Correos electrónicos del Caso Noos y la actuación del administrador del servidor

Pocas veces podemos ver de manera más evidente la diferencia de tratamiento de los mismos hechos entre la sociedad y las reglas de la justicia, como en el caso de los emails aportados por Diego Torres en el caso Noos.

Mediaticamente, estos emails aportados en soporte papel, según se desprende de esta noticia, han tenido un impacto importante puesto que en teoría vinculan a personas de la Casa Real con las actividades presuntamente ilícitas del instituto Noos.

Jurídicamente, por el contrario, estos emails tienen poco de valor probatorio si la parte perjudicada no los reconoce, los impugna o no se realizan más pruebas.

El correo electrónico puede ser aportado en un procedimiento judicial, de eso no hay duda, pero la forma de aportarlo no debería ser nunca únicamente en soporte papel.

El correo electrónico puede entenderse como un documento electrónico, de acuerdo a la definición de la Ley 59/2003 de Firma Electrónica:

"Se considera documento electrónico la información de cualquier naturaleza en forma electrónica, archivada en un soporte electrónico según un formato determinado y susceptible de identificación y tratamiento diferenciado."

Y debe recibir el tratamiento de documento según la legislación que le sea aplicable en su uso (art. 3.7 Ley de Firma Electrónica).

Es evidente que si el documento es electrónico y lo aportamos impreso en papel no podemos considerarlo nada más que un documento de parte y pierde su carácter de electrónico.

El correo electrónico no es sólo la información en texto que podemos leer, sino que incorpora otra mucha información muy relevante sobre su origen y destino, ruta de paso, etc. que puede marcar la diferencia entre que pueda ser tenido en cuenta o no. 

Y, además, si la impresión ni tan siquiera incluye las cabeceras del mismo (dirección IP de origen, servidores por los que ha pasado, programa de envío, etc.) la información contenida en el email es difícilmente verificable y si no tiene apoyo en otros muchos elementos no debería ser tenida en cuenta por el juez.

Al fin y al cabo la impresión puede ser manipulada y poner en el escrito que salga por la impresora cualquier texto, imputando de cualquier cosa a la otra parte.

Por lo tanto, el Juez Instructor no debería imputar o no a alguien sólo en base al contenido de la reproducción en papel de unos correos electrónicos aportados por una parte.

Pero en este caso, al parecer, se han aportado emails en los que el emisor y el destinatario eran personas diferentes (Urdangarín y Corinna, por ejemplo)  a quien los aporta en el juzgado (Diego Torres).

La explicación sería que esos correos fueron enviados y recibidos por medio del servidor del Instituto Noos y que el administrador del servidor tenga una copia de los mismos, que estará aportando en el procedimiento.

Salvo que el administrador del servidor haya recibido un correo por medio de reenvío, él no era parte de la conversación.

A mi juicio, de ser esto así, estamos ante una prueba nula de pleno derecho pues en su obtención el propio Diego Torres estaría cometiendo un delito de revelación de secretos, viciando con ello la investigación, puesto que esos emails han sido revelados sin el consentimiento de las partes intervinientes.

La única posibilidad sería, como ha reconocido la jurisprudencia Constitucional, que existieran reglas de uso del ordenador que deshicieran la presunción de intimidad que el trabajador tiene respecto del uso de los medios informáticos (y personalmente tengo dudas de que incluso eso baste para alcanzar al contenido del correo teniendo en cuenta la previsión del artículo 18.3 CE).

Y dudo mucho que en su momento en la empresa existiesen las reglas de uso del ordenador.

Como se puede entender de lo anterior, una cosa es lo que mediaticamente nos muestran y otra muy distinta el efecto que ello debe tener en un proceso con todas las garantías, lo que, si no se explica, provoca en ocasiones desafección y desconfianza ciudadana por la justicia, no porque se haga mal, sino por el desconocimiento de las reglas aplicables.

