El perito informático judicial en lo contencioso-administrativo

En 2025 la AEPD impuso sanciones por 48.108.765 euros, y el dato que más importa a quien trabaja con prueba digital está en el desglose: los procedimientos por quiebras de datos personales crecieron un 157 % —de 30 en 2024 a 77 en 2025— y concentraron casi 20 millones (19.836.603 €), es decir el 40 % de todo el importe sancionador del año (nota de prensa de la propia Agencia sobre la Memoria 2025). Dicho de otro modo: cuatro de cada diez euros que sanciona la AEPD salen de brechas de seguridad, que son precisamente los expedientes donde hace falta un informe pericial.

La jurisdicción contencioso-administrativa es donde más esta creciendo mi trabajo como perito. No es casual: la digitalización de las administraciones públicas genera más conflictos técnicos, más sanciones basadas en evidencia digital y más necesidad de que alguien traduzca la realidad técnica al lenguaje que el tribunal necesita. Las administraciones públicas tienen una tendencia a confiar ciegamente en sus propios sistemas, y ahi es donde mi informe pericial marca la diferencia.

He participado en recursos contra la Agencia Tributaria, la AEPD, ayuntamientos y la Seguridad Social donde la evidencia digital fue determinante. También en expedientes disciplinarios donde los logs de acceso del funcionario no resistian un análisis técnico mínimo. Y en licitaciones tecnológicas donde la valoración de la mesa de contratación revelaba un desconocimiento profundo de la materia que puntuaba.

En esta guía explico en detalle como funciona el peritaje informático en esta jurisdicción, que diferencias procesales existen frente a civil, penal y laboral, en que ocho tipos de casos un informe técnico puede cambiar el resultado, y como desvirtuar la presunción de veracidad que protege los actos de la Administración. Si eres abogado administrativista o tu empresa enfrenta un recurso contra la Administración, esta información te será directamente útil.

Qué es la jurisdicción contencioso-administrativa y cuando necesitas un perito informático

La jurisdicción contencioso-administrativa es la via judicial para impugnar actos de las administraciones públicas. Regulada por la Ley 29/1998 (LJCA), cubre un espectro amplio: desde una multa de tráfico hasta una sanción millonaria de la AEPD, pasando por la impugnación de un pliego de licitacion o la anulación de un expediente disciplinario.

En mi experiencia, los casos donde un perito informático contencioso-administrativo resulta necesario comparten un patrón: la Administración ha tomado una decisión basada en datos técnicos que nadie cuestiona. El organismo presenta sus logs, sus informes internos, sus capturas de pantalla, sus volcados de bases de datos, y el administrado asume que eso es inapelable. No lo es.

Lo que distingue esta jurisdicción de civil o penal es que aquí el ciudadano lucha contra la Administración, que parte con ventaja: los hechos constatados por funcionario con condición de autoridad en documento formalizado tienen valor probatorio (art. 77.5 Ley 39/2015), salvo prueba en contrario. Eso significa que cuando un organismo público afirma algo basándose en sus sistemas informáticos, el tribunal lo da por bueno salvo que alguien demuestre lo contrario. Ese “alguien” es el perito informático.

He visto esta dinámica decenas de veces. Un inspector de la AEPD escribe en su informe que “no se constato cifrado en la base de datos de clientes” y el magistrado lo acepta como hecho probado. Lo que el inspector no dice es que inspecciono un entorno de desarrollo, no el de producción, o que su comprobación consistio en pedir un pantallazo y no en ejecutar una auditoría técnica real. Esos matices solo los puede identificar y explicar un perito con experiencia en sistemas reales, no teórica.

Cuándo se necesita un perito informático en lo contencioso

Necesitas un perito informático en lo contencioso-administrativo cuando:

• Recurres una sanción de la AEPD y necesitas demostrar que implementaste medidas técnicas adecuadas o que la brecha no fue por negligencia
• Impugnas una liquidacion o sanción de la AEAT basada en datos de sistemas informáticos (Hacienda cruza datos automáticamente y los errores existen)
• Un funcionario enfrenta un expediente disciplinario donde la prueba son logs de acceso, correos electrónicos o actividad en sistemas corporativos
• Una empresa recurre la adjudicacion de una licitacion tecnológica y necesita demostrar que la valoración técnica fue incorrecta
• Cuestionas una auditoría de sistemas públicos que concluyo que tu software no cumplia requisitos del pliego
• Impugnas una resolución de un organismo regulador (CNMC, CNMV, Banco de España) que se basa en análisis de datos o sistemas tecnológicos
• Una administración local despliega tecnología de vigilancia (cámaras, sensores, reconocimiento facial) y quieres impugnar la legalidad técnica del sistema
• Recurres una decisión automatizada de la Administración que te afecta (denegación de prestación, exclusión de un proceso selectivo, calificación automática)
• Se disputan datos de monitorización ambiental o sanitaria que provienen de sensores públicos cuyos registros no se han validado adecuadamente

La clave es siempre la misma: hay un componente técnico que la Administración presenta como verdad indiscutible y que necesita ser cuestionado con rigor.

Mi perfil como perito en esta jurisdicción

Mi background como perito informático forense —ex-CTO, 5x AWS Certified y con metodología ISO 27037— me situa en una posición específica dentro del contencioso-administrativo: no soy un perito genérico que lee manuales antes de cada caso. He diseñado, construido y operado los mismos tipos de sistemas que luego tengo que auditar en un recurso. Cuando un inspector de la AEPD dice que “el cifrado era insuficiente”, puedo evaluar esa afirmación desde la experiencia de haber implementado arquitecturas de cifrado en producción con miles de usuarios concurrentes. Cuando Hacienda presenta un cruce de datos del SII, entiendo como funciona ese sistema por dentro porque he integrado APIs similares en entornos reales.

Eso no es una ventaja teórica. Es la diferencia entre un informe pericial que el tribunal lee y archiva, y uno que cambia el sentido de la sentencia.

Anatomía de un recurso contencioso-administrativo con componente tecnológico

Para entender donde encaja el perito informático, conviene repasar las fases de un recurso contencioso-administrativo típico y en cuales de ellas mi trabajo aporta valor:

En cada una de estas fases, la colaboración perito-letrado es fundamental. No somos compartimentos estancos: el perito necesita entender la estrategia jurídica y el letrado necesita entender las posibilidades técnicas. Los mejores resultados los obtengo cuando el abogado me involucra desde la fase 1 y trabajamos en paralelo desde el principio.

Diferencias procesales entre jurisdicciones: tabla comparativa completa

Uno de los errores más habituales de los abogados que no litigan habitualmente en contencioso es asumir que el peritaje funciona igual que en civil. No es así. Las diferencias procesales afectan directamente a como preparo y presento el informe.

La diferencia más relevante en la práctica es la presunción de veracidad de los actos administrativos. Cuando la AEPD dice que tu empresa no tenía cifrado, o cuando Hacienda dice que sus sistemas detectaron una discrepancia, el tribunal parte de que eso es cierto. Mi informe pericial tiene que demostrar lo contrario con evidencia técnica sólida.

Otra diferencia crítica: en contencioso, el expediente administrativo es una pieza procesal que el tribunal revisa de oficio. Muchas veces, la clave del caso esta en demostrar que el propio expediente contiene errores técnicos, logs incompletos o conclusiones que no se sostienen técnicamente.

Hay un aspecto procesal que pocos abogados aprovechan: el artículo 55.1 LJCA permite pedir que se reclamen los antecedentes que falten cuando el expediente administrativo no está completo, y hay que hacerlo dentro del plazo para formular la demanda o la contestación. Cuando detecto que faltan logs, informes técnicos internos o documentación de configuración en el expediente, asesoro al letrado para que solicite esa ampliacion antes de la fase de prueba. Ese paso puede ser decisivo.

En la jurisdicción laboral, el peritaje informático se centra casi siempre en despidos por uso indebido de herramientas corporativas, monitorización del empleado o BYOD. En contencioso-administrativo, el abanico es mucho más amplio y la complejidad técnica suele ser mayor, porque los sistemas de la Administración están sujetos a normativa específica (ENS, RGPD, Ley 40/2015 de Régimen Jurídico del Sector Público) que añade capas de exigencia técnica.

Lo que implica cada diferencia para la preparación del informe

Estas diferencias procesales no son académicas. Cada una tiene implicaciones prácticas directas en como preparo mi informe pericial:

La presunción de veracidad obliga a un informe más agresivo. En civil, mi informe puede limitarse a presentar los hechos técnicos desde la perspectiva de mi cliente. En contencioso, además tengo que desmontar activamente las conclusiones de la Administración. Eso requiere un análisis más profundo, más páginas y más horas de trabajo. Un informe pericial para contencioso suele tener entre 20 y 60 páginas frente a las 10-25 habituales en civil.

El expediente administrativo es mi principal fuente de información. En civil, el perito puede acceder a los sistemas de ambas partes con su consentimiento o por orden judicial. En contencioso, la principal fuente de información es el expediente que la Administración remite al tribunal. Si el expediente es incompleto o las pruebas técnicas están mal documentadas, mi informe lo pone de manifiesto y lo utiliza como argumento: si la propia Administración no documento adecuadamente su actuación técnica, sus conclusiones son cuestionables.

El plazo más corto exige planificación anticipada. En el procedimiento ordinario civil hay 20 días para proponer prueba. En contencioso ordinario, 15 días. En el abreviado, la prueba se propone en el acto de la vista. Esto significa que el informe pericial debe estar preparado antes de que se abra el periodo de prueba, no después. El perito y el letrado deben trabajar en paralelo con la redacción de la demanda.

La rareza del perito judicial exige mayor rigor del perito de parte. En civil, si hay dos informes periciales contradictorios, el tribunal puede nombrar un perito judicial que dirima la discrepancia. En contencioso, eso es infrecuente. El tribunal decide con los informes de parte que tiene. Eso significa que mi informe debe ser especialmente riguroso, porque es probable que sea la única referencia técnica que el magistrado tenga para resolver la controversia.

Las costas siguen el criterio de vencimiento, y conviene tenerlo claro antes de recurrir. El artículo 139.1 LJCA dispone que en primera o única instancia el tribunal impondrá las costas a la parte que haya visto rechazadas todas sus pretensiones, salvo que aprecie y razone que el caso presentaba serias dudas de hecho o de derecho. Si la estimación o la desestimación es parcial, cada parte paga las suyas y las comunes por mitad —y ahí sí aparecen la mala fe y la temeridad, como excepción para cargárselas a una sola—.

Lo que sí se mantiene es la otra cara: si el recurso se estima, los gastos del informe pericial pueden incluirse en la tasación de costas como gasto necesario para la defensa.

El Abogado del Estado tiene recursos limitados para pericia informática. En mi experiencia, la Abogacía del Estado rara vez aporta un contrainforme pericial informático propio en contencioso. Lo que suele hacer es cuestionar el informe de parte durante la ratificación, intentando debilitar las conclusiones del perito con preguntas estratégicas. Eso significa que en la mayoría de los casos, mi informe es el único dictamen técnico que el tribunal tiene para decidir. La calidad y la solidez de mi informe son aun más determinantes en estas condiciones.

Ocho tipos de casos donde el peritaje informático es determinante

Después de varios años trabajando en esta jurisdicción, estos son los ocho escenarios donde más valor aporta mi informe pericial.

1. Impugnación de sanciones AEPD

La AEPD sanciona con base en informes técnicos internos. Cuando una empresa recurre, necesita un perito que analice si las medidas de seguridad eran realmente inadecuadas o si la brecha se debio a un ataque sofisticado que ninguna medida razonable habría evitado. He analizado casos donde la AEPD concluia “cifrado insuficiente” cuando en realidad el cifrado AES-256 estaba correctamente implementado pero el vector de ataque fue ingeniería social, no una vulnerabilidad técnica.

Los procedimientos sancionadores de la AEPD siguen un patrón predecible: el inspector redacta un informe técnico, la Subdirectora de Inspección propone la sanción y el Director de la AEPD la confirma. En todo ese recorrido, rara vez interviene un perito externo que cuestione las conclusiones técnicas. Esa es exactamente la función que cumplo cuando la empresa decide recurrir en contencioso.

Los errores más frecuentes que encuentro en los informes técnicos de la AEPD son: confundir entornos (desarrollo vs producción), evaluar medidas de seguridad con criterios genéricos en lugar de proporcionales al riesgo, ignorar controles compensatorios que el responsable de tratamiento tenía implementados, y no distinguir entre vulnerabilidades explotadas y vulnerabilidades meramente existentes. Cada uno de estos errores es una línea de defensa que el informe pericial puede desarrollar.

Un aspecto que muchos abogados desconocen: la AEPD pública sus resoluciones sancionadoras completas en su buscador de resoluciones. Antes de preparar un informe pericial, reviso las resoluciones previas del mismo tipo para identificar los argumentos técnicos que la AEPD utiliza recurrentemente y preparar respuestas específicas. Esa preparación marca la diferencia entre un informe reactivo y uno anticipatorio.

