Tema desarrollado para preparar el examen de conocimientos de la Escala Básica (100 preguntas, 50 minutos). La información es orientativa y está verificada a fecha de actualización contra el texto consolidado del BOE: el contenido evaluable lo fija el temario del anexo I de tu convocatoria. Las citas entre comillas angulares reproducen el articulado LITERAL de la Ley Orgánica 10/1995, del Código Penal, y de la Ley de Enjuiciamiento Criminal, según su versión vigente.

Índice

• 0. Introducción: el ciberdelito y su marco normativo
• 1. El derecho a la intimidad como bien jurídico
  • 1.1. El art. 18 CE y sus cuatro vertientes
  • 1.2. Protección de datos: RGPD y LO 3/2018
• 2. Descubrimiento y revelación de secretos (art. 197)
• 3. Intrusismo informático y ataques a los sistemas (arts. 197 bis, ter, quater y quinquies)
• 4. La estafa informática y el fraude con medios de pago (arts. 248 y 249)
• 5. Defraudaciones de fluido eléctrico y de telecomunicaciones (arts. 255 y 256)
• 6. Daños informáticos y sabotaje (arts. 264, 264 bis, ter y quater)
• 7. Ciberdelitos sexuales y acoso a través de la red (arts. 189, 183, 172 ter)
• 8. La prueba digital en el proceso penal
  • 8.1. Concepto, licitud y cadena de custodia
  • 8.2. Las medidas de investigación tecnológica (LO 13/2015)
  • 8.3. Registro de dispositivos y registro remoto (arts. 588 sexies y 588 septies)
• 9. Ideas fuerza para el test

0. Introducción: el ciberdelito y su marco normativo

Se conoce como delito informático o ciberdelito a toda conducta ilícita cometida a través de las tecnologías de la información y la comunicación (TIC) o que recae sobre sistemas, datos o redes informáticas. El Código Penal español no dedica un Título específico a estos delitos: la mayoría fueron introducidos por la LO 5/2010 y la LO 1/2015, en cumplimiento de compromisos internacionales, y se hallan dispersos por distintos títulos según el bien jurídico lesionado (la intimidad, el patrimonio, la libertad, la indemnidad sexual, etc.).

La doctrina distingue dos grandes categorías según el papel de la informática: (1) delitos en los que el sistema informático es el objeto del ataque (el acceso ilícito o hacking del art. 197 bis, los daños o sabotaje informático de los arts. 264 y 264 bis); y (2) delitos en los que la informática es el medio o instrumento para lesionar otro bien jurídico (la estafa informática del art. 249, la pornografía infantil del art. 189, el ciberacoso del art. 172 ter, la difusión no consentida de imágenes íntimas del art. 197.7). Esta clasificación es muy útil para ordenar el tema.

El marco internacional de referencia es el Convenio de Budapest sobre la Ciberdelincuencia, del Consejo de Europa (2001), ratificado por España en 2010, que armoniza los tipos penales, las técnicas de investigación y la cooperación internacional. En el plano interno, junto al Código Penal, resultan capitales la Ley de Enjuiciamiento Criminal (LECrim) —reformada por la LO 13/2015, que reguló las medidas de investigación tecnológica— y la normativa de protección de datos. Operativamente, la investigación de estos delitos corresponde a unidades especializadas de la Policía Nacional, singularmente la Unidad Central de Ciberdelincuencia, integrada en la Comisaría General de Policía Judicial.

1. El derecho a la intimidad como bien jurídico

1.1. El art. 18 CE y sus cuatro vertientes

El epígrafe del tema exige una «especial consideración al derecho a la intimidad», bien jurídico protegido por el artículo 18 de la Constitución, que reconoce cuatro derechos íntimamente ligados: (1) el derecho al honor, a la intimidad personal y familiar y a la propia imagen (art. 18.1); (2) la inviolabilidad del domicilio (art. 18.2); (3) el secreto de las comunicaciones y, en especial, de las postales, telegráficas y telefónicas (art. 18.3); y (4) el mandato de que la ley limite el uso de la informática para garantizar el honor y la intimidad de los ciudadanos y el pleno ejercicio de sus derechos (art. 18.4), del que la doctrina ha extraído un derecho autónomo a la protección de datos o «habeas data».

