Regla uno: no tocar el original
No se debe borrar, editar ni reenviar. Cada una de esas acciones cambia metadatos que después sirven para autenticar la prueba. Si hay que mostrar algo, se muestra desde el dispositivo original.
Teléfonos
No debe restablecerse de fábrica, ni desinstalarse aplicaciones, ni cambiarse de equipo. Si se sospecha espionaje, el teléfono no debe usarse para hablar del caso y corresponde pedir un análisis forense.
Correos electrónicos
Los mensajes deben quedar en el buzón. Imprimir o reenviar elimina las cabeceras técnicas. Si la cuenta es corporativa, corresponde avisar al área de sistemas para que no se apliquen borrados automáticos.
Redes sociales y sitios web
Hay que anotar la URL completa y la fecha. Puede hacerse una captura como referencia, pero corresponde pedir una preservación forense, porque el contenido puede borrarse en cualquier momento.
Cámaras de seguridad
Muchos DVR sobrescriben las grabaciones en pocos días. Hay que pedir la exportación en formato original lo antes posible y evitar filmar la pantalla con un celular.
Llevar un registro
Conviene anotar qué evidencia existe, dónde está, quién tuvo acceso y cuándo. Ese registro es el comienzo de la cadena de custodia.