Juan David Palacio González[1]
En la era digital, el sector corporativo enfrenta desafíos constantes debido a los avances en inteligencia artificial y a las nuevas tecnologías de la información y comunicación (TIC). Estos avances han impulsado la sofisticación del fraude y la aparición de nuevas modalidades de cibercrimen. Ante esta realidad, resulta imprescindible desarrollar técnicas probatorias adecuadas para acreditar delitos como el acceso abusivo a un sistema informático, uno de los delitos más relevantes en el ámbito de la ciberdelincuencia.
SUMARIO:
I. Introducción; II. Nociones básicas del tipo penal de acceso abusivo a un sistema informático; III. Técnicas para acreditar probatoriamente este delito técnico; IV. Conclusiones; V. Bibliografía.
I. Introducción
El avance de la inteligencia artificial y de las TIC[2] ha generado un uso constante de las terminales o de los dispositivos externos que componen un sistema informático. Este sistema, en su estructura, se basa en una composición física, lógica y de datos informáticos que garantiza su funcionalidad[3]. Bajo esta perspectiva, el primer acto de interacción con estos dispositivos es el acceso. En principio, esta interacción podría carecer de relevancia jurídica. Sin embargo, al analizarlo desde el régimen de protección de datos personales o de la seguridad de la información, las intenciones irregulares de un agente[4] pueden cobrar relevancia desde el campo de la cibercriminalidad[5].
Ahora bien, al observar el sector corporativo, se puede precisar que, para 2025, los costos de la ciberdelincuencia podrían alcanzar los 10.5 billones de dólares[6]. Este tipo de contingencias exigen no solo mecanismos preventivos, como la actualización constante de estrategias de ciberseguridad o el establecimiento de una regulación normativa sólida[7], sino también una respuesta efectiva por parte de la administración de justicia al momento de judicializar estas conductas. En este contexto, en Colombia, por ejemplo, se estima que para 2024 se superen los más de 28.000 millones de ciberataques que se registraron en 2023, donde el sector corporativo fue el más afectado[8]. Este aumento en los ataques tendrá una consecuencia directa: un incremento de la demanda de justicia por parte de la ciudadanía. En 2023, por ejemplo, se presentaron 72.175 casos[9] relacionados tan solo con noticias criminales vinculadas a estas modalidades de conducta.
Así las cosas, una de las principales problemáticas que enfrenta la práctica judicial con el avance de las TIC[10] es la complejidad técnica de los delitos informáticos. Esto representa un desafío adicional para los jueces, quienes, además de tener que dominar el ya complejo procedimiento penal, deben enfrentarse a retos en la admisión y valoración de pruebas a nivel técnico.
En los anteriores términos, en esta columna nos centraremos, inicialmente, en explicar las nociones básicas del tipo penal de acceso abusivo a un sistema informático, considerado quizá el más relevante entre los denominados delitos informáticos. Esto se debe a que es el más regulado en todo el mundo, dado el enfoque otorgado por el Convenio sobre la Ciberdelincuencia de Budapest en el 2001([11]). Sumado a esto, abordaremos, mediante diferentes ejemplos, las modalidades de afectación cuando el sujeto activo es interno —insider— o externo —outsider— al sistema.
Posteriormente, identificaremos la importancia de ciertas técnicas probatorias específicas que, al existir un peligro frente a la lesión del principio de confidencialidad de la información y/o los datos, permitan acreditar este delito técnico en la práctica judicial del proceso penal. En especial, haremos énfasis en aquellos casos que involucren al sector corporativo. Esto con el propósito de lograr un adecuado ejercicio en el recaudo y en la práctica probatoria que puedan facilitarle al juez una mejor comprensión de este tipo de delitos técnicos, lo que contribuirá a una admisión y valoración probatoria más acertada.
II. Nociones básicas del tipo penal de acceso abusivo a un sistema informático
Antes de abordar el tipo penal, es oportuno precisar qué se entiende por sistema informático, dado los diversos significados que este término puede tener en la materia[12]. En líneas generales, podría definirse como aquel dispositivo compuesto por una parte física (hardware), lógica (software) y de datos[13] que permiten su procesamiento, transmisión y/o almacenamiento[14]. Esto, sin perjuicio de la definición establecida por el Convenio sobre la Ciberdelincuencia de Budapest en el 2001, que estableció lo siguiente: «Se entenderá todo dispositivo aislado o conjunto de dispositivos interconectados o relacionados entre sí, cuya función, o la de alguno de sus elementos, sea el tratamiento automatizado de datos en ejecución de un programa»[15].
Una vez delimitado este primer aspecto, vale precisar que la cibercriminalidad, como fenómeno latente en la era digital, condujo a la necesidad de penalización de ciertas conductas delictivas que transgredían los principios de confidencialidad[16], integridad[17] y disponibilidad[18] de la información en consideración al bien jurídicamente tutelado de protección a los datos y sistemas informáticos. Para lo que nos concierne, la confidencialidad es el principio materia de protección en el tipo penal del acceso abusivo a un sistema informático o abuso ilícito, como fue tipificado en el Convenio de Budapest, ya que incurre en él quien acceda en todo o en parte a un sistema informático, esté o no conectado a otro sistema informático, ya fuera infringiendo o no medidas de seguridad, para obtener datos informáticos o con otra intención delictiva[19].
En Colombia, la Ley 1273 de 2009 modificó el Código Penal e incorporó el tipo penal de acceso abusivo a un sistema informático de la siguiente manera:
Artículo 269A. Acceso abusivo a un sistema informático. El que, sin autorización o por fuera de lo acordado, acceda en todo o en parte a un sistema informático protegido o no con una medida de seguridad, o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.
Los elementos objetivos del tipo penal en cuestión son los siguientes[20]:
- El sujeto activo es común e indeterminado, lo que implica que cualquier persona puede cometer el hecho punible.
- El sujeto pasivo es la persona natural o jurídica que sea titular o tenga el legítimo derecho sobre el sistema informático.