En el ámbito civil, la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, ofrece la tutela reparadora (indemnizaciones, cese) frente a las intromisiones ilegítimas. La protección penal, por su carácter de ultima ratio, se reserva a las lesiones más graves de la intimidad, que se castigan en el Título X del Libro II del Código Penal («Delitos contra la intimidad, el derecho a la propia imagen y la inviolabilidad del domicilio»).

1.2. Protección de datos: RGPD y LO 3/2018

El derecho a la protección de datos se regula hoy por el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), de aplicación directa desde el 25 de mayo de 2018, y por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que lo desarrolla en España. La LOPDGDD incorporó, en su Título X, un catálogo pionero de derechos digitales (derecho a la neutralidad de la red, a la desconexión digital en el trabajo, a la intimidad frente a los dispositivos de videovigilancia y geolocalización laboral, al testamento digital, etc.). La autoridad de control es la Agencia Española de Protección de Datos (AEPD). Aunque la vulneración de la normativa de datos genera responsabilidad administrativa, cuando el apoderamiento o la cesión de datos reservados alcanza gravedad delictiva se aplica el Código Penal (art. 197.2).

2. Descubrimiento y revelación de secretos (art. 197)

El art. 197 CP es el tipo central de protección penal de la intimidad. Su apartado 1 castiga la intromisión en la intimidad ajena mediante el apoderamiento de documentos o la interceptación de telecomunicaciones. Conviene retener su tenor literal, muy preguntado:

«1. El que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales, intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses.» (art. 197.1 CP)

Es un delito que se consuma con la simple intromisión, sin necesidad de que el secreto llegue a difundirse. El apartado 2 tipifica el descubrimiento de datos reservados en soportes informáticos, el precepto que conecta con la protección de datos:

«2. Las mismas penas se impondrán al que, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado. Iguales penas se impondrán a quien, sin estar autorizado, acceda por cualquier medio a los mismos y a quien los altere o utilice en perjuicio del titular de los datos o de un tercero.» (art. 197.2 CP)

El apartado 3 agrava la conducta cuando los datos o imágenes descubiertos se difunden, revelan o ceden a terceros, con prisión de dos a cinco años, y castiga separadamente a quien, conociendo su origen ilícito y sin haber tomado parte en el descubrimiento, los difunde. Los apartados 4 a 6 prevén subtipos agravados: pena de tres a cinco años cuando los hechos los cometen los encargados o responsables de los ficheros o mediante uso no autorizado de datos personales de la víctima (art. 197.4); mitad superior cuando afectan a datos sensibles (ideología, religión, creencias, salud, origen racial o vida sexual) o la víctima es menor o persona con discapacidad necesitada de especial protección (art. 197.5); y penas de hasta cuatro a siete años cuando concurre fin lucrativo sobre datos sensibles (art. 197.6).

Especialmente relevante es el apartado 7, introducido por la LO 1/2015, que castiga el mal llamado «sexting» o difusión no consentida de imágenes íntimas. Su clave es que la imagen se obtuvo lícitamente (con consentimiento) pero se difunde sin él:

«7. Será castigado con una pena de prisión de tres meses a un año o multa de seis a doce meses el que, sin autorización de la persona afectada, difunda, revele o ceda a terceros imágenes o grabaciones audiovisuales de aquélla que hubiera obtenido con su anuencia en un domicilio o en cualquier otro lugar fuera del alcance de la mirada de terceros, cuando la divulgación menoscabe gravemente la intimidad personal de esa persona. [...] la pena se impondrá en su mitad superior cuando los hechos hubieran sido cometidos por el cónyuge o por persona que esté o haya estado unida a él por análoga relación de afectividad, aun sin convivencia, la víctima fuera menor de edad o una persona con discapacidad necesitada de especial protección, o los hechos se hubieran cometido con una finalidad lucrativa.» (art. 197.7 CP)

Los arts. 198 a 201 completan el capítulo con la agravación por autoridad o funcionario (art. 198), la revelación de secretos por razón del oficio (art. 199) y el requisito de perseguibilidad: se exige denuncia del agraviado, salvo que la víctima sea menor o discapacitado o afecte al interés general (art. 201).

