Pruebas electrónicas en procesos penales

PUNTOS CLAVE

El Reglamento (UE) 2023/1543 se aplica a los prestadores de servicios que presten una o más de las siguientes categorías de servicios en la UE:

• comunicaciones electrónicas;
• nombres de dominio de internet y direcciones IP;
• comunicación, almacenamiento y procesamiento.

El Reglamento no es aplicable a los prestadores que provean:

• servicios financieros (es decir, banca, crédito, seguros, reaseguros, pensiones profesionales o individuales, valores, fondos de inversión, pagos y asesoramiento sobre inversiones);
• servicios exclusivamente dentro de su propio Estado miembro de la UE.

Orden europea de producción² y la Orden europea de conservación³ solo pueden emitirse:

• durante el proceso penal y para fines de ejecución de una pena o de una medida de seguridad privativas de libertad de al menos cuatro meses;
• para datos específicos que los prestadores de servicios posean (véanse los términos clave).

La autoridad emisora de una orden europea de producción debe informar de ello a la persona cuyos datos se solicitan. Como norma, esto debe producirse sin demora indebida; sin embargo, se puede demorar si, por ejemplo, hacerlo pudiera poner en peligro la investigación. La persona puede impugnar la legalidad de la medida ante un órgano jurisdiccional del Estado miembro emisor (derecho a una tutela judicial efectiva).

Certificados de órdenes europeas de producción y conservación

• Un juez, tribunal, juez de instrucción o, para las categorías de datos menos intrusivas, un fiscal puede dictar una orden europea de producción o conservación.
• Las órdenes pueden enviarse directamente al prestador de servicios de otro Estado miembro sin ninguna participación previa por parte de las autoridades de ese país.

La orden europea de producción:

• será necesaria y proporcionada para el proceso penal;
• debe respetar los derechos de la persona sospechosa o acusada;
• solo podrá emitirse en las mismas condiciones en un asunto nacional similar;
• deben cumplir otras condiciones, incluidas las inmunidades o privilegios concedidos, y la determinación y limitación de la responsabilidad penal relativa a la libertad de prensa o libertad de expresión, en función de si solicitan datos de los abonados, la identificación, el tráfico o el contenido;
• incluye información específica, como la autoridad de emisión, el destinatario, los datos solicitados y el período de tiempo, las disposiciones aplicables del Derecho penal del Estado miembro emisor y una descripción sucinta del caso;
• por regla general, van dirigidas al prestador de servicios que controla los datos personales (responsable/encargado del tratamiento).

La orden europea de conservación:

• deben ser necesarios y proporcionados para impedir la retirada, supresión o alteración de datos con vistas a emitir una solicitud posterior;
• pueden expedirse para todas las infracciones penales si pudiese haberse emitido en las mismas condiciones en un asunto nacional similar;
• incluye información específica, como la autoridad de emisión, el destinatario, los datos solicitados y el período de tiempo, las disposiciones del Derecho penal aplicables del Estado miembro emisor;

Las ordenes se transmitirán directamente a través de un certificado de orden europea de producción (EPOC) o un certificado de orden europea de conservación (EPOC-PR) al establecimiento o representante legal designado del prestador de servicios.

Conformidad con los certificados de orden europea de producción

Los destinatarios:

• una vez recibido un EPOC, actuarán con prontitud para conservar los datos solicitados;
• transmitirán los datos solicitados en un plazo de diez días;
• transmitirán los datos en un plazo de ocho horas en casos de emergencia (aunque los datos no pueden utilizarse si su autoridad nacional se opone a la EPOC en determinados casos);
• informarán a las autoridades expedidoras y de ejecución si consideran que la EPOC puede interferir con inmunidades o privilegios o con normas relativas a la determinación o limitación de la responsabilidad penal en relación con la libertad de prensa o la libertad de expresión.

Deben explicar a la autoridad emisora, sin demora indebida, si no pueden producir los datos debido a una de las siguientes razones.

• El EPOC está incompleto, contiene errores manifiestos o no contiene información suficiente. La autoridad dispone de cinco días para responder.
• No se dispone de datos debido a circunstancias ajenas a su control. Si la autoridad está de acuerdo, se informará al destinatario.
• Existe cualquier otro motivo, como en el caso en que se considere que la orden podría ser contraria a la legislación de un tercer país en el que puedan almacenarse los datos.

