Troyano policial
Pablo Fernández Burgueño
Investigador jurídico en Abanlex
#LegalHack

Pablo Fernández Burgueño - Abanlex
• Investigador Jurídico
• Socio en Abanlex
• Especializado en:
• Innovación y desarrollo jurídico
• Seguridad informática
• Privacidad
• Delitos informáticos
25/11/2016 @pablofb
#LegalHack

Índice de la exposición
1. El Troyano policial. Casos de uso. Art. 588 LECrim
2. La autorización judicial para el registro remoto
3. Cómo es la autorización judicial que autoriza el registro remoto
4. Quién debe colaborar para que se cumpla el fin del registro remoto
5. Datos para reflexionar
25/11/2016 @pablofb
#LegalHack

El Troyano policial. Casos de uso
Art. 588 LECrim
Bloque 1
25/11/2016 @pablofb
#LegalHack

Persecución de un ¿delito?
• ¿Existe el delito?
• Aún no se sabe si existe
• Es posible que sí.
• Se está investigando.
• ¿Es necesario registrar
remotamente un dispositivo?
• Se considera que sí.
25/11/2016 @pablofb
#LegalHack

Tipos de delitos que permitirían el uso del
troyano policial (1/2)
1. Organizaciones criminales
2. Terrorismo
3. Contra menores
4. Contra incapacitados
judicialmente
25/11/2016 @pablofb
#LegalHack

Tipos de delitos que permitirían el uso del
troyano policial (2/2)
5. Contra la Constitución
6. Traición
7. Defensa nacional
8. Delitos cometidos a través de
instrumentos informáticos o de
cualquier otra tecnología de la
información o la
telecomunicación o servicio de
comunicación
25/11/2016 @pablofb
#LegalHack

Caso de uso: Propiedad intelectual (270 CP)
Será castigado con la pena de
prisión de 6 meses a 4 años […] el
que […] en perjuicio de tercero […]
explote económicamente […] una
obra […] sin la autorización de los
titulares de los correspondientes
derechos […].
25/11/2016 @pablofb
#LegalHack

Caso de uso: Propiedad intelectual (270 CP)
Detectamos a un potencial
delincuente y, para obtener pruebas,
instalamos un “troyano policial”.
¿Qué es un troyano policial?
No es un troyano. Es software para
analizar el dispositivo del delincuente
de forma remota y sin que se entere.
25/11/2016 @pablofb
#LegalHack

La autorización judicial para el
registro remoto
Bloque 2
25/11/2016 @pablofb
#LegalHack

Autorización Judicial para el registro remoto
• Quién autoriza:
• El juez competente
• Qué autoriza:
• La utilización de datos de
identificación y códigos
• la instalación de un software
• Finalidad:
• Examinar el contenido de un
dispositivo
25/11/2016 @pablofb
#LegalHack

Autorización Judicial para el registro remoto
• Qué tipo de dispositivo puede
sufrir este examen:
• Ordenador
• Dispositivo electrónico
• Sistema informático
• Instrumento de almacenamiento
masivo de datos informáticos
• Base de datos
25/11/2016 @pablofb
#LegalHack

Autorización Judicial para el registro remoto
• Qué dos requisitos deben
cumplirse simultáneamente en
este examen:
• El examen debe realizarse a
distancia
• Sin conocimiento de su titular o
usuario.
25/11/2016 @pablofb
#LegalHack

Cómo es la autorización judicial
que autoriza el registro remoto
Bloque 3
25/11/2016 @pablofb
#LegalHack

Qué debe especificar la Resolución Judicial
que autoriza el registro (1/4)
1. Deberá especificar qué será
objeto de la medida:
• ordenadores
• dispositivos electrónicos
• sistemas informáticos o parte de los
mismos
• medios informáticos de
almacenamiento de datos o bases de
datos
• datos u otros contenidos digitales
25/11/2016 @pablofb
#LegalHack

Qué debe especificar la Resolución Judicial
que autoriza el registro (2/4)
2. El alcance de la medida
3. La forma en la que se
procederá al acceso y
aprehensión de los datos o
archivos informáticos
relevantes para la causa
4. El software mediante el que se
ejecutará el control de la
información
25/11/2016 @pablofb
#LegalHack

Qué debe especificar la Resolución Judicial
que autoriza el registro (3/4)
5. Las medidas precisas para la
preservación de la integridad
de los datos almacenados
6. Las medidas para la
inaccesibilidad o supresión de
dichos datos del sistema
informático al que se ha tenido
acceso
25/11/2016 @pablofb
#LegalHack

Qué debe especificar la Resolución Judicial
que autoriza el registro (4/4)
7. Los agentes autorizados para la
ejecución de la medida.
8. ¿Los agentes autorizados pueden
realizar copias de los datos
informáticos?
• No, como regla general.
• Sí, si existe autorización judicial (que
debe ser incluida en la resolución que
autorice el registro)
25/11/2016 @pablofb
#LegalHack

¿Y si se cree que se necesitan más datos?
• ¿Cómo de seguro hay que estar?
• Basta con creerlo (fuertemente).
• ¿Pueden en otros equipos?
• Sí.
• ¿Cómo se dan cuenta los agentes?
• Misterio o Intuición policial
• ¿Pueden analizarlo directamente?
• No. El juez podrá autorizar una
ampliación del registro.
25/11/2016 @pablofb
#LegalHack

Quién debe colaborar para que se
cumpla el fin del registro remoto
Bloque 4
25/11/2016 @pablofb
#LegalHack

Deber de colaboración
Quién debe colaborar:
• Prestadores de servicios
• Cualquier intermediario teleco
• Usuarios y titulares de
dispositivos, IP, etc.
• Titulares o responsables del
sistema informático o base de
datos objeto del registro
25/11/2016 @pablofb
#LegalHack

Deber de colaboración
Qué deben facilitar:
• La práctica de la medida
• El acceso al sistema
• La asistencia necesaria para que
los datos e información
recogidos puedan ser objeto de
examen y visualización
25/11/2016 @pablofb
#LegalHack

¿Y si se necesita más ayuda?
Otros obligados a colaborar:
cualquier persona que conozca
• el funcionamiento del sistema
informático
• El funcionamiento de las
medidas aplicadas para proteger
los datos
(Salvo parientes y abogados)
25/11/2016 @pablofb
#LegalHack

Duración de la medida. Secreto
Máximo: un mes
Prorrogable por: un mes
Prorrogable por: otro mes más
---------
Los colaboradores están obligados
a guardar secreto
25/11/2016 @pablofb
#LegalHack

Datos para reflexionar.
Bloque 5
25/11/2016 @pablofb
#LegalHack

Datos para reflexionar
• (Casi) todos los delitos
• Hasta la cocina
• Cocina propia y de los demás
• Duración máxima de 3 meses
• Especificación de dispositivos
• Entrega del código fuente
25/11/2016 @pablofb
#LegalHack

Gracias por la atención
Pablo Fernández Burgueño – @pablofb
pablo@abanlex.com www.abanlex.com
#LegalHack