Tema 20. Delitos informáticos, intimidad y prueba digital

El art. 18 CE (Sección 1.ª del Capítulo II del Título I: derechos fundamentales) garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen (18.1).

Inviolabilidad del domicilio (18.2): ninguna entrada o registro sin consentimiento del titular o resolución judicial, salvo flagrante delito.

Secreto de las comunicaciones (18.3): se garantiza, en especial el de las postales, telegráficas y telefónicas, salvo resolución judicial. Para el secreto de las comunicaciones no hay excepción de flagrancia ni de consentimiento en el texto constitucional: solo la resolución judicial.

Art. 18.4: «La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». Es la base constitucional de la protección de datos y de la tutela penal frente a los ataques informáticos a la intimidad.

197.1 (apoderamiento e interceptación): para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, apoderarse de sus papeles, cartas, mensajes de correo electrónico u otros documentos o efectos personales, interceptar sus telecomunicaciones o utilizar artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen: prisión de uno a cuatro años y multa de doce a veinticuatro meses.

197.2 (datos reservados): las mismas penas al que, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar registrados en ficheros o soportes informáticos, electrónicos o telemáticos o en cualquier archivo o registro; y a quien acceda a ellos por cualquier medio o los altere o utilice en perjuicio del titular o de un tercero.

197.3 (difusión): prisión de dos a cinco años si se difunden, revelan o ceden a terceros los datos, hechos o imágenes. Quien los difunde conociendo su origen ilícito sin haber participado en el descubrimiento: uno a tres años y multa de doce a veinticuatro meses.

197.4: tres a cinco años si los hechos de los apartados 1 y 2 los cometen los encargados o responsables de los ficheros o se realizan mediante la utilización no autorizada de datos personales de la víctima; mitad superior si además se difunden.

197.5: mitad superior si afectan a datos que revelen ideología, religión, creencias, salud, origen racial o vida sexual, o la víctima es menor o persona con discapacidad necesitada de especial protección. 197.6: fines lucrativos → mitad superior; si además afectan a esos datos sensibles, cuatro a siete años.

197.7 (difusión de imágenes íntimas obtenidas con consentimiento): prisión de tres meses a un año o multa de seis a doce meses a quien, sin autorización, difunda, revele o ceda imágenes o grabaciones obtenidas con su anuencia en un domicilio o lugar fuera del alcance de la mirada de terceros, cuando la divulgación menoscabe gravemente la intimidad. Quien las recibe y reenvía: multa de uno a tres meses. Mitad superior si el autor es el cónyuge o pareja (aun sin convivencia), la víctima es menor o persona con discapacidad, o hay finalidad lucrativa.

197 bis.1 (acceso ilícito): el que, vulnerando las medidas de seguridad y sin estar autorizado, acceda o facilite a otro el acceso al conjunto o parte de un sistema de información o se mantenga en él contra la voluntad de quien tenga el derecho a excluirlo: prisión de seis meses a dos años.

197 bis.2 (interceptación de transmisiones): interceptar con artificios técnicos transmisiones no públicas de datos informáticos desde, hacia o dentro de un sistema de información (incluidas las emisiones electromagnéticas): prisión de tres meses a dos años o multa de tres a doce meses.

197 ter (herramientas): producir, adquirir para su uso, importar o facilitar a terceros programas informáticos concebidos para cometer estos delitos, o contraseñas, códigos de acceso o datos similares: prisión de seis meses a dos años o multa de tres a dieciocho meses.

197 quater: cometidos en el seno de una organización o grupo criminal → penas superiores en grado. 197 quinquies: la persona jurídica responsable de los arts. 197, 197 bis y 197 ter: multa de seis meses a dos años.

Art. 198: la autoridad o funcionario público que, fuera de los casos permitidos por la ley, sin mediar causa legal por delito y prevaliéndose de su cargo, realiza cualquiera de las conductas del art. 197: penas del 197 en su mitad superior e inhabilitación absoluta de seis a doce años. Muy importante para un policía que consulta bases de datos sin causa.

Art. 199.1: revelar secretos ajenos conocidos por razón de su oficio o relaciones laborales: prisión de uno a tres años y multa de seis a doce meses. 199.2: el profesional que, incumpliendo su obligación de sigilo, divulga secretos de otro: prisión de uno a cuatro años, multa de doce a veinticuatro meses e inhabilitación especial de dos a seis años.

Art. 200: el capítulo se aplica también a quien descubra, revele o ceda datos reservados de personas jurídicas sin consentimiento de sus representantes.

Art. 201 (perseguibilidad): es necesaria denuncia de la persona agraviada o de su representante legal. No hace falta en los hechos del art. 198, cuando el delito afecte a los intereses generales o a una pluralidad de personas, o si la víctima es menor o persona con discapacidad necesitada de especial protección. El perdón del ofendido extingue la acción penal.

Art. 264.1: borrar, dañar, deteriorar, alterar, suprimir o hacer inaccesibles datos informáticos, programas informáticos o documentos electrónicos ajenos, por cualquier medio, sin autorización, de manera grave y con resultado grave: prisión de seis meses a tres años.

