto, considerarlo vulnerado'.
Será siempre presupuesto necesario para la validez del consentimiento que el otorgante tenga capacidad para prestarlo, proclamando la STS nº 1803/2002, de 4 de noviembre que 'en supuestos de minusvalía psíquica aparente, esté o no declarada judicialmente, no puede considerarse válidamente prestado el consentimiento, todo ello en base al art. 25 del Código Penal'.
Podrá manifestarlo el afectado, tanto de manera expresa como tácita, entendiéndose por ésta última la que no resulta de expresiones, sino de hechos (actos
concluyentes), siendo preciso, para conocer su verdadero significado, acudir a conjeturas o presunciones (STC nº 173/2011, de 7 de
noviembre). El propio art. 551 LECrim se refiere al consentimiento para la práctica de la diligencia de entrada y registro señalando que 'se entenderá que presta su consentimiento aquel que, requerido por quien hubiere de efectuar la entrada y registro para que los permita, ejecuta por su parte los actos necesarios que de él dependan para que puedan tener efecto, sin invocar la inviolabilidad que reconoce al domicilio el artículo 6.º de la Constitución del Estado' (actual art. 18.2 Constitución Española).
Ahora bien, no puede admitirse como un consentimiento tácito la simple falta de oposición al registro (en este sentido la STC nº 209/2007, de 31 de septiembre, respecto de un registro
domiciliario) siendo preciso, al menos, actos que manifiesten una inequívoca voluntad de colaborar con ese registro como sería, por ejemplo, el supuesto recogido en la STS nº 786/2015, de 4 de diciembre, en el que se admitió que esa voluntad tácita se dedujera del acto de facilitar la interesada la 15
identidad de las cuentas de correo electrónico y sus claves. La STS nº 864/2015, de 10 de diciembre, por su parte, consideró válido el consentimiento tácito para el análisis de un ordenador que se desprende de la autorización a la policía para recogerlo, considerando 'incuestionable que la autorización para recoger conlleva el análisis del contenido que en dicho material informático se encuentre'. Finalmente, puede recordarse también el caso de la STC nº 173/2011, de 7 de noviembre, en la que se entiende prestado el consentimiento con la entrega de un ordenador que carece de contraseñas, para el acceso al mismo con el fin de que sea reparado.
El consentimiento podrá ser revocado en cualquier momento (SSTC nº 196/2006, de 3 de julio y 159/2009, de 29 de
junio) y, además, devendrá ineficaz cuando el registro 'subvierta los términos y el alcance para el que se otorgó el consentimiento, quebrando la conexión entre la información personal que se recaba y el objetivo tolerado para el que fue recogida' (SSTC nº 110/1984, de 26 de noviembre, 196/2004, de 15 de noviembre y 70/2009, de 23 de
marzo). Igualmente, el consentimiento ha de ser libre y no viciado ya que, como señala la STS nº 1576/1998, de 11 de diciembre, 'ha de estar exento de todo elemento susceptible de provocar o constituir error, violencia, intimidación o engaño (art. 1.265 del Código Civil), pues si tales rigurosas exigencias son requeridas para las relaciones contractuales, mucha más severidad habrá de aplicarse cuando se trata de renunciar a un derecho fundamental del individuo'. En esta línea, no debe olvidarse que el último apartado del art. 588 sexies c prohíbe expresamente a las autoridades y agentes encargados de la investigación que puedan compeler al investigado o encausado para que colabore en el registro del dispositivo.
En los casos en los que el afectado se encuentre detenido, aplicando la doctrina jurisprudencial elaborada para los casos de registro domiciliario, no será precisa la asistencia del letrado para llevar a cabo el registro del dispositivo, pero sí para obtener el consentimiento del afectado, si no existiera autorización judicial (STS nº 187/2014, de 10 de
marzo). 'La razón de ello -señala la STS 550/2001, de 3 de abril-, es que la manifestación de voluntad así prestada debe ser seriamente 16
cuestionada teniendo en cuenta que el detenido puede sentirse condicionado o presionado por dicha situación, incluso desconocer la posibilidad de negarse a autorizar la entrada, así como las consecuencias que pudieran derivarse de dicho acto'. Esta misma asistencia letrada para la eficacia del consentimiento en los casos de detención se viene exigiendo para la validez de la toma de muestras biológicas (SSTS nº 685/2010, de 7 de julio y 827/2011, de 25 de
octubre) (art. 520.6.c) LECrim).
Existen otros supuestos, no obstante, en los que el consentimiento para el registro presenta alguna particularidad. Es el caso, por ejemplo, del registro de dispositivos de almacenamiento que son utilizados simultáneamente por varias personas, en el que resultará válido el consentimiento otorgado por cualesquiera de ellas, incluso, para el examen de los datos íntimos de las otras. A él se refiere la STS nº 287/2017, de 19 de abril, referido al registro de un ordenador utilizado por todo el entorno familiar con el simple consentimiento de uno de los miembros; señala el Tribunal Supremo que 'quien incorpora fotografías o documentos digitales a un dispositivo de almacenamiento masivo compartido por varios es consciente de que la frontera que define los límites entre lo íntimo y lo susceptible de conocimiento por terceros, se difumina de forma inevitable'. El consentimiento de uno de los usuarios, sin embargo, no deberá resultar suficiente cuando pudiera existir conflicto de intereses entre ellos (STC nº 22/2003, de 10 de
febrero). En los casos de datos íntimos de una persona fallecida, aunque en este caso se trataba de la víctima del delito, la STS nº 850/2014, de 26 de noviembre, valida el consentimiento de sus padres para acceder a los datos existentes en su teléfono móvil, señalando: 'Desde la perspectiva del derecho a la intimidad, no constituye una injerencia inconstitucional el acceso proporcional de los padres de la menor fallecida, en su condición de sucesores legítimos en todos sus bienes, derechos y obligaciones, a sus documentos privados. Y desde la perspectiva del derecho al secreto de las comunicaciones (...) los sucesores legítimos del receptor, titulares de todos sus derechos y obligaciones, pueden asimismo acceder y hacer un uso legítimo y proporcionado de dichas comunicaciones, sin por ello vulnerar ningún precepto constitucional'. 17
A esta necesidad se refiere la STS nº 786/2015, de 4 de diciembre, cuando señala: 'La jurisprudencia de esta Sala ha recordado la necesidad de que exista una resolución jurisdiccional habilitante para la invasión del derecho al entorno digital de todo investigado. Como hemos indicado supra, esa resolución ha de tener un contenido propio, explicativo de las razones por las que, además de la inviolabilidad domiciliaria, se alza la intimidad reflejada en el ordenador. Nuestro sistema no tolera el sacrificio de los derechos proclamados en los apartados 3 y 4 del art. 18 de la CE a partir de una legitimación derivada, de suerte que lo que justifica un sacrificio se ensanche hasta validar implícitamente otra restricción. Esta idea tiene ya un reflejo normativo en el art. 588 sexies
a) 1º de la LECrim (...) Se trata, por tanto, de una regulación rupturista, que pretende abandonar prácticas en las que la autorización judicial para la entrada en el domicilio del investigado amparaba cualquier otro acto de injerencia, incluso cuando desbordara el contenido material del derecho reconocido en el art. 18.2 de la CE'.
La motivación judicial que legitime el registro de los dispositivos de almacenamiento puede realizarse en la misma resolución de entrada y registro o en otra independiente (SSTS nº 342/2013, de 17 de abril y 204/2016, de 10 de
marzo). Lo normal será que, tanto la motivación que justifique el registro domiciliario, como la que justifique el registro de los dispositivos de almacenamiento, se incluyan en la misma resolución judicial en los casos en los que sea previsible el hallazgo de esta clase de dispositivos y su relevancia para la investigación con anterioridad a la práctica de la diligencia (art. 588 bis a.1), aunque nada impide que esa justificación se realice por separado. Cuando necesariamente constarán ambas justificaciones en resoluciones diferentes será en los supuestos que prevé el apartado 2 del art. 588 sexies a, en los que el auto de entrada y registro habrá legitimado la incautación de los dispositivos, pero resultará necesaria una nueva resolución, con su motivación específica, para su registro. Realmente, hoy en día es difícil imaginar un registro domiciliario en el que no aparezca algún tipo de dispositivo de almacenamiento masivo de información por lo que, siempre que se considere que pudiera resultar relevante para la investigación que se lleva a cabo la información que en uno de estos dispositivos pudiera ser almacenada, deberá preverse específicamente en el auto de entrada y registro el acceso a la misma.
Es necesario que la justificación del registro de los dispositivos de almacenamiento masivo tenga un contenido propio e independiente del que habilita el registro domiciliario. Como declara la STS nº 786/2015, de 4 de diciembre, lo que la Ley pretende 'es que el Juez de instrucción exteriorice de forma fiscalizable las razones que justifican la intromisión en cada uno de los distintos espacios de exclusión que el ciudadano define frente a terceros'. Esta circunstancia podría determinar, incluso, la nulidad de una de las diligencias y no de la otra, al estar sujetas ambas a exigencias distintas; por eso, en los supuestos en los que las dos motivaciones judiciales se incluyan en una misma resolución, deberá prestarse un especial cuidado con el fin de fundamentar la procedencia de cada una de ellas. 19
La LECrim impone al Juez la obligación de precisar los términos y alcance del registro, esto es, los concretos datos informáticos a los que podrá acceder la investigación. Esta decisión deberá estar presidida por los principios de especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad. Se trata de garantizar que la limitación de los derechos fundamentales del afectado alcance 21
únicamente hasta donde resulte estrictamente necesario a los fines de la investigación, garantizando, al propio tiempo, el respeto al resto de su entorno virtual.
