Abogados Penalistas en Acceso Ilegal a Datos

El delito de acceso ilegal a datos y otros tipos relacionados con la privacidad digital se regula en los Arts. 197 a 197 quinquies del Código Penal, dentro del Título X dedicado a los delitos contra la intimidad. El bien jurídico protegido es la intimidad personal y familiar reconocida en el Art. 18 de la Constitución Española, junto con el derecho a la autodeterminación informativa consolidado por la doctrina constitucional en la STC 292/2000 y el secreto de las comunicaciones. La jurisprudencia del Tribunal Supremo ha precisado que el tipo abarca cualquier intrusión no autorizada en la esfera reservada del individuo, ya sea mediante apoderamiento físico de soportes, interceptación de comunicaciones, vulneración de medidas de seguridad informática o uso de programas espía, con independencia de que se llegue efectivamente a descubrir información sensible.

Modalidades (Arts. 197-197 quinquies)

El Código Penal distingue varias modalidades dentro de este ámbito. El Art. 197.1 CP sanciona el descubrimiento de secretos mediante apoderamiento de papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos, así como la interceptación de telecomunicaciones o utilización de artificios técnicos de escucha y grabación. El Art. 197.2 CP castiga el acceso, modificación, alteración o utilización no autorizada de datos personales registrados en ficheros o soportes informáticos (el típico delito de descubrimiento y revelación de datos protegidos). El Art. 197 bis CP introduce el hacking puro: acceso por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas, a un sistema informático o parte del mismo, sin autorización; el delito se consuma con la mera intrusión, sin necesidad de copiar o difundir información. El Art. 197 ter CP sanciona la fabricación, importación o facilitación de programas o herramientas diseñadas para cometer los delitos anteriores (kits de phishing, keyloggers, troyanos de acceso remoto). El Art. 197 quater y quinquies CP agrava las penas cuando los hechos se cometen en el marco de una organización o grupo criminal o cuando afectan a infraestructuras esenciales.

Penas según la Modalidad

Las penas son severas y graduadas según la modalidad. El descubrimiento básico del Art. 197.1 CP se castiga con prisión de uno a cuatro años y multa de doce a veinticuatro meses. Si el sujeto difunde, revela o cede los datos descubiertos, la pena se eleva a prisión de dos a cinco años. El acceso ilegítimo del Art. 197 bis CP conlleva prisión de seis meses a dos años, agravable a tres años si concurren circunstancias específicas (mantenimiento en el sistema contra la voluntad del titular). La interceptación del Art. 197 bis 2 CP se castiga con prisión de tres meses a dos años o multa de tres a doce meses. La facilitación de herramientas del Art. 197 ter CP supone prisión de seis meses a dos años o multa de tres a dieciocho meses. Cuando los hechos se cometen por funcionario público prevaliéndose de su cargo, las penas se imponen en su mitad superior. La agravante de la víctima vulnerable (menores, personas con discapacidad) eleva igualmente las penas, y la afectación a datos de carácter especialmente sensible (salud, origen racial, orientación sexual) determina la imposición de la mitad superior.

Estrategia de Defensa

La defensa técnica en estos procedimientos exige conocimiento avanzado de derecho penal, derecho procesal y forense informática. El primer eje es la impugnación de la cadena de custodia digital: la prueba electrónica debe haberse obtenido respetando los protocolos de imagen forense bit a bit, cálculo de hash, sellado de tiempo y preservación documentada conforme a la norma UNE-EN ISO/IEC 27037 y a la doctrina jurisprudencial sobre prueba digital; cualquier ruptura puede derivar en nulidad probatoria al amparo del Art. 11.1 LOPJ. El segundo eje es la impugnación de la autoría: las direcciones IP, los identificadores de dispositivo o las huellas digitales pueden corresponder a un equipo compartido, a una red comprometida o a un terminal infectado por malware que actuó como botnet sin conocimiento del titular; la pericial informática contradictoria es decisiva para acreditar estas hipótesis. El tercer eje es la negación del dolo: el hacking exige conocimiento y voluntad de vulnerar medidas de seguridad; el acceso accidental, el ejercicio legítimo de funciones de administrador o el desconocimiento de la falta de autorización pueden excluir la tipicidad. El cuarto eje es el consentimiento expreso o tácito del titular: cuando exista política corporativa de monitorización con aviso previo conforme a la doctrina del TEDH sobre el control empresarial de las comunicaciones del trabajador, el acceso por parte del empresario puede quedar amparado.

Práctica Forense Actual

En la práctica forense actual observamos un crecimiento exponencial de procedimientos por delitos contra la intimidad digital. Los casos más frecuentes incluyen el acceso al WhatsApp, Instagram, Gmail o cuenta de iCloud de la pareja o expareja, la instalación de aplicaciones espía en dispositivos familiares, el phishing dirigido contra particulares y empresas, los ataques de ingeniería social y, en el ámbito corporativo, las intrusiones internas realizadas por empleados con acceso privilegiado. La Ley Orgánica 3/2018 de Protección de Datos Personales y la aplicación directa del Reglamento General de Protección de Datos (RGPD) de la UE han reforzado los derechos del afectado y, paralelamente, han incrementado el rigor penal en la persecución de estas conductas. La Brigada Central de Investigación Tecnológica de la Policía Nacional, el Grupo de Delitos Telemáticos de la Guardia Civil y la Sección de Criminalidad Informática de la Fiscalía General del Estado coordinan investigaciones cada vez más complejas que requieren defensas especializadas. En Alonso Sala combinamos +15 años de experiencia en derecho penal con la colaboración de peritos informáticos forenses acreditados por la ANCITE para articular estrategias adaptadas a cada modalidad —acceso doméstico, hacking corporativo, espionaje industrial o difusión de datos personales— con el objetivo de preservar la libertad y los derechos fundamentales del cliente.