Acceso no autorizado a sistemas informáticos en España: cuándo constituye delito

En España, el acceso no autorizado a sistemas informáticos puede ser delito cuando una persona entra, sin permiso, en un sistema, una cuenta, una red o un recurso protegido, vulnerando las medidas de seguridad o excediendo claramente la autorización que tenía. La cuestión no se reduce a “mirar” una pantalla o “probar suerte” con una contraseña: penalmente importa si hubo acceso indebido, si existió una barrera de seguridad que se superó y si el hecho encaja en el artículo 197 bis del Código Penal, además de otras figuras relacionadas cuando hay daños, interceptación de datos o difusión de información.

La regulación española distingue entre el simple uso irregular de un servicio y la conducta penalmente relevante. No todo acceso discutible es delito, pero sí lo es cuando se entra sin autorización en un sistema protegido o se permanece dentro de él sin permiso, especialmente si se utilizan credenciales ajenas, técnicas para eludir controles de seguridad o se explota una vulnerabilidad con voluntad de acceder a información o recursos ajenos.

Qué protege el Derecho penal en estos casos

El Código Penal protege la confidencialidad, integridad y disponibilidad de los sistemas de información y de los datos que contienen. En el delito de acceso no autorizado, el bien jurídico afectado es, sobre todo, la seguridad del sistema y la esfera de control de su titular o usuario legítimo. No se exige necesariamente que se cause un perjuicio económico inmediato: el simple acceso sin permiso ya puede ser punible si se cumplen los requisitos legales.

La lógica del tipo penal es clara: el sistema informático no es un espacio abierto al público por el mero hecho de estar conectado a internet. Si existe una barrera de acceso, unas credenciales, un control de autorización o una segmentación destinada a restringir el uso, entrar sin permiso puede activar la responsabilidad penal.

Cuándo el acceso no autorizado puede ser delito en España

El artículo 197 bis del Código Penal castiga a quien, sin estar autorizado y de manera intencionada, accede o facilita el acceso a un sistema de información, o permanece en él contra la voluntad de quien tenga derecho a excluirlo. También se contempla el acceso o mantenimiento en sistemas protegidos mediante medidas de seguridad, y la conducta se agrava en algunos supuestos si concurren determinadas circunstancias relacionadas con sistemas, datos o utilidad pública, según la concreta redacción aplicable.

Para que exista delito, suelen apreciarse estos elementos:

• Falta de autorización: no existe permiso válido del titular, del administrador o de quien esté legitimado para concederlo.
• Acceso o permanencia indebida: la persona entra en el sistema, lo explora, extrae información o continúa dentro sin consentimiento.
• Intencionalidad: debe existir voluntad de acceder sin autorización; no basta un error puramente accidental.
• Sistema de información: el objeto puede ser una red, servidor, correo corporativo, cuenta en una plataforma, base de datos, dispositivo conectado o entorno similar.

En la práctica, los tribunales valoran si el acceso fue realmente “no autorizado” o si el usuario tenía algún margen legítimo de uso. También analizan si la barrera de seguridad era real y si la conducta fue consciente. No toda intromisión técnica genera automáticamente delito, pero el uso de contraseñas ajenas, el robo de credenciales, la explotación de fallos de seguridad o la entrada en áreas restringidas suelen apuntar con claridad a la tipicidad penal.

Conductas que suelen encajar en el delito

Hay supuestos que, por su forma de ejecución, suelen presentar alto riesgo penal:

• Uso de una contraseña obtenida sin permiso, aunque sea de una cuenta de correo, una plataforma interna o un panel de administración.
• Acceso a dispositivos o servidores ajenos aprovechando credenciales filtradas o sustraídas.
• Entrada en una cuenta compartida o empresarial superando límites de autorización expresos.
• Explotación de vulnerabilidades para entrar en sistemas protegidos y navegar por su contenido.
• Persistencia dentro del sistema después de que el permiso haya sido revocado o deba considerarse extinguido.
• Acceso a áreas restringidas de una red, una intranet o una plataforma digital, cuando estaba claramente prohibido.

