Resumen

  • El artículo 9 permite que el punto de contacto 24/7 de una Parte solicite a otra asistencia inmediata para obtener datos almacenados concretos de un proveedor situado en el territorio de la Parte requerida, sin iniciar antes una solicitud de asistencia judicial mutua.
  • La Parte requerida evalúa si existe una emergencia y dirige la actuación frente al proveedor conforme a su derecho interno. El artículo 14 añade una obligación distinta: poder demostrar, caso por caso, cómo se accedió a los datos personales, cómo se usaron y a quién se divulgaron.

Un modelo ordena la entrada, no toda la operación

La página de sesiones plenarias del Cybercrime Convention Committee (T-CY) incluye T-CY(2026)9, un modelo de solicitud de divulgación acelerada de datos informáticos almacenados ante una emergencia. Se publica junto con otros modelos del Second Additional Protocol. Su utilidad práctica consiste en ofrecer un punto de partida común para una solicitud que cruza fronteras; no sustituye las reglas del tratado ni crea por sí sola un canal abierto a cualquier país.

El artículo 9 habilita a un punto de contacto de la red 24/7 de una Parte a enviar a su homólogo de otra Parte una solicitud de ayuda inmediata para obtener datos almacenados especificados de un proveedor en el territorio de esta última. No exige preparar primero una solicitud de asistencia judicial mutua. El protocolo se aplica, con sus límites, entre Estados que sean parte tanto del Budapest Convention como del protocolo y dentro de investigaciones o procedimientos penales determinados.

La palabra «emergencia» tiene un umbral concreto: un riesgo significativo e inminente para la vida o la seguridad de una persona física. La urgencia investigadora, la pérdida potencial de pruebas o la presión operativa no bastan por sí solas. La relación entre el riesgo y los datos solicitados también debe explicarse. El modelo facilita que una autoridad exponga esa relación; no decide si la explicación satisface el umbral.

La decisión y la transmisión son funciones diferentes

El recorrido reúne a varios actores. La autoridad competente requirente define la investigación y los datos que necesita. Su punto de contacto transmite el mensaje. La Parte requerida determina si el caso cumple la definición de emergencia. Sus autoridades locales se dirigen al proveedor bajo el derecho nacional, reciben la respuesta y la trasladan a la Parte requirente. El punto de contacto es una vía de comunicación internacional, no una orden extranjera directa al proveedor.

El protocolo pide que la solicitud identifique a la autoridad competente y la fecha; invoque el instrumento; nombre y ubique al proveedor; indique el delito, las disposiciones nacionales y las penas aplicables; exponga hechos suficientes para demostrar la emergencia y explicar por qué los datos guardan relación con ella; y describa los datos con precisión. También admite instrucciones procesales y otra información útil. La solicitud debe poder enviarse electrónicamente; la Parte requerida puede exigir autenticación y medidas de seguridad.

La Parte requerida comunica con rapidez si considera que hay emergencia y, cuando corresponda, las condiciones de entrega u otras formas de cooperación. Si la requirente no puede aceptar una condición, debe decirlo sin demora. Entonces la Parte requerida decide si entrega los datos de todos modos. Cuando la requirente acepta la condición, queda vinculada por ella. La velocidad no desplaza la capacidad de decisión del Estado que ejecuta la solicitud.

El formulario inicial no es el registro de uso

El modelo ordena lo que se sabe al solicitar los datos: quién los pide, por qué existe el riesgo, qué proveedor los conserva y qué información concreta se busca. La responsabilidad continúa cuando los datos llegan a una autoridad, se consultan, se incorporan a un análisis o se comparten con otra entidad.

El artículo 13 somete la creación, aplicación y ejercicio de las facultades del protocolo a las condiciones y garantías del derecho interno que protejan adecuadamente los derechos humanos y las libertades. El artículo 14 regula el tratamiento de datos personales recibidos. Su apartado 8 exige que cada Parte mantenga registros u otros medios apropiados para demostrar cómo se accedió a los datos de una persona, cómo se usaron y cómo se divulgaron en un caso concreto.

