BOE de 22.3.2019

-Circular 1/2019, de 6 de marzo, de la Fiscal General del Estado, sobre disposiciones comunes y medidas de aseguramiento de las diligencias de investigación tecnológicas en la Ley de Enjuiciamiento Criminal.

Nota: En esta Circular cabe destacar en su apartado 3 (Medidas de aseguramiento), dedicado a la interpretación del art. 588 octies LECrim, regula la orden de conservación de datos. Al respecto se comenta en la Circular que "hay que tener en cuenta los supuestos de cooperación judicial internacional. Para esto último, el Convenio del Cibercrimen ya estableció la previsión del referido término en su art. 16 y la posibilidad de que las partes puedan prever que las órdenes sean renovables".

-Circular 2/2019, de 6 de marzo, de la Fiscal General del Estado, sobre interceptación de comunicaciones telefónicas y telemáticas.

Nota: Puede destacarse en esta Circular de la FGE su apartado 7 (Deber de colaboración): En él se realizan diversas menciones a la interceptación de comunicaciones electrónicas derivada de la cooperación internacional:

"El criterio determinante para que el Juez se dirija directamente a estos operadores apercibiéndoles del deber de colaboración que la ley procesal impone o, por el contrario, remita la solicitud de interceptación de las comunicaciones a través de una comisión rogatoria u orden europea de investigación, tendrá que venir determinado por el establecimiento o no del servicio en España, como así se desprende del art. 2.4 LSSICE. Este mismo precepto se encarga de precisar cuándo debe entenderse que el servicio está establecido en España."
"En los casos en los que la interceptación de comunicaciones o la obtención de datos de tráfico deban hacerse a través de un operador ubicado en un país de la Unión Europea, se estará a las previsiones contenidas en los arts. 202 y 204 de la Ley 23/2014, de 20 de noviembre, de reconocimiento mutuo de resoluciones penales en la Unión Europea."

-Circular 5/2019, de 6 de marzo, de la Fiscal General del Estado, sobre sobre registro de dispositivos y equipos informáticos.

Nota: En esta Circular pueden señalarse diversos aspectos de cooperación internacional.
El primero se contiene en el apartado 3.5 (Registro de repositorios telemáticos de datos y ampliación del registro a otros sistemas):

"El acceso a sistemas informáticos externos puede plantear también problemas de jurisdicción. Efectivamente, la inexistencia de fronteras en internet, unida a los menores costes que para el servicio se generan en determinados países, hará que resulte frecuente que los servidores de almacenamiento de datos estén ubicados físicamente fuera del territorio en el que el Juez que autorice el registro ejerza su jurisdicción (o incluso se desconozca el lugar en que se encuentren localizados). En estos casos, si se parte de una concepción tradicional de los límites de la jurisdicción basada en criterios territoriales, podría parecer más correcto para la obtención de esos datos acudir a mecanismos de cooperación judicial internacional que, sin embargo, resultarían absolutamente incompatibles con la celeridad que requieren este tipo de investigaciones.
Además, en muchos supuestos, o bien se desconoce la localización de los datos (deslocalización) o bien estos se encuentran fragmentados en servidores ubicados en diversos territorios o su ubicación en uno u otro lugar es ajena a la voluntad del titular de los mismos y depende exclusivamente de la conveniencia técnica u operativa del proveedor de servicios de almacenamiento que modifica la ubicación según sus propias necesidades. Por ello, condicionar la obtención de los datos al lugar donde los mismos se encuentran, conduciría al fracaso de muchas investigaciones simplemente porque se desconoce el lugar exacto de su ubicación, de tal forma que resultarían ineficaces las medidas de cooperación internacional adoptadas.
Ante esta perspectiva, el legislador español se ha decantado decididamente por la licitud del acceso con la simple autorización judicial, incluso en los casos en que los datos se hallen fuera de España. Así se evidencia de la interpretación literal de la regulación legal, y más si se compara con el precedente inmediato, el art. 350.4 de la Propuesta de Código Procesal Penal, que limitaba el acceso a los datos almacenados en sistemas informáticos ubicados en territorio español, remitiendo a la cooperación judicial internacional en el resto de los casos. Esta previsión seguía los criterios del art. 19.2 del Convenio sobre la Ciberdelincuencia que, en su Informe Explicativo, señalaba expresamente que la norma no permitía el registro de sistemas ubicados fuera de las fronteras nacionales propias, remitiendo también a la cooperación judicial internacional para estos casos.
El planteamiento que ahora se realiza, sin embargo, es el de considerar los repositorios telemáticos de almacenamiento como una parte más del sistema que se registra. Lo realmente determinante no va a ser dónde se encuentren físicamente los datos, sino desde dónde se acceda a ellos.
De esta forma, igual que puede afirmarse que el titular de esos datos los posee desde España y ejercita sus derechos sobre ellos desde España y conforme al derecho español, puede afirmarse que cuando se accede a ellos en un registro judicial, se hace en España y conforme al derecho español siempre, claro está, que, como se ha señalado, pueda hablarse de un acceso lícito. De igual modo que resultaría ilógico considerar que el poseedor de pornografía infantil no puede ser perseguido en España si los archivos se encuentran en servidores ubicados en el extranjero, resultará ilógico considerar que el Juez español no puede acceder a datos de un sistema informático ubicado en España por la circunstancia de que el concreto dato al que se accede se encuentre en un servidor ubicado en el extranjero."

