Source: https://www.slideshare.net/rherrerab/delincuencia-informatica-uned00
Timestamp: 2018-04-25 15:13:41+00:00

Document:
Delincuencia informatica (uned00)
, Abogado, Académico y Consultor especializado en Tecnologías de Información
1. Reflexiones sobre la delincuencia vinculada con la tecnología digital (basadas en la experiencia chilena) Rodolfo Herrera Bravo Abogado Doctorando en Derechos Constitucionales e Informática 1.- Introducción al tema; 2.- Acerca de la noción de “delito informático”; 3.- Hacia un bien jurídico protegido; 4.- Conductas comúnmente reprochables por vía penal; 5.- La extraterritorialidad de las conductas a través de redes digitales; 6.- La penalización de conductas sin dolo; 7.- El intento frustrado de tipificar estos delitos en Chile: la ley Nº 19.223; 8.- Conclusiones 1.- Introducción al tema En junio de 1993 entró en vigencia en Chile la ley N°19.223, sobre delitos informáticos, un cuerpo legal que, cargado de buenas intenciones, resultó innovador en la región. Sin embargo, desde un plano académico surgen diversas críticas a dicha norma, algunas de las cuales nos motivaron a realizar estas breves reflexiones sobre la delincuencia informática. En primer lugar, pretendemos precisar la noción de “delito informático”, ya que a partir de ella se pueden aclarar aspectos tales como los bienes jurídicos que protegen1, sus características y, principalmente, la técnica legislativa a seguir, sea ésta la creación de nuevos delitos o la modificación de los ya existentes. Luego, detallamos las conductas que comúnmente son incluidas dentro del género de los “delitos informáticos”, base para el posterior análisis de la citada ley chilena. Además, nos detenemos en dos aspectos interesantes de reflexión que pueden ser objeto de estudios particulares más 1 Para el legislador chileno fue necesario crear un nuevo bien jurídico protegido, bastante discutible para la doctrina.
2. 2 profundos: la extraterritorialidad de tales conductas y la penalización de aquéllas cometidas sin dolo. Finalmente, concluimos con el análisis del articulado de la ley Nº19.223, desde un plano profundamente crítico, observando la necesidad de su modificación. 2.- Acerca de la noción de “delito informático” El impacto de las tecnologías de la información en la comunicación humana ha implicado una transformación en la forma de convivir en sociedad, en la que se materializa la concepción de un mundo globalizado, de un “ciberespacio” y de verdaderas “ciberculturas”. Dentro de este factor de cambio, el mal uso de la informática y las agresiones dirigidas en contra de los sistemas automatizados de información han hecho surgir conductas merecedoras de reproche social, algunas incluso novedosas y no siempre fáciles de tipificar. Por tal razón, la primera de las reflexiones busca distinguir, a partir de una propuesta doctrinal para un concepto de “delito informático”, dos grupos que recogen las conductas tipificadas o tipificables relacionadas con la tecnología digital, con el objeto de evitar que “el vino nuevo se guarde en odres viejos” o que se pretenda inventar figuras para conductas ya cubiertas. Para comenzar, ciertas figuras típicas tradicionales -como los daños, por ejemplo-, están realizándose mediante el empleo de la informática, que se utiliza como un medio de comisión específico. Se trata de conductas que ya están tratadas en leyes penales –a partir de una realidad preinformática-, con la particularidad de que, a consecuencia del medio tecnológico empleado, tal ilícito se “informatiza” y pasa a integrar un grupo distinto, a nuestro juicio, del que reúne a los llamados “delitos informáticos”. Estos ilícitos no hacen necesaria la creación doctrinal de nuevos delitos, sino únicamente la ampliación del tipo penal suficientemente como para comprender esas conductas, cuando no se ajusten completamente a la norma. Sin embargo, también han surgido nuevas conductas, impensadas por el legislador de hasta hace medio siglo, que por su especial naturaleza no admiten encuadrarse dentro de figuras clásicas informatizadas sino que es necesaria la creación doctrinal de una nueva categoría. En
3. 3 este grupo colocaremos a los “delitos informáticos”, como concepto genérico que integre distintas conductas tipificables unitaria o separadamente. Esta idea es compartida por autores como Morales Ríos, quien distingue entre los ”delitos informáticos propiamente tales [que] serían aquellos en que el bien jurídico tutelado es la información, esto es, el contenido de bases o bancos de datos o el producto de los procesos automátizados de tratamiento de aquellos [...] y los delitos computacionales, [...] en que el bien jurídico que requiere de protección resulta amparado por otras normas penales (propiedad, fe pública, orden público, etc.), estando la autonomía del tipo referida a los medios de comisión y requiriéndose el uso del computador o de sus equipos periféricos”2. Otros, siguiendo al autor anterior, agregan que los delitos computacionales son “[...] todas aquellas hipótesis delictivas que admiten ser encuadradas dentro de los tipos tradicionales, ya que en ellas los medios informáticos sólo han sido una específica herramienta de comisión [...]”, mientras que los delitos informáticos propiamente tales “[...] requieren una configuración distinta, en consideración a las particularidades que ellos envuelven” 3. Ahora bien, con el objeto de evitar una “inflación penal”, es decir, un crecimiento desmedido del Derecho Penal que vaya contra la tendencia hacia la reducción de la esfera punitiva, debemos entender que no toda conducta impropia relacionada con la informática merece el carácter de “delito informático”. Primero, sólo serán delitos las que se tipifican como tales en virtud del principio de reserva legal. Segundo, es conveniente que sólo las conductas más graves y preferentemente dolosas, se castiguen penalmente, dado el carácter de “última ratio”, de último recurso de la pena dentro del sistema de control social, aplicándola sólo una vez que las sanciones civiles y administrativas han sido descartadas. En la búsqueda doctrinal de un concepto de “delito informático” la distinción que antes mencionamos no queda claramente establecida, lo cual lejos de ser un problema meramente ficticio o teórico, indirectamente influye en legisladores como el chileno, que desconocen el tema y ofrecen soluciones legislativas confusas y erróneas, como veremos más adelante. Por eso, a 2 Jijena Leiva, R. Chile, la protección penal de la intimidad y el delito informático. Ed. Jurídica de Chile, Santiago, 1992, p. 85. 3 Ibídem, p. 84.
4. 4 continuación trataremos de despejar algunas confusiones habituales que nos permitan esbozar un concepto de delito informático, a nuestro juicio, apropiado. Una primera idea al respecto la señala Téllez Valdés, quien lo conceptualiza desde dos ópticas. Nos dice que desde un punto de vista atípico son “actitudes ilícitas en que se tiene al computador como instrumento o fin”, y desde uno típico son “conductas típicas, antijurídicas y culpables en que se tiene a las computadoras como medio o fin” 4. Esta idea ha sido común en los autores del área, como Sarzana, quien sostiene como delito informático a “cualquier comportamiento criminógeno en que la computadora está involucrada como material, objeto o mero símbolo”5; o Castillo y Ramallo, quienes entienden que “delito informático es toda acción dolosa que provoca un perjuicio a personas o entidades en cuya comisión intervienen dispositivos habitualmente utilizados en las actividades informáticas”6. Estas definiciones adolecen de imprecisión, porque no todo ilícito en que se emplee un sistema informático como medio o instrumento para delinquir tendrá el carácter de un nuevo delito, calificado como “informático”, ese elemento podría ser suficiente sólo para que la figura típica tradicional se informatice y pase al grupo de los delitos computacionales que indicaba Morales Ríos. Sin embargo, tampoco puede afirmarse que todo delito en el que interviene un ordenador como medio es un delito informático o un delito computacional, pues el uso que se le dé, debe ser el normal de acuerdo a su naturaleza. Por ejemplo, no sería un delito computacional -ni, obviamente, un delito informático- las lesiones que se le causen a una persona golpeándolo con un monitor o con un disco. Como segunda idea, y teniendo claro que buscamos conceptualizar conductas ilícitas nuevas, cometidas a través de equipos computacionales, pero en donde el elemento central no es el medio de comisión sino el hecho de atentar contra un bien informático, debemos distinguir que no todos éstos son objeto de “delitos informáticos”. 4 Téllez Valdés, J. Derecho Informático, Ed. McGraw-Hill, México, 1996, p. 104. 5 Ibídem, p. 104. 6 Huerta, M. y Líbano, C. Delitos informáticos. Ed. Conosur Ltda, Santiago, 1996, p. 114.
5. 5 Los sistemas de tratamiento automatizado de la información7 se basan en dos grandes tipos de soportes, el físico y el lógico. Así, por una parte, los bienes informáticos que dicen relación con el soporte físico conforman el hardware, es decir, bienes corporales muebles como el procesador o la unidad central de proceso y los dispositivos periféricos de entrada y salida, como por ejemplo, el monitor, el teclado, la impresora o el escáner. En cambio, por la otra, existen bienes intagibles que constituyen el software o soporte lógico del sistema. Dentro de él están los datos digitalizados que se ingresan al ordenador para su procesamiento, y los programas computacionales, que son un conjunto de instrucciones para ser usadas directa o indirectamente en un ordenador a fin de efectuar u obtener un determinado proceso o resultado. No todos estos bienes son objeto de “delitos informáticos”. Contra el hardware o soporte físico sólo se cometen delitos tradicionales, y no figuras nuevas no encuadrables en las ya existentes. En efecto, si los equipos informáticos son bienes tangibles, corporales y muebles no hay inconveniente para que se cometan en su contra los tradicionales delitos de hurto, robo o daños. Por eso, estimamos incorrecta la idea de quienes califican como “delitos informáticos” al hurto de un ordenador, el robo de un cajero automático, o los incendios intencionales y atentados terroristas en contra de una central de computación, por ejemplo. Es más, incluso empleando como medio de comisión un “virus físico o destructivo” que altere el funcionamiento del sistema exigiéndolo más allá de sus capacidades y logrando un sobrecalentamiento que queme el disco duro, la tarjeta de vídeo o el monitor, no estamos en presencia de un “delito informático”, sino sólo uno tradicional de daños. Hay autores que clasifican estas conductas destinadas a destruir los elementos físicos del sistema dentro del sabotaje informático. Ellos justifican la penalización de tales conductas como “delitos informáticos”, en la desproporción que existe entre el valor de los equipos y el perjuicio que implica la destrucción correlativa; en la impunidad de los autores favorecida por la detectabilidad del ilícito bastante tiempo después; y por la gran dificultad que presentan para valorar la real cuantía del daño producido en atención al valor del material destruido. 7 Sistema de tratamiento de información es el medio por el cual los datos fluyen de una persona hacia otra proporcionando información o datos procesados a todas o algunas de las partes de una organización. Está conformado por Sistemas Informáticos o de computación (si el sistema es automatizado) o Sistemas manuales (si el sistema es manual), y, a su vez, forma parte del Sistema Organizacional o de Administración.