- La conducta está determinada por el verbo compuesto «acceder y/o mantenerse» total o parcialmente en el sistema informático.
- El objeto jurídico incluye el derecho a la intimidad, a la información y a los datos, convirtiéndose en un tipo penal pluriofensivo.
- El objeto material es el sistema informático en sí.
- Finalmente, como ingrediente normativo, se exige que el sujeto activo acceda al sistema sin autorización o que incluso, cuando tenga permiso del titular legítimo, se mantenga en él excediendo las facultades otorgadas.
Como puede observarse, este tipo penal reprocha no solamente el acceso, sino la permanencia en contra de la voluntad de quien tenga el legítimo derecho a excluir dicho ingreso; es decir, cuando no existe el consentimiento para ingresar y/o permanecer en el sistema informático. Igualmente, vale advertir que es un tipo penal materialmente doloso. Asimismo, la doctrina y jurisprudencia en la materia han reconocido este tipo penal como de intrusismo informático[21]. Este fenómeno ocurre tanto cuando personas no autorizadas —conocidas como outsiders— acceden a un sistema informático como cuando quienes están autorizados —denominados insiders— exceden los límites de las facultades otorgadas para dichos efectos. En relación con estos últimos, la Alta Corporación ha señalado de manera enfática que, aunque el acceso al sistema informático se realice de forma legítima, el sujeto puede mantenerse en este para fines ilícitos, contraviniendo las autorizaciones legales o contractuales previamente establecidas[22].
Cabe mencionar que la postura de la Corte Suprema de Justicia ha considerado este tipo penal como de mera conducta, lo que impediría la configuración del grado de tentativa[23]. Esta noción genera ciertos problemas desde el marco probatorio. Sería deseable que la Alta Corporación se enfocara, a futuro, en la caracterización de si se trata de un delito de peligro o de lesión, especialmente en casos donde exista un intento de acceso abusivo a un sistema informático y se logre acreditar probatoriamente la afectación al principio de confidencialidad de la información y de los datos.
En ese sentido, los anteriores aspectos resultan relevantes al momento de justificar probatoriamente la particularidad de cada caso. Además, el hecho de identificarlo permite emplear una técnica probatoria adecuada y facilitar el ejercicio de valoración por parte del juez para evitar errores en las decisiones judiciales[24].
Una vez entendido el alcance del tipo penal de acceso abusivo a un sistema informático, determinaremos las estrategias probatorias específicas que resulten necesarias para acreditar su configuración.
III. Técnicas para acreditar probatoriamente este delito técnico
Los delitos informáticos tienen una connotación técnica que requiere de un conocimiento especializado para su comprensión en el ámbito judicial. Esto vuelve compleja, de alguna forma, esa carga de argumentación probatoria para alcanzar el estándar necesario y lograr su acreditación dentro del proceso penal. Tras definir los conceptos de «sistema» y «dato informático», así como las funciones que desempeñan, e identificar los elementos objetivos del tipo penal, desarrollaremos las modalidades de afectación:
3.1 Caso de outsider o sujeto activo externo
El análisis de los elementos objetivos del tipo penal permite cumplir con el propósito inicial de esclarecer la conducta. El caso es el siguiente: un sujeto externo a una compañía accede a un computador asignado a un trabajador con el propósito de obtener una base de datos que contiene información privilegiada. En esta hipótesis, es evidente que se trata de un evento protagonizado por un outsider, ya que quien accede carece de toda legitimidad para ingresar a la terminal de cómputo[25].
De este modo, más que enumerar los elementos materiales probatorios adecuados para acreditar el tipo penal de acceso abusivo a un sistema informático, cuando se está ante un sistema procesal penal que vela por la libertad probatoria[26] se considera más conveniente referenciar los temas probatorios materia de acreditación. Así, es imprescindible que el ente acusador:
1) Demuestre a quién estaba asignada esa terminal de cómputo.
2) Evidencie quién era su titular legítimo o propietario.
3) Presente la falta de relación, vinculación laboral y/o contractual con el sujeto activo.
4) Señale la identificación de la terminal de cómputo donde se indique la marca, modelo, serial y demás características[27].
5) Proporcione un reporte detallado de lo acontecido elaborado por el área de ciberseguridad, auditoría de la compañía o por un tercero experto en la materia.
6) Suministre la trazabilidad del acceso efectuado a la terminal, al sistema y/o a la base de datos que permita definir el momento exacto (fecha y hora)[28].
Por otro lado, es indispensable que, a través de las declaraciones de los funcionarios que efectuaron la investigación interna, se sustenten e incorporen los informes previamente mencionados. A su vez, es fundamental que tanto el empleado como el representante legal, o quien haga sus veces, rindan declaración con el fin de delimitar las circunstancias de tiempo, modo y lugar de lo acontecido. Esto permitirá acreditar la titularidad del terminal de cómputo, la base de datos afectada y el daño causado por el acceso abusivo del sujeto activo.
3.2 Caso de insider o sujeto activo interno
Considérese el siguiente caso: un funcionario de una entidad financiera, contratado laboralmente bajo la modalidad remota, recibe una terminal de cómputo para cumplir sus funciones contractuales. En el ejercicio de sus labores, tiene autorización para acceder a un sistema informático de titularidad de la entidad, denominado AccessData, utilizado para consultar datos relevantes de los clientes. Sin embargo, un día festivo, durante la noche, el funcionario accede al sistema y consulta información personal de varios clientes, como direcciones, teléfonos, saldos de cuentas bancarias, número de productos bancarios, entre otros datos.
Bajo el esquema de pertinencia, conducencia y utilidad probatoria[29] podrían solicitarse los mismos elementos materiales probatorios mencionados en el ejemplo anterior[30]. No obstante, para cada caso concreto será indispensable corroborar el objeto de prueba en coherencia con la teoría del caso correspondiente.
