Cadena de Custodia
Protocolo legal y técnico que documenta y sostiene la integridad y la autenticidad de la evidencia digital desde su hallazgo hasta su presentación en juicio. Un defecto en ella debilita la fuerza probatoria y abre la puerta a la impugnación, pero no produce por sí solo la inadmisión de la prueba.
¿Qué es la Cadena de Custodia Digital?
La cadena de custodia es el procedimiento documentado que registra y sostiene la integridad, autenticidad y trazabilidad de la evidencia digital desde el momento de su identificación hasta su presentación ante un tribunal.
Importancia Legal
Sin una cadena de custodia sólida, cualquier prueba informática queda expuesta a que la contraparte la impugne y a que el tribunal le reste valor al apreciarla. No es que se inadmita de forma automática: es que se pierde la garantía que hacía innecesario discutirla.
¿Su evidencia está en riesgo?
Si ha recopilado pruebas por su cuenta o duda de la integridad de su cadena de custodia, es crítico realizar una auditoría técnica inmediata para evitar la impugnación.
Una cadena de custodia defectuosa puede costar la prueba, pero no de forma automática: lo que decide es si el defecto genera una duda razonable sobre que lo aportado al juicio sea lo mismo que se recogió. La STS 587/2014, de 18 de julio (Sala de lo Penal, ponente Marchena — ROJ STS 3086/2014 · ECLI:ES:TS:2014:3086) rechazó la lectura contraria —que cualquier omisión del protocolo conduzca irremediablemente a la nulidad— al declarar que la cadena de custodia «no tiene por objeto integrar el régimen de nulidades probatorias». Conviene saber que resolvió sobre restos óseos, no sobre evidencia digital: el traslado es analógico. Por eso la discusión práctica no es «si hubo un fallo» sino «qué duda concreta introduce ese fallo».
En términos prácticos, la cadena de custodia responde a estas preguntas fundamentales:
- ¿Quién ha tenido acceso a la evidencia?
- ¿Cuándo se ha accedido a ella?
- ¿Dónde ha estado almacenada?
- ¿Qué se ha hecho con ella en cada momento?
Elementos de una Cadena de Custodia Válida
Identificación: Documentación detallada del dispositivo o fuente de datos, incluyendo número de serie, modelo, estado físico y ubicación donde se encontró.
Recolección: Registro del proceso de adquisición, herramientas utilizadas, fecha, hora exacta y persona responsable.
Preservación: Almacenamiento seguro con controles de acceso, generación de hashes criptográficos (SHA-256) y copias de respaldo verificadas.
Transferencia: Documentación de cada cambio de custodia entre personas o instituciones, con firmas y fechas.
Análisis: las operaciones se realizan sobre copias forenses siempre que sea posible —SWGDE formula la regla como «should be avoided if possible», no como imposibilidad—. Si el examen directo del original es inevitable, se justifica, se documenta y se aplican controles que minimicen y registren cualquier modificación.
Presentación: Documentación final que demuestra la integridad desde la recolección hasta el juicio — habitualmente integrada en el informe pericial final.
Los cuatro primeros pasos se corresponden con lo que cubre la ISO/IEC 27037 —identificación, recolección, adquisición y preservación de evidencia digital, que son las cuatro actividades de su alcance—. La transferencia, el análisis y la presentación quedan fuera de esa norma y se rigen por la LECrim y por la práctica procesal. Para una guía práctica aplicada a casos reales, ver también la guía de cadena de custodia digital ISO 27037 2026.
Cuando la cadena de custodia requiere acreditación técnica en un procedimiento, es habitual recurrir al servicio de análisis forense digital para documentar formalmente cada paso con hashes SHA-256 y firma.
Requisitos Legales en España
La legislación española establece requisitos específicos para la validez de la evidencia digital:
Ley de Enjuiciamiento Criminal
La cadena de custodia no tiene un título propio en la LECrim: se construye sobre los preceptos que regulan la recogida y conservación de los efectos del delito.
- Art. 326: cuando el delito haya dejado vestigios o pruebas materiales, el juez ordenará «que se recojan y conserven para el juicio oral si fuere posible», procediendo a la inspección ocular. Su párrafo sobre huellas biológicas es el que introduce expresamente la custodia y la autenticidad de la muestra.
- Art. 334: recogida de los instrumentos y efectos relacionados con el delito, con extensión de la correspondiente diligencia.
