Vigilancia e investigación policial en el ciberespacio: aspectos procesales del ciberpatrullaje

TESIS DOCTORAL VIGILANCIA E INVESTIGACIÓN POLICIAL EN EL CIBERESPACIO ASPECTOS PROCESALES DEL CIBERPATRULLAJE Doctorando Manuel Jesús Távora Serra Programa Doctorado en Derecho Departamento Departamento de Derecho Procesal Universidad de Sevilla Fecha 20 de julio de 2022 Dirección Dra. María del Pilar Martín Ríos Prof. Titular de Universidad ABREVIATURAS, SIGLAS Y ACRÓNIMOS AAP Auto de la Audiencia Provincial ALECRIM Anteproyecto de Ley de Enjuiciamiento Criminal de 2020 AP Audiencia Provincial ARPANET Advanced Research Projects Agency Network ATS Auto del Tribunal Supremo CDFUE Carta de Derechos Fundamentales de la Unión Europea CdPT Conclusiones de la Presidencia del Consejo de Tampere CB Convenio sobre la Ciberdelincuencia, hecho en Budapest el 23 de noviembre de 2001 CE Constitución española CEDH Convenio Europeo de Derechos Humanos CNI Centro Nacional de Inteligencia CP Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal DACE Datos asociados a comunicaciones electrónicas EOMF Ley 50/1981, de 30 de diciembre, por la que se regula el Estatuto Orgánico del Ministerio Fiscal FFCCSE Fuerzas y Cuerpos de Seguridad del Estado FJ Fundamento Jurídico INTERPOL Organización Internacional de Policía Criminal LEC Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil LECrim Real Decreto de 14 de septiembre de 1882 por el que se aprueba la Ley de Enjuiciamiento Criminal LGT Ley 9/2014, de 9 de mayo, General de Telecomunicaciones LO Ley Orgánica LOFCS Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad LOPD Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales LOPJ Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial LORTAD Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal. LRCNI Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia LSSI Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. RGPD Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) SAP Sentencia de la Audiencia Provincial de [ciudad] SITEL Sistema Integrado de Interceptación de Comunicaciones STC Sentencia del Tribunal Constitucional STEDH Sentencia del Tribunal Europeo de Derechos Humanos STJUE Sentencia del Tribunal de Justicia de la Unión Europea STS Sentencia del Tribunal Supremo TIC Tecnologías de la Información y de la Comunicación TC Tribunal Constitucional TEDH Tribunal Europeo de Derechos Humanos TJUE Tribunal de Justicia de la Unión Europea UE Unión Europea TUE Tratado de la Unión Europea TFUE Tratado de Funcionamiento de la Unión Europea CBC Convenio de Budapest sobre la Ciberdelincuencia A mis padres, por su constante y amable exigencia, su incondicional apoyo y, sobre todo, por creer en mi capacidad mucho más que yo mismo. ÍNDICE ABREVIATURAS, SIGLAS Y ACRÓNIMOS ........................................................... 3 ÍNDICE ............................................................................................................................ 9 CAPÍTULO I INTRODUCCIÓN A LA TESIS DOCTORAL ................................ 17 1. Espíritu de la presente investigación .................................................................... 17 2. Objeto y finalidad de la investigación .................................................................. 18 3. Justificación de la materia de investigación ......................................................... 19 4. Metodología empleada y lógica interna de la investigación ................................ 28 5. Estructura de la tesis doctoral y conclusión central ............................................. 29 6. Agradecimientos .................................................................................................... 30 CAPÍTULO II LA ACTIVIDAD INVESTIGADORA EN EL CIBERESPACIO: CUESTIONES INTRODUCTORIAS ........................................................................ 31 1. El ciberespacio y la delincuencia ......................................................................... 31 2. La cibercriminalidad en España ........................................................................... 38 3. Algunos conceptos previos: Internet, Surface web, Deep web y Dark web .......... 41 4. La relevancia y complejidad de la investigación de la ciberdelincuencia ........... 43 A. Un fenómeno en creciente e imparable aumento................................ 43 B. La complejidad de su investigación.................................................... 45 C. La inevitable existencia de vestigios .................................................. 49 D. El elemento transfronterizo y la importancia de la cooperación internacional ........................................................................................................... 51 E. El alto índice de impunidad ................................................................ 55 5. El necesario deslinde entre la actividad investigadora y la actividad probatoria 57 A. Concepto de prueba electrónica .......................................................... 57 B. Fases de la prueba digital.................................................................... 61 C. Modalidades de fuente de prueba electrónica..................................... 67 D. Datos de tráfico y datos de abonado ................................................... 68 E. Referencia a la situación actual de la prueba ilícita............................ 71 Página 16 de 450 Página 17 de 450 CAPÍTULO I INTRODUCCIÓN A LA TESIS DOCTORAL 1. ESPÍRITU DE LA PRESENTE INVESTIGACIÓN Por lo que se refiere a cualquier trabajo de investigación y, en particular, en lo relativo a tesis doctorales, son multitud los recursos que se han elaborado con la finalidad de auxiliar al investigador en su misión de finalizarlos con éxito. Aunque cada uno desarrolla, en la proporción que haya podido entender como conveniente su autor, los diferentes métodos que pueden aplicarse para desarrollar una investigación doctoral y conseguir que esta cristalice en la tesis, todos coinciden en que cualquier trabajo debe dedicar sus primeras páginas a la función de contextualizar la labor investigadora, exponiendo su finalidad y utilidad, ubicando así al lector en la mejor posición desde la que recibir la exposición de la investigación. Con el objetivo de levantar dicha carga, y siguiendo autorizadas voces al respecto 1 , entendemos que en esta introducción debemos exponer el objeto de la investigación y la finalidad perseguida, la justificación del tema elegido –con una breve referencia al status quaestionis–, el método y las fuentes utilizados en el desarrollo de la investigación, y la estructura del propio trabajo de investigación que se presenta. Por último, resultaba igualmente inexcusable la formulación de los muy debidos agradecimientos. En consecuencia, hemos distribuido esos temas en los siguientes apartados. Finalmente, nos gustaría referirnos a una inspiradora y sintética reflexión que leía hace algún tiempo sobre los diferentes sistemas de pensamiento de nuestro cerebro. 2 Sintéticamente, el autor identificaba una forma de pensamiento rápida y otra forma de pensamiento lenta, cada una con sus correspondientes ventajas y desventajas (la primera, más adaptada a situaciones de urgencia y menos útil para elaborar estrategias a largo plazo; la segunda, menos adecuada para tomar decisiones inmediatas, pero más acertada para reflexionar sobre la realidad de las cosas). El autor señalaba cómo la propia plasticidad cerebral, en el constante esfuerzo de dicho órgano por adaptarse a los parámetros del medio en el que se encontraba, podía determinar el tipo de pensamiento que predominaba 1 CERVERA RODRÍGUEZ, Á., Cómo elaborar trabajos académicos y científicos: (TFG, TFM, tesis y artículos), Alianza, Madrid, 2019. 2 MAFFEI, L., Alabanza de la lentitud, Alianza, Madrid, 2016. Página 18 de 450 en una persona y llamaba la atención del lector sobre cómo, en nuestra época, al aplicar criterios de mercado, económicos y mercantiles como valores fundamentales en la formación y desarrollo de las personas, se estaba fomentando en los individuos la ejecución de un pensamiento rápido, compulsivo y sometido al imperio de la satisfacción a corto plazo, así como de las peligrosas consecuencias que podía ello traer para una vida ordenada en sociedad, que exige aceptar ciertos compromisos racionales a corto plazo para extraer ventajas en largo plazo. Para evitar sintetizar aquí una obra que, como resulta de la lectura de sus páginas, es ya una síntesis en sí misma, nos limitaremos a coincidir con el autor cuando llama la atención sobre el tipo de pensamiento que se promueve en la sociedad en que vivimos, y a expresar nuestra intención de que esta tesis doctoral contribuya a ayudar a que nuestra sociedad continúe conociéndose a sí misma y al contexto en el que habita. En ese sentido, entendemos que la materia objeto de nuestra investigación doctoral brindaba dicha posibilidad. 2. OBJETO Y FINALIDAD DE LA INVESTIGACIÓN El objeto de la investigación doctoral que ahora se plasma en este trabajo es la actividad desarrollada en el medio virtual por las Fuerzas y Cuerpos de Seguridad del Estado en cumplimiento de sus funciones de prevención e investigación de los comportamientos delictivos. En concreto, analizaremos la hipótesis en que dicha actividad se verifica sin control jurisdiccional previo. Es, precisamente, esa nota de ausencia de control jurisdiccional, la que singulariza nuestra investigación y la diferencia de estudios acerca de las diligencias de investigación tecnológica previstas en los artículos 588 bis y siguientes LECrim. Estas, ampliamente analizadas por la doctrina, no son objeto de nuestro estudio. A su vez, dentro del objeto de nuestra investigación, hemos distinguido, por un lado, la actividad de investigación policial que se verifica en un momento anterior a la incoación de un proceso penal –el denominado ciberpatrullaje–, y, por otro lado, la actividad de investigación policial que tiene lugar en el marco de un proceso penal ya incoado, pero que continúa sin precisar de autorización judicial previa –que nos hemos atrevido a denominar, en un intento meramente funcional y con el ánimo de diferenciarla de la anterior, como ciberinvestigación–. Página 19 de 450 Fijado el objeto de nuestra investigación, la principal cuestión que hemos perseguido analizar es si, con ocasión del régimen jurídico vigente –en especial, tras la reforma operada por la Ley Orgánica 13/2015, de 5 de octubre, de modificación de la Ley de Enjuiciamiento Criminal para el fortalecimiento de las garantías procesales–, es posible que, en el desarrollo y ejecución de dicha actividad de ciberpatrullaje y ciberinvestigación, los derechos fundamentales de quienes sean objeto de las mismas (fundamentalmente, quienes ocupen la posición procesal de investigado) resultan afectados. En la búsqueda de la respuesta a dicha pregunta, ha sido necesario analizar y recopilar las diferentes técnicas de investigación cibernética de que dispone la policía, las posibilidades que otorga la informática en materia de recopilación y tratamiento de datos, y el régimen del deber de colaboración de los prestadores de servicios de telecomunicaciones, de acceso a una red de telecomunicaciones o de servicios de la sociedad de la información. En consecuencia, se despliegan otras utilidades accesorias más allá de la finalidad principal, como el análisis de las técnicas policiales de ciberpatrullaje o ciberinvestigación, la recopilación y publicación de dichas técnicas, y los detalles del referido cumplimiento del deber de colaboración entre prestadores de servicios de la sociedad de la información y los poderes públicos. 3. JUSTIFICACIÓN DE LA MATERIA DE INVESTIGACIÓN En la actualidad, el desarrollo de las tecnologías de computación y de las telecomunicaciones ha permitido a nuestra sociedad construir y acceder a un medio complementario a la realidad física directamente perceptible, caracterizado fundamentalmente por la inmediatez, la ubicuidad y la universalidad con que los actos en él ejecutados, y sus consecuencias, se verifican. Ese nuevo medio virtual común, denominado ciberespacio, encuentra sus orígenes en el proyecto ARPANET 3 . Supone uno de los elementos más trascendentales de nuestra época y, acaso, de nuestra historia, que influye en todos los ámbitos de la existencia individual y social 4 , y provocó, junto con el desarrollo de la informática, un 3 “ARPANET | Real Academia de Ingeniería”, fecha de consulta 20 abril 2020, en http://diccionario.raing.es/es/lema/arpanet. 4 GONZÁLEZ HURTADO, J. A., “Delincuencia informática: daños informáticos del artículo 264 del Código penal y propuesta de reforma”, 2013, Universidad Complutense de Madrid, pp. 17–57, fecha de consulta 21 enero 2020, en https://dialnet.unirioja.es/servlet/tesis?codigo=39078. Página 20 de 450 desplazamiento de los métodos analógicos en muchos aspectos de la vida moderna, tanto en el ámbito individual y privado como en el social y público. No en vano, a modo de ejemplo y de acuerdo con el último estudio disponible del INE, “9 de cada 10 personas de 16 a 74 años ha usado internet en los tres últimos meses. El 78,2% de las mujeres y el 77,0% de los hombres utilizan internet a diario. El 46,9% de las personas de 16 a 74 años ha comprado por internet en los tres últimos meses”. 5 Esta tendencia ha experimentado un nuevo impulso con ocasión de los condicionantes impuestos por la aparición del covid-19, que también ha obligado a la Administración de Justicia a dar un paso adelante en el empleo de las nuevas tecnologías en el marco del proceso 6 . A pesar de los avances que supone, y en la medida en que los sujetos que actúan en él siguen siendo –por el momento 7 – los mismos que en la realidad material, las modificaciones e influencias no dejan de suponer sino modalidades de conductas ya existentes con anterioridad. A nuestro juicio, en este momento el medio cibernético no ha dejado de ser más que un reflejo del medio real, y cuando el sujeto no cambia, tampoco lo hacen sus conductas, que solo se ven adaptadas a las nuevas circunstancias del medio. Prueba de ello es, si se quiere argumentar en este sentido, lo necesario que ha resultado tipificar nuevas modalidades delictivas, pero, en absoluto, reconocer bienes jurídicos distintos de los ya existentes 8 . Ni siquiera el derecho al propio entorno virtual puede entenderse como algo esencialmente nuevo, toda vez que los conflictos que le sirven de objeto ya existían mucho antes de que el ciudadano medio pudiera acceder al ciberespacio. De hecho, se construye tal idea sobre los conceptos de derechos fundamentales tradicionales, aplicados al medio relativamente nuevo de la informática 9 , aunque haya autores que afirman que el esquema 5 “INE base / Nivel y condiciones de vida (IPC) /Condiciones de vida /Encuesta sobre equipamiento y uso de tecnologías de información y comunicación en los hogares / Últimos datos”, INE, fecha de consulta 24 abril 2020, en https://www.ine.es/dyngs/INEbase/es/operacion.htm?c=Estadistica_C&cid=125473617 6741&menu=ultiDatos&idp=1254735976608. 6 MARTÍN DIZ, F., “Justicia digital post–covid19: El desafío de las soluciones extrajudiciales electrónicas de litigios y la inteligencia artificial”, Revista de Estudios Jurídicos y Criminológicos, 2, 2020, Universidad de Cádiz, p. 2. 7 “Müller and Bostrom AI Progress Poll”, AI Impacts, 2014, fecha de consulta 7 mayo 2020, en https://aiimpacts.org/muller–and–bostrom–ai–progress–poll/. 8 BARRIO ANDRÉS, M., Delitos 2.0 Aspectos penales, procesales y de seguridad de los ciberdelitos, 2a, Wolters Kluwers, Madrid, 2018, p. 369. 9 MARTÍN RÍOS, P., “La indemnidad del domicilio informático como posible límite a la digital forensics”, en Giustizia e Costituzione agli albori del XXI Secolo, Bonomo Editore, Bolonia, Italia, 2017, pp. 1279– 1284. Página 21 de 450 clásico de nuestro Código Penal, fundado en el bien jurídico afectado, ha devenido insuficiente. 10 En el medio virtual se verifican, por tanto, unas mismas conductas que en el medio material, pero con variaciones debidas al lugar en que se desarrollan. Así, en el medio virtual, como en el tradicional físico, las personas exploran sus inquietudes, persiguen sus fines, construyen vínculos, celebran negocios y procuran generar riqueza, al igual que también transgreden el ordenamiento jurídico, a veces con una intensidad merecedora exclusivamente de la calificación de ilicitud civil del acto, otras veces administrativa, y otras veces delictiva, exactamente igual que en la realidad material. Entre otras muchas variantes, son manifestaciones de dichas conductas delictivas los fraudes con apariencia de operaciones mercantiles, las suplantaciones de identidad, las lesiones del derecho al honor, las conductas de acoso y violencia virtual, etc. De esa manera, y siguiendo la misma lógica expuesta, el ciberpatrullaje no deja de ser una modalidad de una actividad bien conocida por la doctrina respecto de las Fuerzas y Cuerpos de Seguridad del Estado –la de prevenir e investigar la comisión de delitos– , que ha debido adaptarse a las particularidades y exigencias del medio virtual. De este modo, la doctrina se ha venido refiriendo al ciberpatrullaje como aquella actividad de rastreo y sondeo de contenidos que desarrollan habitualmente las Fuerzas y Cuerpos de Seguridad del Estado en el medio cibernético abierto –diremos abierto, para evitar precisiones que se desgranarán posteriormente 11 – en cumplimiento de los fines preventivos e investigativos encomendados por el legislador (este matiz entendemos que es fundamental, habida cuenta de la evidente falta de legislación en materia de ciberpatrullaje y demás actividad “autónoma” de la policía o del Ministerio Fiscal). Es decir, se trata de la definición de la actividad de patrullaje tradicional, a la que se le han añadido las modificaciones que el medio virtual requiere. 10 VELASCO NÚÑEZ, E., “Crimen organizado, internet y nuevas tecnologías”, en Los retos del Poder Judicial ante la sociedad globalizada: Actas del IV Congreso Gallego de Derecho Procesal (I Internacional), A Coruña, 2 y 3 de junio de 2011, 2012, pp. 245–282, 2012, p. 269, fecha de consulta 24 octubre 2020, en https://dialnet.unirioja.es/servlet/articulo?codigo=4036200. 11 A título de ejemplo, se plantean como supuestos cuanto menos aparentemente problemáticos los casos en los que los delincuentes preparan servidores privados o sitios en la internet profunda, no indexados y con evidente voluntad de impedir el acceso a la policía y, sin embargo, agentes de la policía consiguen que uno de dichos administradores les conceda acceso, ignorando este su condición de policías). Página 22 de 450 Ahora bien, la aplicación de las innovaciones tecnológicas a las conductas tradicionales puede aumentar su intensidad y alcance hasta tal punto que pueda entenderse que ha mutado su condición o que, al menos, sea precisa una regulación específica que garantice su encaje en el marco jurídico. Es lo que sucede con la criminalidad y la investigación policial y sus contrapartidas virtuales: el cibercrimen, por un lado, y el ciberpatrullaje y la ciberinvestigación, por otro. 12 Así, la magnitud cuantitativa y cualitativa de los daños que originan los ciberdelitos es innegable, como lo es su potencialidad global para afectar a la economía y el desarrollo tecnológico de todo el mundo. El coste económico directo y mensurable, computado en función del perjuicio que ocasionara a las víctimas, ya en 2013 se admitía entre los 100.000 y 500.000 millones de dólares 13 . Paralelamente, la Estrategia Nacional de Ciberseguridad de 2019 14 prevé entre sus líneas de acción la de “reforzar las capacidades de investigación y persecución de la cibercriminalidad”, estableciendo una serie de medidas a adoptar en dicho marco, como reforzar el marco jurídico para conseguir una mayor eficacia en la respuesta a la cibercriminalidad, especialmente en lo que se refiere a las medidas de investigación, fomentar la colaboración de los ciudadanos –particulares y empresas– con los poderes públicos, potenciar las capacidades de investigación del ciberespacio, procurar a los operadores jurídicos y Fuerzas y Cuerpos de Seguridad del Estado el acceso a medios materiales que les doten de mayores capacidades para la investigación, e impulsar la coordinación institucional y la cooperación policial internacional. Frente a tales pretensiones expansionistas del poder público, entendemos necesario realizar un ejercicio de reflexión que ayude a identificar los límites o condicionantes que deben modularlas. En añadidura, el progreso de las ciencias aplicadas, en general, y de las Tecnologías de la Información de la Comunicación, en particular, la digitalización de la información, la coordinación de los sistemas y bases de almacenamiento de datos y la difusión del fenómeno internet que ya da lugar, incluso, al internet de las cosas, suscitan cuestiones en materia de investigación policial a un ritmo que desborda el aparato público, que se 12 ORTIZ PRADILLO, J. C., “El impacto de la tecnología en la investigación penal y en los derechos fundamentales”, en Problemas actuales de la justicia penal, Colex, Madrid, 2013, pp. 317–319. 13 “The Economic Impact of Cybercrime and Cyber Espionage”, fecha de consulta 7 marzo 2020, en https://www.csis.org/analysis/economic–impact–cybercrime–and–cyber–espionage. 14 “Orden PCI/487/2019, de 26 de abril, por la que se publica la Estrategia Nacional de Ciberseguridad 2019, aprobada por el Consejo de Seguridad Nacional.”, fecha de consulta 4 mayo 2020, en https://www.boe.es/diario_boe/txt.php?id=BOE–A–2019–6347. Página 23 de 450 encuentra limitado por los tiempos de su propia burocracia. En este contexto, la necesidad de responder de manera inmediata a la realidad social ha justificado, en ocasiones, que se admita cierta relajación en determinadas garantías, lo que hace resurgir peligrosamente la idea 15 de que las Fuerzas y Cuerpos de Seguridad pueden infringir los derechos fundamentales para investigar con eficiencia y eficacia (extremos de singular importancia para nuestra sociedad contemporánea) en sus funciones de prevención e investigación. Ante el temor a lo novedoso, la reacción instintiva parece ser la restricción de garantías procesales y derechos fundamentales. Las limitaciones a la actuación policial pasan a ser entendidas como un obstáculo para una investigación pública eficaz y eficiente 16 . Lo cierto es que, de manera especialmente destacada en el ámbito del ciberespacio, la constante búsqueda de la seguridad nacional por los poderes públicos, persiguiendo una mayor eficiencia en la evitación, persecución y represión de los delitos (en especial, en la lucha contra el terrorismo), parece justificar una creciente actitud invasora en el ámbito de las telecomunicaciones que, consecuentemente, restringe gravemente los derechos fundamentales de los ciudadanos, llegando a apreciarse incluso la existencia de una suerte de toque de queda digital 17 . Existen numerosos ejemplos: el espionaje masivo de las comunicaciones por parte la Agencia de Seguridad Nacional revelado por Snowden 18 , otras redes tradicionales de espionaje internacional de las comunicaciones como Echelon; programas para la interceptación de mensajes trasmitidos por correo electrónico, como el Carnivore del FBI norteamericano; o, incluso, el proyecto europeo Enfopol. A todo ello hay que añadir las coincidentes propuestas o aprobaciones de iniciativas legislativas para dar cobertura a tales prácticas, como la Patriot Act, en Estados Unidos o la Investigatory Powers Act, en 15 ASENCIO MELLADO, J. M., “La STC 97/2019, de 16 de julio. Descanse en paz la prueba ilícita”, Diario La Ley, 9499, 2019. 16 Ibid., p. 3. 17 CABEZUDO RODRÍGUEZ, N., “Ciberdelincuencia e investigación criminal. Las nuevas medidas de investigación tecnológica en la Ley de Enjuiciamiento Criminal”, I Jornada del Boletín del Ministerio de Justicia: Las reformas del proceso penal, vol. 2186, 2016. 18 Revelación que, en última instancia, dio lugar a la STEDH de 25 de mayo de 2021, (Big Brother Watch and Others v. the United Kingdom), en la que la Gran Sala del Tribunal Europeo de Derechos Humanos viene a reconocer que los sistemas de vigilancia masiva son de “vital importancia” para los Estados a la hora de identificar posibles amenazas a su seguridad nacional, pero recordando que deben de contar con protecciones y garantías de extremo a extremo (“end-to-end”), y que las autoridades nacionales deben realizar una evaluación, en cada etapa del proceso, de las medidas a adoptar e implementar en el marco general de los principios de necesidad y proporcionalidad. Página 24 de 450 Inglaterra, la Loi relative au renseignement en Francia, o la Gesetz zur Beschränkung des Brief–, Post– und Fernmeldegeheimnisses, en Alemania. Todo ello ha dado forma a un nuevo paradigma calificado como de “sociedad del riesgo”, en el que se abandona la idea del “Estado del bienestar” para adoptar la del “Estado de la seguridad”, con la consiguiente expansión, no ya de la jurisdicción penal –que también–, sino de los poderes investigadores del Estado. 19 Tendencia esta que ha trascendido, incluso, al modelo económico vigente, llegando a identificarse como capitalismo de la vigilancia 20 o capitalismo de control 21 , conceptos que exploraremos con más detenimiento en el penúltimo apartado de nuestra tesis doctoral. De este modo, de igual forma que la tecnología y el ciberespacio acentúan las capacidades lesivas de la cibercirminalidad, así ocurre con la función de vigilancia policial. Entendemos que esta mera circunstancia justifica, por sí sola, la pertinencia del estudio que es objeto de esta investigación doctoral, en la medida en que se trata de analizar de qué modo la actividad de prevención e investigación policial se ha amoldado al ciberespacio. Pero es que además, por el objeto al que se refiere (actividad pública no protegida de los usuarios), por el medio en el que se desarrolla (red abierta o de público acceso) y por el modo en que se verifica (técnicas no perceptiblemente invasivas), creemos que el ciberpatrullaje (es decir, las actividades de rastreo y sondeo de la red con finalidad de prevención e investigación del delito) plantea cuestiones trascendentales que es necesario abordar: su naturaleza, su cobertura normativa, su objeto, el modo en que se ejecutan, las buenas prácticas que han de desplegarse en su realización, y las garantías de que han de recubrirse, especialmente en lo que se refiere al conflicto con los derechos fundamentales de aquellos cibernautas que fueran objeto de las actividades de ciberpatrullaje. En ese sentido, tal vez quepa destacar lo paradójico que resulta el hecho de que una actividad que, en teoría, no necesita de la previa autorización judicial puede llegar a comprometer –en una medida nada despreciable– los derechos fundamentales de los ciudadanos. 19 JIMÉNEZ MEJÍA, D., “La crisis de la noción material de bien jurídico en el derecho penal del riesgo”, Nuevo Foro Penal, 82, 2014, Universidad EAFIT, p. 3. 20 ZUBOFF, S., The age of surveillance capitalism: the fight for a human future at the new frontier of power, PublicAffairs, Estados Unidos, 2019. 21 LLOVERAS SOLER, J. M., “Capitalismo de control”, Alternativas económicas, 80, 2020, SGEL: Sociedad General Española de Librería, p. 10. Página 25 de 450 A nuestro juicio, la correcta delimitación conceptual, primero, y normativa, después, de la actividad de ciberpatrullaje constituye una cuestión fundamental, no sólo por la propia actualidad de nuestra sociedad y la cada vez mayor inmersión del quehacer diario de los ciudadanos en el medio cibernético, sino también porque, en lo que se refiere a nuestro ordenamiento procesal penal, se tiende a la progresiva reducción del protagonismo del juez de instrucción en lo que se refiere a la investigación de los hechos –sin perjuicio de su posición de garante de los derechos fundamentales– con el consiguiente incremento de la actividad investigadora de la Policía Judicial y del Ministerio Fiscal. A ese respecto, hay que recordar que la Policía Judicial ha visto reforzadas sus funciones, especialmente con las reformas operadas por la Ley 38/2002, de 24 de octubre, de reforma parcial de la Ley de Enjuiciamiento Criminal, sobre procedimiento para el enjuiciamiento rápido e inmediato de determinados delitos y faltas, y de modificación del procedimiento abreviado, y la Ley Orgánica 8/2002, de 24 de octubre, complementaria de la Ley de reforma parcial de la Ley de Enjuiciamiento Criminal, sobre procedimiento para el enjuiciamiento rápido e inmediato de determinados delitos y faltas, y de modificación del procedimiento abreviado 22 . Igualmente, la Ley 41/2015, de 5 de octubre, de modificación de la Ley de Enjuiciamiento Criminal para la agilización de la justicia penal y el fortalecimiento de las garantías procesales, atribuye un papel más activo al Ministerio Fiscal en la investigación de los hechos, tanto en el transcurso de la fase de instrucción –desarrollando las competencias que ya tenía atribuidas en los artículos 306, 309 bis y 319 LECrim–, al reconocerle en exclusiva o de modo compartido con el resto de las partes personadas la facultad de interesar la conversión del procedimiento de simple a complejo o las prórrogas ordinaria y excepcional de los plazos de conformidad con el artículo 324 LECrim, como en lo relativo a la terminación anticipada del procedimiento a través del incidente por aceptación de decreto, previsto en el Título III bis LECrim 23 . Todas estas reformas evidencian la tendencia a situar al juez de instrucción como garante de los derechos fundamentales, 22 Muy especialmente, en el procedimiento para el enjuiciamiento rápido de determinados delitos, regulado en los artículos 770 a 772 y 796 LECrim, que exigen un comportamiento muy activo por parte de la Policía Judicial. 23 CABEZUDO RODRÍGUEZ, N., “Ciberdelincuencia e investigación criminal. Las nuevas medidas de investigación tecnológica en la Ley de Enjuiciamiento Criminal”, cit., p. 3. Página 32 de 450 De igual modo, tampoco escapa a nadie, por su condición de nuevo medio para el desarrollo de la sociedad, que el ciberespacio alberga también nuevas formas de criminalidad, que ha venido recibiendo la denominación de cibercriminalidad. En relación con las conductas delictivas, el ciberespacio, a su vez, se caracteriza por su inherente ausencia de soberanía, su débil ejercicio de la jurisdicción, la facilidad de acceso a los comportamientos delictivos y la dificultad de atribución de la autoría de las conductas que en él se desarrollan. La magnitud cuantitativa y cualitativa de los daños que originan los ciberdelitos es innegable, como lo es su potencialidad global para afectar sobre la economía y el desarrollo tecnológico de todo el mundo. Debe tenerse en cuenta que esta capacidad no es una mera consecuencia de la interconexión global de hoy en día entre las economías, mercados y culturas, sino que es un elemento intrínseco a la propia naturaleza de una actividad ilícita que se desarrolla en un medio para el que el diámetro de nuestro planeta, al completo, apenas puede suponer unos milisegundos de diferencia. Es completamente lógico que acciones que tienen la capacidad de afectar a todo el planeta tengan que desplegar efectos de escala mundial. Desde otra perspectiva, el Comité del Convenio sobre Cibercrimen del Consejo de Europa se hace eco de la incidencia de este fenómeno delictivo sobre la privacidad, la dignidad e integridad de las personas, la libertad de expresión, las instituciones, la estabilidad democrática, y demás bienes, principios e intereses considerados de especial protección en los Estados de Derecho modernos 28 . En España, la creciente preocupación por este fenómeno ha impulsado la creación del Consejo Nacional de Ciberseguridad, con funciones de coordinación en esta materia a nivel estatal 29 . La doctrina, apoyándose en estudios realizados por diversas instituciones, ya ha distinguido un doble impacto de la ciberdelincuencia. Por un lado, encontraríamos el coste económico directo y mensurable, computado en función del perjuicio que ocasionara a las víctimas, que ya en 2013 se admitía entre los 100.000 y 500.000 millones de 28 Informe explicativo disponible en https://rm.coe.int/16802fa403#:~:text=El%20Conve- nio%20tiene%20como%20finalidad,para%20la%20investigaci%C3%B3n%20y%20el, fecha de consulta 16 de enero de 2020. 29 Creado mediante la Orden PRA/33/2018, de 22 de enero, por la que se publica el Acuerdo del Consejo de Seguridad Nacional, por el que se regula el Consejo Nacional de Ciberseguridad. Página 33 de 450 dólares 30 . Por otro lado, incluso con mayor trascendencia a la hora de determinar el impacto real de las formas de cibercriminalidad en nuestra sociedad, también se atiende a los efectos indirectos, como son las interrupciones de los servicios, la disminución de la confianza de las actividades en línea, el coste de protección de las redes, de seguros y de trabajos de recuperación de ataques informáticos, así como el daño reputacional a la marca de la empresa atacada. Los costes del cibercrimen crecen un 15% anual a nivel global y ya genera más beneficios que el narcotráfico, según Interpol 31 . Junto a lo anterior, quizás sería debido reconocer, igualmente, que un nuevo mercado de productos y servicios, el de la seguridad informática, surge por la propia existencia del peligro del cibercrimen y los ciberataques 32 . En todo caso, ya en 2013, los usuarios de internet en la UE expresaban su preocupación por la seguridad cibernética. En una encuesta realizada a más de 27.000 personas de los Estados miembros de la UE, el 76 % 33 consideraba que en el último año había aumentado el riesgo de ser víctima de un delito informático y, si bien el 70 % de los usuarios de internet en toda la UE confiaban en su capacidad para realizar operaciones bancarias o compras en línea, únicamente en torno al 50 % optaban realmente por hacerlo. Muchos incidentes podrían prevenirse si los usuarios adoptasen una serie de medidas sencillas y poco costosas. En particular, el 87 % de los encuestados evitaba desvelar datos personales en línea, el 52% seguía sin considerarse informado sobre los riesgos de la ciberdelincuencia, y el 12 % había sido víctima de ataques en su correo electrónico o red social. Paralelamente, ya entonces había aumentado el número de usuarios que accedían a internet a través de smartphones o tablets. En palabras de la comisaria de Asuntos 30 “The Economic Impact of Cybercrime and Cyber Espionage”, disponible en The Economic Impact of Cybercrime and Cyber Espionage | Center for Strategic and International Studies (csis.org), fecha de consulta 16 de enero de 2020. 31 Como se indica en https://diariolaley.laleynext.es/Content/Documento.aspx?params=H4sIAAAAAAAEAMtMSbH1czUwMDAytDA3MzRVK0stKs7Mz7M1MjAyMjAz- NAYJZKZVuuQnh1QWpNqmJeYUpwIAuQrogzUAAAA=WKE, fecha de consulta 14 de julio de 2022. 32 En 2021 fue valorado en 150.370 millones de dólares, y se espera un valor estimado de 317.020 millones de dólares, según datos disponibles en https://www.mordorintelligence.com/industry-reports/cyber-secu- rity-market#:~:text=Market%20Overview,personal%20data%20from%20cyber%2Dattacks, fecha de consulta 16 de junio de 2020. Rosa Díez Moles, directora general del INCIBE, ha destacado que es un mercado en auge en nuestro país, con un crecimiento anual de más de un 8%, lo que supone una gran oportunidad de negocio que nos puede situar en primera línea, sólo detrás de USA y China, tal y como se indica en https://diariolaley.laleynext.es/Content/Documento.aspx?params=H4sIAAAAAAAEAMtMSbH1cz UwMDAytDA3MzRVK0stKs7Mz7M1MjAyMjAzNAYJZKZVuuQnh1QWpNqmJeYUpwIAu- QrogzUAAAA=WKE, fecha de consulta 14 de julio de 2022. 33 “Una nueva encuesta revela las inquietudes de los ciudadanos de la UE ante la ciberdelincuencia”, en https://ec.europa.eu/commission/presscorner/detail/es/IP_13_1130, fecha de consulta 7 marzo 2020. Página 34 de 450 de interior 34 : “las amenazas informáticas evolucionan continuamente, socavando la confianza en el mundo digital: surgen nuevos puntos vulnerables, nuevos métodos delictivos, nuevos entornos para delinquir y nuevas víctimas. Estamos decididos a seguir desarrollando nuevas herramientas, nuevos sistemas de cooperación y nuevas medidas para luchar contra ellas […] la ciberdelincuencia sigue afectando negativamente a nuestra economía. Es necesaria la cooperación de todos los actores para dar una respuesta eficaz a este fenómeno, a fin de garantizar que tanto los ciudadanos como las empresas aprovechen al máximo las posibilidades que ofrecen las tecnologías digitales.” En todo caso, la ciberdelincuencia como fenómeno social tiene innegables consecuencias, lo que obliga a no desatender su trascendencia, que aumenta conforme la globalización y la intercomunicación se asientan. Los primeros escenarios de la delincuencia organizada se focalizan en el fraude en el comercio electrónico y en la banca electrónica, como instrumentos más rápidos para obtener beneficios. Inicialmente, el fraude en el comercio electrónico se centró en duplicar portales de venta que inducían a engaño a las víctimas que abonaban dinero por productos que no recibían. La vida útil de las falsas web era muy breve, suficiente para engañar a unas pocas víctimas que denunciaban el fraude. La incidencia del fraude fue escasa e imputable a delincuentes esporádicos que actuaban de forma independiente. Posteriormente, se adoptó la técnica denominada como carding, la compra de productos abonándolos con tarjetas de crédito falsas. Los defraudadores posteriormente revendían los objetos del fraude, a precios muy bajos, para obtener beneficios. La gran mayoría de estos fraudes se dirigieron contra comercios de productos informáticos, de telefonía móvil, con gran salida en el mercado, y billetes de transportes (tren, avión, barco) 35 . A medida que la red se ha hecho más participativa, los usuarios han aprovechado las ventajas que esta les ofrece, y el mundo de las subastas y ventas entre particulares ha experimentado un gran crecimiento 36 . Como no puede ser de otra forma, los delincuentes se han trasladado al nuevo escenario de ventas entre particulares, donde la entrega del 34 Ibid. 35 BARRIO ANDRÉS, M., Delitos 2.0 Aspectos penales, procesales y de seguridad de los ciberdelitos, cit., p. 10. 