Delito de daños informáticos: cuándo es punible y qué penas conlleva

Las empresas, profesionales y particulares dependen cada vez más de sus sistemas informáticos para trabajar, facturar, almacenar datos de clientes o gestionar documentación sensible. Cuando alguien borra, altera o bloquea esa información de forma intencionada, ya no hablamos de un simple “fallo técnico”: puede tratarse de un delito de daños informáticos, castigado con penas de prisión y multas importantes.

Comprender cuándo es punible este tipo de conductas y qué penas conlleva es clave tanto para quien ha sufrido un ataque como para quien se ve investigado en un procedimiento penal. A continuación se explica de forma clara cómo regula el Código Penal español estos hechos, qué requisitos exige y qué puede hacer un despacho especializado en ciberdelitos y daños en sistemas informáticos para defender sus intereses.

Qué es el delito de daños informáticos según el Código Penal

El delito de daños informáticos es una modalidad específica del delito de daños que protege el patrimonio en su dimensión digital: datos, programas, documentos electrónicos y sistemas informáticos. Está regulado, principalmente, en los artículos 264 a 264 quater del Código Penal, dentro de los delitos contra el patrimonio y el orden socioeconómico.

En términos sencillos, se comete cuando alguien, sin autorización y de manera grave, provoca un menoscabo relevante en datos o sistemas informáticos ajenos. No es necesario romper físicamente un ordenador; basta con atacar el software, la información o el funcionamiento del sistema. Por eso, muchos incidentes que se presentan como “problemas de informática” pueden encajar en el delito de daños informáticos: cuándo es punible dependerá de si concurren los requisitos que veremos a continuación.

Conductas típicas que pueden constituir daños informáticos

El artículo 264 del Código Penal menciona de forma expresa una serie de acciones que, si se realizan sin permiso y de forma grave, pueden integrar este delito. Entre ellas destacan:

• Borrar datos, programas o documentos electrónicos ajenos (por ejemplo, eliminar una base de datos de clientes).
• Dañar o deteriorar información o programas (corromper archivos, bases de datos o aplicaciones de gestión).
• Alterar datos (modificar registros contables, historiales de pacientes o inventarios sin autorización).
• Suprimir o ocultar documentos electrónicos relevantes para la actividad de una empresa o profesional.
• Hacer inaccesibles los datos o sistemas, por ejemplo cifrándolos con un ransomware o cambiando contraseñas para impedir el acceso legítimo.
• Obstaculizar o interrumpir el funcionamiento de un sistema informático ajeno (apagar servidores de forma maliciosa, lanzar ataques de denegación de servicio, etc.).

Estas conductas deben recaer sobre bienes informáticos ajenos. Si el daño se produce únicamente sobre sistemas propios, en principio no encaja en este tipo penal, aunque pueda haber otras responsabilidades (civiles, laborales, contractuales).

Bienes jurídicos y elementos protegidos

El bien jurídico principal protegido es el patrimonio, pero también la seguridad de los datos y sistemas informáticos. La norma no se centra en el hardware (el ordenador físico), sino en lo que este contiene y procesa. En concreto, se protegen:

• Datos informáticos: bases de datos de clientes, historiales médicos, ficheros contables, correos electrónicos, expedientes, etc.
• Programas informáticos: software de gestión, aplicaciones de facturación, programas a medida, sistemas ERP, CRM, etc.
• Documentos electrónicos: contratos, informes, escrituras, documentación escaneada y firmada digitalmente.
• Sistemas informáticos: servidores, redes, páginas web, plataformas de comercio electrónico, sistemas en la nube, sistemas de control industrial, entre otros.

Cuando el ataque se dirige exclusivamente contra elementos físicos (por ejemplo, romper un monitor o un teclado), suele encajar en el delito de daños tradicional del artículo 263 del Código Penal, y no en el delito de daños informáticos.

Requisitos para que exista delito de daños informáticos

No todo fallo informático, pérdida de datos o interrupción del sistema es delito. Para que el comportamiento sea punible como delito de daños informáticos, los tribunales exigen una serie de requisitos mínimos. Analizarlos bien es esencial, tanto para quien quiere denunciar como para quien necesita una defensa penal sólida.

