Legislación del peritaje informático: normas UNE, ISO y cadena de custodia

En GlobátiKa Peritos Informáticos, bajo la dirección de Ángel González, tratamos el informe pericial informático como una pieza técnica y jurídica a la vez. Un informe puede ser impecable desde el punto de vista informático y perder eficacia si no responde al objeto pericial, si no ordena bien los anexos, si no explica la metodología, si no conserva la evidencia o si no puede entenderlo un juez, un abogado o una parte no técnica. Del mismo modo, un informe muy jurídico se queda corto si no acredita con rigor la integridad de los datos o se limita a describir capturas de pantalla sin análisis forense.

El peritaje informático se mueve dentro de un marco legal que combina normas procesales, normativa de protección de datos, reglas sobre derechos fundamentales y estándares técnicos. En el ámbito civil, la Ley de Enjuiciamiento Civil regula la prueba pericial y permite que las partes aporten dictámenes elaborados por peritos. En el ámbito penal, la Ley de Enjuiciamiento Criminal condiciona la obtención, conservación y aportación de evidencias cuando pueden afectar a investigaciones, dispositivos, comunicaciones o datos personales. A esto se suman el Reglamento General de Protección de Datos, la Ley Orgánica de Protección de Datos y garantía de los derechos digitales, la normativa sobre servicios de la sociedad de la información, la de ciberseguridad y, en algunos casos, reglas sectoriales específicas.

La clave es entender que la legislación no sustituye a la técnica y la técnica no sustituye a la ley. Un perito informático no decide por el tribunal, pero aporta conocimiento especializado para que el juez pueda valorar una prueba digital. Por eso el informe debe ser neutral, comprensible, metodológico y proporcional. No se trata de impresionar con herramientas forenses, sino de contestar con claridad al objeto del encargo: si un WhatsApp es atribuible a una persona, si un correo ha sido manipulado, si una web publicaba un contenido en una fecha, si un empleado extrajo información, si un acceso fue legítimo, si un PDF conserva metadatos relevantes o si una imagen ha sido alterada.

En la práctica, los problemas aparecen cuando la prueba digital llega tarde o llega mal: capturas sueltas, reenvíos, pantallazos recortados, documentos impresos sin trazabilidad o archivos descargados sin registrar su origen. Ese material puede tener valor indiciario, pero normalmente necesita refuerzo pericial. El trabajo del perito consiste en estudiar si todavía es posible acceder a la fuente original, adquirir una copia técnica, calcular valores hash, documentar el proceso, extraer metadatos, analizar la coherencia temporal, revisar cabeceras, logs o bases de datos y explicar las limitaciones del material recibido.

La UNE 197010:2015 es especialmente relevante para el perito informático porque se centra en informes y dictámenes periciales sobre tecnologías de la información y las comunicaciones. Conviene nombrarla correctamente: no es «ISO 197010», sino UNE 197010. La precisión importa, porque un error en la denominación de una norma transmite falta de rigor. La norma adapta la estructura general del informe pericial al terreno TIC: sistemas, dispositivos, comunicaciones, evidencias electrónicas, aplicaciones, redes, logs, soportes, metadatos, extracción de datos y análisis técnico.

Ayuda a responder a una cuestión fundamental: qué debe tener un informe pericial informático para que no sea una simple opinión técnica. Debe identificar el objeto pericial, las evidencias examinadas, la metodología, las herramientas, los resultados, las limitaciones y las conclusiones, y procurar que estas estén conectadas con los datos analizados. Una conclusión sólida no nace de una intuición, sino de una cadena lógica: evidencia recibida, método aplicado, resultado observado y conclusión derivada.

En su uso práctico son muy importantes cuatro principios:

Aplicada a un informe, la UNE 197010 permite explicar por qué se examina un dispositivo y no otro, por qué se analiza una franja temporal concreta, por qué se calculan determinados hashes, por qué se revisan los metadatos, por qué se descartan archivos irrelevantes o por qué una captura aislada no permite afirmar lo mismo que una extracción forense completa. También ayuda a separar hechos técnicos de valoraciones: el perito puede afirmar que un archivo se creó en una fecha según sus metadatos o que su hash coincide con otra copia, pero no debe convertir una posibilidad técnica en una certeza si los datos no lo sostienen.