6. 6 Si bien reconocemos que estas son características que pueden darse cada vez que se atenta contra un sistema de tratamiento de información, en ningún caso son elementos que justifiquen un tipo penal distinto al delito de daños. Sin duda, la información que se perderá en este tipo de atentados tiene un valor estratégico muchas veces no comparable con el valor económico del hardware, sin embargo, esto también ocurre cuando se atenta contra archivos, registros, bibliotecas o museos, circunstancia que el legislador chileno no considera suficiente como para crear un “delito bibliotecario” por ejemplo, pero sí reconoce su importancia incluyéndolo dentro del delito de daños calificados. En este caso, si la protección que otorga este delito convencional no es suficiente, debería mejorarse el tipo o la pena y no crear un delito específico nuevo. Finalmente, ¿acaso el insertar un elemento extraño en el mecanismo de los ordenadores para causar cortocircuitos eléctricos, verter café, soluciones de sal y agentes de limpieza cáusticos sobre el teclado y en otros periféricos, arrojar humo, spray de pelo y otros gases dentro del mecanismo, provocar temperaturas extremas calentando partes del ordenador mediante cigarrillos, merecen calificarse de manera distinta a un delito de daños? Creemos que no y por ello circunscribimos el concepto de “delito informático” a los atentados contra el soporte lógico, únicamente. Sin embargo, ¿por qué sólo el atentar contra el soporte lógico puede ser calificado como “delito informático”? Porque la especial naturaleza intangible de los datos digitalizados y de los programas de ordenador, no le permite al tipo penal tradicional cubrirlo haciendo necesaria la creación de un delito nuevo. Es tal su particular naturaleza inmaterial e intangible, que difícilmente podría calificarse a un programa computacional como una cosa corporal o incorporal, según la distinción que establece el Código Civil chileno, ya que al ser meros impulsos electromagnéticos no son susceptibles de ser percibidos directamente por los sentidos del hombre ni tampoco consisten en meros derechos. Como consecuencia de ello, no se podrían cometer delitos patrimoniales de hurto, robo o apropiación indebida al copiar ilegalmente un programa de ordenador, debido a que no sería una cosa corporal mueble susceptible de ser aprehendida físicamente. Sólo una nueva figura delictiva, es decir, un “delito informático”, podría sancionar penalmente tales conductas.
7. 7 En busca de un concepto para los “delitos informáticos”, dentro de los autores que han comentado la ley chilena Nº 19.223, Huerta y Líbano nos entregan una definición que goza de un carácter omnicomprensivo de las distintas modalidades delictivas, quizás demasiado amplia y flexible. Entienden por “delitos informáticos” a “todas aquellas acciones u omisiones típicas, antijurídicas y dolosas, trátese de hechos aislados o de una serie de ellos, cometidos contra personas naturales o jurídicas, realizadas en uso de un sistema de tratamiento de la información y destinadas a producir un perjuicio en la víctima a través de atentados a la sana técnica informática, lo cual, generalmente, producirá de manera colateral lesiones a distintos valores jurídicos, reportándose, muchas veces, un beneficio ilícito en el agente, sea o no de carácter patrimonial, actúe con o sin ánimo de lucro”8. En consecuencia, las precisiones antes mencionadas nos conducen a proponer como concepto de los “delitos informáticos” a toda conducta que revista características delictivas, es decir, sea típica, antijurídica y culpable -preferentemente dolosa-, y que atente contra el soporte lógico de un sistema de procesamiento de información, sea sobre programas o datos relevantes, a través del uso natural de las tecnologías de la información, y el cual se distingue de los delitos tradicionales informatizados. Es una idea similar a la sostenida por el profesor alemán Ulrich Sieber, quien los define como “todas las lesiones dolosas e ilícitas del patrimonio relacionadas con datos procesados automáticamente”9. 3.- Hacia un bien jurídico protegido Cuando la ley recoge la necesidad social de proteger un bien determinado, éste pasa a denominarse bien jurídico, y recibe de parte del Derecho la atención requerida para ser salvaguardado y conservado íntegramente. La protección que el legislador le otorga la realiza a través de la prohibición de ciertas conductas que atentan contra el bien jurídico y la adecuación, encausamiento y regulación de otras, tendientes a conservarlo y fortalecerlo. 8 Huerta, M. y Líbano, C. Op. cit., p. 116. 9 Ibídem, p. 114.
8. 8 En relación con los “delitos informáticos”, en un principio se intentó adecuar tales conductas ilícitas a los tipos penales clásicos existentes en las distintas legislaciones. Sin embargo, esta experiencia demostró que no es posible hacerlo en la mayoría de los casos, si se pretende la completa asimilación a las figuras tradicionales, causando la atipicidad del “delito informático”. Esto motivó la creación de figuras delictivas clásicas “informatizadas”, y en ciertos casos en la creación de delitos nuevos, generando una diversidad de bienes jurídicos protegidos. En Chile, la doctrina ha esbozado enumeraciones de bienes jurídicos protegidos para el caso que nos ocupa, pero con poca claridad, y aún lejana univocidad. Patrimonio, intimidad, confidencialidad, seguridad y fiabilidad del tráfico jurídico y probatorio, propiedad sobre la información, y la pureza de la técnica que supone la informática, son algunos de los bienes que suelen mencionarse. Sin embargo, en este trabajo queremos centrar una segunda reflexión en torno al bien jurídico protegido que crea el legislador chileno al señalar que la finalidad de la ley N° 19.223 sobre delitos informáticos ha sido “el proteger un nuevo bien jurídico surgido con el uso de las modernas tecnologías computacionales: la calidad, pureza e idoneidad de la información en cuanto a tal, contenida en un sistema automatizado de tratamiento de la misma y de los productos que de su operación se obtengan. Aquella, por el actual desarrollo tecnológico de la sociedad merece ser protegida mediante la creación de figuras delictuales nuevas, que pongan de relieve su importancia”. López Pinto10 reconoce que para algunos autores se trataría sólo de una vaga e imprecisa expresión poética, formulación que no comparte, entendiendo que estamos en presencia de un nuevo bien jurídico desconocido que nos permite apreciar cómo las tecnologías de la información en la sociedad actual necesitan de protección adecuada. Tutelar la pureza de la técnica supondría, entonces, aspectos más amplios que estimularían una protección completa de los sistemas de tratamiento de información y de su contenido. Agrega que las premisas fundamentales en las que se basa este bien jurídico son: 10 Véase López Pinto, R. Delito informático: bien jurídico protegido en la ley N°19.223, Revista Ad Libitum N°3. Universidad Central de Chile. 1994, pp. 22-26.
