Cooperación transfronteriza y obtención de prueba electrónica en procedimientos penales

I. Introducción

El avance de las tecnologías de la información ha multiplicado de forma exponencial la huella digital ligada a la actividad personal y empresarial, mientras que la generalización del almacenamiento en la nube ha desplazado la ubicación del dato hacia infraestructuras remotas. Al mismo tiempo, la huella digital como la propia información electrónica proporciona muy valiosa información que cada vez es más empleado como medio de prueba en los procedimientos judiciales, con especial incidencia en los asuntos económico-penales y en los relativos a la criminalidad informática.

En la práctica forense, la mayoría de las causas con dimensión económico-penal incorporan evidencias de origen digital. Son habituales los correos electrónicos, los mensajes intercambiados en aplicaciones de mensajería como WhatsApp o Telegram, las interacciones en redes sociales, los archivos multimedia (fotografías, vídeos y audios), así como los registros de actividad y datos estructurados que reflejan operaciones, accesos o transacciones. A ello se suman las evidencias obtenidas de dispositivos intervenidos y de servicios en la nube que soportan procesos críticos de negocio.

En los delitos económicos y en los delitos informáticos en sentido estricto (intrusión en sistemas, accesos no autorizados, phishing, entre otros) este tipo de evidencia resulta, por regla general, determinante. En los supuestos de ciberdelincuencia, cobran especial relevancia los registros de conexión (IP), los logs de servidor, los intercambios en redes sociales y el contenido extraído de dispositivos electrónicos intervenidos al investigado.

La extensión del almacenamiento en la nube y de arquitecturas distribuidas implica que una parte sustancial de esa evidencia digital se aloje fuera del territorio español, en servidores ubicados en terceros Estados. Esta realidad plantea retos jurídicos y operativos de gran calado: la dispersión geográfica de los datos, la concurrencia de múltiples ordenamientos y la cooperación entre ellos y la consiguiente complejidad para asegurar su autenticidad, integridad y trazabilidad.

En este contexto, la obtención y el aseguramiento de la prueba electrónica resultan fundamentales para investigar y perseguir la perpetración de delitos. La volatilidad de la información digital y los límites temporales de conservación obligan a actuar con celeridad, a activar mecanismos de preservación temprana y a articular una cooperación internacional eficaz que permita acceder a la prueba de manera lícita y garantice su integridad y autenticidad.

Desde la perspectiva española, pretendemos abordar los instrumentos de cooperación transfronteriza disponibles para recabar dicha prueba electrónica, incluyendo los novedosos mecanismos de cooperación para Estados miembros de la Unión Europea que entrarán en vigor en poco menos de un año.

 

 

II. Cooperación jurídica internacional tradicional: retos del acceso transfronterizo

La cooperación internacional en materia penal se ha articulado tradicionalmente a través de convenios que regulan el envío y ejecución de comisiones rogatorias o solicitudes de asistencia jurídica mutua. Este esquema, más propio del siglo XIX, comporta un funcionamiento lento y burocrático, con traducciones oficiales, doble validación y tránsito obligado por autoridades centrales, ocasionando así que en ocasiones se pierdan o destruyan los datos que se pretenden obtener.

La práctica ilustra bien estas fricciones. Si un juzgado español necesita acceder al contenido de una cuenta de Gmail gestionada por Google en California, no puede dirigirse directamente al proveedor. Debe tramitar una solicitud de asistencia a Estados Unidos al amparo del tratado aplicable. Tras su traducción, la petición se canaliza a través del Ministerio de Justicia (Autoridad Central), se remite al Department of Justice y, en su caso, se somete a control judicial en EE. UU. para la expedición de la orden dirigida a la empresa.

