Un equipo registra bastante más de lo que muestra: qué se conectó por USB, qué documentos se abrieron y cuándo, qué se copió en los días previos a una baja y qué se intentó borrar. El valor pericial de ese rastro depende por completo de cómo se obtenga: si el dispositivo se enciende y se explora sin precauciones, parte de la evidencia se destruye en el propio acto de mirarla.
Decirlo por adelantado evita expectativas equivocadas y es parte del deber de objetividad del perito (art. 335.2 LEC).
Puede, pero no en cualquier condición. El acceso a los dispositivos digitales facilitados al trabajador está regulado en el art. 87 LOPDGDD: la empresa debe haber establecido criterios de uso, haberlos comunicado y respetar estándares mínimos de protección de la intimidad, con participación de la representación de los trabajadores en su elaboración. Si se tolera el uso privado del equipo, la expectativa de privacidad es mayor y el acceso debe ser proporcionado y acotado a lo estrictamente necesario. En la práctica pericial esto se traduce en delimitar por escrito y por adelantado el objeto del análisis, y en dejar constancia de esa delimitación en el propio informe.
Depende del soporte y de lo que haya ocurrido después. En discos mecánicos, borrar suele limitarse a marcar el espacio como disponible sin sobrescribir el contenido, de modo que el dato puede recuperarse íntegro o parcialmente, y además quedan rastros del propio borrado en las estructuras del sistema de ficheros. En unidades SSD, el comando TRIM puede haber liberado físicamente las celdas y hacer desaparecer el contenido en muy poco tiempo. Si el disco estaba cifrado y no se dispone de la clave, no hay recuperación posible. Por eso el informe distingue siempre entre que un dato no exista y que no haya sido posible recuperarlo.
Porque una copia de ficheros traslada solo lo visible y destruye el resto. Se pierde el espacio no asignado, que es donde reside lo borrado; se pierden los metadatos del sistema de ficheros y los artefactos del sistema operativo; y con frecuencia se alteran las fechas de acceso del propio original, contaminando la evidencia. Tampoco queda constancia verificable de que lo copiado sea idéntico a lo que había. La imagen bit a bit obtenida con bloqueador de escritura y verificada por hash preserva el conjunto y permite que otro perito repita el análisis sobre el mismo material y alcance sus propias conclusiones.
Correlacionando varias fuentes en lugar de fiarlo a una sola. El sistema conserva qué dispositivos USB se conectaron y cuándo, qué ficheros se abrieron recientemente, qué compresiones masivas se hicieron, qué se sincronizó con almacenamiento en la nube personal, qué se envió a webmail y qué se imprimió. Un patrón concentrado en los días previos a la baja, sobre documentación ajena a las funciones habituales del puesto, constituye un indicio técnico sólido. Ahora bien, el informe acredita el movimiento de los datos: calificar esa conducta como competencia desleal o como vulneración de secreto empresarial corresponde al órgano judicial.
Consulta inicial confidencial y sin compromiso. Le diremos con franqueza si hay prueba que obtener y cómo.
contacto@peritiaforense.com