36 Según datos facilitados por la Fiscalía General del Estado, en España tuvieron lugar en 2020 más de 16.900 procedimientos judiciales por ciberdelincuencia, un valor que representa un incremento de un 28,69% con respecto a 2019, como se puede comprobar en https://es.statista.com/temas/3166/ciberdelitos- en-espana/#dossierKeyfigures, fecha de consulta 16 de junio de 2022. Página 35 de 450 producto casi siempre está supeditada a un previo pago, y el fraude se centra sobre las estafas del vendedor hacia el comprador. El servicio de banca electrónica que ofrecen las entidades bancarias a sus clientes supone comodidad e inmediatez en las gestiones para los usuarios que hacen uso de él, pero presenta una vulnerabilidad importante, la autenticación del usuario. Inicialmente, los usuarios se identificaban con un sistema de autenticación primario, es decir, con algo que se sabe, un login y un password, un nombre de usuario y una contraseña. Si esta es conocida por terceros, pueden usurpar nuestra identidad y realizar toda aquella operativa que el banco ofrezca. Ese fue el inicio del fraude bancario. Los delincuentes enviaban correos electrónicos a multitud de usuarios, simulando proceder de la entidad bancaria y requiriendo la conexión al banco para actualizar las contraseñas. Este engaño para hacerse con los datos de identidad online de la banca electrónica se bautizó como phishing, del que han surgido varias modalidades: - Pharming, técnica de phishing que consiste en derivar las conexiones a banca electrónica actuando sobre los servidores de resolución de nombres de dominio o DNS. En esencia, consiste en que cuando al navegador web se le indica una dirección web de un banco concreto, en vez de acudir al banco adecuado acude a la que el pharmer le ha indicado. Esta resolución falsa de nombres de dominio, que lleva a la víctima a la página web falsa, se puede hacer en «local», actuando sobre el propio ordenador de la víctima a través de un programa malicioso, o en «red», actuando sobre los servidores de DNS, ordenadores que están en la red con la función de indicar el «camino» adecuado para acceder a las páginas web solicitadas. - Vishing, técnica basada en la tecnología de Voz sobre IP (VoIP) que permite hablar por teléfono a través de la red de Internet. Se manipulan ordenadores para que actúen como auténticas centralitas telefónicas, dando una respuesta similar a una central de banco, a través de la cual solicitan al usuario víctima los datos de identidad bancaria o datos de tarjetas de crédito. La forma de inducir al usuario a que efectúe llamada al número de telefonía por VoIP es mediante el envío de mensajes SMS en los que alerta de gastos no realizados, incluyendo en el mensaje el supuesto número para reclamaciones, que no es otro que el de la centralita de VoIP. Página 36 de 450 - Smishing, o phishing a través de mensajes SMS de telefonía móvil. Se realiza un spam de SMS supuestamente remitidos desde la entidad bancaria reclamando respuesta por esa misma vía de datos bancarios. - Whaling o whale phishing (phishing de ballenas). Es una variante de phishing mucho más preparada y dirigida a altos ejecutivos, políticos o empresarios a los que se supone que tienen disponibilidad de cantidades más altas de dinero o manejan información más sensible, y por ellos son objetivos más rentables. - Hishing o hardware phishing. Es el phishing a través de productos hardware que se comercializan con una vulnerabilidad que permite el acceso fácil al equipo de la víctima o que el propio hardware lleva incorporado en su firmware el programa malicioso que permite el robo de información bancaria y su remisión a un servidor bajo control de phisher. El crecimiento del phishing, derivado de la rentabilidad del delito, tanto en criterios económicos como de impunidad, hace proliferar los grupos organizados que aterrizan en este escenario delictivo. El incremento de grupos en torno al phishing les obliga a buscar, entre los ambientes hackers, individuos capaces capaz de cubrir sus necesidades. En el entorno del mundo hacker, a través de foros o canales temáticos de fraude se empieza a comercializar las herramientas de phishing, los troyanos que roban información de las víctimas. Por otro lado, debido a la permanente respuesta del mundo de la seguridad informática y bancaria, el hacker está obligado a una constante innovación. Todo el malware que desarrolla tiene una vida limitada hasta que es descubierto. Consecuencia de esta amplia actividad de desarrollo de malware, las bandas organizadas empiezan a dejar de tener hackers a su servicio, para empezar a contratar servicios que estos venden. Y el hacker, de esta forma, se desvincula del hecho delictivo concreto y sólo ofrece el instrumento. El más claro ejemplo de esto es la venta de kits de phishing en la que un usuario cualquiera, sin conocimientos avanzados de informática puede adquirir en el mercado del malware, un kit que sólo ha de configurar y poner en funcionamiento, para empezar a infectar equipos y obtener información de sus usuarios. Incluso en los acuerdos de servicio por el kit, informan que el desarrollador no se hace responsable del mal uso del programa Página 37 de 450 También debemos referirnos, siquiera en términos básicos, a las diversas técnicas utilizadas por los ciberdelincuentes para alcanzar sus fines. Aunque estas técnicas están en constante desarrollo, sí se pueden clasificar en función de su núcleo operativo: - Técnicas de anonimato, como el uso de datos personales falsos imposibles de comprobar, o el empleo de proxys o servicios VPN 37 , mail anónimo, cibercafés, redes wifi–ajenas carentes de seguridad y programas de encriptación y estenografía. - Malware, spyware o adware 38 que sirven para controlar sistemas ajenos o crear redes de equipos infectados que sirvan a los fines de los ciberdelincuentes, así como diccionarios y programas que emplean la fuerza bruta para colapsar servicios o atacar encriptaciones. - Técnicas de ingeniería social con la finalidad de suplantar identidades, descubrir contraseñas o utilizar productos bancarios. - Explotación de bugs mediante exploits específicamente diseñados para aprovechar las vulnerabilidades existentes en los diferentes programas. - Técnicas de denegación de servicio, empleadas para interrumpir las funciones ofrecidas por los sistemas informáticos que se desea atacar. Son igualmente destacables las denominadas blended threats, que son ataques novedosos que procuran integrar todas las características de las diferentes técnicas de ataque, con el fin de alcanzar la máxima posibilidad de éxito. 39 A estas alturas, no debemos dejar de recordar en este punto el carácter relativo del término delincuencia. En efecto, muchas de las técnicas que enumeramos son también empleadas por activistas en Estados con regímenes más autoritarios y limitativos en materia de libertad de expresión, y constituyen elemento indispensable para dichas personas para asegurarse un mínimo anonimato que les proteja de la represalia pública. En estos casos, dichos activistas podrían merecer también, desde la óptica del ordenamiento 37 Ofertados por compañías radicadas en países que no obligan a prestadores de servicios a trasladar datos a las autoridades, en una clara semejanza al régimen de los paraísos fiscales. 38 Como son los virus, gusanos, troyanos, rastreadores, bombas lógicas, botnets, exploits, droppers, rootkits, y ddos. 39 QUEVEDO GONZÁLEZ, J., Investigación y prueba del ciberdelito, Sepín, Madrid, 2017, p. 65. Página 38 de 450 jurídico en dichos Estados, el calificativo de “cibercriminales”, a pesar de que su conducta pueda tener un componente fundamentalmente de protesta política. 2. LA CIBERCRIMINALIDAD EN ESPAÑA En España, el Instituto Nacional de Tecnologías de la Comunicación (INTECO), ha realizado diversos estudios del estado de la sociedad de la información en el escenario español, entre los que destacan el Estudio sobre la seguridad de la información y “eConfianza” de los hogares españoles y el Estudio sobre incidencias y necesidades de seguridad en las pequeñas y medianas empresas españolas 40 . Particularmente interesante resulta el Estudio sobre la Cibercriminalidad en España, elaborado anualmente por el Gabinete de Coordinación y Estudios de la Secretaría de Estado de Seguridad del Ministerio del Interior. En particular, en su capítulo 2 (Informe de la sociedad de la Información) trata de trazar y esquematizar un perfil de la sociedad española enlazado al uso de las tecnologías e internet. En su última entrega, correspondiente al año 2020 41 , los datos aportados, procedentes de la Encuesta del Instituto Nacional de Estadística (INE), permiten extraer varias conclusiones. Para empezar, en relación con los hogares y porcentaje de vivienda que tiene o no tiene acceso a internet, los estudios revelan que el porcentaje de viviendas que poseen ordenador y las que disponen de acceso a internet se ha incrementado en 2020 con respecto al año 2019, siguiendo de esta forma la tendencia general experimentada en la serie histórica que se representa (2011–2020). Además, se puede observar que los índices sobre las viviendas que poseen o no dispositivos de esta naturaleza, así como la existencia de que estas estén conectadas a internet, es más elevado, en ambos casos, cuanto mayor es la población de la localidad en la que se ubican los hogares. Asimismo, en relación con el perfil del ciudadano ante la sociedad de la información, resulta que, los grupos de edad más temprana son los que más hacen uso de las tecnologías. En este sentido, el 99,8 % de los jóvenes, entre 16 a 24 años, afirman haber accedido a la Red en los últimos tres meses, porcentaje que se reduce a un 69,7% entre las personas con edades comprendidas entre los 65 y 74 años. Si bien, la mayoría de los porcentajes de los rangos de edad que comprende este análisis han experimentado un 40 Disponible en https://docplayer.es/4243695-Estudio-sobre-la-seguridad-de-la-informacion-y-la-e-con- fianza-de-los-hogares-espanoles.html, fecha de consulta 16 de junio de 2022. 41 GUTIÉRREZ, J. L. Y OTROS, “Estudio sobre la Cibercriminalidad en España”, p. 18. Página 39 de 450 incremento con respecto a 2019, siendo el incremento más acusado en la edad de 65 a 74 años. Se iguala, además y por segunda vez en la serie histórica, el porcentaje de uso de internet entre mujeres y hombres. De igual modo, en cuanto al perfil del menor de edad ante la sociedad de la información, es de destacar el porcentaje de los menores de edad (10 a 15 años) que han utilizado un ordenador y han accedido a internet en los tres últimos meses, que se sitúa en el 91,5% y 94,5, respectivamente. En cuanto a la distinción por sexos, las niñas tienen porcentajes marginalmente más altos que los niños, en lo que se refiere al uso de ordenador (92,3% frente al 90,8%) y acceso a internet (95,7% frente al 93,4%). Por grupos o rangos de edad, son las personas con edades comprendidas entre los 25 y 34 años las que realizan más compras a través de internet (73,2%). Por otro lado, las personas de 65 a 74 años muestran que sólo el 20,5% realiza compras por internet. El informe también se refiere al perfil de las personas que compran por internet. Así pues, se puede apreciar que desde el año 2011 el comercio electrónico se ha llegado casi a triplicar, puesto que el 53,8 % de las personas encuestadas en 2020 reconocen haber realizado alguna compra empleando esta vía, mientras que en el año 2011 solo lo hacían el 18,6%. Por sexo, los hombres muestran mayores cifras porcentuales que las mujeres (54,3% frente al 53,4%), aunque esta diferencia con el paso de los años se viene reduciendo paulatinamente. Asimismo, el referido Estudio sobre la Cibercriminalidad en España también contiene algunos datos estadísticos en materia de cibercriminalidad, obtenidos a partir del Sistema Estadístico de Criminalidad (SEC), que se compone de la Base de Datos que registra las actuaciones policiales, regido a su vez por la Instrucción núm. 1/2013, de la Secretaría de Estado de Seguridad, sobre la Estadística Nacional de Criminalidad. En el periodo comprendido entre 2016 a 2020, ha tenido lugar un aumento de los delitos informáticos. De esta forma, podemos apreciar que, en 2020, se ha conocido un total de 287.963 hechos, lo que supone un 31,9% más con respecto al año anterior. De esta cifra, el 89,6 % corresponde a fraudes informáticos (estafas) y el 4,9% a amenazas y coacciones. Actualmente, la importancia de la Cibercriminalidad va creciendo año tras año, como se demuestra con el aumento del número de hechos conocidos. Otro efecto imposible de obviar es el peso proporcional que adquiere en el conjunto de la criminalidad, pues se ha pasado de un 4,6% en el año 2016 al 16,3% en el año 2020. En relación Página 40 de 450 al porcentaje de hechos esclarecidos, en el año 2020, este supone el 14,0% del total de los hechos conocidos. Por otra parte, los detenidos e investigados han alcanzado la cifra de 11.280, de los que el 73,3% corresponden a personas de sexo masculino; teniendo lugar, principalmente, por la comisión de fraudes informáticos, delitos de amenazas y coacciones, y delitos sexuales. La mayoría de las detenciones/investigaciones de personas de sexo femenino se han llevado a cabo por fraudes informáticos, amenazas y coacciones, y por el delito de falsificación informática. La distribución de la ciberdelincuencia, desde el punto de vista geográfico, a lo largo de 2020, sitúa a Cataluña, Madrid, Andalucía y Comunitat Valenciana entre las Comunidades Autónomas que concentran más infracciones penales en este ámbito. A nivel provincial, se encuentran a la cabeza Madrid, Barcelona, Valencia, Illes Balears, Bizkaia y Sevilla. En 2020, las victimizaciones que han sido registradas por las Fuerzas y Cuerpos de Seguridad suman un total de 215.507, es decir, un 29,7% más que en el año 2019. La mayoría de las víctimas de ciberdelincuencia pertenecen al sexo masculino (51,8%), tienen mayoritariamente entre 26 y 40 años, y son objeto, principalmente, de los delitos de fraudes informáticos, amenazas y coacciones, así como falsificación informática. Sin embargo, si se analiza la distribución global de incidentes conocidos por ámbito y sexo, las mujeres exceden en porcentaje a las víctimas de sexo masculino cuando se trata de hechos relacionados con el acceso e interceptación ilícita, falsificación informática y los delitos sexuales. Además, se aprecia que, en 2020, el 30,7 % del conjunto de las víctimas recae sobre el grupo de edad de 26 a 40 años. Siendo este grupo de edad el mayoritario tanto para las víctimas de sexo masculino como femenino. Por último, en dicho informe también se llama la atención sobre que las víctimas menores de edad son más vulnerables a otro tipo de hechos delictivos, en concreto a las amenazas y coacciones y delitos sexuales. Página 41 de 450 3. ALGUNOS CONCEPTOS PREVIOS: INTERNET, SURFACE WEB, DEEP WEB Y DARK WEB Algunos de los principales conceptos introductorios que es necesario manejar son los de surface web, deep web y dark web 42 . Cada término se refiere a una parte del World Wide Web, o “la web” o “internet” en general. La surface web, también llamada Visible Web, Indexed Web, Indexable Web or Lightnet, o internet superficial, es la parte de la world wide web (o de internet, en general) que se encuentra disponible al público en general y es indexable por los motores de búsqueda tradicionales, que pueden acceder fácilmente a dichas web. Se dice que la surface web representa tan sólo el diez por ciento de la información verdaderamente existente en internet. La deep web, o internet profunda, por su parte, es aquella parte de la world wide web compuesta por sitios web que están disponibles para el público en general –es decir, no son necesarias claves especiales para acceder–, pero a los que solo se puede acceder si se conoce su dirección o URL, porque no se encuentran indexadas por los motores de búsqueda. Puede entenderse que los titulares de esta información no desean restringir el acceso a la misma, pero sí su difusión y trazabilidad. Aunque no lo parezca, hay muchas actividades legales que se desarrollan en Deep Web. Es un recurso útil para multitud de información. Por ejemplo, hay bases de datos con librerías académicas virtuales y con versiones antiguas de páginas web. Por ello se ha dicho que, normalmente, en esta parte de internet se pueden encontrar cuestiones relacionadas con el contrabando, el cibertráfico de personas o el terrorismo y, en general, cualquier forma de cibercriminalidad. Deep Web se refiere a cualquier contenido de Internet que, por diversos motivos, no puede ser indexado por los buscadores. Incluye páginas web dinámicas, sitios bloqueados (como los que requieren responder un CAPTCHA para acceder), sitios no enlazados, contenidos que no son HTML, contextuales o con scripts, y redes de acceso limitado. Las redes de acceso limitado están formadas por nombres de dominio registrados en sistemas de nombres de dominio (DNS) no gestionados por ICANN (Internet Corporation for Assigned Names and Numbers) y por direcciones URL (Uniform Resource Locator) con dominios de primer nivel o TLD (Top- 42 ECIJA BERNAL, Á., “Ciberespacio, Dark Web y Ciberpolicía”, Diario La Ley, 8940, 2017, Wolters Kluwer, p. 2. Página 48 de 450 En este sentido, si bien es cierto que la prueba tecnológica es alterable, no lo es menos que también puede modificarse cualquier documento impreso tradicional, o la declaración de un testigo. A esto se suma que, para manipular pruebas tecnológicas se requieren especiales conocimientos técnicos que no están al alcance de cualquier ciudadano. En definitiva, admitiendo la alterabilidad de las pruebas tecnológicas como un elemento definitorio de las mismas, debe repararse en que no dista de lo que puede afirmarse de otros tipos de pruebas no tecnológicas. El proceso dispone, para estos supuestos en los que pueda dudarse de la originalidad de la prueba aportada, de herramientas necesarias para su impugnación, acreditación y valoración judicial, como se verá. Hemos de examinar, igualmente, el riesgo de la generación de identidades ficticias derivado del anonimato, así como el peligro de usurpación de identidad, que –pese a su innegable relación– exigen de una individualización pormenorizada. En relación con el primero, las TICs sirven de resguardo para quienes las utilizan, porque se desconoce en la mayoría de las ocasiones el verdadero artífice, que se oculta tras técnicas informáticas. Con respecto a la segunda característica predicable de la prueba tecnológica, pero en relación con la anterior, el anonimato permite usurpar otras identidades. En este caso no se trataría de una identidad oculta, sino de que un sujeto actúe en nombre de un tercero sin su consentimiento y con animus nocendi. En ese sentido, el riesgo de la generación de identidades ficticias es un elemento distintivo de las pruebas tecnológicas que tienen su fundamento en el anonimato que proporcionan las nuevas tecnologías. Los usuarios elaboran un perfil que no siempre es posible asociar a una persona física determinada. En una clara conexión con el anonimato que producen las nuevas tecnologías y el riesgo derivado de generación de identidades ficticias, existe el peligro de suplantación de la identidad de un tercero. La usurpación de una identidad ajena puede llevarse a cabo de dos maneras. La primera de las opciones es que quien se adueñe de otra identidad lo haga de una nueva ficticia, que no corresponda con ninguna persona física o jurídica. Esta posibilidad es la menos lesiva, pues no afecta al bien jurídico de una persona en concreto. La segunda de las posibilidades hace referencia al hecho de que la identidad suplantada corresponda a otro individuo diferente y que, por tanto, se obre en su nombre. En ese sentido, se recuerda también la asombrosa facilidad con la que las comunicaciones telemáticas pueden ser falseadas, inventadas o, incluso, efectivamente mantenidas, a través de suplantación de la personalidad de alguno de los comunicantes. Página 49 de 450 Por último, esta dificultad de investigación debe ponerse en contraposición con la facilidad de comisión de los ciberdelitos, sin duda derivada de: i) la facilidad de acceso al hardware necesario, siendo suficiente con disponer de un dispositivo con acceso a internet; ii) la facilidad de acceso al software necesario, incluyendo malware, troyanos, virus, etc., adaptados a cualquier acción de hacking, cracking, phishing o pharming; y iii) el desconocimiento de las potenciales víctimas de las amenazas que existen y las medidas de prevención que deberían adoptar. C. LA INEVITABLE EXISTENCIA DE VESTIGIOS Otra característica destacable de la prueba tecnológica es la que algunos autores han venido en denominar huella digital, identificando con esa expresión el rastro que toda actividad tecnológica produce (especialmente, en forma de metadatos). En este sentido, se afirma que “cuando una persona realiza una actividad utilizando tecnologías de la información y/o de la comunicación (TIC) hace surgir informaciones (huella o rastro digital) que pueden resultar útiles para la investigación por parte de los poderes públicos de actuaciones ilícitas” 58 . Estos vestigios que se generan en los dispositivos tecnológicos pueden quedar almacenados en archivos remotos ubicados en servidores de internet o en el mismo terminal 59 . Esta característica es relevante a efectos de la investigación de delitos propiamente informáticos o en aquellos que, aunque su naturaleza no es informática, tienen como base elementos probatorios informáticos (email, IP…). Por tanto, las pruebas digitales dejan unos “rastros” que pueden mantenerse ad infinitum 60 . Hay que tener en cuenta, no obstante, que dichos datos no siempre van a ser accesibles, utilizables o certeros, sino que, en ocasiones, las periciales informáticas sobre tales tienen un alcance limitado y no producen, en todos los casos, los resultados esperados 61 . Si bien el avance de la técnica permite acceder a muchos datos producidos por los mecanismos tecnológicos, en muchas ocasiones no es posible conocerlos e, incluso, pese a su conocimiento, es posible que un experto no pueda determinar si su contenido ha sido 58 DELGADO MARTÍN, J., “Investigación del entorno virtual”, cit., p. 1. 59 BONACHERA VILLEGAS, R., “El registro de archivos informáticos: una cuestión necesitada de regulación”, Revista General de Derecho Procesal, 27, 2012, Iustel, p. 2. 60 DÍAZ CAPPA, J., “Confidencialidad, secreto de las comunicaciones e intimidad en el ámbito de los delitos informáticos”, Diario La Ley, 7666, 2011, Wolters Kluwer, p. 2. 61 ORTIZ PRADILLO, J. C., Problemas procesales de la ciberdelincuencia, cit. Página 50 de 450 o no manipulado. Esto lleva también a tener en cuenta que la existencia de vestigios exige la disponibilidad de personal con conocimientos técnicos suficientes En relación con lo expuesto, se evidencia el carácter limitado de las periciales informáticas. Pese a que los peritos informáticos pueden aportar información útil en relación con determinadas pruebas tecnológicas, no siempre tendrán respuesta a las preguntas que puedan plantearse en un proceso judicial. Adviértase, no obstante, que esta situación no difiere, sin embargo, de otros tipos de pruebas periciales. Por ejemplo, un perito forense puede no saber qué tipo de herramienta ha producido un determinado golpe, o un perito mecánico puede que no conozca qué elemento ha provocado unos daños en el vehículo que analiza, pero ello no le impedirá aportar los conocimientos de su ciencia para el esclarecimiento de los hechos sucedidos, en aquello que sea posible conocer. En el análisis de este tipo de pruebas, a fin de desacreditarlas, es habitual la mención a su fácil manipulación. En este sentido, en la práctica ha quedado de manifiesto la posibilidad de modificar, sobrescribir o borrar datos de estas pruebas, lo que determina un peligro evidente de su manipulación. Dentro del aspecto referido al rastro digital de la prueba tecnológica, tenemos que hacer referencia también a la publicidad de la misma, entendida en sentido estricto. Así, la prueba tecnológica puede consistir en información que los ciudadanos publican en la red voluntariamente y sin filtros para su acceso, de manera que cualquier tercero, también las Fuerzas y Cuerpos de Seguridad del Estado, pueden acceder e incluso recoger los datos que se encuentren en esa situación de disponibilidad de acceso –y que se ha venido en denominar como “fuentes abiertas”– y aportarlos posteriormente al proceso cuando tengan relación con la comisión o prueba de algún ilícito. Es, por ejemplo, el supuesto de la difusión de mensajes por medio de redes sociales, o la utilización de programas en redes P2P, como pone de manifiesto la STS 185/2019, de 2 de abril. Sobre esta cuestión nos volveremos a referir posteriormente. La diferencia entre la prueba tecnológica y otras que no lo son radica, principalmente, en que las primeras —pese al riesgo descrito— en muchas ocasiones dejan un rastro digital (metadatos) que, de existir, aportarán más información sobre el propio delito. Página 51 de 450 D. EL ELEMENTO TRANSFRONTERIZO Y LA IMPORTANCIA DE LA COOPERACIÓN INTERNACIONAL El elemento transfronterizo forma parte de la propia naturaleza de la cibercriminalidad y del dato digital. La transnacionalidad aparece en todos los fenómenos que se desarrollan en internet, sean prestaciones de servicios, operaciones de compra y venta o actividades delictivas, y también en el cibercrimen, por supuesto. Las acciones de phishing permiten engañar en un solo día a miles de personas en diferentes Estados, los virus infectan miles de servidores informáticos en segundos, el dinero pasa de un banco a otro en un paraíso fiscal mediante una operación electrónica que dura microsegundos, las botnets automatizan miles de ordenadores en tiempo real, etc 62 . Este carácter transfronterizo plantea una doble problemática, que resulta de especial interés para nuestro ámbito de investigación. Por un lado, el carácter transfronterizo de la ciberdelincuencia incidirá notablemente en la persecución de esta modalidad delictiva, porque va a ser fuente de conflictos competenciales entre los Estados. Por otro lado, también dificultará el acceso a los elementos probatorios y la propia captura del delincuente. En ese sentido, se plantean cuestiones controvertidas acerca de los límites de la competencia jurisdiccional de los Estados, el ámbito de investigación de las diferentes fuerzas que realicen el ciberpatrullaje y el modo en que estas fuerzas van a comunicarse recíprocamente las noticias de delitos que recaben de la red. En cuanto al primero de los aspectos mencionados, como es sabido, son cuatro los principios que tradicionalmente rigen la jurisdicción de los tribunales de un Estado: el principio de territorialidad, el de personalidad, el real y, finalmente, el de universalidad, recogidos en el artículo 23 LOPJ 63 . La aplicación del principio de territorialidad, determinado por el forum delicti commissi, es el criterio utilizado de ordinario para fijar la competencia jurisdiccional de los Estados. Sin embargo, no encuentra fácil acomodo en este ámbito, puesto que, en el cibercrimen, los resultados se manifiestan en lugares diversos (incluso las acciones se realizan en lugares distintos), por lo que la aplicación de esa regla competencial determina a menudo la convergencia de la jurisdicción de varios 62 VELASCO NÚÑEZ, E., “Crimen organizado, internet y nuevas tecnologías”, cit., p. 269. 63 DÍAZ GÓMEZ, A., “El delito informático, su problemática y la cooperación internacional como paradigma de su solución: El Convenio de Budapest”, Revista Electrónica de Derecho de la Universidad de La Rioja (REDUR), 8, 2010, p. 8. Página 52 de 450 Estados en la persecución de un mismo delito. Esta cuestión, la de determinar el lugar de los hechos que ocurren en la red y la colaboración entre entidades de jurisdicciones diferentes e independientes ha generado un intenso debate doctrinal 64 , en el que se plantean varias teorías, como son la teoría de la actividad (que entiende cometido el delito en el lugar en que se lleva a cabo la conducta delictiva), la del resultado (que mantiene que el delito se comete en el lugar en el que tiene lugar el resultado externo) o la teoría de la ubicuidad (para la cual el delito se entiende cometido en el lugar en que se lleva a cabo la actividad o se manifiesta el resultado) 65 . En cuanto al segundo aspecto referido, precisamente esa deslocalización de la actividad criminal puede determinar también que las pruebas, o los rastros de necesaria investigación, se encuentren dispersas entre varios Estados, lo que hace más complicada su búsqueda y aprehensión. El hecho de que la mayoría de las pruebas tecnológicas se originen, desarrollen y obtengan en la red, comporta una dificultad adicional en la ya exigente tarea de determinación de la competencia territorial, consecuencia directa de la deslocalización de internet. Por ejemplo, en relación con un correo electrónico que dé lugar a un procedimiento penal, el Tribunal puede que requiera la determinación del lugar desde el cual se ha enviado el mensaje o puede que necesite del auxilio del servidor de la empresa lo ha enviado y/o recibido, cuando se encuentre en un país extranjero. En particular, hay que considerar el carácter transnacional propio de múltiples actividades tecnológicas. Esto genera un problema de relevancia por dos motivos fundamentales: en primer lugar, porque los servidores que almacenan la información que se requiere pertenecen a empresas privadas que, en multitud de casos, se encuentran en otras jurisdicciones. Todo ello exige la colaboración de un nacional de un tercer Estado; en segundo término, por la problemática de la armonización entre las diferentes regulaciones 66 . Ambos elementos dificultan notablemente la aportación de pruebas tecnológicas a los procesos, y ello se acentúa con la ausencia de normativa internacional que armonice las diferentes legislaciones nacionales, lo que supone uno de los escollos fundamentales en la lucha contra el cibercrimen. 64 ORTIZ PRADILLO, J. C., “Desafíos legales de las diligencias de investigación tecnológica”, en El proceso penal: Cuestiones fundamentales, 2017, pp. 279–291, Tirant lo Blanch, 2017. 65 RAYÓN BALLESTEROS, M. C.; GÓMEZ HERNÁNDEZ, J. A., “Cibercrimen: particularidades en su investigación y enjuiciamiento”, Anuario jurídico y económico escurialense, 47, 2014, Real Centro Universitario Escorial–María Cristina. 66 ORTIZ PRADILLO, J. C., Problemas procesales de la ciberdelincuencia, cit., p. 36. Página 53 de 450 De lo anterior resulta que, para una prevención y persecución efectivas de los ciberdelitos, es fundamental e irrenunciable el mantenimiento de una máxima cooperación entre los Estados y demás entidades, tanto públicas como privadas. Ello determina que sea necesario construir instrumentos internacionales destinados a ese fin, especialmente, a la resolución de controversias funcionales como la expuesta, haciendo especial énfasis en la agilidad de su aplicación, toda vez que, como señala CABEZUDO RODRÍGUEZ, “el éxito o fracaso de la lucha contra esta clase de criminalidad dependerá en gran medida de la rapidez de la respuesta procesal”. En ese sentido, sería deseable que los convenios de cooperación internacional no se limitaran a contemplar actuaciones reactivas, como la obtención de elementos de convicción o que sirvan a la detención de los presuntos delincuentes, sino también formas de coordinación en sede preventiva que permitan evitar futuras amenazas 67 . En todo caso, un objetivo fundamental de estos instrumentos internacionales debe ser el de allanar la colaboración internacional, cuando menos, procurando que los Estados compartan un sustrato normativo común, cercano, armonizado o, al menos, compatible, que facilite tal cooperación. Una armonización que, aunque no implique una identidad absoluta en el contenido de las normas reguladoras, sí debería conformar un núcleo de principios generales compartido, un lenguaje unificado, etc. En persecución de dicho objetivo, el 23 de octubre de 2001 se aprobó en Budapest el Convenio sobre Cibercrimen. Aunque nació bajo los auspicios del Consejo de Europa, su firma está abierta a cuantos Estados quieran sumarse a él. Dentro del contexto iberoamericano, se han alcanzado otros acuerdos, como el Convenio Iberoamericano de Cooperación sobre investigación, aseguramiento y obtención de pruebas en materia de cibercriminalidad de 2014, impulsado por la Conferencia de Ministros de Justicia Iberoamericanos (CMJIB). Aunque no dispone de la fuerza vinculante de un acuerdo internacional de estas características, la CMJIB ha evidenciado un notable esfuerzo de armonización legislativa en esta materia a través de la Recomendación relativa a la tipificación y sanción de la ciberdelincuencia, también abierta a la firma de los Estados parte 68 . 67 CABEZUDO RODRÍGUEZ, N., “Ciberdelincuencia e investigación criminal. Las nuevas medidas de investigación tecnológica en la Ley de Enjuiciamiento Criminal”, cit., p. 14. 68 “SAIJ – Recomendación de la Conferencia de los Ministros de Justicia de los Países Iberoamericanos (COMJIB) relativa a la tipificación y sanción de la Ciberdelincuencia”. Página 54 de 450 Otros instrumentos de cooperación internacional en materia de cibercriminalidad son los siguientes: el Commonwealth of Independent States (CIS) Agreement on Cooperation in Combating Offences related to Computer Information (2001), el Shanghai Cooperation Organization Agreement on Cooperation in the Field of International Information Security (2009), la League of Arab States Convention on Combating Information Technology Offences (2010) o la African Union Convention on the Establishment of a Legal Framework Conducive to Cybersecurity in Africa (2012). En el ámbito europeo, cobra fuerza la asistencia interinstitucional, como se manifiesta con el Centro Europeo de Ciberdelincuencia (EC3), enmarcado dentro de Europol y operativo desde 11 de enero de 2013, con tareas de coordinación en la lucha extraterritorial contra el cibercrimen y apoyo tecnológico. También resultan especialmente útiles las redes policiales, como la Red de contacto 24/7 del artículo 35 del Convenio de Budapest, el Subgrupo de Delitos de Alta Tecnología del G–8 o la Red I–24/7 de Interpol. A ello hay que añadir medidas como las de conservación rápida de datos informáticos almacenados en un proveedor de servicios de internet cuando exista riesgo de pérdida o modificación, la conservación y revelación parcial rápida de datos sobre el tráfico, la obtención de datos sobre el tráfico y datos sobre el contenido en tiempo real 69 , que permite que las autoridades encargadas de la investigación de un delito pueden acceder a la información que esté libremente accesible a través de la red, pero, para aquella restringida, deberán solicitar autorización a las autoridades competentes del lugar en el que la fuente de prueba se encuentre, siempre teniendo en consideración que las exigencias de admisibilidad del medio de prueba sean acordes a las reglas del proceso español. El objetivo último en este proceso no puede ser otro sino la superación del principio de cooperación en favor del mutuo reconocimiento de las decisiones adoptadas en estas materias, a imagen de lo que sucede con la Orden europea de Detención y Entrega, así como alcanzar la máxima agilidad posible en las diligencias de investigación, sin comprometer su legitimidad. Conviene tener en cuenta que la obtención lícita de la información de que dispongan los ISP de terceros Estados deberá obtenerse mediante la 69 ASENCIO GALLEGO, J. M., “Los delitos informáticos y las medidas de investigación y obtención de pruebas en el convenio de Budapest sobre la ciberdelincuencia”, en Justicia penal y nuevas formas de delincuencia, 2017, pp. 44–67, Servei de Publicacions, 2017. Página 55 de 450 correspondiente comisión rogatoria internacional, dirigida al país guardador 70 , o mediante la correspondiente Orden Europea de Investigación. Por último, debe también tenerse presente que, si bien el elemento internacional puede comportar una dificultad investigadora adicional en el marco de la prueba tecnológica, también puede dar lugar a que resulten de aplicación diferentes ordenamientos jurídicos en lo que se refiere a las garantías procesales y potestades de investigación de la fuerza pública. En ese sentido, la configuración de los derechos fundamentales a la intimidad, al secreto de las comunicaciones, a la inviolabilidad del domicilio, a la autodeterminación informativa e, incluso, a la tutela judicial efectiva y a todas las garantías implícitas del proceso, puede ser manifiestamente diferente, o incluso inexistente, en los diferentes Estados. E. EL ALTO ÍNDICE DE IMPUNIDAD A las notas anteriores hay que añadir, como si de una consecuencia natural se tratase, el elevado índice de impunidad que acompaña a las diferentes formas de ciberdelincuencia. Por un lado, nos encontramos con una falta de coordinación internacional entre las diferentes autoridades, lo que determina que la notitia criminis llegue tarde a la autoridad jurisdiccionalmente competente para investigar el delito o que, sencillamente, no llegue noticia alguna. Sucede así que, frecuentemente, el ciberdelito pasa de manera desapercibida ,y en no pocas ocasiones, ello sucede no sólo por la falta de coordinación pública, sino también porque la víctima prefiere no denunciarlo. Se han encontrado múltiples causas para esa conducta, entre las que se cuentan la falta de confianza en la capacidad de la policía en su persecución, la ignorancia de su propia condición de víctima, el desconocimiento de los mecanismos para formular esas denuncias, la vergüenza e, incluso, razones de carácter comercial, como puede ser la pérdida de prestigio si se hiciera pública la condición de perjudicado, etc. Para intentar solucionar lo anterior, algunos Estados adoptan campañas de información sobre la ciberdelincuencia, crean sistemas online para la presentación de denuncias, construyen estrategias de cooperación con el sector privado o mejoran los sistemas 70 VELASCO NÚÑEZ, E., “Investigación procesal penal de redes, terminales, dispositivos informáticos, imágenes, GPS, balizas, etc.: la prueba tecnológica”, Diario La Ley, 8183, 2013, Wolters Kluwer. Página 56 de 450 de intercambio de información policiales. Los efectos de estas medidas no consiguen, sin embargo, vencer la resistencia que se encuentra en el sector mercantil, especialmente cuando las víctimas son prestadoras de servicios de la sociedad de la información. Estas cuestiones, claro está, han tenido especial influencia en los protocolos de actuación de los cuerpos policiales en la investigación del delito, en los que, operativamente, reviste especial trascendencia la fase previa o de planificación de la diligencia de investigación en cuestión, que parte de la comprensión de la variedad de situaciones ante las que puede encontrarse el personal encargado materialmente de su realización. 