Las resoluciones de la AEPD que agotan la vía administrativa se recurren ante la Audiencia Nacional, pero conviene no generalizarlo a toda sanción sin comprobar el acto concreto y su régimen de recurso. Sobre la acogida que la Sala da a la prueba pericial informática. Los magistrados de la Audiencia Nacional entienden que las cuestiones de ciberseguridad y protección de datos requieren explicación técnica especializada. He visto sentencias donde la Audiencia Nacional cita textualmente conclusiones del informe pericial informático como fundamento de la estimación del recurso. Eso no ocurre con informes genéricos o superficiales: ocurre cuando el perito demuestra dominio real de la materia y el informe esta estructurado para facilitar la labor del magistrado.

2. Recursos contra liquidaciones y sanciones de la AEAT

Hacienda utiliza sistemas automatizados para cruzar datos y detectar discrepancias. El problema es que esos sistemas tienen falsos positivos. He participado en recursos donde la liquidacion complementaria se basaba en datos que el sistema de la AEAT había procesado incorrectamente: duplicidades en el SII, errores de sincronización en el modelo 303, o interpretaciones automáticas de movimientos bancarios que no correspondian con la realidad.

El caso típico que llega a mi despacho involucra a una empresa que ha recibido una comprobación limitada o una inspección donde la AEAT presenta datos extraídos de sus propios sistemas como si fueran verdades absolutas. Mi trabajo es verificar si esos datos son correctos, si el proceso de extracción fue fiable y si la interpretación que hace el inspector tributario tiene fundamento técnico. En más de una ocasion, he encontrado que el propio sistema de Hacienda presentaba inconsistencias internas.

Un escenario cada vez más frecuente es el cruce de datos entre plataformas digitales y la AEAT bajo la DAC7 (Directiva 2021/514). Las plataformas reportan automáticamente los ingresos de vendedores y prestadores de servicios, pero esos datos pueden contener duplicidades, errores de conversión de divisa o atribuciones incorrectas. Cuando Hacienda inicia una comprobación basada en esos datos automatizados, el contribuyente necesita un perito que verifique la integridad del flujo de datos desde la plataforma hasta el expediente de Hacienda.

Los errores más habituales que encuentro en los cruces de datos de la AEAT son:

• Duplicidades por múltiples cuentas: Un mismo vendedor registrado en una plataforma con dos cuentas (personal y de empresa) aparece como dos contribuyentes diferentes, duplicando sus ingresos declarados
• Errores de conversión de divisa: Las plataformas internacionales reportan en la divisa del marketplace, pero la conversión a euros puede hacerse con el tipo de cambio del día de la operación, del día del cobro o del día del cierre fiscal, generando diferencias significativas
• Devoluciones no compensadas: Los reembolsos de compras se procesan con semanas o meses de retraso y pueden no aparecer en el mismo periodo fiscal que la venta original, inflando artificialmente los ingresos de un periodo
• Comisiones de plataforma incluidas en el ingreso bruto: Algunas plataformas reportan el precio bruto del producto incluyendo su propia comisión, que no es ingreso del vendedor. Si Hacienda no descuenta la comisión, atribuye al vendedor ingresos que nunca recibio

Otro ámbito creciente son las facturas electrónicas y el SII (Suministro Inmediato de Información). El SII obliga a remitir los registros de facturación por vía electrónica en plazos cortos —no «en tiempo real», que es como suele resumirse—, y los errores técnicos en la transmisión pueden generar discrepancias que Hacienda interpreta como incumplimientos o fraude. He visto casos donde un timeout en la API del SII provoco que facturas no se registraran en plazo, generando una sanción automática. Mi informe pericial demostro que el error fue del sistema de la AEAT, no del contribuyente.

Con la entrada en vigor del sistema VeriFactu (facturación electrónica obligatoria), cuyo calendario conviene comprobar en la sede de la AEAT antes de citarlo, anticipo un aumento significativo de recursos contencioso-administrativos relacionados con errores en la transmisión automática de facturas. VeriFactu obliga a que los sistemas de facturación envien un registro simultaneo a la AEAT de cada factura emitida, lo que multiplica los puntos de fallo técnico (conectividad, compatibilidad de formatos, validación de firmas digitales, sincronización temporal). Cada uno de esos fallos puede generar una discrepancia que Hacienda interprete como incumplimiento. Mi experiencia con el SII me ha ensenado que los sistemas automáticos de la AEAT no distinguen entre un error técnico y una irregularidad fiscal: tratan ambos como “discrepancia” y actuan en consecuencia. El perito informático es quien puede hacer esa distinción ante el tribunal.

Otro escenario cada vez más frecuente es la fiscalidad de criptoactivos. La AEAT ha intensificado sus comprobaciones sobre operaciones con criptomonedas a raíz de los datos obtenidos de exchanges bajo la DAC8 —la DAC7 cubre plataformas digitales; los criptoactivos entran por la DAC8— y los requerimientos individuales del modelo 721, que es una declaración informativa sobre monedas virtuales situadas en el extranjero —no un requerimiento individual—. Los datos que los exchanges reportan a la AEAT no siempre coinciden con la realidad de las operaciones del contribuyente por múltiples motivos técnicos: los exchanges utilizan diferentes métodos de calculo de coste de adquisición, las operaciones entre wallets propias pueden interpretarse incorrectamente como ventas, y los airdrops, forks y staking generan eventos fiscales que los exchanges no siempre reportan correctamente. Mi informe pericial reconstruye el historial completo de operaciones del contribuyente a partir de los datos de la blockchain (que son inmutables y verificables), y lo contrasta con los datos que la AEAT maneja. En más de un caso, la diferencia ha sido significativa.

La ventaja técnica del análisis on-chain es que el registro es difícil de alterar y no depende de ninguna de las dos partes. Conviene medir la palabra: NIST distingue resistencia a la manipulación de inmutabilidad absoluta —los bloques recientes pueden ser reemplazados—, y lo que la cadena acredita es la transacción, no quién controlaba la clave. Ni el contribuyente puede falsificar sus operaciones en la blockchain (están firmadas criptográficamente), ni la AEAT puede cuestionar la autenticidad de los datos (son públicos y verificables por cualquiera). El informe pericial que reconstruye operaciones a partir de datos on-chain tiene una solidez probatoria excepcional porque se basa en una fuente de verdad que ninguna de las partes controla.

Los casos de criptoactivos ante la AEAT presentan además una complejidad adicional: la interpretación fiscal de determinadas operaciones (airdrops, staking rewards, liquidity pool yields, governance tokens) no esta claramente definida por la normativa tributaria. En estos casos, mi informe pericial no solo reconstruye los hechos técnicos, sino que explica al tribunal la naturaleza técnica de cada tipo de operación para que el magistrado pueda evaluar si la calificación fiscal que la AEAT ha aplicado es correcta o no. No valoro jurídicamente la cuestion (eso es función del letrado), pero aporto la base técnica necesaria para que la valoración jurídica sea informada.

3. Licitaciones y contratación pública tecnológica

Las valoraciones técnicas en licitaciones públicas a veces contienen errores de concepto. He informado en recursos donde la mesa de contratación puntuo negativamente una solución tech por motivos que no se sostenian técnicamente, o donde la empresa adjudicataria no cumplia realmente los requisitos del pliego.

Este tipo de casos requiere un perito con experiencia real en arquitectura de software y sistemas cloud. No basta con saber derecho administrativo: hay que entender que significa “alta disponibilidad”, “escalabilidad horizontal” o “cumplimiento ENS nivel alto” para poder valorar si la puntuación técnica fue justa o arbitraria. Mi background como ex-CTO y 5x AWS Certified me permite evaluar estos pliegos con criterio técnico real, no teórico.

En los últimos dos años he visto un aumento notable de recursos contra adjudicaciones de contratos cloud, migraciones a la nube pública, desarrollo de aplicaciones móviles para administraciones y plataformas de sede electrónica. Los pliegos de prescripciones técnicas suelen estar redactados con ambiguedad técnica, lo que permite interpretaciones dispares en la valoración. Mi informe pericial traduce esa ambiguedad en criterios técnicos objetivos que el tribunal puede utilizar para evaluar si la puntuación fue arbitraria.

Un escenario habitual —construido, sin expediente identificable—: una empresa licita un servicio cloud con requisito de “alta disponibilidad 99,9%”. La mesa de contratación puntuo mejor a un competidor que ofrecía un único servidor dedicado frente a la arquitectura multi-zona del recurrente. El informe de valoración técnica confundía “uptime del servidor” con “disponibilidad del servicio”. Mi informe pericial explico la diferencia y demostro que la solución del adjudicatario no podía cumplir el SLA del pliego.

Los conceptos técnicos que con más frecuencia se malinterpretan en las valoraciones de licitaciones públicas son:

Cuando detecto que la mesa de contratación ha cometido uno de estos errores, mi informe pericial no solo señala el error: explica por que importa, que consecuencias tiene para el servicio público y por que la solución del recurrente es técnicamente superior en el criterio concreto que se valoro incorrectamente.

4. Expedientes disciplinarios a funcionarios y empleados públicos

Cuando un funcionario es sancionado por uso indebido de sistemas informáticos, la prueba suelen ser logs de acceso. Mi trabajo consiste en verificar si esos logs son fiables, si la cadena de custodia se mantuvo, y si la interpretación que hace el instructor del expediente es técnicamente correcta. Los sistemas de logging de muchas administraciones tienen carencias que pueden invalidar la prueba.

Un problema recurrente que encuentro es que los logs de acceso de las administraciones públicas no traen garantías de integridad. Conviene no confundirlo con inadmisibilidad: un log sin firma no es inadmisible —el art. 348 LEC deja la valoración a la sana crítica—, lo que ocurre es que pesa menos y se impugna mejor. No tienen firma digital, no hay evidencia de que no hayan sido modificados, y en muchos casos se presentan como exportaciones a Excel sin metadatos del sistema original. Eso no sería admisible como prueba en un procedimiento penal, y en contencioso tampoco debería serlo sin cuestionamiento.

Los expedientes disciplinarios son especialmente delicados porque pueden terminar con la separación del servicio del funcionario, que es la sanción máxima equivalente al despido. He visto expedientes donde se acusaba a un funcionario de acceder a expedientes de familiares en un sistema de gestión, pero los logs no registraban que tipo de operación se realizo (consulta, modificación, impresión), solo el acceso al módulo. Sin poder distinguir entre acceso accidental y acceso deliberado con finalidad ilícita, la prueba es insuficiente. Mi informe pericial desmonta esa insuficiencia probatoria.

Otro patrón frecuente: funcionarios sancionados por “uso personal de Internet en horario laboral” basándose en logs del proxy o del firewall. Esos logs suelen registrar peticiones DNS o conexiones TCP, no la actividad del usuario. Un navegador puede generar cientos de conexiones a dominios publicitarios, de tracking o de CDN sin que el usuario haya visitado esos sitios deliberadamente. Explicar al tribunal esa realidad técnica puede cambiar radicalmente la valoración de la prueba.

Hay un elemento adicional que encuentro con frecuencia en expedientes disciplinarios de la función pública: la confusión entre correlación y causalidad. El hecho de que un funcionario accediera a un sistema en un momento determinado no demuestra que realizara una acción concreta en ese sistema. Los logs de acceso registran la autenticación, no necesariamente la acción posterior. Si el sistema no tiene un log de auditoría granular que registre cada operación (consulta, modificación, exportación, impresión), la Administración esta construyendo su caso sobre arena. Mi informe pericial expone esa debilidad probatoria y obliga al tribunal a valorar si la evidencia es realmente suficiente para la sanción impuesta.

En el ámbito de la Seguridad Social, he analizado expedientes disciplinarios donde se acusaba a un empleado de consultar historiales de cotización de familiares. El sistema registraba el número de expediente consultado, pero no si la consulta fue deliberada o resultado de una búsqueda amplia en la que el expediente aparecía entre cientos de resultados. Mi análisis del sistema demostro que la interfaz de búsqueda mostraba resultados por defecto ordenados alfabeticamente, y que era técnica e inevitablemente posible que el expediente del familiar apareciera en pantalla durante una búsqueda legítima sin que el funcionario lo hubiera buscado activamente.

5. Cámaras de vigilancia, smart cities y tecnología de vigilancia municipal

Los ayuntamientos están desplegando tecnología de vigilancia a un ritmo acelerado: cámaras con reconocimiento facial, sensores de matriculas (ANPR), redes de sensores IoT, plataformas de smart city. Muchas de estas implantaciones se hacen sin evaluación de impacto en protección de datos (EIPD) o con evaluaciones deficientes que no abordan los riesgos reales.

He participado en recursos donde vecinos o asociaciones impugnaban la instalación de cámaras de vigilancia municipales. Mi informe pericial analizo las especificaciones técnicas del sistema para determinar si las cámaras capturaban datos biométricos (en cuyo caso se requiere el artículo 9 RGPD), si el angulo de vision excedía el espacio público necesario, si existían mecanismos reales de anonimización o si el almacenamiento cumplia con los plazos de la Instrucción 1/2006 de la AEPD.

Un caso particularmente interesante fue un ayuntamiento que instalo un sistema de lectura automática de matriculas para controlar una zona de bajas emisiones. El sistema almacenaba la posición GPS, la hora, la dirección de circulación y una imagen del vehículo con el conductor visible. Mi informe pericial demostro que el tratamiento de datos era desproporcionado: para verificar la autorización de un vehículo basta con la matrícula, sin necesidad de almacenar la imagen del conductor ni la trayectoria completa.

