Marco legal

Penas previstas por la ley

Supuesto	Artículo CP	Pena prevista
Descubrimiento y revelación de secretos	Art. 197.1-2 CP	Prisión de 1 a 4 años y multa de 12 a 24 meses
Difusión de imágenes/mensajes íntimos sin consentimiento ('sexting')	Art. 197.7 CP	Prisión de 3 meses a 1 año, o multa de 6 a 12 meses
Estafa informática	Art. 248.2 CP	Prisión de 6 meses a 3 años (penas del art. 249)
Daños informáticos	Art. 264.1 CP	Prisión de 6 meses a 3 años
Daños informáticos agravados (organización, infraestructuras críticas)	Art. 264.2 CP	Prisión de 2 a 5 años y multa del tanto al décuplo

Datos contrastados con el texto vigente del Código Penal (Ley Orgánica 10/1995, BOE). Las penas concretas dependen siempre de las circunstancias del caso, la valoración judicial y las posibles atenuantes o agravantes; esta tabla es orientativa y no sustituye el análisis individualizado de su expediente.

Qué hacer si se enfrenta a esta acusación

Conserve capturas de pantalla, cabeceras de correo y cualquier rastro digital antes de que se pueda perder o borrar.
No declare nada ante la policía o el juzgado sin un abogado presente. Es un derecho, no un obstáculo.
No firme ningún atestado, diligencia o documento que no entienda completamente.
Conserve cualquier prueba, mensaje, documento o grabación relacionada con los hechos, sin manipularla.
Contacte con un abogado penalista lo antes posible, idealmente dentro de las primeras 24-48 horas.
Recuerde que toda persona tiene derecho a la presunción de inocencia y a una defensa técnica rigurosa, sea cual sea la acusación.

Código Penal — listado completo

Todos los ciberdelitos

Cada figura recogida a continuación está verificada contra el texto vigente del Código Penal (Ley Orgánica 10/1995). Pinche en cada delito para ver el artículo exacto, en qué consiste y la pena prevista.

Descubrimiento y revelación de secretos

Se castiga a quien, para descubrir secretos o vulnerar la intimidad de otro sin su consentimiento, se apodera de sus papeles, cartas, correos electrónicos, mensajes o cualquier otro documento o efecto personal. Es el tipo básico aplicable, por ejemplo, a la sustracción de un correo electrónico o de mensajes de WhatsApp ajenos. Pena: prisión de uno a cuatro años y multa de doce a veinticuatro meses.

El mismo artículo castiga, con idéntica pena, a quien intercepte telecomunicaciones ajenas o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido, la imagen o cualquier otra señal de comunicación sin consentimiento del afectado. Cubre desde el pinchazo de una línea telefónica hasta el uso de software espía o "stalkerware". Pena: prisión de uno a cuatro años y multa de doce a veinticuatro meses.

Sanciona a quien, sin autorización, acceda, utilice o modifique datos personales o familiares reservados registrados en ficheros o soportes informáticos, electrónicos o telemáticos, públicos o privados, así como a quien altere o utilice esos datos en perjuicio del titular. Es el precepto aplicado, entre otros casos, a accesos indebidos a bases de datos de clientes, historiales o expedientes. Pena: prisión de uno a cuatro años y multa de doce a veinticuatro meses.

Castiga a quien difunde, revela o cede a terceros los datos o hechos descubiertos o las imágenes captadas mediante las conductas de los apartados 1 y 2. También se sanciona, con pena inferior, a quien recibe esos datos conociendo su origen ilícito y los difunde sin haber intervenido en su descubrimiento. Pena: prisión de dos a cinco años (quien descubre y difunde); prisión de uno a tres años y multa de doce a veinticuatro meses (quien difunde conociendo el origen ilícito).

Tipifica la difusión, revelación o cesión a terceros de imágenes o grabaciones audiovisuales de otra persona obtenidas con su consentimiento en un domicilio o lugar ajeno a la mirada de terceros, cuando la difusión menoscabe gravemente su intimidad y se realice sin autorización de la persona afectada. La pena se agrava en la mitad superior si los hechos se cometen por el cónyuge o expareja, contra un menor o persona con discapacidad, o con fines lucrativos. Pena: prisión de tres meses a un año o multa de seis a doce meses.