71 Por otro lado, también influye en la alta impunidad la dificultad que se observa en la obtención de pruebas, no necesariamente a causa de la volatilidad del dato informático. En efecto, también los intereses que otros Estados puedan tener cuando los elementos probatorios de un determinado delito se encuentran en el territorio de ese otro Estado (especialmente, en el caso de servicios alojado en la nube, y en los casos en los que las conductas se llevan a cabo desde Estados especialmente garantistas, que merecen la consideración de “paraísos de impunidad tecnológica” 72 ) que puede dificultar tal obtención. Lo mismo sucede con la existencia de redes especialmente diseñadas para proteger el anonimato como TOR, canales IRC, Red I2P, Freenet o GNUnet. Del mismo modo, la complejidad creciente de las organizaciones de ciberdelincuencia, con acceso a mejores recursos, les permite el establecimiento de contramedidas, barreras y protecciones, que pueden retrasar o, incluso, frustrar la obtención de resultados. Asimismo, la exigencia de una elevada formación técnica, que comporta la necesidad de destinar recursos específicos no sólo a disponer de medios materiales, sino a formar en lo necesario a sus operadores. Los elementos referidos han llevado a la doctrina a defender la imperiosa necesidad de construir una colaboración entre entidades públicas y privadas, nacionales e internacionales, en respuesta al fenómeno de la cibercriminalidad. Lo cierto es que en la obtención de elementos probatorios en orden a la efectiva persecución del delito se hace necesaria la colaboración de diversos sujetos ajenos al propio poder público. Especialmente, en lo relativo a sujetos que gestionan servicios o mantienen, en exclusiva, datos o informaciones esenciales a efectos de la represión del ciberdelito, cuya colaboración es 71 CABEZUDO RODRÍGUEZ, N., “Ciberdelincuencia e investigación criminal. Las nuevas medidas de investigación tecnológica en la Ley de Enjuiciamiento Criminal”, cit., p. 18. 72 Ibid., p. 19. Página 57 de 450 esencial para dar respuesta inmediata a los supuestos de cibercriminalidad, sin perjuicio de las garantías que se reconozca a estos sujetos en orden a salvaguardar los derechos o intereses de trascendencia constitucional de que fueran titulares. De igual modo, existen otros condicionantes que comportan la existencia de un alto índice de impunidad en relación con los ciberdelitos. Así, la posibilidad de automatización de las actuaciones informáticas necesarias para la comisión del delito permite que el mismo se cometa cuando su autor se encuentre ya lejos, o que las propias aplicaciones informáticas se reconfiguren de manera automática para encubrir todo lo posible el rastro. En el mismo sentido, la existencia de múltiples sistemas para ocultar la identidad del actuante, por ejemplo, mediante el empleo de servidores que ocultan la dirección final de la conexión. 73 5. EL NECESARIO DESLINDE ENTRE LA ACTIVIDAD INVESTIGADORA Y LA ACTIVIDAD PROBATORIA En nuestra sociedad de la información, con la llamada cuarta revolución industrial causada por los avances y descubrimientos en las tecnologías de computación y comunicaciones, la búsqueda tradicional del rastro físico o biológico de la actividad delictiva debe ser complementada con la búsqueda de rastros digitales 74 . A. CONCEPTO DE PRUEBA ELECTRÓNICA La práctica de la prueba es la actividad procesal dirigida a acreditar la realidad de un hecho afirmado por las partes y que resulta relevante para el objeto del proceso 75 . Esta actividad persigue que el juez perciba mediante sus sentidos la información sobre la existencia de dicho hecho, a través de soportes de referencia que pueden ser personales o materiales. En todo caso, hay que recordar que la admisión y práctica de las pruebas electrónicas se debe a un régimen jurídico establecido que requiere un esfuerzo de aproximación de los conceptos procesales a la realidad de la tecnología informática de nuestra sociedad actual. 73 DAVARA RODRÍGUEZ, M. Á.; DAVARA FERNÁNDEZ DE MARCOS, E.; DAVARA FERNÁNDEZ DE MARCOS, L., Delitos informáticos, Editorial Aranzadi, Pamplona, 2017, p. 43, fecha de consulta 5 enero 2021, . 74 ORTIZ PRADILLO, J. C., “Europa: auge y caída de las investigaciones penales basadas en la conservación de datos de comunicaciones electrónicas.”, Revista General de Derecho Procesal, 52, 2020, Iustel, p. 3. 75 DELGADO MARTÍN, J., “Investigación del entorno virtual”, cit., p. 38. Página 64 de 450 esclarecimiento de los hechos” 88 . Sin embargo, puede suceder también que los datos se encuentren contenidos en un dispositivo ajeno y que el contenido del mismo deba ser aportado por una orden judicial o en cumplimiento de un deber de colaboración legamente previsto, en cuyo caso dicha aportación sería lícita. También es posible que dicho acceso se produzca sin elemento habilitador alguno, por lo que el acceso a los datos habría vulnerado los derechos fundamentales de su titular y la prueba habría devenido ilícita. Por otro lado, en los supuestos de datos a los que accede la autoridad pública competente en el proceso penal, debe recordarse que existen varias posibilidades: la aprehensión del propio dispositivo encontrado fuera de lugar cerrado, la diligencia de entrada y registro en lugar cerrado con ocupación del dispositivo o de la información relevante, la posibilidad de acceder al contenido del sistema informático sin necesidad de proceder a la aprehensión física del equipo informático, el acceso a la información contenida en un servidor desde uno de los puestos de la red, y los registros transfronterizos. En el caso de datos que sean accedidos mientras estaban siendo transmitidos por redes de comunicación, cabe distinguir entre aquellos que pueden considerarse incluidos en un proceso de comunicación de aquellos que simplemente estén siendo objeto de transmisión electrónica, pero no de una comunicación. En el primer caso, el dato puede ser obtenido por uno de los comunicantes, que es el supuesto en el que una de las personas participantes en el proceso de comunicación accede al dato y dispone de él para preparar su ulterior incorporación al proceso; o por un tercero no comunicante (que, principalmente, podrá ser el poder público, además de otros sujetos terceros obligados a colaborar con las autoridades. En el segundo supuesto, esto es, cuando el dato se transmite a través de una red de comunicación sin formar parte de un proceso comunicativo, nos referimos a contenidos de páginas web, historial de navegación, perfiles públicos y otras posibilidades que conforman las llamadas fuentes abiertas, a las que nos referiremos posteriormente. 89 Es necesario, asimismo, realizar una distinción ente fuente y medio de prueba. Como es sabido, fuente de prueba es un concepto referido a la propia realidad material, que existe de forma previa e independientemente del proceso. En ese sentido, es el 88 RODRÍGUEZ ÁLVAREZ, A., “Proceso penal y redes sociales: aportación por las partes de la información contenida en ellas”, en El proceso penal: Cuestiones fundamentales, 2016, pp. 339–348, Tirant lo Blanch, 2016, p. 313, fecha de consulta 16 marzo 2020. 89 RODRÍGUEZ ÁLVAREZ, A., “Proceso penal y redes sociales”, cit. Página 65 de 450 elemento de la realidad material sobre el que posteriormente se pretenderá construir la convicción 90 , los elementos que existen en la realidad al margen del proceso y convencen sobre datos de hecho. El medio de prueba, por el contrario, es un concepto referido a la virtualidad del propio proceso judicial y, únicamente, tiene sentido dentro del propio proceso. En ese sentido, es el conducto mediante el que se verifica la actividad consistente en traer al proceso la realidad contenida en la fuente de prueba, disciplina la incorporación y práctica de la prueba. En este caso son limitados y están regulados. En definitiva, y atendiendo al medio electrónico, la fuente de prueba es la realidad electrónica tal y como se haya producido, mientras que el medio de prueba es la forma en que dicha realidad electrónica se aporta al proceso. En esta cuestión hay que llamar la atención sobre el hecho de que la acelerada evolución tecnológica y la utilización masiva de herramientas informáticas en todos los aspectos de la vida actual, en continua expansión, genera constantemente nuevos instrumentos informáticos que no son sino nuevas fuentes de prueba (piénsese en la evolución de los medios de mensajería, de los formatos y soportes, e incluso de la localización de los datos). Sin embargo, esa constantemente creciente variedad de fuentes probatorias no ha encontrado una tendencia paralela en cuanto a la figura de los medios de prueba legalmente previstos, que continúan siendo los del artículo 299.2 LEC. 91 Esta decisión del legislador solamente puede explicarse desde la idea de los diferentes medios informáticos no consiguen alterar la naturaleza de la fuente de prueba –el dato informático–, que –se entiende– se mantiene inalterable. En añadidura, es probable que las diligencias de investigación, además de para comprobar la existencia del hecho delictivo y averiguar las personas que deban responder como autores (en sus diferentes gradaciones) de los mismos, sirvan para preparar y contener la prueba que habrá de practicarse en el juicio oral, pues a ellas corresponde la función el descubrimiento y aseguramiento de las fuentes probatorias. La fuente de prueba de la prueba electrónica, el dato informático, es naturalmente frágil, dúctil y de muy fácil 90 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 41. 91 Ibid. Página 66 de 450 variabilidad 92 , esto es, es naturalmente volátil, especialmente cuando se trata de datos alojados en la red. Esta circunstancia comporta que las figuras de su preconstitución, o incluso la anticipación de su práctica, adquiera una especial relevancia. En concreto, el resultado de cualquier diligencia de investigación consiste en la obtención de datos, de información, que puedan constituir el punto de partida de nuevas diligencias, ser el soporte de la imputación formal o de los escritos de acusación, o incluso cuando proceda ser considerados como pruebas preconstituidas y fundamentar una futura sentencia de condena. 93 En ese sentido, debe tenerse en cuenta que el conjunto normativo introducido con la LO 13/2015 se dirige de manera específica a la llamada “fase de obtención de prueba”, y pretende abordar la problemática que surge durante la averiguación digital de los hechos que constituyen el delito investigado. Sobre este particular, hay que recordar que en la fase de instrucción pueden diferenciarse dos tipos de pruebas: las preconstituidas y las anticipadas. Ambas se diferencian desde un punto de vista subjetivo, en la medida en que la primera puede prepararse por el Ministerio Fiscal y la Policía Judicial –y accederá al procedimiento como prueba documental–, pero la segunda exige la intervención del Juez de Instrucción, en tanto que supone el adelantamiento de su práctica 94 . La prueba preconstituida, por su naturaleza y utilidad, se refiere a hechos irrepetibles que, por las circunstancias que le son inherentes, no pueden ser trasladados al momento del juicio oral. Para evitar que el enjuiciamiento se realice sin acceder a elementos de hecho fundamentales, es posible que dichas fuentes de prueba se analicen y queden plasmadas –con las debidas garantías– en una prueba documental, que sí lleva la realidad al proceso. En ese sentido, la prueba preconstituida tiene un carácter asegurador de los indicios y fuentes de prueba, en la medida en que permite su introducción en el juicio oral a través de la lectura de documentos, conforme a lo previsto en el artículo 730 LECrim. Además de lo anterior, no puede olvidarse que también es posible que los propios sujetos pueden realizar las actuaciones necesarias para preconstituir la prueba antes del inicio del procedimiento, incorporando el dato informático (fuente de prueba) a 92 MENDIZABAL, R. T.; GUILLÉN, J. F.; PÉREZ, J. C., “La obtención de la prueba electrónica, su acceso al proceso civil y la garantía de derechos en material penal”, Economist & Jurist, vol. 20, 163, 2012, Global Economist & Jurist. 93 NADAL GÓMEZ, I., “El Régimen de los hallazgos casuales en la Ley 13/2015, de modificación de la ley de Enjuiciamiento criminal”, cit., p. 22. 94 GIMENO SENDRA, J. V., Derecho procesal penal, 2a ed., Civitas–Thomson Reuters, Madrid, 2015. Página 67 de 450 cualquiera de los medios de prueba previstos en derecho (documento físico, documento electrónico, e incluso mediante dictamen pericial), en los que podrá asumirse la intervención de una empresa que preste servicios de certificación, según el Reglamento (UE) 910/2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior. En todos estos casos sería recomendable la intervención de un fedatario público que levante acta en la que recoja el contenido de la fuente de prueba que pretenda llevarse posteriormente al procedimiento 95 . C. MODALIDADES DE FUENTE DE PRUEBA ELECTRÓNICA La doctrina 96 distingue dos modalidades fundamentales de fuente de prueba electrónica en función del estado en que se encuentren los datos intervenidos: los datos o informaciones almacenados en un dispositivo electrónico y los datos transmitidos por cualesquiera redes de comunicación, abiertas o restringidas, como Internet, redes de telefonía fija y móvil, u otras. Esta distinción es importante, porque afecta a las diferentes diligencias de investigación tecnológica que realizará la policía judicial en el ejercicio de sus funciones de averiguación del delito. De esa manera, por un lado, se distinguen los supuestos de acceso e incorporación al proceso de información contenida y en reposo en dispositivos electrónicos, sean sistemas informáticos, aparatos informáticos o medios de almacenamiento masivo de memoria. En ese sentido, el artículo 19 del Convenio de Budapest 97 se refiere al registro y confiscación de datos informáticos contenidos “en un medio de almacenamiento de datos en el que puedan almacenarse datos informáticos” y “en un sistema informático o una parte del mismo así como los datos informáticos almacenados en él” y, según el artículo 1 del mismo, por sistema informático se entiende “todo dispositivo aislado o conjunto de dispositivos interconectados o relacionados entre sí, siempre que uno o varios de ellos permitan el tratamiento automatizado de datos en ejecución de un programa”. Por otro lado, se distinguen los supuestos de acceso e incorporación al proceso de información que se encuentre en tránsito por ser objeto de una transmisión electrónica mediante redes de comunicación. A su vez, en estos supuestos puede distinguirse entre aquellos casos en los que la información se transmite en un proceso de comunicación, 95 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 75. 96 Ibid., p. 42. 97 “Instrumento de Ratificación del Convenio sobre la Ciberdelincuencia, hecho en Budapest el 23 de noviembre de 2001 (BOE–A–2010–14221)”. Página 68 de 450 esto es, en un proceso de transmisión de información entre un transmisor y un receptor a través de redes de comunicación abiertas o restringidas, y aquellos en los que la información se transmite, también a través de redes de comunicación abiertas o restringidas, pero sin existir un proceso de comunicación entre personas determinadas o determinables, sino exclusivamente entre dispositivos. En estos últimos supuestos las garantías del artículo 18 CE operan con menor intensidad y la Policía Judicial, como veremos en múltiples ocasiones a lo largo de este trabajo, podrá adoptar medidas de investigación sin necesidad de autorización judicial al respecto. En otro orden de cosas, es necesario señalar también que, en materia de prueba electrónica, la doctrina coincide en afirmar que no hay un catálogo estricto de las mismas, sino que debe aplicarse un criterio de numerus apertus 98 . En tal sentido, se ha distinguido entre pruebas electrónicas creadas directamente a través de la informática (cookies, tags, logs, y demás información que no dispone de formato físico por naturaleza); pruebas electrónicas que proceden de medios de reproducción o archivos electrónicos, pero que representan una parte sensible de la realidad (fotografías, vídeos, grabaciones de audio); pruebas electrónicas que se presentan mediante un hardware informático en sí mismo (componentes informáticos); y pruebas electrónicas mixtas (una prueba pericial electrónica, por ejemplo). D. DATOS DE TRÁFICO Y DATOS DE ABONADO Es necesario poner también en correlación estas distinciones con la oportuna diferenciación entre datos de tráfico y datos de abonado. Los primeros pueden definirse como “todos aquellos relativos a la comunicación por medio de sistema informático, generados por el sistema informático que forma parte de la cadena de comunicación, indicando origen, destino, ruta, hora, fecha, tamaño, duración o tipo de servicio subyacente” 99 , mientras que los segundos quedan definidos en el artículo 18.3 del Convenio de Budapest, que indica que por datos de abonado “se entenderá toda información, en forma de datos informáticos o de cualquier otra forma, que posea un proveedor de servicios y esté relacionada con los abonados a dichos servicios, excluidos los datos sobre el tráfico o sobre el contenido, y que permita determinar: a) El tipo de servicio de comunicaciones 98 BUENO DE MATA, F., “España”, cit., p. 578. 99 CALVO LÓPEZ, D., “Capacidades de actuación del Ministerio Fiscal y la Policía Judicial tras la reforma procesal operada por la Ley Orgánica 13/2015: en especial la obtención de direcciones IP y numeraciones IMEI e IMSI (apartados K) a M) del art. 588 ter de la LECrim)”, cit., p. 7. Página 69 de 450 utilizado, las disposiciones técnicas adoptadas al respecto y el periodo de servicio; b) la identidad, la dirección postal o geográfica y el número de teléfono del abonado, así como cualquier otro número de acceso o información sobre facturación y pago que se encuentre disponible sobre la base de un contrato o de un acuerdo de prestación de servicios; c) cualquier otra información relativa al lugar en que se encuentren los equipos de comunicaciones, disponible sobre la base de un contrato o de un acuerdo de servicios”. La distinción es fundamental porque la ley y la jurisprudencia vienen considerando a los datos de tráfico como parte del proceso comunicativo, quedando por tanto incluidos en la protección dispensada por el artículo 18.3 CE, que establece el monopolio jurisdiccional sobre su limitación. Por el contrario, los datos de abonado, en tanto que no se consideran como parte de un proceso de comunicación, quedan protegidos únicamente por el artículo 18.4 CE, que permite su afección sin necesidad de previa autorización judicial 100 . A tal efecto, se ha entendido que son datos de tráfico aquella información de identificación de los medios de comunicación emisores y receptores generados en el marco de la conducción de una comunicación 101 . En el mismo sentido, la STS 247/2010, de 18 de marzo, distingue entre “datos personales externos o de tráfico que hacen referencia a una comunicación concreta y contribuyen a desvelar todo o parte del secreto que protege el artículo 18.3 CE; y b) datos o circunstancias personales referentes a la intimidad de una persona (artículo 18.1 CE), pero autónomos o desconectados de cualquier comunicación, que caerán dentro del derecho a la protección de datos informáticos o habeas data del artículo 18.4 CE que no pueden comprometer un proceso de comunicación”. En todo caso, debe tenerse en cuenta que, conforme a lo expuesto, no todos los datos de tráfico generados y externos al contenido de la comunicación merecen el amparo del artículo 18.3 CE, pues dicho tratamiento solamente corresponderá a aquellos que contienen información íntimamente ligada al secreto de lo comunicado, por revelar el origen y destino de la misma, su momento y duración, el volumen de información transmitida y 100 Ibid., p. 8. 101 GIMENO SENDRA, J. V., “La Prova preconstituïda de la policia judicial”, Revista catalana de seguretat pública, 22, 2010, Institut de Seguretat Pública de Catalunya. Página 70 de 450 el tipo de comunicación entablada 102 . Por el contrario, al resto de datos de tráfico (IMSI, IMEI y demás etiquetas identificativas y datos de conexión) corresponderá el tratamiento correspondiente al artículo 18.4 CE. En ese sentido, la misma STS 247/2010, de 18 de marzo, continuaba indicando que “la absoluta equiparación de todo tipo de datos de tráfico o externos o la inclusión de todos ellos dentro del derecho al secreto de las comunicaciones comportaría un auténtico desenfoque del problema, pues incorporaría en el ámbito de la protección constitucional del artículo 18.3, circunstancias cuyo tratamiento jurídico no debería separarse del que se dispensa a la protección de datos o al derecho a la autodeterminación informática del artículo 18–4 C.E. (véase por todas S.T.S. 249 de 20–5–2008)”. Este es también el parecer de la Fiscalía General del Estado en su Circular 1/2013, de 11 de enero 103 . También se ha distinguido entre los datos de naturaleza dinámica y los datos estáticos. A dicha distinción se refiere la Fiscalía General del Estado cuando afirma que “los primeros son los que se generan durante un proceso de comunicación, mientras que los segundos aparecen almacenados en las bases de datos de los prestadores de servicios de comunicación para posibilitar esas comunicaciones, pero no se generan como consecuencia de una comunicación concreta”. La STS 740/2017, de 16 de noviembre, también identifica a los datos estáticos como aquellos en los que el proceso comunicativo ha finalizado, así como los de identificación. Tampoco puede desatenderse la definición que, a estos efectos, contiene el Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios, cuando indica en su artículo 64, que por dato de tráfico debe entenderse “cualquier dato tratado a efectos de la conducción de una comunicación a través de una red de comunicaciones electrónicas o a efectos de su facturación”. La distinción entre datos de tráfico y datos de abonado ha trascendido a nuestro ordenamiento jurídico mediante el artículo 588 ter b) LECrim, al referirse al contenido 102 CALVO LÓPEZ, D., “Capacidades de actuación del Ministerio Fiscal y la Policía Judicial tras la reforma procesal operada por la Ley Orgánica 13/2015: en especial la obtención de direcciones IP y numeraciones IMEI e IMSI (apartados K) a M) del art. 588 ter de la LECrim)”, cit., p. 8. 103 “Circular 1/2013, de 11 de enero, sobre pautas en relación con la diligencia de intervención de las comunicaciones telefónicas.”, fecha de consulta 29 abril 2020, en https://www.boe.es/buscar/doc.php?coleccion=fiscalia&id=FIS–C–2013–00001&tn=2. Página 71 de 450 de las comunicaciones, a los datos electrónicos de tráfico o asociados al proceso de comunicación y a los que se generen con independencia del establecimiento o no de una concreta comunicación. Sin embargo, la distinción entre datos de tráfico dinámicos y datos de tráfico estáticos no queda prevista de manera expresa en nuestro ordenamiento, a pesar de que puede deducirse que “la solicitud de datos dinámicos (vinculados a una comunicación) exige autorización judicial, mientras que la solicitud de datos de tráfico estáticos (no vinculados a ninguna comunicación) puede realizarse de manera independiente a una autorización judicial.” 104 En ese sentido, el artículo 588 ter j) LECrim regula la incorporación al proceso de datos de tráfico o asociados que se encuentren vinculados a procesos de comunicación, que requerirán siempre autorización judicial, y los artículos 588 ter k) al 588 ter m) LECrim prevén el acceso a determinados datos de identificación de usuarios o dispositivos, que no requieren autorización judicial 105 . Tampoco puede desatenderse la pertinencia de obtener un acta notarial de presencia que dé fe de lo que el notario perciba por sus sentidos 106 . E. REFERENCIA A LA SITUACIÓN ACTUAL DE LA PRUEBA ILÍCITA No podemos finalizar este capítulo sin hacer una referencia, siquiera breve, a la situación en la que actualmente se encuentra el instituto de la prueba ilícita y la consiguiente regla de exclusión, de acuerdo con la doctrina de nuestro Tribunal Constitucional. Desde una aproximación conceptual, el instituto de la prueba ilícita y la regla de exclusión plantea el interrogante de si el ejercicio del ius puniendi del Estado puede ejercitarse de cualquier modo y sin limitación alguna o si, por el contrario, existen límites irrenunciables a la hora de ejercer la función jurisdiccional. Como se ha indicado, no puede olvidarse que, aunque la averiguación de hechos delictivos constituye una actividad que encierra un interés especialmente merecedor de protección en el Estado de derecho, 104 ARRABAL PLATERO, P., La prueba tecnológica: aportación, práctica y valoración, Tirant lo Blanch, Valencia, 2019, p. 162. 105 “Circular 2/2019, de 6 de marzo, de la Fiscal General del Estado, sobre interceptación de comunicaciones telefónicas y telemáticas.”, fecha de consulta 25 abril 2020, en https://www.boe.es/diario_boe/txt.php?id=BOE–A–2019–4241. 106 DAVARA RODRÍGUEZ, M. Á. Y OTROS, Delitos informáticos, cit., p. 254. Página 72 de 450 es también función del Estado la de garantizar los derechos de los ciudadanos, especialmente, los elevados a categoría de fundamentales 107 . Como es sabido, la figura de la prueba ilícita ha atravesado diferentes teorías desde su nacimiento, que son las que pasamos a señalar a continuación. 108 a) Teoría directa La teoría directa aparece con el caso Weeks v. United States, de 1904, en el que, con ocasión de una documentación hallada en un registro ilícito, viene a afirmarse que el castigo de los culpables no debe llevarse a cabo sacrificando los derechos fundamentales garantizados constitucionalmente. Posteriormente, esta postura se confirmaría en la sentencia del caso Mapp vs. Ohio. En España, el TC se pronunció a favor de dicha teoría en su STC 114/1984, de 29 de noviembre, que mantiene la inadmisibilidad en el proceso de las pruebas obtenidas con violación de derechos fundamentales. A pesar de que la sentencia se refería a una grabación de una conversación obtenida por uno de sus interlocutores, concluyendo que dicha práctica no vulnera el secreto de las comunicaciones, también afirma que no pueden ser recibidas en sede jurisdiccional, por impertinentes desde el punto de vista constitucional, aquellas pruebas obtenidas de manera antijurídica, dado el valor preferente del sistema de derechos fundamentales 109 . No obstante, la anterior postura devino al poco tiempo inútil por ineficiente, pues no ofrecía protección frente a aquellas pruebas que se obtuvieran sin conculcar derechos fundamentales, pero derivando de otras pruebas o indicios obtenidos de manera ilícita. b) Teoría indirecta o refleja La insuficiente protección que dispensaba la teoría directa, junto con la entrada en vigor del artículo 11.1 LOPJ, que extendía la prohibición de valoración a los resultados indirectos de las pruebas obtenidas con vulneración de derechos fundamentales, provocó 107 ARMENTA DEU, T., “Prueba ilícita y regla de exclusión: perspectiva subjetiva”, en Derecho probatorio y otros estudios procesales: Vicente Gimeno Sendra. Liber amicorum, 2020, pp. 117–140, Ediciones Jurídicas Castillo de Luna, 2020, p. 118. 108 A este respecto, son también reiterados los pronunciamientos que recuerdan que la indeterminación del artículo 11.1 LOPJ ha provocado que exista cierta indeterminación en cuanto a la aplicación de la regla de la exclusión de la prueba ilícitamente obtenida en nuestro país 109 ASENCIO MELLADO, J. M., “Prueba ilícita: declaración y efectos”, Revista General de Derecho Procesal, 26, 2012, Iustel. Página 73 de 450 que por nuestros tribunales se adoptara la teoría indirecta, o refleja, o teoría de los frutos del árbol envenenado, aparecida por vez primera en la sentencia Co. Inc v. United States, en 1920. Nuestro Tribunal Supremo adopta esta doctrina con ocasión de las SSTS 210/1992, de 7 de febrero, y 814/1992, de 7 de abril, pudiendo citarse también, entre otras, las 22783/1993, de 13 de diciembre, 311/1994, de 19 de noviembre, 1284/1994, de 17 de junio, 2054/1994, de 26 de noviembre, 799/1996 14 de octubre, y 985/1996, de 27 de noviembre. El Tribunal Constitucional, por su parte, se pronuncia en el mismo sentido en la STC 85/1994, de 14 de marzo, en la que concluye que “todo elemento probatorio que pretendiera deducirse del contenido de las conversaciones intervenidas no debió ser objeto de valoración probatoria, ya que la imposibilidad de admitir en el proceso una prueba obtenida violentando un derecho fundamental no sólo deriva directamente de la nulidad de todo acto violatorio de los derechos reconocidos en el Capítulo Segundo del Título I de la Constitución, y de la necesidad de confirmar, reconociéndolas efectivas, las contravenciones de los mismos (…), sino ahora también en el plano de la legalidad en virtud de lo dispuesto en el art. 11.1 de la Ley Orgánica del Poder Judicial”. Otras importantes son las SSTC 114/1984, de 29 de noviembre; 107/1985, de 7 de octubre; 64/1986, de 21 de mayo; 80/1991, de 15 de abril; 85/1994, de 14 de marzo; 86/1995, de 6 de junio; 181/1995, de 11 de diciembre; 49/1996, de 26 de marzo; 54/1996, de 26 de marzo; 81/1998, de 2 de abril; 69/2001, de 26 de marzo 110 . De acuerdo con esta teoría, resulta fundamental distinguir entre la denominada prueba diferente, que es la prueba distinta pero derivada de aquella obtenida con vulneración de derechos fundamentales, y la prueba independiente, que es la que, además de ser diferente, no guarda conexión alguna con la referida transgresión del derecho fundamental. La primera es ilícita y no puede conformar juicio probatorio; la segunda, sí. Esta distinción, como podrá apreciarse, no resulta en absoluto fácil, siendo necesario no sólo estar a las circunstancias del caso concreto, sino construir reglas generales que permitan establecer con la suficiente seguridad jurídica cuándo una prueba es independiente. 110 ARRABAL PLATERO, P., La prueba tecnológica, cit., p. 79. Página 80 de 450 6. MARCO NORMATIVO: LA TRASCENDENCIA DE LA REFORMA OPERADA POR LA LEY ORGÁNICA 13/2015 A. NOTAS GENERALES La Ley Orgánica 13/2015, de 5 de octubre, de modificación de la Ley de Enjuiciamiento Criminal para el fortalecimiento de las garantías procesales, ha introducido unas sustanciales reformas en materia de diligencias de investigación que, aunque no pueden ser el objeto principal de nuestro estudio, son de obligada mención. Con esta reforma, además, se han asumido las obligaciones derivadas de la ratificación del Convenio de Budapest sobre Ciberdelincuencia de 23 de noviembre de 2011, que prevé la aplicación de dichas exigencias no solo a los delitos informáticos en cuanto tales, sino a toda obtención de pruebas electrónicas, con independencia de la naturaleza del delito investigado, de conformidad con lo dispuesto en el artículo 14.2 c) del referido convenio 128 . B. SITUACIÓN ANTERIOR A LA REFORMA En lo que se refiere a los propios medios de investigación, hasta la reforma operada por la LO 13/2015, nuestra LECrim contenía únicamente la regulación de los medios de investigación “tradicionales” 129 . Sin embargo, estos medios de investigación, aunque pudieran resultar de utilidad en la persecución del cibercrimen, no eran ni mucho menos suficientes, pues no se ajustan específicamente al medio en el que la propia conducta se verifica (esto es, el ciberespacio). En el momento de la aprobación de la LECrim, las circunstancias tecnológicas de la época provocaron que solamente pudiera contemplar las intervenciones de las comunicaciones postales y telegráficas (artículos 579 y siguientes). Tras la aprobación de la Constitución Española de 1978, esta regulación quedó modernizada con la Ley Orgánica 4/1988, de 25 de mayo, de Reforma de la Ley de Enjuiciamiento Criminal, que incorporó las intervenciones o escuchas telefónicas en los apartados 2º a 4º del artículo 579, y con 128 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 388. 129 Como el examen del imputado (artículos 385 a 409), el interrogatorio de los testigos (artículos 410 a 455), los informes periciales (artículos 456 a 484), la entrada y registro de lugar cerrado (artículos 545 a 572), el secuestro de libros y papeles (artículos 573 a 578), la intervención de las comunicaciones postales, telegráficas y telefónicas (artículos 579 a 588) o la toma de muestras biológicas del sospechoso (artículo 326.II) Página 81 de 450 la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, que incorporó la regulación relativa a la intervención de los datos electrónicos de tráfico 130 . Posteriormente, y en lo que interesa a nuestra investigación, la LECrim fue reformada mediante la LO 13/2015, de 5 de octubre, de modificación de la Ley de Enjuiciamiento Criminal para el fortalecimiento de las garantías procesales y la regulación de las medidas de investigación tecnológica. La regulación en nuestro sistema procesal penal en lo relativo a la intervención de las comunicaciones telemáticas, así como el acceso a los llamados datos de tráfico y, en general, cualquier medida de investigación tecnológica, ha sido extremadamente pobre hasta la reciente reforma introducida por LO 13/2015, que es una más de las continuas reformas parciales de las que viene siendo objeto nuestra Ley de Enjuiciamiento Criminal, ante la dificultad de ejecutar una reforma global 131 . Hasta la aprobación de dicha reforma, el evidente vacío legal se ha venido cubriendo gracias a normas ajenas al ámbito penal y a una abundante jurisprudencia que trataba de aplicar extensivamente las escasas normas sobre intervenciones telefónicas 132 , postales y telegráficas (contenidas en los artículos 579 y siguientes LECrim) al resto de modalidades comunicativas que iban surgiendo con la revolución tecnológica. Esto, aunque fuera suficiente para dar cobertura a las actuaciones de investigación ante la jurisdicción nacional, ha merecido conocidos reproches internacionales. En efecto, hasta la subsanación de dicha insuficiencia normativa esta situación de anomia fue colmada mediante la jurisprudencia de los tribunales, de los que hay que destacar las posiciones del TEDH y de nuestros tribunales internos. El TEDH ha exigido tradicionalmente que exista previsión legal de las medidas limitativas de los derechos reconocidos en el CEDH 133 . Así, ha interpretado el concepto de vida privada previsto en el artículo 8 CEDH en un sentido muy amplio, que incluye elementos tan dispares como la integridad física y psicológica de una persona, la identificación de su género, el nombre y la orientación sexual, los datos sobre su salud y 130 GIMENO SENDRA, J. V., Derecho procesal penal, cit. 131 NADAL GÓMEZ, I., “El Régimen de los hallazgos casuales en la Ley 13/2015, de modificación de la ley de Enjuiciamiento criminal”, cit., p. 2. 