Un correo eliminado, una conversación de WhatsApp, un registro de acceso o un archivo modificado pueden cambiar el curso de una investigación. El problema no es solo encontrar esa información: saber cómo preservar evidencia digital sin alterarla puede definir si sirve para sostener una denuncia, responder una querella o construir una defensa penal sólida.
Para un ejecutivo, una empresa o un profesional sometido a revisión interna, fiscalización o investigación penal, la reacción inicial suele ser desordenada. Se reenvían mensajes, se revisan computadores, se borran archivos aparentemente irrelevantes o se pide a un colaborador que “limpie” su teléfono. Esas decisiones, incluso cuando no existe intención de ocultar antecedentes, pueden destruir contexto, afectar la cadena de custodia y abrir un problema adicional de responsabilidad penal.
Por qué la evidencia digital exige una respuesta inmediata
La evidencia digital es frágil por naturaleza. A diferencia de un documento físico, un archivo electrónico puede modificarse al abrirlo, sincronizarse automáticamente con una nube, sobrescribirse por el uso habitual del equipo o desaparecer por políticas de retención de una plataforma. También puede perder metadatos relevantes, como la fecha de creación, el usuario que intervino o el dispositivo desde el que se originó.
En una causa por fraude, administración desleal, delito tributario, acceso ilícito, cohecho, apropiación indebida o incumplimientos corporativos, el contenido aislado rara vez basta. La Fiscalía, la defensa y el tribunal analizarán su origen, integridad, contexto y forma de obtención. Una captura de pantalla puede orientar una investigación, pero no necesariamente prueba por sí sola que un mensaje fue enviado por determinada persona, en determinada fecha y sin modificaciones posteriores.
La primera regla es simple: no convierta una contingencia en un daño procesal. Si existe riesgo de denuncia, querella, citación policial, entrada y registro, incautación o formalización, la preservación debe comenzar antes de que los dispositivos, cuentas y servidores sean intervenidos por múltiples personas.
Cómo preservar evidencia digital con valor procesal
Preservar no significa investigar por cuenta propia ni extraer todo el contenido disponible. Significa asegurar los antecedentes potencialmente relevantes, documentar cada actuación y evitar intervenciones que alteren el material original.
Detenga la eliminación automática y limite el acceso
La empresa debe identificar de inmediato qué sistemas podrían contener información relevante: correos corporativos, respaldos en la nube, plataformas de mensajería, registros de ingreso, sistemas ERP, cámaras, teléfonos asignados, computadores y cuentas de terceros bajo control institucional. Luego, debe suspender las políticas automáticas de borrado o rotación que afecten esos datos.
No todos deben tener acceso. Mientras más personas revisan, descargan, reenvían o clasifican archivos, mayor es el riesgo de pérdida de trazabilidad. Conviene designar un responsable limitado, idealmente bajo coordinación jurídica, para registrar qué se preservó, dónde estaba alojado, quién intervino y en qué fecha.
Este resguardo debe ser proporcional. Una investigación no autoriza a revisar sin límites la vida privada de trabajadores, directivos o terceros. Cuando hay dispositivos personales, comunicaciones privadas o datos sensibles, se requiere una evaluación especialmente cuidadosa de las facultades contractuales, las políticas internas, la legislación aplicable y, en ciertos casos, de la necesidad de obtener autorización judicial.
Conserve el original y trabaje sobre copias verificables
Abrir un archivo, editar una hoja de cálculo o reenviar una conversación puede alterar atributos técnicos que luego resultan decisivos. Por eso, el material original debe mantenerse intacto y el análisis debe realizarse sobre copias de trabajo.
Una preservación técnicamente seria suele considerar cuatro controles:
- Identificación del dispositivo, cuenta, servidor o fuente original.
- Registro de fecha, hora, responsable y método de extracción.
- Generación de una copia forense o copia verificable, según la naturaleza del caso.
- Cálculo y registro de valores hash cuando corresponde, para acreditar que el archivo no cambió.
El hash funciona como una huella digital matemática del archivo. Si la copia y el original mantienen el mismo valor, existe un antecedente técnico relevante para demostrar integridad. No sustituye el análisis jurídico ni resuelve por sí solo la admisibilidad de la prueba, pero ayuda a sostener que el contenido revisado es el mismo que fue resguardado inicialmente.
