Acceso ilícito a sistemas informáticos

Qué es el acceso ilícito a sistemas informáticos

El acceso ilícito a sistemas informáticos —coloquialmente conocido como hacking ilegal o intrusión informática— es la conducta por la que una persona penetra en un sistema de información, red, dispositivo o soporte de datos digitales sin contar con la autorización del titular o sobrepasando los permisos que le fueron concedidos. En España, esta conducta se tipifica en el artículo 197 bis del Código Penal, introducido por la reforma de 2015 en transposición de la Directiva 2013/40/UE sobre los ataques contra los sistemas de información.

El bien jurídico protegido es doble: por un lado, la intimidad y privacidad del titular del sistema o de los datos que en él se almacenan; por otro, la integridad y seguridad de los propios sistemas informáticos, en tanto infraestructura esencial para particulares, empresas e instituciones. Esta dualidad explica que el precepto se ubique sistemáticamente junto a los delitos contra la intimidad, pero presente una autonomía técnica propia respecto a la revelación de secretos.

Conviene distinguir este delito de figuras próximas. El acceso ilícito se consuma con la mera entrada no autorizada en el sistema, aunque el intruso no llegue a extraer datos ni cause daño alguno. Si el acceso va seguido de la captura, divulgación o cesión de datos personales o secretos, podrían concurrir adicionalmente los delitos previstos en los artículos 197 y siguientes del CP. Si el acceso conduce a la destrucción, alteración o inutilización de datos, entraría en juego el delito de daños informáticos del artículo 264 CP. La combinación de varios de estos tipos en un mismo hecho es habitual en la práctica.

Elementos y requisitos jurídicos

Para que exista el delito del artículo 197 bis CP deben concurrir varios elementos:

1. Sujeto activo y pasivo. Puede ser sujeto activo cualquier persona física (el tipo es común). El sujeto pasivo es el titular del sistema o de los datos, que puede ser una persona física, una empresa o una Administración pública. La responsabilidad penal de las personas jurídicas también puede activarse en este ámbito (art. 197 quinquies CP), lo que resulta especialmente relevante cuando la intrusión se organiza desde una estructura empresarial.

2. Conducta típica. El tipo básico recoge dos modalidades: (a) acceder sin autorización a un sistema de información vulnerando medidas de seguridad establecidas para impedirlo; y (b) mantenerse dentro del sistema contra la voluntad del titular. La mera navegación por un sistema abierto y accesible públicamente, sin vulnerar ninguna medida de protección, no integra el tipo.

3. Vulneración de medidas de seguridad. Este es el elemento técnico más debatido. La jurisprudencia exige que exista algún mecanismo de protección —contraseña, cifrado, cortafuegos, control de acceso por roles— que el intruso haya eludido, roto o soslayado. Un sistema sin ninguna protección dificulta la apreciación del tipo, aunque no la excluye necesariamente si existe una prohibición expresa de acceso.

4. Elemento subjetivo. El delito requiere dolo directo: el sujeto ha de saber que accede sin autorización o más allá de ella y querer hacerlo. La imprudencia no está tipificada en este tipo básico.

5. Modalidad agravada. El artículo 197 bis apartado 2 agrava la pena cuando el acceso se realiza a través de una red de comunicaciones pública o privada, lo que en la práctica abarca casi todos los supuestos actuales de intrusión remota vía internet.

Marco penal

El artículo 197 bis CP establece el siguiente marco sancionador [VERIFICAR la versión vigente en el momento de la consulta, pues el CP puede haber sufrido reformas posteriores a 2023]:

• Tipo básico (art. 197 bis.1 CP): pena de prisión de seis meses a dos años.
• Tipo agravado (art. 197 bis.2 CP — acceso a través de red pública o privada): pena de prisión de tres meses a un año o multa de tres a doce meses.

A estas penas base se suman posibles agravaciones cuando concurren circunstancias cualificadas previstas en el artículo 197 ter CP para la facilitación de medios o instrumentos a terceros para la comisión del delito (fabricación, importación, tenencia o distribución de programas, dispositivos o contraseñas específicamente diseñados para cometer el acceso ilícito), con pena de prisión de seis meses a dos años o multa.

