Prueba en las Investigaciones Corporativas y su Validez en el Proceso Penal

Diana Ferraz Kaminski; Rodrigo Silva Barreto

DOI: 10.22167/2675-6528-202602826

Artículo derivado del Trabajo de Conclusión de Curso (TCC), con contenido basado en el trabajo original del alumno y adaptado al formato editorial de la Revista E&S con el apoyo de la herramienta ResumeAI, solución de inteligencia artificial desarrollada por el Instituto Pecege para síntesis y organización textual.

Resumen

El estudio examinó la validez de las pruebas digitales producidas en investigaciones corporativas, especialmente aquellas obtenidas mediante el monitoreo y la incautación de dispositivos electrónicos proporcionados por las empresas, como teléfonos inteligentes, cuando se utilizan en el proceso penal. El objetivo fue analizar la medida en que estas pruebas pueden considerarse válidas y ser aprovechadas en procesos criminales. Se utilizó una metodología exploratoria y descriptiva, que combinó análisis bibliométrico de la literatura internacional con la aplicación de cuestionarios a profesionales de compliance y jurídico corporativo en Brasil y Holanda. Los resultados revelaron diferencias en la madurez de las prácticas investigativas, en la formalización de políticas, en la capacitación de los equipos y en el uso de evidencias digitales en procesos judiciales entre los países. El análisis bibliométrico indicó que el debate contemporáneo se centró en protección de datos, gobernanza informacional y cadena de custodia. Se concluyó que la admisibilidad y el aprovechamiento probatorio de las evidencias digitales estuvieron más asociados a la formalización, documentación y legitimación jurídica de las prácticas investigativas de las organizaciones que a la tecnología empleada, funcionando la protección de datos como elemento instrumental para la construcción de pruebas válidas y contestables en contextos transnacionales.

Palabras clave: Admisibilidad probatoria; Cadena de custodia digital; Evidencia digital; Gobernanza de la información.

1. Introducción

El avance de las investigaciones corporativas como instrumento de averiguación de ilícitos empresariales ha adquirido creciente relevancia en el escenario jurídico contemporáneo. Estas investigaciones internas funcionan como mecanismos organizacionales destinados a la identificación de irregularidades, a la documentación de las medidas adoptadas y al fortalecimiento de los controles de compliance y gobernanza (Organisation for Economic Co-operation and Development, 2013). En este contexto, el presente estudio desarrolla un análisis comparativo entre Brasil y Holanda, con foco en el uso de dispositivos corporativos, especialmente smartphones, a fin de delimitar el alcance de la investigación y profundizar la discusión sobre la validez y la admisibilidad de las pruebas producidas en investigaciones internas, cuando frecuentemente se conducen de forma paralela o antecedente a la actuación estatal en el ámbito del proceso penal.

Una de las dimensiones centrales de esta problemática se refiere a la admisibilidad de las pruebas obtenidas en investigaciones corporativas y posteriormente trasladadas al proceso penal. Aunque la Constitución Federal asegura los principios de la amplia defensa y del contradictorio (Brasil, 1988), el ordenamiento jurídico brasileño aún carece de parámetros normativos claros en cuanto a la compatibilidad entre los medios probatorios utilizados por las empresas y los límites de la persecución penal estatal (Faraco y Forsman, 2021). Esta laguna normativa genera incertidumbres sobre la validez de las evidencias producidas en el ámbito privado, evidenciando la necesidad de examinar la tensión existente entre la actuación empresarial y la tutela de las garantías procesales penales.

Este debate se intensifica por la creciente incorporación de nuevas tecnologías en el entorno corporativo. El uso de herramientas digitales, como sistemas en la nube y smartphones corporativos, ha alterado significativamente la dinámica de la actividad empresarial y la propia relación entre empleadores y empleados (Castells, 2016). El uso de dispositivos corporativos para fines de monitoreo e investigación puede involucrar datos profesionales y personales de los trabajadores. Por esta razón, la recopilación y el tratamiento de esta información deben observar una finalidad específica, necesidad, proporcionalidad, transparencia y salvaguardas adecuadas (Brasil, 2018; European Parliament y Council of the European Union, 2016).