La delimitación del alcance del registro que debe hacer el Juez tendrá una proyección tanto subjetiva como objetiva. Subjetiva, porque deberá precisar los sujetos afectados por el registro; aunque ordinariamente resultará solo afectado el investigado, el registro podría limitar derechos de terceros si el dispositivo de almacenamiento masivo es compartido entre varias personas o si los datos de interés para la investigación se encuentran almacenados en dispositivos que no son titularidad del investigado. Esa posible afectación de terceros aparece ya prevista en los arts. 588 bis c.3.b) y 588 bis h LECrim para todas las medidas de investigación tecnológica, por lo que cabe remitirse a las precisiones que sobre este particular se hacían en la Circular 1/2019. Además, la posibilidad de registrar dispositivos de un tercero parece admitida por la regulación específica de esta medida, cuando habla de 'titular o propietario' en el art. 588 sexies c.2. Pero, sobre todo, la delimitación que haga el Juez debe tener un alcance objetivo, no solo determinando qué dispositivos pueden ser registrados y cuáles no, sino, también, la categoría o clase de datos o archivos de un dispositivo determinado a los que deberá alcanzar el registro.
Ahora bien, existen supuestos en los que la delimitación de los términos y alcance del registro no resultará sencilla. Esto puede ocurrir cuando se investiguen comportamientos delictivos capaces de generar registros informáticos de distinta naturaleza. Sería el caso, por ejemplo, de la investigación de delitos complejos, 22
como el tráfico de drogas y blanqueo de capitales, que exigiría registrar la práctica totalidad de los datos almacenados (comunicaciones, datos económicos, fotografías, vídeos...). Otro tanto ocurriría en el caso de la investigación de delitos especialmente graves, en los que el principio de proporcionalidad podría justificar una intromisión más relevante en el conjunto de datos que conforman el entorno digital de una persona y que, indiciariamente, pudieran resultar relevantes para una investigación por ser de uso frecuente en las dinámicas delictivas, como sucede, por ejemplo, en los casos de terrorismo. Finalmente, la adopción de especiales cautelas por parte de los investigados puede determinar que se amplíe el ámbito del registro en busca de archivos intencionadamente camuflados entre las ingentes cantidades de información que pueden almacenarse en uno de estos dispositivos, como podría ocurrir, por ejemplo, en los casos de criminalidad organizada. En todos estos supuestos, la investigación policial previa a la incautación de los dispositivos deberá orientarse, entre otros fines, a determinar los indicios que posteriormente puedan sustentar un determinado alcance del registro.
Aunque puede no resultar sencillo delimitar los términos y alcance de un registro en un caso concreto, el acierto de la medida pasará siempre por una adecuada justificación de los límites fijados, se revelen posteriormente como correctos o no. Por ello, lo realmente determinante para la validez de la medida, lo que hará que la misma resulte ajustada a derecho, será siempre que la resolución habilitante haya fijado un determinado alcance del registro -que podrá ser de todo el dispositivo o de parte del mismo-, y que, al mismo tiempo, haya reflejado las razones y motivos en los que descansa esa decisión. A partir de aquí, será la razonabilidad o no del juicio valorativo, lo que dará validez o no a la decisión judicial.
Así, la STEDH, de 3 de julio de 2012, caso Robathin contra Austria, consideró violado el art. 8 de la Convención Europea de Derechos Humanos (en adelante, CEDH) en un supuesto de registro del ordenador de un abogado en el que la medida había permitido el acceso a todos los datos y no únicamente a las carpetas referidas a los clientes que eran objeto de investigación. El fundamento de la resolución, sin embargo, no fue el excesivo alcance del registro, sino la falta de 23
justificación de ese alcance, señalando el TEDH que el Tribunal 'dio razones muy breves y bastante generales al autorizar la búsqueda de todos los datos electrónicos del bufete de abogados del solicitante. En particular, no abordó la cuestión de si sería suficiente buscar solo los discos que contenían datos relacionados con 'R.' y 'G.' Tampoco dio ninguna razón específica para su conclusión de que era necesaria una búsqueda de todos los datos del solicitante para la investigación'.
El apartado primero del art. 588 sexies c establece que la resolución judicial podrá autorizar la realización de copias de los datos informáticos, lo que parece contradictorio con la previsión contenida en el apartado segundo del mismo artículo, que impone la realización de las copias como regla general, evitando la incautación de los soportes de almacenamiento. Teniendo en cuenta que la realización de copias será el modo habitual de proceder, la previsión legal deberá interpretarse en el sentido de que la realización de copias requerirá siempre la 24
autorización del Juez. Si bien es cierto que el copiado de los dispositivos constituye un mecanismo esencial para garantizar la integridad de la prueba, también lo es que supone una intromisión mayor en el entorno virtual del afectado que su simple visualización, de ahí que la ley prevea expresamente la necesidad de autorizar la copia.
Efectivamente, la volatilidad y facilidad de alteración de los datos informáticos aconsejan, con la finalidad de garantizar la integridad de la prueba, que el registro y análisis de los dispositivos de almacenamiento se practique sobre copias y no sobre los originales. La realización de copias permitirá, igualmente, un mayor dinamismo en la elaboración de informes sobre el contenido de los dispositivos, al poder realizarse simultáneamente diversos estudios sobre los mismos (en los casos en los que vayan a ser examinados por los peritos designados por el Juez y, al propio tiempo, por otras partes
intervinientes).
El copiado de dispositivos de almacenamiento masivo de información puede llevarse a cabo de dos formas. Mediante el clonado o volcado, que consiste en la realización de una copia espejo o copia bit a bit de la información original, o mediante la realización de una copia lógica, es decir, una copia selectiva de ciertas carpetas o ficheros. En el primer caso, la imagen obtenida con la copia será idéntica a la original (hasta en los archivos que hayan podido ser borrados del soporte de
almacenamiento) y debe ser firmada digitalmente a través de una función hash, que garantizará la identidad de los datos informáticos entre los que existen en la copia y el original. En el caso de las copias lógicas, sin perjuicio de que también es posible la firma digital a través de la función hash, sería recomendable su realización a presencia del Letrado de la Administración de Justicia con el fin de otorgar mayores garantías a la selección de archivos que se copien.
La copia autorizada por el Juez puede llevarse a cabo al mismo tiempo que se practica el registro del domicilio o lugar en el que el dispositivo de almacenamiento haya sido hallado, o posponerse para un momento ulterior. La primera solución 25
aporta agilidad a la investigación, al poderse utilizar esas copias ya desde un primer momento, pero presenta el inconveniente de que el proceso de copiado puede resultar bastante lento y prolongarse más allá de lo que dure el registro domiciliario, sobre todo, en los casos de clonado. Por eso, la práctica más habitual consistirá en la incautación de los dispositivos de almacenamiento masivo de información en el momento del registro domiciliario para su posterior clonado. Por el contrario, cuando se acuerde realizar copias lógicas durante el registro domiciliario deberá aprovecharse la presencia del Letrado de la Administración de Justicia para que haga constar en el acta del registro el concreto alcance del copiado del dispositivo, garantizándose con ello la autenticidad e integridad de la copia en virtud de las cautelas que adopte el Letrado de la Administración de Justicia. En la práctica serán las concretas circunstancias del caso, su urgencia o la naturaleza de los datos que interesen a la investigación, las que aconsejen decantarse por uno u otro tipo de copiado.
A diferencia de lo que se ha señalado para la realización de copias lógicas o parciales, durante el volcado o clonado de datos no es necesaria la presencia del Letrado de la Administración de Justicia (SSTS nº 116/2017, de 23 de febrero, 342/2013, 17 de julio, 480/2009, 22 de mayo y 256/2008, 14 de
mayo). Como se ha indicado, la garantía de la integridad de la copia vendrá dada en estos casos por la firma digital (al poderse comprobar que el resultado de la función hash del original coincide exactamente con el de la
copia). La función del Letrado de la Administración de Justicia, en estos casos, se agotará en dar fe de la identidad del soporte de almacenamiento masivo de información, esto es, que el soporte copiado es el mismo que fue hallado en el registro domiciliario y, como tal, consignado en el acta. En este sentido, señala la STS nº 342/2013 más arriba citada: 'la presencia del fedatario judicial en el acto del volcado de datos no actúa como presupuesto de validez de su práctica. Lo decisivo es que, ya sea mediante la intervención de aquél durante el desarrollo de la diligencia de entrada y aprehensión de los ordenadores, ya mediante cualquier otro medio de prueba, queden descartadas las dudas sobre la integridad de los datos y sobre la correlación entre la información aprehendida en el acto de intervención y la que se obtiene mediante el volcado'. Por otro lado, el 26
proceso de volcado o clonado se lleva a cabo a través de un procedimiento técnico que el Letrado de la Administración de Justicia no solo puede desconocer, sino que, además, no siempre puede controlar, por lo que difícilmente podrá dar fe del mismo: 'aunque no hay duda de que el secretario judicial es una instancia formal de garantía, la jurisprudencia aconseja no sobrevalorar su mediación, por su propia condición de profano en materia de conocimientos informáticos' (STS nº 187/2015, de 14 de
abril). Añade la STS nº 1599/99, de 15 de noviembre: 'Lo que no se puede pretender es que el fedatario público esté presente durante todo el proceso, extremadamente complejo e incomprensible para un profano, que supone el análisis y desentrañamiento de los datos incorporados a un sistema informático. Ninguna garantía podría añadirse con la presencia del funcionario judicial al que no se le puede exigir que permanezca inmovilizado durante la extracción y ordenación de los datos, identificando su origen y procedencia'.
