El wearable que delató al asesino

Es habitual ver cómo las autoridades recurren a datos como la localización de un teléfono móvil a una determinada hora para resolver un crimen (por ejemplo, en nuestro país fue una de las pruebas utilizadas para condenar a José Bretón). ¿Por qué? Sencillo: porque es algo que siempre solemos llevar con nosotros y, además, con la ayuda de los operadores es muy sencillo de localizar.

Además del teléfono, están surgiendo otros dispositivos que llevamos con nosotros todo el rato. Sí, estamos hablando de los wearables: pulseras, relojes y otros aparatos que monitorizan nuestra actividad en todo momento y, en ocasiones, también nuestra posición. Pero ¿pueden usarse esos datos para probar algo en un juicio? Desde Xataka hemos hablado con dos abogados especialistas en nuevas tecnologías, Sergio Carrasco (@sergiocm, cofundador de Derecho en Red) y José Leandro Núñez García (@leoplus, socio de Audens), que nos ayudan a saber en qué punto nos encontramos.

En Canadá, primer uso de un wearable en un juicio

Hace unos días conocíamos el caso de unos abogados de Canadá defendían a una mujer afectada por un accidente de tráfico. Hasta ahí todo normal, pero en este caso concreto la joven trabajaba como entrenadora personal y reclamaba que dicho accidente no sólo había afectado a su vida laboral sino también a su actividad en general, con unos niveles más bajos de movimiento de lo que es habitual para una persona de su edad.

¿Cómo demostrar esto? La vía tradicional habría sido consultar a un médico y que este valorase el estado de la paciente. En este caso concreto, los abogados de la chica canadiense han ido más allá: utilizarán como prueba los datos recogidos por una pulsera Fitbit y los compararán con los de Vivametrica, una consultora especializada que recopila información genérica y ofrece comparativas con la media de dichos datos obtenidos del resto de la población.

¿Podría utilizarse información de una pulsera cuantificadora en España en un juicio similar? Sí, aunque otra cosa es el valor que se le dé a ésta. Tanto Sergio Carrasco como José Leandro Núñez nos explican que un abogado puede presentar las pruebas que considere oportuno, pero es el juez el que decide su interpretación y la parte opuesta siempre puede discutir la validez. En palabras de Sergio Carrasco:

Los datos obtenidos por Fitbit son como cualquier otra prueba, y su interpretación y valor dependerá de cada caso. En España podrían utilizarse perfectamente los datos obtenidos como prueba, dado que la legislación permite multitud de mecanismos para ello. El problema surgirá si la otra parte impugna el valor de la misma, al igual que sucede p.ej. en el caso de correos electrónicos impresos. Mientras no se discuta su validez, no hay impedimento para su utilización.

En este caso merece la pena señalar también que en este caso es la propia afectada la que decide compartir esta información para demostrar lo que está afirmando (que tiene movilidad limitada por el accidente y por tanto le corresponde una indemnización mayor). En España, como José Leandro nos explica, tenemos la Ley de Protección de Datos que, esencialmente, dice que "cada persona tiene la posibilidad de controlar y decidir acerca de sus datos y, si tu tienes acceso a información tuya, por supuesto la puedes aportar a cualquier juicio, pero otra cuestión es si el juez le va a dar la validez plena".

Sergio Carrasco coincide en que depende del juez pero también cree que, si bien "cada caso es un mundo", sí que estos datos podrían ser útiles en un proceso legal: "cada caso es un mundo y si se admite un correo electrónico impreso que no se impugna (cuya modificación es más que sencilla y difícilmente detectable únicamente utilizando este soporte documental), nada impide la utilización de estos datos".

¿Qué "pegas" podrían tener los wearables como pruebas?

Como suele decirse: "hecha la ley, hecha la trampa". Seguro que se os están ocurriendo varias formas de poder "trucar" la información que nos ofrece un wearable y todas ellas pueden ser precisamente motivo para poner en duda la validez de las pruebas por parte de la oposición, como decíamos antes. Pongo un caso real: yo tengo una Fitbit pero muchos días se me olvida ponérmela. Podría ir a un juez y decir que un accidente hace que esté mucho menos activa, cuando en realidad no me he puesto la pulserita.

No es la única forma de manipulación posible: cualquiera, y mientras el wearable no tenga identificación biométrica, puede llevar mi pulsera... hasta mi gato si consigo ponérsela. Y si hablamos de wearables más avanzados, que miden otra información como las pulsaciones o la tensión arterial, siempre puedes trucarlo igualmente (haciendo ejercicio justo antes de las mediciones, tomando medicación que altere tus constantes, etc.), como nos dice José Leandro. Sergio va más allá y explica otra posibilidad: los datos están en nuestro poder y podemos modificarlos antes de que se suban al servidor.

Tal y como nos explicaba José Leandro, en España hay dos tipos de pruebas: las pruebas documentales (documentos emitidos por los órganos del Estado, escrituras emitidas por notarios u otros documentos firmados) y el resto de pruebas. Para este segundo grupo de pruebas, es el juez el que tiene que emitir su valoración en base a lo que pueda decir un perito experto y considerar si se deben tener en cuenta... o no. Aquí ya depende del juez: habrá los que acepten los datos del wearable y otros que pidan certificación de un médico, como se ha hecho siempre.

¿Nos acusará nuestro wearable de haber cometido un delito?