La protección de datos personales añade una capa adicional de complejidad a la discusión. La entrada en vigor de la Ley General de Protección de Datos Personales (LGPD) en Brasil (Brasil, 2018) y del Reglamento General de Protección de Datos de la Unión Europea (GDPR) (European Parliament y Council of the European Union, 2016) estableció nuevos parámetros para la recopilación, el tratamiento y el intercambio de información personal, incluso aquella extraída de equipos proporcionados por las empresas (Doneda, 2020). Estos diplomas normativos imponen la observancia de principios como finalidad, necesidad y proporcionalidad, restringiendo el acceso irrestricto del empleador a contenidos potencialmente privados, incluso en contextos de apuración de ilícitos. El análisis de los impactos de estas reglas sobre el proceso penal es, por lo tanto, central para la discusión de la admisibilidad probatoria.

En este escenario, los smartphones corporativos asumen un papel destacado, ya que pueden almacenar comunicaciones, documentos, registros de acceso, datos de localización y otra información profesional o personal. Por esta razón, su recopilación para fines investigativos debe tener un alcance previamente delimitado y observar los principios de finalidad, necesidad y proporcionalidad (Brasil, 2018; European Parliament y Council of the European Union, 2016). La definición de las condiciones en las que tales contenidos pueden ser legítimamente utilizados como prueba en el proceso penal trasciende el ámbito empresarial, alcanzando directamente la tutela constitucional de la intimidad y la privacidad (Brasil, 1988).

La intersección entre compliance, gobernanza corporativa y protección de datos evidencia un campo de tensiones normativas que desafía a organizaciones privadas y autoridades públicas. En Brasil, la inexistencia de un marco legal específico para investigaciones corporativas, sumada a la fragmentación regulatoria, amplía la inseguridad en cuanto a los límites de la actuación empresarial y al aprovechamiento de las pruebas producidas internamente (Faraco y Forsman, 2021). Aunque Holanda presenta una mayor tradición de cooperación regulada entre empresas y autoridades, tampoco hay parámetros uniformes que definan de forma objetiva los límites de la legalidad y la proporcionalidad en el acceso a datos corporativos, lo que igualmente contribuye a la inseguridad jurídica. Ante este contexto, el objetivo general del presente estudio fue analizar en qué medida las pruebas obtenidas en el ámbito de las investigaciones corporativas, especialmente aquellas derivadas del monitoreo y la aprehensión de equipos electrónicos proporcionados por las empresas a sus empleados y colaboradores, pueden considerarse válidas y ser aprovechadas en el proceso penal.

2. Material y Métodos

El presente estudio se caracterizó como una investigación exploratoria y descriptiva, desarrollada en dos etapas complementarias. La primera etapa consistió en un análisis bibliométrico de la literatura internacional, mientras que la segunda implicó la aplicación y análisis de cuestionarios. Este enfoque combinado permitió integrar el mapeo teórico del campo con la observación empírica de las prácticas organizacionales, de acuerdo con las directrices metodológicas de Cervo y Bervian (2002) y Severino (2017).

La Etapa 1, referente al análisis bibliométrico, se inició con la selección de bases de datos que garantizaran la relevancia y confiabilidad de la información. Se optó por la Web of Science – Clarivate Analytics, accesible a través del Portal de Periódicos de la CAPES, debido a su amplia cobertura multidisciplinar, indexación de periódicos de impacto y robustos recursos de exportación de datos, siguiendo las orientaciones de Marconi y Lakatos (2017).

La búsqueda en la Web of Science Core Collection se realizó el 1 de febrero de 2026, utilizando la expresión de búsqueda en el campo Tema (TS): [(TS=”criminal process”) OR (TS=”Corporate Investigation”) OR (TS=”Data protection”)] AND TS=(compliance). La consulta abarcó el período de 1900 a 2026, sin restricción de idioma, resultando en 1.726 registros iniciales.

Posteriormente, se aplicó un filtro de tipo documental “Article” en la propia plataforma Web of Science, lo que redujo el corpus a 988 registros. Estos artículos se exportaron en formato .txt para su procesamiento. Para el tratamiento y mapeo de los datos, se empleó el software VOSviewer, reconocido por su capacidad de visualización gráfica y clusterización (Cobo et al., 2011).

