Tema 20. Delitos informáticos. Especial consideración al derecho a la intimidad. La prueba digital en el proceso penal.

El tema se apoya en dos normas. El Código Penal (CP) tipifica el descubrimiento y revelación de secretos, que protege la intimidad frente a intromisiones informáticas [CP, art. 197.1], y los daños informáticos [CP, art. 264.1]. La Ley de Enjuiciamiento Criminal (LECRIM) regula las medidas de investigación tecnológica con las que se obtiene la prueba digital en el proceso penal [LECRIM, art. 588 bis a.1]. Por la extensión del material, el resumen prioriza los tipos penales y, en la parte procesal, las disposiciones comunes, la interceptación de comunicaciones y el registro de dispositivos; las demás medidas se resumen en sus reglas esenciales [LECRIM, art. 588 bis a.1].

1. Delitos contra la intimidad cometidos por medios informáticos

1.1. Descubrimiento de secretos y apoderamiento de datos

• Tipo básico: comete delito quien, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodera de sus papeles, cartas, mensajes de correo electrónico u otros documentos o efectos personales, intercepta sus telecomunicaciones o utiliza artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen o de cualquier otra señal de comunicación; pena de prisión de uno a cuatro años y multa de doce a veinticuatro meses [CP, art. 197.1].
• Datos reservados: las mismas penas para quien, sin estar autorizado, se apodera, utiliza o modifica, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro registrados en ficheros o soportes informáticos, electrónicos o telemáticos o en cualquier archivo o registro público o privado; y para quien, sin estar autorizado, accede por cualquier medio a ellos o los altera o utiliza en perjuicio del titular o de un tercero [CP, art. 197.2].

Agravaciones y conductas próximas del mismo artículo [CP, art. 197]:

1.2. Difusión de imágenes obtenidas con consentimiento

• Se castiga con prisión de tres meses a un año o multa de seis a doce meses a quien, sin autorización de la persona afectada, difunde, revela o cede a terceros imágenes o grabaciones audiovisuales que obtuvo con su anuencia en un domicilio o lugar fuera del alcance de la mirada de terceros, cuando la divulgación menoscabe gravemente su intimidad personal [CP, art. 197.7].
• Quien las recibe y las difunde, revela o cede a terceros sin consentimiento de la persona afectada es castigado con multa de uno a tres meses [CP, art. 197.7].
• La pena va en su mitad superior si el autor es el cónyuge o persona unida por análoga relación de afectividad, aun sin convivencia, si la víctima es menor o persona con discapacidad necesitada de especial protección, o si hay finalidad lucrativa [CP, art. 197.7].

1.3. Intrusismo informático e interceptación de datos

• Acceso ilícito: quien por cualquier medio, vulnerando las medidas de seguridad y sin estar debidamente autorizado, accede o facilita a otro el acceso a todo o parte de un sistema de información, o se mantiene en él contra la voluntad de quien tenga el legítimo derecho a excluirlo, es castigado con prisión de seis meses a dos años [CP, art. 197 bis.1].
• Interceptación: quien, mediante artificios o instrumentos técnicos y sin autorización, intercepta transmisiones no públicas de datos informáticos desde, hacia o dentro de un sistema de información, incluidas sus emisiones electromagnéticas, es castigado con prisión de tres meses a dos años o multa de tres a doce meses [CP, art. 197 bis.2].
• Actos preparatorios: quien, sin autorización, produce, adquiere para su uso, importe o facilita a terceros, con intención de facilitar los delitos del artículo 197.1 y 2 o del 197 bis, un programa informático concebido o adaptado principalmente para cometerlos, o una contraseña, código de acceso o datos similares, es castigado con prisión de seis meses a dos años o multa de tres a dieciocho meses [CP, art. 197 ter].