Sentencia del Tribunal Supremo: IP no identifica a responsable del delito y tipificación de la conducta de los "muleros"

La compañera Verónica Alarcón, de eprivacidad, se hace eco de la Sentencia del Tribunal Supremo de 3 de diciembre de 2012 (pdf), que establece algo que ya hemos visto que ha sido resuelto en otras jurisdicciones, pero que hasta la fecha seguía sin manifestarse expresamente por nuestro alto Tribunal; que la dirección IP, por sí sola y sin apoyo de otros elementos probatorios, no puede ser el único elemento para establecer quien es la persona responsable de un delito.

Así, la identificación por la dirección IP (regulada por la Ley 25/2007 de Conservación de Datos) se utiliza, al menos como indicio para determinar la responsabilidad en un delito.

Como ejemplo podemos ver la Sentencia de la Audiencia Provincial de A Coruña, de 30 de diciembre de 2010 (pdf), en la que se establece la responsabilidad de una persona por una serie de mensajes, teniendo en cuenta que:

"Efectivamente no hay una prueba directa de que el recurrente haya sido el autor de los hechos imputados, pero se han puesto en relación poderosos indicios que han llevado a una conclusión que se mantiene en esta alzada: es el titular de la dirección IP desde la cual se dieron los datos injuriosos, también es conocedor de los datos físicos del denunciante y de las direcciones electrónicas facilitadas, a las que poca gente tenía acceso por ser nuevas. Así, resultaría altamente improbable que cualquier persona en León tuviera tales conocimientos, y tuviera también acceso a esa red wifi, por lo que se cumplen los requisitos exigidos por la jurisprudencia para dar validez a la prueba indiciaria"

Pero también hay resoluciones en las que se abre la posibilidad a que el uso de routers Wifi desvirtúe la acusación, si no hay otros elementos, como establece la Audiencia Provincial de Segovia en Sentencia de 15 marzo 2012 (pdf):

"Por consiguiente, se abre la posibilidad de que en el momento en que los instructores policiales constataron que desde la dirección IP asociada a la línea ADSL de la titularidad del encausado, se estaba distribuyendo material pedófilo, fuera otra persona, cualquier vecino residente en los alrededores de la tienda, y no él, quien realizara tal operación, si bien sirviéndose de la conexión de INTERNET de aquél. Para ello no habría hecho falta ni la modificación manual en la línea de pares del cableado telefónico exterior _actividad que según la policía exigiría de sofisticadas herramientas y de la presencia de operarios de telefónica_, ni complejas manipulaciones o suplantaciones de las direcciones IP de los abonados a través de la red."

Lo habitual en las resoluciones es vincular la dirección IP a otra serie de indicios que puedan despejar cualquier duda razonable de la responsabilidad del acusado.

Y ahora ya deja claro el Tribunal Supremo, que sin otros elementos de apoyo no puede fundarse una condena.

Pero la Sentencia del TS comentada, la 987/2012, tiene otro alcance también importante para el enjuiciamiento de uno de los delitos más comunes en internet, cual es las transferencias ilícitas de dinero obtenido por phising, lo que se conoce como la conducta de los "muleros".

Los "muleros" son las personas que adoptan una posición intermedia en la transferencia de dinero desde la cuenta atacada y la del atacante, a donde redirigen el dinero sustraído cobrando una comisión.

Generalmente estas personas actúan al responder una oferta de internet y desconocen el origen y destino exacto del dinero. 

Frente a este supuesto desconocimiento Fiscalía y Tribunales han indicado que hay una especie de ignorancia deliberada, una ausencia de querer conocer la naturaleza lícita o no de la actividad desarrollada, con el fin de encajar la conducta en el delito de estafa, en su modalidad de estafa informática (248.2 CP).

Pero, y esta es la otra clave de esta sentencia, la estafa requiere como elemento subjetivo del tipo la voluntad defraudatoria, la consciencia en esa actuación. Elemento de muy dificil prueba en estos supuestos, pero en el que se apoyó la Audiencia Provincial para fundamentar una condena condenatoria por estafa.