Por consiguiente, para el caso objeto de análisis, se encuentra la modalidad de un insider, es decir, un sujeto activo que, desde su rol como funcionario de la entidad financiera, está plenamente autorizado por el titular o por quien ejerce el legítimo derecho del sistema informático denominado AccessData. En consecuencia, surge esta pregunta: ¿cómo podría reprocharse el actuar del trabajador si contaba con facultades contractuales y funcionales para acceder a AccessData? Este es un claro ejemplo en el que la interpretación del tipo penal de acceso abusivo en sistema informático requiere un análisis diferenciado para poder sustentar probatoriamente su consumación.
Procedamos ahora a un análisis pormenorizado de este caso: «El que» se refiere al funcionario de la entidad financiera. La expresión «sin autorización o por fuera de lo acordado» es fundamental, ya que, aunque existe autorización derivada del vínculo laboral entre el funcionario y la entidad financiera, resulta necesario verificar el marco funcional acordado y delimitado entre las partes. En este sentido, se observa que el trabajador transgredió las facultades que le fueron otorgadas. A pesar de tener permitido acceder al sistema informático AccessData y consultar los datos personales de los clientes, estas acciones no podían realizarse fuera del horario laboral, y mucho menos en un día festivo.
Esta transgresión podría demostrarse mediante los siguientes medios de prueba:
- Contrato individual de trabajo. Específicamente la cláusula de protección de datos personales, seguridad y confidencialidad de la información.
- Código de ética y conducta profesional, y programa de cumplimiento.
- Manuales de funciones que especifiquen las condiciones y horarios para la consulta de datos de los clientes.
- Protocolos y/o manuales de manejo del sistema informático.
- Protocolos de manejo de seguridad de la información.
- Política de tratamiento de datos personales de los clientes.
Estos documentos permiten delimitar las facultades otorgadas al trabajador y probar que su conducta excedió lo autorizado contractualmente.
Continuando con el análisis, el precepto «acceda en todo o en parte a un sistema informático protegido o no con una medida de seguridad» no resulta aplicable en este caso, dado que el trabajador estaba facultado para ingresar a AccessData. Además, el sistema podía contar o no con medidas de seguridad, como el uso de un código de usuario y una contraseña asignados por la entidad financiera, sin que este hecho tuviera alguna relevancia en este punto específico.
Sin embargo, al considerar la frase «o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo», se debe analizar la relación entre el trabajador y la entidad financiera. Si bien esta última, como persona jurídica, es la titular del sistema informático AccessData, y podría pensarse que la relación laboral exime de responsabilidad al funcionario, las conductas reprochadas por el tipo penal son tanto el acceso como el mantenimiento no autorizado[31]. En este caso, el hecho de que el trabajador permaneciera en AccessData fuera del horario laboral contraviene la voluntad de la entidad financiera como legítima titular del sistema. Este aspecto puede acreditarse mediante las obligaciones contractuales establecidas, tales como el contrato laboral, el reglamento interno de trabajo, los manuales y protocolos de funciones, los lineamientos para el manejo del sistema informático y las facultades específicas asignadas a los perfiles de los trabajadores.
Por otro lado, este aspecto puede trascender ya que en muchas ocasiones las entidades financieras, desde el marco de debida diligencia, deben establecer parámetros claros de acceso y consulta a bases de datos de sus clientes[32]. En esa línea, el acceso debe restringirse conforme a la política de protección en el tratamiento de datos personales, limitando los tipos de clientes según el cargo y área del trabajador.
Es decir, un trabajador que se dedica, por ejemplo, a otorgar créditos en la modalidad de libranzas al sector pyme no debería consultar datos personales de clientes que manejen otro tipo de productos financieros, especialmente si el manual de funciones restringe dicha actividad. De igual forma, en el caso de un trabajador cuya prestación de servicios se lleve a cabo desde una oficina de la entidad financiera, el acceso a los datos personales sensibles de los clientes debería condicionarse a la presencia física del cliente para la realización de la operación o a la autorización expresa otorgada por este hacia un tercero.
Este tipo de aspectos adquieren relevancia al momento de analizar el caso en concreto y constituir la prueba que permita no solamente justificar las circunstancias de tiempo, modo y lugar del acceso abusivo al sistema informático —como se explicó en el primer ejemplo, donde un log de operaciones[33] y los registros fílmicos pueden ser contundentes desde la perspectiva probatoria—, sino también valorar cada caso particular para identificar y demostrar ante el juez el reproche penal correspondiente.
Ahora, aunque el juicio de tipicidad objetiva puede estar superado, surgen interrogantes desde la perspectiva subjetiva: ¿cómo acreditar el dolo como elemento esencial en este tipo penal? ¿Qué ocurre cuando el agente niega que el acto de consulta constituye una irregularidad? Es importante recordar que la configuración de una conducta dolosa requiere dos elementos fundamentales. En primer lugar, el elemento objetivo-cognitivo, que implica que el agente conoce y entiende el tipo penal. En segundo lugar, el elemento subjetivo-volitivo, que demuestra que el sujeto activo actúa con intención, orientando libre y conscientemente su conducta hacia la realización del acto ilícito[34].
En este contexto, puede suponerse que, en el caso de análisis, el agente niegue que la consulta a clientes constituye una irregularidad, argumentando que dicha acción se encuentra dentro de sus funciones. Incluso, podría explicar que realizar dichas consultas fuera del horario laboral obedeció a un evento extraordinario, y negar cualquier intención maliciosa o ilícita. Ante un escenario así, surge la pregunta: ¿cómo se puede justificar un actuar doloso?
