Suplantación de identidad online: qué dice la ley y cómo actuar

Crear un perfil en redes sociales con las fotos de otra persona. Entrar en el correo o el Instagram de alguien porque se conoce (o se ha adivinado) su contraseña. Hacerse pasar por un tercero en un chat, un anuncio o una llamada para conseguir que alguien confíe en algo que no es cierto. Son conductas cada vez más frecuentes, y que muchas personas asumen — tanto quien las comete como quien las sufre — que "no es para tanto" o que "internet no tiene ley". No es así: el Código Penal español regula estas situaciones a través de varias figuras distintas, cada una con requisitos y penas propias, y confundirlas puede llevar tanto a subestimar un riesgo real como a alarmarse por algo que, jurídicamente, no constituye el delito que se cree.

Esta guía se centra específicamente en dos cuestiones que suelen mezclarse sin serlo: la usurpación de la identidad de otra persona (crear perfiles falsos, hacerse pasar por alguien) y el acceso no autorizado a cuentas, correos o sistemas informáticos ajenos (entrar sin permiso en un email, una red social o una plataforma vulnerando sus medidas de seguridad). Si busca información sobre acoso reiterado o chantaje con contenido íntimo, o sobre estafas y fraudes económicos online, hemos tratado esos temas en detalle en otros artículos del blog; aquí nos concentramos en la identidad y el acceso ilícito como conductas propias.

La usurpación del estado civil: qué cubre realmente el artículo 401 CP

El artículo 401 del Código Penal castiga a quien usurpare el estado civil de otro, con una pena de prisión de seis meses a tres años. Es, de largo, el precepto que más se cita — y también el que más se malinterpreta — cuando se habla de "suplantación de identidad" en internet.

El error habitual es pensar que basta con crear un perfil falso usando el nombre o las fotos de otra persona para que se consume este delito. La jurisprudencia ha marcado un criterio mucho más estricto. El Tribunal Supremo exige una usurpación efectiva del estado civil ajeno, no la mera utilización ocasional de un nombre o una imagen; y los tribunales menores han consolidado, a partir de esa doctrina, dos requisitos que en la práctica limitan mucho el alcance del tipo:

• Vocación de permanencia y continuidad. No basta el uso puntual de la identidad ajena en un mensaje o una publicación aislada: debe existir una suplantación sostenida en el tiempo, no un hecho esporádico.
• Sustitución plena de la personalidad ante terceros. El autor debe hacerse pasar por la víctima de forma global, asumiendo su identidad para ejercer, frente a otras personas, derechos o relaciones que en realidad corresponden a esa persona real — no simplemente abrir una cuenta con su nombre.

Un perfil claramente ficticio, satírico o que no llega a asumir de forma integral la identidad de una persona real "no encaja sin más" en el artículo 401 CP, según ha señalado la jurisprudencia menor. Esto no significa que ese perfil sea legal ni inofensivo: significa que, salvo que concurran esos requisitos estrictos, la conducta se sancionará normalmente a través de otras figuras penales — que son, precisamente, las que desarrollamos a continuación — o de la vía civil de protección del honor, la intimidad y la propia imagen (Ley Orgánica 1/1982), en función de cómo se hayan producido los hechos y qué perjuicio hayan causado.

En la práctica, esto es lo que suele ocurrir con la mayoría de los perfiles falsos que se denuncian: no encajan en el art. 401 CP porque falta esa vocación de permanencia y esa sustitución plena de la personalidad, pero sí pueden constituir un delito contra el honor, una estafa si se ha usado para engañar y obtener un beneficio, o un delito de acceso ilícito si para crearlo se ha accedido antes a fotos o datos privados de la víctima sin su consentimiento.

El acceso ilícito a sistemas y cuentas ajenas: el artículo 197 bis CP

Cuando la conducta consiste en entrar, sin autorización, en el correo, una red social, una cuenta bancaria o cualquier otro sistema informático de otra persona — vulnerando sus medidas de seguridad, ya sea adivinando o robando una contraseña, aprovechando una sesión abierta sin permiso, o explotando una vulnerabilidad técnica —, la figura aplicable ya no es la del artículo 401, sino el artículo 197 bis CP, dentro de los delitos contra la intimidad.

El apartado 1 castiga a quien, vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado, acceda o facilite a otro el acceso a la totalidad o parte de un sistema de información, o se mantenga dentro de él en contra de la voluntad de quien tiene el legítimo derecho a excluirlo. La pena es de prisión de seis meses a dos años. Es el tipo penal que corresponde, por ejemplo, a entrar en el email o el WhatsApp de una expareja usando una contraseña antigua, acceder a la cuenta de Instagram de un conocido aprovechando que dejó la sesión abierta en un dispositivo compartido, o "hackear" técnicamente el perfil de otra persona.

