Ciberseguridad y Derecho

"Ubi societas ibi ius"

I. La Ley Orgánica 5/2010, de 22 de junio, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, publicada en el B.O.E. el 23 de junio de 2010, que entró en vigor el día 23 de diciembre pasado, introduce modificaciones que afectan a la protección penal de la seguridad de la información y las comunicaciones.

A) Descubrimiento y revelación de secretos.

El artículo 197 del Código Penalintroduce un nuevo apartado 3, pasando los actuales apartados 3,4,5, y 6 a ser apartados 4,5,6 y 7, y se añade el apartado 8, de forma que queda redactado como sigue: “ 1. El que para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales o intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses. 2. Las mismas penas se impondrán al que, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado. Iguales penas se impondrán a quien, sin estar autorizado, acceda por cualquier medio a los mismos y a quien los altere o utilice en perjuicio del titular de los datos o de un tercero.

            3. El que por cualquier medio o procedimiento y vulnerando las medidas de seguridad establecidas para impedirlo, acceda sin autorización a datos o programas informáticos contenidos en un sistema informático o en parte del mismo o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, será castigado con pena de prisión de seis meses a dos años.

            Cuando de acuerdo con lo establecido en el artículo 31 bis, una persona jurídica sea responsable de los delitos comprendidos en este artículo, se le impondrá la pena de multa de seis meses a dos años. Atendidas las reglas establecidas en el artículo 66 bis, los jueces y tribunales podrán asimismo imponer las penas recogidas en las letras b) a g) del apartado 7 del artículo 33.

            Se impondrá la pena de prisión de dos a cinco años si se difunden, revelan o ceden a terceros los datos o hechos descubiertos o las imágenes captadas a que se refieren los números anteriores.

            Será castigado con las penas de prisión de uno a tres años y multa de doce a veinticuatro meses, el que, con conocimiento de su origen ilícito y sin haber tomado parte en su descubrimiento, realizare la conducta descrita en el párrafo anterior.

            5. Si los hechos descritos en los apartados 1 y 2 de este artículo se realizan por las personas encargadas o responsables de los ficheros, soportes informáticos, electrónicos o telemáticos, archivos o registros, se impondrá la pena de prisión de tres a cinco años, y si se difunden, ceden o revelan los datos reservados, se impondrá la pena en su mitad superior.

            6. Igualmente, cuando los hechos descritos en los apartados anteriores afecten a datos de carácter personal que revelen la ideología, religión, creencias, salud, origen racial o vida sexual, o la víctima fuere un menor de edad o un incapaz, se impondrán las penas previstas en su mitad superior.

            7. Si los hechos se realizan con fines lucrativos, se impondrán las penas respectivamente previstas en los apartados 1 al 4 de este artículo en su mitad superior. Si además afectan a datos de los mencionados en el apartado 6, la pena a imponer será la de prisión de cuatro a siete años.

            8. Si los hechos descritos en los apartados anteriores se cometiesen en el seno de una organización o grupo criminales, se aplicarán respectivamente las penas superiores en grado.

Comentario:

Art. 197.3.

El hecho típico del injusto consiste en acceder sin autorización a datos o programas informáticos contenidos en un sistema, o parte del mismo, o mantenerse dentro del sistema contra la voluntad de quien tenga derecho a excluirlo, siempre que lo haga vulnerandolas medidas de seguridad establecidas para impedirlo.

Por consiguiente, para que se den los elementos del tipo, han de existir medidas de seguridad. Como quiera, que no se exige ningún nivel, entendemos que la mera existencia de cualquier medida de seguridad es suficiente. Solo no sería aplicable el tipo si no hubiese ninguna, lo que, en la práctica, no resulta fácil.

Art. 197.8

La modificación comentada, añade, además, un nuevo artículo, el 570 bis que, en su apartado 1, párrafo segundo, dice “A los efectos de este Código se entiende por organización criminal la agrupación formada por más de dos personas con carácter estable o por tiempo indefinido, que de manera concertada y coordinada se repartan diversas tareas o funciones con el fin de cometer delitos, así como de llevar a cabo la perpetración reiterada de faltas”.