Actuación sin autorización y con intención de dañar

El primer requisito es que la conducta se realice “sin estar autorizado”. Esto significa que:

• El autor no tiene ningún tipo de permiso para acceder o manipular esos datos o sistemas, o
• Aun teniendo un acceso legítimo (por ejemplo, un empleado de sistemas o un socio), utiliza ese acceso para fines distintos a los permitidos, con voluntad de causar un perjuicio.

Además, debe existir dolo, es decir, intención de dañar (el llamado animus damnandi). No es necesario que el autor busque un beneficio económico; basta con que, de forma consciente, quiera perjudicar el patrimonio informático de otra persona o entidad. Errores de programación, actualizaciones fallidas o negligencias técnicas, en principio, no encajan en este tipo si no hay voluntad de causar daño, aunque sí pueden generar responsabilidad civil o laboral.

Gravedad del resultado y perjuicio patrimonial

El segundo elemento clave es la gravedad del resultado. El Código Penal exige que el menoscabo en los datos, programas o sistemas sea grave y que el perjuicio sea cuantificable económicamente. Para valorar esa gravedad, los tribunales tienen en cuenta, entre otros factores:

• El coste de recuperación de los datos o sistemas (recuperación de copias de seguridad, reinstalación y configuración de servidores, horas de trabajo, contratación de expertos, etc.).
• La relevancia funcional del sistema afectado (si se trata de un servidor crítico, una tienda online, un sistema de gestión de pacientes, etc.).
• La duración de la interrupción o inaccesibilidad del sistema.
• El número de afectados (clientes, usuarios, empleados, pacientes).
• Las pérdidas económicas derivadas (ventas perdidas, contratos frustrados, penalizaciones, etc.).

En definitiva, para que hablemos de delito de daños informáticos: cuándo es punible, debe existir un perjuicio patrimonial relevante, aunque también se valoran daños reputacionales y pérdida de confianza de clientes o usuarios.

Penas del delito de daños informáticos según el Código Penal

Las penas previstas para el delito de daños informáticos varían en función de la modalidad delictiva y de las circunstancias concretas. El Código Penal distingue entre un tipo básico, supuestos agravados, la obstaculización de sistemas y las conductas preparatorias (programas y contraseñas), así como la posible responsabilidad de personas jurídicas.

Tipo básico del delito de daños informáticos (art. 264.1 CP)

La modalidad básica del artículo 264.1 castiga a quien, por cualquier medio y sin estar autorizado, de manera grave, borre, deteriore, altere, suprima o haga inaccesibles datos informáticos, programas informáticos o documentos electrónicos ajenos, produciendo un resultado grave en los mismos.

La pena prevista para este tipo básico es:

• Prisión de 6 meses a 3 años.

Además, el condenado deberá indemnizar a la víctima por todos los daños y perjuicios causados (costes de recuperación, lucro cesante, etc.), lo que en el ámbito empresarial puede suponer cantidades muy elevadas.

Modalidades agravadas del delito de daños informáticos (art. 264.2 CP)

El Código Penal agrava la pena cuando, en las conductas anteriores, concurre alguna de las circunstancias que muestran una especial peligrosidad o trascendencia social. En estos casos, la pena se eleva a:

• Prisión de 2 a 5 años y
• Multa del tanto al décuplo del perjuicio ocasionado.

Las principales circunstancias agravantes son:

• Que el delito se cometa en el marco de una organización criminal.
• Que se ocasionen daños de especial gravedad o se afecte a un número elevado de sistemas informáticos (por ejemplo, ataques masivos a múltiples servidores o redes corporativas).
• Que el hecho perjudique gravemente el funcionamiento de servicios públicos esenciales (sanidad, transporte, energía, agua, seguridad, etc.) o la provisión de bienes de primera necesidad (alimentos, medicamentos, vivienda, etc.).
• Que los hechos afecten al sistema informático de una infraestructura crítica o creen una situación de peligro grave para la seguridad del Estado, de la Unión Europea o de otro Estado miembro.
• Que el delito se haya cometido utilizando alguno de los medios del artículo 264 ter (programas específicamente diseñados para causar daños, contraseñas o códigos de acceso ilícitos, etc.).