9. 9 1.- la libertad de opción. El alterar, obstaculizar, inutilizar o destruir un sistema de tratamiento de información, impedirá utilizarlo, y con ello, no se podrán adoptar decisiones satisfactorias, afectándose la expresión máxima de libertad en el actuar del hombre, cual es la capacidad de decidir. Además, si consideramos que el ilícito informático es de carácter masivo, no sólo afecta a una o algunas personas, sino a la sociedad toda, en los más diversos ámbitos de la existencia humana, sería inoficioso fundar la protección de la informática en consideraciones individualistas, como la protección de la propiedad o de la intimidad personal, dejando de lado otros aspectos que pueden verse afectados como la utilización ilícita de la ciencia informática en la política, la economía, la seguridad nacional, la salud pública, la educación y muchos otros. 2.- la ciencia se debe fundar en consideraciones éticas. Debe propender al progreso de la humanidad, pues de lo contrario le estaríamos restando su principal objetivo. Esta finalidad permite circunscribir a la ciencia informática a consideraciones superiores y no sólo entenderla como un mero instrumento inerte que depende de la arbitrariedad, injusticia, maldad o bondad humana. Esto lo relaciona con que la informática no sólo permite tomar decisiones, sino que sirve para la ejecución de las mismas cuando éstas ya se han adoptado, las que están claramente manifestadas en las instrucciones que se le pueden dar a un ordenador por medio de su sistema de tratamiento de información. Pero advierte que lo importante no es la ejecución de las decisiones predeterminadas, sino el que la decisión esté fundada en un valor. Por ejemplo, explica que un virus computacional es un sistema de tratamiento de información que ejecuta una decisión predeterminada por su autor, como puede ser el destruir o alterar otros sistemas informáticos. Contra ellos se crean los antivirus, que también son sistemas de tratamiento de información. Acá tendríamos dos programas que tienen ejecuciones predeterminadas que tienden a destruir, alterar u obstaculizar un sistema de tratamiento de información. Pero, ¿qué diferencia existe entre el virus y el antivirus si los dos persiguen inutilizar un sistema informático? La diferencia está en que el antivirus diseñado para realizar una acción típica punible está dotado de una carga valórica que justifica su creación, esto es, proteger la pureza, calidad e idoneidad de la ciencia informática, por lo que sólo el virus constituye delito, ya que es la conducta antijurídica que se identifica con un disvalor. A nuestro juicio, en los delitos informáticos existirán distintos bienes jurídicos protegidos dependiendo de la naturaleza de la información que es afectada, de los datos que son vulnerados y los derechos que se ven conculcados. Así, por ejemplo, cuando se comete el delito
10. 10 de piratería o copia ilegal de programas computacionales, el atentado se realiza contra la propiedad intelectual debido a que no se respeta el legítimo derecho patrimonial que la ley le concede al titular de estas obras, sea el programador o su empresa. Por su parte, cuando los datos ingresados al sistema ya han sido procesados generando información, el castigo penal dependerá de su naturaleza y relevancia. Así, por ejemplo, merece resguardo penal la información nominativa o la económica, y a consecuencia de ello, tendremos como bienes jurídicos a la intimidad o al patrimonio. Finalmente, respecto al bien jurídico de la idoneidad, calidad y pureza de la técnica que supone la informática, de la información en cuanto a tal, contenida en un sistema automatizado de tratamiento de la misma y de los productos que de su operación se obtengan, propuesto por el legislador, lo consideramos impreciso. Primero, porque comprende a toda información contenida en un sistema informático, en circunstancias que somos de la idea de distinguir previamente la naturaleza de los datos procesados y sólo proteger penalmente a aquellos relevantes o de importancia. Segundo, es erróneo sancionar como “delito informático” a los atentados contra todo el sistema informático, incluido el soporte físico o hardware. Y además, incurre el legislador en enfoques equivocados a causa de su desconocimiento en la materia, de manifiesto en las contradicciones en que incurre, ya que en su oportunidad explicó este punto diciendo que el sistema informático era el nuevo bien jurídico que se quiere proteger, el cual difícilmente puede asimilarse a otros penalmente protegidos. Entonces, ¿cuál es supuestamente ese nuevo bien jurídico, la información en cuanto tal o la totalidad del sistema informático, incluido el hardware? 4.- Conductas comúnmente reprochables por vía penal Las conductas ilícitas impensadas antes del surgimiento de las tecnologías de la información y calificadas como delitos nuevos, han sido objeto de distintas clasificaciones. Téllez Valdés ofrece una de éstas sobre la base del siguiente criterio: según se trate al sistema de tratamiento de información como instrumento o medio, o como fin u objetivo. Así, distingue que entre los delitos que se valen de los ordenadores como medios de comisión se encuentra la falsificación de documentos vía computarizada; la variación de los activos y pasivos
11. 11 en la situación contable de las empresas; la planeación o simulación de delitos convencionales; el robo de tiempo de computador; la lectura, sustracción o copiado de información confidencial; la modificación de datos tanto en la entrada como en la salida; el aprovechamiento indebido o violación de un código para penetrar a un sistema introduciendo instrucciones inapropiadas; variación en cuanto al destino de pequeñas cantidades de dinero hacia una cuenta bancaria apócrifa; uso no autorizado de programas computacionales; introducción de instrucciones que provocan interrupciones en la lógica interna de los programas, a fin de obtener beneficios; alteración en el funcionamiento de los sistemas; obtención de información residual impresa en papel o en cinta magnética luego de la ejecución de trabajos; acceso a áreas informatizadas en forma no autorizada; o la intervención en las líneas de comunicación de datos o teleproceso. Además, dentro de las conductas criminógenas que van dirigidas en contra del ordenador, accesorios o programas como entidad física, menciona a modo ejemplar: la programación de instrucciones que producen un bloqueo total al sistema; la destrucción de programas por cualquier método; el daño a la memoria; el atentado físico contra la máquina o sus accesorios; el sabotaje político o terrorismo en que se destruya o surja un apoderamiento de los centros neurálgicos computarizados; o el secuestro de soportes magnéticos en los que figure información valiosa con fines de chantaje”11. Personalmente, no creemos que sea el mejor criterio de clasificación, ya que en ella entran delitos clásicos informatizados y no únicamente delitos nuevos. Además, a la fecha en que fue formulada había aún poca claridad como para calificar de delito informático únicamente al que atenta contra el soporte lógico, y por ello se aprecian constantemente confusiones. En cambio, Ulrich Sieber12, a quien le sigue la mayoría de la doctrina, apropiadamente distingue entre los delitos de fraude mediante la manipulación de los datos; delitos de espionaje informático, piratería de software y sustracción de alta tecnología; el sabotaje informático; la sustracción de servicios; el delito de acceso indebido; y el fraude fiscal relacionado con el ordenador 13. 11 Véase Téllez Valdés, J. Op. cit., pp. 105-106. 12 Huerta, M. y Líbano, C. Op. cit., p. 122. 13 Advertimos que en el caso del fraude fiscal no se crea un nuevo delito sino que se informatiza uno tradicional.
12. 12 Precisamente a partir de esta clasificación desarrollaremos a continuación un breve análisis de estas conductas, con miras a entender luego aquéllas que tipifica el legislador chileno. 4.1. Delitos de Sabotaje Informático Definiremos al sabotaje informático como la acción típica, antijurídica y dolosa destinada a destruir o inutilizar el soporte lógico de un sistema computacional mediante el empleo natural de las tecnologías de la información. Es común que tales atentados a los datos y los programas los realicen trabajadores de la misma empresa, e incluso los propietarios de los programas, para lo cual pueden utilizar técnicas tales como: 4.1.1. Crash Programs o Programas de Destrucción Progresiva Son rutinas construidas dentro de programas de aplicación o dentro del sistema operativo, que permiten borrar un gran volumen de datos en un breve período, activándose con bastante posterioridad, por ejemplo, al momento en que el programador que lo crea abandona la empresa. 4.1.2. Time Bombs, Logics Bombs o Bombas Lógicas de Actuación Retardada Estos programas persiguen la destrucción o modificación de datos en un momento futuro determinado. Contienen instrucciones que chequean la fecha diariamente permitiéndoles mantener oculta la época de caducidad programada al instalarlo en el sistema del usuario. El programador que instala una bomba de tiempo puede estar motivado por venganza, maldad o ánimo de lucro, ya que se puede utilizar para extorsionar exigiendo una suma de dinero a cambio de eliminar estos gérmenes destructivos. Existen algunos fabricantes de software que, en una práctica absolutamente reprochable, introducen estas bombas lógicas en sus productos con el fin de asegurar el pago adeudado o evitar copias ilegales. Aquí, pese a que en los contratos de compraventa de software, generalmente sólo se conceden licencias de uso conservando la empresa el dominio del programa, el hecho de que el propio dueño programe estas bombas lógicas no le quita ilicitud a
13. 13 la acción, ya que los efectos perjudiciales por esta autotutela se radican en el patrimonio de una persona distinta, quien en virtud de un título legítimo utiliza el programa. Por esta razón, al no ser agregado el código fuente en un contrato de compraventa de software, por ejemplo, el comprador se encuentra en desventaja al no poder acceder al lugar en el que comúnmente puede haber sido introducida precedentemente la bomba lógica, la cual se activará en virtud de indicaciones precisas como la presencia o ausencia de un dato, de una hora, un nombre o un código. Se han encontrado estas bombas a raíz de los contratos de mantenimiento, ya que el proveedor del servicio puede ser el mismo fabricante del programa. Así, en caso que el usuario decida poner término a sus servicios de mantenimiento, no renueve el contrato o no pague derechos adeudados, se activarían estos programas. También se ha dado el caso en que se detonan bombas lógicas que inutilizan un programa, permitiéndole al proveedor atribuir el hecho a una falta de mantenimiento imputable al usuario, o bien que detonan cada cierto tiempo para así cobrar mantenciones extraordinarias provocadas. 4.1.3. Cancer Routine o Rutinas “Cáncer” Dentro de las bombas lógicas se presenta esta variación que consiste en instrucciones que consumen en poco tiempo un software debido a que se expanden al autorreproducir el programa “cáncer” en distintas partes del programa de aplicación, escogidas aleatoriamente, durante cada uso. Así llega un momento en que el programa de aplicación disminuye por el aumento de estas rutinas, debiendo ser extraídas totalmente por el usuario al detectarlas. Basta con dejar una rutina “cáncer” para que continúe reproduciéndose y expandiéndose, casi espontáneamente, pudiendo escapar incluso al control del programador que la creó. 4.1.4. System Crash Son programas que logran un bloqueo total del sistema informático afectando el sistema operativo y los programas almacenados, colapsando el disco duro. 4.1.5. Intervención en los sistemas de teleproceso Permiten sabotear por medios telemáticos un sistema de tratamiento de información, accediendo a él a través de redes de telecomunicaciones.
14. 14 4.1.6. Asynchronous Attacks o Ataques Asíncronos Es una compleja técnica de delinquir basada en la forma en que funcionan los sistemas operativos y sus conexiones con los programas de aplicación a los que sirven y soportan en su ejecución. Los programas que actúan como sistemas operativos permiten al ordenador administrar sus propios recursos, controlando el sistema, ejecutando programas y manejando información. Cumplen importantes funciones como el manejo de entrada y salida, la administración de datos, el control de errores y de trabajos, y la asignación de almacenamiento. Para ello funcionan de forma asíncrona, es decir, no realizan funciones simultáneas en el tiempo como lo hace un programa de aplicación, sino que establecen colas de espera que van desbloqueando en función de la disponibilidad de los datos o recursos que estaban esperando. Al procesar un programa complejo y de larga duración se establecen puntos de recuperación del sistema, en los que cada cierto tiempo se graba en un soporte magnético externo el estado del programa, de acuerdo con un conjunto de parámetros que utiliza el sistema operativo. Ello permite que en el caso de interrumpirse el proceso por un error irrecuperable, provocando la caída del sistema, no sea necesario reprocesar el programa desde el principio, sino únicamente desde el último punto de recuperación, ya que el sistema operativo puede, basándose en los parámetros grabados, configurar la situación existente antes de la caída. El delito se puede cometer si entre dos puntos de recuperación se manipula el contenido de esos parámetros en que se apoya el sistema operativo para rearrancar, y luego se causa intencionalmente la caída del sistema. Ello provocará que las condiciones en que se ejecutará el programa serán distintas, arrojando resultados, por lo menos, erróneos. 4.1.7. Programas Virus En términos generales un virus es un programa computacional que puede producir alteraciones más o menos graves en los sistemas de tratamiento de información a los que ataca. Entendiéndolo de esa manera podríamos decir que todas las modalidades antes señaladas y las que se emplean para manipular el sistema, son virus, es decir, programas.
