Suplantación de identidad

La expresión «suplantación de identidad» describe el acto de atribuirse la identidad de otra persona —nombre, datos personales, imagen, credenciales digitales o documentos— sin su consentimiento y con alguna finalidad típicamente ilícita. En el lenguaje coloquial y mediático el término se usa de forma muy amplia, pero desde el punto de vista penal no existe en el Código Penal español (CP) un artículo que tipifique literalmente «la suplantación de identidad» como categoría autónoma.

Lo que el legislador ha previsto son varios tipos específicos que recogen las formas más habituales en que se suplanta a alguien: (a) la usurpación del estado civil (art. 401 CP), que castiga a quien usurpa el estado civil de otro; (b) la falsedad documental cometida por autoridad o funcionario público en el ejercicio de sus funciones (art. 390 CP); (c) la estafa (art. 248 CP), cuando el engaño bastante induce a otro a realizar un acto de disposición patrimonial, con sus modalidades informáticas (art. 249 CP); (d) el descubrimiento y revelación de secretos (art. 197 CP), cuando la suplantación sirve para apoderarse de datos o comunicaciones ajenas; y (e) el acceso ilícito a sistemas de información (art. 197 bis CP).

En entornos digitales, la suplantación adopta formas como el phishing —crear páginas o correos que imitan a entidades bancarias o corporaciones—, la creación de perfiles falsos en redes sociales con la identidad de una persona real, el uso no autorizado de credenciales ajenas o el llamado identity theft anglosajón. La transversalidad del fenómeno hace imprescindible analizar caso por caso qué preceptos resultan aplicables, pues en muchas ocasiones concurren varios delitos en concurso.

Para que una conducta de suplantación sea constitutiva de delito deben concurrir los elementos propios del tipo penal concreto que resulte aplicable. Con carácter general, sin embargo, pueden identificarse varios elementos comunes:

1. Atribución falsa de identidad ajena. El sujeto activo se presenta como otra persona —real o, en algunos tipos, ficticia— ante terceros, organismos, plataformas o sistemas informáticos. No basta con usar un seudónimo si no hay confusión sobre la identidad real.

2. Ausencia de consentimiento del titular. La suplantación exige que el titular de la identidad no haya autorizado su uso. Si alguien actúa como representante autorizado de otra persona, con poder o mandato, no hay suplantación jurídicamente relevante.

3. Dolo o intención. Todos los tipos aplicables son dolosos: el sujeto activo debe conocer que está usando una identidad ajena y querer hacerlo. El error invencible sobre un hecho constitutivo de la infracción excluye la responsabilidad criminal y, si es vencible, la infracción se castiga en su caso como imprudente (art. 14 CP).

4. Resultado o idoneidad lesiva, según el tipo. Para la usurpación del estado civil basta con usurpar el estado civil de otro; para la estafa, es necesario un acto de disposición en perjuicio propio o ajeno; para el descubrimiento de secretos, el apoderamiento o acceso no autorizado a datos o comunicaciones.

5. Bien jurídico lesionado. La suplantación puede afectar a múltiples bienes jurídicos de forma simultánea: la fe pública, el patrimonio, la intimidad, el honor, la libertad informática o la seguridad del tráfico jurídico. Esta pluralidad de bienes jurídicos es la razón de que no exista un único tipo penal omnicomprensivo.

Dentro de cada subtipo, el penalista debe además analizar la concurrencia de circunstancias modificativas: atenuantes como la confesión, la reparación del daño o las dilaciones extraordinarias e indebidas (art. 21 CP), y agravantes como el abuso de confianza o la reincidencia (art. 22 CP).

Al no existir un tipo unitario, el marco penal varía notablemente según el precepto aplicado:

• Usurpación del estado civil (art. 401 CP): pena de prisión de seis meses a tres años. Es el tipo más directamente vinculado a «hacerse pasar por otra persona» en sentido estricto.
• Falsedad documental (art. 390 CP): pena de prisión de tres a seis años, multa de seis a veinticuatro meses e inhabilitación especial por tiempo de dos a seis años para la autoridad o funcionario público que, en el ejercicio de sus funciones, altere o simule un documento, suponga la intervención de personas que no la han tenido o falte a la verdad en la narración de los hechos.
• Estafa (art. 248 CP): pena de prisión de seis meses a tres años; si la cuantía defraudada no excede de 400 euros, multa de uno a tres meses, salvo que concurra alguna circunstancia del art. 250 CP. Las manipulaciones informáticas y el uso fraudulento de instrumentos de pago se castigan también con prisión de seis meses a tres años (art. 249 CP), y el tipo agravado del art. 250 CP prevé prisión de uno a seis años y multa de seis a doce meses —por ejemplo, cuando la defraudación supera los 50.000 euros—, y prisión de cuatro a ocho años y multa de doce a veinticuatro meses cuando supera los 250.000 euros.
• Descubrimiento y revelación de secretos (art. 197 CP): prisión de uno a cuatro años y multa de doce a veinticuatro meses en las modalidades básicas; prisión de tres a cinco años cuando los hechos se llevan a cabo mediante la utilización no autorizada de datos personales de la víctima, y penas en su mitad superior cuando la víctima es menor de edad o persona con discapacidad necesitada de especial protección.
• Acceso ilícito a sistemas de información (art. 197 bis CP): prisión de seis meses a dos años para quien, vulnerando las medidas de seguridad y sin autorización, acceda o facilite el acceso a un sistema de información o se mantenga en él.