Dato de examen: distingue los tres primeros apartados del art. 197. El 197.1 castiga apoderarse de documentos o interceptar telecomunicaciones (1 a 4 años); el 197.2, apoderarse o acceder a datos reservados en ficheros o soportes informáticos; y el 197.3, la difusión a terceros (2 a 5 años). El 197.7 (sexting) exige que la imagen se hubiera obtenido con anuencia de la víctima y se difunda sin su autorización.

Junto a la intimidad personal, la red facilita el ataque a los secretos de empresa. Los arts. 278 a 280 CP castigan a quien, para descubrir un secreto de empresa, se apodere de datos, documentos o soportes informáticos, o intercepte las comunicaciones de la empresa, con prisión de dos a cuatro años; la difusión del secreto agrava la pena. Es el espionaje industrial por medios informáticos, que protege la competitividad económica de las empresas frente a la sustracción de bases de datos de clientes, fórmulas o proyectos.

3. Intrusismo informático y ataques a los sistemas (arts. 197 bis, ter, quater y quinquies)

La LO 5/2010 y la LO 1/2015 introdujeron tipos autónomos de ataque a los sistemas de información, que protegen la seguridad de los sistemas con independencia de la intimidad. El art. 197 bis tipifica el acceso ilícito o intrusismo informático (hacking) y la interceptación de datos:

«1. El que por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado, acceda o facilite a otro el acceso al conjunto o una parte de un sistema de información o se mantenga en él en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, será castigado con pena de prisión de seis meses a dos años. 2. El que mediante la utilización de artificios o instrumentos técnicos, y sin estar debidamente autorizado, intercepte transmisiones no públicas de datos informáticos que se produzcan desde, hacia o dentro de un sistema de información, incluidas las emisiones electromagnéticas de los mismos, será castigado con una pena de prisión de tres meses a dos años o multa de tres a doce meses.» (art. 197 bis CP)

Se castiga el mero acceso no autorizado, aunque no se extraiga ni dañe información, siempre que se vulneren las medidas de seguridad. El art. 197 ter adelanta la protección castigando los actos preparatorios: la producción o facilitación de programas o contraseñas para cometer estos delitos:

«Será castigado con una pena de prisión de seis meses a dos años o multa de tres a dieciocho meses el que, sin estar debidamente autorizado, produzca, adquiera para su uso, importe o, de cualquier modo, facilite a terceros, con la intención de facilitar la comisión de alguno de los delitos a que se refieren los apartados 1 y 2 del artículo 197 o el artículo 197 bis: a) un programa informático, concebido o adaptado principalmente para cometer dichos delitos; o b) una contraseña de ordenador, un código de acceso o datos similares que permitan acceder a la totalidad o a una parte de un sistema de información.» (art. 197 ter CP)

El art. 197 quater impone las penas superiores en grado cuando los hechos se cometen en el seno de una organización o grupo criminal: «Si los hechos descritos en este Capítulo se hubieran cometido en el seno de una organización o grupo criminal, se aplicarán respectivamente las penas superiores en grado.» Y el art. 197 quinquies prevé la responsabilidad penal de la persona jurídica por los delitos de los arts. 197, 197 bis y 197 ter, con multa de seis meses a dos años, remitiéndose a las reglas del art. 31 bis.

