En primer lugar, debemos diferenciar ciberseguridad y ciberdelincuencia, pues, aunque son conceptos relacionados, resultan opuestos en su naturaleza y objeto:

La ciberseguridad se refiere a las medidas, prácticas y tecnologías diseñadas para proteger los sistemas informáticos, redes y datos contra accesos no autorizados, ataques cibernéticos, robo de información, daños o cualquier tipo de amenaza que pueda comprometer la seguridad de la información y la operación de los sistemas. La ciberseguridad se centra, por ende, en prevenir, detectar y responder a posibles riesgos y amenazas cibernéticas.

Sin embargo, la ciberdelincuencia es aquella actividad delictiva que se lleva a cabo mediante el uso de computadoras, redes y tecnologías de la información. La ciberdelincuencia implica el uso ilegal de la tecnología para cometer actos delictivos y causar daño a individuos, organizaciones o sistemas.

Así, la ciberseguridad busca proteger los sistemas y datos contra amenazas cibernéticas. La ciberdelincuencia representa las acciones criminales que se apoyan en las vulnerabilidades en esos sistemas y datos, todo ello con fines ilícitos. La ciberseguridad es proactiva y defensiva, mientras que la ciberdelincuencia es destructiva y criminal.

El fenómeno de la globalización ha tenido más beneficios que perjuicios para el mundo. Efectivamente, sus efectos han sido favorables para la economía, la tecnología, la sociedad y para la cultura. Pero no podemos soslayar algunos efectos perniciosos, como el que tiene que ver con la delincuencia. La globalización, unida al imparable crecimiento de la tecnología y transformación que está produciendo en el mundo, han originado que los patrones de delincuencia hayan cambiado. De hecho, hoy hablamos de la delincuencia transnacional y de ciberdelincuencia, términos antes desconocidos.

¿Cómo podemos definir la delincuencia transnacional? ¿Son términos sinónimos los conceptos de delito internacional y de delito transnacional? No resulta tan sencillo dar una respuesta a estos interrogantes.

Podríamos intentar definir los delitos internacionales acudiendo al Estatuto de la Corte Penal Internacional, firmado, en Roma, el 17 de julio de 1998. Tanto de su Preámbulo, como de su arts. 1 y 5, podríamos inferir que un delito internacional es aquél que, siendo grave, tiene trascendencia para la comunidad internacional en su conjunto. Así serían delitos internacionales, según el art. 5 de la Norma citada, los siguientes crímenes: genocidio, lesa humanidad, crímenes de guerra y el de agresión. Se trataría, en definitiva, de graves violaciones de las normas imperativas de Derecho Internacional Público.

Sin embargo, no resulta tan claro el concepto, si atendemos a la clasificación de los crímenes internacionales que algunos autores realizan (Messuti, 2013). Los delitos internacionales se pueden agrupar en cuatro categorías diferentes: a) delitos de Derecho Internacional, por ejemplo, crímenes de guerra; b) delitos contra el Derecho Internacional, como son los delitos de piratería; c) delitos que interesan al Derecho Internacional, caracterizados por elementos jurídicos, sociológicos y antropológicos dispersos entre territorios, nacionalidades o razas diferentes, como es el caso de la trata de personas y; d) delitos según el Derecho Internacional, los cuales se fundamentan en el carácter universal del bien jurídico protegido, entre los que se encuentran el delito de abordaje marítimo o aéreo o la misma piratería. Los delitos transnacionales, según esta clasificación, podrían incluirse dentro de la tercera categoría (Zúñiga Rodríguez, 2016). Podemos observar que el delito de piratería resulta difícilmente subsumible en las categorías anteriores, lo que evidencia la dificultad de deslindar las diferentes clases de delitos internacionales.

Sin perdernos en disquisiciones doctrinales y desde la perspectiva de Derecho positivo, en España, el principio de Justicia universal permite atribuir jurisdicción a los tribunales españoles mezclando dos grupos de delitos: los que deben perseguirse por existir un interés común, por tratarse de hechos de carácter trasnacional, que requieren el acuerdo de varios Estados para que sea posible y; aquéllos, en cuya protección están interesados todos los Estados de la Comunidad internacional, por fundamentarse en las normas de ius cogens del Derecho Internacional. Así, el art. 23.4 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial (en adelante, LOPJ), atribuye jurisdicción a los tribunales españoles, siempre que exista la concreta conexión que la Ley establece en cada caso (entre otras, víctima española, procedimiento dirigido frente a un español o frente a una persona que resida en territorio español) en delitos tan dispares como genocidio, lesa humanidad o contra las personas y bienes protegidos en caso de conflicto armado, tráfico ilegal de drogas tóxicas, estupefacientes o sustancias psicotrópicas o, entre otros, corrupción entre particulares. El precepto mencionado recoge así tanto las tesis universalistas como las pragmáticas, en la configuración del llamado principio de Justicia universal (Menéndez Rodríguez, 2014).

Aunque el art. 23.4 de la LOPJ española, incluya delitos propiamente internacionales como aquéllos que pueden calificarse de transnacionales, podemos definir los delitos internacionales, diferenciándolos de los segundos, como aquéllos afectantes a bienes jurídicos de carácter universal, teniendo su fundamento en los derechos humanos, afirmados por las normas imperativas de Derecho Internacional, tanto consuetudinarias como convencionales.

Por delito transnacional entendemos, sin embargo, aquellas acciones u omisiones que, siendo definidas como delito por las normas de cada uno de los Estados, se cometen o producen efectos en el territorio de más de un Estado. Los delitos transnacionales, por ende, no vienen definidos por el Derecho Internacional Público, sino por los ordenamientos jurídicos internos, lo que sucede es que, a diferencia de los delitos nacionales, se cometen o repercuten en más de un ordenamiento jurídico. Se suelen caracterizar, además, por cometerse por medio de una estructura organizada, de ahí que se hable de una delincuencia transnacional organizada. Los delitos transnacionales más conocidos son el narcotráfico, el tráfico de armas, la trata de seres humanos, el blanqueo de capitales, etc. Su fundamento no radica en la afirmación de los derechos humanos inherentes a la dignidad del ser humano, sino en razones prácticas: el interés de los Estados en llegar a acuerdos para perseguir hechos delictivos que escapan de sus fronteras, pues se cometen en un ordenamiento jurídico, pero producen sus efectos en otro distinto o incluso se cometen allá donde su jurisdicción no alcanza (Zúñiga Rodríguez, 2016).

Hoy en día, resulta imposible aplicar los viejos cánones del Derecho Penal sobre los que éste se construyó, basados en la soberanía de los Estados, en la territorialidad de la norma penal y en la titularidad exclusiva de los Estados del ius puniendi (Zúñiga Rodríguez, 2016). La represión de los delitos de carácter transnacional requiere de la cooperación entre los Estados. Dado que se producen o tienen sus efectos en diferentes ordenamientos jurídicos, no es posible ni la prevención ni su castigo, si no es contando con la colaboración de todos los Estados. Manifestación concreta de la delincuencia transnacional, es la llamada ciberdelincuencia o, en inglés, cybercrime.

Se entiende por ciberdelincuencia aquélla en la que está involucrada un equipo informático o Internet y en la que el ordenador, el teléfono, la televisión (smart tv), el reproductor de audio o vídeo o el dispositivo electrónico puede ser usado para la comisión del delito o puede ser objeto del mismo delito (Rayón Ballesteros y Gómez Hernández, 2014).