Como sucede con frecuencia, el Derecho reacciona tras los avances sociales y tecnológicos. En este contexto cobra protagonismo el Convenio del Consejo de Europa sobre la Ciberdelincuencia (Budapest, 2001), ratificado por España en 2010, primer tratado de alcance global que no solo armoniza tipos penales informáticos, sino que incorpora medidas de cooperación procesal adaptadas a la era digital. Entre ellas destaca la red 24/7 prevista en su artículo 35, que obliga a cada Estado parte a designar un punto de contacto operativo permanente para proporcionar asesoramiento técnico, ordenar la preservación expedita de datos y facilitar la obtención urgente de prueba electrónica. En la práctica, este mecanismo de cooperación permite asegurar de inmediato pruebas electrónicas ubicadas en el extranjero mientras se sustancia la solicitud formal de auxilio por los cauces diplomáticos.

Otro hito relevante es la aprobación en 2021 del Segundo Protocolo Adicional al Convenio de Budapest sobre ciberdelincuencia (LA LEY 21666/2001). Su objetivo es agilizar el acceso transfronterizo a la prueba electrónica en investigaciones penales, reforzando al mismo tiempo las garantías.

Para ello, el Segundo Protocolo incorpora tres mecanismos de cooperación: (i) solicitud directa a entidades de registro de nombres de dominio para obtener información de registro y de contacto del titular (1) ; (ii) cooperación directa con proveedores situados en otros Estados Parte para obtener datos de abonados ya almacenados (2) ; y un (iii) cauce autoridad a autoridad más eficiente para recabar datos de abonado y de tráfico a proveedores en el Estado requerido (3) , junto con mecanismos acelerados en situaciones de emergencia por medio de la red 24/7 (4) . Estas vías se circunscriben a datos ya existentes y no habilitan la interceptación en tiempo real ni alcanzan, en la vía directa a proveedores, a datos de contenido.

Ahora bien, aun representando un salto cualitativo, el Segundo Protocolo todavía no está plenamente en vigor: requiere cinco ratificaciones para su entrada en vigor y a día de hoy, pese al elevado número de firmas (España y EE.UU., incluidos), el número de ratificaciones es aún reducido. En consecuencia, sus herramientas aún no son aplicables de forma general.

 

 

III.- Obtención de evidencia digital dentro de la UE

1. La Orden Europea de Investigación

En el espacio de libertad, seguridad y justicia de la Unión Europea, la cooperación judicial penal ha evolucionado desde el modelo clásico de envío de comisiones rogatorias hacia un modelo de armonización normativa que fija estándares mínimos comunes, y basado en el reconocimiento mutuo de resoluciones judiciales, lo que facilita la ejecutabilidad transfronteriza.

En ese marco, la Directiva 2014/41/UE (LA LEY 6702/2014) creó la Orden Europea de Investigación (OEI), pieza nuclear del sistema de cooperación europeo en materia penal, que permite a jueces o fiscales de un Estado miembro instar directamente a otro la práctica de diligencias de obtención de prueba, equiparando dicha solicitud a una resolución nacional y operando sobre la base de la confianza recíproca y reglas procedimentales homogeneizadas.

En España, este marco se incorporó mediante la Ley 3/2018, de 11 de junio (LA LEY 9482/2018), que modificó la Ley 23/2014 (LA LEY 17707/2014) e integró la regulación específica de la OEI en sus artículos 186 a 223, consolidando así la convergencia entre reconocimiento mutuo y armonización para la investigación penal en la UE.

La OEI tiene un ámbito material amplio que permite interesar la práctica de muy diversas diligencias de investigación (artículo 186.2 de la Ley 23/2014 (LA LEY 17707/2014)), desde declaraciones por videoconferencia y entrega de documentación hasta registros y medidas de vigilancia, e incluye expresamente la obtención de datos electrónicos ya almacenados (datos de abonado, tráfico o contenido).

A diferencia del esquema tradicional, la OEI se tramita mediante formularios uniformes (5) , con plazos de ejecución predeterminados (6) y motivos de denegación o aplazamiento estrictamente tasados (7) , lo que redunda en una tramitación más ágil y previsible. Además, para numerosas categorías de delitos graves, la ejecución no queda supeditada al requisito de doble incriminación, suprimiendo así una barrera clásica que en ocasiones entorpecía la cooperación.