4. La estafa informática y el fraude con medios de pago (arts. 248 y 249)

El art. 248 CP define la estafa común, que exige engaño sobre una persona:

«Cometen estafa los que, con ánimo de lucro, utilizaren engaño bastante para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno. Los reos de estafa serán castigados con la pena de prisión de seis meses a tres años. [...] Si la cuantía de lo defraudado no excediere de 400 euros, se impondrá la pena de multa de uno a tres meses, salvo si concurriere alguna de las circunstancias del artículo 250.» (art. 248 CP)

En la estafa informática no hay engaño a una persona, sino manipulación de una máquina: por eso el legislador la tipificó de forma autónoma en el art. 249, que también recoge el fraude con medios de pago:

«1. También se consideran reos de estafa y serán castigados con la pena de prisión de seis meses a tres años: a) Los que, con ánimo de lucro, obstaculizando o interfiriendo indebidamente en el funcionamiento de un sistema de información o introduciendo, alterando, borrando, transmitiendo o suprimiendo indebidamente datos informáticos o valiéndose de cualquier otra manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. b) Los que, utilizando de forma fraudulenta tarjetas de crédito o débito, cheques de viaje o cualquier otro instrumento de pago material o inmaterial distinto del efectivo o los datos obrantes en cualquiera de ellos, realicen operaciones de cualquier clase en perjuicio de su titular o de un tercero.» (art. 249.1 CP)

La letra a) es el tipo del phishing, el pharming o el uso de programas que desvían fondos. El art. 249.2 castiga con la misma pena la fabricación, obtención, posesión o facilitación de instrumentos, datos o programas diseñados para estas estafas y la sustracción de tarjetas para su uso fraudulento; el art. 249.3 castiga, en su mitad inferior, la posesión o distribución de tarjetas obtenidas ilícitamente a sabiendas de su origen, para su utilización fraudulenta.

En la práctica policial, el phishing se articula en dos fases: primero se capturan las credenciales bancarias de la víctima (mediante un correo o web falsos que suplantan a la entidad) y después se realiza la transferencia fraudulenta hacia cuentas de terceros. Estos terceros son los llamados «muleros» (money mules): personas que, a cambio de una comisión, ceden su cuenta para recibir el dinero y reenviarlo, dificultando el rastreo. El mulero puede responder como cooperador de la estafa o por blanqueo de capitales (art. 301 CP), incluso a título de imprudencia si actuó con ceguera deliberada sobre el origen ilícito de los fondos. La rapidez en la denuncia y en la orden de retención de la transferencia es determinante para recuperar el dinero, de ahí la importancia de la orden de conservación de datos del art. 588 octies LECrim.

Dato de examen: la estafa informática ya no está en el antiguo art. 248.2, sino en el vigente art. 249.1.a) CP (tras la reforma por LO 14/2022): manipulación informática que logra una transferencia no consentida de un activo patrimonial (6 meses a 3 años). El fraude con tarjetas es el art. 249.1.b). No hay engaño a una persona, sino a un sistema.

5. Defraudaciones de fluido eléctrico y de telecomunicaciones (arts. 255 y 256)

Dentro de las defraudaciones, el Código castiga el uso ilícito de suministros y de terminales de telecomunicación ajenos. El art. 255 CP tipifica la defraudación de fluido eléctrico y análogos (incluidas las telecomunicaciones y el agua):

«1. Será castigado con la pena de multa de tres a doce meses el que cometiere defraudación utilizando energía eléctrica, gas, agua, telecomunicaciones u otro elemento, energía o fluido ajenos, por alguno de los medios siguientes: 1.º Valiéndose de mecanismos instalados para realizar la defraudación. 2.º Alterando maliciosamente las indicaciones o aparatos contadores. 3.º Empleando cualesquiera otros medios clandestinos. 2. Si la cuantía de lo defraudado no excediere de 400 euros, se impondrá una pena de multa de uno a tres meses.» (art. 255 CP)

El art. 256 CP castiga el uso no consentido de un equipo terminal de telecomunicación ajeno:

«1. El que hiciere uso de cualquier equipo terminal de telecomunicación, sin consentimiento de su titular, y causando a éste un perjuicio económico, será castigado con la pena de multa de tres a doce meses. 2. Si la cuantía del perjuicio causado no excediere de 400 euros, se impondrá una pena de multa de uno a tres meses.» (art. 256 CP)

Ambos delitos tienen como frontera con el subtipo atenuado la cuantía de 400 euros y protegen el patrimonio frente al uso clandestino de suministros y líneas ajenas (el clásico «enganche» a la red eléctrica o el uso de la línea o el terminal de otro). Su interés para el opositor es que muestran cómo el fraude en el ámbito de las telecomunicaciones puede castigarse tanto por estas figuras patrimoniales como, según el caso, por la estafa o el descubrimiento de secretos.