Las características del mundo cibernético hacen que la organización criminal en este ámbito sea distinta, al menos, en lo que se refiere al carácter estable o tiempo indefinido, con lo que, lo dispuesto en este nuevo artículo será de una utilidad relativa en el ámbito del crimen organizado de naturaleza cibernética.

Consideramos más adecuada –y útil- para la lucha contra la delincuencia organizada cibernética, la redacción que da la Convención Contra la Delincuencia Organizada Transnacional de Naciones Unidas, para la que, por “grupo estructurado” se entenderá “un grupo que no está formado fortuitamente para la comisión inmediata de un delito, aunque no es necesario que haya asignado a sus miembros papeles determinados, tenga continuidad en su composición o una estructura desarrollada”.

Por cuanto se refiere a este artículo, tal vez convenga recordar lo dispuesto en el artículo 198 del mismo cuerpo legal –aunque no haya sido modificado- según el cual: “La autoridad o funcionario público que, fuera de los casos permitidos por la Ley, sin mediar causa legal por  delito, y prevaliéndose de su cargo, realizare cualquiera de las conductas descritas en el artículo anterior, será castigado con las penas respectivamente previstas en el mismo, en su mitad superior y, además, con la de inhabilitación absoluta por tiempo de seis a doce años”.

Hemos de señalar que, en los apartados descritos, la conducta punible consiste en acceder a datos o permanecer en un ordenador sin autorización, siempre que para ello, se hayan vulnerado medidas de seguridad.

A nuestro entender, la vulneración de las medidas de seguridad debería ser en si mismo punible, con independencia de que se acceda o no a datos y se permanezca o no dentro del ordenador.

La pena será de seis meses a dos años.

Cuando sea una persona jurídica, la pena será de multa de seis meses a dos años y, la cuota diaria de la cuantía de la multa puede ir de 30 a 5.000 euros.

            B) Llaves falsas.

            El artículo 239 del Código Penal se modifica y queda redactado como sigue: “Se considerarán llaves falsas:

1.      Las ganzúas u otros instrumentos análogos.

2.      Las llaves legítimas perdidas por el propietario u obtenidas por un medio que constituya infracción penal.

3.      Cualesquiera otras que no sean las destinadas por el propietario para abrir la cerradura violentada por el reo.

A los efectos del presente artículo, se considerarán llaves las tarjetas, magnéticas o perforadas, los mandos o instrumentos de apertura a distanciaycualquier otro instrumento tecnológico de eficacia similar”.

Comentario:

Aunque en un sistema de cifra electrónica, las claves tendrían cabida dentro del concepto de “instrumento” y así lo viene recogiendo la jurisprudencia, en los sistemas de cifra manual, esa interpretación sería más difícil, por lo que, consideramos que el precepto quedaría mucho más completo si expresamente atribuyera, de forma expresa, la condición de llave falsa a las “claves criptográficas y todos sus componentes, contraseñas, password, etc”, lo que tendría efecto, principalmente, en la función pedagógica del Derecho. De igual modo, tal vez habría que hacer referencia a la eliminación de la protección electromagnética o, en su caso, dar una redacción omnicomprensiva en la que tengan cabida todos los procedimientos de bloqueo y desbloqueo de los sistemas de protección.

C) Estafa informática.

El artículo 248 del Código Penal queda redactado como sigue: “1. Cometen estafa los que, con ánimo de lucro, utilizaren engaño bastante para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno.

2. También se consideran reo de estafa:

a) Los que con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro.

b) Los que fabricaren, introdujeren, poseyeren o facilitaren programas informáticos específicamente destinados a la comisión de las estafas previstas en este artículo.

c) Los que utilizando tarjetas de crédito, débito, o cheques de viaje, o los datos obrantes en cualquiera de ellos, realicen operaciones de cualquier clase en perjuicio de su titular o de un tercero”.

Comentario:

El elemento central de la estafa informática está constituido por algunas de las tres conductas siguientes: la utilización dealguna manipulación informática o artificio semejante; fabricar, introducir, poseer o facilitar programas informáticos destinados a conseguir una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro, y la utilización de tarjetas de crédito, débito, o cheques de viaje, o los datos obrantes en cualquiera de ellospara realizar operaciones en perjuicio de un tercero.