También puede haber delito cuando no solo se accede, sino que se facilita el acceso a terceros, por ejemplo compartiendo credenciales, creando puertas de entrada o proporcionando instrucciones para superar controles de seguridad.

Cuándo no siempre hay delito

No toda infracción de normas internas o de condiciones de uso tiene relevancia penal. Hay situaciones que pueden generar problemas civiles, laborales, contractuales o disciplinarios sin llegar necesariamente al ámbito penal.

• Error de configuración sin intención de acceder indebidamente: si una persona entra accidentalmente en un entorno expuesto por un fallo técnico y abandona de inmediato sin usarlo, puede faltar el dolo.
• Uso excesivo pero inicialmente autorizado: un empleado con acceso legítimo que consulta un área fuera de su competencia puede plantear discusión sobre si hubo abuso de facultades o verdadero acceso no autorizado.
• Credenciales propias y acceso permitido: entrar con usuario y clave válidos no excluye el delito si el acceso está objetivamente prohibido, pero la ausencia de barrera o de prohibición clara complica la acusación.
• Pruebas de seguridad autorizadas: auditorías, pentesting o revisiones técnicas pueden ser lícitas si existe autorización real y alcance definido.

La frontera entre una irregularidad y un delito depende mucho de los hechos: qué sistema era, quién dio permiso, si había advertencias, qué medidas de seguridad existían, qué hizo exactamente la persona y con qué finalidad.

Diferencias con delitos parecidos

El acceso no autorizado puede confundirse con otras figuras penales de la misma materia. La diferencia práctica suele estar en la conducta concreta y en el resultado perseguido.

La misma conducta puede encajar en más de una figura si hay varios actos diferenciados. Por ejemplo, acceder sin permiso a un correo corporativo y luego descargar datos sensibles puede hacer concurrir el acceso no autorizado con delitos relativos a secretos, según el contenido y la finalidad de lo obtenido.

Qué se entiende por sistema informático

En el uso jurídico y técnico, el concepto de sistema informático es amplio. Puede incluir servidores, ordenadores, bases de datos, cuentas en la nube, dispositivos móviles, redes internas, paneles de control, plataformas empresariales y otros entornos que procesan o almacenan información. No hace falta que sea una gran infraestructura; una cuenta protegida con credenciales también puede formar parte de un sistema de información.

La relevancia penal no depende del tamaño del sistema, sino de que exista una estructura tecnológica susceptible de acceso restringido. Por eso, las cuentas de correo, los accesos VPN, los paneles administrativos o las carpetas compartidas con control de permisos pueden quedar comprendidos.

Pruebas que suelen ser relevantes

En un procedimiento penal de este tipo, la prueba técnica suele ser decisiva. Normalmente se analizan registros de acceso, trazas de actividad, direcciones IP, horarios, logs de servidor, correos de alerta, capturas de pantalla, mensajes internos, informes periciales y documentación sobre la política de seguridad o los permisos concedidos.

También puede ser importante acreditar:

• quién era el titular o responsable del sistema;
• qué permisos tenía la persona investigada;
• si existían medidas de autenticación o bloqueo;
• si hubo avisos previos de prohibición o retirada de acceso;
• si se descargaron, copiaron o modificaron datos tras el acceso.

La prueba digital exige especial cuidado. La simple sospecha de que “alguien entró” no basta por sí sola: hace falta vincular técnicamente la acción con una persona concreta y sostener la cadena de custodia de los datos electrónicos analizados.

Factores que suelen agravar o complicar el caso

Sin entrar en automatismos, algunos elementos vuelven el asunto más delicado desde el punto de vista penal y procesal:

• Datos sensibles o reservados, especialmente si afectan a intimidad, salud, vida privada o información empresarial estratégica.
• Pluralidad de accesos o persistencia prolongada en el sistema.
• Finalidad lucrativa o de espionaje.
• Uso de herramientas de ocultación, suplantación o técnicas para dificultar el rastreo.
• Acceso a infraestructuras críticas o servicios esenciales, cuando la afectación del sistema tiene especial trascendencia.

La pena concreta dependerá del tipo aplicado, de la concurrencia con otros delitos y de las circunstancias del caso. En determinadas situaciones puede haber también responsabilidad civil por daños y perjuicios, además de la penal.