6. Daños informáticos y sabotaje (arts. 264, 264 bis, ter y quater)

El art. 264 CP tipifica el daño a los datos (el sabotaje de la información, típico del ransomware):

«1. El que por cualquier medio, sin autorización y de manera grave borrase, dañase, deteriorase, alterase, suprimiese o hiciese inaccesibles datos informáticos, programas informáticos o documentos electrónicos ajenos, cuando el resultado producido fuera grave, será castigado con la pena de prisión de seis meses a tres años.» (art. 264.1 CP)

El art. 264.2 agrava la pena a prisión de dos a cinco años y multa cuando el hecho se comete en el marco de una organización criminal, causa daños de especial gravedad, perjudica gravemente servicios públicos esenciales o afecta al sistema informático de una infraestructura crítica. El art. 264 bis castiga el daño al funcionamiento del sistema (no ya a los datos, sino al sistema entero), tipo aplicable a los ataques de denegación de servicio (DDoS):

«1. Será castigado con la pena de prisión de seis meses a tres años el que, sin estar autorizado y de manera grave, obstaculizara o interrumpiera el funcionamiento de un sistema informático ajeno: a) realizando alguna de las conductas a que se refiere el artículo anterior; b) introduciendo o transmitiendo datos; o c) destruyendo, dañando, inutilizando, eliminando o sustituyendo un sistema informático, telemático o de almacenamiento de información electrónica. Si los hechos hubieran perjudicado de forma relevante la actividad normal de una empresa, negocio o de una Administración pública, se impondrá la pena en su mitad superior, pudiéndose alcanzar la pena superior en grado.» (art. 264 bis CP)

El art. 264 ter castiga, igual que el 197 ter para la intimidad, la producción o facilitación de programas y contraseñas destinados a cometer estos daños; y el art. 264 quater regula la responsabilidad de las personas jurídicas por los tres artículos anteriores, con penas de multa que dependen de la gravedad del delito.

Dato de examen: no confundas el art. 264 (daño a datos, programas o documentos; ransomware) con el art. 264 bis (obstaculizar o interrumpir el funcionamiento del sistema; ataques DDoS). Ambos exigen actuar sin autorización y de manera grave. Las herramientas para cometerlos se castigan en el 264 ter; la persona jurídica responde por el 264 quater.

7. Ciberdelitos sexuales y acoso a través de la red (arts. 189, 183, 172 ter)

Internet ha multiplicado los delitos contra la indemnidad sexual de los menores. El art. 189 CP castiga la pornografía infantil: la captación o utilización de menores o personas con discapacidad en material pornográfico y su producción, venta, distribución, exhibición o facilitación por cualquier medio, con prisión de uno a cinco años (y de cinco a nueve años en los tipos agravados, por ejemplo con menores de dieciséis años o material de notoria importancia). La mera posesión para uso propio, y el acceso a sabiendas a pornografía infantil a través de las TIC, se castigan con prisión de tres meses a un año o multa. Los jueces pueden ordenar la retirada o el bloqueo de las páginas web que la difundan.

El art. 183 CP tipifica el «child grooming» o embaucamiento de menores a través de la red: castiga con prisión de uno a tres años o multa a quien, a través de internet, teléfono o cualquier TIC, contacte con un menor de dieciséis años y le proponga concertar un encuentro para cometer un delito sexual, siempre que la propuesta se acompañe de actos materiales de acercamiento (pena en su mitad superior si media coacción, intimidación o engaño). Su apartado 2 castiga a quien contacte con un menor de dieciséis años para embaucarle a fin de que le facilite material pornográfico o le muestre imágenes en las que aparezca un menor.

