DOCTRINA EN DOS PÁGINAS

Prácticas actuales de investigación y recolección de evidencia digital versus garantías de debido proceso. (Parte II)*

Por Fernando Díaz Cantón

En lo que respecta al poder del Estado^[2] al que las garantías tienden desde antiguo a poner coto, uno se podría preguntar si ese poder ha disminuido o aumentado en la época actual. La respuesta sería sin duda que hoy ese poder se ha visto expandido hasta lo inaudito y quizá hasta lo inconcebible por el incremento inusitado de la capacidad de invasión de la intimidad que han revelado las nuevas tecnologías. De allí que las garantías contra el acceso indebido a esos ámbitos novedosos de la intimidad deban ser repensadas y fortificadas en sentido directamente proporcional a aquél aumento, para poner freno a una amenaza de la intimidad mucho más agresiva y silente que la del pasado. Cierto es que también se han agravado las formas de criminalidad debido también, precisamente, a esa misma evolución tecnológica, y se ha consolidado la amenaza de la criminalidad transnacional organizada. Pero esto no debe hacernos perder de vista que la mayor gravedad de los delitos no debe implicar, contra lo que usualmente se supone, un debilitamiento de las garantías de las personas sometidas a investigación sino en todo caso, un mejoramiento de las técnicas de investigación, una mejor regulación de los tipos de injerencias y una alta capacitación y una elevación de los estándares de calidad profesional de los investigadores. Es sorprendente advertir cómo el primer impulso de quienes nos gobiernan es el de dirigir todos los esfuerzos a demoler garantías en lugar de a vigorizar la eficiencia de la investigación y la honestidad de los responsables de ella.

Esa evolución tecnológica ha llevado a que la reforma del Código Penal en la materia (por Ley Nº 26.388) prevea también como delito el acceso indebido a una comunicación electrónica o a un sistema o dato informático de acceso restringido (arts. 153 y 153 bis del CP). De modo que las leyes de procedimiento deben contemplar específicamente el fenómeno del acceso a un sistema o dato informático de acceso restringido tanto cuando ha sido utilizado como instrumento del delito o cuando allí se encuentran, presumiblemente, las pruebas (en formato, soporte o “entorno” digital) de un delito, contemplando los casos y los justificativos para hacerlo y la autoridad competente para disponerlo, quien deberá hacerlo con la debida fundamentación, no sólo para tener por justificada una conducta que de otro modo sería un delito penal sino para asegurar la validez de la prueba obtenida para que pueda ser utilizada en un juicio y formar parte de la prueba a valorar en una sentencia.

Y, a contrario de lo que puede suponerse, justamente por esa mayor capacidad invasiva, la regulación de los nuevos tipos de injerencia en estos nuevos ámbitos de la intimidad debe ser lo más precisa y casuística posible, contemplando los requisitos específicos para poder invadir la intimidad en cada supuesto, pese a que, como bien dice Volk, de la praxis se obtiene la impresión fatal de que reina de facto una regla que puede formularse en los siguientes términos: “lo que técnicamente es posible, también se hace”^[3]. Esta regla es una tentación para establecer reglas genéricas, del tipo “las autoridades de la persecución, con miras a la investigación de la verdad en el marco de la proporcionalidad, pueden adoptar todas las medidas necesarias” (propuesta de Volk^[4]). Claramente esta regla, un verdadero cheque en blanco, a la que tristemente, como vemos, se resigna autorizada doctrina, implicaría un retroceso en las exigencias indispensables para el acceso a los ámbitos de que se trata.

Tampoco se suplen las reglas que deben contemplar cada caso específico de injerencia, como si fuera un código de tipos de injerencia respetuoso del principio de legalidad estricta, con la sola orden o supervisión judicial, por bien fundada que esta esté, dado que la habilitación de cada tipo de injerencia en un derecho fundamental debe ser autorizada por la ley que represente la voluntad soberana del pueblo, sin perjuicio de la cual debe existir la orden y control judicial, pero regulada por aquélla y no sustituida por ésta. Esto y no otra cosa es el significado y la importancia del principio “nulla coactio sine lege”. Tampoco procede recurrir a la analogía con otras formas de injerencia ya reguladas.

Por supuesto que con la mera previsión legal del tipo de injerencia no basta, si a la vez la ley no contiene los “casos y justificativos” que en cada supuesto la habilitan, brindando precisiones exhaustivas sobre el tipo de injerencia, el modo de llevarla a cabo y el tiempo para concluirla, respetando los principios de necesidad y proporcionalidad. Como ejemplo de ley inválida por establecer una injerencia desproporcionada puede verse la llamada “Ley Espía” Nº 25.873, que imponía la obligación de las empresas prestadoras del servicio de telecomunicaciones de retener los datos de tráfico de las comunicaciones por diez años, y que a la vez obligaba a dichas empresas a disponer recursos humanos y tecnológicos para la captación y derivación de telecomunicaciones a requerimiento de las autoridades judiciales o del ministerio público, cuya inconstitucionalidad declaró, por ello mismo, la Corte Suprema nacional en el caso “Halabi”, del 24/2/2009, siendo luego derogada por el Congreso. También el Tribunal Constitucional Alemán, el 2/3/2010, declaró en un caso la inconstitucionalidad de una ley que permitía la grabación sin permiso previo de los afectados y almacenamiento durante seis meses por las fuerzas de seguridad y autoridades de la investigación de las conexiones desde el teléfono fijo o móvil, el correo electrónico y el uso de Internet, así como los datos de localización de teléfonos móviles, por no observar dicha ley el principio de proporcionalidad y porque su aplicación carece de un sistema que garantice la seguridad para los datos procesados. Para permitir semejante práctica, establece la sentencia, es necesario que las autoridades que la lleven a cabo especifiquen ante un juez, previo a su obtención, para qué deben ser utilizados los datos obtenidos y obtener su autorización.