En el apartado 3.7 (Deber de colaboración) se afirma:

"Podrán ser destinatarios del deber de colaboración, tanto las personas físicas como las personas jurídicas, aunque únicamente las primeras podrían ser criminalmente responsables del delito que la LECrim anuda a su incumplimiento. Por eso, cuando la información necesaria para el registro obre en poder de una persona jurídica, deberá previamente identificarse la persona física que pudiera tener acceso a ella. Cuando se trate de recabar la colaboración de personas que se encuentren en el extranjero, en principio, deberá emplearse el cauce de la cooperación jurídica internacional.
Los problemas de territorialidad y jurisdicción se harán más patentes en los casos de registro de dispositivos o sistemas informáticos accesibles telemáticamente desde España pero que se encuentren en el extranjero (los referidos ut supra como cloud computing o computación en la nube). Cuando, en estos casos, se encuentre en territorio español alguna persona que pudiera prestar la colaboración que prevé el precepto, quedará la misma plenamente sujeta a la obligación, con independencia del lugar donde se encuentren los datos.
No debe confundirse este concreto deber de colaboración que resulta del art. 588 sexies c.5 con las obligaciones que impone el art. 2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, LSSICE) a los prestadores de servicios de la sociedad de la información establecidos en España. De igual modo, tampoco pueden extenderse las presunciones de establecimiento en España y sujeción al ordenamiento jurídico español que prevé la citada Ley a los obligados por la LECrim. Por un lado, el deber de colaboración que imponen ambas normas es diferente, pero, además, las consecuencias y sanciones ante su incumplimiento, también son distintas. De esta manera, podría existir un prestador de servicios que cumpliera todas las obligaciones que le impone la LSSICE y, sin embargo, no pudiera facilitar la colaboración que prevé el art. 588 sexies c.5, al no disponer de la información que se le requiere u obrar ésta en sus servicios centrales ubicados en el extranjero."

Por su parte, en el apartado 4.1 (Regulación legal de los registros remotos sobre equipos informáticos) se afirma:

"En el registro remoto de dispositivos se plantean, también, algunos de los problemas que surgen en el registro directo, como es, por ejemplo, el referido al ejercicio de la jurisdicción en los casos de ubicación de los datos a registrar fuera del territorio nacional. En este caso, sin embargo, las dificultades que se suscitan son mayores, ya que mientras que en el registro directo de dispositivos de almacenamiento existe un evidente vínculo con el territorio donde se ejerce la jurisdicción, constituido por el equipo informático que se registra y a través del cual se accede a los datos ubicados en el extranjero, los registros remotos, por su propia naturaleza, podrían hacerse sobre cualquier dispositivo o sistema, independientemente de su ubicación.
En estos casos, el criterio deberá ser siempre el de exigir un vínculo territorial con España; el Juez podrá autorizar el registro remoto de un sistema informático que se encuentre en España, aunque a través de él se acceda a datos ubicados en el extranjero, pero no autorizar el registro de un sistema localizado en el extranjero, sin acudir para ello a la cooperación judicial internacional. Como señala el informe del Consejo Fiscal al Anteproyecto, «en tanto en cuanto se tiene acceso al material desde España por un imputado situado en nuestro territorio, el mismo se posee en España, y, consiguientemente, las autoridades españolas tendrían jurisdicción para acceder al mismo»."

Finalmente, la 16ª conclusión (apartado 6) tiene el contenido siguiente: "únicamente podrán ser destinatarias de la orden de colaboración las personas que se encuentren en territorio español. La colaboración de una persona que se encuentre en el extranjero deberá recabarse a través de los instrumentos de cooperación jurídica internacional."

[BOE n. 70. de 22.3.2019]