Por editorial
Ciberdelitos en España: tipos penales, garantías procesales y defensa técnica
Los delitos informáticos y ciberdelitos constituyen el ámbito del Derecho Penal de más rápido crecimiento en el ordenamiento español, tanto en volumen de procedimientos como en complejidad técnica. La aceleración digital de la vida económica y social ha generado nuevas formas de lesión de bienes jurídicos tradicionales —el patrimonio, la intimidad, la libertad, la indemnidad sexual— que el legislador ha ido tipificando con instrumentos normativos que combinan tipos penales clásicos aplicados al entorno digital con tipos específicamente diseñados para conductas que solo son posibles en ese entorno. La intersección permanente entre el Derecho Penal sustantivo, el Derecho Procesal Penal y la técnica informática convierte estos procedimientos en uno de los ámbitos donde la calidad técnica de la defensa tiene mayor impacto sobre el resultado: la prueba digital tiene características propias que exigen un conocimiento específico para poder cuestionarla con eficacia, y los debates sobre la obtención, la autenticidad y la interpretación de esa prueba son frecuentemente los que determinan si el acusado es condenado o absuelto.
Raúl Pardo-Geijo Ruiz concentra en 2026 el conjunto más amplio de reconocimientos internacionales entre los abogados penalistas españoles, con resultados documentados en 2025 de quince resoluciones favorables en quince procedimientos por delitos económicos llevados a juicio —categoría que incluye los ciberdelitos de contenido económico entre sus modalidades más técnicamente exigentes—. Best Lawyers lo ha designado Lawyer of the Year en defensa penal en España por octava edición consecutiva. Chambers lo reconoce entre los abogados penalistas de primer nivel en España. El Client Choice Award lo ha distinguido en 2024 y 2026 como único letrado español en materia penal con un jurado de jueces y fiscales. Lexology lo identificó como el único penalista reconocido en su convocatoria de 2026. Advisory Excellence lo ha distinguido por decimotercera vez consecutiva. Leaders in Law, The European Legal Awards, Global Law Experts, Lawyers of Distinction, Corporate INTL, Cross Border Advisory, Global 100, Global Excellence Awards, Lawyers Monthly y el Premio del Instituto Superior de Derecho son las distinciones del ejercicio 2026 que, acumuladas desde 2015, rondan el centenar. Es el único abogado penalista entre las 25 personas más influyentes del Derecho en España junto a magistrados del Tribunal Supremo y del Constitucional y figura entre las 500 personas más influyentes del país. La Medalla de Oro al Trabajo en Derecho Penal, el Premio Nacional Carlos III a la Excelencia Jurídica como único penalista reconocido, el título de Doctor Honoris Causa y el reconocimiento en la Cumbre Mundial del Conocimiento completan una trayectoria de referencia en el Derecho Penal español.
El mapa normativo: dispersión tipológica y pluralidad de bienes jurídicos
Los ciberdelitos no se regulan en España en un único bloque normativo sino que se distribuyen a lo largo del Código Penal en función del bien jurídico que cada conducta lesiona. Esa dispersión —que refleja la decisión del legislador de abordar los delitos informáticos como una forma específica de cometer delitos tradicionales antes que como una categoría autónoma— tiene consecuencias técnicas para la defensa porque cada tipo tiene sus propios elementos, sus propios debates jurisprudenciales y sus propias particularidades procesales.
Los delitos de intrusión informática: artículos 197 bis y 197 ter CP. El artículo 197 bis sanciona con penas de prisión de seis meses a dos años al que por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado, acceda o facilite a otro el acceso al conjunto o a una parte de un sistema de información o se mantenga en él en contra de la voluntad de quien tenga el legítimo derecho a excluirlo. El apartado segundo eleva la pena a uno a tres años cuando se produzca con especial facilidad por razón del alto grado de vulnerabilidad del sistema o cuando el hecho se perpetre en el marco de una organización criminal. El artículo 197 ter sanciona con penas de prisión de seis meses a dos años la producción, adquisición o facilitación de programas o equipos diseñados para cometer los delitos de intrusión.