El apartado 2 sanciona, además, a quien mediante la utilización de artificios o instrumentos técnicos, y sin estar debidamente autorizado, intercepte transmisiones no públicas de datos informáticos que se produzcan dentro de un sistema o entre sistemas, incluidas las emisiones electromagnéticas de esos datos, con pena de prisión de tres meses a dos años o multa de tres a doce meses.

Un matiz importante: este delito se consuma con el simple acceso no autorizado, vulnerando una medida de seguridad. No es necesario que el autor llegue a leer mensajes, copiar archivos o causar un perjuicio económico concreto — aunque, si además lo hace, es habitual que entren en juego otras figuras adicionales, como veremos a continuación.

El apoderamiento de correos, mensajes y datos: el artículo 197.1 CP

Distinto del mero acceso al sistema es lo que ocurre una vez dentro: cuando el autor, para descubrir secretos o vulnerar la intimidad de otra persona sin su consentimiento, se apodera de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales, o intercepta sus telecomunicaciones o utiliza artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen. El artículo 197.1 CP castiga esta conducta con prisión de uno a cuatro años y multa de doce a veinticuatro meses.

El apartado 2 del mismo artículo impone idéntica pena a quien, sin autorización, accede, utiliza, modifica, se apodera o transmite datos reservados de carácter personal o familiar de otro que estén registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado, en perjuicio de la persona titular de los datos o de un tercero.

En la práctica, es habitual que un mismo caso combine ambas figuras: se accede primero al sistema vulnerando su seguridad (art. 197 bis CP) y, una vez dentro, se leen o se copian mensajes, fotos o documentos privados (art. 197.1 o 197.2 CP). Cuando ambas conductas concurren, el hecho puede calificarse conforme a las reglas del concurso de delitos, lo que en la práctica agrava sensiblemente la respuesta penal. Y si, además, lo obtenido se llega a difundir, revelar o ceder a terceros, la pena sube todavía más: el artículo 197.3 CP prevé prisión de dos a cinco años para quien difunde, revela o cede los datos o hechos descubiertos, y de uno a tres años de prisión y multa de doce a veinticuatro meses para quien realiza esa difusión conociendo el origen ilícito de la información, aunque no haya participado en el descubrimiento original.

Cuándo la suplantación se convierte además en estafa: la remisión al artículo 248.2 CP

Un perfil falso o el acceso a una cuenta ajena no siempre se queda en un ataque a la identidad o a la intimidad: con frecuencia es solo el medio para conseguir un beneficio económico. Es el caso de quien crea un perfil suplantando a una persona conocida por la víctima para pedirle dinero prestado, o de quien accede a la cuenta de correo o de banca online de un tercero para ordenar transferencias, realizar compras o desviar pagos a su favor.

En estos supuestos entra en juego el artículo 248.2.a CP, que castiga como estafa informática a quienes, con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consiguen una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. Las penas remiten a las del artículo 249 CP: con carácter general, prisión de seis meses a tres años (o multa de uno a tres meses si lo defraudado no supera los 400 euros), y se elevan sensiblemente cuando la cuantía es alta o concurren otras circunstancias agravantes del artículo 250 CP.

Cuando la suplantación de identidad y el acceso ilícito se combinan con esa finalidad económica, no se trata de elegir entre un delito u otro: la usurpación, el acceso ilícito y la estafa informática pueden apreciarse conjuntamente, cada uno protegiendo un bien jurídico distinto (la identidad o intimidad, la seguridad del sistema, y el patrimonio), lo que en la práctica agrava de forma notable la posición de quien resulta condenado. Si su caso tiene un componente económico relevante, conviene revisar también nuestra guía específica sobre estafa, donde se detallan las penas y estrategias de defensa de este delito con más profundidad.

