Intercepción ilícita de datos o comunicaciones informáticas en España

La intercepción ilícita de datos o comunicaciones informáticas consiste, en términos generales, en captar, conocer, copiar o poner a disposición de otra persona información que se transmite entre dispositivos o dentro de un sistema informático sin autorización válida. En España puede constituir delito aunque la persona interceptada no llegue a conocer el contenido de la comunicación o aunque la información no se utilice posteriormente.

La calificación penal depende de cómo se obtuvieron los datos, de si estaban almacenados o circulaban en ese momento, de las medidas de seguridad existentes, de la autorización del titular y de la finalidad perseguida. No es lo mismo leer mensajes ajenos, acceder a una cuenta protegida, instalar un programa espía, capturar tráfico de una red wifi o interceptar una comunicación por orden judicial.

Marco legal aplicable en España

La protección parte del artículo 18.3 de la Constitución Española, que garantiza el secreto de las comunicaciones y, en especial, de las postales, telegráficas y telefónicas, salvo resolución judicial. También se protege el derecho a la intimidad del artículo 18.1 y la facultad de controlar el uso de los datos personales prevista en el artículo 18.4.

En el ámbito penal, las conductas más relevantes se encuentran en los artículos 197 y siguientes del Código Penal. Entre ellas destacan:

• La interceptación de comunicaciones o el uso de medios técnicos para escuchar, transmitir, grabar o reproducir sonidos, imágenes o comunicaciones, cuando se actúa para descubrir secretos o vulnerar la intimidad de otra persona.
• El acceso no autorizado a todo o parte de un sistema de información vulnerando las medidas de seguridad establecidas para impedirlo.
• La interceptación, mediante artificios o instrumentos técnicos, de transmisiones no públicas de datos informáticos que se produzcan desde, hacia o dentro de un sistema de información.
• La producción, adquisición, importación o facilitación de programas, contraseñas, códigos o herramientas diseñadas principalmente para cometer determinados delitos informáticos.

La normativa procesal penal regula, por su parte, en los artículos 588 bis y siguientes de la Ley de Enjuiciamiento Criminal, las medidas de investigación tecnológica, incluida la interceptación de comunicaciones telefónicas y telemáticas. Estas medidas requieren, como regla general, autorización judicial y deben respetar los principios de especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad.

Qué se entiende por intercepción de datos informáticos

El artículo 197 bis.2 del Código Penal sanciona la interceptación, sin autorización, de transmisiones no públicas de datos informáticos mediante artificios o instrumentos técnicos. La transmisión puede producirse desde un sistema, hacia él o dentro del propio sistema, e incluye las emisiones electromagnéticas que permitan captar la información.

La conducta puede abarcar, según las circunstancias, la captura de paquetes de datos en una red, la instalación de un programa que registra comunicaciones, la obtención de claves mientras se transmiten o la copia técnica de mensajes que circulan entre un dispositivo y un servidor. No es imprescindible que la víctima haya enviado voluntariamente la información al autor ni que este llegue a descifrarla por completo.

La referencia a transmisiones no públicas es importante. Una información publicada abiertamente en internet no tiene la misma protección que un mensaje privado, una videollamada, un correo electrónico dirigido a un destinatario concreto o los datos que circulan dentro de una red restringida. Sin embargo, que un dato sea técnicamente accesible no significa que pueda captarse legítimamente.

El uso de herramientas técnicas no convierte automáticamente cualquier conducta en delito. Debe analizarse si existía autorización, si la comunicación era privada, cómo se obtuvo la información, qué medidas se eludieron y si la conducta encaja en el tipo penal correspondiente. La valoración suele requerir conocimientos informáticos y, en muchos casos, un informe pericial.

Diferencia entre interceptar comunicaciones y acceder a datos almacenados

Estas figuras pueden concurrir cuando una misma actuación incluye varias fases. Por ejemplo, la instalación de un programa espía puede servir para entrar en un dispositivo, copiar información almacenada y capturar comunicaciones futuras. La responsabilidad final dependerá de los hechos probados y de las reglas sobre concurso de delitos.