Las plataformas de smart city (gestión integral de servicios urbanos: iluminacion, riego, residuos, tráfico, aparcamiento) generan un volumen masivo de datos sobre los ciudadanos. Cuando estas plataformas se implementan sin una evaluación de impacto adecuada, o cuando los datos se comparten con terceros sin base jurídica suficiente, el recurso contencioso-administrativo puede requerir un perito que analice la arquitectura de datos de la plataforma, identifique que datos personales se recogen, como se procesan, donde se almacenan, quien tiene acceso y si los controles de seguridad son proporcionales a la sensibilidad de los datos.

He visto plataformas smart city donde los datos de movilidad de los ciudadanos (recogidos por sensores de tráfico y aparcamiento) se cruzaban con datos de consumo de agua y electricidad para crear “perfiles de comportamiento urbano”. Esa correlación de datos, que permite inferir hábitos de vida, horarios y ausencias del domicilio, constituye un tratamiento que requiere una base jurídica sólida y medidas de seguridad reforzadas. Mi informe pericial documento que la plataforma carecía de ambas cosas.

El uso de drones por parte de administraciones locales (policía local, protección civil, inspección urbanistica) genera un nuevo frente de recursos contencioso-administrativos. Los drones equipados con cámaras de alta resolución captan imágenes que pueden incluir personas identificables, matriculas de vehículos e interiores de propiedades. Cuando un ciudadano impugna una sanción basada en imágenes captadas por un dron municipal, el perito puede analizar las especificaciones técnicas del dron y su cámara, el plan de vuelo, la altitud y angulo de captura, si se activo algun mecanismo de anonimización automática, y si el tratamiento de las imágenes cumple con la normativa de protección de datos y la regulación de vuelos no tripulados de la AESA (Agencia Estatal de Seguridad Aérea).

6. Votacion electrónica y procesos selectivos digitalizados

La digitalización de procesos selectivos (oposiciones, concursos de meritos, bolsas de empleo) y de consultas ciudadanas genera un nuevo frente de recursos contencioso-administrativos donde la pericia informática es esencial.

He visto plataformas de exámenes online cuyos resultados se almacenaban sin controles de integridad, sin logs de auditoría de modificaciones y sin mecanismos que garantizaran que las respuestas no fueron alteradas tras la finalización del examen. En un caso, la plataforma permitía que un administrador con acceso a la base de datos modificara respuestas individuales sin dejar rastro. Mi informe pericial documento esa vulnerabilidad, que compromete de raíz la integridad del proceso selectivo.

Los requisitos mínimos que debería cumplir una plataforma de exámenes online para un proceso selectivo público son:

• Audit trail inmutable: Cada acción (respuesta, modificación, envio) debe quedar registrada con timestamp, usuario y hash del estado anterior, de forma que cualquier alteración posterior sea detectable
• Cifrado de respuestas en transito y en reposo: Las respuestas del opositor deben cifrarse desde el navegador hasta el servidor y almacenarse cifradas en la base de datos
• Sellado temporal: Al finalizar el examen, el conjunto de respuestas debe sellarse con un timestamp de una autoridad de sellado de tiempo (TSA) conforme a la norma eIDAS
• Segregación de roles: Ningun administrador individual debe poder acceder a las respuestas y al resultado simultáneamente
• Verificabilidad por el opositor: El opositor debe poder verificar que sus respuestas registradas coinciden con las que envio, mediante un recibo firmado digitalmente

Cuando una plataforma no cumple estos requisitos y un opositor impugna el resultado, mi informe pericial documenta cada deficiencia y su impacto potencial en la integridad del proceso selectivo.

Los sistemas de votacion electrónica municipal presentan problemas similares. La verificabilidad del voto, el secreto del sufragio, la auditabilidad del recuento y la integridad de los resultados son requisitos técnicos que muchos proveedores no cumplen adecuadamente. Cuando un ciudadano o un grupo político impugna los resultados de una consulta electrónica, necesita un perito que evalua si el sistema cumplia las garantías mínimas de un proceso democratico transparente.

Los procesos selectivos digitalizados presentan un reto adicional: la trazabilidad de las respuestas del opositor. En un examen presencial en papel, existe una evidencia física (el examen escrito) que el opositor puede verificar. En un examen online, la única evidencia es un registro en una base de datos. Si ese registro puede ser modificado sin dejar rastro (porque el sistema no implementa un audit trail inmutable), la garantía procesal del opositor queda comprometida. He analizado plataformas de exámenes online de varias Comunidades Autónomas y en ninguna de ellas encontre un sistema de audit trail que cumpliera los requisitos mínimos de integridad que yo exigiría para un entorno de producción crítico.

Otro problema frecuente en los procesos selectivos digitalizados es la gestión de las incidencias técnicas. Cuando un opositor pierde la conexión durante un examen online, o el sistema se ralentiza, o la plataforma no carga las imágenes del enunciado, el protocolo de actuación de la administración suele ser insuficiente o inexistente. Mi informe pericial puede documentar la incidencia técnica, estimar su impacto en el resultado del opositor y evaluar si el protocolo de contingencia de la administración era adecuado.

7. Datos de salud pública y sistemas sanitarios

La pandemia acelero la digitalización sanitaria y con ella los conflictos sobre datos de salud en la Administración. Historias clinicas electrónicas, sistemas de cita previa, apps de seguimiento, pasaportes sanitarios digitales: todos generaron litigios que requieren pericia informática.

Un supuesto que se plantea con cierta frecuencia: un paciente impugna el contenido de su historia clínica electrónica alegando que fue modificada tras un evento adverso. El análisis del sistema puede demostrar que la plataforma de historia clinica no implementaba un log de auditoría inmutable: los registros podían ser editados por personal autorizado sin que quedara constancia de la versión anterior. Esa ausencia de trazabilidad, que incumple el artículo 18 de la Ley 41/2002 de autonomia del paciente, es lo que permite cuestionar la fiabilidad de la historia clinica como prueba.

Otro ámbito creciente es la impugnación de resoluciones basadas en datos de sistemas de información sanitaria. Cuando una Comunidad Autónoma deniega una prestación basándose en datos de su sistema de información, el ciudadano puede recurrir cuestionando la fiabilidad de esos datos. Mi informe pericial analiza el sistema, su arquitectura, sus controles de calidad de datos y sus mecanismos de actualización para determinar si los datos en los que se basa la resolución son fiables.

Un aspecto particularmente sensible es la interoperabilidad entre sistemas sanitarios de distintas Comunidades Autónomas. Cuando un paciente atendido en una Comunidad diferente a la suya impugna una decisión basada en datos de su historia clinica, hay que verificar si la transferencia de datos entre sistemas fue correcta, si los formatos son compatibles y si no se produjo pérdida de información en la traducción entre sistemas. He encontrado casos donde el diagnóstico de un paciente se altero al transferir datos entre dos sistemas sanitarios autonómicos que utilizaban codificaciones diferentes (CIE-9 vs CIE-10) sin un mapeo correcto, generando una denegación de prestación basada en un diagnóstico erróneo.

La receta electrónica interoperable es otro foco de conflictos. Cuando un paciente no puede dispensar su medicacion en una farmacia de otra Comunidad Autónoma porque el sistema de interoperabilidad falla, la cuestion técnica es: el fallo esta en el sistema de la Comunidad de origen, en el de destino, en el nodo de interoperabilidad o en el punto de dispensacion? Mi informe pericial puede analizar los logs de cada uno de esos sistemas para identificar donde se produjo el error y determinar que administración es responsable.

La telemedicina, acelerada desde la pandemia, añade otra capa de complejidad. Las plataformas de teleconsulta generan registros electrónicos de las sesiones (conexión, duración, documentos compartidos, prescripciones), pero muchas de estas plataformas no cumplen los requisitos de trazabilidad del ENS o del Esquema Nacional de Interoperabilidad. Cuando un paciente impugna el contenido de una teleconsulta, necesita un perito que verifique la integridad de esos registros electrónicos y determine si son fiables como evidencia.

8. Monitorización ambiental y datos de sensores públicos

Las administraciones públicas utilizan redes de sensores para medir calidad del aire, niveles de ruido, caudales de agua, radiacion y otros parámetros ambientales. Las resoluciones administrativas basadas en esos datos (sanciones por contaminación, restricciones de actividad, denegaciones de licencia) son impugnables si se demuestra que los datos de los sensores no son fiables.

He analizado redes de sensores de calidad del aire donde los equipos no se calibraban en los intervalos recomendados por el fabricante, donde los datos perdidos se interpolaban sin documentar el método, y donde las estaciones de medición estaban ubicadas en posiciones que no representaban las condiciones reales de la zona monitorizada. Cuando una empresa recibe una sanción por superar límites de emisión basándose en datos de un sensor defectuoso o mal calibrado, el informe pericial puede desvirtuar la presunción de veracidad de esos datos.

Un escenario típico, construido y sin expediente que citar: una fábrica sancionada por superar límites de ruido nocturno, con un sonómetro municipal cuya calibración no está al día. Mi informe pericial demostro que el equipo no había sido calibrado en 18 meses (el fabricante recomienda calibracion anual), que la ubicación del sensor estaba a 2 metros de una via de tráfico pesado cuya contribucion acústica no se segregaba, y que los registros no distinguian entre el ruido de la fábrica y el ruido ambiental de fondo. El tribunal anulo la sanción y ordeno una nueva medición con equipos calibrados y metodología conforme a la normativa ISO 1996-1:2016.

En el ámbito de la calidad del agua, he analizado datos de estaciones de medición automática donde los valores de pH y conductividad presentaban saltos bruscos que no correspondian a ningun evento de vertido real, sino a errores de calibracion del sensor. La administración hidrologica había sancionado a una empresa basándose en esos datos sin verificar la fiabilidad de las mediciones. Mi informe pericial incluyo un análisis estadístico de la serie temporal de datos que demostro la presencia de valores anómalos consistentes con un error sistemático del sensor, no con un vertido puntual.

Un aspecto técnico que pocos peritos abordan en casos de monitorización ambiental es la cadena de custodia de los datos digitales del sensor. Los datos viajan desde el sensor físico hasta un datalogger, de ahi a un servidor central via comunicación inalámbrica (normalmente GPRS o LoRaWAN), se almacenan en una base de datos y finalmente se exportan para incluirlos en el expediente sancionador. En cada una de esas etapas puede producirse una alteración, una pérdida o un error de transmisión. Si la administración no puede documentar la integridad del dato en cada punto de la cadena, la fiabilidad del dato como prueba es cuestionable. Mi informe pericial analiza esa cadena completa y señala los puntos donde la integridad del dato no esta garantizada.

Las estaciones de medición ambiental también son vulnerables a factores externos que pueden distorsionar las lecturas. Es un problema conocido: un sensor de calidad del aire ubicado junto a una carretera registraba niveles de particulas PM2.5 que la administración atribuía a una fábrica cercana, cuando en realidad el 80% de las particulas procedian del tráfico rodado. Sin un análisis de contribucion de fuentes (source apportionment), la sanción se basaba en una atribución incorrecta. Mi informe pericial incluyo un análisis de los patrones temporales de las lecturas (picos coincidentes con horas punta de tráfico, no con los turnos de producción de la fábrica) que demostro que la fábrica no era la fuente principal de las particulas medidas.

Tabla resumen: ocho tipos de casos y que aporta el perito

La presunción de veracidad: que es y como desvirtuarla con un informe pericial

Este es el punto más importante de toda la guía y lo que diferencia radicalmente el contencioso-administrativo de otras jurisdicciones. Sin entender la presunción de veracidad y como funciona en la práctica, es imposible preparar un informe pericial eficaz en contencioso. He dedicado muchas horas a estudiar la jurisprudencia sobre esta cuestion, y lo que he aprendido es que la presunción no es tan sólida como parece: es un escudo con fisuras, y el informe pericial informático es la herramienta para encontrar y explotar esas fisuras.

Qué dice la ley

El artículo 77.5 de la Ley 39/2015 establece que los documentos formalizados por funcionarios tienen valor probatorio. Los hechos constatados por agentes de la autoridad gozan de presunción de veracidad. Esto significa que si un inspector de la AEPD dice en su informe que tu servidor no tenía el parche de seguridad X, el tribunal lo acepta como cierto salvo prueba en contrario.

Y esa prueba en contrario es, casi siempre, un informe pericial informático.

Límites de la presunción de veracidad

La presunción de veracidad no es absoluta, aunque muchos administrados y algunos abogados la tratan como si lo fuera. La STC 76/1990 sostiene los dos primeros puntos que siguen —el alcance limitado a los hechos percibidos y su carácter iuris tantum—; los demás son desarrollo práctico, no doctrina de esa sentencia (Pleno, ECLI:ES:TC:1990:76). En síntesis, esta presunción:

1. Solo afecta a los hechos directamente percibidos por el funcionario, no a sus valoraciones, interpretaciones o conclusiones técnicas. Cuando un inspector de la AEPD constata que “accedio al servidor y verifico la configuración”, la presunción cubre que accedio al servidor. No cubre que la configuración fuera insuficiente: eso es una valoración técnica, no un hecho percibido.

