Delitos informáticos en Chile: qué conductas castiga la Ley 21.459

En Chile, los delitos informáticos se regulan principalmente por la Ley N.° 21.459, conocida como Ley de Delitos Informáticos, que modernizó la respuesta penal frente a conductas cometidas mediante sistemas informáticos, redes, datos y plataformas digitales. Su importancia práctica es alta porque hoy una intrusión, una alteración de datos, un sabotaje digital o el uso indebido de credenciales puede afectar desde cuentas personales hasta servicios esenciales de una empresa o institución pública.

La lógica de la ley no se limita a castigar el “hackeo” en sentido amplio. El marco chileno distingue varias conductas específicas, con elementos propios, y exige analizar con cuidado si hubo acceso indebido, interferencia en datos, afectación de sistemas, uso fraudulento de credenciales o difusión de información obtenida ilícitamente. No toda falla técnica, error de configuración o conflicto contractual en una plataforma configura delito.

Qué protege la Ley 21.459

La ley protege principalmente la confidencialidad, integridad y disponibilidad de los sistemas informáticos y de los datos que circulan en ellos. En términos simples:

• Confidencialidad: que la información no sea accedida por quien no está autorizado.
• Integridad: que los datos no sean alterados, borrados o manipulados indebidamente.
• Disponibilidad: que los sistemas y servicios funcionen y puedan ser usados por sus titulares o usuarios autorizados.

También se castigan conductas relacionadas con el uso indebido de herramientas, credenciales o datos, especialmente cuando sirven para cometer intrusiones o fraudes informáticos.

Conductas que castiga la ley

La Ley 21.459 contempla varias figuras penales. No todas se parecen entre sí, y la diferencia entre una y otra suele depender de cómo se obtuvo el acceso, qué daño se produjo y qué intención existía al actuar.

Acceso ilícito a un sistema informático

Se configura cuando una persona accede sin autorización a un sistema informático, o se mantiene en él contra la voluntad de quien tiene derecho a controlarlo. La idea central es la ingresión indebida a sistemas protegidos.

Ejemplos frecuentes:

• Entrar a una cuenta corporativa usando una contraseña obtenida sin permiso.
• Ingresar a un servidor ajeno aprovechando una vulnerabilidad sin autorización.
• Acceder a una plataforma restringida para leer información reservada.

No se requiere necesariamente que el intruso modifique datos o cause un daño visible; el acceso no autorizado ya puede ser punible, según las circunstancias y el tipo penal aplicable.

Interceptación ilícita de datos

Castiga captar, observar o interceptar datos informáticos en tránsito sin autorización. La conducta apunta a la captación indebida de comunicaciones o transmisiones de datos.

Puede darse, por ejemplo, mediante:

• Captura de tráfico de red.
• Escucha de comunicaciones digitales protegidas.
• Uso de herramientas para obtener información que circula entre dispositivos o servidores.

La clave está en que la interceptación ocurra sin consentimiento y sobre datos que no debían ser conocidos por el autor.

Ataque a la integridad de datos

Esta figura sanciona alterar, borrar, dañar, deteriorar, suprimir o inutilizar datos informáticos de manera indebida. Es una de las conductas más relevantes porque afecta directamente la confiabilidad de la información.

Puede manifestarse en:

• Borrar bases de datos.
• Modificar registros para alterar saldos, identidades o historiales.
• Corromper archivos para impedir su uso.
• Instalar código que cambie o destruya información.

Para la punibilidad importa tanto el acto material como la intención de interferir con los datos. El perjuicio económico no siempre es imprescindible para que exista delito, aunque sí influye en la gravedad del caso.

Ataque a la integridad de un sistema informático

Se refiere a interferir gravemente con el funcionamiento de un sistema, impidiendo o dificultando su operación normal. Aquí no solo se protege la información, sino también la capacidad operativa del sistema.

Ejemplos típicos:

• Lanzar una sobrecarga masiva para dejar fuera de servicio una plataforma.
• Introducir malware que bloquee procesos o servidores.
• Inhabilitar un servicio digital esencial para usuarios o trabajadores.

En la práctica, esta figura se relaciona con ataques de denegación de servicio, sabotaje digital y otras interferencias graves.

