Abogados Penalistas en Daños Informáticos

El delito de daños informáticos regulado en los Arts. 264 a 264 quater del Código Penal sanciona a quien, sin autorización y de manera grave, borra, daña, deteriora, altera, suprime o hace inaccesibles datos informáticos, programas, documentos electrónicos o sistemas ajenos. El bien jurídico protegido es doble: por un lado, la propiedad sobre los activos digitales; por otro, la integridad y disponibilidad de los sistemas de información, que la doctrina denomina "seguridad informática" como interés colectivo. La jurisprudencia consolidada del Tribunal Supremo ha definido el tipo como un delito de resultado material que exige una afectación verificable de la funcionalidad del sistema o del valor económico de la información. La transposición de la Directiva 2013/40/UE mediante la LO 1/2015 amplió notablemente el catálogo, incorporando los daños a sistemas y la fabricación o tenencia de programas destinados a cometer estos delitos.

El Código Penal distingue varias modalidades dentro de esta familia delictiva. El Art. 264.1 CP castiga los daños a datos, programas o documentos electrónicos (borrar bases de datos, alterar archivos, modificar configuraciones); el Art. 264 bis CP sanciona los daños al funcionamiento del sistema (ataques DDoS, instalación de malware paralizante, sabotaje de servidores); el Art. 264 ter CP penaliza la fabricación, importación, distribución o facilitación de herramientas diseñadas para cometer estos delitos (kits de ransomware, exploits, scripts maliciosos); y el Art. 264 quater CP regula la responsabilidad penal de las personas jurídicas, particularmente relevante para empresas tecnológicas y proveedores de servicios. A todo ello se suma la responsabilidad por ransomware, fenómeno creciente que normalmente concurre con extorsión (Art. 243 CP) y, cuando afecta a datos personales, con delitos contra la intimidad (Art. 197 CP), generando concursos punitivos especialmente graves.

Las penas son severas y reflejan la importancia que el legislador atribuye a la seguridad digital. El tipo básico del Art. 264.1 CP se castiga con prisión de seis meses a tres años. Cuando concurren circunstancias agravantes —daño grave de especial gravedad, afectación a un número elevado de sistemas, perjuicio económico importante, afectación de servicios públicos esenciales o realización en el marco de una organización criminal— la pena se eleva a prisión de dos a cinco años y multa del tanto al décuplo del perjuicio. Si los daños afectan a infraestructuras críticas (energía, transporte, sanidad, sistema financiero, agua) la pena puede alcanzar prisión de tres a ocho años. El Art. 264 bis CP sobre daños al funcionamiento del sistema mantiene una horquilla similar, con agravantes específicas cuando se afecta a servicios públicos. Las personas jurídicas responsables pueden ser condenadas a multa del doble al cuádruple del perjuicio, suspensión de actividades, intervención judicial y, en casos extremos, disolución.

La defensa técnica en daños informáticos exige conjugar derecho penal y conocimiento forense informático. El primer eje es la auditoría de la cadena de custodia digital: comprobar que la policía judicial realizó imagen forense bit a bit del soporte, calculó hash, documentó la incautación y preservó la evidencia conforme a las normas UNE-EN ISO/IEC 27037 y a la doctrina jurisprudencial sobre prueba electrónica; cualquier ruptura de esa cadena puede generar nulidad probatoria. El segundo eje es la impugnación del dolo: muchos casos imputados como sabotaje son en realidad errores técnicos, bugs de software, scripts automáticos mal configurados o malentendidos sobre el alcance del permiso laboral; el delito de daños informáticos no admite la modalidad imprudente, por lo que demostrar la ausencia de intención excluye la tipicidad. El tercer eje es la autorización implícita o expresa: cuando el imputado actuaba en su rol de administrador, técnico de sistemas o desarrollador con permisos otorgados por la empresa, no hay acción sin autorización. El cuarto eje es la impugnación de la valoración del perjuicio: la cuantía del daño determina la pena y suele incluir partidas infladas (lucro cesante hipotético, costes de reconstrucción del sistema), susceptibles de contrapericial.

La práctica forense actual muestra un crecimiento exponencial de procedimientos por daños informáticos. Los ataques de ransomware contra empresas españolas se han multiplicado y suelen instruirse por la Audiencia Nacional cuando tienen carácter transnacional u organizado. El sabotaje del empleado descontento (borrar el CRM, alterar la base de datos de clientes, modificar configuraciones antes de marcharse) es uno de los casos más frecuentes que llegan a nuestro despacho, especialmente en sectores tecnológicos, sanitarios y financieros. Los ataques DDoS contra portales de comercio electrónico o medios de comunicación se persiguen como daños al funcionamiento del sistema. En este escenario, contar con un equipo jurídico-pericial especializado es decisivo: en Alonso Sala combinamos +15 años de experiencia en defensa penal con la colaboración de peritos informáticos forenses acreditados por la ANCITE para articular estrategias que abarcan desde el análisis de la nulidad probatoria hasta la negociación de conformidades cuando los hechos son indiscutibles. Cada caso de daños informáticos exige rapidez en la respuesta, preservación inmediata de evidencias propias y un análisis técnico riguroso para identificar las vulnerabilidades de la acusación.