Suplantación de identidad

Qué es la suplantación de identidad

La expresión «suplantación de identidad» describe el acto de atribuirse la identidad de otra persona —nombre, datos personales, imagen, credenciales digitales o documentos— sin su consentimiento y con alguna finalidad típicamente ilícita. En el lenguaje coloquial y mediático el término se usa de forma muy amplia, pero desde el punto de vista penal no existe en el Código Penal español (CP) un artículo que tipifique literalmente «la suplantación de identidad» como categoría autónoma.

Lo que el legislador ha previsto son varios tipos específicos que recogen las formas más habituales en que se suplanta a alguien: (a) la usurpación del estado civil (art. 401 CP), que castiga a quien se arroga la identidad de otra persona de forma estable o ante organismos públicos; (b) las falsedades documentales (arts. 390 y ss. CP), aplicables cuando se falsifican o se utilizan documentos ajenos para acreditar una identidad falsa; (c) la estafa (art. 248 CP), cuando el engaño sobre la identidad produce un desplazamiento patrimonial; (d) los delitos contra la intimidad y el honor, en particular el descubrimiento y revelación de secretos (art. 197 y ss. CP), cuando la suplantación sirve para acceder a cuentas o comunicaciones privadas; y (e) los delitos informáticos, que incluyen el acceso ilícito a sistemas (art. 197 bis CP) y la interferencia de datos.

En entornos digitales, la suplantación adopta formas como el phishing —crear páginas o correos que imitan a entidades bancarias o corporaciones—, la creación de perfiles falsos en redes sociales con la identidad de una persona real, el uso no autorizado de credenciales ajenas o el llamado identity theft anglosajón. La transversalidad del fenómeno hace imprescindible analizar caso por caso qué preceptos resultan aplicables, pues en muchas ocasiones concurren varios delitos en concurso.

Elementos y requisitos jurídicos

Para que una conducta de suplantación sea constitutiva de delito deben concurrir los elementos propios del tipo penal concreto que resulte aplicable. Con carácter general, sin embargo, pueden identificarse varios elementos comunes:

1. Atribución falsa de identidad ajena. El sujeto activo se presenta como otra persona —real o, en algunos tipos, ficticia— ante terceros, organismos, plataformas o sistemas informáticos. No basta con usar un seudónimo si no hay confusión sobre la identidad real.

2. Ausencia de consentimiento del titular. La suplantación exige que el titular de la identidad no haya autorizado su uso. Si alguien actúa como representante autorizado de otra persona, con poder o mandato, no hay suplantación jurídicamente relevante.

3. Dolo o intención. Todos los tipos aplicables son dolosos: el sujeto activo debe conocer que está usando una identidad ajena y querer hacerlo. El error sobre la identidad propia no es habitual en la práctica, pero podría operar como causa de exclusión del dolo en casos muy excepcionales.

4. Resultado o idoneidad lesiva, según el tipo. Para la usurpación del estado civil basta con la acción de arrogarse la identidad; para la estafa, es necesario un perjuicio patrimonial efectivo; para el descubrimiento de secretos, el acceso ilegítimo a datos reservados.

5. Bien jurídico lesionado. La suplantación puede afectar a múltiples bienes jurídicos de forma simultánea: la fe pública, el patrimonio, la intimidad, el honor, la libertad informática o la seguridad del tráfico jurídico. Esta pluralidad de bienes jurídicos es la razón de que no exista un único tipo penal omnicomprensivo.

Dentro de cada subtipo, el penalista debe además analizar la concurrencia de circunstancias modificativas —reincidencia, abuso de confianza, especial vulnerabilidad de la víctima, uso de medios tecnológicos— que agravan la respuesta punitiva.

Marco penal

Al no existir un tipo unitario, el marco penal varía notablemente según el precepto aplicado:

• Usurpación del estado civil (art. 401 CP): pena de prisión de seis meses a tres años [VERIFICAR si alguna reforma ha modificado este marco]. Es el tipo más directamente vinculado a «hacerse pasar por otra persona» en sentido estricto, aunque la jurisprudencia exige que la suplantación tenga cierta entidad o continuidad.
• Falsedad en documento público, oficial o mercantil (art. 390 CP): pena de prisión de tres a seis años y multa [VERIFICAR], agravada si la comete particular con documento público equiparado. La falsedad documental concurrirá cuando se usen o fabriquen documentos de identidad ajenos o alterados.
• Estafa (art. 248 CP): pena de prisión de seis meses a tres años, con agravaciones si la cuantía supera determinados umbrales o si se emplean medios informáticos (art. 249 y 250 CP). En el ámbito bancario y digital, el phishing con suplantación de identidad de entidades o personas suele tipificarse como estafa, en ocasiones en concurso con falsedad.
• Descubrimiento y revelación de secretos / acceso ilícito (arts. 197 y 197 bis CP): la pena de prisión varía según la modalidad —desde un año hasta penas superiores en casos agravados—, con especial agravación cuando la víctima es persona especialmente vulnerable o cuando los datos obtenidos son de carácter íntimo o sensible.
• Delitos contra el honor (arts. 205 y ss. CP): cuando la suplantación tiene por finalidad dañar la reputación de la persona suplantada publicando contenidos falsos en su nombre, pueden concurrir calumnias o injurias, que en la vía penal ordinaria requieren que la acusación sea ejercida por la parte perjudicada.