15. 15 Damos esa explicación ya que los autores escasamente dan definiciones precisas, ello debido a la gran variedad de virus que existen y que se crean diariamente, las múltiples formas de actuar y las alteraciones que persiguen -algunos son prácticamente innocuos y otros son extremadamente destructivos-, y los lugares del sistema en que se alojan -generalmente infectan los disquetes o el disco duro en el área de carga o sector 0, pero también hay infectores del sistema y de los programas ejecutables que se alojan al inicio o al final de los códigos de éstos, o incluso en el reloj del ordenador o en la pila, haciéndolos más difíciles de detectar y eliminar-. Sin embargo, para hacer una distinción entre los virus y los demás programas de sabotaje informático, nos basaremos en que los primeros generalmente se adhieren al programa que infecta, en cambio los segundos tienen entidad propia. Los virus informáticos usualmente se diseñan para realizar dos tareas: replicarse de un sistema informático a otro, y para situarse dentro de un ordenador, de tal modo que le sea posible modificar o destruir programas y ficheros de datos, interfiriendo los procesos normales del sistema operativo. Finalmente, hay autores que mencionan a los “gusanos”, que son programas que se infiltran en otros programas legítimos de procesamiento de datos para modificar o destruir la información, pero que a diferencia de los virus, no pueden regenerarse. Ahora bien, las consecuencias del ataque de un gusano pueden ser tan graves como las de un virus, por ejemplo, podría dar instrucciones al sistema computacional de un banco para que transfiera continuamente dinero a una cuenta ilícita, antes de que se destruya, como veremos a continuación al tratar los fraudes informáticos. 4.2. Delitos de Fraude Informático o Manipulaciones no autorizadas de datos Debido a que la mayoría de los delitos informáticos se comete a través de acciones arteras destinadas a intervenir los sistemas de tratamiento de información para servir intereses propios o ajenos, la doctrina entiende que la manipulación de datos es un ilícito general y comprensivo de las distintas conductas criminógenas de carácter informático.
16. 16 Sin embargo, preferimos acotar el ámbito del delito de manipulación indebida de datos o fraude informático, a un tipo delictual específico, al cual Romeo Casabona define como la “incorrecta utilización del resultado de un procesamiento automatizado de datos, mediante la alteración de los datos que se introducen o están ya contenidos en el computador en cualquiera de las fases de su procesamiento o tratamiento informático, siempre que sea con ánimo de lucro y en perjuicio de tercero”14. De acuerdo a esta definición será característico de un fraude informático la existencia de un perjuicio patrimonial directo en la víctima y un ánimo de lucro en el sujeto activo, unido a un engaño generalmente realizado a través de la ocultación. Como adelantamos, es frecuente que tales delitos sean cometidos por los mismos trabajadores de empresas, bancos, instituciones financieras, servicios públicos o compañías de seguros, contra quienes generalmente se delinque. Pero no se puede desconocer la amplitud de otras posibilidades que la telemática brinda, junto con la cada vez más masiva utilización de cajeros automáticos por el público. En relación con las modalidades comisivas debemos distinguirlas de acuerdo a la fase de procesamiento de información en la cual se aplican las técnicas delictuales. 4.2.1. Manipulaciones en el input o entrada de datos (Data Diddling) Los datos son capturados en documentos originales, tales como registros o facturas, y mediante un método se pueden introducir a la máquina para su proceso. En esta fase se produce la generalidad de los fraudes informáticos, a través de la introducción de datos falsos al ordenador con el objeto de defraudar, por ejemplo, obteniendo pagos por servicios inexistentes, aumentando el saldo a favor en las cuentas bancarias, o alterando la contabilidad de una empresa. La falsedad de los datos introducidos puede ser causada por omisiones o por alteraciones de la realidad, totales o parciales, con lo cual el dato deja de ser representativo de ésta. Pero pese al carácter apócrifo del material introducido a la máquina, su procesamiento se realiza 14 Vera, A. Delito e informática: la informática como fuente de delito. Ed. La Ley, Santiago. 1996. p. 109.
17. 17 normalmente, generando un resultado correcto. Lo reprochable es la agresión que se realiza al buen uso que la técnica informática necesita para el procesamiento de la información. Afortunadamente, estas manipulaciones en la entrada de datos son fáciles de detectar gracias a la contabilidad y auditoría permanente. 4.2.2. Manipulaciones en los programas Ingresados los datos al sistema reciben una o más operaciones de transformación, tales como, su clasificación, distribución, cálculo o resumen, realizándose así, su procesamiento. Con estas manipulaciones es posible que datos verdaderos que han entrado correctamente, sean alterados en su tratamiento arrojando resultados falsos, gracias a la modificación, eliminación o agregación de algunos pasos del programa. A diferencia de las manipulaciones en la entrada, éstas son extremadamente difíciles de detectar y prevenir. Si consideramos que su desarrollo puede demorar un tiempo prolongado, realizando pequeñas modificaciones en la estructura y ordenamiento del programa y agregando alteraciones que encubren esos cambios, las auditorías difícilmente encuentran discrepancias inexplicables en las cuentas. Precisamente, por esa permanencia en el tiempo y aptitud natural y técnica para mantenerse en ejecución por períodos prolongados se los califica como delitos continuados. Las técnicas que con más frecuencia menciona la doctrina son el superzapping, los Caballos de Troya y la técnica salami. SUPERZAPPING. IBM diseñó un programa de utilidad que se emplea para cambiar partes de programas, denominado “Superzap”. Este es un programa de acceso universal, es decir, una herramienta imprescindible en instalaciones de cierta dimensión cuando fallan los procedimientos normales para recuperar o reiniciar el sistema, ya que permite entrar en cualquier punto de éste en caso de averías u otras anormalidades. El mal uso de este programa de utilidad permite alterar, borrar, copiar, insertar o utilizar en cualquier forma no permitida los datos almacenados en el computador o en los soportes magnéticos, sin que quede constancia de tales modificaciones hechas directamente a la
18. 18 información contenida en los ficheros. Es decir, no se emplea la forma normal de modificación de esta información que es a través de los programas de aplicación, quienes la actualizan basándose en las transacciones de entrada del ordenador, las cuales quedan registradas. Vera Quilodrán explica su funcionamiento: gracias al superzap se puede “hacer coincidir el momento de la modificación no autorizada con el comienzo o el final de la ejecución del programa verdadero de actualización y algún error intencionado en el sistema que requiera la utilización del programa de acceso universal. En ese momento tendremos cargado en el sistema el fichero que queremos modificar y el programa que permite hacerlo, no registrándose la utilización no justificada ni del fichero ni del programa de utilidad”15. Es más, si se descubre la alteración de datos, es muy probable que sea atribuida a un funcionamiento erróneo del programa de actualización u otro error, pero no a una manipulación fraudulenta. TROJAN HORSE O CABALLO DE TROYA. Consiste en introducir dentro de un programa de uso habitual, una rutina o conjunto de instrucciones, no autorizadas, para que dicho programa actúe en ciertos casos de forma distinta a como estaba previsto. Así, en determinadas circunstancias puede ejecutar erróneamente un cálculo, por ejemplo, desviando partidas hacia cuentas ficticias. También podría perseguir la impresión de documentos no autorizados o no imprimir documentos reales. Es frecuente utilizar este método para introducir una modificación al programa de tratamiento de cuentas corrientes de manera que cada vez que se consulte el saldo de una determinada cuenta lo multiplique por una cantidad aumentando el cupo y permitiendo la autorización de pagos o transferencias por un importe muy superior al saldo real. No obstante ser muy difícil de detectar, ya que el programa normalmente funciona en forma correcta, es vital el implantar técnicas de prevención. TÉCNICA SALAMI O ROUNDING DOWN. Este fraude, muy fácil de realizar pero difícil de descubrir, se llama así porque el delito se comete por pequeñas tajadas o cortes. Consiste en introducir o modificar ciertas instrucciones de ejecución en un programa con el objetivo de extraer de las cuentas pequeñas cantidades de dinero nominal, transfiriéndolas automáticamente 15 Ibídem, p. 68.
19. 19 a una cuenta corriente que ha contratado el delincuente bajo un nombre falso, o a través de interpósita persona, por lo general. Además, se comete mediante el redondeo de los intereses de las cuentas bancarias o depósitos a plazo, aproximando las cantidades centesimales a la unidad, produciéndose con ello la cuadratura de los balances, o como Vera Quilodrán señala: “cuando se calcula la nómina de empresas con un gran número de empleados, procediendo a eliminar el criterio generalizado de redondear los céntimos al alza o la baja o pesos exactos y a cambiarlo por la eliminación total de dichos céntimos que son transferidos a una determinada cuenta o a la nómina de un empleado real o ficticio”16. 4.2.3. Manipulaciones en el output o en la salida de datos Consiste en la intervención en la parte mecánica de la emisión de datos procesados, por ejemplo, intervenir el cable telefónico para interceptar datos y manipularlos. Lo mismo se puede producir en el vídeo, la impresora u otros dispositivos de salida. Sin embargo, en este caso y a diferencia de los anteriores, los datos introducidos al computador son verdaderos y hay ausencia de manipulación durante la ejecución del programa. 4.2.4. Manipulaciones a distancia El Derecho Penal ve un importante reto en los fraudes, y principalmente, en los sabotajes y espionajes informáticos cuando son cometidos mediante el uso de la telemática, ya que se genera un “delito informático” internacional, transfronterizo, como veremos más adelante. Particularmente, la aplicación del delito de fraude informático es relevante en la técnica del time sharing o tiempo compartido del uso del ordenador, en la cual un tercero comete la manipulación valiéndose del tiempo que corresponde a otro usuario mediante teleproceso. 4.3. Delitos de Espionaje Informático 16 Ibídem, p. 65.