2. Es una presunción iuris tantum, desvirtuable por prueba en contrario. No invierte la carga de la prueba en sentido absoluto, sino que establece un punto de partida que el administrado debe superar.

3. No se aplica a informes de terceros incorporados al expediente. Si la Administración encarga un informe técnico a una empresa externa y lo incorpora al expediente sancionador, ese informe no goza de presunción de veracidad. Es una prueba documental que debe valorarse según las reglas generales.

4. No ampara las conclusiones derivadas de procesos automatizados. Cuando la AEAT genera una liquidacion a partir de un cruce automático de datos, esos datos no han sido “constatados” por ningun funcionario. Son el resultado de un algoritmo, y los algoritmos cometen errores. Esta distinción es cada vez más relevante a medida que las administraciones automatizan más decisiones: los sistemas de scoring para la selección de contribuyentes a inspeccionar, los algoritmos de detección de fraude en prestaciones sociales, los sistemas de priorizacion de expedientes, todos toman decisiones que afectan a ciudadanos pero que ningun funcionario ha constatado personalmente.

5. No se extiende a los errores de transcripcion o exportación de datos. Los datos del expediente que la Administración presenta como “hechos probados” pueden haber sufrido errores de transcripcion, exportación o formateo al ser extraídos del sistema original e incorporados al expediente. Si puedo demostrar que los datos del expediente no coinciden con los datos del sistema fuente, la presunción de veracidad se quiebra porque los “hechos” que el funcionario constato no son los que figuran en el expediente.

Los tres pilares del informe pericial para desvirtuar la presunción

Para desvirtuar la presunción de veracidad, mi informe debe cumplir tres condiciones:

Jurisprudencia clave sobre presunción de veracidad y prueba pericial

Que el valor probatorio del art. 77.5 admita prueba en contrario lo dice el propio precepto —«salvo que se acredite lo contrario»—. No se citan aquí sentencias del Tribunal Supremo en su apoyo: las que se invocaban no venían con número, sala, fecha ni ROJ/ECLI, y sin eso no hay jurisprudencia que alegar. Lo que sigue es el razonamiento práctico:

• La presunción de veracidad no es una regla jurisprudencial sino legal, y admite prueba en contrario por su propio tenor: el art. 77.5 de la Ley 39/2015 dispone que los documentos formalizados por funcionarios con condición de autoridad en los que se recojan los hechos constatados «harán prueba de estos salvo que se acredite lo contrario». Es precisamente ahí donde entra el dictamen pericial cuando lo constatado es técnico.

• Frente a un informe técnico interno de la Administración, la vía es la contradicción: el art. 77.1 de la Ley 39/2015 admite cualquier medio de prueba válido en Derecho, y el art. 348 LEC obliga a valorar todos los dictámenes por la sana crítica, también el de la parte frente al del órgano administrativo.

• La presunción de acierto del informe técnico administrativo no es de veracidad absoluta: alcanza a los hechos que el inspector constata directamente, no a las valoraciones ni a las conclusiones técnicas, que son precisamente el terreno del dictamen de parte.

Lo que sí confirma la práctica: cuando el informe pericial es sólido, detallado y comprensible, los tribunales le dan un peso probatorio determinante — pero el argumento se sostiene sobre los arts. 77.1 de la Ley 39/2015 y 348 LEC, no sobre una sentencia concreta.

Errores habituales al intentar desvirtuar la presunción

En mi experiencia, los intentos fallidos de desvirtuar la presunción de veracidad comparten errores comunes:

• Presentar un informe pericial genérico. Un informe que explica la ciberseguridad en general pero no analiza el caso concreto no desvirtua nada. El tribunal necesita un análisis específico de por que las conclusiones técnicas del expediente son incorrectas en este caso particular.

• No cuestionar la metodología del organismo. Muchos informes periciales se limitan a presentar una versión alternativa de los hechos sin explicar por que la versión de la Administración es errónea. Eso no es suficiente: si no explicas por que el informe del inspector esta mal, el tribunal no tiene motivo para preferir tu versión.

• Usar jerga técnica sin traducción. Un informe que dice “el WAF configurado con reglas OWASP CRS v3.3 mitigaba los top 10 OWASP incluyendo SQLi y XSS reflected” es técnicamente correcto pero inútil para un magistrado. Hay que traducir: “la empresa tenía instalado un sistema de protección que bloquea automáticamente los 10 tipos de ataque informático más frecuentes según el estándar internacional de referencia”.

• No aportar evidencia positiva. No basta con decir que el inspector se equivoco. Hay que demostrar afirmativamente que las medidas de seguridad existían y eran adecuadas, con evidencia documental verificable. Capturas de configuración, certificados de cumplimiento, informes de auditoría externa, registros de parcheado: todo debidamente hasheado y con marca temporal.

• Ignorar el expediente administrativo. El informe pericial debe dialogar con el expediente. Debe referenciar folios concretos, citar las afirmaciones del inspector y rebatirlas una por una. Un informe que no menciona el expediente parece redactado en el vacio.

Evitar estos errores es parte de lo que diferencia un informe pericial que cambia el resultado del recurso de uno que acaba siendo irrelevante para la sentencia.

Análisis del artículo 60 LJCA: la prueba pericial en detalle

El régimen de la prueba pericial en lo contencioso-administrativo se construye sobre tres pilares normativos que debo conocer como perito y que el letrado debe manejar para maximizar la efectividad de mi informe.

Artículo 60 LJCA - Apertura y práctica de la prueba

El art. 60 de la Ley 29/1998 regula el recibimiento a prueba a instancia de parte; la iniciativa de oficio del tribunal está en el art. 61.1. En la práctica, la prueba pericial informática se propone en el escrito de demanda (recurso ordinario) o en el acto de la vista (procedimiento abreviado del art. 78).

Punto clave: en contencioso el informe puede presentarse en periodo de prueba. La diferencia con lo civil es de grado, no absoluta: el art. 336 LEC pide aportarlo con la demanda, pero el 337 permite anunciarlo y aportarlo después, y el 338 contempla el dictamen cuya necesidad surge después. Esto da más tiempo para prepararlo, pero también implica que hay que solicitar expresamente su admisión.

El precepto es el artículo 60.3 LJCA, y su tenor importa: «Se recibirá el proceso a prueba cuando exista disconformidad en los hechos y éstos fueran de trascendencia, a juicio del órgano jurisdiccional, para la resolución del pleito». Y sigue con una frase decisiva para los casos de este artículo: «Si el objeto del recurso fuera una sanción administrativa o disciplinaria, el proceso se recibirá siempre a prueba cuando exista disconformidad en los hechos».

Es decir: en un recurso contra una sanción de la AEPD o contra un expediente disciplinario —el grueso de lo que se trata aquí— el recibimiento a prueba no es discrecional si hay disconformidad fáctica. La discrecionalidad del primer inciso opera fuera del ámbito sancionador. Aun así, sigue siendo fundamental que el escrito de demanda ponga de manifiesto la disconformidad fáctica con claridad. No basta con decir “discrepamos de la resolución”. Hay que decir “discrepamos de los hechos que la Administración ha dado por probados, en particular de que el cifrado fuera insuficiente, de que los logs demuestren acceso no autorizado, y de que la respuesta al incidente fuera tardía”.

En el procedimiento abreviado, el artículo 78.17 LJCA permite interponer en el acto recurso de reposición —antes denominado súplica— contra las resoluciones del juez sobre denegación de pruebas, y se resuelve seguidamente. En la práctica, la inadmisión de la prueba pericial informática es infrecuente cuando se propone de forma motivada y concreta, pero puede ocurrir si el tribunal considera que la pericial es innecesaria porque los hechos están suficientemente acreditados en el expediente administrativo. Por eso insisto siempre al letrado en que la proposición de prueba pericial debe incluir una justificación de por que el expediente administrativo es insuficiente para acreditar los hechos técnicos relevantes.

Artículos 335-348 LEC - Aplicación supletoria

La LEC se aplica de forma supletoria para todo lo no regulado en la LJCA. Esto incluye:

Artículo 78 LJCA - Procedimiento abreviado

En el procedimiento abreviado (asuntos de cuantía inferior a 30.000 euros o determinadas materias), la prueba se propone y práctica en el acto de la vista. Esto requiere que el informe pericial este preparado antes de la vista y que el perito asista para ratificarlo. En mi experiencia, muchas sanciones de la AEPD de cuantía media, expedientes disciplinarios y recursos contra actos de administraciones locales se tramitan por esta via.

Consejo desde mi experiencia: En el procedimiento abreviado, todo se concentra en un solo acto. El abogado presenta la demanda oralmente, propone la prueba y el perito se ratifica en la misma vista. No hay margen para improvisar. Cuando trabajo en procedimientos abreviados, preparo el informe con un resumen ejecutivo de una página que el magistrado pueda asimilar durante la vista, además del informe técnico completo. Esa doble estructura es la que mejor resultado da en esta via procesal.

Otro aspecto práctico: en el abreviado, la prueba pericial se propone en el acto de la vista y el tribunal decide su admisión en el mismo momento. Si el Abogado del Estado se opone, debo estar preparado para justificar verbalmente la necesidad y pertinencia de mi informe. He visto vistas donde la pericial se inadmitia porque ni el letrado ni el perito pudieron articular en ese momento por que era necesaria. Eso se evita con preparación conjunta previa.

Una particularidad del procedimiento abreviado que pocos peritos conocen: el artículo 78.3 LJCA permite al magistrado, una vez celebrada la vista, requerir que se complete la prueba si considera que la practicada es insuficiente. Esto significa que incluso si la ratificación no fue todo lo clara que debería, el magistrado puede solicitar aclaraciones escritas al perito. He utilizado esta posibilidad en varias ocasiones para ampliar puntos que no quedaron suficientemente claros durante la vista oral.

También es relevante que en el procedimiento abreviado, si la cuantía no excede de 30.000 euros, la sentencia no es recurrible en apelación (art. 81.1 LJCA). Esto significa que la decisión del magistrado de instancia es definitiva, lo que eleva la importancia de que el informe pericial sea impecable en primera y única instancia. No hay segunda oportunidad.

Artículo 55.1 LJCA — completar el expediente administrativo

Este es el precepto más infrautilizado en el contencioso-administrativo con componente tecnológico. El artículo 55.1 LJCA permite solicitar que el tribunal requiera a la Administración la remisión de elementos adicionales del expediente que se consideren necesarios.

En la práctica, esto me permite como perito solicitar al letrado que pida la ampliacion del expediente incluyendo:

• Logs completos del sistema con sus metadatos originales (no exportaciones a PDF)
• Documentación de la herramienta utilizada por la inspección (versión, configuración, parámetros)
• Informes técnicos internos que la Administración no incluyo en el expediente
• Políticas internas de seguridad del organismo para verificar si el organismo cumple sus propios estándares
• Registros de calibracion de equipos de medición (en casos de sensores o equipos de monitorización)

La ampliacion del expediente es especialmente útil porque me permite acceder a información técnica que de otra forma sería inalcanzable. La Administración no puede negarse si el tribunal la ordena.

Ejemplo práctico de solicitud de ampliacion del expediente

Para ilustrar como funciona la ampliacion del expediente en la práctica, este es el tipo de petición que preparo conjuntamente con el letrado:

“Se solicita al tribunal que, conforme al artículo 55.1 LJCA, requiera a la Administración demandada la remisión de los siguientes elementos no incluidos en el expediente:

a) Los logs del sistema [nombre del sistema] correspondientes al periodo [fecha inicio] a [fecha fin], en formato original (no exportaciones a PDF ni Excel), incluyendo todos los campos registrados por el sistema y sus metadatos asociados.

b) La documentación técnica de la herramienta [nombre] utilizada por la inspección, incluyendo versión, configuración aplicada, parámetros de escaneo y política de actualización.

c) El informe técnico interno del departamento de TI del organismo relativo a [incidente/sistema], que consta referenciado en el folio [X] del expediente pero no se ha incluido.

d) Los registros de calibracion del equipo [modelo] utilizado para la medición, correspondientes a los últimos 24 meses.

e) Las políticas internas de seguridad del organismo vigentes en la fecha de los hechos, para verificar si el propio organismo cumple los estándares que exige al administrado.”

Esta solicitud, redactada con precisión técnica, tiene una tasa de admisión muy alta porque el tribunal entiende que los documentos solicitados son relevantes y que su ausencia impide una valoración técnica completa.

Tabla resumen: marco legal de la prueba pericial en contencioso

Cinco casos prácticos detallados

Cada escenario representa un tipo de caso distinto —sanción de la AEPD, discrepancia con la AEAT, videovigilancia municipal, expediente disciplinario y licitación— y sigue el mismo esquema: qué sostiene la Administración, qué encuentra el análisis técnico y por qué eso cambia la valoración de la prueba.

Caso 1: recurso contra sanción AEPD por brecha de datos

Contexto: una empresa tecnológica recibe una sanción de la AEPD por una brecha de datos que afectó a 12.000 registros de clientes. La AEPD concluyo que la empresa no había implementado “medidas técnicas adecuadas” conforme al artículo 32 del RGPD.