El art. 172 ter CP tipifica el acoso o «stalking», muy frecuente en su modalidad de ciberacoso: castiga con prisión de tres meses a dos años o multa de seis a veinticuatro meses a quien acose a una persona de forma insistente y reiterada, alterando gravemente el desarrollo de su vida cotidiana, mediante la vigilancia, la persecución, el contacto por cualquier medio de comunicación o el uso indebido de sus datos personales. Su apartado 5 castiga la usurpación de identidad en la red: utilizar sin consentimiento la imagen de una persona para abrir perfiles falsos en redes sociales, ocasionándole una situación de acoso, hostigamiento o humillación. El acoso del art. 172 ter solo es perseguible, con carácter general, mediante denuncia del agraviado.

La red es también vehículo de delitos de expresión y de odio. Las amenazas (arts. 169 a 171) y las coacciones (art. 172) pueden cometerse por medios telemáticos, igual que las injurias y calumnias vertidas en redes sociales (arts. 205 y ss.), que se agravan cuando se difunden con publicidad. Especial mención merece el delito de odio del art. 510 CP, que castiga con prisión de uno a cuatro años y multa a quienes fomenten, promuevan o inciten pública y directamente al odio, la hostilidad, la discriminación o la violencia contra un grupo o sus integrantes por motivos racistas, antisemitas, de ideología, religión, orientación sexual, enfermedad o discapacidad; la difusión a través de internet, por su alcance, opera como agravante específica. Igualmente, el art. 270 CP castiga la piratería digital: la explotación no autorizada de obras (descargas y streaming ilícitos con ánimo de lucro y en perjuicio de tercero), incluida la facilitación activa y no neutral del acceso a contenidos protegidos.

8. La prueba digital en el proceso penal

8.1. Concepto, licitud y cadena de custodia

La prueba digital o electrónica es toda información con valor probatorio contenida en un soporte o sistema informático (correos, mensajes, archivos, registros de conexión, metadatos, imágenes). Sus notas características son la volatilidad (puede desaparecer o modificarse con facilidad), la facilidad de manipulación y su carácter deslocalizado (a menudo alojada en servidores en el extranjero o «en la nube»). De ahí que su tratamiento exija especiales garantías de autenticidad e integridad.

La primera exigencia es la licitud. Conforme al art. 11.1 de la Ley Orgánica del Poder Judicial (LOPJ), no surtirán efecto las pruebas obtenidas, directa o indirectamente, violentando los derechos o libertades fundamentales: es la regla de exclusión de la prueba ilícita (la doctrina de «los frutos del árbol envenenado»). Por eso el acceso al contenido de un teléfono o un ordenador, que afecta al derecho a la intimidad y al secreto de las comunicaciones (art. 18 CE), exige, con carácter general, autorización judicial motivada. La segunda garantía es la cadena de custodia: el conjunto de actos que aseguran que la evidencia analizada es la misma que se recogió y que no ha sido alterada, normalmente mediante el cálculo de un valor «hash» (huella digital) que verifica la integridad del soporte. La ruptura de la cadena de custodia compromete el valor probatorio de la evidencia.

8.2. Las medidas de investigación tecnológica (LO 13/2015)

La Ley Orgánica 13/2015 introdujo en la LECrim el Título VIII del Libro II, «De las medidas de investigación limitativas de los derechos reconocidos en el artículo 18 de la Constitución». El art. 588 bis a LECrim establece los principios rectores comunes, que hay que memorizar: especialidad (la medida debe referirse a un delito concreto, prohibiéndose las prospecciones generales), idoneidad, excepcionalidad, necesidad y proporcionalidad. Con carácter general, estas medidas requieren autorización judicial. Las principales son:

