Acceso ilícito a sistemas informáticos

El acceso ilícito a sistemas informáticos —coloquialmente conocido como hacking ilegal o intrusión informática— es la conducta por la que una persona accede al conjunto o a una parte de un sistema de información sin estar debidamente autorizada, vulnerando las medidas de seguridad establecidas para impedirlo, o se mantiene en él contra la voluntad de quien tiene el legítimo derecho a excluirlo. En España, esta conducta se tipifica en el artículo 197 bis del Código Penal, añadido por la Ley Orgánica 1/2015, de 30 de marzo.

El bien jurídico protegido es doble: por un lado, la intimidad y privacidad del titular del sistema o de los datos que en él se almacenan; por otro, la integridad y seguridad de los propios sistemas informáticos, en tanto infraestructura esencial para particulares, empresas e instituciones. Esta dualidad explica que el precepto se ubique sistemáticamente junto a los delitos contra la intimidad, pero presente una autonomía técnica propia respecto a la revelación de secretos.

Conviene distinguir este delito de figuras próximas. El acceso ilícito se consuma con la mera entrada no autorizada en el sistema, aunque el intruso no llegue a extraer datos ni cause daño alguno. Si el acceso va seguido del apoderamiento, utilización, difusión o cesión de datos reservados de carácter personal o de secretos, podrían concurrir adicionalmente las conductas del art. 197 CP. Si el acceso conduce al borrado, daño, alteración, supresión o inaccesibilidad de datos, programas o documentos electrónicos ajenos, entraría en juego el delito de daños informáticos del art. 264 CP, o la obstaculización o interrupción del funcionamiento de un sistema informático ajeno del art. 264 bis CP. La combinación de varios de estos tipos en un mismo hecho es habitual en la práctica.

Para que exista el delito del artículo 197 bis CP deben concurrir varios elementos:

1. Sujeto activo y pasivo. Puede ser sujeto activo cualquier persona física (el tipo es común). El sujeto pasivo es el titular del sistema o de los datos, que puede ser una persona física, una empresa o una Administración pública. La responsabilidad penal de las personas jurídicas también puede activarse en este ámbito (art. 197 quinquies CP, en relación con el art. 31 bis CP), lo que resulta especialmente relevante cuando la intrusión se organiza desde una estructura empresarial.

2. Conducta típica. El art. 197 bis.1 CP recoge tres modalidades: acceder por cualquier medio o procedimiento al conjunto o a una parte de un sistema de información; facilitar a otro ese acceso; y mantenerse en el sistema en contra de la voluntad de quien tenga el legítimo derecho a excluirlo. En los dos primeros casos, el acceso ha de producirse vulnerando las medidas de seguridad establecidas para impedirlo y sin estar debidamente autorizado.

3. Vulneración de medidas de seguridad. Es un elemento expreso del tipo: el art. 197 bis.1 CP exige que el acceso se realice «vulnerando las medidas de seguridad establecidas para impedirlo». La discusión técnica en el proceso suele girar en torno a qué mecanismo de protección existía —contraseña, cifrado, cortafuegos, control de acceso por roles— y si el investigado lo eludió, rompió o soslayó.

4. Elemento subjetivo. El tipo exige actuar «sin estar debidamente autorizado» y vulnerando las medidas de seguridad, lo que presupone conocimiento y voluntad de acceder o mantenerse en el sistema. El error sobre un hecho constitutivo de la infracción o sobre la ilicitud del hecho se rige por las reglas del art. 14 CP.

5. Modalidad del apartado 2. El art. 197 bis.2 CP castiga una conducta distinta: la interceptación, mediante la utilización de artificios o instrumentos técnicos y sin estar debidamente autorizado, de transmisiones no públicas de datos informáticos que se produzcan desde, hacia o dentro de un sistema de información, incluidas sus emisiones electromagnéticas.

El artículo 197 bis CP castiga el acceso ilícito, la facilitación del acceso o el mantenimiento indebido en un sistema de información con pena de prisión de seis meses a dos años; y la interceptación no autorizada de transmisiones no públicas de datos informáticos, con pena de prisión de tres meses a dos años o multa de tres a doce meses.

El que por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado, acceda o facilite a otro el acceso al conjunto o una parte de un sistema de información o se mantenga en él en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, será castigado con pena de prisión de seis meses a dos años.

Art. 197 bis CP · Ley Orgánica 10/1995 · texto en el BOE

• Tipo del art. 197 bis.1 CP (acceso, facilitación del acceso o mantenimiento no autorizado): pena de prisión de seis meses a dos años.
• Tipo del art. 197 bis.2 CP (interceptación de transmisiones no públicas de datos informáticos mediante artificios o instrumentos técnicos): pena de prisión de tres meses a dos años o multa de tres a doce meses.

