«¿Cómo ha podido saber la Policía que desde mi conexión se descargó un archivo?» Es la primera pregunta cuando llega una citación o se presenta una entrada y registro. Y la respuesta importa, porque el recorrido técnico que lleva desde un archivo hasta una persona tiene varios saltos, y cada salto hay que probarlo.
El punto clave está al final de ese recorrido, y es lo primero que reviso al asumir la defensa de una investigación por pornografía infantil: una dirección IP conduce a una conexión, no a una persona. Lo que hay entre una cosa y otra es exactamente el terreno de la defensa.
Qué vas a ver
No existe un único sistema para todas las investigaciones. El origen puede variar: una denuncia, datos obtenidos en otra causa, una comunicación de una plataforma, cooperación policial internacional o un hallazgo en otra actuación. En procedimientos relacionados con redes P2P, las resoluciones judiciales describen investigaciones en las que se detectó actividad asociada a archivos concretos y a determinadas direcciones IP.
El recorrido del rastreo, paso a paso
- Paso 1Se identifica un archivo o una actividad relevante en la red, normalmente por sus características técnicas.
- Paso 2Se asocia esa actividad a una dirección IP, con su fecha y su hora.
- Paso 3Se solicita al juez de instrucción que requiera los datos que permiten identificar y localizar el equipo o el dispositivo de conectividad.
- Paso 4Se llega al titular de la conexión. Ser titular del contrato no equivale a haber realizado la conducta.
- Paso 5Si hay indicios suficientes, pueden acordarse otras diligencias: entrada y registro, intervención de dispositivos.
- Paso 6Se analizan los dispositivos: si aparecen los archivos investigados y qué datos los relacionan con un usuario concreto.
- Paso 7Solo entonces se plantea la atribución personal de la conducta, que es lo que hay que probar.
Tres preguntas que no son la misma
¿Se ha identificado un archivo concreto? ¿Se ha relacionado con una determinada conexión? ¿Qué prueba demuestra quién realizó conscientemente la conducta? Una investigación puede responder brillantemente a las dos primeras y no haber empezado siquiera con la tercera. Y la tercera es la que decide una condena.
Cómo se identifica un archivo concreto
Antes de nada conviene saber qué imágenes entran realmente en la definición legal. Los archivos digitales pueden identificarse mediante datos técnicos que permiten reconocer un fichero determinado. Uno de ellos es su huella digital o hash: explicado de forma sencilla, funciona como una identificación técnica del contenido.
Por eso cambiar el nombre de un fichero no significa que su contenido haya cambiado, y un archivo previamente identificado puede reconocerse por sus características técnicas aunque se llame de otra manera. Ahora bien, ese dato tampoco se analiza aislado: lo relevante es cómo se obtuvo, a qué actividad se asocia y qué demuestra realmente dentro del procedimiento.
Una IP no es una persona
Esta es la distinción de fondo. Una dirección IP puede ser una pista que conduzca a una conexión a internet, pero no demuestra por sí sola qué persona concreta estaba usando un ordenador o un teléfono en ese momento.
| Lo que el rastreo puede acreditar | Lo que todavía hay que probar |
|---|---|
| Que existió un archivo con unas características técnicas concretas | Quién lo descargó materialmente |
| Que hubo actividad asociada a una dirección IP | Quién usaba el dispositivo en esa fecha y a esa hora |
| A qué conexión correspondía esa IP | Si esa persona conocía el contenido del archivo |
| Quién era el titular del contrato de la línea | Si hubo puesta a disposición consciente a terceros |
En una vivienda puede haber varias personas, varios dispositivos, redes compartidas, cuentas sincronizadas, accesos remotos o archivos generados de forma automática. Por eso, una vez identificada la conexión, sigue siendo necesario determinar quién utilizaba realmente el equipo y qué datos permiten atribuirle la actividad.
Resumen sin interactivo: la investigación tiene que responder tres preguntas encadenadas —qué archivo, qué conexión y qué persona— y con frecuencia solo ha respondido las dos primeras. Marca lo que en tu caso ya esté acreditado para ver dónde está el hueco.
Qué está acreditado en tu procedimiento
Qué dice la ley sobre la identificación por IP
La Ley de Enjuiciamiento Criminal regula expresamente esta situación en su artículo 588 ter k. Cuando los agentes de la Policía Judicial acceden a una dirección IP que está siendo utilizada para cometer un delito y no consta la identificación ni la localización del equipo o del dispositivo de conectividad, ni los datos personales del usuario, deben solicitar al juez de instrucción que requiera la cesión de los datos que permitan esa identificación.
