Source: https://www.otrosi.net/penal/legislacion/2019-6968
Timestamp: 2019-04-19 00:43:50+00:00

Document:
3.2. Los dispositivos de almacenamiento masivo de información
3.3. La resolución judicial como presupuesto de la medida
3.4. Alcance del registro
3.5. Registro de repositorios telemáticos de datos y ampliación del registro a otros sistemas
3.6. Registro policial de dispositivos
3.7. Deber de colaboración
4.2. Sistemas de acceso
4.3. Ámbito de aplicación
4.4. Contenido de la resolución judicial
4.5. Ampliación del registro
4.6. Deber de colaboración
4.7. Duración de la medida
Circular 5/2019,de 6 de marzo sobre registro de dispositivos y equipos informáticos
El punto de partida de esta regulación y que da sentido a la misma aparece recogido en el Preámbulo de la Ley 13/2015, cuando descarta que los dispositivos de almacenamiento masivo de información puedan ser considerados como simples piezas de convicción. Su capacidad para recoger y conservar datos de muy diferente índole permite que el acceso a los mismos pueda llegar a afectar de manera intensa a diversos derechos fundamentales y, de ahí, la naturaleza y exigencias de la regulación legal. Esta idea, ya reconocida por la jurisprudencia, deriva de la consideración de los ordenadores como algo más que un instrumento recipiendario de una serie de datos con mayor o menor relación con el derecho a la intimidad del usuario (STS nº 342/2013, de 17 de abril).
La nueva regulación ha venido a dar cumplimiento a diversas exigencias internacionales, como la que recogía el art. 19 del Convenio sobre la Ciberdelincuencia, hecho en Budapest el 23 de noviembre de 2001 (BOE de 17 de septiembre de 2010), que señalaba: “Cada Parte adoptará las medidas legislativas y de otro tipo que resulten necesarias para facultar a sus autoridades competentes a registrar o a tener acceso de una forma similar: a) A un sistema informático o a una parte del mismo, así como a los datos informáticos almacenados en el mismo; y b) a un medio de almacenamiento de datos informáticos en el que puedan almacenarse datos informáticos, en su territorio”. Ya antes, incluso, se venía poniendo de relieve en diversos instrumentos internacionales la grave afectación de la intimidad que podía derivar del acceso inconsentido a datos informáticos almacenados, como ocurría en el Convenio núm. 108 del Consejo de Europa de 28 de Enero de 1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal o en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas); se llegaba a hablar ya de la necesidad de control judicial en cualquier clase de medida de vigilancia informática, como en la Resolución del Parlamento Europeo de 17 de diciembre de 1998, sobre el respeto de los derechos humanos en la Unión Europea (apartado 23).
La regulación legal del registro de dispositivos y sistemas informáticos, por lo demás, venía siendo demandada, igualmente, por los Tribunales al resultar evidente la trascendencia que para la tutela de los derechos fundamentales podía suponer la protección del contenido almacenado (en este sentido, STC nº 173/2011, de 7 de noviembre).
Tradicionalmente, la doctrina jurisprudencial venía considerando que en el registro de dispositivos o sistemas informáticos podían verse comprometidos dos diferentes derechos fundamentales. Con carácter general, se entendía que se afectaba la intimidad del usuario del dispositivo, ya que todos los datos que es posible almacenar en el mismo (en forma de documentos, carpetas, fotografías, vídeos, etc.) son susceptibles de “afectar al núcleo más profundo de su intimidad por referirse a ideologías, creencias religiosas, aficiones personales, información sobre la salud, orientaciones sexuales, etc.” (STC nº 173/2011, de 7 de noviembre). Pero, al mismo tiempo, podían también derivarse limitaciones para el derecho fundamental al secreto de las comunicaciones si el registro del dispositivo (ordenador o teléfono móvil, por ejemplo) alcanzaba a datos almacenados que formaran parte de procesos comunicativos. A esta distinción aludía la Circular 1/2013, de 11 de enero, sobre pautas en relación con la diligencia de intervención de las comunicaciones telefónicas, señalando que “lo determinante para la delimitación del contenido de los derechos fundamentales recogidos en los arts.18.1 y 18.3 CE no es el tipo de soporte, físico o electrónico, en el que la agenda de contactos esté alojada ni el hecho de que la agenda sea una aplicación de un terminal telefónico móvil, que es un instrumento de y para la comunicación, sino el carácter de la información a la que se accede”.
La distinción en el tratamiento del registro de los contenidos de esta clase de dispositivos generaba no pocos problemas en atención al diferente grado de exigencia que ambos derechos fundamentales requerían para su limitación: autorización judicial en el caso del art. 18.3 CE y no necesidad de la misma en el del art. 18.1 CE. Así, por ejemplo, se venía distinguiendo una diferente naturaleza a los mensajes de correo electrónico según que hubiesen sido ya leídos o no, al entenderse que el proceso comunicativo había finalizado ya en el primer caso y no así en el segundo, no resultando precisa autorización judicial para su incautación en un caso y sí en el otro (STS nº 864/2015, de 10 de diciembre). Igualmente, se distinguía entre el registro de la agenda de contactos de un teléfono móvil, no necesitada de autorización judicial (STC nº 115/2013, de 9 de mayo) y la revisión del registro de llamadas entrantes y salientes que, por afectar al derecho fundamental al secreto de las comunicaciones, precisaba de autorización judicial (STC nº 230/2007, de 5 de noviembre).
La solución al problema vino dada por el nacimiento de una nueva doctrina jurisprudencial que abordaba de manera unitaria el problema, introduciendo el concepto del “derecho al entorno virtual” como un derecho omnicomprensivo que abarca la protección de la gran diversidad de datos que pueden guardarse en un dispositivo o sistema informático, como puede ser un ordenador. De esta manera, señalaba la STS nº 342/2013, de 17 de abril: “la ponderación judicial de las razones que justifican, en el marco de una investigación penal, el sacrificio de los derechos de los que es titular el usuario del ordenador, ha de hacerse sin perder de vista la multifuncionalidad de los datos que se almacenan en aquel dispositivo. Incluso su tratamiento jurídico puede llegar a ser más adecuado si los mensajes, las imágenes, los documentos y, en general, todos los datos reveladores del perfil personal, reservado o íntimo de cualquier encausado, se contemplan de forma unitaria. Y es que, más allá del tratamiento constitucional fragmentado de todos y cada uno de los derechos que convergen en el momento del sacrificio, existe un derecho al propio entorno virtual”.
Efectivamente, como expresa la STC nº 173/2011, de 7 de noviembre, “quizás, estos datos que se reflejan en un ordenador personal puedan tacharse de irrelevantes o livianos si se consideran aisladamente, pero si se analizan en su conjunto, una vez convenientemente entremezclados, no cabe duda que configuran todos ellos un perfil altamente descriptivo de la personalidad de su titular, que es preciso proteger frente a la intromisión de terceros o de los poderes públicos, por cuanto atañen, en definitiva, a la misma peculiaridad o individualidad de la persona”.
Así lo reconocía ya la citada STS nº 342/2013, de 17 de abril, cuando señalaba que en el derecho al entorno virtual se integraría “sin perder su genuina sustantividad como manifestación de derechos constitucionales de nomen iuris propio, toda la información en formato electrónico que, a través del uso de las nuevas tecnologías, ya sea de forma consciente o inconsciente, con voluntariedad o sin ella, va generando el usuario, hasta el punto de dejar un rastro susceptible de seguimiento por los poderes públicos”. Esta resolución pone de relieve “la necesidad de dispensar una protección jurisdiccional frente a la necesidad del Estado de invadir, en las tareas de investigación y castigo de los delitos, ese entorno digital”.
Pero es que, además, el tratamiento unitario de los derechos comprometidos resulta necesario para garantizar la eficacia de un eventual registro, en atención a la gran diversidad de datos y archivos que pueden encontrarse en un dispositivo o sistema informático. Así, no sería extraño que se autorizase el acceso a datos íntimos amparados por el art. 18.1 CE y, en el curso del registro, aparecieran comunicaciones relevantes para la investigación amparadas por el art. 18.3 CE (STS nº 204/2016, de 10 de marzo). Por ello, la autorización para el registro de un dispositivo o sistema informático en la que se habilite para el acceso a la totalidad del entorno virtual de su usuario, evitará que puedan surgir problemas derivados de la naturaleza del contenido que pudiera ser hallado.