Finalmente, respecto a la posibilidad de que las partes asistan al acto de volcado o clonado de los dispositivos de almacenamiento señala la STS nº 165/2016, de 2 de marzo, que 'ni la ley procesal anterior al año 2015 ni tampoco la nueva normativa de la Ley de Enjuiciamiento Criminal (Ley 13/2015, de 5 de
octubre) imponen que estén presentes el letrado del imputado ni un perito nombrado por la parte en el momento de volcar el contenido del ordenador'. Es cierto que el art. 476 LECrim reconoce a las partes la posibilidad de designar un perito que presencie el acto pero, sin embargo, 'esa presencia no es presupuesto de validez del acto. Nada de ello se desprende de la literalidad de aquel precepto' (STS nº 342/2013, de 17 de
Además de precisar el alcance del registro y decidir acerca de la realización o no de copias, la resolución judicial deberá también fijar las condiciones necesarias para asegurar la integridad de los datos y las garantías de su preservación para hacer posible, en su caso, la práctica de un dictamen pericial (art. 588 sexies
c). No precisa la Ley, sin embargo, las condiciones y garantías concretas que hayan de adoptarse, por lo que deberá estarse a las reglas generales acerca de la conservación y garantía de las fuentes de prueba.
A pesar de que el precepto parece condicionar la finalidad de asegurar la integridad de los datos y su preservación a la hipotética práctica de un dictamen pericial, debe interpretarse que las medidas que adopte el Juez deberán estar orientadas, en último término, a garantizar la integridad y preservación de los datos para su adecuada valoración por el Tribunal de enjuiciamiento, no solo en los casos en que exista prueba pericial, sino también en los de valoración del dato directamente por el Tribunal. Se trata, en definitiva, de garantizar la adecuada cadena de custodia de las fuentes de prueba, asegurando que lo que se analiza es justamente lo ocupado y que no ha sufrido alteración alguna (STS nº 1072/2012, de 11 de
diciembre). Y es que, en cualquier caso, la aptitud de la prueba pericial va a pasar siempre por garantizar la adecuada cadena de custodia de los efectos objeto de la pericia, asegurando que son los mismos y con el mismo contenido, que los que fueron intervenidos (STC nº 170/2003, de 29 de
Estas condiciones que el Juez habrá de fijar en su resolución deberán pasar, necesariamente, por garantizar la identidad de los dispositivos de almacenamiento masivo (que los dispositivos de los que nacen las pruebas son los mismos que fueron
incautados) y su integridad (que no se ha borrado ni añadido dato alguno en los
No obstante lo anterior, en los supuestos en los que no se incaute el dispositivo, dejándolo en poder del investigado, será preciso hacer dos copias; una primera, para garantizar y asegurar el contenido del dispositivo en un momento determinado y una segunda para llevar a cabo sobre ella los análisis que exija la investigación, dejando de esta manera intacta y como muestra de contraste la primera copia, 30
cuya integridad será garantizada por el sellado y custodia de la misma que deberá hacer el Letrado de la Administración de Justicia.
Las condiciones fijadas por el Juez para la integridad y preservación de los datos pueden ser cuestionadas por las partes, no solo en el momento de su adopción, sino también cuando se revelen ineficaces o se incumplan, aunque siempre precisando concretamente el déficit de garantía y haciéndolo en un momento procesal que permita su corrección. En este sentido, señala la STS nº 990/2016, de 12 de enero: 'Para examinar adecuadamente si se ha producido una ruptura relevante de la cadena de custodia no es suficiente con el planteamiento de dudas de carácter genérico, es necesario que la parte que la cuestione precise en qué momentos, a causa de qué actuaciones y en qué medida se ha producido tal interrupción, pudiendo proponer en la instancia las pruebas encaminadas a su acreditación. En cualquier caso, habrá de plantearse en momento procesalmente hábil para que las acusaciones, si a su derecho interesa, puedan contradecir eficazmente las objeciones planteadas'. Esto es así porque 'existe la presunción de (que) lo recabado por el juez, el perito o la policía se corresponde con lo presentado el día del juicio como prueba, salvo que exista una sospecha razonable de que hubiese habido algún tipo de posible manipulación' (STS nº 115/2014, de 25 de
febrero). Señala la STS nº 587/2014, de 18 de julio, que la cadena de custodia '...no es prueba en sí misma. La infracción de la cadena de custodia afecta a lo que se denomina verosimilitud de la prueba pericial y, en consecuencia, a su legitimidad y validez para servir de prueba de cargo en el proceso penal'. Ahora bien, ello no supone vulneración de derecho fundamental alguno con el efecto connatural de la nulidad de la prueba refleja, habiendo proclamado la STS nº 656/2015, de 10 de noviembre, que 'la irregularidad de la 'cadena de custodia' no constituye de por sí, vulneración de derecho fundamental alguno que, en todo caso, vendrá dado por el hecho de admitir y dar valor a una prueba que se haya producido sin respetar las garantías esenciales del procedimiento, y especialmente, el derecho de defensa'.
El soporte constituirá el objeto del delito cuando recaiga sobre él la acción del sujeto activo o resulte afectado directamente por el daño causado por la conducta delictiva (delitos de daños informáticos, por
ejemplo) o cuando contenga los 32
archivos informáticos de contenido delictivo (delitos de pornografía infantil o contra la propiedad intelectual, por
ejemplo). Será frecuente en estos casos que los soportes pertenezcan a la víctima del delito, por lo que deberán intensificarse los esfuerzos para evitarle cualquier perjuicio adicional, siendo en todo caso aplicables las previsiones contenidas en el último párrafo del art. 334 LECrim.
En estos casos y, sobre todo, cuando la incautación no genere un perjuicio grave a su titular o propietario o no resulte posible obtener una copia en condiciones que garanticen la autenticidad de los datos, los soportes físicos serán siempre incautados. En particular, la imposibilidad de obtener copias en las condiciones que señala el precepto se dará en los casos en los que resulte necesario llevar a cabo un clonado de los dispositivos de almacenamiento y, en atención a la gran cantidad de datos existentes y lentitud del procedimiento, no pueda aquel realizarse durante el desarrollo de la diligencia de entrada y registro. Lógicamente, cuando esto 33
ocurra, la incautación durará el tiempo mínimo imprescindible para llevar a cabo el volcado de los datos.
Como ya se ha indicado ut supra, los repositorios telemáticos de datos son dispositivos de almacenamiento masivo de información a los que se tiene acceso de manera telemática. Pueden formar parte del propio sistema informático del usuario o estar ubicados en sistemas informáticos independientes a los que el usuario accede a través de internet con la finalidad de gestionar la información 34
digital que allí se encuentra almacenada. Los sistemas pueden ser propios del usuario o ajenos, igual que la información que se almacena en los mismos, que también puede ser propia o ajena, en los casos en los que el acceso a la misma y su gestión forman parte de una actividad laboral, por ejemplo.
Este acceso a información digital de manera telemática constituye la esencia de lo que hoy en día se denomina cloud computing (computación en la
nube), nuevo concepto que ofrece nuevas respuestas a las demandas que la informática moderna ha venido planteando en los últimos años. La esencia del cloud computing reside en sustituir los dispositivos de almacenamiento masivo de información clásicos por el almacenamiento en servidores de internet. Así, la información y, en muchos casos, los programas informáticos, ya no se guardan en el disco duro del ordenador, sino en los servidores a los que se accede a través de internet. Este sistema ofrece la ventaja de proporcionar al usuario capacidades de almacenamiento mucho mayores que las que va a encontrar en su propio dispositivo (ordenador, teléfono móvil, etc.), seguridad en la conservación de sus datos (en muchos casos, estos repositorios se utilizan para hacer copias de seguridad de los datos alojados en el propio sistema informático) y, sobre todo, la posibilidad de acceder a sus datos en cualquier lugar en que se halle desde cualquier dispositivo que se conecte a internet y no solo a través del propio dispositivo en el que tuviera almacenados los datos. Esta posibilidad se revela especialmente útil en el mundo actual de los smartphones o teléfonos inteligentes que, por un lado, carecen de capacidad para almacenar grandes cantidades de datos y, por otro, permiten el acceso a los repositorios con una gran movilidad espacio-temporal.
El cloud computing, sin embargo, no es el único servicio que permite el almacenamiento de datos a través de internet. Habría que incluir también aquí, por ejemplo, numerosos servicios comerciales que se ofrecen a través de internet, como la banca electrónica, que permite al usuario acceder a su banco y realizar operaciones bancarias, generando con ello información en forma de asientos contables de movimientos, que quedarán almacenados en los servidores de la 35
entidad bancaria. Igualmente habría que incluir numerosas modalidades de teletrabajo en las que el usuario accede telemáticamente a los sistemas informáticos de la empresa para la que trabaja, gestionando a través de ese acceso diversas formas de información. Finalmente, y aunque podría considerarse también como una forma de cloud computing, destacarían algunas herramientas de comunicación, como el correo electrónico, alojado en servidores web a los que el usuario accede telemáticamente. En todos estos casos, aunque no se trata de servicios específicamente destinados al almacenamiento de datos personales, se generan depósitos de información en alojamientos externos a los que se accede a través del dispositivo o sistema propio del usuario.
