El uso masivo de internet, redes sociales y dispositivos conectados ha multiplicado los conflictos penales relacionados con el entorno digital. Estafas por phishing, accesos no autorizados a cuentas, difusión de imágenes íntimas o ataques con ransomware son hoy motivo habitual de denuncia. El Código Penal español, aprobado por Ley Orgánica 10/1995 y modificado en distintas reformas (entre ellas la LO 1/2015 y la LO 10/2022), regula estas conductas en artículos dispersos que conviene conocer si eres investigado, denunciante o simplemente quieres entender tus derechos. Este artículo resume, con carácter orientativo, el marco vigente para 2026 salvo nuevas reformas legislativas.
¿Qué se considera delito informático en el Código Penal?
No existe un único capítulo llamado "delitos informáticos". Se trata de un conjunto de tipos penales que utilizan sistemas informáticos como medio comisivo o como objeto del ataque: intimidad y datos personales, patrimonio, propiedad intelectual, seguridad de los sistemas e incluso delitos contra menores cometidos a través de redes. La calificación jurídica exacta depende de qué bien jurídico se haya lesionado, no solo del hecho de que intervenga un ordenador o un móvil.
Delitos contra la intimidad y el acceso a sistemas (arts. 197 a 197 quater CP)
Descubrimiento y revelación de secretos (art. 197 CP)
Apoderarse de correos electrónicos, mensajes o documentos ajenos, o interceptar comunicaciones sin consentimiento, se castiga con pena de prisión de uno a cuatro años y multa de doce a veinticuatro meses (art. 197.1 y 197.2 CP). Si además los datos se difunden a terceros, la pena puede elevarse a prisión de dos a cinco años (art. 197.3 CP). Cuando el autor es autoridad o funcionario público que se aprovecha de su cargo, se aplica además pena de inhabilitación (art. 198 CP).
Acceso ilícito a sistemas informáticos (art. 197 bis CP)
Acceder sin autorización a un sistema de información vulnerando medidas de seguridad, o mantenerse en él contra la voluntad de quien tiene derecho a excluirlo, se sanciona con prisión de seis meses a dos años. El art. 197 ter CP castiga también, con penas similares o multa, la fabricación o facilitación de programas y contraseñas destinados a cometer estos delitos.
Difusión de imágenes íntimas sin consentimiento (art. 197.7 CP)
Compartir fotografías o vídeos de carácter íntimo obtenidos con el consentimiento de la víctima pero difundidos sin su autorización posterior conlleva prisión de tres meses a un año o multa de seis a doce meses, pudiendo agravarse si existe relación de pareja o el autor busca perjudicar a la víctima.
Estafa informática y phishing: penas del art. 248 y 249 CP
El art. 248.2 CP equipara a la estafa clásica la manipulación informática o artificio semejante que provoque una transferencia patrimonial no consentida. Esto incluye phishing, uso fraudulento de tarjetas o suplantación bancaria online. La pena general oscila entre seis meses y tres años de prisión según la cuantía (art. 249 CP), pudiendo alcanzar de uno a seis años si el perjuicio supera los 50.000 euros orientativos o concurren agravantes del art. 250 CP, como el uso de datos de tarjetas ajenas, considerado a efectos penales similar al uso de llave falsa.
Daños informáticos, ransomware y ataques a sistemas (arts. 264 a 264 quater CP)
Borrar, dañar, alterar o hacer inaccesibles datos, programas o documentos electrónicos ajenos sin autorización se castiga con prisión de seis meses a tres años (art. 264 CP). Cuando el ataque interrumpe o entorpece el funcionamiento de un sistema informático ajeno (por ejemplo, ataques DDoS o ransomware), se aplica el art. 264 bis CP, con penas similares que pueden elevarse a prisión de dos a cinco años si concurren agravantes, como afectar a sistemas de infraestructuras críticas o causar daños de especial gravedad. El art. 264 ter CP castiga la producción o facilitación de herramientas destinadas a cometer estos ataques, y el art. 264 quater CP prevé responsabilidad penal para las personas jurídicas que se beneficien de estas conductas.
