Segundo Protocolo de Budapest: evidencia digital, cooperación transfronteriza y garantías penales

Resumen ejecutivo

1. Qué regula el Segundo Protocolo

El instrumento fue diseñado para acelerar la cooperación y la obtención de evidencia electrónica en investigaciones y procesos penales específicos. No reúne todos los pedidos en un único canal. Su artículo 5 separa la cooperación directa de la cooperación entre autoridades y de las herramientas de asistencia mutua.

• Artículos 6 y 7: cooperación directa para información de registro de dominios e información almacenada de suscriptor, respectivamente.
• Artículo 8: cooperación entre autoridades para hacer efectiva una orden sobre información de suscriptor y datos de tráfico almacenados.
• Artículos 9 y 10: dos vías distintas para emergencias: red de puntos de contacto 24/7 y asistencia mutua expedita.
• Artículos 11 y 12: videoconferencia y equipos conjuntos de investigación.
• Artículos 13 y 14: condiciones, salvaguardas y protección de datos personales.

La estructura responde a un problema real: cuentas, registros y respaldos pueden quedar bajo control de empresas o autoridades situadas fuera del Estado que investiga. Pero el texto no borra las diferencias entre suscriptor, tráfico y contenido, ni reemplaza las condiciones que imponga el derecho aplicable, las declaraciones o reservas de cada Parte.

La utilidad operativa, si el tratado llega a regir, no resuelve por sí sola la admisibilidad ni el valor probatorio. Es preciso determinar cómo se obtuvo el dato, qué norma habilitó el pedido y si puede ser controlado. Por eso el análisis se conecta con los estándares de evidencia digital en el proceso penal, cadena de custodia, proporcionalidad y contradicción.

2. Canales directos: alcance preciso y límites

El artículo 6 permite a una autoridad competente de una Parte pedir directamente a una entidad que presta servicios de registro de nombres de dominio en otra Parte la información necesaria para identificar o contactar al registrante. El artículo 7 contempla una orden directa a un proveedor de servicios de otra Parte para obtener información de suscriptor especificada y almacenada, dentro de una investigación o un proceso penal concreto.

Esos artículos no crean un canal directo general para obtener contenido, datos de tráfico, geolocalización o cualquier registro que posea una empresa. El artículo 8 establece una vía entre autoridades para información de suscriptor y datos de tráfico almacenados. Además, el funcionamiento del artículo 7 depende de la implementación interna y de las notificaciones, declaraciones o reservas admitidas por el propio Protocolo.

Si en una causa aparece una respuesta de una empresa extranjera, la primera pregunta no es si el Protocolo “permite pedir datos”, sino cuál fue el canal realmente usado. Conviene examinar el pedido completo, la autoridad requirente, la norma invocada, el tipo de dato, la delimitación temporal, la respuesta, los metadatos y el método de transferencia. El hash, cuando fue generado y resulta pertinente, es un elemento útil de integridad, pero no reemplaza la prueba de procedencia ni es el único método posible.

3. Emergencias: artículos 9 y 10, sin atajos automáticos

El Protocolo define la emergencia como una situación con riesgo significativo e inminente para la vida o la seguridad de una persona. El artículo 9 utiliza los puntos de contacto de la red 24/7 para obtener asistencia inmediata respecto de datos informáticos almacenados en poder de un proveedor de la Parte requerida. El artículo 10, en cambio, regula asistencia mutua expedita entre las autoridades designadas. No son una misma vía ni autorizan a denominar “urgente” cualquier investigación.

La solicitud debe exponer la emergencia y explicar cómo se relacionan con ella los datos pedidos. La rapidez tampoco resuelve la atribución personal: una IP puede requerir puerto, horario exacto, huso horario, proveedor y registros complementarios; una cuenta puede haber sido comprometida y un dispositivo, compartido o utilizado por terceros.

