Acceso Ilícito a Datos e Interceptación de Comunicaciones (Art. 197 bis CP)

El acceso ilícito a datos y la interceptación de comunicaciones son conductas que el Código Penal castiga de forma autónoma en el art. 197 bis CP, dentro de los delitos contra la intimidad pero con un bien jurídico propio: la seguridad informática —la confidencialidad, integridad y disponibilidad de los sistemas de información—. A diferencia de la mera intrusión en un sistema, aquí el foco está en el acceso a los datos y en la interceptación de transmisiones, con un solapamiento frecuente con la intimidad. Como abogados penalistas en acceso ilícito a datos, explicamos las dos modalidades del tipo, su deslinde con figuras próximas, los actos preparatorios del art. 197 ter CP y las líneas de defensa.

Qué Castiga el Art. 197 bis CP

El art. 197 bis CP recoge dos conductas distintas, ambas referidas a la seguridad de los sistemas de información:

• Acceso ilícito al sistema (197 bis.1). Acceder por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo y sin estar debidamente autorizado, al conjunto o a una parte de un sistema de información, o mantenerse en él contra la voluntad de quien tenga el legítimo derecho a excluirlo. La pena es de prisión de seis meses a dos años.
• Interceptación de transmisiones (197 bis.2). Interceptar, mediante artificios o instrumentos técnicos y sin estar autorizado, transmisiones no públicas de datos informáticos que se produzcan desde, hacia o dentro de un sistema de información, incluidas las emisiones electromagnéticas. La pena es de prisión de tres meses a dos años o multa de tres a doce meses.

El bien jurídico protegido no es la intimidad personal en sí, sino la seguridad informática como valor autónomo. Por eso el delito puede cometerse aunque no llegue a accederse a información de carácter íntimo: basta la intrusión no autorizada en el sistema o la captación de datos en tránsito.

Los Elementos del Tipo

Para que el acceso ilícito del art. 197 bis.1 CP se complete deben concurrir, de forma acumulativa:

• Acceso a un sistema de información (o mantenerse en él), por cualquier medio.
• Vulneración de medidas de seguridad. El precepto exige que existan y se quebranten medidas establecidas para impedir el acceso. Es un elemento nuclear: sin protección que sortear, el tipo no se colma.
• Ausencia de autorización. El acceso debe producirse sin el consentimiento de quien tiene derecho a otorgarlo.
• Dolo. El autor actúa con conocimiento de que accede de forma no autorizada y vulnerando protecciones.

En la interceptación del art. 197 bis.2 CP el elemento característico es el empleo de artificios o instrumentos técnicos para captar transmisiones no públicas de datos. No se castiga escuchar lo que está abierto al público, sino interferir flujos de datos reservados que circulan por la red o entre dispositivos. Quedan comprendidas las captaciones realizadas mediante sniffers, dispositivos intermedios o técnicas de interposición en la comunicación, así como la captación de emisiones electromagnéticas que expresamente menciona el precepto.

Penas y Modalidades

El art. 197 bis CP gradúa la respuesta penal según la conducta:

• Acceso ilícito (197 bis.1): prisión de seis meses a dos años.
• Interceptación de transmisiones no públicas (197 bis.2): prisión de tres meses a dos años o multa de tres a doce meses.

Cuando los hechos van más allá del acceso o la interceptación y suponen apoderarse de datos personales o de comunicaciones para vulnerar la intimidad de la víctima, el reproche se desplaza al art. 197 CP, sensiblemente más grave (prisión de uno a cuatro años y multa de doce a veinticuatro meses, con difusión agravada de dos a cinco años). Y si la conducta destruye, altera o inutiliza datos o programas ajenos, entra en juego el delito de daños informáticos.

Actos Preparatorios: el Art. 197 ter CP

El art. 197 ter CP adelanta la barrera de protección y castiga los actos preparatorios de estos delitos. Se sanciona a quien, sin estar autorizado y con la intención de cometer alguno de los delitos del art. 197 o del 197 bis CP, produzca, adquiera para su uso, importe o facilite a terceros:

• Un programa informático concebido o adaptado principalmente para cometer dichos delitos.
• Una contraseña de ordenador, código de acceso o dato similar que permita acceder a la totalidad o a una parte de un sistema de información.