En los supuestos más graves —suplantación organizada, con múltiples víctimas o en el seno de una organización criminal— las penas pueden incrementarse significativamente, y puede entrar en juego la responsabilidad penal de las personas jurídicas si la conducta se comete en su beneficio.

Fases y procedimiento habitual

El proceso penal por suplantación de identidad sigue las reglas generales de la Ley de Enjuiciamiento Criminal (LECrim), aunque con algunas particularidades derivadas del componente tecnológico que suele estar presente.

Fase de denuncia e investigación policial. La víctima puede denunciar ante la Policía Nacional (especialmente ante su Brigada de Investigación Tecnológica), la Guardia Civil o directamente ante el Juzgado de Instrucción. La denuncia debe acompañarse de toda la evidencia disponible: capturas de pantalla, correos, registros de acceso, comunicaciones con la plataforma o red social afectada, y cualquier documento que acredite la suplantación. En esta fase es crucial la preservación de la evidencia digital conforme a los estándares de la cadena de custodia, pues la evidencia volátil puede destruirse en horas.

Diligencias de investigación judicial. El juez instructor puede acordar medidas como la intervención de comunicaciones, el registro de dispositivos electrónicos, la identificación de usuarios a través de proveedores de servicios (con auxilio judicial internacional si el servidor está en el extranjero) o la práctica de diligencias de investigación de la Fiscalía. La obtención de logs, datos de IP y metadatos requiere resolución judicial motivada para ser válida como prueba.

Fase intermedia y juicio oral. Una vez completada la instrucción, el procedimiento se encauza habitualmente como procedimiento abreviado (ante el Juzgado de lo Penal o la Audiencia Provincial, según la pena en abstracto) o, en conductas de menor entidad, como juicio por delitos leves. En la fase de juicio oral cobra especial importancia la prueba pericial informática, que debe acreditar la autoría de la conducta y la veracidad de las evidencias digitales aportadas.

Actuación civil paralela. Con independencia del proceso penal, la víctima puede ejercer acciones civiles —acumuladas en el proceso penal o por separado— para reclamar la indemnización por daños patrimoniales, morales o daño reputacional sufridos como consecuencia de la suplantación.

Defensas y estrategias habituales

La defensa en un procedimiento por suplantación de identidad presenta una casuística muy rica, dado que la conducta puede adoptar formas muy diversas y los medios de prueba son predominantemente digitales y, por tanto, impugnables desde múltiples ángulos.

1. Cuestionar la autoría. La atribución de una acción digital a una persona concreta no es automática. La titularidad de una conexión de internet o de un dispositivo no implica per se que esa persona haya cometido la conducta. La defensa puede plantear la posibilidad de que un tercero utilizara el dispositivo, una red wifi abierta o credenciales comprometidas. La prueba de la autoría corresponde a la acusación, y cualquier duda razonable debe beneficiar al investigado.

2. Nulidad de la prueba digital. Si las evidencias se obtuvieron sin autorización judicial previa, mediante acceso a cuentas sin el amparo legal correspondiente, o sin respetar la cadena de custodia, la defensa puede solicitar su nulidad por vulneración de derechos fundamentales (art. 18 CE, en relación con el art. 11.1 LOPJ). La exclusión de la prueba ilícita puede dejar sin soporte acusatorio todo el procedimiento.

3. Atipicidad o error de tipo. En ocasiones, conductas que socialmente se perciben como suplantación —el uso de un alias, la gestión de una cuenta en nombre de otro con consentimiento tácito, la parodia en redes sociales— no llegan a integrar los elementos típicos de ninguno de los delitos aplicables. La defensa debe analizar si la conducta concreta encaja realmente en el tipo penal invocado por la acusación.

4. Ausencia de dolo o error de prohibición. En entornos digitales, algunas personas desconocen que determinadas conductas (como usar el perfil de una empresa sin autorización formal) son constitutivas de delito. Aunque el error de prohibición invencible es de difícil apreciación, puede operar como atenuante cuando es vencible (art. 14 CP).