132 CUADRADO SALINAS, C., “Registro informático y prueba digital. Estudio y análisis comparado de la ciberinvestigación criminal en Europa”, cit., p. 2. 133 GIMENO SENDRA, J. V., Derecho procesal penal, cit., p. 402. Página 82 de 450 pertenencia étnica, y el desarrollo personal, incluyendo el derecho a establecer y desarrollar relaciones con otros seres humanos y la sociedad en su conjunta. En materia de aplicación de la tecnológica a las funciones de investigación de las conductas delictivas, el TEDH se ha pronunciado sobre la proporcionalidad de la interceptación de las telecomunicaciones (SSTEDH Valenzuela Contreras c. España, de 30 de abril de 1998 y Bugallo c. España, de 18 de febrero de 2003; así como el auto de inadmisión en el caso Abdulkadir Coban c. España, de 25 de septiembre de 2006), el rastreo e identificación de una dirección IP (STEDH K.U. c. Finlandia, de 2 de diciembre de 2008), la recopilación sistemática y el archivo de datos a través de instrumentos tecnológicos por parte de las autoridades policiales y de seguridad (STEDH Leander c. Suecia, de 26 de marzo de 198), incluyendo los supuestos de datos recopilados de lugares públicos (SSTED Rotaru c. Rumania, de 4 de mayo de 2000; PG y JH c. Reino Unido ,de 25 de septiembre de 2001; Peck c. Reino Unido, de 28 de enero de 2003, y o Shomovolos c. Rusia, de 21 de junio de 2011), la utilización de micrófonos en residencias privadas (STED Vetter c. Francia, de 31 de mayo de 2005), el uso del GPS por la policía (STED Uzun c. Alemania, de 2 de septiembre de 2010) 134 . En particular, en su sentencia de 30 de abril de 1998, Valenzuela Contreras c. España, el TEDH declaró que, aunque en el artículo 18.3 de la Constitución Española se reconoce una base legal en materia de limitación del derecho al secreto de las comunicaciones (al garantizar el secreto de las mismas excepto resolución judicial), dicho precepto no podía satisfacer, por sí solo, las condiciones exigidas por el CEDH para que pudiera entenderse que dichas injerencias estaban previstas en la ley y garantizaban el respeto al derecho a la vida privada y de la correspondencia, superando el juicio de proporcionalidad, pues ni en el artículo 18.3 CE ni en ninguna parte del ordenamiento jurídico español se establecía la definición de las categorías de personas susceptibles de ser sometidas a vigilancia telefónica judicial, la naturaleza de las infracciones a que puedan dar lugar, la fijación de un límite de la duración de la ejecución de la medida, las condiciones de establecimiento de los atestados que consignen las conversaciones interceptadas y la utilización y borrado de las grabaciones 135 . 134 ORTIZ PRADILLO, J. C., “El impacto de la tecnología en la investigación penal y en los derechos fundamentales”, cit., p. 321. 135 ORTIZ PRADILLO, J. C., Problemas procesales de la ciberdelincuencia, cit., p. 229. Página 83 de 450 Posteriormente, tras la entrada en vigor del artículo 579 LECrim, el TEDH volvió a condenar a España en su sentencia de 18 de febrero de 2003, Prado Bugallo c. España, declarando la vulneración del artículo 8 CEDH por entender que la redacción del citado artículo 579 LECrim no colmaba el requisito de la previsión legal de la injerencia al no ofrecer una reglamentación exhaustiva de la materia, así como que la jurisprudencia creada para colmar el vacío legislativo no era suficiente para evitar la arbitrariedad de los poderes públicos. En concreto, afirmaba que “las garantías introducidas por la Ley de 1988 no responden a todas las condiciones exigidas por la jurisprudencia del Tribunal, especialmente en las sentencias Kruslin c. Francia y Huvig c. Francia, para evitar los abusos. Se trata de la naturaleza de las infracciones susceptibles de dar lugar a las escuchas, de la fijación de un límite a la duración de la ejecución de la medida, y de las condiciones de establecimiento del procedimiento de trascripción de las conversaciones interceptadas. Estas insuficiencias afectan igualmente a las precauciones a observar, para comunicar intactas y completas las grabaciones realizadas, a los fines del eventual control por el juez y la defensa. La Ley no contiene ninguna disposición en relación con ello”. En España, los tribunales han centrado sus esfuerzos en materia de licitud y admisibilidad probatoria sobre las evidencias obtenidas mediante la aplicación de tecnología a la investigación criminal, a la vista de la obsoleta legislación procesal que debía darles cobertura –con la consiguiente ventaja, todo hay que decirlo– para la investigación policial, cuyas técnicas gozaban del más absoluto secreto. Puede decirse que, desde el primer momento, nuestros tribunales han considerado legítima la injerencia efectuada por los poderes públicos cuando se respetaban las pautas establecidas jurisprudencialmente, sin que la ausencia de regulación expresa en la ley pudiera determinar, por sí sola, la vulneración del derecho fundamental en cuestión 136 . Así, la doctrina del TC se caracteriza por realizar cambios paulatinos, pasando, en materia de ilicitud de la prueba por vulneración de derechos fundamentales, de la teoría directa a la refleja y de ahí a la teoría de la conexión de antijuridicidad. Aunque el TC considera necesario establecer una serie de garantías frente a los riesgos existentes para los derechos y libertades públicas a causa del uso indebido de la informática en las diligencias de investigación (STC 173/2011, de 7 de noviembre), su doctrina ha venido evolucionando hasta el punto de aceptar, como sucede en la STC 97/2019, de 16 de julio, la 136 ATS de 18 de junio de 1992 y STC 49/1999, de 15 de abril, y 184/2003, de 23 de octubre. Página 84 de 450 eventual validez de pruebas obtenidas con vulneración de derechos fundamentales cuando no se vulnera el derecho a un proceso justo y equitativo, atendidas las circunstancias concurrentes. Por su parte, el Tribunal Supremo ha dictado múltiples resoluciones en materia de utilización de la tecnología por la policía en sus funciones de investigación delictiva. La doctrina 137 distingue tres grupos de resoluciones: aquellas que se refieren al empleo de diversos instrumentos tecnológicos y la necesidad, o no, de la previa autorización judicial (SSTS de 20 de mayo de 2008, de 18 de noviembre de 2008, y de 28 de enero de 2009, entre otras muchas); aquellas que se refieren al funcionamiento y utilización del sistema informático SITEL (SSTS de 5 de febrero de 2008, de 20 de mayo de 2008, y de 13 de marzo, 29 de junio, 6 de julio y 5 de noviembre de 2009); y otras relativas a métodos especialmente novedosos de investigación, como las grabaciones de conversaciones entre presos penitenciarios (SSTS de 10 de febrero de 1998 y 2 de junio de 2010) 138 . Los esfuerzos de los órganos judiciales españoles parece que no cayeron en balde pues, con el auto de inadmisión de 25 de septiembre de 2006 (Abdulkadir Coban c. España), el TEDH acepta que las insuficiencias del ordenamiento jurídico español fueron paliadas por la jurisprudencia, que contiene reglas claras y detalladas para la práctica de las injerencias y precisa con suficiente claridad y extensión las modalidades de ejercicio del poder público aspecto, aunque mantiene la deseabilidad de que se produjera una modificación legislativa que incorporase dichos principios jurisprudenciales al ordenamiento jurídico 139 . Partiendo de la situación jurisprudencial y doctrinal descrita y atendiendo, especialmente, a los constantes pronunciamientos del TEDH que, invariablemente, destacaban la falta de cumplimiento del ordenamiento jurídico español del requisito de la previsión legal suficiente para la adopción de cualquier medida de investigación que supusiera 137 ORTIZ PRADILLO, J. C., “El impacto de la tecnología en la investigación penal y en los derechos fundamentales”, cit., p. 331. 138 Interesa traer a colación, igualmente, distintas sentencias del Tribunal Constitucional alemán en este asunto: la sentencia de 15 de diciembre de 1983, que aludía por primera vez al derecho a la autodeterminación informativa, la sentencia de 30 de marzo de 2004, sobre los límites aplicables a la vigilancia acústica del domicilio, la sentencia de 12 de abril de 2005, sobre aplicación de balizas GPS por parte de la policía en un vehículo de un acusado, y la sentencia de 27 de febrero de 2008, que con ocasión de los registros online reconoció la existencia de un derecho fundamental a la garantía de confidencialidad e integridad de los equipos informáticos, como señala Ortiz Pradillo, J.C., en J. C. ORTIZ PRADILLO, “El impacto de la tecnología en la investigación penal y en los derechos fundamentales”, cit., p. 327 139 ORTIZ PRADILLO, J. C., Problemas procesales de la ciberdelincuencia, cit., p. 229. Página 85 de 450 una injerencia en cualquiera de los derechos reconocidos en el CEDH, la LO 13/2015 ha procurado atender la necesidad del legislador español de cumplir con la doctrina del TEDH en la materia y de colmar la laguna legal existente en materia de diligencias de investigación tecnológicas. No en vano, en el apartado IV de la exposición de motivos de dicha LO 13/2015, el legislador ha expuesto las motivaciones que justifican la adopción de la normativa que contiene, indicando que el paso del tiempo y el surgimiento de una nueva realidad social no es algo que el ordenamiento jurídico, y menos la parte del mismo que regula el proceso penal –presupuesto para el ejercicio del ius puniendi– de una sociedad, pueda desoír. En ese sentido, y reconociendo esta obligación de todo el ordenamiento y, especialmente, de las ramas del mismo que afectan directamente a la vigencia de los derechos y libertades fundamentales, el legislador llama la atención sobre las ya no tan nuevas tecnologías y formas de interacción con comportan y, especialmente, sobre el flujo de información que genera el propio uso de estas tecnologías –basadas en la comunicación–, que ofrece posibilidades sin parangón tanto para la comisión de comportamientos que merezcan un reproche penal como para la investigación y retribución de los mismos por el poder público 140 . La doctrina ha referido que es inevitable entender que, más bien, supone una toma de conocimiento del carácter inevitablemente tardío de la reforma 141 . Es evidente que la regulación de la nueva realidad tecnológica ha planteado también la necesidad de diferenciar el ámbito físico del ámbito virtual en el plano procesal penal. Este es el motivo de que el artículo 579 LECrim acote específicamente su ámbito material, limitándolo a la detención y apertura de la correspondencia escrita y telegráfica. La LO 13/2015, en todo caso, responde a una situación que ya había sido tachada de inaplazable desde cualquier perspectiva, constitucional, nacional o internacional 142 , pudiendo citar, por todas, la STC 253/2006, que concluía indicando que “la regulación de las intromisiones en la privacidad del investigado en un proceso penal no puede subsanarse acudiendo a un voluntarista expediente de integración analógica que desborda los límites de lo constitucionalmente aceptable.” 140 GIMENO SENDRA, J. V., Derecho procesal penal, cit., p. 404. 141 Ibid., p. 405. 142 Ibid., p. 407. Página 86 de 450 A este respecto, se ha venido afirmando que la regulación de las medidas de investigación tecnológica permanecía sumida en “la más absoluta indigencia jurídica”, con el consiguiente perjuicio para la investigación y represión de la cibercriminalidad 143 . C. CONTENIDO DE LA REFORMA EN MATERIA DE DILIGENCIAS DE INVESTIGACIÓN La reforma operada por la LO 13/2015 que venimos analizando ha incluido en la LECrim una regulación expresa de las llamadas medidas de investigación tecnológica: i) la interceptación de las comunicaciones telefónicas y telemáticas; ii) la captación y grabación de comunicaciones orales mediante la utilización de dispositivos electrónicos, iii) la utilización de dispositivos técnicos de seguimiento, iv) localización y captación de la imagen, v) el registro de dispositivos de almacenamiento masivo de la información y vi) los registros remotos sobre equipos informáticos. La regulación de esas medidas de investigación tecnológica se halla contenida en los artículos 588 bis y siguientes LECrim que, a su vez, se encuentran distribuidos en los capítulos IV a X del título VIII (denominado “De las medidas de investigación limitativas de los derechos reconocidos en el artículo 18 de la Constitución Española”), contenido en el Libro II. El contenido de los referidos capítulos, en términos sintéticos y meramente enunciativos, es el que exponemos a continuación. El capítulo IV contiene la regulación de las disposiciones comunes que serán de aplicación a todas las modalidades de limitación digital de los derechos reconocidos en el artículo 18 CE. En concreto, regula los principios rectores generales (artículo 588 bis a), la solicitud de autorización judicial (artículo 588 bis b), la resolución judicial que acuerde la medida (artículo 588 bis c), el carácter secreto de las actuaciones (artículo 588 bis d), la duración de la medida (artículo 588 bis e), la solicitud de prórroga de la medida (artículo 588 bis f), las formas de control de la medida (artículo 588 bis g), la afectación a terceras personas (artículo 588 bis h), la posibilidad de utilizar la información obtenida en la ejecución de la medida en un procedimiento distinto, así como el tratamiento que deba darse a los descubrimientos casuales (artículo 588 bis i), el cese de la medida 143 JIMÉNEZ SEGADO, C.; PUCHOL AIGUABELLA, M., “Las medidas de investigación tecnológica limitativas de los derechos a la intimidad, la imagen, el secreto de las comunicaciones y la protección datos”, Diario La Ley, 8676, 2016, Wolters Kluwer. Página 87 de 450 (artículo 588 bis j), y la destrucción de registros originales que se hubieran originado (artículo 588 bis k). El capítulo V contiene la regulación de las interceptaciones de las comunicaciones telefónicas y telemáticas, y se organiza en tres secciones diferenciadas. La sección 1ª contiene las disposiciones generales que regularán toda medida de interceptación de comunicaciones telefónicas y telemáticas, y regula los presupuestos necesarios para su adopción (artículo 588 ter a), el ámbito de aplicación (artículo 588 ter b), la afectación a tercero (artículo 588 ter c), la solicitud de autorización judicial (artículo 588 ter d), el deber de colaboración (artículo 588 ter e), el control de la medida (artículo 588 ter f), su duración (artículo 588 ter g), la solicitud de prórroga (artículo 588 ter h), y el acceso de las partes a las grabaciones (artículo 588 ter i). La sección 2ª regula la incorporación al proceso de datos electrónicos de tráfico o asociados (artículo 588 ter j). La sección 3ª, finalmente, regula el acceso a los datos necesarios para la identificación de usuarios, terminales y dispositivos de conectividad; en concreto, se refiere a la identificación mediante el número IP (artículo 588 ter k), mediante captación de códigos de identificación del aparato o de sus componentes (artículo 588 ter l) y a la identificación de titulares, terminales o dispositivos de conectividad (artículo 588 ter m). El capítulo VI regula las actividades de captación y grabación de comunicaciones orales mediante la utilización de dispositivos electrónicos. En concreto, regula la grabación de las comunicaciones orales directas (artículo 588 quater a), los presupuestos necesarios (artículo 588 quater b), el contenido de la resolución judicial que acuerde dicha medida (artículo 588 quater c), las formas de control de la medida (artículo 588 quater d) y su cese (artículo 588 quater e). El capítulo VII aborda la utilización de dispositivos técnicos de captación de la imagen, de seguimiento y de localización. En concreto, regula la captación de imágenes en lugares o espacios públicos (artículo 588 quinquies a), a la utilización de dispositivos o medios técnicos de seguimiento y localización (artículo 588 quinquies b), y a la duración de la medida (artículo 588 quinquies c). El capítulo VIII se consagra al registro de dispositivos de almacenamiento masivo de información. En concreto, regula la necesidad de que la resolución que lo acuerde sea motivada de manera individualizada (artículo 588 sexies a), al acceso a la información de Página 88 de 450 dispositivos electrónicos incautados fuera del domicilio del investigado (artículo 588 sexies b), y a la autorización judicial que lo acuerde (artículo 588 septies c). El capítulo IX por su parte, se refiere a los registros remotos sobre equipos informáticos. En concreto, se refiere a los presupuestos (artículo 588 septies a), deber de colaboración (artículo 588 septies b) y duración máxima (artículo 588 septies c). El capítulo X, finalmente, contiene la regulación de las medidas de aseguramiento. En concreto, regula la orden de conservación de datos (artículo 588 octies). En cuanto a la regulación legal de estas medidas de investigación, es necesario destacar que las diligencias de investigación consistentes en la intervención de los actos de comunicación efectuados mediante vía telefónica o electrónica habilitada judicialmente están previstas en el artículo 18.3 de la Constitución, cuando dispone que “se garantiza el secreto de las comunicaciones y, en especial, de las postales telegráficas y telefónicas, salvo resolución judicial”. Como apunta la doctrina 144 , en virtud del contenido integrador de las normas destinadas a tutelar los derechos fundamentales que ostentan los Pactos Internacionales de derechos Humanos, conforme al artículo 10.2º de la Constitución, dicho precepto debe interpretarse de acuerdo a con lo dispuesto en el artículo 8 del CEUDH, a la luz de la doctrina del TEDH, que es el órgano jurisdiccional encargado de garantizar su aplicación. Por otro lado, y a nivel de la regulación nacional, este tipo de diligencias de investigación se instauró mediante la Ley Orgánica 7/1984, que incorporó al Código Penal entonces vigente los artículos 192 bis y 497 bis, reguladores del delito de escuchas telefónicas clandestinas (posteriormente tipificado en los artículos 536, 197 y 198 del Código Penal), y mediante la Ley Orgánica 4/1988, que modificó el artículo 579 de la LECrim para que incluyera expresamente, como acto de investigación, las intervenciones telefónicas. Antes de estas disposiciones, en nuestro ordenamiento jurídico podemos encontrar el artículo 17 de la ya derogada LO 9/1984 la LO 4/1981, sobre estados de alarma, excepción y sitio. En la actualidad, además de la regulación específica del artículo 588 LE- Crim, hay que citar los supuestos especiales del artículo 51 lo 1/1989 y en el artículo único de la LO 2/2002 de 6 de mayo. 144 GIMENO SENDRA, J. V., Derecho procesal penal, cit., p. 409. Página 89 de 450 D. CONTENIDO DE LA REFORMA EN MATERIA DE CIBERPATRULLAJE En cuanto al objeto de nuestra investigación, que no es sino la actividad de prevención y vigilancia de las Fuerzas y Cuerpos de Seguridad del Estado y su incidencia en el proceso penal, la reforma apenas incide en él. Únicamente pueden mencionarse como aplicables los artículos 579 bis, en la medida en que delimita el ámbito de los hallazgos casuales –que exigen, como veremos, la existencia de una diligencia de investigación válidamente ejecutada– y los artículos 588 ter k), l) y m), relativos a diligencias de investigación que pueden ser realizadas por la Policía Judicial sin necesidad de autorización judicial, y de los que posteriormente nos ocuparemos. En ese sentido, el marco jurídico de la actividad de ciberpatrullaje por la Policía Judicial no ha variado con ocasión de la reformo, a operada por la LO 13/2015, debiendo estarse a lo dispuesto en el artículo 282 LECrim 145 , el artículo 547 LOPJ 146 , y el artículo 11 LFFCCSS 147 . A lo anterior hay que añadir, también, los artículos 588 bis y siguientes LECrim, que al contener las disposiciones generales aplicables a las diligencias de investigación tecnológica afectan también a las previstas en los artículos 588 ter k), l) y m) LECrim, toda vez que estas han resultado objeto de dicha consideración en la ley de reforma. 145 “La Policía Judicial tiene por objeto y será obligación de todos los que la componen, averiguar los delitos públicos que se cometieren en su territorio o demarcación; practicar, según sus atribuciones, las diligencias necesarias para comprobarlos y descubrir a los delincuentes, y recoger todos los efectos, instrumentos o pruebas del delito de cuya desaparición hubiere peligro, poniéndolos a disposición de la autoridad judicial. Cuando las víctimas entren en contacto con la Policía Judicial, cumplirá con los deberes de información que prevé la legislación vigente. Asimismo, llevarán a cabo una valoración de las circunstancias particulares de las víctimas para determinar provisionalmente qué medidas de protección deben ser adoptadas para garantizarles una protección adecuada, sin perjuicio de la decisión final que corresponderá adoptar al Juez o Tribunal”. 146 “La función de la Policía Judicial comprende el auxilio a los juzgados y tribunales y al Ministerio Fiscal en la averiguación de los delitos y en el descubrimiento y aseguramiento de los delincuentes. Esta función competerá, cuando fueren requeridos para prestarla, a todos los miembros de las Fuerzas y Cuerpos de Seguridad, tanto si dependen del Gobierno central como de las comunidades autónomas o de los entes locales, dentro del ámbito de sus respectivas competencias”. 147 “Las Fuerzas y Cuerpos de Seguridad del Estado tienen como misión proteger el libre ejercicio de los derechos y libertades y garantizar la seguridad ciudadana mediante el desempeño de las siguientes funciones: g) Investigar los delitos para descubrir y detener a los presuntos culpables, asegurar los instrumentos, efectos y pruebas del delito, poniéndolos a disposición del Juez o Tribunal competente y elaborar los informes técnicos y periciales procedentes”. Página 96 de 450 C. DERECHO FUNDAMENTAL AL SECRETO DE LAS COMUNICACIONES El derecho al secreto de las comunicaciones se encuentra reconocido en el artículo 18.3 CE. Este derecho protege el proceso de comunicación que se encuentre en marcha entre dos titulares del mismo, que pueden ser personas físicas o jurídicas, nacionales o extranjeras, tanto en cuanto a su existencia como en cuanto a su contenido, respecto de injerencias de terceros. Sin embargo, una vez que se finaliza la comunicación, la protección constitucional se tiene que realizar a través de otros derechos fundamentales, como el derecho a la intimidad. Según reiterada doctrina del Tribunal Constitucional, "la protección del derecho al secreto de las comunicaciones alcanza al proceso de comunicación mismo, pero finalizado el proceso en que la comunicación consiste, la protección constitucional de lo recibido se realiza en su caso a través de las normas que tutelan la intimidad u otros derechos” 162 . Pese a ello la jurisprudencia entiende también comprometido este derecho cuando se accede a una comunicación a través de fuentes obtenidas mediante interceptación de la comunicación en curso, aunque el acceso a dichas fuentes se produzca después de terminada la comunicación 163 . El criterio para determinar si el secreto de las comunicaciones resulta o no afectado parece ser, por tanto, si los datos de la comunicación a que se accede han sido obtenidos con interferencia o sin interferencia del proceso de comunicación 164 . Llama la atención que este derecho protege los procesos comunicativos entre los titulares sin importar la trascendencia de su contenido, en contraposición a la protección material de que es merecedor el derecho a la intimidad, de modo que toda comunicación es secreta, pero no toda es íntima 165 . En cuanto al concepto de comunicación, puede definirse como aquel proceso comprendido entre dos personas para transmitir algún significado. En tal sentido, la STC 281/2006, de 9 de octubre, refiere que “los mensajes pueden expresarse no solo mediante 162 STC 70/2002, de 3 de abril; STC 123/2002, de 20 de mayo; STC 56/2003, de 24 de marzo. 163 STS de 28 de junio de 2007 y de 30 de noviembre de 2005, entre otras. 164 VEGAS TORRES, J., “Sobre el alcance del secreto de las comunicaciones”, en Una filosofía del derecho en acción: homenaje al profesor Andrés Ollero, 2015, pp. 1609–1626, Dirección de Estudios, Análisis y Publicaciones. Departamento de Publicaciones, 2015, p. 6, fecha de consulta 17 agosto 2021, en https://dialnet.unirioja.es/servlet/articulo?codigo=6323650. 165 GARCÍA GONZÁLEZ, A., “Desdentado Bonete, Aurelio y Muñoz Ruiz Ana Belén, Control informático, videovigilancia y protección de datos en el trabajo.”, Revista Latinoamericana de Derecho Social, 19, 2014, Instituto de Investigaciones Jurídicas. Página 97 de 450 palabras, sino a través de otro conjunto de signos o señales que componen otras clases de lenguajes”, llegando incluso a admitirse tal condición en procesos en los que se han utilizado únicamente emoticonos, como se hace en la SAP Madrid 247/2017, de 31 de marzo. En todo caso, merece la pena destacar que la protección que dispensa el derecho no afecta a aquellos que hayan formado parte del proceso comunicativo, aunque estos sí estarán vinculados por el debido respeto a la intimidad de su interlocutor. En ese sentido, la STC 114/1984, de 19 de noviembre, concluyó que cuando se graba una conversación entre terceros se vulnera el derecho reconocido en el artículo 18.3 de la Constitución, pero que cuando quien graba la conversación interviene en la misma dicho derecho no puede entenderse vulnerado por dicha sola causa, pues si se impusiera un deber de secreto genérico a cada uno de los interlocutores o de los corresponsables, se estaría vaciando de sentido a la protección de la esfera íntima personal establecida en el artículo 18.1, llevando a resultados prácticos “del todo irrazonables y contradictorios, en definitiva, con la misma posibilidad de los procesos de libre comunicación humana.” A lo anterior añadía el razonamiento de que el artículo 18.1 CE, al no universalizar el deber de secreto, reconoce, precisamente, la imposibilidad de imponerlo a todo interviniente en la conversación. En cuanto al ámbito de aplicación, el efecto del derecho fundamental se produce sobre aquellas comunicaciones efectuadas entre sujetos determinados con independencia del medio (postal, telegráfico, telefónico, electrónico, etc.) empleado, pero no se extiende a aquellos que constituyan discursos a un colectivo 166 . Al contrario de lo que sucede respecto del resto de apartados del artículo 18 CE, el secreto de las comunicaciones sí está sometido expresamente al monopolio jurisdiccional para su limitación, por lo que solo el juez podrá autorizar que se realicen válidamente injerencias en tal derecho. Ello no impide, sin embargo, que en los casos relacionados con la actuación de bandas armadas o elementos terroristas y en los que concurra urgencia, de conformidad con el artículo 579 LECrim, dicha autorización judicial pase a ser, de hecho, una mera ratificación (sin olvidar también la posibilidad de abrir paquetes postales por parte de las autoridades administrativas y aduaneras, conforme a la Ley 43/2010, de 30 166 ROMERO PAREJA, A., “Intervención de las comunicaciones”, Diario La Ley, 7816, 2012, Wolters Kluwer. Página 98 de 450 de diciembre, del servicio postal universal, de los derechos de los usuarios y del mercado postal). En cuanto a las medidas tecnológicas que puedan lesionar el derecho, la ley prevé, respecto a la interceptación de las comunicaciones telefónicas o telemáticas, que la autorización solo se conceda para delitos dolosos castigados con pena con límite máximo de, al menos, tres años de prisión, delitos cometidos a través de instrumentos informáticos o de cualquier otra tecnología de la información o la comunicación o servicio de comunicación, delitos cometidos en el seno de un grupo u organización criminal y delitos de terrorismo 167 . En todo caso, hay que recordar que este derecho puede verse afectado no sólo con ocasión de las diligencias de interceptación de comunicaciones sino, también, en relación con las que consisten en registros de dispositivos de almacenamiento masivo de información digital, cuando entre los datos accedidos se encuentran soportes de procesos comunicativos efectuados. Merece la pena recordar aquí que el acceso a la agenda de contactos de un investigado no supone una inmisión en el derecho fundamental al secreto de las comunicaciones, sino en el derecho a la intimidad. Así lo entendió, entre otras 168 , la STS 493/2010, de 25 de abril, al indicar que la agenda de un teléfono móvil –entendiendo como tal el archivo de dicho aparato en el que consta un listado de números identificados normalmente por un nombre– es equiparable a una agenda en soporte de papel o electrónica, y que su registro u observación no supone la inmisión o injerencia en el derecho al secreto de las comunicaciones sino en el derecho a la intimidad. A su vez, ello comporta que dicho registro esté permitido a la policía siempre que resulte justificado con arreglo a los criterios de urgencia y necesidad y que se cumpla el requisito de proporcionalidad al ponderar los intereses en juego en el caso concreto (al contrario de lo que sucedería si se entendiera protegida por el derecho al secreto de las comunicaciones, en cuyo caso sería requisito indispensable la previa autorización judicial). De igual modo, en la STS 444/2014, de 9 de junio, concluía el tribunal, con cita de la STC 115/2013, de 9 de mayo, que el acceso por parte de los agentes de policía, sin 167 Si bien podrá llevarse a cabo con la orden del Ministro del Interior o, en su defecto, el Secretario de Estado de Seguridad en la investigación de delitos relacionados con la actuación de bandas armadas o elementos terroristas en los que concurra urgencia y existan razones fundadas, de conformidad con el artículo 588 ter d) LECrim. 168 SSTS 316/2000, de 3–3; 1235/2002, de 27–6; 1086/2003, de 25–7; 1231/2003, de 25–9; 449/2006, de 17–4; y 1315/2009, de 18–12 Página 99 de 450 consentimiento del afectado y sin autorización judicial, a la relación de números telefónicos contenidos en la agenda de contactos telefónicos de un teléfono móvil, no afecta al derecho al secreto de las comunicaciones del usuario de dicho aparato de telefonía sino, exclusivamente, al derecho a la intimidad. E, igualmente, concluía que así como la intervención de las comunicaciones requiere siempre de autorización judicial, el derecho a la intimidad no prevé esa misma garantía, por lo que se admite la legitimidad constitucional de que la policía realice determinadas prácticas que constituyan una injerencia leve en la intimidad de las personas sin previa autorización judicial (y sin consentimiento del afectado), siempre que exista la suficiente y precisa habilitación legal y se hayan respetado las exigencias dimanantes del principio de proporcionalidad. Ahora bien, también debe llamarse la atención sobre que, si se hubiese producido el acceso policial a cualquier otra función del teléfono móvil que pudiera desvelar procesos comunicativos, como por ejemplo el acceso al registro de llamadas entrantes y salientes, sí sería necesaria la previa autorización judicial. En nuestra opinión, entender que el acceso a la agenda de un teléfono, o a su registro de llamadas, únicamente vulnera el derecho a la intimidad de su titular obvia la especial naturaleza del soporte y la potencialidad lesiva que el acceso al soporte puede tener para la esfera individual. Es sencillamente imposible acceder al registro de llamadas de un teléfono móvil sin advertir, siquiera por equivocación o por casualidad, otros datos más íntimos de la persona (piénsese, por ejemplo, en una mera fotografía que se encuentre de fondo de pantalla del terminal) y, en todo caso, la potencialidad lesiva es tal y tan carente de control, que quizás sería conveniente que, en todo caso, se entendiera afectado algo más que el derecho a la intimidad de la persona. Se trata de terminales en los que está toda la vida del individuo, y no solamente en archivos que se encuentren “en local”, esto es, en la memoria interna del dispositivo, sino que, normalmente, el dispositivo se encuentra autorizado para acceder a los diferentes servicios online (servidores de almacenamiento, redes sociales, cuentas bancarias, correo electrónico, aplicaciones de mensajería, etc.) cuyos servicios tenga contratados el titular del terminal. D. DERECHO FUNDAMENTAL A LA PROTECCIÓN DE DATOS El derecho fundamental a la protección de datos, también conocido como derecho a la autodeterminación informativa, queda previsto en el artículo 18.4 CE –lo que, habida cuenta del momento histórico en que fue aprobada, es calificado como un hito por la Página 100 de 450 doctrina 169 –, y desarrollado por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Se ha definido como “la facultad de toda persona para ejercer control sobre la información personal almacenada en medios informáticos tanto por las administraciones públicas como entidades u organizaciones privadas” 170 . El derecho fundamental en cuestión ya fue abordado por las SSTC 290/2000 y 292/2000, de 30 de noviembre, que concluían que “el objeto de protección del derecho fundamental a la protección de datos no se reduce solo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por tercero pueda afectar a sus derechos sean o no fundamentales, porque su objeto no es solo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal” y que “persigue garantizar a esa persona el poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado”. Se configura inicialmente, por tanto, como “un instituto de garantía de otros derechos, fundamentalmente el honor y la intimidad, pero también de un instituto que es, en sí mismo, un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama “la informática” 171 . En la ya citada STC 292/2000, el Tribunal Constitucional concluía que “La garantía de la vida privada de la persona y de su reputación poseen hoy una dimensión positiva que excede el ámbito propio del derecho fundamental a la intimidad (art. 18.1 CE), y que se traduce en un derecho de control sobre los datos relativos a la propia persona. La llamada "libertad informática" es así derecho a controlar el uso de los mismos datos insertos en un programa informático (habeas data) y comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención (SSTC 11/1998, FJ 5, 94/1998, FJ 4). Este derecho fundamental a la protección de datos, a diferencia del derecho a la intimidad del 169 ORTEGA GIMÉNEZ, A.; GONZÁLEZ MARTÍNEZ, J. A., “Protección de datos, secreto de las comunicaciones, utilización del correo electrónico por los trabajadores y control empresarial”, Diario La Ley, 7188, 2009, Wolters Kluwer. 170 LUCENA CID, I. V., “La protección de la intimidad en la era teconlógica: hacia una reconceptualización”, Revista internacional de pensamiento político, 7, 2012, Laboratorio de Ideas y Prácticas Políticas. 171 ARRABAL PLATERO, P., La prueba tecnológica, cit., p. 165. Página 101 de 450 art. 18.1 CE, con quien comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, atribuye a su titular un haz de facultades que consiste en su mayor parte en el poder jurídico de imponer a terceros la realización u omisión de determinados comportamientos cuya concreta regulación debe establecer la Ley, aquella que conforme al art. 18.4 CE debe limitar el uso de la informática, bien desarrollando el derecho fundamental a la protección de datos (art. 81.1 CE), bien regulando su ejercicio (art. 53.1 CE). La peculiaridad de este derecho fundamental a la protección de datos respecto de aquel derecho fundamental tan afín como es el de la intimidad radica, pues, en su distinta función, lo que apareja, por consiguiente, que también su objeto y contenido difieran”. Adicionalmente, el contenido del derecho fundamental ha sido vinculado al del acceso de los ciudadanos a los archivos y registros de la Administración Pública, tal y como se prevé en el artículo 105 CE 172 . El referido control que tienen las personas físicas sobre la recogida, tratamiento y destino sus datos personales se articula, además, desde una doble perspectiva: por un lado, es necesaria la información previa, expresa, precisa e inequívoca sobre dichos extremos, dando a conocer al titular qué datos personales se tratan, la finalidad del tratamiento, y la posibilidad de ejercitar los denominados derechos ARCO (acceso, rectificación, cancelación y oposición), por otro lado, el titular de dichos datos debe prestar su consentimiento, de manera libre e informada, aunque no necesariamente de forma expresa. La relevancia de este derecho fundamental se ha descubierto conforme han ido avanzado las técnicas de recolección y tratamiento de los datos personales, situación que ha dado lugar incluso, con la STJUE C‑131/12, al reconocimiento de un derecho no ya al borrado de dicha información, sino a que los motores de búsqueda de internet eviten que determinada información forme parte de sus resultados, lo que se ha conocido como derecho de supresión, o “derecho al olvido” 173 . 