Este es el fundamento de la nueva regulación que incorpora la LO 13/2015. El registro de dispositivos de almacenamiento masivo de información o de equipos o sistemas informáticos se regirá ahora por las previsiones que la LECrim contiene para esta clase de diligencias. Resultará innecesario, por lo tanto, plantearse si resulta comprometido el derecho a la intimidad o el secreto de las comunicaciones. La nueva regulación legal encomienda ahora al Juez valorar -normalmente con carácter previo, aunque, en algunos supuestos con posterioridad al registro, como se verá- la procedencia de la medida en el caso concreto, teniendo en cuenta que, con ella, como se ha señalado, los poderes públicos accederán a ese entorno virtual constitucionalmente protegido del que es titular el investigado. Como expresa la STS nº 786/2015, de 4 de diciembre, “la ponderación judicial de las razones que justifican, en el marco de una investigación penal, el sacrificio de los derechos de los que es titular el usuario del ordenador, ha de hacerse sin perder de vista la multifuncionalidad de los datos que se almacenan en aquel dispositivo”. Solo a la hora de motivar específicamente la medida deberá descenderse al análisis particular de los derechos controvertidos, cuyo mayor o menor protagonismo y afectación, determinarán la mayor o menor exigencia de los principios rectores que habrán de presidir la medida.
Al analizar la aplicación de estos preceptos no debe desconocerse, igual que ocurre en relación con otras medidas de investigación tecnológica, que la regulación que la LECrim recoge quedará circunscrita a los supuestos que la justifican en atención a su encuadramiento sistemático dentro de la propia Ley; en particular, de la rúbrica que encabeza el Título VIII -De las medidas de investigación limitativas de los derechos reconocidos en el art. 18 de la Constitución- se desprende que los preceptos que se analizan resultarán únicamente aplicables a aquellos registros de dispositivos de almacenamiento masivo de información que sean acordados por las autoridades públicas en la persecución de delitos, pudiendo resultar afectados los derechos reconocidos en el art. 18 CE.
Así, por ejemplo, quedarán excluidos del ámbito de la regulación los accesos a dispositivos de almacenamiento masivo de información llevados a cabo por particulares en contextos desconectados de la investigación de los delitos. En este sentido, proclama la STS nº 287/2017, de 19 de abril: “se trata de una prueba proporcionada por un particular a los agentes de la autoridad sin que esa entrega haya sido concebida como un mecanismo de elusión de las garantías que el sistema constitucional reconoce para la protección de los derechos a la intimidad y al entorno virtual. Hemos dicho que «… las reglas de exclusión probatoria se distancian de su verdadero sentido cuando no tienen relación con la finalidad que está en el origen mismo de su formulación. De lo que se trata es de limitar el afán del Estado en la persecución de los ilícitos penales, de apartar a los agentes de la autoridad de la tentación de valerse de medios de prueba que, por su alto grado de injerencia en el círculo de los derechos fundamentales, están sometidos a unas garantías constitucionales concebidas para la salvaguardia de aquéllos. Se ha dicho con acierto que la proscripción de la prueba ilícita se explica por el efecto disuasorio que para el aparato oficial del Estado representa tener plena conciencia de que nunca podrá valerse de pruebas obtenidas con vulneración de las reglas constitucionales en juego”. En este mismo sentido, el ejercicio de la patria potestad por los padres les confiere también a estos una facultad de control sobre la intimidad de sus hijos menores que puede traducirse en el acceso y registro legítimo de sus datos íntimos, pudiendo llegar a generar prueba valorable por un Tribunal, no obstante su obtención al margen de la previsión legal (STS nº 864/2015, de 10 de diciembre).
Igualmente quedarían excluidos de la regulación los supuestos de registro de dispositivos que, por el objeto y fines para los que se utilizan, resultaran extraños al ejercicio del derecho a la intimidad por particulares. Es el caso de la STS nº 426/2016, de 19 de mayo, que señala que “no obstante lo anterior en el caso presente no se trata de despachos, ni ordenadores privados del recurrente sino de los existentes en un organismo público como es la Jefatura Provincial de Tráfico, que no ampara la intimidad que protege el domicilio y quienes trabajan en ellos y los utilizan por razón de su trabajo, no tienen una pretensión de privacidad que el lugar no les puede proporcionar”. La falta de expectativa razonable de privacidad constituye también el argumento del Tribunal Constitucional (STC nº 170/2013, de 7 de octubre) para no considerar vulnerados los derechos fundamentales de un trabajador cuyo ordenador fue intervenido y registrado por la empresa.
Los dispositivos que hoy en día se utilizan de manera generalizada pueden agruparse en tres grandes categorías: dispositivos magnéticos (fundamentalmente, unidades de disco duro o HDD, del inglés Hard Disk Drive), dispositivos ópticos (CD, DVD o BD) y los dispositivos de memoria sólida o SSD (acrónimo inglés de solid-state drive) (tarjetas de memoria, memorias USB, etc.)
Por lo tanto, lo que la regulación legal autoriza a registrar será, además de los ordenadores y teléfonos móviles expresamente mencionados, cualquier otro dispositivo de almacenamiento masivo que forme parte de otro instrumento más complejo -como los anteriormente reseñados-, así como los soportes de almacenamiento de datos que puedan ser hallados (como CD´s ó DVD´s) y los dispositivos de almacenamiento masivo de información que, sin formar parte de otro sistema más complejo, pudieran tener relación con la investigación (discos duros externos, memorias USB, tarjetas de memoria, etc.) A ello deberá añadirse, además, el acceso a cualquiera de estos dispositivos o instrumentos por vía telemática, esto es, lo que la ley llama el acceso a repositorios telemáticos de datos.
3.3.1. La resolución judicial habilitante
La necesidad del control judicial de esta medida ya había sido puesta de manifiesto por el TEDH (STEDH de 22 de mayo de 2008, caso Iliya Stefanov contra Bulgaria) y, más recientemente, por el Tribunal Supremo de Estados Unidos que, en su sentencia de 25 de junio de 2014 (casos acumulados Riley contra California y Estados Unidos contra Brima Wurie -573 U.S.- 2014), destacaba la gravísima afectación de la privacidad que podía derivarse de un examen indiscriminado y sin límites de un teléfono inteligente. En esta línea, como ya se señalaba, la STS nº 342/2013, de 17 de abril, acogía en nuestro país el concepto del derecho al propio entorno virtual para justificar esa necesidad de autorización judicial, precisando la STS nº 246/2014, de 2 de abril, ante la diferente naturaleza de los derechos que pueden verse afectados por el registro de un ordenador: “Son muchos los espacios de exclusión que han de ser garantizados. No todos ellos gozan del mismo nivel de salvaguarda desde la perspectiva constitucional. De ahí la importancia de que la garantía de aquellos derechos se haga efectiva siempre y en todo caso, con carácter anticipado, actuando como verdadero presupuesto habilitante de naturaleza formal”.
Efectivamente, la diversa naturaleza de los datos que pueden ser almacenados en un dispositivo digital se traduce, también, en diferentes grados de afectación de los derechos fundamentales de su titular, lo que impone un tratamiento unitario que permita salvaguardar las intromisiones que pudieran resultar más intensas (en este sentido, la STS nº 204/2016, de 10 de marzo).
Pues bien, esa multifuncionalidad de los datos que se almacenan y el diferente grado de afectación de los derechos fundamentales del investigado, no solo justifica la exigencia de una resolución judicial para su registro, sino que también constituye el núcleo y la esencia de la fundamentación que debe recoger esa autorización judicial. Deberá valorarse el alcance del registro, la naturaleza de los datos a los que se accederá y el grado de afectación de los derechos del investigado, como criterio fundamental para llevar a cabo una adecuada ponderación de los intereses en conflicto que justifique el registro. De esta manera, las exigencias de justificación se incrementarán en los casos en los que pueda presumirse la limitación de diversos derechos fundamentales (intimidad, secreto de las comunicaciones o protección de datos) o cuando, aun siendo solo uno el derecho afectado, se prevea de especial intensidad su afectación (por ejemplo, cuando se trate de datos pertenecientes al ámbito más exclusivo de la privacidad).Por el contrario, la justificación podrá no ser tan intensa cuando se trate de acceder a datos concretos y limitados que no incidan de manera especialmente grave en el derecho fundamental (por ejemplo, el simple acceso al directorio de contactos de un teléfono móvil).
El principio de especialidad, en estos casos, va a hacer que no resulte lícito el registro preventivo o genérico de dispositivos (como podría ser un teléfono móvil, por ejemplo) sin que exista una investigación sobre un delito concreto. Esta circunstancia, unida a las exigencias del principio de excepcionalidad, debe traducirse en la ilegalidad de cualquier registro de dispositivos que se llevara a cabo de manera sistemática ante cualquier detención, por ejemplo. La excepcionalidad de la medida deberá ser apreciada juntamente con su idoneidad y necesidad. Por ello, solo ante la posibilidad indiciariamente acreditada de obtener con el registro datos relevantes para la investigación, podría justificarse el mismo.Por lo tanto, el registro resultará ilícito cuando se lleve a cabo de manera prospectiva, esto es, buscando el hallazgo casual de datos o pruebas que, a priori, no aparezcan justificados.