Aquí es donde la suficiencia probatoria adquiere un papel crucial para respaldar la tesis acusatoria, particularmente de la Fiscalía. Para acreditar que el agente tenía conocimiento y entendía que realizar consultas fuera del horario laboral y sobre clientes ajenos al esquema de negocio asignado constituía una irregularidad, sería esencial aportar elementos materiales probatorios. Estos podrían incluir el acuerdo de confidencialidad laboral, en el cual el trabajador asumió el compromiso de un manejo adecuado de los datos personales conforme a sus funciones, así como constancias de capacitaciones periódicas en seguridad de la información y protección de datos personales, firmadas por el funcionario. Estos elementos permitirían demostrar que el agente tenía pleno conocimiento de las normas aplicables y que un actuar contrario afectaría tanto a los clientes como a la entidad financiera, lo que configuraría así el dolo necesario para este tipo penal[35]. Actualmente, la tendencia del razonamiento probatorio[36] y su importancia dentro del proceso penal requiere efectuar las técnicas apropiadas que permitan hacer ver al juez de la manera más sencilla, pero sin sacrificar suficiencia, un ejercicio serio de admisibilidad y valoración dentro de este tipo de delitos técnicos.
En el contexto judicial actual, donde el procesamiento de delitos informáticos presenta desafíos técnicos y probatorios significativos, resulta indispensable la implementación de protocolos estandarizados para la recolección de evidencia digital. La naturaleza volátil y fácilmente alterable de los datos electrónicos exige que los investigadores adopten procedimientos que garanticen la integridad de la información desde el momento de su obtención. Esto facilita la acreditación probatoria de los elementos del tipo penal y asegura el cumplimiento de los estándares de admisibilidad probatoria en un sistema penal acusatorio, donde el control de las partes sobre las pruebas es esencial. Lo anterior permitiría documentar detalladamente las fases de recolección, resguardo, análisis y presentación de la evidencia digital, para asegurar su confiabilidad y autenticidad[37]. Este enfoque no solo protege el debido proceso, sino que también otorga al juez y a las partes una base sólida para valorar las pruebas dentro de los criterios de pertinencia, conducencia y utilidad.
Asimismo, los protocolos deben incluir lineamientos específicos sobre la intervención de expertos en informática forense que cuenten con certificaciones reconocidas. Estos profesionales, mediante técnicas avanzadas de recuperación y análisis de datos, podrán brindar reportes fidedignos y detallados acerca del contexto técnico de la evidencia presentada. Al igual que la participación de testigos expertos que pueden ser determinantes para clarificar el lenguaje técnico y facilitar la comprensión del juez para así alcanzar el objetivo judicial pretendido.
En definitiva, la adopción de estos protocolos, además de fortalecer la solidez técnica y jurídica de la evidencia digital, contribuye a la transparencia y confiabilidad del proceso penal, y garantiza decisiones judiciales más fundamentadas y acordes con los principios del debido proceso.
IV. Conclusiones
La era digital, con el avance de la inteligencia artificial y las TIC, exige tanto estrategias preventivas como una respuesta efectiva por parte de la administración de justicia al momento de judicializar conductas como el acceso abusivo a un sistema informático. Este delito es considerado el más importante de los delitos informáticos en todo el mundo debido a su relevancia en la protección de la confidencialidad y la integridad de los sistemas de información.
En este contexto, la práctica judicial debe nutrirse de técnicas probatorias que permitan acreditar este tipo de delitos técnicos. En el caso del acceso abusivo a un sistema informático, lo primero es determinar si se trata de una modalidad de insider u outsider. Posteriormente, a través del análisis de los elementos objetivos del tipo penal descrito, se deben identificar los medios de prueba más conducentes, pertinentes y útiles que faciliten el ejercicio de admisibilidad y valoración probatoria al juez del caso en concreto. Por ejemplo, si no existe un objeto material, es decir, el sistema informático, no es posible hablar de tipicidad objetiva de la conducta.
De igual forma, en los casos que involucran al sector corporativo, es crucial acreditar contractual o funcionalmente las facultades otorgadas al agente para delimitar la línea entre lo permitido y lo no permitido. Esto resulta esencial para diferenciar si la conducta se encuentra dentro o fuera de lo acordado, sobre todo cuando se actúa en contra de la voluntad del titular o de quien ostenta legítimamente el derecho a la confidencialidad del sistema informático. Este aspecto no está restringido a medios de prueba específicos, ya que el sistema acusatorio permite la libertad probatoria para acreditar tal cuestión.
En el acceso abusivo a un sistema informático debe probarse la condición dolosa, aspecto que con frecuencia se descuida en la práctica judicial, o se presume de manera automática[38], lo que constituye un grave error. En caso de un outsider, puede probarse por una vía más simple, que empezaría por justificar su exterioridad respecto al titular del sistema. Sin embargo, para el insider resulta más complejo. Es necesario delimitar las facultades contractuales o funcionales atribuidas al empleado y aportar constancias que demuestren que sabía de sus funciones y que estaba accediendo por fuera de estas.
Aunque no existe una única técnica para acreditar el delito de acceso abusivo a un sistema informático en el sector corporativo, los casos explicados permiten perfeccionar progresivamente las estrategias probatorias en la práctica judicial. Esto contribuye a un ejercicio de recaudo y práctica probatoria más adecuado para los sujetos procesales y a un razonamiento probatorio más coherente en la admisión y valoración por parte del juzgador que disminuya los errores judiciales en este tipo de delitos técnicos.
Finalmente, la implementación de protocolos específicos para la recolección y análisis de evidencia digital no solo optimiza el proceso penal, sino que también protege los derechos fundamentales de las partes involucradas. Al garantizar la validez y la transparencia en el manejo de la información, se evita la violación de derechos como la privacidad y el debido proceso, se fortalece la confianza en el sistema judicial y se aumentan las posibilidades de éxito en la persecución de delitos informáticos. Esto cobra especial relevancia en casos complejos, donde el manejo correcto de la prueba digital puede ser el factor decisivo para alcanzar una decisión judicial adecuada.
V. Bibliografía
Cámara Colombiana de Informática y Telecomunicaciones «Ciberseguridad en Colombia: desafíos y perspectivas». 26 de abril de 2024, https://www.ccit.org.co/articulos-tictac/ciberseguridad-en-colombia-desafios-y-perspectivas/
Colmenares Duque, Armando. Acceso abusivo a un sistema informático. Bogotá: Conferencia virtual en Diálogos Punitivos, 2022.
«Convenio sobre la ciberdelincuencia». Budapest, 2001.