172 Atendiendo al desarrollo efectuado, entre otras, en las STEDH Társaság a Szabadságjogo–kért v. Hungary, de 14 abril 2009, Kenedi v. Hungary, de 26 mayo 2009 o Youth Initiative for Human Rights v. Serbia, de 25 de junio de 2013 173 “Derecho de supresión («al olvido»): buscadores de internet”, AEPD, fecha de consulta 25 abril 2020, en https://www.aepd.es/es/areas–de–actuacion/internet–y–redes–sociales/derecho–al–olvido. Página 102 de 450 E. DERECHO FUNDAMENTAL AL PROPIO ENTORNO VIRTUAL Debemos comenzar recordando que, como es conocido, en nuestro ordenamiento jurídico no existe previsión de un derecho fundamental a la privacidad informática que se considere de manera autónoma y diferenciada de la manifestación genérica del derecho a la intimidad. Esta circunstancia destaca por sí misma, pues el secreto de las comunicaciones y la inviolabilidad del domicilio, que no dejan de ser sino manifestaciones de la intimidad igual de singulares y diferenciadas que la privacidad informática, sí tienen previsión específica al respecto. A pesar de ello, y como se ha indicado, con ocasión de la reforma operada por la LO 13/2015 se ha establecido, con rango de ley, la exigencia de autorización judicial cuando se trate de acceder al contenido de dispositivos de almacenamiento masivo 174 . En consecuencia, el derecho al propio entorno virtual es un derecho fundamental de creación jurisprudencial y recientísimo origen, concebido para amparar al conjunto de información cibernética que configura el perfil de un ciudadano en particular 175 . No está previsto explícitamente en nuestro ordenamiento jurídico, sino que ha sido la práctica de nuestros tribunales la que lo ha descubierto, sin perjuicio de la silueta que marcan los artículos 588 y siguientes LECrim. En general, este derecho interviene cuando se accede al conjunto de información digital que acumula una persona en su dispositivo personal 176 . Generalmente, viene a señalarse como primer reconocimiento del mismo la sentencia del Tribunal Constitucional alemán dictada el 27 de febrero de 2008, en la que, tras comprobar la insuficiencia de la protección que dispensaban frente a investigaciones tecnológicas los derechos fundamentales al libre desarrollo de la personalidad, al secreto de las comunicaciones y a la inviolabilidad del domicilio, reconoció la existencia de un nuevo derecho, que entendió como “el derecho fundamental a la garantía de confidencialidad e integridad de los grupos informáticos”, cuyo objeto era “proteger la vida privada y personal de los sujetos de los derechos fundamentales contra el acceso por parte del Estado en el ámbito de las tecnologías de la información, en la medida en que el Estado posea acceso al sistema de tecnologías de la información en su conjunto y no sólo a los 174 MARTÍN RÍOS, P., “El alcance del derecho al propio entorno virtual en la valoración de la evidencia digital”, cit., p. 1260. 175 Ibid. 176 FUENTES SORIANO, O., “La prueba prohibida aportada por particulares”, cit., p. 725. Página 103 de 450 acontecimientos de comunicación individuales o a los datos almacenados” 177 . Como antecedente de dicha sentencia, debe mencionarse la sentencia de 15 de diciembre de 1983, que aludía por primera vez al derecho a la autodeterminación informativa. El contenido de este derecho fundamental está compuesto de las protecciones que los diferentes derechos fundamentales del artículo 18 CE dispensarían a los datos informáticos, cuyo alcance ha sido comprobado que es insuficiente para proteger la información en formato electrónico que genera un usuario al utilizar las TICs, sea consciente o inconscientemente, hasta el punto de generar un rastro susceptible de seguimiento. A ello se han referido las SSTS 342/2013, de 17 de abril; 97/2015, de 24 de febrero; 204/2016, de 10 de marzo; 426/2016, de 19 de mayo. La Fiscalía General del Estado, por su parte, lo ha calificado como un “derecho omnicomprensivo que abarca la protección de la gran diversidad de datos que pueden guardarse en un dispositivo o sistema informático, como puede ser un ordenador” 178 . Se trata, en definitiva, de un “derecho mosaico”, siguiendo la teoría elaborada al respecto. 179 Por su parte, nuestro Tribunal Constitucional, en su STC 173/2011, de 7 de diciembre, ya reconoció la necesidad de establecer una serie de garantías frente a los riesgos que existen para los derechos y libertades públicas, en particular la intimidad personal, a causa del uso indebido de la informática, así como de las nuevas tecnologías de la información. En su sentencia, concluía que así como los datos personales relativos a una persona individualmente considerados están dentro del ámbito de la intimidad constitucionalmente protegido, de igual modo sucede con el cúmulo de la información que se almacena por su titular en un ordenador personal con ocasión de su uso ordinario, y que hacen posible llegar a descubrir aspectos de la esfera más íntima de su titular. El TC reconoció especialmente que, cuando una persona navega por Internet, participa en foros de conversación o redes sociales, descarga archivos o documentos, realiza operaciones de comercio electrónico, forma parte de grupos de noticias, entre otras posibilidades, está revelando datos acerca de su personalidad, que pueden afectar al núcleo 177 CABEZUDO RODRÍGUEZ, N., “Ciberdelincuencia e investigación criminal. Las nuevas medidas de investigación tecnológica en la Ley de Enjuiciamiento Criminal”, cit., p. 42. 178 “Circular 5/2019, de 6 de marzo, de la Fiscal General del Estado, sobre registro de dispositivos y equipos informáticos.”, fecha de consulta 25 abril 2020, en https://www.boe.es/diario_boe/txt.php?id=BOE–A– 2019–4244. 179 GIMENO SENDRA, J. V., “Libertad de expresion, honor e intimidad personal”, Economist & Jurist, vol. 17, 136, 2010, Global Economist & Jurist. Página 104 de 450 más profundo de su intimidad por referirse a ideologías, creencias religiosas, aficiones personales, información sobre la salud, orientaciones sexuales, etc. Todos estos datos, aun cuando individual o aisladamente podrían parecer irrelevantes o livianos, configuran todos ellos un perfil altamente descriptivo de la personalidad de su titular, que es preciso proteger frente a la intromisión de terceros o de los poderes públicos, por cuanto atañen, en definitiva, a la misma peculiaridad o individualidad de la persona. A ello se añadía la circunstancia, claro está, de que el ordenador es un instrumento útil para la emisión o recepción de correos electrónicos, pudiendo quedar afectado en tal caso, no sólo el derecho al secreto de las comunicaciones sino también el derecho a la intimidad personal, en la medida en que estos correos o email, escritos o ya leídos por su destinatario, quedan almacenados en la memoria del terminal informático utilizado. De igual modo, la STC 115/2013 recordaba la necesidad de tener en cuenta que la versatilidad tecnológica que han alcanzado los teléfonos móviles, convirtiéndose en herramientas indispensables en la vida cotidiana con múltiples funciones, tanto de recopilación y almacenamiento de datos como de comunicación con terceros (llamadas de voz, grabación de voz, mensajes de texto, acceso a internet y comunicación con terceros a través de internet, archivos con fotos, videos, etc.), susceptibles, según los diferentes supuestos a considerar en cada caso, de afectar no sólo al derecho al secreto de las comunicaciones, sino también a los derechos al honor, a la intimidad personal y a la propia imagen e incluso al derecho a la protección de datos personales. Todo ello implicaba la necesidad de que el parámetro de control a proyectar sobre la conducta de acceso a dicho instrumento debiera ser especialmente riguroso, tanto desde la perspectiva de la existencia de norma legal habilitante, incluyendo la necesaria calidad de la habilitación legislativa, como desde la perspectiva de exigir un respeto escrupuloso al principio de proporcionalidad. En esencia, una de las principales utilidades del referido derecho fundamental es que, a pesar de ausencia de criterios legales expresos, los órganos judiciales han establecido el principio de reserva jurisdiccional para su limitación. Es destacable que, mediante este mecanismo, consiguen salvar el hecho de que en el artículo 18 CE no se establece dicho monopolio jurisdiccional para los apartados distintos del 18.3, de manera que, en último término, permite afirmar que los derechos fundamentales de los artículos 18.1, 18.2 y 18.4 CE sí están protegidos por la necesidad de autorización judicial previa cuando la injerencia va a tener lugar respecto de datos informáticos generados por el titular de Página 105 de 450 esos derechos. La justificación de esta postura no puede ser otra que la información adicional sobre la personalidad individual que arroja el tratamiento automatizado y entrecruzado de dichos datos. En tal sentido, la STS 426/2019, concluía que, a la vista de las diferentes injerencias que el acceso policial a cualquier ordenador podría causar en los derechos fundamentales de su titular, resulta fundamental contar con el presupuesto habilitante de una autorización judicial, de manera que la garantía prevista en el ordenamiento jurídico se haga efectiva siempre y en todo caso, con carácter anticipado, actuando como verdadero presupuesto habilitante de naturaleza formal. En similares términos, la STS 786/2015, de 4 de diciembre, subraya la circunstancia de que el cúmulo de información que se almacena por el titular en un ordenador personal puede descubrir aspectos de la esfera más íntima de su personalidad. En todo caso, habrá que entender que no existe necesidad de dicha autorización judicial previa en los supuestos expresamente previstos en los artículos 588 k y siguientes LECrim –que trataremos después–, faltando por concretar si ello se debe a que dichos supuestos no afectarían al derecho fundamental al propio entorno virtual o a que, aun afectándolo, la injerencia sería de mínima trascendencia. Adelantamos ya que, a nuestro juicio, muchas de las medidas que no precisan autorización tienen una potencialidad lesiva idéntica a la de otras medidas que sí exigen, por el contrario, la referida autorización. Por otro lado, la jurisprudencia concluye este derecho fundamental al propio entorno virtual también es susceptible de ser ampliado o reducido por los actos propios de su titular, siendo posible también apreciar aquí la existencia de un consentimiento tácito que dé lugar a una expectativa de privacidad reducida, como de hecho refería la STS 287/2017, de 19 de abril 180 . Esta postura jurisprudencial, sin embargo, no encuentra refrendo unánime en la doctrina, que expresa sus reservas a este respecto, y ello por dos razones fundamentalmente: por entender que el derecho al propio entorno virtual no es susceptible de disminución o renuncia como tal y por entender que los extremos a los que se atiende para apreciar una eventual renuncia tácita no son los acertados. 180 Sentencia en la que el Tribunal Supremo resolvía un supuesto de aportación de información proveniente de un dispositivo de uso compartido. En particular, la esposa del condenado había aportado datos extraídos del ordenador familiar, y el Tribunal Supremo mantuvo que el propio titular del derecho al entorno virtual puede ampliar o reducir el espacio de exclusión que el mismo implica. En palabras del propio tribunal: “Quien incorpora fotografías o documentos digitales a un dispositivo de almacenamiento masivo compartido por varios es consciente de que la frontera que define los límites entre lo íntimo y lo susceptible de conocimiento por terceros, se difumina de forma inevitable”. Página 112 de 450 Una vez practicadas las diligencias suficientes, el Fiscal convocará a la persona investigada a una primera comparecencia, donde se le informará de este hecho, así como de los derechos que le asisten. Su acta se remitirá al Juez de Garantías. En toda esta labor hay que tener presente que el Ministerio Fiscal deberá cumplir con los plazos, lo cual es remarcado en el art. 560 LECrim. Otra de las funciones destacables del Fiscal –que constituye, asimismo, una novedad– es la posibilidad que se le otorga, como director de la instrucción, de iniciar el procedimiento de investigación en los casos de detención el investigado, dando instrucciones a la policía; así como de acordar la libertad del investigado cuando haya sido detenido por la policía. B. RÉGIMEN DE LA POLICÍA JUDICIAL En el anteproyecto de LECrim de 2020, el legislador español es coherente con la decisión de otorgar al Ministerio Fiscal la dirección de la fase de investigación del proceso penal y, en tal sentido, establece la dependencia funcional de la Policía Judicial respecto del mismo. Hay que destacar que el propio texto normativo reconoce la imposibilidad de realizar una división absoluta de las actividades policiales de seguridad pública y de investigación criminal, pues las fuerzas policiales han de dar una respuesta coordinada a la delincuencia, como perturbación de la seguridad ciudadana, tanto desde el punto de vista preventivo como represivo. En consecuencia, la noción de policía judicial contenida en el Anteproyecto es meramente funcional, y comprende todos aquellos cuerpos administrativos con carácter de agentes de la autoridad que realicen funciones de policía criminal bajo la dependencia del Ministerio Fiscal. Se abre así la posibilidad a que agentes de autoridad que no pertenezcan a las Fuerzas y Cuerpos de Seguridad también realicen funciones de policía judicial, siempre que exista disposición con rango de ley al respecto (Servicio de Vigilancia Aduanera, Oficina de Recuperación y Gestión de Activos, etc.). Partiendo de dicha concepción funcional, generalista, y dependiente de las órdenes del Ministerio Fiscal, se reconoce expresamente la existencia de dos fases en las actuaciones investigadoras de la policía judicial. Una primera, compuestas por unas primeras diligencias que persiguen dar respuesta inmediata a la comisión del delito, y una segunda, compuesta por las diligencias que se realizan con posterioridad. Aunque tal paralelismo podría dar lugar a pensar que esta segunda fase estaría bajo la dirección funcional Página 113 de 450 directa del Ministerio Fiscal, lo cierto es que el legislador asume la idea de que la investigación policial ha de tener un espacio específico, un marco propio de desarrollo inicial, que debe deslindarse de todas aquellas actividades que requieren de una orden del fiscal o de una autorización judicial, por más que se mantenga dicha dependencia funcional, que se manifestará en forma de directrices o instrucciones generales. Se prevé, por tanto, una fase preliminar en la que la policía judicial realizará actuaciones, posterior a las diligencias de respuesta rápida al delito, pero anteriores todavía a la incoación de un procedimiento penal. Se hace, por tanto, fundamental determinar cuáles son aquellas diligencias que la policía judicial podrá llevar a cabo de manera autónoma. En todo caso, la investigación policial cesa con la identificación del sujeto al que se considera responsable, circunstancia que ha de llevar a la incoación de un procedimiento directamente a cargo del Ministerio Fiscal, bajo el control de un Juez de Garantías. En cualquier caso, el Ministerio Fiscal tendrá capacidad de decidir en todo momento la finalización de la investigación policial preliminar procediendo a asumir la inmediata dirección de las actuaciones. C. NUEVA REGULACIÓN DE LOS ACTOS DE INVESTIGACIÓN En su Libro III, el Anteproyecto se dedica a los actos de investigación, y lo hace con ánimo renovador. Como reconoce el legislador en la propia exposición de motivos, la mayor parte de las diligencias de investigación sigue anclada en una regulación legal obsoleta y deficitaria, con las salvedades de aquellos concretos actos de injerencia en la esfera de la persona investigada que, por carecer de cobertura legal suficiente, fueron regulados de manera específica con la Ley Orgánica 13/2015 (reguladora, entre otras cosas, de las diligencias de investigación tecnológica). La finalidad de esta nueva regulación no es otra que dotar a nuestro proceso penal de un régimen normativo más preciso y útil, circunstancias estas que se verifican en la exigencia de un elevado estándar de garantías objetivas para la realización de los diferentes actos de investigación. En claro cumplimiento de dicha finalidad tuitiva, el Anteproyecto prescinde del criterio de la autoridad habilitada para realizar el acto de investigación como criterio Página 114 de 450 organizativo y, en su lugar, clasifica los actos de investigación en función de la afectación que sufren los derechos de la persona sometida a cada uno de ellos. Se parte, así, de los actos que afectan a la persona misma investigada –como las diversas formas de identificación y las inspecciones e intervenciones corporales–, continuando por las que suponen una intromisión en los derechos de la personalidad (fundamentalmente, en su intimidad e imagen), y las que injieren en el ámbito de desarrollo de su vida privada (con la consiguiente protección del domicilio). Finalmente, se regulan otros medios de investigación más complejos, como las investigaciones encubiertas y la obtención de datos protegidos. D. NUEVA REGULACIÓN DE LAS OBSERVACIONES Y VIGILANCIAS POLICIALES Si el Anteproyecto prosperase, por primera vez existiría en nuestro ordenamiento procesal una referencia expresa a las observaciones y vigilancias que pueden desarrollarse en la vía pública y en otros espacios abiertos respecto de personas, lugares y objetos relacionados con el delito. Esto es, por primera vez se incluye en la norma procesal una previsión relativa a la actividad de patrullaje de la policía (artículos 394 y siguientes ALECRIM). El texto opta por distinguir las vigilancias ordinarias, que la policía puede realizar por su propia autoridad, de las de carácter sistemático. Se consideran sistemáticas las que duran más de treinta y seis horas ininterrumpidas o más de cinco días, consecutivos o no, dentro del plazo de un mes. Esta modalidad, y la que se materializa a través de medios técnicos de localización y seguimiento o incluye la obtención de imágenes de personas, solo pueden llevarse a cabo respecto de la persona investigada (salvo que, excepcionalmente, se refieran a un tercero que va a contactar con ella). Requieren, además, la previa autorización judicial, salvo en los casos de urgencia, en los que pueden ser acordadas por el fiscal, con trámite de ratificación judicial en las veinticuatro horas siguientes. Todos estos seguimientos tendrán una duración máxima de tres meses a contar desde la fecha de la autorización, pudiendo acordarse prórrogas sucesivas hasta un máximo de dieciocho meses. Página 115 de 450 También se somete a autorización judicial la captación de imágenes en domicilios o en lugares cerrados destinados a la realización de actos de carácter íntimo, aunque puedan ser divisados desde el exterior. Se regula, finalmente, con igual sujeción a garantía judicial, la posibilidad de recabar de las compañías u operadores telefónicos la entrega de toda la información que posean sobre la situación geográfica o punto de terminación de red del origen y destino de las llamadas telefónicas realizadas o recibidas por la persona investigada. E. ACTUACIONES PRELIMINARES DE LA POLICÍA Como hemos comentado, el texto del Anteproyecto también prevé que la policía pueda realizar por sí misma actuaciones preliminares, que se caracterizan porque solo pueden abarcar actos de injerencia nula o mínima, que deben cesar con la identificación del sujeto que se considera responsable. En cuanto a la primera nota característica, las actividades investigadoras que realmente pueden suponer una intromisión relevante en la esfera de derechos de un ciudadano exigen en todo caso la intervención del fiscal. Y en los supuestos previstos en el artículo 18 de la Constitución, será imprescindible la autorización del propio juez, que siempre se recabará por conducto del fiscal, como único interlocutor directo de la autoridad judicial en la estructura del Estado investigador. En cuanto al segundo rasgo antes aludido, las indagaciones preliminares de la policía solo estarán justificadas cuando no exista una persona claramente identificada como posible responsable de la infracción criminal. Hecha esta averiguación, la amenaza potencial que la investigación supone para la libertad y los derechos de la persona investigada obligará a formalizar las actuaciones en un procedimiento bajo la dirección inmediata del Ministerio Fiscal y con la vigilancia de un Juez de Garantías. De ahí que, por regla general 192 , las investigaciones sin autor conocido hayan de quedar archivadas en sede policial –sin perjuicio de su necesaria comunicación por relación al Ministerio Fiscal, que podrá incoar el procedimiento de investigación en todos aquellos supuestos en los que lo considere preciso–. Una vez que se produzca la 192 El artículo 544 del Anteproyecto establece, en su apartado primero” el Fiscal General del Estado y los Fiscales Jefes de los distintos órganos del Ministerio Fiscal, en el ámbito de sus respectivas competencias, podrán disponer que la investigación de determinadas clases de delitos sea siempre comunicada mediante atestado, aunque no exista autor conocido.” Página 116 de 450 identificación del posible autor se pondrá la investigación a disposición del fiscal por medio del correspondiente atestado. En definitiva, las actuaciones policiales previas deberán terminar con la identificación del sujeto al que se atribuye la comisión del delito. Se entiende así que la determinación del sospechoso exige el inicio del verdadero procedimiento de investigación, que lleva consigo garantías formales de gran importancia en beneficio de la persona que se convierte en sujeto pasivo de esa actividad estatal. En nuestra opinión, se trata de una posibilidad que, aunque no es nueva –en la actualidad, son múltiples los supuestos en los que la policía, antes de trasladar el atestado al Juzgado, realiza las diligencias que entiende necesarias para determinar el posible autor de los hechos– puede plantear graves problemáticas, pues, por un lado, no existe un control directo de la actuación policial para determinar el momento en el que la persona sospechoso se encuentra determinada y, por otro lado, y como ya hemos comentado, asistimos a una progresiva relajación de la figura de la prueba ilícita, con la posibilidad de que pruebas de cargo que hayan sido obtenidas de manera, cuanto menos, discutible, accedan al proceso. F. TRIBUNALES DE INSTANCIA El texto del anteproyecto prevé la creación de órganos colegiados, denominados tribunales de instancia, con capacidad de ejercer sus competencias en forma unipersonal o colegiada en función de las necesidades del caso concreto. De esta manera, se supera la estructura dual basada en Juzgados como órganos unipersonales de instancia, y se dividen las funciones judiciales de garantía, juicio acusación y enjuiciamiento en diferentes componentes de un mismo órgano. Al concebir esta nueva organización de la justicia, el prelegislador recupera el objetivo frustrado de la Ley provisional de 22 de diciembre de 1872 y de la Ley de Bases de 7 de febrero de 1881, recupera el concepto de los tribunales de instancia, que suponen la colegiación de la organización judicial en todos los niveles del orden jurisdiccional penal, y que comporta la desaparición de los actuales Juzgados. Los tribunales de instancia aglutinarían las funciones judiciales previstas en el anteproyecto –garantías, juicio de acusación y enjuiciamiento– que serán ejercitadas por diferentes secciones y magistrados del mismo tribunal. Se procede a unificar todo el Página 117 de 450 enjuiciamiento de las causas criminales en este nuevo órgano que, en función de la naturaleza del asunto concreto, puede actuar jurisdiccionalmente de forma unipersonal o colegiada. El legislador ha decidido combinar el criterio de gravedad de la pena –que determina actualmente la competencia de la Audiencia Provincial– con un listado de delitos que, por su especial complejidad o naturaleza, exigen una decisión colegiada. Asimismo, los magistrados de los tribunales de instancia estarán exclusivamente dedicados al enjuiciamiento, unipersonal o colegiado, de los delitos mientras que las diversas Salas de Apelación de los Tribunales Superiores de Justicia estarán especializadas en la tramitación de los recursos de apelación frente a sentencias. G. JUEZ DE GARANTÍAS La atribución al Ministerio Fiscal de la dirección de la fase de instrucción comporta la necesidad de prever una figura que garantice el respeto a los derechos fundamentales. El que se atribuye al juez en la fase de instrucción desde el Anteproyecto de 2011 (continuado en el de 2013 y, ahora, en el de 2020), es propio de un Juez de Garantías. Ello supone que el Ministerio Fiscal tendrá un cierto control por parte de dicho órgano, ya que será este el que velará porque las garantías y derechos constitucionales se garanticen en dicha fase. Ya en el Anteproyecto de 2011 se establecía la serie de funciones que habría de tener dicho Juez de Garantías. Así pues, será el que apruebe o deniegue la práctica de ciertas diligencias que afecten a derechos del investigado, como la integridad física e intimidad, la inviolabilidad del domicilio o las comunicaciones del investigado. Controlará, asimismo, la adopción de medidas cautelares que afecten a dichos ámbitos de la vida del investigado. En el Anteproyecto LECrim 2020 se regula todo ello en su artículo 19, bajo la rúbrica “imparcialidad objetiva”. H. JUEZ DE LA AUDIENCIA PRELIMINAR Hasta este momento, en los procedimientos abreviados, la fase de instrucción y la fase intermedia de un proceso penal la ha dirigido el juez instructor encargado. Página 118 de 450 A esta situación se pone fin con el nuevo Anteproyecto. Esto es así puesto que, como se entiende y se explica en el Anteproyecto, el órgano jurisdiccional que ya ha investigado se encuentra “contaminado”, lo que no garantiza la imparcialidad que se pretende del mismo al diferenciar sus funciones de la del Ministerio Fiscal. Con la finalidad de distinguir las competencias judiciales ejercitadas en la fase procesal de un procedimiento penal, y persiguiendo con ello asegurar un mayor grado de imparcialidad en el enjuiciamiento de la causa, el Anteproyecto prevé la figura del “Juez de la Audiencia Preliminar”, siguiendo en ello la estela del Anteproyecto de Ley de Enjuiciamiento Criminal de 2011. De esta manera, se crea un tercer sujeto: el Juez de la Audiencia Preliminar, el cual, realizará las funciones que viene desempeñando el juez de instrucción dentro de la fase de instrucción, es decir, será quien decida si se abre o no el juicio oral en la celebración de la audiencia previa, es decir, declarará motivadamente si son suficientes los indicios de criminalidad. A este respecto, la exposición de motivos del anteproyecto de LECrim 2020 viene a precisar que “esta denominación no debe identificarse con un trámite procedimental de carácter necesariamente oral sino con una función de admisión y saneamiento similar a la que el procedimiento civil ordinario cumple la llamada “audiencia previa” al juicio. De ahí que se haya optado por la denominación aludida, acorde, por otra parte, con el nombre que recibe el trámite semejante que existe en la Ley del Jurado”. Lo que se consigue, además, con esto, es que todas las diligencias de investigación y todas las pruebas recogidas gracias a dichas diligencias lleguen de la forma más depurada posible ante el Juez de Audiencia Preliminar. En otro orden de cosas, la idea de armonización de la normativa procesal penal con respecto a los países europeos cobra realidad en el establecimiento de un procedimiento de cooperación del Ministerio Fiscal con la Fiscalía Europea. Este procedimiento, recogido en los arts. 818 a 835, pretende garantizar una mejor fluidez de la cooperación internacional con respecto a procesos penales internacionales, cuya competencia (ya sea su remisión, inicio o transferencia del mismo) será la de la Audiencia Nacional. Página 119 de 450 De esta manera, según el art. 818.4, las comunicaciones entre el Fiscal nacional y la Fiscalía Europea se regirán por lo establecido en el Estatuto Orgánico del Ministerio Fiscal y la normativa de la Fiscalía Europea. Según la exposición de motivos del Anteproyecto que nos ocupa, la finalidad de esta audiencia preliminar es la de permitir que se realice un control de admisión y saneamiento similar al que cumple la audiencia previa en los procesos civiles. Así, el órgano judicial determinará si la acción penal interpuesta está suficientemente fundada, decidiendo sobre la apertura de la fase de juicio oral o el sobreseimiento, examinando también, por tanto, la licitud de la prueba que las partes pretendan llevar al juicio oral. Este Juez de la Audiencia Preliminar no intervendrá posteriormente en el enjuiciamiento de la causa, que tendrá lugar ante los magistrados que resulten competentes. De esta manera, como se puede comprobar, se pretende garantizar que la decisión sobre la continuación de un proceso penal la tome un tercero completamente imparcial que no haya intervenido en la fase investigadora y, por tanto, pueda encontrarse afectado por cierto ánimo persecutorio, y que tampoco vaya a intervenir en la fase enjuiciadora. I. MODIFICACIÓN DE OTRAS LEYES Al modificarse las funciones del Ministerio Fiscal dentro del proceso penal como hemos visto, es lógico que su Estatuto Orgánico tenga que ser adaptado a la nueva situación. Así lo dispone el Anteproyecto en su Disposición Adicional segunda, en la que se establece que el Gobierno deberá modificar dicho Estatuto, elevando al Parlamento en el plazo de un año, un proyecto de reforma de la Ley 50/1981, de 30 de diciembre, por la que se regula el Estatuto Orgánico del Ministerio Fiscal. Además, el desdoblamiento de funciones entre el Juez de Garantías y el establecimiento de un nuevo órgano, el Juez de Audiencia Preliminar, hacen necesario que la Disposición Adicional Primera del Anteproyecto 2020 disponga que sea modificada la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial y de la Ley 38/1988, de 28 de diciembre, de Demarcación y Planta Judicial. En esta Disposición, se establece que la implantación de la nueva LECrim se realizará de manera coordinada con las Comunidades Autónomas y el Consejo General del Poder Judicial, señalando que, hasta que los órganos no se encuentren totalmente Página 120 de 450 adaptados a la nueva regulación, se mantendrá vigente la aplicación de las reglas y normas competenciales establecidas en la Ley Orgánica del Poder Judicial. El proceso de adaptación deberá realizarse en un periodo de tres años y se llevará a cabo en dos distintas fases, en la que la primera se centrará en la integración dentro del Tribunal de Instancia de los órganos jurisdiccionales unipersonales; en la segunda, se tendrá en cuenta la modificación competencial de los órganos colegiados. En las siguientes Disposiciones también se continúa estableciendo la necesidad de reformar otras disposiciones de nuestro ordenamiento jurídico, como la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, otras leyes especiales penales y, en general, cuantas leyes sean contrarias a dicho Anteproyecto. Para todo ello se prevé el plazo de un año. Página 121 de 450 CAPÍTULO III ACTIVIDAD PREPROCESAL DE LA POLICÍA JUDICIAL: EL CIBERPATRULLAJE COMO ACTIVIDAD PREVENTIVA 1. DISTINCIÓN CONCEPTUAL En este apartado, es nuestra intención analizar esa actividad de prevención de la criminalidad que, mediante el rastreo de la red y, en general, el uso de la informática, puede acometer la Policía Judicial sin necesidad de autorización judicial, sin que exista un destinatario específico de las averiguaciones y, en consecuencia, sin que exista un procedimiento penal incoado. Nos referimos aquí, por tanto, a la actividad de “mantenerse a la escucha” por parte de la policía, en una conducta paralela a la de que aquellos agentes que patrullan físicamente un terreno o territorio, como las calles de una ciudad, lugares con mayor densidad de personas, etc. Como hemos referido, en nuestro ordenamiento jurídico se distinguen, desde una perspectiva general, dos funciones policiales realizadas por los Cuerpos y Fuerzas de Seguridad del Estado: la prevención de la delincuencia, mediante el mantenimiento de la seguridad ciudadana y el orden público, y la investigación de delitos, que es la actividad dirigida a la búsqueda de evidencias que permitan esclarecer los hechos delictivos ya cometidos y que están siendo objeto de investigación. 193 Pues bien, dentro de la primera categoría se encuentra el denominado ciberpatrullaje, entendido como el conjunto de actuaciones de vigilancia, prevención y evitación de ilícitos penales llevadas a cabo por la policía en el ámbito del ciberespacio. Dos grandes factores intervienen en la aparición del ciberpatrullaje como uno de los principales interrogantes de nuestro tiempo. Por un lado, la denominada war on terror 194 , término que se emplea para designar a la política desarrollada desde los atentados del 11S por Estados Unidos y el bloque occidental y que, en plena evolución de la 193 VELASCO NÚÑEZ, E., “La investigación de delitos cometidos a través de Internet y otras nuevas tecnologías: cuestiones procesales”, 2010, Universidade da Coruña, p. 161. 194 MARTÍNEZ SANTOS, A., “Terrorismo, proceso penal y derechos fundamentales”, Cuestiones constitucionales, 29, 2013, Instituto de Investigaciones Jurídicas, UNAM. Página 128 de 450 es cierto que toda injerencia en un derecho fundamental –con independencia de la exigencia de la previa autorización judicial o no– debe estar suficientemente prevista en el ordenamiento jurídico a fin de superar el triple requisito exigido por el artículo 8.2 CEDH 204 . Esta circunstancia, además, no es nueva, sino que ya ha sido puesta de manifiesto por la doctrina hace algún tiempo 205 , incluso en relación con el patrullaje y las técnicas de investigación “tradicionales”, señalándose el olvido casi crónico en que incurre el legislador a la hora de establecer una regulación específica sobre la actividad de investigación, vigilancia, seguimiento y averiguación de la policía y una suerte de asunción espontánea -a nuestro juicio, injustificadapor parte de los agentes policiales y judiciales de que, para mantener la eficacia de dichas actividades, es necesario que el detalle de las mismas permanezca en secreto. Este convencimiento, además, parece amparar no sólo los modus operandi en general, sino incluso las actividades concretas de investigación previa a la instrucción (patrullaje), en las que parece concluirse, insistimos que injustificadamente, que es necesario mantener cierto sigilo sobre la actuación policial. 4. INSTRUCCIONES DE SERVICIO Las Fuerzas y Cuerpos de Seguridad cuentan con manuales de actuación que detallan los métodos y procedimientos que los funcionarios que los componen deben al realizar su actividad de ciberpatrullaje –así como en el resto de las diligencias de investigación tecnológica–. Estos manuales constituyen auténticas instrucciones de servicio y dictan las pautas de actuación que deben seguirse, por lo que contienen gran parte del modus operandi de la policía, y son una manifestación de la capacidad que tienen los órganos de la Administración de impartir órdenes a sus subordinados. Así, por ejemplo, en el apartado 4.8 de la Orden INT/226/2020, de 15 de marzo, por la que se establecen criterios de actuación para las Fuerzas y Cuerpos de Seguridad 204 Estos tres requisitos necesarios para que una injerencia en el derecho a la vida privada pueda considerarse legítima son los siguientes: i) que la injerencia esté prevista en la ley, que se identifica con el derecho nacional en una perspectiva material –puede admitirse dentro de dicho concepto los criterios jurisprudenciales asentados; ii) que la injerencia obedezca a uno de los fines legítimos previstos en el artículo 8.2 CEDH: seguridad nacional, seguridad pública, bienestar económico del país, defensa del orden y prevención del delito, protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás; y iii) que la injerencia sea necesaria en una sociedad democrática, elemento este en el que se ubica el principio de proporcionalidad en sentido estricto. 