Cuando el responsable es una persona jurídica (art. 197 quinquies CP), la pena puede consistir en multa de uno a tres años o, en supuestos de mayor gravedad, en la disolución o inhabilitación para contratar con el sector público, entre otras consecuencias corporativas.

Además de las penas privativas de libertad o de multa, la condena suele llevar aparejada la obligación de indemnizar los daños y perjuicios causados (responsabilidad civil derivada del delito), que en entornos corporativos puede alcanzar cifras muy elevadas en concepto de lucro cesante, daño reputacional y coste de restauración de sistemas.

Fases del procedimiento penal habitual

Denuncia o querella e inicio de la instrucción. El procedimiento suele iniciarse mediante denuncia de la víctima —una empresa, un particular o un organismo público— ante la Policía Nacional (Brigada Central de Investigación Tecnológica), la Guardia Civil (Grupo de Delitos Telemáticos) o directamente ante el Juzgado de Instrucción competente. También puede iniciarse de oficio cuando la intrusión afecta a infraestructuras críticas o se detecta en el curso de otras investigaciones. En supuestos complejos se recomienda interponer querella con asistencia letrada desde el primer momento para orientar adecuadamente la investigación técnica.

Diligencias de investigación tecnológica. Esta fase es técnicamente exigente. Las actuaciones más habituales incluyen: el análisis forense de los sistemas vulnerados, la interceptación de comunicaciones o el registro de dispositivos electrónicos con autorización judicial, la solicitud de datos de tráfico a operadoras de telecomunicaciones, el rastreo de direcciones IP y la colaboración con plataformas internacionales. La cadena de custodia de la evidencia digital es crítica: cualquier defecto en su preservación puede comprometer toda la prueba de cargo.

Instrucción, acusación y juicio oral. Una vez identificado el presunto autor, el juez instructor dicta auto de transformación a procedimiento abreviado (que es el cauce ordinario dado el marco penal) o, excepcionalmente, sumario ordinario. La fase de juicio oral ante el Juzgado de lo Penal o la Audiencia Provincial concentra el debate sobre la prueba pericial informática, que en estos procesos tiene un peso determinante. La complejidad técnica hace que los peritos —tanto de la acusación como de la defensa— jueguen un papel central en el resultado del juicio.

Defensas y estrategias habituales

Cuestionamiento de la autoría. La atribución de un acceso informático a una persona concreta es uno de los puntos más complejos y más atacables de la acusación. Una dirección IP identifica un acceso a una red, no a una persona física: el abogado defensor debe explorar si el terminal fue utilizado por terceros, si la red era abierta o si existían indicios de que un tercero empleó la identidad digital del investigado (técnicas de spoofing o VPN mal atribuidas).

Ausencia de medidas de seguridad vulneradas. Si el sistema al que se accedió carecía de protección efectiva o si el acceso se realizó a través de canales técnicamente abiertos o mal configurados por el propio titular, puede debatirse si concurre el elemento típico de «vulneración de medidas de seguridad». Esta estrategia no excluye necesariamente la responsabilidad, pero puede influir en la calificación y en la pena.

Autorización expresa o implícita. En contextos laborales o de auditoría de seguridad (pentesting contratado), la defensa puede acreditar que el acceso fue autorizado por quien tenía legitimidad para concederlo, lo que excluye la tipicidad. Esta situación es frecuente en conflictos entre empresas y exempleados de sistemas que alegan haber actuado en el marco de sus funciones o con permiso verbal de superiores.

Nulidad de la prueba digital. La prueba informática obtenida sin autorización judicial, con defectos en la cadena de custodia o mediante técnicas de investigación no homologadas puede ser excluida por la vía del artículo 11.1 LOPJ. La revisión exhaustiva del atestado policial y los informes periciales en busca de irregularidades procedimentales es una tarea esencial de la defensa.

Atenuantes y conformidad. Si la prueba de cargo es sólida, la defensa puede orientarse a la obtención de la pena mínima mediante la apreciación de atenuantes (confesión ante las autoridades, reparación del daño, dilaciones indebidas) o mediante una conformidad negociada que evite el ingreso en prisión.

Errores frecuentes

Confundir el acceso ilícito con los daños informáticos. Es frecuente que víctimas e investigados crean que son el mismo delito. El acceso ilícito se consuma con la mera entrada no autorizada; los daños informáticos requieren que se haya alterado, destruido, bloqueado o inutilizado el sistema o los datos. Pueden concurrir en la misma conducta, pero son tipos autónomos con penas distintas, y la defensa o la acusación deben cuidar cada calificación.