Cotino Hueso, Lorenzo y Jorge Castellanos Claramunt. Transparencia y explicabilidad de la inteligencia artificial. Valencia: Tirant lo Blanch, 2022.
Corporación Excelencia en la Justicia, «Informe Sistema Penal Oral Acusatorio en Colombia 2024», 3 de diciembre de 2024, https://cej.org.co/publicaciones/informe-sistema-penal-oral-acusatorio-en-colombia-2024/.
Dei Vecchi, Diego. «La Prueba judicial como conocimiento: Una caracterización poco persuasiva». En: Ferrer, Jordi & Vásquez, Carmen. Debatiendo con Taruffo. Madrid: Marcial Pons, 2016.
Diccionario panhispánico del español jurídico, 2023, https://dpej.rae.es/lema/sistema-inform%C3%A1tico#:~:text=Pen.,264.&text=Ley%20599%20de%202000%2C%20por,el%2024%2DVII%2D2000.
Duce, Mauricio. «Prácticas probatorias y riesgos de condenas erróneas: Visión empírica». En Ferrer Beltrán, Jordi. & Vázquez, Carmen. (eds.): El razonamiento probatorio en el proceso judicial. Un encuentro entre diferentes tradiciones. Madrid: Marcial Pons, 2020.
Guío Díaz, Daniel Santiago. «Colombia, en transición hacia el dolo normativo». Diálogos Punitivos, 2018, https://dialogospunitivos.com/wp-content/uploads/2021/12/Columna-de-interes-2.pdf
«Informática forense: introducción y perspectivas de futuro», DataNumen, 27 de octubre de 2023, https://www.datanumen.com/es/Blogs/Introducci%C3%B3n-a-la-inform%C3%A1tica-forense-y-perspectivas-futuras./?srsltid=AfmBOor4glzMiM1gt1JzKnXbRIZEmxyYCR6znnDjQ1Tc9xceV-Ws4Xqa
«ISO/IEC, Tecnologías de la información — Técnicas de seguridad — Directrices para la identificación, recopilación, adquisición y conservación de evidencia digital». ISO. Edición 1 (2012), https://www.iso.org/standard/44381.html.
«¿Qué son sistemas informáticos?», Innovación en Formación Profesional, 20 de diciembre de 2023, https://www.ifp.es/blog/que-son-sistemas-informaticos
Torres Manrique, Jorge Isaac; José Sebastián Cornejo Aguiar e Isabela Moreira Domingos. Tratado interdisciplinar de derecho penal económico y los desafíos en el ciberespacio. Bogotá: Ediciones Nueva Jurídica, 2024.
Laudan, Larry. Verdad, error y proceso penal. Madrid: Marcial Pons. 2013.
Luna, David y María Paula Forero. Más allá de los algoritmos: reflexiones sobre ética e inteligencia artificial en la era digital. Bogotá: Tirant lo Blanch, 2024.
Miró Linares, Fernando. El cibercrimen: Fenomenología y criminología de la delincuencia en el ciberespacio. Madrid: Marcial Pons, 2012.
Palomá Parra, Luis Orlando. Delitos informáticos. Bogotá: Ediciones Jurídicas Andrés Morales, 2012.
Pabón Parra, Pedro Alfonso. Código Penal Esquemático. Bogotá: Ediciones Doctrina y Ley, 2022.
Posada Maya, Ricardo «El delito de acceso abusivo a un sistema informático: a propósito del art. 269A del CP de 2000», Revista de Derecho, Comunicaciones y Nuevas Tecnologías, n.o 9 (2013): 9 y 10, https://dialnet.unirioja.es/descarga/articulo/7505128.pdf
«Proyecto de Convención Internacional integral sobre la lucha contra la utilización de las tecnologías de la información y las comunicaciones con fines delictivos». Budapest, 2024.
«Redes de Telecomunicaciones». Ministerio TIC, https://www.mintic.gov.co/portal/inicio/Atencion-y-Servicio-a-la-Ciudadania/Preguntas-frecuentes/5235:Redes-de-Telecomunicaciones#:~:text=Red%20de%20telecomunicaciones:%20Conjunto%20de,o%20espaciales%2C%20para%20cursar%20telecomunicaciones.
Tuzet, Giovanni. Filosofía de la prueba jurídica. Madrid: Marcial Pons, 2021.
Velásquez Velásquez, Fernando. Fundamentos de Derecho Penal. Parte General. Bogotá: Tirant lo Blanch, 2020.
Legislación y jurisprudencia. Colombia
Corte Suprema de Justicia, Sala de Casación Penal, AP948-2018, mar. 07/2018, Rad. 51882. M. P. Patricia Salazar Cuéllar.
Corte Suprema de Justicia, Sala de Casación Penal, SP592-2022, mar. 0282022, Rad. 50621. M. P. Diego Eugenio Corredor Beltrán.
Corte Suprema de Justicia, Sala de Casación Penal, SP473-2023, nov. 22/2023, Rad. 57922. M. P. Diego Eugenio Corredor Beltrán.
Corte Suprema de Justicia, Sala de Casación Penal, SP903-2024, abr. 24/2024, Rad. 65376. M. P. Myriam Ávila Roldán.
Ley 1266/2008.
Ley 1341/2009.
Ley 1273/2009.
Ley 1581/2012.
Ley 2157/2021.
[1] Abogado de la Universidad Autónoma de Colombia con profundización en Derecho Penal y Justicia Transicional. En esa institución, fue miembro de diferentes semilleros de investigación y autor de artículos de investigación con enfoque penal y de justicia transicional. Es especialista en Derecho Penal de la Universidad del Rosario, con diploma de experto en bases de Razonamiento Probatorio de la Universidad de Girona – España y actualmente es candidato a Magister en Ciberdelincuencia de la Universidad de Cataluña – España. Miembro del Instituto Colombiano de Derecho Procesal (ICDP). Ha desarrollado habilidades en estrategias de litigio y se desempeña como abogado consultor y litigante en Colombia en la Unidad de Riesgos Financieros y Virtuales en MPA Abogados. Además, es columnista del boletín académico Diálogos Punitivos.