Delitos contra la propiedad intelectual e industrial en internet (arts. 270 y 271 CP)
La reproducción, distribución o comunicación pública no autorizada de obras protegidas con ánimo de obtener un beneficio económico se sanciona con prisión de seis meses a cuatro años y multa (art. 270 CP). El art. 271 CP recoge agravantes, como la especial trascendencia económica del beneficio obtenido o la utilización de menores, que permiten imponer la pena en su mitad superior.
Circunstancias que agravan la pena en delitos informáticos
- Actuación dentro de una organización o grupo criminal (art. 197 quater y 264 quater CP).
- Utilización de datos de menores o personas especialmente vulnerables.
- Aprovechamiento de la condición de autoridad, funcionario público o encargado de los datos.
- Cuantía elevada del perjuicio económico causado a la víctima.
- Afectación a infraestructuras críticas o servicios esenciales.
¿Quién investiga estos delitos y ante qué juzgado se tramitan?
La investigación suele iniciarse mediante denuncia ante la Policía Nacional (unidades especializadas en delitos tecnológicos), la Guardia Civil o directamente ante el Juzgado de Instrucción de guardia. En Barcelona, buena parte de estos procedimientos se tramitan en los Juzgados de Instrucción con sede en la Ciudad de la Justicia, donde también actúa la Fiscalía especializada en criminalidad informática. Es habitual que la instrucción requiera informes periciales sobre metadatos, direcciones IP o trazabilidad de las transferencias, por lo que contar con asesoramiento letrado desde el primer momento facilita preservar pruebas y plantear la defensa o la acusación con garantías.
Plazos de prescripción de los delitos informáticos
Conforme al art. 131 CP, la mayoría de estos delitos, al tener señalada una pena máxima igual o inferior a cinco años, prescriben a los cinco años desde su comisión o desde el cese de la actividad delictiva continuada. En los casos agravados en que la pena máxima supere los cinco años, el plazo de prescripción puede alcanzar los diez años. Los delitos leves, como determinadas infracciones patrimoniales de escasa cuantía, prescriben a los seis meses. Estos plazos son orientativos y deben confirmarse en cada caso según la calificación jurídica concreta.
Qué hacer si eres investigado o víctima de un delito informático
- No manipules ni borres archivos, mensajes o dispositivos: puede constituir destrucción de pruebas.
- Guarda capturas de pantalla, correos, movimientos bancarios y cualquier evidencia con fecha y hora.
- Si eres víctima, formula denuncia cuanto antes ante Policía o Guardia Civil, aportando toda la documentación disponible.
- Si recibes una citación como investigado, acude siempre acompañado de abogado antes de declarar.
- Solicita asesoramiento penal específico para valorar la calificación jurídica aplicable y las posibles vías de defensa o acusación particular.
Preguntas frecuentes
¿Es delito entrar en el correo electrónico de mi pareja o expareja?
Sí. Acceder sin consentimiento a cuentas de correo, redes sociales o mensajería ajenas puede constituir un delito de descubrimiento de secretos del art. 197 CP, aunque exista o haya existido una relación sentimental.
¿Qué pena tiene el phishing bancario?
Se califica habitualmente como estafa informática del art. 248.2 CP, con penas orientativas de seis meses a tres años de prisión, que pueden aumentar según la cuantía defraudada y si concurren agravantes.
¿Prescribe el delito de daños informáticos o ransomware?
Sí, con carácter general a los cinco años conforme al art. 131 CP, salvo que la calificación agravada eleve la pena máxima por encima de ese umbral.
¿Puedo denunciar si me difunden fotos íntimas sin mi permiso?
Sí, esta conducta está tipificada en el art. 197.7 CP y puede denunciarse aunque las imágenes se hubieran compartido inicialmente de forma consentida.
¿Necesito abogado desde el primer momento si me investigan por un delito informático?
Es muy recomendable. Estos procedimientos suelen requerir pericias técnicas complejas y la estrategia de defensa se define en gran parte desde las primeras diligencias.