Cárcel y Multas para Delitos Informáticos en Colombia

Los delitos que creó la ley

Algunas de estas medidas son:

• Acceso abusivo a un sistema informático (art. 269A). El que sin autorización o por fuera de lo acordado, acceda en todo o en aparte a un sistema informático protegido o no con una medida de seguridad, o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, incurrirá en pena de prisión de 48 a 96 meses, y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.
• Obstaculización ilegítima de sistema informático o red de telecomunicación (art. 269B). El que sin estar facultado para ello, impida u obstaculice el funcionamiento o el acceso normal a un sistema informático, a los datos allí contenidos, o a una red de telecomunicaciones, incurrirá en pena de prisión de 48 a 96 meses, y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes, «siempre que la conducta no constituya delito sancionado con una pena mayor».
• Interceptación de datos informáticos (art. 269C). El que sin orden judicial previa intercepte datos informáticos en su origen, destino o en el interior de un sistema informático, o las emisiones electromagnéticas provenientes de un sistema informático que los transporte, incurrirá en pena de prisión de 36 a 72 meses.
• Daño informático (art. 269D). El que sin estar facultado para ello, destruya, dañe, borre, deteriore, altere o suprima datos informáticos, o un sistema de tratamiento de información o sus partes o componentes lógicos, incurrirá en pena de prisión de 48 a 96 meses, y en multa de 100 a 1.000 salarios mínimos.
• Uso de software malicioso (art. 269E). El que sin estar facultado para ello, produzca, trafique, adquiera, distribuya, venda, envíe, introduzca o extraiga del territorio nacional software malicioso u otros programas de computación de efectos dañinos, también incurrirá en pena de prisión de 48 a 96 meses y en multa de 100 a 1.000 salarios mínimos mensuales vigentes.
• Violación de datos personales (art. 269F). El que sin estar facultado para ello, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modifique o emplee códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes, incurrirá en pena de prisión de 48 a 96 meses y en multa de 100 a 1.000 salarios mínimos.

Agrega la ley en su capítulo segundo que el ciudadano que con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consiga la transferencia no consentida de cualquier activo en perjuicio de un tercero (art. 269J), incurrirá en pena de prisión de 48 a 120 meses, y en multa de 200 a 1.500 salarios mínimos.

La misma sanción se le impondrá a quien fabrique introduzca, posea o facilite el programa de computador destinado a la comisión del delito descrito o en una estafa, concluye la norma.

En el foro se están debatiendo algunos puntos que no están muy claros o podrían prestarse para malas interpretaciones, especialmente en Colombia donde son pocos los abogados que están especializados en delitos informáticos o conocen sobre el tema.

Tabla resumen: delitos 269A a 269J, prisión y multa (Ley 1273 de 2009)

Resumen del texto original de la Ley 1273 de 2009, que creó el Título VII BIS del Código Penal. Las penas pueden variar por reformas posteriores y por las agravantes del artículo 269H; esta tabla es informativa y no es asesoría legal.

Si fue víctima: preserve la evidencia (no apague ni formatee el equipo afectado si puede evitarlo), guarde registros y mensajes, y denuncie ante la Fiscalía. Una evaluación técnica posterior ayuda a demostrar qué pasó y qué controles faltaron, pero no reemplaza la denuncia.

Fuentes

• Texto completo de la Ley 1273 de 2009 (Secretaría del Senado de la República).

La Ley 1273 de 2009 y la responsabilidad de las empresas

La Ley 1273 de 2009 incorporó al Código Penal colombiano los delitos contra la protección de la información y de los datos —con penas de prisión que, como recoge este artículo, van de 48 a 96 meses—. El mensaje para las organizaciones es claro: la seguridad de la información no es opcional ni un asunto solo técnico; tiene consecuencias jurídicas concretas.

Para una empresa, el riesgo no está únicamente en ser víctima de un ataque, sino en no poder demostrar diligencia: controles documentados, evaluaciones periódicas y un plan de respuesta convierten la seguridad en evidencia de buena gestión ante cualquier escrutinio, regulatorio o judicial.

Diligencia debida: qué puede hacer su empresa hoy

La diligencia debida no se improvisa después del incidente: se documenta antes. Si su organización maneja datos de clientes, proveedores o empleados, estos son los mínimos que un juez, un regulador o un socio comercial esperaría encontrar:

• Inventario de activos y datos. No se protege lo que no se conoce: sistemas, aplicaciones, bases de datos y quién tiene acceso a cada uno.
• Controles documentados. Políticas de acceso, gestión de credenciales, copias de seguridad verificadas y registro de quién hace qué en los sistemas críticos.
• Evaluaciones periódicas de seguridad. Probar los controles antes de que lo haga un atacante: pruebas de penetración y evaluaciones documentadas, con hallazgos priorizados y seguimiento de la remediación. La guía NIST SP 800-115 describe cómo estructurar estas evaluaciones en planificación, descubrimiento, ataque y reporte.
• Plan de respuesta a incidentes. Qué hacer en las primeras 72 horas tras una intrusión: a quién avisar, cómo preservar evidencia y cómo comunicarlo.

El marco se completa con la Ley 1581 de 2012, que obliga a las empresas colombianas a proteger los datos personales que tratan —y una evaluación de seguridad profesional es una de las medidas que demuestra esa diligencia—.