En este capítulo
Naturaleza de la prueba digital
La prueba digital puede encontrarse en mensajes, bases de datos, dispositivos o registros de servicios. Conviene distinguir la fuente original de la prueba del medio mediante el que se incorpora a un procedimiento. Una captura de pantalla representa información, pero no conserva necesariamente metadatos, encabezados o contexto completo. Los datos digitales son copiables y modificables, de modo que la autenticidad, integridad y fiabilidad deben analizarse por separado. Un archivo puede conservar exactamente sus bits desde la adquisición y, sin embargo, proceder de una fuente equivocada. La eficacia probatoria requiere examinar hechos, método de obtención y normas procesales aplicables.
Conceptos de este apartado
- Documento electrónico y dato
- Fuentes de prueba y medios de prueba
- Características de volatilidad y replicabilidad
- Autenticidad, integridad y fiabilidad
- Original, copia y representación
- Prueba directa e indiciaria
Obtención lícita y derechos fundamentales
Que una técnica permita acceder a información no significa que su utilización sea jurídicamente válida. Las investigaciones pueden afectar intimidad, secreto de comunicaciones y otros derechos; su legitimidad depende de facultades, consentimiento cuando corresponda, autorización y proporcionalidad. En entornos laborales, las políticas internas no convierten cualquier acceso en lícito. Una investigación debe definir finalidad, alcance, necesidad y medidas que eviten recoger datos ajenos al hecho. La prueba obtenida irregularmente puede enfrentar límites de admisibilidad y utilización conforme al ordenamiento aplicable. La estrategia probatoria debe considerar estas garantías desde el comienzo, no después de obtener el material.
Conceptos de este apartado
- Intimidad y secreto de comunicaciones
- Acceso a dispositivos y cuentas
- Consentimiento y autorización
- Investigaciones empresariales internas
- Proporcionalidad y necesidad
- Prueba ilícita y exclusión
Autenticación e integridad
El hash permite comprobar que un archivo adquirido y otro examinado son idénticos en contenido bajo el algoritmo utilizado. La firma digital puede aportar elementos adicionales de integridad y vinculación con una clave, según el sistema. Ninguna de las dos herramientas sustituye la acreditación de la fuente, del contexto o de quién controlaba realmente la identidad. Los metadatos ayudan a reconstruir fechas y relaciones, aunque también pueden alterarse o conservarse incompletos. La cadena de custodia registra manipulaciones y transferencias. Cuando dos fuentes independientes corroboran una secuencia, aumenta la solidez del análisis, siempre explicando las limitaciones que subsisten.
Conceptos de este apartado
- Hash y firma como elementos de soporte
- Metadatos y contexto
- Cadena de custodia
- Testimonio y peritaje
- Corroboración entre fuentes
- Impugnación de autenticidad
Evidencia de comunicaciones y plataformas
Las comunicaciones digitales dejan rastros diferentes según la plataforma. En correo electrónico pueden existir cabeceras, servidores intermedios y registros de entrega; en mensajería, dispositivos, exportaciones y datos gestionados por el proveedor. Una captura de una conversación es útil como indicio inicial, pero puede omitir mensajes previos, edición o identificadores. Las redes sociales presentan problemas adicionales de contenido efímero y cambios de perfiles. La preservación temprana puede evitar pérdida de información, respetando derechos y procedimientos. La ausencia de un registro en una exportación no prueba automáticamente que una comunicación nunca existió: es necesario conocer el alcance de esa fuente.
Conceptos de este apartado
- Correo electrónico
- Mensajería instantánea
- Redes sociales
- Capturas de pantalla
- Registros de proveedores
- Contenido efímero y preservación
Pericial informática
La pericia informática requiere definir preguntas técnicas concretas antes de seleccionar métodos. Una pregunta válida puede ser si un archivo conserva determinados metadatos o si los registros son compatibles con cierta secuencia; preguntar «quién cometió el delito» puede exigir inferencias que exceden el análisis técnico. La independencia, documentación de herramientas y posibilidad de reproducción fortalecen el dictamen. Un perito debe exponer hallazgos y límites de certeza, no convertir probabilidades en afirmaciones absolutas. Durante la contradicción procesal pueden examinarse metodologías, fuentes alternativas y errores. La claridad explicativa es tan importante como la complejidad de las herramientas empleadas.
Conceptos de este apartado
- Objeto de pericia
- Independencia y metodología
- Reproducibilidad
- Estructura del dictamen
- Limitaciones y grados de certeza
- Interrogatorio, contrainterrogatorio y defensa técnica
e-Evidence y órdenes de preservación/producción
La información relevante para un procedimiento puede estar alojada por proveedores extranjeros. Su preservación y obtención requieren mecanismos compatibles con jurisdicción, derechos y procedimientos aplicables. La normativa europea e-Evidence establece instrumentos específicos para determinadas órdenes transfronterizas, cuyos ámbitos y calendarios deben verificarse. Los datos de abonado, tráfico y contenido no plantean idénticos riesgos para derechos fundamentales ni están sujetos necesariamente a las mismas condiciones. Una solicitud técnicamente sencilla puede tener restricciones jurídicas importantes. La investigación debe distinguir conservación urgente de entrega, autoridad competente y garantías de la persona afectada.
Conceptos de este apartado
- Conservación urgente
- Órdenes a proveedores
- Datos de abonado, tráfico y contenido
- Jurisdicción y localización de datos
- Mecanismos europeos de e-Evidence
- Coordinación con cooperación internacional
Un caso para comprenderlo
Una conversación digital presentada en juicio es cuestionada por posible edición. La estrategia probatoria contempla exportaciones, metadatos, preservación y posibles pericias, además de la licitud de la obtención. El hash de la captura conserva su integridad desde cierto momento, pero no demuestra por sí solo que la conversación sea completa o auténtica.
Cómo aplicar estos conceptos
El punto de partida es describir el sistema o situación con precisión, distinguir hechos de suposiciones y seleccionar qué información permitiría comprobar una conclusión. A partir de ahí se identifican riesgos, controles, responsabilidades y evidencias posibles. La utilidad de estos conocimientos aumenta cuando se relacionan con otras áreas de la ciberseguridad y del Derecho informático.
Fuentes y lecturas de referencia
Para aplicar estos marcos a un caso concreto deben comprobarse la versión vigente, el ámbito de aplicación y las condiciones del supuesto.