Cabe trazar una línea diferenciadora entre el concepto de ciberdelito y el de delito informático. El primero está estrechamente vinculado a las tecnologías de la Información y la Comunicación (TIC). En ellos, interviene la comunicación telemática abierta (pública), cerrada (privada) o de uso restringido. El delito informático es el aquél que se vale de elementos informáticos para su perpetración (Romero Casabona, 2016). Por tanto, implica el uso indebido de elementos informáticos o sistemas computacionales: se vale de elementos informáticos, como computadoras, dispositivos de almacenamiento, software, redes, para perpetrar la actividad delictiva, pero no tiene que ir ligado a la comunicación telemática, aunque puede utilizarla como medio para cometer el hecho.

De lo que se ha dicho en relación con la delincuencia transnacional queda claro que, en la actualidad, las fronteras no son un límite para la comisión de crímenes, siendo uno de los ámbitos donde más se plasma lo que cabe llamar la realidad «líquida» de las fronteras del ciberespacio (Zúñiga Rodríguez, 2016).

Si se unimos los conceptos de delincuencia organizada y ciberdelincuencia, obtenemos el término ciberdelincuencia organizada (Oficina de las Naciones Unidas Contra la Droga y El Delito, 2022). Tal y como reconoce Naciones Unidas no existe consenso para definir este nuevo término, ahora bien, hay ciertos parámetros de obligado cumplimiento como son los siguientes: el acto ilícito tiene que tener una dimensión cibernética, teniéndose que tratar bien de un delito facilitado por la cibernética o bien basado en la misma² y entrañar ya sea la participación de un grupo delictivo organizado (art. 2 de la Convención de las Naciones Unidas contra la Delincuencia Organizada Transnacional) o un delito tipificado, conforme al art. 5 de la misma Convención (confabulación o asociación delictuosa).

Los ciberdelincuentes se amparan en la continua transformación digital del mundo, y de la sociedad, en el aumento vertiginoso de las transacciones económicas que se realizan a través de Internet, en el anonimato en la navegación, en el efecto multiplicador de sus acciones en la red, en el desconocimiento de los ciudadanos de las medidas mínimas de ciberseguridad que deben adoptar en su vida diaria y en la gran volumen de datos que se producen e intercambian en el mundo cada día, para delinquir. Son muchos y, como veremos a continuación bien organizados y ven multiplicadas sus acciones delictivas por el gran impacto que tienen en el ciberespacio.

Gracias a la investigación y a la cooperación internacional, podemos conocer los caracteres esenciales que definen a los grupos que cometen ciberdelitos de carácter transnacional, aunque ciertamente la ciberdelincuencia organizada es todavía muy desconocida. Ciertamente, los grupos de ciberdelincuentes muestran conductas similares a los de los grupos organizados que pueden calificarse de tradicionales, por cometer delitos no cibernéticos, pues usan una estructura y se valen de unos procedimientos especiales que tienden a preservar el anonimato de sus miembros y a evitar la detección por parte de la policía. Es tal la protección que crean para no ser vistos por las fuerzas policiales que, de hecho, los foros utilizados por los ciberdelincuentes (por ejemplo, los empleados para compartir fotografías sexuales de menores), tienen más protección y más medidas de seguridad que otras³. Pero, a diferencia de los grupos organizados tradicionales, las TIC permiten la agrupación de personas que no se conocen entre ellos y que nunca se han visto cara a cara y, por ende, se unen personas que residen en cualquier parte del mundo. La misma tecnología les dota de una infraestructura, de productos, de personal y de clientes, sin las barreras geográficas que existen en los delitos tradicionales. El anonimato es una característica propia de estos delitos, cometidos a través o por la red⁴.

La investigación demuestra que los grupos varían en virtud de la complejidad estructural (Oficina de las Naciones Unidas Contra la Droga y el Delito, 2022): los hay con mayor jerarquización, que centralizan y dividen su trabajo, con líderes identificables, mientras que otros tienen redes transitorias, sin una naturaleza nítida, no vertical, sino lateral, sin una estructura fija y descentralizada. Ya sean de una clase o de otra utilizan foros y plataformas en línea para regular y controlar el suministro de bienes y servicios ilícitos. Esto quiere decir que entienden la delincuencia como un servicio y se basan en las aptitudes de sus individuos para realizar sus actividades.

Los grupos de ciberdelincuentes se pueden dividir en tres: los que operan principalmente en línea y cometen delitos cibernéticos; los que lo hacen fuera y en línea y cometen delitos cibernéticos y; los grupos que operan predominantemente fuera de línea y se dedican a la ciberdelincuencia para ampliar y facilitar sus actividades fuera de línea.

Dentro del primer grupo, a su vez se pueden distinguir los «enjambres» y los «nodos». Un «enjambre» es una fusión durante un espacio de tiempo de personas que se agrupan para realizar tareas para cometer un delito cibernético, pero después, una vez terminan y cumplen sus objetivos, desintegran el grupo. Son redes descentralizadas, que se componen por grupos efímeros de personas, y mínimas cadenas de mando. Cometen los delitos por razones ideológicas. Los «nodos» se integran por un núcleo de delincuentes, a los que se unen unos que se asocian, tienen más estructura y son más jerarquizados.

Los grupos que operan fuera de línea y en línea y se dedican a cometer delitos y delitos cibernéticos son llamados «híbridos», habiendo «híbridos agrupados» o «híbridos extendidos». Los primeros realizan determinadas actividades o utilizan métodos específicos para cometer ciberdelitos; se organizan como los «nodos», pero realizan sus actividades fuera y en línea, teniendo capacidad para ello. Tienen una táctica y operan en una ubicación concreta. Los grupos extendidos son mucho más especializados, menos centralizados y con un núcleo menos evidente; su composición es más compleja y su ámbito de operaciones es la llamada «red oscura».

Por último, el tercer grupo tienen una fuerte estructura jerárquica, se integran por grupos organizados tradicionales, pero amplían sus actividades ilícitas operando en línea, por ejemplo, a través de los juegos de azar, extorsión, prostitución o trata de personas.

La estructura de todos los grupos supone que operen como una auténtica empresa con «trabajadores» que prestan sus servicios en ella. Existe personal técnico, personal de apoyo, personal de comercialización; encargados de pagar y cobrar los servicios y cuentan con reglas de conducta por las que se rigen. La organización depende de a la actividad ilícita que se dediquen. Los que se basan para delinquir en la cibernética se nutren de codificadores, piratas informáticos, responsables de apoyo técnico y anfitriones (los que alojan actividades ilícitas en servidores o en ubicaciones físicas fuera de la red.

Después de esto, podemos afirmar que son muchos y muy bien organizados.

Debe tenerse en cuenta que, en el año 2023, del total de delitos, 2 459 659, cometidos de enero a diciembre, 470 388 son ciberdelitos, lo que representa un 19,1 % del total. De este número 426 744 son ciberestafas. Para entender el aumento vertiginoso que la ciberdelincuencia ha tenido en nuestro país, debemos comparar ese dato con las 70 178 estafas cibernéticas registradas en el año 2016. En sólo ocho años ha habido un aumento de un 508,1 %⁵.

Los ciberataques más frecuentes son los que tienen que ver con alguna de estas conductas: robo de identidad, piratería, phishing, botnets, ciberespionaje, extorsión en la red, malware, ransomware, pornografía infantil, acoso y amenazas cibernéticas.

El robo de identidad sucede cuando una persona se apropia de la identidad de otra, en beneficio propio, actuando en el tráfico jurídico simulando ser la persona a la que suplanta.