Decía la AP que no conocer a las personas que le transferían dinero aumentaba el riesgo de que la transferencia se efectuara sin el consentimiento del titular de los fondos transferidos y que, además, el tener cierta formación (licenciado en Teología y Filosofía) debía necesariamente saber que la empresa que le contrató, por el modo de hacerlo -mediante oferta de trabajo a través de internet y los términos de la oferta- actuaba ilícitamente y que además omitió todo esfuerzo por informarse sobre los detalles de la misma, como por ejemplo la existencia de la supuesta multinacional empleadora con la que contactó.

Y que por todo ello debería tener severas sospechas de la ilicitud de la operación concertada, cumpliéndose así el elemento subjetivo del tipo penal.

Pero el TS se opone a la aplicación de esta teoría de la "ignorancia deliberada" por incompatible con el principio de la presunción de inocencia, y recupera su Sentencia de 15 de febrero de 2011 para recordar que:

"[...] no cabe ni la presunción del dolo, ni eliminar sin más las exigencias probatorias del elemento cognitivo del dolo. Asimismo tampoco cabe impugnar la aplicación del principio "in dubio pro reo" realizada por los Tribunales de instancia sobre los hechos con apoyo en un supuesto "principio" de la ignorancia deliberada"

Y sobre el caso concreto indica que:

"Podrá, en efecto, convenirse que un hombre medio prudente experimentaría la duda sobre legalidad de la propuesta recibida por el acusado. Pero el descuido consistente en no apurar la indagación sobre la naturaleza de la oferta recibida se sitúa en el ámbito de la imprudencia. No alcanza la objetividad de la previsibilidad sobre los datos de hecho que requiere el dolo eventual."

Por ello estima el motivo de recurso y elimina el hecho probado que incrimina al recurrente, produciéndose su absolución, por falta de uno de los elementos penales, en este caso subjetivo.

Identificación por la IP al margen, otro camino hubiese podido seguir este asunto si, como consta en el relato de la Sentencia el Juzgado de Instrucción (probablemente apoyado en el escrito de acusación de la Fiscalía) hubiese recaído condena por receptación en su modalidad de blanqueo de capitales (art. 298 y siguientes CP), pero finalmente por ese delito no se condenó.

Queda claro, por lo tanto, que para el TS es muy difícil encajar la conducta del "mulero" típico en el delito de estafa, complicando la persecución final de estas personas que realizan una actividad importante para el enmascaramiento del auténtico responsable del "phising"; por lo que a raíz de esta sentencia se hace necesario o acreditar perfectamente el elemento subjetivo (muy complicado) o bien intentar la imputación con base en otros delitos.

Bonus Track: El día 15 de febrero, finalmente (sólo han hecho falta 5 años y medio) se publicó en el BOE la Orden PRE/199/2013, de 29 de enero, por la que se define el formato de entrega de los datos conservados por los operadores de servicios de comunicaciones electrónicas o de redes públicas de comunicaciones a los agentes facultados.

141 páginas en las que se define el modelo para el envío de los datos, fundamentalmente en sus dos Anexos. (pdf)

Una tasa por los datos o como hacer tributar a los grandes de internet.

Recoge una cuestión muy interesante el compañero Jorge Campanillas en relación al problema cada vez más evidente de como hacer que las grandes empresas de internet, que hacen negocio con nuestros datos personales, tributen por los rendimientos que obtienen con esos datos de los ciudadanos de cada país, contribuyendo a que las arcas públicas de ese país estén saneadas.

Las cuestiones que plantea Jorge surgen del estudio presentado en Francia por dos expertos acerca de estos problemas y van en la línea de exigir un pago en función del uso de los datos que se hace del usuario del sistema.