Acceso de empleados, exempleados y colaboradores

Uno de los problemas más frecuentes aparece en el ámbito laboral o mercantil. Quien tuvo acceso legítimo a un sistema por razón de su trabajo no mantiene un permiso ilimitado. Si el acceso se conserva tras el cese, se amplía a áreas no autorizadas o se utiliza para fines ajenos al encargo, puede surgir responsabilidad penal.

Conviene distinguir tres escenarios:

• Acceso legítimo dentro del puesto: uso normal de herramientas y recursos asignados.
• Exceso de autorización: entrada en módulos, carpetas o información a la que no se tenía acceso por función o nivel.
• Acceso posterior al cese: utilización de credenciales que debieron quedar desactivadas o que se conservan indebidamente.

En empresas y administraciones, las políticas de permisos, el alta y baja de usuarios y la trazabilidad de accesos resultan esenciales para delimitar si existió o no autorización. La ausencia de protocolos claros puede dificultar la prueba, aunque no borra por sí sola la ilicitud.

Relación con la protección de datos y la responsabilidad civil

Un acceso no autorizado no solo puede tener consecuencias penales. Si se obtienen o tratan datos personales sin base legítima, también pueden surgir problemas en materia de protección de datos, especialmente cuando la información es sensible o se difunde a terceros. Esa vía, no obstante, sigue su propio régimen y no sustituye al análisis penal.

la víctima puede reclamar los daños derivados del acceso, como costes de recuperación, interrupción del servicio, pérdida de información, daño reputacional o perjuicios económicos. La reclamación concreta dependerá del caso y de la prueba disponible.

Cómo suele enfocarse jurídicamente una denuncia o defensa

Cuando se plantea un caso de acceso no autorizado, el análisis jurídico suele girar en torno a preguntas muy concretas:

• ¿existía un sistema protegido y una restricción de acceso real?
• ¿la persona tenía permiso expreso, implícito o revocado?
• ¿se superó una medida de seguridad o se usaron credenciales ajenas?
• ¿hubo mera visualización accidental o una exploración consciente?
• ¿se accedió con finalidad de obtener información, usarla o facilitarla a terceros?
• ¿hay logs, periciales o documentos que permitan identificar con seguridad al autor?

Desde la defensa, suelen discutirse la ausencia de dolo, la inexistencia de una verdadera restricción, los fallos técnicos, la falta de acreditación de la autoría o el hecho de que el acceso estuviera cubierto por una autorización previa. Desde la acusación, normalmente se enfatiza la trazabilidad técnica, la superación de credenciales, la prohibición expresa y la extracción o uso posterior de la información.

Tabla práctica de situaciones frecuentes

Aspectos procesales que suelen aparecer

En esta clase de delitos, la rapidez para conservar pruebas digitales suele ser crucial. Los registros pueden borrarse, sobrescribirse o perder valor probatorio con el paso del tiempo. También puede ser necesario preservar dispositivos, correos, copias de seguridad o sistemas de autenticación.

La forma de iniciar el procedimiento dependerá del caso concreto y de la estrategia procesal. En España, las denuncias pueden interponerse ante la policía, ante el juzgado o por los cauces que correspondan, pero la forma exacta de actuación y la utilidad de cada vía conviene valorarlas según los hechos y la urgencia de asegurar la prueba.

Cuando el acceso no autorizado va unido a otras conductas, como el robo de información, la alteración de datos o el fraude, el procedimiento puede complejizarse y requerir informes periciales especializados en informática forense.

Qué conviene tener presente en casos reales

La clave jurídica no suele estar solo en si hubo “entrada”, sino en cómo se produjo, qué permisos existían, qué información se obtuvo y qué finalidad tenía la conducta. También importa si el acceso se limitó a una visualización accidental o si implicó navegación, copia, descarga o permanencia en el sistema.

En España, el acceso no autorizado a sistemas informáticos es una figura penal pensada para proteger entornos digitales cada vez más presentes en la vida personal y profesional. Cuando existe una intromisión real en un sistema protegido, el análisis penal no depende solo de la tecnología usada, sino de la ausencia de permiso y de la prueba de esa intromisión.