Implicaciones del Reglamento (UE) 2023/1543 sobre ordenes europeas de entrega y conservación de pruebas electrónicas y la Directiva (UE) 2023/1544 en el proceso penal

1. Introducción
Después de un largo proceso legislativo que ha durado más de cinco años, el Parlamento Europeo aprobó el pasado trece de junio el Reglamento (UE) 2023/1543 del Parlamento europeo y del Consejo de 12 de julio de 2023 “sobre las órdenes europeas de producción y las órdenes europeas de conservación a efectos de prueba electrónica en procesos penales y de ejecución de penas privativas de libertad a raíz de procesos penales”^[1]. 
Junto a este esperado texto legislativo, el mismo día trece se aprobó en primera lectura una Directiva del Parlamento Europeo y del Consejo por la que se establecen normas armonizadas para la designación de representantes legales a efectos de recabar pruebas para procesos penales[2], complemento necesario para la aplicación del Reglamento mencionado, precisamente por el hecho de que una de sus principales novedades consiste en la ampliación del ámbito de aplicación del mismo más allá de las fronteras de la Unión, concerniendo a terceros Estados y a entidades privadas con sede fuera de la Unión Europea.
Los mencionados textos normativos vienen a dar respuesta a los problemas derivados de la sociedad actual, cada vez más tecnificada y, donde el uso de la tecnología se ha generalizado. Por este motivo, se han incrementado el número de delitos de carácter tecnológico, resultando cada vez más necesario legislar el ámbito digital en el que se producen estos hechos ilícitos e intentar regularlo de manera que los investigadores cuenten con mecanismos ágiles y eficientes^[3]. A esto hay que añadir, que el uso de estos sistemas posibilita que los delincuentes puedan realizar sus actividades ilícitas o parte de ellas, desde lugares lejanos, lo que introduce un elemento de extranjería que dificulta la persecución de estos[4]. Por ello, es necesaria la colaboración entre Estados a la hora de compartir estas pruebas digitales o electrónicas (e-evidences), algo que hasta ahora ralentizaba y dificultaba enormemente el desarrollo de las investigaciones de tipo penal, tanto las que se desarrollaban mediante el uso de las nuevas tecnologías, como aquellas que utilizan el ámbito digital —internet— como lugar de comisión del delito. El deseo de los investigadores y autoridades judiciales siempre tuvo su foco en la agilización de los trámites de colaboración entre Estados en los procesos penales, pero esta rapidez, suele conducir a una laxitud en el respeto de derechos y garantías de los investigados[5].
El Reglamento e-evidence viene a dar respuesta o, por lo menos a ayudar en la investigación y persecución de estas actividades ilegales al regular algo fundamental como es la aportación en el proceso penal de las pruebas digitales, cada vez más habituales, logrando así y de manera añadida, una unificación en la normativa procesal penal, superando en parte la muy criticada fragmentación jurídica que suponen las diversas y divergentes legislaciones en materia procesal penal y en concreto de carácter tecnológico vigentes en cada Estado miembro de la Unión[6].
En cuanto, a la Directiva de acompañamiento —Directiva (UE) 2023/1544—, su finalidad es complementar el Reglamento e-evidence, estableciendo una serie de obligaciones dirigidas a las entidades privadas que prestan servicios digitales[7].
 
 
2. Antecedentes legislativos
La búsqueda de una mayor eficiencia y agilidad en los instrumentos procesales que han de dar cumplimiento al principio de reconocimiento mutuo[8]—piedra angular en que se basa la cooperación entre Estados miembros de la Unión Europea— puede ser problemática. La fragmentación de normas procesales penales entre los diversos Estados puede provocar incumplimientos por parte de algunas autoridades judiciales. Para evitarlo, se venía pidiendo el establecimiento por parte del legislador de unas normas comunes mínimas, como se codifica en el art. 82 del Tratado de Funcionamiento de la Unión Europea (TFUE)[9].
En la Unión Europea, con el fin de intentar paliar este problema se creó la Orden Europea de Investigación (OEI), que fue aprobada a través de la Directiva 2014/41/UE relativa a la orden europea de investigación en materia penal^[10]. No obstante, hay que reseñar que ya existían precedentes en el ámbito de las investigaciones tecnológicas como nos informa la propia Exposición de motivos de la Propuesta de Reglamento, al recordarnos que la misma vino a sustituir al Convenio de 2000^[11]. 
Del mismo modo debemos mencionar otros instrumentos normativos creados por la Unión y que tiene una gran influencia y relación con la presente Directiva al tratar sobre la protección de datos, como son el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo y la Directiva 2002/58/CE del Parlamento y del Consejo[12], a los que se refiere de manera concreta la propia Directiva 2023/1544 en su considerando cuarto. 
La importancia de este Reglamento 2016/679 reside en que, en él ya se regulaba en el año 2016 las figura del “representante legal” de las empresas de servicios digitales asentadas en la Unión con el fin de responsabilizarse del tratamiento de datos de los clientes residentes en la Unión. En este caso la Directiva se inspira en el citado Reglamento, pero en esta ocasión con el objeto concreto de obtener pruebas electrónicas en el ámbito de un proceso penal, para lo cual habrán de dirigirse a empresas en muchos casos establecidas fuera de la Unión Europea, por lo cual será necesario que cuenten —si ofrecen servicios dentro del territorio europeo— con quién deba ser destinatario de las oportunas solicitudes de entrega o conservación de pruebas electrónicas necesarias para el esclarecimiento de una investigación criminal. 