Especial significación alcanzará, en estos casos, el ámbito tecnológico en el que el delito se haya cometido, ya que únicamente mediante el análisis del medio tecnológico de comisión podrán reunirse pruebas de su perpetración. En este sentido, señala la STS nº 811/2015, de 9 de diciembre, que “cuando de infracciones cometidas mediante la utilización de equipos informáticos se trata, la diligencia tendente a su ocupación y al examen de sus contenidos, ha de considerarse como proporcionada, no tanto en función de la pena eventualmente aplicable sino de la propia naturaleza de los hechos investigados, de su mecánica comisiva y de las inevitables necesidades para su ulterior probanza”.
3.3.2. El consentimiento del afectado y otros supuestos excepcionales
La autorización judicial habilitante del registro de un dispositivo de almacenamiento masivo de información no será necesaria en los casos en los que el afectado haya prestado su consentimiento para ello. Aunque no lo prevea expresamente la Ley, la eficacia del consentimiento sobre el derecho a la intimidad ha sido objeto de un intenso desarrollo jurisprudencial; de esta manera, el Tribunal Constitucional, en STC nº 173/2011, de 7 de noviembre, proclamaba que “corresponde a cada persona acotar el ámbito de intimidad personal y familiar que reserva al conocimiento ajeno, por lo que el consentimiento del titular del derecho fundamental legitimará la inmisión en el ámbito de la intimidad e impedirá, por tanto, considerarlo vulnerado”.
Será siempre presupuesto necesario para la validez del consentimiento que el otorgante tenga capacidad para prestarlo, proclamando la STS nº 1803/2002, de 4 de noviembre que “en supuestos de minusvalía psíquica aparente, esté o no declarada judicialmente, no puede considerarse válidamente prestado el consentimiento, todo ello en base al art. 25 del Código Penal”.
Podrá manifestarlo el afectado, tanto de manera expresa como tácita, entendiéndose por ésta última la que no resulta de expresiones, sino de hechos (actos concluyentes), siendo preciso, para conocer su verdadero significado, acudir a conjeturas o presunciones (STC nº 173/2011, de 7 de noviembre). El propio art.551 LECrim se refiere al consentimiento para la práctica de la diligencia de entrada y registro señalando que “se entenderá que presta su consentimiento aquel que, requerido por quien hubiere de efectuar la entrada y registro para que los permita, ejecuta por su parte los actos necesarios que de él dependan para que puedan tener efecto, sin invocar la inviolabilidad que reconoce al domicilio el art. 6.º de la Constitución del Estado” (actual art. 18.2 Constitución Española).
Ahora bien, no puede admitirse como un consentimiento tácito la simple falta de oposición al registro (en este sentido la STC nº 209/2007, de 31 de septiembre, respecto de un registro domiciliario) siendo preciso, al menos, actos que manifiesten una inequívoca voluntad de colaborar con ese registro como sería, por ejemplo, el supuesto recogido en la STS nº 786/2015, de 4 de diciembre, en el que se admitió que esa voluntad tácita se dedujera del acto de facilitar la interesada la identidad de las cuentas de correo electrónico y sus claves. La STS nº 864/2015, de 10 de diciembre, por su parte, consideró válido el consentimiento tácito para el análisis de un ordenador que se desprende de la autorización a la policía para recogerlo, considerando “incuestionable que la autorización para recoger conlleva el análisis del contenido que en dicho material informático se encuentre”. Finalmente, puede recordarse también el caso de la STC nº 173/2011, de 7 de noviembre, en la que se entiende prestado el consentimiento con la entrega de un ordenador que carece de contraseñas, para el acceso al mismo con el fin de que sea reparado.
El consentimiento podrá ser revocado en cualquier momento (SSTC nº 196/2006, de 3 de julio y 159/2009, de 29 de junio) y, además, devendrá ineficaz cuando el registro “subvierta los términos y el alcance para el que se otorgó el consentimiento, quebrando la conexión entre la información personal que se recaba y el objetivo tolerado para el que fue recogida” (SSTC nº 110/1984, de 26 de noviembre, 196/2004, de 15 de noviembre y 70/2009, de 23 de marzo). Igualmente, el consentimiento ha de ser libre y no viciado ya que, como señala la STS nº 1576/1998, de 11 de diciembre, “ha de estar exento de todo elemento susceptible de provocar o constituir error, violencia, intimidación o engaño (art. 1.265 del Código Civil), pues si tales rigurosas exigencias son requeridas para las relaciones contractuales, mucha más severidad habrá de aplicarse cuando se trata de renunciar a un derecho fundamental del individuo”. En esta línea, no debe olvidarse que el último apartado del art. 588 sexies c prohíbe expresamente a las autoridades y agentes encargados de la investigación que puedan compeler al investigado o encausado para que colabore en el registro del dispositivo.
En los casos en los que el afectado se encuentre detenido, aplicando la doctrina jurisprudencial elaborada para los casos de registro domiciliario, no será precisa la asistencia del letrado para llevar a cabo el registro del dispositivo, pero sí para obtener el consentimiento del afectado, si no existiera autorización judicial (STS nº 187/2014, de 10 de marzo). “La razón de ello -señala la STS 550/2001, de 3 de abril-, es que la manifestación de voluntad así prestada debe ser seriamente cuestionada teniendo en cuenta que el detenido puede sentirse condicionado o presionado por dicha situación, incluso desconocer la posibilidad de negarse a autorizar la entrada, así como las consecuencias que pudieran derivarse de dicho acto”. Esta misma asistencia letrada para la eficacia del consentimiento en los casos de detención se viene exigiendo para la validez de la toma de muestras biológicas (SSTS nº 685/2010, de 7 de julio y 827/2011, de 25 de octubre) (art.520.6.c) LECrim).
Existen otros supuestos, no obstante, en los que el consentimiento para el registro presenta alguna particularidad. Es el caso, por ejemplo, del registro de dispositivos de almacenamiento que son utilizados simultáneamente por varias personas, en el que resultará válido el consentimiento otorgado por cualesquiera de ellas, incluso, para el examen de los datos íntimos de las otras. A él se refiere la STS nº 287/2017, de 19 de abril, referido al registro de un ordenador utilizado por todo el entorno familiar con el simple consentimiento de uno de los miembros; señala el Tribunal Supremo que “quien incorpora fotografías o documentos digitales a un dispositivo de almacenamiento masivo compartido por varios es consciente de que la frontera que define los límites entre lo íntimo y lo susceptible de conocimiento por terceros, se difumina de forma inevitable”. El consentimiento de uno de los usuarios, sin embargo, no deberá resultar suficiente cuando pudiera existir conflicto de intereses entre ellos (STC nº 22/2003, de 10 de febrero). En los casos de datos íntimos de una persona fallecida, aunque en este caso se trataba de la víctima del delito, la STS nº 850/2014, de 26 de noviembre, valida el consentimiento de sus padres para acceder a los datos existentes en su teléfono móvil, señalando: “Desde la perspectiva del derecho a la intimidad, no constituye una injerencia inconstitucional el acceso proporcional de los padres de la menor fallecida, en su condición de sucesores legítimos en todos sus bienes, derechos y obligaciones, a sus documentos privados. Y desde la perspectiva del derecho al secreto de las comunicaciones (…) los sucesores legítimos del receptor, titulares de todos sus derechos y obligaciones, pueden asimismo acceder y hacer un uso legítimo y proporcionado de dichas comunicaciones, sin por ello vulnerar ningún precepto constitucional”.
3.3.3. La resolución judicial en los supuestos de registros domiciliarios
El caso que con mayor frecuencia se presenta en relación con el registro de dispositivos de almacenamiento masivo de información es el de su incautación como consecuencia de la realización de una diligencia de entrada y registro. Con anterioridad a la reforma de la LECrim, el modo habitual de proceder era el de considerar amparado su registro por la resolución judicial que autorizaba la entrada en el domicilio del investigado y el registro de los libros, papeles y demás documentos del mismo que pudieran tener relación con el delito. La nueva regulación, sin embargo, parte de la conclusión esencial de que la simple incautación de los dispositivos de almacenamiento masivo de información que se lleve a cabo con motivo de una entrada y registro no permite acceder al contenido de los mismos. Es decir, la autorización judicial de entrada y registro permite la incautación de los dispositivos (efectos o instrumentos del delito, o libros, papeles u otros objetos que puedan servir para su descubrimiento y comprobación, dice el art.546 LECrim), pero será necesaria una motivación judicial especial e independiente para registrar o acceder a la información contenida en los dispositivos.
A esta necesidad se refiere la STS nº 786/2015, de 4 de diciembre, cuando señala:
“La jurisprudencia de esta Sala ha recordado la necesidad de que exista una resolución jurisdiccional habilitante para la invasión del derecho al entorno digital de todo investigado. Como hemos indicado supra, esa resolución ha de tener un contenido propio, explicativo de las razones por las que, además de la inviolabilidad domiciliaria, se alza la intimidad reflejada en el ordenador. Nuestro sistema no tolera el sacrificio de los derechos proclamados en los apartados 3 y 4 del art. 18 de la CE a partir de una legitimación derivada, de suerte que lo que justifica un sacrificio se ensanche hasta validar implícitamente otra restricción. Esta idea tiene ya un reflejo normativo en el art. 588 sexies a) 1º de la LECrim (…) Se trata, por tanto, de una regulación rupturista, que pretende abandonar prácticas en las que la autorización judicial para la entrada en el domicilio del investigado amparaba cualquier otro acto de injerencia, incluso cuando desbordara el contenido material del derecho reconocido en el art. 18.2 de la CE”.