Si los hechos resultan de extrema gravedad, el tribunal puede imponer la pena superior en grado, es decir, por encima del límite máximo previsto para el tipo agravado.

Uso ilícito de datos personales para cometer el delito

Cuando los hechos se cometen mediante la utilización ilícita de datos personales de otra persona (no necesariamente la víctima) para facilitar el acceso al sistema informático o para ganarse la confianza de un tercero, las penas previstas se aplican en su mitad superior.

Esto ocurre, por ejemplo, cuando se utilizan credenciales de un empleado, cliente o proveedor para infiltrarse en un sistema, o cuando se suplanta la identidad de una persona para obtener acceso y causar el daño informático.

Tabla resumen de penas del delito de daños informáticos

Supuesto	Conducta	Penas previstas
Tipo básico (art. 264.1)	Borrar, deteriorar, alterar, suprimir o hacer inaccesibles datos, programas o documentos electrónicos ajenos, de forma grave.	Prisión de 6 meses a 3 años.
Tipo agravado (art. 264.2)	Lo anterior, cometido en organización criminal, con daños de especial gravedad, afectando a muchos sistemas, servicios esenciales, infraestructuras críticas o usando medios del art. 264 ter.	Prisión de 2 a 5 años y multa del tanto al décuplo del perjuicio. Pena superior en grado si es de extrema gravedad.
Uso ilícito de datos personales	Utilizar datos personales ajenos para acceder al sistema o ganarse la confianza de un tercero y cometer el daño.	Las penas anteriores se aplican en su mitad superior.

Obstaculización o interrupción del funcionamiento de sistemas informáticos

Además del daño directo a datos, programas o documentos electrónicos, el Código Penal castiga de forma específica la obstaculización o interrupción del funcionamiento de un sistema informático ajeno, regulada en el artículo 264 bis.

Modalidad básica de obstaculización de sistemas (art. 264 bis.1 CP)

Se castiga con pena de prisión de 6 meses a 3 años a quien, sin estar autorizado y de manera grave, obstaculice o interrumpa el funcionamiento de un sistema informático ajeno, mediante alguna de las siguientes conductas:

• Realizando alguna de las acciones descritas en el artículo 264 (borrar, deteriorar, alterar, suprimir o hacer inaccesibles datos o programas).
• Introduciendo o transmitiendo datos (por ejemplo, enviando grandes volúmenes de tráfico malicioso para colapsar un servidor).
• Destruyendo, dañando, inutilizando, eliminando o sustituyendo un sistema informático, telemático o de almacenamiento de información electrónica.

Esta modalidad cubre, por ejemplo, ataques de denegación de servicio (DDoS) que dejan inoperativa una página web o un servidor corporativo, aunque los datos no se pierdan de forma definitiva.

Modalidades agravadas de obstaculización (art. 264 bis.2 y 3 CP)

La pena se agrava en función del impacto que tenga sobre la actividad afectada:

• Si los hechos perjudican de forma relevante la actividad normal de una empresa, negocio o Administración pública, la pena de prisión de 6 meses a 3 años se impondrá en su mitad superior, pudiendo alcanzar la pena superior en grado.
• Si concurre alguna de las circunstancias agravantes del art. 264.2 (organización criminal, daños de especial gravedad, servicios esenciales, infraestructuras críticas, uso de medios del art. 264 ter), la pena se eleva a:
  • Prisión de 3 a 8 años y
  • Multa del triplo al décuplo del perjuicio ocasionado.
• Si se ha utilizado ilícitamente datos personales de otra persona para acceder al sistema o ganarse la confianza de un tercero, las penas se imponen en su mitad superior.

En la práctica, un ataque que paraliza durante días la web de una tienda online de Madrid o el sistema de citas de una clínica en A Coruña puede ser perseguido como delito de obstaculización grave, con penas muy relevantes si se acredita el perjuicio y la intención de dañar.