Una solicitud completa al comienzo no demuestra qué pasó después. La implementación necesita enlazar el mensaje inicial con la evaluación de emergencia, la autoridad que actuó ante el proveedor, su respuesta, las condiciones impuestas y las acciones posteriores de acceso o divulgación. El artículo 14 también contempla información sobre finalidad, conservación o revisión, destinatarios y vías de acceso, rectificación y reparación. La notificación individual puede restringirse bajo las condiciones del tratado y el derecho aplicable; un expediente auditable sigue siendo importante incluso cuando el aviso no puede darse en ese momento.

Una opción de diseño —no un campo que el tratado prescriba para el modelo— es usar una referencia estable de caso a través de los dos Estados y del proveedor. Esa referencia permitiría relacionar aprobaciones y transferencias sin confundir quién autorizó, quién transmitió, quién obtuvo los datos y quién los utilizó. Un control posterior podría reconstruir los hitos y encontrar dónde se interrumpió la cadena.

El artículo 10 sigue disponible para otra clase de ayuda

El artículo 10 ofrece asistencia judicial mutua acelerada cuando una Parte considera que existe una emergencia. El informe explicativo señala que el artículo 9 puede evitar preparar y traducir una petición de asistencia y permitir intercambios en tiempo real por la red 24/7. El artículo 10 puede abarcar formas de cooperación más amplias y facilitar la autenticación de pruebas. La elección depende de los hechos, las circunstancias jurídicas y la experiencia de las Partes.

Por eso conviene registrar por qué se eligió una vía y cuándo se cambió. Si la necesidad supera la obtención de datos almacenados concretos de un proveedor, el artículo 10 puede responder mejor. Si se requiere otra forma de asistencia o autenticación, la rapidez inicial no debería borrar la transición entre procedimientos.

La experiencia de implementación tampoco es uniforme. Un taller de CyberSPEX celebrado en Bucarest en mayo de 2026 recogió que algunos Estados podían habilitar a policías o fiscalías especializadas en sus puntos 24/7, mientras que otros participantes señalaron la necesidad de reformas legislativas. También se planteó la capacidad de respuesta de los proveedores, en particular los pequeños, y la falta de una obligación uniforme de actuar con rapidez antes de la implementación nacional. Es un diagnóstico de un taller, no una constatación de incumplimiento de un Estado o proveedor concreto.

El alcance depende asimismo de la participación estatal. La página del Second Additional Protocol del Council of Europe mostraba 52 firmas y cuatro ratificaciones en su última actualización visible, del 15 de abril de 2026. La regla de alcance del artículo 2 vincula a los Estados parte de ambos instrumentos. Un formulario común facilita preparación; no universaliza el mecanismo.

La prueba de legitimidad aparece después de la urgencia

La medida institucional no es solo cuánto tarda una petición. También es si, una vez controlado el riesgo inmediato, puede reconstruirse quién aplicó el umbral, qué datos se consideraron necesarios, quién actuó ante el proveedor, qué condiciones acompañaron la entrega y quién accedió después a la información.

El T-CY ofrece un formato común para el primer intercambio. Cada Parte debe conectarlo con su propia distribución legal de facultades y con los controles del artículo 14. Las autoridades pueden evaluar el funcionamiento con indicadores agregados y protegidos: tiempos, condiciones, cambios de vía, respuestas y revisiones posteriores. Publicar resultados comparables ayudaría a distinguir velocidad real de una mera mejora documental, siempre sin revelar investigaciones ni datos personales.

La urgencia justifica un canal específico cuando hay un riesgo significativo e inminente. No debería convertir una solicitud acotada en un acceso cuyo recorrido desaparece al cruzar la frontera institucional. El artículo 9 acelera la petición; los artículos 13 y 14 exigen que las garantías y la trazabilidad sobrevivan a esa aceleración.

Fuentes