La motivación judicial que legitime el registro de los dispositivos de almacenamiento puede realizarse en la misma resolución de entrada y registro o en otra independiente (SSTS nº 342/2013, de 17 de abril y 204/2016, de 10 de marzo).
Lo normal será que, tanto la motivación que justifique el registro domiciliario, como la que justifique el registro de los dispositivos de almacenamiento, se incluyan en la misma resolución judicial en los casos en los que sea previsible el hallazgo de esta clase de dispositivos y su relevancia para la investigación con anterioridad a la práctica de la diligencia (art. 588 bis a.1), aunque nada impide que esa justificación se realice por separado. Cuando necesariamente constarán ambas justificaciones en resoluciones diferentes será en los supuestos que prevé el apartado 2 del art.588 sexies a, en los que el auto de entrada y registro habrá legitimado la incautación de los dispositivos, pero resultará necesaria una nueva resolución, con su motivación específica, para su registro. Realmente, hoy en día es difícil imaginar un registro domiciliario en el que no aparezca algún tipo de dispositivo de almacenamiento masivo de información por lo que, siempre que se considere que pudiera resultar relevante para la investigación que se lleva a cabo la información que en uno de estos dispositivos pudiera ser almacenada, deberá preverse específicamente en el auto de entrada y registro el acceso a la misma.
Es necesario que la justificación del registro de los dispositivos de almacenamiento masivo tenga un contenido propio e independiente del que habilita el registro domiciliario. Como declara la STS nº 786/2015, de 4 de diciembre, lo que la Ley pretende “es que el Juez de instrucción exteriorice de forma fiscalizable las razones que justifican la intromisión en cada uno de los distintos espacios de exclusión que el ciudadano define frente a terceros”. Esta circunstancia podría determinar, incluso, la nulidad de una de las diligencias y no de la otra, al estar sujetas ambas a exigencias distintas; por eso, en los supuestos en los que las dos motivaciones judiciales se incluyan en una misma resolución, deberá prestarse un especial cuidado con el fin de fundamentar la procedencia de cada una de ellas. De la distinción entre ambas diligencias de investigación deriva, al mismo tiempo, la consecuencia de que no puedan extenderse al registro de los dispositivos las exigencias que se establecen para los registros domiciliarios. Así, aunque para el registro del domicilio será necesaria la presencia del interesado en los términos previstos por la LECrim, no lo será para el acceso a la información del dispositivo. Este diferente tratamiento, además, viene impuesto por la naturaleza de uno y otro registro; mientras que el registro de un domicilio puede desarrollarse en unas pocas horas, el de un dispositivo de almacenamiento masivo de información puede prolongarse durante días o incluso semanas.
3.3.4. Incautación de dispositivos fuera del domicilio
El art. 588 bis b se encarga de precisar que la autorización judicial para el registro de dispositivos de almacenamiento masivo de información será también necesaria cuando estos hayan sido incautados con independencia de un registro domiciliario. Se tratará de supuestos en los que, por ejemplo, con motivo de una detención -o sin necesidad de ésta-, la Policía ocupe el teléfono móvil de un sospechoso o el dispositivo de geolocalización de un vehículo implicado en un grave accidente o, en definitiva, el ordenador del investigado en un hecho delictivo.
La iniciativa para el registro -e incluso para la incautación- de dispositivos de almacenamiento masivo de información no tiene por qué partir necesariamente de la Policía, pese a que el precepto parece darlo por supuesto. Al contrario, podrá el Juez, de oficio o a solicitud del Ministerio Fiscal, acordar la incautación y registro o únicamente el registro, si se trata de dispositivos ya incautados.
Para concluir, es preciso poner de relieve que la autorización judicial que regula el precepto lo es solo para el registro o análisis del contenido del dispositivo, pero no para su aprehensión o incautación, que no precisa autorización judicial previa. De esta manera, cuando se trate de la Policía Judicial, la recogida de los efectos, instrumentos o pruebas del delito, constituirá uno de sus cometidos y, al propio tiempo, obligaciones (art. 282 LECrim). El Juez, por su parte, puede también ordenar la recogida de efectos o pruebas materiales conforme a lo previsto en el art. 326 LECrim.
3.4.1. Fijación de los términos y alcance del registro La LECrim impone al Juez la obligación de precisar los términos y alcance del registro, esto es, los concretos datos informáticos a los que podrá acceder la investigación. Esta decisión deberá estar presidida por los principios de especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad. Se trata de garantizar que la limitación de los derechos fundamentales del afectado alcance únicamente hasta donde resulte estrictamente necesario a los fines de la investigación, garantizando, al propio tiempo, el respeto al resto de su entorno virtual.
La delimitación del alcance del registro que debe hacer el Juez tendrá una proyección tanto subjetiva como objetiva. Subjetiva, porque deberá precisar los sujetos afectados por el registro; aunque ordinariamente resultará solo afectado el investigado, el registro podría limitar derechos de terceros si el dispositivo de almacenamiento masivo es compartido entre varias personas o si los datos de interés para la investigación se encuentran almacenados en dispositivos que no son titularidad del investigado. Esa posible afectación de terceros aparece ya prevista en los arts. 588 bis c.3.b) y 588 bis h LECrim para todas las medidas de investigación tecnológica, por lo que cabe remitirse a las precisiones que sobre este particular se hacían en la Circular 1/2019. Además, la posibilidad de registrar dispositivos de un tercero parece admitida por la regulación específica de esta medida, cuando habla de “titular o propietario” en el art. 588 sexies c.2. Pero, sobre todo, la delimitación que haga el Juez debe tener un alcance objetivo, no solo determinando qué dispositivos pueden ser registrados y cuáles no, sino, también, la categoría o clase de datos o archivos de un dispositivo determinado a los que deberá alcanzar el registro.
Aunque puede no resultar sencillo delimitar los términos y alcance de un registro en un caso concreto, el acierto de la medida pasará siempre por una adecuada justificación de los límites fijados, se revelen posteriormente como correctos o no.Por ello, lo realmente determinante para la validez de la medida, lo que hará que la misma resulte ajustada a derecho, será siempre que la resolución habilitante haya fijado un determinado alcance del registro -que podrá ser de todo el dispositivo o de parte del mismo-, y que, al mismo tiempo, haya reflejado las razones y motivos en los que descansa esa decisión. A partir de aquí, será la razonabilidad o no del juicio valorativo, lo que dará validez o no a la decisión judicial.
Así, la STEDH, de 3 de julio de 2012, caso Robathin contra Austria, consideró violado el art. 8 de la Convención Europea de Derechos Humanos (en adelante, CEDH) en un supuesto de registro del ordenador de un abogado en el que la medida había permitido el acceso a todos los datos y no únicamente a las carpetas referidas a los clientes que eran objeto de investigación. El fundamento de la resolución, sin embargo, no fue el excesivo alcance del registro, sino la falta de justificación de ese alcance, señalando el TEDH que el Tribunal “dio razones muy breves y bastante generales al autorizar la búsqueda de todos los datos electrónicos del bufete de abogados del solicitante. En particular, no abordó la cuestión de si sería suficiente buscar solo los discos que contenían datos relacionados con «R.» y »G.» Tampoco dio ninguna razón específica para su conclusión de que era necesaria una búsqueda de todos los datos del solicitante para la investigación”.
3.4.2. Realización de copias
A diferencia de lo que se ha señalado para la realización de copias lógicas o parciales, durante el volcado o clonado de datos no es necesaria la presencia del Letrado de la Administración de Justicia (SSTS nº 116/2017, de 23 de febrero, 342/2013, 17 de julio, 480/2009, 22 de mayo y 256/2008, 14 de mayo). Como se ha indicado, la garantía de la integridad de la copia vendrá dada en estos casos por la firma digital (al poderse comprobar que el resultado de la función hash del original coincide exactamente con el de la copia). La función del Letrado de la Administración de Justicia, en estos casos, se agotará en dar fe de la identidad del soporte de almacenamiento masivo de información, esto es, que el soporte copiado es el mismo que fue hallado en el registro domiciliario y, como tal, consignado en el acta. En este sentido, señala la STS nº 342/2013 más arriba citada: “la presencia del fedatario judicial en el acto del volcado de datos no actúa como presupuesto de validez de su práctica. Lo decisivo es que, ya sea mediante la intervención de aquél durante el desarrollo de la diligencia de entrada y aprehensión de los ordenadores, ya mediante cualquier otro medio de prueba, queden descartadas las dudas sobre la integridad de los datos y sobre la correlación entre la información aprehendida en el acto de intervención y la que se obtiene mediante el volcado”. Por otro lado, el proceso de volcado o clonado se lleva a cabo a través de un procedimiento técnico que el Letrado de la Administración de Justicia no solo puede desconocer, sino que, además, no siempre puede controlar, por lo que difícilmente podrá dar fe del mismo: “aunque no hay duda de que el secretario judicial es una instancia formal de garantía, la jurisprudencia aconseja no sobrevalorar su mediación, por su propia condición de profano en materia de conocimientos informáticos” (STS nº 187/2015, de 14 de abril). Añade la STS nº 1599/99, de 15 de noviembre: “Lo que no se puede pretender es que el fedatario público esté presente durante todo el proceso, extremadamente complejo e incomprensible para un profano, que supone el análisis y desentrañamiento de los datos incorporados a un sistema informático.