20. 20 Consiste en la obtención no autorizada de datos almacenados en un fichero automatizado, en virtud de lo cual se produce la violación de la reserva o secreto de información de un sistema de tratamiento de la misma. La motivación para sustraer información confidencial o divulgarla sin autorización cuando los datos son reservados, puede o no ser el lucro, pero por lo general, son las grandes sumas de dinero que están dispuestos a pagar ciertas personas por obtener determinadas informaciones las que mueven a estos delincuentes. No hay que confundir el espionaje informático, cometido por personas no autorizadas para acceder a la información que sustraen, con el delito de divulgación de secretos, que generalmente es cometido por el operador al cual se le ha previsto el acceso a ciertos datos, no de conocimiento público, y pese a ello, los entrega a otras empresas a cambio de un precio. Es el caso del operador que vende la base de datos de los clientes de una tienda comercial a la competencia, por ejemplo. Para hacer frente a estos ataques se acude, en primer lugar, a las medidas de seguridad de la información tales como las técnicas criptográficas, el uso de llaves de seguridad, de tarjetas magnéticas de acceso y los dispositivos de reconocimientos biométricos, como la identificación de la palma de la mano o de las huellas digitales, el escáner de retina o iris, y el reconocimiento de voz. Dentro de las técnicas de comisión de estos delitos de espionaje se mencionan como más frecuentes las siguientes: 4.3.1. Wiretapping o Pinchado de líneas Consiste en una intercepción programada de las comunicaciones que circulan a través de las líneas telefónicas, con el objeto de procurarse ilegalmente la información, pero permitiendo luego, la recepción normal de la comunicación por parte del destinatario de la misma. Por este último motivo, es prácticamente imposible descubrirlo antes de advertir que la información secreta ha sido conocida y utilizada por otros.
21. 21 La forma más simple de cometerlo es ubicando el cable por el que circula la información en forma análoga y pincharlo directamente. Así, las señales telefónicas se pueden grabar en una casetera, para luego ser demoduladas por el módem, quien las transforma a señal digital que puede ser ingresada al ordenador. Otras formas más complejas permiten realizar pinchados a distancia, especialmente a través de la captación de las señales microondas emitidas por teléfonos móviles, las cuales igualmente pueden ser demoduladas en el módem del delincuente, para que la información tenga un lenguaje comprensible. 4.3.2. Electronic Scavenging o Recogida de información residual Esta modalidad es fruto exclusivamente del descuido del propio usuario en mantener mínimas medidas de seguridad, ya que puede llegar a ser cometido por personas sin ninguna calificación informática. Se producirá cuando una persona obtiene sin autorización, la información que ha sido abandonada sin ninguna protección como residuos de trabajo. Puede ser tan simple como el aprovechar, una vez terminada la ejecución de un trabajo en el ordenador, la información residual que ha quedado instalada precedentemente en la memoria secundaria (recordemos que la información que se encuentra en memoria primaria o RAM, se borra al apagar el sistema ya que es volátil) y que no ha sido borrada por el usuario, de manera tal que un tercero puede acceder a ella y copiarla. Hay autores que dan como ejemplo para esta modalidad el recoger el material desechado en un papelero o dejado abandonado en una mesa, muchas veces listados de pruebas de programas, documentos de información de entrada, listados con errores depurados o fotocopias de documentos reservados. Creemos que se equivocan desde dos puntos de vista: primero, porque resulta discutible el carácter delictivo de la apropiación de información abandonada por su titular; tendrá que ser apreciado cada caso en particular. Segundo, porque en caso de considerarlo como un delito no sería un “delito informático” debido a que no se atenta contra el soporte lógico –e incluso, tampoco contra el soporte físico-.
22. 22 Muy semejante es la modalidad de data leakage o divulgación no autorizada de datos reservados, que situamos dentro del espionaje industrial y la sustracción de información confidencial, mediante técnicas tan simples como el copiar un archivo en un disquete para luego venderlo. A diferencia de otros delitos más complejos, éstos pueden ser evitados simplemente con el hábito de borrar la información del ordenador cada vez que se ha finalizado o desechado el programa, junto con los directorios que no se utilicen. No obstante, es imprescindible asegurarse que la información efectivamente se borre, ya que los ficheros siempre se encuentran replicados en otras zonas del sistema, permitiendo recuperarlos de ser necesario. 4.4. Delito de “Piratería” Informática o copia ilegal o no autorizada de programas de ordenador La industria de fabricación de software sufre anualmente enormes impactos económicos causados por la copia no autorizada de programas. Lamentablemente la normativa que existe no logra disuadir al delincuente, debido a que éste se ve estimulado a “piratear” gracias a la facilidad con que se pueden copiar los programas, la no existencia de sistemas de seguridad que efectivamente eviten o al menos, detecten la “piratería”, el alto precio que se debe pagar por un software legítimo, y por la difusión masiva de un hecho calificado por el común de la gente como público y notorio: el pirata no es sancionado. La “piratería” es un delito informático que, según el legislador chileno, persigue no solo la reproducción, sino también el plagio, distribución, comunicación, transformación, exportación o importación de software, sin autorización, con o sin ánimo de lucro. Debe ser utilizado para ello un sistema de tratamiento de información y su comisión atenta contra el legítimo derecho del fabricante del programa. En relación con esto último, el bien jurídico que se protege es el derecho de propiedad intelectual que tiene el fabricante, razón por la cual es común que estos delitos se tipifiquen en las leyes que protegen el derecho de autor.
23. 23 De acuerdo a la definición, la “piratería” informática puede cometerse mediante la realización de distintas acciones, a saber: la reproducción (sacar copias de un programa utilizando un sistema informático); el plagio (copiar en lo substancial obras ajenas, dándolas como propias. Aclaremos que, a menos que se le haya vedado expresamente por el autor, un cesionario de los derechos de explotación del programa podrá realizar versiones sucesivas de éste o derivados del mismo sin constituir plagio); la distribución y comunicación; la importación y exportación; y la transformación (referida a la traducción, adaptación y cualquier otra modificación en su forma de la que se derive una obra diferente). El derecho comparado sanciona el delito de piratería de programas se cometa o no, con ánimo de lucro. Dicha motivación la determina la explotación del material “pirateado”, agravando en algunas legislaciones la responsabilidad penal. Sin embargo, estas medidas penales, por su naturaleza de última ratio, tienen un carácter subsidiario de la protección civil o mercantil de los programas de ordenador. Debido a que la ley Nº19.223, sobre Delitos Informáticos, no contiene este delito, a continuación indicaremos nuestras observaciones sobre la norma que sí lo recoge: la ley Nº17.336, sobre Propiedad Intelectual. Según nuestra interpretación a la ley N°17.336 sobre Propiedad Intelectual, el delito de “piratería” de software o copia no autorizada de programas se sancionaría en el artículo 79 letra a) y en el 80 letra b), con dos figuras penales. Esto, sin perjuicio de la acción civil de indemnización. En primer término, de acuerdo al artículo 79 letra a) de la citada ley, “cometen delito contra la propiedad intelectual y serán sancionados con la pena de presidio menor en su grado mínimo [desde 61 a 540 días] y multa de 5 a 50 unidades tributarias mensuales, los que, sin estar expresamente facultados para ello, utilicen obras de dominio ajeno protegidas por esta ley, inéditas o publicadas, en cualquiera de las formas o por cualquiera de los medios establecidos en el artículo 18”. Esto significa que sólo el titular del derecho de autor del programa -el programador, su empleador, quien lo encargó para su comercialización, o el cesionario, según el caso-, y quien
24. 24 esté expresamente autorizado por él -mediante una licencia de uso, principalmente-, tendrán derecho a utilizar dicha obra. Los demás, incurrirían en las sanciones civiles y penales correspondientes. La utilización puede consistir en la publicación de la obra -editándola, grabándola, ejecutándola, exhibiéndola, o empleando cualquier otro medio de comunicación al público, actualmente conocido o que se conozca en el futuro-, en su reproducción por cualquier procedimiento, en su adaptación a otro género o su utilización en cualquier otra forma que entrañe una variación, adaptación o transformación de la obra originaria, incluida la traducción, o bien, en su ejecución pública a través de cualquier medio. Del tenor literal del artículo 79 letra a) se entiende que la utilización puede ser hecha a título gratuito u oneroso, no es necesario que le reporte un provecho al infractor, y tampoco se requiere que éste haya tenido ánimo de lucro o intención de perjudicar al titular del derecho. Por ello, la pena no depende del monto del perjuicio causado ni del lucro obtenido. Además, como no todas las formas de utilización establecidas en el artículo 18 deben publicitarse al público en general -únicamente en caso de publicar o ejecutar la obra-, entendemos que constituye delito la reproducción, total o parcial, de un programa informático para fines privados. Por lo tanto, toda copia de un programa que no sea expresamente autorizada por el titular de los derechos de autor en la licencia, será una violación a la Ley de Propiedad Intelectual y constituirá un delito de copia ilegal. Sin perjuicio de ello, no se configurará tal delito en dos casos excepcionales contemplados en el artículo 47, inciso 2° y 3° de dicha ley: cuando se permite copiar o adaptar el programa por ser esencial para su uso en un ordenador determinado o para fines de respaldo17 y sin destinársele a un uso diverso. Por su parte, el artículo 80 letra b) de la ley N°17.336, castiga como delito contra la propiedad intelectual merecedor de presidio o reclusión menores en su grado mínimo -61 a 540 días-, al que en contravención a las disposiciones de esa ley o a los derechos que ella protege, 17 La copia de seguridad no puede ser nunca utilizada simultáneamente al programa original, ya que de hacerlo se transformaría en una copia no autorizada, o sea, ilegal.