5. Atenuantes y conformidad negociada. Si la autoría está acreditada, el penalista debe explorar la concurrencia de atenuantes —reparación del daño, confesión, dilaciones indebidas— o la posibilidad de una conformidad que reduzca la condena y evite antecedentes de mayor gravedad.

Errores frecuentes

Esperar demasiado para actuar. Las evidencias digitales son efímeras: las plataformas borran logs y registros pasados ciertos plazos, y los perfiles falsos pueden darse de baja antes de que se practique ninguna diligencia. Tanto víctimas como investigados cometen el error de no buscar asesoramiento penal desde el primer momento.

Confundir la vía civil con la penal. Algunas víctimas acuden directamente al juzgado de primera instancia civil pensando que es la vía correcta. Para los delitos aquí descritos, la vía es la penal —con posibilidad de acumular la acción civil dentro del proceso penal—, lo que determina plazos, órganos competentes y tipo de prueba admisible.

Pensar que «solo es internet». Existe la percepción equivocada de que las conductas realizadas en redes sociales o mediante correo electrónico tienen menor reproche penal. La jurisprudencia española ha consolidado que los delitos cometidos por medios telemáticos tienen la misma entidad que los cometidos en el mundo físico y, en algunos tipos, llevan aparejadas agravaciones específicas.

No notificar a las plataformas. Antes o en paralelo a la denuncia penal, la víctima debe notificar la suplantación a la plataforma (red social, servicio de correo, entidad bancaria) para lograr la retirada inmediata del contenido o el bloqueo de la cuenta falsa. Esto no sustituye la denuncia, pero limita el daño y puede facilitar la obtención de datos de registro del infractor.

Autoincriminarse al intentar «investigar» por cuenta propia. Algunas víctimas acceden sin autorización a la cuenta del supuesto suplantador para obtener pruebas. Esta conducta puede constituir ella misma un delito de acceso ilícito a sistemas informáticos, y las pruebas así obtenidas serán nulas.

Cómo lo aborda un penalista colegiado

Cuando un abogado penalista colegiado recibe un asunto de suplantación de identidad —ya sea en representación de la víctima o del investigado—, lo primero que hace es un análisis de calificación jurídica provisional: determinar qué tipo o tipos penales pueden estar en juego, si existe concurso de delitos, y qué bien jurídico o bienes jurídicos han sido efectivamente lesionados. Esta calificación condiciona todo lo demás: el órgano competente, los plazos de prescripción, la legitimación activa y la estrategia probatoria.

En representación de la víctima, el penalista asesora sobre la conveniencia de presentar denuncia o querella, redacta el escrito acusatorio con la fundamentación jurídica adecuada, solicita medidas cautelares urgentes —como la identificación del responsable o la retirada de contenidos— y se personifica como acusación particular para dirigir activamente la instrucción y garantizar que las diligencias de investigación digital se practiquen con las garantías procesales exigidas. Además, prepara la reclamación de responsabilidad civil derivada del delito para integrarla en el proceso penal.

En representación del investigado o acusado, el penalista examina de forma crítica la solidez de la prueba de cargo —con especial atención a la cadena de custodia de la evidencia digital y a la regularidad de las diligencias de investigación—, plantea las cuestiones de nulidad procedentes, analiza la tipicidad de la conducta concreta y, si hay convicción de condena, negocia la conformidad más favorable o prepara los recursos oportunos. En ambos casos, la coordinación con peritos informáticos es habitualmente imprescindible para trasladar al órgano judicial, con rigor técnico, los argumentos relativos a la autoría o a la validez de las pruebas.

Preguntas frecuentes

Jurisprudencia: cómo buscarla

La interpretación de «suplantación de identidad» evoluciona con la doctrina de los tribunales. No reproducimos números de sentencia ni identificadores ECLI sin verificar: la jurisprudencia aplicable a un caso concreto debe localizarla y contrastarla un abogado colegiado en la fuente oficial. Puedes preparar tu estrategia de búsqueda en el CENDOJ con nuestro buscador de jurisprudencia asistido y validar cualquier referencia con el verificador de citas legales.

Sigue explorando

¿Te afecta «Suplantación de identidad» en un caso real?

Evalúa tu situación con la IA penal de JBH y conéctate con un abogado penalista colegiado independiente. La decisión y la dirección del caso son siempre humanas.

¿Eres abogado penalista? Conoce la IA penal de JBH para tu despacho: primer caso gratis en jbhasesorialegal.com/para-abogados.

Información orientativa elaborada con fines divulgativos; no constituye asesoramiento jurídico ni crea relación profesional. Las referencias legales deben contrastarse con la normativa vigente (BOE) y la jurisprudencia con el CENDOJ. JBH es una plataforma de intermediación jurídica que coordina con abogados penalistas colegiados independientes; la dirección del caso corresponde siempre a un colegiado habilitado.

Te puede servir