Delitos Informáticos en España: Art. 197 Código Penal, Hacking, Sexting y Ciberacoso (2026)

Delitos Informáticos en el Código Penal Español

El Código Penal español tipifica los principales delitos informáticos en el Título X ("Delitos contra la intimidad, el derecho a la propia imagen y la inviolabilidad del domicilio"), en el art. 264 (daños informáticos) y en la Ley Orgánica 1/2015 que introdujo el art. 197.7 CP sobre difusión no consentida de imágenes íntimas.

Art. 197 CP: Descubrimiento y Revelación de Secretos

Tipo Básico (Art. 197.1 CP)

Pena de 1 a 4 años de prisión y multa de 12 a 24 meses para quien:

• Se apodere de papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales, o intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación
• Sin estar autorizado y con la finalidad de descubrir los secretos o vulnerar la intimidad de otro

La jurisprudencia (STS 23 febrero 2021) exige el elemento subjetivo específico: el mero acceso accidental no es suficiente.

Tipo Agravado (Art. 197.2 CP)

Pena de 2 a 5 años cuando los datos o hechos descubiertos son especialmente protegidos: relativos a ideología, religión, creencias, salud, vida sexual, origen racial o datos obtenidos de ficheros informáticos o archivos de tratamiento de datos.

Acceso a Sistemas Informáticos sin Autorización (Art. 197 bis CP)

Introducido por LO 1/2015 para transponer la Directiva 2013/40/UE contra los ataques a sistemas de información:

• Art. 197 bis.1: Acceso no autorizado a todo o parte de un sistema informático, vulnerando medidas de seguridad → pena de 6 meses a 2 años
• Art. 197 bis.2: Interceptación por medios técnicos de transmisiones no públicas de datos informáticos → pena de 3 meses a 2 años
• Art. 197 ter: Facilitación de medios para la comisión de los delitos anteriores (producción, adquisición, importación de programas diseñados para acceder sin autorización) → pena de 6 meses a 2 años

El TS (STS 27 octubre 2022) ha precisado que el delito del art. 197 bis requiere la vulneración de medidas de seguridad: el acceso a sistemas sin contraseña o con credenciales compartidas voluntariamente no configura el tipo.

Art. 197.7 CP: Difusión No Consentida de Imágenes Íntimas ("Sexting")

Tipo

Introducido por LO 1/2015 y modificado por LO 10/2022 (LIVG; Ley de Garantía Integral de la Libertad Sexual):

Pena de 3 meses a 1 año o multa de 6 a 12 meses para quien difunda, revele o ceda a terceros imágenes o grabaciones audiovisuales de otra persona obtenidas con su anuencia en un domicilio u otro lugar fuera del alcance de la mirada de terceros, cuando la divulgación menoscabe gravemente la intimidad personal de esa persona.

LO 10/2022 añadió el párrafo segundo: si las imágenes se obtuvieron sin consentimiento (voyeurismo / grabación encubierta), la pena es de 6 meses a 2 años.

Agravaciones

• La pena se impone en su mitad superior si la víctima es persona especialmente vulnerable (menor, discapacidad, situación de dependencia afectiva)
• Agravación adicional si el responsable es o fue pareja o persona con análoga relación de afectividad (contexto de violencia de género, art. 1 LIVG)

Responsabilidad de las Plataformas

La Ley 13/2022 General de Comunicación Audiovisual y el Digital Services Act (DSA ( Reglamento (UE) 2022/2065) obligan a las plataformas de comunicación muy grandes (Very Large Online Platforms ) VLOPs: Meta, TikTok, X, etc.) a retirar contenido NCII (Non-Consensual Intimate Imagery) de forma inmediata ante notificación. La denuncia puede hacerse simultáneamente a la plataforma y a las FFCCSS.

Ciberacoso: Arts. 172 ter y 183 ter CP

Acoso (Stalking): Art. 172 ter CP

Pena de 3 meses a 2 años o multa de 6 a 24 meses para quien de forma insistente y reiterada, sin estar legítimamente autorizado, lleve a cabo alguna de las conductas:

1. La vigile, la persiga o busque su cercanía física (incluido el seguimiento digital / geolocalización)
2. Establezca o intente establecer contacto con ella a través de cualquier medio de comunicación
3. Mediante el uso indebido de sus datos personales, adquiera productos o mercancías, o contrate servicios
4. Atente contra su libertad o contra su patrimonio, o el de una persona próxima

El tipo agrava si el acoso se produce contra cónyuge o análoga relación de afectividad, descendiente o persona especialmente vulnerable.

Child Grooming: Art. 183 ter.1 CP

Pena de 1 a 3 años o multa de 12 a 24 meses para el adulto que, a través de medios telemáticos, contacte con un menor de 16 años y realice actos dirigidos a embaucarle para que facilite material pornográfico o para concertar un encuentro con fin sexual.

Si el encuentro se produce, se aplicará la pena del delito consumado (abuso/agresión sexual a menor; Arts. 183 y 183 bis CP).

Proceso Penal en Delitos Informáticos

Competencia

• Tribunales de Instancia de Instrucción por regla general
• Juzgado Central de Instrucción (AN) cuando hay organización criminal transfronteriza o afecta a infraestructuras críticas (arts. 65.1.d LECrim / LO 5/2000)

Prueba Digital

La jurisprudencia (STS Sala 2ª, 9 julio 2019; STS 19 febrero 2020) exige para la validez de la prueba digital:

1. Cadena de custodia documentada desde el momento de la incautación
2. Hash criptográfico de los archivos intervenidos (MD5 o SHA-256) para garantizar la integridad
3. Para capturas de pantalla y mensajes: verificación por perito informático forense + metadata EXIF/cabeceras de mensaje

La interceptación de comunicaciones requiere autorización judicial (art. 579 LECrim). Los ciberagentes undercover (art. 282 bis.6 LECrim) pueden infiltrarse en foros o redes solo con autorización judicial y para delitos de pornografía infantil y trata de personas.

Denuncia y Urgencia

La denuncia de delitos informáticos puede presentarse:

• Policía Nacional (Unidad de Ciberdelincuencia; UDEV Central)
• Guardia Civil (GDT; Grupo de Delitos Telemáticos)
• Juzgado de Guardia (para medidas urgentes de conservación de datos, art. 588 octies LECrim: plazo de 90 días, prorrogable)

En casos de NCII (art. 197.7 CP), es crítico actuar en las primeras 24-48 horas para lograr la retirada inmediata del contenido mediante orden judicial cautelar o notificación urgente a la plataforma conforme al DSA.