La estafa realizada a través de alguno de estos medios es lo que se conoce como estafa informática, y viene a ser una novedad en el ordenamiento penal.

D) Daños.

El artículo 264 del Código Penal queda redactado así: “1. El que por cualquier medio, sin autorización y de manera grave borrase, dañase, deteriorase, alterase, suprimiese, o hiciese inaccesibles datos, programas informáticos o documentos electrónicos ajenos, cuando el resultado producido fuera grave, será castigado con la pena de prisión de seis meses a dos años.

2. El que por cualquier medio, sin estar autorizado y de manera grave obstaculizara o interrumpiera el funcionamiento de un sistema informático ajeno, introduciendo, transmitiendo, dañando, borrando, deteriorando, alterando, suprimiendo o haciendo inaccesibles datos informáticos, cuando el resultado producido fuera grave, será castigado, con la pena de prisión de seis meses a tres años.

3. Se impondrán las penas superiores en grado a las respectivamente señaladas en los dos apartados anteriores y, en todo caso, la pena de multa del tanto al décuplo del perjuicio ocasionado, cuando en las conductas descritas, concurra algunas de las siguientes circunstancias:

1º Se hubiese cometido en el marco de una organización criminal.

2º Haya ocasionado daños de especial gravedad o afectado a los intereses generales.

4. Cuando de acuerdo con lo establecido en el artículo 31 bis una persona jurídica sea responsable de los delitos comprendidos en este artículo, se le impondrán las siguientes penas:

a) Multa del doble al cuádruple del perjuicio causado, si el delito cometido por la persona física tiene prevista una pena de prisión de más de dos años.

b) Multa del doble al triple del perjuicio causado, en el resto de los casos.

Atendidas las reglas establecidas en el artículo 66 bis, los jueces y tribunales podrán asimismo imponer las penas recogidas en las letras b) a g) del apartado 7 del artículo 33”.

Comentario:

            La modificación del artículo 264 del CP es de gran importancia desde el punto de vista que nos ocupa, en lo que se refiere a la seguridad de las tecnologías de la información.

1.      La conducta típica del injusto del punto 1, consiste en borrar, dañar, deteriorar, o hacer inaccesibles datos, programas y documentos informáticos, utilizando cualquier medio y sin disponer de autorización.

Esta conducta está castigada con pena de prisión de seis meses a dos años.

2.    La conducta típica del injusto del punto 2, consiste en introducir, transmitir, dañar, borrar, deteriorar, alterar, suprimir o hacer inaccesible datos informáticos, utilizando cualquier medio, y careciendo de autorización, cuyo resultado sea obstaculizar o interrumpir, de manera grave, el funcionamiento de un sistema informático ajeno.

Esta conducta está castigada con la pena de prisión de seis meses a tres años.

3.      El punto 3, se refiere a un tipo cualificado, configurado por la realización de conductas a las que se refieren los apartados anteriores, cuando en ellas de ellas concurra alguna la circunstancia de que:

   i.      Se hubiera cometido en el marco de una organización criminal, entendida en el sentido del artículo 570, bis.

   ii.      Se hayan causado daños de especial gravedad o hayan afectado a los intereses generales.

La conducta típica, cualificada, a la que se refiere este punto está castigada con las penas superiores en grado a las señaladas, respectivamente, en los puntos 1 y 2 y, en todo caso, la de multa del tanto al décuplo del perjuicio ocasionado por las conductas típicas.

De acuerdo con lo previsto en el artículo 70 del CP, la pena superior en grado de la de seis meses a dos años del punto 1, es una pena de dos años y un día a tres años.

Y la pena superior en grado  de la de seis meses a tres años, del punto 2, es una pena de tres años y un día a cuatro años y medio.

4.      Cuando sea una persona jurídica la responsable de la comisión de los delitos indicados, se impondrán las siguiente penas:

a.      Multa del doble al cuádruplo del perjuicio causado, si el delito cometido tiene prevista una pena de prisión de más de dos años.

b.      Multa del doble al triple del perjuicio causado, en el resto de los casos.