La piratería supone una entrada ilegal en un sistema informático o la ruptura de las protecciones que impiden la copia de un programa. Se utiliza también para hacer referencia a las copias ilegales de programas, discos o DVDs. El término inglés es cracking⁶.

El phishing supone extraer información confidencial mediante suplantación de identidad por correo electrónico, sitios web o llamadas.

También es necesario explicar el término botnet, que tiene lugar cuando una red de computadoras es infectada con malware, conectándolas a un centro de comando y control central. Los ciberatacantes lo utilizan para enviar correos electrónicos no deseados o realizar ataques DDoS, que consisten en producir una denegación de servicio por una sobrecarga en un sitio web, un servidor o un recurso, lo que lleva a un bloqueo o falta de funcionamiento y, al mismo tiempo, a una denegación de un servicio a los usuarios legítimos.

Las botnet se utilizan también para hacer lo que se denomina clic en fraude, esto es clics falsos que tienen como objetivo aumentar la calificación de búsqueda de una página web o inflar de manera artificial la popularidad de una publicación en las redes sociales.

El ciberespionaje es aquella actividad a través de la cual se obtiene información confidencial, secreta o estratégica de individuos, organizaciones, o gobiernos a través de medios electrónicos y digitales. Esto puede incluir la infiltración en sistemas informáticos, el robo de datos, el monitoreo de comunicaciones en línea, y el uso de malware u otras técnicas de craking para acceder a información sensible. Por ejemplo, a través de un programa se espían las comunicaciones de Internet, para encontrar números de tarjetas de crédito.

La ciberextorsión es un tipo de delito por el que se amenaza a una persona, empresa u organización con revelar información comprometedora, filtrar datos sensibles, dañar sistemas informáticos o realizar otras acciones perjudiciales a menos que se cumpla con una demanda específica, normalmente el pago de una cantidad de dinero, generalmente en criptomonedas u otra forma de pago digital, aunque también puede incluir otras condiciones, como la realización de acciones específicas o la entrega de bienes o servicios. Los métodos utilizados para llevar a cabo la extorsión en línea pueden variar, desde el envío de correos electrónicos amenazantes (conocidos como «emails de sextorsión»), hasta el uso de ransomware para cifrar archivos y exigir un rescate por su liberación.

La ciberextorsión puede tener graves consecuencias tanto para individuos como para empresas, ya que puede causar daños financieros, reputacionales y emocionales significativos.

El malware es un software malicioso que se utiliza para dañar computadoras y sistemas informáticos sin el conocimiento del propietario, por ejemplo, a través de spyware, virus, gusanos o troyanos.

El ciberataque que, con más frecuencia se produce, es el que se conoce como ransomware. El año 2023 ha supuesto un récord y es que, en el tercer trimestre de ese año, se constataron 1278 víctimas de este tipo de ataque, lo que ha supuesto un aumento del 11,22 % con respecto al segundo trimestre del mismo año y un aumento interanual del 95,41 %⁷.

Este software está diseñado para bloquear el acceso a un sistema informático, archivos o datos, generalmente mediante su cifrado, para luego exigir un rescate económico a cambio de restaurar el acceso. Una vez que el ransomware infecta un sistema, muestra mensajes intimidatorios o instrucciones sobre cómo pagar el rescate, siendo habitual que sea solicitado en forma de criptomonedas, con la finalidad de dificultar el rastreo del pago.

Los ransomware suelen propagarse a través de correos electrónicos de phishing, descargas de archivos maliciosos, vulnerabilidades en el software o sistemas desactualizados, y en algunos casos, a través de exploits de seguridad. Una vez que el ransomware infecta un sistema, puede cifrar archivos de gran importancia para el usuario o la organización, como sucede con los documentos, las fotos, las bases de datos o incluso con todo el disco duro.

El ransomware puede causar graves daños y pérdidas económicas, además de afectar la reputación de las organizaciones que son víctimas de estos ataques. La prevención del ransomware implica la adopción de buenas prácticas de seguridad cibernética, como la actualización regular del software, la concienciación sobre seguridad entre los empleados, el uso de software de seguridad confiable y la realización de copias de seguridad frecuentes y almacenadas de forma segura.

La pornografía infantil se produce cunando se distribuye, produce y consume material sexualmente explícito que involucra a menores de edad. En Internet puede manifestarse en diversas formas, como imágenes, videos o cualquier otro tipo de material que muestre a menores en situaciones sexualmente explícitas o sugestivas. Esta actividad criminal suele estar asociada con redes de explotación sexual infantil, donde los perpetradores pueden producir este tipo de contenido para su propio beneficio o con fines de lucro.

El acoso y amenazas como ciberdelitos son formas de abuso que se llevan a cabo a través de medios electrónicos, Internet, redes sociales, mensajes de texto, correo electrónico, entre otros. Estas acciones pueden tener graves repercusiones emocionales, psicológicas y, en algunos casos, físicas para las víctimas. Aquí hay una definición detallada de cada uno.

A continuación, se enumeran los posibles ciberdelitos que pueden cometerse y que están tipificados en la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal (en adelante, CP⁸):

El CP se ha ido modificando para adaptarse a la nueva realidad delictiva. La reforma más importante habida en este sentido ha sido la producida por la Ley Orgánica 1/2015, de 30 de marzo, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal.

Como puede entenderse, la cooperación en materia penal para la prevención y lucha contra la delincuencia transnacional y, en particular, contra la ciberdelincuencia, resulta, en virtud de lo anterior, de vital importancia.

La ciberdelincuencia proyecta sus consecuencias directamente sobre el proceso penal. Primeramente, porque la investigación de la ciberdelincuencia requiere de unidades investigación especializadas, dotadas de los medios técnicos necesarios para la efectividad de su trabajo.

En segundo lugar, los rastros que deja esta clase de delincuencia son de carácter electrónico, debiendo entonces referirnos a las evidencias electrónicas, difíciles de conseguir y altamente volátiles. En este sentido, la obtención transfronteriza de pruebas electrónicas se antoja extremadamente difícil, pues los proveedores de servicios de Internet suelen tener su sede en lugar distinto al de comisión de los hechos delictivos. La extraterritorialidad dificulta enormemente el acceso a dicha clase de prueba. La rápida alteración y destrucción de las evidencias digitales es uno de los grandes escollos que existen para el castigo de estos delitos.

Aunque en el seno de la Unión Europea (en adelante, UE) se ha legislado para evitar que los servidores de servicios de Internet impidan el acceso a la prueba electrónica, aún muchos Estados miembros se amparan en el necesario respeto de los derechos fundamentales para intentar impedir la obtención de las pruebas electrónicas.

Por último, tal y como se expondrá posteriormente, se hace necesaria la intervención de peritos especializados en la obtención y análisis de las evidencias encontradas.

A todos estos retos se une el uso de la Inteligencia Artificial (en adelante, IA) fundacional. Hemos pasado de la IA predictiva a la generativa y, dentro de ella, ya se habla del modelo fundacional. Que ¿de qué se trata? De redes neuronales deep learning. La IA que sigue este modelo se desarrolla a partir de un modelo fundacional que se utiliza como punto de partida para crear modelos de ML, que permite contar con aplicaciones nuevas de manera rápida y poco costosa. Estos modelos fundacionales son entrenados a través de datos generalizados y sin etiquetar y que son capaces de realizar una gran variedad de tareas generales, entre ellas comprender el lenguaje, generar texto e imágenes y conversar en lenguaje natural.

Estos modelos fundacionales permiten crear archivos de voz o vídeos con imágenes como si fueran reales. ¿Qué les espera a los juzgadores si se les presenta una evidencia creada por IA fudacional sin que tengan posibilidad de conocer que dicha evidencia no es real?