Esto significa que, si una fiscalía portuguesa precisa los datos de abonado de una cuenta gestionada por un proveedor con sede en Francia, cursará una OEI directamente a la autoridad francesa; o si un juzgado italiano necesita las imágenes de CCTV captadas en España para una investigación de corrupción, remitirá una OEI a la autoridad española. En todos estos casos, la autoridad de ejecución debe tramitar la medida con la misma celeridad y prioridad que si se tratara de una diligencia propia, conforme al principio de reconocimiento mutuo y a las reglas de ejecución previstas para la OEI.

2. El nuevo marco de prueba digital de la UE en procesos penales: órdenes directas a proveedores de servicios

En julio de 2023, la Unión Europea aprobó el denominado «paquete de e-evidence», integrado por dos normas complementarias: Por un lado, el Reglamento (UE) 2023/1543 (LA LEY 22209/2023), que crea las órdenes europeas de producción y de preservación de pruebas electrónicas en el proceso penal, y por otro, la Directiva (UE) 2023/1544 (LA LEY 22208/2023), que impone a los proveedores de servicios la designación de un representante legal en la UE a efectos de recepción y cumplimiento de tales órdenes.

Este nuevo marco, complementario a las OEIs y a la cooperación judicial tradicional, será aplicable a partir del 18 de agosto de 2026 e introduce un cambio cualitativo: faculta a las autoridades competentes a dirigirse directamente al proveedor establecido (o representado) en otro Estado miembro para requerir datos almacenados (8) , con independencia de la ubicación de los datos, y sin necesidad de canalizar la solicitud a través de la autoridad judicial del país de destino.

En concreto, se podrán recabar tres categorías distintas de datos, según las define el artículo 3 del Reglamento: datos de contenido (cualesquiera datos en formato digital, como texto, voz, vídeos, imágenes y sonidos, que no sean datos de abonados o datos de tráfico), datos de tráfico (origen y destino de un mensaje u otro tipo de interacción, la ubicación del dispositivo, la fecha, la hora, la duración, el tamaño, la ruta, el formato, el protocolo utilizado y el tipo de compresión, y otros metadatos de las comunicaciones electrónicas) y datos de abonado (identificación del titular de la cuenta, dirección postal o geográfica, facturación y pagos, número de teléfono o email, y tipo de servicio).

Los nuevos instrumentos que incorpora el Reglamento son los siguientes:

• Orden Europea de Producción.

Se trata de una resolución dictada por una autoridad judicial de un Estado miembro que se notifica directamente al proveedor de servicios establecido o representado en otro país de la Unión (9) (por ejemplo, operadores de telecomunicaciones, servicios de correo electrónico, redes sociales o proveedores de nube).

Únicamente en el caso de que la Orden tenga por objeto obtener datos de tráfico (excepto aquellos que tengan como fin identificar al usuario) o datos de contenido, será obligatorio que la Orden también se notifique a la autoridad de ejecución, salvo que la infracción delictiva se haya cometido en el estado emisor o que la persona cuyos datos se solicitan resida en el estado emisor (10) .

La orden exige la entrega de datos concretos para una investigación penal. El proveedor debe responder en un máximo de 10 días (11) , o en 8 horas (12) cuando concurra urgencia (13) . La finalidad es acelerar la obtención de la evidencia frente a los plazos de semanas o meses que suelen asociarse a las comisiones rogatorias tradicionales.

• Orden Europea de Conservación:

Se trata de una resolución judicial que se notifica al proveedor con el objeto de impedir la supresión o alteración de la información. Mediante esta orden de preservación, la empresa queda obligada a conservar íntegramente los datos señalados (correos, registros de conexión y otros) durante un plazo de 60 días (14) , salvo que también se le haya solicitado la entrega de la información, en cuyo caso deberá de conservar los datos hasta que efectúe la entrega. Se trata de una medida crítica para conservar la evidencia.