La pena es de prisión de seis meses a dos años o multa de tres a dieciocho meses. Conviene retener que el elemento decisivo es la intención delictiva: poseer o distribuir herramientas que también tienen usos legítimos (auditoría, investigación, administración de sistemas) no es punible si falta ese propósito.

Deslinde con el Descubrimiento de Secretos (Art. 197 CP)

La frontera más relevante es la que separa el art. 197 bis CP del descubrimiento y revelación de secretos del art. 197 CP:

• Art. 197 bis CP: protege la seguridad informática. Se consuma con el acceso no autorizado al sistema o con la interceptación de datos en tránsito, sin necesidad de vulnerar la intimidad.
• Art. 197 CP: protege la intimidad. Castiga apoderarse de papeles, cartas, mensajes de correo electrónico o cualesquiera documentos o efectos personales, interceptar telecomunicaciones o utilizar artificios de escucha para vulnerar la intimidad de otro.

En la práctica, un mismo episodio puede tocar ambos preceptos: quien accede a un sistema vulnerando sus protecciones (197 bis) y, una vez dentro, se apodera de correos personales para difundirlos (197) puede responder por ambos en concurso. Calificar con precisión los hechos es determinante, porque las penas y la estrategia varían de forma sustancial.

Deslinde con los Daños Informáticos (Art. 264 CP)

Cuando la conducta no se limita a acceder o interceptar, sino que borra, daña, deteriora, altera, suprime o hace inaccesibles datos, programas o documentos electrónicos ajenos de manera grave, los hechos se desplazan al delito de daños informáticos del art. 264 CP, con prisión de seis meses a tres años. En supuestos especialmente graves —actuación en el marco de una organización criminal, afectación de infraestructuras críticas o de servicios esenciales— la pena se eleva a prisión de dos a cinco años y multa. La clave del deslinde es el resultado destructivo: el art. 197 bis castiga la intrusión y la captación; el art. 264, el sabotaje.

La Prueba Digital y su Impugnación

Estos delitos se sostienen casi siempre sobre prueba electrónica, lo que la convierte en el centro del proceso. Suelen aparecer registros de acceso (logs), direcciones IP, volcados de dispositivos, informes periciales informáticos y datos de tráfico cedidos por operadores. La defensa presta especial atención a:

• La cadena de custodia de los dispositivos y de las evidencias digitales, cuya ruptura puede comprometer su validez.
• La autoría real. Una dirección IP identifica una conexión, no necesariamente a una persona; las redes y los equipos compartidos, el uso de VPN o la suplantación de credenciales abren dudas razonables sobre quién ejecutó el acceso.
• La licitud de la obtención de la prueba y el respeto a los derechos fundamentales (art. 11.1 LOPJ), con posibilidad de instar la nulidad de las evidencias obtenidas con vulneración de garantías.

Líneas de Defensa

La defensa frente a una acusación de acceso ilícito a datos se construye sobre varios ejes verificables:

• Ausencia de medidas de seguridad activas. El art. 197 bis.1 CP exige vulnerar protecciones; si el sistema estaba abierto o sin barreras eficaces, falta un elemento del tipo.
• Autorización del titular, expresa o tácita. El consentimiento vigente excluye la ilicitud del acceso.
• Auditorías y pentesting legítimos. Las pruebas de intrusión o los programas de recompensa por vulnerabilidades amparados por un contrato escrito y dentro de su alcance autorizado no integran delito.
• Discusión de la autoría por IP o red compartida, conforme a lo expuesto sobre la prueba digital.
• Impugnación de la prueba y de su cadena de custodia, con eventual nulidad.

Cada caso exige un análisis técnico-jurídico propio, sin avanzar resultados y con la máxima discreción.

Defensa Penal en Ciberdelitos

El despacho penalista Alonso Sala, con sede en Madrid (calle Velázquez 27) y cobertura en toda España, asume la defensa en procedimientos por acceso ilícito a datos, interceptación de comunicaciones y delitos informáticos conexos. Analizamos la concurrencia de los elementos del art. 197 bis CP, su deslinde con el descubrimiento de secretos y los daños informáticos, y diseñamos una estrategia probatoria rigurosa centrada en la prueba digital. Puede ampliar la información sobre este servicio en nuestra página de defensa penal por acceso ilícito a datos.