II.Insuficiencia normativa.

Si bien es cierto que las modificaciones normativas introducidas en el Código Penal constituyen un importante avance por lo que se refiere a la protección penal de la seguridad de la información y las comunicaciones, que se viene a unir a otras modificaciones anteriores, no es menos cierto que la normativa penal española es insuficiente en este ámbito.

Hemos de resaltar la ausencia de proyección de las modificaciones experimentadas en ámbitos tan esenciales para la convivencia y, por consiguiente, tan necesitados de regulación penal como: 

-          Delitos contra la Administración pública (Título XIX, Libro II).

-          Delitos contra la Administración de Justicia (Título XX, Libro II).

-          Delitos contra la Constitución (Título XXI, Libro II).

-          Delitos contra el orden público (Título XXII, Libro II).

-          Delitos de traición y contra la paz o la independencia del Estado y relativos a la Defensa Nacional. (Libro XXIII, Libro II).

-          Delitos contra la Comunidad Internacional (Título XXIV, Libro II).

-          Faltas reguladas en el Libro III.

A tenor del uso generalizado de las tecnologías de la información y las comunicaciones en nuestra sociedad, en el Estado y en la Comunidad Internacional, y la necesidad que estas tecnologías tienen de seguridad, así como las amenazas y riesgos que comporta su utilización para la comisión de actos delictivos, consideramos necesario introducir su regulación penal en los ámbitos indicados, bien mediante tipos penales específicos, bien mediante la implantación de tipos penales cualificados, a través de una exhaustiva revisión de todos los delitos y faltas que integran los capítulos de los títulos indicados, y su adecuación a la nueva sociedad cibernética en la que estamos inmersos.

De igual modo, tal vez la regulación penal de tipos específicos no sea suficiente y, la nueva realidad, requiera introducir en el código penal, nuevos conceptos jurídicos –y su protección- (activo de información, seguridad cibernética, seguridad de la información y las comunicaciones, seguridad de la red, estructura nacional cibernética, estructura internacional cibernética,  infraestructuras críticas, conductas contrarias a la seguridad cibernética, dimensión global de este fenómeno, guerra cibernética, terrorismo cibernético, acto cibernético de guerra,  ataque cibernético, patrimonio tecnológico mundial, infraestructura mundial de tecnología, deber de información de ataques cibernéticos, paz digital, etc.)

III.La seguridad cibernética como bien jurídico protegido.

La necesidad de justificar y explicar ante la sociedad las razones de la intervención del Derecho penal, se articula en torno al concepto de “bien jurídico”, que se configura como legitimador del concepto de delito.

Siguiendo las teorías personalistas, el bien jurídico es un conjunto de intereses humanos dignos de protección.

La protección de las instituciones solo se justifica en tanto es condición de posibilidad de protección de la persona. El interés humano en el que consiste el bien jurídico, sería el valor que ha de tener protección preferente, de entre los concurrentes, en el caso de conflicto social.

Los bienes jurídicos individuales y los colectivos son distintas soluciones jurídicas a diferentes situaciones sociales, con unidad de fin de justificación y de criterios de aplicación.

El bien jurídico colectivo opera a modo de barrera de protección jurídica anticipada, a la lesión de bienes jurídicos individuales. Y no todos los bienes jurídicos colectivos sitúan su barrera de protección en el mismo momento, sino que existen unos que actúan más adelantados que otros.

La sectorización de la protección, supone la existencia de bienes jurídicos para determinados ámbitos de riesgo.

Además de los bienes jurídicos colectivos o supraindividuales, existen otras fórmulas de protección, mediante la construcción de tipos de peligro o delitos de peligro.

Como resultado de la coordinación de estos criterios surgen bienes jurídicos cada vez más alejados del bien jurídico básico, del que tendrán carácter subsidiario, pero con respecto al cual se comportarán de forma independiente y autónoma.[1]

El bien jurídico considerado como unidad funcional valía para la sociedad, regida constitucionalmente y, por tanto, valioso, también para los ciudadanos individualmente considerados, no es algo estático, sino que evoluciona según el desarrollo de la sociedad, proporcionando un “presupuesto para la vida en común próspera, de individuos libres en una sociedad estatal” (Roachim), requiere de una delimitación precisa, diferenciada de las ideas morales, que seleccione daños y amenazas que se pueden sufrir de forma real.

