Evidencia digital en el proceso penal: autenticidad, integridad y cadena de custodia

Resumen ejecutivo

1. El problema jurídico: tecnología, prueba penal y desconstitucionalización práctica

En muchos expedientes penales la evidencia digital aparece revestida de una autoridad casi automática. Se asume que el dato informático es objetivo porque proviene de un sistema, que el informe técnico clausura la discusión y que cualquier defecto de obtención podrá ser corregido más tarde por una pericia. Esa premisa es peligrosa.

La digitalización de la prueba no elimina las garantías. Las desplaza a un terreno más complejo. El acceso a un celular, a una computadora, a una cuenta de correo, a un backup en la nube o a un registro de geolocalización puede revelar comunicaciones, imágenes, historiales, movimientos bancarios, rutinas, vínculos personales y datos de terceros. No se trata de una prueba documental común: es una injerencia profunda en la intimidad.

Por eso el control jurídico y técnico debe abarcar todo el ciclo de vida. Una orden genérica, una extracción que excede su autorización, una pérdida de integridad o una trazabilidad insuficiente pueden tener efectos distintos. Según el régimen aplicable y el defecto probado, corresponderá discutir exclusión o nulidad, saneamiento, producción complementaria o menor valor convictivo; no existe una consecuencia automática común a todos los supuestos.

2. Marco constitucional y normativo

La obtención de evidencia digital debe examinarse a la luz de los artículos 18 y 19 de la Constitución Nacional: defensa en juicio, inviolabilidad del domicilio y de los papeles privados, legalidad y reserva. En el Código Procesal Penal Federal, los artículos 129 a 133 regulan la invalidez, el saneamiento, la convalidación y la nulidad de los actos; los artículos 136 a 149 abarcan la inspección, la requisa, el registro, el allanamiento y el secuestro. El artículo 151 regula la incautación de datos, incluida la copia o preservación y la devolución o destrucción de lo ajeno al proceso; el artículo 157 define la cadena de custodia.

Halabi declaró inconstitucional un régimen legal de captación y conservación de comunicaciones y datos, y trató además la tutela colectiva. No resolvió un registro forense de dispositivos. Su consideración en este campo es analógica: aporta razones sobre privacidad, base legal y precisión de las injerencias, pero no una regla directa para toda extracción digital.

En Quaranta, José Carlos s/ inf. ley 23.737, causa n.º 763 (CSJN, 31/08/2010, Fallos 333:1674), la Corte excluyó los resultados de una intervención telefónica dispuesta sin fundamentos objetivos suficientes y, por ser el único cauce de investigación, absolvió. Tampoco fue un caso de apertura de celulares. Su utilidad aquí es analógica y limitada: la necesidad investigativa no reemplaza la fundamentación concreta de una medida intrusiva.

La Convención sobre la Ciberdelincuencia, aprobada por la Ley 27.411, aporta herramientas de preservación, obtención y cooperación sobre datos informáticos, sujetas a las condiciones y salvaguardas del derecho interno. El CPPF tiene implementación territorial progresiva; por eso deben verificarse la jurisdicción, la fecha del caso, el Código Procesal Penal de la Nación o el código local que efectivamente corresponda.

3. Rasgos de la evidencia digital y control reforzado

La expresión doctrinal “prueba constitucionalmente cualificada” puede describir la intensidad del control que exige la evidencia digital, pero no designa una categoría legal autónoma. Lo relevante es aplicar las garantías y las reglas probatorias a sus rasgos técnicos: volatilidad, dependencia del contexto, opacidad de ciertas herramientas y amplitud de la información accesible.

A eso se suma la expansión subjetiva. Secuestrar un teléfono no equivale a secuestrar una carta. Un smartphone concentra conversaciones, fotografías, documentos, credenciales, historial de navegación, ubicaciones, billeteras virtuales y datos de terceros. Una orden sin límites puede convertir una investigación puntual en un registro general de vida.