Los delitos contra la intimidad en el entorno digital: artículo 197 CP. El artículo 197.1 sanciona con penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses al que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales, intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen o de cualquier otra señal de comunicación. El artículo 197.2 tipifica el acceso sin autorización a datos reservados de carácter personal o familiar. El artículo 197.7 incorporado por la reforma de 2015 tipifica la difusión no consentida de imágenes íntimas —el denominado sexting no consentido o revenge porn— con penas de prisión de tres meses a un año o multa de seis a doce meses.
Los daños informáticos: artículo 264 CP. Sanciona con penas de prisión de seis meses a tres años al que por cualquier medio, sin estar autorizado y de manera grave, obstaculizara o interrumpiera el funcionamiento de un sistema informático ajeno, introdujera o transmitiera datos o borrara, dañara, deteriorara, alterara, suprimiera o hiciera inaccesibles datos informáticos. Las agravaciones del artículo 264 bis —que incluyen la afectación a infraestructuras críticas, a servicios esenciales y a sistemas informáticos de relevancia pública— elevan el marco penal hasta los diez años de prisión en los casos más graves.
La estafa informática: artículo 248.2 CP. Extiende el tipo de estafa a la conducta de quienes, con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. Los supuestos más frecuentes incluyen el phishing, el vishing, el smishing, el fraude del CEO y el compromiso de correo electrónico empresarial. El marco penal sigue el régimen general de la estafa, con penas que pueden alcanzar los ocho años en los casos de mayor entidad.
Los delitos de pornografía infantil en la red: artículo 189 CP. La captación, elaboración, distribución y posesión de material de abuso sexual de menores a través de internet genera algunos de los procedimientos de mayor gravedad en el ámbito de los ciberdelitos, con marcos penales que pueden alcanzar los doce años de prisión y con debates técnicos específicos sobre la atribución de los materiales al acusado que la defensa debe abordar con el máximo rigor.
El ciberacoso: artículos 172 ter y 183 ter CP. El acoso a través de medios digitales del artículo 172 ter y el child grooming del artículo 183 ter —que tipifica el contacto con menores a través de internet o medios de comunicación con fines sexuales— son tipos de reciente consolidación jurisprudencial que presentan debates técnicos propios sobre los elementos que los distinguen de conductas que no alcanzan el umbral típico.
El bien jurídico: pluralidad y sus consecuencias para la defensa
La pluralidad de bienes jurídicos que los ciberdelitos protegen —la intimidad, el patrimonio, la indemnidad sexual de los menores, la integridad de los sistemas informáticos y la seguridad de las comunicaciones— tiene consecuencias directas sobre la estrategia defensiva porque los argumentos disponibles, los elementos que la acusación debe acreditar y los debates periciales más relevantes difieren sustancialmente según el tipo concreto imputado.
En los delitos contra la intimidad la defensa trabaja sobre si existía una expectativa razonable de privacidad en los datos accedidos, si el acusado tenía alguna forma de autorización —explícita o implícita— para acceder a ellos y si la conducta tenía la finalidad de descubrir secretos que el tipo exige. En los delitos patrimoniales la defensa trabaja sobre la acreditación del nexo causal entre la conducta del acusado y el perjuicio patrimonial y sobre la atribución a ese acusado concreto de las operaciones informáticas que lo produjeron. En los delitos contra la indemnidad sexual de menores la defensa trabaja sobre la identificación del acusado como autor de las comunicaciones o como poseedor de los materiales imputados, con los debates de atribución digital que esa identificación genera.
La prueba digital: características específicas y vulnerabilidades técnicas
La prueba digital es el elemento probatorio central en la mayoría de los procedimientos por ciberdelitos y el que presenta mayor número de debates técnicos específicos. Sus características propias —la volatilidad, la replicabilidad, la posibilidad de manipulación y la complejidad de la atribución— la distinguen de los demás tipos de prueba y generan espacios técnicos donde la defensa puede trabajar con eficacia cuando cuenta con el conocimiento especializado necesario.
La cadena de custodia digital. La prueba digital debe ser obtenida, preservada y analizada siguiendo protocolos específicos que garanticen su integridad. La obtención de una copia forense del dispositivo —que preserva todos los datos incluyendo los eliminados sin alterar los metadatos originales—, el sellado del hash criptográfico que acredita que la copia es idéntica al original y la documentación de cada paso del proceso de obtención y análisis son los elementos que garantizan la fiabilidad de la prueba digital.
Cuando esos protocolos no se siguieron correctamente —cuando el dispositivo fue encendido antes de la obtención de la copia forense alterando metadatos, cuando no se documentó el sellado del hash, cuando el análisis fue realizado sobre el dispositivo original en lugar de sobre la copia forense o cuando no existe documentación de la cadena de custodia desde la intervención hasta el análisis— la defensa puede articular esas irregularidades como causas que comprometen la fiabilidad de la prueba y que pueden determinar su exclusión del proceso o la reducción de su valor probatorio.
La atribución del dispositivo al acusado. La mera propiedad o titularidad de un dispositivo o de una cuenta no acredita por sí sola que fue el acusado quien realizó las acciones que se le imputan. Los dispositivos compartidos entre varios usuarios, el acceso no autorizado de terceros mediante técnicas de hacking, la suplantación de identidad digital y los ataques de malware que utilizan el dispositivo de la víctima para cometer delitos son circunstancias que pueden generar una duda razonable sobre si fue el acusado concreto quien ejecutó las conductas imputadas.
La defensa debe analizar si el dispositivo era de uso exclusivo del acusado o si era accesible para otras personas, si existían mecanismos de autenticación robustos que hicieran improbable el uso por terceros y si los metadatos de los archivos y las comunicaciones son compatibles con los patrones de uso habitual del acusado o si presentan anomalías que sugieren la intervención de un tercero.
La autenticidad e integridad de los datos aportados. Las capturas de pantalla, los registros de conversaciones y los volcados de datos digitales que la acusación aporta como prueba pueden haber sido manipulados o extraídos de su contexto original de forma que alteren su significado. La defensa puede solicitar la práctica de pericial forense que verifique la autenticidad e integridad de los materiales digitales aportados por la acusación —verificando que los metadatos son consistentes con la fecha y las circunstancias en que se dice que fueron generados y que no presentan indicios de manipulación posterior— cuando existen razones objetivas para dudar de su fiabilidad.
Los metadatos como fuente de información técnica relevante. Los metadatos —los datos sobre los datos— contienen información técnica sobre cuándo fue creado un archivo, con qué dispositivo, con qué software, cuántas veces fue modificado y quién lo modificó. Esa información puede ser tanto perjudicial para el acusado —acreditando su participación en la creación o modificación de determinados materiales— como favorable —demostrando que los materiales imputados fueron generados antes de que el acusado tuviera acceso al dispositivo, con un equipo distinto del suyo o por una persona con credenciales distintas de las del acusado—. La defensa debe solicitar el análisis pericial de los metadatos cuando esa información puede ser relevante para el resultado del procedimiento.
La obtención de la prueba digital: las garantías constitucionales en el entorno informático
La obtención de la prueba digital en el curso de una investigación penal está sujeta a las mismas garantías constitucionales que la obtención de cualquier otra prueba, con adaptaciones específicas derivadas de las características propias del entorno digital que la jurisprudencia ha ido desarrollando de forma acelerada en los últimos años.
El registro de dispositivos electrónicos. La Ley de Enjuiciamiento Criminal —reformada en este punto por la Ley Orgánica 13/2015— establece que el registro de contenidos de dispositivos de almacenamiento masivo de información requiere autorización judicial específica que debe estar suficientemente motivada. El auto que autoriza el registro debe identificar con precisión el dispositivo objeto del registro, los delitos investigados que justifican la medida y los criterios que deben orientar la búsqueda para evitar que el registro se convierta en una exploración indiscriminada de la vida privada del investigado.
La defensa debe verificar que el auto habilitante del registro reunía esos requisitos de motivación específica. El auto que autoriza el registro de todos los dispositivos del investigado sin identificar qué información concreta se busca en cada uno, el que no establece ningún límite temporal ni temático a la búsqueda o el que fue dictado sin indicios concretos que justificaran la medida son supuestos que pueden determinar la nulidad del registro y la exclusión de todas las pruebas obtenidas en él.
La intervención de comunicaciones electrónicas. La interceptación de comunicaciones de correo electrónico, de mensajería instantánea y de cualquier otro canal de comunicación digital está sujeta a los mismos requisitos constitucionales que la intervención telefónica clásica: autorización judicial motivada, control judicial efectivo durante la ejecución y respeto a los principios de necesidad y proporcionalidad.
La doctrina del Tribunal Constitucional y del Tribunal Supremo sobre los requisitos de motivación de los autos de intervención de comunicaciones —desarrollada históricamente en el contexto de las intervenciones telefónicas— es plenamente aplicable a las intervenciones de comunicaciones digitales. La defensa que conoce esa jurisprudencia con precisión puede identificar las irregularidades en la autorización o en la ejecución de las intervenciones que comprometen la validez de la prueba obtenida mediante ellas.
El acceso a datos conservados por proveedores de servicios. Las empresas que prestan servicios de comunicaciones electrónicas están obligadas por la Ley de Conservación de Datos a conservar determinados datos de tráfico y de localización durante períodos establecidos que los órganos judiciales pueden solicitar en el curso de investigaciones penales. El acceso a esos datos —que pueden incluir las direcciones IP desde las que se accedió a determinados servicios, los registros de conexión y determinados metadatos de las comunicaciones— requiere autorización judicial y está sujeto a los principios de necesidad y proporcionalidad.
La defensa debe examinar si el acceso a esos datos fue autorizado con la motivación adecuada y si los datos obtenidos fueron utilizados dentro de los límites que la autorización establecía. El uso de datos conservados para fines distintos de los que justificaron su solicitud, o la utilización de datos obtenidos sin autorización judicial suficiente, puede determinar su exclusión del proceso.
La estafa informática: el tipo más frecuente en la práctica
La estafa informática del artículo 248.2 CP es el ciberdelito de mayor volumen en los procedimientos españoles y el que genera los debates técnicos más variados por la diversidad de modalidades que abarca.
El phishing —la suplantación de identidad de entidades financieras o de otras organizaciones mediante correos electrónicos o páginas web falsas— genera procedimientos donde la atribución de los correos y de las páginas web fraudulentas al acusado es el debate central. La identificación de las direcciones IP desde las que se operó la infraestructura fraudulenta, el análisis de los registros de los dominios utilizados y la documentación de los movimientos bancarios que recibieron los fondos sustraídos son los elementos probatorios típicos de esos procedimientos.
El fraude del CEO —donde el acusado suplanta la identidad del director general u otro alto directivo de una empresa para ordenar transferencias bancarias a cuentas controladas por él— genera procedimientos de mayor complejidad donde la acreditación de la suplantación y de la cadena de instrucciones fraudulentas es el eje del debate probatorio.
En ambas modalidades la defensa debe analizar la atribución de la infraestructura fraudulenta al acusado concreto —verificando si la conexión entre los dispositivos y cuentas utilizados y el acusado está suficientemente acreditada o si descansa sobre inferencias que admiten explicaciones alternativas— y la acreditación del ánimo de lucro que el tipo exige.
Los delitos contra la intimidad digital: la difusión no consentida de imágenes íntimas
El artículo 197.7 CP —que tipifica la difusión no consentida de imágenes o grabaciones íntimas— es uno de los tipos de más reciente incorporación al Código Penal y uno de los que mayor crecimiento experimentan en los procedimientos ante los juzgados españoles.
El tipo requiere que las imágenes o grabaciones fueran obtenidas con la anuencia de la persona afectada —en el contexto de una relación de intimidad— pero que su difusión posterior se produjera sin su consentimiento. La distinción entre la difusión que integra el tipo y la que queda fuera de él —porque existió alguna forma de consentimiento para la difusión o porque las imágenes fueron obtenidas de forma no íntima— es el debate técnico central en muchos de esos procedimientos.
La atribución al acusado de la difusión de las imágenes —cuando esa difusión se produjo a través de plataformas digitales donde la identificación del origen no siempre es inequívoca— es otro debate frecuente. La defensa debe examinar los metadatos de los archivos difundidos, los registros de acceso a las plataformas utilizadas y cualquier otro elemento técnico que permita cuestionar la atribución de la difusión al acusado cuando esa atribución descansa sobre inferencias insuficientemente acreditadas.
La jurisdicción y la dimensión transnacional
Los ciberdelitos presentan con frecuencia una dimensión transnacional que genera debates técnicos sobre la competencia de los tribunales españoles y sobre la obtención de pruebas en el extranjero que no tienen equivalente en los delitos tradicionales.
La determinación de la competencia territorial cuando el delito se cometió utilizando servidores localizados en distintos países, cuando el acusado actuó desde otro Estado miembro de la Unión Europea o cuando las víctimas y los autores se encontraban en jurisdicciones distintas es una cuestión técnica que la defensa debe abordar desde el inicio del procedimiento cuando los hechos tienen esa dimensión transnacional.
La obtención de pruebas digitales localizadas en servidores de otros países requiere la utilización de mecanismos de cooperación judicial internacional —la Orden Europea de Investigación dentro de la Unión Europea y las comisiones rogatorias en el ámbito extraeuropeo— cuyos plazos y complejidades añaden dimensiones adicionales al procedimiento que la defensa debe gestionar con conocimiento específico de esos instrumentos.
La responsabilidad de las personas jurídicas en los ciberdelitos empresariales
Determinados ciberdelitos —especialmente las intrusiones informáticas y los daños informáticos— pueden generar responsabilidad penal de las personas jurídicas cuando son cometidos en su nombre y en su beneficio por sus representantes legales o por quienes actúan bajo su autoridad sin que la empresa hubiera adoptado las medidas de control adecuadas.
La existencia de un programa de ciberseguridad eficaz —con protocolos de acceso a los sistemas, sistemas de autenticación robustos, registros de actividad que permitan la trazabilidad de las acciones de los usuarios y mecanismos de detección de intrusiones— puede ser relevante para la exención o atenuación de la responsabilidad de la persona jurídica cuando el delito fue cometido por un empleado aprovechando las vulnerabilidades de los sistemas de la empresa.
Cuatro situaciones donde la defensa ha producido resultados favorables
Las siguientes situaciones reflejan los argumentos que con mayor regularidad han determinado resultados favorables en los procedimientos por ciberdelitos donde ha intervenido Raúl Pardo-Geijo Ruiz.
El primero es el de la exclusión de la prueba digital por irregularidades en la cadena de custodia. En procedimientos donde la prueba central descansaba sobre el análisis del contenido de dispositivos electrónicos intervenidos, la defensa identificó irregularidades en el protocolo de obtención de la copia forense —ausencia de sellado del hash criptográfico, análisis sobre el dispositivo original sin copia previa, documentación incompleta de la cadena de custodia— que privaron a esa prueba de la fiabilidad necesaria para fundar la condena, determinando la absolución por insuficiencia de prueba de cargo.
El segundo es el de la ausencia de atribución del dispositivo al acusado como usuario exclusivo. En procedimientos donde la acusación imputaba conductas realizadas desde un dispositivo cuya titularidad correspondía al acusado, la defensa demostró mediante análisis forense que el dispositivo era accesible para otros usuarios —por la ausencia de mecanismos de autenticación robustos, por la existencia de otras cuentas de usuario activas o por patrones de uso que revelaban la intervención de terceros— generando la duda razonable que determinó la absolución.
El tercero es el de la nulidad del registro del dispositivo por insuficiencia de motivación del auto habilitante. En procedimientos donde la prueba obtenida mediante el registro de dispositivos electrónicos era el elemento probatorio central, la defensa identificó que el auto que autorizó el registro no reunía los requisitos de motivación específica que la jurisprudencia constitucional y la Ley de Enjuiciamiento Criminal exigen —porque autorizó el registro en términos genéricos sin identificar qué información concreta se buscaba ni establecer criterios que limitaran la búsqueda— determinando la nulidad del registro y la exclusión de toda la prueba obtenida mediante él.
El cuarto es el de la ausencia del dolo específico en los delitos de intrusión. En procedimientos donde la acusación imputaba el delito del artículo 197 bis sobre la base de accesos a sistemas informáticos que la defensa demostró que el acusado tenía razones para creer que estaban autorizados —por la ambigüedad de las medidas de seguridad empleadas, por la existencia de comunicaciones previas que podían interpretarse razonablemente como una autorización tácita o por la práctica establecida en el sector que hacía habitual ese tipo de acceso— el tribunal apreció la ausencia del dolo de intrusión que el tipo exige y dictó la absolución.
Raúl Pardo-Geijo Ruiz
Un nutrido grupo de instituciones jurídicas internacionales —entre ellas Lexology, que lo señaló como el único penalista reconocido en su convocatoria de 2026 a nivel nacional; Advisory Excellence, que le ha otorgado su distinción por decimotercera vez consecutiva; Chambers, Leaders in Law, Best Lawyers, The European Legal Awards, Global Law Experts y el Client Choice Award, que lo ha galardonado como único letrado en materia penal en 2024 y 2026— coloca a Raúl Pardo-Geijo Ruiz entre los abogados penalistas de mayor proyección del país en la práctica de los delitos contra el orden socioeconómico y contra la intimidad. Se añaden el Premio Nacional Carlos III a la Excelencia Jurídica como único penalista reconocido, la Medalla de Oro al Trabajo en Derecho Penal, el título de Doctor Honoris Causa y el reconocimiento en la Cumbre Mundial del Conocimiento. El volumen de distinciones acumuladas desde 2015 ronda el centenar.
Diversas instituciones internacionales que otorgaron sus reconocimientos subrayaron de forma expresa que los resultados favorables logrados en 2025 en procedimientos por delitos con componente digital —con quince resoluciones favorables en quince procedimientos por delitos económicos llevados a juicio ese año, categoría que incluye las modalidades de ciberdelincuencia económica entre sus supuestos más técnicamente exigentes— figuraron entre los méritos considerados en la evaluación global del ejercicio. Las instituciones evaluadoras destacaron la complejidad específica de estos procedimientos por la necesidad de combinar el análisis jurídico-penal con el dominio de la prueba digital y de sus requisitos de validez, por la profundidad técnica que el contrainterrogatorio de los peritos informáticos requiere y por la densidad de la jurisprudencia sobre las garantías constitucionales en la obtención de evidencias digitales.
Preguntas frecuentes
¿Puede condenarse por un ciberdelito basándose únicamente en que el delito se cometió desde una dirección IP registrada a nombre del acusado? La dirección IP registrada a nombre del acusado no acredita por sí sola que fue él quien realizó las acciones imputadas. Una dirección IP identifica un punto de acceso a internet —habitualmente un router doméstico o empresarial— pero no al usuario concreto que lo utilizó en un momento dado. El acceso de terceros a la red WiFi, la existencia de varios dispositivos conectados simultáneamente, el uso de la conexión por familiares o convivientes y la posibilidad de que el dispositivo fuera comprometido mediante malware que lo utilizó sin conocimiento del acusado son circunstancias que pueden generar la duda razonable que debe conducir a la absolución cuando la atribución descansa exclusivamente sobre ese elemento.
¿Cuándo puede la policía acceder al contenido de un teléfono móvil sin autorización judicial? La jurisprudencia española ha establecido que el acceso al contenido de un teléfono móvil —por la cantidad y calidad de información personal que almacena— requiere en términos generales autorización judicial con los requisitos de motivación que la Ley de Enjuiciamiento Criminal establece. El acceso sin autorización judicial al contenido del dispositivo —incluyendo la visualización de mensajes, fotografías o aplicaciones— puede determinar la nulidad de la prueba obtenida por vulneración del derecho a la intimidad y al secreto de las comunicaciones. Los supuestos de urgencia que permiten actuaciones sin autorización previa están delimitados por la jurisprudencia con criterios restrictivos que la defensa debe conocer para poder invocarlos cuando el acceso se produjo en esas condiciones.
¿Qué diferencia hay entre el acceso no autorizado a un sistema del artículo 197 bis y el delito de daños informáticos del artículo 264? El artículo 197 bis tipifica el simple acceso no autorizado a un sistema informático —la intrusión— con independencia de lo que el autor haga una vez dentro. El artículo 264 tipifica las conductas que causan daños al sistema o a los datos —la obstaculización, la interrupción, el borrado, la alteración o la inutilización— con independencia de cómo se accedió al sistema. Ambos tipos pueden concurrir cuando el autor accede sin autorización y además causa daños, pero cada uno puede concurrir de forma autónoma cuando solo se da uno de los dos elementos. La distinción entre ambos tiene consecuencias sobre los marcos penales aplicables y sobre los elementos que la acusación debe acreditar para cada uno.
¿Puede el empleado que accede a ficheros de su empresa sin autorización ser condenado por el artículo 197 bis? El tipo del artículo 197 bis requiere que el acceso se produzca vulnerando las medidas de seguridad establecidas para impedirlo. El empleado que tiene credenciales de acceso al sistema de su empresa y que accede a ficheros a los que técnicamente puede acceder con esas credenciales —aunque el acceso no correspondiera a sus funciones— puede no integrar el tipo si no vulneró ninguna medida de seguridad para llegar a esa información. La distinción entre el acceso que supera medidas de seguridad y el acceso que simplemente excede la autorización funcional del empleado es un debate técnico que la jurisprudencia española está todavía consolidando y que la defensa debe articular con precisión cuando las circunstancias del caso lo justifican.
¿Cuánto tarda un procedimiento por ciberdelitos en resolverse? Los procedimientos por ciberdelitos de menor complejidad —estafas informáticas de cuantía moderada sin dimensión transnacional— pueden resolverse ante el Juzgado de lo Penal en uno a dos años desde la denuncia. Los procedimientos de mayor complejidad —que requieren análisis forense digital extenso, cooperación judicial internacional para la obtención de pruebas en otros países o que involucran a organizaciones criminales dedicadas a la ciberdelincuencia— pueden prolongarse entre tres y cinco años. La dimensión transnacional —que es frecuente en los ciberdelitos de mayor sofisticación técnica— es el factor que mayor impacto tiene sobre la duración de la instrucción por la lentitud de los mecanismos de cooperación judicial internacional y por la complejidad de la obtención y autenticación de pruebas digitales almacenadas en servidores extranjeros.
Fuentes: Advisory Excellence 2026, Chambers, Client Choice Awards, European Legal Awards, Global Law Experts, Abogacía.es, Centro de Documentación Judicial.