Cuándo puede existir responsabilidad penal

La ausencia de autorización es un elemento central. La autorización debe proceder de quien tenga legitimidad para concederla y debe cubrir realmente la actuación realizada. Ser propietario del dispositivo no siempre equivale a poder acceder a las comunicaciones privadas de otra persona que lo utiliza. Del mismo modo, conocer una contraseña no demuestra por sí solo que exista permiso para examinar o interceptar todos los datos.

También suele ser relevante la existencia de medidas de seguridad. En el acceso ilícito a sistemas, el Código Penal se refiere a la vulneración de las medidas establecidas para impedir el acceso. Pueden ser contraseñas, sistemas de autenticación, restricciones de permisos, cifrado u otros controles técnicos. La complejidad de la barrera no determina por sí sola la existencia del delito, pero sí puede ayudar a demostrar que se trataba de un espacio reservado.

En los delitos relacionados con el descubrimiento de secretos, normalmente se examina además la finalidad de conocer secretos o vulnerar la intimidad. La difusión posterior, la entrega a terceros o el uso perjudicial de la información pueden agravar la situación o dar lugar a responsabilidades adicionales.

La conducta puede ser delictiva aunque no exista una finalidad económica. El motivo puede ser la curiosidad, los celos, el control de una pareja, un conflicto laboral, la obtención de ventaja competitiva o la intención de perjudicar. La ausencia de lucro no elimina necesariamente la relevancia penal.

Interceptación realizada por empresas o responsables de sistemas

Las empresas pueden implantar controles de seguridad, registrar eventos técnicos y supervisar el uso de los recursos corporativos dentro de los límites legales. No obstante, esa facultad no autoriza de forma general a leer comunicaciones privadas ni a interceptar cualquier contenido de los trabajadores.

La legitimidad de una medida de control suele depender de factores como:

• La finalidad concreta de seguridad, prevención del fraude, continuidad del servicio o cumplimiento normativo.
• La información previa proporcionada a las personas usuarias mediante políticas claras.
• La necesidad y proporcionalidad de la medida.
• La diferencia entre revisar metadatos técnicos y acceder al contenido de mensajes.
• El ámbito laboral, el dispositivo utilizado y la expectativa razonable de privacidad.
• La existencia de indicios concretos frente a una vigilancia general e indiscriminada.

El consentimiento de un trabajador o usuario tampoco resuelve siempre la cuestión, especialmente cuando no es libre o cuando se utiliza para cubrir una actuación más amplia de la permitida. Además de las consecuencias penales, una monitorización desproporcionada puede plantear problemas laborales, de protección de datos y de validez de la prueba.

Interceptación autorizada por un juez

La interceptación de comunicaciones en una investigación penal puede acordarse judicialmente cuando concurren los requisitos previstos en la Ley de Enjuiciamiento Criminal. La autorización debe identificar la medida y estar suficientemente motivada, con delimitación de su alcance, duración, personas afectadas, sistemas o medios comprendidos y finalidad investigadora.

No basta con alegar que la medida sería útil. La autoridad judicial debe valorar si es idónea para obtener información relevante, necesaria porque no existan alternativas menos invasivas y proporcionada respecto de la gravedad del delito investigado y de la afectación de los derechos fundamentales.

Las actuaciones policiales de investigación tecnológica no tienen, por sí solas, el mismo efecto que una autorización judicial. La policía puede realizar determinadas diligencias dentro de sus competencias, pero la interceptación de comunicaciones privadas exige respetar las garantías legales. Si la medida se ejecuta fuera de sus límites, la defensa puede discutir la legalidad de la obtención de la prueba.

Las comunicaciones interceptadas legalmente deben incorporarse al procedimiento con las garantías correspondientes. La defensa puede cuestionar la existencia de autorización, su motivación, la cadena de custodia, la identificación de los interlocutores, la integridad de los archivos o la correspondencia entre la medida autorizada y lo que realmente se obtuvo.

Pruebas habituales en estos casos

La prueba puede proceder de registros de servidores, archivos de conexión, informes de proveedores, imágenes forenses de dispositivos, análisis de programas instalados, registros de autenticación, capturas de tráfico y declaraciones de las personas afectadas. La prueba digital necesita conservarse de forma que pueda acreditarse su autenticidad e integridad.