Circunstancias que agravan la respuesta penal

Más allá de los tipos básicos, existen circunstancias que la ley y la práctica judicial tienen especialmente en cuenta a la hora de fijar la pena dentro de cada horquilla, o incluso de aplicar directamente un subtipo agravado:

• Datos especialmente sensibles. El artículo 197.5 CP eleva la pena a su mitad superior cuando los hechos afectan a datos de carácter personal que revelen la ideología, religión, creencias, salud, origen racial o vida sexual de la víctima, o cuando esta es menor de edad o persona con discapacidad necesitada de especial protección.
• Relaciones de pareja o expareja. Acceder al correo o al móvil de una pareja o expareja actual, o suplantar su identidad tras la ruptura, no atenúa la responsabilidad por el hecho de existir o haber existido una relación previa; al contrario, la jurisprudencia viene tratando estos contextos con especial severidad, y en función de las circunstancias del caso puede entrar en juego además la normativa específica de protección frente a la violencia de género.
• Finalidad lucrativa. Cuando el acceso ilícito o la suplantación se orientan a obtener un beneficio económico propio o de un tercero, además de la posible estafa informática ya vista, la propia obtención de lucro suele valorarse como un factor que agrava la reprochabilidad de la conducta dentro del margen de pena disponible.
• Pertenencia a organización o grupo criminal. Cuando estas conductas se cometen de forma organizada — por ejemplo, en el marco de campañas de phishing a gran escala o de reventa de credenciales y cuentas robadas —, la respuesta penal se agrava de forma significativa respecto de un hecho aislado cometido por una sola persona.
• Reincidencia. Como en cualquier delito, los antecedentes penales previos por hechos de la misma naturaleza, cuando siguen vigentes, permiten aplicar la agravante genérica de reincidencia del artículo 22.8ª CP.

Qué hacer si le investigan por acceder a una cuenta ajena o crear un perfil falso

Si ha recibido una citación, una notificación policial o simplemente sospecha que está siendo investigado por hechos de este tipo, hay pautas que marcan una diferencia real en el resultado del proceso:

• No declare sin abogado, ni ante la policía ni ante el juzgado, aunque le presenten los hechos como algo menor ("total, era una broma" o "solo entré una vez"). Una explicación precipitada, sin conocer previamente el atestado o la denuncia, es difícil de corregir después.
• No borre nada — ni el perfil, ni los mensajes, ni el dispositivo desde el que se accedió. Eliminar rastros puede interpretarse como un intento de ocultación de pruebas y perjudicar seriamente su defensa, incluso si en origen los hechos eran menos graves de lo que parecía.
• Revise con su abogado si los hechos encajan realmente en el tipo que se le imputa. Como hemos visto, no toda "suplantación" es usurpación del estado civil del art. 401 CP; distinguir entre esa figura, el acceso ilícito del art. 197 bis, el apoderamiento de datos del art. 197.1-2, y una eventual estafa informática puede suponer una diferencia sustancial en la pena finalmente aplicable.
• Aporte el contexto completo a su abogado: cómo se produjo el acceso, si existía o no una relación previa con la persona afectada, si hubo consentimiento en algún momento (aunque después se haya retirado) y qué finalidad tenía la conducta. Todos estos elementos son determinantes para valorar la calificación jurídica correcta y las posibles vías de defensa.
• No contacte con la persona afectada por su cuenta para "arreglarlo" o pedir disculpas sin mediación de su abogado — puede interpretarse como una forma de presión y perjudicar su situación procesal.

Qué hacer si es usted la víctima de una suplantación o de un acceso ilícito

• Conserve todas las pruebas antes de actuar sobre ellas. Haga capturas de pantalla del perfil falso o de la actividad sospechosa en su cuenta, con fecha y hora visibles, antes de solicitar su bloqueo o eliminación — una vez retirado el contenido, puede resultar mucho más difícil recuperarlo como prueba.
• Notifique a la plataforma correspondiente. Instagram, Facebook, X, LinkedIn, Google y la mayoría de proveedores de correo y redes sociales cuentan con canales específicos de denuncia para perfiles falsos y accesos no autorizados; solicitar la retirada no sustituye la denuncia penal, pero puede frenar el daño mientras avanza el procedimiento.
• Cambie sus contraseñas y active la verificación en dos pasos en todas las cuentas afectadas y en las que compartan contraseña, tan pronto como haya conservado las pruebas necesarias — no antes, para no perder el rastro del acceso.
• Revise qué información pudo quedar expuesta (contactos, mensajes, datos bancarios, documentos) para poder informar con precisión tanto en la denuncia como, si procede, a las entidades afectadas (banco, otras plataformas donde reutilizara la misma contraseña).
• Presente denuncia cuanto antes, ante la Policía Nacional, la Guardia Civil o directamente ante el juzgado de instrucción, aportando toda la documentación reunida y describiendo los hechos de forma cronológica y concreta.
• Valore la personación como acusación particular en el procedimiento penal, que le permite intervenir de forma activa y reclamar la responsabilidad civil derivada del delito.