En VOSviewer, para el análisis de co-ocurrencia de palabras clave, se utilizó el método de conteo integral (“full counting”) y un umbral mínimo de diez ocurrencias. Para el análisis de co-citación, se estableció un umbral mínimo de 25 co-citaciones, con la exhibición de los 20 autores o entidades de mayor frecuencia, permitiendo la construcción de las redes bibliométricas.

La Etapa 2 de la investigación consistió en la recopilación de datos empíricos a través de un cuestionario estructurado. El instrumento se compuso de 18 entradas, siendo dos preguntas de identificación y 16 preguntas sustantivas. Las preguntas sustantivas se distribuyeron en cuatro bloques temáticos: Políticas de Compliance (3), Monitoreo y Dispositivos Corporativos (4), Protección de Datos (5) y Pruebas Digitales y Proceso Penal (4).

De las 16 preguntas sustantivas, diez eran dicotómicas (Sí/No), una de opción múltiple y cinco eran abiertas. El cuestionario se puso a disposición en formato digital, con versiones en portugués para los participantes en Brasil y en inglés para los participantes en Holanda, buscando la adecuación cultural y lingüística.

La aplicación del cuestionario se realizó a través de la plataforma Google Forms, en el período del 2 de febrero de 2026 al 27 de marzo de 2026. Los participantes fueron profesionales de las áreas de compliance y jurídico corporativo, con conocimiento y responsabilidad sobre programas de denuncias e investigaciones en sus organizaciones.

La muestra fue no probabilística por conveniencia, compuesta por diez encuestados en cada país. En Brasil, los participantes fueron reclutados a través de un grupo de WhatsApp de profesionales vinculados al MBA en Compliance y ESG de la USP/ESALQ. En Holanda, el cuestionario fue compartido con profesionales de Compliance de empresas en grupos internacionales de networking.

Antes de la aplicación, el cuestionario fue revisado por un profesional del área de Compliance para verificar la claridad de las preguntas, la adherencia a los objetivos de la investigación y la consistencia entre las versiones en portugués e inglés. Los datos recolectados a través de los cuestionarios fueron sometidos a un análisis comparativo entre las prácticas observadas en Brasil y en Holanda.

Para asegurar la conformidad ética de la investigación, se completó el Formulario de Direccionamiento Ético (FDE). La participación de los encuestados fue voluntaria, con garantía de anonimato y confidencialidad. El instrumento contenía un aviso de confidencialidad, según se reproduce en el Apéndice A, sin necesidad de un término de consentimiento informado separado.

El tratamiento de los datos recopilados observó los principios de la Ley General de Protección de Datos Personales (LGPD) y del Reglamento General de Protección de Datos (GDPR). La base legal para el tratamiento fue la finalidad exclusivamente académica, con minimización de datos y almacenamiento seguro durante doce meses, tras lo cual se procedió a su eliminación. Se implementaron medidas de seguridad como cifrado y control de acceso, y se puso a disposición un canal para la aclaración de dudas.

3. Resultados y Discusión

La presente sección presenta y discute los resultados obtenidos mediante el análisis bibliométrico de la literatura internacional y la aplicación de cuestionarios a profesionales de compliance y jurídico corporativo en Brasil y Holanda. Los hallazgos revelan una compleja intersección entre la validez de las pruebas digitales, la conformidad regulatoria y las prácticas organizacionales, destacando la importancia de la formalización y la gobernanza de la información. La discusión articula los datos empíricos con el marco teórico, buscando comprender en qué medida las evidencias digitales de investigaciones corporativas pueden ser consideradas válidas y aprovechadas en el proceso penal, conforme al objetivo general del estudio.

Etapa 1 – Resultados del análisis bibliométrico

Los resultados del análisis de coocurrencia de palabras clave, obtenidos con el uso de VOSviewer y considerando un corte mínimo de diez ocurrencias, delinearon una estructura temática centralizada en la privacidad, protección de datos y cumplimiento normativo. Términos como “data protection”, con 219 ocurrencias y fuerza total de 341, “privacy”, con 163 ocurrencias y fuerza 336, y “GDPR”, con 184 ocurrencias y fuerza 315, emergieron como el núcleo de la red, indicando la predominancia de estas temáticas en el debate científico internacional sobre investigaciones corporativas y evidencias digitales. Estos términos concentran el mayor volumen de asociaciones y estructuran la red de investigación.

