Delitos informáticos y cibercrimen en el Código Penal español

La transformación digital ha convertido al cibercrimen en una de las principales preocupaciones del sistema penal español. Según los datos del Ministerio del Interior, en 2023 se registraron más de 472.000 ciberdelitos en España, lo que supone un incremento superior al 25% respecto al ejercicio anterior. Frente a esta realidad, el Código Penal ha sido objeto de sucesivas reformas —especialmente las operadas por las LO 5/2010, LO 1/2015 y LO 14/2022— para adaptarse a la Directiva 2013/40/UE relativa a los ataques contra los sistemas de información y al Convenio de Budapest sobre Ciberdelincuencia.

Concepto y marco normativo

El delito informático no aparece definido como categoría autónoma en el Código Penal, sino como un conjunto heterogéneo de conductas que utilizan sistemas informáticos como medio o como objeto de la infracción. La regulación se dispersa entre los delitos contra la intimidad, el patrimonio, la libertad sexual, el honor y la seguridad pública. Para más detalle sobre este punto puede consultarse la información sobre abogados expertos en ciberdelitos.

Las fuentes normativas principales son:

• Ley Orgánica 10/1995, del Código Penal, con sus sucesivas reformas.
• Convenio de Budapest de 2001, ratificado por España en 2010.
• Directiva (UE) 2013/40, sobre ataques a sistemas de información.
• Reglamento (UE) 2016/679 (RGPD) y LOPDGDD 3/2018, con relevancia en delitos contra la intimidad.

Principales tipos penales

Acceso ilícito a sistemas informáticos (art. 197 bis CP)

Castiga con prisión de seis meses a dos años a quien, por cualquier medio y vulnerando las medidas de seguridad, acceda sin autorización a un sistema informático. El mero acceso —el llamado hacking blanco— es punible aunque no se produzca daño ni extracción de datos, lo que ha sido confirmado por el Tribunal Supremo en la STS 489/2018.

Descubrimiento y revelación de secretos (art. 197 CP)

El apartado 1 sanciona el apoderamiento de datos reservados de carácter personal contenidos en soportes informáticos, con penas de uno a cuatro años. El art. 197.7 tipifica específicamente la difusión de imágenes íntimas obtenidas con consentimiento pero divulgadas sin él (sexting no consentido), con prisión de tres meses a un año.

Daños informáticos (arts. 264, 264 bis y 264 ter CP)

Distinguen entre:

• Daños a datos o programas informáticos (art. 264): prisión de seis meses a tres años.
• Obstaculización o interrupción del funcionamiento de un sistema (art. 264 bis): hasta tres años de prisión, agravado si afecta a infraestructuras críticas.
• Producción o facilitación de programas destinados a cometer estos delitos (art. 264 ter): pena de hasta dos años.

Estos preceptos abarcan ataques con malware, ransomware y ataques DDoS, especialmente relevantes tras los incidentes sufridos por hospitales, ayuntamientos y universidades españolas en los últimos años.

Estafa informática (art. 248.2 CP)

El tipo clásico exige manipulación informática o artificio semejante para conseguir una transferencia patrimonial no consentida. Aquí encajan el phishing, el carding y el fraude del CEO. La STS 421/2022 recordó que responden penalmente no solo los autores materiales, sino también los muleros que ceden sus cuentas bancarias, aunque solo por estafa dolosa cuando conste su conocimiento.

Falsedad informática y suplantación de identidad

Aunque no existe un delito autónomo de suplantación digital, la jurisprudencia encuadra estas conductas en los arts. 401 (usurpación del estado civil) o 248 CP cuando concurre ánimo defraudatorio. La creación de perfiles falsos con datos ajenos puede además constituir delito contra la intimidad.

Delitos contra la libertad e indemnidad sexual

Destacan el child grooming (art. 183 ter CP), el acoso sexual online y la producción o difusión de pornografía infantil (art. 189 CP), con penas que pueden superar los nueve años de prisión en supuestos agravados.

Ciberterrorismo (art. 573 CP)

La reforma de 2015 incluyó expresamente los delitos informáticos cometidos con finalidad terrorista, permitiendo aplicar el régimen agravado a ataques contra infraestructuras críticas cuando persigan subvertir el orden constitucional.

Responsabilidad penal de las personas jurídicas

El art. 31 bis CP permite exigir responsabilidad a las empresas por delitos informáticos cometidos en su beneficio por administradores o empleados. La existencia de un programa de compliance penal eficaz, con controles sobre sistemas de información y formación en ciberseguridad, opera como circunstancia eximente o atenuante.

Cuestiones procesales relevantes

La investigación de estos delitos plantea retos específicos:

1. Competencia: corresponde a los juzgados de instrucción del lugar donde se produce el resultado, aunque la LO 13/2015 flexibilizó el criterio.
2. Prueba electrónica: exige preservar la cadena de custodia digital; el Acuerdo del Pleno no Jurisdiccional del TS de 23 de mayo de 2019 admite las capturas de pantalla y volcados como prueba, siempre que se garantice su autenticidad.
3. Cooperación internacional: el Convenio de Budapest y la Orden Europea de Investigación son instrumentos clave frente a la deslocalización de los autores.

Jurisprudencia reciente

• STS 777/2023: consolida la aplicación del art. 197 bis al acceso a cuentas de correo mediante credenciales obtenidas por phishing.
• STS 214/2024: analiza el ransomware como delito continuado de daños informáticos agravados por afectar a infraestructura sanitaria.
• SAP Madrid 328/2024: condena por estafa informática al administrador de una plataforma de criptoactivos que manipuló los sistemas de retirada de fondos.

Conclusión práctica

Para ciudadanos y empresas, la prevención es la mejor defensa: contraseñas robustas, doble factor de autenticación, copias de seguridad y formación del personal. Si se es víctima, resulta esencial denunciar en las primeras 24 horas ante la Policía Nacional (Grupo de Delitos Telemáticos) o la Guardia Civil, conservar toda evidencia digital sin manipularla y solicitar asistencia letrada especializada. Para las organizaciones, disponer de un plan de compliance penal actualizado y protocolos de respuesta a incidentes ya no es una recomendación, sino una exigencia derivada tanto del Código Penal como de la normativa europea NIS2, cuyo incumplimiento puede acarrear responsabilidad penal, administrativa y reputacional simultánea.