Programas, contraseñas y otras conductas relacionadas (art. 264 ter CP)

El Código Penal no solo castiga el daño consumado, sino también determinadas conductas preparatorias que facilitan la comisión de los delitos de daños informáticos anteriores. Es lo que regula el artículo 264 ter.

Producción, adquisición y facilitación de herramientas para causar daños

Se castiga con pena de prisión de 6 meses a 2 años o multa de 3 a 18 meses a quien, sin estar autorizado, y con la intención de facilitar la comisión de los delitos de los artículos 264 y 264 bis:

• Produzca, adquiera para su uso, importe o facilite a terceros programas informáticos concebidos o adaptados principalmente para cometer estos delitos (por ejemplo, malware diseñado para cifrar datos o colapsar sistemas).
• Produzca, adquiera, importe o facilite contraseñas de ordenador, códigos de acceso o datos similares que permitan acceder a todo o parte de un sistema de información.

Esto significa que no solo es punible quien ejecuta el ataque, sino también quien desarrolla o distribuye herramientas específicamente destinadas a causar daños informáticos, incluso si todavía no se han utilizado para un ataque concreto.

Responsabilidad penal de las personas jurídicas (art. 264 quater CP)

Las empresas y otras personas jurídicas también pueden ser penalmente responsables por delitos de daños informáticos, tanto cuando se benefician de los ataques como cuando la falta de controles internos permite su comisión por directivos o empleados.

Penas para personas jurídicas por daños informáticos

El artículo 264 quater prevé, para las personas jurídicas responsables de estos delitos, principalmente penas de multa, cuya cuantía varía según la gravedad del delito que se hubiera cometido si el autor fuera una persona física:

• Si el delito está castigado con pena de prisión de más de 3 años:
  • Multa de 2 a 5 años o del quíntuplo a 12 veces el valor del perjuicio causado, si esta cantidad es superior.
• En el resto de los casos:
  • Multa de 1 a 3 años o del triple a 8 veces el valor del perjuicio causado, si esta cantidad es superior.

Además, el juez puede imponer otras medidas muy severas, como:

• Disolución de la persona jurídica.
• Suspensión de actividades por un plazo determinado.
• Clausura de locales y establecimientos.
• Prohibición de realizar en el futuro las actividades en cuyo ejercicio se haya cometido el delito.
• Inhabilitación para obtener subvenciones y ayudas públicas, contratar con el sector público o gozar de beneficios fiscales o sociales.
• Intervención judicial de la organización o de alguna de sus instalaciones.

Para empresas con sede o actividad en Madrid o A Coruña, un procedimiento de este tipo puede comprometer seriamente su continuidad, por lo que es esencial contar con un abogado penalista especializado en delitos informáticos que diseñe una estrategia de defensa adecuada y revise los programas de compliance penal.

El delito imprudente de daños informáticos (art. 267 CP)

Aunque lo habitual es que el delito de daños informáticos se cometa de forma intencionada, el Código Penal también contempla la posibilidad de castigar determinados supuestos de imprudencia grave, regulados en el artículo 267.

Cuándo es punible la imprudencia en daños informáticos

Para que exista delito imprudente de daños informáticos deben concurrir, de forma acumulativa, estos requisitos:

• Que se trate de una imprudencia grave (no un simple descuido leve).
• Que la cuantía de los daños sea superior a 80.000 euros.
• Que exista denuncia del agraviado o de su representante legal, o del Ministerio Fiscal si el agraviado es menor de edad o persona con discapacidad necesitada de especial protección.

En estos casos, el perdón del ofendido puede llegar a extinguir la acción penal, lo que abre la puerta a acuerdos de reparación del daño entre las partes, especialmente útil en conflictos empresariales o entre socios.

