Delitos informáticos en Perú: qué conductas sanciona la Ley 30096

En el Perú, los delitos informáticos son conductas que afectan sistemas, datos, redes o información mediante el uso de tecnologías digitales, y que el ordenamiento sanciona principalmente a través de la Ley N.° 30096, Ley de Delitos Informáticos, junto con las reglas generales del Código Penal y la normativa procesal aplicable. Su finalidad es proteger bienes jurídicos como la confidencialidad de los datos, la integridad de la información, la disponibilidad de los sistemas y, en muchos casos, el patrimonio de las personas o empresas afectadas.

La relevancia práctica de esta materia es alta porque no todo conflicto digital es un delito, ni toda mala práctica tecnológica genera responsabilidad penal. Para que una conducta sea sancionable, debe encajar en un tipo penal concreto y cumplirse las exigencias propias del derecho penal: conducta típica, antijurídica y culpable. En la práctica, eso obliga a distinguir entre un simple incumplimiento contractual, una infracción administrativa, un conflicto civil y un verdadero hecho delictivo.

Qué regula la Ley 30096 en el Perú

La Ley 30096 establece un conjunto de delitos vinculados con el uso indebido de sistemas informáticos, datos y tecnologías de la información. No se limita al acceso no autorizado a una computadora; también comprende conductas como la interceptación de datos, el atentado contra la integridad de sistemas, el fraude informático, el abuso de mecanismos de autenticación y la difusión de contenido vinculado a delitos informáticos, según los supuestos descritos por la ley.

La norma funciona como una respuesta penal frente a ataques digitales que pueden causar daños patrimoniales o afectar la seguridad de información sensible. En ese sentido, el derecho penal peruano no castiga la tecnología en sí misma, sino el uso doloso o culposo, según corresponda, de medios informáticos para lesionar intereses protegidos por la ley.

Conductas que sanciona la ley

La Ley 30096 contempla varias figuras típicas. Aunque la forma exacta de cada tipo penal debe revisarse en el texto vigente y sus modificaciones, en términos prácticos suelen abarcar estas conductas:

• Acceso ilícito a todo o parte de un sistema informático sin autorización o excediendo la autorización concedida.
• Atentado contra la integridad de datos, cuando se alteran, borran, deterioran o suprimen datos informáticos de forma indebida.
• Atentado contra la integridad del sistema, cuando se obstaculiza, interfiere o afecta el funcionamiento normal de un sistema informático.
• Interceptación de datos informáticos, cuando se captan datos durante su transmisión sin contar con autorización.
• Fraude informático, cuando se manipulan datos o sistemas para obtener un beneficio económico indebido y causar perjuicio a otro.
• Suplantación de identidad o abuso de mecanismos de autenticación, según el supuesto previsto por la ley y su relación con el acceso o uso ilícito de credenciales.
• Abuso de dispositivos, programas o contraseñas destinados a cometer delitos informáticos, cuando la ley lo tipifica de manera autónoma.

En algunos casos, la conducta digital también puede encajar en otros delitos del Código Penal, como estafa, extorsión, falsedad o violación de la intimidad, dependiendo del modo de ejecución y del bien jurídico lesionado. Por eso, la calificación jurídica no siempre se agota en la Ley 30096.

Tabla comparativa de las principales figuras

Cuándo una conducta puede ser delito y cuándo no

No toda intrusión tecnológica configura delito. En Perú, la aplicación penal exige revisar varios elementos. Primero, debe existir una conducta que encaje en el tipo penal. Segundo, debe haber ausencia de autorización o un exceso de la autorización otorgada, cuando esa falta sea parte del tipo. Tercero, la actuación debe realizarse con el grado de dolo o culpa que la norma requiera. Cuarto, debe existir afectación del bien jurídico protegido o, al menos, la creación del riesgo que el tipo penal describe.

Un ejemplo frecuente es el acceso a una cuenta por parte de una persona que conocía la contraseña porque se la entregó voluntariamente el titular. Si hubo autorización real, puede no existir delito; en cambio, si la contraseña fue obtenida de forma engañosa, forzada o sin consentimiento, la situación cambia por completo. También puede suceder que una falla técnica permita acceder a información, pero sin intervención dolosa de un tercero: en ese caso, podría tratarse de un problema de seguridad o de responsabilidad contractual, pero no necesariamente de un delito.