1.4. Reglas comunes del capítulo

• Si los hechos se cometen en el seno de una organización o grupo criminal, se aplican las penas superiores en grado [CP, art. 197 quater].
• Si una persona jurídica es responsable de los delitos de los artículos 197, 197 bis y 197 ter, se le impone multa de seis meses a dos años, y pueden imponerse además las penas de las letras b) a g) del artículo 33.7 [CP, art. 197 quinquies].
• La autoridad o funcionario público que, fuera de los casos permitidos por la Ley, sin mediar causa legal por delito y prevaliéndose de su cargo, realiza estas conductas recibe las penas previstas en su mitad superior y, además, inhabilitación absoluta de seis a doce años [CP, art. 198].
• Lo dispuesto en el capítulo se aplica también a quien descubre, revela o cede datos reservados de personas jurídicas sin el consentimiento de sus representantes, salvo lo dispuesto en otros preceptos [CP, art. 200].

1.5. Revelación de secretos profesionales o laborales

La revelación de secretos ajenos conocidos por el trabajo tiene dos modalidades [CP, art. 199]:

1.6. Perseguibilidad

• Para proceder por estos delitos es necesaria denuncia de la persona agraviada o de su representante legal [CP, art. 201.1].
• No hace falta denuncia en los hechos del artículo 198 (autoridad o funcionario), ni cuando el delito afecta a los intereses generales o a una pluralidad de personas, o la víctima es menor o persona con discapacidad necesitada de especial protección [CP, art. 201.2].
• El perdón del ofendido o de su representante legal extingue la acción penal, sin perjuicio del artículo 130.1.5.º, párrafo segundo [CP, art. 201.3].

2. Daños informáticos

2.1. Daños sobre datos, programas y documentos electrónicos

• Quien por cualquier medio, sin autorización y de manera grave, borra, daña, deteriora, altera, suprime o hace inaccesibles datos informáticos, programas informáticos o documentos electrónicos ajenos, cuando el resultado sea grave, es castigado con prisión de seis meses a tres años [CP, art. 264.1].
• La pena es de prisión de dos a cinco años y multa del tanto al décuplo del perjuicio si concurre alguna de estas circunstancias [CP, art. 264.2]:
• 1.ª Comisión en el marco de una organización criminal [CP, art. 264.2].
• 2.ª Daños de especial gravedad o afectación a un número elevado de sistemas informáticos [CP, art. 264.2].
• 3.ª Perjuicio grave al funcionamiento de servicios públicos esenciales o a la provisión de bienes de primera necesidad [CP, art. 264.2].
• 4.ª Afectación al sistema informático de una infraestructura crítica o peligro grave para la seguridad del Estado, de la Unión Europea o de un Estado miembro; se considera infraestructura crítica un elemento, sistema o parte esencial para el mantenimiento de funciones vitales de la sociedad, la salud, la seguridad, la protección y el bienestar económico y social de la población, cuya perturbación o destrucción tendría un impacto significativo [CP, art. 264.2].
• 5.ª Uso de alguno de los medios del artículo 264 ter [CP, art. 264.2].
• Si los hechos son de extrema gravedad, puede imponerse la pena superior en grado [CP, art. 264.2].
• Las penas van en su mitad superior si se utilizan ilícitamente datos personales de otra persona para facilitarse el acceso al sistema o ganarse la confianza de un tercero [CP, art. 264.3].

2.2. Obstaculización o interrupción de sistemas

• Quien, sin autorización y de manera grave, obstaculiza o interrumpe el funcionamiento de un sistema informático ajeno, realizando conductas del artículo 264, introduciendo o transmitiendo datos, o destruyendo, dañando, inutilizando, eliminando o sustituyendo un sistema informático, telemático o de almacenamiento, es castigado con prisión de seis meses a tres años [CP, art. 264 bis.1].
• Si se perjudica de forma relevante la actividad normal de una empresa, negocio o Administración pública, la pena va en su mitad superior, pudiendo alcanzar la superior en grado [CP, art. 264 bis.1].
• Con las circunstancias del artículo 264.2, la pena es de prisión de tres a ocho años y multa del triplo al décuplo del perjuicio [CP, art. 264 bis.2]; y la utilización ilícita de datos personales ajenos lleva las penas a su mitad superior [CP, art. 264 bis.3].

