Evidencia digital en procesos penales corporativos: lo que las juntas deben entender

La prueba que hoy decide un proceso penal contra una empresa o un directivo casi nunca cabe en una carpeta de papel. Está en un teléfono, en un tenant de Microsoft 365, en un repositorio de logs, en un chat de WhatsApp que alguien pasó a PDF a las tres de la mañana. Cómo se recolectó, quién lo tocó y con qué herramienta pesa tanto como el contenido.

Este texto no es un manual de informática forense. Es una guía de gobierno para juntas, comités de crisis y asesores generales: qué pedir, qué no improvisar y dónde se rompe una defensa que era jurídicamente viable.

El malentendido más caro

En Colombia, el mensaje de datos tiene reconocimiento legal desde la Ley 527 de 1999. El Código de Procedimiento Penal (Ley 906 de 2004) admite la prueba electrónica. El Código Penal, con las reformas de la Ley 1273 de 2009, tipifica conductas informáticas. Nada de eso convierte un export de Outlook en prueba útil.

Lo que el juez o el fiscal necesita no es «el correo». Necesita poder responder, con método, a cuatro preguntas: qué se recolectó y de qué fuente; cuándo y bajo qué autoridad o consentimiento; quién tuvo acceso desde la recolección hasta la audiencia; y si el contenido que se exhibe es el mismo que estaba en el origen.

Si esa cadena no existe, la contraparte no discute el fondo. Discute la prueba. Y muchas veces le basta.

Cadena de custodia no es un sello en una bolsa

Un computador o un teléfono siguen vivos: se encienden, se sincronizan, reciben mensajes, actualizan el sistema. Un investigador corporativo que «hace una copia» con el explorador de archivos ya alteró metadatos. Un área de TI que clona un disco con una herramienta de backup no está haciendo peritaje: está copiando un sistema en funcionamiento.

Lo mínimo que una junta debería exigir, por escrito: identificación del dispositivo o del repositorio; hash criptográfico de la imagen forense (SHA-256 de preferencia; MD5 y SHA-1 siguen apareciendo en laboratorios y en piezas antiguas), calculado sobre la imagen, no sobre el archivo suelto que alguien reenvió; registro de quién accedió, con fecha, hora y propósito; separación entre el original inmutable y el working copy del perito; e informe que distinga hecho técnico de opinión.

Eso no lo hace un backup de TI ni un export de Outlook. Lo hace un peritaje: imagen bit a bit, bloqueo de escritura, bitácora. Herramientas como Magnet AXIOM o FTK (AccessData) y un marco de trabajo de evidencia electrónica (el de CYBEX, por ejemplo) sirven para sostener metodología en audiencia. El nombre del software no impresiona al juez si no hay cadena. La cadena sin método tampoco.

Sin eso, el privilegio de defensa empieza en desventaja.

Orden de autoridad versus recolección interna

Hay tres escenarios que las juntas suelen mezclar.

Recolección interna voluntaria. La compañía revisa sus propios sistemas en una investigación interna o de compliance. El problema no es solo penal: es laboral, de datos personales (Ley 1581 de 2012) y de privilegio. Si el abogado externo no dirige la recolección, el producto puede no estar cubierto por secreto profesional y sí puede ser requerido después.

Entrega a autoridad. Un requerimiento de Fiscalía, Superintendencia u otra autoridad. Cumplir mal (entregar de más, de menos, o sin inventario) crea un segundo expediente. Cumplir «todo el tenant» sin filtro de privilegio es un error clásico.

Incautación o BYOD. El teléfono del gerente con WhatsApp de la compañía y chats familiares. Sin política previa y sin recolección quirúrgica, la empresa o la autoridad cruzan una línea que después se litiga durante años. BYOD no se resuelve el día del allanamiento. Se resuelve el día en que se diseña el gobierno de dispositivos.

WhatsApp, Teams y la ilusión del PDF

Un PDF de WhatsApp no es la conversación: es una representación, a menudo incompleta, sin metadatos de entrega, sin participantes que salieron del grupo, sin mensajes eliminados. Teams, Slack y el correo tienen el mismo problema en otra escala: retenciones, litigation hold, eDiscovery nativo versus imagen forense.

El eDiscovery corporativo sirve para revisar millones de documentos. El peritaje forense sirve para sostener que un archivo existió, se creó en tal fecha y no fue alterado. Usar uno para el trabajo del otro es la receta del peritaje que se cae en audiencia.

Privilegio: se pierde más fácil de lo que se cree

Si el gerente de TI le pasa todo al abogado después de tres días de revisión interna, el privilegio no cubre esos tres días. Si el comité de crisis incluye comunicaciones y se reenvían hipótesis de defensa a un grupo de WhatsApp de diez personas, el círculo se rompió.

La regla práctica: el abogado que va a litigar diseña el protocolo antes de que TI toque el sistema. El canal de crisis es cerrado. Las hipótesis de defensa no viajan por el mismo chat de los comunicados de prensa.

Las primeras 48 horas

1. Congelar, no explorar. Litigation hold. Nada de «revisemos un momento el correo de Juan». Nada de borrar el chat para que no se malinterprete.
2. Mapear fuentes: dispositivos, cuentas, nubes, CCTV, logs, WhatsApp Business, celulares BYOD.
3. Nombrar quién manda la prueba. Un responsable legal y un responsable técnico.
4. Privilegio primero. Encargar al abogado que va a litigar.
5. Inventario antes de entrega. No se entrega «el disco». Se entrega un inventario, con reserva de privilegio y de datos de terceros.
6. Reputación en paralelo, no por encima. El comunicado que afirma hechos técnicos que el peritaje aún no sostiene se convierte en prueba de cargo.
7. Datos personales. Empleados, clientes y terceros están en esos buzones. La Ley 1581 no se suspende porque hay un penal en curso.

Errores que hunden defensas salvables

El informático de confianza que extrae archivos el domingo y los nombra final_v3_definitivo.xlsx. Restaurar un backup encima del equipo original. Entregar el teléfono desbloqueado «para colaborar» sin acta, sin hash, sin abogado. Usar al mismo proveedor de ciberseguridad del incidente como perito de la defensa. Confundir un informe de compliance (para la junta) con un dictamen pericial (para el proceso). Dejar que comunicaciones lidere la narrativa fáctica antes de que exista una cronología probatoria.

Ninguno de esos errores se arregla con un poder más elocuente en la audiencia de formulación de imputación.

Qué debe preguntar un directorio

Quién tiene hoy la imagen original y cuál es su hash. Qué se tocó antes de que llegara el abogado. Hay BYOD o cuentas personales mezcladas. Qué se le va a decir a la autoridad esta semana, y con qué inventario. El privilegio cubre lo ya recolectado. Hay un plan de 14 días, no un plan de «vamos viendo».

Si esas respuestas no caben en una página, la empresa no tiene estrategia probatoria. Tiene ansiedad organizada.

El proceso penal corporativo contemporáneo se gana o se pierde, en una proporción incómoda, antes de la primera audiencia: en la forma en que se preserva, se documenta y se entrega la evidencia digital. La junta que trata ese tramo como un asunto de sistemas está delegando la defensa.

Si enfrenta una investigación, un requerimiento o un hallazgo interno con componente digital, el primer movimiento no es explicar el caso. Es controlar la prueba.

Para una revisión reservada del estado de la evidencia, del privilegio y de la exposición de directivos, puede solicitarse un diagnóstico confidencial.