En diciembre de 2000, se firmó, en la ciudad de Palermo, la Convención de las Naciones Unidas contra la Delincuencia Organizada Transnacional. La Comunidad internacional se percató de que la delincuencia transnacional se había convertido en un problema mundial, al atravesar las fronteras, siendo imposible atajarla a través de medios nacionales.

Dos Resoluciones de la Asamblea General fueron el origen de dicha Convención. En primer lugar, la Resolución 53/111, de 9 de diciembre de 1998, en la que decidió establecer un Comité especial intergubernamental de composición abierta, con la finalidad de elaborar una Convención internacional amplia contra la delincuencia organizada transnacional y de examinar, si procedía, la posibilidad de elaborar instrumentos internacionales sobre la trata de mujeres y niños, la lucha contra la fabricación y el tráfico ilícitos de armas de fuego, sus piezas y componentes y municiones, y el tráfico y el transporte ilícitos de migrantes, incluso por mar. La segunda fue la Resolución 54/126, de 17 de diciembre de 1999, en la que pidió al Comité Especial encargado de elaborar una Convención contra la delincuencia organizada transnacional que prosiguiera sus trabajos, de conformidad con las Resoluciones 53/111 y 53/114, de 9 de diciembre de 1998, y que intensificara esa labor, a fin de terminarla en el año 2000.

En esta Convención, se definieron conceptos claves tales como: a) grupo delictivo organizado, entendiendo por tal el estructurado por tres o más personas que exista durante cierto tiempo y que actúe concertadamente con el propósito de cometer uno o más delitos graves o delitos tipificados en la Convención, con miras a obtener, directa o indirectamente, un beneficio económico u otro beneficio de orden material; y; b) grupo estructurado, que es un grupo no formado fortuitamente para la comisión inmediata de un delito y en el que no necesariamente se haya asignado a sus miembros funciones formalmente definidas ni haya continuidad en la condición de miembro o exista una estructura desarrollada. La Convención se aplica a la prevención, la investigación y el enjuiciamiento cometidos por grupos organizados, blanqueo de capitales, corrupción y la obstrucción a la Justicia. Intenta que los Estados parte adopten medidas legislativas para el castigo de estos delitos y se decomisen bienes, producto de los mismos. Permite la presentación de la solicitud de la orden de decomiso de un Estado parte a otro, siempre que tenga jurisdicción para conocer de un delito comprendido en el Tratado.

Por otra parte y, ya en un ámbito regional, concretamente referido al Consejo de Europa, contamos con el Convenio sobre Ciberdelincuencia, firmado, en Budapest, el 23 de noviembre de 2001, mediante el cual se propone a los Estados firmantes adoptar las medidas legislativas necesarias para tipificar en sus respectivos ordenamientos jurídicos el acceso deliberado e ilegítimo a toda parte de un sistema informático; la interceptación deliberada e ilegítima por medios técnicos de datos informáticos en transmisiones no públicas dirigidas a un sistema informático, originadas en un sistema informático o efectuadas dentro del mismo, incluyendo las emisiones electromagnéticas provenientes de un sistema informático que transporte dichos datos informáticos; los actos deliberados e ilegítimos que supongan ataques a los datos informáticos; ataques a la integridad de los sistemas; abusos de los dispositivos; la falsificación informática; el fraude informático; los delitos relacionados con la pornografía infantil y los delitos relacionados con infracciones de la propiedad intelectual y otras figuras afines.

Dicho Convenio permite la armonización penal y procesal penal en el ámbito de la ciberdelincuencia, regulando una cuestión transcendental que provoca múltiples problemas en cuando a la persecución de este tipo de delitos, cometidos a través de servidores que se alojan en Estados diferentes de aquéllos en los produce efectos. Y es que el Convenio dispone que la jurisdicción quedará fijada a favor del Estado cometido en su territorio, incluyendo a bordo de un buque que tenga su pabellón o de una aeronave matriculada según sus leyes cometido por uno de sus nacionales, si el delito es está considerado como tal en el lugar en el que se cometió o si ningún otro Estado tuviera competencia territorial para conocer de aquél.

En 2003, se promulgó la firma del Protocolo Adicional al Convenio de Ciberdelincuencia del Consejo de Europa, criminalizando los actos de racismo y xenofobia, relacionados con las nuevas tecnologías.

Ambos Convenios ponen de manifiesto la importancia de la cooperación para la prevención y represión de los delitos transnacionales y de los ciberdelitos. Y es que las características propias de esta criminalidad dificultan enormemente su persecución.

España ratificó el Convenio en 2004 y el Protocolo Adicional en el año 2006. En 2024, son ya 69 Estados los firmantes de dicho Convenio.

La cooperación judicial en materia civil y judicial en la Unión Europea (en adelante, UE) comenzó con el Tratado de Maastricht, firmado el 7 de febrero de 1992, el cual que entró en vigor el 1 de noviembre de 1993. Dicho Tratado declaró la cooperación civil y mercantil cuestión de interés común. Fue el Tratado de Ámsterdam, firmado el 2 de octubre de 1997, en vigor desde el 1 de mayo de 1999, el que asoció la cooperación en ese ámbito con la libre circulación de personas.

La cooperación penal se antoja mucho más complicada pues, como sabemos, choca con la política criminal definida por cada Gobierno y, por tanto, con la soberanía de cada Estado. Los Estados son menos reticentes a cooperar en materia civil y mercantil, que en materia penal. Pero es cierto que la eliminación progresiva de las fronteras y la creación del espacio Schengen (1995), conquista de la UE y que nos permite pasar de un país a otro sin controles fronterizos dentro de la Unión, ha facilitado considerablemente la libre circulación de los ciudadanos europeos, pero también ha contribuido a que los delincuentes puedan actuar con mayor libertad a escala transnacional.

La UE, con el fin de afrontar el reto de la delincuencia transfronteriza y asegurar el espacio de libertad, seguridad y justicia ha incluido medidas para promover la cooperación judicial en materia penal.

Recordemos cuáles han sido los hitos conseguidos en la UE en materia de cooperación penal durante los últimos años:

El 29 de mayo de 2000, el Consejo de Ministros de la Unión adoptó el Convenio relativo a la Asistencia Judicial Mutua en materia penal, cuyo propósito es alentar la cooperación entre las autoridades judiciales, policiales y aduaneras dentro de la Unión, complementando las disposiciones relativas a los instrumentos jurídicos existentes y en aplicación del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales. Este Convenio se antoja clave pues permite la constitución de equipos conjuntos de investigación o la intervención de las telecomunicaciones previa solicitud de una autoridad competente de otro país de la UE, designada para ello en dicho país de la UE. Incluso, la intervención podrá también tener lugar en un país de la UE en que se encuentre la estación terrestre de comunicaciones por satélite correspondiente.

Conseguimos sustituir la extradición por la orden de detención europea, el 13 de junio de 2002, la cual permite, a través de un procedimiento judicial simplificado y transfronterizo, en un plazo de 60 días a partir de la fecha de la detención, la entrega de una persona para el enjuiciamiento y ejecución de pena o medida de seguridad privativa de libertad en otros Estado miembro de la Unión distinto de aquél en el que se encuentra detenido. Se realiza a través de las autoridades judiciales de los Estados miembros, lo que evita las injerencias políticas propias de las extradiciones. Además, dicha Orden trata de evitar, en treinta y dos categorías de delitos, que el Estado miembro donde se encuentra la persona detenida y a la cual se ha ordenado la entrega, puede denegar la misma por no existir el delito por el que se le acusa tipificado en su ordenamiento jurídico.