205 NIEVA FENOLL, J., “La protección de derechos fundamentales en las diligencias policiales de investigación del proceso penal”, La ley penal: revista de derecho penal, procesal y penitenciario, 50, 2008, Wolters Kluwer, p. 5. Página 129 de 450 en relación con el Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID–19, se establecía: “Por parte de los Cuerpos policiales actuantes y los centros competentes de la Secretaría de Estado de Seguridad se impartirán directrices para prevenir y minimizar los efectos de la desinformación, extremándose la vigilancia y monitorización de las redes y páginas web en las que se difundan mensajes e informaciones falsas orientadas a incrementar el estrés social, e instando en su caso las medidas de intervención previstas en la legislación aplicable”. Sobre esta cuestión, huelga recordar que las instrucciones de servicio pueden ser objeto de impugnación en los casos en que pueda entenderse que innovan el ordenamiento jurídico, en su condición de instrumentos de soft law, como se señala en la STS de 18 de julio de 2012. El Tribunal Supremo, aun admitiendo que se trata de una cuestión polémica, subraya que ninguna duda ofrece la posibilidad de impugnar (tanto en vía administrativa como jurisdiccional) los concretos actos administrativos que puedan dictarse con base, por ejemplo, a una instrucción. En este sentido, alude a la STC 47/90, de 20 de marzo, que admitió, resolviendo un recurso de amparo, la impugnación directa de las instrucciones administrativas. De esta cuestión es necesario destacar que las instrucciones administrativas no se ven afectadas por el principio de publicidad, al no constituir una innovación del ordenamiento jurídico, de manera que, al menos en nuestro país, no existe una iniciativa pública destinada a dar a conocer dichas instrucciones, también influido por una lógica de mantenimiento de su eficacia y seguridad. En ese sentido, nos atrevemos a proponer la conveniencia de publicar los protocolos que inspiren la actividad de ciberpatrullaje de nuestras fuerzas policiales. Podemos hacer referencia, por ejemplo, al ejemplo iniciado con la resolución 144/2020, del Ministerio de Seguridad de Argentina, que establece algunas directrices si bien generales, que permite, al menos, delimitar los contornos de la actividad de ciberpatrullaje 206 : 206 “Boletín Oficial República Argentina – Ministerio de Seguridad – Resolución 144/2020”, fecha de consulta 6 enero 2021, en https://www.boletinoficial.gob.ar/detalleAviso/primera/230060. Página 130 de 450 - Que la prevención policial del delito en el espacio cibernético procurará el conocimiento de posibles conductas delictivas cuyo acaecimiento sea previsible en función de la emergencia pública en materia sanitaria establecida - Que se deberá atender al desarrollo de la criminalidad vinculada a la comercialización, distribución y transporte de medicamentos apócrifos y de insumos sanitarios críticos; a la venta de presuntos medicamentos comercializados bajo nomenclaturas y referencias al COVID–19 o sus derivaciones nominales, sin aprobación ni certificación de la autoridad competente; y a los ataques informáticos a infraestructura crítica –especialmente a hospitales y a centros de salud. - Que las tareas de prevención deberán omitir aquellas conductas susceptibles de ser consideradas regulares, usuales o inherentes al uso de Internet y que no evidencien una intención de delinquir. - Que se descartará toda posibilidad de acumulación de registros relativos a las personas, debiéndose proceder a su efectiva destrucción luego de concluida la actividad preventiva. - Que queda prohibido obtener información, producir inteligencia o almacenar datos sobre personas o usuarios por el sólo hecho de su raza, fe religiosa, acciones privadas, u opinión política, o de adhesión o pertenencia a organizaciones partidarias, sociales, sindicales, comunitarias, cooperativas, asistenciales, culturales o laborales, así como por la actividad lícita que desarrollen en cualquier esfera de acción. - Qu queda prohibido "emplear métodos ilegales o violatorios de la dignidad de las personas para la obtención de información", "comunicar o publicitar información sin autorización", "incorporar datos o información falsos", "utilizar fuentes digitales abiertas para monitorear y observar detenidamente individuos o asociaciones" y "almacenar los datos personales relevados a través del uso de fuentes digitales abiertas en registros o bases de datos, cuando no dieran lugar a actuaciones judiciales". - Que es obligación de los agentes policiales aplicar los principios de "protección de los datos personales", de "protección de la libertad de expresión", de Página 131 de 450 "no criminalización de las protestas en línea" y de "destrucción del material prevenido o judicializado". Como venimos apuntando, en España, aunque disponemos de normas marco que establecen los principios que deben respetar las actuaciones de ciberpatrullaje y ciberinvestigación, lo cierto es que los protocolos concretos de investigación de las fuerzas policiales carecen de publicidad alguna. A este respecto, merece la pena recordar que, cuando se aprobó la entonces moderna ley de Enjuiciamiento Criminal no existía realmente un cuerpo de policía judicial como el que anunciaba la ley. De esa forma, las diligencias de investigación quedaban reguladas como si las ejecutara un juez, cuando lo cierto y verdad es que gran parte de dicho trabajo lo realiza la policía sin que quede sujeta a procedimiento alguno, porque no hay norma que regule las actividades policiales, a diferencia de lo que ocurre en el Reino Unido, Irlanda, Malta, Chipre, Suecia, Finlandia, Dinamarca, Eslovaquia, Estonia, Letonia o Lituania. Esta situación, como se ha dicho, debe encontrar su fin, debiendo buscar la transparencia en la actuación policial salvo supuestos justificados 207 . 5. LA INTELIGENCIA SOBRE FUENTES ABIERTAS A. DEFINICIÓN Y CARACTERES FUNDAMENTALES El contenido material del ciberpatrullaje puede identificarse con la llamada inteligencia sobre fuentes abiertas, u open–source intelligence (OSINT), que es una práctica consistente en recabar datos e información de fuentes disponibles al público con la finalidad de obtener información suficiente sobre una determinada circunstancia, escenario o decisión relacionada con la seguridad nacional, la aplicación del ordenamiento jurídico o, incluso, con la inteligencia de negocios. Su utilidad reside en que, mediante el tratamiento adecuado, permite extraer una funcionalidad no prevista de datos públicamente disponibles, aprovechando las sinergias que pasan desapercibidas al resto de ciudadanos. 207 NIEVA FENOLL, J., “La instrucción como falsa “primera instancia” del proceso penal: La instrucción como falsa “primera instancia” del proceso penal”, Revista ítalo–española de Derecho Procesal, 1, 2019, Marcial Pons, p. 54. Página 132 de 450 También ha sido definida como la actividad de obtener legalmente material verbal, escrito o electrónico disponible públicamente 208 , cuyas características principales son la eficiencia, la rapidez, la intermediación, la dependencia, la accesibilidad y el volumen 209 . Aunque el origen de la práctica debe remontarse en el tiempo a la propia aparición de una estructura política mínimamente organizada, con el advenimiento de las redes de comunicación instantánea y la inmediata transmisión de información ha ganado un especial protagonismo, especialmente gracias a la disponibilidad de la información en internet. En particular, se recuerda que cualquier información puede ser objeto de dicha recopilación, sin importar su soporte material, desde publicaciones en prensa a informes oficiales, documentos científicos e información de agentes comerciales, y se destaca que la principal baza de esta práctica es que no requiere ninguna actividad clandestina ni vulneración alguna de derechos de propiedad intelectual 210 . Nuestra doctrina también se refiere a ella como aquel conjunto de recursos documentales públicos, de pago o gratuitos, en cualquier soporte, formato y medio de acceso, como las obras de referencia, bases de datos, monografías, publicaciones seriadas, literatura gris, sitios y páginas web, colecciones de imágenes, emisiones radiofónicas o de televisión, grabaciones sonoras y audiovisuales y, que contenga datos políticos, culturales, económicos, militares, científicos, técnicos, sociológicos, geográficos, etc. 211 El OSINT permite obtener más inteligencia con menor esfuerzo y en menor plazo, desde el punto de vista de la inversión en recursos y la relación de su coste con los beneficios generados. Además, el acceso a la información abierta es más ágil y rápido. Paralelamente, las técnicas OSINT dependen de intermediarios que se encarguen de publicar la información, y suelen enfrentar cantidades ingentes de información, que es necesario 208 RICHELSON, J., The U.S. Intelligence Community, Hachette UK, 2015. 209 RODRÍGUEZ RODRÍGUEZ, Y., “Inteligencia de fuentes abiertas (osint): Características, debilidades y engaño”, Análisis GESI, 11, 2019, Departamento de Ciencia Política y de la Administración, en https://www.seguridadinternacional.es/?q=es/content/inteligencia-de-fuentes-abiertas-osint-carac- ter%C3%ADsticas-debilidades-y-enga%C3%B1o, fecha de consulta 20 de noviembre de 2020. 210 GEORGE, R.; KLINE, R., Intelligence and the National Security Strategist: Enduring Issues and Challenges, Rowman & Littlefield, 2006. 211 FELIP I SARDÁ, J. M., “La gestión de fuentes abiertas por los servicios de Inteligencia y los equipos de investigación: el estado de la cuestión”, Cuadernos constitucionales de la Cátedra Fadrique Furió Ceriol, 48, 2004, Departamento de Derecho Constitucional y Ciencia Política y de la Administración. Página 133 de 450 filtrar y procesar. En la actualidad, el alto volumen de información ha causado que los mayores esfuerzos se dirijan a la actividad de procesamiento de la información. En ese sentido, la cantidad de datos disponibles de manera abierta expone a los organismos y agencias encargados de practicar esta inteligencia a quedar verdaderamente abrumados por el volumen de información a gestionar. Para tratar de solventar esta problemática, han surgido iniciativas de todo tipo, que persiguen dotar a los organismos competentes de las herramientas necesarias para automatizar los procesos de análisis e incluir en ellos el máximo volumen de información. Tal es el caso de In–Q–Tel, una entidad de capital riesgo vinculada con la CIA y cuya finalidad es identificar e invertir en las empresas que desarrollan tecnologías de vanguardia que puedan servir a los intereses de seguridad nacional de los Estados Unidos 212 . Lo mismo sucede con la empresa Palantir Technologies, especializada en el análisis de big data, a través de sus productos Palantir Gotham, Palantir Metropolis y Palantir Foundry. Estas iniciativas, aunque se encuentren vinculadas con agencias gubernamentales, se desarrollan bajo el paraguas de entidades de derecho privado que, como tales, exportan sus servicios a cualquier país u organización del globo, incluida España 213 . Relacionado con esta figura, se encuentra el concepto de “inteligencia criminal”, denominación con la que se alude al conjunto de actividades de inteligencia realizada por los servicios de información de la policía para prevenir y averiguar la comisión de delitos 214 . Es una figura en la que, como se puede apreciar, concurren una faceta preventiva –destinada a patrullar el espacio público en busca de hallazgos delictivos– y una resolutiva –destinada a obtener el material que pueda necesitar un proceso penal que se está sustanciando–. En ese proceso de obtención de inteligencia para el proceso penal, pueden distinguirse las siguientes fases 215 : 212 “In–Q–Tel”, Wikipedia, 2020, fecha de consulta 19 marzo 2020, en https://en.wikipedia.org/w/index.php?title=In–Q–Tel&oldid=946318783. 213 Como queda patente aquí, por ejemplo https://elpais.com/tecnologia/2020–04–02/palantir–misterioso– proveedor–del–pentagono–y–la–cia–ofrece–a–espana–sus–servicios–contra–el–coronavirus.html 214 VALLÉS CAUSADA, L., “La polícia judicial en la obtención de inteligencia sobre comunicaciones electrónicas para el proceso penal”, 2012, UNED. Universidad Nacional de Educación a Distancia (España), p. 447. 215 Ibid., p. 448. Página 134 de 450 - Evaluación: identificación y adquisición legítima de todas aquellas informaciones de cualquier naturaleza que, de una forma objetiva, puedan contribuir al cumplimiento de sus finalidades. - Integración: contraste con otras cuyo contenido pueda concurrir a un mismo fin, esto es, a servir al esclarecimiento final, completo e inequívoco de los hechos delictivos. - Análisis: descubrimiento y determinación del significado objetivo de las informaciones tras haberlas relacionado entre sí. - Interpretación: concepción, ordenación y expresión intelectiva de la realidad desde las evidencias aportadas. - Contradicción y valoración de la prueba: formación de la opinión jurisdiccional sin la contaminación de elementos subjetivos o cualesquiera otros que hayan sido deficientemente incorporados al proceso penal. El principio de inteligencia estratégica en materia criminal persigue concentrar los esfuerzos de los cuerpos policiales en las actividades criminales y personas clave, a partir de la identificación y medición conforme a prácticas de inteligencia 216 . Dicho principio también ha sido definido como la aplicación del análisis de inteligencia criminal para la toma de decisiones, reducir la criminalidad y prevenirla a partir de estrategias efectivas, identificándose cuatro elementos fundamentales: concreción de los criminales, gestión de los puntos de conflicto, investigación de conductas delictivas y aplicación de medidas preventivas 217 . B. ORÍGENES DE LA PRÁCTICA MODERNA En Estados Unidos, las prácticas OSINT se remontan al servicio Foreign Broadcast Monitoring Service (FBMS) Office of Strategic Services (OSS), establecidos con la administración Roosevelt en el año 1941 con la finalidad de traducir, transcribir y analizar programas de radio de propaganda de onda corta que estaban siendo emitidos en los Estados Unidos por las potencias del Eje, encargándose incluso de traer prensa del bando 216 COPE, N., “Intelligence led policing or policing led intelligence”, Dialnet, 2, 2004. 217 RATCLIFFE, J., Intelligence-led policing, Australian Institute of Criminology, Canberra, 2003, p. 3. Página 135 de 450 del Eje. Con el ataque a Pearl Harbor a finales del mismo año, el servicio ganó mayor importancia y pasó a denominarse Foreign Broadcast Information Service (FBIS). Con el final de la segunda guerra mundial, pasó a quedar incluido dentro del organigrama de la CIA, y asumía las funciones de monitorear, traducir y diseminar dentro de los Estados Unidos las noticias e información que pudiera recabar desde fuentes extranjeras, desplegando importantes efectos durante el período de la guerra fría. Posteriormente, en noviembre de 2005, el FBIS fue absorbido por el Open Source Center, que asumió expresamente la tarea de recolectar y analizar la información públicamente disponible en Internet, bases de datos, prensa, radio, televisión, video, geospatial data, photos and commercial imagery 218 . Con la Intelligence Community Directive 301, las funciones del FBIS adquirieron aún mayor relevancia, pues la información de libre acceso pasó a considerarse como una de las principales fuentes de inteligencia. Otras agencias u organismos similares son la BBC Monitoring, en Reino Unido, con orígenes también en la Segunda Guerra Mundial, y el Office of National Assessments, en Australia, creada en 1974. Algunas herramientas utilizadas son Censys, Kali, Maltego, Shodan, Eleven Paths, OSFramework 219 , el comando –nslookup seguido del nombre del servidor o dirección de internet, la búsqueda whois, el analyst’s notebook de IBM, el IBM SPSS Modeler, y la técnica de la desanonimización de los datos. Sobre esta última cuestión, merece la pena traer a colación un estudio en el que investigadores de la Universidad de Zurich consiguieron eliminar la anonimización de datos efectuada por los tribunales suizos 220 , bastando a tal efecto con algunos twits para identificar fácilmente a su autor 221 . Tal es la preocupación al respecto que, ya en 1998, fue creado un índice que identificara el grado 218 “Office of the Director of National Intelligence”, 2006, fecha de consulta 19 marzo 2020, en https://web.archive.org/web/20060623072458/http://dni.gov/press_releases/20051108_release.htm. 219 RUBIO VIÑUELA, Y.; BREZO FERNÁNDEZ, F., “La utilización de herramientas de monitorización de usuarios como base para el perfilado de identidades en fuentes abiertas: OSRFramework”, en Actas de las primeras Jornadas Nacionales de Investigación en Ciberseguridad: León, 14, 15, 16 de septiembre de 2015. I JNIC2015, 2015, pp. 32–38, Servicio de Publicaciones, 2015, fecha de consulta 19 marzo 2020, en https://dialnet.unirioja.es/servlet/articulo?codigo=5469650. 220 CHANDLER, S., “Researchers Use Big Data And AI To Remove Legal Confidentiality”, Forbes, fecha de consulta 19 marzo 2020, en https://www.forbes.com/sites/simonchandler/2019/09/04/researchers–use– big–data–and–ai–to–remove–legal–confidentiality/. 221 “How hard is it to «de–anonymize» cellphone data?”, MIT News, fecha de consulta 19 marzo 2020, en https://news.mit.edu/2013/how–hard–it–de–anonymize–cellphone–data. Página 136 de 450 de seguridad que poseía determinada información anonimizada: k–anonyimty (posteriormente utilizado en el servicio “Have I Been Pwned?” 222 ). Esta práctica ha venido ganando mayor relevancia desde la comisión en el año 2001 de los atentados terroristas del 11S y la “War on Terror” que la administración Bush implantó en Estados Unidos. La aplicación de métodos más sofisticados, tanto para la recolección de datos como para su posterior análisis, así como la transgresión de la frontera de lo “públicamente accesible” ha conformado una nueva práctica modernamente conocida como data mining 223 , que se ha convertido en una “dimensión esencial del contraterrorismo, la ciberseguridad, la aplicación de políticas de drogas, la seguridad fronteriza y la recopilación de información para fines de inteligencia” 224 . Merece la pena destacar que, suscitada por la irrupción de la crisis de la covid-19, parecen haberse puesto de manifiesto las bondades de las herramientas de vigilancia masiva 225 . Numerosos Estados (Israel, China y la India, entre otros 226 ) afectados han adoptado medidas para aprovechar dichas fuentes de datos, sobre todo relativas a la movilidad de los ciudadanos 227 . Incluso la compañía Palantir ha llegado a ofrecer sus servicios a España, en un movimiento estratégico para aprovechar circunstancias que permitan exponer la cara amable de sus servicios 228 . C. PLATAFORMAS P2P A través de las plataformas P2P, la Policía Judicial rastrea las fuentes abiertas existentes en la web. La red P2P es un servicio de intercambio gratuito de archivos entre 222 “K–anonymity”, Wikipedia, 2020, fecha de consulta 19 marzo 2020, en https://en.wikipedia.org/w/index.php?title=K–anonymity&oldid=944270840. 223 “A Tech Fix For Illegal Government Snooping?”, NPR.org, fecha de consulta 19 marzo 2020, en https://www.npr.org/templates/story/story.php?storyId=106479613. 224 COHEN, S., “¿Quién necesita extraer inteligencia de fuentes abiertas (OSINT)?”, Red seguridad: revista especializada en seguridad informática, protección de datos y comunicaciones, 84, 2019, Borrmart. 225 BYUNG–CHUL, H., “La emergencia viral y el mundo de mañana. Byung–Chul Han, el filósofo surcoreano que piensa desde Berlín”, EL PAÍS, 2020, fecha de consulta 2 abril 2020, en https://elpais.com/ideas/2020– 03–21/la–emergencia–viral–y–el–mundo–de–manana–byung–chul–han–el–filosofo–surcoreano–que– piensa–desde–berlin.html. 226 “Tecnología, la nueva tentación que acecha a la libertad”, abc, 2020, fecha de consulta 3 mayo 2020, en https://www.abc.es/cultura/abci–tecnologia–nueva–tentacion–acecha–libertad–202004190256_noti- cia.html. 227 MUÑOZ, R., “Más de 40 millones de teléfonos móviles serán usados para rastrear el coronavirus en toda España”, EL PAÍS, 2020, fecha de consulta 2 abril 2020, en https://elpais.com/economia/2020–04–01/mas– de–40–millones–de–telefonos–moviles–seran–usados–para–rastrear–el–coronavirus.html. 228 PÉREZ COLOMÉ, J., “Palantir, misterioso proveedor del Pentágono y la CIA, ofrece a España sus servicios contra el coronavirus”, EL PAÍS, 2020, fecha de consulta 2 abril 2020, en https://elpais.com/tecnologia/2020–04–02/palantir–misterioso–proveedor–del–pentagono–y–la–cia–ofrece–a–espana–sus–servicios–contra–el–coronavirus.html. Página 137 de 450 sus usuarios, que realizan la comunicación entre sí de manera privada a través de un servidor–intermediario. Mediante esta herramienta, tiene lugar un intercambio de una ingente cantidad de información entre múltiples usuarios, que pueden descargar archivos de diferente tipo de manera compartida, a la vez que continúan manteniendo la cadena. La técnica que utilizan las fuerzas policiales para investigar en las plataformas P2P puede resumirse conforme a los siguientes pasos 229 : 1. Identificación de “archivos de interés” (file of interest o FOI), ya sean archivos cuya posesión constituya por sí misma delito u otros archivos que revelen interés en ese tipo de contenidos. La policía recoge estos archivos navegando por internet a través de búsquedas, descargas P2P, o soportes intervenidos, y obtiene su hash único para poder identificarlos en el futuro. 2. Búsqueda de posibles sospechosos de la tenencia de dichos archivos en los registros públicamente accesibles de los protocolos P2P, sin necesidad de autorización judicial. Se obtiene también la IP y otra información identificativa en el protocolo P2P, como los Identificadores Únicos Globales o Globally Unique Identifiers (GUIDs) 3. Selección de principales sospechosos en función de distintos factores como el tamaño de las descargas, demás archivos compartidos por el usuario P2P, etc. 4. Validación de que los archivos delictivos son ofrecidos desde los sospechosos en concreto, por ejemplo, limitando la descarga P2P para que solamente utilice la semilla del usuario sospechoso. 5. Emitir requerimiento al correspondiente ISP para que facilite los datos identificativos de las IP sospechosas. Es característico de este tipo de redes que el archivo se transmite entre el oferente y el interesado, de manera que la transmisión de datos tiene lugar entre los dos equipos 229 LIBERATORE, M.; ERDELY, R.; KERLE, T.; LEVINE, B. N.; SHIELDS, C., “Forensic investigation of peer– to–peer file sharing networks”, Digital Investigation, vol. 7, 2010, (The Proceedings of the Tenth Annual DFRWS Conference). Página 144 de 450 6. OBTENCIÓN DE DIRECCIONES IP A. CONCEPTUALIZACIÓN DE LA MEDIDA Nos referimos con esto a los diversos casos en los que la policía obtiene la dirección IP del espacio público de internet, sin dirigirse específicamente contra un usuario en concreto. B. CONCEPTO DE DIRECCIÓN IP La dirección IP es una etiqueta numérica que se asigna a la interfaz de red de un dispositivo que utilice el protocolo de internet (Internet Protocol) que, a su vez, está formado por el conjunto de protocolos de comunicación utilizados en internet, y es más conocido por las siglas TCP/IP, en la medida en que sus protocolos fundamentales son el protocolo de control de transmisiones (Transmission Control Protocol) y el protocolo de internet (Internet Protocol), cuyos orígenes se remontan a ARPANET, una red de computadoras y primera red de área amplia (wide area network) que fue desarrollada por encargo de DARPA (Defense Advanced Research Projects Agency) 242 , agencia incluida en el Departamento de Defensa de los Estados Unidos, motivo por el que también se conoce como modelo DoD (Department of Defense) 243 . La versión 4 del protocolo de internet, IPv4 (Internet Protocol version 4) define la dirección IP como un número binario de 32 bits permitiendo un espacio de direcciones de hasta 4.294.967.296 (es decir, 232) direcciones posibles 244 . Para expresarse en notación decimal, los 32 bits son divididos en 4 octetos o bytes, de 8 bits cada uno, lo que determina que cada octeto o byte pueda tener un valor de entre 0 y 255 (esto es así porque con 8 bits el número más alto que puede representarse es 255, toda vez que en notación binaria las posiciones 11111111 tienen valores decimales, de derecha a izquierda, de 1, 2, 4, 8, 16, 32, 64 y 128, lo que suma un total de 255). Ante el previsible agotamiento del protocolo IPv4 se está implantando progresivamente el protocolo IPv6 245 , que prevé direcciones IP compuestas por 128 bits en lugar de 32 bits, cuya ventaja en cuanto a capacidad de direccionamiento respecto del protocolo IPv4 se evidencia desde el momento en que admite 340.282.366.920.938.463.463. 374.607.431.768.211.456 direcciones posibles (es decir, 242 POSTEL, J., “DoD standard Internet Protocol”. 243 POSTEL, J., “Internet Protocol”. 244 ARREOLA GARCÍA, A., Ciberseguridad: ¿Por qué es importante para todos?, Siglo XXI Editores México, 2019. 245 “Internet Protocol, Version 6 (IPv6) Specification”, fecha de consulta 14 abril 2020, en https://tools.ietf.org/html/rfc2460. Página 145 de 450 2128), número completamente inconmensurable cuya duración se estima en 480 años antes de su agotamiento que permite el desarrollo del internet de las cosas (Internet of Things, IoT), entre otros elementos y sustanciales mejoras 246 . La dirección IP no debe confundirse con la dirección MAC, que no depende del protocolo de conexión utilizado en la red. También es posible que la dirección IP de un mismo dispositivo varíe con cada sesión de conexión, toda vez que el protocolo DHCP permite liberar de manera dinámica las IP no utilizadas y asignarlas conforme vaya resultando necesario. Por otro lado, en 1981 el direccionamiento de internet fue revisado y se introdujo la arquitectura de clases (Classful Network Architecture), que preveía las clases A, B, C, D y E. 247 Toda la estructura expuesta precisa de un organismo que asuma la coordinación y gestión de dicho protocolo de internet. A esa finalidad se dedicaba la Internet Assigned Numbers Authority (IANA), entidad internacional que supervisa la asignación global de direcciones IP, sistemas autónomos, servidores raíz de nombres de dominio DNS y otros recursos relativos a los protocolos de Internet 248 que, posteriormente, fue integrada en la Internet Corporation for Assigned Names and Numbers (ICANN), entidad sin ánimo de lucro constituida en 1998, radicada en el Estado de California y sujeta a las leyes de dicho Estado 249 . A su vez, la ICANN, a través de la IANA, delega sus paquetes de recursos en Registros Regionales de Internet o RIR (Regional Internet Registry), que son los que asignan definitivamente dichos recursos a los usuarios de su zona de competencia. Actualmente existen los cinco siguientes: American Registry for Internet Numbers (ARIN) 250 para Norteamérica, RIPE Network Coordination Centre (RIPE NCC) 251 para Europa, el Oriente Medio y Asia Central, Asia–Pacific Network Information Centre (APNIC) 252 para Asia y la Región Pacífica, Latin American and Caribbean Internet Address Registry 246 “Razones para la transición – IPv6”, 2016, fecha de consulta 14 abril 2020, en https://web.archive.org/web/20161104001553/http://www.ipv6.es/es–ES/transicion/quees/Paginas/10razones.aspx. 247 ANDREU, J., Instalación de equipos de red. Configuración (Redes locales), Editex, 2011. 248 “Internet Assigned Numbers Authority”, 2017, fecha de consulta 14 abril 2020, en https://web.archive.org/web/20170920185613/http://www.iana.org/. 249 “Beginner’s Guides – ICANN”, fecha de consulta 14 abril 2020, en https://www.icann.org/resources/pages/beginners–guides–2012–03–06–en. 250 “American Registry for Internet Numbers”, fecha de consulta 14 abril 2020, en https://www.arin.net/. 251 “RIPE Network Coordination Centre”, fecha de consulta 14 abril 2020, en https://www.ripe.net/. 252 “APNIC”, fecha de consulta 14 abril 2020, en https://www.apnic.net/. Página 146 de 450 (LACNIC) 253 para América Latina y el Caribe, y African Network Information Centre (AfriNIC)5 para África 254 . Precisamente la dependencia de la ICANN respecto de la normativa estadounidense, unida a su competencia respecto de los servidores raíz de nombres de dominio, ha sido fuente de controversia en relación con la gobernanza de internet 255 . C. PROTECCIÓN DISPENSADA AL DATO DE LA IP En realidad, y como se ha destacado en ocasiones 256 , el precepto sigue el criterio jurisprudencial marcado por el Tribunal Supremo (en sus SSTS 342/2013, de 17 de abril, y 680/2010, de 14 de julio) en cuanto a la falta de necesidad de contar con autorización judicial para proceder a obtener una dirección IP. Como hemos indicado con anterioridad, tal número únicamente identifica un dispositivo electrónico, y no a la persona que lo utiliza, ni revela información de las comunicaciones realizada por ella. En este sentido, generalmente 257 se entiende que la dirección IP no ha de considerarse amparada por el derecho al secreto de las comunicaciones del artículo 18.3 CE, en la medida en que no supone contenido comunicativo alguno. Aunque podría estar protegida por el artículo 18.4 CE, creemos que la protección dispensada sería insuficiente, al tratarse de un dato público. Al ser internet una red pública y abierta de comunicaciones basada en el protocolo TCP/IP, ampara una expectativa de privacidad por parte del usuario prácticamente inexistente por lo que se refiere a ese código. En ese sentido, la STC 173/2011, indica que “el consentimiento eficaz del sujeto particular permitirá la inmisión en su derecho a la intimidad, pues corresponde a cada persona acotar el ámbito de intimidad personal y familiar que reserva al conocimiento ajeno (SSTC 83/2002, de 22 de abril, FJ 5 y 196/2006, de 3 de julio, FJ 5), aunque este consentimiento puede ser revocado en cualquier momento (STC 159/2009, de 29 de junio, FJ 3). Ahora bien, se vulnerará el derecho a la intimidad personal cuando la penetración en el ámbito propio y reservado del sujeto “aun autorizada, subvierta los términos y el 253 “LACNIC Inicio”, fecha de consulta 14 abril 2020, en https://www.lacnic.net/. 254 “AFRINIC – Regional Internet Registry for Africa”, AFRINIC – Regional Internet Registry for Africa, fecha de consulta 14 abril 2020, en https://www.afrinic.net/. 255 TAYLOR, E.; HOFFMANN, S., “EU–US Relations on Internet Governance”, fecha de consulta 14 abril 2020, en https://www.chathamhouse.org/sites/default/files/publications/research/2019–11–14–EU–US– Relations–Internet–Governance2.pdf. 256 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 460. 257 Ibid. Página 147 de 450 alcance para el que se otorgó el consentimiento, quebrando la conexión entre la información personal que se recaba y el objetivo tolerado para el que fue recogida” (SSTC 196/2004, de 15 de noviembre, FJ 2; 206/2007, de 24 de septiembre, FJ 5; y 70/2009, de 23 de marzo, FJ 2). En lo relativo a la forma de prestación del consentimiento, hemos manifestado que este no precisa ser expreso, admitiéndose también un consentimiento tácito. Así, en la STC 196/2004, de 15 de noviembre, en que se analizaba si un reconocimiento médico realizado a un trabajador había afectado a su intimidad personal, reconocimos no sólo la eficacia del consentimiento prestado verbalmente, sino además la del derivado de la realización de actos concluyentes que expresen dicha voluntad (FJ 9). También llegamos a esta conclusión en las SSTC 22/1984, de 17 de febrero, y 209/2007, de 24 de septiembre, en supuestos referentes al derecho a la inviolabilidad del domicilio del artículo 18.2 CE, manifestando en la primera que este consentimiento no necesita ser “expreso” (FJ 3) y en la segunda que, salvo casos excepcionales, la mera falta de oposición a la intromisión domiciliar no podrá entenderse como un consentimiento tácito (FJ 5).” En similar sentido, la STS 1299/2011, de 17 de noviembre, declaraba que los rastreos realizados por la policía con el objeto de averiguar los IP que hubieran accedido a archivos de pornografía infantil no se diferenciaban de la que podía realizar cualquier usuario, en la medida en que es el propio usuario el que introduce su IP en la red, a sabiendas de que la huella de entrada queda registrada, como cuando, en el caso de un programa P2P, los usuarios asumen que muchos de sus datos se convierten en públicos, entendiendo el tribunal que dicha circunstancia es conocida o debe ser conocida por los internautas. A nuestro juicio, se trata un argumento discutible, no sólo porque implique asumir la existencia de un consentimiento tácito respecto de la disposición de un derecho que es irrenunciable por su carácter fundamental, sino porque los usuarios tienen la posibilidad de adoptar medidas para proteger su IP del conocimiento de terceros, lo que –precisamente con base en el mismo argumento de la expectativa de privacidad– determinaría que la misma fuera un dato que el usuario pretende y desea mantener reservado respecto del Página 148 de 450 público conocimiento (lo que sucede, por ejemplo, en el caso de los servicios VPN 258 ), a pesar del uso de un programa P2P. Debe destacarse la distinción de este tratamiento respecto del que se hace del supuesto de obtención de los datos de titularidad de un dispositivo que fuese identificado mediante número IMEI 259 . Como veremos, en este último supuesto no sería preciso autorización judicial para que los prestadores de servicios facilitaran dicha información a la policía 260 . No obstante, para lo que en todo caso no es necesaria autorización judicial es para la obtención de una dirección IP. Se hace necesario recordar que, de conformidad con el artículo 22.2 LO 15/1999, “La recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad”. Esa disposición ha mantenido su vigencia con la entrada en vigor de la nueva LO 3/2018, en cuanto que su D.T. 4ª establece específicamente que «Los tratamientos sometidos a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13 de diciembre, y en particular el artículo 22, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva.» 258 Tecnología de red de ordenadores que permite una extensión segura de la red de área local (LAN) sobre una red pública o no controlada como Internet. Permite que el ordenador en la red envíe y reciba datos sobre redes compartidas o públicas como si fuera una red privada, con toda la funcionalidad, seguridad y políticas de gestión de una red privada. 259 El IMSI, por su parte, sirve para identificar al usuario de dicho dispositivo. 260 –elemento este no exento de controversia, por otro lado– Página 149 de 450 Lo que resulta claro es que la policía puede obtener la dirección IP de un sistema informático sin necesidad de previa autorización judicial, sea mediante actividad de ciberpatrullaje o por cualquier otro medio. Sí será necesaria la intervención judicial en el momento de requerir a los obligados por el deber de colaboración para que cedan los datos que permitan localizar al terminal y determinar al usuario al que fue asignada dicha dirección. Ahora bien, si la Policía Judicial no puede obtener la dirección IP por sí misma, deberá recabar autorización judicial para acceder a los datos que se hubieran conservado con sometimiento al régimen de la Ley 25/2007, toda vez que el artículo 3 de la referida ley obliga a conservar dicho dato. Abundando en esta línea, interesa mencionar la STEDH de 24 de abril de 2018 (caso Benedik c. Eslovenia), en la que el tribunal concluyó, en un supuesto de requerimiento dirigido directamente por la policía al ISP, sin contar con autorización judicial, para que proporcionara datos suficientes para identificar al usuario al que se había atribuido la dirección de una IP dinámica en un determinado momento, que la expectativa de privacidad del investigado respecto a su actividad online no puede considerarse injustificada o irrazonable, considerando que la privacidad de la actividad online queda protegida por el concepto de vida privada del artículo 8 CEDH, que solamente puede ser restringido de conformidad con el principio de legalidad invocado en el artículo 8.2 CEDH, por lo que, al carecer la legislación eslovena de normativa específica habilitante de dicha capacidad investigadora, provoca que la ley sobre la que se basa la medida controvertida, es decir la obtención por parte de la policía de información de abonado asociada a la dirección IP dinámica en cuestión, y la forma en que fue aplicada por los tribunales nacionales, carecía de claridad y no ofrecía suficientes salvaguardas contra la injerencia arbitraria en los derechos del artículo 8. En todo caso, la obtención de la dirección IP por la Policía Judicial no está prevista en el ordenamiento jurídico más allá de este artículo 588 ter k LECrim que, como hemos visto, lo refiere únicamente de manera indirecta. D. UTILIDAD DE LA DIRECCIÓN IP EN UNA INVESTIGACIÓN La dirección IP permite identificar al dispositivo electrónico que establece la conexión a través de la entidad prestadora de servicios (ISP). De esta manera, en el proceso de averiguación de un determinado hecho delictivo, lo que permite la IP es determinar el dispositivo desde el que se produjo la conexión y, previa autorización judicial, la persona Página 150 de 450 titular de la relación contractual que ha dado lugar a la asignación de dicha dirección IP, pero nada más. En ese sentido, tal averiguación no permite acreditar la persona que estaba utilizando el dispositivo electrónico en el momento del hecho delictivo, que podría haber sido cometido por cualquier sujeto distinto del usuario que conste en los archivos del ISP, que podría haber utilizado el dispositivo sin consentimiento del titular mediante un acceso no autorizado por vía física o, incluso, telemática. Como declara la STS 8316/2012, de 3 de diciembre, el hecho de que una persona sea titular de una línea con una concreta dirección IP desde la que se ha cometido un delito no es un dato suficiente para culpabilizar al titular de la línea de la comisión del delito, ante la inexistencia de otras pruebas 261 . En suma, la problemática que surge en relación a las averiguaciones de IP es que no siempre quien aparece formalmente como titular de la línea a la que se asigna dicha IP va a ser el autor material de la actividad ilícita investigada. En consecuencia, las medidas de investigación tecnológica tienen que complementarse con otras más tradicionales y, en general, las posibilidades de autoencubrimiento y ocultación son muy numerosas. Es por ello que la investigación relativa a la dirección IP debe rodearse de otras fuentes de prueba, obtenidas tanto de forma tradicional (seguimientos, registros, etc.) como virtuales (ciberpatrullaje, intervención de comunicaciones, etc.) que permitan imputar los hechos investigados a una persona concreta 262 . Además de la necesidad de practicar diligencias de investigación complementarias, la investigación a través de la dirección IP se encuentra con otras dificultades propias de la técnica, y que perjudican directamente a la construcción indiciaria, entre otras, las siguientes 263 : i) la atribución de direcciones IP dinámicas, que provoca que la dirección IP asignada por el proveedor de acceso a internet al equipo conectado varíe con cada sesión, por lo que la averiguación debe dirigirse no sólo a la identificación de un equipo concreto, sino de un equipo concreto en un momento determinado; ii) el uso de servidores proxy, que permiten a varios equipos utilizar la misma dirección IP; iii) las conexiones WiFi con pobres configuraciones de seguridad, que permiten ser utilizadas por usuarios terceros sin consentimiento del titular; iv) los propios establecimientos cibercafés o 261 QUEVEDO GONZÁLEZ, J., Investigación y prueba del ciberdelito, cit., p. 136. 