Preanálisis y preparación de pruebas digitales para su incorporación en procesos judiciales

Raymond Orta Martinez, Perito en Evidencia Digital, Abogado

Guía práctica para abogados

Cada vez es más frecuente que un proceso judicial incluya mensajes de WhatsApp, correos electrónicos, fotografías, videos, grabaciones, documentos digitales, publicaciones en redes sociales o información extraída de teléfonos y computadoras.

Sin embargo, no basta con imprimir un mensaje o presentar una captura de pantalla. Para que una prueba digital tenga verdadero valor en juicio, debe poder explicarse de dónde proviene, cómo fue obtenida, si se conserva íntegra y qué relación tiene con los hechos discutidos.

La intervención temprana del abogado es fundamental. Una mala manipulación del dispositivo o del archivo puede alterar fechas, eliminar metadatos o dificultar posteriormente su autenticación.

¿Qué debe entenderse por prueba digital?

La prueba digital es toda información con posible relevancia jurídica que haya sido creada, almacenada, enviada o recibida mediante dispositivos electrónicos o sistemas informáticos.

Entre los ejemplos más habituales se encuentran:

• Correos electrónicos.
• Mensajes de WhatsApp, Telegram o Signal.
• Fotografías y videos.
• Grabaciones de audio.
• Archivos PDF, Word o Excel.
• Publicaciones en redes sociales.
• Páginas web.
• Registros de acceso a sistemas.
• Bases de datos.
• Información de geolocalización.
• Archivos almacenados en la nube.
• Datos contenidos en teléfonos, computadoras, servidores o memorias USB.
• Firmas electrónicas y certificados digitales.

Lo importante no es solo el contenido visible. También interesa el archivo original, sus metadatos, el dispositivo donde estaba almacenado y la forma en que fue obtenido.

¿Qué es el preanálisis?

El preanálisis es una revisión inicial, técnica y jurídica, que se realiza antes de consignar la prueba o solicitar una experticia informática.

Su finalidad es determinar:

• Qué información existe.
• Dónde se encuentra.
• Quién tiene el control del dispositivo o la cuenta.
• Si se conserva el archivo original.
• Si existe riesgo de pérdida o eliminación.
• Qué hechos podría demostrar.
• Qué objeciones podría formular la contraparte.
• Qué medio procesal resulta más adecuado para incorporarla.

El preanálisis no sustituye el dictamen pericial. Es una etapa previa que permite decidir qué debe preservarse, qué debe examinarse y qué preguntas deben formularse al perito.

Contenido, soporte y prueba digital

Conviene distinguir tres conceptos.

El contenido es lo que puede verse o escucharse: el texto de un mensaje, la imagen de una fotografía o el sonido de una grabación.

El soporte es el lugar donde se encuentra almacenada la información: un teléfono, una computadora, un servidor, una cuenta de correo o una plataforma digital.

La prueba digital comprende el contenido, el archivo, los metadatos, la fuente de procedencia y los datos que permiten verificar su integridad.

Por ejemplo, una captura de pantalla puede mostrar una conversación, pero no necesariamente permite comprobar quién la generó, si está completa o si fue alterada. Por esa razón, siempre que sea posible, debe conservarse también el archivo original, la exportación del chat, el dispositivo o los registros de la plataforma.

La primera pregunta: ¿qué se quiere demostrar?

Antes de enviar un dispositivo a revisión, el abogado debe definir con precisión qué hecho pretende probar.

No es recomendable entregar un teléfono o una computadora al perito con la instrucción genérica de “revisar todo”. La experticia debe responder preguntas concretas.

Entre otras cuestiones, puede ser necesario determinar:

• Si un archivo existía en una fecha específica.
• Si fue creado, modificado, copiado o eliminado.
• Si un mensaje provino de determinada cuenta.
• Si una conversación está completa.
• Si una fotografía conserva sus datos originales.
• Si un documento fue alterado.
• Si dos archivos son iguales.
• Si una grabación presenta cortes o ediciones.
• Si un usuario accedió a un sistema.
• Si una memoria USB fue conectada a una computadora.
• Si un archivo fue descargado o transferido.
• Si una firma electrónica corresponde con determinado mensaje de datos.

Una pregunta pericial bien formulada facilita el trabajo técnico y evita conclusiones vagas o irrelevantes.