Ninguna garantía podría añadirse con la presencia del funcionario judicial al que no se le puede exigir que permanezca inmovilizado durante la extracción y ordenación de los datos, identificando su origen y procedencia”.
Finalmente, respecto a la posibilidad de que las partes asistan al acto de volcado o clonado de los dispositivos de almacenamiento señala la STS nº 165/2016, de 2 de marzo, que “ni la ley procesal anterior al año 2015 ni tampoco la nueva normativa de la Ley de Enjuiciamiento Criminal (Ley 13/2015, de 5 de octubre) imponen que estén presentes el letrado del imputado ni un perito nombrado por la parte en el momento de volcar el contenido del ordenador”. Es cierto que el art. 476 LECrim reconoce a las partes la posibilidad de designar un perito que presencie el acto pero, sin embargo, “esa presencia no es presupuesto de validez del acto. Nada de ello se desprende de la literalidad de aquel precepto” (STS nº 342/2013, de 17 de abril).
3.4.3. Fijación de las condiciones para asegurar la integridad de los datos y las garantías de su preservación
A pesar de que el precepto parece condicionar la finalidad de asegurar la integridad de los datos y su preservación a la hipotética práctica de un dictamen pericial, debe interpretarse que las medidas que adopte el Juez deberán estar orientadas, en último término, a garantizar la integridad y preservación de los datos para su adecuada valoración por el Tribunal de enjuiciamiento, no solo en los casos en que exista prueba pericial, sino también en los de valoración del dato directamente por el Tribunal. Se trata, en definitiva, de garantizar la adecuada cadena de custodia de las fuentes de prueba, asegurando que lo que se analiza es justamente lo ocupado y que no ha sufrido alteración alguna (STS nº 1072/2012, de 11 de diciembre). Y es que, en cualquier caso, la aptitud de la prueba pericial va a pasar siempre por garantizar la adecuada cadena de custodia de los efectos objeto de la pericia, asegurando que son los mismos y con el mismo contenido, que los que fueron intervenidos (STC nº 170/2003, de 29 de septiembre).
Las condiciones fijadas por el Juez para la integridad y preservación de los datos pueden ser cuestionadas por las partes, no solo en el momento de su adopción, sino también cuando se revelen ineficaces o se incumplan, aunque siempre precisando concretamente el déficit de garantía y haciéndolo en un momento procesal que permita su corrección. En este sentido, señala la STS nº 990/2016, de 12 de enero: “Para examinar adecuadamente si se ha producido una ruptura relevante de la cadena de custodia no es suficiente con el planteamiento de dudas de carácter genérico, es necesario que la parte que la cuestione precise en qué momentos, a causa de qué actuaciones y en qué medida se ha producido tal interrupción, pudiendo proponer en la instancia las pruebas encaminadas a su acreditación. En cualquier caso, habrá de plantearse en momento procesalmente hábil para que las acusaciones, si a su derecho interesa, puedan contradecir eficazmente las objeciones planteadas”. Esto es así porque “existe la presunción de (que) lo recabado por el juez, el perito o la policía se corresponde con lo presentado el día del juicio como prueba, salvo que exista una sospecha razonable de que hubiese habido algún tipo de posible manipulación” (STS nº 115/2014, de 25 de febrero).
Señala la STS nº 587/2014, de 18 de julio, que la cadena de custodia “…no es prueba en sí misma. La infracción de la cadena de custodia afecta a lo que se denomina verosimilitud de la prueba pericial y, en consecuencia, a su legitimidad y validez para servir de prueba de cargo en el proceso penal”. Ahora bien, ello no supone vulneración de derecho fundamental alguno con el efecto connatural de la nulidad de la prueba refleja, habiendo proclamado la STS nº 656/2015, de 10 de noviembre, que “la irregularidad de la «cadena de custodia» no constituye de por sí, vulneración de derecho fundamental alguno que, en todo caso, vendrá dado por el hecho de admitir y dar valor a una prueba que se haya producido sin respetar las garantías esenciales del procedimiento, y especialmente, el derecho de defensa”.
3.4.4. Incautación de los soportes físicos que contienen los datos
El apartado segundo del art. 588 sexies c contiene una previsión encaminada a evitar al afectado por el registro perjuicios innecesarios que pudieran derivarse de la incautación de los dispositivos. Efectivamente, el papel fundamental que hoy en día desempeñan los dispositivos informáticos en numerosas actividades de la vida cotidiana se traduce en el padecimiento de graves inconvenientes -si no en la imposibilidad- para el desarrollo de esas actividades, en el caso de que los dispositivos sean incautados. Piénsese, por ejemplo, en los ordenadores de una empresa, en los que puede contenerse la contabilidad de la compañía, la gestión de pedidos, los datos de contacto con los clientes y proveedores, etc. En estos casos, la incautación de los ordenadores para proceder a su registro puede suponer el indeseable efecto de la paralización de la actividad mercantil de la compañía, con las graves consecuencias que de ello pueden derivarse.
Este acceso a información digital de manera telemática constituye la esencia de lo que hoy en día se denomina cloud computing (computación en la nube), nuevo concepto que ofrece nuevas respuestas a las demandas que la informática moderna ha venido planteando en los últimos años. La esencia del cloud computing reside en sustituir los dispositivos de almacenamiento masivo de información clásicos por el almacenamiento en servidores de internet. Así, la información y, en muchos casos, los programas informáticos, ya no se guardan en el disco duro del ordenador, sino en los servidores a los que se accede a través de internet. Este sistema ofrece la ventaja de proporcionar al usuario capacidades de almacenamiento mucho mayores que las que va a encontrar en su propio dispositivo (ordenador, teléfono móvil, etc.), seguridad en la conservación de sus datos (en muchos casos, estos repositorios se utilizan para hacer copias de seguridad de los datos alojados en el propio sistema informático) y, sobre todo, la posibilidad de acceder a sus datos en cualquier lugar en que se halle desde cualquier dispositivo que se conecte a internet y no solo a través del propio dispositivo en el que tuviera almacenados los datos. Esta posibilidad se revela especialmente útil en el mundo actual de los smartphones o teléfonos inteligentes que, por un lado, carecen de capacidad para almacenar grandes cantidades de datos y, por otro, permiten el acceso a los repositorios con una gran movilidad espacio-temporal.
El acceso resultará lícito siempre que no derive de alguna diligencia de investigación que vulnere derechos fundamentales como sería, por ejemplo, la obtención de las claves de acceso mediante procedimientos fraudulentos. Resultará, sin embargo, lícito, cuando sean reveladas voluntariamente por el investigado (tal es el caso que resuelve la STS nº 97/2015, de 24 de febrero), o cuando su averiguación derive de la investigación policial previa al registro, o cuando las claves se hayan obtenido con motivo del registro lícito de los dispositivos del investigado, por ejemplo. En cualquier caso, debe tratarse de repositorios o sistemas informáticos a los que pueda accederse desde el sistema inicial para el que se autorizó el registro.
El acceso a sistemas informáticos externos puede plantear también problemas de jurisdicción. Efectivamente, la inexistencia de fronteras en internet, unida a los menores costes que para el servicio se generan en determinados países, hará que resulte frecuente que los servidores de almacenamiento de datos estén ubicados físicamente fuera del territorio en el que el Juez que autorice el registro ejerza su jurisdicción (o incluso se desconozca el lugar en que se encuentren localizados).
En estos casos, si se parte de una concepción tradicional de los límites de la jurisdicción basada en criterios territoriales, podría parecer más correcto para la obtención de esos datos acudir a mecanismos de cooperación judicial internacional que, sin embargo, resultarían absolutamente incompatibles con la celeridad que requieren este tipo de investigaciones.
Entre las primeras destaca el cambio de las claves de acceso por el Juez, evitando de este modo que cualquier persona pueda acceder posteriormente a los datos y los modifique. La decisión de cambiar las claves ha de partir del Juez, al ser éste el competente para la adopción de medidas de conservación de pruebas (art. 326 LECrim), debiendo guardarse las nuevas claves con la debida reserva a fin de que la medida cumpla su cometido. Para ello, bastará con mantener el secreto parcial (en lo que afecte al conocimiento de las claves) de la pieza separada que se forme con la diligencia de registro de los dispositivos de almacenamiento masivo de información (art. 588 bis d). Se cumple con ello la previsión contenida en el art. 588 sexies c.1 cuando señala que el Juez “Fijará también las condiciones necesarias para asegurar la integridad de los datos y las garantías de su preservación para hacer posible, en su caso, la práctica de un dictamen pericial”.