No debemos olvidar que el objetivo del legislador al crear esta Directiva de acompañamiento es completar y dar apoyo al Reglamento e-evidence, por cuanto la Directiva regula las figuras del “representante legal” y el “establecimiento designado”, que habrán de ser los destinatarios de las órdenes de entrega y conservación de pruebas electrónicas en el proceso penal.
Del mismo modo, hay que mencionar la vinculación con el artículo 34 del Tratado de la Unión Europea, en relación con la Asistencia judicial mutua entre Estados miembros en materia penal y el Convenio celebrado por el Consejo de conformidad con el mismo[13].
Por último, en el año 2018 se publicó una Propuesta de Directiva del Parlamento europeo y del Consejo por la que se establecen normas armonizadas para la designación de representantes legales a efectos de recabar pruebas para procesos penales, con el fin de conseguir un instrumento legal que permitiese de la manera más eficiente posible la correcta colaboración entre Estados miembros en cuanto al delicado objetivo de la entrega y conservación de la prueba electrónica en el proceso penal. En dicha Propuesta ya se advertía la base jurídica para la adopción de medidas en este ámbito es el artículo 82, apartado 1, del Tratado de Funcionamiento de la Unión Europea[14].
El iter legislativo de esta propuesta ha sido largo y dificultoso, por cuanto se permitió y alentó por parte del legislador europeo la participación de distintos operadores jurídicos en el desarrollo del texto legal con sus propuestas y opiniones, como el Consejo de la Abogacía Europeo (CCBE) —véase ut infra— o la Comisión de Libertades Civiles, Justicia y Asuntos de Interior del Parlamento europeo, a través del informe sobre la Propuesta del Reglamento — conocido como Informe LIBE 2020[15]— que señalaron diversas mejoras, las cuales se han ido introduciendo desde la publicación del primer texto transaccional de 2018, hasta el texto transaccional final de 2023[16].
La mayoría de estas modificaciones aconsejadas por la CCBE o el Informe LIBE versaban sobre las garantías procesales que los textos iniciales no parecían asegurar satisfactoriamente, priorizando la rapidez en le ejecución de las órdenes de entrega y conservación en detrimento de la protección de derechos del investigado[17].
 
 
3. Reglamento 1543/2023 sobre entrega y conservación de prueba electrónica en el proceso penal
La principal novedad del Reglamento de entrega y conservación de pruebas electrónicas consiste en la posibilidad de dirigir estas solicitudes a entidades privadas —los prestadores de servicios— al contrario que los instrumentos anteriores de cooperación judicial que se reservaban a las autoridades de los Estados miembros. Esta situación ha provocado una fuerte controversia entre los operadores jurídicos, pues se considera que obligar de manera coercitiva a una entidad privada a entregar y/o conservar datos de un particular investigado constituiría una vulneración de sus derechos fundamentales y garantías procesales, más aún cuando los prestadores de servicios destinatarios de estas órdenes se encuentren en Estados terceros[18].
Del mismo modo, otro de los objetivos del Reglamento reconocido en la exposición de motivos, es el de agilizar los trámites para la obtención de pruebas electrónicas, pues se había observado en la práctica procesal que el uso de la orden europea de investigación (OEI), presentaba una serie de inconvenientes, entre ellos, su dudosa eficacia a la hora de “…recabar las pruebas electrónicas […] y la burocracia provocada por los procedimientos de cooperación judicial en los que se basa la mencionada OIE…”[19]. En las Propuestas iniciales parece que se sacrificó la rigurosidad en la observancia de las garantías procesales del investigado en aras de una mayor rapidez en el proceso penal.
Afortunadamente, y a través de modificaciones y observaciones planteadas por diversos operadores jurídicos que fueron invitados a plantear sus ideas por la Comisión[20], se han introducido mejoras relacionadas con las garantías procesales de los investigados. Entre las modificaciones introducidas en el Reglamento y que tienen mayor relación con la Directiva objeto de este estudio, destacaríamos la ampliación del artículo 2 sobre definiciones que en un anterior apartado cuarto se refería de manera genérica al término “establecimiento”, mientras que en la Propuesta finalmente aprobada por el Parlamento Europeo se convierte en un ampliado apartado quinto que recoge de manera minuciosa las figuras del “establecimiento”, que pasa a desdoblarse en un 5 bis, que define al “establecimiento delegado” y un 5 ter referido al “representante legal”^[21].
 Ambas figuras son de suma importancia ya que están directamente involucradas en la posibilidad de aplicar el Reglamento propuesto a terceros^[22], es decir empresas o entidades que, sin presencia en el territorio de la UE, realicen parte de su actividad en la misma —algo regulado en el artículo 3 sobre el ámbito de aplicación^[23]— de manera que cuenten con alguna delegación física o deban nombrar a una persona que las represente ante las autoridades de la UE, existiendo eso sí, ciertas salvedades, como que los datos solo se emitirán para procesos penales^[24] y que esos datos requeridos se han de circunscribir a los datos relativos a servicios ofrecidos por el proveedor dentro de la UE.