[2] Ley 1341 de 2009. Artículo 6. Definición de TIC. «Las Tecnologías de la Información y las Comunicaciones (en adelante TIC) son el conjunto de recursos, herramientas, equipos, programas informáticos, aplicaciones, redes y medios que permiten la compilación, procesamiento, almacenamiento, transmisión de información como voz, datos, texto, video e imágenes».
[3] Armando Colmenares. «Acceso abusivo a un sistema informático». (Bogotá: Conferencia virtual en Diálogos Punitivos, 2022).
[4] También conocido como autor o sujeto activo de la conducta prevista como punible. Es importante destacar que, en general, cualquier persona puede ser sujeto activo de un delito, salvo que el tipo penal exija una cualidad especial en el agente, lo que se conoce como sujeto activo calificado. Fernando Velásquez Velásquez, Fundamentos de Derecho Penal. Parte General. (Bogotá: Tirant lo Blanch, 2020), 615.
[5] El hacking o acceso ilícito a sistemas informáticos, también conocido como data breaches o violación de datos, no es otra cosa que la modalidad de cibercrimen en el cual un sujeto accede al sistema o equipo informático sin autorización de su titular. Fernando Miró Linares, El cibercrimen: fenomenología y criminología de la delincuencia en el ciberespacio (Madrid: Marcial Pons, 2012), 53-57.
[6] Dylan Escobar Ruiz, «Récord histórico de ciberataques en todo el mundo y las pérdidas de billones de dólares de las empresas en 2025», Infobae, 22 de noviembre de 2024, https://www.infobae.com/tecno/2024/11/22/record-historico-de-ciberataques-en-todo-el-mundo-y-las-perdida-de-billones-de-dolares-de-las-empresas-en-2025/
[7] Cámara Colombiana de Informática y Telecomunicaciones, «Ciberseguridad en Colombia: desafíos y perspectivas», 26 de abril de 2024, acceso el 3 de diciembre de 2024, https://www.ccit.org.co/articulos-tictac/ciberseguridad-en-colombia-desafios-y-perspectivas/
[8] Siendo los más afectados: sector financiero el 35 %, grupos empresariales 27 % y empresas legales 14 %. Juan Escobar Fernández, «Finanzas de los colombianos podrían tener problemas por ciberataques: empresas tuvieron que tomar millonaria decisión», Infobae, 21 de agosto de 2024, https://www.infobae.com/colombia/2024/08/22/finanzas-de-los-colombianos-podrian-tener-problemas-por-ciberataques-empresas-tuvieron-que-tomar-millonaria-decision/
[9] Corporación Excelencia en la Justicia, «Informe Sistema Penal Oral Acusatorio en Colombia 2024», 3 de diciembre de 2024, https://cej.org.co/publicaciones/informe-sistema-penal-oral-acusatorio-en-colombia-2024/
[10] Igualmente, se integra con la red de telecomunicaciones que se entiende como: «Conjunto de nodos y enlaces alámbricos, radioeléctricos, ópticos u otros sistemas electromagnéticos, incluidos todos sus componentes físicos y lógicos necesarios, que proveen conexiones entre dos (2) o más puntos, fijos o móviles, terrestres o espaciales, para cursar telecomunicaciones». «Redes de Telecomunicaciones», Ministerio TIC, acceso el 12 de noviembre de 2024, https://www.mintic.gov.co/portal/inicio/Atencion-y-Servicio-a-la-Ciudadania/Preguntas-frecuentes/5235:Redes-de-Telecomunicaciones#:~:text=Red%20de%20telecomunicaciones:%20Conjunto%20de,o%20espaciales%2C%20para%20cursar%20telecomunicaciones.
[11] Ubicado en el artículo 2 del Convenio dentro del Título 1) de los delitos contra la confidencialidad, la integridad y la disponibilidad de los datos y los sistemas informáticos: Acceso ilícito: «Cada Parte adoptará las medidas legislativas y de otro tipo que resulten necesarias para tipificar como delito en su derecho interno el acceso deliberado e ilegítimo a todo o parte de un sistema informático. Las Partes podrán exigir que el delito se cometa infringiendo medidas de seguridad, con la intención de obtener datos informáticos u otra intención delictiva, o en relación con un sistema informático conectado a otro sistema informático», «Convenio sobre la Ciberdelincuencia», Budapest, 2001. Dejando a salvo que en el Proyecto de Convención Internacional Integral sobre la Lucha contra la Utilización de las Tecnologías de la Información y las Comunicaciones con Fines Delictivos (que modificaría el actual Convenio de Budapest) se adicione el término «dispositivo de tecnología de la información y las comunicaciones», y con fines adicionales de obtener «información digital», aparte de datos informáticos. Es de aclarar que el citado proyecto se encuentra pendiente de aprobación, de acuerdo con las mesas de disertación que se adelantan en la Asamblea General de la Naciones Unidas.
[12] Entendido como un sistema que permite almacenar y procesar información mediante unos componentes interrelacionados como son el hardware, software y el personal informático. Véase en «¿Qué son sistemas informáticos?», Innovación en Formación Profesional, 20 de diciembre de 2023, acceso el 19 de noviembre de 2024, https://www.ifp.es/blog/que-son-sistemas-informaticos. Incluso, el Diccionario panhispánico del español jurídico lo define como: «Dispositivo aislado o conjunto de dispositivos interconectados o relacionados entre sí, cuya función, o la de alguno de sus elementos, sea el tratamiento automatizado de datos en ejecución de un programa», Diccionario panhispánico del español jurídico, 2023, acceso el 19 de noviembre de 2024, https://dpej.rae.es/lema/sistema-inform%C3%A1tico#:~:text=Pen.,264.&text=Ley%20599%20de%202000%2C%20por,el%2024%2DVII%2D2000.