Pues bien, estas nuevas formas de creación, acceso y gestión de información a través de internet son las que contempla el legislador en los preceptos a los que se ha hecho referencia, previendo la posibilidad de su registro ante la probabilidad de que puedan albergar datos relevantes para la investigación de los delitos. Esa posibilidad debe aparecer suficientemente fundada y motivada, bien desde un primer momento, lo que provocará que el Juez autorice su registro ya en la resolución inicial que dicte (art. 588 sexies a.1), bien como consecuencia de los datos que se obtengan con el registro ya autorizado (por ejemplo, un acceso directo a un repositorio de datos
externo), lo que dará lugar a la ampliación del registro que regula el art. 588 sexies c.3.
El acceso resultará lícito siempre que no derive de alguna diligencia de investigación que vulnere derechos fundamentales como sería, por ejemplo, la obtención de las claves de acceso mediante procedimientos fraudulentos. Resultará, sin embargo, lícito, cuando sean reveladas voluntariamente por el investigado (tal es el caso que resuelve la STS nº 97/2015, de 24 de
febrero), o cuando su averiguación derive de la investigación policial previa al registro, o cuando las claves se hayan obtenido con motivo del registro lícito de los dispositivos del investigado, por ejemplo. En cualquier caso, debe tratarse de repositorios o sistemas informáticos a los que pueda accederse desde el sistema inicial para el que se autorizó el registro.
En cuanto a la autorización judicial, es posible distinguir tres supuestos. Que se autorice ya desde el primer momento el acceso a un repositorio telemático de datos o sistema informático externo específicos cuyo uso por el investigado sea conocido; que se autorice de manera genérica el acceso a cualquier repositorio o sistema informático a los que el investigado pueda acceder desde su equipo de manera telemática; o que no se haya previsto este acceso telemático, en cuyo caso establece el precepto la necesidad de recabar autorización judicial ampliatoria, suspendiendo para ello necesariamente la práctica del registro, sin perjuicio de la posibilidad de que la Policía Judicial o el Fiscal, cuando se esté ante un caso de urgencia, puedan llevarlo a cabo. Para este último supuesto establece el precepto la posibilidad de que la Policía Judicial o el Fiscal puedan llevarlo a cabo, informando al juez inmediatamente, y en todo caso dentro del plazo máximo de veinticuatro horas, de la actuación realizada, la forma en que se ha efectuado y su resultado. El juez competente, también de forma motivada, revocará o confirmará 37
tal actuación en un plazo máximo de setenta y dos horas desde que fue ordenada la interceptación.
Esta posibilidad resultará de aplicación ante situaciones de peligro inminente de que la información pueda desaparecer ya que, al resultar accesible a través de internet para cualquier persona que conozca las claves de acceso, podría ser borrada por cualquier tercero que tuviera conocimiento de la detención del investigado, por ejemplo. La circunstancia de que los datos contenidos en sistemas informáticos externos puedan contener información que afecte al derecho al secreto de las comunicaciones (por ejemplo, los correos electrónicos, como se ha
dicho), no debe ser obstáculo para admitir su acceso por la Policía Judicial o el Ministerio Fiscal con la convalidación judicial posterior, ya que el art. 18.3 CE exige resolución judicial, pero no impide que esta sea posterior o convalidante. En particular, la regulación contenida en los artículos que se analizan, con la necesaria concurrencia de la nota de urgencia, es suficiente para culminar las exigencias de previsibilidad de la Ley.
El acceso a sistemas informáticos externos puede plantear también problemas de jurisdicción. Efectivamente, la inexistencia de fronteras en internet, unida a los menores costes que para el servicio se generan en determinados países, hará que resulte frecuente que los servidores de almacenamiento de datos estén ubicados físicamente fuera del territorio en el que el Juez que autorice el registro ejerza su jurisdicción (o incluso se desconozca el lugar en que se encuentren
localizados). En estos casos, si se parte de una concepción tradicional de los límites de la jurisdicción basada en criterios territoriales, podría parecer más correcto para la obtención de esos datos acudir a mecanismos de cooperación judicial internacional que, sin embargo, resultarían absolutamente incompatibles con la celeridad que requieren este tipo de investigaciones.
Además, en muchos supuestos, o bien se desconoce la localización de los datos (deslocalización) o bien estos se encuentran fragmentados en servidores ubicados en diversos territorios o su ubicación en uno u otro lugar es ajena a la voluntad del 38
titular de los mismos y depende exclusivamente de la conveniencia técnica u operativa del proveedor de servicios de almacenamiento que modifica la ubicación según sus propias necesidades. Por ello, condicionar la obtención de los datos al lugar donde los mismos se encuentran, conduciría al fracaso de muchas investigaciones simplemente porque se desconoce el lugar exacto de su ubicación, de tal forma que resultarían ineficaces las medidas de cooperación internacional adoptadas.
De esta forma, igual que puede afirmarse que el titular de esos datos los posee desde España y ejercita sus derechos sobre ellos desde España y conforme al derecho español, puede afirmarse que cuando se accede a ellos en un registro judicial, se hace en España y conforme al derecho español siempre, claro está, que, como se ha señalado, pueda hablarse de un acceso lícito. De igual modo que resultaría ilógico considerar que el poseedor de pornografía infantil no puede ser perseguido en España si los archivos se encuentran en servidores ubicados en el 39
extranjero, resultará ilógico considerar que el Juez español no puede acceder a datos de un sistema informático ubicado en España por la circunstancia de que el concreto dato al que se accede se encuentre en un servidor ubicado en el extranjero.
Entre las primeras destaca el cambio de las claves de acceso por el Juez, evitando de este modo que cualquier persona pueda acceder posteriormente a los datos y los modifique. La decisión de cambiar las claves ha de partir del Juez, al ser éste el competente para la adopción de medidas de conservación de pruebas (art. 326 LECrim), debiendo guardarse las nuevas claves con la debida reserva a fin de que la medida cumpla su cometido. Para ello, bastará con mantener el secreto parcial (en lo que afecte al conocimiento de las
claves) de la pieza separada que se forme con la diligencia de registro de los dispositivos de almacenamiento masivo de información (art. 588 bis
d). Se cumple con ello la previsión contenida en el art. 588 sexies c.1 cuando señala que el Juez 'Fijará también las condiciones necesarias para asegurar la integridad de los datos y las garantías de su preservación para hacer posible, en su caso, la práctica de un dictamen pericial'.
La segunda forma de garantizar la identidad e integridad de la prueba en estos casos consistirá en asegurar la información que exista en el repositorio o sistema externo en un momento determinado, permitiendo después la utilización del servicio sin ninguna limitación. Para ello, lo ideal será realizar un volcado de la información bajo la fe del Letrado de la Administración de Justicia que, de esta 40
forma, garantizará el origen y contenido de los datos. Los volcados realizados por la Policía Judicial, en caso de imposibilidad de hacerse por el Letrado de la Administración de Justicia, no gozarán de las garantías que les confiere la intervención de este último, pero podrán hacerse valer como prueba en el juicio oral acompañada de la declaración de los agentes policiales que llevaron a cabo el volcado.
El art. 588 sexies c.4 ha dado entrada en la regulación de la LECrim a un supuesto que ya venía siendo contemplado desde hacía largo tiempo por la doctrina jurisprudencial. Se trata de la posibilidad de que la Policía Judicial pueda registrar dispositivos de almacenamiento masivo de información sin previa habilitación judicial en los casos de urgencia en los que, además, se aprecie un interés constitucional legítimo que haga imprescindible la medida y, siempre, con convalidación posterior del Juez. Dispone el precepto que 'en los casos de urgencia en que se aprecie un interés constitucional legítimo que haga imprescindible la medida prevista en los apartados anteriores de este artículo, la Policía Judicial podrá llevar a cabo el examen directo de los datos contenidos en el dispositivo incautado, comunicándolo inmediatamente, y en todo caso dentro del plazo máximo de veinticuatro horas, por escrito motivado al juez competente, haciendo constar las razones que justificaron la adopción de la medida, la actuación realizada, la forma en que se ha efectuado y su resultado. El juez competente, también de forma motivada, revocará o confirmará tal actuación en un plazo máximo de 72 horas desde que fue ordenada la medida'.
Como ya se ha venido señalando, con anterioridad a la reforma procesal la jurisprudencia había venido distinguiendo, con motivo del registro de los teléfonos móviles, entre el acceso a la agenda de contactos y el acceso a los datos de comunicación; en el primer caso se entendía afectado el derecho a la intimidad 41
personal, a diferencia de lo que ocurría en el segundo, que suponía una afectación del derecho fundamental al secreto de las comunicaciones. La consecuencia inmediata que derivaba de este planteamiento era la posibilidad de que la Policía Judicial, en determinados supuestos y con ciertos requisitos, pudiera practicar, sin autorización judicial previa, registros en los teléfonos móviles que no afectaran más que a datos amparados por el derecho a la intimidad y no por el secreto de las comunicaciones (entre otras, STC nº 70/2002, de 3 de abril y 115/2013, de 9 de mayo y SSTS nº 449/2006, de 17 de abril, 1315/2009, de 18 de diciembre y 444/2014, de 9 de
Ahora bien, esta doctrina no significaba que el acceso a los datos íntimos de un teléfono móvil quedara sustraído, como regla general, de la autorización judicial, sino que, por el contrario, únicamente se admitía esta actuación policial cuando se constataran dos importantes requisitos: necesidad de una actuación policial urgente para evitar o averiguar el delito u obtener pruebas incriminatorias y proporcionalidad de la actuación (STC nº 70/2002, de 3 de
abril). De esta manera, señalaba la STC nº 206/2007, de 24 de septiembre, que 'la regla general es que sólo mediante una resolución judicial motivada se pueden adoptar tales medidas y que, de adoptarse sin consentimiento del afectado y sin autorización judicial, han de acreditarse razones de urgencia y necesidad que hagan imprescindible la intervención inmediata y respetarse estrictamente los principios de proporcionalidad y razonabilidad'.