Cómo saber si un incidente encaja en el delito de daños informáticos

Muchas empresas y particulares en Madrid, A Coruña y sus áreas de influencia sufren incidencias informáticas sin tener claro si pueden denunciar penalmente. Para valorar si estamos ante un delito de daños informáticos, conviene hacerse una serie de preguntas:

• ¿Ha habido una intervención humana intencionada o parece más bien un fallo técnico, una avería o un error de configuración?
• ¿La persona que actuó tenía autorización para hacer lo que hizo, o ha utilizado su acceso de forma maliciosa?
• ¿El daño es relevante? ¿Se han perdido datos esenciales? ¿Se ha paralizado la actividad? ¿Ha habido pérdidas económicas significativas?
• ¿Se han hecho inaccesibles los datos o sistemas, aunque no se hayan borrado físicamente?
• ¿Existen indicios de ataque externo? (intentos de acceso no autorizado, malware detectado, cambios de contraseñas, conexiones sospechosas, etc.).

Responder a estas cuestiones y, sobre todo, recoger pruebas desde el primer momento, es fundamental para que un abogado penalista pueda valorar la viabilidad de una denuncia o la mejor estrategia de defensa si usted es la persona investigada.

Qué hacer si ha sufrido un daño informático

Ante un incidente que pueda encajar en el delito de daños informáticos, la forma de actuar en las primeras horas es decisiva, tanto para limitar el perjuicio como para poder reclamar responsabilidades penales y civiles.

Pasos iniciales ante un posible delito de daños informáticos

Algunas recomendaciones básicas son:

• Conservar la evidencia: no formatear equipos ni borrar registros sin asesoramiento. Los logs, correos, capturas de pantalla y copias de seguridad pueden ser pruebas clave.
• Contactar con un profesional informático: un perito o experto en sistemas puede ayudar a contener el incidente y documentar técnicamente lo ocurrido.
• Valorar el alcance del daño: qué datos se han perdido, cuánto tiempo ha estado el sistema inoperativo, qué impacto económico y organizativo ha tenido.
• Recopilar documentación: contratos de servicios informáticos, comunicaciones con proveedores, correos internos, políticas de acceso y seguridad, etc.

Con esta información, un abogado penalista especialista en delitos informáticos podrá analizar si se cumplen los requisitos del tipo penal, si el caso encaja en delito de daños informáticos: cuándo es punible y qué vía de actuación conviene seguir.

Denuncia y procedimiento penal

Si existen indicios sólidos de delito, el siguiente paso suele ser la presentación de una denuncia ante Policía, Guardia Civil o directamente en el Juzgado de Guardia. En esa denuncia es importante detallar:

• Los hechos (qué ha ocurrido, cuándo, cómo, quién puede estar implicado).
• Los sistemas afectados y el tipo de datos dañados o inaccesibles.
• El perjuicio sufrido (económico, organizativo, reputacional).
• Las pruebas disponibles (informes técnicos, capturas de pantalla, registros, comunicaciones, etc.).

En muchos casos, es aconsejable acompañar la denuncia de un informe pericial informático o, al menos, solicitar desde el inicio la intervención de especialistas para asegurar la cadena de custodia de las evidencias digitales.

Importancia del perito informático en los daños informáticos

En los procedimientos penales por delito de daños informáticos, la prueba técnica es determinante. Jueces y fiscales necesitan apoyarse en peritos informáticos que expliquen qué ha ocurrido y cuál ha sido el alcance real del daño.

Qué aporta un informe pericial informático

Un buen informe pericial suele incluir:

• Descripción técnica detallada del incidente.
• Acreditación de la existencia real del daño y su impacto en datos, programas o documentos electrónicos.
• Origen y trazabilidad de las pruebas digitales (registros de acceso, ficheros, evidencias de malware, etc.).
• Métodos y herramientas utilizadas para el análisis.
• Medidas adoptadas para preservar la integridad de las pruebas (cadena de custodia).
• Una estimación económica de los daños y perjuicios sufridos.

Este documento servirá de base para que el tribunal pueda valorar si concurren los requisitos del delito de daños informáticos y fijar, en su caso, la indemnización correspondiente a la víctima.

Cadena de custodia y validez de la prueba

En materia de delitos informáticos, es esencial respetar la llamada cadena de custodia. Cualquier manipulación indebida puede hacer que la prueba sea cuestionada o incluso declarada nula. El perito se encarga de:

• Extraer la información de forma forense (copias espejo de discos, imágenes de sistemas, etc.).
• Documentar cada paso del proceso, indicando quién accede a las pruebas y en qué condiciones.
• Garantizar que los archivos no se han modificado desde su obtención.
• Explicar en juicio, de forma clara, el contenido y las conclusiones del informe.