[13] Según la Ley 30096 de Delitos Informáticos del Perú, se entiende por dato informático «Toda representación de hechos, información o conceptos expresados de cualquier forma que se preste a tratamiento informático, incluidos los programas diseñados para que un sistema informático ejecute una función». O resumido por el referido Proyecto de Convención como información digital.
[14] Colmenares. «Acceso abusivo a un sistema informático». (Bogotá: Conferencia virtual en Diálogos Punitivos, 2022).
[15] «Convenio sobre la Ciberdelincuencia», 2001. Art. 1. Literal a). Sin perjuicio de la definición que continúa en debate en el Proyecto de Convención Internacional Integral sobre la Lucha contra la Utilización de las Tecnologías de la Información y las Comunicaciones con Fines Delictivos el cual modificaría el actual Convenio de Budapest: dispositivo de tecnología de la información y las comunicaciones. «Proyecto de convención internacional integral sobre la lucha contra la utilización de las tecnologías de la información y las comunicaciones con fines delictivos/2024». Art. 2. Literal a).
[16] Propiedad de la información. Se garantiza que está accesible al personal autorizado.
[17] Garantía de exactitud y fiabilidad de la información.
[18] Garantía de continuidad sin sufrir ninguna alteración.
[19] Tipo penal que actualmente es acogido en países latinoamericanos como Argentina, con el Artículo 5 de la Ley 26.388 de 2008; Perú, en el artículo 2 de la Ley 30.096 de 2013, y Chile, en el artículo 2 de la Ley 21.459 de 2022; para estos dos últimos denominado «Acceso ilícito».
[20] CSJ, Cas. Penal, SP 473-2023, nov. 22/2023, Rad. 5922. M. P. Diego Eugenio Corredor Beltrán. En apoyo con: Pedro Alfonso Pabón Parra, Código Penal Esquemático (Bogotá: Ediciones Doctrina y Ley, 2022), 302.
[21] Luis Orlando Palomá Parra, Delitos informáticos (Bogotá: Ediciones Jurídicas Andrés Morales, 2012), 81. Véase también: Fernando Rincón, Delitos informáticos (Bogotá: ECOE, 2024), 119.
[22] CSJ, Cas. Penal, SP592-2022, mar. 0282022, Rad. 50621. M. P. Diego Eugenio Corredor Beltrán.
[23] Según lo ha sostenido la Corte Suprema de Justicia en la Sala Penal, de manera pacífica y reiterada: CSJ, Cas. Penal, SP592-2022, mar. 02/2022, Rad. 50621. M. P. Diego Eugenio Corredor Beltrán; CSJ, Cas. Penal, SP 473-2023, nov. 22/2023, Rad. 57922. M. P. Diego Eugenio Corredor Beltrán y CSJ, Cas. Penal, SP903-2024, abr. 24/2024, Rad. 65376. M.P. Myriam Ávila Roldán.
[24] Larry Laudan, Verdad, error y proceso penal (Madrid: Ed. Marcial Pons, 2013), 34-37. Igualmente se puede encontrar en: Mauricio Duce, «Prácticas probatorias y riesgos de condenas erróneas: Visión empírica». En: Ferrer Beltrán, J. & Vázquez, C. (eds.): El razonamiento probatorio en el proceso judicial. Un encuentro entre diferentes tradiciones, 2020, 350
[25] Ricardo Posada Maya, «El delito de acceso abusivo a un sistema informático: a propósito del art. 269A del CP de 2000», Revista de Derecho, Comunicaciones y Nuevas Tecnologías, n.o 9 (2013): 9 y 10, https://dialnet.unirioja.es/descarga/articulo/7505128.pdf
[26] Los modelos penales acusatorios o con tendencia acusatoria, como es el caso colombiano. Aquí, con la Ley 906 de 2004, se adopta el principio de libertad probatoria conforme el artículo 373: «LIBERTAD. Los hechos y circunstancias de interés para la solución correcta del caso, se podrán probar por cualquiera de los medios establecidos en este código o por cualquier otro medio técnico o científico, que no viole los derechos humanos».
[27] Estos puntos pueden probarse, por ejemplo, mediante certificaciones que emita la referida empresa desde el departamento de TI.
[28] Tal aspecto puede ser probado mediante el log de operaciones con que cuente el sistema informático.
[29] En el proceso penal colombiano, la conducencia, la pertinencia y la utilidad de la prueba son criterios fundamentales para la admisión de pruebas durante el juicio oral. Estos conceptos están regulados principalmente por la Ley 906 de 2004, que establece un marco normativo detallado para la producción y controversia de pruebas en el juicio oral. La conducencia se refiere a su idoneidad legal para ser admitida en el proceso. Esto significa que la prueba debe estar «permitida por la ley como elemento demostrativo [que permita al juez formar un juicio sobre] la materialidad de la conducta investigada o la responsabilidad del procesado» (CSJ, Cas. Penal, rad. 37198). En otras palabras, la prueba debe ser un medio legalmente autorizado para demostrar un hecho concreto en el proceso. Por su parte, la pertinencia, conforme al artículo 375 de la Ley 906 de 2004, implica que esta debe estar relacionada con el objeto de la investigación y el debate. Es decir, la prueba debe ser apta y apropiada para demostrar un aspecto relevante del caso. La pertinencia también se refiere a la relación directa o indirecta de la prueba con los hechos o circunstancias relativos a la comisión de la conducta delictiva y sus consecuencias. Finalmente, la utilidad, conforme a los artículos 359 y 376 del mismo compendio procesal, se refiere a su capacidad para aportar un beneficio concreto al proceso, en oposición a lo superfluo o innecesario. Una prueba es útil si contribuye de manera significativa a esclarecer los hechos objeto de investigación. La utilidad también implica que la prueba no debe ser redundante ni dilatoria del procedimiento. Véase CSJ, Cas. Penal, AP948-2018, mar. 07/2018, Rad. 51882. M. P. Patricia Salazar Cuéllar.