El incumplimiento de las órdenes puede sancionarse con multas de hasta el 2% del total del volumen anual de negocios mundial del ejercicio precedente del prestador de servicios (15) . El tratamiento de los datos personales obtenidos se somete a la normativa de protección de datos de la Unión.

Para garantizar la eficacia del sistema, la Directiva (UE) 2023/1544 (LA LEY 22208/2023) impone a los proveedores que ofrecen servicios en la Unión que nombren un «establecimiento designado» o, si no están establecidos en la UE, un representante legal en un Estado miembro, que será el destinatario de las Órdenes. Este representante es el encargado de recibir y atender las Órdenes Europeas de Producción y de Conservación dirigidas a la empresa. Con ello se pretende evitar que operadores como Google, Microsoft, Facebook, etc., se amparen en la excusa de falta de jurisdicción para declinar las peticiones de cooperación.

Los plazos para cumplir con esta obligación son los siguientes: quienes ya ofrecen servicios en la Unión a 18 de febrero de 2026 deberán designar a más tardar el 18 de agosto de 2026; quienes inicien la oferta con posterioridad disponen de seis meses desde el inicio.

En resumen, a partir de 2026 España y los demás países de la UE contarán con mejores y más eficaces herramientas para obtener prueba electrónica de empresas tecnológicas.

 

IV.- Obtención de pruebas digitales de proveedores ubicados en EE.UU.

Como es sabido, Estados Unidos alberga a los principales proveedores globales de servicios digitales, entre otros Microsoft, Google y Meta. Sus plataformas son utilizadas de manera masiva por usuarios de todo el planeta y, en consecuencia, custodian un volumen muy relevante de datos potencialmente útiles para investigaciones penales. La cuestión práctica es cómo una autoridad judicial española puede obtener esa información de forma válida y eficaz.

En la práctica, algunos proveedores estadounidenses pueden facilitar de manera directa a autoridades extranjeras determinados datos no relativos a contenido, siempre bajo supuestos tasados de voluntariedad o emergencia. Sin embargo, cuando se solicita acceso a contenidos, suelen remitir a los cauces legales ordinarios, ya que la normativa estadounidense no siempre permite a los proveedores responder directamente a solicitudes europeas de prueba electrónica.

España y Estados Unidos están vinculados por el Tratado bilateral de Asistencia Jurídica Mutua de 1990, complementado por el Acuerdo UE–EE. UU. de 2003 sobre asistencia jurídica mutua, que introduce, entre otras, comunicaciones expeditas, videoconferencia y pautas de protección de datos. En la práctica, la autoridad española cursa la solicitud por Autoridad Central (Ministerio de Justicia), que se dirige al Departamento de Justicia de EE.UU. para su transmisión al Juzgado o Tribunal que la ejecute. Como apoyo, el Magistrado de Enlace de España en Washington dispone de guías operativas para preparar y dar seguimiento a estas solicitudes, con el objetivo de ganar celeridad y reducir incidencias.

A fin de mitigar el riesgo de pérdida o modificación de la información durante la tramitación de la petición de auxilio, la autoridad española puede activar la red 24/7 prevista en el artículo 35 del Convenio de Budapest, dado que EE.UU. también es miembro de dicho Convenio, y solicitar la preservación de datos concretos mientras se sustancia la solicitud formal por la vía de la comisión rogatoria.

Previsiblemente, la aprobación por EE.UU. de la conocida como CLOUD Act (Clarifying Lawful Overseas Use of Data Act) en 2018, permitirá agilizar la tramitación y obtención de evidencia electrónica. Dicha norma, contempla la posibilidad de que EE. UU. suscriba acuerdos bilaterales con otros estados de confianza con el objeto de permitir el acceso directo a datos por parte de las autoridades de esos países, sin necesidad de librar una comisión rogatoria. Sin embargo, hasta la fecha Estados Unidos solo ha firmado tales acuerdos con Reino Unido y Australia. La UE (en representación de sus países miembros, entre ellos España) se encuentra negociando desde el año 2019 un acuerdo internacional en esta materia (16) .