Se han dictado Directivas que obligan a los Estados miembros de la UE a legislar sobre el estatuto de la víctima y sobre el estatuto del investigado. Así, tenemos la Directiva 2012/29/UE del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 por la que se establecen normas mínimas sobre los derechos, el apoyo y la protección de las víctimas de delitos. La Directiva 2013/48/UE del Parlamento Europeo y del Consejo, de 22 de octubre de 2013, sobre el derecho a la asistencia de letrado en los procesos penales y en los procedimientos relativos a la orden de detención europea, y sobre el derecho a que se informe a un tercero en el momento de la privación de libertad y a comunicarse con terceros y con autoridades consulares durante la privación de libertad, también es muestra sobre ello.

Asimismo, a través de la Directiva 2014/41/UE, se ha adoptado también la orden europea de investigación en materia penal, aprobada bajo presidencia española, cuyo objetivo es simplificar la obtención de pruebas transfronterizas. A través de un formulario sencillo se permite que un Estado miembro emita una orden para la ejecución de una medida de investigación en otro Estado distinto, sin que éste, salvo en casos tasados, pueda negarse a ello.

La Directiva 2014/42/UE del Parlamento Europeo y del Consejo sobre el embargo y el decomiso de los instrumentos y del producto del delito en la UE, asimismo, establece normas comunes para los Estados miembros respecto al embargo y decomiso del producto de ciertos delitos, así como de propiedades cuya procedencia sea resultado de conductas delictivas, es lo que se denomina decomiso ampliado. Además, en diciembre de 2016, la Comisión propuso la adopción de un nuevo Reglamento sobre el reconocimiento mutuo de las resoluciones de embargo y decomiso. De hecho, se ha dictado el Reglamento 2018/1805, de 14 de noviembre de 2018, sobre el reconocimiento mutuo de las resoluciones de embargo y decomiso.

Hemos logrado tener instituciones que son el adalid de la cooperación en materia penal. Así mencionamos Europol, Eurojust, la Red Judicial Europea, los Equipos Conjuntos de Investigación y la Fiscalía Europea. Por ejemplo, el Parlamento Europeo ha reformulado las funciones y estructuras de Eurojust, para mejorar la efectividad de este órgano de forma que se permita facilitar las investigaciones transfronterizas y el enjuiciamiento de los delitos graves en el seno de la UE. La Fiscalía europea ha surgido en 2018 para combatir el fraude contra las finanzas de la UE, pudiendo investigar los delitos que afecten a los intereses financieros de la UE y ejercer la acción penal en los procesos penales que se sustancien al efecto.

Los esfuerzos de la UE en cooperación penal se centran en lograr el respeto del principio de reconocimiento mutuo. La realización del espacio de libertad, seguridad y justicia en la Unión se basa en la confianza mutua y en una presunción del respeto, por parte de los demás Estados miembros, del Derecho de la Unión y, en particular, de los derechos fundamentales. Ya, en el Consejo Europeo de Tampere, en octubre de 1999, quedó definido que el reconocimiento mutuo debería constituir la piedra angular de la cooperación judicial en materia penal. El principio del reconocimiento mutuo fue confirmado en los Programas de La Haya, en 2005 y de Estocolmo, en 2009. Sólo a través de este reconocimiento mutuo se podrá logar la superación de los problemas que existen por la existencia de diferentes legislaciones en los distintos miembros de la UE y por las diferencias entre los sistemas judiciales nacionales. Recordemos que el sistema de integración europea no se basa en la uniformidad de las legislaciones, sino en la armonización de las mismas. El principio de reconocimiento mutuo no podrá lograrse si no existe un alto grado de confianza mutua entre los Estados miembros.

En julio de 2018, los ministros de Justicia de los distintos países de la UE trabajaron en la Agenda de Justicia para el año 2020 y dentro de la misma discutieron cómo facilitar la obtención transfronteriza de pruebas.

En 2023, se dicta el Reglamento 2023/1543 del Parlamento Europeo y del Consejo, de 12 de julio de 2023, sobre las órdenes europeas de producción y las órdenes europeas de conservación a efectos de prueba electrónica en procesos penales y de ejecución de penas privativas de libertad a raíz de procesos penales. Para la UE es cada vez más necesario regular las medidas para obtener y conservar pruebas electrónicas de cara a las investigaciones penales.

El Reglamento pone el acento en los prestadores de servicios como punto importante para la obtención de pruebas para procesos penales. A estos efectos, los prestadores de servicios más importantes son los proveedores de servicios de comunicaciones electrónicas y los prestadores de servicios de la sociedad de la información, que permite la interacción entre los usuarios.

Los proveedores de servicios de comunicaciones electrónicas se definen en la 2018/1972 del Parlamento Europeo y del Consejo y son los que prestan servicios de comunicaciones interpersonales, tales como servicios de voz sobre IP, servicios de mensajería instantánea y servicios de correo electrónico.

La Directiva 2015/1535 del Parlamento Europeo y del Consejo se refiere a los servicios que permiten a sus usuarios la capacidad de comunicarse entre sí o les ofrecen servicios que puedan utilizar para almacenar o tratar datos su nombre. Esto incluye a los mercados en línea que proporcionan a los consumidores y las empresas la capacidad de comunicarse entre sí, otros servicios de alojamiento de datos, y también a los datos alojados en la nube y a las plataformas de juegos y a los juegos de apuestas en línea.

Los entidades que prestan servicios de infraestructura de Internet y que asigna nombres y números, como ocurre con los registradores y registros de nombres de dominio y los prestadores de servicios de privacidad y representación o registros regionales de direcciones de protocolo de Internet (IP), pueden identificar a los creadores de páginas web maliciosas o comprometidas, pues poseen datos que permite identificar a la persona física o jurídica responsable de esos sitios y que los utilizan para cometer delitos o, también permite identificar a la víctima de dicha actividad.

El Reglamento define cuándo el prestador de servicios tiene una conexión sustancial con la UE. Esto ocurre si tiene un establecimiento en la Unión o en caso de no tenerlo, existe un número significativo de usuarios en uno o más Estados miembros, o si las actividades se orientan hacia uno o más Estados miembros.

Y es que las direcciones IP, los números de acceso y la información conexa, es sin lugar a dudas, un dato esencial en una investigación penal, cuando no se conoce la identidad del autor del delito. Además, la IP constituyen el registro de una serie de acontecimientos tales como el comienzo y el final de la sesión de acceso de un usuario a un servicio. Es la dirección IP el que indica la interfaz de red utilizada durante la sesión de acceso, aunque a veces se necesita información adicional sobre el comienzo y el fin de una sesión de acceso de un usuario a un servicio, pues resulta habitual que las direcciones IP sean compartidas entre usuarios.

La dirección IP constituye un dato personal y goza de la protección que dispensa la norma. Incluso, las direcciones IP pueden considerarse datos de tráfico. Asimismo, los números de acceso y la información conexa se consideran datos de tráfico en algunos Estados miembros.

Si se produce una investigación en el seno de un proceso penal, las Fuerzas y Cuerpos de Seguridad del Estado pueden solicitar las autoridades policiales una dirección IP y los números de acceso e información conexa, para poder identificar al usuario, antes de que puedan solicitarse al prestador de servicios los datos de los abonados relacionados con ese identificador. Además, la dirección IP puede ser solicitada para conseguir información aún más sensible y que incide más la vida privada, tal es el caso de los contactos y el paradero del usuario, lo que puede suponer establecer un perfil de la persona afectada.