Lo que encontre en mi análisis pericial:

1. La empresa tenía cifrado AES-256 en reposo y TLS 1.3 en transito. El informe de la AEPD mencionaba “cifrado insuficiente” pero no especificaba que algoritmo o configuración era inadecuada.

2. El vector de ataque fue spear phishing a un empleado, no una vulnerabilidad técnica. La empresa tenía formación en ciberseguridad documentada, MFA activo y políticas de contraseñas robustas. Ninguna medida técnica razonable habría evitado que un empleado hiciera clic en un enlace dirigido específicamente a el.

3. Los logs de la AEPD estaban incompletos. Solo analizaron los logs del servidor web, ignorando los del WAF, el SIEM y el EDR que demostraban que la detección se produjo en menos de 4 horas y la contención en menos de 8.

4. La notificación a la AEPD se hizo en 47 horas, dentro del plazo de 72 horas del artículo 33 RGPD. El expediente sancionador valoraba negativamente el “retraso” sin considerar que la empresa cumplio el plazo legal.

Mi informe pericial incluyo:

• Análisis completo de la arquitectura de seguridad de la empresa con evidencia de cumplimiento de cada control del artículo 32 RGPD
• Comparativa entre las medidas implementadas y las recomendadas por el ENS y la guía de la AEPD Gestión del riesgo y evaluación de impacto en tratamientos de datos personales
• Timeline forense del incidente demostrando detección en menos de 4 horas (muy por debajo de los 241 días que tarda de media una organización en identificar y contener una brecha, según el IBM Cost of a Data Breach Report 2025)
• Análisis del vector de ataque (spear phishing) con evidencia de que la empresa tenía formación, MFA y controles compensatorios activos
• Critica técnica del informe de inspección de la AEPD, identificando 4 conclusiones sin soporte técnico

Resultado: El Juzgado de lo Contencioso estimo parcialmente el recurso, reduciendo la sanción un 70% al considerar que la empresa había actuado con diligencia y que el informe pericial demostraba que las medidas técnicas eran adecuadas al riesgo. La brecha se produjo por un factor humano frente al cual no existe protección técnica absoluta.

Lección clave: En las sanciones de la AEPD, la defensa no se basa en demostrar que la empresa era perfecta, sino en que actuaba con diligencia proporcional al riesgo. El RGPD no exige seguridad absoluta (que no existe); exige medidas “apropiadas” al nivel de riesgo. Mi informe pericial cuantifica el riesgo real, documenta las medidas implementadas y demuestra que la proporción entre ambos era razonable. Eso es lo que el tribunal necesita para apartarse de la valoración de la AEPD. Además, es fundamental analizar no solo lo que la empresa tenía, sino lo que la AEPD no analizo: los controles compensatorios, las capas de defensa adicionales y los tiempos de respuesta al incidente, que muchas veces demuestran una madurez en ciberseguridad que el informe de inspección ignora.

Caso 2: disputa fiscal con la AEAT por discrepancias en el SII

Contexto: Una empresa de comercio electrónico recibio una liquidacion complementaria de 87.000 euros tras una comprobación limitada de la AEAT. El motivo: discrepancias entre los datos del SII y las declaraciones trimestrales de IVA. La AEAT detectaba un diferencial de 340.000 euros en ventas no declaradas.

Lo que encontre en mi análisis:

La empresa utilizaba un ERP que transmitia automáticamente los registros de facturación al SII. Analice los logs de transmisión y descubri que un error en la API del conector del ERP provocaba que determinadas facturas rectificativas se transmitieran como facturas ordinarias nuevas, duplicando el importe reportado al SII. El error afectaba a las facturas con tipo “R1” (rectificación por error fundado en derecho) emitidas entre dos fechas concretas en las que el proveedor del ERP desplego una actualización defectuosa.

Mi informe pericial incluyo: los logs de transmisión al SII con las duplicidades identificadas una por una, la documentación técnica del bug del conector (confirmada por el proveedor del ERP en un email que la empresa conservaba), una reconstrucción del importe real transmitido eliminando duplicidades, y la comparación entre el importe corregido y las declaraciones trimestrales presentadas, que coincidian.

Mi informe pericial incluyo:

• Volcado completo de los logs de transmisión al SII del periodo afectado, con hashes SHA-256 de cada archivo
• Análisis del código del conector ERP-SII que contenia el bug (el proveedor autorizo la revisión del código fuente por parte del perito)
• Tabla de conciliación línea por línea entre las facturas reales, las facturas transmitidas al SII y las declaraciones trimestrales
• Informe técnico del proveedor del ERP confirmando el bug y la fecha de corrección
• Captura del changelog del software que documentaba la actualización defectuosa y su posterior parche

Resultado: El TEAR estimo la reclamación en via económico-administrativa, anulando la liquidacion complementaria antes de llegar al contencioso. El informe pericial fue la pieza clave porque demostro con evidencia técnica que la discrepancia era un error del sistema, no una ocultación de ingresos. Este caso ilustra algo que veo frecuentemente: con un informe pericial solido en via administrativa, muchos casos se resuelven sin necesidad de llegar al contencioso, ahorrando tiempo y costes al contribuyente.

Caso 3: ayuntamiento y cámaras de vigilancia ilegales

Contexto: Una asociación de vecinos impugnaba la instalación de 24 cámaras de videovigilancia por parte de un ayuntamiento de más de 50.000 habitantes. El ayuntamiento argumentaba que las cámaras eran necesarias para la seguridad ciudadana y que se había realizado una evaluación de impacto en protección de datos.

Lo que encontre en mi análisis:

Solicite y obtuve las especificaciones técnicas del sistema de videovigilancia a traves de la ampliacion del expediente administrativo. El sistema incluia cámaras con resolución 4K, zoom óptico 30x y capacidad de reconocimiento facial. La evaluación de impacto del ayuntamiento (EIPD) mencionaba genéricamente “medidas de minimización de datos” pero no especificaba cuales.

Mi análisis revelo que: (a) las cámaras estaban configuradas con la funcionalidad de reconocimiento facial activa, lo que implica tratamiento de datos biométricos del artículo 9 RGPD sin base jurídica suficiente; (b) el angulo de vision de 8 cámaras abarcaba interiores de viviendas, excediendo la finalidad de seguridad en espacio público; (c) las grabaciones se almacenaban durante 90 días, triplicando el máximo de 30 días de la Instrucción 1/2006 de la AEPD; (d) no existía contrato de encargado de tratamiento con la empresa de seguridad que gestionaba el sistema; y (e) el sistema transmitia las imágenes a un servidor cloud fuera de la UE sin las garantías del capitulo V del RGPD para transferencias internacionales de datos.

Mi informe pericial incluyo:

• Análisis técnico de las especificaciones de cada modelo de cámara, identificando las que tenían capacidad de reconocimiento facial activa
• Medición de los angulos de vision de las 24 cámaras mediante software de modelado 3D, demostrando que 8 cámaras captaban interiores de viviendas
• Revisión de la EIPD del ayuntamiento, identificando 7 deficiencias técnicas (ausencia de análisis de proporcionalidad, falta de medidas de minimización concretas, no mención del tratamiento de datos biométricos, entre otras)
• Comparativa con las directrices del Comite Europeo de Protección de Datos (EDPB) sobre videovigilancia
• Diagrama técnico de la arquitectura del sistema mostrando el flujo de datos desde las cámaras hasta el centro de control y el servidor de almacenamiento

Resultado: El juzgado estimo el recurso y ordeno la desactivacion del reconocimiento facial, la reorientacion de las 8 cámaras que captaban interiores de viviendas, la reducción del periodo de almacenamiento a 30 días y la formalización del contrato de encargado de tratamiento. La sentencia cito extensamente el informe pericial como base para sus conclusiones técnicas.

Caso 4: expediente disciplinario a empleado público por acceso a datos

Contexto: Un funcionario de un organismo autonómico fue sancionado con suspensión de empleo y sueldo de 3 meses por “acceso no autorizado a datos personales de terceros” en el sistema de gestión del organismo. La prueba eran logs de acceso que supuestamente demostraban que el funcionario había consultado 47 expedientes de personas sin relación con sus funciones.

Lo que encontre en mi análisis:

Los logs proporcionados en el expediente disciplinario eran una tabla Excel con cuatro columnas: fecha, hora, usuario y número de expediente. No había metadatos del sistema, ni firma digital, ni evidencia de la cadena de custodia desde la extracción del log hasta su incorporación al expediente.

Solicite a traves del letrado la ampliacion del expediente con los logs originales del sistema. Los logs originales revelaron que: (a) 31 de los 47 accesos se produjeron durante una migración de datos en la que el perfil del funcionario tenía temporalmente acceso ampliado por decisión del departamento de TI (no del funcionario); (b) 9 de los accesos restantes correspondian a expedientes de personas que si tenían relación con funciones asignadas al funcionario en un periodo anterior a un cambio organizativo; (c) solo 7 accesos no tenían justificación aparente, y de esos 7, 4 correspondian a una sola sesión de 3 minutos que sugeria navegación accidental por la interfaz del sistema (que mostraba expedientes en orden secuencial y se avanzaba con un clic).

Resultado: El tribunal anulo la sanción de suspensión y la sustituyo por amonestacion escrita por los 7 accesos no justificados, reconociendo que el expediente disciplinario había sobredimensionado la conducta al incluir accesos que tenían justificación técnica o funcional. El informe pericial fue determinante para reducir de 47 a 7 los accesos cuestionables.

Lección clave: Los expedientes disciplinarios basados en logs de acceso son especialmente vulnerables a la pericia informática porque los sistemas de logging de las administraciones públicas rara vez cumplen estándares mínimos de integridad y completitud. La clave es no aceptar los datos del expediente al pie de la letra, sino ir a la fuente original y verificar que los datos son completos, contextualizados y correctamente interpretados. He encontrado que en la mayoría de expedientes disciplinarios que he analizado, el número de accesos realmente cuestionables se reduce drásticamente cuando se aplica un análisis técnico riguroso. Eso no significa que el funcionario sea siempre inocente, pero si que la magnitud de la infracción suele estar sobredimensionada.

Caso 5: recurso contra adjudicacion de contrato de desarrollo de software

Contexto: Una empresa de desarrollo de software recurrio la adjudicacion de un contrato público de 420.000 euros para el desarrollo de una plataforma de sede electrónica. La empresa recurrente obtuvo 65 puntos en valoración técnica frente a los 82 de la adjudicataria. La diferencia se concentraba en dos criterios: “escalabilidad de la solución” y “cumplimiento ENS nivel medio”.

Lo que encontre en mi análisis:

La memoria técnica de la empresa adjudicataria, accesible a traves del expediente de contratación, describía una arquitectura basada en un servidor único con base de datos monolitica. La empresa adjudicataria recibia máxima puntuación en “escalabilidad” por mencionar que el servidor podía “ampliar recursos de CPU y RAM”. Eso es escalabilidad vertical, no horizontal, y tiene un limite físico. La solución del recurrente proponia arquitectura de microservicios con contenedores orquestados por Kubernetes, que permite escalabilidad horizontal real.

En cuanto al ENS nivel medio, la empresa adjudicataria presentaba una declaración de conformidad firmada por su propio director técnico, sin auditoría de tercero ni evidencia de cumplimiento de los controles del Anexo II del Real Decreto 311/2022. El recurrente presentaba certificación de cumplimiento ENS emitida por una entidad acreditada por ENAC.

Mi informe pericial detallo: la diferencia técnica entre escalabilidad vertical y horizontal con diagramas comparativos, los riesgos concretos de una arquitectura monolitica para una sede electrónica con picos de demanda previsibles (periodos de matriculacion, plazos administrativos, convocatorias de ayudas), la insuficiencia jurídica y técnica de una autodeclaracion de ENS sin auditoría de tercero independiente, y la superioridad técnica objetiva de la solución del recurrente en los dos criterios donde la mesa de contratación le puntuo por debajo. Incluyo una simulación de carga que demostraba que la solución del adjudicatario colapsaria con más de 200 usuarios concurrentes, mientras que la del recurrente soportaba más de 2.000 sin degradación.

Resultado: El tribunal estimo el recurso y anulo la adjudicacion, ordenando una nueva valoración técnica por parte de la mesa de contratación con motivación reforzada. La nueva valoración, con un vocal técnico adicional, adjudico el contrato al recurrente.

Lección clave: Los recursos contra adjudicaciones de contratos tecnológicos son los que más experiencia real en tecnología exigen al perito. No basta con ser “perito informático”: hay que haber trabajado con las tecnologías que se valoran en el pliego. Cuando un perito solo conoce una arquitectura por su definición y tiene que valorar si es la adecuada para el pliego, se nota. Los magistrados, aunque no sean técnicos, perciben cuándo el perito domina la materia y cuándo está recitando definiciones de Wikipedia. Mi experiencia como ex-CTO diseñando y operando arquitecturas cloud en producción, con cinco certificaciones AWS, me permite hablar de estos temas con la autoridad que da la práctica, no la lectura de manuales.

Hay un detalle procesal específico de los recursos contra adjudicaciones que merece mención: el plazo de interposicion es de solo 15 días hábiles desde la notificación de la adjudicacion (para los contratos sujetos a regulación armonizada) o de 2 meses (para el resto). Esto significa que el abogado y el perito deben actuar con extrema rapidez. En mi experiencia, preparo un informe preliminar en 3-5 días para que el letrado pueda fundamentar el recurso, y lo complemento con un informe completo durante el procedimiento. La velocidad de reacción es crítica en licitaciones.