 

 

V. Conclusiones y perspectiva internacional

La prueba electrónica es hoy un elemento fundamental para las investigaciones penales. Sin embargo, su volatilidad y la dispersión geográfica inherente a la nube obligan a actuar con celeridad, aplicando igualmente procedimientos ágiles que garanticen la licitud, la autenticidad y la integridad de los datos, para lo cual resulta evidente que el empleo de las Comisiones Rogatorias ha quedado desfasado.

En el espacio de la Unión Europea, la Orden Europea de Investigación y, desde agosto de 2026, las órdenes europeas de producción y conservación del paquete e-evidence proporcionan canales directos y estandarizados para recabar datos ya almacenados, con plazos breves y un régimen de salvaguardas reforzado. Ello no sustituye a los instrumentos tradicionales, sino que los complementa: se elige la vía según la naturaleza de la diligencia, la categoría de datos y la ubicación o representación del proveedor.

Fuera del ámbito comunitario, es preciso recurrir a los tratados internacionales, y en particular a la petición de preservación urgente que contempla la red 24/7 del Convenio de Budapest. El CLOUD Act norteamericano abrirá una importante vía de cooperación directa que ahorrará considerables trámites burocráticos, ya que, a día de hoy sólo se encuentra en vigor con Reino Unido y Australia.

En clave práctica, cuando sea necesario recabar un dato alojado en el extranjero, conviene activar de inmediato la preservación 24/7 mientras se tramita la pertinente petición a través del canal legal que corresponda. En este sentido, también es necesario delimitar con precisión cuentas, periodos y categorías de dato y escoger el canal adecuado según geografía y tipo de dato.

 

VI. Referencias Normativas

• Directiva 2014/41/UE (LA LEY 6702/2014) del Parlamento Europeo y del Consejo, de 3 de abril de 2014, relativa a la Orden Europea de Investigación en materia penal.
• Ley 23/2014, de 20 de noviembre (LA LEY 17707/2014), de reconocimiento mutuo de resoluciones penales en la Unión Europea (modificada por Ley 3/2018 (LA LEY 9482/2018)).
• Reglamento (UE) 2023/1543 (LA LEY 22209/2023) del Parlamento Europeo y del Consejo, de 12 de julio de 2023, sobre las órdenes europeas de entrega y conservación de pruebas electrónicas en materia penal.
• Directiva (UE) 2023/1544 (LA LEY 22208/2023) del Parlamento Europeo y del Consejo, de 12 de julio de 2023, por la que se establecen normas para la designación de representantes legales de proveedores de servicios a efectos de obtención de pruebas electrónicas.
• Tratado de Asistencia Judicial Mutua España-EE.UU. de 20 de mayo de 1990 (entró en vigor en 1993), complementado por el Acuerdo UE-EEUU de Asistencia Judicial de 25 de junio de 2003 (Decisión 2009/820/JP).
• Convenio sobre la Ciberdelincuencia del Consejo de Europa (Convenio de Budapest, 2001), ratificado por España (Instrumento de 20/05/2010, BOE 1/06/2010).
• Segundo Protocolo Adicional al Convenio de Budapest (2021) relativo a la cooperación reforzada y divulgación de pruebas electrónicas.
• U.S. CLOUD Act (2018) – Clarifying Lawful Overseas Use of Data Act.
• Guía de tratados bilaterales con estados publicada por el Ministerio de Asuntos Exteriores. https://www.exteriores.gob.es/es/ServiciosAlCiudadano/PublicacionesOficiales/GUIA%20TRATADOS%20CON%20ESTADOS.pdf