La tecnología aplicada a la investigación criminal experimentó un singular avance con la transposición al derecho interno de la Directiva 2006/24/UE, sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones electrónicas y por la que se modifica la Directiva 2002/58/CE, que se materializó en la promulgación de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones (en adelante, LCDCE).
Como primer beneficio de esta ley debe señalarse el que, por fin, exista una norma que regule y haga jurídicamente seguro el acceso por la policía judicial a unos datos de tanta sensibilidad como lo son los referidos a las comunicaciones electrónicas ya finalizadas y que, en cualquier caso, lo hagan bajo la prohibición absoluta de acceso o conservación de su contenido material.
La conservación de datos, por lo demás, no es cosa nueva que haya inventado la directiva pues, en su limbo jurídico solventado ahora por la LCDCE, las operadoras de telefonía, por el tiempo que estimasen y como lo estimasen, conservaban los datos por razones obvias de gestión interna y con la configuración que su propio criterio les aconsejase, tales como facturar a sus clientes (contabilizando sus llamadas entrantes o salientes y su duración), conocer dónde era necesario instalar una nueva antena (por concentración geográfica de los terminales y el tráfico que soportaban), analizar las áreas de cobertura, concebir promociones comerciales, etc. Por ello, teniendo estos datos un extraordinario valor para la investigación criminal, era urgente disponer de una norma adecuada que los regulase en todos sus aspectos: tiempo de conservación, categorías datos, procedimiento de cesión, agentes facultados, control jurisdiccional, etc.
Sin embargo, encontramos algunos elementos de discusión en el plano jurídico que restarían eficiencia a la norma en su idoneidad para abordar determinados casos prácticos. Vemos, por ejemplo, que la LCDCE identifica como bien protegido el derecho al secreto de las comunicaciones, reconocido en el art. 18.3 CE, tal y como se indica en su preámbulo y, con toda seguridad, por aplicación extemporánea de la llamada doctrina Malone, nacida de una STEDH de 1984, con el correspondiente y decidido apoyo en la consolidada jurisprudencia posterior contenida en la trascendental STC 114/1984, de 29 de noviembre (FJ 7) (luego reproducida en otras muchas a partir de la STC 70/2002, de 3 de abril (FJ 9)) en que se declara, siguiendo el criterio ya apuntado del TEDH, que “el concepto de «secreto», que aparece en el art. 18.3, no cubre sólo el contenido de la comunicación, sino también, en su caso, otros aspectos de la misma, como, por ejemplo, la identidad subjetiva de los interlocutores o de los corresponsales”.
En mi opinión, resultando por completo obsoleta esta doctrina de 1984 – tiempo en que era impensable el uso masivo de la telefonía móvil o Internet que habría de sobrevenir -, a la luz pues de la espectacular evolución de las TIC, lo razonable es que tal derecho fuese el de la protección de datos asociado al de la intimidad y recogido en el art. 18.1 CE o, todo lo más, en el 18.4 CE respecto de la autodeterminación informativa.
De esta errónea identificación surge de modo inmediato la instauración de una reserva jurisdiccional universal e indiferenciada en cuanto a la necesidad ineludible de autorización judicial previa del acceso a los datos, lo que, si de un lado refuerza la idea de la necesaria seguridad jurídica y control en cuanto a garantizar un uso proporcionado de los datos, de otro, condiciona de un modo inaceptable su acceso en situaciones de urgencia vital o ante necesidades de obtención de inteligencia cuando las comunicaciones sean de naturaleza estrictamente técnica y no íntima, incluso en previsión de riesgos catastróficos como los contemplados en materia de ciberdelincuencia grave o ciberterrorismo.