Abuso de dispositivos, programas o datos para delinquir

La ley también castiga la tenencia, fabricación, adquisición, venta, distribución o puesta a disposición de herramientas o credenciales destinadas a cometer delitos informáticos, cuando exista finalidad delictiva o conocimiento del uso que se les dará.

Esto puede abarcar:

• Programas diseñados para vulnerar sistemas.
• Contraseñas, accesos o credenciales robadas.
• Instrumentos orientados a interceptar datos o evadir seguridades.

La regulación busca impedir no solo el ataque consumado, sino también la preparación instrumental de ciertas conductas informáticas.

Falsificación informática

Se sanciona cuando una persona manipula datos de forma que produzca información falsa con efectos jurídicos, económicos o probatorios, o bien cuando utiliza mecanismos informáticos para generar alteraciones equivalentes a una falsificación.

Es una figura importante porque muchas maniobras digitales no consisten en “romper” un sistema, sino en alterar la verdad del dato que luego produce consecuencias reales.

Ejemplos posibles:

• Modificar registros para aparentar un pago inexistente.
• Alterar un documento digital para simular una autorización.
• Crear o cambiar datos en un sistema para inducir a error sobre una operación.

Fraude informático

El fraude informático sanciona la obtención de un beneficio patrimonial mediante manipulación de datos o sistemas, provocando un perjuicio patrimonial ajeno. Se parece al fraude tradicional, pero el medio comisivo es digital.

Puede ocurrir, por ejemplo, cuando alguien:

• Manipula una transferencia electrónica para desviar fondos.
• Usa credenciales ajenas para realizar compras o pagos.
• Alterar instrucciones de pago o datos de cuenta para recibir dinero indebidamente.

En estas situaciones suele ser decisivo probar el engaño digital, la intervención sobre los datos o el sistema, el beneficio económico y el perjuicio para la víctima.

Receptación, difusión o utilización de datos obtenidos ilícitamente

La ley también contempla supuestos vinculados con el uso posterior de información obtenida por medios ilícitos. No solo se sanciona al autor directo del ataque, sino también a quien participa en la cadena de aprovechamiento indebido cuando concurren los elementos exigidos por la ley.

Esto es relevante en casos de:

• Comercialización de bases de datos robadas.
• Uso de accesos sustraídos para cometer nuevas conductas.
• Difusión de información obtenida mediante intrusión o interceptación ilícita.

Cuándo aplica y qué se necesita para que exista delito

En Chile, no basta con que haya una incidencia técnica o un uso discutible de una plataforma. Para que exista responsabilidad penal normalmente deben concurrir varios elementos:

• Una conducta típica: acceso, interceptación, alteración, sabotaje, fraude, etc.
• Falta de autorización o exceso respecto de la autorización conferida.
• Intención o dolo, según la figura aplicable.
• Relación causal entre la acción y el resultado o riesgo punible.

Un punto sensible es el de las autorizaciones. En entornos empresariales, académicos o estatales puede existir permiso para auditar, administrar o probar sistemas. Si la persona actúa dentro del marco autorizado, no debería hablarse de delito. En cambio, si excede expresamente los límites del encargo, puede entrar en terreno penal.

También importa el contexto: no es lo mismo una prueba de seguridad interna con autorización expresa que un acceso externo orientado a obtener datos reservados o a interrumpir servicios.

Diferencias con conductas parecidas

En la práctica, los delitos informáticos suelen confundirse con otras figuras penales o con conflictos civiles y laborales. Distinguirlos evita errores al denunciar o al defenderse.

También puede haber confusión con delitos como la estafa, la apropiación indebida, la violación de secretos o la infracción a normas de protección de datos. La diferencia depende del mecanismo usado, del objeto afectado y del tipo de perjuicio producido.

Agravantes y factores que pueden aumentar la gravedad

La ley contempla supuestos más graves cuando la conducta afecta sistemas o datos de especial relevancia, o cuando se comete en ciertos contextos que elevan el daño social. Sin entrar en cifras cerradas, que dependen de la figura concreta y de la calificación penal del caso, suelen agravar la situación factores como:

• La afectación de servicios esenciales o de infraestructura crítica.
• El perjuicio masivo o de gran alcance.
• La reiteración o actuación en grupo.
• El uso de medios especialmente diseñados para ocultar la identidad o facilitar el ataque.
• La afectación de datos sensibles o especialmente protegidos.