2.3. Actos preparatorios y personas jurídicas

• Producir, adquirir para su uso, importar o facilitar a terceros, sin autorización y con intención de facilitar los delitos de daños, programas informáticos concebidos para cometerlos o contraseñas o códigos de acceso: prisión de seis meses a dos años o multa de tres a dieciocho meses [CP, art. 264 ter].
• Para la persona jurídica responsable: multa de dos a cinco años o del quíntuplo a doce veces el perjuicio si el delito tiene prisión de más de tres años, y multa de uno a tres años o del triple a ocho veces el perjuicio en el resto de casos; pueden añadirse las penas del artículo 33.7, letras b) a g) [CP, art. 264 quater].

3. La prueba digital: disposiciones comunes a las medidas de investigación tecnológica

3.1. Principios rectores

Durante la instrucción pueden acordarse estas medidas siempre que medie autorización judicial sujeta a los principios de especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad [LECRIM, art. 588 bis a.1]:

• Especialidad: la medida debe estar relacionada con la investigación de un delito concreto; no caben medidas para prevenir o descubrir delitos o despejar sospechas sin base objetiva [LECRIM, art. 588 bis a.2].
• Idoneidad: define el ámbito objetivo y subjetivo y la duración de la medida en virtud de su utilidad [LECRIM, art. 588 bis a.3].
• Excepcionalidad y necesidad: solo cabe la medida si no hay otras menos gravosas para los derechos fundamentales e igualmente útiles, o si sin ella el esclarecimiento del hecho, la identificación del autor, su paradero o la localización de los efectos se ve gravemente dificultada [LECRIM, art. 588 bis a.4].
• Proporcionalidad: el sacrificio de los derechos no puede ser superior al beneficio para el interés público y de terceros; se valoran la gravedad del hecho, su trascendencia social o el ámbito tecnológico de producción, la intensidad de los indicios y la relevancia del resultado [LECRIM, art. 588 bis a.5].

3.2. Solicitud y resolución

• El juez puede acordar las medidas de oficio o a instancia del Ministerio Fiscal o de la Policía Judicial [LECRIM, art. 588 bis b.1].
• La petición debe contener, entre otros extremos, el hecho investigado y la identidad del investigado, las razones de necesidad y los indicios de criminalidad, la extensión de la medida, la unidad de Policía Judicial que se hará cargo, la forma de ejecución, la duración solicitada y el sujeto obligado, si se conoce [LECRIM, art. 588 bis b.2].
• El juez de instrucción autoriza o deniega mediante auto motivado, oído el Ministerio Fiscal, en el plazo máximo de veinticuatro horas desde la solicitud [LECRIM, art. 588 bis c.1]; puede pedir ampliación o aclaración, con interrupción de ese plazo [LECRIM, art. 588 bis c.2].
• La resolución concreta, al menos, el hecho punible y su calificación, los investigados, la extensión de la medida, la unidad de Policía Judicial, la duración, la forma y periodicidad de los informes al juez, la finalidad y el sujeto obligado, con mención del deber de colaboración y secreto bajo apercibimiento de delito de desobediencia [LECRIM, art. 588 bis c.3].
• La solicitud y las actuaciones posteriores se tramitan en pieza separada y secreta, sin necesidad de acordar expresamente el secreto de la causa [LECRIM, art. 588 bis d].

3.3. Duración, prórroga, control y cese

• La medida no puede exceder del tiempo imprescindible para esclarecer los hechos [LECRIM, art. 588 bis e.1]; puede prorrogarse por auto motivado, de oficio o a petición razonada, si subsisten las causas [LECRIM, art. 588 bis e.2], y cesa a todos los efectos al terminar el plazo sin prórroga [LECRIM, art. 588 bis e.3].
• La solicitud de prórroga incluye un informe detallado del resultado y las razones para continuar [LECRIM, art. 588 bis f.1]; el juez resuelve en los dos días siguientes por auto motivado [LECRIM, art. 588 bis f.2], y la prórroga se computa desde la expiración del plazo anterior [LECRIM, art. 588 bis f.3].
• La Policía Judicial informa al juez del desarrollo y resultados en la forma y periodicidad que este fije y, en todo caso, al terminar la medida [LECRIM, art. 588 bis g].
• Las medidas pueden afectar a terceras personas en los casos y condiciones de cada regulación específica [LECRIM, art. 588 bis h], y los descubrimientos casuales y el uso de la información en otro procedimiento se rigen por el artículo 579 bis [LECRIM, art. 588 bis i].
• El juez acuerda el cese cuando desaparecen las circunstancias que la justificaron, cuando resulta evidente que no da resultados y, en todo caso, al vencer el plazo [LECRIM, art. 588 bis j].
• Con resolución firme se borran los registros originales y se conserva una copia bajo custodia del secretario judicial [LECRIM, art. 588 bis k.1]; las copias se destruyen a los cinco años de ejecutada la pena, o si el delito o la pena han prescrito, hay sobreseimiento libre o sentencia absolutoria firme, salvo que el Tribunal considere precisa su conservación [LECRIM, art. 588 bis k.2].

4. Interceptación de las comunicaciones telefónicas y telemáticas

• Delitos: solo cabe para los delitos del artículo 579.1 o para delitos cometidos a través de instrumentos informáticos o de cualquier otra tecnología de la información o la comunicación [LECRIM, art. 588 ter a].
• Ámbito: terminales habitual u ocasionalmente utilizados por el investigado [LECRIM, art. 588 ter b.1]; puede abarcar el contenido y los datos electrónicos de tráfico o asociados, y también los terminales de la víctima si hay grave riesgo para su vida o integridad [LECRIM, art. 588 ter b.2].
• Terceros: cabe intervenir terminales de un tercero si el investigado se sirve de ellos, si el titular colabora con él o se beneficia de su actividad, o si terceros usan maliciosamente el dispositivo sin conocimiento de su titular [LECRIM, art. 588 ter c].
• Solicitud: además de lo común, identifica el número de abonado, terminal o etiqueta técnica, la conexión o el medio de telecomunicación [LECRIM, art. 588 ter d.1].
• Urgencia: en delitos de bandas armadas o elementos terroristas puede ordenarla el Ministro del Interior o, en su defecto, el Secretario de Estado de Seguridad, comunicándolo al juez en un máximo de veinticuatro horas; el juez la revoca o confirma en un máximo de setenta y dos horas desde que se ordenó [LECRIM, art. 588 ter d.3].
• Colaboración: los prestadores de servicios y cualquiera que facilite las comunicaciones deben colaborar [LECRIM, art. 588 ter e.1], guardar secreto [LECRIM, art. 588 ter e.2] y, si incumplen, pueden incurrir en desobediencia [LECRIM, art. 588 ter e.3].
• Control: la Policía Judicial entrega al juez, en soportes digitales distintos, la transcripción de los pasajes de interés y las grabaciones íntegras, asegurando su autenticidad e integridad con sellado o firma electrónica avanzada u otro sistema fiable de adveración [LECRIM, art. 588 ter f].
• Duración: tres meses desde la autorización, prorrogables por periodos iguales hasta un máximo de dieciocho meses [LECRIM, art. 588 ter g]; para la prórroga se aportan las transcripciones relevantes [LECRIM, art. 588 ter h].
• Acceso de las partes: alzado el secreto y expirada la medida, se les entrega copia de grabaciones y transcripciones, excluyendo los datos de la vida íntima [LECRIM, art. 588 ter i.1].