Aun en una emergencia real, la defensa puede controlar la calificación del supuesto, la competencia de quienes actuaron, el alcance de la solicitud, la integridad de la respuesta y su incorporación al proceso. Las consecuencias de un defecto no son automáticas: dependen del régimen procesal aplicable, del perjuicio concreto y de su incidencia sobre la defensa.

4. Control judicial y estrategia de defensa

El origen extranjero no vuelve lícita ni auténtica una evidencia por sí solo. Su admisibilidad y valoración deben examinarse bajo el derecho procesal aplicable. Si el expediente contiene solo el dato final —por ejemplo, un informe de plataforma o una tabla de conexiones— y omite el pedido o la información necesaria para entender la respuesta, la posibilidad de control puede quedar seriamente limitada.

Un control serio debería responder, como mínimo, estas preguntas:

• qué autoridad pidió el dato y bajo qué marco normativo;
• qué proveedor o entidad respondió;
• si el pedido tenía delimitación temporal y material suficiente;
• qué autorización o control exigía el derecho aplicable y si se cumplió;
• qué tipo de dato se entregó: suscriptor, tráfico, contenido, registro técnico o metadato;
• si la respuesta permite verificar procedencia, integridad, fecha, hora, zona horaria, identificadores y transferencias;
• si la defensa pudo acceder al respaldo necesario para controlar el informe.

La ausencia de uno de esos elementos no produce automáticamente nulidad o exclusión. Según la norma procesal, la entidad del defecto y el perjuicio, puede justificar un pedido de documentación, una pericia, una limitación de alcance o un planteo de invalidez. También puede disminuir el peso de la inferencia de autoría, aunque el dato siga incorporado.

5. Argentina: firma sin ratificación y régimen hoy aplicable

Argentina firmó el Segundo Protocolo el 16 de febrero de 2023. En el cuadro oficial de tratados con estado al 30 de agosto de 2026 no figura una ratificación, aceptación o aprobación argentina. Ese registro informa cinco ratificaciones totales y no consigna todavía la entrada en vigor. El umbral general del artículo 16.3 quedó alcanzado, pero la vigencia no es inmediata: comienza el primer día del mes siguiente al vencimiento de tres meses desde la fecha del quinto consentimiento.

En consecuencia, al cierre de esta revisión los artículos 6 a 12 no son mecanismos operativos del Segundo Protocolo para las autoridades argentinas. Esto no impide toda cooperación. El Convenio de Budapest está vigente para Argentina desde el 1 de octubre de 2018; también pueden resultar aplicables tratados de asistencia, la Ley 24.767, normas procesales y políticas propias de los proveedores. Cada evidencia debe vincularse con el canal que efectivamente la produjo.

Si Argentina ratifica y el Protocolo entra en vigor para el país, habrá que revisar también la ley de implementación y las declaraciones o reservas formuladas. Hasta entonces, invocarlo como fundamento vigente de una obtención sería un error. El control constitucional y procesal se realiza sobre el acto concreto: autoridad, base legal, necesidad, proporcionalidad, privacidad, defensa en juicio, procedencia e integridad.

6. Fuentes, referencias y forma de cita

Revisión cerrada el 2 de septiembre de 2026. Para el estado del tratado se utilizó el cuadro oficial del Consejo de Europa con estado al 30 de agosto de 2026. El texto del Protocolo y el informe explicativo se utilizaron para separar los canales; los registros oficiales, para comprobar firmas, ratificaciones y entrada en vigor.

• Consejo de Europa, texto del Segundo Protocolo Adicional (CETS n.º 224), en especial arts. 5 a 16.
• Consejo de Europa, informe explicativo del CETS n.º 224.
• Consejo de Europa, cuadro oficial de firmas y ratificaciones del Tratado 224, y página oficial del Segundo Protocolo.
• Argentina, Ley 27.411, que aprobó el Convenio sobre Ciberdelito, vigente para el país desde el 1 de octubre de 2018.
• Constitución Nacional Argentina, en particular art. 18.

7. PDF del artículo

Preguntas frecuentes