El fundamento y la esencia de esta doctrina ha sido ahora incorporado a la LECrim, si bien, con dos importantes matizaciones. Por un lado, a diferencia de lo que ocurría en la situación anterior, en la que los registros policiales llevados a cabo en casos de urgencia no requerían ulterior convalidación judicial específica, ahora sí es precisa una resolución judicial posterior al registro policial dictada en un plazo máximo de 72 horas que legitime la injerencia policial en la intimidad. Esta necesidad de convalidación deriva, precisamente, de la segunda de las diferencias que presenta la actual regulación respecto de la situación precedente: con la nueva regulación resultará posible el acceso policial sin previa habilitación judicial a datos 42
que afecten, no solo al derecho a la intimidad, sino también al derecho fundamental al secreto de las comunicaciones, cuando se den los requisitos de urgencia y necesidad que establece el precepto, cumpliéndose la exigencia constitucional de intervención judicial inmediatamente después del registro. Como ya se ha dicho, la reserva judicial que para este derecho fundamental establece el art. 18.3 CE no exige resolución judicial previa, sino simplemente resolución judicial que, por ese motivo, puede ser posterior o convalidante. En consecuencia, el legislador, consciente de que en el registro de un dispositivo de almacenamiento masivo de información, como puede ser un teléfono inteligente o un ordenador personal, se encontrarán de ordinario datos afectantes al secreto de las comunicaciones, ha permitido su registro policial en supuestos excepcionales, condicionando, eso sí, su validez, a la necesaria convalidación judicial.
Efectivamente, como se señalaba ut supra, en la nueva regulación introducida por la reforma procesal, se ha pasado de considerar individualmente los derechos fundamentales que pueden resultar afectados por el registro de un dispositivo de almacenamiento, a contemplar ahora lo que se ha denominado el derecho al entorno virtual de la persona, que supone una nueva realidad que demanda un tratamiento unitario (vid. STS nº 204/2016, de 10 de
La urgencia que exige el precepto no debe interpretarse como urgencia vital para evitar resultados que comprometan intereses especialmente relevantes. Así cabe interpretarlo de la redacción definitiva del precepto en contraste con la contenida en el Anteproyecto, que hablaba en su art. 588 quinquies c de 'casos de emergencia o de riesgo de catástrofe o cuando la medida tenga por objeto la localización de personas en situación de urgencia vital'. Ya el informe del Consejo Fiscal a ese Anteproyecto ponía de manifiesto cómo la doctrina jurisprudencial solo venía 43
exigiendo urgencia e interés constitucionalmente legítimo para el registro policial, habiendo sido esta la postura finalmente acogida por el legislador.
El interés constitucionalmente legítimo enlaza, como señala la Circular 1/2013, con el art. 8.2 del CEDH que, para la admisibilidad de la injerencia de la autoridad pública en el derecho a la vida privada, considera necesario que la medida persiga a alguna de las siguientes finalidades: la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, o la protección de los derechos y libertades de los demás. De entre ellas, señala la lucha contra el delito como la que dará normalmente cobertura a la actuación policial. La STC nº 207/1996, de 16 de diciembre, considera como intereses constitucionalmente legítimos para la limitación de derechos fundamentales, la actuación del ius puniendi del Estado, la investigación de los delitos y la determinación de hechos relevantes para el proceso penal y, la STS nº 133/2016, de 24 de febrero, con cita de la STC nº 115/2013, establece: 'la actuación de los policías en el marco de la investigación de un delito y el descubrimiento de los delincuentes, 'constituye un bien digno de protección constitucional, a través del cual se defienden otros como la paz social y la seguridad ciudadana, bienes igualmente reconocidos en los artículos 10.1 y 104.1'.
Por último, la resolución judicial que convalide o revoque la medida deberá dictarse en el plazo máximo de 72 horas, contadas, no desde el momento de su notificación policial al Juzgado, sino desde el momento de su realización, de ahí la importancia de consignar el día y hora en que se lleva a cabo el registro, según se ha indicado. La resolución judicial que convalide la medida deberá tener el mismo fundamento que habría tenido de no mediar el registro policial previo, si bien añadiendo al mismo la valoración y ponderación de la pertinencia de la intervención policial previa. Así, tendrá el Juez que justificar la concurrencia de los principios rectores y, 45
entre ellos, especialmente, la proporcionalidad y necesidad de la medida en el concreto escenario en el que ha sido adoptada, esto es, con carácter previo a la intervención judicial, en atención a la urgencia del caso.
Finalmente, y aunque en el informe policial que justifique la medida ante el Juez deba hacerse constar también el resultado alcanzado con la misma, 'la valoración de la urgencia y necesidad de la intervención policial ha de realizarse ex ante, y es susceptible de control judicial ex post, al igual que el respeto del principio de proporcionalidad' (STC nº 70/2002, de 3 de abril, seguida por otras muchas, como las SSTS nº 97/2015, de 24 de febrero y 864/2015, de 10 de
diciembre). De ahí deriva que, aunque la medida no arroje resultados relevantes para la investigación o, aunque los resultados contradigan los presupuestos de urgencia, necesidad o proporcionalidad de la medida, el registro policial anticipado será válido si la valoración ex ante se encontraba suficientemente justificada. Por el contrario, 'la constatación ex post de la falta del presupuesto habilitante o del respeto al principio de proporcionalidad implicaría la vulneración del derecho fundamental y tendría efectos procesales en cuanto a la ilicitud de la prueba en su caso obtenida, por haberlo sido con vulneración de derechos fundamentales' (en este sentido, la citada STC nº 70/2002, de 3 de
La regulación de los registros de almacenamiento masivo de información en la LECrim termina con una previsión que establece el deber de colaboración con las autoridades y agentes encargados de la investigación, de quienes conozcan el funcionamiento del sistema informático o las medidas de seguridad que protejan los datos. A este deber de colaboración ya se hace referencia en la Circular 1/2019, al abordar el análisis de las disposiciones comunes a todas las medidas de investigación tecnológica, como una de las menciones que habrá de recoger la resolución judicial habilitante (art. 588 bis c.3.h), así como en la Circular 2/2019 en relación con su alcance en el caso de la interceptación de las comunicaciones 46
telefónicas y telemáticas (art. 588 ter
e) y en la Circular 4/2019 en el caso de los dispositivos técnicos de seguimiento y localización (art. 588 quinquies b.3). En consecuencia, con las salvedades y especialidades que a continuación se indicarán, cabe remitirse a lo allí expuesto.
El deber de colaboración debe requerirse en el marco de una investigación por delito, como todas las medidas de investigación tecnológica, por lo que no resulta aplicable a cualquier actuación policial. Son acreedores de esa colaboración las autoridades (Juez o Ministerio Fiscal) y los agentes de Policía Judicial que participen en la investigación. La colaboración resultará procedente para llevar a cabo el registro del dispositivo, sin que pueda imponerse limitación alguna en cuanto al contenido o naturaleza de los datos a registrar, siempre dentro de los términos en que se haya acordado judicialmente la práctica de la diligencia. Como se viene señalando, la regulación de la LECrim tiene por objeto la protección del derecho al entorno virtual del investigado, derecho éste integrado por un conjunto de datos heterogéneos que, individualmente considerados, afectarían a diversos derechos fundamentales. La colaboración, por tanto, podrá afectar al registro de cualesquiera de estos datos. 47
Los problemas de territorialidad y jurisdicción se harán más patentes en los casos de registro de dispositivos o sistemas informáticos accesibles telemáticamente desde España pero que se encuentren en el extranjero (los referidos ut supra como cloud computing o computación en la
nube). Cuando, en estos casos, se encuentre en territorio español alguna persona que pudiera prestar la colaboración que prevé
el precepto, quedará la misma plenamente sujeta a la obligación, con independencia del lugar donde se encuentren los datos.
La obligación de colaboración no solo alcanzará a las personas que tengan relación directa con el sistema informático que se quiere registrar, sino que podría ir mucho más allá, pudiendo requerirse esa colaboración, por ejemplo, del fabricante del concreto dispositivo que forme parte del sistema informático que se registra. El precepto no establece limitaciones en este sentido y, por lo tanto, si los investigadores consideran que el fabricante puede facilitar información, por ejemplo, que permita vencer los sistemas de seguridad del dispositivo para acceder a los datos que almacena, podrán requerir su colaboración en los términos que establece el precepto. Incluso, podría ser requerido un tercero ajeno al sistema y a la fabricación del dispositivo que, en virtud de cualquier clase de conocimientos especializados (por ejemplo, un investigador científico que hubiera analizado un determinado sistema de
seguridad), se encontrara en condiciones de facilitar la información a la que se está haciendo referencia.