No obstante, y debido al carácter digital de estas pruebas, quizá debamos preguntarnos hasta qué punto sigue siendo válido aplicar el principio de territorialidad en estos casos. Actualmente, cada vez más información se encuentra almacenada en la “nube” y esto añade interrogantes sobre a quién debemos dirigir las solicitudes de pruebas electrónicas[25].
 
 
3.1. Objeto, ámbito de aplicación y definiciones
En el primer artículo del Reglamento, que desarrolla el objeto del mismo, ya se advierte que las normas establecidas, tienen como finalidad que cualquier autoridad de un Estado miembro de la UE, pueda dirigirse directamente a una entidad privada “…que ofrezca servicios en la Unión y esté establecido en otro Estado miembro o, si no está establecido, que esté representado por un representante legal en otro Estado miembro, que entregue o que conserve pruebas electrónicas, con independencia de la ubicación de los datos”[26], lo que indica claramente la intención del legislador de desbordar el principio de territorialidad, aplicando lo que podríamos denominar como principio de funcionalidad. De manera que, si una empresa de servicios digitales ofrece sus contenidos, aplicaciones o demás servicios a consumidores o empresas asentadas en la Unión Europea, debe someterse a esta legislación. Tampoco debemos olvidar, la intención del legislador de resaltar que la finalidad de la obtención de estas pruebas digitales, se circunscribe a los procesos penales, logrando así superar ciertas reticencias de Estados miembros y operadores jurídicos de algunos Estados, que siempre consideraron que estos mecanismos de cooperación transfronteriza debían limitarse a los procesos de carácter civil y mercantil, dejando los de carácter penal, por lo delicado de las consecuencias que pueden acarrear estos delitos, a una aplicación propia de cada Estado.
Para evitar, suspicacias y reticencias al respecto, el propio precepto, en su último párrafo, hace una salvaguarda de los derechos que las autoridades al emitir una Orden europea de entrega o conservación han de respetar[27].
En el artículo segundo sobre “Ámbito de aplicación”, se reitera la idea antes señalada de extender la aplicación del Reglamento a cualquier “prestador de servicios”[28] que ofrezca sus servicios en la UE, dando a entender claramente, que el hecho de no estar domiciliada en la Unión no la exime de cumplir con el presente Reglamento. Ahora bien, para evitar una extralimitación en cuanto a la aplicación de este, en el tercer apartado del precepto, acota las órdenes de entrega y conservación (EPOC y EPOC-PR)[29] a datos que se hayan ofrecido dentro de la Unión, del mismo modo, el cuarto apartado, advierte que tampoco será de aplicación el texto normativo, cuando ya se haya iniciado un proceso a través de la asistencia judicial mutua.
 
 
3.2. Autoridad emisora, condiciones y destinatarios
En el artículo 4 se codifica quienes pueden emitir una orden europea de entrega o conservación de datos en el supuesto de un proceso penal. Resulta significativo, que el precepto haga una diferenciación entre datos de abonado “…para obtener datos solicitados con el único fin de identificar al usuario, …” y, los datos de tráfico cuyo fin no sea el anteriormente mencionado o “…para obtener datos de contenido…”. En el primero de los casos podrá autorizar la orden no solo un juez, juez de instrucción o fiscal sino también otra autoridad competente que el Estado emisor considere competente para realizar la investigación en procesos penales. En el segundo caso, el precepto establece exactamente el mismo supuesto, de una manera innecesariamente redundante. Suponemos que el motivo, se encuentra en propuestas anteriores, en las que el primer supuesto sobre datos que se han de utilizar para obtener la identidad del abonado no necesitaba de la actuación de una autoridad judicial, lo cual provoco críticas por parte de diversos operadores jurídicos y organismo invitados a realizar propuestas por parte de la Comisión, que consideraron que la emisión por parte de autoridades encargadas de la investigación —como podían ser los fiscales[30]— sin la supervisión de un juez o tribunal, constituía una vulneración del derecho a la tutela judicial efectiva[31].
En cuanto a las condiciones que han de cumplir las órdenes europeas de entrega, el artículo 5, hace una concreta referencia a los principios de necesidad y proporcionalidad, estableciendo como referencia de cumplimiento de estos principios que se cumplan los mismos requisitos por los que en el Estado emisor, en un asunto similar se hubiese accedido a la emisión de una orden de entrega de pruebas. A continuación, y para definir claramente cómo cumplir con la proporcionalidad, se señala un límite de punibilidad de los delitos investigados “…para las infracciones penales punibles en el Estado emisor con una pena máxima de privación de libertad de al menos tres años”[32]. Del mismo modo, indica una delimitación cualitativa, con respecto de delitos penales codificados en diferentes Directivas del Parlamento y del Consejo, así como Decisiones marco del Consejo.