El Código Procesal Penal de la Nación hoy vigente (Ley 23.984), si bien habilita al allanamiento, el registro domiciliario y el secuestro de cosas de interés para la investigación de un delito (arts. 224 y ss.; art. 231 y ss.), así como la intervención de comunicaciones telefónicas o cualquier otro medio de comunicación del imputado, para impedirlas o conocerlas (art. 236), no contempla expresamente el acceso a un sistema o equipo informático o electrónico de acceso restringido. De modo que, en el caso de nuestro ejemplo, el juez podrá ordenar, en el ámbito jurisdiccional federal, el secuestro de todas o de algunas de las computadoras que se hallan en la entidad, pero será en vano ya que no podrá ordenar el acceso a dichos equipos para ningún tipo de actividad recolectora de evidencia digital dentro de ellos en tanto no haya una ley que habilite este supuesto de injerencia de un ámbito de intimidad protegido constitucionalmente y lo regule razonablemente, estableciendo tanto el modo de acceso, la cadena de custodia y un plazo razonable para la realización de la tarea y su posterior devolución al tenedor legitimado, entre otros aspectos no menos relevantes.

La especificidad de la temática que nos ocupa no permite recurrir a la analogía con otros tipos de injerencias normativamente contempladas y exige regular en la ley procesal penal diversos aspectos que hacen al tipo de prueba que estamos tratando, y que están todas en la Convención sobre la Ciberdelincuencia del Consejo de Europa Budapest, como ser un sistema de salvaguardas escalonadas, como la distinción entre la interceptación de datos relativos al contenido (Artículo 21) y la obtención de datos relativos al tráfico (Artículo 20); los procedimientos de conservación rápida (art. 16) y la obligación de retención de datos, pero en plazos razonables (por ejemplo seis meses) y siguiendo determinados requisitos que respeten la proporcionalidad de la medida.

El CPP de la Nación Ley Nº 27.063 contempla en el artículo 144 la incautación de datos en los siguientes términos: “El juez podrá ordenar a requerimiento de parte y por auto fundado, el registro de un sistema informático o de una parte de éste, o de un medio de almacenamiento de datos informáticos o electrónicos, con el objeto de secuestrar los componentes del sistema, obtener copia o preservar datos o elementos de interés para la investigación, bajo las condiciones establecidas en el artículo 129. Regirán las mismas limitaciones dispuestas para el secuestro de documentos. El examen de los objetos, documentos o el resultado de la interceptación de comunicaciones, se hará bajo la responsabilidad de la parte que lo solicitó. Una vez secuestrados los componentes del sistema, u obtenida la copia de los datos, se aplicarán las reglas de apertura y examen de correspondencia. Se dispondrá la devolución de los componentes que no tuvieran relación con el proceso y se procederá a la destrucción de las copias de los datos. El interesado podrá recurrir al juez para obtener la devolución de los componentes o la destrucción de los datos”. La cadena de custodia se regula en el art. 150. Normas de similar cariz se hallan en la línea de códigos más avanzada del país, como por ejemplo el CPP Neuquén (arts. 150 y 153).

Otro tipo de injerencias, como la vigilancia acústica (pequeño espionaje acústico según el lenguaje teutón), la vigilancia remota de equipos informáticos, la vigilancia a través de dispositivos de captación de imagen o la vigilancia a través de dispositivos de seguimiento o localización, que motivaron un proyecto de reforma del aún no vigente CPP de la Nación (Exp. PE 165/16, del H. Senado de la Nación, ingresado el 28/9/2016), deben ser objeto de discusión parlamentaria para ver si dichas injerencias, aún más penetrantes que las analizadas, pasan el test de constitucionalidad y, en su caso, cuáles son los recaudos con los cuales deben ser adoptadas, sin duda mucho más exigentes y rigurosos que para las medidas ya analizadas.

En consecuencia, la respuesta a las inquietudes planteadas en el caso sometido a consideración es que:

• la orden no puede comprender el registro y secuestro de los archivos y datos relevantes contenidos las computadoras y los dispositivos informáticos que se encuentren en la oficina de que se trata, por no existir previsión legal que la autorice y regule con precisión y respetando los cánones de razonabilidad en la regulación de la invasión de los derechos fundamentales;
• es inadmisible jurídicamente, por las mismas razones, la utilización de herramientas tecnológicas en el lugar (software y hardware especiales para análisis forense) para determinar en cuál de las computadoras está la información relevante para la investigación.

^[*] Este texto fue preparado para la discusión que se realizó en la Jornada de Trabajo “Evidencia Digital, Investigación de Cibercrimen y Garantías del Proceso Penal”, del día 9 de marzo de 2017, organizada por la Asociación por los Derechos Civiles.

^[2] Continuando el abordaje dado en la Primera Parte de este ensayo, disponible en el Diario Nº 144 (07.04.2017):

http://dpicuantico.com/area_diario/doctrina-en-dos-paginas-diario-penal-nro-144-07-04-2017/

^[3] Volk, Klaus, “Curso fundamental de Derecho Procesal Penal”, traducción de la 7ª edición alemana por Alberto Nanzer, Noelia T. Núñez, Daniel R. Pastor y Eugenio Sarrabayrouse, revisión de traducción de Noelia T. Núñez, editorial Hammurabi, José Luis Depalma, editor, año 2010, p. 109, nota 5.

^[4] Ibidem.

DESCARGAR ARTÍCULO