En cuanto a la limitación subjetiva, el precepto excluye expresamente del deber de colaborar al propio investigado o encausado, sus parientes más próximos y quienes, conforme a lo previsto en el art. 416.2 LECrim, se vean exentos de la obligación de declarar en virtud del secreto profesional. La dispensa que se otorga al investigado o encausado supone una consecuencia lógica del alcance de su propio derecho de defensa y de la facultad que de él deriva, que le permite no declarar contra sí mismo. La exclusión de los parientes (que el precepto concreta en los que, conforme al art. 416.1 LECrim, están dispensados de la obligación de
declarar) tiene el mismo fundamento que el que justifica su dispensa de prestar declaración, evitar 'el conflicto que eventualmente pudiera planteársele entre su deber legal de decir la verdad y el vínculo de solidaridad y familiaridad, cuando no afectivo, que le uniera con el acusado' (STS nº 459/2010, de 14 de
mayo). Finalmente, la inclusión entre estas exclusiones del secreto profesional tiene su justificación en el art. 24.2 CE, que consagra el secreto profesional como una tutela anticipada, de carácter formal, de otros derechos del investigado, como el derecho de defensa y el derecho a la intimidad personal (ATS de 19 de octubre de
2010). Ahora bien, por lo que al secreto profesional se refiere, el art. 588 sexies c.5 limita 50
los sujetos dispensados de la obligación a los incluidos en el art. 416.2 LECrim, esto es, los abogados, pero no a otros también afectados por el secreto profesional, como podrían ser los traductores o intérpretes (art. 416.3), los eclesiásticos y ministros de cultos disidentes (art. 417.1) o los funcionarios públicos (art. 417.3), por ejemplo.
La limitación objetiva la concreta el art. 588 sexies c.5 señalando que deberán quedar excluidas del deber de colaboración las órdenes de las que pudiera derivarse una carga desproporcionada para el afectado. El legislador ha optado por emplear un concepto indeterminado, como es el de la desproporción, que será preciso interpretar. El precedente inmediato de la previsión legal se encuentra, como ya se ha señalado, en el art. 19.4 del Convenio sobre el Cibercrimen, que utiliza el concepto equivalente de la razonabilidad (obligación de facilitar la información necesaria, dentro de lo razonable, señala). El informe explicativo del Convenio cita como ejemplo de irrazonabilidad los casos en los que 'la divulgación de la contraseña u otra medida de seguridad pudiera poner en peligro injustificadamente la vida privada de otros usuarios o de otros datos cuya revisión no ha sido autorizada'.
En cualquier caso, el Juez, además de la proporcionalidad de la medida, deberá valorar, conforme a los criterios generales que se establecen en la LECrim, la proporcionalidad de la exigencia de colaboración. De esta forma, habrá de justificar que el sacrificio de los derechos e intereses de la persona afectada no resulte 51
superior al beneficio que para el interés público y de terceros resulte del cumplimiento de ese deber de colaboración. Así, por ejemplo, en los casos de delitos especialmente graves, en los que esté comprometida la vida de alguna persona o la seguridad pública (como ocurriría en los delitos de
terrorismo), deberán ceder, de ordinario, los intereses particulares de la persona requerida. Por el contrario, cuando se trate de delitos de menor importancia o cuando los datos que el registro pueda proporcionar a la investigación no sean especialmente determinantes, deberán valorarse con mayor intensidad los intereses del requerido.
Efectivamente, el registro remoto sobre equipos informáticos presenta como nota común con el registro de dispositivos de almacenamiento masivo el objeto sobre el que recae -ordenador, dispositivo electrónico, sistema informático o, en definitiva, dispositivo de almacenamiento masivo de datos informáticos-, así como la finalidad de la diligencia, la búsqueda de pruebas, indicios o vestigios de la perpetración del delito en los datos digitales almacenados. Sin embargo, existen dos notas esenciales que concurren en los registros remotos y no en los registros directos, 52
que distinguen ambos tipos de medidas de investigación tecnológica: la clandestinidad y el carácter dinámico del registro.
Por eso, sin perjuicio de que en ambas formas de investigación el derecho fundamental que aparece comprometido será el derecho al entorno virtual de la persona, no cabe duda de que con los registros remotos se produce una 53
intromisión mucho más intensa en el mismo que con los registros directos, lo que va a tener su reflejo, como a continuación se verá, en las exigencias que establece su regulación. Esta será la razón, igualmente, que determina que en este caso no sea posible el registro policial convalidado posteriormente por el Juez, ni en los casos de urgencia, ni cuando se trate de ampliar el registro a otros sistemas, como ocurría con los registros directos.
En el registro remoto de dispositivos se plantean, también, algunos de los 54
problemas que surgen en el registro directo, como es, por ejemplo, el referido al ejercicio de la jurisdicción en los casos de ubicación de los datos a registrar fuera del territorio nacional. En este caso, sin embargo, las dificultades que se suscitan son mayores, ya que mientras que en el registro directo de dispositivos de almacenamiento existe un evidente vínculo con el territorio donde se ejerce la jurisdicción, constituido por el equipo informático que se registra y a través del cual se accede a los datos ubicados en el extranjero, los registros remotos, por su propia naturaleza, podrían hacerse sobre cualquier dispositivo o sistema, independientemente de su ubicación.
En estos casos, el criterio deberá ser siempre el de exigir un vínculo territorial con España; el Juez podrá autorizar el registro remoto de un sistema informático que se encuentre en España, aunque a través de él se acceda a datos ubicados en el extranjero, pero no autorizar el registro de un sistema localizado en el extranjero, sin acudir para ello a la cooperación judicial internacional. Como señala el informe del Consejo Fiscal al Anteproyecto, 'en tanto en cuanto se tiene acceso al material desde España por un imputado situado en nuestro territorio, el mismo se posee en España, y, consiguientemente, las autoridades españolas tendrían jurisdicción para acceder al mismo'.
De los sistemas de acceso previstos, la utilización de datos de identificación y códigos aparece como el más factible. Se trata de utilizar las propias contraseñas 55
del investigado para acceder, no ya a su ordenador o sistema informático, que sería lo que proporcionaría un conocimiento más amplio de su entorno virtual, sino incluso a reductos de privacidad más limitados pero igualmente útiles para la investigación, como su cuenta de correo electrónico o su cuenta de almacenamiento de datos en la nube (Dropbox, Google Drive, etc.) La mayor complicación que presenta este sistema es la propia obtención de las claves y contraseñas, que debería ser el resultado de una buena investigación policial. Igualmente, puede resultar posible, en algunos casos, requerir dichas claves del proveedor de servicios de internet que almacene los datos, obligado por el deber de colaboración que establece la Ley. Una vez obtenidas las claves, el acceso al sistema o dispositivo a registrar no debería plantear mayores dificultades, salvo en los supuestos en los que el propio proveedor de servicios cuente con sistemas de seguridad que alertan al usuario de un acceso sospechoso a sus cuentas. En estos casos, nuevamente, la solución debe pasar por recabar la colaboración del proveedor de servicios. Los registros remotos realizados mediante la utilización de 'programas espía' resultan más complejos. Estos programas pueden ser de la más variada naturaleza (troyanos, keylogger, etc.), pero todos ellos tienen en común permitir a los investigadores, de una u otra forma, acceder a los datos almacenados en un sistema o dispositivo ajeno. Presentan el gran inconveniente de la dificultad de su instalación que, no solo deberá vencer las precauciones del investigado para evitar que se instale en su sistema lo que él no quiere que se instale, sino que también deberá luchar con los posibles programas antivirus que pudiera tener instalados. Por el contrario, ofrece indudables ventajas sobre otros medios de investigación, como serían su instalación y uso sin la necesidad de la intermediación de terceros (como podrían ser las compañías proveedoras de servicios de Internet), la alta cantidad de información sobre el sospechoso que son capaces de proporcionar, su eficacia en dispositivos inalámbricos (a diferencia de la intervención de las líneas ADSL, por
ejemplo) o la posibilidad de diseñar el programa para que seleccione la información objeto de registro, lo que ahorraría muchas horas de trabajo a los investigadores. 56
La limitación de esta diligencia de investigación tecnológica, como ya se ha 57
señalado, viene determinada por la gravedad de la intromisión en los derechos fundamentales del investigado que con ella se alcanza. De esta manera, aunque pudiera parecer desproporcionada la delimitación de los delitos que permiten su utilización en comparación con los que se establecen para la interceptación de comunicaciones, por ejemplo, no debe olvidarse que a través del registro remoto sobre equipos informáticos es posible, no solo interceptar las comunicaciones telemáticas del investigado, sino también acceder a la totalidad de su entorno virtual, con lo que ello conlleva. Ese es el motivo por el que el legislador ha optado por circunscribir esta medida de investigación a determinadas modalidades delictivas especialmente graves.
El establecimiento de un catálogo de delitos que delimitan el ámbito de aplicación de la medida supone la concreción de exigencias mínimas en el principio de proporcionalidad para la aplicación de esta medida. Quiere esto decir que cualquier comportamiento delictivo que no esté incluido en la previsión legal no alcanzará la gravedad suficiente para justificar el recurso a esta medida. Ahora bien, igual que ocurre con la interceptación de las comunicaciones telefónicas, la investigación de un delito de esta naturaleza, por sí solo, tampoco garantiza la proporcionalidad de la medida. Será necesario que la resolución judicial, después de justificar que la medida se acuerda para la investigación de uno de los delitos incluidos en el precepto, lleve a cabo un juicio de ponderación que valore si resulta proporcionada la concreta intromisión en los derechos fundamentales del investigado que se producirá con la medida en el caso investigado, en relación con la gravedad del 58
En primer lugar, exige el precepto que se especifiquen los ordenadores, dispositivos electrónicos, sistemas informáticos o parte de los mismos, medios informáticos de almacenamiento de datos o bases de datos, datos u otros contenidos digitales objeto de la medida, así como el alcance de la misma. En este 59
punto resultan aplicables todas las precisiones que se hicieron en relación con el registro de dispositivos de almacenamiento masivo de información.