262 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 457. 263 DELGADO MARTÍN, J., “La prueba digital. Concepto, clases, aportación al proceso y valoración”, cit., p. 457. Página 151 de 450 similares, que carecen de debido control sobre la persona que utiliza cada equipo en un momento determinado, pues la IP permitirá tan sólo identificar al negocio; y v) la tecnología NAT, que permite que una misma dirección IP sea utilizada por multitud de equipos que formen parte de una red local, y que prolifera debido a que ninguna normativa obliga a las operadoras a registrar los puertos que acceden a internet en cada momento, ni tampoco son datos que queden conservados en el router. En cualquier caso, conocer la IP utilizada por los equipos informáticos no solo puede ser por sí mismo un elemento fundamental dentro de toda investigación referida al ciberespacio sino que, también, es un dato previo que ha de conocerse para poder requerir a la empresa de telecomunicaciones –previa autorización judicial– que reporte los datos de abonado correspondientes a la misma, de donde puede resultar la mayor parte de la utilidad de esta capacidad autónoma de investigación policial 264 . E. MODALIDADES DE OBTENCIÓN DE LA IP La dirección IP puede obtenerse de diferentes modos: a través de la actividad de ciberpatrullaje, a través de la víctima, en supuestos de hallazgos casuales, en supuestos de urgencia, mediante cesión previa autorización judicial y mediante cesión voluntaria. En cuanto a la obtención mediante fuentes abiertas, lo cierto es que, como se ha visto, las Fuerzas y Cuerpos de Seguridad del Estado desarrollan continuamente rastreos y sondeos en el ciberespacio público, todo ello en cumplimiento de sus funciones de prevención e investigación de los delitos. En el rastreo de estas “fuentes abiertas” o ámbito público de internet, la policía puede hallar direcciones IP públicamente registradas en conexiones que puedan tener contenido delictivo. Ya nos hemos referido en el capítulo anterior a esta cuestión, por lo que ahora nos limitamos a exponer el razonamiento de la STS 842/2010, de 7 de octubre, por lo ilustrativo que resulta, cuando indica que “los rastreos que realizan en estos casos los agentes policiales tienen por objeto desenmascarar la identidad críptica de los IP que habían accedido a los hush que contenían pornografía infantil. El acceso a dicha información calificada por el recurrente de ilegítima o irregular, puede efectuarla cualquier usuario. No se precisa de autorización judicial para conseguir lo que es público y el propio 264 CALVO LÓPEZ, D., “Capacidades de actuación del Ministerio Fiscal y la Policía Judicial tras la reforma procesal operada por la Ley Orgánica 13/2015: en especial la obtención de direcciones IP y numeraciones IMEI e IMSI (apartados K) a M) del art. 588 ter de la LECrim)”, cit., p. 12. Página 152 de 450 usuario de la red es quien lo ha introducido en la misma […] quien utiliza un programa P2P asume que muchos de los datos que él mismo incorpora a la red con su actividad se convierten en públicos para los usuarios de Internet, circunstancia que conocen o deben conocer los internautas, y tales datos conocidos por la policía no se hallaban protegidos por el artículo 18.1 ni por el 18.3 CE.” Una vez obtenida la dirección IP, bastaría con acudir a las bases de datos WhoIs para conocer el ISP que habría asignado dicha dirección IP y, con ello, ya podría solicitarse la autorización judicial para que se requiriera al ISP para que aportara los datos del usuario al que correspondiera dicha dirección IP. Merece la pena destacar que las bases de datos WhoIs también están disponibles para el público 265 . En otras ocasiones, es la propia víctima del delito la que aporta la dirección IP del dispositivo utilizado para la comisión del hecho delictivo. La doctrina refiere, por ejemplo, el supuesto de correos electrónicos de extorsión que incorporan la dirección IP del remitente. 266 En definitiva, es un caso de acceso por una persona distinta del emisor de la conexión al dato de la dirección IP, que se encuentra públicamente disponible en el ciberespacio. En tal sentido, la Fiscalía General del Estado ya afirmaba en su Circular 1/2013 267 que la garantía del secreto de las comunicaciones sólo opera cuando la injerencia es realizada por una persona ajena al proceso de comunicación, ya que lo que persigue la norma es garantizar la impenetrabilidad de la comunicación por terceros ajenos a la misma. Del mismo modo, la STC núm. 56/2003, de 24 de marzo, concluía que no existe prohibición para conocer, por parte de uno de los interlocutores, el número de teléfono desde el que se establece comunicación con él; en otro caso, todos los teléfonos que muestran el número desde el que están siendo llamados infringirían el secreto de las comunicaciones amparado por el artículo 18.3 CE. Lo fundamental es, a fin de cuentas, que se trataría de una información pública introducida en el espacio público del ciberespacio por la persona que cometió el delito, que la víctima únicamente pone a disposición de la autoridad correspondiente en el 265 Ibid., p. 15. 266 Ibid. 267 “BOE.es – Documento FIS–C–2013–00001”, fecha de consulta 15 abril 2020, en https://www.boe.es/buscar/doc.php?coleccion=fiscalia&id=FIS–C–2013–00001&tn=2. Página 153 de 450 momento de formular su denuncia y, por tanto, respecto del que la persona investigada no podrá alegar después una expectativa razonable de privacidad. En otros casos ocasiones, la policía conoce una dirección IP no a través de fuentes abiertas, sino como consecuencia de un hallazgo casual. Llegados a este punto, interesa traer a colación la ya clásica STS 786/2015, que concluye que “no puede obtener el mismo tratamiento jurídico la accidental apertura de un sobre introducido por error en un buzón que no es el de su destinatario –equivocación que permite el descubrimiento de un hecho de relieve penal–, frente a la fractura intencionada del buzón de un vecino con la finalidad de acceder a su correspondencia y vulnerar así su intimidad.” En consecuencia, debe tenerse presente la imposibilidad de acudir a la figura del hallazgo casual para intentar solventar posibles dudas de ilicitud que puedan surgir en la práctica de las diligencias policiales oportunas. En cuanto a los supuestos de urgencia, en el apartado tercero del artículo 588 ter d) LECrim se prevé la posibilidad de efectuar interceptación de comunicaciones telefónicas y telemáticas en los supuestos de delitos de terrorismo o en los que intervengan bandas armadas, previa orden del Ministro del Interior y posterior comunicación al juez en el plazo de 24 horas como máximo. Por otro lado, debemos señalar que la alternativa más plausible en la práctica, cuando la policía no puede obtenerla a través del ciberpatrullaje, es la obtención mediante autorización judicial. En la medida en que es uno de los datos que los ISP están obligados a conservar, de conformidad con el artículo 3 de la Ley 25/2007, basta con obtener la autorización judicial prevista en el artículo 6 de la referida ley. La necesidad de obtener previa autorización judicial para que el ISP remita la información de identificación del cliente al que esté asignada la dirección IP en cuestión viene establecida no sólo en la Ley 25/2007, sino también en el artículo 588 ter k LECrim incorporado con la nueva LO 13/2015, que sigue la línea de las SSTS 292/2008, de 28 de mayo, 236/2008, de 9 de mayo y 680/2010, de 14 de julio. Por último, ha de plantearse, igualmente, la hipótesis de la cesión voluntaria del dato de la dirección IP por parte del ISP. Nos referimos, así, a los casos en que se facilita la IP asociada a la conducta investigada sin que haya existido requerimiento al efecto y sin, en consecuencia, recabar la autorización judicial previa. Interesa destacar la Página 256 de 450 Los troyanos y otros tipos de malware, así como muchas utilidades software han evolucionado hacia el modelo de conexión inversa debido a la extensión de routers que aplican en su mayoría por defecto una capa de seguridad en la red inicial (como el propio NAT) actuando como firewall que impide bajo condiciones, conexiones entrantes hacia los clientes de la red salvo que este mecanismo se deshabilite o configure expresamente. De esta manera, es más sencillo crear herramientas que se salten esta protección ocasionando que sean los clientes los que soliciten sus órdenes remotas en lugar de permitir recibirlas. A pesar de que los troyanos de conexión directa han caído en desuso casi totalmente frente a los de conexión inversa, dentro de los círculos de piratas informáticos se sigue utilizando la denominación de cliente para el equipo atacante y servidor para el equipo víctima, aunque sea incorrecto desde un punto de vista estricto. La conexión inversa tiene claras ventajas sobre la conexión directa. Esta traspasa algunos firewalls (la mayoría de los firewalls no analizan los paquetes que salen de la computadora, pero que sí analizan los que entran), pueden ser usados en redes situadas detrás de un router sin problemas (no es necesario redirigir los puertos) y no es necesario conocer la dirección IP del servidor. Cabe destacar que existen otro tipo de conexiones, que no son de equipo víctima a equipo atacante, sino que utilizan un servidor intermedio, normalmente ajeno a ambos, para realizar el proceso de control. Se suelen utilizar para este propósito los protocolos IRC y el FTP, HTTP, aunque también pueden usarse otros. B. INSTALACIÓN DE TROYANOS En esta modalidad de acceso se procede a instalar un software que permite acceder al contenido del dispositivo electrónico infectado, haciendo posible que las autoridades escaneen los discos duros y demás unidades de almacenamiento conectadas y remita, de forma remota y automatizada, el contenido a la autoridad responsable de la investigación. 489 Una de las principales ventajas de los troyanos es que permite evitar la intervención de los proveedores de servicios de internet o ISP, por lo que la investigación puede avanzar con independencia de la colaboración de instituciones privadas (frecuentemente 489 ORTIZ PRADILLO, J. C., “Nuevas medidas tecnológicas de investigación criminal para la obtención de prueba electrónica”, cit., p. 289. Página 257 de 450 extranjeras) que, por motivos insondables, pueden no tener interés en que la investigación llegue a buen puerto 490 . Por lo general, se emplean troyanos, que son programas que, camuflados con una apariencia de programa útil, en realidad explotan los derechos del usuario del programa de una forma que el usuario no pretende 491 . Los troyanos están diseñados para permitir a un individuo el acceso remoto a un sistema. Una vez en ejecución, el atacante puede acceder al sistema de forma remota y realizar diferentes acciones sin necesitar permiso 492 . Generalmente, se reconoce 493 que la instalación de troyanos resulta útil en supuestos variados, como cuando el dispositivo electrónico se encuentra en movimiento constante –caso de los smartphones y demás dispositivos portátiles, cuando acceder al lugar donde se halle suponga un peligro para la vida de los agentes o para la integridad de la información o del propio equipo informático, o cuando es necesario acceder al equipo informático en directo para capturar las claves utilizadas 494 . En tal sentido, se ha afirmado que los troyanos proporcionan “a las autoridades la posibilidad de acceder de forma rápida a una valiosa fuente de prueba (la información almacenada en el equipo informático), pero deben establecerse legalmente las circunstancias, requisitos y límites bajo los cuales estos registros remotos (transfronterizos o no) resultarán admisibles” 495 . La doctrina tampoco desatiende las múltiples ventajas que los troyanos pueden tener en esas circunstancias. Así, se destaca que tal modalidad de investigación, captando mucha más información, exige menos efectivos investigadores que cualquier otra. Además, es fácilmente expandible, en la medida en que se instala a través de internet, lo que le aporta un elemento de ubicuidad muy necesario en la ciberinvestigación. Permite, igualmente, enfocar la actividad investigadora, en la medida en que también puede programarse para buscar y seleccionar la información más relevante a través del uso de 490 “Van den Eynde | Prueba Electrónica (III): Cloud, Troyanos, Herramientas forenses, etc.”, fecha de consulta 6 abril 2020, en https://eynde.es/es/prueba–electronica–cloud–troyanos/. 491 LANDWEHR, C.; BULL, A.; MCDERMOTT, J.; CHOI, W., “A Taxonomy of Computer Program Security Flaws”, ACM Computing Surveys – CSUR, vol. 26, 1993. 492 “SANS Institute: Reading Room – Malicious Code”, fecha de consulta 5 abril 2020, en https://www.sans.org/reading–room/whitepapers/malicious/paper/953. 493 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 411. 494 ORTIZ PRADILLO, J. C., “Nuevas medidas tecnológicas de investigación criminal para la obtención de prueba electrónica”, cit., p. 290. 495 ORTIZ PRADILLO, J. C., “Propuestas para la lucha contra el cibercrimen: la obtención transfronteriza de prueba electrónica en la Unión Europea”, Revista General de Derecho Procesal, 20, 2010, p. 9. Página 258 de 450 búsquedas automatizadas 496 . Sobre esto último, tal vez hay que destacar que supondría un tratamiento adicional de la información que, por un lado, puede permitir búsquedas y rastreos más respetuosos con los derechos fundamentales del investigado (al recabar solamente la información que contenga determinadas etiquetas), pero, por otro, implica una serie de atribuciones a la autoridad investigadora que quizás harían exigible que dicho extremo se incluyera en el auto que dictara el juez de instrucción autorizando la medida. C. TIPOS Y UTILIDADES DE TROYANOS Existen multitud de troyanos diferentes en función de la finalidad a la que sirven. Nosotros vamos a destacar aquellos que, por sus características, reúnen más probabilidades de ser empleados por la policía. Backdoors: un troyano de estas características permite al atacante conectarse remotamente al equipo infectado. Las conexiones remotas son comúnmente utilizadas en informática y la única diferencia entre estas y un backdoor es que, en el segundo caso, la herramienta es instalada sin el consentimiento del usuario. La tecnología aplicada para acceder remotamente al equipo no posee ninguna innovación en particular ni diferente a los usos inofensivos con que son utilizadas estas mismas aplicaciones. Una vez que el atacante accede al ordenador del usuario, los usos que puede hacer del mismo son variados, según las herramientas que utilice: enviar correos masivos, eliminar o modificar archivos, ejecución de archivos, reiniciar el equipo o usos más complejos como instalar aplicaciones para uso malicioso (por ejemplo: alojamiento de sitios web de violencia o pornografía de menores). Keyloggers: se ha entendido como un complemento técnico que se emplea ante la necesidad de captar actuaciones interactivas no monitorizables en el investigado, especialmente su clave y contraseña, y previa autorización judicial 497 . Los keyloggers 498 son uno de los tipos más utilizados para obtener información sensible de los usuarios. Los troyanos de esta clase instalan una herramienta para detectar y registrar las pulsaciones del teclado en un sistema. Pueden capturar información relativa contraseñas de correos, cuentas bancarias o sitios web, entre otras, y abrir la puerta para atentar contra 496 VELASCO NÚÑEZ, E., “ADSL y troyanos: intervención de sus datos y telecomunicaciones en la investigación penal”, La ley penal: revista de derecho penal, procesal y penitenciario, 82, 2011, Wolters Kluwer. 497 VELASCO NÚÑEZ, E., “Novedades técnicas de investigación penal vinculadas a las nuevas tecnologías – El Derecho – Fiscal, Penal, Sector Jurídico”, cit. 498 del inglés Key = Tecla y Log = Registro Página 259 de 450 información sensible del usuario. La información capturada es enviada al atacante generalmente, en archivos de texto con la información. Estos troyanos no son una amenaza para el sistema sino para el usuario y su privacidad. Los datos recolectados pueden ser utilizados para realizar todo tipo de ataques, con fines económicos o, simplemente, malignos 499 . Una de las más destacadas utilidades de los keyloggers es que permiten a la autoridad averiguar las contraseñas de cifrado utilizadas por los investigados para proteger la información. Ello es especialmente útil en un ordenamiento jurídico como el nuestro, en el que de momento no se sanciona la negativa del investigado a facilitar las contraseñas de su cifrado, al contrario de lo que sucede, por ejemplo, en Reino Unido, en el que la Regulation of Investigatory Powers Act, en su apartado 39, ya permitía en el año 2000 establecer sanciones por dicha negativa. 500 Botnets: Los troyanos botnets son utilizados para crear redes de equipos zombis (botnets). El atacante utiliza el troyano (generalmente combinado con herramientas de backdoors) para controlar una cantidad importante de ordenadores y así poder utilizarlos para cualquier fin maligno. Pueden ser utilizados para enviar spam o para realizar ataques de denegación de servicio (DoS); estos consisten en saturar un sitio web generando más accesos y requerimientos de los que puede soportar y provocando la baja del servicio. Proxy: este tipo de troyanos instalan herramientas en el ordenador que le permiten al atacante utilizar el ordenador infectado como un servidor proxy. Un proxy es un servidor que da acceso a otros ordenadores a Internet a través de él. En este caso, el atacante utiliza el ordenador infectado para acceder a la web a través de él, enmascarando su identidad. Password Stealer: se encargan de robar información introducida en los formularios en las páginas web. Pueden robar información de todo tipo, como direcciones de correo electrónico, logins, passwords, PINs, números de cuentas bancarias y de tarjetas de crédito. Estos datos pueden ser enviados por correo electrónico o almacenados en un servidor al que el delincuente accede para recoger la información robada. En la mayoría de sus versiones, utilizan técnicas keyloggers para su ejecución y son similares a estos. 499 como modificar las contraseñas de las cuentas de acceso a algún servicio 500 “Van den Eynde | Retos relacionados con la prueba electrónica (parte I)”, fecha de consulta 6 abril 2020, en https://eynde.es/es/prueba–electronica–1/. Página 260 de 450 Dialer: crean conexiones telefónicas en el ordenador del usuario, utilizando las funcionalidades del módem. Estas conexiones son creadas y ejecutadas de forma transparente a la víctima. Generalmente, se trata de llamados de alto costo a sitios relacionados con contenido adulto en Internet. Este tipo de troyanos crean un daño económico al usuario, el ordenador no se ve afectado por hacer una llamada telefónica. Cementery: novedad en este tipo de malware, apareciendo por primera vez en 2018. Su principal propósito es el robo de información multimedia y documentos. Trabaja exclusivamente en la papelera de reciclaje, ya que es el área más vulnerable de cualquier ordenador. Cambia las propiedades de los archivos infectados, alterando su fecha de creación, tipo de archivo o fecha de eliminación del mismo, comúnmente con fechas recientes o incluso semanas próximas, provocando que un antivirus no pueda detectarlo ya que el archivo todavía "no fue creado". Algunas de las operaciones más comunes a las que sirven los troyanos son: utilización la máquina como parte de una botnet (por ejemplo, para realizar ataques de denegación de servicio o envío de spam), instalación de otros programas (incluyendo aplicaciones maliciosas), robo de información personal: información bancaria, contraseñas, códigos de seguridad, robo de archivos varios, etcétera, borrado, modificación o transferencia de archivos (descarga o subida), borrado completo del disco, ejecución o finalización de procesos, apagado o reiniciado del equipo, captura de las pulsaciones del teclado, capturas de pantalla, llenado del disco duro con archivos inútiles, monitorización del sistema y seguimiento de las acciones del usuario, captura de imágenes o videos a través de la webcam, si tiene, expulsar la unidad de CD, cambiar la apariencia del sistema, etc. Por último, hay que dejar constancia de que los troyanos no solamente pueden ser empleados en ordenadores, sino también en dispositivos móviles y tabletas. Dado el uso personal de estos dispositivos, las acciones que un atacante puede realizar en estos dispositivos comprende las ya descritas, más otras específicas derivadas de la naturaleza privada de la información que se almacena en estas plataformas, como captura de los mensajes entrantes y salientes de aplicaciones de mensajería, captura del registro de llamadas, acceso y modificación de contactos en la agenda, habilidad para efectuar llamadas y enviar mensajes de texto, adquirir conocimiento de la posición geográfica del dispositivo mediante GPS. Página 261 de 450 7. LOS HALLAZGOS CASUALES La figura del hallazgo casual ha sido regulada de manera expresa con ocasión de la reforma de la LECrim operada por la Ley Orgánica 13/2015, de 5 de octubre, de modificación de la Ley de Enjuiciamiento Criminal para el fortalecimiento de las garantías procesales y la regulación de las medidas de investigación tecnológica. Se trata de la primera ocasión en que es abordada de un modo claro por el legislador. Hasta entonces, solamente la doctrina y la jurisprudencia se habían ocupado de esta cuestión 501 . A. CONCEPTO DE HALLAZGO OCASIONAL Originariamente, se ha venido entendiendo que hallazgo casual sería todo aquel descubrimiento fortuito de cualquier elemento de la realidad que no estuviera siendo inicialmente buscado 502 , sin importar si dicho descubrimiento se producía en el seno de una diligencia de investigación restrictiva de derechos fundamentales o en cualquier otro momento, incluso previo a la apertura de la fase de instrucción. Con “hallazgo casual” se refería la jurisprudencia, por tanto, a todo descubrimiento no expresamente perseguido 503 . Posteriormente, dichas concepciones generalistas se han superado por la doctrina 504 , que ha establecido definiciones no sólo más concretas, sino que sitúan al concepto de “hallazgo casual” en una situación jurídica muy específica, que exige para su apreciación la existencia de una investigación previa en la que se haya autorizado una injerencia de derechos fundamentales de la que derive dicho hallazgo. Queda, por tanto, descartado que sean hallazgos casuales los supuestos en que el descubrimiento no tenga lugar en el marco descrito. 505 La STS 377/2018, de 23 de julio, recordaba, respecto de los hallazgos casuales, que estos se producen cuando, habiéndose obtenido la correspondiente habilitación 501 NADAL GÓMEZ, I., “El Régimen de los hallazgos casuales en la Ley 13/2015, de modificación de la ley de Enjuiciamiento criminal”, cit., p. 3. 502 DÍAZ CABIALE, J. A.; MARTÍN MORALES, R., La garantía constitucional de la inadmisión de la prueba ilícitamente obtenida, 2001, p. 190. 503 NADAL GÓMEZ, I., “El Régimen de los hallazgos casuales en la Ley 13/2015, de modificación de la ley de Enjuiciamiento criminal”, cit., p. 5. 504 ECHARRI CASI, F. J., “Prueba ilícita: conexión de antijuridicidad y hallazgos casuales”, Revista del poder judicial, 69, 2003, Consejo General del Poder Judicial; KAPPLER, S. I. Á. DE N., “Los descubrimientos casuales en el marco de una investigación penal: (Con especial referencia a las diligencias de entrada y registro en domicilio).”, Riedpa: Revista Internacional de Estudios de Derecho Procesal y Arbitraje, 2, 2011, Del Blanco Editores. 505 NADAL GÓMEZ, I., “El Régimen de los hallazgos casuales en la Ley 13/2015, de modificación de la ley de Enjuiciamiento criminal”, cit., p. 7. Página 262 de 450 judicial para la práctica de una diligencia que afecta a los derechos fundamentales del sujeto investigado, con motivo de la persecución de una serie de conductas delictivas concretas y determinadas, aparecen fuentes de prueba relativas a otro u otros delitos distintos de los cuales no se tenían noticias con anterioridad. B. RÉGIMEN JURÍDICO El precepto nuclear, que contiene la regulación de dicho instituto, es el artículo 579 bis LECrim que, en tres apartados diferenciados, dispone que “1. El resultado de la detención y apertura de la correspondencia escrita y telegráfica podrá ser utilizado como medio de investigación o prueba en otro proceso penal. 2. A tal efecto, se procederá a la deducción de testimonio de los particulares necesarios para acreditar la legitimidad de la injerencia. Se incluirán entre los antecedentes indispensables, en todo caso, la solicitud inicial para la adopción, la resolución judicial que la acuerda y todas las peticiones y resoluciones judiciales de prórroga recaídas en el procedimiento de origen. 3. La continuación de esta medida para la investigación del delito casualmente descubierto requiere autorización del juez competente, para la cual, este comprobará la diligencia de la actuación, evaluando el marco en el que se produjo el hallazgo casual y la imposibilidad de haber solicitado la medida que lo incluyera en su momento. Asimismo, se informará si las diligencias continúan declaradas secretas, a los efectos de que tal declaración sea respetada en el otro proceso penal, comunicando el momento en el que dicho secreto se alce.” A dicho contenido remitirá posteriormente el artículo 588 bis i) LECrim, cuando indica que “el uso de las informaciones obtenidas en un procedimiento distinto y los descubrimientos casuales se regularan con arreglo a lo dispuesto en el artículo 579 bis.” Al estudiar el contenido del artículo 579 bis LECrim, la doctrina ha concluido 506 que contiene una doble perspectiva respecto del hallazgo casual, la de su utilidad investigadora como punto de partida de una instrucción o notitia criminis, y la de su validez probatoria como fundamento de la posterior sentencia. Esta doble perspectiva coincide con la mantenida por la jurisprudencia, que recuerda que en los hallazgos casuales hay 506 Ibid., p. 3. Página 263 de 450 que distinguir dos funciones, la probatoria y la investigadora, como indica la STS 377/2018, de 23 de julio 507 . La referida STS 377/2018 también se refiere a los supuestos en que se le podrá atribuir una u otra eficacia, cuando recuerda que “1) Si los hechos descubiertos tienen conexión (artículo 17 LECrim ) con los que son objeto del procedimiento instructorio, los hallazgos surtirán efectos tanto de investigación como de prueba.2) Si los hechos ocasionalmente conocidos no guardasen esa conexión con los causantes del acuerdo de la medida y aparentan una gravedad penal suficiente como para tolerar proporcionalmente su adopción, se estimarán como mera “notitia criminis” y se deducirá testimonio para que, siguiendo las normas de competencia territorial y en su caso las de reparto, se inicie el correspondiente proceso. Todo ello determina que la jurisprudencia se pronuncie favorablemente con que un descubrimiento causal sea lícito y no afecte a la presunción de inocencia, considerándose una nueva fuente de prueba de cargo, enervante y motivadora de una sentencia condenatoria.” Como se puede comprobar, se exigen una serie de requisitos que han de cumplirse para que dicha eficacia sea posible. Esos requisitos apuntan directamente a la legitimidad de la injerencia que dio lugar al hallazgo casual y de las actuaciones posteriores que se realicen tras dicho hallazgo. Esto es, “el precepto consagra la necesidad de constatar la legalidad precedente y subsecuente en la obtención del hallazgo casual, como requisito ineludible para otorgarle cualquier valor en el mismo o en otro proceso” 508 . En ese sentido, hay que recordar que será necesario “llevar a cabo una comprobación acerca de si la Policía Judicial o el Fiscal que solicitaron la medida tendrían que haber previsto la posibilidad de la aparición de tal hallazgo, que no sería entonces casual, y por consiguiente denegarle tal carácter o, por el contrario, entender que vistas las circunstancias era imposible su previsión anticipada, y ha de otorgarse naturaleza de hallazgo casual” 509 . 507 Cuando concluye que “para clarificar el problema de los hallazgos casuales es necesario distinguir entre función probatoria y función investigadora. En el primer caso, los descubrimientos casuales no podrán utilizarse como fuente de prueba en un proceso distinto de aquel en que se obtienen, quedando limitada su eficacia a los supuestos de conexión del artículo 17 LECrim. Respecto de los efectos investigadores, los descubrimientos casuales podrán actuar como notitia criminis , que daría lugar al inicio de una instrucción independiente para averiguación y comprobación del nuevo hecho delictivo.” 508 NADAL GÓMEZ, I., “El Régimen de los hallazgos casuales en la Ley 13/2015, de modificación de la ley de Enjuiciamiento criminal”, cit., p. 4. 509 SÁNCHEZ MELGAR, J., “La nueva regulación de las medidas de investigación tecnológica. Estudio de su Parte General”, Práctica penal: cuaderno jurídico, 82, 2016, Sepin Editorial Jurídica. Página 264 de 450 Tal postura era mantenida por la doctrina 510 incluso con anterioridad a la entrada en vigor de la LO 13/2015, al entender que la LECrim, al no prohibir el hallazgo casual, lo admitía siempre que se apreciara flagrancia, pues, como señala la STS de 3 de septiembre de 2003, los hallazgos casuales “se instalan en la nota de la flagrancia, por lo que, producida tal situación, la inmediata recogida de los mismos no es sino consecuencia de la norma general contenida en el artículo 286 de la ley procesal”. En cualquier caso, tampoco puede obviarse la elevada dificultad que planteará acreditar la flagrancia 511 . Se ha entendido que el juez competente para decidir la continuación de la medida de investigación 512 es el que ha dictado la resolución judicial autorizando la medida de investigación en la que se produce el hallazgo casual, independientemente de que resulte competente para conocer el nuevo procedimiento que se incoe con ocasión del hallazgo casual o de que dicho conocimiento corresponda a otro órgano judicial. 513 En todo caso, tras el hallazgo casual y la ulterior autorización judicial, lo actuado habrá de ser remitido al Juzgado competente de conformidad con las normas de competencia territorial y reparto. En tal sentido, hay que estar lo dispuesto en el artículo 579 bis 3. C. EL CONTEXTO NECESARIO PARA QUE SUCEDA EL HALLAZGO CASUAL Las diligencias de investigación –como conjunto de actuaciones que se realizan sobre la parte de la realidad, personas o cosas que interesa investigar en el marco de un proceso penal– constituyen el principal vehículo para la introducción de hechos en el proceso. Como tales, provocan la aparición de los llamados hallazgos casuales cuando los hechos hallados son distintos de aquellos que se pretendía investigar. 514 Hay que tener presente que el nuevo artículo 579 bis LECrim sitúa la aparición y problemática de los hallazgos no en cualquier diligencia, sino en el seno de algunas de las que afectan a los derechos fundamentales. En este contexto, el precepto de referencia 510 VELASCO NÚÑEZ, E., “La investigación de delitos cometidos a través de Internet y otras nuevas tecnología”, cit., p. 85. 511 CASTILLEJO MANZANARES, R., “Alguna de las cuestiones que plantean las diligencias de investigación tecnológica”, Revista de derecho y proceso penal, 45, 2017, Aranzadi Thomson Reuters. 512 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 379. 513 Ibid. 514 NADAL GÓMEZ, I., “El Régimen de los hallazgos casuales en la Ley 13/2015, de modificación de la ley de Enjuiciamiento criminal”, cit., p. 21. Página 265 de 450 permite que los hallazgos puedan ser utilizados como medios de investigación y de prueba, pero siempre que pueda acreditarse la legitimidad de la medida. Ahora bien, para que pueda otorgarse valor probatorio a lo obtenido en los actos de investigación es necesario que, entre otros requisitos, se haya seguido con el régimen legal previsto para cada uno de ellos. Dicho régimen legal vendrá dado por la normativa específica establecida en la LECrim para cada diligencia y por el necesario respeto a los derechos fundamentales. La alternativa será la imposibilidad de su valoración conforme al artículo 11. 1 LOPJ 515 . Por lo tanto, la posible utilización de tales hallazgos está supeditada a que la medida en la que se originó fuera legítima. Debe hacerse especial referencia al escrito de solicitud, a la resolución por la que se autoriza y se prorroga la medida en su origen. Más allá del propio descubrimiento, una vez producido este, se requiere que su investigación sea también autorizada por el juez competente. A ello deberán sumarse las cuestiones ya vistas acerca de la competencia del juez que acuerde la continuación de la medida en relación con la configuración del objeto del proceso y la posible alteración de las reglas de la competencia a consecuencia de la acumulación de los objetos conexos, según las reglas del artículo 17 LECrim. Solo cuando se haya cumplido con todas estas exigencias de legalidad ordinaria y constitucional, los hallazgos casuales podrán desplegar toda la eficacia que la nueva normativa les reconoce. Cuando se analiza su contenido desde la perspectiva de la posible aparición de descubrimientos ocasionales, se aprecia como estos suponen una quiebra de varios de los elementos que han servido para dotar de legalidad constitucional a la medida 516 . Precisamente, para aclarar tal situación se manifestó el pleno de la Sala Segunda del Tribunal Supremo en su acuerdo de 26 de junio de 2009. En este acuerdo se trataba precisamente de la valoración de escuchas telefónicas, procedentes de otras diligencias distintas. Básicamente se establecía la posibilidad de discutir de forma contradictoria la legitimidad en la obtención de la fuente de prueba en otro procedimiento y la posibilidad que tiene quien pretende la utilización de tal medio de prueba de acreditar la legitimidad, cuando la misma haya sido impugnada por la otra parte. En definitiva, se establecía que el medio de prueba que tenía su origen en una fuente de prueba originada en un proceso 515 Ibid., p. 23. 