Preservar antes de analizar

Cuando una información digital puede ser importante para un proceso, lo primero es preservarla.

En términos prácticos, esto significa:

• No borrar mensajes ni archivos.
• No formatear el dispositivo.
• No reinstalar aplicaciones.
• No actualizar innecesariamente el sistema.
• No cambiar nombres o extensiones de archivos.
• No editar fotografías, videos o audios.
• No reenviar el archivo como único método de conservación.
• No continuar utilizando el dispositivo sin necesidad.
• Suspender, cuando sea posible, la eliminación automática de correos o registros.
• Documentar quién recibió y quién manipuló la evidencia.

En muchos casos, el simple uso cotidiano del teléfono o de la computadora puede modificar información relevante. Por eso, cuando el asunto es sensible, conviene consultar de inmediato a un perito en informática forense.

Identificar la fuente original

El abogado debe procurar identificar de dónde proviene realmente la información.

En un correo electrónico, la fuente original puede ser el buzón, el archivo EML o MSG, el servidor o el proveedor del servicio.

En una conversación de WhatsApp, puede ser el teléfono, la base de datos de la aplicación, una copia de seguridad o la exportación del chat.

En una fotografía, puede ser el archivo original almacenado en el dispositivo que la captó.

En una publicación de redes sociales, puede ser la cuenta de usuario, la propia plataforma o los datos descargados desde ella.

Una copia reenviada o descargada puede tener utilidad, pero debe quedar claro que no necesariamente es la fuente original.

Copias forenses y extracción de información

En determinados casos, el perito debe realizar una copia técnica del dispositivo o de los archivos.

Esta copia puede ser integral, lógica o selectiva.

Una copia integral reproduce el contenido completo del medio de almacenamiento.

Una extracción lógica permite obtener archivos y datos accesibles a través del sistema operativo o de una aplicación.

Una extracción selectiva se limita a la información relacionada con el objeto del proceso.

La elección depende del tipo de dispositivo, del estado de la información, de la autorización disponible y de la finalidad de la experticia.

Siempre que sea posible, el examen debe realizarse sobre una copia y no directamente sobre el dispositivo original.

El valor hash

El hash es un código matemático que se calcula sobre un archivo o una copia forense.

Su utilidad principal es comprobar que el contenido no ha cambiado. Si dos copias producen el mismo valor hash mediante el mismo algoritmo, existe una base técnica sólida para afirmar que son iguales.

Actualmente se recomienda utilizar algoritmos como SHA-256 o SHA-512.

El hash debe registrarse al momento de obtener la evidencia y también al realizar copias o transferencias.

Debe tenerse presente que el hash demuestra integridad, pero no demuestra por sí solo quién creó el archivo, quién lo envió o si su contenido es verdadero.

Cadena de custodia

La cadena de custodia es el registro de todas las personas que han recibido, trasladado, almacenado o examinado la evidencia.

Debe indicar, entre otros datos:

• Qué dispositivo o archivo fue recibido.
• Quién lo entregó.
• Quién lo recibió.
• Fecha, hora y lugar.
• Estado del dispositivo.
• Marca, modelo y número de serie.
• Método utilizado para obtener la información.
• Herramientas empleadas.
• Valores hash calculados.
• Transferencias posteriores.
• Personas que tuvieron acceso.
• Lugar y condiciones de almacenamiento.

La finalidad de la cadena de custodia es demostrar que la evidencia presentada en juicio es la misma que fue obtenida inicialmente y que no fue alterada durante su manejo.

Los metadatos

Los metadatos son datos asociados a un archivo. Pueden incluir:

• Fecha de creación.
• Fecha de modificación.
• Usuario o autor.
• Programa utilizado.
• Dispositivo de origen.
• Modelo de cámara.
• Coordenadas geográficas.
• Dirección IP.
• Zona horaria.
• Historial de edición.
• Información del servidor.
• Datos de firma electrónica.

Estos datos pueden ser muy útiles, pero deben interpretarse con cuidado. Algunas fechas cambian al copiar, descargar, convertir o sincronizar un archivo.

Por ello, no es recomendable extraer conclusiones basadas únicamente en una fecha visible en las propiedades del documento.

Preguntas que debe responder el abogado

Antes de promover una prueba digital, conviene revisar los siguientes aspectos.