A estos efectos, se crea la orden europea de producción y la orden europea de conservación. En ambos casos, serán emitidas por una autoridad judicial, aunque excepcionalmente, si lo único que se pretende a través de ellas es la identificación del usuario, también puede ser emitida por un fiscal.

La orden europea de producción se utiliza para obtener pruebas específicas, como documentos, objetos o datos almacenados electrónicamente, que sean necesarios para una investigación o un proceso penal en curso. La orden europea de conservación se usa para preservar pruebas o evidencias que puedan ser relevantes para una investigación penal.

Debe tenerse en cuenta que las pruebas de los ciberdelitos únicamente se encuentran en soporte electrónico y éstas, como ya se ha dicho, tienden a desaparecer con mucha facilidad. Esta es la finalidad del Reglamento, y requieren de un tratamiento distinto a las restantes clases de pruebas. Esta norma también se aplica a aquellas actividades delictivas que estén castigadas una pena máxima privativa de libertad inferior a tres años.

Las órdenes europeas de producción, que se tramita a través de un documento que se llama EPOC y las órdenes europeas de conservación, que se tramitan mediante un documento denominado EPOC-PR, se dirigen al prestador de servicios, que actúa como responsable del tratamiento. Una vez recibido, el destinatario debe conservar los datos solicitados durante un máximo de sesenta días, a menos que la autoridad emisora confirme que se ha emitido una solicitud posterior de entrega, en cuyo caso la conservación debe mantenerse.

Los motivos de denegación de una orden europea de protección son tasados. Cabe oponerse, por ejemplo, si supusiese una vulneración manifiesta de un derecho fundamental previsto en el artículo 6 del Tratado de la UE y en la Carta de derechos fundamentales.

En definitiva, el Reglamento permite dirigir de forma segura, peticiones a los prestadores de servicios de comunicaciones electrónicas directamente por las autoridades judiciales nacionales. De esta forma, se garantiza que dicho prestador no pueda negarse a colaborar con la investigación penal, salvo que concurra motivo tasado en el propio Reglamento. Dado el carácter volátil de las evidencias electrónicas de los delitos cibernéticos, la creación de estos instrumentos basados en la cooperación una muestra eficaz de por dónde deben transcurrir los caminos de persecución y represión de los ciberdelitos.

Como conocemos, Internet está constituido por un gran número de ordenadores conectados entre sí, formando pequeñas redes que, a su vez, se enlazan en la llamada «red de redes».

¿Qué hace un usuario para entrar en la red? Pues bien, lo primero es comunicar su equipo con un proveedor de acceso a Internet (ISP), a través de un operador de telecomunicaciones. El proveedor es, en definitiva, la compañía que permite a un cliente tener servicios de Internet. Esta empresa asignará un identificador, denominado IP (Internet Protocol) que identifica a cada usuario. Los números IP son únicos y están compuestos por cuatro grupos de números naturales que puede adquirir el valor de 0 hasta 225, número que están separados entre sí por puntos. Existen unos 4.000 millones de combinaciones diferentes. Ahora bien, como después diremos, a pesar de que nos pueda parecer que esas múltiples combinaciones, permiten casi infinitas direcciones IP, debido al tan número de dispositivos conectados a la red, resultan actualmente insuficientes.

Dos computadores diferentes pueden intercambiar información entre sí a través de unos protocolos de comunicación. Esa información se agrupa en paquetes, que se denominan «datos del tráfico». Y, ahí radica la dificultad, pues estos datos de tráfico no siempre se localizan fácilmente. Normalmente, se almacenan por los sistemas y aplicaciones informáticas y su conservación y el tiempo de ésta es configurable por el usuario que maneja el sistema.

Si se ha cometido un delito, para conseguir las evidencias y obtener los datos para poderlos presentar posteriormente en un proceso, en definitiva, para poder comprobar que se ha perpetrado el delito y cómo se ha perpetrado, lo primero que se precisa es conocer el número IP, en el momento de conexión a Internet. Además, tendrá que saberse el momento concreto de acceso cuando se cometió el hecho delictivo, será necesario identificar el ordenador, su ubicación y el abonado de la línea telefónica. Estos elementos permitirán, tras la investigación policial, conocer el equipo desde el cual se realizó la acción, la ubicación del mismo, incluso, identificar al abonado. Pero esta identificación no supone haber encontrado al autor de la acción delictiva. Primeramente, porque el usuario puede ser otra persona distinta a aquélla que contrató los servicios de Internet⁹. En segundo lugar, porque la determinación de la dirección del emisor puede haber sido manipulada. Por último, porque se puede haber accedido desde un lugar público. Existen muchos métodos para evitar que se conozca quién es la persona que navega por la red: están las redes privadas virtuales (VPN), TOR, redes wifi compartidas en lugares públicos, en los que los usuarios pueden compartir sesión o pueden registrarse con datos falsos (Barrera Ibañez, 2018).

Los proveedores de servicio de Internet deben colaborar con la investigación y dar a los peritos informáticos de la policía la dirección IP; los datos contractuales del abonado; la hora, la fecha y la duración de la comunicación; la concreta transacción o intercambio efectuado; la localización geográfica desde la que se conecta el presunto autor con el proveedor; la cuenta corriente con la que se paga el servicio; el número de teléfono de origen y destino de las comunicaciones realizadas por sospechoso; la transacción o intercambio ilícito; la copia de los ficheros del presunto autor en su espacio web; las llamadas perdidas, hora, duración y frecuencia de las misma; los datos de fecha y el momento de activación de la tarjeta prepago de móviles y tantos otros datos necesarios para que el proceso penal pueda llevarse a cabo.

Por otra parte, en la investigación de un ciberdelito será preciso acceder a los servidores de Internet, los cuales suelen guardar un registro de sucesos de lo que ocurre en la navegación por la red, llamados logs.

Los profanos en materia informática, nos podemos preguntar qué son esos servidores y qué son esos logs. Un servidor es un equipo informático que forma parte de la red y que provee de servicios a otro equipo cliente. Es decir, un ordenador que provee de ciertos servicios a otros ordenadores. Los hay de diferentes tipos: servidor de archivos, de directorio, de impresión, de correo, de fax, proxy, web, de base de datos, DNS, etc. El servidor web o de Internet tiene como función almacenar páginas web, normalmente escritas en HTML (HyperText Transfer Protocol), poniéndolas al servicio de los usuarios que las necesitan. Así pues, los servidores de Internet almacenan ficheros que componen una página web y contienen diferentes fragmentos que controlan la forma en la que los usuarios pueden acceder a estos ficheros, información toda ella de vital importancia para la investigación de un ciberdelito.

Se ha dicho que los servidores suelen almacenar un registro de sucesos, llamados logs. ¿Qué es un log? Un historial o un registro, una grabación secuencial en un archivo o en una base de datos de todos los acontecimientos que se realizan en la navegación por Internet. Así, un log se constituye en una evidencia del comportamiento del usuario en la red.

Los equipos informáticos personales no suelen guardar, a diferencia de los servidores, logs. En este supuesto, si se quisiera investigar los rastros de un delito, directamente en un ordenador personal, será necesario incautar, registrar y realizar un posterior back-up de la información contenida en aquél, para investigar las evidencias del mismo.