A partir de este núcleo central, el análisis identificó frentes de investigación distintos, pero interconectados. Un frente aborda la gobernanza y la rendición de cuentas, abarcando términos como “compliance”, “accountability”, “consent” y “personal data”. Otro se concentra en las salvaguardas técnicas, con énfasis en “security”, “data security” y “cloud computing”. Un tercer subdominio, de naturaleza jurídico-tecnológica, conecta “law” y “regulation” a tecnologías emergentes como “blockchain”, “internet of things” y “smart contracts”, evidenciando la preocupación en compatibilizar la rastreabilidad y la inmutabilidad de estas tecnologías con las exigencias de la protección de datos, como ilustrado por la relación “blockchain-GDPR” con 24 ocurrencias. La distribución de estas palabras clave puede ser visualizada en el Análisis de co-ocurrencia de palabras clave

.

La discusión derivada de este análisis bibliométrico revela que la literatura científica tiende a enmarcar las investigaciones corporativas y la obtención de evidencias digitales no como un problema estrictamente probatorio, sino como una cuestión de cumplimiento normativo y gobernanza del ciclo de vida de la información. La prevalencia del eje “privacy” – “data protection” – GDPR sugiere que la validez y el aprovechamiento de datos obtenidos a partir del monitoreo y la aprehensión de dispositivos electrónicos corporativos dependen, conceptual y normativamente, de la legitimidad del tratamiento de estos datos, que debe observar bases legales adecuadas, transparencia, finalidad específica, minimización y mecanismos sólidos de “accountability”.

La articulación de términos relacionados con la seguridad de la información, como “security”, “data security” y “cloud computing”, refuerza que, además de la conformidad material, la robustez de las salvaguardas técnicas es fundamental. La integridad, confidencialidad y control de acceso constituyen un requisito esencial para la fiabilidad y la futura admisibilidad de la prueba digital, aproximando la discusión a criterios procesales típicos, como la cadena de custodia. Esta perspectiva es crucial para garantizar que la evidencia digital mantenga su valor probatorio desde la recolección hasta su presentación en juicio, según lo señalado por Guttman et al. (2022) y Council of Europe (2022).

El subdominio jurídico-tecnológico, a su vez, evidencia tensiones entre tecnologías que amplían la rastreabilidad, como “blockchain” e “Internet of Things” (IoT), y los principios de protección de datos. En entornos corporativos altamente digitalizados, los registros, metadatos y registros operativos pueden reforzar simultáneamente la capacidad investigativa y aumentar los riesgos de tratamiento excesivo o desproporcional. La emergencia de “large language models” y “federated learning”, con año medio de 2024, sugiere una frontera de investigación que desplaza la atención hacia desafíos referentes a inferencias automatizadas, opacidad decisional y procesamiento distribuido, ampliando la necesidad de gobernanza técnica y organizacional para sustentar la licitud de la recolección y la confiabilidad del tratamiento de los datos que pueden convertirse en evidencia (Wachter et al., 2017).

El análisis de co-citaciones, con un umbral mínimo de 25 co-citaciones y una selección máxima de 20 ítems, reveló una base intelectual anclada en referencias institucionales y doctrinarias de la protección de datos en el contexto europeo. La entidad “European Commission” ocupó una posición central, con 194 co-citaciones y una fuerza total de articulación de 478, estableciendo conexiones robustas con el “European Parliament” (77), el “European Data Protection Board” [EDPB] (59) y la “Organisation for Economic Co-operation and Development” [OECD] (35). Esta fuerte europeización de los ítems más citados subraya la centralidad del marco europeo y refuerza la relevancia de la comparación con Holanda, como se ilustra en el Análisis de co-citaciones

.