Art. 264.2: prisión de dos a cinco años y multa del tanto al décuplo del perjuicio si: 1.ª organización criminal; 2.ª daños de especial gravedad o a un número elevado de sistemas; 3.ª perjuicio grave a servicios públicos esenciales o bienes de primera necesidad; 4.ª afectación a una infraestructura crítica o peligro grave para la seguridad del Estado, de la UE o de un Estado miembro; 5.ª uso de los medios del art. 264 ter. Si los hechos son de extrema gravedad, puede imponerse la pena superior en grado.

Art. 264.3: mitad superior si se usan ilícitamente datos personales de otra persona para acceder al sistema o ganarse la confianza de un tercero.

Art. 264 bis (sabotaje de sistemas): obstaculizar o interrumpir de manera grave el funcionamiento de un sistema informático ajeno (con las conductas del 264, introduciendo o transmitiendo datos, o destruyendo o inutilizando el sistema): prisión de seis meses a tres años; mitad superior (pudiendo llegar a la superior en grado) si perjudica de forma relevante la actividad de una empresa, negocio o Administración pública; tres a ocho años y multa del triplo al décuplo con circunstancias del 264.2.

Art. 264 ter: herramientas para cometer estos delitos (programas o contraseñas): prisión de seis meses a dos años o multa de tres a dieciocho meses. 264 quater: penas para la persona jurídica.

Estafa informática (art. 249.1.a): con ánimo de lucro, obstaculizando o interfiriendo indebidamente un sistema de información, o manipulando datos, o valiéndose de cualquier manipulación informática o artificio semejante, conseguir una transferencia no consentida de cualquier activo patrimonial: prisión de seis meses a tres años.

Uso fraudulento de tarjetas e instrumentos de pago distintos del efectivo (249.1.b) y fabricación o tenencia de programas diseñados para estas estafas (249.2.a).

Defraudación de telecomunicaciones (art. 255) y uso de equipo terminal ajeno sin consentimiento con perjuicio económico (art. 256): multa de tres a doce meses (uno a tres si ≤ 400 €).

Hurto de móviles y dispositivos de almacenamiento masivo (art. 235.1.10.º): hurto cualificado por el valor de la información personal que contienen.

La LECrim regula las medidas de investigación tecnológica: interceptación de comunicaciones telefónicas y telemáticas, captación y grabación de comunicaciones orales, dispositivos de seguimiento, localización y captación de imagen, registro de dispositivos de almacenamiento masivo y registros remotos sobre equipos informáticos.

Principios rectores (588 bis a): autorización judicial con sujeción a los principios de especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad. Especialidad: relación con la investigación de un delito concreto (prohibidas las investigaciones prospectivas «sin base objetiva»). Idoneidad: define ámbito objetivo, subjetivo y duración según su utilidad. Excepcionalidad y necesidad: no hay medidas menos gravosas igual de útiles, o sin ella la investigación se vería gravemente dificultada. Proporcionalidad: el sacrificio de derechos no supera el beneficio para el interés público.

Solicitud (588 bis b): el juez puede acordarlas de oficio o a instancia del Ministerio Fiscal o de la Policía Judicial. La petición contiene, entre otros, la descripción del hecho, las razones, los datos del investigado, la extensión, la unidad investigadora de la Policía Judicial, la forma de ejecución, la duración y el sujeto obligado.

Resolución (588 bis c): auto motivado, oído el Ministerio Fiscal, en el plazo máximo de veinticuatro horas desde la solicitud. Secreto (588 bis d): pieza separada y secreta, sin necesidad de declarar expresamente el secreto de la causa.

Prórroga (588 bis f): la piden el Fiscal o la Policía Judicial con antelación suficiente, con informe del resultado y razones; el juez resuelve en dos días; la prórroga se computa desde la expiración del plazo inicial. Control (588 bis g): la Policía Judicial informa al juez con la periodicidad que este fije y siempre al finalizar.

Cese (588 bis j) y destrucción de registros (588 bis k): tras resolución firme se borran los registros originales y se conserva una copia bajo custodia del secretario judicial; las copias se destruyen a los cinco años de ejecutada la pena, o cuando prescriba el delito o la pena, o haya sobreseimiento libre o absolución firme.

Presupuestos (588 ter a): delitos del art. 579.1 (dolosos con pena máxima de al menos tres años, cometidos en el seno de grupo u organización criminal, o de terrorismo) o delitos cometidos a través de instrumentos informáticos o de cualquier otra tecnología de la información o la comunicación.

Ámbito (588 ter b): terminales habitual u ocasionalmente usados por el investigado; contenido y datos de tráfico. También pueden intervenirse los terminales de la víctima cuando sea previsible un grave riesgo para su vida o integridad. Terceros (588 ter c): si el investigado se sirve de su terminal o el titular colabora con él o se beneficia; o si el dispositivo es usado maliciosamente por terceros sin conocimiento de su titular.

Urgencia (588 ter d.3): en investigaciones de bandas armadas o elementos terroristas, puede ordenarla el Ministro del Interior o, en su defecto, el Secretario de Estado de Seguridad, comunicándolo al juez inmediatamente y como máximo en 24 horas; el juez revoca o confirma en 72 horas desde que se ordenó.