25. 25 intervenga, con ánimo de lucro, en la reproducción, distribución al público o introducción al país de programas computacionales, y a los que adquieran o tengan con fines de venta tales programas, infringiendo la ley. Si hay reincidencia la pena se aumenta en un grado pudiendo llegar hasta 3 años. Es discutible la forma en que se tipifica este delito. Etcheberry, por ejemplo, califica de “tortuosa” la configuración de este ilícito y plantea dudas sobre el respeto al principio constitucional de tipicidad, puesto que no hay una expresa y directa definición de la conducta18. La expresión “los que [...] intervengan [...]” no facilita la exégesis de la norma. No se sabe si el legislador sólo quiere referirse al que intervenga penalmente como autor, cómplice o encubridor, o bien, se trata de una intervención de cualquier clase, más amplia, que lamentablemente no precisó. Además, la conducta requiere un elemento subjetivo, el ser realizada con ánimo de lucro, bastando únicamente que tal ánimo exista aunque no se lucre efectivamente. Con este artículo, criticado por muchos tanto desde el ámbito penal -por no describir claramente la conducta y con ello, atentar contra el principio de legalidad- y desde el derecho autoral -por sancionar al “pirata” informático sólo si actúa con ánimo de lucro-, el legislador buscó otorgar una protección amplia al titular del derecho de autor en nuestro país. Finalmente, respecto a las modalidades delictivas, la copia de archivos y de programas se ha visto facilitada por distintas técnicas, como la compresión de datos, y por dispositivos periféricos de entrada y salida que permiten almacenar rápidamente gran cantidad de información, por ejemplo, la totalidad de un disco duro. A ello se agregan los cracks o programas craqueadores que torna vulnerable a un software pese a contar con medidas anticopia. 4.5. Delito de acceso no autorizado o hacking directo Este delito consiste en “acceder de manera indebida, sin autorización o contra derecho a un sistema de tratamiento de la información, con el fin de obtener una satisfacción de carácter 18 Véase Etcheberry, A. Aspectos penales en materia de derecho de autor; ilícitos penales en la legislación chilena”. VII Congreso Internacional sobre protección de los Derechos Intelectuales. Santiago, Chile. 1992.
26. 26 intelectual por el desciframiento de los códigos de acceso o passwords, no causando daños inmediatos y tangibles en la víctima, o bien por la mera voluntad de curiosear o divertirse de su autor”19. En esta conducta es imprescindible que la motivación no sea el causar daño a través de otros ilícitos, como el sabotaje o el espionaje informático, o la “piratería”, las cuales son obras de los denominados crackers más que de los hackers. Éstos últimos, persiguen satisfacciones personales, basados en la burla de los sistemas de seguridad dispuestos, es decir, en logros existosos frente a los retos intelectuales que se autoimponen. Se trata de un delito de resultado que se consuma al momento de ser descifrados los códigos de acceso secretos, y no depende del conocimiento o ignorancia que pueda tener el sujeto pasivo sobre este hecho. Existen opiniones a favor de la atipicidad del hacking directo basadas en el argumento de la no intencionalidad de dañar el sistema en que se ingresa, sin embargo, no creemos que esa postura deba derivar en la absoluta impunidad de la conducta. No es admisible la tesis de que un hacker desconoce que su conducta no le está permitida por el sujeto pasivo, debido a la forma irregular en que ingresa. Además, los gastos en que incurren las empresas para adoptar mecanismos de seguridad de sus sistemas son cuantiosos, por lo que un hacker que intencionadamente rompe tales medidas, aunque sea como un simple juego, obligará a invertir en ello nuevamente. Y lo más importante, a través de este acceso no autorizado se puede ingresar a información confidencial, violando de modo manifiesto derechos fundamentales, sin necesidad de otra acción que esa, el ingreso, al igual que como en la violación de correspondencia basta abrir la carta para cometer el delito, sin necesidad de que su contenido sea leído, alterado, destruído o difundido, por ejemplo. Tal vez el hacking directo no merezca sanción penal, pero si un reproche social y una responsabilidad civil, a lo menos. Sin perjuicio de lo anterior, Kunsemuller advierte que es indispensable adoptar algunas decisiones previas a la tipificación del hacking directo. Primero, habría que decidir si el uso exclusivo y secreto de la información debe ser protegido y en qué casos; y segundo, en qué 19 Huerta, M. y Libano, C. Op. cit., p. 170.
27. 27 medida y cómo habría de proteger la ley penal la integridad y corrección de la información eventualmente alterada20. El hacking, por constituir fundamentalmente un acceso indebido o no autorizado, induce a la creencia de que este ilícito se presentará como medio o herramienta de comisión de otros delitos informáticos y que su característica podría ser la de configurarse como un hecho delictivo necesario para la comisión de otros. En el caso que estamos abordando, el hacking muestra independencia de otros delitos, sin embargo, también existe el hacking indirecto o como medio, donde el delincuente está motivado por su intención de sabotear, espiar, “piratear” programas, o defraudar, por ejemplo, y requiere previamente de un acceso indebido al sistema. Por último, en relación con las técnicas más frecuentes que emplean los hackers para ingresar a un sistema sin autorización, se mencionan el scanning, el shoulder surfing, el dumpster diving y el spoofing. SCANNING. Consiste en programar el ordenador para que realice una gran cantidad de llamados telefónicos en serie con el fin de descubrir el número del sistema de tratamiento al cual se quiere acceder, o bien se utiliza de manera aleatoria hasta descubrir cualquier número telefónico que sirva a los intereses del hacker. Además, para que no queden registradas sus llamadas en la compañía telefónica intervienen los sistemas de éstas borrando sus registros o cargando el costo de las llamadas a otros usuarios. SHOULDER SURFING. Consiste en espiar directamente a los operadores y anotar la password a través de la observación visual del momento en que el usuario digita la contraseña en el teclado del ordenador. DUMPSTER DIVING. Es similar al scavenging o recogida de información residual, puesto que el hacker trata de encontrar en los basureros de la empresa, información relevante que le sirva. 20 Tal idea nos la manifestó personalmente el profesor Carlos Kunsemuller Loebenfelder en entrevista que le realizamos en mayo de 1998.
28. 28 SPOOFING. Se emplea la suplantación de personas, ya que el hacker, falseando su identidad, concerta entrevistas con personeros especializados de los centros de procesamiento, a fin de obtener informaciones que permitan el acceso a los sistemas sin ser descubierto. 5.- La extraterritorialidad de las conductas a través de redes digitales Sin entrar en un detalle de la legislación penal informática en distintos países, mencionaremos que el problema ha sido planteado de modos diversos. La mayoría de los países que se han referido a la problemática han optado por crear tipos penales específicos incorporándolos a sus códigos penales, de acuerdo con los bienes jurídicos que tutelan, como en Francia y Alemania, por ejemplo. Otros han pretendido bastarse con su legislación clásica dando como respuesta la utilización de interpretaciones amplias, con el inconveniente que ello suscita en el ámbito penal. Finalmente, hay países que complementaron sus delitos ya regulados en los códigos penales, agregando lo necesario para hacerlos extensivos a estos nuevos ilícitos, como en España. En el plano internacional, no podemos dejar de referirnos a la delincuencia cometida a través de redes digitales, en particular, por Internet. A las reconocidas ventajas que supone esta red se unen las distorsiones y los malos usos que pueden tener lugar en el sistema. Entre los delitos que se pueden llevar a cabo destacan ilícitos clásicos y “delitos informáticos”. Por ejemplo, el acceso no autorizado, la destrucción de datos mediante la introducción de virus, bombas lógicas y demás actos de sabotaje informático, la infracción de los derechos de autor y del copyright de bases de datos, el interceptar correos electrónicos, las estafas electrónicas frente a las compras telemáticas, las manipulaciones del sistema en las transferencias de fondos, el espionaje informático, entre otros. También destacan el espionaje industrial, el proselitismo de sectas, la pornografía infantil, el terrorismo y el narcotráfico, a través de la transmisión de mensajes anónimos que pueden ser aprovechados por estos grupos, por ejemplo, para fabricar explosivos o “lavar” dinero. Por ello, en la actualidad se está produciendo un intenso debate respecto a la necesidad de prevenir y sancionar estos ilícitos. Así, una postura apoya la tesis de regular expresamente y desde un punto de vista penal, a Internet argumentando que en ella se ha creado un ambiente
29. 29 en el que los delitos son difíciles de ser perseguidos debido a la propia naturaleza del entorno y a la falta de tipificación de las modalidades de comisión y de los medios empleados. Frente a la corriente reguladora se levantan los partidarios de que ciertas áreas queden libres del intervencionismo o proteccionismo estatal. Entre los argumentos más utilizados figuran el derecho a la intimidad y la libertad de expresión. Se está defendiendo la idea de que si los avances tecnológicos han creado un ciberespacio en el que cualquiera puede expresarse y comunicarse sin temor a ser oído por otros, el poder del Estado no debería ampliarse hasta controlar este nuevo mundo. A ello se agrega una corriente de usuarios de la red que considera que el derecho a la información está por encima de otros derechos como la propiedad intelectual, el dominio de los datos o el secreto que da el know how. Los partidarios de esta idea consideran que cualquier tipo de obra introducida en la red debería pertenecer al dominio público, y solicitan la inaplicabilidad de los derechos de autor y la supresión de fronteras en el “ciberespacio” para permitir el libre flujo de la información en todo el mundo. Sin perjuicio de lo anterior, y a falta de una legislación específica, en Internet existen códigos de ética cuyo incumplimiento está castigado con la censura popular, lo cual acaba siendo, en algunos casos, más eficaz que una norma de derecho positivo. Es posible que un usuario se marque pautas de conducta de acuerdo con unas leyes, pero la distancia o la ausencia de control de los órganos de vigilancia pueden hacer que esas pautas se relajen. No obstante, si sabe que puede ser juzgado por sus compañeros de la red y es consciente de que de su comportamiento en los debates on-line y en la emisión y recepción de mensajes dependerá la opinión que se tenga de él, actualizará sus pautas de conducta día a día, para no ser calificado de persona “non grata”. Ello hace que la tónica normal en Internet sea de respeto entre los usuarios, siendo los demás casos la excepción. También hay que considerar que los propios sistemas de control de cada ISP (Proveedor de Servicios Internet) garantizan un umbral de seguridad aceptable, aunque no impiden que los archivos que circulan por la red puedan contener algún virus o un “gusano”. Y en muchos casos pueden ser neutralizados por un programa generador de passwords.