• Interceptación de las comunicaciones telefónicas y telemáticas (arts. 588 ter a y ss.): las «escuchas» y la intervención del tráfico de datos. Su duración inicial máxima es de tres meses, prorrogable hasta un máximo de dieciocho meses.
• Captación y grabación de comunicaciones orales mediante dispositivos electrónicos (arts. 588 quater a y ss.): los micrófonos ocultos que graban conversaciones directas del investigado, incluso en su domicilio, complementables con imágenes.
• Utilización de dispositivos técnicos de seguimiento y localización (arts. 588 quinquies b y c): las balizas o dispositivos GPS. La simple captación de la imagen del investigado en un lugar público puede realizarla la Policía Judicial sin autorización judicial (art. 588 quinquies a), pero la colocación de dispositivos de seguimiento sí la requiere.
• Orden de conservación de datos (art. 588 octies): el Ministerio Fiscal o la propia Policía Judicial pueden requerir la conservación y protección de datos ya almacenados hasta obtener la autorización judicial de cesión, por un plazo máximo de noventa días, prorrogable hasta ciento ochenta.

El art. 588 octies LECrim merece cita literal por lo preguntado de sus plazos:

«El Ministerio Fiscal o la Policía Judicial podrán requerir a cualquier persona física o jurídica la conservación y protección de datos o informaciones concretas incluidas en un sistema informático de almacenamiento que se encuentren a su disposición hasta que se obtenga la autorización judicial correspondiente para su cesión con arreglo a lo dispuesto en los artículos precedentes. Los datos se conservarán durante un periodo máximo de noventa días, prorrogable una sola vez hasta que se autorice la cesión o se cumplan ciento ochenta días.» (art. 588 octies LECrim)

8.3. Registro de dispositivos y registro remoto (arts. 588 sexies y 588 septies)

El registro de dispositivos de almacenamiento masivo de información (arts. 588 sexies a y ss.) regula el acceso al contenido de ordenadores, teléfonos y memorias. Su regla esencial —muy preguntada— es que la simple incautación del aparato no legitima el acceso a su contenido:

«1. Cuando con ocasión de la práctica de un registro domiciliario sea previsible la aprehensión de ordenadores, instrumentos de comunicación telefónica o telemática o dispositivos de almacenamiento masivo de información digital o el acceso a repositorios telemáticos de datos, la resolución del juez de instrucción habrá de extender su razonamiento a la justificación, en su caso, de las razones que legitiman el acceso de los agentes facultados a la información contenida en tales dispositivos. 2. La simple incautación de cualquiera de los dispositivos a los que se refiere el apartado anterior, practicada durante el transcurso de la diligencia de registro domiciliario, no legitima el acceso a su contenido, sin perjuicio de que dicho acceso pueda ser autorizado ulteriormente por el juez competente.» (art. 588 sexies a LECrim)

La resolución que autorice el acceso debe fijar los términos y el alcance del registro y las garantías de integridad de los datos, conforme al art. 588 sexies c, que además prevé el examen directo por la Policía Judicial en casos de urgencia con un interés constitucional legítimo, comunicándolo al juez en un plazo máximo de veinticuatro horas para su confirmación o revocación en setenta y dos horas.

Los registros remotos sobre equipos informáticos (arts. 588 septies a y ss.) permiten la instalación de un software espía («troyano policial») para examinar a distancia y sin conocimiento del titular el contenido de un equipo. Solo caben para una lista tasada de delitos:

«1. El juez competente podrá autorizar la utilización de datos de identificación y códigos, así como la instalación de un software, que permitan, de forma remota y telemática, el examen a distancia y sin conocimiento de su titular o usuario del contenido de un ordenador, dispositivo electrónico, sistema informático, instrumento de almacenamiento masivo de datos informáticos o base de datos, siempre que persiga la investigación de alguno de los siguientes delitos: a) Delitos cometidos en el seno de organizaciones criminales. b) Delitos de terrorismo. c) Delitos cometidos contra menores o personas con capacidad modificada judicialmente. d) Delitos contra la Constitución, de traición y relativos a la defensa nacional. e) Delitos cometidos a través de instrumentos informáticos o de cualquier otra tecnología de la información o la telecomunicación o servicio de comunicación.» (art. 588 septies a LECrim)