También se incluye en el apartado quinto una exhaustiva enumeración de información que ha de incluir la EPOC, como son la identidad de la autoridad emisora, el destinatario de la orden, el usuario, categoría de los datos y en los casos que se invoque urgencia, la motivación de dicha invocación, finalizando por una breve descripción del caso. Es importante, que cuando se solicita información a través de la EPOC, estos se encuentren perfectamente acotados y, asegurarse de solicitar solo los necesarios, según recomendaciones de las unidades de investigación tecnológica de los Fuerzas y Cuerpos de seguridad del Estado, siguiendo el modelo que aparece en el Anexo I[33], aunque bien es cierto, que la cautela de los investigadores a la hora de proporcionar datos a prestadores de servicios se debe a una lógica intención de no exponer datos personales y sensibles de investigados a entidades privadas[34].
El apartado sexto, hace una interesante referencia a los supuestos en los que la EPOC se dirija al “prestador de servicios”, que a su vez actúe como responsable del tratamiento de datos, que nos deriva al Reglamento (UE) 2016/679[35], además de mencionar el supuesto excepcional en que una EPOC pueda dirigirse al prestador de servicios que “…almacene o trate de otro modo los datos en nombre del responsable del tratamiento, …”. Del mismo modo, en los siguientes apartados se codifican los supuestos en los que la entrega de pruebas electrónicas pudiera vulnerar “inmunidades y privilegios”[36] o normas en las que delimita la responsabilidad penal, la autoridad emisora podrá detener el proceso y pedir aclaraciones consultando a las autoridades del Estado de ejecución.
El artículo 6, regula las condiciones que ha de cumplir una orden europea de conservación de datos (EPOC-PR). Después de hacer un recordatorio de deber de cumplir con los principios de necesidad y proporcionalidad, que inspiran todo el texto normativo, se recuerda que la orden de conservación no deja de ser el paso previo a la orden de entrega, pues como señala el apartado segundo del precepto será necesaria “…con vistas a emitir una solicitud posterior de entrega de estos datos a través de la asistencia judicial mutua, una orden europea de investigación o una orden europea de producción, teniendo en cuenta los derechos de la persona sospechosa o acusada”.
El artículo 7 del Reglamento e-evidence, trata sobre los “destinatarios de las EPOC y EPOC-PR”, donde se haya la principal novedad del texto normativo que analizamos, pues en el primer apartado reseña la posibilidad de dirigir las órdenes de manera directa al prestador de servicios, el cual habrá de designar un establecimiento designado, o bien, un representante legal, si desarrolla sus actividades en territorio de la Unión Europea[37]. A nadie se le escapa, que esta posibilidad ahora codificada tiene destinatario principal, como son los Estados Unidos de América, pues la mayoría de las empresas de servicios digitales tiene allí su sede y se muestran reacias a someterse a la jurisdicción de otros Estados, incluidos los miembros de la Unión Europea[38]. Esta situación podría provocar dificultades en el futuro, en cuanto a la cooperación internacional en el ámbito penal por haber extendido su aplicación a terceros Estados[39], que se mostraran seguramente reacios a permitir la aplicación de una normativa europea a sus empresas. Consecuentemente, se está buscando por parte de las autoridades europeas un acuerdo con los Estados no miembros de la Unión Europea con los que exista mayor intercambio de información digital[40].
Como ya señalamos anteriormente, lo relevante de este supuesto, es la superación del principio de territorialidad, pasando a una más pragmática búsqueda de las pruebas digitales allá donde se encuentren, lo que motiva que las solicitudes deben enviarse en muchos casos a terceros Estados[41]. Precisamente este es el motivo —prestar sus servicios digitales en la Unión Europea— por el cual las empresas digitales se verán obligadas a designar un “representante legal” para recabar pruebas en procesos penales. En el caso de que no se hubiera designado un representante en concreto, las órdenes se podrán dirigir a cualquiera de los establecimientos del prestador de servicios que se encuentre en territorio de la Unión[42].
No podemos olvidar que este supuesto es realmente llamativo y novedoso en el proceso penal, por cuanto, se establece un nuevo tipo de relación de cooperación trasfronteriza en la obtención y entrega de pruebas, al pasar de la clásica relación entre las autoridades judiciales de los Estados miembros a una en la que la autoridad judicial de un Estado emisor podrá dirigir sus órdenes a empresas privadas. No obstante, esta situación ha provocado una importante controversia al considerar que existe una suerte de “privatización de la cooperación judicial”[43]. Ante esta situación, parece obvio suponer que las empresas obligadas a actuar de tal manera releguen a un segundo lugar la salvaguarda de los derechos de los investigados en favor de sus intereses empresariales, como indica acertadamente el Profesor Tosza[44], al preguntarse hasta qué punto es recomendable la participación de entidades privadas en el proceso penal, como parece que está sucediendo actualmente [45].
Resulta interesante hacer referencia a los plazos fijados para la entrega de los datos contenido en la EPOC, pues uno de los objetivos primordiales de este Reglamento es el de agilizar las investigaciones entre Estados miembros. Por ello, resulta llamativa la confusa manera de codificar los plazos de entrega y conservación que han de respetarse tanto a la hora de solicitar una EPOC, como una EPOC-PR, por parte del legislador. En el art. 10 se establece un plazo de diez días de manera genérica para que la autoridad de ejecución conteste a la solicitud de la autoridad emisora, previendo casos de urgencia, en los que se establece un plazo de contestación de solo ocho horas, a no ser que se den alguno de los motivos de denegación, en cuyo caso, tendrá noventa y seis horas para notificarlo a la autoridad emisora. 
No obstante, el art. 11. 2 establece la posibilidad de “Cuando, durante el período de conservación establecido en el apartado 1, la autoridad emisora confirme que se ha emitido una solicitud posterior de entrega, el destinatario conservará los datos durante el tiempo necesario para entregarlos una vez que la solicitud posterior de entrega haya sido recibida”, lo cual en mi opinión es una decisión censurable, pues esta absoluta indefinición temporal provocará con total seguridad problemas de inseguridad jurídica, como acertadamente advierte Cuadrado Salinero “… en este sentido poco ha cambiado el texto de la propuesta con el del reglamento vigente. ya se criticaba, y con razón, que los datos pueden llegar a estar conservados “el tiempo que sea necesario” (artículo 11.2), lo que en la práctica puede generar problemas en relación con los derechos de los usuarios, de forma que debería haberse establecido un periodo de tiempo limitado para la eliminación de los datos en caso de no solicitase su entrega a la autoridad competente”[46]
En cuanto a los plazos que afectan a las EPOC-PR, se establecen sesenta días en los cuales los proveedores de servicios han de guardar los datos solicitados, prorrogables otros treinta días cuando “… sea necesario para permitir la emisión de una solicitud posterior de entrega”[47].
 
 
4. Directiva (UE) 1544/2023[48]
La obligación de designar un “establecimiento designado” que establece el reglamento hace que el legislador determinase acompañar el texto normativo de una Directiva sobre “representantes legales para recabar pruebas electrónicas en el proceso penal”. Por ello, en este caso, resulta especialmente determinante el contenido de la Directiva (UE) 2023/1544 del Parlamento Europeo y del Consejo de 12 de julio de 2023, por la que se establecen normas armonizadas para la designación de establecimientos designados y de representantes legales a efectos de recabar pruebas electrónicas en procesos penales.
 
 
4.1. Objeto y ámbito de aplicación
En él se determina qué requisitos habrán de observar las empresas de servicios digitales a la hora de cumplir el Reglamento de entrega y conservación de prueba electrónica en el proceso penal. Para que el Reglamento sea eficiente, debe tener un destinatario concreto al que poder enviar las citadas órdenes. De ahí, que se establezca la obligación de las entidades privadas que realicen actividades digitales propias de su campo en la Unión Europea, de nombrar un representante legal para realizar la misión de recepción de las órdenes. Es interesante resaltar que, en el último texto aprobado por el Parlamento en el 13 de junio, se añadió otro supuesto, como es el de designar “…un establecimiento designado” (sic)[49].
A continuación, se reseñan los límites materiales dentro de los cuales será de aplicación la Directiva y se advierte que la Directiva no entrará en colisión con las competencias de las que ya dispongan los Estados miembros para dirigirse a las entidades privadas en el ámbito del proceso penal. Esta salvaguarda no se encontraba codificada en propuestas anteriores y podría ocasionar conflicto en la práctica penal, por cuanto podía darse una colisión entre diversas normas.
Los últimos dos apartados del precepto establecen una serie de limitaciones materiales y territoriales. Advirtiendo que no se podrán exigir requisitos fuera de los estipulados por la presente Directiva, por parte de los Estados miembros de manera unilateral, del mismo modo, que la regulación sobre la materia no se aplicará a servidores establecidos y que operen únicamente en un Estado miembro[50], remitiéndonos a la definición de “prestadores de servicio”, que recoge el art.2.1, como veremos ut infra.
 
 
4.2. Definiciones
En el segundo precepto se codifica de manera extensa y prolija las definiciones de los distintos términos con un alto contenido técnico —de ahí la necesidad de ser escrupuloso— que se refieren al objeto principal de la Directiva, como ya hemos visto.
Se hace hincapié en qué ha de entenderse como “prestador de servicios”, para lo que realiza una enumeración tasada de los supuestos que deben considerarse como tales, con referencia a diversas Directivas[51]. Curiosamente, el apartado primero, empieza advirtiendo de una excepción a la regla general, al señalar que no será de aplicación “… servicios financieros a que se refiere el artículo 2, apartado 2, letra b), de la Directiva 2006/123/CE del Parlamento Europeo y del Consejo”[52]. Algo que podría explicarse por la materia de dicha Directiva, que se circunscribe a los servicios financieros, mientras que la presente Directiva, así como el Reglamento que complementa son de aplicación exclusiva y excluyente al ámbito penal[53].
Los siguientes apartados han sido añadidos en el texto final con la intención de evitar situaciones que buscaban rehuir el cumplimiento de las obligaciones que emanan del Reglamento definiendo claramente cuanto se ha de aplicar la norma, al buscar “una conexión sustancial con un Estado miembro de la UE”[54]. Se ha considerado que, si un prestador de servicios no dispone de un establecimiento físico, bastará con que tenga un “… número significativo de usuarios en uno o más Estados miembros, o se orienten actividades hacia uno o más Estados miembros…”, para estar sujeto a la legislación emanada del Reglamento y Directiva objeto de este estudio[55]. Se hace especial énfasis en que la figura del “establecimiento”, ejerza efectivamente dicha actividad económica. Esta insistencia tendría por objeto evitar el uso de figuras fraudulentas para bordear el cumplimiento de la ley. Supuestos en los que se nombra un espacio físico como sede de una entidad privada que realmente no realiza actividad alguna. Por último, se hace una mención curiosa a la territorialidad —pues la idea que emana de todo el texto normativo es la de superar el principio de territorialidad— para recordar que el “establecimiento” debe encontrarse en un Estado miembro de la Unión y, que haya aceptado el presento texto normativo[56].
Finalmente, se regula la figura del “representante legal”, de gran importancia, ya que representará a aquellos prestadores de servicios que no tengan presencia física en ningún Estado miembro[57].
 
 
4.3. Establecimientos designados y representantes legales
En el tercer precepto se encuentra el núcleo principal de la Directiva, por ser donde se codifica el aspecto fundamental y novedoso del Reglamento (UE) 2023/1543 que origina la necesidad de esta Directiva de acompañamiento. Se constituye en el más amplio y profuso de la Directiva, lo cual da buena idea de la importancia que concede a los “establecimientos designados” y los “representantes legales”. Algo que subyace en el texto legal desde los considerandos iniciales. Asimismo, ha sufrido importantes modificaciones fruto de las propuestas de distintos operadores jurídicos invitados por la Comisión[58].
En un primer apartado, se consigna la obligación de los Estados miembros de “velar” porque los prestadores de servicio nombren un destinatario al cual poder dirigir las solicitudes de entrega de datos. Ahora bien, el término “velar”, indica más una opción facultativa o deseo bienintencionado, que una obligación legal o imperativa emanada de un Reglamento de la Unión. Eso sí, limita claramente el ámbito material de este consejo al señalar que su objeto es “…a efectos de recabar pruebas para procesos penales…”. Continúa enumerando tres supuestos concretos que derivan del precepto anterior. En el caso de que los prestadores de servicio tengan personalidad jurídica propia y se encuentren en la Unión, deberán designar un “establecimiento designado” (sic)[59].
En cuanto a la posibilidad de un prestador con personalidad jurídica, que ofrezca sus servicios dentro de la UE, pero sin presencia en la Unión, deberá nombrar un “representante legal” que se hará responsable de las actividades de la entidad de servicios digitales. 
Por último, se preceptúa el supuesto por el cual el prestador de servicios se encuentre asentado en un Estado miembro de la Unión, al que no vincule este Reglamento y Directiva. En este caso, los Estados miembros se asegurarán de que se nombre igualmente un “representante legal” que se responsabilice de las actividades empresariales del prestador en los Estados sí vinculados por el texto normativo. Resulta llamativo que, en este supuesto, la Directiva se abstenga de obligar al Estado miembro anfitrión, aunque no sea firmante de la Directiva o el Reglamento que complementa. Aunque por otra parte no se hace más que adoptar la recomendación del Informe de la Comisión de Libertades Civiles, Justicia y Asuntos de Interior, en cuya exposición de motivos se advierte de los problemas legales que plantearía obligar a los Estados no firmantes de este instrumento nombrar “representantes legales”[60].
El siguiente apartado regula deberes dirigido a los Estado miembros, como el de asegurar que los “destinatarios” de los que habla el apartado primero, se encuentren de manera real establecidos en alguno de los Estados miembro de la Unión, donde a su vez ofrezcan sus servicios digitales, además de garantizar que se les pueda impeler de manera efectiva —puedan ser objeto de procedimientos de ejecución— a la hora de cumplir con sus obligaciones legales.
En el siguiente apartado se tiene en cuenta la posibilidad de que las entidades privadas intenten soslayar el cumplimiento efectivo de la normativa europea, constituyendo establecimientos vacíos de contenido y representantes sin poderes suficientes. Para ello se recuerda a los Estados miembros su deber de comprobar que los mencionados “representantes legales” y los “establecimientos” cuenten con los recursos y competencias suficientes que garanticen el cumplimiento del Reglamento y la Directiva.
Continúa el articulado exponiendo supuestos de posibles incumplimientos de la norma, demostrando cierta desconfianza en la intención de los Estados en hacer cumplir esta Directiva, compeliendo a los Estados miembros a establecer los instrumentos necesarios para obligar a los servidores a responsabilizarse de manera solidaria junto a sus establecimientos designados y sus representantes legales en los Estados en los que se encuentren asentados, para que de esta manera no puedan abstraerse del cumplimiento de sus obligaciones —principalmente pecuniarias— en el caso de ser sancionados y, del mismo modo que no acudan a las legislaciones internas que les pudieran beneficiar —forum shopping— para justificar dicho incumplimiento. Hemos de señalar que en el texto finalmente aprobado por el Parlamento se ha introducido una modificación que consiste en el establecimiento de una excepción en cuanto a la responsabilidad solidaria aplicable de manera general[61].
Para finalizar se hace referencia a los plazos de aplicación de la Directiva, de manera que se otorga un plazo de treinta meses —desde la aprobación de la Directiva— a los prestadores de servicios que se establezcan en la Unión para nombrar los “establecimientos designados” en un plazo a su vez de treinta y seis meses desde la aprobación del texto. 
 
 
4.4. Notificaciones, sanciones y autoridades centrales
En los siguientes artículos se regula el muy delicado aspecto de los medios de imponer a las entidades privadas el cumplimiento de esta normativa. En primer lugar, cómo se notificará a los “proveedores de servicios” su obligación de colaborar con las autoridades. Para ello, los Estados han de garantizar que las empresas tengan una Autoridad Central que actuará como interlocutora de los Estados miembros con las entidades privadas. En el texto finalmente aprobado se ha añadido una referencia a la posibilidad de dirigirse en las lenguas que sean oficiales en el Estado miembro donde se encuentre el establecimiento o resida el representante^[62], para lo que se delega en el derecho interno nacional su determinación concreta, algo en mi opinión erróneo, por cuanto rompe con la intención de unificar criterios en la actuación en los diverso Estados miembros. Asimismo, se establece en el artículo 5 el sistema sancionador, que ya ha sido objeto de atención en este trabajo, pues se considera muy polémico, al provocar la actuación obligada de entidades privadas. Para empeorar la situación, el precepto vuelve a encomendar el establecimiento de dicho régimen sancionador a los diferentes Estados miembros, lo cual provocará una evidente desigualdad, que a su vez ahondará en la fragmentación normativa entre Estados en el proceso penal y conducirá una indeseable inseguridad jurídica[63]. Con esta decisión se está conduciendo a un forum shopping de los prestadores de servicios que, con toda seguridad elegirán establecerse en los Estados con un régimen sancionador más laxo, con respectos de otros Estados con regímenes sancionadores más severos[64].
 
 
5. Conclusiones
Aunque el enfoque de este trabajo es crítico con resultado del Reglamento e-evidence y su Directiva de acompañamiento, debemos congratularnos de la buena intención del legislador a la hora de intentar regular un aspecto de gran relevancia en la actualidad, como es el de la utilización de pruebas de carácter tecnológico en el proceso penal, además de hacerlo desde una perspectiva de cooperación internacional, debido a las propias características de las pruebas electrónicas.
No obstante, debemos resaltar aspectos claramente mejorables en los textos normativos analizados. En primer lugar, la excesiva focalización del Reglamento en conseguir una “agilización” del proceso penal a la hora de entregar y conservar pruebas digitales, puede resultar perjudicial para la debida protección de los derechos y garantías procesales del investigado.
En segundo lugar y, ya centrándonos en los aspectos más novedosos de las normas analizadas, debemos referirnos a la muy controvertida posibilidad de ampliar el ámbito de aplicación del presente Reglamento a terceros Estados no pertenecientes a la Unión Europea, con la única condición de que los proveedores de servicios digitales domiciliados en esos terceros Estados presten sus servicios en la Unión. Consideramos, que, aunque esta posibilidad responde a una necesidad de colaboración cada vez más habitual, no deja de presentar inconvenientes reales y prácticos, pues esos terceros Estados, podrían considerar esta extensión de la legislación europea sobre sus nacionales, como una vulneración del principio de soberanía nacional, al conculcar la prevalencia de su jurisdicción.
Por último, e incardinado en el punto anterior, se encuentra el problemático asunto que aborda la Directiva de acompañamiento sobre los establecimientos designados y sus representantes legales, pues con la finalidad de conseguir una agilización del proceso penal, se permite dirigir las órdenes de entrega y conservación a entidades privadas. Este hecho, realmente novedoso, presenta en nuestra opinión grandes dudas. La posibilidad de imponer a proveedores de servicios —empresa privadas, en la mayoría de casos— la obligación de recibir órdenes de entrega y conservación de pruebas electrónicas en una situación tan delicada como es un proceso penal, podría en nuestra opinión poner en serio riesgo la tutela judicial efectiva que ha de recibir el investigado, pues los derechos y garantías procesales de este quedarían supeditados ante los intereses empresariales, basados en fines privados o en el mero temor a represalias por parte de las autoridades, que advierten claramente de la posibilidad de sanciones pecuniarias en la normativa analizada. Por lo cual, estas entidades privadas evitaran realizar un minucioso examen de las notificaciones recibidas —para garantizar los derechos de los investigados— limitándose a tramitar las órdenes lo antes posible y rehuir cualquier controversia en dicha tramitación.
Todo ello, redunda en el debilitamiento de la idea de cooperación judicial internacional, pues ésta es en esencia, una comunicación entre autoridades judiciales que garantizan, como ocurre actualmente, un mayor respeto de los sensibles datos que se obtienen en el caso de las pruebas electrónicas, como son los datos personales y profesionales, que afectan directamente en los derechos fundamentales de las personas a las que se investiga, más aún en un proceso de carácter penal. Sin olvidar, la deficiente codificación en cuanto a los plazos de entrega y conservación, en especial, por la indefinición a la hora de establecer el tiempo que deberá conservar los datos objeto de solicitud el destinatario de esta.
Por tanto, tenemos serias dudas de la aplicabilidad real de este, ya que al intentar el legislador en el texto finalmente aprobado, reforzar las garantías procesales de los investigados, desaparece el supuesto beneficio buscado de una mayor agilidad, perdurando la posibilidad de vulneración de derechos de los mismos, de manera, que finalmente, puede ser más conveniente el uso de los mecanismos de cooperación judicial ya existentes, ante la posibilidad de sentencias del Tribunal de Justicia de la Unión Europea y tribunales nacionales de los Estados miembros que consideren la aplicación de este Reglamento y su Directiva como contrarias a derecho.
 
 
Bibliografía
Arangüena Fanego, Coral / De Hoyos Sancho, Montserrat / Rodríguez-Medel Nieto, C. (Dir. y Coor.), Reconocimiento Mutuo de Resoluciones Penales en la Unión Europea, Thomson Reuters Aranzadi, Navarra, 2015
Bueno de Mata, Federico, “Análisis de las medidas de cooperación judicial internacional para la obtención transfronteriza de pruebas en materia de cibercrimen, La transformación digital de la cooperación jurídica penal internacional, Thomson Reuters Aranzadi, Navarra, 2021, pp, 19-46
Cuadrado Salinas, Carmen, “La Directiva Europea y las Órdenes de Producción y Conservación de pruebas electrónicas en los procesos penales. ¿Nuevas perspectivas?”, IUS ET SCIENCIA, Vol. 9, n.º 2, 2023, pp. 117-135
De Hoyos Sancho, Montserrat, “Novedades en materia de obtención transfronteriza de información electrónica necesaria para la investigación y enjuiciamiento penal en el ámbito europeo”, Revista de Estudios Europeos, Vol. N.º Extraordinario monográfico 1, 2022, pp. 99-128
De Hoyos Sancho, Montserrat, “Reflexiones acerca de la Propuesta de Reglamento UE sobre las órdenes europeas de entrega y conservación de pruebas electrónicas a efectos de enjuiciamiento penal”, Revista General de Derecho Procesal, Vol. N.º 58, 2022, pp. 1-37
De Hoyos Sancho, Montserrat, La nueva regulación en la Unión Europea sobre obtención transfronteriza de información electrónica en procesos penales, Thomson Reuters Aranzadi, Navarra, 2024
Fuentes Soriano, Olga, “Europa ante el reto de la prueba digital. El establecimiento de instrumentos probatorios comunes: las órdenes europeas de entrega y conservación de pruebas electrónicas”, Era digital, sociedad y derecho, Tirant lo Blanch, Valencia, 2020, pp. 288-294
Gascón Marcen, Ana, “Las órdenes europeas de entrega y conservación de pruebas electrónicas: evaluación de la propuesta de la comisión europea”, El mercado único en la Unión Europea. Balance y perspectivas jurídico-políticas, Dykinson, Madrid, 2019, pp. 1121-1134
Gómez Amigo, Luis, “Las órdenes europeas de entrega y conservación de pruebas penales electrónicas: Una regulación que se aproxima”, Revista Española de Derecho Europeo, Vol. 71, 2019, pp. 23–56
González Pulido, Irene, “Perspectivas de futuro respecto a la obtención de pruebas electrónicas transfronterizas y a la cooperación con proveedores de servicios: investigación y prueba de los ciberdelitos graves en la Unión Europea”, Diario La Ley, n.º 10266, Sección Tribuna, 2023
Laro González, Elena, “El Reglamento E-evidence: instrumento adicional a la Orden europea de investigación”, La Ley Probática, n.º 3, 2021
Laro González, Elena, “Prueba penal transfronteriza: de la orden europea de investigación a las órdenes europeas de entrega y conservación de pruebas electrónicas”, Revista de Estudios Europeos, vol. n.º 79, 2022, pp. 285-303
Mitsilegas, Valsamis, “The privatisation of mutual trust in Europe’s area of criminal Justice: The case of e-evidence”, Maastricht Journal of European and Comparative Law, 2018, p. 263
Muriel Diéguez, Juan A., “La Directiva sobre representantes legales para recabar pruebas electrónicas en el proceso penal”, Paideia: Perspéctivas jurídico-procesales en un mundo digital cambiante, Colex, La Coruña, 2024, pp. 99-116
Muriel Diéguez, Juan A., “Las órdenes de entrega y conservación de pruebas electrónicas en el proceso penal europeo”, Revista de Estudios Europeos, Vol. 83, 2024, pp. 172-201
Tosza, Stanislaw, “All evidence is equal, but electronic evidence is more equal than any other: The relationship between the European Investigation Order and the European Production Order” New Journal of European Criminal Law, 11(2), 2020, pp. 161–183
Tosza, Stanislaw, ”Internet service providers as law enforcers and adjudicators. A public role of private actors”, Computer law & security review, 43, 2022 [Consultado el 12 de febrero de 2024] [Disponible en www.elsevier.com/locate/CLSR]