Exige también la LECrim que la resolución judicial precise la concreta técnica de acceso y, en el supuesto de ser utilizado un programa informático para el registro, 60
la indicación de éste. La finalidad de estas previsiones no es otra que la de garantizar la legalidad de la medida, facilitando al investigado la información necesaria para el ejercicio de su derecho de defensa. Cuando se utilicen 'programas espía', el precepto exige la indicación de éstos, que habrá que entender referida a la denominación que lo identifique o individualice (su nombre técnico o comercial o el tipo de programa y su
fabricante). Con el conocimiento de estos datos podrá el investigado comprobar si efectivamente el programa utilizado permite únicamente lo que el Juez haya autorizado o, por el contrario, va más allá, lo que podría generar vicios de la medida por haberse extralimitado en la intromisión judicialmente autorizada. Puede ocurrir, sin embargo, que no se utilice un programa de uso público, sino un programa desarrollado específicamente para su utilización policial con esta finalidad. En estos casos bastará con indicar el tipo de programa que se utilice (troyano, keylogger, etc.) y, en su caso, su alcance potencial o funcionalidades, sin necesidad de facilitar otros datos técnicos específicos. Debe en este punto recordarse el contenido del acuerdo del Consejo de Ministros de 6 de junio de 2014, que otorga, con carácter genérico, la clasificación de secreto, a los efectos de la Ley 9/1968, de 5 de abril, sobre secretos oficiales, a la estructura, organización, medios y técnicas operativas utilizados en la lucha contra la delincuencia organizada por las Fuerzas y Cuerpos de Seguridad del Estado, así como sus fuentes y cuantas informaciones o datos puedan revelarlas.
Si se utilizan las contraseñas o códigos del investigado para acceder al sistema bastará con indicar que ha sido ésta la técnica empleada, sin necesidad de desvelar el modo en el que se obtuvieron tales contraseñas o códigos, cuando formen parte de las técnicas de investigación policial y no existan indicios de la ilegalidad de su obtención, salvo resolución judicial en contrario. Si llegaran a suscitarse dudas por el investigado acerca de la legalidad en la obtención de sus contraseñas o códigos, o del funcionamiento de software utilizado, será plenamente aplicable la doctrina jurisprudencial relativa a las dudas de legalidad en la forma de obtención policial del número de teléfono intervenido a un investigado, que 61
entiende que 'no es preciso acreditar la forma de obtención del número de teléfono de un sospechoso cuando no hay indicios de ilegitimidad en el proceso de obtención de la información, ya que es exigible a los poderes públicos que justifiquen que la restricción de un derecho fundamental se ha realizado con respeto a las reglas, pero no lo es que demuestren que no lo han hecho' (SSTS nº 207/2012, de 12 de marzo, 795/2014, de 20 de noviembre o 85/2011, de 7 de febrero, entre
En la realización de copias de los datos que puedan existir en un momento determinado en un sistema o equipo informático deberá promoverse la intervención del Letrado de la Administración de Justicia como medio indispensable para preconstituir la prueba. Se realizará el volcado de los datos en su presencia, levantándose acta en la que se hagan constar todas las circunstancias del mismo (fecha y hora, alcance, contenido, forma, etc.) y se precintará el soporte en el que 62
se almacenen los datos volcados, para así garantizar su identidad e integridad. En los casos en los que no resulte posible la presencia del Letrado de la Administración de Justicia, el volcado se llevará a cabo por los agentes facultados judicialmente para la ejecución de la medida, quienes también deberán levantar acta lo más precisa posible de su actuación. En este caso, la práctica de la prueba en el acto del juicio oral requerirá la declaración testifical de los agentes para acreditar la identidad e integridad de los datos volcados.
Las medidas para hacer inaccesibles o suprimir los datos del sistema informático registrado serán pertinentes en los casos en los que se trate de sistemas informáticos que ofrezcan material delictivo, como podría ser, por ejemplo, pornografía infantil o archivos que infrinjan derechos de propiedad intelectual. 63
La razón parece obvia. En el caso de los registros remotos no existe la urgencia que preside la ampliación del registro cuando se trata de un registro directo. Es preciso recordar que esa urgencia derivaba del conocimiento que tiene el investigado y su entorno más próximo de que se están registrando sus equipos o dispositivos informáticos, lo que podría motivar que, el propio investigado si no está privado de libertad o un tercero que tuviera conocimiento del registro, pudiera acceder remotamente al sistema o equipo en el que se encuentren los datos y los borre o haga inaccesibles, frustrando con ello el posible éxito del registro. En el supuesto que ahora se analiza, por el contrario, al desarrollarse la diligencia a espaldas del investigado, no existe ya ese peligro del que deriva la urgencia motivadora del registro policial previo a la autorización judicial. Por eso, ante la existencia de indicios de que los datos pudieran encontrarse en otro equipo o sistema, deberá necesariamente recabarse la autorización judicial previa para su 64
Efectivamente, el apartado segundo del art. 588 septies b reproduce casi literalmente el art. 588 sexies c.5. Se incluye aquí, por lo tanto, el mismo deber de colaboración que ya se analizaba con motivo de los registros directos consistente, 65
exclusivamente, en la obligación de facilitar información. Igualmente se reproducen las mismas excepciones subjetivas que ya se establecían en el art. 588 sexies c.5 (investigado o encausado y su abogado y personas que están dispensadas de la obligación de declarar por razón de
parentesco). Resultará de aplicación, por tanto, a los registros remotos, todo lo que se ha señalado para los registros directos.
Es cierto que la Ley prevé expresamente excusas al deber de colaborar con los Jueces y Tribunales en supuestos determinados que no suponen menoscabo en el ejercicio de derechos fundamentales (declaraciones testificales o el propio deber de colaboración del art. 588 sexies c.5, por
ejemplo) si bien, ello dependerá de la importancia de la colaboración que quiera ver en ella el legislador para cada caso concreto. En el supuesto de los registros remotos, sin embargo, la Ley ha querido limitar las excepciones al deber de colaboración al mínimo imprescindible (así debe entenderse a la vista de que el legislador no tomara en consideración la advertencia sobre la omisión de la excepción que el informe del Consejo de Estado realizó al Anteproyecto).
Pero, además del deber de facilitar información que el art. 588 septies 2 reproduce, el apartado primero de este mismo precepto amplia, a otros sujetos y con otro objeto, ese deber de colaboración, en términos no previstos por el art. 588 sexies c.5 para los registros directos. Se establece la obligación de prestar la colaboración precisa para la práctica de la medida y el acceso al sistema, así como para que los datos e información recogidos puedan ser objeto de examen y visualización. Como destinatarios de este deber de colaboración se incluye a los prestadores de servicios y personas señaladas en el artículo 588 ter e y los titulares o responsables del sistema informático o base de datos objeto del registro (el art. 588 ter e, se refiere a los prestadores de servicios de telecomunicaciones, de acceso a una red de telecomunicaciones o de servicios de la sociedad de la información, así como toda persona que de cualquier modo contribuya a facilitar las comunicaciones a través del teléfono o de cualquier otro medio o sistema de comunicación telemática, lógica o
A la hora de interpretar este deber de colaboración no puede perderse de vista que los destinatarios del mismo son, o bien las entidades encargadas de facilitar la comunicación entre los sistemas informáticos o bien los responsables últimos de los sistemas informáticos o bases de datos. Por lo tanto, la colaboración que los mismos podrán prestar y a la que habrá que entender circunscrito el deber que establece la Ley, será la que pudiera facilitarse como intermediador en la comunicación entre los sistemas, o como responsable del diseño y seguridad del propio sistema y, en último término, como responsable de la legibilidad de los datos (que los datos e información recogidos puedan ser objeto de examen y visualización, dice el
De ahí que la diferencia entre el deber de colaboración que establece el apartado primero del art. 588 septies b y el que establece el apartado segundo -y, en definitiva, el que se establece para los registros directos- es que, mientras que en este último caso la colaboración se agota en facilitar información (generalmente las claves o contraseñas o la ubicación de la información buscada, según se
dijo), en el primero, la colaboración puede requerir comportamientos activos que exijan el desarrollo de trabajos que posibiliten la práctica de la diligencia de investigación. Pudiera parecer injustificada la distinción que se establece para la colaboración que puede exigirse en ambos tipos de registro, bastante más amplia en el caso de los registro remotos; sin embargo, no debe olvidarse el ámbito mucho más restringido que tienen estos, aplicables únicamente a determinados delitos, lo que justifica, nuevamente, tanto una mayor intromisión en los derechos del investigado, como un deber de colaboración más intenso que permita la efectividad de la diligencia a través de cauces más complejos. Además, la mayor dificultad que entrañan los registros remotos exige, también, mayores herramientas que posibiliten su desarrollo.
El art. 588 septies c concluye el Capítulo IX, del Título VIII, con una previsión acerca de la duración del registro remoto: 'la medida tendrá una duración máxima de un mes, prorrogable por iguales períodos hasta un máximo de tres meses'.
Cuando se utilicen datos de identificación o códigos del investigado no deberían existir problemas, ya que debe entenderse que la Policía Judicial sólo solicitará la autorización judicial cuando ya disponga de esos datos, pudiendo realizarse el registro de manera inmediata a su autorización. Los problemas surgen cuando resulte necesaria la instalación de un software en el equipo del investigado. En estos casos, lógicamente, la autorización judicial deberá ser previa a la actuación 69
policial, no solo porque en algunas ocasiones dicha autorización resultará precisa para la instalación del software (como sería el caso, por ejemplo, en que resultara necesario entrar en el domicilio del investigado para
ello), sino porque la propia instalación de ese software sería constitutiva de delito si no media la previa autorización judicial (arts. 197 y 198 CP). Teniendo en cuenta las dificultades que puede llegar a plantear la instalación de ese software, no sería extraño que la monitorización se hiciera efectiva cuando ya hubiera transcurrido el plazo de autorización previsto en la resolución judicial.