Indemnización por daños informáticos

Además de la pena de prisión y la multa, el autor del delito de daños informáticos debe hacer frente a la responsabilidad civil, es decir, a la obligación de reparar el daño causado.

Criterios para calcular la indemnización

No existe un baremo cerrado, pero los tribunales suelen tener en cuenta:

• El valor económico de los datos o programas dañados o perdidos.
• El coste de recuperación (restauración de copias de seguridad, reconstrucción de bases de datos, horas de trabajo, contratación de especialistas, etc.).
• El lucro cesante: beneficios que la empresa ha dejado de obtener por la paralización de su actividad.
• El daño reputacional y la pérdida de confianza de clientes o usuarios, cuando puedan acreditarse y cuantificarse.

En negocios digitales o muy dependientes de la tecnología (tiendas online, despachos profesionales, clínicas, etc.), estas cantidades pueden ser muy significativas, por lo que es fundamental documentar bien el impacto económico del incidente y contar con asesoramiento penal y económico especializado.

Prevención del delito de daños informáticos en empresas y particulares

Aunque el Código Penal permite reaccionar frente a un ataque, la mejor estrategia sigue siendo la prevención. Un incidente grave puede comprometer la continuidad de una empresa, especialmente en pymes y profesionales de Madrid, A Coruña y sus alrededores.

Medidas técnicas básicas de protección

Algunas medidas recomendables son:

• Uso de antivirus y antimalware de calidad, con actualizaciones automáticas.
• Actualización periódica de sistemas operativos y aplicaciones, aplicando los parches de seguridad.
• Configuración adecuada de cortafuegos (firewall) para controlar el tráfico y bloquear accesos no autorizados.
• Realización de copias de seguridad frecuentes, automatizadas y almacenadas en ubicaciones seguras, incluyendo copias desconectadas (offline).
• Gestión correcta de accesos y contraseñas (contraseñas robustas, autenticación de doble factor, control de permisos, etc.).

Estas medidas no eliminan por completo el riesgo, pero reducen de forma significativa la probabilidad y el impacto de un ataque, y pueden influir en la valoración de la diligencia de la empresa o profesional afectado en un eventual procedimiento penal.

Formación y protocolos internos

La seguridad no es solo cuestión de tecnología; el factor humano es determinante. Muchos daños informáticos se producen por:

• Apertura de correos de phishing o enlaces maliciosos.
• Uso de contraseñas débiles o compartidas.
• Instalación de software no autorizado.

Por ello, es recomendable:

• Formar periódicamente al personal en buenas prácticas de ciberseguridad.
• Establecer protocolos internos claros de acceso, uso de dispositivos y respuesta ante incidentes.
• Revisar periódicamente la política de seguridad con apoyo de especialistas.

Asesoramiento de un abogado penalista en daños informáticos

Los procedimientos por delito de daños informáticos combinan cuestiones técnicas complejas con una valoración jurídica detallada de la intención, la autorización, la gravedad del daño y la posible concurrencia con otros delitos (estafa, revelación de secretos, delitos económicos, etc.).

Contar con un abogado penalista especializado en delitos informáticos permite:

• Analizar si un incidente encaja realmente en el tipo penal de delito de daños informáticos y, en particular, cuándo es punible según el Código Penal.
• Definir la mejor estrategia de denuncia o de defensa, según se trate de víctima o investigado.
• Coordinar la intervención de peritos informáticos para reforzar la acusación o la defensa.
• Reclamar la máxima indemnización posible por los perjuicios sufridos o, en su caso, minimizar el impacto penal y económico para el investigado.

Ante cualquier sospecha de ataque o sabotaje digital que haya afectado a sus sistemas, datos o documentos electrónicos es recomendable consultar cuanto antes con un abogado de delitos informáticos en Madrid o con un equipo penalista especializado en ciberdelincuencia en A Coruña para valorar opciones y plazos de actuación.