4.1. Datos e identificación

• Los datos conservados por los prestadores vinculados a procesos de comunicación solo se ceden al proceso con autorización judicial [LECRIM, art. 588 ter j.1].
• Si los agentes conocen una dirección IP usada para cometer un delito sin identificar el equipo o al usuario, piden al juez que requiera su cesión a los obligados a colaborar [LECRIM, art. 588 ter k].
• Pueden usar artificios técnicos para captar códigos como el IMSI o IMEI cuando no se haya podido obtener el número de abonado [LECRIM, art. 588 ter l.1].
• Para conocer la titularidad de un teléfono o medio de comunicación, o el número a partir del titular, el Ministerio Fiscal o la Policía Judicial pueden dirigirse directamente a los prestadores, que deben cumplir bajo apercibimiento de desobediencia [LECRIM, art. 588 ter m].

5. Otras medidas de investigación tecnológica

5.1. Grabación de comunicaciones orales directas

• Pueden colocarse dispositivos de captación y grabación de las conversaciones del investigado en la vía pública, en su domicilio o en otros lugares cerrados [LECRIM, art. 588 quater a.1], y complementarse con imágenes si lo autoriza la resolución [LECRIM, art. 588 quater a.3].
• Deben vincularse a encuentros concretos previsibles [LECRIM, art. 588 quater b.1] y solo para delitos dolosos con pena máxima de al menos tres años de prisión, delitos en grupo u organización criminal o de terrorismo [LECRIM, art. 588 quater b.2].
• La resolución menciona el lugar y los encuentros vigilados [LECRIM, art. 588 quater c]; grabar otros encuentros exige nueva autorización [LECRIM, art. 588 quater e].

5.2. Imágenes, seguimiento y localización

• La Policía Judicial puede obtener y grabar por cualquier medio técnico imágenes del investigado en lugares o espacios públicos si es necesario para identificarlo, localizar los instrumentos o efectos del delito u obtener datos relevantes [LECRIM, art. 588 quinquies a.1].
• Los dispositivos de seguimiento y localización requieren autorización judicial [LECRIM, art. 588 quinquies b.1]; en urgencia la Policía Judicial puede colocarlos y dar cuenta al juez en un máximo de veinticuatro horas [LECRIM, art. 588 quinquies b.4]. Duran tres meses, prorrogables excepcionalmente hasta dieciocho meses [LECRIM, art. 588 quinquies c.1].

5.3. Registro de dispositivos de almacenamiento masivo

• Si en un registro domiciliario es previsible aprehender ordenadores o dispositivos, la resolución debe justificar el acceso a su contenido [LECRIM, art. 588 sexies a.1]; la simple incautación no legitima el acceso [LECRIM, art. 588 sexies a.2]. Lo mismo vale fuera del domicilio [LECRIM, art. 588 sexies b].
• La autorización fija el alcance del registro y las condiciones de integridad de los datos [LECRIM, art. 588 sexies c.1]; salvo que sea objeto o instrumento del delito u otras razones lo justifiquen, se evita incautar el soporte cuando pueda causar grave perjuicio a su titular y sea posible una copia que garantice la autenticidad e integridad de los datos [LECRIM, art. 588 sexies c.2].
• En urgencia, la Policía Judicial puede examinar directamente los datos y comunicarlo al juez en veinticuatro horas; el juez revoca o confirma en 72 horas [LECRIM, art. 588 sexies c.4].

5.4. Registros remotos y conservación de datos

• El registro remoto mediante software solo cabe para delitos de organizaciones criminales, terrorismo, contra menores o personas con capacidad modificada judicialmente, contra la Constitución, traición y defensa nacional, o cometidos por medios informáticos [LECRIM, art. 588 septies a.1]; dura un mes, prorrogable hasta tres meses [LECRIM, art. 588 septies c].
• El Ministerio Fiscal o la Policía Judicial pueden ordenar la conservación de datos hasta obtener autorización judicial, durante un máximo de noventa días, prorrogable una vez hasta ciento ochenta días [LECRIM, art. 588 octies].

5.5. Cuadro de plazos