Diferencias con figuras parecidas dentro del mismo ámbito

En la práctica, varias conductas digitales se confunden entre sí. Una diferencia importante está entre acceso ilícito y fraude informático. En el acceso ilícito, lo central es la entrada no autorizada al sistema o a la información. En el fraude informático, en cambio, lo decisivo es la manipulación del sistema o de los datos para lograr un beneficio económico indebido o causar un perjuicio patrimonial.

También conviene distinguir la interceptación de datos del acceso ilícito. La interceptación se concentra en captar datos durante su transmisión, como ocurre cuando se capturan comunicaciones entre dispositivos o usuarios. El acceso ilícito, por su parte, se refiere al ingreso no autorizado a un sistema, cuenta o base de datos. Puede haber coincidencia entre ambas conductas, pero no son lo mismo jurídicamente.

Otro caso habitual es el de la suplantación de identidad. En algunos hechos, la suplantación puede servir como medio para acceder ilícitamente a una cuenta, engañar a terceros o cometer estafas. La tipificación final dependerá del modo concreto de ejecución y del perjuicio causado. No siempre una identidad falsa en redes sociales constituye delito penal; puede ser una infracción a políticas de plataforma, un problema civil o, si se usa para defraudar o vulnerar derechos, una conducta penalmente relevante.

Qué suele probarse en una investigación penal

En los casos de delitos informáticos, la prueba es uno de los puntos más sensibles. No basta con sospechar que alguien “tuvo acceso” o que una cuenta fue comprometida. Normalmente se requiere reconstruir técnicamente el origen del hecho, el momento del acceso, el dispositivo o dirección desde la que se ejecutó la conducta, la relación entre usuarios, la trazabilidad de credenciales y los efectos producidos en los sistemas o datos.

Por eso, suelen ser relevantes elementos como registros de actividad, bitácoras de acceso, historial de navegación, trazas de red, correos, capturas de pantalla, mensajes, archivos, reportes de incidentes y pericias informáticas. Su valor dependerá de cómo se obtuvieron, de su integridad y de si permiten vincular al investigado con la acción atribuida. En delitos digitales, la cadena de custodia y la preservación de evidencia digital son especialmente importantes.

También puede ser necesario acreditar el perjuicio o el riesgo generado. En algunos supuestos, el resultado económico será claro, como una transferencia indebida. En otros, el daño puede consistir en la pérdida de disponibilidad de un servicio, la alteración de datos sensibles o la exposición de información confidencial. La forma de demostrarlo depende del caso concreto.

Problemas frecuentes en estos casos

• Confusión entre usuario y autor: que una cuenta aparezca asociada a una persona no prueba por sí solo que esa persona haya realizado el acto.
• Uso compartido de dispositivos: equipos familiares, laborales o públicos complican la identificación del responsable.
• Credenciales filtradas o robadas: el uso de una contraseña ajena no siempre revela quién la obtuvo, pero sí puede ser parte del delito.
• Falta de preservación de evidencia: borrar correos, chats o registros puede debilitar tanto la acusación como la defensa.
• Calificación jurídica incorrecta: un mismo hecho puede ser presentado como estafa, acceso ilícito o violación de datos, y la calificación correcta exige análisis técnico-jurídico.

Relación con el patrimonio, la privacidad y la empresa

Muchos delitos informáticos no se limitan al ámbito tecnológico. Cuando el objetivo es económico, el bien jurídico lesionado suele ser el patrimonio. Cuando el núcleo del hecho es la revelación o captación indebida de información, entran en juego la privacidad, la confidencialidad y la seguridad de los datos. Si el afectado es una empresa, también pueden verse comprometidos secretos comerciales, información estratégica, comunicaciones internas y continuidad operativa.

En entornos corporativos, las consecuencias pueden ser amplias: interrupción de servicios, pérdida de información crítica, afectación reputacional y exposición de datos de clientes o trabajadores. La respuesta jurídica no siempre será solo penal. Puede coexistir con medidas laborales, contractuales, civiles, administrativas o regulatorias, según el caso y la naturaleza de la información comprometida.

Responsabilidad de personas naturales y de quienes administran sistemas

La responsabilidad penal recae en personas naturales. Sin embargo, en la práctica, un hecho informático puede involucrar a administradores de sistemas, trabajadores con acceso legítimo, proveedores externos o terceros que colaboran en la ejecución. El hecho de tener permisos de acceso no excluye automáticamente el delito si se usa esa autorización para fines distintos de los permitidos o se exceden sus límites.