- Art. 338: los efectos «se recogerán de tal forma que se garantice su integridad», y el juez acordará su retención, conservación o envío al organismo adecuado para su depósito — la tercera opción legal es ese envío, no un depósito genérico. Es el precepto que sostiene técnicamente la cadena de custodia.
Los artículos 588 bis y siguientes regulan además las diligencias de investigación tecnológica, y conviene no fundirlos en uno: el 588 bis a fija los principios rectores (especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad); el 588 bis c, el contenido del auto habilitante; y son preceptos concretos como el 588 ter f o el 588 sexies los que se ocupan del acceso y el tratamiento del material obtenido.
Jurisprudencia del Tribunal Supremo
STS 300/2015: qué dice y qué no
La STS 300/2015, de 19 de mayo (Sala de lo Penal, ponente Marchena — ROJ STS 2047/2015 · ECLI:ES:TS:2015:2047) es la resolución de referencia sobre prueba digital impugnada, y conviene citarla por lo que resuelve. No trata de cadena de custodia: el caso versa sobre pantallazos de una red social, no sobre un dispositivo incautado. Advierte de que esa prueba «debe ser abordada con todas las cautelas» porque es manipulable, y sitúa la consecuencia en la impugnación: cuando se impugna la autenticidad de unas conversaciones aportadas mediante archivos de impresión, la sentencia desplaza hacia quien pretende aprovecharlas la carga de acreditar su idoneidad, y considera necesaria la pericial para identificar origen e interlocutores. En ese asunto los pantallazos se admitieron sin pericial y la condena se mantuvo.
La tríada «autenticidad, integridad y licitud» que a veces se le atribuye no está en su texto: son tres exigencias reales de la prueba digital, pero vienen de sitios distintos —la licitud, del art. 11.1 LOPJ— y no de esta sentencia.
Documentación Requerida
Según el soporte, el origen y el procedimiento, un registro de cadena de custodia puede incluir estos elementos. Como mínimo debe permitir reconstruir quién tuvo la evidencia, cuándo se recogió o transfirió, con qué finalidad y qué se hizo con ella:
| Elemento | Descripción |
|---|---|
| Acta de incautación | Documento oficial de la recogida de evidencia |
| Fotografías | Estado del dispositivo antes de manipularlo |
| Hashes originales | Huella calculada en la adquisición, con el algoritmo y la herramienta que la produjo |
| Formularios de transferencia | Cada cambio de manos documentado |
| Registro de accesos | Quién, cuándo y para qué |
| Condiciones de almacenamiento | Medidas de conservación y controles físicos o lógicos adecuados al soporte concreto |
Errores que Debilitan la Cadena de Custodia
Errores Críticos
Estos defectos abren la impugnación y pueden llevar al tribunal a restar o negar fuerza probatoria, si generan una duda real sobre la identidad o la integridad de la evidencia:
- Falta de hashes iniciales: No calcular SHA-256 inmediatamente tras la adquisición
- Gaps temporales: Períodos sin documentar dónde estuvo la evidencia
- Acceso no autorizado: Personas sin legitimación manipulando la evidencia
- Análisis sobre originales sin justificar: trabajar directamente sobre la evidencia pudiendo hacerlo sobre una copia forense, o hacerlo sin documentar por qué fue inevitable
- Almacenamiento inadecuado: Condiciones que podrían degradar los datos
Ejemplo Práctico
Ejemplo hipotético: investigación de fraude corporativo
Escenario ilustrativo
Los tiempos, identificadores, personas y valores de hash de este ejemplo son ficticios. Ilustran cómo se documenta el proceso; no relatan un expediente concreto.
Situación: Una empresa sospecha que un empleado ha filtrado información confidencial a la competencia.
Proceso correcto de cadena de custodia:
Día 1, 09:00: el departamento de IT identifica el ordenador sospechoso y anota marca, modelo y número de serie. Se fotografía en su ubicación original.
Día 1, 09:30: Se desconecta de la red y se precinta con etiquetas de seguridad numeradas. Se documenta en acta firmada por IT y RRHH.
Día 1, 10:00: Se entrega al perito forense. Firma de transferencia con fecha, hora y estado del precinto.
Día 1, 14:00: el perito crea una imagen forense bit a bit y registra la herramienta, su versión, la configuración y los valores hash que esa herramienta produce realmente —los algoritmos disponibles varían entre versiones—. Los valores se copian íntegros del log de adquisición y se verifican al crear la copia de trabajo.
Día 1, 14:30: Disco original se almacena en caja fuerte con control de acceso. La imagen forense se utiliza para el análisis.