Usurpación del estado civil, acceso ilícito y descubrimiento de secretos: tabla comparativa

Estas tres figuras se confunden con frecuencia porque suelen aparecer juntas en la misma noticia o en el mismo relato de hechos, pero protegen bienes jurídicos distintos y tienen requisitos y penas propias. Esta tabla resume, de un vistazo, en qué se diferencian.

Datos contrastados con el texto vigente del Código Penal (Ley Orgánica 10/1995, BOE). Estas figuras no son excluyentes entre sí: unos mismos hechos pueden dar lugar a un concurso de delitos cuando concurren varias conductas (por ejemplo, acceso ilícito seguido de apoderamiento de mensajes y posterior difusión), lo que agrava la respuesta penal conjunta. La calificación jurídica exacta depende siempre de las circunstancias concretas del caso.

Preguntas frecuentes

¿Es delito crear un perfil falso con las fotos de otra persona si no lo uso para nada malo?

Depende de cómo se use y durante cuánto tiempo. Un perfil aislado o efímero, sin vocación de permanencia ni sustitución plena de la identidad de la víctima, probablemente no encaje en el artículo 401 CP, pero puede seguir siendo relevante penalmente si vulnera la intimidad o el honor de esa persona, o si se ha accedido previamente a fotos privadas sin su consentimiento para crear el perfil. En todo caso, el uso no autorizado de la imagen de otra persona también puede tener consecuencias en la vía civil de protección del honor y la propia imagen.

¿Entrar una sola vez en el WhatsApp o el correo de mi pareja o expareja es delito?

Puede serlo. El artículo 197 bis CP no exige reiteración: basta con acceder una vez, sin autorización y vulnerando la seguridad de la cuenta (por ejemplo, usando una contraseña que la otra persona no compartió voluntariamente en ese momento), para que el hecho pueda ser constitutivo de delito. Que exista o haya existido una relación de pareja no excluye la responsabilidad penal.

¿Y si conocía la contraseña porque antes la compartíamos?

El consentimiento previo para compartir una contraseña no equivale a una autorización indefinida. Si la relación ha terminado o la otra persona ha retirado ese consentimiento (por ejemplo, cambiando la contraseña o pidiendo expresamente que no se acceda), seguir entrando en la cuenta puede constituir acceso ilícito. Es una cuestión de prueba que conviene analizar con detalle en cada caso concreto.

¿Qué diferencia hay entre suplantación de identidad y phishing?

El phishing es una técnica: el envío de mensajes o correos que imitan a una entidad legítima (un banco, una empresa, un organismo) para engañar a la víctima y obtener sus credenciales o datos de pago. Cuando esos datos se usan después para acceder a una cuenta o para obtener un beneficio económico, entran en juego el acceso ilícito (art. 197 bis CP) y, en su caso, la estafa informática (art. 248.2 CP). La suplantación de identidad, en cambio, se refiere a hacerse pasar por una persona concreta, no por una entidad genérica.

¿Puedo denunciar si no sé quién ha creado el perfil falso o accedido a mi cuenta?

Sí. Desconocer la identidad del responsable no impide presentar la denuncia. La investigación policial y judicial dispone de mecanismos técnicos para tratar de identificar al autor a partir de direcciones IP, metadatos y la colaboración de las propias plataformas, especialmente si se actúa con rapidez y se conservan bien las pruebas iniciales.

¿Qué pena arriesgo si accedí a una cuenta ajena y además hice transferencias con esos datos?

En ese supuesto pueden concurrir varios delitos a la vez: el acceso ilícito al sistema (art. 197 bis CP), el posible apoderamiento de datos o mensajes (art. 197 CP) y la estafa informática por la transferencia no consentida (art. 248.2 CP), lo que agrava notablemente la respuesta penal conjunta frente a la comisión de un solo hecho aislado. La pena final depende de las reglas del concurso de delitos y de las circunstancias concretas del caso.

¿Merece la pena denunciar un perfil falso si la plataforma ya lo ha eliminado?

Sí, sigue teniendo sentido, sobre todo si conservó pruebas del perfil antes de su retirada. La eliminación por la plataforma resuelve el problema inmediato de visibilidad, pero no repara el perjuicio ya causado ni impide que la misma persona repita la conducta; la vía penal sigue abierta y puede además dar acceso a una indemnización por los daños sufridos.

Tanto si le investigan por haber accedido a una cuenta ajena o por crear un perfil falso, como si ha sido usted quien ha sufrido esa conducta, el primer paso siempre es el mismo: determinar con precisión qué ocurrió realmente y en qué tipo penal encaja — porque, como hemos visto, no todo lo que coloquialmente llamamos "suplantación de identidad" es el mismo delito ante la ley, y esa diferencia puede ser decisiva para el resultado del caso.