La ISO/IEC 27042 complementa la preservación porque se centra en el análisis y la interpretación. Una vez identificado, adquirido y preservado el material, el perito debe examinarlo para obtener resultados comprensibles, y aquí no basta con encontrar datos: hay que interpretarlos correctamente. Un registro horario puede estar afectado por la zona horaria, la configuración o una sincronización incorrecta; un metadato puede indicar modificación sin probar manipulación maliciosa; y un mensaje exportado puede no permitir, por sí solo, verificar la integridad completa de la conversación.

La interpretación exige prudencia. Que un archivo aparezca en un dispositivo no siempre significa que el usuario lo haya creado: puede haberse descargado automáticamente, recibido por mensajería, sincronizado desde la nube o generado por una aplicación. Que un correo figure en una bandeja no prueba por sí solo quién lo redactó si no se analizan cabeceras, servidores, rutas, autenticación, logs o el contexto de la cuenta.

Muchos clientes confunden extracción con análisis. Extraer los datos de un teléfono o descargar correos no es suficiente: el valor pericial surge cuando el perito interpreta esos datos, separa lo relevante de lo accesorio, detecta incoherencias, documenta limitaciones y formula conclusiones defendibles. Por eso la ISO/IEC 27042 va de la mano de la 27037: una protege la evidencia y la otra ayuda a interpretarla.

La UNE 71506:2013 complementa a la 71505 y se orienta al proceso de análisis forense. Mientras la 71505 se preocupa por la gestión y la confiabilidad de la evidencia, la 71506 ordena las fases del análisis: preservación, adquisición, documentación, análisis y presentación. Encaja muy bien con el trabajo diario del perito informático judicial, porque traduce la gestión de evidencias a una metodología práctica.

En un informe, ayuda a explicar qué se hizo con cada evidencia: cómo se recibió, qué estado presentaba, qué copia se generó, qué hash se calculó, qué herramienta se utilizó, qué resultados se obtuvieron y cómo se presentan las conclusiones. También permite ordenar anexos, capturas técnicas, listados de archivos, registros temporales y documentación de operaciones, para que un caso complejo no se convierta en una acumulación de datos sin hilo conductor.

Por ejemplo, en el análisis de un ordenador corporativo el perito puede documentar la identificación del equipo, la imagen forense y su hash, los usuarios, la actividad reciente, los dispositivos conectados, las carpetas relevantes, los accesos a la nube, los metadatos de los documentos y los eventos del sistema. La UNE 71506 hace que ese análisis se presente de forma sistemática y no como una lista desordenada de hallazgos.

El peritaje informático suele trabajar con datos personales: mensajes, teléfonos, correos, ubicaciones, imágenes, documentos, usuarios, direcciones IP, historiales o metadatos. Por eso el RGPD y la LOPDGDD son relevantes. La existencia de un conflicto judicial no autoriza a obtener cualquier dato de cualquier forma. El informe debe ser proporcional al objeto pericial y respetar los límites legales: evitar acceder a información ajena al encargo, separar los datos irrelevantes, limitar los anexos o advertir de la necesidad de autorización judicial o consentimiento.

Esto es especialmente importante en dispositivos compartidos, teléfonos de empresa, cuentas corporativas, correos laborales, procedimientos de familia, violencia de género digital, conflictos entre socios o investigaciones internas. Una prueba digital puede ser técnicamente accesible y, sin embargo, jurídicamente problemática si se ha obtenido vulnerando derechos fundamentales. Por eso, antes de iniciar una extracción o un análisis, conviene definir bien el alcance y trabajar de forma coordinada con el abogado director del procedimiento.