Comparto las preguntas que el compañero plantea al final de su entrada pero no la conclusión:

"[...] me temo que si estas grandes empresas viesen gravadas, además, sus bases de datos, tendrían mucho más claro la comercialización de nuestros datos personales. Otro objeto más para comerciar, que no es que no se haga ahora, pero ya sin ninguna cortapisa, puesto que se legitimaría más si cabe el comercio de nuestros datos personales, generándose una merma considerable, a mi entender, en el derecho fundamental a la protección de datos personales y a la privacidad e intimidad de los usuarios." 

Creo que estas empresas ya comercian con los datos y estoy seguro de que los exprimen hasta donde los métodos probados permiten. Creo que Google es una perfecta demostración de ello.

Efectivamente el problema es como someter a tributación a estas empresas, pero no comparto que el estado recaude por el dinero que se obtiene por legitimar un tratamiento de datos privados o personales, entiendo que de generarse algún pago por este concepto debería destinarse al propio usuario.

Pero...  el usuario ya recibe algo por el tratamiento de sus datos personales, ya sea una cuenta de correo, un blog, un espacio en una red social, etc...

Entonces, si hay un pago (mejor dicho, una contraprestación) porqué no acudir a la legislación sobre el Impuesto del Valor Añadido y por esa vía gravar a las empresas. La legislación tributaria ya establece mecanismos de comprobación de valores para los supuestos en que las partes declaran que una operación tiene un determinado valor, por lo que pueden establecerse unos precios de mercado de diferentes servicios, por ejemplo:

¿Cuánto habría que pagar por un servicio de correo como Gmail? ¿o por un alojamiento web como el de blogger o wordpress?

Pues estableciendo esos valores podríamos fijar el IVA correspondiente, que debería ser ingresado por la empresa en la Agencia Tributaria competente y aquí la situación se complica por las reglas de aplicación del lugar de realización de la prestación de servicios, en ese caso, artículo 70.uno.4 LIVA:

"Se entenderán prestados en el territorio de aplicación del Impuesto los siguientes servicios: 

4. Los prestados por vía electrónica desde la sede de actividad o un establecimiento permanente o, en su defecto, el lugar del domicilio o residencia habitual de un empresario o profesional que se encuentre fuera de la Comunidad y cuyo destinatario no sea un empresario o profesional actuando como tal, siempre que éste último se encuentre establecido o tenga su residencia o domicilio habitual en el territorio de aplicación del Impuesto.

A efectos de lo dispuesto en este número, se presumirá que el destinatario del servicio se encuentra establecido o es residente en el territorio de aplicación del Impuesto cuando se efectúe el pago de la contraprestación del servicio con cargo a cuentas abiertas en establecimientos de entidades de crédito ubicadas en dicho territorio."

Si atendemos a lo que dice esta regla (de confusa redacción y difícil lectura, lo se) tenemos que las prestaciones de servicios a consumidores ("destinatario no sea un empresario o profesional actuando como tal") por empresas situadas fuera de la UE ("domicilio o residencia habitual de un empresario o profesional que se encuentre fuera de la Comunidad") se entienden realizadas en territorio de aplicación del impuesto y por lo tanto podrían estar sujetas al mismo.

Así, por ejemplo, si ponemos que una cuenta de correo tipo gmail puede valer 10 euros/año a precios de mercado, el IVA sería 2,1 euros. Si multiplicamos por los millones de cuentas que hay en España vemos que hay una fuente importante de ingresos.

Sinceramente veo más interesante esta vía de ingresos que una tasa por el uso de datos, por una razón esencial, no es necesario crear una figura impositiva nueva o implicar a otras agencias gubernamentales, bastaría con alguna modificación en la legislación ya existente y poner a la Agencia Tributaria a trabajar.

¿Caben los compromisos de permanencia en los tratamientos de datos?

Cada vez es más evidente que el negocio está en los datos y que muchos negocios en internet, y no sólo en internet, se mantienen a costa de negociar con la información personal de los usuarios que muchas veces inconscientemente cedemos.