Preserve el contexto, no solo el archivo llamativo
Un audio comprometedor sin información sobre su origen puede ser cuestionado. Lo mismo ocurre con una imagen recortada, una captura sin fecha o una cadena de correos que omite mensajes previos. El contexto puede mostrar si una expresión fue una instrucción, una broma, una advertencia, una conversación incompleta o una manipulación.
Al preservar, incorpore las conversaciones completas cuando sean pertinentes, los adjuntos, las versiones de un documento, los registros de acceso y los respaldos disponibles. En asuntos corporativos, también pueden ser esenciales las actas de directorio, autorizaciones, matrices de aprobación, políticas de gastos, contratos y registros contables que expliquen una decisión cuestionada.
La amplitud tiene un límite. Acopiar indiscriminadamente información de toda la organización puede vulnerar confidencialidad, privacidad y secreto profesional. La estrategia adecuada depende del hecho investigado, de las personas involucradas y del riesgo procesal concreto.
La cadena de custodia empieza antes de la incautación
En Chile, la cadena de custodia es relevante para acreditar la identidad e integridad de especies y evidencias que serán examinadas dentro de un procedimiento penal. No comienza únicamente cuando Carabineros, la PDI o el Ministerio Público incautan un equipo. Una compañía que detecta un posible ilícito puede y debe registrar cómo protegió los antecedentes antes de ponerlos a disposición de la autoridad o utilizarlos en acciones judiciales.
El registro no tiene que ser extenso, pero sí preciso. Debe dejar constancia de quién encontró el antecedente, dónde estaba, qué medidas se adoptaron para impedir su modificación, quién realizó la copia y dónde quedó almacenada. Si se entrega un dispositivo, correo exportado o respaldo a un perito, abogado o autoridad, la transferencia también debe documentarse.
Un error frecuente es conservar únicamente impresiones de pantalla. Pueden ser útiles para adoptar medidas urgentes, pero no reemplazan la conservación de la fuente original. Otro error es entregar voluntariamente información parcial sin una revisión estratégica previa. La colaboración con la investigación puede ser procedente, pero debe evaluarse considerando el deber de resguardo de datos, los riesgos de autoincriminación y la posición procesal de la empresa y sus ejecutivos.
Qué no hacer cuando aparece información comprometedora
No borre mensajes, formatee equipos ni pida a terceros eliminar información. Tampoco instale programas de monitoreo improvisados, acceda a cuentas ajenas sin autorización o intente recuperar datos mediante herramientas no confiables. Tales actuaciones pueden dañar evidencia, vulnerar derechos y, dependiendo de las circunstancias, generar nuevas contingencias penales.
Evite también interrogatorios informales por mensajería. Preguntar a un trabajador “qué pasó” a través de un chat corporativo puede producir respuestas espontáneas que luego se malinterpretan, alertar a personas involucradas o incentivar coordinaciones indebidas. Si se requiere una investigación interna, debe existir un plan, un alcance definido y resguardo de las garantías de quienes participen.
La confidencialidad merece especial atención. En casos de alta exposición pública, una filtración puede dañar la reputación de la empresa antes de que exista una resolución judicial. El acceso a la información debe limitarse a quienes necesiten conocerla para proteger la continuidad operacional y preparar la estrategia legal.
Cuándo intervenir con asesoría penal y peritaje forense
La intervención temprana es decisiva cuando existen indicios de delito, requerimientos de la Fiscalía, una querella en preparación, denuncias internas graves o riesgo de que una persona destruya información. También cuando la evidencia involucra comunicaciones entre ejecutivos, datos de clientes, secretos empresariales, sistemas informáticos o información alojada fuera de Chile.
El abogado penal debe definir, junto con especialistas técnicos cuando sea necesario, qué preservar, cómo hacerlo y qué actuaciones pueden comprometer la defensa. No se trata de paralizar a la organización, sino de separar la operación normal de las decisiones que pueden tener efecto en una investigación penal.
Una defensa efectiva entiende tanto la lógica de la Fiscalía como el estándar que deberá sostenerse en audiencia. Pedro Orthusteguy Hinrichsen aborda estas contingencias con una mirada procesal: proteger evidencia útil, anticipar riesgos de formalización y evitar decisiones improvisadas que perjudiquen la posición de sus clientes.
Cuando la evidencia digital aparece, el tiempo no se recupera. Actuar con orden, discreción y control técnico permite defender los hechos con antecedentes verificables, no con versiones construidas después de que el material decisivo ya se perdió.
Leave a Reply
You must be logged in to post a comment.