Investigar y juzgar el cibercrimen tiene sus propias particularidades: hay que atribuir una conexión a una persona, conservar datos que se pierden con facilidad, obtener pruebas en otros países y acreditar que la evidencia es fiable. Para quien está investigado o acusado, cada uno de esos puntos marca un límite legal y, al mismo tiempo, un margen de defensa que conviene conocer desde la primera diligencia.
La dificultad no está en el tipo penal. Está en reconstruir los hechos a partir de rastros técnicos que pueden desaparecer, ocultarse o apuntar a alguien distinto de quien actuó. Ese diagnóstico ya aparece en la doctrina académica, aunque la regulación procesal ha cambiado mucho desde entonces.
El trabajo «Cibercrimen: particularidades en su investigación y enjuiciamiento» lo firman María Concepción Rayón Ballesteros y José Antonio Gómez Hernández. Estos son sus datos editoriales y su contenido:
Hay un matiz importante: el artículo es anterior a la Ley Orgánica 13/2015. Por eso, sus referencias procesales deben contrastarse con las medidas de investigación tecnológica que esa reforma incorporó a la ley antes de aplicarlas a un caso actual.
El primer obstáculo es el tiempo. Los registros de acceso y de actividad pueden desaparecer, sobrescribirse o alterarse si nadie los preserva a tiempo. A eso se suman las herramientas de anonimización, las conexiones intermediadas y las redes de equipos distribuidos, que dificultan localizar a quien llevó a cabo una actividad.
Frente a esa ocultación, la investigación puede necesitar cruzar el tráfico de red, los eventos de seguridad y los registros de servidores. Esa tarea exige conocimientos informáticos y coordinación entre investigadores, peritos y órganos judiciales.
Una vez localizado un rastro, falta saber quién está detrás. Identificar al titular de una conexión o de una cuenta no demuestra, por sí solo, quién usó el dispositivo o la cuenta en el momento investigado.
A partir de ahí entran en juego varias hipótesis: una red wifi compartida o abierta, un dispositivo comprometido o el acceso remoto de terceros. Cualquiera de ellas puede complicar la atribución individual, y la acusación debe aportar pruebas suficientes de la autoría.
El caso del CGNAT, un sistema que permite a varios clientes compartir una misma IP, lo muestra bien: para atribuir la conexión puede hacer falta cruzar fecha, hora y puerto de origen. La identificación mediante dirección IP está regulada en el artículo 588 ter k de la Ley de Enjuiciamiento Criminal.
Una vez que se sabe qué hay que atribuir, la siguiente cuestión es qué información puede obtenerse. En el cibercrimen, el marco procesal distingue clases de datos, plazos de conservación y autorizaciones, y cada uno tiene un régimen distinto.
La prueba digital puede salir de archivos, correos, conversaciones, datos de abonado, registros de conexión, copias de seguridad, servicios en la nube y metadatos. Los datos de tráfico de una comunicación recogen su origen, destino, fecha o duración, pero no su contenido. La Ley 25/2007 obliga a conservar ciertas categorías de datos hasta doce meses después de la comunicación, aunque solo los que el prestador haya generado o tratado. Además, el artículo 588 octies permite ordenar que se conserven datos concretos durante 90 días, prorrogables una sola vez hasta 180 días. Esa orden protege los datos, pero no permite acceder a ellos.
El acceso, en cambio, depende del juez. La Ley Orgánica 13/2015, en vigor desde el 6 de diciembre de 2015, sometió las medidas de investigación tecnológica a los principios de especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad.
La solicitud debe concretar los hechos, los indicios, las personas y los medios afectados cuando se conozcan, además del alcance y la duración de la medida. Como regla general, el juez resuelve mediante auto motivado en un plazo máximo de 24 horas, que se interrumpe si pide aclaraciones.
Ese mismo control llega a los dispositivos. Incautar un dispositivo no autoriza a examinar su contenido: los artículos 588 sexies a y c exigen que el juez motive y delimite el acceso, el alcance del registro y las condiciones de preservación. El registro remoto de equipos requiere autorización y los requisitos del artículo 588 septies a, y la cesión de datos conservados por prestadores se rige por el artículo 588 ter j.
Ninguna medida es indefinida. La intervención de comunicaciones telefónicas o telemáticas y el seguimiento mediante dispositivos técnicos duran, como máximo, tres meses iniciales, con prórrogas justificadas hasta dieciocho meses. Según el artículo 588 bis j, la medida debe cesar cuando desaparece su justificación, cuando es evidente que no da resultados o cuando vence el plazo.
A esos límites se añade el plazo de la instrucción: doce meses desde la incoación según el artículo 324, prorrogables de forma motivada por periodos de hasta seis meses. Las diligencias acordadas dentro de ese plazo siguen siendo válidas aunque sus resultados lleguen después. Tenga en cuenta que una autorización no garantiza que el proveedor conserve los datos; si una diligencia falla, conviene revisar por qué y qué otras fuentes existen.
Obtener los datos no es suficiente. Para el enjuiciamiento hay que demostrar que lo que llega al tribunal es lo mismo que se obtuvo y que se ha interpretado bien.