Para obtener los datos personales unas veces nos conformamos con que nos den un servicio, ya sea Google, Facebook o cualquier otra herramienta en la red. En estos casos el servicio está tan relacionado con la información que pretender cancelar los datos supone dejar de  usar el servicio.

Pero cada vez son más habituales las promociones de empresas que no prestan servicios directamente relacionados con el tratamiento de nuestra información pero que quieren acceder a ciertos datos para sus objetivos de marketing y promocionales. Para ello recurren, incluso, al pago directo por la información que les suministramos.

Y en estos casos es donde me planteo si cabría obligar al usuario, a cambio del dinero que recibe a que mantenga la autorización para el tratamiento de datos durante un tiempo determinado, como la permanencia en los contratos de móviles, por ejemplo.

Pensemos en un caso concreto que he conocido, la promoción que una marca de "impresoras de cafe" (cafeteras de cápsulas) ofrece de pagar hasta 40 euros por rellenar una ficha de datos y remitirlos con el consentimiento para usar los  mismos (pdf):

"[...] con fines de publicidad y prospección comercial, para hacerle llegar información y muestras gratuitas de nuestros productos y servicios en el ámbito de la alimentación, la salud, el bienestar, la nutrición, la cocina y la belleza, así como otra información relacionada con la alimentación animal y con los productos, servicios y actividades de las empresas del Grupo Nestlé que operen en tales sectores. Asimismo, dichos datos podrán ser cedidos a otras empresas cuyas actividades se relacionen con los sectores antes citados, a fin de que dichas compañías le puedan remitir directamente la información arriba mencionada. Tiene derecho a acceder y a rectificar, cancelar, oponerse al tratamiento de sus datos o revocar su consentimiento para la cesión en cualquier momento, dirigiéndose a Nestlé España, S.A, Apartado de correos 1404, 08080 Barcelona."

Evidentemente 40 euros por nuestra información personal es un precio muy interesante y que rebaja el precio final del producto en un porcentaje importante.

Pero nada impide que una vez que hayamos recibido los 40 euros por la autorización al tratamiento nos opongamos al mismo, solicitemos la cancelación de los datos y no recibamos publicidad o similar. De hecho se dice que la oposición puede hacerse "en cualquier momento", lo que incluso implicaría enviar en la misma carta la cancelación de datos, para así cumplir con las normas de la promoción (enviar los papeles como piden) y al mismo tiempo no "sufrir" las consecuencias del tratamiento de los datos.

Es obvio que esto no interesa a la empresa que ha pagado por los datos así que podría ser razonable obligar a que el tratamiento se mantenga durante un plazo determinado de tiempo (lo calculado para "amortizar" la inversión o en cambio que se devuelva el dinero (todo o en proporción).

La LOPD, a propósito del consentimiento, art. 6, establece que:

"1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa."

Y es evidente que hay un consentimiento del afectado que cumplimenta el formulario y lo remite. Y también que el consentimiento puede ser revocado, en eso no hay problema.

Respecto de la cancelación lo único que se recoge, en lo que aquí interesa, es que el responsable deberá hacer efectiva la cancelación en díez días, pero nada de que tal cancelación no implique algún tipo de penalización.

El Reglamento de desarrollo de la LOPD, el RD 1720/2007, en el apartado dedicado a la cancelación lo único que detalla es los supuestos en los que no procede la cancelación y entre ellos no estaría el consentimeinto previo al tratamiento, pero nada se dice tampoco de que ello no suponga dejar de obtener las ventajas obtenidas a cambio de los datos.

No he encontrado ninguna cláusula de protección de datos de promoción que contemple esto, pero creo que a medida que se popularicen este tipo de campañas para obtener los datos a cambio de dinero será más frecuente ver periodos de permanencia en la autorización al tratamiento o cesión de datos.