Dispone el precepto que “en los casos de urgencia en que se aprecie un interés constitucional legítimo que haga imprescindible la medida prevista en los apartados anteriores de este artículo, la Policía Judicial podrá llevar a cabo el examen directo de los datos contenidos en el dispositivo incautado, comunicándolo inmediatamente, y en todo caso dentro del plazo máximo de veinticuatro horas, por escrito motivado al juez competente, haciendo constar las razones que justificaron la adopción de la medida, la actuación realizada, la forma en que se ha efectuado y su resultado. El juez competente, también de forma motivada, revocará o confirmará tal actuación en un plazo máximo de 72 horas desde que fue ordenada la medida”.
Como ya se ha venido señalando, con anterioridad a la reforma procesal la jurisprudencia había venido distinguiendo, con motivo del registro de los teléfonos móviles, entre el acceso a la agenda de contactos y el acceso a los datos de comunicación; en el primer caso se entendía afectado el derecho a la intimidad personal, a diferencia de lo que ocurría en el segundo, que suponía una afectación del derecho fundamental al secreto de las comunicaciones. La consecuencia inmediata que derivaba de este planteamiento era la posibilidad de que la Policía Judicial, en determinados supuestos y con ciertos requisitos, pudiera practicar, sin autorización judicial previa, registros en los teléfonos móviles que no afectaran más que a datos amparados por el derecho a la intimidad y no por el secreto de las comunicaciones (entre otras, STC nº 70/2002, de 3 de abril y 115/2013, de 9 de mayo y SSTS nº 449/2006, de 17 de abril, 1315/2009, de 18 de diciembre y 444/2014, de 9 de junio).
Ahora bien, esta doctrina no significaba que el acceso a los datos íntimos de un teléfono móvil quedara sustraído, como regla general, de la autorización judicial, sino que, por el contrario, únicamente se admitía esta actuación policial cuando se constataran dos importantes requisitos: necesidad de una actuación policial urgente para evitar o averiguar el delito u obtener pruebas incriminatorias y proporcionalidad de la actuación (STC nº 70/2002, de 3 de abril). De esta manera, señalaba la STC nº 206/2007, de 24 de septiembre, que “la regla general es que sólo mediante una resolución judicial motivada se pueden adoptar tales medidas y que, de adoptarse sin consentimiento del afectado y sin autorización judicial, han de acreditarse razones de urgencia y necesidad que hagan imprescindible la intervención inmediata y respetarse estrictamente los principios de proporcionalidad y razonabilidad”.
Efectivamente, como se señalaba ut supra, en la nueva regulación introducida por la reforma procesal, se ha pasado de considerar individualmente los derechos fundamentales que pueden resultar afectados por el registro de un dispositivo de almacenamiento, a contemplar ahora lo que se ha denominado el derecho al entorno virtual de la persona, que supone una nueva realidad que demanda un tratamiento unitario (vid. STS nº 204/2016, de 10 de marzo).
La urgencia que exige el precepto no debe interpretarse como urgencia vital para evitar resultados que comprometan intereses especialmente relevantes. Así cabe interpretarlo de la redacción definitiva del precepto en contraste con la contenida en el Anteproyecto, que hablaba en su art. 588 quinquies c de “casos de emergencia o de riesgo de catástrofe o cuando la medida tenga por objeto la localización de personas en situación de urgencia vital”. Ya el informe del Consejo Fiscal a ese Anteproyecto ponía de manifiesto cómo la doctrina jurisprudencial solo venía exigiendo urgencia e interés constitucionalmente legítimo para el registro policial, habiendo sido esta la postura finalmente acogida por el legislador.
A la urgencia que justifica la intromisión policial en la intimidad sin previa autorización judicial se refiere la STC nº 70/2002, de 3 de abril, como la que resulta necesaria para la prevención y averiguación del delito, el descubrimiento de los delincuentes y la obtención de pruebas incriminatorias. Resultará, por lo tanto, siempre necesario que, de dilatarse el registro policial, se pudiera derivar algún perjuicio para estos fines (así, por ejemplo, la STC nº 115/2013, de 9 de mayo, entendió que la intervención resultó urgente por la necesidad de averiguar la identidad de alguna de las personas que huyeron cuando fueron sorprendidas, in fraganti, custodiando un importante alijo de droga, evitando así que pudieran sustraerse definitivamente a la acción de la Justicia).
El interés constitucionalmente legítimo enlaza, como señala la Circular 1/2013, con el art. 8.2 del CEDH que, para la admisibilidad de la injerencia de la autoridad pública en el derecho a la vida privada, considera necesario que la medida persiga a alguna de las siguientes finalidades: la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, o la protección de los derechos y libertades de los demás. De entre ellas, señala la lucha contra el delito como la que dará normalmente cobertura a la actuación policial. La STC nº 207/1996, de 16 de diciembre, considera como intereses constitucionalmente legítimos para la limitación de derechos fundamentales, la actuación del ius puniendi del Estado, la investigación de los delitos y la determinación de hechos relevantes para el proceso penal y, la STS nº 133/2016, de 24 de febrero, con cita de la STC nº 115/2013, establece: “la actuación de los policías en el marco de la investigación de un delito y el descubrimiento de los delincuentes, “constituye un bien digno de protección constitucional, a través del cual se defienden otros como la paz social y la seguridad ciudadana, bienes igualmente reconocidos en los arts. 10.1 y 104.1”.
La comunicación al Juez que la Policía Judicial habrá de realizar deberá reunir dos requisitos, uno temporal y otro formal. El requisito temporal determina que la comunicación haya de practicarse en un plazo máximo de veinticuatro horas. Será preciso, por lo tanto, levantar un acta del registro en la que se haga constar, además de otros extremos, la fecha y hora exacta en la que se haya llevado a cabo el registro policial. El plazo legal se contará desde la hora en que tiene lugar el registro hasta la hora de presentación en el juzgado, que se constatará formalmente mediante una diligencia de constancia o acta que se levante al efecto.
Como requisitos formales exige la Ley que la comunicación policial se haga al Juez competente mediante un escrito en el que se dé cuenta de las razones que justificaron la adopción de la medida, la actuación realizada, la forma en que se ha efectuado y su resultado. Dentro de estas razones habrá de reflejar la Policía Judicial los motivos de urgencia que impulsaron su actuación, así como el interés constitucionalmente legítimo que la hizo imprescindible; estos serán los motivos que posteriormente deberá recoger el Juez, si los comparte, en la resolución convalidante. Igualmente, deberá reflejarse la actuación realizada, esto es, el concreto registro efectuado, la forma en la que se ha hecho y el resultado obtenido.
Por último, la resolución judicial que convalide o revoque la medida deberá dictarse en el plazo máximo de 72 horas, contadas, no desde el momento de su notificación policial al Juzgado, sino desde el momento de su realización, de ahí la importancia de consignar el día y hora en que se lleva a cabo el registro, según se ha indicado.
La resolución judicial que convalide la medida deberá tener el mismo fundamento que habría tenido de no mediar el registro policial previo, si bien añadiendo al mismo la valoración y ponderación de la pertinencia de la intervención policial previa. Así, tendrá el Juez que justificar la concurrencia de los principios rectores y, entre ellos, especialmente, la proporcionalidad y necesidad de la medida en el concreto escenario en el que ha sido adoptada, esto es, con carácter previo a la intervención judicial, en atención a la urgencia del caso.
Finalmente, y aunque en el informe policial que justifique la medida ante el Juez deba hacerse constar también el resultado alcanzado con la misma, “la valoración de la urgencia y necesidad de la intervención policial ha de realizarse ex ante, y es susceptible de control judicial ex post, al igual que el respeto del principio de proporcionalidad” (STC nº 70/2002, de 3 de abril, seguida por otras muchas, como las SSTS nº 97/2015, de 24 de febrero y 864/2015, de 10 de diciembre). De ahí deriva que, aunque la medida no arroje resultados relevantes para la investigación o, aunque los resultados contradigan los presupuestos de urgencia, necesidad o proporcionalidad de la medida, el registro policial anticipado será válido si la valoración ex ante se encontraba suficientemente justificada.
Por el contrario, “la constatación ex post de la falta del presupuesto habilitante o del respeto al principio de proporcionalidad implicaría la vulneración del derecho fundamental y tendría efectos procesales en cuanto a la ilicitud de la prueba en su caso obtenida, por haberlo sido con vulneración de derechos fundamentales” (en este sentido, la citada STC nº 70/2002, de 3 de abril).