Patrones comunes en los cinco casos

Revisando estos cinco casos, identifico patrones que se repiten sistematicamente:

1. La Administración confunde sus datos con la realidad. En los cinco casos, el organismo público presento datos extraídos de sus propios sistemas como hechos incontestables, sin considerar que esos datos podían ser incompletos, erróneamente procesados o mal interpretados.

2. La clave esta en el detalle técnico. Ninguno de estos casos se gaño con argumentos genéricos. Se ganaron con análisis técnico granular: una configuración de cifrado concreta, un log de transmisión específico, un angulo de cámara medido en grados, un perfil de acceso temporal, una autodeclaracion de ENS sin auditoría. El diablo esta en los detalles, y el perito informático es quien los extrae y los explica.

3. La ampliacion del expediente es determinante. En tres de los cinco casos, la información clave para el informe pericial se obtuvo a traves de completar el expediente administrativo (art. 55.1 LJCA). Sin esa documentación adicional, el informe habría tenido menos fundamento.

4. La colaboración temprana perito-letrado multiplica el resultado. Los mejores resultados se obtuvieron cuando el abogado me involucro antes de interponer el recurso contencioso. Eso permitio preparar el informe con tiempo, solicitar la documentación correcta y diseñar una estrategia procesal coherente entre la argumentación jurídica y la argumentación técnica.

5. El tribunal valora la claridad expositiva tanto como la solidez técnica. Un informe técnicamente impecable pero incomprensible para un magistrado es un informe inútil. Mis informes incluyen siempre un resumen ejecutivo de una página, diagramas explicativos y una sección de conclusiones que conecta cada hallazgo técnico con la norma jurídica aplicable.

6. El perito debe estar preparado para ratificarse bajo presión. En los cinco casos, la ratificación en vista fue un momento decisivo. El Abogado del Estado o el letrado de la Administración intentaron desestabilizar mis conclusiones con preguntas técnicas formuladas de forma confusa, con escenarios hipoteticos diseñados para generar contradicción y con cuestionamientos sobre mi cualificación. La preparación previa con el letrado y la experiencia acumulada en ratificaciones fueron tan importantes como la calidad técnica del informe.

7. La cuantificacion del daño o del error es más persuasiva que la descripción genérica. En todos los casos, las partes del informe que más impacto tuvieron en la sentencia fueron las que cuantificaban: “31 de 47 accesos corresponden a la migración de datos”, “el 80% de las particulas proceden del tráfico, no de la fábrica”, “la discrepancia de 340.000 euros se debe a 127 facturas rectificativas duplicadas”. Los números concretos son más difíciles de rebatir que las opiniones generales.

Nota: los cinco casos de la sección «Cinco casos prácticos detallados» son escenarios ilustrativos construidos sobre tipologías reales de esta jurisdicción, no relatos de expedientes concretos.

Cómo trabajar con un perito informático en contencioso-administrativo: guía para abogados

Después de colaborar con decenas de letrados en esta jurisdicción, estos son los errores que veo con más frecuencia y como evitarlos. La relación perito-abogado en contencioso-administrativo es diferente a la de otras jurisdicciones porque aquí estamos luchando juntos contra la Administración, no contra otra parte privada. Eso exige una coordinacion más estrecha, una comunicación más fluida y una estrategia procesal unificada desde el primer momento.

El error más grave que veo es tratar al perito como un proveedor que entrega un documento, en lugar de como un colaborador estrategico del caso. Los mejores resultados los obtengo cuando el abogado me trata como parte del equipo de defensa, me incluye en las reuniones con el cliente, me consulta antes de tomar decisiones procesales con implicaciones técnicas y me da acceso directo a toda la documentación del caso. Esa integración es lo que permite que el informe pericial no sea un documento aislado, sino una pieza que encaja perfectamente en la estrategia jurídica global del recurso.

Antes de interponer el recurso

Durante la elaboración del informe

En la ratificación y vista

Si eres abogado y necesitas asesoramiento técnico para un recurso contencioso-administrativo, consulta mi servicio especializado para abogados con protocolo de colaboración adaptado a esta jurisdicción.

Estructura del informe pericial para contencioso-administrativo

Mi informe pericial para contencioso-administrativo sigue una estructura específica, distinta de la que utilizo en civil o penal, adaptada a las particularidades de esta jurisdicción:

La sección 6 (análisis crítico del expediente) es la más importante y la que distingue mi informe en contencioso de un informe genérico. No me limito a presentar mi versión: analizo y rebato la versión de la Administración con rigor técnico. Cada afirmación del informe del inspector que cuestiono va acompanada de la evidencia técnica que la desmiente y de una explicación comprensible de por que la conclusión del inspector es incorrecta.

Tarifas orientativas para peritaje informático en contencioso-administrativo

La transparencia en precios es un principio fundamental de mi práctica profesional. Estas son las tarifas orientativas para los tipos de caso más habituales en contencioso-administrativo. El presupuesto definitivo se calcula tras una consulta inicial gratuita donde valoro la complejidad técnica del asunto.

Notas importantes sobre tarifas:

• Los precios incluyen el informe pericial completo y una ratificación presencial en la vista oral. Si se requiere segunda ratificación (por ejemplo, en apelación), tiene coste adicional.
• El desplazamiento a juzgados fuera de Jaen se factura aparte a precio de coste (kilometraje + dieta si es necesario pernoctar). Para juzgados de Madrid, Barcelona y otras ciudades principales donde litigo con frecuencia, el coste de desplazamiento esta optimizado.
• Si el recurso se estima con costas, el coste del informe pericial se incluye en la tasación de costas como gasto necesario para la defensa. Es decir, la Administración acaba pagando el informe pericial que demostro que su actuación fue incorrecta. He visto tasaciones de costas donde se incluyo íntegramente el coste del informe pericial informático sin objeción.
• La consulta inicial es gratuita y sin compromiso. En esa consulta valoro la viabilidad técnica del recurso y proporciono un presupuesto cerrado.

Qué incluye cada presupuesto

Para que no haya sorpresas, este es el desglose típico de lo que incluye un presupuesto de informe pericial para contencioso-administrativo:

Formas de pago y facturación

Facturo con IVA al 21%. El pago se divide normalmente en dos tramos: 50% al inicio del trabajo (tras la reunion inicial y aceptación del presupuesto) y 50% a la entrega del informe. La ratificación en vista no tiene pago adicional si esta incluida en el presupuesto inicial. Emito factura en cada tramo.

Para despachos de abogados con los que colaboro de forma recurrente, ofrezco condiciones de facturación adaptadas (pago a 30 días, descuento por volumen, tarifa plana para consultas técnicas puntuales fuera de procedimiento).

Puedes consultar más detalles en la página de informes periciales o solicitar un presupuesto a traves del servicio para abogados.

Preguntas frecuentes

¿Puede la Administración rechazar mi informe pericial?

La Administración no puede “rechazar” un informe pericial admitido por el tribunal. Lo que si puede hacer es presentar su propio contrainforme o cuestionar la cualificación del perito, la metodología utilizada o las conclusiones. En la práctica, el Abogado del Estado o el letrado del organismo formulara preguntas durante la ratificación intentando debilitar el informe.

Las líneas de impugnación más habituales que he enfrentado son: cuestionar que el perito no es funcionario del cuerpo técnico correspondiente (irrelevante legalmente), alegar que la metodología no sigue un estándar concreto (cuando mi informe sigue ISO 27037 y el del organismo no sigue ninguno), o argumentar que las conclusiones son “opiniones” y no “hechos probados” (cuando la prueba pericial es precisamente una opinion técnica cualificada). Por eso es fundamental que el perito domine no solo la técnica, sino también la dialectica procesal. Como perito judicial informático, preparo cada ratificación anticipando estas líneas de ataque.

¿Cuánto cuesta un informe pericial para contencioso-administrativo?

El coste depende de la complejidad técnica del asunto. Un informe para un expediente disciplinario basado en logs de acceso puede costar desde 800 euros. Un informe para impugnar una sanción AEPD donde hay que revisar la infraestructura de seguridad, los logs del incidente y la respuesta de la empresa oscila entre 1.200 y 3.000 euros. Un informe sobre licitaciones complejas o auditorias ENS puede alcanzar los 4.500 euros. La ratificación en vista esta incluida en todos los presupuestos. Puedes consultar la tabla de tarifas más arriba, los precios detallados de informes periciales o solicitar un presupuesto cerrado a traves del servicio para abogados. La consulta inicial para valorar la viabilidad técnica del caso es siempre gratuita.

¿Merece la pena recurrir una sanción administrativa con perito informático?

Depende de la cuantía y de la solidez técnica del expediente sancionador. Si la sanción supera los 10.000 euros y hay argumentos técnicos que la Administración no valoro correctamente, la respuesta suele ser si. El coste del informe pericial más las costas del abogado y procurador se recuperan si el recurso se estima, y en cualquier caso representan una fracción de la sanción. En sanciones AEPD de 50.000 euros o más, he visto reducciones del 50-80% cuando el informe pericial demostraba diligencia técnica. La clave es actuar rápido: el plazo para interponer recurso contencioso-administrativo es de 2 meses desde la notificación del acto (art. 46 LJCA). Y no solo se trata de la sanción en si: una sanción de la AEPD conlleva publicación en la página web de la Agencia, lo que puede dañar la reputación de la empresa. Impugnar la sanción con un informe pericial que demuestre diligencia técnica puede ser tan importante por el resultado económico como por el mensaje reputacional: la empresa no fue negligente, y tiene un informe pericial que lo demuestra.

¿Qué plazos tengo para presentar el informe pericial?

En el procedimiento ordinario, la prueba se propone en el escrito de demanda y se práctica en el periodo de prueba, que suele ser de 15 a 30 días. En el procedimiento abreviado (art. 78 LJCA), la prueba se propone y práctica en el acto de la vista, lo que significa que el informe debe estar terminado antes de la vista y el perito debe asistir presencialmente. Mi recomendación es contactar al perito lo antes posible, idealmente antes de interponer el recurso, para que el informe este listo con margen.

¿Puede el tribunal nombrar un perito informático de oficio?

Sí: el artículo 61.1 LJCA permite al juez o tribunal acordar de oficio el recibimiento a prueba y disponer la práctica de cuantas estime pertinentes para la más acertada decisión del asunto. En la práctica, es infrecuente que el tribunal nombre un perito informático de oficio en contencioso. Lo habitual es que el perito sea de parte. Si el tribunal tiene dudas sobre el informe de parte, puede solicitar aclaraciones al propio perito (art. 346 LEC supletorio) o, en casos excepcionales, designar un perito judicial.

¿Qué pasa si la Administración aporta su propio contrainforme?

Es una situación cada vez más habitual. La Administración, a traves de sus servicios técnicos o de un perito contratado, presenta un contrainforme que rebate las conclusiones del informe de parte. En esos casos, el tribunal debe valorar ambos informes conforme a las reglas de la sana crítica (art. 348 LEC). La solidez metodológica, la coherencia interna, la fundamentacion técnica y la claridad expositiva determinan cual de los dos informes resulta más convincente. En mi experiencia, los contrainformes de la Administración suelen ser genéricos y no abordan los puntos concretos que mi informe cuestiona, lo que les resta efectividad.

¿Cómo acredito mi cualificación como perito informático ante el tribunal?

En el contencioso-administrativo, la cualificación del perito se acredita mediante el currículum vitae que se adjunta al informe pericial. No existe un registro oficial de peritos informáticos al que haya que pertenecer obligatoriamente. Mi cualificación se basa en mi experiencia profesional como ex-CTO, mis 5 certificaciones AWS, mi formación en análisis forense digital con metodología ISO 27037 y mi experiencia previa como perito en procedimientos judiciales. El tribunal valora la cualificación como parte de su valoración global de la prueba pericial.

¿Puedo aportar el informe pericial si ya estoy en fase de conclusiones?

En principio, no. La prueba debe proponerse y practicarse en el momento procesal oportuno: en el escrito de demanda o contestación (ordinario) o en el acto de la vista (abreviado). Si la fase de prueba ha pasado, aportar un informe pericial extemporaneo será muy probablemente inadmitido. De ahi la importancia de involucrar al perito desde el principio y no dejarlo para el final.

¿En que tribunales se ratifica el perito en contencioso-administrativo?

Depende del tipo de acto impugnado. Los Juzgados de lo Contencioso-Administrativo (unipersonales) conocen de actos de administraciones locales y autonómicas de cuantía inferior a determinados umbrales. Las Salas de lo Contencioso-Administrativo de los Tribunales Superiores de Justicia conocen de actos de las Comunidades Autónomas. La Audiencia Nacional conoce de actos de organismos estatales como la AEPD, la AEAT o la CNMC. Y el Tribunal Supremo conoce de casaciones. Me he ratificado en juzgados unipersonales, en Salas de TSJ y en la Audiencia Nacional. El procedimiento de ratificación es esencialmente el mismo en todos.

¿El informe pericial informático es vinculante para el juez?