También puede discutirse la responsabilidad de quien facilita contraseñas, credenciales, herramientas o instrucciones para vulnerar sistemas, siempre que su conducta encaje en alguna figura típica. La sola omisión de una medida de seguridad no equivale por sí misma a delito, salvo que exista un deber concreto y una conducta penalmente relevante en el marco legal aplicable.

Aspectos procesales que suelen aparecer

La investigación de delitos informáticos en el Perú suele requerir intervención fiscal y diligencias técnicas especializadas. La autoridad puede necesitar requerimientos de información, preservación de datos y análisis pericial para identificar dispositivos, cuentas o flujos de información. Dado que la evidencia digital puede alterarse con facilidad, el tiempo de reacción es importante, aunque los plazos exactos y las medidas disponibles dependen del caso y de la calificación jurídica realizada por el Ministerio Público y el Poder Judicial.

En algunos supuestos, la víctima necesita actuar con rapidez para conservar registros, respaldos y mensajes, porque ciertas plataformas eliminan información tras un tiempo o limitan el acceso a historiales. La ausencia de respaldo no impide denunciar, pero sí puede complicar la acreditación de los hechos.

Qué suele hacer una persona afectada por un posible delito informático

Cuando una persona sospecha que fue víctima de un delito informático, lo prudente es preservar la evidencia y evitar manipularla innecesariamente. Conviene conservar capturas, correos, mensajes, nombres de usuario, horarios, montos, enlaces y cualquier dato técnico útil. Si hubo perjuicio patrimonial, también es importante guardar constancias de operaciones, movimientos bancarios o reportes de transacciones.

Si el problema involucra una empresa, resulta útil identificar qué sistemas fueron afectados, qué usuarios tenían acceso, qué registros de actividad existen y si hubo cambios recientes en credenciales o permisos. La respuesta institucional suele requerir coordinación entre áreas técnicas, legales y de seguridad de la información. Eso no reemplaza la denuncia penal cuando el hecho reviste relevancia delictiva, pero ayuda a ordenar la información y evitar pérdida de evidencia.

Conductas que suelen generar dudas y cómo se analizan

Relación con otras normas peruanas

La Ley 30096 no opera sola. Su aplicación se complementa con el Código Penal, las reglas de investigación y prueba del proceso penal y, en ciertos casos, con normas de protección de datos personales, telecomunicaciones, consumo o contratación. La existencia de estas otras normas no convierte automáticamente un incidente digital en delito, pero sí puede influir en la valoración del caso y en las acciones disponibles.

Por ejemplo, una filtración de datos puede generar obligaciones administrativas o civiles además de, eventualmente, una investigación penal si hubo acceso ilícito, interceptación, manipulación o difusión dolosa. Del mismo modo, un problema de seguridad informática mal gestionado puede dar lugar a responsabilidades distintas sin que exista necesariamente una conducta penal.

Qué debe tenerse presente sobre las penas y la gravedad del hecho

Las sanciones previstas por la Ley 30096 varían según el delito concreto, la entidad del daño, la existencia de agravantes y otros factores previstos por la ley. No todas las figuras reciben la misma respuesta penal. En algunos supuestos, la pena puede aumentar si la víctima es una entidad pública, si la conducta afecta servicios esenciales, si se utiliza un sistema especialmente protegido o si el autor actúa con determinadas circunstancias agravantes expresamente previstas.

Por ese motivo, no basta con afirmar que hubo un “hackeo” para saber la consecuencia jurídica. El análisis real exige determinar qué se hizo, contra qué sistema o dato, con qué medio, con qué finalidad y qué impacto produjo. Sin esa precisión, es fácil sobredimensionar o minimizar el hecho.

Errores frecuentes al denunciar o defender un caso

• Describir el hecho de forma genérica sin identificar qué sistema, cuenta o dato fue afectado.
• No conservar evidencia digital en su estado original.
• Confundir una filtración por negligencia con una intrusión dolosa.
• Imputar automáticamente a la última persona que tuvo acceso al sistema.
• No diferenciar entre un problema técnico, un incumplimiento interno y un hecho penal.

Un enfoque correcto exige reconstruir el evento digital con precisión, porque el lenguaje cotidiano suele hablar de “robo de cuentas”, “hackeo” o “virus” de forma amplia, mientras que el derecho penal necesita hechos concretos y verificables. En Perú, esa precisión es la que permite saber si la Ley 30096 realmente se aplica y, si es así, cuál de sus figuras corresponde al caso.