Deber de colaboración (588 ter e): prestadores de servicios de telecomunicaciones y de la sociedad de la información están obligados a colaborar y a guardar secreto, so pena de desobediencia. Control (588 ter f): soportes digitales distintos, con transcripción de pasajes de interés y grabaciones íntegras, y sellado o firma electrónica avanzada para garantizar autenticidad e integridad.

Duración (588 ter g): tres meses desde la autorización, prorrogables por periodos iguales hasta dieciocho meses.

Datos de tráfico conservados (588 ter j): solo pueden cederse con autorización judicial. IP (588 ter k): si la Policía Judicial conoce una IP usada para delinquir, solicita al juez que requiera la cesión de los datos de identificación. IMSI/IMEI (588 ter l): la Policía Judicial puede valerse de artificios técnicos para conocer los códigos del aparato; después pide al juez la intervención. Titularidad (588 ter m): el Fiscal o la Policía Judicial pueden dirigirse directamente a los prestadores para conocer la titularidad de un número o, a la inversa, el número de un titular.

Comunicaciones orales directas (588 quater a-e): dispositivos de escucha y grabación en la vía pública, en el domicilio o en otros lugares cerrados (también en su interior); la entrada en domicilio exige motivación específica; las imágenes, solo si la resolución lo autoriza expresamente. Deben vincularse a uno o varios encuentros concretos del investigado y a delitos dolosos con pena máxima de al menos tres años, de grupo u organización criminal o de terrorismo. Cesada, cada nuevo encuentro requiere nueva autorización.

Imágenes en lugares públicos (588 quinquies a): la Policía Judicial puede obtener y grabar imágenes de la persona investigada en un lugar o espacio público si es necesario para identificarla, localizar instrumentos o efectos del delito u obtener datos relevantes (no requiere autorización judicial). Puede afectar a terceros en los términos legales.

Seguimiento y localización (588 quinquies b-c): los autoriza el juez (balizas, GPS). En urgencia, la Policía Judicial puede colocar el dispositivo y dar cuenta al juez en el plazo máximo de 24 horas; si el juez ordena el cese, la información carece de efectos en el proceso. Duración: máximo tres meses, prorrogable hasta dieciocho meses.

Dispositivos de almacenamiento (588 sexies a-c): si en un registro domiciliario es previsible aprehender ordenadores, móviles o dispositivos de almacenamiento, el auto debe justificar también el acceso a su contenido (motivación individualizada). La simple incautación no legitima el acceso al contenido; puede autorizarse después. Igual si se aprehenden fuera del domicilio: los agentes lo comunican al juez.

El auto fija los términos y el alcance del registro y puede autorizar copias; se evitará incautar el soporte si causa grave perjuicio y basta una copia que garantice autenticidad e integridad. Ampliación a otro sistema accesible desde el inicial: autorización judicial; en urgencia, Policía Judicial o fiscal, informando al juez en 24 horas (el juez confirma o revoca en 72 horas).

Urgencia (588 sexies c.4): si hay un interés constitucional legítimo, la Policía Judicial puede examinar directamente los datos del dispositivo incautado, comunicándolo por escrito motivado al juez en 24 horas; el juez revoca o confirma en 72 horas.

Deber de colaborar: cualquier persona que conozca el sistema o sus medidas de protección debe facilitar la información, salvo el investigado, los dispensados por parentesco y los obligados por secreto profesional (art. 416.2).

Registros remotos (588 septies a-c): instalación de software para examinar a distancia y sin conocimiento del titular un ordenador o dispositivo, solo para: delitos de organizaciones criminales, terrorismo, delitos contra menores o personas con capacidad modificada judicialmente, contra la Constitución, traición y defensa nacional, y delitos cometidos a través de instrumentos informáticos o TIC. Duración: un mes, prorrogable por iguales periodos hasta tres meses.

Orden de conservación de datos (588 octies): el Ministerio Fiscal o la Policía Judicial pueden requerir a cualquier persona física o jurídica que conserve datos concretos de un sistema informático hasta obtener autorización judicial: máximo noventa días, prorrogable una sola vez hasta que se autorice la cesión o se cumplan ciento ochenta días.

Agente encubierto informático (282 bis.6): el juez de instrucción puede autorizar a funcionarios de la Policía Judicial a actuar bajo identidad supuesta en canales cerrados de comunicación para esclarecer delitos de delincuencia organizada (282 bis.4) o cualquiera de los del art. 588 ter a. Con autorización específica, puede intercambiar o enviar archivos ilícitos por su contenido y analizar los resultados de los algoritmos aplicados para identificarlos.

Correspondencia escrita y telegráfica (art. 579): el juez puede acordar su detención, apertura o examen para delitos dolosos con pena máxima de al menos tres años, de grupo u organización criminal o de terrorismo; observación hasta tres meses prorrogables hasta dieciocho. No requieren autorización judicial, entre otros, los envíos postales que por sus características externas no contienen correspondencia individual y los de comunicación abierta con declaración externa de contenido.