El paso desde una IP hasta una identidad no es una conclusión automática: forma parte de diligencias reguladas legalmente y sujetas a autorización judicial.
Y como toda diligencia regulada, puede examinarse: cuándo se pidió, con qué motivación y con qué alcance se concedió.
Qué hacer desde el primer momento
La defensa de una investigación de este tipo empieza antes de declarar, no cuando llega el juicio. Las primeras decisiones condicionan toda la estrategia posterior.
Lo que hay que hacer
- Dejar los dispositivos exactamente como están.
- Anotar qué se llevaron y cuándo.
- Pedir asistencia letrada antes de declarar.
- Reunir quién más usaba los equipos y la red.
- Conservar contratos, facturas y datos de la conexión.
Lo que no se debe hacer
- Borrar archivos, aplicaciones, cuentas o historiales.
- Cambiar la configuración de equipos o teléfonos.
- Dar explicaciones improvisadas sobre los hechos.
- Facilitar claves sin asesoramiento.
- Comentar el asunto con terceros o en mensajería.
Sobre lo primero insisto siempre: no borres ni manipules nada. Estas investigaciones tienen un componente esencial de prueba digital, y alterar los dispositivos dificulta acreditar después qué existía realmente y cómo llegó allí. Que es, casi siempre, donde está tu defensa.
Los cinco puntos que reviso siempre
- La primera declaración. Conocer qué se atribuye exactamente y qué consta antes de decidir si se declara, se guarda silencio o se espera.
- La legalidad de las diligencias. La autorización judicial, su motivación, el objeto de la medida, sus límites y cómo se accedió a los datos.
- La cadena de custodia. Qué se incautó, cómo se conservó, quién tuvo acceso, qué copias se hicieron y cómo se llegó desde el dispositivo original hasta la prueba aportada.
- La pericial informática. Metadatos, usuarios, fechas, recuperación de datos y la diferencia entre archivos, miniaturas, caché o descargas incompletas.
- Qué conducta se atribuye realmente. No es lo mismo producción, difusión o facilitación que posesión para uso propio o acceso consciente. Y hay que separar periodos, dispositivos y usuarios.
Si te han citado o han intervenido tus dispositivos
Lo primero es leer el atestado y la autorización judicial, y ver hasta dónde llega de verdad lo acreditado. En estos procedimientos, la distancia entre una conexión y una persona es la defensa entera.
Cómo trabajo estos casosPreguntas frecuentes
Soy el titular de la línea. ¿Eso me convierte en investigado?
Ser titular del contrato es lo que permite llegar a un domicilio, no lo que acredita la autoría. Si en esa vivienda había varios usuarios o la red era accesible para más gente, esa es una cuestión central y hay que documentarla.
¿Pueden pedir mis datos al operador sin decírmelo?
La identificación a partir de una IP requiere autorización del juez de instrucción, y esas diligencias se practican durante la investigación sin conocimiento del afectado. Cuando la defensa accede a las actuaciones, puede examinar cómo se pidieron y qué alcance se autorizó.
¿Y si el archivo estaba en la caché o incompleto?
Es una distinción técnica muy relevante. Un archivo descargado por completo, abierto y organizado no es lo mismo que un fichero incompleto, una miniatura o un resto en caché. La pericial tiene que precisarlo, y con frecuencia no lo hace.
¿Debo declarar para explicarlo cuanto antes?
No antes de conocer con exactitud qué se te atribuye y qué consta en las actuaciones. Tienes derecho a guardar silencio y a no declarar contra ti mismo. Una explicación improvisada en las primeras horas condiciona el resto del procedimiento.
¿Cuánto puede durar una investigación así?
El análisis de dispositivos suele llevar meses. Ese tiempo, bien usado, es tiempo de defensa: sirve para reunir la documentación técnica, valorar una pericial de parte y preparar la estrategia con la prueba delante.
Una conexión no es una persona, y esa distancia se prueba
Llevo más de treinta años en defensa penal en Madrid, solo defensa. En procedimientos con prueba digital, el trabajo consiste en separar lo que la investigación acredita de lo que da por supuesto. Atiendo urgencias las 24 horas.
Hablemos de tu casoPara seguir leyendo: la diferencia entre poseer y distribuir en redes P2P, qué pueden hacer en una entrada y registro y qué imágenes entran realmente en el artículo 189.
Esta información es general y divulgativa. El valor de una investigación técnica depende de cómo se practicara y de lo que conste en las actuaciones.