La fiabilidad de la prueba digital empieza antes de copiar nada. Hay que precisar el proveedor, la cuenta o el dispositivo, el intervalo temporal, la zona horaria y los registros que pueden desaparecer. A partir de ahí, la cadena de custodia debe documentar estos puntos:
Siempre que sea técnicamente posible, el análisis forense se hace sobre copias y se conserva el original. También debe quedar documentada la relación entre el original, la imagen forense, las copias de trabajo y cualquier transformación posterior.
Esa relación se comprueba con huellas criptográficas, que permiten comparar elementos concretos si se registra cuándo y sobre qué datos se calcularon. Que dos huellas coincidan no demuestra quién creó un archivo ni que su contenido sea verdadero.
Una cosa es la integridad de un archivo y otra su autenticidad, su procedencia o la atribución de una conducta a una persona: cada cuestión requiere su propia comprobación. Una captura de pantalla, por ejemplo, puede omitir mensajes o contexto. Si surgen dudas relevantes, puede hacer falta la conversación completa, los datos nativos de la aplicación y corroboraciones externas.
Según la STS 3292/2025, de 1 de julio de 2025, la posibilidad de manipular capturas no obliga a hacer siempre una pericial informática: depende de las dudas concretas y del conjunto de la prueba. Cuando hay pericial, la clave está en que distinga hallazgos de inferencias, explique su método y sus límites y contraste hipótesis como el uso compartido, la sincronización, la suplantación o las diferencias horarias.
Los problemas anteriores se agravan cuando los datos están fuera de España. Las vías procesales para obtenerlos dependen del país y del tipo de dato.
En un ciberdelito, el autor, la víctima, el proveedor y los servidores pueden estar en países distintos. Que un servidor esté en un país no decide por sí solo la jurisdicción ni el procedimiento para obtener los datos. La cooperación internacional distingue varios instrumentos y fases:
En términos de defensa penal, cada fase se controla por separado: que unos datos se hayan preservado correctamente no garantiza que se obtuvieran ni se aportaran al juicio con las mismas garantías.
El Reglamento (UE) 2023/1543 sobre pruebas electrónicas, aplicable desde el 18 de agosto de 2026, regula las órdenes europeas de producción y de conservación. La de producción prevé una respuesta en diez días u ocho horas en casos de emergencia, aunque esos plazos no equivalen a la duración total de la investigación. La de conservación, por su parte, solo preserva los datos para una solicitud posterior.
El Reglamento tampoco permite, con carácter general, registrar dispositivos situados en otro Estado. Si la respuesta del país extranjero llega sin documentación técnica suficiente, pueden pedirse metadatos o aclaraciones para comprobar la procedencia y la integridad de los datos.
Todo lo anterior se resuelve en el juicio. Al final del proceso, el tribunal decide si la prueba practicada basta para condenar.
El enjuiciamiento de los delitos informáticos se hace con las garantías ordinarias del proceso penal, y el tribunal valora en conjunto todas las pruebas practicadas. Para la autoría cuentan especialmente estos elementos:
La diferencia entre un sobreseimiento y una condena se juega en ese vínculo entre la actividad digital y la persona. Es ahí donde la defensa concentra su análisis.
Ese análisis puede dividirse en partes: legalidad de la obtención, autenticidad, integridad, procedencia, atribución, interpretación y suficiencia de la evidencia. El artículo 11.1 de la Ley Orgánica del Poder Judicial deja sin efecto las pruebas obtenidas, directa o indirectamente, vulnerando derechos fundamentales. Para invocarlo hay que concretar el derecho afectado, el defecto y su relación con la prueba.
Si hay una controversia técnica concreta, la defensa puede pedir una copia verificable, los registros de custodia, la metodología o que comparezca el perito. Si el juez deniega la prueba, deben revisarse la motivación, la utilidad de la prueba y los recursos disponibles.
En la defensa de delitos informáticos, Antonio Rodas Abogado trabaja con peritos propios o rebate los informes oficiales para comprobar qué se hizo, desde dónde, cuándo y quién lo hizo. En una estafa informática puede investigarse al titular de una cuenta que recibe y reenvía fondos. Sin embargo, ser titular no basta para condenarlo si no se prueba que conocía el origen ilícito del dinero.
Lo mismo ocurre con la atribución en los procedimientos por acceso a mensajes ajenos o por difundir contenido íntimo. En estos casos de descubrimiento y revelación de secretos, el alcance del consentimiento puede ser decisivo, y conviene que las publicaciones y los accesos se hayan conservado con garantías.
El texto íntegro puede leerse o descargarse en PDF desde el repositorio Ágora. La ficha editorial de la revista recoge la referencia del artículo.
Las técnicas delictivas pueden evolucionar más deprisa que los métodos de investigación. La privacidad y la protección de datos limitan qué información puede recogerse y cómo se usa. Además, examinar un dispositivo puede afectar a víctimas, familiares, trabajadores u otras personas cuyos mensajes o archivos estén guardados en él.
Sí, en las condiciones que fija la Ley 1/1996 de asistencia jurídica gratuita, que incluye la asistencia pericial además de la defensa y la representación. Tenga en cuenta que tener un abogado de oficio no siempre supone que se reconozca definitivamente el derecho a la gratuidad.