Por eso una orden y su ejecución deben identificar con la precisión posible el hecho, los dispositivos o cuentas, los datos buscados y el alcance de la medida. La técnica puede exigir una adquisición más amplia para preservar información, pero ese supuesto necesita justificación, controles de acceso, filtros y reglas para devolver o destruir lo que no guarde relación con el proceso.

4. Autenticidad: origen, identidad del dato y trampa de los metadatos

La autenticidad responde a una pregunta básica: si el dato es lo que dice ser y si proviene de donde se afirma. En el entorno digital, esa pregunta no se resuelve mirando el nombre de archivo, la extensión o una captura de pantalla. Es necesario reconstruir el método de obtención, el origen y el contexto.

Uno de los errores más frecuentes es confundir metadatos. La fecha de copia, descarga o sincronización puede no coincidir con la fecha de creación del archivo. Un log puede indicar actividad de sistema y no acción humana. Un backup puede alterar contexto temporal. Si se leen metadatos sin explicación técnica, pueden producirse reconstrucciones fácticas erróneas.

Las extracciones lógica, de sistema de archivos y física no son equivalentes ni siempre están disponibles. El cifrado, el estado del equipo, el modelo, la versión del sistema y las limitaciones de la herramienta pueden impedir una copia física completa o bit a bit, especialmente en dispositivos móviles modernos. El informe debe precisar qué nivel de adquisición obtuvo, qué omitió y por qué. En la nube, las respuestas de proveedores, APIs o reportes requieren trazabilidad del pedido y control de consistencia.

5. Integridad: hash, algoritmos y trazabilidad

La integridad verifica que el dato no sufrió alteraciones relevantes desde su obtención hasta su valoración judicial. El hash es una herramienta central, pero no debe transformarse en un fetiche técnico. Un hash puede acreditar que un archivo no cambió desde cierto momento; no prueba por sí solo quién creó el archivo, si el contenido es verdadero ni si la obtención fue lícita.

Tampoco es indiferente el algoritmo ni su finalidad. MD5 ya no es apropiado cuando se necesita resistencia a colisiones, aunque su debilidad no vuelve inútil todo control de cambios accidentales ni invalida por sí sola una evidencia. Para nuevas adquisiciones conviene registrar al menos un hash robusto —por ejemplo, SHA-256— y, si una herramienta conserva MD5 por compatibilidad, complementarlo. Ningún algoritmo sustituye la documentación del procedimiento.

El hash debe calcularse en el punto técnicamente pertinente y tan pronto como sea posible sobre la imagen o el artefacto adquirido. No siempre es viable ni aconsejable calcularlo sobre un dispositivo encendido antes de la extracción: la propia interacción puede modificar su estado y ciertos soportes no ofrecen una representación estable. El tramo anterior se controla con actas, identificación, embalaje, registros de acceso y explicación del método, no con la ficción de un “hash in situ” universal.

6. Cadena de custodia: garantía de mismidad y control contradictorio

La cadena de custodia no es una planilla burocrática. En evidencia digital cumple una función constitucional: permitir afirmar que lo analizado es lo mismo que fue obtenido y que la defensa puede reconstruir su recorrido. Si no se sabe quién accedió, con qué herramienta, cuándo y qué operaciones realizó, el contradictorio queda vaciado.

Una pericia posterior puede aclarar o limitar algunos problemas, pero no recrear documentación inexistente ni convalidar una injerencia constitucionalmente ilegítima. A la vez, una omisión formal no demuestra por sí sola alteración. Debe individualizarse el eslabón faltante, la operación no registrada y su impacto concreto sobre la identidad, integridad o posibilidad de contradicción.

Las consecuencias dependen del tipo de defecto. Una obtención que desconoce garantías puede activar reglas de exclusión —como ilustra Quaranta en su contexto—; una falla de trazabilidad puede incidir en autenticidad, fiabilidad, contradicción o valor convictivo; y un defecto formal puede quedar sujeto a las reglas de saneamiento, convalidación o nulidad del código aplicable. También deben examinarse la relación causal, una eventual fuente independiente y la evidencia no derivada del acto cuestionado.

