El delito de daños informáticos es una de las figuras penales de mayor relevancia en el ámbito del derecho digital. Su tipificación en el ordenamiento jurídico español tiene origen en la Decisión Marco 2005/222/JAI, de 24 de febrero de 2005, relativa a los ataques contra los sistemas de información, norma que fue posteriormente sustituida por la Directiva 2013/40/UE, de 12 de agosto, sobre ataques contra sistemas de información e interceptación de datos electrónicos cuando no constituyen una comunicación personal.
Marco normativo: los artículos 264 y 264 bis del Código Penal
Actualmente, las conductas constitutivas de daños informáticos se recogen en dos preceptos diferenciados del Código Penal español:
- El artículo 264 CP tipifica las conductas que recaen directamente sobre datos, programas informáticos o documentos electrónicos ajenos: borrarlos, dañarlos, deteriorarlos, alterarlos, suprimirlos o hacerlos inaccesibles.
- El artículo 264 bis CP tipifica la obstaculización o interrupción del funcionamiento de un sistema informático ajeno mediante las mismas acciones sobre los datos que lo sustentan.
Ambos preceptos fueron objeto de reforma a través de la Ley Orgánica 1/2015, que introdujo la regulación vigente adaptando el derecho penal español a las exigencias de la citada Directiva europea.
A efectos de esta figura delictiva, se entiende por datos informáticos toda representación de hechos, informaciones o conceptos en una forma que permite su tratamiento por un sistema de información, incluyendo los programas que sirven para que dicho sistema realice una función. Esta definición proviene directamente del artículo 2 de la Directiva 2013/40/UE.
El requisito de “resultado grave”: elemento esencial del tipo penal
Uno de los aspectos más relevantes, y más debatidos, del delito de daños informáticos es la exigencia de que el resultado producido sea grave. Esta exigencia no es accesoria: tanto el artículo 264 como el 264 bis la recogen expresamente, lo que la convierte en un elemento constitutivo del tipo penal sin cuya concurrencia no cabe hablar de delito.
Sin embargo, el legislador no ofrece criterios concretos para delimitar cuándo un resultado puede considerarse grave, lo que ha generado un importante debate interpretativo en la jurisprudencia.
¿Cuándo se considera grave el resultado? Criterios jurisprudenciales
Una cuestión que ha generado cierta confusión es si la frontera de los 400 euros, utilizada para distinguir el delito de daños común (art. 263 CP) de la infracción leve, resulta trasladable al ámbito de los daños informáticos. La jurisprudencia ha respondido de forma clara y negativa.
Como señaló la SAP de Madrid 345/2013, de 3 de junio (Sección 6ª), el umbral de los 400 euros propio del delito de daños del artículo 263 CP no es aplicable al delito de daños informáticos del artículo 264 CP, ya que se trata de un tipo penal autónomo, con conductas típicas propias y diferenciadas. Además, esta figura no cuenta con una modalidad tipificada como delito leve, lo que refuerza la imposibilidad de trasladar mecánicamente ese criterio económico.
La SAP de Madrid 23/2019, de 10 de enero (Sección 23ª) subraya que la gravedad del resultado es un elemento del tipo penal y que su acreditación corresponde a la parte acusadora, quien asume la carga de la prueba al respecto.
En consecuencia, la apreciación de la gravedad debe realizarse caso por caso, ponderando criterios como los siguientes:
- La posibilidad o imposibilidad de recuperar los datos informáticos afectados.
- La pérdida definitiva de los datos o el grado de deterioro irreversible.
- El coste económico de las tareas de recuperación o reparación del daño.
- La complejidad técnica y la duración de los trabajos necesarios para restablecer la situación.
- El valor del perjuicio sufrido por el titular de los datos, ya sea como daño emergente o como lucro cesante.
Un tipo penal autónomo frente al delito de daños común
Es fundamental no confundir el delito de daños informáticos con el delito de daños del artículo 263 CP. Aunque ambos comparten el nomen iuris “daños”, el delito informático protege un bien jurídico específico, la integridad de los datos y sistemas de información, y contempla conductas típicas que no tienen equivalente en el tipo general.
Esta autonomía tiene consecuencias prácticas relevantes: los criterios de gravedad, las penas aplicables y los elementos probatorios necesarios para sostener la acusación difieren sustancialmente entre una y otra figura.
Conclusión
El delito de daños informáticos, regulado en los artículos 264 y 264 bis del Código Penal, es una figura técnica y compleja que requiere un análisis individualizado de cada caso. La acreditación del resultado grave (elemento imprescindible del tipo) exige una valoración pericial y jurídica rigurosa que va mucho más allá de una simple cuantificación económica.
Si has sufrido un ataque informático que ha afectado a tus datos o sistemas, o si afrontas una acusación por este tipo de conductas, contar con un abogado penalista especializado resulta esencial para defender tus intereses con garantías.