Esta medida (art. 588 septies c) tiene una duración máxima de un mes, prorrogable por iguales períodos hasta un máximo de tres meses. Un problema recurrente en la ciberinvestigación es la identificación del autor, que suele actuar tras una dirección IP. La LECrim habilita a la Policía Judicial para solicitar del juez que requiera a los prestadores de servicios la cesión de los datos que permitan identificar al usuario de una IP utilizada para cometer el delito (art. 588 ter k), y regula del mismo modo la identificación de los terminales mediante la captación de códigos (IMSI/IMEI). Finalmente, el art. 282 bis.6 LECrim regula el agente encubierto informático: previa autorización judicial, el agente puede actuar bajo identidad supuesta en canales cerrados de comunicación (foros, chats) e intercambiar archivos ilícitos por razón de su contenido, herramienta clave contra la pornografía infantil y el ciberterrorismo.

Dato de examen: memoriza que la incautación de un móvil NO permite acceder a su contenido sin resolución judicial (art. 588 sexies a). El troyano policial (art. 588 septies a) solo procede para delitos tasados (organizaciones criminales, terrorismo, menores, contra la Constitución y cometidos por medios informáticos). La orden de conservación de datos (art. 588 octies) puede acordarla el Fiscal o la Policía Judicial: máximo 90 días, prorrogables hasta 180.

9. Ideas fuerza para el test

• El CP no tiene un título de delitos informáticos: están dispersos según el bien jurídico. Marco internacional: Convenio de Budapest (2001). Se distingue el sistema como objeto (hacking, daños) y como medio (estafa, pornografía, acoso).
• Intimidad = art. 18 CE en cuatro vertientes: honor/intimidad/propia imagen (18.1), domicilio (18.2), secreto de comunicaciones (18.3) y protección de datos o «habeas data» (18.4). Protección de datos: RGPD (UE) 2016/679 y LO 3/2018 (LOPDGDD); autoridad = AEPD.
• Descubrimiento y revelación de secretos (art. 197.1): prisión 1-4 años y multa. Datos reservados en soportes informáticos: art. 197.2. Difusión a terceros: 2-5 años (197.3).
• «Sexting» (art. 197.7): difundir sin permiso imágenes íntimas obtenidas con anuencia; 3 meses-1 año o multa; mitad superior si pareja/ex, menor o ánimo de lucro.
• Hacking o acceso ilícito a sistemas (art. 197 bis): vulnerar medidas de seguridad y acceder sin autorización; 6 meses-2 años. Herramientas (programas, contraseñas): art. 197 ter; organización criminal, 197 quater; persona jurídica, 197 quinquies.
• Estafa informática (art. 249.1.a): manipulación informática que logra una transferencia patrimonial no consentida (phishing); 6 meses-3 años. Fraude con tarjetas: art. 249.1.b). La estafa común la define el art. 248.
• Defraudación de fluido (art. 255): energía, gas, agua o telecomunicaciones ajenos; uso de terminal ajeno (art. 256). Frontera con el subtipo atenuado: 400 euros.
• Daños informáticos (art. 264): borrar o dañar datos ajenos de manera grave (ransomware). Sabotaje del sistema (art. 264 bis): obstaculizar su funcionamiento (ataques DDoS). Herramientas, 264 ter; persona jurídica, 264 quater.
• Pornografía infantil (art. 189): 1-5 años (agravado 5-9); posesión/acceso a sabiendas 3 meses-1 año. Grooming (art. 183): contactar por TIC con menor de 16 años y proponer un encuentro sexual con actos de acercamiento. Ciberacoso o stalking (art. 172 ter): perfiles falsos en el 172 ter.5.
• Prueba digital: notas de volatilidad e integridad; licitud (art. 11.1 LOPJ) —la prueba con vulneración de derechos fundamentales no surte efecto— y cadena de custodia («hash»).
• Medidas de investigación tecnológica (LO 13/2015): principios del art. 588 bis a (especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad). Interceptación telefónica: 3 meses, hasta 18. La incautación de un móvil NO permite acceder a su contenido sin resolución judicial (art. 588 sexies a). Troyano policial (art. 588 septies a) solo para delitos tasados; conservación de datos (art. 588 octies): 90 días, hasta 180.