7. Pericia informática: método, auditabilidad y límites

La pericia informática no reemplaza al juez ni al contradictorio. El perito es auxiliar técnico. Su función es explicar método, alcance, herramientas, resultados y límites para que el tribunal valore la prueba. Cuando el fallo se limita a reproducir el informe, la complejidad técnica termina sustituyendo la decisión jurisdiccional.

Una pericia seria debe ser auditable y, cuando sea técnicamente posible, replicable. Debe identificar fuente, herramienta y versión, método y nivel de extracción, parámetros, validaciones y limitaciones conocidas, registros de ejecución, hashes de entrada y salida, filtros y datos excluidos. El software propietario no invalida el procedimiento por sí solo, pero obliga a ofrecer información suficiente para controlar y discutir el resultado, aun cuando una reproducción idéntica no sea factible.

La opacidad técnica no puede convertirse en argumento de autoridad. Si el informe solo afirma que “el software extrajo” sin explicar fuente, alcance, proceso y límites, el resultado es difícil de controlar. La exigencia adecuada es una fundamentación comprensible y verificable, proporcionada al punto técnico debatido.

8. Proporcionalidad y fishing expedition digital

La proporcionalidad limita las medidas intrusivas digitales. En el CPPF, los artículos 143 a 146 exigen una solicitud concreta, una orden detallada y una ejecución que afecte la intimidad lo menos posible y se ciña al lugar y a los objetos señalados. El artículo 151 regula específicamente la incautación de datos en sistemas y soportes informáticos. Una autorización sobre “todo dispositivo electrónico” sin vínculo concreto con el hecho puede transformarse en una pesquisa exploratoria.

La medida debe ser idónea para investigar un hecho concreto, necesaria frente a alternativas menos lesivas y proporcionada en sentido estricto. La delimitación temporal, material y subjetiva debe adecuarse al caso y a la tecnología; no es lo mismo buscar una conversación de una fecha determinada que adquirir años de vida digital. Si una copia amplia resulta técnicamente necesaria, deben justificarse el acceso, los filtros y el tratamiento de la información ajena.

Ese estándar se traduce en órdenes motivadas, actas claras, filtros o protocolos de búsqueda, preservación adecuada y posibilidades reales de control. Su aplicación concreta depende del código vigente en la jurisdicción y de las características técnicas de la medida.

9. Aplicación práctica para la defensa penal

En una causa penal con celulares, computadoras, cuentas, chats, logs o geolocalización, la defensa no debería limitarse a discutir el contenido final del informe. La estrategia empieza antes: orden judicial, alcance de la medida, forma de secuestro, preservación, hash, herramienta de extracción, cadena de custodia y posibilidad de pericia de parte.

En términos de litigación, este análisis se conecta con la defensa frente a allanamientos, secuestro de celulares y evidencia digital, con la defensa en ciberdelitos y estafas digitales, y con los recursos de jurisprudencia sobre evidencia digital y extracción UFED.

Fuentes, referencias y forma de cita

Esta versión HTML y el PDF descargable desarrollan la misma tesis y fueron revisados al 3 de septiembre de 2026. Para citar este material puede usarse la siguiente referencia:

Referencias mencionadas

• Constitución Nacional, arts. 18 y 19.
• CSJN, Halabi, Ernesto c/ P.E.N. – ley 25.873 – dto. 1563/04 s/ amparo ley 16.986, 24/02/2009, Fallos 332:111.
• CSJN, Quaranta, José Carlos s/ inf. ley 23.737, causa n.º 763, 31/08/2010, Fallos 333:1674.
• Convención sobre la Ciberdelincuencia, aprobada en Argentina por Ley 27.411.
• Código Procesal Penal Federal, arts. 129 a 135, 143 a 151, 155 y 157; aplicación sujeta a la implementación territorial y al régimen procesal pertinente.
• NIST SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics; NIST FIPS 180-4, Secure Hash Standard; y RFC 6151, sobre consideraciones de seguridad de MD5.

PDF del artículo

Preguntas frecuentes