Violación de datos personales en Colombia como delito informático

La violación de datos personales como delito informático en Colombia combina normas del derecho penal y del régimen de protección de datos personales. Jurídicamente supone la afectación no autorizada de la confidencialidad, integridad o disponibilidad de información que identifica o puede identificar a una persona natural, cuando dicha afectación se produce mediante medios informáticos o implica sistemas tecnológicos.

Marco normativo relevante

Las principales normas que regulan la materia en Colombia son:

• Ley 1273 de 2009: introdujo en el Código Penal tipos penales relacionados con los delitos informáticos, orientados a proteger la confidencialidad, la integridad y la disponibilidad de datos y sistemas.
• Ley 1581 de 2012: régimen general de protección de datos personales (habeas data), que establece obligaciones del responsable y del encargado del tratamiento y criterios sobre seguridad de la información y derechos de los titulares.
• Decreto 1377 de 2013: reglamenta aspectos de la Ley 1581, en particular transiciones y medidas administrativas en el tratamiento de datos personales.
• Superintendencia de Industria y Comercio (SIC): autoridad administrativa encargada de vigilancia y aplicación de sanciones administrativas en materia de protección de datos personales.
• Fiscalía General de la Nación y el Cuerpo Técnico de Investigación (CTI): competentes para recibir denuncias y realizar investigaciones penales cuando existen indicios de delito informático o violación de datos que configure una conducta tipificada en el Código Penal.

¿Cuándo aplica la figura como delito informático?

Aplica cuando se cumplen dos condiciones básicas:

• Medio o técnica informática: la conducta se realiza mediante sistemas de información, redes, equipos, aplicaciones o cualquier herramienta tecnológica.
• Acto ilícito sobre datos personales: se accede, intercepta, copia, transmite, altera, borra, divulga o comercializa datos personales sin autorización o excediendo la autorización concedida por el titular.

Ejemplos típicos: obtención y venta de bases de datos personales mediante hackeo, publicación en internet de información privada obtenida vía acceso no autorizado, interceptación de comunicaciones que contienen datos personales, o eliminación masiva de registros que contienen información sensible.

Elementos jurídicos y requisitos habituales

Para que una conducta sea tratada como delito informático vinculado a violación de datos personales suelen requerirse los siguientes elementos:

• Acceso o interferencia no autorizada: ingreso a sistemas o áreas de datos sin permiso o por fuera de los límites de autorización.
• Intencionalidad: conducta dolosa del autor (intención de obtener, divulgar o dañar datos). En algunos tipos penales la conducta culposa puede tener relevancia, pero la tipificación penal habitualmente exige dolo.
• Objeto material protegido: datos personales o sistemas que almacenan dichos datos (bases de datos, servidores, estaciones de trabajo, dispositivos móviles).
• Resultado o potencial de daño: divulgación, pérdida, alteración, impedimento de acceso o comercialización de la información que afecta derechos de los titulares.

Datos sensibles

Cuando la información vulnerada es datos sensibles (salud, orientaciones sexuales, datos biométricos, etc.), la valoración del hecho suele ser más grave tanto en el plano administrativo como en el penal y civil, por el mayor potencial de daño a derechos fundamentales.

Diferencias con figuras afines dentro de delitos informáticos

Es importante distinguir entre varias tipologías que suelen confundirse:

• Acceso no autorizado (hacking): conducta dirigida al ingreso a un sistema; puede no implicar extraer datos pero abre la puerta a otros delitos.
• Intercepción de comunicaciones: captura de mensajes o llamadas; su objetivo puede ser obtener datos personales.
• Suplantación de identidad (fraude/robo de identidad): uso de datos personales para realizar actos en nombre de otra persona; puede derivar si los datos se obtuvieron por medios informáticos.
• Revelación o divulgación ilícita: publicación o comercialización de datos personales ya obtenidos; puede constituir un delito autónomo o un agravante.

La distinción es útil para determinar la calificación jurídica, la competencia investigativa y las pruebas que deben recabarse.

Problemas frecuentes y cómo suelen abordarse

Problemas recurrentes en casos de violación de datos personales por medios informáticos:

• Identificación del origen: rastrear el acceso puede requerir peritajes forenses en servidores, registros de logs y cooperación internacional cuando se usan servidores en el exterior.
• Pérdida de evidencia: tiempo y acciones posteriores (borrado de logs, cambio de dispositivos) dificultan la investigación; por eso se insiste en la preservación inmediata.
• Responsabilidad compartida: el responsable del tratamiento puede sufrir consecuencias administrativas aunque la conducta penal haya sido cometida por un tercero; la empresa debe demostrar medidas de seguridad razonables.
• Notificación a titulares: las empresas suelen dudar sobre si, cuándo y cómo notificar a los titulares afectados; la práctica prudente sugiere transparencia y medidas de mitigación, aunque la obligación formal de notificar a la autoridad puede depender de la normativa vigente y del caso concreto.

