Existe un patrón en los casos en que la prueba digital cae: casi nunca cae por el contenido. Cae por el camino que recorrió. El mensaje podía ser verdadero, el archivo podía ser auténtico, el registro podía demostrar exactamente lo que la parte alegaba. Pero nadie logra decir quién tocó ese material, cuándo, con qué herramienta y con qué garantía de que nada fue alterado. Sin esa historia documentada, lo que era prueba se convierte en objeto de duda razonable. El nombre de esa historia es cadena de custodia.
El concepto entró en el Código Procesal Penal brasileño por la Ley 13.964/2019, en los artículos 158-A a 158-F del CPP (Código Procesal Penal brasileño): el registro rastreable de todo vestigio, desde el reconocimiento en la escena hasta el descarte, pasando por recolección, acondicionamiento, transporte, procesamiento y almacenamiento. La letra de la ley habla del proceso penal, pero la lógica migró a todas las arenas. Jueces civiles y laborales, árbitros y autoridades regulatorias hacen hoy la misma pregunta: ¿cómo llegó este material hasta aquí?
La regla técnica: ISO/IEC 27037
Antes de que la ley brasileña nombrara el instituto, la técnica ya lo disciplinaba. La norma ISO/IEC 27037 orienta las cuatro operaciones que deciden el destino de una evidencia digital: identificación, recolección, adquisición y preservación. De ella derivan los procedimientos que cualquier dictamen serio documenta: la imagen forense, copia integral bit a bit del medio original; el bloqueador de escritura, que impide cualquier alteración durante la adquisición; y el código hash, la huella digital matemática que permite a cualquiera de las partes verificar, en cualquier momento, que la copia examinada es idéntica al material original.
Las normas hermanas completan el ciclo: la ISO/IEC 27041 trata de la garantía de idoneidad de los métodos, la 27042 del análisis e interpretación, la 27043 de los principios de la investigación. Juntas, forman la metodología que el sitio del laboratorio declara en cada núcleo pericial, y que el dictamen debe demostrar caso por caso.
Lo que los tribunales vienen decidiendo
El STJ (Tribunal Superior de Justicia de Brasil) aplicó la regla con rigor creciente a la prueba digital. Capturas extraídas directamente de un aparato incautado, sin herramienta forense, sin hash y sin documentación de la extracción, fueron consideradas prueba inadmisible. Un aparato que circuló sin sello y sin registro de identificador llevó a la nulidad. El acceso al dispositivo antes del examen pericial volvió las pruebas inservibles. El mensaje de las decisiones es uno solo: el contenido no salva la prueba cuyo recorrido nadie logra reconstruir.
"La cadena de custodia no es una formalidad notarial. Es la diferencia entre la evidencia que decide el caso y la evidencia que la parte contraria descarta en un escrito."
Cómo el laboratorio materializa la cadena
En la práctica pericial, la cadena de custodia es una secuencia de gestos documentados. La recepción del material se fotografía y se describe, con sello numerado. La adquisición ocurre con bloqueador de escritura y genera la imagen forense, autenticada por un hash calculado en el momento y registrado en el dictamen. Todo examen corre sobre la copia; el original permanece intocado, guardado en una sala de seguridad con acceso controlado hasta el desenlace del caso. Cada interacción con el material tiene autor, fecha, hora y finalidad anotados. El medio de entrega se finaliza como solo lectura. Cualquier perito, incluso el de la parte contraria, logra rehacer el camino y llegar a la misma verificación.
Ese diseño vale para el celular incautado en una investigación, para el servidor en disputa societaria, para la base de datos en competencia desleal. La arena cambia; el método, no.
Un escenario que se repite
Dos partes discuten un contrato. La primera incorpora al expediente la captura de una conversación de una aplicación, fotografiada desde la pantalla de su propio celular. La segunda contrata la extracción forense del aparato, con herramienta reconocida, hash calculado y reporte de adquisición. En el cotejo, la extracción demuestra que la conversación de la captura tuvo mensajes suprimidos y el orden alterado. La captura no era falsa en el sentido vulgar: los mensajes existieron. Pero la edición de la secuencia cambiaba el sentido del acuerdo, y solo la evidencia con custodia documentada tenía autoridad para demostrarlo. El caso, común en la rutina del laboratorio, resume la jerarquía: entre dos versiones del mismo hecho, prevalece la que puede probar su propio recorrido.
Custodia más allá del proceso judicial
La disciplina nació en el proceso penal, pero las arenas que más crecen están fuera de él. En el arbitraje, el tribunal arbitral evalúa la prueba técnica con la misma regla, y la parte que presenta evidencia sin respaldo pierde credibilidad ante árbitros habituados a disputas sofisticadas. En las investigaciones internas de compliance, la investigación que pretende sustentar un despido por justa causa o una comunicación a las autoridades debe nacer con custodia, porque será desafiada después. En los siniestros de seguro cibernético, la auditoría de la aseguradora examina cómo fue preservada la evidencia del incidente antes de autorizar la indemnización. Y en la fiscalización de la ANPD (la autoridad brasileña de protección de datos), la empresa que demuestra haber preservado y examinado el incidente con método negocia en otra posición. La inversión es la misma; el retorno aparece en cuatro mesas diferentes.
Qué verificar en un dictamen (el suyo o el adverso)
Para el abogado, la cadena de custodia es un instrumento de doble cara. En la construcción del propio caso, es requisito: el material recolectado sin método en las primeras horas difícilmente se recupera después. En el examen del dictamen adverso, es la primera línea de ataque. Preguntas que exponen la fragilidad:
- ¿Qué herramienta realizó la adquisición, en qué versión, y dónde está declarado?
- ¿Cuál es el valor de hash calculado en el origen y cómo fue verificado en el examen?
- ¿Quién manipuló el material, cuándo, y dónde está el registro de esas interacciones?
- ¿El examen corrió sobre una copia forense o sobre el propio original?
- ¿Hubo sellado, registro de identificadores y guarda documentada entre la recolección y el examen?
Un dictamen que no responde a esas preguntas con documentos suele ser un dictamen que no tiene las respuestas. Y el artículo 479 del CPC (Código Procesal Civil brasileño) recuerda que el juez no está atado al dictamen pericial: necesita apenas fundamento técnico para no seguirlo. El dictamen de parte que demuestra la ruptura de la cadena de custodia es, muchas veces, exactamente ese fundamento.
La conclusión es menos jurídica de lo que parece: la cadena de custodia es una disciplina de primeras horas. Cuando surge la sospecha, lo que se hace antes de llamar al perito define lo que quedará para probar después. Preservar primero, examinar después, documentar siempre.