Algunos ejemplos de lo anterior, en los que se justificaría el acceso directo por las fuerzas de seguridad a los datos conservados, podrían ser la localización de los terminales móviles y el inmediato rescate y asistencia de personas desaparecidas (Ej: Ancianos extraviados con sus facultades mentales disminuidas, intentos de suicidio, excursionistas desorientados o accidentados, etc.), situaciones en las que, además, no existe afectación a derecho fundamental alguno e, incluso, en casos de secuestro o desaparición forzada que, aunque tienen una dimensión penal en su autoría, la necesidad de urgente localización, rescate y asistencia de las víctimas absolvería de cualquier pretensión de falta de proporcionalidad en la petición que las fuerzas de seguridad dirijan de propia autoridad a las operadoras de telefonía. En los casos de desaparición forzada debe predicarse, a iguales fines, la urgente geolocalización del terminal de los presuntos autores de los hechos, por razones obvias.
Con idéntica mirada han de observarse aquellos hechos en que conste que la comunicación no tenga una naturaleza íntima sino estrictamente técnica, como sería el caso de lo que, con cierta impropiedad, pudieran denominarse “usos no comunicativos” de los terminales de comunicaciones electrónicas. Algunos de estos casos, cada día más comunes, lo representarían el uso de las tarjetas de telefonía para lograr el vaciamiento patrimonial de empresas de prestación de servicios de tarificación adicional haciendo llamadas automáticas vacías de contenido material (multiplicidad de teléfonos móviles que vacían su saldo promocional sin continuidad en los servicios contratados), para actuar como detonadores de cargas explosivas (atentado con explosivos en el cuartel de la Guardia Civil en Inchaurrondo o en los ataques yihadistas del 11-M en Madrid), como balizas para localizar a posibles víctimas (control de narcotraficantes para sustraerles la droga) o, más simplemente – o con gran complejidad – para obtener millones de datos y claves de acceso mediante phising o pharming o para organizar cómodamente desde casa una red internacional para poner a disposición pública redes telemáticas a escala planetaria para organizar ciberataques de denegación de servicio, también llamadas “botnets”. Cabe reseñar, en todos estos casos, que la información que la policía judicial debe manejar es, sencillamente, inabarcable, lo que hace imperioso el utilizar las más avanzadas técnicas y métodos de análisis de inteligencia, cuestión que, de por sí, supone todo un exigente reto dada la protección excesiva que los datos de naturaleza exclusivamente técnica reciben por mor de su identificación errónea con el derecho al secreto de las comunicaciones.
La actuación de las fuerzas de seguridad en estos casos justificados debiera, no obstante e ineludiblemente, estar sometida a un control posterior de jurisdiccionalidad reforzado y, desde luego, condicionada al cumplimiento de una estricta obligación de dación de cuenta por la que acreditase la corrección de su proceder (ex arts. 549.1.a) LOPJ, 11.2.d) LOPD, 22.2 LOPD y 1, 2 y 4 RDPJ), de acuerdo siempre con el principio de proporcionalidad. Naturalmente, si alguno de estos datos tuviera trascendencia al ámbito penal en relación con limitación del derecho a la intimidad, debiera ser sometido su uso a la ponderación judicial, incidencia que, en modo alguno, debe conllevar asociada, en su excepcionalidad, la más mínima minoración de los derechos fundamentales de los investigados.
De otro lado, la exclusividad de acceso únicamente cuando se trate de delitos graves, si ha de entenderse como tales aquellos a los que les corresponda una pena grave según la retribución penológica contemplada en los arts. 13 y 33 CP, supondría otorgar un margen de impunidad a toda aquella infinidad de hechos delictivos que se materializan gracias al medio tecnológico en que se producen y que no alcanza tales penalidades (Por ejemplo, las estafas mediante phishing o engaño para acceder a la banca telemática, amenazas, injurias, coacciones, cyberbullying o acoso, etc.). Por ello, precisamente, una parte de la doctrina se inclina a considerar que debiera tenerse en cuenta, además de la gravedad, el ámbito tecnológico y la transcendencia social de los hechos.
