El delito de daños informáticos

La Ley Orgánica 10/1995, de 23 de noviembre, que aprobó el actual Código Penal español introdujo en nuestro ordenamiento jurídico el delito de daños informáticos, con una pena de prisión de uno a tres años y multa de doce a veinticuatro meses al que por cualquier medio destruya, altere, inutilice o de cualquier otro modo dañe los datos, programas o documentos electrónicos ajenos contenidos en redes, soportes o sistemas informáticos (Art. 264 CP); aquella fue una regulación tan genérica que, de hecho, el propio legislador la incorporó en un cajón de sastre con los daños en propiedad ajena no comprendidos en otros Títulos. Quince años más tarde –de acuerdo con la Decisión Marco 2005/222/JAI, de 24 de febrero, sobre ataques contra los sistemas de información– la Ley Orgánica 5/2010, de 22 de junio, modificó este sucinto marco normativo de los delitos informáticos para adaptarlo al Derecho Comunitario Europeo; a partir de entonces, se distinguieron dos clases de conductas punibles:

1. Por un lado, la nueva redacción del Art. 264 CP tipificó un elenco de conductas más amplio –pasando a contemplar prácticamente cualquier injerencia en un programa ajeno, con tal de que esta pueda tacharse de grave [sentencia de la Audiencia Provincial de Madrid (SAP M 8388/2013, de 3 de junio)]– al comprender los daños consistentes en dañar, deteriorar, alterar, suprimir o hacer inaccesibles datos o programas informáticos ajenos, así como obstaculizar o interrumpir el funcionamiento de un sistema informático ajeno; 
2. Y por otro lado, el Art. 197.3 CP trasladó al ámbito del descubrimiento y la revelación de secretos el acceso a datos o programas informáticos contenidos en un sistema o en parte de él, sin autorización, vulnerando las medidas de seguridad.

Centrándonos en el primero de estos dos supuestos, el delito de daños informáticos tipificado en el Art. 264 CP establece, en su primer apartado, que El que por cualquier medio, sin autorización y de manera grave borrase, dañase, deteriorase, alterase, suprimiese o hiciese inaccesibles datos informáticos, programas informáticos o documentos electrónicos ajenos, cuando el resultado producido fuera grave, será castigado con la pena de prisión de seis meses a tres años; a continuación, el Art. 264.2 CP prevé que: Se impondrá una pena de prisión de dos a cinco años y multa del tanto al décuplo del perjuicio ocasionado, cuando en las conductas descritas concurra alguna de las siguientes circunstancias: 1.ª Se hubiese cometido en el marco de una organización criminal. 2.ª Haya ocasionado daños de especial gravedad o afectado a un número elevado de sistemas informáticos. 3.ª El hecho hubiera perjudicado gravemente el funcionamiento de servicios públicos esenciales o la provisión de bienes de primera necesidad. 4.ª Los hechos hayan afectado al sistema informático de una infraestructura crítica o se hubiera creado una situación de peligro grave para la seguridad del Estado, de la Unión Europea o de un Estado Miembro de la Unión Europea. A estos efectos se considerará infraestructura crítica un elemento, sistema o parte de este que sea esencial para el mantenimiento de funciones vitales de la sociedad, la salud, la seguridad, la protección y el bienestar económico y social de la población cuya perturbación o destrucción tendría un impacto significativo al no poder mantener sus funciones. 5.ª El delito se haya cometido utilizando alguno de los medios a que se refiere el artículo 264 ter.

Por alusiones, el mencionado Art. 264.ter CP -que se incorporó por la Ley Orgánica 1/2015, de 30 de marzo- contempla que: Será castigado con una pena de prisión de seis meses a dos años o multa de tres a dieciocho meses el que, sin estar debidamente autorizado, produzca, adquiera para su uso, importe o, de cualquier modo, facilite a terceros, con la intención de facilitar la comisión de alguno de los delitos a que se refieren los dos artículos anteriores: a) un programa informático, concebido o adaptado principalmente para cometer alguno de los delitos a que se refieren los dos artículos anteriores; o b) una contraseña de ordenador, un código de acceso o datos similares que permitan acceder a la totalidad o a una parte de un sistema de información.

Entre ambos preceptos, el Art. 264.bis CP también castiga con la pena de prisión de seis meses a tres años el que, sin estar autorizado y de manera grave, obstaculizara o interrumpiera el funcionamiento de un sistema informático ajeno

El requisito de este tipo penal es la gravedad tanto en la "manera" como en el "resultado producido", de acuerdo con una sentencia de la Audiencia Provincial de Asturias [SAP O 392/2013, de 4 de febrero] que confirmó la absolución de tres personas acusadas por una empresa tecnológica de haber cometido un delito de daños informáticos porque el tribunal consideró que ni el procedimiento utilizado ni el resultado producido fueron graves.