No. El artículo 348 LEC, aplicable supletoriamente, establece que el tribunal valorara la prueba pericial conforme a las reglas de la sana crítica. Esto significa que el juez no esta obligado a aceptar las conclusiones del perito, pero si decide apartarse de ellas, debe motivar por que en la sentencia. En la práctica, cuando el informe pericial es solido, esta bien fundamentado y se ha ratificado correctamente, los tribunales lo siguen en una proporción muy alta de casos. La clave es que el juez necesita un motivo para apartarse del dictamen pericial: si el informe es coherente, esta bien fundamentado y no ha sido eficazmente contradicho por la parte contraria, el tribunal no tiene razón para ignorarlo.

La jurisprudencia del Tribunal Supremo ha establecido que para apartarse de un dictamen pericial sin que exista otro contradictorio, el tribunal debe explicar que elementos del informe resultan insuficientes, incoherentes o no fiables. Si la sentencia simplemente ignora el informe sin motivación, eso puede ser motivo de recurso por vulneración del derecho a la tutela judicial efectiva (art. 24 CE). En mi experiencia, los tribunales de lo contencioso-administrativo tratan los informes periciales informáticos con respeto cuando están bien elaborados, precisamente porque reconocen que carecen de los conocimientos técnicos para evaluarlos críticamente por si mismos y necesitan del perito para entender la realidad técnica del caso.

¿Qué diferencia hay entre un informe pericial de parte y uno de designación judicial?

El informe pericial de parte es encargado y pagado por una de las partes del proceso. El de designación judicial es encargado por el tribunal a un perito seleccionado de una lista oficial. En contencioso-administrativo, la inmensa mayoría de los informes periciales informáticos son de parte, porque el tribunal rara vez designa peritos de oficio en esta jurisdicción. Ambos tipos de informe tienen el mismo valor probatorio y se valoran conforme a las reglas de la sana crítica. La diferencia práctica es que el perito de parte puede coordinarse con el letrado para enfocar el informe en las cuestiones procesalmente relevantes, mientras que el perito de designación judicial trabaja de forma independiente y su informe puede no abordar los puntos que más interesan a ninguna de las partes.

¿Puedo recurrir en casación si el tribunal no valora correctamente el informe pericial?

El recurso de casación ante el Tribunal Supremo (art. 86 LJCA) no es una segunda instancia: no permite una nueva valoración de la prueba. Sin embargo, si el tribunal de instancia ignoro completamente el informe pericial sin motivar por que, o si valoro la prueba de forma arbitraria o irrazonable, eso puede constituir una infracción del derecho a la tutela judicial efectiva (art. 24 CE) que si es revisable en casación. He participado como perito en fase de casación aportando informes complementarios cuando el Tribunal Supremo considero que la valoración de la prueba en instancia era insuficiente.

¿El perito informático puede acceder a los sistemas de la Administración?

No directamente ni por derecho propio. El acceso a los sistemas de la Administración requiere autorización judicial. En la práctica, lo que hago es solicitar al letrado que proponga como diligencia de prueba el acceso del perito a los sistemas relevantes, o alternativamente, que se requiera a la Administración la aportación de documentación técnica específica (logs, configuraciones, volcados de base de datos) a traves de la ampliacion del expediente. En mi experiencia, la segunda via es más efectiva y menos conflictiva: la Administración se resiste menos a aportar documentos que a permitir acceso a un perito externo a sus sistemas.

¿Cuánto tiempo se tarda en preparar un informe pericial para contencioso-administrativo?

Depende de la complejidad del caso y de la disponibilidad de la documentación:

Siempre comunico al letrado un plazo realista en la reunion inicial y me comprometo a cumplirlo. Los plazos procesales no esperan. Si hay urgencia (por ejemplo, recurso contra adjudicacion con plazo de 15 días hábiles), puedo priorizar y entregar un informe preliminar en 3-5 días, que se complementa durante el procedimiento con el informe completo.

El informe pericial en la via administrativa previa: una oportunidad infrautilizada

Antes de llegar al contencioso-administrativo, la mayoría de los actos administrativos pueden impugnarse en via administrativa a traves de recursos de alzada o reposicion. Este es un momento procesal que muchos abogados y peritos desaprovechan, y que en mi experiencia puede ser decisivo.

Por qué presentar un informe pericial antes del contencioso

Hay tres razones estratégicas para aportar un informe pericial ya en la via administrativa:

Primera: puede resolver el caso sin litigar. Si el informe pericial demuestra de forma contundente que las conclusiones técnicas de la Administración son erroneas, el órgano que resuelve el recurso administrativo puede estimar el recurso. Esto ahorra meses o años de litigio contencioso y reduce drásticamente los costes para el cliente. En mi experiencia, una parte de los casos con informe pericial en vía administrativa se resuelve sin llegar al contencioso, aunque no dispongo de un registro que permita cifrarla.

Segunda: condiciona el expediente. El informe pericial presentado en via administrativa se incorpora al expediente y el tribunal de lo contencioso lo tendrá a su disposición. Si la Administración desestima el recurso administrativo sin rebatir las conclusiones del informe pericial, eso debilita su posición en el contencioso posterior: el tribunal vera que la Administración ignoro un informe técnico fundado sin ofrecer argumentos técnicos en contra.

Tercera: permite identificar debilidades tempranas. El proceso de elaborar el informe pericial en via administrativa obliga a analizar el expediente en profundidad antes de llegar al contencioso. Si el caso tiene debilidades técnicas, las descubrimos pronto y podemos decidir si merece la pena litigar o si es más eficiente negociar una reducción de la sanción.

Qué incluye el informe pericial para via administrativa

El informe para via administrativa es más breve que el judicial (normalmente 10-15 páginas frente a 20-60 del judicial) y se centra en los puntos clave que pueden convencer al órgano resolutorio sin necesidad de una ratificación oral. Incluye:

• Identificación del perito y sus cualificaciones
• Análisis crítico de las conclusiones técnicas del acto impugnado
• Evidencia técnica que contradice o matiza esas conclusiones
• Propuesta de resolución alternativa fundamentada técnicamente

El coste de este informe es significativamente menor que el del informe judicial completo (normalmente un 40-60% del coste total), y si el caso se resuelve en via administrativa, el ahorro neto es muy considerable.

Caso real: sanción AEPD resuelta en via administrativa con informe pericial

Un ejemplo concreto: una clínica dental recibe una sanción de la AEPD por una brecha de datos en su sistema de gestión de pacientes. La AEPD concluia que la clinica “no tenía medidas de seguridad adecuadas”. El abogado me contacto durante el plazo de recurso de reposicion (1 mes). Elabore un informe pericial de 12 páginas donde demostraba que la clinica tenía cifrado, control de acceso basado en roles, copias de seguridad diarias, y que la brecha se debio a un ataque de phishing sofisticado contra el proveedor de software (no contra la clinica). La AEPD estimo el recurso de reposicion y anulo la sanción. Total gastado por la clinica: el coste de mi informe preliminar. Total ahorrado: 25.000 euros de sanción más los costes de un recurso contencioso-administrativo que habría durado 12-18 meses.

Este tipo de resultado no se obtiene siempre, pero cuando se obtiene, la relación coste-beneficio del informe pericial en via administrativa es extraordinaria.

Hay otro beneficio estrategico de presentar informe pericial en via administrativa: si la Administración desestima el recurso sin rebatir las conclusiones técnicas del informe, esa falta de contradicción queda documentada en el expediente. Cuando el caso llega al contencioso, el tribunal constata que la Administración tuvo la oportunidad de rebatir un informe técnico fundado y no lo hizo. Eso refuerza el valor probatorio del informe en el procedimiento judicial posterior.

Errores que arruinan un recurso contencioso-administrativo con componente tecnológico

Después de haber visto cientos de expedientes y recursos, he identificado los errores que con más frecuencia condenan al fracaso un recurso contencioso-administrativo con componente tecnológico. Los comparto porque son evitables:

1. Recurrir sin perito cuando el caso es técnico

Es el error más básico y el más frecuente. Muchos abogados creen que los argumentos jurídicos son suficientes para impugnar una sanción de la AEPD o un acto de Hacienda basado en datos digitales. No lo son. Si la Administración basa su actuación en un informe técnico y tu solo ofreces argumentos jurídicos, el tribunal no tiene con que cuestionar las conclusiones técnicas del expediente. La presunción de veracidad hace el resto.

He revisado sentencias desestimatorias donde el abogado tenía buenos argumentos jurídicos pero el tribunal senalaba expresamente que “no se ha desvirtuado la prueba técnica obrante en el expediente”. Si el expediente contiene un informe técnico, solo otro informe técnico puede cuestionarlo. Un escrito de demanda bien redactado no sustituye a un informe pericial.

2. Contratar al perito demasiado tarde

El segundo error más frecuente. El abogado interpone el recurso, presenta la demanda, propone la prueba pericial y entonces me llama. Para cuando me contacta, el plazo de prueba ya esta corriendo y tengo que preparar el informe en días en lugar de semanas. El resultado es un informe menos profundo, con menos tiempo para analizar el expediente y menos margen para solicitar documentación adicional.

Lo ideal es contactar al perito antes de interponer el recurso, idealmente en la fase de via administrativa previa. Eso permite preparar un informe preliminar para el recurso administrativo (que a veces resuelve el caso sin llegar al contencioso), identificar lagunas en el expediente y diseñar una estrategia de prueba coherente.

3. No solicitar la ampliacion del expediente

He visto expedientes administrativos que omiten documentación técnica fundamental: logs completos, informes internos del departamento de TI, configuraciones de sistemas, registros de calibracion. Si esa documentación no se solicita a traves de completar el expediente (art. 55.1 LJCA), el informe pericial se basa en información incompleta y pierde contundencia.

4. Proponer la prueba pericial de forma genérica

“Se propone prueba pericial informática” no es una proposición de prueba útil. El tribunal puede inadmitirla por indeterminada, y aunque la admita, la falta de concreción limita lo que el perito puede analizar. La proposición debe especificar que aspectos técnicos se van a examinar, que documentos del expediente se van a analizar y que cuestiones se van a resolver.

5. No preparar la ratificación

Un informe pericial excelente puede quedar anulado por una ratificación deficiente. Si el perito no esta preparado para las preguntas del Abogado del Estado, si se contradice, si no sabe expresarse con claridad ante el magistrado o si se deja llevar a un terreno que no domina, el efecto puede ser peor que no haber aportado informe. Siempre preparo la ratificación conjuntamente con el letrado, anticipando las líneas de ataque más probables y ensayando respuestas claras y contundentes.

6. Elegir un perito sin experiencia en la materia concreta

Un perito informático genérico no es lo mismo que un perito con experiencia en ciberseguridad, en arquitecturas cloud, en forense digital o en sistemas de monitorización. Cada tipo de caso requiere un perfil específico. Si el caso trata sobre una licitacion de servicios cloud y el perito nunca ha desplegado una infraestructura en la nube, su informe carecera de la profundidad y el detalle que el tribunal necesita.

7. No coordinar el informe pericial con la estrategia jurídica del recurso

He visto informes periciales técnicamente correctos que no servian para nada porque no abordaban las cuestiones que el abogado planteaba en la demanda. El informe analizaba la seguridad del sistema en general cuando el recurso cuestionaba un punto específico de la configuración de cifrado. O el informe se centraba en la integridad de los logs cuando la demanda cuestionaba la proporcionalidad de la sanción. La descoordinacion entre la argumentación jurídica y la argumentación técnica es un error que se evita con una reunion inicial conjunta y con comunicación fluida durante la elaboración del informe.

8. Presentar un informe sin resumen ejecutivo

Los magistrados de lo contencioso-administrativo tienen una carga de trabajo elevada. Un informe pericial de 40 páginas sin resumen ejecutivo tiene muchas probabilidades de ser leido superficialmente. Siempre incluyo un resumen ejecutivo de una página al principio del informe, con las conclusiones clave numeradas y su conexión con las pretensiones del recurso. Ese resumen es lo que el magistrado lee primero y lo que probablemente consultara durante la deliberación. El resto del informe esta para quien quiera profundizar, pero la batalla se gana o se pierde en esa primera página.

9. Subestimar la importancia de los diagramas y las tablas

Un error sutil pero frecuente: presentar todas las conclusiones en texto corrido. Los diagramas de arquitectura, las tablas comparativas, los timelines visuales y los gráficos de datos tienen un impacto mucho mayor que los párrafos de texto. Un diagrama que muestra la arquitectura de seguridad de la empresa con todas sus capas de protección comunica más en un vistazo que 5 páginas de descripción textual. Del mismo modo, una tabla que compare las medidas implementadas vs las exigidas por la AEPD, con un check verde o una cruz roja en cada fila, es inmediatamente comprensible para el magistrado.

En mis informes periciales, los diagramas y tablas no son decorativos: son argumentativos. Cada elemento visual transmite una conclusión y esta diseñado para ser comprensible sin necesidad de leer el texto que lo rodea. Si el magistrado solo mira los diagramas y las tablas, ya tiene el 80% del mensaje.