El que usurpare el estado civil de otro será castigado con la pena de prisión de seis meses a tres años.

Art. 401 CP · Ley Orgánica 10/1995 · texto en el BOE

La pena concreta se individualiza conforme a las reglas del art. 66 CP, según concurran o no atenuantes (art. 21 CP) y agravantes (art. 22 CP). Además, toda pena impuesta por un delito doloso lleva consigo la pérdida de los efectos, instrumentos y ganancias provenientes del delito (art. 127 CP).

El proceso penal por suplantación de identidad sigue las reglas generales de la Ley de Enjuiciamiento Criminal (LECrim), aunque con algunas particularidades derivadas del componente tecnológico que suele estar presente.

Fase de denuncia e investigación policial. La víctima puede denunciar ante la Policía Nacional, la Guardia Civil o directamente ante el órgano judicial competente para la instrucción, que es la Sección de Instrucción del Tribunal de Instancia del partido en que el delito se hubiere cometido (art. 14 LECrim). La denuncia debe acompañarse de toda la evidencia disponible: capturas de pantalla, correos, registros de acceso, comunicaciones con la plataforma o red social afectada, y cualquier documento que acredite la suplantación. En esta fase es crucial la preservación de la evidencia digital, pues la evidencia volátil puede destruirse en horas. La persona a quien se atribuya el hecho punible puede ejercer su derecho de defensa desde que se le comunique la existencia del procedimiento (art. 118 LECrim).

Diligencias de investigación judicial. Durante la instrucción pueden practicarse diligencias dirigidas a identificar al autor y a asegurar la prueba digital. La interceptación de comunicaciones exige resolución judicial, pues la Constitución garantiza el secreto de las comunicaciones y el derecho a la intimidad personal y familiar (art. 18 CE). En su caso, pueden adoptarse medidas cautelares personales, como la prisión provisional cuando concurran los requisitos legales (art. 503 LECrim) o las prohibiciones de aproximación y comunicación (art. 544 bis LECrim).

Fase intermedia y juicio oral. Una vez completada la instrucción, el procedimiento se encauza habitualmente como procedimiento abreviado, aplicable al enjuiciamiento de delitos castigados con pena privativa de libertad no superior a nueve años (art. 757 LECrim). El enjuiciamiento y fallo corresponde a la Sección de lo Penal del Tribunal de Instancia cuando la ley señale pena privativa de libertad de duración no superior a cinco años, y a la Audiencia Provincial en los demás casos (art. 14 LECrim); los delitos leves se enjuician conforme a ese mismo precepto. Cuando el proceso se incoa en virtud de atestado policial y concurren los requisitos legales, puede seguirse el procedimiento para el enjuiciamiento rápido (art. 795 LECrim), con posibilidad de sentencia de conformidad ante el juzgado de guardia (art. 801 LECrim). En el juicio oral cobra especial importancia la prueba pericial informática.

Actuación civil paralela. La ejecución de un hecho descrito por la ley como delito obliga a reparar los daños y perjuicios causados, comprendiendo la restitución, la reparación del daño y la indemnización de perjuicios materiales y morales (art. 109 CP y art. 110 CP). El perjudicado puede optar, en todo caso, por exigir la responsabilidad civil ante la jurisdicción civil (art. 109 CP), y quien es criminalmente responsable lo es también civilmente (art. 116 CP).

La defensa en un procedimiento por suplantación de identidad presenta una casuística muy rica, dado que la conducta puede adoptar formas muy diversas y los medios de prueba son predominantemente digitales y, por tanto, impugnables desde múltiples ángulos.

1. Cuestionar la autoría. La atribución de una acción digital a una persona concreta no es automática. La titularidad de una conexión de internet o de un dispositivo no implica per se que esa persona haya cometido la conducta. La defensa puede plantear la posibilidad de que un tercero utilizara el dispositivo, una red wifi abierta o credenciales comprometidas, y el investigado tiene derecho a guardar silencio, a no declarar contra sí mismo y a no confesarse culpable (art. 118 LECrim).

2. Nulidad de la prueba digital. Si las evidencias se obtuvieron sin la autorización judicial exigible, la defensa puede solicitar su nulidad por vulneración de derechos fundamentales, en particular el derecho a la intimidad y al secreto de las comunicaciones (art. 18 CE). La exclusión de la prueba ilícita puede dejar sin soporte acusatorio todo el procedimiento.

3. Atipicidad o error de tipo. En ocasiones, conductas que socialmente se perciben como suplantación —el uso de un alias, la gestión de una cuenta en nombre de otro con consentimiento tácito, la parodia en redes sociales— no llegan a integrar los elementos típicos de ninguno de los delitos aplicables. La defensa debe analizar si la conducta concreta encaja realmente en el tipo penal invocado por la acusación.

4. Ausencia de dolo o error de prohibición. En entornos digitales, algunas personas desconocen que determinadas conductas (como usar el perfil de una empresa sin autorización formal) son constitutivas de delito. El error invencible sobre la ilicitud del hecho excluye la responsabilidad criminal y, si el error es vencible, se aplica la pena inferior en uno o dos grados (art. 14 CP).

5. Atenuantes y conformidad negociada. Si la autoría está acreditada, el penalista debe explorar la concurrencia de atenuantes —reparación del daño, confesión, dilación extraordinaria e indebida (art. 21 CP)— o la posibilidad de una conformidad (art. 801 LECrim), así como la eventual suspensión de la ejecución de las penas privativas de libertad no superiores a dos años (art. 80 CP).

Esperar demasiado para actuar. Las evidencias digitales son efímeras: las plataformas borran logs y registros pasados ciertos plazos, y los perfiles falsos pueden darse de baja antes de que se practique ninguna diligencia. Tanto víctimas como investigados cometen el error de no buscar asesoramiento penal desde el primer momento.

Confundir la vía civil con la penal. Para los delitos aquí descritos la vía es la penal, con posibilidad de reclamar en el propio proceso la responsabilidad civil derivada del delito, sin perjuicio de que el perjudicado pueda optar por exigirla ante la jurisdicción civil (art. 109 CP). La elección determina plazos, órganos competentes y tipo de prueba admisible.

Pensar que «solo es internet». Existe la percepción equivocada de que las conductas realizadas en redes sociales o mediante correo electrónico tienen menor reproche penal. Sin embargo, el Código Penal contempla expresamente conductas cometidas por medios informáticos, como las manipulaciones informáticas constitutivas de estafa (art. 249 CP) o el acceso ilícito a sistemas de información (art. 197 bis CP).

No notificar a las plataformas. Antes o en paralelo a la denuncia penal, la víctima puede notificar la suplantación a la plataforma (red social, servicio de correo, entidad bancaria) para intentar la retirada del contenido o el bloqueo de la cuenta falsa. Esto no sustituye la denuncia, pero limita el daño.

Autoincriminarse al intentar «investigar» por cuenta propia. Algunas víctimas acceden sin autorización a la cuenta del supuesto suplantador para obtener pruebas. Esta conducta puede constituir por sí misma un delito de acceso ilícito a un sistema de información (art. 197 bis CP).

Cuando un abogado especialista colegiado recibe un asunto de suplantación de identidad —ya sea en representación de la víctima o del investigado—, lo primero que hace es un análisis de calificación jurídica provisional: determinar qué tipo o tipos penales pueden estar en juego, si existe concurso de delitos, y qué bien jurídico o bienes jurídicos han sido efectivamente lesionados. Esta calificación condiciona todo lo demás: el órgano competente (art. 14 LECrim), los plazos de prescripción (art. 131 CP), la legitimación activa y la estrategia probatoria.

En representación de la víctima, el penalista asesora sobre la conveniencia de presentar denuncia o querella, redacta el escrito acusatorio con la fundamentación jurídica adecuada, solicita las medidas cautelares que procedan conforme a la ley procesal y se persona como acusación particular para dirigir activamente la instrucción y garantizar que las diligencias de investigación digital se practiquen con las garantías exigidas. Además, prepara la reclamación de responsabilidad civil derivada del delito para integrarla en el proceso penal (art. 109 CP y art. 110 CP).

En representación del investigado o acusado, el penalista examina de forma crítica la solidez de la prueba de cargo —con especial atención a la regularidad de las diligencias de investigación y al respeto de los derechos fundamentales (art. 18 CE)—, plantea las cuestiones de nulidad procedentes, analiza la tipicidad de la conducta concreta y, si hay convicción de condena, negocia la conformidad más favorable o prepara los recursos oportunos. En ambos casos, la coordinación con peritos informáticos es habitualmente imprescindible para trasladar al órgano judicial, con rigor técnico, los argumentos relativos a la autoría o a la validez de las pruebas.

La interpretación de «suplantación de identidad» evoluciona con la doctrina de los tribunales. No reproducimos números de sentencia ni identificadores ECLI sin verificar: la jurisprudencia aplicable a un caso concreto debe localizarla y contrastarla un abogado colegiado en la fuente oficial. Puedes preparar tu estrategia de búsqueda en el CENDOJ con nuestro buscador de jurisprudencia asistido y validar cualquier referencia con el verificador de citas legales.

Sigue explorando

Información orientativa elaborada con fines divulgativos; no constituye asesoramiento jurídico ni crea relación profesional. Las referencias legales deben contrastarse con la normativa vigente (BOE) y la jurisprudencia con el CENDOJ. JBH es una plataforma de intermediación jurídica que coordina con abogados especialistas colegiados independientes; la dirección del caso corresponde siempre a un colegiado habilitado.