A diferencia de lo que ocurre con las interceptaciones telefónicas y con la utilización de dispositivos o medios técnicos de seguimiento y localización, en los que los arts. 588 ter g y 588 quinquies c establecen expresamente que el plazo se compute desde la fecha de autorización judicial, sin embargo, en la regulación de los registros remotos de equipos informáticos la Ley guarda silencio sobre este extremo, lo que podría interpretarse a favor de la licitud de soluciones distintas. La solución negativa, sin embargo, deriva de la doctrina jurisprudencial desarrollada en torno a la interceptación de comunicaciones telefónicas, señalando la STC nº 205/2005, de 18 de julio, que la Constitución solamente permite 'que el secreto de las comunicaciones pueda verse lícitamente restringido mediante resolución judicial (art. 18.3 CE), sin que la intervención de terceros pueda alterar el dies a quo determinado por aquélla', indicando, igualmente, que posponer el inicio del cómputo del plazo al día en que la medida se haga realmente efectiva, 'compromete la seguridad jurídica y consagra una lesión en el derecho fundamental, que tiene su origen en que sobre el afectado pesa una eventual restricción que, en puridad, no tiene un alcance temporal limitado, ya que todo dependerá del momento inicial en que la intervención tenga lugar'.
El registro de dispositivos y equipos informáticos limita el denominado derecho fundamental al entorno virtual del individuo. Para llevarlo a cabo será necesaria siempre autorización judicial, independientemente de que resulte afectado el derecho al secreto de las comunicaciones o simplemente el derecho a la intimidad del investigado.
La motivación de la resolución judicial que autorice el registro deberá tener en cuenta la multifuncionalidad de los datos que se almacenan en el dispositivo, justificando conforme a los principios rectores el acceso a cada categoría de datos cuyo registro autorice, en función de la mayor o menor gravedad de los hechos investigados. El ámbito tecnológico de comisión del delito deberá ser especialmente considerado para autorizar el registro.
No será necesaria autorización judicial para el registro de dispositivo de almacenamiento masivo de información cuando el afectado preste su consentimiento al mismo. La prestación del consentimiento podrá hacerse de manera expresa o tácita, aunque siempre de forma inequívoca y libre, sin vicios que la condicionen. Cuando el afectado estuviere detenido, solo será válido el 71
consentimiento otorgado con asistencia letrada.
La práctica de una diligencia de entrada y registro habilita para la aprehensión de dispositivos de almacenamiento masivo de información, pero no para su registro, que requiere una motivación judicial específica independiente de la que justifica la limitación del derecho a la inviolabilidad domiciliaria. Dicha motivación podrá hacerse en la misma o en diferente resolución judicial del auto de entrada y registro.
La resolución judicial habilitante deberá precisar los concretos dispositivos de almacenamiento masivo de información que podrán ser registrados y, dentro de estos, los concretos datos a los que podrá alcanzar el registro, justificando la decisión conforme a los principios de excepcionalidad, necesidad y proporcionalidad.
Como regla general, deberán realizarse copias del contenido de los dispositivos de almacenamiento masivo de información, llevando a cabo el registro y análisis de los datos que contengan sobre las copias y no sobre los originales. La realización de copias deberá ser siempre autorizada previamente por el Juez.
No será necesaria la presencia del Letrado de la Administración de Justicia durante el clonado de dispositivos de almacenamiento, aunque sí es recomendable para garantizar la identidad de los dispositivos y su integridad en el caso de copias lógicas o selectivas.
En todos los casos de registro de dispositivos de almacenamiento masivo de información será necesario que el Juez recoja en la resolución habilitante las concretas garantías que aseguren la integridad y preservación de los datos, garantías que, de ordinario, se proyectarán sobre la recogida de los dispositivos y su posterior conservación.
Como regla general deberá evitarse la incautación de los dispositivos de almacenamiento masivo de información salvo en los supuestos previstos en la Ley y, en cualquier caso, adoptarse siempre las cautelas necesarias tendentes a evitar que de la instrucción penal se deriven perjuicios innecesarios para los afectados por la medida de investigación.
El registro de dispositivos de almacenamiento masivo de información podrá ampliarse a otros sistemas informáticos que sean lícitamente accesibles desde el que se esté registrando con autorización judicial, ya pertenezcan al propio investigado, ya pertenezcan a un tercero en cuyo sistema el investigado almacene datos.
La jurisdicción de los órganos judiciales españoles se extenderá al registro de cualquier sistema informático que se encuentre en territorio español, con independencia de que los datos se hallen almacenados en servidores ubicados fuera del territorio nacional, siempre que fueren lícitamente accesibles desde el sistema registrado.
Cuando el registro alcance a repositorios telemáticos de datos o sistemas informáticos accesibles telemáticamente desde el que sea registrado, se adoptarán las cautelas necesarias para asegurar la integridad e identidad de los datos almacenados, como, por ejemplo, el cambio de las claves de acceso o el volcado de la información existente.
En caso de urgencia y concurriendo un interés constitucional legítimo, podrá la Policía Judicial llevar a cabo el registro de dispositivos de almacenamiento masivo de información sin habilitación judicial previa, pero siempre con su convalidación posterior. Este registro podrá alcanzar a cualquier dato íntimo o relativo al secreto de las comunicaciones que integre el derecho al entorno virtual del afectado.
El registro resultará urgente cuando sea necesario para la prevención y averiguación del delito, el descubrimiento de los delincuentes y la obtención de pruebas incriminatorias, y se ajustará a un interés constitucional legítimo cuando persiga la actuación del ius puniendi del Estado, la investigación de los delitos y la determinación de hechos relevantes para el proceso penal.
El deber de colaboración con las autoridades y sus agentes para facilitar el registro de dispositivos de almacenamiento masivo de información alcanzará a cualquier persona que conozca el funcionamiento del sistema informático o sus medidas de seguridad, aunque no llegue a tener ninguna relación con el sistema objeto de registro, como podrían ser los fabricantes de los dispositivos registrados o terceros con conocimientos sobre la seguridad del dispositivo o sistema informático. 16ª Únicamente podrán ser destinatarias de la orden de colaboración las personas que se encuentren en territorio español. La colaboración de una persona que se encuentre en el extranjero deberá recabarse a través de los instrumentos de cooperación jurídica internacional. 17ª El deber de colaboración en el registro comprende la facilitación de la información que resulte necesaria para el mismo, pero no el desarrollo de actividades o trabajos tendentes a posibilitar el registro, como sería el desarrollo de programas informáticos específicos para el registro. 18ª Se exceptúan del deber de colaboración los supuestos que supongan una carga desproporcionada para el afectado. Para valorar la proporcionalidad de la colaboración deberá el Juez ponderar que el sacrificio de los derechos e intereses de la persona afectada no resulte superior al beneficio que para el interés público y de terceros resulte del cumplimiento de ese deber de colaboración.
El registro remoto sobre equipos informáticos conlleva una limitación del derecho al entorno virtual del afectado mucho más intenso que el registro de dispositivos de almacenamiento masivo de información, en atención a su carácter dinámico y su desarrollo sin conocimiento del afectado. Esta circunstancia 74
determina las mayores exigencias que contiene su regulación en relación con los registros directos.
Cuando las técnicas que prevé la Ley para el registro remoto de equipos informáticos sean utilizadas únicamente para la interceptación de comunicaciones telemáticas, sin acceder al resto de los datos que pudieren existir en un sistema informático, serán de aplicación las previsiones de la LECrim establecidas para la interceptación de comunicaciones telemáticas. Por el contrario, serán aplicables las disposiciones previstas para el registro remoto cuando la medida de investigación autorice el acceso a los datos, independientemente de que también se acceda a las comunicaciones telemáticas.
La resolución judicial que acuerde un registro remoto deberá precisar, conforme a los principios rectores de las medidas de investigación tecnológica, el concreto dispositivo o sistema informático y, en su caso, la clase de datos, a los que se extenderá el registro. Igualmente, deberá señalar la técnica de acceso que se utilice y, si se tratara de un programa informático, la indicación de éste. Cuando se utilicen programas específicamente diseñados para su utilización policial deberá indicarse el tipo de programa utilizado, su alcance potencial y sus funcionalidades.
La realización de copias de los datos registrados remotamente deberá ser autorizada por el Juez. Para la obtención de copias se procurará volcar los datos registrados bajo la fe del Letrado de la Administración de Justicia, adoptándose las cautelas oportunas para garantizar la integridad e identidad de los datos volcados.
En los registros remotos de equipos informáticos, la ampliación del registro a otros sistemas en los que hubiera indicios de encontrarse allí los datos requerirá siempre autorización judicial previa, no siendo posible el registro policial con convalidación judicial posterior.
En los registros remotos se establece un deber de colaboración más amplio y que alcanza a más sujetos que el que se establece para los dispositivos de 75
almacenamiento masivo de información. Este mismo fundamento justifica que, en estos registros, los sujetos obligados no puedan excusarse de su obligación por la desproporción de la carga que para ellos suponga.
Los plazos de duración que se establecen para el registro remoto sobre equipos informáticos se computarán siempre desde la fecha del auto por el que se acuerde la medida y no desde la fecha de efectividad de la misma.
EXCMOS/AS E ILMOS/AS SRES/AS FISCALES DE SALA, FISCALES SUPERIORES, FISCALES JEFES PROVINCIALES Y DE ÁREA 76 ##S##

References: resolución 
 resolución 
 resolución 
 resolución 
 Resolución 
 resolución 
 artículo 18
 resolución 
 artículo 6
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 artículo 588
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución