STS 91/2022 · Daños informáticos
Sentencia de Pleno: el Tribunal Supremo fija qué significa la doble gravedad del artículo 264
Por qué no hace falta poner una cifra al daño y dónde queda la conducta atípica
Jurisprudencia viva
Qué resolvió el Supremo.
Los hechos
Una comercial teleoperadora llevaba en exclusiva la zona de Portugal de una empresa mayorista de material informático. El 29 de marzo de 2016 la empresa le comunicó que prescindía de sus servicios. Al día siguiente, y según los hechos probados con la intención de perjudicar a la empresa, borró todos los archivos relacionados con esa actividad: hojas de cálculo, dos archivos de Outlook con los contactos de los clientes, los datos alojados en dos cuentas de correo y un Excel que reunía clientes, marcas, volúmenes de compra, proveedores, descuentos y condiciones de pago.
La información pasó de ocupar 778 MB a 78 MB. No se pudo recuperar: el borrado fue total y no existían copias de seguridad.
El Juzgado de lo Penal la condenó por un delito de daños del artículo 264.1 CP. La Audiencia Provincial de Valencia la absolvió: aceptaba los hechos, pero entendía que el perjuicio no estaba cuantificado y que no alcanzaba la gravedad que exige el tipo. La acusación particular recurrió en casación. El Supremo, en Pleno, casó la absolución.
Fundamento jurídico
El artículo 264 CP exige una doble gravedad: en la acción y en el resultado. La propia Sala reconoce lo incómodo del precepto:
«no es fácil modular la gravedad de la acción cuando el tipo penal exige, además, de un resultado también grave. La taxatividad de la norma penal no sólo se resiente por la exigencia de que el comportamiento sea grave, sino por el requerimiento de que también se aprecie una gravedad en el resultado de la acción delictiva.»
STS 91/2022, fundamento de derecho quinto, apartado 5.21. La gravedad no está en el medio empleado
Da igual si se borró con un programa sofisticado o arrastrando archivos a la papelera: el medio solo importa para los subtipos agravados.
«la gravedad de la acción no debe observarse a partir del mecanismo que se emplee para llevar a término la acción típica, pues el propio legislador plasma la punición de la conducta con independencia de cuál sea el medio que se emplee»
STS 91/2022, fundamento de derecho quinto, apartado 5.22. La gravedad de la acción es daño funcional
Este es el criterio central que fija la sentencia, y el que hay que memorizar:
«La gravedad de la acción viene determinada por el daño funcional que el comportamiento genere, resultando atípicas todas aquellas actuaciones que, pese a satisfacer objetivamente alguna de las modalidades de obrar previstas en el tipo penal, resulten cualitativa o cuantitativamente irrelevantes para que el servicio o el sistema operen de manera rigurosa. Solo si la función digital deviene imposible o si se trastoca de manera relevante la utilidad o facilitación que introduce, la actuación dolosa de pervertir el sistema puede llegar a merecer el reproche penal.»
STS 91/2022, fundamento de derecho quinto, apartado 5.23. La gravedad del resultado se mide por la recuperabilidad
«la gravedad típica se alcanza cuando es imposible recuperar la operatividad del sistema o cuando su recomposición es difícilmente reversible sin notables esfuerzos de dedicación técnica y económica.»
STS 91/2022, fundamento de derecho quinto, apartado 5.24. No hace falta poner una cifra al daño
La Audiencia había absuelto precisamente porque el perjuicio no estaba cuantificado. El Supremo desmonta ese razonamiento con un ejemplo que se entiende sin ser jurista:
«Debe observarse que las unidades o procesos informáticos que aquí se protegen, son elementos intangibles que no siempre presentan un valor económico intrínseco, ni siquiera lo tienen por el valor estimado de una recuperación incierta. El borrado del histórico fotográfico digital que una persona acopia durante toda su vida o la pérdida de las pruebas de diagnóstico y evolución que conforman su largo historial médico, ni son susceptibles de valoración intrínseca, ni existe la posibilidad de cuantificar el coste del trabajo preciso para una recuperación imposible, lo que no impide apreciar la trascendencia del perjuicio y lo dañino del resultado.»
STS 91/2022, fundamento de derecho quinto, apartado 5.2Comentario de PenalTech
Esta es la sentencia de referencia del artículo 264 del Código Penal, y conviene tenerla presente porque es también el precepto por el que se persigue un ataque de ransomware: cifrar los archivos de una empresa es hacerlos inaccesibles, que es uno de los verbos del tipo. Hay que decir, y es un dato que sorprende, que no hay ninguna sentencia del Tribunal Supremo que contenga la palabra ransomware. La doctrina aplicable a esos casos es esta.
Para quien acusa, el mensaje es liberador: no hay que traer un peritaje económico que ponga euros al desastre. Basta acreditar que el sistema dejó de funcionar o que recuperarlo exigía un esfuerzo técnico y económico notable. Para quien defiende, el terreno se estrecha pero no desaparece, y está exactamente donde la Sala lo deja: en el daño funcional. Si los datos estaban replicados, si había copia de seguridad, si el servicio siguió operando con normalidad, la conducta es atípica por mucho que el borrado fuera deliberado.
De ahí que la primera diligencia útil en un asunto de este tipo, en cualquiera de los dos lados, sea siempre la misma: establecer si existía copia de seguridad y en qué estado. No es un detalle técnico, es el elemento del tipo.
Vigencia. La sentencia interpreta el artículo 264 del Código Penal en la redacción vigente desde la Ley Orgánica 5/2010, que introdujo la doble exigencia de gravedad y que la Ley Orgánica 1/2015 mantuvo con idéntico texto en el tipo básico. Es sentencia de Pleno de la Sala Segunda, lo que le da valor de doctrina unificada.
Para entender los términos
Términos del glosario relacionados.
Si te reclaman por un borrado de datos, o si tu empresa ha perdido información y no sabes si hay delito, lo primero que hay que establecer es si existía copia de seguridad.
Este comentario tiene fines divulgativos y no constituye asesoramiento jurídico. Cada caso debe ser valorado individualmente por un profesional.
Texto de la resolución consultado y descargado directamente del CENDOJ (Centro de Documentación Judicial del Consejo General del Poder Judicial).