Además, de todo lo anterior, debemos referirnos a la tecnología Network Address Translation (NAT). Expliquemos en breves palabras qué significado tienen estas palabras casi ininteligibles y la dificultad que supone para la investigación penal. Debido al gran número de dispositivos que se conectan a la red y sabiendo que cada usuario necesitará una IP diferente para cada aparato que acceda a Internet, en los últimos tiempos, se está produciendo el agotamiento de las direcciones IP. Por ello, se ha ideado un sistema que permite conectar varios terminales a través de una única dirección IP (IP pública). Esto permite que grandes compañías puedan acceder a Internet con esa única IP pública, con independencia de los aparatos que tengan en la misma, incluso que la conexión que realizamos a Internet desde nuestros hogares se pueda hacer desde un router al cual queden unidos todos los dispositivos ubicados en el mismo. La identificación del ordenador concreto desde el que se cometió el delito, cuando dicho ordenador se conecta a la red a través de NAT, resultará, como puede suponerse, mucho más complejo.

Cuando se trata de conexiones desde dispositivos móviles, los problemas son aún mayores. Un celular es un receptor-transmisor, el cual permite la comunicación entre personas mediante ondas electromagnéticas de radiofrecuencia. En la actualidad, los celulares utilizan tecnología digital, es, por ello, por lo que los mensajes de voz son transformados en códigos de dígitos binarios, quedando convertidas las conversaciones en paquetes de datos agrupados, según un lenguaje preestablecido.

Para que se pueda producir una conexión inalámbrica, es necesario que, en cada tramo de terreno en el que se quiera que exista cobertura, llamado técnicamente «célula», se instale una antena. Esas antenas receptoras-emisoras, junto a la estación base y a otros equipos electrónicos, permiten hablar y conectarse a Internet a las personas que estén situadas en el momento de la conexión en el territorio de esa célula (Martil, 2017). En un mundo en continuo movimiento, donde las personas vamos y venimos de un lado a otro, nos podemos preguntar cuántas antenas a lo largo de un día han podido darnos cobertura en nuestras conexiones inalámbricas. A todo ello hemos de unir una dificultad más y es que los celulares se conectan a Internet con una IP pública (NAT). La investigación de la comisión de un hecho delictivo cometido desde un celular podrá permitir averiguar la última antena desde la que se conectó este teléfono, pero debemos tener presente que, al mismo tiempo, habrá habido otros miles de celulares conectados desde esa misma antena. Si todos esos miles de celulares se conectan a través de una misma IP pública, resultará del todo imposible individualizar desde cuál fue cometido el hecho delictivo.

La utilización del protocolo IPV6, en lugar del IPV4, permite asignar direcciones IP a cada uno de los dispositivos en cada una de las conexiones. El protocolo IPV6 permite que un número ilimitado de dispositivos se puedan conectar a Internet al mismo tiempo. La UE ha luchado mucho para que sea obligatorio y hoy, ya es una realidad. (Barrera Ibáñez, 2018).

Como puede observarse, el control, el seguimiento y el acceso a los datos de la navegación web por parte de la policía supone la limitación de derechos fundamentales de los ciudadanos, en este caso, del derecho a la intimidad y del secreto de las comunicaciones. La policía deberá realizar intervenciones telefónicas, rastrear IP, acceder de forma remota a los dispositivos desde los cuales se realiza la navegación por la red, obtener datos de los proveedores de servicios de Internet y de los contenidos en servidores, incluso incautar y registrar dispositivos de almacenamiento masivo de información, para su posterior análisis de su contenido, actuaciones todas ellas que suponen una importante limitación de los derechos fundamentales. Podemos incluso, hablar del derecho a la inviolabilidad del domicilio, puesto que, para incautar un ordenador, será precisa la entrada y registro domiciliario, en el lugar en que se encuentren, para lo que será necesario la correspondiente autorización judicial.

Las dificultades de la investigación penal del cibercrimen no acaban aquí, pues es necesario el análisis de la información, posteriormente, la redacción del correspondiente dictamen pericial y la intervención del perito en el juicio. Para poder realizar el análisis de los datos será ineludible la realización de ciertas operaciones técnicas, entre ellas, el «volcado» de la información obtenida, que se realiza a través de una copia del soporte original, aunque siempre se deberá guardar el original. Asegurar la cadena de custodia es lo más importante en ese momento. Por ello, para garantizar que el original y la copia sean iguales, y no tener después problemas con la nulidad de la prueba, ese volcado se suele realizar en presencia de un fedatario público y de forma simultánea al registro domiciliario e incautación de los ordenadores. El Letrado de la Administración de Justicia, cuya presencia se exige como fedatario público, en una diligencia de entrada y registro domiciliario, podrá acreditar la autenticidad de la copia que se realice, si es que el volcado se efectúa en ese mismo momento. Si no fuera así, el Letrado de la Administración de Justicia será el que habrá de remover los precintos impuestos durante la entrada y registro domiciliario y en la diligencia de incautación de los distintos equipos informáticos hallados en el lugar. Una vez realizado el volcado, los precintos deben mantenerse, para garantizar la cadena de custodia de la prueba (Rayón Ballesteros y Gómez Hernández, 2014).

La redacción del dictamen pericial y la posterior actuación en la vista oral del perito tiene también sus complejidades, que analizaremos posteriormente. Pero lo que nos importa en este momento es insistir en la necesidad de conservar siempre los dispositivos originales de donde se hayan extraído las pruebas. Por este motivo, deberán estar en custodia del Letrado de la Administración de Justicia, que garantizará su conservación y puesta a disposición del juez, si ésta fuera precisa.

Pero la ciberdelincuencia no sólo plantea problemas en la investigación del delito, sino también en cuanto al proceso mismo. Al tratarse de delitos transnacionales, puede ocurrir que la conducta delictiva produzca resultados en Estados distintos de aquéllos donde se cometió, incluso puede ser que el hecho delictivo tenga su origen en uno o varios países. Obviamente, todo ello afecta a cuestiones tan básicas como la jurisdicción, la competencia jurisdiccional, la ley penal aplicable y al procedimiento que se tramitará para su investigación y enjuiciamiento. Las reglas clásicas, tales como la relativa al principio de territorialidad, según la cual el hecho delictivo se enjuiciará en el lugar de su comisión (locus comissi delicti) ya no tienen cabida (Rayón Ballesteros y Gómez Hernández, 2014).

Enumeremos, a continuación, los problemas de la investigación y represión de la ciberdelincuencia organizada y transnacional.

Las dificultades procesales para luchar contra la ciberdelincuencia en Europa son menores, pues las órdenes de investigación europea, de producción y conservación de las pruebas digitales, así como el Convenio de asistencia judicial mutua han ayudado. La cooperación de órganos como Europol o Eurojust, también.

Sin embargo, los instrumentos legislativos enunciados no están exentos de problemas. Sin ánimo de ser exhaustivos podemos mencionar la amplitud de plazos para el reconocimiento y ejecución de una orden, pudiendo extenderse dicho plazo hasta ciento cincuenta días, produciendo la dilación del procedimiento y, en definitiva, la ineficacia de dicha orden. La volatilidad de las pruebas electrónicas hace que, por muy rápida que sea la tramitación de la orden europea de investigación, cuando ésta llegue pueda ser que la evidencia no exista (De Hoyos Santo, 2023, p. 102).

La necesidad de traducción de la orden es otra de las dificultades. Pensemos en lo necesario que resulta una clara comprensión o los problemas que pueden darse si se mal interpretan los hechos delictivos descritos.

Además, debe tenerse en cuenta la escasa formación de los distintos operadores jurídicos. Bienvenidos sean los instrumentos legales de cooperación, pero pensemos en quién los utilizan y aplican: jueces y abogados que no están acostumbrados a los mismos. El cambio de paradigma de la delincuencia que responde a los parámetros de transnacional, organizada y ciber hace necesaria la formación jurídica de los distintos operadores jurídicos acorde a ella. No todos los jueces son la Audiencia Nacional, órgano jurisdiccional altamente especializado.