Podrán ser destinatarios del deber de colaboración, tanto las personas físicas como las personas jurídicas, aunque únicamente las primeras podrían ser criminalmente responsables del delito que la LECrim anuda a su incumplimiento. Por eso, cuando la información necesaria para el registro obre en poder de una persona jurídica, deberá previamente identificarse la persona física que pudiera tener acceso a ella.
Cuando se trate de recabar la colaboración de personas que se encuentren en el extranjero, en principio, deberá emplearse el cauce de la cooperación jurídica internacional.
En cuanto a la limitación subjetiva, el precepto excluye expresamente del deber de colaborar al propio investigado o encausado, sus parientes más próximos y quienes, conforme a lo previsto en el art. 416.2 LECrim, se vean exentos de la obligación de declarar en virtud del secreto profesional. La dispensa que se otorga al investigado o encausado supone una consecuencia lógica del alcance de su propio derecho de defensa y de la facultad que de él deriva, que le permite no declarar contra sí mismo. La exclusión de los parientes (que el precepto concreta en los que, conforme al art. 416.1 LECrim, están dispensados de la obligación de declarar) tiene el mismo fundamento que el que justifica su dispensa de prestar declaración, evitar “el conflicto que eventualmente pudiera planteársele entre su deber legal de decir la verdad y el vínculo de solidaridad y familiaridad, cuando no afectivo, que le uniera con el acusado” (STS nº 459/2010, de 14 de mayo).
Finalmente, la inclusión entre estas exclusiones del secreto profesional tiene su justificación en el art. 24.2 CE, que consagra el secreto profesional como una tutela anticipada, de carácter formal, de otros derechos del investigado, como el derecho de defensa y el derecho a la intimidad personal (ATS de 19 de octubre de 2010).
Ahora bien, por lo que al secreto profesional se refiere, el art. 588 sexies c.5 limita los sujetos dispensados de la obligación a los incluidos en el art. 416.2 LECrim, esto es, los abogados, pero no a otros también afectados por el secreto profesional, como podrían ser los traductores o intérpretes (art. 416.3), los eclesiásticos y ministros de cultos disidentes (art. 417.1) o los funcionarios públicos (art. 417.3), por ejemplo.
La limitación objetiva la concreta el art. 588 sexies c.5 señalando que deberán quedar excluidas del deber de colaboración las órdenes de las que pudiera derivarse una carga desproporcionada para el afectado. El legislador ha optado por emplear un concepto indeterminado, como es el de la desproporción, que será preciso interpretar. El precedente inmediato de la previsión legal se encuentra, como ya se ha señalado, en el art. 19.4 del Convenio sobre el Cibercrimen, que utiliza el concepto equivalente de la razonabilidad (obligación de facilitar la información necesaria, dentro de lo razonable, señala). El informe explicativo del Convenio cita como ejemplo de irrazonabilidad los casos en los que “la divulgación de la contraseña u otra medida de seguridad pudiera poner en peligro injustificadamente la vida privada de otros usuarios o de otros datos cuya revisión no ha sido autorizada”.
Al supuesto de afectación de terceros, como es el que señala el informe explicativo, cabría añadir aquellos otros en los que, por ejemplo, la facilitación de información supusiera desvelar secretos industriales que pudieran perjudicar una actividad empresarial del afectado, como resultaría de facilitar información sobre los sistemas de seguridad de un determinado teléfono o dispositivo informático.
Realmente, no cabe establecer apriorísticamente los supuestos que pueden presentarse, sino que deberán valorarse las circunstancias concurrentes en cada caso concreto.
Efectivamente, el registro remoto sobre equipos informáticos presenta como nota común con el registro de dispositivos de almacenamiento masivo el objeto sobre el que recae -ordenador, dispositivo electrónico, sistema informático o, en definitiva, dispositivo de almacenamiento masivo de datos informáticos-, así como la finalidad de la diligencia, la búsqueda de pruebas, indicios o vestigios de la perpetración del delito en los datos digitales almacenados. Sin embargo, existen dos notas esenciales que concurren en los registros remotos y no en los registros directos, que distinguen ambos tipos de medidas de investigación tecnológica: la clandestinidad y el carácter dinámico del registro.
En estos casos, el criterio deberá ser siempre el de exigir un vínculo territorial con España; el Juez podrá autorizar el registro remoto de un sistema informático que se encuentre en España, aunque a través de él se acceda a datos ubicados en el extranjero, pero no autorizar el registro de un sistema localizado en el extranjero, sin acudir para ello a la cooperación judicial internacional. Como señala el informe del Consejo Fiscal al Anteproyecto, “en tanto en cuanto se tiene acceso al material desde España por un imputado situado en nuestro territorio, el mismo se posee en España, y, consiguientemente, las autoridades españolas tendrían jurisdicción para acceder al mismo”.
De los sistemas de acceso previstos, la utilización de datos de identificación y códigos aparece como el más factible. Se trata de utilizar las propias contraseñas del investigado para acceder, no ya a su ordenador o sistema informático, que sería lo que proporcionaría un conocimiento más amplio de su entorno virtual, sino incluso a reductos de privacidad más limitados pero igualmente útiles para la investigación, como su cuenta de correo electrónico o su cuenta de almacenamiento de datos en la nube (Dropbox, Google Drive, etc.) La mayor complicación que presenta este sistema es la propia obtención de las claves y contraseñas, que debería ser el resultado de una buena investigación policial.
Igualmente, puede resultar posible, en algunos casos, requerir dichas claves del proveedor de servicios de internet que almacene los datos, obligado por el deber de colaboración que establece la Ley. Una vez obtenidas las claves, el acceso al sistema o dispositivo a registrar no debería plantear mayores dificultades, salvo en los supuestos en los que el propio proveedor de servicios cuente con sistemas de seguridad que alertan al usuario de un acceso sospechoso a sus cuentas. En estos casos, nuevamente, la solución debe pasar por recabar la colaboración del proveedor de servicios.
Los registros remotos realizados mediante la utilización de “programas espía” resultan más complejos. Estos programas pueden ser de la más variada naturaleza (troyanos, keylogger, etc.), pero todos ellos tienen en común permitir a los investigadores, de una u otra forma, acceder a los datos almacenados en un sistema o dispositivo ajeno. Presentan el gran inconveniente de la dificultad de su instalación que, no solo deberá vencer las precauciones del investigado para evitar que se instale en su sistema lo que él no quiere que se instale, sino que también deberá luchar con los posibles programas antivirus que pudiera tener instalados.
Por el contrario, ofrece indudables ventajas sobre otros medios de investigación, como serían su instalación y uso sin la necesidad de la intermediación de terceros (como podrían ser las compañías proveedoras de servicios de Internet), la alta cantidad de información sobre el sospechoso que son capaces de proporcionar, su eficacia en dispositivos inalámbricos (a diferencia de la intervención de las líneas ADSL, por ejemplo) o la posibilidad de diseñar el programa para que seleccione la información objeto de registro, lo que ahorraría muchas horas de trabajo a los investigadores.
El art. 588 septies a.2 exige un determinado contenido de la resolución judicial habilitante. Deberá precisar el objeto del registro, su alcance, la forma de acceso al sistema -con especificación del software utilizado-, los agentes autorizados para la ejecución de la medida, la autorización, en su caso, para realizar copias y conservarlas, así como las medidas de aseguramiento de los datos registrados. Todas estas menciones, como es lógico, se añadirán al contenido propio de cualquier auto que autorice una medida de investigación tecnológica conforme al art. 588 bis c.
Cuando se trate de un registro remoto, además, dependiendo de la técnica de acceso que se utilice, será posible que el registro recaiga sobre un dispositivo o repositorio de datos concreto, o sobre todo el sistema informático del investigado. No es lo mismo acceder con sus contraseñas a su cuenta de correo electrónico, que instalar un programa espía en su ordenador personal; mientras que en el primer caso se tendrá acceso, únicamente, a su correo electrónico -tanto el almacenado en las distintas carpetas (enviados, recibidos, eliminados, borrador, etc.) como todo el tráfico que se genere mientras dure la media-, en el segundo, se podrá acceder prácticamente a todo el entorno virtual del investigado (correos electrónicos de todas sus cuentas de usuario, datos almacenados en repositorios remotos, datos almacenados en el propio equipo, actividad en internet, etc.)
Cuando se utilicen “programas espía”, el precepto exige la indicación de éstos, que habrá que entender referida a la denominación que lo identifique o individualice (su nombre técnico o comercial o el tipo de programa y su fabricante). Con el conocimiento de estos datos podrá el investigado comprobar si efectivamente el programa utilizado permite únicamente lo que el Juez haya autorizado o, por el contrario, va más allá, lo que podría generar vicios de la medida por haberse extralimitado en la intromisión judicialmente autorizada. Puede ocurrir, sin embargo, que no se utilice un programa de uso público, sino un programa desarrollado específicamente para su utilización policial con esta finalidad. En estos casos bastará con indicar el tipo de programa que se utilice (troyano, keylogger, etc.) y, en su caso, su alcance potencial o funcionalidades, sin necesidad de facilitar otros datos técnicos específicos. Debe en este punto recordarse el contenido del acuerdo del Consejo de Ministros de 6 de junio de 2014, que otorga, con carácter genérico, la clasificación de secreto, a los efectos de la Ley 9/1968, de 5 de abril, sobre secretos oficiales, a la estructura, organización, medios y técnicas operativas utilizados en la lucha contra la delincuencia organizada por las Fuerzas y Cuerpos de Seguridad del Estado, así como sus fuentes y cuantas informaciones o datos puedan revelarlas.