Una captura de pantalla puede ser útil como indicio, pero por sí sola no siempre demuestra quién realizó la actuación, desde qué dispositivo se produjo o si el contenido fue alterado. Pueden ser relevantes los archivos originales, sus metadatos, los registros del servicio, las fechas y horas, las direcciones IP, los identificadores de sesión y el análisis pericial.

Quien detecte una posible interceptación debería evitar borrar programas, reiniciar repetidamente los dispositivos o modificar los registros antes de obtener asesoramiento técnico. Conviene conservar los equipos y soportes relacionados, documentar cuándo se detectó el problema y guardar las comunicaciones recibidas sin reenviarlas innecesariamente.

No es recomendable responder accediendo a la cuenta o al dispositivo de la persona sospechosa. La llamada “venganza digital” puede generar nuevas responsabilidades penales y perjudicar la investigación.

Denuncia y actuación de la persona perjudicada

La persona afectada puede poner los hechos en conocimiento de las fuerzas y cuerpos de seguridad, del juzgado competente o del Ministerio Fiscal, según las circunstancias y los canales disponibles. También puede presentar una denuncia o querella con asistencia jurídica cuando sea conveniente ejercer una acusación más amplia o reclamar responsabilidad civil.

La exposición debe describir hechos concretos: qué comunicación o dato se habría interceptado, cuándo ocurrió, qué dispositivo o cuenta estaba implicado, por qué se considera que no existía autorización, qué indicios existen y qué daños se han producido. Las afirmaciones genéricas sobre “espionaje” suelen ser insuficientes si no se acompañan de elementos verificables.

Si la información afectada contiene datos personales, puede existir además una cuestión sometida al Reglamento General de Protección de Datos y a la Ley Orgánica 3/2018. Esa vía puede tener relevancia administrativa o indemnizatoria, pero no sustituye al análisis penal cuando los hechos pueden constituir delito.

Consecuencias penales posibles

Las penas varían según el precepto aplicado y las circunstancias. La interceptación de transmisiones no públicas prevista en el artículo 197 bis.2 puede castigarse con prisión o multa dentro de los límites establecidos por el Código Penal. El acceso ilícito a sistemas y las conductas de descubrimiento de secretos tienen sus propias penas, que pueden aumentar si existe difusión, afectación a un número elevado de personas, relación especialmente relevante con la víctima, ánimo de lucro u otras circunstancias previstas legalmente.

También puede existir responsabilidad civil por los daños materiales y morales causados. La publicación de datos privados, la utilización de información obtenida ilícitamente o la afectación de la reputación pueden generar reclamaciones adicionales, cuya procedencia y cuantía dependen de la prueba disponible y de la vía ejercitada.

Problemas frecuentes de calificación

• Confundir acceso con interceptación: descargar un archivo ya almacenado no es exactamente lo mismo que capturar una transmisión en curso.
• Considerar pública una red por el hecho de ser accesible: una red wifi abierta puede seguir transmitiendo comunicaciones privadas.
• Suponer que ser titular del dispositivo permite leerlo todo: la propiedad del equipo no elimina automáticamente la intimidad de sus usuarios.
• Usar herramientas de auditoría sin autorización: una herramienta legítima de seguridad puede utilizarse ilícitamente si se emplea sobre sistemas ajenos.
• Obtener pruebas mediante nuevas intrusiones: investigar por cuenta propia accediendo a cuentas ajenas puede contaminar el caso y generar otro delito.
• Ignorar la dimensión transfronteriza: si los servidores, proveedores o autores se encuentran en distintos países, la obtención de pruebas puede requerir mecanismos de cooperación judicial internacional.

Qué debe analizarse en cada caso

Para valorar si existe una interceptación ilícita conviene concretar qué dato se obtuvo, durante qué fase, mediante qué técnica, desde qué sistema, con qué autorización y con qué finalidad. También deben revisarse las medidas de seguridad, la relación entre las personas implicadas, las políticas de uso aplicables y el modo en que se preservó la evidencia.

Cuando hay dispositivos comprometidos, cuentas manipuladas o programas de vigilancia, la evaluación jurídica debe coordinarse con una preservación forense adecuada. El análisis técnico puede determinar si realmente hubo captura de comunicaciones, si solo existió un acceso posterior a datos almacenados o si las evidencias son compatibles con una intrusión distinta de la inicialmente sospechada.