La policía puede disponer de la tecnología más sofisticada del mercado, gastar auténticas fortunas en programas capaces de extraer información de teléfonos, ordenadores y sistemas cifrados y presentar después un informe pericial de varios centenares de páginas. Pero si nadie puede explicar exactamente cómo se obtuvieron los datos, dónde se procesaron, quién tuvo acceso a ellos o si el procedimiento respetó los derechos fundamentales, todo ese despliegue tecnológico puede acabar sirviendo para una sola cosa: que un abogado solicite la exclusión de la prueba.
No parece precisamente el mejor negocio para el contribuyente. Esta es una de las advertencias que se desprenden del informe Digital Forensics: Gap Analysis, publicado por Europol el pasado 16 de octubre, y al que Diario Sabemos ha tenido acceso, que deja al descubierto una incómoda realidad: Europa investiga buena parte de sus delitos digitales utilizando tecnologías que no controla suficientemente y cuya fiabilidad jurídica no siempre puede demostrar.
La soberanía tecnológica termina donde empieza la licencia del fabricante
El documento, elaborado en cooperación con la Comisión Europea, describe una situación preocupante. Las policías europeas dependen de herramientas comerciales, frecuentemente desarrolladas fuera de la Unión, que resultan caras, utilizan formatos propietarios, dificultan la interoperabilidad y, en determinados casos, pueden no satisfacer los requisitos europeos de responsabilidad y control. Y lo mismo pasa con las herramientas utilizadas por los peritos judiciales.
Europol reconoce incluso que las herramientas desarrolladas en Europa tienen una participación reducida en el mercado pese a resultar, en términos generales, considerablemente más económicas. Especialmente contundente es su diagnóstico sobre las investigaciones relacionadas con criptomonedas, donde advierte que el mercado está dominado por compañías estadounidenses y que compartir información sensible con ellas plantea un problema de soberanía.
Dicho de otro modo, podemos investigar delitos en nombre del Estado, pero acabamos dependiendo de los servidores, los algoritmos y las condiciones comerciales de una empresa privada situada a miles de kilómetros. Después pronunciamos solemnemente la expresión «autonomía estratégica europea», organizamos una conferencia en Bruselas y damos el asunto por encarrilado.
Herramientas estadounidenses e israelíes: primero las garantías, después la factura
La advertencia exige prestar especial atención a las soluciones estadounidenses e israelíes utilizadas para extraer, descifrar, recuperar o analizar evidencias digitales. Europol identifica expresamente la dependencia de compañías estadounidenses en determinados ámbitos, aunque su informe no formula una acusación específica contra fabricantes israelíes. La prevención respecto de estos últimos responde a la misma exigencia jurídica: ninguna herramienta debe intervenir en un procedimiento judicial europeo sin que pueda acreditarse su conformidad con la legislación aplicable, independientemente de dónde tenga su sede el fabricante. No se trata de prohibir tecnologías por su nacionalidad, sino de impedir que una licencia comercial se convierta en un salvoconducto para eludir garantías fundamentales.
Si el programa transmite información a servidores extranjeros, incorpora mecanismos de acceso remoto, envía datos para diagnósticos, ejecuta procesos que el perito no puede auditar o impide reproducir sus resultados, las autoridades deben conocerlo y valorar sus consecuencias antes de utilizarlo. Y si el fabricante no ofrece garantías verificables, la herramienta no debería emplearse para producir prueba judicial. La confianza ciega puede ser muy reconfortante en determinados ámbitos de la vida, pero resulta una metodología científica francamente mejorable.
Además, conviene recordar un detalle que algunas administraciones parecen descubrir con cierta resistencia: el Derecho europeo también se aplica cuando el software viene acompañado de una demostración espectacular y una factura de seis cifras. En España, los tratamientos policiales dirigidos a investigar delitos están sometidos principalmente a la Directiva (UE) 2016/680 y a la Ley Orgánica 7/2021, mientras que otros tratamientos pueden quedar sujetos al Reglamento General de Protección de Datos.
Las transferencias internacionales deben examinarse conforme al régimen jurídico que corresponda. Que existan decisiones europeas de adecuación para Israel o para determinadas empresas estadounidenses en el ámbito del RGPD no significa que cualquier tratamiento de datos policiales quede automáticamente autorizado.
Tampoco basta con instalar el programa en un ordenador de un perito español si durante su funcionamiento transmite información a terceros. La soberanía no se consigue cambiando la dirección de facturación.
La caja negra que puede hacer saltar por los aires un procedimiento judicial
El problema adquiere una dimensión todavía más grave cuando hablamos de prueba pericial. Europol insiste en que las herramientas forenses deben permitir verificar sus resultados, documentar las operaciones efectuadas, preservar la integridad de los datos y reproducir los análisis. En su apartado dedicado a la inteligencia artificial llega a advertir que una respuesta estadísticamente correcta en el 99 % de los casos puede resultar inutilizable si no es posible demostrar los pasos que condujeron hasta ella. La cuestión es elemental: un juez no puede sustituir la valoración de la prueba por un acto de fe en el fabricante, por mucho prestigio que tenga la marca y por muy convincente que resulte el comercial.