Los clústeres formados en el análisis de cocitaciones indicaron tres matrices complementarias. Un núcleo institucional y de políticas públicas incluyó la “Commission Nationale de L’informatique et des Libertés” [CNIL] (2018) y la EDPB. Un bloque jurídico-dogmático estuvo compuesto por autores como De Hert y Gutwirth (2006), Solove (2008), Schwartz (2011), Kuner (2013) y Wright y De Hert (2012). Finalmente, un bloque de gobernanza algorítmica destacó a Wachter et al. (2017), Floridi (2023), Hildebrandt (2015), Malgieri (2019) y Veale y Zuiderveen Borgesius (2021). Los lazos internos de estos clústeres, como CNIL-EDPB (40) y Malgieri-Wachter (40), demostraron gran cohesión, mientras que conexiones como De Hert-Kuner (26) y EDPB-Information Commissioner’s Office [ICO] (2011) (25) revelaron un circuito de legitimación recíproca entre doctrina, autoridades de control y formulación normativa.

Estos resultados indican que el debate académico enmarca la obtención y el uso de evidencias digitales en investigaciones corporativas fundamentalmente desde la óptica de la protección de datos y la conformidad regulatoria, y no por las categorías procesales clásicas. Así, la admisibilidad y valoración de la prueba se comprenden como derivadas de la licitud del tratamiento a lo largo de todo el ciclo de vida de los datos, incluyendo finalidad, minimización, transparencia, gobernanza y responsabilidad. En la práctica, esto acerca requisitos procesales – integridad, trazabilidad, confiabilidad, documentación – a la gobernanza interna de las organizaciones.

La presencia del bloque de inteligencia artificial (IA), densamente conectado al eje institucional europeo, refuerza que la frontera actual del campo involucra preocupaciones relacionadas con la automatización, la inferencia algorítmica y la falta de transparencia en los procesos decisorios automatizados. Estos factores pueden tensar la legitimidad de las evidencias cuando se emplean modelos o clasificaciones automatizadas en investigaciones internas, exigiendo mayor rigor en la demostración de criterios, parámetros y límites para evitar la fragilización de la credibilidad de la prueba (Floridi, 2023; UNESCO, 2021).

El análisis complementario de los resúmenes de los artículos bibliométricos constató que la “validez” informacional de los datos producidos en entornos organizacionales se constituye antes del proceso penal, en el momento de su obtención y tratamiento. La literatura afirma que la conformidad con regímenes de protección de datos actúa como criterio de licitud material, centrado en una base legal adecuada, finalidad delimitada, minimización y proporcionalidad. No se trata de un mero checklist, sino de una prueba de necesidad y adecuación que busca evitar prácticas de recolección indebidamente amplias, vinculándose a mecanismos de “enforcement” y arreglos institucionales (Quelle, 2017; Yeung y Bygrave, 2022).

Los regímenes modernos enfatizan el eje riesgo-salvaguardias, desplazando el foco hacia la prevención y la responsabilidad ex ante a través de evaluaciones de impacto y medidas proporcionales (Gellert, 2018; van den Broek y van Veenstra, 2018). Cuanto más intrusiva es la práctica organizacional, mayor es la carga para demostrar la necesidad, la proporcionalidad y las salvaguardias, bajo pena de comprometer la legitimidad de la prueba. En las relaciones laborales, la utilización del consentimiento como fundamento jurídico requiere cautela, especialmente debido a la asimetría existente entre empleador y empleado (Article 29 Data Protection Working Party, 2018).

En los contextos organizacionales, la legitimidad depende también de arquitecturas institucionales y técnicas robustas. El marco europeo de ciberseguridad refuerza que las organizaciones deben demostrar un control efectivo sobre los riesgos y flujos, acercándose a los criterios procesales de confiabilidad (Markopoulou et al., 2019). La integridad y la trazabilidad de la evidencia digital dependen de procedimientos documentados de recolección, preservación, almacenamiento, análisis y transferencia. La cadena de custodia debe registrar quién obtuvo y manipuló la evidencia, cuándo ocurrieron la recolección y las transferencias y la finalidad de cada movimiento, permitiendo la verificación de su autenticidad e integridad (Council of Europe, 2022; Guttman et al., 2022).