De todo esto, en contraste, puede decirse que los ejemplos propuestos demuestran que la utilidad de los datos no se circunscribe a su acceso en detrimento o limitación de los derechos fundamentales de los investigados en la escena criminal, sino que son útiles también para asistir a cualquier persona que, sin tener la condición de supuesto criminal, se vea en situación de víctima, bien de un hecho delictivo, bien de una situación de riesgo sin relación con el ámbito criminal.
No es tampoco desdeñable la posible contribución de los datos conservados a probar la inocencia del acusado, cual es experiencia ya acumulada en el transcurso de las investigaciones criminales, o para tener un acceso proporcionado a la dimensión de los datos que genera cualquier maquinación en el ciberespacio, colmando las necesidades de obtención de inteligencia que legítimamente pueda precisar la lucha contra los delitos graves que en tan exigente marco tecnológico de producción extraterritorial.
Sin embargo, pese a todos los beneficios que esta legislación ha traído para la investigación criminal y el bien público, en una reciente sentencia del Tribunal de Justicia de la Unión Europea, de fecha de 8 de abril de 2014, la Directiva fue declarada inválida al considerar que se inmiscuía de un modo especialmente grave en los derechos fundamentales de los ciudadanos. De forma resumida, la sentencia critica la generalización de la obligación universal de conservar los datos de todos los ciudadanos (Además de lo ya aportado en los ejemplos, a la postre, no es inusual en nuestra sociedad la instauración de bases de datos con una proyección sobre la seguridad pública, como sería el caso del DNI, los registros de matrículas de vehículos o el censo, por ejemplo), no fijar el criterio objetivo para autorizar el acceso más allá de una indefinida referencia a los delitos graves, no definir con claridad qué autoridad independiente debe controlar el proceso, no establecer un criterio objetivo por el que determinar un periodo de conservación de datos reducido a lo estrictamente necesario (¿Cómo definir lo estrictamente necesario, cuando la experiencia policial indica que el dato antiguo tiene un inconmensurable valor en los casos más graves?), no prevenir los posibles abusos y, finalmente, no contemplar que los datos hayan de conservarse en el territorio de la UE, lo que dificultaría el necesario control de los datos (Quizá la solución fuera establecer una base de datos en manos del Estado lo que, a su vez, levantaría los recelos de los más garantistas por temor al “Gran Hermano”).
Algunas de estas críticas, no obstante, ya han sido colmadas en el derecho interno, como sería el caso de la necesidad de mandato judicial previo o el señalamiento de los agentes facultados, pero lo cierto es que, aunque esta resolución no tiene fuerza todavía en nuestra legislación, es de temer que una posible revisión o anulación de la LCDCE conllevase un auténtico desastre para una herramienta que ha devenido fundamental en una sociedad intensamente penetrada por la tecnología y, consecuentemente, con un uso frenético de las TIC por los delincuentes en la escena internacional.
En definitiva, resulta sencillo constatar que una buena parte de la vida cotidiana de los ciudadanos se ha trasladado al mundo virtual, donde su intimidad debe estar sólidamente tutelada pero, al mismo tiempo, también, protegidos sus derechos de un modo adecuado a la tecnología que facilita su desenvolvimiento social en tan complejo medio que no se circunscribe al espacio territorial donde alcanza nuestro Derecho. Consecuentemente, las facultades de indagación de la policía judicial deben quedar elevadas a la altura del uso criminal de las TIC, sujetas al más estricto escrutinio de los poderes públicos, adecuadas a los principios de legalidad y proporcionalidad y, desde luego, al signo de los tiempos en los que la realidad de las TIC emerge con una dimensión nueva y propia. En este sentido, refórmese la Ley hasta donde proceda, pero téngase en cuenta cómo hacerlo sin que se haga insalvable la distancia entre las facultades de indagación y las facilidades de uso de las TIC por los delincuentes, debido a perjuicios jurídicos no siempre justificados en un Estado de Derecho como es el que impera en España y en su entorno democrático europeo.
Por Luis M. Vallés Causada
Teniente Coronel de la Guardia Civil
Doctor en Derecho
Criminólogo