Pertinencia

¿Qué hecho concreto se pretende demostrar?

Legalidad

¿La información fue obtenida de manera legítima?

Autenticidad

¿Qué elementos permiten relacionar el mensaje, archivo o cuenta con una persona determinada?

Integridad

¿Qué procedimiento permite demostrar que la información no fue modificada?

Fiabilidad

¿El sistema o dispositivo funcionaba correctamente?

Contradicción

¿La contraparte podrá examinar la prueba y solicitar una contraexperticia?

Reproducibilidad

¿Otro perito podría repetir el procedimiento y llegar a resultados verificables?

Privacidad y confidencialidad

¿La extracción contiene información personal, confidencial o ajena al proceso?

Correspondencia

¿La impresión o captura presentada refleja fielmente el archivo digital?

Estas preguntas deben resolverse antes de presentar la prueba, no después de que sea impugnada.

Formas de incorporar la prueba al proceso

La prueba digital puede incorporarse mediante distintos mecanismos, según la materia y la legislación aplicable.

Entre ellos:

• Documento electrónico.
• Impresión o reproducción.
• Inspección judicial.
• Exhibición del dispositivo.
• Experticia informática.
• Declaración de la persona que recibió o produjo la información.
• Certificación del proveedor del servicio.
• Acta notarial.
• Solicitud de información a terceros.
• Orden judicial de preservación o entrega.

En muchos casos, la estrategia más segura consiste en combinar varios medios: el archivo digital, la experticia, la declaración del custodio y la documentación técnica.

Mensajes de datos en Venezuela

La legislación venezolana reconoce eficacia probatoria a los mensajes de datos.

El Decreto con Fuerza de Ley sobre Mensajes de Datos y Firmas Electrónicas establece que los mensajes de datos pueden producir los mismos efectos probatorios que los documentos escritos.

También reconoce la importancia de conservar la integridad de la información y de mantener disponibles los datos que permitan conocer su origen, destino, fecha y hora.

Esto significa que, en la práctica, no basta con presentar una impresión. Deben conservarse, cuando sea posible, los archivos originales, los encabezados, los metadatos y los registros de transmisión.

Errores frecuentes

Entre los errores más comunes se encuentran:

• Presentar únicamente capturas de pantalla.
• Imprimir correos sin conservar los encabezados.
• Entregar archivos reenviados y no los originales.
• Editar videos o audios antes de consignarlos.
• Convertir documentos a PDF y eliminar el archivo original.
• Manipular el dispositivo sin documentación.
• No calcular valores hash.
• No identificar la zona horaria.
• No formular preguntas periciales claras.
• Confundir integridad con autenticidad.
• Esperar hasta la promoción de pruebas para consultar al perito.
• Ignorar la presencia de información confidencial.
• Presentar una transcripción sin conservar el audio original.

Estos errores no siempre producen la pérdida automática de la prueba, pero sí pueden debilitarla y facilitar su impugnación.

Lista de verificación

Antes de presentar una prueba digital, conviene comprobar lo siguiente:

□ Se ha definido qué hecho se pretende demostrar.
□ Se ha identificado la fuente original.
□ Se ha preservado el dispositivo o la cuenta.
□ Se conservan los archivos originales.
□ Se ha documentado quién obtuvo la información.
□ Se ha realizado una copia técnica cuando era necesario.
□ Se han calculado valores hash.
□ Existe cadena de custodia.
□ Se han revisado los metadatos.
□ Se ha determinado la zona horaria.
□ La obtención de la información fue legal.
□ Se ha protegido la información confidencial.
□ Las preguntas periciales son concretas.
□ Se han evaluado posibles objeciones.
□ La contraparte podrá examinar la prueba.
□ Se ha coordinado la actuación con un perito.

Una prueba digital no adquiere valor únicamente porque su contenido parezca convincente.

Su verdadera fuerza depende de que pueda demostrarse de dónde proviene, cómo fue obtenida, quién la custodió, si conserva su integridad y qué relación tiene con los hechos del proceso.

La regla práctica es sencilla: primero se preserva y después se analiza.

La consulta temprana con un perito en informática forense puede evitar la pérdida de archivos, metadatos, registros y otros elementos que después podrían ser indispensables para defender la autenticidad de la prueba en juicio.