Reforma del Código Penal: se penalizará el hacking directo

El pasado 15 de enero se publicó en el Boletín Oficial de las Cortes Generales el Proyecto de Ley Orgánica por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal.

Entre los múltiples artículos modificados, destacamos los siguientes:

SE MODIFICA EL ARTÍCULO 197 CP, RELATIVO AL DESCUBRIMIENTO Y REVELACIÓN DE SECRETOS:

En el artículo 197 se introduce un nuevo apartado 3, pasando los actuales apartados 3, 4, 5 y 6 a ser los apartados 4, 5, 6 y 7, y se añade el apartado 8, que quedan redactados como siguen:

«3. El que por cualquier medio o procedimiento y vulnerando las medidas de seguridad establecidas para impedirlo, accediera sin autorización a datos o programas informáticos contenidos en un sistema informático o en parte del mismo, será castigado con pena de prisión de seis meses a dos años.»

Con este apartado se castiga la mera intrusión en un sistema informático aunque no se cause daños. Es el llamado Hacking directo o mero intrusismo informático (meros accesos y/o permanencias perpetradas con el único fin de vulnerar un password o una puerta lógica que permite acceder a sistemas informáticos o redes de comunicación electrónica de datos) no penado hasta el momento. No obstante, a partir de la aprobación y entrada en vigor de estas modificaciones, España penalizará, al igual que ya se hace en otros países europeos como Francia, el mero acceso no consentido.

«8. Si los hechos descritos en los apartados anteriores se cometiesen en el seno de una organización criminal, se aplicarán respectivamente las penas superiores
en grado.»

SE MODIFICA EL ARTÍCULO 248, QUE REGULA EL DELITO DE ESTAFA, Y QUE QUEDA REDACTADO COMO SIGUE:

«1. Cometen estafa los que, con ánimo de lucro, utilizaren engaño bastante para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno.

2. También se consideran reos de estafa:
a) Los que, con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro.
b) Los que fabricaren, introdujeren, poseyeren o facilitaren programas informáticos específicamente destinados a la comisión de las estafas previstas en este artículo.
c) Los que utilizando tarjetas de crédito o débito, o cheques de viaje, o los datos obrantes en ellos, realicen operaciones de cualquier clase en perjuicio de su titular o de un tercero.»

Se ha incorporado la modalidad delictiva consistente en defraudar utilizando las tarjetas ajenas o los datos obrantes en ellas, realizando con ello operaciones de cualquier clase en perjuicio de su titular o de un tercero. Dicha conducta delictiva esta ahora en pleno auge, con la proliferación del delito de phishing

SE MODIFICA EL ARTÍCULO 264, RELATIVO AL DELITO DE DAÑOS, QUE QUEDA REDACTADO COMO SIGUE:

«1. El que sin autorización y de manera grave borrase, dañase, deteriorase, alterase, suprimiese, o hiciese inaccesibles datos o programas informáticos ajenos, será castigado, en consideración a la gravedad del hecho, con la pena de prisión de seis meses a dos años.

2. El que sin estar autorizado y de manera grave obstaculizara o interrumpiera el funcionamiento de un sistema de información ajeno, introduciendo, transmitiendo, dañando, borrando, deteriorando, alterando, suprimiendo o haciendo inaccesibles datos informáticos, será castigado, atendiendo a la gravedad del hecho, con la pena de prisión de seis meses a tres años.
3. Se impondrán las penas superiores en grado a las respectivamente señaladas en los dos apartados anteriores y, en todo caso, la pena de multa del tanto al décuplo del perjuicio ocasionado, cuando en las conductas descritas concurra alguna de las siguientes circunstancias:

1.º Se hubiese cometido en el marco de una organización criminal.
2.º Haya ocasionado daños de especial gravedad o afectado a los intereses generales.
4. Cuando los delitos comprendidos en este artículo se hubieren cometido en el marco o con ocasión de las actividades de una persona jurídica y procediere la declaración de su responsabilidad penal de acuerdo con lo establecido en el artículo 31 bis de este Código, se le impondrá la pena de multa del tanto al duplo del perjuicio causado en los supuestos previstos en los apartados 1 y 2, y del tanto al décuplo en el supuesto del apartado 3.»

Con esta modificación se amplia el actual párrafo 2 del artículo 264, relativo a los daños informáticos, imponiendo penas de hasta tres años de prisión a los que interrumpan el funcionamiento de un sistema informático, conocido como denegación de servicio, producido por ejemplo por el envío masivo de spam a un servidor, bloqueándolo e impidiendo seguir con su correcto funcionamiento.

Es preciso señalar que la expresión “de manera grave” puede dificultar la aplicación de este artículo al no disponer de unos parámetros que determinen cuando la conducta delictiva ha ocasionado un perjuicio calificado como de grave o no.

No obstante, es preciso recordar que este proyecto de ley esta una pendiente de discusión en el Congreso.