En entornos corporativos, además, la existencia de respaldo, control de accesos, registros de auditoría y protocolos de seguridad suele ser determinante para medir el alcance del hecho y reconstruir lo ocurrido.

Cómo suele abordarse una denuncia o investigación

Cuando una persona o empresa detecta una intrusión, fuga de datos o fraude digital, lo más importante es conservar la evidencia y evitar alteraciones innecesarias. En Chile, la investigación penal de estos hechos puede requerir trazabilidad técnica, análisis de logs, peritajes y colaboración de proveedores o administradores de sistemas.

De forma práctica, suelen ser relevantes:

• Capturas de pantalla y registros de actividad.
• Correos, mensajes o trazas de autenticación.
• Respaldo de bases de datos o archivos afectados.
• Información sobre fechas, horas y usuarios involucrados.
• Antecedentes de acceso autorizado o no autorizado.

La denuncia puede presentarse ante la autoridad competente, y la investigación quedará sujeta al Ministerio Público y a las diligencias que se ordenen. No existe una fórmula única para todos los casos, porque la necesidad de peritajes y la forma de acreditar el hecho varían mucho según el tipo de delito informático.

Problemas frecuentes en casos de delitos informáticos

Uno de los principales problemas es distinguir entre incidente de ciberseguridad y hecho punible. Un ataque frustrado, una tentativa de acceso o una fuga accidental pueden tener relevancia técnica o contractual, pero no siempre alcanzan el estándar penal.

Otro problema frecuente es la identificación del autor. En entornos digitales puede haber:

• Uso de IPs compartidas.
• Suplantación de identidad.
• Accesos desde dispositivos comprometidos.
• Participación de terceros o cuentas intermedias.

También es común que la víctima no tenga claridad sobre si sufrió una intrusión, una manipulación interna o un simple error administrativo. Esa diferencia importa mucho, porque una mala configuración o una falla operacional no equivale automáticamente a delito.

Relación con empresas, trabajadores y excolaboradores

En el ámbito laboral y empresarial, gran parte de los conflictos se produce por el uso de credenciales, accesos remotos y bases de datos después del término de una relación contractual. En esos casos, la licitud del acceso depende de si la autorización seguía vigente y de si la persona actuó dentro de sus atribuciones.

Por ejemplo:

• Si un trabajador sigue usando una cuenta corporativa después de su desvinculación, puede haber acceso ilícito.
• Si un administrador conserva accesos para respaldar información, pero accede a datos ajenos a su función, la conducta puede superar el permiso otorgado.
• Si un exproveedor descarga bases de datos para conservarlas o transferirlas a terceros, la situación puede tener relevancia penal además de civil o contractual.

Qué pasa si la conducta también afecta datos personales

Cuando el hecho involucra bases de datos con información personal, pueden coexistir consecuencias penales y administrativas o civiles, según el caso. La Ley 21.459 no reemplaza otras normas sobre protección de datos, secretos comerciales o responsabilidad por daños. La respuesta jurídica puede ser múltiple, especialmente si hubo filtración, uso indebido o divulgación de información reservada.

En esos escenarios conviene analizar por separado:

• Si hubo delito informático.
• Si se vulneraron obligaciones de confidencialidad.
• Si existe responsabilidad por daño patrimonial o moral.
• Si la información afectada tiene protección especial por su naturaleza.

Aspectos prácticos para identificar una posible figura penal

La siguiente tabla ayuda a ordenar criterios frecuentes de análisis, sin sustituir la revisión concreta del caso:

Qué no conviene asumir de inmediato

No toda filtración es automáticamente un delito informático consumado. Tampoco todo ataque digital termina en condena: la prueba técnica, la identificación del responsable, el alcance de la autorización y el nexo entre conducta y daño son decisivos. Del mismo modo, un conflicto por uso de correo corporativo, claves compartidas o documentos internos puede tener aristas penales, pero también laborales, contractuales o de protección de la información.

En Chile, la Ley 21.459 exige mirar con precisión el hecho concreto. La calificación jurídica cambia si hubo acceso, interceptación, manipulación, sabotaje, fraude o simple tenencia de herramientas. Esa clasificación es la que permite entender si la conducta cae dentro de los delitos informáticos o si debe resolverse por otra vía legal.