| Informe | 2026-0022 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el Anteproyecto de Ley de prueba electrónica (e-Evidence)
El informe de la Agencia Española de Protección de Datos (AEPD) analiza el Anteproyecto de Ley (APL) que transpone el Reglamento (UE) 2023/1543 y la Directiva (UE) 2023/1544 sobre órdenes europeas de producción y conservación de pruebas electrónicas en procesos penales (e-Evidence). Su objetivo principal es modernizar la cooperación judicial penal, garantizando un acceso rápido y seguro a datos electrónicos (tráfico, contenido, abonados) para la investigación del delito, superando los sistemas tradicionales basados en intermediación estatal.
Aspectos clave del informe
Objetivos del APL:
Acelerar la obtención de pruebas electrónicas reduciendo plazos y costes.
Facilitar la cooperación directa entre autoridades judiciales de un Estado miembro y prestadores de servicios en otro (ej: empresas tecnológicas), evitando la burocracia de los sistemas actuales.
Armonizar el marco jurídico nacional con el de la UE para cumplir con el paquete e-Evidence (Reglamento + Directiva).
Garantizar derechos fundamentales, como la protección de datos, transparencia y tutela judicial efectiva.
Impacto en protección de datos:
El APL introduce un sistema de acceso directo a datos, flexibilizando el principio de territorialidad pero aumentando el riesgo de vulnerar derechos fundamentales (Art. 18.4 CE y RGPD).
Se establecen garantías para mitigar riesgos:
Categorías de datos: El Reglamento distingue entre datos de abonados (menos sensibles), tráfico (impacto medio) y contenido (más sensibles, como mensajes o archivos).
Autoridades competentes: Solo los órganos judiciales (o fiscales en casos específicos) pueden emitir órdenes para datos sensibles; para otros datos, también pueden emitirla los fiscales o la policía en casos urgentes (con validación judicial posterior en 48 horas).
Plazos estrictos: 10 días para ejecución ordinaria de órdenes de producción; 8 horas en urgencias.
Derechos de los afectados: Aunque la notificación puede posponerse si perjudica la investigación (Art. 23 RGPD), los usuarios deben ser informados después del proceso, salvo que ello comprometa la investigación.
Sistema de representación legal y sanciones:
Representantes legales: Prestadores de servicios transfronterizos deben designar un establecimiento o representante legal en la UE (y en España, si operan aquí), supervisado por la CNMC (Comisión Nacional de los Mercados y la Competencia), que actúa como autoridad central.
Régimen sancionador:
Multas escalables (hasta 2 millones de euros para infracciones muy graves, como no designar representante).
Responsabilidad solidaria del prestador y su representante legal.
La CNMC y, en su caso, la AEPD, velarán por el cumplimiento del RGPD y la LO 3/2018.
Alineación con el RGPD y salvaguardas:
Artículo 3 del APL: Regula la aplicación del RGPD, la LO 3/2018 (protección general) y la LO 7/2021 (protección en procesos penales) para los casos no cubiertos por el Reglamento UE 2023/1543.
Principios clave:
Proporcionalidad: Las órdenes deben ser necesarias y proporcionadas al fin perseguido.
Control judicial: Las decisiones más sensibles (datos de tráfico/contenido) requieren validación judicial.
Transparencia: Los usuarios afectados deben poder ejercer sus derechos (acceso, rectificación, supresión) tras la investigación, salvo excepciones justificadas.
Seguridad: Los prestadores deben implementar medidas técnicas y organizativas para proteger los datos.
Recomendaciones de la AEPD:
El informe destaca que el APL cumple con los estándares del RGPD y la Carta de Derechos Fundamentales de la UE, siempre que se aplique correctamente.
Se sugieren mejoras en la claridad normativa para evitar confusiones entre el régimen general de protección de datos (RGPD) y el específico de procesos penales (Directiva 2016/680).
Se recuerda que la AEPD mantendrá sus competencias para actuar si una orden judicial vulnera el RGPD, aunque la CNMC sea la autoridad central para designación de representantes.
Conclusión
La AEPD considera que el APL se ciñe al marco legal europeo y constitucional, siempre que las autoridades apliquen sus disposiciones con rigor. Entre sus aciertos están:
La diferenciación entre tipos de datos según su sensibilidad.
El control judicial reforzado para datos sensibles.
La seguridad jurídica al delimitar competencias entre la CNMC, los órganos judiciales y la AEPD.
Riesgos potenciales:
Falta de notificación inmediata a los afectados, aunque se garantiza el derecho posterior.
Posible trato desigual entre prestadores de servicios grandes y pymes (estas últimas pueden designar un único representante para varios países).
Veredicto final: El APL es acertado si se implementa con las salvaguardas mencionadas, garantizando el equilibrio entre seguridad jurídica y protección de derechos fundamentales.