Los resúmenes también destacan la necesidad de la recurribilidad: para que la prueba sea válida, debe ser inteligible y verificable. En los sistemas de decisión automatizada, la transparencia, la inteligibilidad y la posibilidad de recurrir constituyen salvaguardias relevantes. Las personas afectadas deben recibir información significativa sobre la lógica utilizada, así como sobre la importancia y las consecuencias previstas del procesamiento automatizado (Binns y Veale, 2021; Wachter et al., 2017). Otra dimensión relevante se refiere a los flujos transnacionales, donde la ubicación de datos en diferentes jurisdicciones puede generar conflictos entre las reglas de protección de datos, los poderes de acceso de las autoridades y los requisitos de transferencias internacionales (Abraha, 2021; Casino et al., 2022; Kuner, 2013).

En resumen, los resultados de la bibliometría evidenciaron que la validez y el aprovechamiento procesal de pruebas derivadas de investigaciones corporativas dependen de cuatro dimensiones interconectadas: la ilicitud material de los medios empleados; la integridad y trazabilidad de las evidencias; la transparencia y la posibilidad de contestación por las partes; y la regularidad de los flujos informacionales, sobre todo en contextos transnacionales. La literatura especializada aborda estas dimensiones predominantemente desde la óptica de la protección de datos personales y la gobernanza de la información. El presente estudio, sin embargo, avanzó al traducir estos ejes analíticos al vocabulario jurídico-procesal, confrontándolos con prácticas concretas observadas en el contexto organizacional de empresas brasileñas y holandesas.

Etapa 2 – Resultados de los cuestionarios

El análisis comparativo de los cuestionarios aplicados en Brasil y Holanda evidenció diferencias estructurales y procedimentales relevantes en cuanto a la madurez de las áreas de compliance, la formalización de las prácticas investigativas y la utilización de evidencias digitales en investigaciones corporativas. La muestra estuvo compuesta por diez encuestados en cada país, y no todas las preguntas fueron respondidas por todos los participantes, lo que llevó al cálculo de los porcentajes con base en el número de respuestas válidas para cada ítem, según se detalla en la Tabla 1.

En términos estructurales, se observó una asimetría significativa en cuanto al tamaño de las organizaciones participantes. Las empresas holandesas que respondieron al cuestionario son, en su mayoría, de gran tamaño, con miles de empleados e ingresos multimillonarios, mientras que en Brasil predomina un perfil organizacional de menor escala, con alrededor de 450 colaboradores, aunque con participación de multinacionales. Esta diferencia estructural es relevante, ya que las empresas de mayor tamaño tienden a contar con departamentos más consolidados de gobernanza, auditoría interna y compliance, lo que favorece una mayor formalización de políticas, estandarización de procedimientos y documentación de las actividades investigativas.

Esta asimetría se refleja directamente en las prácticas internas reportadas. En cuanto a la formalización de las investigaciones corporativas, el 90% de las empresas holandesas (9 de 10 encuestados) afirmaron tener políticas específicas para este fin, en contraste con el 50% en Brasil (5 de 10). La diferencia también se manifiesta en la capacitación de los colaboradores: el 50% de las empresas holandesas (5 de 10) ofrecen capacitaciones periódicas sobre investigaciones y evidencias digitales, mientras que en Brasil este porcentaje es del 20% (2 de 10), lo que sugiere una mayor institucionalización de estas prácticas entre las organizaciones holandesas participantes.

En cuanto al monitoreo de dispositivos corporativos, el 88,9% de las empresas en Holanda (8 de 9 encuestados válidos) informaron realizar algún tipo de monitoreo, frente al 70% en Brasil (7 de 10). Se observó, además, que el 80% de las empresas holandesas (8 de 10) poseen políticas internas específicas que regulan el monitoreo de estos dispositivos, mientras que en Brasil este porcentaje es del 70% (7 de 10). Estos datos indican que, si bien el monitoreo está relativamente extendido en ambos países, es más frecuentemente acompañado de normatización interna entre las organizaciones holandesas participantes, confiriendo mayor previsibilidad y conformidad procedimental.