Acceso ilícito a sistemas informáticos

Castiga a quien, por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo y sin estar debidamente autorizado, acceda o facilite a otro el acceso a todo o parte de un sistema de información, o se mantenga en él contra la voluntad de quien tiene el legítimo derecho a excluirlo. Es el tipo penal que persigue el acceso no autorizado a cuentas, servidores o redes corporativas. Pena: prisión de seis meses a dos años.

Sanciona a quien, mediante artificios o instrumentos técnicos y sin estar autorizado, intercepte transmisiones no públicas de datos informáticos que se produzcan hacia, desde o dentro de un sistema de información, incluidas las emisiones electromagnéticas de dichos sistemas. Se dirige a conductas como el "sniffing" de tráfico de red ajeno. Pena: prisión de tres meses a dos años o multa de tres a doce meses.

Castiga la producción, adquisición para su uso, importación o facilitación a terceros, sin autorización, de un programa informático concebido principalmente para cometer los delitos de descubrimiento de secretos o acceso ilícito de los artículos 197.1, 197.2 o 197 bis, o de una contraseña, código de acceso o dato similar que permita acceder a un sistema de información. Es el precepto que persigue el tráfico de herramientas de "hacking" (exploits, malware, credenciales robadas). Pena: prisión de seis meses a dos años o multa de tres a dieciocho meses.

Estafa informática

Considera reos de estafa a quienes, con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de un tercero. Es el precepto habitualmente aplicado al "phishing", al "carding" y a las transferencias fraudulentas realizadas mediante manipulación de sistemas bancarios o de pago. Pena: prisión de seis meses a tres años (art. 249 CP), pudiendo agravarse en función de la cuantía defraudada o de otras circunstancias del art. 250 CP.

Castiga a quienes fabriquen, introduzcan, posean o faciliten programas informáticos específicamente destinados a la comisión de las estafas descritas en el artículo 248, como el malware bancario o los kits de "phishing" diseñados para sustraer credenciales y ejecutar transferencias fraudulentas. Pena: prisión de seis meses a tres años, conforme a la pena general de la estafa (art. 249 CP).

Tipifica como estafa el uso de tarjetas de crédito o débito, cheques de viaje, o de los datos obrantes en cualquiera de ellos, para realizar operaciones de cualquier clase en perjuicio de su titular o de un tercero. Comprende tanto el uso físico de una tarjeta sustraída como la utilización no autorizada de sus datos en compras "online". Pena: prisión de seis meses a tres años (art. 249 CP).

Daños informáticos

Castiga a quien, sin autorización y de manera grave, borre, dañe, deteriore, altere, suprima o haga inaccesibles datos informáticos, programas informáticos o documentos electrónicos ajenos, cuando el resultado producido sea grave. Es el tipo básico frente a ataques de ransomware, sabotajes internos o borrados intencionados de bases de datos. Pena: prisión de seis meses a tres años.

Sanciona a quien, sin autorización y de manera grave, obstaculice o interrumpa el funcionamiento de un sistema informático ajeno, ya sea introduciendo, transmitiendo, dañando, borrando, deteriorando, alterando, suprimiendo o haciendo inaccesibles datos informáticos, o dañando el propio sistema. Es el precepto que persigue los ataques de denegación de servicio (DDoS) contra webs o infraestructuras digitales. Pena: prisión de seis meses a tres años.

Castiga la producción, adquisición para su uso, importación o facilitación a terceros, sin autorización, de un programa informático concebido principalmente para cometer los delitos de daños informáticos de los artículos 264 o 264 bis, o de una contraseña, código de acceso o dato similar que permita acceder a un sistema de información. Persigue, entre otros supuestos, la distribución de virus, ransomware o botnets. Pena: prisión de seis meses a dos años o multa de tres a dieciocho meses.

Eleva sustancialmente la pena cuando los daños informáticos se cometen en el marco de una organización criminal, ocasionan daños de especial gravedad o afectan a un número elevado de sistemas, perjudican gravemente el funcionamiento de servicios públicos esenciales o el abastecimiento de bienes de primera necesidad, o afectan al sistema informático de una infraestructura crítica. En los casos de extrema gravedad puede imponerse la pena superior en grado. Pena: prisión de dos a cinco años y multa del tanto al décuplo del perjuicio ocasionado.

Abogado especialista en ciberdelitos

Qué se revisa en estos procedimientos