e-Evidence ya obliga en la UE: una orden urgente deja solo ocho horas
El Reglamento (UE) 2023/1543 se aplica desde el 18 de agosto de 2026 y permite enviar una orden europea de producción directamente al establecimiento designado o representante legal de un proveedor en otro Estado miembro. En una emergencia, el destinatario debe transmitir los datos sin demora indebida y, como máximo, ocho horas después de recibir el certificado; el plazo ordinario es de diez días. La página de la Comisión Europea sobre e-Evidence recoge la entrada en aplicación y ambos límites, además de una guía de cálculo de plazos publicada el 21 de agosto.
Desde el 18 de agosto, el régimen afecta a proveedores europeos y a empresas de terceros países que ofrecen servicios cubiertos en la Unión con una conexión sustancial. Incluye comunicaciones electrónicas, nube y almacenamiento, plataformas que permiten comunicarse y servicios de dominios o direcciones IP; el portal oficial neerlandés para empresas confirma ese alcance, los plazos de diez días y ocho horas y una conservación inicial de 60 días.
El alcance depende del servicio y de su conexión con la UE
La ubicación de la sede no decide por sí sola si una empresa está cubierta. El proveedor debe permitir que personas de un Estado miembro utilicen el servicio y mantener una conexión sustancial con al menos un país de la Unión. Puede existir por un establecimiento, por un número significativo de usuarios o por actividades dirigidas al mercado, como emplear una lengua o moneda local, anunciarse allí o prestar atención al cliente en esa lengua.
Después hay que clasificar cada servicio. El análisis jurídico de Reed Smith agrupa los proveedores cubiertos en comunicaciones electrónicas —como correo, mensajería y VoIP—; dominios y numeración IP; y servicios de la sociedad de la información que permiten la comunicación entre usuarios o cuyo componente definitorio es almacenar o procesar datos por cuenta de ellos. Esta última categoría puede comprender nube, alojamiento, mercados digitales, redes sociales y determinados servicios de juego.
Por tanto, una empresa extracomunitaria puede quedar incluida, mientras que la mera posibilidad de abrir una web desde Europa no basta por sí sola. Si una compañía ofrece productos distintos, debe comprobar para cada uno tanto la naturaleza del servicio como el vínculo con la Unión.
Producción y conservación activan obligaciones diferentes
El certificado de una orden europea de producción, conocido como EPOC, exige entregar datos concretos. El certificado de una orden europea de conservación, o EPOC-PR, obliga a preservar datos existentes para que sigan disponibles ante una solicitud posterior, pero no autoriza por sí mismo su transmisión a la autoridad.
El texto oficial del Reglamento (UE) 2023/1543 fija para el EPOC un máximo ordinario de diez días desde la recepción y, en emergencias, una respuesta sin demora indebida dentro de ocho horas. La conservación dura inicialmente 60 días y puede prorrogarse otros 30 si resulta necesario para emitir la solicitud posterior.
El supuesto de emergencia está delimitado: comprende una amenaza inminente para la vida, la integridad física o la seguridad de una persona, incluida una amenaza contra infraestructura crítica cuando su alteración o destrucción produzca ese peligro. No equivale a una marca de prioridad elegida libremente por quien remite la petición.
Qué datos puede abarcar una orden
El régimen distingue datos de abonados, datos solicitados únicamente para identificar al usuario, datos de tráfico y datos de contenido. Entre ellos pueden figurar nombre, dirección, contacto y facturación; direcciones IP, puertos de origen y marcas de tiempo para identificar a una persona; metadatos de comunicaciones; y contenido almacenado como texto, voz, imágenes o vídeo.
La clasificación determina las garantías aplicables. Los datos de tráfico que no se solicitan solo para identificar al usuario y los datos de contenido requieren controles judiciales y condiciones de emisión más estrictos que los datos de abonados o de identificación. La orden tampoco crea acceso general a una cuenta: se refiere a datos especificados, almacenados por el proveedor o en su nombre cuando recibe el certificado.
El plazo de ocho horas exige un circuito continuo
Como el reloj comienza con la recepción, una bandeja atendida únicamente en horario comercial puede consumir buena parte del margen. La traducción operativa mínima es un canal vigilado, registro fiable de la hora de llegada, preservación inmediata de los datos identificados y escalado simultáneo a las funciones jurídica, técnica y de seguridad.
- Autenticar: verificar el canal, la autoridad emisora o validadora, el destinatario y la integridad del EPOC o EPOC-PR.
- Delimitar: identificar cuenta, servicio, categoría de datos, periodo requerido y disponibilidad de la información al recibirse el certificado.
- Preservar y escalar: impedir el borrado o la alteración de los datos afectados y someter sin espera los posibles defectos, imposibilidades o conflictos legales al responsable competente.
- Extraer y transmitir: recopilar solo lo solicitado, restringir el acceso y utilizar el canal seguro indicado.
- Documentar: registrar decisiones, personas autorizadas, integridad de los archivos, consultas, entrega y hora de cierre.
Este flujo no convierte cualquier incidencia en una ampliación automática. Si faltan datos esenciales, existe una imposibilidad material o aparece un motivo para no ejecutar la orden, el proveedor debe utilizar el procedimiento de comunicación previsto, no dejar vencer el plazo en silencio.
El representante europeo debe poder ejecutar la respuesta
Los proveedores comprendidos necesitan un establecimiento designado o un representante legal en la UE autorizado para recibir decisiones y asegurar su cumplimiento. Para una empresa no establecida en la Unión, el representante debe encontrarse en un Estado miembro donde ofrezca servicios y disponer de las facultades y recursos necesarios; una dirección postal aislada no satisface esa función operativa.
Los Estados miembros deben establecer sanciones efectivas, proporcionadas y disuasorias por incumplir las obligaciones de producción, conservación y confidencialidad. En los casos individuales pueden imponer multas de hasta el 2% de la facturación mundial total del proveedor correspondiente al ejercicio anterior.
La entrada en aplicación y los plazos centrales ya están confirmados. La ejecución concreta depende también de las autoridades, canales y normas nacionales del Estado miembro correspondiente, pero el límite europeo de ocho horas ya rige para una EPOC emitida en un supuesto de emergencia.
Lee también:
Suscríbete a nuestro boletín
Reciba las últimas noticias sobre Web3, IA y criptomonedas directamente en su bandeja de entrada.