El empleo de herramientas que no permitan acreditar estas garantías expone el resultado o el peritaje a impugnaciones, a la pérdida de valor probatorio y, cuando concurran los presupuestos jurídicos necesarios, a su nulidad o exclusión del procedimiento. El artículo 11.1 de la Ley Orgánica del Poder Judicial establece que no surtirán efecto las pruebas obtenidas directa o indirectamente vulnerando derechos fundamentales. Por su parte, la Ley de Enjuiciamiento Criminal exige garantías específicas para acceder a dispositivos electrónicos y preservar la integridad de su contenido.
Eso no significa que cualquier defecto técnico produzca automáticamente una nulidad: el Tribunal Supremo ha distinguido entre una irregularidad que afecta a la fiabilidad de la prueba y una vulneración de derechos fundamentales que determina su exclusión. Pero precisamente por eso resulta imprescindible conocer qué hace la herramienta, cómo lo hace y qué consecuencias tiene sobre la evidencia examinada.
Europol llega a señalar que la dependencia excesiva de herramientas comerciales y la interpretación deficiente de sus resultados ya han contribuido a que determinados procedimientos franceses fueran desestimados judicialmente por falta de pruebas fiables. No estamos, por tanto, ante una extravagancia académica.
Peritos, policías y jueces: la responsabilidad no puede subcontratarse al fabricante
El informe también evidencia otra carencia: la ausencia de criterios europeos uniformes de validación y de una infraestructura independiente suficiente para comprobar la fiabilidad de las herramientas. Europol propone avanzar hacia organismos europeos de evaluación, formatos interoperables, procedimientos normalizados y una formación que permita a los investigadores comprender las evidencias con independencia del programa utilizado. Una idea verdaderamente revolucionaria: que el especialista conozca la ciencia que practica y no se limite a pulsar botones siguiendo las instrucciones del fabricante. Porque un perito no es el representante comercial de una aplicación, ni una certificación expedida por su proveedor sustituye la comprobación científica del resultado.
Antes de utilizar una herramienta forense deberían quedar documentados, como mínimo, su versión, las condiciones de licencia, los mecanismos de extracción, las comprobaciones de integridad, las operaciones realizadas, las comunicaciones con terceros, el eventual tratamiento internacional de datos y las posibilidades de reproducción y contradicción del análisis.
Las autoridades judiciales también deberían exigir esa información cuando resulte relevante, especialmente si la herramienta funciona como una caja negra o incorpora inteligencia artificial. No basta con afirmar que el sistema es fiable porque lo utilizan otros cuerpos policiales. La popularidad de un producto nunca ha sido una fuente del Derecho, aunque algunos contratos públicos parezcan redactados con la convicción contraria.
Europa necesita pruebas judiciales, no milagros tecnológicos importados
El diagnóstico de Europol debería provocar algo más que otra ronda de declaraciones institucionales sobre innovación, seguridad y transformación digital. Europa necesita desarrollar herramientas propias, impulsar soluciones abiertas y auditables, reforzar la formación de sus profesionales y exigir garantías jurídicas y técnicas rigurosas a todos los proveedores, incluidos los estadounidenses, israelíes y, naturalmente, los europeos. Porque tampoco tendría sentido sustituir una caja negra de Silicon Valley o Tel Aviv por otra fabricada en Bruselas y declararla fiable mediante una ceremonia de inauguración.
La advertencia final es tan sencilla como incómoda: una investigación no es mejor porque utilice la tecnología más cara, sino porque sus resultados puedan comprobarse y defenderse ante un tribunal.
Cuando una administración compra herramientas que no puede auditar, no solo compromete su autonomía tecnológica; también se arriesga a debilitar las pruebas que pretende presentar ante la justicia. Y sería una paradoja digna de nuestro tiempo que, después de invertir millones en perseguir delitos mediante sofisticados sistemas informáticos, algunos procedimientos terminasen fracasando porque nadie se preocupó de comprobar si aquellos sistemas respetaban las garantías que exige la ley.
Al final, lo verdaderamente moderno no consiste en entregar la investigación a un algoritmo extranjero y esperar que obre el milagro. Consiste en poder demostrar, delante de un juez y con todas las garantías, que la prueba es auténtica, el procedimiento es legal y las conclusiones son fiables. Lo demás, por muy tecnológico que parezca, puede acabar siendo simple fe digital con cargo al presupuesto público.
Añadir DiarioSabemos como fuente preferida de Google de forma gratuita
Mantente informado con las últimas noticias de actualidad.