Los problemas no sólo se derivan de la norma europea, pues si nos referimos a la transposición española, realizada a través de la Ley 3/2018, de 11 de junio, por la que se modifica la Ley 23/2014, de 20 de noviembre, de reconocimiento mutuo de resoluciones penales en la UE, para regular la orden europea de investigación. nos encontramos con otras dificultades distintas. En primer lugar, dicha Ley prevé un sistema de competencias que se distribuyen entre jueces y fiscales, tanto para la emisión como para la ejecución de la orden, aunque ciertamente el sistema español confiere un especial protagonismo al fiscal en la parte de ejecución. Debe tenerse en cuenta que el Fiscal sólo podrá asumir dichas competencias cuando sea el que instruya y esto, en España, solo se produce en el procedimiento penal de menores, regulado por la Ley Orgánica 5/2000, de 12 de enero, reguladora de la responsabilidad penal de los menores.

En otro orden de cosas, se producen problemas en cuanto a la competencia para la ejecución de la orden. ¿Qué ocurre si la autoridad judicial se considera incompetente? Los tribunales españoles han adoptado ante estos problemas diversas soluciones¹⁶.

Además, el régimen de confidencialidad de la orden europea de investigación también plantea interrogantes, pues el Ministerio Fiscal no puede decretar el secreto de las actuaciones. Como bien indica Laro González (2022), la fase de instrucción se caracteriza por el secreto de las actuaciones, en lugar de por el principio de publicidad. El Fiscal queda obligado a respetar dicho principio, aunque la norma no le permita decidir el secreto de las actuaciones¹⁷.

A todo lo anterior, se añade el hecho de que los ordenamientos jurídicos de los distintos Estados miembros son demasiado rígidos o garantistas. No somos partidarios de prevenir, reprimir y castigar los delitos al margen de la Ley, evidentemente. Pero las instituciones y los países, incluso europeos, se atrincheran en el respeto a los derechos fundamentales, tales como la intimidad o el secreto de las comunicaciones, para impedir la investigación criminal. Recordemos que uno de los motivos que permite denegar la orden de protección de una prueba electrónica es justamente la vulneración de un derecho fundamental. De esta manera, a pesar de que, en Europa, todos los Estados están de acuerdo en el respeto y garantía de los derechos fundamentales inherentes a la dignidad del ser humano, el hecho de negarse a entregar una evidencia a una autoridad judicial que sustancia un proceso en un Estado distinto de aquéllos donde se albergan los datos, se convierte en una excusa que dificulta la represión y castigo de los ciberdelitos y para poner obstáculos a la hora de obtener la prueba electrónica.

El debate jurídico está servido: facilidad para obtener pruebas electrónicas o respeto máximo de los derechos fundamentales; en definitiva, lucha contra la delincuencia transfronteriza o garantías.

Creemos que la respuesta está en el principio de confianza mutua. Debemos entender que todos los Estados miembros afirman y respetan los derechos fundamentales y que ningún juez que solicite la prueba electrónica habida en otro Estado miembro quiere ni pretende que resulte conculcado ningún derecho. Todos los Estados de la UE, se sobreentiende, protegen y respetan derechos como el secreto de las comunicaciones y el derecho a la intimidad. Por ello, ningún proveedor de servicios de Internet debe negarse a entregar las evidencias electrónicas cuando se requiera por la autoridad judicial en el seno de un proceso penal, pues se debe creer y entender que todos los procesos judiciales seguidos en cualquier país con legislaciones similares son sustanciados según todas las garantías. Podemos decir: quien es un proveedor de servicios de Internet para negarse a entregar, por ejemplo, una prueba que obra en su poder a una autoridad judicial española cuando la requiera. ¿Acaso, en España, no se afirman en su Constitución los derechos fundamentales? ¿Acaso no se respetan los mismos por sus autoridades judiciales, igual que en el lugar donde se halla situado tal proveedor? Cuando una autoridad judicial lo exige lo hace a través de una resolución motivada y porque alguien está siendo investigado como sospechoso de haber cometido un delito. Da igual de que Estado hablemos, pues todos somos miembros de la UE y, en todos ellos, se respetan los mismos derechos. Aunque tenemos legislaciones diferentes, son similares, pues existen instrumentos de armonización (Reglamentos, Directivas y Decisiones). Esto permite confiar mutuamente los unos en los otros.

Por otra parte, en caso de resultar vulnerado algún derecho fundamental en un proceso, existe un sistema de recursos y medios extraordinarios. Incluso, como todos los Estados miembros de la UE forma parte del Consejo de Europa, se someten a las decisiones del Tribunal Europeo de Derechos Humanos. No hay, pues, excusa válida para entorpecer los procesos judiciales contra la delincuencia transfronteriza para impedir la obtención de las evidencias electrónicas.

Se han dado pasos de gigante, en la UE, pero aún hay mucho por hacer, pongamos sólo algunas propuestas sobre la mesa:

Fuera de la UE, el panorama es considerablemente mucho más sombrío. Los instrumentos legislativos de la UE no existen fuera de este ámbito regional. Tampoco resulta tan eficaz la cooperación internacional. Los estándares de protección de los derechos fundamentales son diferentes; los ordenamientos jurídicos muy dispares; los procedimientos penales distintos; la formación de los operadores jurídicos diversa, los niveles de opacidad en la represión criminal obviamente también varían. La investigación se torna más compleja, al tener que solicitar la entrega de una prueba a través de comisiones rogatorias, lo que permite su rápida destrucción. Los decomisos ni los embargos son tan sencillos y la extradición también complica la situación. La asistencia judicial recíproca y la cooperación se torna imprescindible.

Comenzamos este artículo relacionando los términos de ciberseguridad y de ciberdelincuencia: relacionados entre sí, pero diferentes. Ante la complejidad de la lucha contra la ciberdelincuencia, enarbolamos la bandera de la prevención. Estamos seguros de que la ciberseguridad es el camino ideal y preventivo para evitar o, al menos minimizar, los ataques de los ciberdelincuentes.

En el caso de los ciudadanos, no cabe otra solución que la formación: unas cuantas reglas de conducta habituales (contraseñas variadas y seguras, vigilancia de los permisos que se otorgan a las apps, no abrir whatsapp, correos electrónicos, mensajes o no contestar llamadas sospechosas) son la mejor prevención.

En el caso de las empresas, la cuestión tiene que ver con la prevención y el análisis de riesgos: no sólo grandes empresas, sino también las medianas y pequeñas deben contar con un chief information security officer (CISO). Importante a este respecto resulta la Directiva NISS 2 (Directiva 2022/2555 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) nº 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148¹⁸. Además, todas las empresas deberían tener unas compliance guides, idóneas y adecuadas en materia de ciberseguridad y de protección de datos, pues estos dos ámbitos forman parte inescindible del compliance de una empresa y es garantía de seguridad para todos¹⁹.

En definitiva, la mejor forma de enfrentarse a la ciberdelincuencia organizada es transformar el deber y la sanción en una cultura behaviour. Se habla ya de behavioral compliance, esto es, de aquella forma de pensar que entiende la ética como punto fundamental en la transformación de la cultura corporativa.

¿Seremos capaces de lograrlo? El presente no es sencillo y el futuro una incógnita y es que la IA plantea nuevos y complejos retos para la ciberseguridad.