Si bien el caso del que partíamos era muy concreto y son los abogados del denunciante los que quieren recurrir voluntariamente al uso de los datos obtenidos por un wearable que utiliza su cliente, lo cierto es que podría abrir la puerta a la utilización de dicha información por parte de la acusación en un crimen más serio. ¿Y si no es el propio dueño de los datos el que los aporta como prueba a su favor sino son las autoridades las que los utilizaran para acusarle de un delito?

José Leandro nos distingue aquí dos tipos de casos: en un pleito civil, entre aseguradora y asegurado, es poco probable que la aseguradora pueda acceder a los datos del wearable del asegurado porque se trata de datos de salud, los más protegidos por la Ley de Protección de Datos. Sin embargo, en un asunto penal, sí que la Policía podría solicitar acceso a dicha información.

Otro aspecto a considerar es quién tiene los datos. La mayoría de información que recopilan los servicios orientados a la monitorización de la actividad de una persona están en servidores de compañías extranjeras alojados fuera de España, lo que podría complicar a las autoridades el poder acceder a ellos. "Cada empresa es un mundo", nos recuerda Sergio, que además señala que si se consideran datos respectivos a la salud es necesario una orden judicial para poder acceder a ellos.

En el caso de que no fueran datos relacionados directamente con la salud, ocurre algo similar a lo que pasa en la actualidad cada vez que la Policía quiere datos de cualquier otro servicio con sede fuera de España. Según nos explica José Leandro, se formaría una Comisión Rogatoria que básicamente lo que hace es poner en contacto a las autoridades de ambos países "para discutir el caso y convencer a las autoridades del otro país para que le pidan la información a la otra compañía". Además, nos explica que en Europa y Estados Unidos es un proceso bastante viable, pero se complica si hablamos de otros países (Rusia, China, India, etc.).

¿Y si los datos estuvieran en España? La Policía, según la Ley de Protección de Datos, podría tener acceso directo a la información si lo solicita vía escrito siempre que hablemos de un delito o prevención de otro, añade José Leandro, aunque en algunos casos sí se ha requerido una orden judicial (nos pone el ejemplo de la identificación de una IP). Una de las claves es qué tipo de dato estamos hablando: si un wearable cuenta pasos o distancia recorrida, es un dato personal normal. En cambio, si hablamos de pulsaciones u otros datos más específicos, podrían considerarse datos médicos, que "están sometidos al máximo nivel de protección". Sin embargo, esto no significa que no puedan acceder a ellos:

"Realmente, la policía podría tener acceso tanto a datos sensibles como a datos “normales”, el criterio no es tanto la sensibilidad del dato como que se vean afectados otros derechos: por ejemplo, en el caso de las direcciones IP se ve afectado también el secreto de las comunicaciones, que es otro derecho fundamental, y por eso es precisa la orden judicial. Lo mismo ocurre, por ejemplo, si quieren acceder a nuestro listado de llamadas telefónicas. Pero, como regla general, la policía puede acceder prácticamente a todo, siempre que justifiquen adecuadamente que "resulta necesario para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales”."

Y una vez el juez tiene la información, ¿qué? Sergio nos explica que "una cosa es admitirlo como prueba (en sentido amplio, quiero decir) y otra es el valor que se le de. Si se impugna, si se discute su validez, es más que probable que las autoridades judiciales acaben por no tenerla en cuenta". Además, señala que, si bien en el futuro esto puede cambiar, en la actualidad según sus apreciaciones "existe un margen muy amplio para su impugnación y posible anulación, con lo cual habrá que estar a los avances en la garantía de la integridad de la información".

Como decíamos al principio, en la actualidad las autoridades recurren en muchas ocasiones a la geoposición de un teléfono como prueba para demostrar que un sospechoso estaba cerca de un determinado lugar a la hora de cometer un crimen. Pero el teléfono no tiene que haber estado siempre en posesión del sospechoso y es algo igualmente manipulable con alguno de los sistemas que comentábamos antes (por ejemplo, puedes decir como coartada que estabas en tu casa a determinada hora porque allí estaba tu teléfono según el operador, pero en el fondo pudiste haber salido y dejarlo olvidado sobre la mesa). Por eso depende de cada caso y de cada situación si se considera una prueba relevante o no. Con los wearables podría pasar lo mismo pero todavía no hemos llegado a ese punto, quizás por lo novedosa que es su tecnología.

¿Y en el futuro?

Que en la actualidad los datos procedente de los wearables puedan manipularse en mayor o menor medida, no quiere decir que esto vaya a ser así en un futuro. Sergio Carrasco nos explica que si se demuestra que los datos provienen de una persona concreta ("por ejemplo firmándose digitalmente utilizando factores biométricos para generar la firma y así asegurar quién está utilizando la pulsera") y que no se altera la información antes de subirse al servidor, podrían certificarse los datos de forma que no se pudiera discutir su validez en un proceso legal.

José Leandro nos hablaba de otro ejemplo de "wearables" pero aplicado a coches: las cajas negras que algunas aseguradoras están instalando en vehículos para comprobar los parámetros de conducción o las entidades de financiación que desactivan los coches a distancia si alguien no paga. ¿Por qué no nos podrían "obligar" a llevar algo similar con el fin de demostrar algo ante una aseguradora?

En el artículo original de Forbes citaban al abogado de la chica canadiense, Simon Muller, asegurando que hace tiempo era impensable que un mensaje de Twitter o de Facebook fuera admisible por un juez. Hoy en día lo es, al igual que los mensajes de WhatsApp. ¿Quién nos dice que ese wearable que llevamos en la muñeca no nos vaya a salvar en un juicio o incluso a condenar si hacemos algo malo en el futuro?

Imágenes | Steven Adams