30. 30 Finalmente, debemos mencionar la existencia de “ciberpolicías” en Internet. Tanto NSA (Agencia de Seguridad Nacional), FIRST (Forum of Incident Response and Security Teams) y CERT (Computer Emergency Response Team) tienen equipos de especialistas dedicados a la localización de hackers, defensa frente a sabotajes e intervención en caso de siniestros informáticos. Por otra parte, algunas policías como el FBI, Scotland Yard y la Guardia Civil española disponen de unidades especiales para investigar la comisión de delitos a través de la red. Ante esta delincuencia es difícil detectar cada ilícito y localizar a su autor. Hance sostiene que precisamente la amplia variedad de actores en Internet no facilitan la determinación de responsables.21 De ahí que la obtención de pruebas es un tema fundamental que no podemos dejar de mencionar. Internet no es un nuevo espacio en el que los delitos quedan impunes. Las mismas ventajas que permiten al delincuente moderno aumentar la efectividad de sus acciones, pueden ayudar a los técnicos que participan en la investigación a obtener pruebas evidentes de la identidad y ubicación del presunto infractor. Estas nuevas formas de comisión generan otro tipo de huellas y pruebas que pueden resultar inequívocas para determinar la autoría de un delito, pero exigen al investigador un conocimiento específico de la materia. Por ejemplo, es posible obtener una copia exacta de todos los elementos que han participado en una transacción ilícita, desde los mensajes transmitidos por los participantes hasta los propios efectos del delito. Además, la tecnología digital utilizada en las redes telemáticas provoca que los bienes que circulan por Internet pierdan el carácter de irrepetibles, ya que un objeto digital puede ser reproducido infinidad de veces sin afectar su calidad y sin dejar huellas que permitan apreciar diferencias entre las distintas copias. Esto hace posible que, si el tribunal ha ordenado la intervención de un sistema de tratamiento de información, se obtenga copia completa y fehaciente de las aplicaciones informáticas transferidas ilícitamente, sin que las partes que participan en la transacción lleguen a saberlo. También es posible que mensajes y datos adjuntos transmitidos a través del correo electrónico, de una lista de distribución, un grupo de noticias o una sesión chat, puedan ser intervenidos en tiempo real y, en algunos casos, incluso unos días después. 21 Véase Hance, O, Leyes y negocios en Internet. Ed. McGraw-Hill, México. 1996. p. 191.
31. 31 A ello se agregan las distintas herramientas de identificación que permiten conocer el origen de un mensaje, analizando la cabecera del mismo y la ruta que ha seguido. Así, la dirección de correo electrónico puede ser suficiente para conocer la identidad de una persona, aunque para que pueda ser revelada la identidad del titular de una cuenta se requiere la orden judicial correspondiente. Sin perjuicio de lo anterior, también encontramos problemas que impiden la práctica de las citadas diligencias de investigación en la actualidad. Estos son, principalmente, la escasez de medios técnicos dedicados a la actividad investigadora y la correlativa ventaja tecnológica de los delincuentes, el exceso de tiempo transcurrido entre la solicitud de una orden judicial de intervención electrónica y su concesión y trámite, el uso de contramedidas, como el cifrado de la información y los sistemas de anonimato real, y los problemas de jurisdicción en los delitos transfronterizos. En relación con este último problema causado por el surgimiento de “delitos informáticos” transfronterizos, en los que es muy probable que el sujeto activo y el sujeto pasivo se encuentren bajo leyes nacionales diferentes, se torna necesaria una regulación clara, ya que existen diferentes criterios para resolver los conflictos de legislación y de jurisdicción que puedan sobrevenir. En este tema, recordemos que, apoyados en el principio de territorialidad de la ley penal, para determinar la competencia se toma en cuenta el lugar de comisión del delito. Sin embargo, cuando la acción y el resultado se producen en distintos países, como en el caso de los delitos a distancia, los complejos, los permanentes y los continuados -características frecuentes en la delincuencia informática-, se han formulado diferentes teorías destacando la de la actividad, la del resultado y la de la ubicuidad. La primera teoría se denomina de la actividad, y considera que el lugar de comisión del delito es aquel en el que el sujeto ha llevado a cabo su acción u omisión ilícita. Lamentablemente, este criterio no despeja las interrogantes que originan los delitos en los que la producción del resultado tiene lugar en un territorio diferente al de la actividad. Resulta objetable esta teoría principalmente en el caso en que el Estado en el que se produjo el resultado no procure
32. 32 reprimirlo, provocando la impunidad total del autor del delito, haciéndole responsable únicamente por la actividad desplegada y en la medida en que ésta fuera constitutiva de una infracción en el Estado en cuyo territorio se desarrolló la actividad. La segunda es la teoría del resultado, en cuya virtud se entiende cometido el delito en el territorio en el que se produce la consecuencia de la conducta del sujeto. Aquí se prescinde del lugar de realización de la acción, y predomina el lugar del resultado, donde se decide el momento consumativo del delito. El problema surge al no ser posible aplicarla efectivamente en ciertos delitos, por ejemplo en los de mera actividad y cuando el delito produce efectos en varios territorios a la vez. Por último, según la teoría de la ubicuidad, el delito se entiende cometido tanto en el lugar donde el sujeto ha realizado la acción o incurrido en la omisión, como en el lugar donde se han producido los efectos. Es decir, le da a ambos elementos equivalencia, siendo competentes para conocer del delito los tribunales de cualquiera de estos países. No hay duda que sólo esta última teoría podría intentar una solución efectiva a los “delitos informáticos” transfronterizos. Para ejemplificar lo antes dicho, citaremos una hipótesis planteada por Ribas: “un usuario de Internet brasileño introduce una copia no autorizada de un programa estadounidense en un servidor en las Islas Caimán con el fin de que lo copie un italiano. En este caso, además de determinar el lugar de comisión del delito para designar la legislación aplicable y la jurisdicción competente, deberá tenerse en cuenta que el país en el que se halla el servidor pertenece a la categoría de los llamados paraísos fiscales, ahora convertidos en paraísos informáticos, que no han ratificado los convenios internacionales de propiedad intelectual o de auxilio a la administración de justicia. No obstante, la combinación de los tradicionales procedimientos jurídicos con las propias soluciones tecnológicas que ofrece la red, permiten la investigación y la persecución de los llamados delitos transfronterizos. Una de estas medidas que se está empleando es el bloqueo en origen que consiste en retirar el IP (Internet Protocol), es decir, el número que identifica al servidor y lo hace visible en la red, impidiendo el acceso a la información contenida en dicho servidor. Tal bloqueo se realizaría previa sentencia judicial o como una medida cautelar”22. 22 Ribas, X. Artículo sobre delitos transfronterizos publicado en http://www.onnet.es/04001003.htm
33. 33 Sin embargo, las medidas que sancionan al servidor desde el cual se accede a la información ilícita, y no necesariamente al autor directo del contenido, frecuentemente han causado perjuicios a usuarios que no están relacionados en lo absoluto con el delito, ya que al bloquear el servidor se impide el acceso a los muchos otros sitios web que puede alojar. En cuanto a la legislación internacional que alude a la delincuencia en Internet, mencionaremos sucintamente que en Estados Unidos se cuenta a nivel federal con el Computer Fraud and Abuse Act, que se aplica con frecuencia a la red. En dicha ley se considera el delito de acceso no autorizado a un sistema computacional, debiéndose probar el intento de transgresión de las barreras de seguridad por parte del hacker, en el supuesto que éstas existan y que el usuario las conozca. También el acta busca restringir la propagación de virus y de sabotajes tipificando tales delitos. Además, el Electric Communications Privacy Act sanciona el acceso a comunicaciones privadas o su intercepción no autorizada. Sin embargo será difícil poner en práctica esta protección en las aplicaciones de Internet que permiten a cualquiera participar en una discusión, salvo en los grupos de interés que tienen acceso limitado. En Europa, desde hace más de diez años la mayoría de los países han tratado de incluir en la ley los delitos de acceso ilegal a sistemas de tratamiento automatizado de la información o el mantenimiento ilegal de tal acceso, la difusión de virus o la intercepción de mensajes informáticos. En Francia, por ejemplo, la ley del 5 de enero de 1988 agregó estos delitos a su Código Penal, pero lamentablemente no se cubrieron otros delitos tales como la copia fraudulenta y el reuso de archivos. La legislación inglesa también castiga el acceso sin autorización y deliberado, con penas pecuniarias y breves períodos de privación de libertad si el acceso es simple, o hasta cinco años si el acceso se hizo con el fin de cometer delitos graves, como amenazas, chantajes, introducción de virus para causar sabotajes informáticos. Además, castiga a quienes intercepten deliberadamente las comunicaciones telefónicas o efectuadas por medio de un sistema de telecomunicaciones público. Por ello no creemos que se deba considerar a la red Internet como “tierra de nadie”, en donde no hay regulación y donde la delincuencia informática se desarrolla impunemente, ya que existen leyes en otros países que proporcionan penas para la mayoría de los delitos cometidos en