Conformidad con los certificados de orden europea de conservación

Los destinatarios:

• una vez recibido un EPOC-PR, actuarán de inmediato para conservar los datos solicitados;
• conservar los datos durante sesenta días, prorrogables durante otros treinta días por la autoridad de expedición, cuando finalizará la conservación, a menos que la autoridad de emisión haya emitido, mientras tanto, una solicitud posterior de entrega, por ejemplo, mediante asistencia judicial mutua, para que los datos sean entregados o conservados durante otros treinta días;
• pueden plantear objeciones a la orden por los mismos motivos que para una EPOC (es decir, inmunidades o privilegios, falta de información o errores manifiestos, circunstancias fuera de su control, otras razones).

Comunicación a otro Estado miembro

En relación con algunas órdenes europeas de producción para obtener datos de tráfico o contenidos, las autoridades del Estado miembro del establecimiento o representante legal designado por el prestador (autoridad de ejecución) recibirán la orden al mismo tiempo que el prestador. Pueden rechazarla por los siguientes motivos.

• Los datos solicitados están protegidos por inmunidades o privilegios o cubiertos por normas relativas a la determinación o limitación de la responsabilidad penal relacionadas con la libertad de prensa o la libertad de expresión aplicada en el Estado de ejecución.
• La orden:
  • puede suponer una violación manifiesta de los derechos fundamentales de la persona cuyos datos se buscan;
  • es contraria al principio de que una persona no puede ser juzgada de nuevo en procedimientos penales por un delito para el que ya ha sido absuelta definitivamente o condenada dentro de la UE (non bis in idem).
• El comportamiento invocado en la orden no constituye un delito en el Estado de ejecución.

Se retirarán las órdenes denegadas. No obstante, la autoridad de ejecución podrá oponerse a la transferencia de solo determinados datos. Antes de que la autoridad de ejecución plantee un motivo de denegación, las órdenes pueden ser modificadas.

Sanciones y ejecución

• Los Estados miembros establecerán el régimen de sanciones pecuniarias aplicables a cualquier infracción. Estas pueden ser de hasta el 2 % del total del volumen anual de negocios mundial del ejercicio precedente del prestador de servicios.
• Cuando el destinatario no cumpla un EPOC en el plazo establecido o un EPOC-PR sin facilitar los motivos aceptados, la autoridad emisora podrá solicitar a la autoridad de ejecución que ejecute la orden.

La comunicación escrita entre las autoridades nacionales y los establecimientos designados o los representantes legales se llevará a cabo a través de un sistema informático descentralizado seguro y fiable. Los anexos al Reglamento contienen las formas que deben utilizarse.

La Comisión Europea:

• adopta actos delegados y de ejecución;
• establecerá, a más tardar el 18 de agosto de 2026, un programa para supervisar el rendimiento, los resultados y el impacto del Reglamento;
• debe evaluar el Reglamento antes del 18 de agosto de 2029.

Directiva (UE) 2023/1544

La Directiva se aplicará a los prestadores de servicios que provean:

• comunicaciones electrónicas;
• nombres de dominio de internet y direcciones IP;
• comunicación, almacenamiento y procesamiento.

La Directiva no es aplicable a los prestadores que provean:

• servicios financieros (es decir, banca, crédito, seguros, reaseguros, pensiones profesionales o individuales, valores, fondos de inversión, pagos y asesoramiento sobre inversiones);
• servicios exclusivamente dentro de su propio Estado miembro.

A más tardar el 18 de agosto de 2026, los prestadores que ofrezcan sus servicios en la UE deberán designar al menos un destinatario, ya sea un establecimiento designado (si están establecidos en la UE) o un representante legal (si no lo están), para garantizar la recepción y el cumplimiento de las órdenes dirigidas a ellos.

Los Estados miembros deben:

• establecer normas relativas a las sanciones por incumplimiento;
• designar a una o varias autoridades centrales para garantizar la correcta aplicación de la Directiva.

La Comisión evaluará la Directiva antes del 18 de agosto de 2029.