Subestimar la relevancia penal por la ausencia de lucro. Muchos investigados creen que si no extrajeron datos ni causaron perjuicio económico, la conducta es inocua penalmente. Sin embargo, el tipo básico de acceso ilícito no exige ningún resultado dañoso ni ánimo de lucro: basta la mera intrusión con vulneración de medidas de seguridad.

No preservar las pruebas digitales inmediatamente. Las víctimas empresariales cometen con frecuencia el error de modificar, reiniciar o limpiar los sistemas antes de realizar un volcado forense. Esto destruye evidencias imprescindibles para acreditar el acceso y dificulta enormemente la instrucción posterior. La asistencia letrada e informático-forense debe activarse desde el primer momento.

Ignorar la dimensión internacional. Los accesos ilícitos se producen con frecuencia desde servidores o dispositivos ubicados en el extranjero. Esto no impide la persecución penal en España si el sistema afectado o la víctima están en territorio español, pero complica enormemente la identificación del autor y puede requerir comisiones rogatorias, cooperación judicial internacional o mecanismos como la orden europea de detención.

Cómo lo aborda un penalista colegiado

El acceso ilícito a sistemas informáticos es uno de los delitos que más exige la colaboración entre conocimiento jurídico y pericia técnica. Un abogado penalista colegiado con experiencia en ciberdelincuencia actúa de forma diferente según se trate de la defensa o de la acusación particular.

En la defensa, la primera actuación es obtener y analizar toda la documentación técnica disponible —atestados policiales, informes forenses, registros de actividad (logs)— para identificar debilidades en la cadena probatoria: errores en la obtención de las evidencias, atribuciones de IP no suficientemente contrastadas, informes periciales técnicamente incorrectos o carentes de rigor metodológico. El letrado trabaja en coordinación con peritos informáticos independientes que puedan rebatir o matizar la pericial de la acusación. Paralelamente, se evalúa la concurrencia de circunstancias atenuantes y la conveniencia de una posible conformidad si los elementos de cargo son sólidos.

En la acusación particular, el penalista asesora a la víctima desde el primer instante sobre cómo preservar correctamente la evidencia digital para que tenga valor probatorio, cómo redactar una denuncia o querella técnicamente precisa y qué diligencias deben solicitarse al instructor (volcados forenses, solicitudes a operadoras, registros de dispositivos, peritajes). Una querella bien articulada desde el inicio, con el soporte de un informe pericial privado previo, acelera sensiblemente la instrucción.

En ambos casos, la plataforma JBH coordina al cliente con un abogado penalista colegiado que cuente con experiencia acreditada en delitos informáticos, garantizando que la dirección técnica y estratégica del asunto quede en manos de un profesional habilitado, con plena responsabilidad deontológica ante su Colegio de Abogados.

Preguntas frecuentes

Jurisprudencia: cómo buscarla

La interpretación de «acceso ilícito a sistemas informáticos» evoluciona con la doctrina de los tribunales. No reproducimos números de sentencia ni identificadores ECLI sin verificar: la jurisprudencia aplicable a un caso concreto debe localizarla y contrastarla un abogado colegiado en la fuente oficial. Puedes preparar tu estrategia de búsqueda en el CENDOJ con nuestro buscador de jurisprudencia asistido y validar cualquier referencia con el verificador de citas legales.

Sigue explorando

¿Te afecta «Acceso ilícito a sistemas informáticos» en un caso real?

Evalúa tu situación con la IA penal de JBH y conéctate con un abogado penalista colegiado independiente. La decisión y la dirección del caso son siempre humanas.

¿Eres abogado penalista? Conoce la IA penal de JBH para tu despacho: primer caso gratis en jbhasesorialegal.com/para-abogados.

Información orientativa elaborada con fines divulgativos; no constituye asesoramiento jurídico ni crea relación profesional. Las referencias legales deben contrastarse con la normativa vigente (BOE) y la jurisprudencia con el CENDOJ. JBH es una plataforma de intermediación jurídica que coordina con abogados penalistas colegiados independientes; la dirección del caso corresponde siempre a un colegiado habilitado.

Te puede servir