Si se utilizan las contraseñas o códigos del investigado para acceder al sistema bastará con indicar que ha sido ésta la técnica empleada, sin necesidad de desvelar el modo en el que se obtuvieron tales contraseñas o códigos, cuando formen parte de las técnicas de investigación policial y no existan indicios de la ilegalidad de su obtención, salvo resolución judicial en contrario. Si llegaran a suscitarse dudas por el investigado acerca de la legalidad en la obtención de sus contraseñas o códigos, o del funcionamiento de software utilizado, será plenamente aplicable la doctrina jurisprudencial relativa a las dudas de legalidad en la forma de obtención policial del número de teléfono intervenido a un investigado, que entiende que “no es preciso acreditar la forma de obtención del número de teléfono de un sospechoso cuando no hay indicios de ilegitimidad en el proceso de obtención de la información, ya que es exigible a los poderes públicos que justifiquen que la restricción de un derecho fundamental se ha realizado con respeto a las reglas, pero no lo es que demuestren que no lo han hecho” (SSTS nº 207/2012, de 12 de marzo, 795/2014, de 20 de noviembre o 85/2011, de 7 de febrero, entre otras).
Por un lado, el Juez debe adoptar cautelas -que reflejará en el auto- para garantizar que los datos que existían en un momento determinado en el sistema informático registrado se conserven íntegros hasta el momento de su valoración por el Tribunal de enjuiciamiento. Estas medidas no presentan diferencias sustanciales con las que ya se indicaban para garantizar la integridad de los datos en el caso de registro de dispositivos de almacenamiento masivo de información. Podrán incluirse aquí, además de cualesquiera otras que resulten adecuadas y fueran acordadas por el Juez, la realización de copias en la forma indicada o el cambio de las contraseñas de acceso al sistema informático o repositorio, si bien, en este último caso, teniendo en cuenta que el cambio de las contraseñas alertará al investigado de la intromisión de un tercero en su sistema (lo que puede no ser un inconveniente en los casos, por ejemplo, en que se haya procedido ya a practicar la detención del investigado en el momento de cambiar las contraseñas).
Las medidas para hacer inaccesibles o suprimir los datos del sistema informático registrado serán pertinentes en los casos en los que se trate de sistemas informáticos que ofrezcan material delictivo, como podría ser, por ejemplo, pornografía infantil o archivos que infrinjan derechos de propiedad intelectual.
Como regla general, será preferible hacer inaccesibles los datos antes que suprimirlos, garantizando de esta forma la posibilidad de que puedan ser analizados posteriormente ya que, normalmente, se tratará de datos esenciales para la valoración del comportamiento delictivo investigado. Cuando no resulte posible garantizar la inaccesibilidad de los datos y haya de procederse a su supresión, se adoptarán siempre las cautelas necesarias para la conservación de una copia de los mismos.
El art. 588 septies b regula un amplio deber de colaboración de terceros en la práctica de la diligencia de investigación que se analiza. Se trata de una colaboración que excede notablemente de la prevista en el art. 588 sexies c.5 para el registro de dispositivos de almacenamiento masivo de información ya que, en los registros remotos, además de reproducirse el mismo deber de colaboración que ya se preveía para los registros directos, se establece otro todavía más amplio dirigido a los prestadores de servicios y personas señaladas en el art. 588 ter e y los titulares o responsables del sistema informático o base de datos.
Esta omisión, sin embargo, debe considerarse relativa. Deberá reconocerse la posibilidad de que el requerido se excuse por suponer para él la colaboración una carga desproporcionada en aquellos casos en los que la colaboración suponga para el sujeto requerido infringir deberes legales o derivados del ejercicio legítimo de sus derechos, de un oficio o de un cargo (art. 20.7º CP). El respeto a los derechos fundamentales también aparece recogido en el art. 591 LEC como fundamento de la excusa del deber de colaboración con la Administración de Justicia.
Pero, además del deber de facilitar información que el art. 588 septies 2 reproduce, el apartado primero de este mismo precepto amplia, a otros sujetos y con otro objeto, ese deber de colaboración, en términos no previstos por el art. 588 sexies c.5 para los registros directos. Se establece la obligación de prestar la colaboración precisa para la práctica de la medida y el acceso al sistema, así como para que los datos e información recogidos puedan ser objeto de examen y visualización. Como destinatarios de este deber de colaboración se incluye a los prestadores de servicios y personas señaladas en el art. 588 ter e y los titulares o responsables del sistema informático o base de datos objeto del registro (el art. 588 ter e, se refiere a los prestadores de servicios de telecomunicaciones, de acceso a una red de telecomunicaciones o de servicios de la sociedad de la información, así como toda persona que de cualquier modo contribuya a facilitar las comunicaciones a través del teléfono o de cualquier otro medio o sistema de comunicación telemática, lógica o virtual).
De ahí que la diferencia entre el deber de colaboración que establece el apartado primero del art. 588 septies b y el que establece el apartado segundo -y, en definitiva, el que se establece para los registros directos- es que, mientras que en este último caso la colaboración se agota en facilitar información (generalmente las claves o contraseñas o la ubicación de la información buscada, según se dijo), en el primero, la colaboración puede requerir comportamientos activos que exijan el desarrollo de trabajos que posibiliten la práctica de la diligencia de investigación.
Pudiera parecer injustificada la distinción que se establece para la colaboración que puede exigirse en ambos tipos de registro, bastante más amplia en el caso de los registro remotos; sin embargo, no debe olvidarse el ámbito mucho más restringido que tienen estos, aplicables únicamente a determinados delitos, lo que justifica, nuevamente, tanto una mayor intromisión en los derechos del investigado, como un deber de colaboración más intenso que permita la efectividad de la diligencia a través de cauces más complejos. Además, la mayor dificultad que entrañan los registros remotos exige, también, mayores herramientas que posibiliten su desarrollo.
El art. 588 septies c concluye el Capítulo IX, del Título VIII, con una previsión acerca de la duración del registro remoto: “la medida tendrá una duración máxima de un mes, prorrogable por iguales períodos hasta un máximo de tres meses”.
Cuando se utilicen datos de identificación o códigos del investigado no deberían existir problemas, ya que debe entenderse que la Policía Judicial sólo solicitará la autorización judicial cuando ya disponga de esos datos, pudiendo realizarse el registro de manera inmediata a su autorización. Los problemas surgen cuando resulte necesaria la instalación de un software en el equipo del investigado. En estos casos, lógicamente, la autorización judicial deberá ser previa a la actuación policial, no solo porque en algunas ocasiones dicha autorización resultará precisa para la instalación del software (como sería el caso, por ejemplo, en que resultara necesario entrar en el domicilio del investigado para ello), sino porque la propia instalación de ese software sería constitutiva de delito si no media la previa autorización judicial (arts. 197 y 198 CP). Teniendo en cuenta las dificultades que puede llegar a plantear la instalación de ese software, no sería extraño que la monitorización se hiciera efectiva cuando ya hubiera transcurrido el plazo de autorización previsto en la resolución judicial.
A diferencia de lo que ocurre con las interceptaciones telefónicas y con la utilización de dispositivos o medios técnicos de seguimiento y localización, en los que losarts. 588 ter g y 588 quinquies c establecen expresamente que el plazo se compute desde la fecha de autorización judicial, sin embargo, en la regulación de los registros remotos de equipos informáticos la Ley guarda silencio sobre este extremo, lo que podría interpretarse a favor de la licitud de soluciones distintas. La solución negativa, sin embargo, deriva de la doctrina jurisprudencial desarrollada en torno a la interceptación de comunicaciones telefónicas, señalando la STC nº 205/2005, de 18 de julio, que la Constitución solamente permite “que el secreto de las comunicaciones pueda verse lícitamente restringido mediante resolución judicial (art. 18.3 CE), sin que la intervención de terceros pueda alterar el dies a quo determinado por aquélla”, indicando, igualmente, que posponer el inicio del cómputo del plazo al día en que la medida se haga realmente efectiva, “compromete la seguridad jurídica y consagra una lesión en el derecho fundamental, que tiene su origen en que sobre el afectado pesa una eventual restricción que, en puridad, no tiene un alcance temporal limitado, ya que todo dependerá del momento inicial en que la intervención tenga lugar”.

References: resolución 
 resolución 
 Resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución