Metadatos e IP: qué pueden (y qué no) demostrar en un caso de violencia de género digital
Se habla mucho de «rastrear la IP» o «mirar los metadatos». Son datos útiles, pero se interpretan con cautela: señalan un dispositivo o una conexión, no necesariamente a una persona.
En muchos casos de acoso, amenazas o suplantación por internet, la pregunta clave es quién estuvo detrás de un mensaje, una cuenta o un archivo. Los metadatos y las direcciones IP ayudan a responderla, pero cada uno tiene límites que conviene entender antes de darles más valor del que tienen.
Qué son los metadatos y qué pueden aportar
Son datos sobre el dato: en una fotografía, la fecha, el modelo de cámara y a veces la ubicación; en un documento, el autor y las fechas de creación y modificación; en un correo, las cabeceras con el recorrido del mensaje.
| Tipo de archivo | Metadatos habituales | Límite principal |
|---|---|---|
| Fotografía | Fecha, modelo de cámara o móvil, a veces ubicación (EXIF) | Las redes sociales y mensajerías suelen eliminarlos |
| Documento (Word, PDF) | Autor, programa, fechas de creación y modificación | Se pueden editar con herramientas sencillas |
| Correo electrónico | Cabeceras con el recorrido y los servidores por los que pasó | Algunas cabeceras se pueden falsear si no se analiza el conjunto |
| Audio y vídeo | Programa de codificación, fechas, duración | Se recodifican al enviarlos por mensajería |
- Pueden situar un archivo en el tiempo y relacionarlo con un dispositivo o programa concretos.
- Permiten detectar incoherencias, por ejemplo una fecha de modificación posterior a la supuesta creación.
- Ayudan a comprobar si dos archivos comparten un origen común.
Sus límites: se pueden editar, muchas plataformas los eliminan al subir o reenviar un archivo, y las fechas dependen de que el reloj del dispositivo estuviera bien configurado.
Qué es una dirección IP y qué dice de quién se conectó
La IP identifica la conexión a internet usada en un momento dado, no a la persona que estaba delante. Para vincularla con un titular hace falta el dato de la operadora, que solo se obtiene normalmente mediante requerimiento judicial, y siempre con la fecha, la hora exacta y la zona horaria de la conexión.
| Situación | Qué ocurre con la IP | Consecuencia |
|---|---|---|
| Domicilio u oficina | Varias personas y dispositivos comparten la misma IP | No se puede saber quién la usó sin más pruebas |
| IP compartida por la operadora | Algunas operadoras reparten una misma IP entre muchos clientes | Hace falta el puerto y la hora exacta para distinguirlos |
| VPN o red de anonimización | Oculta el origen real de la conexión | La IP no lleva al usuario final |
| Wifi pública o ajena | La IP corresponde al titular de la red | Señala la red, no a quien la usó |
| Conservación limitada | Las operadoras guardan estos datos un plazo legal acotado (con carácter general, doce meses) | Reclamarlos tarde puede ser inútil |
Cómo se obtienen y se contrastan estos datos
Preservar lo que ya tiene
Archivos originales, correos completos con cabeceras, capturas con fecha y hora, sin reenviarlos ni convertirlos.
Documentar fechas y zonas horarias
Anotar cuándo ocurrió cada episodio, con zona horaria, porque las operadoras necesitan la hora exacta.
Plantear el requerimiento a tiempo
Su abogado puede pedir al juzgado datos a operadoras y plataformas; los plazos de conservación son limitados.
Contrastar con el resto de la prueba
El perito cruza metadatos, IP, registros del dispositivo y cronología antes de concluir.
Qué hacer para no perder estos datos
- Conservar los archivos originales y no reenviarlos ni convertirlos.
- Guardar los correos completos con sus cabeceras, no solo el texto.
- Apuntar fechas, horas y zona horaria de los episodios relevantes.
- Informar cuanto antes a su abogado, porque el requerimiento a operadoras y plataformas tiene plazos. Más en cómo preservar la prueba digital.
Qué puede y qué no puede concluir un perito
Puede acreditar que un archivo presenta determinados metadatos, que una conexión se realizó desde una IP en un momento concreto y que ciertos datos son coherentes o incoherentes entre sí. No puede, solo con eso, afirmar que una persona determinada estuvo detrás de un mensaje: ese paso exige otras pruebas y la valoración del juzgado. El uso de datos personales de terceros en este tipo de análisis se rige además por la normativa de protección de datos.
Los metadatos que más se examinan
- Imágenes (EXIF): fecha, modelo del dispositivo y, a veces, ubicación. Muchas aplicaciones los eliminan al compartir.
- Documentos y PDF: autor, programa, fecha de creación y de modificación, y versiones.
- Vídeos y audios: duración, códec, fecha de grabación y dispositivo de origen.
- Mensajes y correos: cabeceras, identificadores y marcas de tiempo.
Los metadatos se pueden borrar y se pueden modificar. Por eso un informe riguroso no los toma como verdad absoluta, sino como un indicio que se contrasta con otras fuentes.
IP dinámica, compartida y VPN: lo que complica la atribución
La mayoría de las direcciones IP domésticas son dinámicas: la operadora las asigna a un cliente durante un tiempo y luego las reutiliza. Además, muchas operadoras comparten una misma IP pública entre varios clientes, lo que dificulta saber cuál de ellos estaba detrás. Y quien usa una VPN, una red pública o un servicio de anonimización muestra una IP que no es la suya. Por eso, una IP rara vez identifica por sí sola a una persona, y casi nunca sin la colaboración de la operadora.
Fechas y zonas horarias: un error muy común
Los sistemas registran el tiempo en formatos distintos: algunos en hora local, otros en hora universal (UTC). Confundir ambos puede desplazar un hecho varias horas, y en un caso donde se discute si un mensaje se envió antes o después de otro, esas horas pueden decidir. Además, el reloj de un dispositivo puede estar mal ajustado o haber sido modificado. Un informe cuidadoso identifica la fuente de cada hora, la normaliza y lo explica.
Cómo se obtiene la identidad detrás de una IP
Asociar una dirección IP con el titular de una línea corresponde a la operadora, y su entrega a un tercero requiere en general autorización judicial, conforme a la Ley de Enjuiciamiento Criminal (arts. 588 ter y siguientes) y a la normativa sobre conservación de datos. Un perito informático puede ayudar al letrado a formular la petición con precisión: qué IP, qué fecha y hora exactas, en qué zona horaria y qué operadora, porque un dato mal formulado puede dar una respuesta inútil.
Qué conviene reunir antes de pedir un análisis
- Los archivos originales cuyos metadatos interesan, en el formato en que se recibieron.
- Los correos o mensajes completos, con sus cabeceras, cuando se quiere analizar una IP.
- La fecha y la hora exactas de los hechos y la zona horaria en que se registraron.
- El procedimiento en el que se utilizará y los plazos que maneja el abogado.
Con ese material, un perito informático puede decir qué datos son analizables, qué se puede solicitar a terceros y qué conclusiones son realistas. Si los datos no permiten responder a la pregunta, un informe honesto lo dice y propone qué diligencias convendría pedir al juzgado.
Casos frecuentes en los que importan los metadatos
- Una fotografía presentada como prueba de que alguien estuvo en un lugar en una fecha.
- Un documento cuya fecha de creación o de modificación se discute.
- Un correo amenazante cuyo origen se quiere acreditar o cuestionar.
- Una cuenta que se conectó desde una IP concreta en un momento determinado.
En cada uno, el dato técnico es un indicio que se valora con el resto de la prueba, no una afirmación absoluta.
Una advertencia sobre la interpretación de los datos
Un dato técnico puede ser correcto y, aun así, no responder a la pregunta que interesa. Una IP identifica una conexión, no a quien estaba sentado delante de la pantalla. Un metadato de fecha puede ser exacto y no decir quién hizo la foto. Por eso un informe riguroso se limita a lo que los datos permiten afirmar y deja para otras pruebas lo que no pueden resolver por sí mismos.
Ver también: Perfiles falsos y suplantación de identidad · Geolocalización y AirTag como prueba de seguimiento
¿Puede un perito «rastrear» a quien me acosa solo con la IP?
No por sí solo. La IP se puede obtener en determinados casos, pero para asociarla con un titular hace falta el dato de la operadora, normalmente por orden judicial, y aun así identifica una conexión, no a una persona.
¿Los metadatos de una foto prueban dónde y cuándo se hizo?
Son un indicio, no una prueba definitiva: pueden estar editados, ausentes o depender de un reloj mal configurado.
¿Una IP extranjera significa que la persona está fuera de España?
No necesariamente: las VPN y otros servicios pueden mostrar una IP de otro país aunque la persona esté en España.
¿Cuánto tiempo guardan las operadoras los datos de conexión?
Con carácter general, durante doce meses según la normativa de conservación de datos, de modo que conviene actuar pronto.
¿Se pueden falsear las cabeceras de un correo?
Algunas partes sí, por eso se analiza el conjunto del recorrido del mensaje y no un solo dato aislado.
¿Qué documentación necesito para pedir un análisis?
Los archivos o correos originales, las fechas y horas con su zona horaria y una descripción breve de los hechos. La primera valoración es confidencial y sin compromiso.
¿Puede una VPN ocultar por completo quién se conecta?
Oculta la IP real ante el servicio que se visita, pero no necesariamente ante el proveedor de la VPN ni ante otros indicios del caso. Es un factor que complica la atribución, no una garantía de anonimato.
¿Se pueden modificar los metadatos de un archivo?
Sí, con herramientas sencillas. Por eso un análisis serio no se apoya en un solo metadato, sino que lo contrasta con el contenido del archivo, el dispositivo y otras fuentes.
Normativa de referencia: Ley 25/2007 de conservación de datos (BOE).