La retención de datos contraria al Convenio Europeo de Derechos Humanos

A finales del pasado mes de diciembre se hizo público el fallo del Tribunal Constitucional Austriaco (pdf en alemán) que establece una posible incompatibilidad entre la Directiva de Retención de Datos de Tráfico y el Convenio Europeo de los Derechos Humanos o Convenio de Roma y por ello eleva una consulta al Tribunal de Justicia de la UE sobre la compatibilidad de ambas regulaciones.

En concreto se plantea si la Directiva, tal y como está redactada, viola el artículo 8 de la convención.

Este artículo establece que:

Artículo 8. Derecho al respeto a la vida privada y familiar.

1 Toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de su correspondencia.

2. No podrá haber injerencia de la autoridad pública en el ejercicio de este derecho, sino en tanto en cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás.

La cuestión es si recopilar a priori toda la información de nuestras llamadas, conexiones a internet, mensajes de texto, etc. (no el contenido sino los datos propios de la comunicación como origen, destinatario, IP, etc.) de todos los ciudadanos, incluídos aquellos sobre los que exista alguna sospecha de cometer un delito pero también de todos los demás, es compatible con que esa medida sea necesaria en un sociedad democrática.

Esta cuestión planteada ahora por Austria se suma a las que han realizado Irlanda o los problemas de constitucionalidad en paises como Rumanía, Alemania, Malta y otros cuantos más.

Me llama la atención del caso Austria que tiene su origen en una queja de un gobierno local (Carinthia), de las compañías de telecomunicaciones (como en todas partes) y de, y esto es lo más importante, las quejas de más de 11.000 usuarios, lo que demuestra el nivel de compromiso con la intimidad y con los derechos de la persona de una sociedad madura.

En resumen, que tenemos a media Europa cuestionando ya sea la propia Directiva, ya sea las leyes de transposición a los ordenamientos de cada país.

¿Y en España? 

Aquí nadie se cuestiona, al menos desde instancias oficiales, si esta Directiva y la ley que la transpone a nuestro ordenamiento supone alguna intromisión en la intimidad de la persona.

Pero claro, quien va a preocuparse de esta cuestión si tenemos una Agencia de Protección de Datos que cada vez quiere abarcar más cuestiones en internet pero cuando necesita identificar la dirección IP que corresponde al remitente de un mail se salta la Ley de Conservación de Datos y pide esa información a las empresas de telecomunicaciones, aunque la ley diga que sólo se puede hacer en el caso de delitos graves.

Por supuesto no acudan al Tribunal Constitucional, no sólo por los años que puede llevar esto, sino porque si admite la revisión de un ordenador sin autorización judicial por aquello de que los datos pueden estar en una "nube" y ser borrados remotamente, no creo que las cuestiones de matiz en este asunto le inquieten.

Bastante esfuerzo está costando que los jueces empiecen a aplicar correctamente la ley (aquello de delitos graves definidos en el Código Penal o aquellos que parezcan graves a juicio del juzgador) y en particular las Audiencias Provinciales como para considerar que debemos ir más allá y plantearnos problemas de derechos a nivel europeo.

Y luego ya, pedir a más de 10.000 personas que presenten una reclamación o queja por un problema relacionado con la retención de todos sus datos de tráfico cuando están en internet, es directamente ciencia ficción.

Es cierto que nuestra Constitución establece en su artículo 18.4 que:

"La Ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos."

Pero excepto para justificar en algún momento la Ley de Protección de Datos, de esto de limitar el uso de la informática hemos visto poco, de hecho con la Conservación de Datos se usa todo, excepto por una limitación de tiempo y porque quienes tienen que retener pusieron el grito en el cielo por los costes.

Ahora imaginemos que luego va el TJUE y anula la Directiva por ser excesiva, ¿qué va a pasar con las condenas penales impuestas con la única prueba de la identificación de la compañía telefónica de la dirección IP?

Y luego dicen que estaríamos mejor fuera de Europa, al menos allí se preocupan de los derechos de los ciudadanos.