Conversación de WhatsApp

Es una de las evidencias digitales más habituales en juicio: reclamaciones civiles, procedimientos laborales, familia, penal, violencia de género digital, amenazas, coacciones, deudas, conflictos entre socios o incumplimientos. El error más frecuente es pensar que basta con imprimir capturas, que por sí solas no siempre permiten verificar el contexto, la continuidad, los adjuntos, la identidad, las fechas o la integridad.

La UNE 197010 estructura el informe TIC; la ISO/IEC 27037 orienta la preservación del dispositivo o la adquisición de la conversación; la ISO/IEC 27042 ayuda a interpretar fechas, remitentes, continuidad, adjuntos, mensajes eliminados o limitaciones; la UNE 71506 ordena la metodología forense y la UNE 197001 ayuda a presentar el dictamen de forma comprensible. Más información en nuestro servicio de perito de WhatsApp.

Correo electrónico

No basta con ver el texto del mensaje: puede ser necesario estudiar cabeceras, servidores, rutas, autenticación (SPF, DKIM, DMARC), fechas, adjuntos, metadatos, cuentas implicadas y contexto de recepción. En casos de phishing, suplantación, despido disciplinario, reclamaciones contractuales o amenazas, el correo puede contener información técnica decisiva.

La metodología distingue entre un correo reenviado, una captura, un archivo .eml o .msg, una exportación de buzón y el acceso directo a la cuenta o al servidor, porque cada fuente tiene un valor diferente. Si solo existe una captura, debe indicarse la limitación; si existe el original con cabeceras, se puede analizar con más profundidad; si hay logs del servidor, el informe se refuerza. Ver peritación de correos electrónicos.

Fuga de datos en una empresa

El objetivo puede ser determinar si un usuario descargó información, la copió a un dispositivo externo, accedió a carpetas no autorizadas, utilizó servicios en la nube o envió documentación confidencial por correo. La evidencia suele estar repartida: ordenador del empleado, servidor de archivos, logs de VPN, correo corporativo, nube, historial de navegación, registros del sistema, políticas internas y permisos.

La UNE 71505 aporta valor porque la gestión previa de evidencias marca la diferencia; la ISO 27001 ayuda a interpretar el contexto de seguridad; la ISO/IEC 27037 guía la preservación y la UNE 71506 ordena el análisis. El informe debe evitar afirmar más de lo que los datos permiten: puede probarse una descarga, un acceso, una copia o una conexión, pero la intención del usuario puede requerir otros elementos de contexto. Ver robo de datos informáticos.

Documento PDF, firma o archivo manipulado

Los PDF, las imágenes y los archivos ofimáticos se peritan cuando se discute su autenticidad, fecha de creación, modificación, firma, metadatos o coherencia documental. Un PDF puede contener metadatos de generación, marcas de software, objetos internos, firmas digitales, capas, fuentes o imágenes embebidas; una imagen, rastros de edición, compresión, recortes o metadatos EXIF; un Word o un Excel, autores, revisiones, fechas y rutas.

La prueba no debe basarse en una sola señal: que un metadato muestre una fecha no significa automáticamente que sea la fecha real de creación, porque puede depender del software, de conversiones o de copias. El perito valora el conjunto: metadatos, contenido, estructura interna, hash, origen, trazabilidad, versiones, contexto y coherencia. Ver certificación de imágenes y vídeos.

Página web, publicación online o redes sociales

Son evidencias especialmente volátiles: un contenido puede modificarse, eliminarse, cambiar de URL o quedar oculto. Conviene actuar con rapidez y documentar el acceso, la URL, la fecha y la hora, el navegador, las capturas, el código fuente, los recursos asociados, los enlaces y cualquier elemento que ayude a demostrar qué se observó en un momento determinado.

Cuando el contenido afecta al honor, la competencia desleal, la propiedad intelectual, amenazas, acoso, reseñas falsas o incumplimientos, el informe debe explicar si se ha accedido a la fuente pública, si se han preservado capturas, si se han descargado elementos técnicos, si existen archivos históricos o si se ha complementado con un acta notarial. Ver peritación de publicaciones en redes sociales.