Día 5: Se genera informe pericial con todos los hashes verificados y coincidentes con los originales.
Herramientas para Gestionar la Cadena de Custodia
- FTK Imager: crea imágenes forenses y calcula valores hash durante la adquisición; se documentan los algoritmos que soporte la versión instalada, que no son los mismos en todas
- Autopsy: conserva los logs del caso y un registro de acciones de usuario; el log detallado del backend viene desactivado por defecto, así que conviene declarar qué fuentes estaban activas
- OpenText Forensic (antes EnCase Forensic, renombrado por el fabricante): registra las acciones realizadas para mantener la cadena de custodia
- Formulario de custodia: un formulario controlado que identifique la evidencia, los custodios, fechas, horas, transferencias, finalidad, actuaciones y medidas de conservación. El art. 338 LECrim obliga a preservar la integridad y regula el destino de los efectos, pero no prescribe campos de formulario; y la página oficial de ISO/IEC 27037 confirma su alcance como guía, sin que pueda afirmarse desde ahí que el texto completo carezca de modelos
Relación con Otros Conceptos
La cadena de custodia está íntimamente relacionada con:
- Hash criptográfico: el mecanismo técnico que permite comparar valores y detectar si los datos han cambiado desde que se calculó el hash de referencia
- Imagen Forense: La copia exacta sobre la que se trabaja
- Informe Pericial: El documento que presenta la evidencia y su cadena de custodia
Conclusión
La cadena de custodia no es un mero formalismo burocrático, sino la documentación que contribuye a sostener la autenticidad y la integridad de la evidencia digital, y que facilita su valoración judicial. Un perito informático competente dedica tanto esfuerzo a documentar la cadena de custodia como al análisis técnico en sí.
Última actualización: 20 de agosto de 2026
Categoría: Legal
Código: CDC-001
Preguntas Frecuentes
¿Qué es la cadena de custodia en informática forense?
Es el procedimiento documentado que registra quién ha tenido acceso a la evidencia digital, cuándo, dónde y qué acciones se han realizado sobre ella, y que permite sostener y comprobar su integridad desde la recolección.
¿Qué pasa si se rompe la cadena de custodia?
Si se rompe la cadena de custodia, la evidencia queda expuesta a impugnación y el tribunal puede restarle o negarle fuerza probatoria al valorarla. Lo que no ocurre es la inadmisión automática: la STS 587/2014, de 18 de julio (Sala de lo Penal, ponente Marchena; ROJ STS 3086/2014, ECLI:ES:TS:2014:3086) rechazó que cualquier omisión conduzca de forma irremediable a la nulidad, al declarar que la cadena de custodia «no tiene por objeto integrar el régimen de nulidades probatorias». Aquella sentencia examinó restos óseos, así que su traslado a la evidencia digital es analógico. La consecuencia depende de si el defecto siembra una duda real sobre la identidad e integridad de lo aportado.
¿Quién es responsable de mantener la cadena de custodia?
Toda persona que reciba, custodie, transfiera o analice la evidencia debe documentar su intervención. En una investigación penal, el juez instructor y los agentes que actúan por su orden deben adoptar las prevenciones necesarias; el perito responde por la recepción, conservación y análisis del tramo que queda bajo su control.
Términos Relacionados
Evidencia Digital
Información digital (archivos, logs, mensajes) con valor probatorio en juicio. Su peso depende de que se pueda sostener su autenticidad e integridad, y la licitud de la obtención se juzga aparte, por el art. 11.1 LOPJ.
Integridad de la Evidencia
Garantía de que una evidencia digital no ha sido alterada, modificada o corrompida desde su recolección hasta su presentación en juicio.
Imagen Forense
Copia exacta bit a bit de un dispositivo de almacenamiento que preserva el contenido del área direccionable, incluidos restos de archivos borrados y espacio no asignado —no necesariamente áreas reservadas como HPA/DCO o el sobreaprovisionamiento de un SSD, que dependen de la interfaz y del método—, para su análisis forense.
Hash Criptográfico
Algoritmo matemático que genera una huella digital única para cualquier archivo, garantizando ante un tribunal que la evidencia no ha sido alterada o manipulada.
Informe Pericial
Documento técnico-legal elaborado por un perito informático que presenta los resultados de un análisis forense digital con validez probatoria en procedimientos judiciales.
¿Necesitas un peritaje forense?
Si necesitas ayuda profesional con análisis forense digital, estoy aquí para ayudarte.
Solicitar Consulta Gratuita