Junto a estas conductas, el art. 197 ter CP castiga con pena de prisión de seis meses a dos años o multa de tres a dieciocho meses a quien, sin estar debidamente autorizado, produzca, adquiera para su uso, importe o de cualquier modo facilite a terceros un programa informático concebido o adaptado principalmente para cometer estos delitos, o una contraseña de ordenador, código de acceso o datos similares que permitan acceder a la totalidad o a una parte de un sistema de información, con la intención de facilitar la comisión de los delitos de los apartados 1 y 2 del art. 197 CP o del art. 197 bis CP.

Cuando el responsable es una persona jurídica (art. 197 quinquies CP), se le impondrá la pena de multa de seis meses a dos años y, atendidas las reglas del art. 66 bis CP, los jueces y tribunales podrán imponer además las penas recogidas en las letras b) a g) del apartado 7 del art. 33 CP, entre ellas la disolución, la suspensión de actividades, la clausura de locales y establecimientos o la inhabilitación para obtener subvenciones y ayudas públicas y para contratar con el sector público.

Además de las penas privativas de libertad o de multa, la ejecución de un hecho descrito por la ley como delito obliga a reparar los daños y perjuicios causados (art. 109 CP). Esa responsabilidad civil comprende la restitución, la reparación del daño y la indemnización de perjuicios materiales y morales (art. 110 CP), y alcanza a toda persona criminalmente responsable de la que se deriven daños o perjuicios (art. 116 CP).

Denuncia o querella e inicio de la instrucción. El procedimiento suele iniciarse mediante denuncia de la víctima —una empresa, un particular o un organismo público— ante la Policía, la Guardia Civil o directamente ante el órgano competente para la instrucción del lugar en que el delito se hubiere cometido (art. 14 LECrim), el Juzgado de Instrucción. También puede iniciarse cuando la intrusión se detecta en el curso de otras investigaciones. En supuestos complejos se recomienda interponer querella con asistencia letrada desde el primer momento para orientar adecuadamente la investigación técnica.

Diligencias de investigación tecnológica. Esta fase es técnicamente exigente. Las actuaciones más habituales incluyen: el análisis forense de los sistemas vulnerados, la interceptación de comunicaciones o el registro de dispositivos electrónicos con autorización judicial, la solicitud de datos de tráfico a operadoras de telecomunicaciones, el rastreo de direcciones IP y la colaboración con plataformas internacionales. La cadena de custodia de la evidencia digital es crítica: cualquier defecto en su preservación puede comprometer toda la prueba de cargo.

Instrucción, acusación y juicio oral. Una vez identificado el presunto autor, el cauce ordinario es el procedimiento abreviado, aplicable al enjuiciamiento de los delitos castigados con pena privativa de libertad no superior a nueve años (art. 757 LECrim). Conforme al art. 14 LECrim, el conocimiento y fallo corresponde al órgano de enjuiciamiento penal de la circunscripción donde el delito fue cometido cuando la pena privativa de libertad no sea superior a cinco años, y a la Audiencia Provincial en los demás casos. La fase de juicio oral concentra el debate sobre la prueba pericial informática, que en estos procesos tiene un peso determinante. La complejidad técnica hace que los peritos —tanto de la acusación como de la defensa— jueguen un papel central en el resultado del juicio.

Cuestionamiento de la autoría. La atribución de un acceso informático a una persona concreta es uno de los puntos más complejos y más atacables de la acusación. Una dirección IP identifica un acceso a una red, no a una persona física: el abogado defensor debe explorar si el terminal fue utilizado por terceros, si la red era abierta o si existían indicios de que un tercero empleó la identidad digital del investigado (técnicas de spoofing o VPN mal atribuidas).

Ausencia de medidas de seguridad vulneradas. Si el sistema al que se accedió carecía de protección efectiva o si el acceso se realizó a través de canales técnicamente abiertos o mal configurados por el propio titular, puede debatirse si concurre el elemento típico de vulneración de las medidas de seguridad establecidas para impedirlo que exige el art. 197 bis.1 CP.

Autorización expresa o implícita. En contextos laborales o de auditoría de seguridad (pentesting contratado), la defensa puede acreditar que el acceso fue autorizado por quien tenía legitimidad para concederlo, lo que excluye la tipicidad, pues el art. 197 bis.1 CP exige actuar sin estar debidamente autorizado. Esta situación es frecuente en conflictos entre empresas y exempleados de sistemas que alegan haber actuado en el marco de sus funciones o con permiso verbal de superiores.

Nulidad de la prueba digital. La prueba informática obtenida sin la autorización judicial exigible, con defectos en la cadena de custodia o mediante técnicas de investigación no homologadas puede ser cuestionada por la defensa. La revisión exhaustiva del atestado policial y los informes periciales en busca de irregularidades procedimentales es una tarea esencial.

Atenuantes y conformidad. Si la prueba de cargo es sólida, la defensa puede orientarse a la obtención de la pena mínima mediante la apreciación de atenuantes del art. 21 CP (confesar la infracción antes de conocer que el procedimiento se dirige contra el culpable, reparar el daño ocasionado a la víctima, dilación extraordinaria e indebida en la tramitación) o mediante una conformidad negociada, que en su caso puede prestarse ante el juzgado de guardia en los términos del art. 801 LECrim. La suspensión de la ejecución de las penas privativas de libertad no superiores a dos años se rige por el art. 80 CP.

Confundir el acceso ilícito con los daños informáticos. Es frecuente que víctimas e investigados crean que son el mismo delito. El acceso ilícito se consuma con la mera entrada no autorizada; los daños informáticos del art. 264 CP requieren que se hayan borrado, dañado, deteriorado, alterado, suprimido o hecho inaccesibles, de manera grave, datos informáticos, programas informáticos o documentos electrónicos ajenos, con resultado grave. Pueden concurrir en la misma conducta, pero son tipos autónomos con penas distintas, y la defensa o la acusación deben cuidar cada calificación.

Subestimar la relevancia penal por la ausencia de lucro. Muchos investigados creen que si no extrajeron datos ni causaron perjuicio económico, la conducta es inocua penalmente. Sin embargo, el tipo del art. 197 bis.1 CP no exige ningún resultado dañoso ni ánimo de lucro: basta el acceso no autorizado con vulneración de las medidas de seguridad, o el mantenimiento en el sistema contra la voluntad de quien tiene derecho a excluir al intruso.

No preservar las pruebas digitales inmediatamente. Las víctimas empresariales cometen con frecuencia el error de modificar, reiniciar o limpiar los sistemas antes de realizar un volcado forense. Esto destruye evidencias imprescindibles para acreditar el acceso y dificulta enormemente la instrucción posterior. La asistencia letrada e informático-forense debe activarse desde el primer momento.

Ignorar la dimensión internacional. Los accesos ilícitos se producen con frecuencia desde servidores o dispositivos ubicados en el extranjero. Esta circunstancia complica enormemente la identificación del autor y la práctica de diligencias, y suele exigir cooperación judicial internacional.

El acceso ilícito a sistemas informáticos es uno de los delitos que más exige la colaboración entre conocimiento jurídico y pericia técnica. Un abogado especialista colegiado con experiencia en ciberdelincuencia actúa de forma diferente según se trate de la defensa o de la acusación particular.

En la defensa, la primera actuación es obtener y analizar toda la documentación técnica disponible —atestados policiales, informes forenses, registros de actividad (logs)— para identificar debilidades en la cadena probatoria: errores en la obtención de las evidencias, atribuciones de IP no suficientemente contrastadas, informes periciales técnicamente incorrectos o carentes de rigor metodológico. El letrado trabaja en coordinación con peritos informáticos independientes que puedan rebatir o matizar la pericial de la acusación. Paralelamente, se evalúa la concurrencia de circunstancias atenuantes y la conveniencia de una posible conformidad si los elementos de cargo son sólidos.

En la acusación particular, el penalista asesora a la víctima desde el primer instante sobre cómo preservar correctamente la evidencia digital para que tenga valor probatorio, cómo redactar una denuncia o querella técnicamente precisa y qué diligencias deben solicitarse al instructor (volcados forenses, solicitudes a operadoras, registros de dispositivos, peritajes). Una querella bien articulada desde el inicio, con el soporte de un informe pericial privado previo, acelera sensiblemente la instrucción.

En ambos casos, la plataforma JBH coordina al cliente con un abogado especialista colegiado que cuente con experiencia acreditada en delitos informáticos, garantizando que la dirección técnica y estratégica del asunto quede en manos de un profesional habilitado, con plena responsabilidad deontológica ante su Colegio de Abogados.

La interpretación de «acceso ilícito a sistemas informáticos» evoluciona con la doctrina de los tribunales. No reproducimos números de sentencia ni identificadores ECLI sin verificar: la jurisprudencia aplicable a un caso concreto debe localizarla y contrastarla un abogado colegiado en la fuente oficial. Puedes preparar tu estrategia de búsqueda en el CENDOJ con nuestro buscador de jurisprudencia asistido y validar cualquier referencia con el verificador de citas legales.

Sigue explorando

Información orientativa elaborada con fines divulgativos; no constituye asesoramiento jurídico ni crea relación profesional. Las referencias legales deben contrastarse con la normativa vigente (BOE) y la jurisprudencia con el CENDOJ. JBH es una plataforma de intermediación jurídica que coordina con abogados especialistas colegiados independientes; la dirección del caso corresponde siempre a un colegiado habilitado.