[30] Téngase en cuenta que, para la modalidad de outsider, los medios probatorios deberán acreditar la falta de autorización por parte del agente, es decir, su condición de externo en relación con el titular o quien ostente el legítimo derecho sobre el sistema informático. En cambio, para la modalidad de insider, los medios de prueba se centrarán en determinar la vulneración de las facultades funcionales y contractuales pactadas entre las partes.
[31] Téngase en cuenta que tanto el acceso no autorizado como el mantenimiento en contra de la voluntad del titular, o de quien tenga el legítimo derecho de excluirlo, aplica tanto a la modalidad de insider como a la de outsider. Por otro lado, lo relacionado exclusivamente a lo que esté por fuera de lo acordado aplica únicamente a la modalidad de insider.
[32]Aunque exista una autorización del cliente para el tratamiento de sus datos personales al momento de adquirir algún producto o servicio, esto no implica que el responsable de la información y/o el encargado del tratamiento puedan omitir el cumplimiento del estándar de debida diligencia establecido por la Superintendencia Financiera. Para el sector financiero, este estándar está regulado en las circulares externas 001 de 2015, 040 de 2009, 022 de 2010, 028 de 2021 y 004 de 2024. Por su parte, para sectores diferentes, la Superintendencia de Industria y Comercio establece lineamientos en las circulares externas 002 de 2015 y 005 de 2017. Estas disposiciones deben ser interpretadas en consonancia con el marco normativo general en la materia, que incluye el artículo 15 de la Constitución Nacional, la Ley 1266 de 2008, la Ley 1581 de 2012 y la Ley 2157 de 2021, entre otras.
[33] Se refiere a los archivos o registros generados por los sistemas informáticos que documentan actividades específicas, como transacciones de datos, accesos a sistemas o cambios en archivos. Estos logs se utilizan en investigaciones forenses para rastrear la actividad de los usuarios, identificar intrusiones o determinar el momento exacto de un evento relevante para el caso. Los registros pueden incluir detalles como las direcciones IP, marcas de tiempo, usuarios involucrados y acciones realizadas, lo que los convierte en evidencia crucial para la resolución de delitos informáticos y otras investigaciones legales. Véase en «Informática forense: introducción y perspectivas de futuro», DataNumen, 27 de octubre de 2023, acceso el 1 de diciembre de 2024, https://www.datanumen.com/es/Blogs/Introducci%C3%B3n-a-la-inform%C3%A1tica-forense-y-perspectivas-futuras./?srsltid=AfmBOor4glzMiM1gt1JzKnXbRIZEmxyYCR6znnDjQ1Tc9xceV-Ws4Xqa
[34] Daniel Santiago Guío Díaz, «Colombia, en transición hacia el dolo normativo», Diálogos Punitivos (2018): pp. 9 y 10. https://dialogospunitivos.com/wp-content/uploads/2021/12/Columna-de-interes-2.pdfhttps://dialogospunitivos.com/wp-content/uploads/2021/12/Columna-de-interes-2.pdfhttps://dialogospunitivos.com/wp-content/uploads/2021/12/Columna-de-interes-2.pdf Que bajo la misma línea la Corte Suprema de Justicia manifestó: «la parte intelectiva del dolo exige que el sujeto agente comprenda la conducta típica –en sus elementos, circunstancias de ejecución y resultados–, mientras que en el aspecto volitivo se debe demostrar el querer libre de realización de la conducta por parte del agente». CSJ, Cas. Penal, nov, 01, 2017, Rad. 48679; Rad. 44343 sentencia. (03, mayo, 2017); Rad. 40383 sentencia. (26, octubre, 2016); Rad. 46553 auto interlocutorio. (12, abril, 2016). Lo anterior, sin dejar de lado la evolución del concepto del dolo en la doctrina que no se limita a estructuras ontológicas, sino que las actuales tendencias refieren a que solo puede entenderse adecuadamente acudiendo a estructuras normativas que permitan de alguna manera otorgar alcance y contenido.
[35] En ocasiones, puede que no exista el recibido directo por parte de los agentes de este tipo de cursos y/o capacitaciones, pero esto no limita a que no existan otros medios de prueba que puedan ayudar a acreditar este aspecto como bien podrían ser certificaciones o declaraciones de terceros que hayan asistido a este tipo de capacitaciones con el agente, entre otros mecanismos.
[36] Advertimos esta tendencia debido a la influencia de la corriente filosófico-jurídica liderada por Michele Taruffo, especialmente a través de su obra emblemática La prueba de los hechos, en la que planteó diversas problemáticas sobre la noción de la prueba y la justificación de las decisiones judiciales para establecer la verdad en un proceso. Este enfoque ha sido enriquecido por destacados exponentes que integran una perspectiva teórico-práctica, como Perfecto Andrés Ibáñez, magistrado emérito de la Sala Segunda del Tribunal Supremo Español, y por doctrinantes como Jordi Ferrer Beltrán, Jordi Nieva Fenoll, Marina Gascón Abellán, Daniel González Lagier, Juan Antonio García Amado, Carmen Vásquez, Diego Dei Vecchi, Edgar Aguilera, entre otros. Todos ellos han profundizado en el razonamiento probatorio desde un fundamento filosófico basado en la epistemología.
[37] Herramientas como registros de auditoría, logs de acceso y análisis forenses deben ser recopiladas siguiendo procedimientos técnicos que cumplan con las normativas internacionales, como las establecidas en el estándar ISO/IEC 27037, para garantizar que la información no sea objeto de manipulación. Al respecto, ver en: «Proporciona directrices para actividades específicas en el manejo de evidencia digital, que son la identificación, recopilación, adquisición y preservación de evidencia digital potencial que puede tener valor probatorio». ISO/IEC, Tecnologías de la información — Técnicas de seguridad — Directrices para la identificación, recopilación, adquisición y conservación de evidencia digital. ISO. Edición 1 (2012), https://www.iso.org/standard/44381.html.
[38] CSJ, Cas. Penal, AP378-2017, sep. 27/2017, Rad. 49645. M. P. Luis Antonio Hernández Barbosa.