516 Ibid., p. 27. Página 272 de 450 prueba válida (declaración exculpatoria del acusado en el juicio) en función de los datos conocidos a partir de una diligencia inconstitucional”. Como refuerzo de la idea expuesta, cita igualmente otros pronunciamientos, como el auto del Tribunal Supremo de 18 de junio de 1992, que se expresa en el sentido de recordar que “corresponde a los Jueces penales descubrir la verdad sólo a través de los procedimientos legalmente establecidos […] El procedimiento, la forma, la manera de actuar, el camino seguido, es siempre parte esencial del contenido, del fin alcanzado. […]”, y la STS 311/2018, de 27 de junio, cuando indica “se corre el riesgo de tolerar con indiferencia el menoscabo de derechos del máximo rango axiológico y que confieren legitimidad al ejercicio de la función jurisdiccional. El principio de contradicción y los derechos de defensa y a no declararse culpable van más allá de un enunciado constitucional puramente formal. No son ajenos a una genuina dimensión ética, que pone límites a la capacidad de los poderes públicos para restringir derechos fundamentales y que, precisamente por su vigencia, han de operar un efecto disuasorio y excluyente frente a la tentación del Estado de eludir las garantías constitucionales […] que la prueba obtenida con vulneración de un derecho fundamental ha de ser excluida de la apreciación probatoria forma parte de las garantías del sistema constitucional”. Sin embargo, lo llamativo de esta decisión no es tanto la argumentación del tribunal, sino la revisión que realizó de la misma, en sede de apelación, el Tribunal Superior de Justicia. Comenzando con una censura sobre la decisión de no admitir ni siquiera la práctica de la prueba por la Audiencia Provincial, el tribunal de apelación concluye que no queda suficientemente resuelto si el origen de la intervención policial es un hallazgo no intencionado u ocasional, y en qué medida afecta a los derechos fundamentales establecidos en el artículo 18 de la Constitución. Este argumento, relativo a la necesidad de profundizar las circunstancias en las que la Guardia Civil tomó conocimiento de los hechos potencialmente delictivos (cómo fueron perdidos en el parque, posteriormente encontrados y finalmente entregados los objetos del imputado), se repite a lo largo de la sentencia como un motivo suficiente para la estimación de los recursos y la devolución de los autos al tribunal de instancia para que vuelva a dictar sentencia, que determine si el examen del contenido y su copia por los agentes de la Guardia Civil sería en todo caso ilegítimo, o si, en relación a las circunstancias de su entrega y recogida, pudiera existir una duda razonable que justificara el acceso a los archivos. Página 273 de 450 Se trata de una cuestión fundamental porque, como recuerda el tribunal, para la ponderación de indicios casuales u ocasionales no se aplica, en principio, el plazo perentorio de veinticuatro horas (SSTS 786/2015 de 4 de diciembre y 45/2014 de 7 de febrero) e, incluso, puede determinar la pérdida del nexo de ilicitud, en la medida en que este “no se extiende a pruebas obtenidas de un modo independiente (Sentencia TC 86/1995, de 8 de julio ), lo que no se aplica al hallazgo casual, ocasional o inevitable, o a la ilicitud originaria atenuada.” Pero la sentencia del Tribunal Superior de Justicia va mucho más allá y, lejos de apuntar exclusivamente lo anterior, toma los argumentos de la Audiencia Provincial para prácticamente indicar el sentido que debería seguir la nueva sentencia. Así, vuelve a la STEDH del asunto Trabajo Rueda c. España y recuerda que, conforme al epígrafe 26, no puede ser declarada ninguna violación del artículo 8 CEDH cuando el acceso al contenido de ordenador tenga como finalidad que no queden impunes actos criminales que atenten contra menores, y que, conforme al epígrafe 38 de la misma sentencia, “una injerencia sin autorización judicial en el ordenador puede ser legítima "si es proporcionada al fin legítimo que se pretende y si los motivos invocados por las Autoridades nacionales para justificarla se revelan "pertinentes y suficientes”, lo que no hace sino apuntar a un juicio de proporcionalidad del que indica la sentencia que “afirma el deber del Estado de garantizar el derecho de las víctimas, particularmente en las agresiones sexuales, que puede justificar medidas atentatorias contra derechos individuales”. Asistimos con este caso, por tanto, a un ejemplo concreto de cuál es el presente de la práctica penal en este tipo de materias, una situación en la que confluyen peligrosamente los poderes investigativos policiales y el cambio de naturaleza de la prueba obtenida con vulneración de derechos fundamentales. 8. OBTENCIÓN POR PARTICULARES DE FUENTES DE PRUEBA Aunque escapa en cierta medida al objeto de nuestra investigación doctoral, no debemos dejar de hacer referencia a los supuestos en que son los particulares los que obtienen, por sus propios medios, fuentes de prueba de naturaleza tecnológica. A. GRABACIONES PROPIAS Vaya por delante que, como se ha indicado, las grabaciones efectuadas por particulares en el ámbito de su vida privada no están expresamente reguladas, por lo que no existe una previsión concreta sobre su admisión y valoración como prueba en el Página 274 de 450 proceso 522 . Pese a la reforma operada por la LO 13/2015, de 5 de octubre, el legislador no se ocupó de los supuestos en que los particulares obtienen fuentes de prueba tecnológicas, debiendo estarse, por tanto, a lo mantenido en la jurisprudencia de nuestros tribunales. De conformidad con los pronunciamientos jurisprudenciales al respecto 523 , la grabación de la conversación mantenida con otra persona, e incluso de su imagen, puede afectar a los derechos fundamentales del artículo 18 CE, que defienden la vida privada. En relación con las grabaciones de comunicaciones en las que el sujeto que graba sea uno de los comunicantes, la regla general es que no supone intromisión ilegítima en la esfera privada del otro comunicante. Así se extrae del artículo 7 de la LO 1/1982, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen, y también de la STC 114/1984, en la que se decía que el deber formal y abstracto del secreto no se extiende al comunicante. 524 Se entiende, así, que con la grabación de una conversación en la que se está participando lo que se produce es incorporar a un registro mecánico la comunicación que estamos manteniendo. De esta manera, las grabaciones de procesos comunicativos realizadas por los propios comunicantes son válidas, incluso cuando se realizan de manera oculta, sin que pueda entenderse que ello vulnere el secreto de las comunicaciones. Tampoco vulnerarán, por regla general, el derecho a la intimidad, salvo casos excepcionales en los que en la conversación uno de los comunicantes se refiera al núcleo íntimo de su vida personal o familiar y sin ánimo de facilitar el conocimiento público de ello. Ahora bien, sí pueden vulnerar el derecho a no declarar contra sí mismo y a no confesarse culpable cuando se realizan desde una posición de superioridad institucional (agentes de la autoridad que obtienen una confesión extraprocesal mediante engaño 525 ), o el derecho a un proceso con todas las 522 MUÑOZ CONDE, F., “Prueba prohibida y valoración de las grabaciones audiovisuales en el proceso penal”, Revista penal, 14, 2004, Tirant lo Blanch, p. 109. 523 SSTS de 5 de mayo de 1997, de 17 de junio de 1999 y de 27 de septiembre de 2012, entre otras. 524 También la STC 56/2003, de 24 de marzo, y las SSTS 652/2016, de 15 de julio; 517/2016, de 14 de junio; 421/2014, de 16 de mayo; 298/2013, de 13 de marzo; 682/2011, de 24 de junio; 1051/2009, de 9 de noviembre; y 2008/2006, de 2 de febrero, entre otras y según se citan en ERREIRO, M. L. N., “Dificultades probatorias en los delitos de violencia de género”, en Derecho probatorio y otros estudios procesales: Vicente Gimeno Sendra. Liber amicorum, 2020, pp. 1415–1432, Ediciones Jurídicas Castillo de Luna, 2020, p. 1427, fecha de consulta 17 agosto 2021, en https://dialnet.unirioja.es/servlet/articulo?codigo=7871539. 525 MARCHENA GÓMEZ, M., “Grabaciones entre particulares y prueba prohibida”, Revista de derecho y proceso penal, 52, 2018, Aranzadi Thomson Reuters, p. 396. Página 275 de 450 garantías, cuando la persona grabada es conducida a la conversación o encuentro con argucias, cuando pueda apreciarse provocación al delito. B. DATOS OBTENIDOS DE DISPOSITIVOS DE ALMACENAMIENTO Supuestos distintos de lo hasta ahora expuesto son aquellas ocasiones en las que los ciudadanos particulares proporcionan material probatorio al proceso o las autoridades 526 , cuando ellos no son los sujetos investigados en el mismo. Dentro de las variadas posibilidades que engloba esta segunda categoría, los casos con menor dificultad son aquellos en los que se pueda apreciar que el investigado ha renunciado, sea de manera expresa o tácita, a la privacidad del dispositivo accedido por el tercero. Por ejemplo, en los supuestos en los que el dispositivo se entrega para su reparación, o cuando se contratan servicios de copia de recuperación de datos. En estos casos el Tribunal Supremo opta por entender que el titular del dispositivo ha autorizado al tercero para que acceda a los mismos 527 . Este hilo argumental puede llevar, por ejemplo, a entender autorizado el acceso a los prestadores de servicios de alojamiento en la nube para que, al copiar nuestros archivos en sus centros de almacenamiento de datos, revisen el contenido de nuestros archivos. Si en tal operación se descubrieran evidencias de delito, dichos prestadores de servicios tendrían que comunicarlos a la autoridad policial, como de hecho se ha advertido recientemente 528 . A pesar de lo anterior, ni que decir tiene que dicha regla no se aplicará de manera omnímoda, sino que será necesario atender a cuál fue la intención del particular que obtuvo el material probatorio, en el momento de obtenerlo. Así, la STS 508/2017, de 4 de julio, entendía lícito el acceso a las fotografías de una cámara de fotos olvidada, efectuada por un vigilante de seguridad que lo hizo sin intención de preconstituir prueba alguna: “ existe la necesidad de dispensar un tratamiento singularizado en aquellos casos en los que la alegada ilicitud probatoria está originada por la actuación de un particular que no persigue –ni es utilizado por los poderes públicos como instrumento para esa finalidad– burlar las garantías de nuestro sistema constitucional en la investigación de los delitos. Y eso es lo que acontece en el presente supuesto. En efecto, se trata de una prueba proporcionada 526 El Tribunal Supremo se ha pronunciado, entre otras, en las SSTS 793/2013, de 28 de octubre; 116/2017, de 23 de febrero; 45/2014, de 7 de febrero; 287/2017, de 19 de abril; y 508/2017, de 4 de julio. 527 MARTÍN RÍOS, P., “El alcance del derecho al propio entorno virtual en la valoración de la evidencia digital”, cit., p. 1263. 528 “Child Safety”, Apple, fecha de consulta 17 agosto 2021, en https://www.apple.com/child–safety/. Página 276 de 450 por un vigilante particular a los agentes de la Guardia Civil, sin que esa entrega haya sido concebida como un mecanismo de elusión de las garantías que el sistema constitucional reconoce para la protección de los derechos a la intimidad y al entorno virtual. De hecho, los agentes interesaron autorización judicial para acceder a su contenido y obtener el volcado de las imágenes de interés para la investigación. Esta Sala ha declarado que “... las reglas de exclusión probatoria se distancian de su verdadero sentido cuando no tienen relación con la finalidad que está en el origen mismo de su formulación. De lo que se trata es de limitar el afán del Estado en la persecución de los ilícitos penales, de apartar a los agentes de la autoridad de la tentación de valerse de medios de prueba que, por su alto grado de injerencia en el círculo de los derechos fundamentales, están sometidos a unas garantías constitucionales concebidas para la salvaguardia de aquellos. Se ha dicho con acierto que la proscripción de la prueba ilícita se explica por el efecto disuasorio que para el aparato oficial del Estado representa tener plena conciencia de que nunca podrá valerse de pruebas obtenidas con vulneración de las reglas constitucionales en juego” (cfr. STSS 287/2017, 19 de abril; 116/2017, 23 de febrero; 793/2013, 28 de octubre; 45/2014, 7 de febrero).” En idéntico sentido, la reconocida STS 116/2017, de 23 de febrero, caso Falciani, otorgaba valor probatorio a material obtenido por un particular porque cuando lo obtuvo no pretendía prefabricar elementos de cargo utilizables en un proceso penal ulterior. Esta sentencia fue posteriormente confirmada por la STC 97/2019, de 16 de julio, y a la que ya nos hemos referido. El acceso particular a dispositivos de terceros encuentra una de sus principales líneas definitorias, por tanto, en la necesidad de disuadir a los particulares de obtener elementos probatorios saltándose el régimen establecido para la obtención de los mismos. Si el tribunal, en el juicio de valor que efectúe en el caso concreto, concluye que la obtención de dicho material no estaba viciada por la intención de preconstituir prueba, podrá admitirlo como elemento de cargo en el proceso. Como se ha adelantado, constituirá un problema de prueba en el que no será fácil deslindar cada supuesto 529 , y sin que estén claras las competencias revisoras en materia de casación que puedan aplicar en este 529 MARTÍN RÍOS, P., “El alcance del derecho al propio entorno virtual en la valoración de la evidencia digital”, cit., p. 1263. Página 277 de 450 supuesto, pues el juicio de valor que realice el tribunal estará fuertemente vinculado por la inmediación. Por último, pero no menos importante, debemos hacer referencia también a aquellos supuestos en los que varios sujetos utilizan un dispositivo que, sin ser público ni de acceso libre (como sí podrían ser un ordenador de una biblioteca o cibercafé), sí es compartido (por ejemplo, entre los miembros de una misma familia, o de un piso de estudiantes, etc.). A nuestro juicio, ni siquiera es necesario acudir a la figura de un dispositivo: basta con la reconocida práctica de compartir cuentas de almacenamiento online, en las que, a fin de compartir gastos, varios usuarios arriendan espacio de almacenamiento a una sociedad prestadora de dichos servicios (OneDrive, Google Drive, Dropbox, iCloud, por citar los más populares, aunque existen muchos otros). Pues bien, para el Tribunal Supremo parece que el hecho de utilizar un recurso común supone una renuncia por parte del titular de los datos a mantener dichos datos de manera reservada. Como indica la STS 287/2017, de 19 de abril, “quien incorpora fotografías o documentos digitales a un dispositivo de almacenamiento masivo compartido por varios es consciente de que la frontera que define los límites entre lo íntimo y lo susceptible de conocimiento por terceros, se difumina de forma inevitable”. A esta postura se han formulado reservas 530 , con las que coincidimos plenamente, por entender que desatiende la realidad social en la que dicha interpretación se inserta. 530 Ibid., p. 1268. Página 278 de 450 Página 279 de 450 CAPÍTULO V RETENCIÓN DE DATOS Y DEBER DE COLABORACIÓN CON LA INVESTIGACIÓN POLICIAL Si hasta ahora nos hemos referido a la actividad de investigación de la policía en el ciberespacio, analizando tanto las herramientas de que dispone como los poderes investigativos autónomos de que puede hacer uso para obtener directamente la información, en este último capítulo de nuestra tesis queremos referirnos a aquellas modalidades en las que la información, en vez de ser recabada por la policía directamente desde la realidad, es o ha sido recabada previamente por un tercero que, al tener alguna relación con los datos objeto de la investigación, puede encontrarse obligado a colaborar con la autoridad judicial y la policía para conservar, captar o ceder datos. Estos supuestos quedan agrupados, fundamentalmente en dos grandes fenómenos: por un lado, la figura de la retención de datos, regulada por la Ley 25/2007; por otro lado, la figura de los deberes de colaboración incorporados con la entrada en vigor de la LO 13/2015. Asimismo, debemos señalar también la figura de las freezing orders, por un lado, y las confiscation orders, por otro. Reguladas en el Reglamento (UE) 2018/1805 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, sobre el reconocimiento mutuo de las resoluciones de embargo y decomiso. De conformidad con el artículo 2 del mismo, una resolución de embargo (freezing order) es aquella dictada o validada por una autoridad de emisión con el fin de impedir la destrucción, transformación, traslado, transferencia o enajenación de bienes con vistas a su decomiso; por su parte, una resolución de decomiso (confiscation order) es aquella sanción o medida firme impuesta por un órgano jurisdiccional a raíz de un procedimiento relativo a un delito, que tenga como resultado la privación definitiva de bienes de una persona física o jurídica. Página 280 de 450 1. LA FIGURA DE LA RETENCIÓN DE DATOS A. ANTECEDENTES HISTÓRICOS Y LEGISLATIVOS Tras la participación de España y Reino Unido en la guerra de Irak, el 11 de marzo de 2004 y el 7 de julio de 2005 se suceden, respectivamente, atentados contra España y Reino Unido. En la necesidad de combatir y perseguir eficazmente el terrorismo y el crimen organizado, las autoridades nacionales y europeas adoptan diversas iniciativas legislativas, entre las que se encuentra la figura de la retención de datos 531 . Desde el punto de vista normativo, esta figura aparece contemplada incluso con anterioridad a los referidos atentados terroristas, pudiendo señalarse como una de las primeras manifestaciones la contenida en el artículo 16 del Convenio sobre la Ciberdelincuencia, hecho en Budapest el 23 de noviembre de 2001, cuando prevé la obligación de que los Estados intervinientes adopten las medidas legislativas necesarias para permitir a sus autoridades competentes ordenar la conservación rápida de determinados datos electrónicos, incluidos los datos sobre el tráfico, almacenados por medio de un sistema informático, y en particular cuando existan razones para creer que los datos informáticos resultan especialmente susceptibles de pérdida o de modificación. Además, según el mismo artículo, cuando dicha orden se impartiese a una persona para conservar determinados datos almacenados que se encuentren en posesión o bajo el control de dicha persona, la legislación debería permitir obligar a esa persona a conservar y a proteger la integridad de dichos datos durante el tiempo necesario, hasta un máximo de noventa días, de manera que las autoridades competentes pudieran conseguir su revelación. Igualmente, en el mismo artículo establecía la obligación de articular un mecanismo para obligar al encargado de la custodia de los datos o a otra persona encargada de su conservación a mantener en secreto la aplicación de dichos procedimientos durante el plazo previsto en su derecho interno 532 . Asimismo, el artículo 17 CSC preveía también la necesidad de establecer en los ordenamientos jurídicos los instrumentos necesarios para que fuera posible conservar rápidamente datos sobre el tráfico con independencia de que en la transmisión de esa comunicación participaran uno o varios proveedores de servicios y garantizar la revelación rápida a la autoridad competente de un volumen suficiente de datos sobre el tráfico para 531 ORTIZ PRADILLO, J. C., “Europa”, cit., p. 1. 532 QUEVEDO GONZÁLEZ, J., Investigación y prueba del ciberdelito, cit., p. 144. Página 281 de 450 que pueda identificar a los proveedores de servicio y la vía por la que se transmitió la comunicación. La figura del deber de colaboración se completa con el artículo 19.4 CSC, que prevé la posibilidad de que las autoridades puedan ordenar a una persona que conozca el funcionamiento del sistema informático (o las medidas aplicadas para proteger los datos informáticos que contiene) a que proporcione toda la información necesaria (dentro de lo razonable) para permitir la aplicación de las medidas de investigación. En España, esta obligación fue abordada por primera vez en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, cuyo artículo 12 establecía la obligación que tenían los operadores de redes y servicios de comunicaciones electrónicas, los proveedores de acceso a redes de telecomunicaciones y los prestadores de servicios de alojamiento de datos de retener los datos de conexión y tráfico generados por las comunicaciones establecidas durante la prestación de un servicio de la sociedad de la información por un período máximo de doce meses, si bien limitando dicho deber de conservación a los necesarios para facilitar la localización del equipo terminal empleado por el usuario para la transmisión de la información, el origen de los datos alojados y el momento en que se inició la prestación del servicio, sin afectar al secreto de las comunicaciones. Dicho régimen se completaba con lo previsto en los artículos 33 y 36 de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, así como en el artículo 579 Ley de Enjuiciamiento Criminal y la Ley Orgánica 2/2002 533 . En particular, el artículo 36.2 LGT establecía como condición de uso del cifrado de la información la posibilidad de imponer la obligación de facilitar a los organismos públicos los algoritmos o el procedimiento de cifrado utilizado, así como los aparatos utilizados para el cifrado de la información, a efectos de su control de acuerdo con la normativa vigente. A nivel europeo, y como antecedentes relacionados, debe mencionarse la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio de 2002 534 . 533 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 392. 534 Actualmente, los artículos 5.1 y 6.1 de la referida Directiva se encuentran temporalmente suspendidos en virtud del controvertido Reglamento (UE) 2021/1232 del Parlamento Europeo y del Consejo de 14 de julio de 2021, por el que se establece una excepción temporal a determinadas disposiciones de la Directiva 2002/58/CE en lo que respecta al uso de tecnologías por proveedores de servicios de comunicaciones interpersonales independientes de la numeración para el tratamiento de datos personales y de otro tipo con fines de lucha contra los abusos sexuales de menores en línea, DO L núm. 274 de 30.7.2021, p. 41/51. Página 288 de 450 tanto, la previsión de dicho deber de obligación únicamente alcanza a los supuestos de investigación y prueba de los delitos que sean graves” 540 . Podemos identificar dos corrientes opuestas acerca de cómo ha de entenderse la referencia a “delito grave” 541 . Por un lado, surgió una interpretación de base formalista, que entendía el delito grave como todo aquel que estuviera castigado con las penas contempladas como graves en el artículo 33 CP, de acuerdo con el artículo 13 CP. Por otro lado, una interpretación de base sustancial defendía que el criterio de la gravedad debía atender a las circunstancias concretas del hecho delictivo y a la injerencia que supusiera la medida en los derechos fundamentales del investigado. 542 Son varios los argumentos que se aducen en favor de la interpretación sustancial de la exigencia de “delito grave” 543 . Para empezar, la interpretación formal implicaría que no fuera posible investigar de manera eficaz múltiples ciberdelitos que, aun no mereciendo el calificativo de graves a los efectos de los artículos 13 y 33 CP, solamente podrían ser investigados mediante este tipo de diligencias de investigación. En ese sentido, se ha afirmado que “la exclusividad de acceso únicamente cuando se trate de delitos graves, si ha de entenderse como tales aquellos a los que les corresponda una pena grave según la retribución penológica contemplada en los artículos 13 u 33 CP, supondría otorgar un margen de impunidad a toda aquella infinidad de hechos delictivos que se materializan gracias al medio tecnológico en que se producen y que no alcanza tales penalidades (por ejemplo, las estafas mediante phishing o engaño para acceder a la banca telemática, amenazas, injurias, coacciones, cyberbullying, etc.). Por ello, precisamente, un sector de la doctrina se inclina por considerar que debiera tenerse en cuenta, además de la gravedad, el ámbito tecnológico y la trascendencia social de los hechos.” 544 540 “El «delito grave» en relación a la obligación de conservación de datos, según la L 25/2007”, El Derecho, fecha de consulta 29 marzo 2020, en https://elderecho.com/el–delito–grave–en–relacion–a–la–obligacion– de–conservacion–de–datos–segun–la–l–252007–y–las–reformas–penales–recientes. 541 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 445. 542 “La solicitud de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicación en el marco de la instrucción: reflexión sobre la Ley 25/2007 – El Derecho – Derecho Tic, Penal, Sector Jurídico”, El Derecho, fecha de consulta 29 marzo 2020, en https://elderecho.com/la–solicitud–de–datos– relativos–a–las–comunicaciones–electronicas–y–a–las–redes–publicas–de–comunicacion–en–el–marco– de–la–instruccion–reflexion–sobre–la–ley–252007. 543 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 445. 544 VALLÉS CAUSADA, L., “La investigación criminal basada en datos conservados de las comunicaciones electrónicas – Blog de Criminología – Iter Criminis”, 2018, fecha de consulta 29 marzo 2020, en https://web.archive.org/web/20180220084318/http://blogs.ucjc.edu/criminologia–iter–criminis/la–investigacion–criminal–basada–en–datos–conservados–de–las–comunicaciones–electronicas/. Página 289 de 450 Además de dicho criterio “lógico”, una interpretación sistemática apoyaría también el abandono de la interpretación formal, puesto que, en caso contrario, se estaría incurriendo en la contradicción de establecer unas mayores exigencias para la cesión de datos externos de la comunicación que para acceder a la propia comunicación, considerando que el Tribunal Constitucional viene exigiendo, para proceder a la interceptación de las comunicaciones, requisitos diferentes de la gravedad formal del delito: la trascendencia social del delito que se trata de investigar (STC 1305/2014, de 2 de abril), los bienes jurídicos protegidos, la comisión del delito por organizaciones criminales y la potencialidad lesiva de los instrumentos informáticos (STC 104/2006, de 3 de abril) 545 . Se ha entendido que es “razonable que el concepto de delito grave a la hora de recabar los datos conservados al amparo de lo dispuesto en la Ley 25/2007 sea el mismo que el manejado a la hora de adoptar una intervención telefónica (de no optar por esta interpretación se llegaría al absurdo de imponer mayores restricciones a la cesión de datos externos que al acceso al contenido de lo comunicado, cuando los derechos afectados tienen la misma categoría)” 546 . En términos parecidos se pronuncia la Fiscalía General del Estado en su Circular 1/2013, sobre pautas en relación con la diligencia de intervención de las comunicaciones telefónicas, al concluir que “ningún sentido tendría imponer mayores restricciones a la cesión de datos externos que al acceso al contenido de lo comunicado”. Con la entrada en vigor de la reforma de la LECrim de 2015, el artículo 588 ter a) permite interceptar las comunicaciones telefónicas telemáticas tanto para los delitos previstos en el artículo 579.1 LECrim como para todos aquellos delitos cometidos a través de instrumentos informáticos o de cualquier otra tecnología de la información o la comunicación o servicio de comunicación, sin hacer referencia alguna al artículo 33 CP. Ambos argumentos permiten llegar a la conclusión 547 de que la expresión “delito grave” debe entenderse referida al resultado de la aplicación del juicio de proporcionalidad previo a toda restricción de derecho fundamental para la investigación y persecución de ilícitos penales. En este juicio de proporcionalidad, necesario para que el juez autorice 545 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 446. 546 VÁZQUEZ SECO, L., “Retención obligatoria de datos de tráfico de las comunicaciones telefónicas y/o electrónicas. Análisis de la sentencia del Tribunal de Justicia de la Unión Europea de 8 de abril de 2014 en los asuntos acumulados C–293/2012 y C–594/2012 (Digital Rights Ireliand y Seitlinger y otros)”. 547 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 446. Página 290 de 450 el acceso a los datos conservados, deberán tenerse presente varios criterios. Entre ellos, la gravedad de la pena señalada al delito o delitos investigados, pero complementado con otros criterios, como pueden ser los derivados de la propia naturaleza del bien jurídico lesionado, las formas de manifestación del hecho (como puede ser la habitualidad en la comisión delictiva o la peligrosidad social de los efectos del hecho), la relevancia social de la conducta, la potencialidad lesiva del uso de instrumentos informáticos para la comisión del delito e, incluso, las circunstancias relevantes que concurran tanto subjetivas del imputado, como la tendencia a cometer hechos de la misma naturaleza, como objetivas del caso concreto, como la especial intensidad del comportamiento delictivo 548 . A tal efecto, hay que recordar que “el juez debe tomar como referente inicial la relevancia social del os bienes que se tratan de proteger con la persecución del delito, que, si bien normalmente van asociados con la gravedad de las penas que en su día se pudieran imponer, ello no necesariamente es así” 549 . Tampoco puede admitirse que el acceso a los datos conservados por las operadoras pueda suponer un grado de afectación diferente de los derechos del investigado, según el caso. La STC 123/2002, de 20 de mayo, afirmaba que “aunque el acceso y registro de los datos constituye una forma de afectación del objeto de protección del derecho al secreto de comunicaciones, no puede desconocerse la menor intensidad de la injerencia en el citado derecho fundamental que esta forma de afectación representa en relación con la que materializan las escuchas telefónicas”. A tal efecto, se ha venido reconociendo la llamada “ecuación de la proporcionalidad” 550 , que viene a constituir una relación directamente proporcional entre la gravedad de la injerencia en el derecho fundamental y la profundidad del análisis en el examen y motivación de los elementos que justifiquen el juicio de proporcionalidad. Con base en lo anterior, la resolución judicial que autorice el acceso deberá indicar qué datos concretos son los que deben ser facilitados, que en todo caso serán únicamente los indispensables para la investigación, conforme al artículo 588 ter j) 2 LECrim. Como complemento de lo anterior, no puede dejarse de mencionar la STJUE de 8 de octubre de 2018, que previo reconocimiento de que el acceso por las autoridades 548 Ibid., p. 447. 549 ESTRELLA RUIZ, M., “Entrada y registro, interceptación de comunicaciones postales, telefónicas, etc...”, Cuadernos de derecho judicial, 12, 1996, Consejo General del Poder Judicial. 550 DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, cit., p. 448. Página 291 de 450 públicas a datos personales conservados por los proveedores de servicios de comunicaciones electrónicas constituye una injerencia en el derecho fundamental al respeto de la vida privada del artículo 7 y en el derecho a la protección de los datos personales del artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea, concluía que dicha injerencia, sin embargo no era grave cuando el acceso a dichos datos fuera limitado y estuviera justificado por el objetivo de prevenir, investigar, descubrir y perseguir delitos conforme con el artículo 15.1 de la Directiva 2002/58 (en el caso concreto, la solicitud policial se refería al acceso a datos para identificar a los titulares de las tarjetas SIM activadas de unos teléfonos sustraídos.). A su vez, concluyo que cuando la injerencia no es grave, puede quedar suficientemente justificada por el objetivo de prevenir, investigar, descubrir y perseguir delitos “a secas”, y que solamente puede exigirse la gravedad del delito respecto de las injerencias que sean igualmente graves. La interpretación material, amparada por las recientes reformas de la LECrim y los pronunciamientos del STJUE, es la que ha venido siendo asumida por nuestros tribunales, pudiendo citarse entre otros ejemplos los AAP Madrid 131/20115, de 25 de febrero, 1177/2015, de 30 de octubre, y 447/2016, de 14 de abril, entre otros muchos 551 . C. DATOS ASOCIADOS A COMUNICACIONES ELECTRÓNICAS Partimos del artículo 1 del Convenio del Consejo de Europea sobre Ciberdelincuencia, cuando denomina datos como toda representación de hechos, información o conceptos expresados de cualquier forma que se preste a tratamiento informático, incluidos los programas diseñados para que un sistema informático ejecute una función. Dentro de ese conjunto de datos informáticos la doctrina distingue tres categorías: datos de contenido, datos de tráfico y datos de abonado. Los datos de contenido son todos aquellos que constituyen el mensaje que se comunica o transmite. Los datos de tráfico son todos aquellos relativos a un proceso comunicativo que tenga lugar mediante un sistema informático, generados por dicho sistema en su condición de elemento del proceso de comunicación, y que refieren el origen, destino, ruta, hora, fecha, tamaño y duración de la comunicación, así como el servicio subyacente. 551 Ibid., p. 451. Página 292 de 450 Por último, los datos relativos a los abonados quedan conceptuados en el artículo 18.3 CSC, al indicar que por datos relativos a los abonados se entenderá toda información, en forma de datos informáticos o de cualquier otra forma, que posea un proveedor de servicios y esté relacionada con los abonados a dichos servicios, excluidos los datos sobre el tráfico o sobre el contenido, y que permita determinar: a) El tipo de servicio de comunicaciones utilizado, las disposiciones técnicas adoptadas al respecto y el periodo de servicio; b) la identidad, la dirección postal o geográfica y el número de teléfono del abonado, así como cualquier otro número de acceso o información sobre facturación y pago que se encuentre disponible sobre la base de un contrato o de un acuerdo de prestación de servicios; c) cualquier otra información relativa al lugar en que se encuentren los equipos de comunicaciones, disponible sobre la base de un contrato o de un acuerdo de servicios. En un intento por simplificar la cuestión, se ha afirmado que por “datos asociados a comunicaciones electrónicas” debe entenderse que son, en definitiva, todos aquellos que circulan por redes de telecomunicación conjuntamente con las comunicaciones electrónicas y que sin embargo no constituyen ni forman parte del contenido de la comunicación. 552 En los procesos de comunicación telemáticos se generan datos de tráfico cuyo rastreo permite la identificación del equipo que origina el proceso comunicación, así como obtener otras informaciones de utilidad para la investigación. Esto ha provocado que los datos externos se hayan convertido en un elemento fundamental en la investigación de delitos, desde el punto y hora en que permiten construir la huella o rastro digital. Tras la reforma operada en 2015, el artículo 588 ter j) LECrim contiene la previsión legal para que la autoridad pueda acceder a los datos obrantes en archivos automatizados de los prestadores de servicios para los fines de investigación del delito. Antes de la citada reforma la única habilitación existía en el artículo 1.1 de la Ley 25/2007, de 18 de octubre, que regula el régimen de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. En ese sentido, las SSTEDH de 2 de agosto de 1984 (Malone c. Reino Unido) y de 3 de abril de 2007 (Copland c. Reino Unido) han declarado que el derecho al secreto de las comunicaciones no se despliega únicamente sobre el contenido de la comunicación, 552 Ibid., p. 114. Página 293 de 450 sino también sobre los aspectos externos de la misma. En el mismo sentido, la STC 114/1984, de 29 de noviembre; el mismo Tribunal Constitucional ha afirmado que forma parte del secreto de las comunicaciones la identidad subjetiva de los interlocutores, por lo que la entrega de listados de llamadas por las compañías telefónicas y el acceso al registro de llamadas entrantes y salientes de un teléfono móvil afecta al referido derecho (SSTC 142/2012, de 7 de julio y 230/2007, de 5 de noviembre). Sobre el mismo concepto, el artículo 1.d del Convenio de Budapest indica que “cualesquiera datos informáticos relativos a una comunicación por medio de un sistema informático, generados por un sistema informático como elemento del a cadena de comunicación, que indiquen el origen, destino, ruta, hora, fecha, tamaño y duración de la comunicación o el tipo de servicio subyacente”. Igualmente, el artículo 588 ter b LECrim los define como “todos aquellos que se generan como consecuencia de la conducción de la comunicación a través de una red de comunicaciones electrónicas, de su puesta a disposición del usuario, así como de la prestación de un servicio de la sociedad de la información o comunicación telemática de naturaleza análoga.” En ese sentido, se ha afirmado que el derecho fundamental al secreto de las comunicaciones abarca todo el proceso de comunicación, y por tanto i) el contenido del mensaje; ii) la identidad subjetiva de los interlocutores; y iii) todos los datos externos a la comunicación, como la existencia de la propia comunicación, el origen y su destino, la fecha y hora y la duración, etc. Es necesario distinguir entre el acceso a los datos externos en función de las diferentes fases del proceso comunicativo. En el supuesto de acceso a datos externos cuando la comunicación aún no se ha iniciado, la doctrina se refiere a los datos operativos de puesta a disposición del servicio de comunicación, ya sea mediante el inicio del dispositivo o su conexión a la red, pero sin iniciar proceso de comunicación alguno, por lo que no se afectaría el derecho al secreto de comunicaciones, aunque sí el derecho a la intimidad 553 . En el supuesto de acceso a los datos externos de la comunicación cuando esta está teniendo lugar, quedaría protegido por el derecho fundamental al secreto de las comunicaciones. 553 Ibid., p. 115. [Document text truncated for crawler view.]