Artículo 264 del Código Penal: Daños informáticos

El artículo 264 castiga el borrado, daño, deterioro, alteración, supresión o inaccesibilidad de datos, programas o documentos electrónicos ajenos. Es el precepto de referencia en los ataques de ransomware, en el sabotaje interno y en la destrucción de información por empleados salientes.

Texto vigente del artículo 264 del Código Penal

Elementos del tipo

1. Actuación sobre datos, programas o documentos electrónicos ajenos.
2. Ausencia de autorización, elemento que remite al régimen de credenciales y permisos del titular del sistema.
3. Gravedad de la conducta y gravedad del resultado, doble exigencia expresa del apartado primero.
4. Ajenidad, que excluye la actuación sobre datos propios o sobre sistemas de titularidad del autor.
5. Dolo, sin previsión de modalidad imprudente.

Líneas de defensa

Existencia de autorización de acceso. El empleado o colaborador que actúa con credenciales legítimamente asignadas no obra sin autorización, aunque el uso concreto exceda de sus funciones. La delimitación exige examinar la política de accesos, el perfil asignado y el momento en que se revocó. La extralimitación contractual no es sin más ausencia de autorización.

Falta de gravedad del resultado. El precepto exige gravedad tanto en la conducta como en el resultado. La existencia de copias de seguridad operativas, la recuperación íntegra de la información y la ausencia de interrupción del servicio excluyen esa gravedad y remiten el conflicto al ámbito civil o laboral.

Trazabilidad y atribución de la autoría. La atribución a una dirección IP, a un equipo compartido o a una cuenta genérica no identifica a una persona. La defensa debe examinar los registros de sesión, la existencia de credenciales compartidas y la posibilidad de acceso por terceros. La ausencia de una cadena de custodia rigurosa del volcado forense compromete toda la prueba.

Cuantificación del perjuicio. La cifra que sostiene la agravación del apartado segundo suele proceder de una estimación interna del perjudicado que agrega horas de dedicación, lucro cesante y renovación de infraestructura. El informe pericial contradictorio sobre el coste real de restauración desactiva con frecuencia el subtipo agravado.

Concurso con la revelación de secretos y con la estafa informática. El acceso al sistema, la obtención de información y la posterior disposición patrimonial responden a preceptos distintos. La calificación simultánea sobre un sustrato fáctico único debe examinarse a la luz de las reglas concursales.

Diligencia del titular del sistema. Aunque no excluye el tipo, la ausencia de medidas mínimas de seguridad, de segregación de perfiles y de política de revocación de accesos es relevante en la determinación de la pena y en la fijación de la responsabilidad civil.

Ficha divulgativa elaborada por Société de Conseil Juridique et Expert. No constituye asesoramiento jurídico ni sustituye el examen individual del caso por letrado.