Las característica del Ciberespacio, hace que la seguridad cibernética juegue un papel central en su aplicación en el contexto de un Estado de Derecho, así como en el juego de relaciones internacionales, llegando a ser una constante, presente, de una u otra forma, en todos los intereses en juego del nuevo ámbito relacional cibernético.

Esta omnipresencia de las relaciones cibernéticas, en todos sus aspectos, técnicos, sociológicos, jurídicos, económicos y políticos, hace emerger al Ciberespacio –y las relaciones electrónicas que lo sustentan- como un nuevo valor, un nuevo bien jurídico digno de protección –barrera de protección jurídica anticipada- , de carácter universal, que deberá servir para configurar nuevos tipos penales, con independencia de los ya existentes y, entre los que destaca por su importancia para hacer viable el bien principal, la seguridad cibernética y el derecho al uso seguro de Internet.

La seguridad cibernética como garante de un estándar de seguridad colectiva en el ámbito relacional constituido por el Ciberespacio, es un área de confluencia de intereses de la más variada índole (públicos y privados, estatales, comerciales, industriales, individuales, sociales, militares, de inteligencia o policiales).

La seguridad cibernética es un bien jurídico que adquiere una dimensión institucional y supraindividual, cuyo objeto jurídico de protección inmediato es la seguridad colectiva, lo que no impide que determinados bienes jurídicos individuales constituyan un objeto inmediato de protección, en una situación valorativa en relación al bien supraindividual.

Los bienes jurídicos son unidades funcionales relativas, referidos al orden social del momento, y sus objetivos.

La seguridad cibernética es una entidad nueva de protección, referida a los procesos y funciones que ha de cumplir el sistema, para que estén aseguradas las bases y condiciones, esencialmente los bienes jurídicos individuales.

Frente a los medios de comisión cibernéticos, de gran potencia lesiva, la seguridad cibernética tiene entidad suficiente para recibir un tratamiento autónomo como bien jurídico penalmente relevante.

Como bien jurídico, junto a los intereses individuales protegidos, se puede percibir algo que transciende y que se podría definir como “el derecho que todos tienen para el desenvolvimiento normal de sus vidas en paz, sosiego, bienestar y tranquilidad” (STS de 9 de octubre de 1984) en el ámbito del Ciberespacio.[2]

Por todo ello, tal vez sería conveniente establecer en el Código Penal, un tipo específico, relativo a los delitos contra la seguridad cibernéticas, en el Título relativo a los delitos contra la seguridad colectiva, que conviviría con subtipos referidos a bienes jurídicos individualizados como la libertad de expresión, la privacidad, la intimidad, el secreto de las comunicaciones, la seguridad del Estado, la prevención y persecución del delito, o los datos de carácter personal, u otros.

IV. Derecho penal cibernético.

El alcance y profundidad de la regulación penal requerida a consecuencia de la impregnación cibernética en la vida de la Sociedad, del Estado y de los Individuos, permite vislumbrar que estamos ante el nacimiento del Derecho Penal Cibernético, como una gran especialidad dentro del Derecho Penal, a modo de cómo lo son: Extranjería, Medio Ambiente, Seguridad Vial, Menores, Vigilancia Penitenciaria,  Delitos Económicos, etc.

El fenómeno cibernético requiere enfoques “micro” y “macro” y, articular su dimensión penal. Con las regulaciones penales introducidas –tanto las derivadas de la última reforma del CP, como las anteriores- contempla solo algunos aspectos puntuales, de una y otra dimensión, pero no responde a un enfoque integral del fenómeno y su repercusión penal.

Por ello, entendemos, el fenómeno cibernético debe ser abordado en toda su amplitud y dimensión y proyectarlo en su aspecto penal, lo que requiere un profundo estudio desde esta óptica y plasmar sus consecuencias en el texto del Código Penal.