10. No documentar la cadena de custodia de la evidencia aportada

Todo informe pericial que aporta evidencia técnica (capturas de configuración, logs, certificados, informes de auditoría) debe documentar como se obtuvo esa evidencia, cuando se obtuvo, quien la obtuvo y que garantías de integridad tiene. Un hash SHA-256 de cada pieza de evidencia, una marca temporal verificable y una descripción del proceso de obtención son requisitos mínimos. Si la evidencia no tiene cadena de custodia, el Abogado del Estado puede cuestionar su autenticidad durante la ratificación, y el tribunal puede restarle valor probatorio. Este es un error que cometen peritos con experiencia en informes técnicos pero sin formación en pericia judicial.

El futuro del peritaje informático en lo contencioso-administrativo

La tendencia es clara: el volumen de trabajo del perito informático en contencioso-administrativo va a seguir creciendo. Hay tres factores que lo explican.

Primero, la digitalización obligatoria de las administraciones públicas. La Ley 39/2015 impone la tramitación electrónica como norma general. Más procedimientos electrónicos significan más decisiones basadas en datos digitales, más errores técnicos y más recursos donde la evidencia digital es la pieza central. La sede electrónica, la firma digital, la notificación electrónica, el expediente electrónico: todos son sistemas informáticos que pueden fallar, y cuando fallan, alguien tiene que explicar al tribunal que paso. Ese alguien es el perito informático.

Un ejemplo concreto: las notificaciones electrónicas a traves de la Dirección Electrónica Habilitada Única (DEHu). He analizado casos donde un ciudadano alegaba no haber recibido una notificación electrónica que la Administración daba por notificada. Mi informe pericial verifico los registros del sistema de notificaciones y demostro que el intento de notificación se había producido en un momento en que la plataforma DEHu registraba una caída de servicio documentada en su propio registro de incidencias. La “notificación” que la Administración daba por practicada nunca llego a producirse técnicamente.

Segundo, la regulación tecnológica creciente. El AI Act europeo, la NIS2, el RGPD, el Esquema Nacional de Seguridad, la normativa de ciberseguridad sectorial: cada nueva regulación genera obligaciones técnicas cuyo cumplimiento o incumplimiento debe ser evaluado por un perito cuando hay disputa.

Tercero, la automatización de decisiones administrativas. Cada vez más administraciones utilizan algoritmos y sistemas de inteligencia artificial para tomar decisiones que afectan a ciudadanos y empresas: desde la selección de contribuyentes para inspección fiscal hasta la asignación de plazas escolares o la denegación de prestaciones. Cuando un ciudadano impugna una decisión automatizada, necesita un perito que evalua el algoritmo, sus datos de entrada, su lógica de decisión y sus sesgos potenciales.

Cuarto, la creciente sofisticación de los ciberataques al sector público. Los ciberataques al sector público han ganado en sofisticación, aunque conviene no apoyarlo en un recuento: el CCN-CERT no publica una serie anual de incidentes gestionados que pueda citarse. Cada incidente puede generar un expediente administrativo, una sanción, una investigación interna o un expediente disciplinario. Y en cada uno de esos procedimientos, la evidencia digital esta en el centro.

Quinto, la transparencia y datos abiertos. La Ley 19/2013 de transparencia obliga a las administraciones a publicar información y responder a solicitudes de acceso. Cuando una administración deniega el acceso a datos alegando motivos técnicos (formatos incompatibles, datos personalizados, coste desproporcionado de extracción), el recurso contencioso-administrativo puede requerir un perito que evalua si esas alegaciones técnicas son fundadas o pretextuales. He analizado casos donde una administración alegaba que extraer determinados datos de su sistema “no era técnicamente viable” cuando en realidad requería una consulta SQL de 5 líneas.

Sexto, la descentralizacion y variabilidad de los sistemas públicos. Cada Comunidad Autónoma, cada ayuntamiento, cada organismo tiene sus propios sistemas informáticos, sus propias políticas de seguridad y su propio nivel de madurez tecnológica. Eso significa que no hay una solución única para todos los casos: cada recurso contencioso-administrativo con componente tecnológico requiere un análisis específico del sistema concreto involucrado. El perito no puede aplicar plantillas; tiene que entender cada sistema desde cero. He visto administraciones locales que siguen utilizando Windows Server 2008 (fuera de soporte desde 2020) y administraciones autonómicas con infraestructuras cloud modernas. El nivel de exigencia técnica que puedo aplicar en mi informe pericial varía en función del contexto: no es lo mismo cuestionar la seguridad de un sistema moderno con recursos que la de un ayuntamiento de 5.000 habitantes con presupuesto limitado de TI. La proporcionalidad es clave.

La interoperabilidad entre sistemas de diferentes administraciones es otra fuente creciente de conflictos. Cuando un ciudadano tramita un procedimiento que involucra a varias administraciones (por ejemplo, una subvencion estatal gestionada por una comunidad autónoma con datos de un ayuntamiento), los datos viajan entre sistemas que no siempre son compatibles. Errores de formato, pérdida de campos, conversiones incorrectas de caracteres especiales, desfases temporales entre bases de datos: todos son problemas técnicos que pueden generar resoluciones administrativas erroneas que el ciudadano no entiende y que solo un perito puede diagnosticar.

En este contexto, el perito informático contencioso-administrativo no es un lujo procesal: es una necesidad creciente. Y los abogados administrativistas que integren la pericia informática en su práctica habitual tendrán una ventaja competitiva significativa frente a los que sigan litigando como si la tecnología no existiera.

Nuevos tipos de recursos que anticipamos para 2026-2027

Basandome en la regulación aprobada y en trámite, anticipo estos nuevos tipos de recursos contencioso-administrativos donde la pericia informática será esencial:

Cada una de estas regulaciones genera obligaciones técnicas cuyo cumplimiento o incumplimiento solo puede ser evaluado por un profesional con experiencia real en los sistemas afectados. El volumen de trabajo del perito informático en contencioso-administrativo solo puede crecer en los próximos años.

La especialización será cada vez más importante. Un perito informático genérico no podrá abordar con igual competencia una auditoría de cumplimiento del AI Act, un análisis de facturación electrónica VeriFactu y una evaluación de seguridad NIS2. La tendencia apunta hacia peritos con especialización vertical en determinados tipos de regulación y tecnología. En mi caso, mi experiencia como ex-CTO me posiciona especialmente bien para los casos que involucran arquitecturas cloud, ciberseguridad, protección de datos y sistemas de facturación electrónica, que representan la mayoría del volumen de contencioso-administrativo con componente tecnológico en España.

Para los abogados administrativistas que lean esta guía, mi recomendación es clara: establezcan relación con un perito informático de confianza antes de necesitarlo. Cuando llegue el caso con componente tecnológico (y llegara, porque la tendencia es imparable), tener un perito con el que ya hayas trabajado, que entienda tu forma de litigar y que pueda responder rápido, vale su peso en oro. La primera consulta es siempre gratuita, y mi compromiso es responder en menos de 24 horas hábiles.

Si tu cliente enfrenta una sanción de la AEPD, una liquidacion de Hacienda, un expediente disciplinario basado en evidencia digital o cualquier otro acto administrativo con componente tecnológico, no dejes pasar los plazos. El tiempo es el recurso más escaso en el contencioso-administrativo, y el informe pericial necesita tiempo para ser bueno. Contactame ahora y evaluamos juntos la viabilidad técnica del recurso.

Servicios relacionados

Si tu caso involucra evidencia digital en un recurso contencioso-administrativo, estos servicios pueden ser relevantes:

• Informes periciales informáticos - Informes con estructura procesal adaptada a contencioso-administrativo, incluyendo análisis crítico del expediente de la Administración
• Perito informático judicial - Mi perfil completo como perito, cualificaciones, experiencia y metodología ISO 27037
• Servicio para abogados - Protocolo de colaboración perito-letrado con comunicación directa, plazos garantizados y disponibilidad para vistas
• Análisis forense digital - Cuando el recurso requiere extracción y preservación de evidencia digital con cadena de custodia
• Peritaje de correo electrónico - Para expedientes donde la evidencia incluye comunicaciones por email con cabeceras técnicas
• Peritaje WhatsApp - Si la comunicación con la Administración o entre partes se realizo por WhatsApp y necesita validación forense

Cómo me contactan los abogados habitualmente

La mayoría de los letrados que trabajan conmigo en contencioso-administrativo llegan a mi por una de estas tres vias:

1. Referencia de otro abogado. La recomendación entre colegas es la fuente principal. Cuando un abogado administrativista tiene un buen resultado con mi informe pericial, lo recomienda a otros colegas que enfrentan casos similares.

2. Búsqueda directa. Abogados que buscan “perito informático contencioso-administrativo” o “perito informático AEPD” y encuentran este contenido. Si has llegado hasta aquí leyendo, probablemente es tu caso.

3. Contacto del cliente. A veces es la propia empresa sancionada quien me contacta primero y luego me pone en contacto con su abogado. En estos casos, suelo recomendar que el letrado lidere la relación y que yo me integre en el equipo de defensa bajo su coordinacion.

En cualquiera de los tres casos, el primer paso es siempre una consulta gratuita de valoración. En 30-60 minutos reviso los datos básicos del caso, evaluo la viabilidad técnica del recurso y proporciono un presupuesto estimado. Sin compromiso y sin coste.

Cobertura geográfica

Aunque mi base esta en Jaen, trabajo en todo el territorio nacional. El contencioso-administrativo tiene una distribución geográfica particular: las sanciones de la AEPD se recurren ante la Audiencia Nacional (Madrid), las de la AEAT ante el TEAR correspondiente o los Juzgados de lo Contencioso, y los actos de administraciones locales y autonómicas ante los juzgados y TSJ de cada provincia. Me desplazo a cualquier juzgado o tribunal de España para la ratificación del informe. Para los casos de Madrid, Barcelona, Sevilla, Valencia y Bilbao, donde litigo con más frecuencia, el coste de desplazamiento esta optimizado.

La elaboración del informe pericial se realiza de forma remota en la mayoría de los casos: la documentación del expediente se digitaliza, los logs y datos técnicos se analizan remotamente, y las reuniones con el letrado se hacen por videoconferencia. Solo es necesario el desplazamiento presencial para la ratificación en vista y, en algunos casos, para inspecciones in situ de sistemas o equipos.

Para juzgados y tribunales de la mitad sur de España (Madrid, Andalucía, Murcia, Castilla-La Mancha, Extremadura), el desplazamiento desde Jaen es directo y el coste es mínimo. Para tribunales del norte (Cataluna, País Vasco, Galicia, Asturias), el desplazamiento requiere vuelo o AVE, y ese coste se refleja en el presupuesto. En todos los casos, el coste de desplazamiento se factura a precio de coste real, sin margen.

La Audiencia Nacional (Madrid), donde se recurren las sanciones de la AEPD y determinados actos de organismos estatales, es el tribunal donde más frecuentemente me ratifico. Conozco bien sus procedimientos, sus plazos y las dinamicas de sus vistas. Esa familiaridad con el tribunal es un valor añadido que repercute en la calidad de la ratificación.

Referencias

1. Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (LJCA) - BOE
2. Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común - BOE
3. Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil (LEC) - BOE
4. Reglamento General de Protección de Datos (RGPD) 2016/679 - EUR-Lex
5. Memoria Anual AEPD 2025 - Agencia Española de Protección de Datos
6. Esquema Nacional de Seguridad - Real Decreto 311/2022 - BOE
7. Guía sobre gestión de brechas de datos personales - AEPD
8. Jurisprudencia Tribunal Supremo, Sala Tercera - CGPJ
9. Directiva DAC7 (2021/514) sobre intercambio de información fiscal de plataformas digitales - EUR-Lex
10. Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público - BOE
11. Tribunal Constitucional, STC 76/1990, de 26 de abril (Pleno, ECLI:ES:TC:1990:76; BOE núm. 129 de 30 de mayo de 1990), sobre la presunción de veracidad de las actas de la Inspección y su compatibilidad con el art. 24.2 CE. Localizable por su ECLI en el buscador de jurisprudencia constitucional.
12. Ley 41/2002, de 14 de noviembre, de autonomia del paciente - BOE
13. Ley 36/2011, de 10 de octubre, reguladora de la jurisdicción social (LRJS) - BOE
14. ISO 1996-1:2016 - Descripción, medición y evaluación del ruido ambiental - ISO
15. IBM Cost of a Data Breach Report 2025 - IBM Security
16. Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras — BOE-A-2006-21648. ⚠️ Citarla con cuidado: la Ley Orgánica 3/2018 no la deroga expresamente —su disposición derogatoria única solo nombra la LOPD 15/1999 y el RDL 5/2018—, pero sí deja sin efecto «cuantas disposiciones de igual o inferior rango contradigan, se opongan, o resulten incompatibles» con ella y con el RGPD. El régimen aplicable hoy es el art. 22 LOPDGDD junto al RGPD; la Instrucción solo subsiste en lo que no se les oponga.
17. Reglamento de Inteligencia Artificial (AI Act) 2024/1689 - EUR-Lex
18. Buscador de resoluciones AEPD - AEPD
19. Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno - BOE
20. CCN-CERT — informes públicos del Centro Criptológico Nacional, donde se publica la serie Ciberamenazas y Tendencias
21. Directrices EDPB 3/2019 sobre tratamiento de datos personales mediante videovigilancia - Comite Europeo de Protección de Datos