El informe D-23 analiza las condiciones bajo las cuales el acceso de las autoridades policiales y de investigación a datos personales puede considerarse legal, necesario y susceptible de un recurso efectivo. El estudio compara la Unión Europea y el Reino Unido e incorpora los cambios legislativos y jurisprudenciales vigentes hasta el 24 de septiembre de 2026. ARGA_D-23_Law_Enforcement_Data_…

La conclusión principal es que el acceso a los datos no constituye una única operación jurídica. Obtener información de un proveedor, extraer datos de un teléfono, consultar una base policial, cruzar diferentes conjuntos de información, conservarlos o transferirlos a una autoridad extranjera son actos jurídicamente distintos. Por ello, la legalidad de la obtención inicial no convierte automáticamente en lícitos todos los usos posteriores. ARGA_D-23_Law_Enforcement_Data_…

El informe presta especial atención a los datos digitales y biométricos. La jurisprudencia de la Unión Europea demuestra que las garantías necesarias dependen de la naturaleza de la información y de la intensidad de la interferencia con la vida privada. El contenido de un teléfono, los datos de localización, la información asociada a una dirección IP, las huellas dactilares y los datos genéticos no pueden someterse automáticamente al mismo criterio. En el caso de los datos biométricos sensibles, se requiere una evaluación individual de estricta necesidad.

También se estudia el nuevo sistema europeo de obtención de pruebas electrónicas mediante European Production Orders y European Preservation Orders, aplicable desde el 18 de agosto de 2026. Este mecanismo acelera la obtención transfronteriza de determinados datos en poder de proveedores de servicios, pero no crea un acceso policial ilimitado a sus sistemas y mantiene diferentes garantías según el tipo de información solicitada. ARGA_D-23_Law_Enforcement_Data_…

En el Reino Unido, el informe analiza el marco posterior al Data (Use and Access) Act 2025, incluidos los cambios relativos a los registros de acceso, las transferencias internacionales y la relación entre las funciones policiales y la seguridad nacional. El caso de Police Scotland muestra además que la extracción inicial de información y su posterior divulgación o reutilización deben evaluarse de manera independiente.

La idea final es que la capacidad técnica para acceder a los datos no equivale a una autorización jurídica ilimitada para utilizarlos. La protección efectiva exige poder reconstruir toda la cadena — obtención, búsqueda y cruce, conservación, transferencia y uso posterior — y verificar en cada etapa la base jurídica, la finalidad, la proporcionalidad y las garantías disponibles.