En cuanto a la recopilación de smartphones corporativos con fines de investigación, los porcentajes son equivalentes: el 50% de las empresas en ambos países (5 de 10) afirmaron adoptar esta práctica. Sin embargo, surgieron diferencias relevantes en cuanto a la fundamentación jurídica del tratamiento de los datos. Aunque todos los encuestados informaron que sus organizaciones tenían una política de protección de datos declarada como alineada a la LGPD o al GDPR, el análisis cualitativo de las respuestas reveló distinciones importantes en la internalización práctica de los principios regulatorios.

Entre las organizaciones holandesas participantes de la muestra, se observó una mayor frecuencia de respuestas que mencionaban principios como proporcionalidad, finalidad y minimización de datos en la conducción de las investigaciones. Ya entre las organizaciones brasileñas participantes, las respuestas presentaron menor detalle de estos criterios. Estos resultados deben ser interpretados con cautela, considerando el número reducido de encuestados y las diferencias de tamaño entre las organizaciones incluidas en la investigación, que pueden influir en la profundidad de la formalización y de la comprensión de los principios de protección de datos.

En cuanto al aprovechamiento judicial, a pesar de niveles similares de recopilación de datos de smartphones (50% en ambos países), la utilización efectiva de estas evidencias en juicio fue más frecuente en Holanda (75%, correspondiente a 6 de 8 respuestas válidas) que en Brasil (60%, equivalente a 6 de 10). Este resultado sugiere que, entre las organizaciones encuestadas de la muestra, factores relacionados con la formalización de procedimientos, la documentación de las actividades investigativas y la preservación de la cadena de custodia pueden influir en el aprovechamiento judicial de esta información más que la tecnología utilizada para su recopilación. La Tabla 1 resume la madurez de las prácticas investigativas en ambos países.

Tabla 1. Brasil vs. Holanda: madurez de las prácticas investigativas

Los resultados sugirieron, en la muestra analizada, que la madurez en el uso de evidencias digitales estuvo más asociada a la formalización y documentación de las prácticas investigativas que a la tecnología empleada. Las organizaciones holandesas participantes presentaron mayor frecuencia de políticas formalizadas, entrenamientos periódicos y mecanismos de gobernanza relacionados con el tratamiento de evidencias digitales. Estos factores pueden contribuir a un ambiente más favorable al aprovechamiento probatorio de estas evidencias. Sin embargo, los resultados no permiten generalizaciones sobre el contexto holandés como un todo, especialmente debido al tamaño de la muestra y a las diferencias estructurales entre las organizaciones participantes.

En contraste, los resultados observados entre las organizaciones brasileñas participantes sugieren oportunidades de fortalecimiento de aspectos procedimentales relacionados con la formalización, la documentación y la gobernanza de las investigaciones corporativas. La comparación debe interpretarse a la luz de los diferentes contextos regulatorios e institucionales. En Brasil, la Ley General de Protección de Datos (LGPD), promulgada en 2018, estableció un marco regulatorio integral para el tratamiento de datos personales, pero su implementación y consolidación institucional aún son relativamente recientes (Brasil, 2018).

En los Países Bajos, a su vez, las organizaciones están sujetas al Reglamento General de Protección de Datos de la Unión Europea (RGPD), adoptado en 2016 y aplicado de forma coordinada por autoridades nacionales de protección de datos, bajo la supervisión y orientación del Comité Europeo de Protección de Datos (CEPD) (Parlamento Europeo y Consejo de la Unión Europea, 2016). Este entorno regulatorio más consolidado puede representar uno de los factores que influyen en la formalización de las políticas internas, la documentación de las investigaciones corporativas y la incorporación práctica de los principios de protección de datos observados en las organizaciones participantes de la muestra.

Sin embargo, otras variables, como el tamaño organizacional, el sector de actividad y el grado de madurez de los programas de cumplimiento, también pueden haber influenciado los resultados encontrados. Así, las diferencias observadas en este estudio deben interpretarse como características de las organizaciones participantes en la investigación, y no como una representación del contexto empresarial brasileño u holandés en su totalidad. La muestra reducida y el carácter exploratorio del estudio son limitaciones que impiden generalizaciones más amplias, pero proporcionan ideas valiosas para futuras investigaciones y para la práctica.