Procedimiento y remedios disponibles

Ante una violación de datos personales por medios informáticos existen varias vías que pueden actuar de forma complementaria:

1) Vía penal

Presentar una denuncia o querella ante la Fiscalía General de la Nación permite que se inicie una investigación penal. El proceso penal puede incluir medidas cautelares (secuestro de equipos, órdenes de bloqueo o preservación de información) y la práctica de pruebas periciales informáticas por el CTI o peritos judiciales designados por la Fiscalía.

En la fase de investigación es frecuente solicitar órdenes judiciales para acceder a servidores, registros de operadores y para obtener cooperación de plataformas tecnológicas.

2) Vía administrativa

La Superintendencia de Industria y Comercio (SIC) puede recibir quejas y abrir procesos administrativos cuando hay vulneración de los deberes en materia de protección de datos (falta de medidas de seguridad, tratamiento indebido, incumplimiento de derechos de acceso, rectificación o supresión). Las sanciones administrativas pueden incluir multas y órdenes de cumplimiento.

3) Vía civil y constitucional

Las víctimas pueden iniciar reclamaciones civiles por reparación de daños ante los jueces civiles ordinarios. Cuando se alegan afectaciones a derechos fundamentales (honor, intimidad, vida privada), la acción de tutela puede ser un mecanismo para obtener medidas urgentes de protección y remediación, sin perjuicio de la vía civil para reparación integral.

Pruebas y aspectos técnicos clave en la investigación

La prueba forense digital es central. Algunos elementos técnicos y prácticos que suelen requerirse:

• Preservación de evidencia: copias forenses (imágenes) de discos, servidores y dispositivos; evitar manipular los originales.
• Registros (logs): registros de acceso, firewalls, proxies, bases de datos y registros de aplicaciones que muestren tiempos, direcciones IP y cuentas utilizadas.
• Cadena de custodia: documentación de quién tuvo acceso a la evidencia y cuándo, para que sea admisible ante autoridades.
• Peritaje experto: análisis técnico que identifique la forma de acceso, extracción o alteración y permita vincular acciones con autores o artefactos específicos.
• Cooperación internacional: cuando los servidores o actores están en otro país, puede requerirse asistencia judicial internacional o utilización de canales de cooperación.

Recomendaciones prácticas para víctimas y responsables

Para personas naturales afectadas

• Documentar los hechos: fechas, comunicaciones sospechosas, pruebas de divulgación (capturas de pantalla, enlaces).
• Solicitar al responsable del tratamiento información sobre lo ocurrido y, si procede, exigir bloqueo o eliminación de la información divulgada.
• Valorar la presentación de denuncia penal si hay indicios de delito y/o reclamación administrativa ante la SIC.
• Considerar medidas de protección personal: cambio de contraseñas, revisión de cuentas, monitorización de movimientos financieros y reporte a entidades financieras si hay riesgo de fraude.

Para empresas y responsables del tratamiento

• Adoptar e implementar políticas y medidas técnicas y administrativas de seguridad adecuadas al riesgo (cifrado, control de accesos, registros, copias de respaldo).
• Contar con planes de respuesta a incidentes que incluyan preservación de evidencia y comunicación interna y externa.
• Documentar diligencias de seguridad y decisiones adoptadas para poder demostrar la diligencia debida ante autoridades o en procesos judiciales.
• Evaluar la necesidad de reportar a titulares y, según criterio legal y de riesgo, a la autoridad de protección de datos; cuando exista incertidumbre jurídica, buscar asesoría especializada.

Cuándo conviene combinar vías (penal, administrativa y civil)

En la práctica, una investigación penal no excluye la apertura de procedimientos administrativos ni acciones civiles. La combinación suele ser apropiada cuando:

• Existe conducta dolosa atribuible a identificados que es susceptible de sanción penal.
• Se requieren medidas administrativas para corregir fallas en sistemas y procedimientos del responsable.
• Los titulares buscan reparación económica o medidas cautelares para evitar perjuicios continuados.

Riesgos y limitaciones procesales

Algunos límites prácticos a tener en cuenta:

• La obtención de pruebas en ambientes digitales puede ser costosa y compleja; la demora puede impedir la recolección eficaz de evidencia.
• La jurisdicción y la cooperación internacional suelen prolongar los plazos y complicar la ejecución de órdenes sobre servidores ubicados en el exterior.
• La distinción entre falta administrativa y delito no siempre es inmediata: conductas sancionables administrativamente pueden no alcanzar a constituir delito según la valoración probatoria y los elementos del tipo penal.

Ejemplos prácticos de supuestos y cómo se abordan

• Publicación masiva de datos personales tras hackeo: denuncia penal por acceso no autorizado y divulgación; peritaje forense; notificación a titulares; posible investigación administrativa sobre medidas de seguridad del afectado.
• Venta de base de datos por un extrabajador: investigación penal si la conducta fue dolosa y se extrajeron datos sin autorización; reclamación administrativa contra la empresa si no demostró control de accesos o medidas de prevención.
• Phishing que conduce a suplantación: investigación penal contra autores del fraude; acciones civiles por daños; recomendaciones de mitigación para las personas afectadas (cambio de credenciales, bloqueo de cuentas).