En resumen, la articulación entre el análisis bibliométrico y las evidencias empíricas de los cuestionarios sugiere que la protección de datos no constituye un fin en sí misma, sino un elemento instrumental para la construcción de pruebas válidas, confiables y refutables en el proceso penal. La admisibilidad y el aprovechamiento procesal de las pruebas digitales provenientes de investigaciones corporativas estuvieron más asociados a la formalización, la documentación y la legitimación jurídica de las prácticas investigativas que a la tecnología empleada, especialmente en contextos transnacionales como el comparativo entre Brasil y Holanda, respondiendo directamente al objetivo general del estudio.

4. Conclusión

El presente estudio analizó la medida en que pruebas obtenidas en investigaciones corporativas, derivadas del monitoreo y aprehensión de dispositivos electrónicos proporcionados por las empresas, como smartphones, pueden ser consideradas válidas y aprovechadas en el proceso penal. Se verificó, por medio del análisis bibliométrico, que el debate internacional sobre evidencias digitales se concentró en la protección de datos, gobernanza informacional y cadena de custodia, indicando que la validez probatoria está intrínsecamente ligada a la legitimidad del tratamiento de los datos y a la robustez de las salvaguardas técnicas. Complementariamente, la aplicación de cuestionarios a profesionales en Brasil y Holanda reveló diferencias en la madurez de las prácticas investigativas, en la formalización de políticas y en la capacitación de los equipos. Se observó que la admisibilidad y el aprovechamiento judicial de las evidencias digitales estuvieron más asociados a la formalización, documentación y legitimación jurídica de las prácticas investigativas de las organizaciones que a la tecnología empleada. La principal contribución del trabajo reside en la articulación de estos ejes analíticos de la protección de datos con el vocabulario jurídico-procesal, confrontándolos con las prácticas concretas en contextos organizacionales transnacionales.

Se identificó que la protección de datos funciona como un elemento instrumental para la construcción de pruebas válidas, confiables y refutables en el proceso penal. Sin embargo, el estudio presentó limitaciones, como su carácter exploratorio, el tamaño reducido de la muestra y la dependencia de respuestas autodeclaradas, lo que impide generalizaciones amplias. Desde el punto de vista práctico y gerencial, los hallazgos ofrecen subsidios para áreas de compliance, jurídico corporativo e investigaciones internas, recomendándose que las organizaciones formalicen políticas de investigación y monitoreo, definan criterios de necesidad, proporcionalidad y minimización, documenten decisiones y etapas de la cadena de custodia, capaciten periódicamente a los equipos y establezcan controles específicos para compartimientos transnacionales y uso de herramientas automatizadas. Para estudios futuros, se sugiere ampliar la base empírica, incluir otros sectores o jurisdicciones y profundizar el impacto de herramientas automatizadas y de inteligencia artificial en la producción, preservación y valoración de la prueba digital.

Referencias Bibliograficas

Brasil. 1988. Constituição da República Federativa do Brasil. Diário Oficial da União, Brasília, DF, Brasil, 5 out. 1988. Seção 1, p. 1-167.

Brasil. 2018. Lei nº 13.709, de 14 de agosto de 2018. Dispõe sobre a proteção de dados pessoais e altera a Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet). Diário Oficial da União, Brasília, DF, Brasil, 15 ago. 2018. Seção 1, p. 5

Castells, M. 2016. A Sociedade em Rede. Paz e Terra, São Paulo, SP, Brasil.

Faraco, A.D.; Forsman, G.C.C. 2021. Investigações internas: melhores práticas internacionais e a experiência brasileira. Revista do IBRAC 26(2): 300-315.

Organisation for Economic Co-operation and Development [OECD]. 2013. The OECD Privacy Framework. OECD Publishing, Paris, France. Disponível em: <https://web-archive.oecd.org/2013-09-05/247484-oecd_privacy_framework.pdf>. Acesso em: 10 mar. 2026.

Artículo originado del Trabajo de Conclusión de Curso de la Especialización en Compliance y ESG del MBA USP/Esalq

Para saber más sobre el curso, haga clic aquí y acceda a la plataforma MBX Academy