34. 34 Internet, y en su defecto, sistemas de autorregulación. Sin embargo, creemos que la efectividad del control preventivo y represivo de delitos en Internet pasa por una mayor coordinación, y por ende, internacionalización en las medidas adoptadas, legales o no; por una mayor asignación de recursos por parte de la Administración de cada Estado para enfrentar el problema; por la progresiva especialización de los cuerpos policiales, la creación de grupos específicos para la persecución de este tipo de delitos, unidos a la práctica judicial y a la creación de jurisprudencia en esta materia, lo cual ayudará a mejorar la eficacia de los métodos de investigación y obtención de pruebas que lleven a sancionar tales ilícitos. Para terminar, mencionaremos algunas de las ideas esenciales expuestas por Ulrich Sieber23, en un informe enviado a la Unión Europea en enero de 1998, sobre los aspectos legales relativos al delito informático en la Sociedad de la Información. En su opinión, la situación legal a través de la cual se está enfrentando al delito informático en la sociedad de la información merece una distinción según el plano en que se desarrolle. A nivel nacional, aún faltan respuestas comprensivas e internacionales a los nuevos desafíos del delito informático. En la mayoría de los países, las reacciones frente a los delitos informáticos se enfocan demasiado en la legislación nacional -especialmente penal-, descuidando medidas de protección alternativas. Sin embargo, hay un déficit legal considerable. A pesar de los esfuerzos exitosos de organizaciones internacionales y supranacionales, las diversas leyes nacionales muestran diferencias notables e incertidumbres especialmente con respecto a la respuesta del Derecho Penal frente a agresiones a la privacidad, el hacking, la protección de secretos comerciales y contenidos ilegales, la responsabilidad de los proveedores de Internet, las facultades coercitivas de agencias de policía -especialmente respecto a los datos cifrados e investigaciones de redes computacionales internacionales-, así como también sobre el rango de jurisdicción en materias criminales. En estadios internacionales y supranacionales, diversas organizaciones han coordinado o armonizado actividades contra el delito informático. A diferencia de lo que ocurría hasta la década del ochenta, en donde había pocas actividades internacionales, hoy falta más coordinación entre las distintas organizaciones, para no realizar programas redundantes. Muchas respuestas internacionales y supranacionales son demasiado vagas y muy legalistas. 23 Sieber, U. Legal aspects of computer-related crime in the information society. Informe enviado a la Unión Europea el 1 de enero de 1998. http://www2.echo.lu/legal/en/comcrime/sieber.html
35. 35 Sieber agrega en el informe aludido, que hay tres requerimientos principales para las futuras estrategias: las soluciones a futuro deben ser internacionales, comprensivas y dedicadas a informaciones específicas -especialmente en el área legal-. 1) Las medidas futuras contra el delito informático deben ser internacionales a partir de las distintas estrategias nacionales con el fin de prevenir que los delitos informáticos creen “paraísos de datos” o “asilos del delito informático” que, a su vez, conducirían a comercializar restricciones y barreras nacionales al libre flujo de información. Las soluciones nacionales y las restricciones al libre flujo de información estarían condenadas al fracaso ya que por la cantidad de datos transferidos en redes internacionales no es posible ni socialmente deseable controlar su contenido. 2) Deben apuntar a soluciones comprensivas incluyendo medidas no legales. Esto es especialmente importante desde que las nuevas amenazas de riesgo social actual requieren de conceptos de prevención que vayan más allá de lo puramente punitivo. Remedios no legales, tales como la tecnología, la educación y la autorregulación de la industria, pueden a menudo ser más efectivos que las restricciones del Derecho Penal, las cuales especialmente en el campo procesal, pueden también infringir libertades civiles. 3) Finalmente, todas las soluciones deben ser específicas considerando las diferencias entre la propiedad tangible y la intangible. Esto es especialmente importante para los remedios legales: la información es un nuevo y distintivo bien que no puede ser protegido de igual manera que los objetos corporales. En el campo legal, requiere una nueva doctrina del derecho a la información que trate especialmente con la protección del autor y del tenedor de la información, la protección de la persona a quien le concierne la información nominativa, la protección de la sociedad contra la información ilegal y nociva, así como también los derechos de acceso a la información. 6.- La penalización de conductas sin dolo En 1989, el Consejo de Europa adoptó una recomendación general sobre delitos en la informática. En ella se reconoce el carácter subsidiario del ordenamiento penal en relación con los medios civiles o administrativos para enfrentar el problema. Por tal razón, se sostuvo que la
36. 36 normativa penal debería centrarse sólo respecto de los atentados en que las normas no penales resulten insuficientes y si se cometen con una manifiesta intención criminal. Así, el Comité recomendó a los Estados miembros, para legislar sobre delitos en la computación, un listado mínimo de ocho categorías delictivas, todas de índole dolosa, excluyentes de la hipótesis culposa. Además, planteó un listado opcional de conductas que podrían, eventualmente, ser penalizadas, también referidas a acciones claramente intencionales. Es decir, la conducta negligente o descuidada no fue incluida en las recomendaciones porque el Comité del Consejo de Europa estimó que tales conductas no deberían ser, por regla general, penalizadas, restringiéndose el ámbito delictivo propuesto a acciones dolosas. No obstante, en la Conferencia de la Asociación Internacional de Derecho Penal (AIDP), celebrada en Würzburg, Alemania, en octubre de 1992, se recomendó criminalizar el uso negligente de programas poseedores de virus, “gusanos” y otros elementos dañinos. Por último, recordemos que para nuestra legislación penal es una tendencia general la impunidad de los delitos culposos -artículos 4 y 10 N°13 del Código Penal-. Asimismo, cuando se penaliza el cuasidelito en el Título X del Código Penal, está restringido a los delitos contra las personas, homicidio y lesiones, y que las escasas excepciones a esta regla general, sólo la confirman. 7.- El intento frustrado de tipificar estos delitos en Chile: la ley Nº 19.223 Para finalizar estas reflexiones, y habiendo visto las anteriores, nos centraremos en la regulación específica sobre “delitos informáticos” que consigna la ley chilena Nº19.223, promulgada el 28 de mayo de 1993 y publicada en el Diario Oficial el 7 de junio del mismo año. El 16 de julio de 1991, el diputado señor José Antonio Viera-Gallo presentó a la Cámara de Diputados la moción del proyecto de ley sobre delito informático, la cual, en síntesis, hace presente el valor que han adquirido las tecnologías de la información en la sociedad actual, con sus innegables beneficios para mejorar el aprovechamiento de energías y recursos. Sin embargo, advierte la vulnerabilidad de las sociedades y organizaciones que utilizan la informática ante los abusos que pueden cometerse, y las devastadoras consecuencias que éstos pueden
37. 37 acarrear. Por ese motivo, el proyecto tuvo como finalidad el proteger un nuevo bien jurídico surgido con el uso de las modernas tecnologías computacionales: la calidad, pureza e idoneidad de la información en cuanto a tal, contenida en un sistema automatizado de tratamiento de la misma y de los productos que de su operación se obtengan. Se sostuvo en esa oportunidad que dicha protección se realizaría a través de la creación de figuras penales especiales, siguiendo así la tendencia en el derecho comparado y basándose en los escasos estudios realizados a esa fecha en Chile. Con la creación de estas nuevas figuras penales se pensó en evitar la necesidad de hacer interpretaciones extensivas de las normas tradicionales para incluir conductas indebidas en contra de los sistemas automatizados de tratamiento de la información. Si bien reconocemos el valioso esfuerzo del legislador para entregar al país una normativa acorde con nuestro tiempo, no podemos dejar de advertir que, a nuestro juicio, se trata de una ley que adolece de imprecisiones, errores, vacíos y una técnica legislativa desafortunada, que a continuación pasaremos a comentar. Este cuerpo legal –pionero en la región- consta de 4 artículos, número al que le restamos importancia, a diferencia de quienes ven en ello una crítica importante, ya que de nada sirven leyes extensas si están mal redactadas, confunden las instituciones que deben regular, se contradicen o sufren vacíos importantes. En esos casos, un sólo artículo bien elaborado podría ser suficiente. Su artículo 1 dispone: “El que maliciosamente destruya o inutilice un sistema de tratamiento de información o sus partes o componentes, o impida, obstaculice o modifique su funcionamiento, sufrirá la pena de presidio menor en su grado medio a máximo. Si como consecuencia de estas conductas se afectaren los datos contenidos en el sistema, se aplicará la pena señalada en el inciso anterior, en su grado máximo”. En primer lugar, a diferencia de lo que se ha escrito hasta ahora respecto a la ley N°19.223, nosotros no creemos que el inciso 1 de este artículo tipifique al sabotaje informático, sino más bien trata un delito de daños tradicional sobre los bienes corporales muebles que integran un sistema de tratamiento de información. La razón se debe a que al haber circunscrito el delito informático únicamente para los atentados contra el soporte lógico de un sistema de tratamiento de información, es decir, programas -o sea, instrucciones- y datos relevantes, y al hacer mención
38. 38 expresa a los datos en el inciso 2°, pensamos que el inciso 1° apunta en dirección del soporte físico, las partes o componentes del sistema, objeto no comprendido dentro de los “delitos informáticos”. En segundo término, esta norma distingue entre la acción dirigida contra el sistema de tratamiento de información en sí mismo, o una parte de él, y contra su funcionamiento. De tal manera, el sistema informático -referido sólo al hardware según la redacción del artículo- puede sufrir un atentado directo que le cause daños permanentes o irreversibles, a través de las acciones destinadas a destruirlo o inutilizarlo. En tal caso, los verbos rectores del tipo serán el “destruir”, esto es, el deshacer, arruinar o asolar una cosa material -en este caso el hardware-; y el “inutilizar”, que significa hacer inútil, vana o nula una cosa24, por ejemplo, si luego del ataque el sistema no sirve para el procesamiento de datos o ve limitada su utilidad, sin necesidad de destruirlo. Ahora bien, si el ilícito se dirige contra el funcionamiento del sistema informático, buscando “impedir”, “obstaculizar” o “modificar” la ejecución de las funciones que le son propias al sistema, hay que entender previamente que éste funcionará si operan conjunta y adecuadamente sus componentes lógicos -programas o instrucciones- y físicos -hardware o equipos-, y dejará de hacerlo cuando dicha interacción se rompa a consecuencia de diversas acciones, sean dolosas, negligentes o lícitas, por lo que surge un nuevo desacierto del legislador al contemplar en el tipo de un supuesto “delito informático” a una situación de hecho muy amplia y poco clara. Es decir, primero habría que distinguir si el sistema deja de funcionar a consecuencia de un atentado contra el soporte lógico -las instrucciones dadas al ordenador- o contra los equipos, con lo que llegamos nuevamente a la conclusión propuesta de estimar como delito tradicional de daños a los ataques dirigidos contra el hardware y que ocasionen el mal funcionamiento del sistema, y sólo tratar como delito de sabotaje informático el ilícito penal que atente contra el soporte lógico o programas, afectando las funciones que deba ejecutar el ordenador. En este último caso, si la intención del legislador fue tratar a los programas o soporte lógico al referirse al “funcionamiento” del sistema informático, habría sido más adecuado aludir a “los 24 Diccionario de la Lengua Española, 21ª edición. Ed. Espasa Calpe S.A., España. 1992, p. 836.
39. 39 atentados contra las instrucciones u órdenes lógicas que permiten el funcionamiento de un sistema de tratamiento automatizado de información”. Cuando se ataca el funcionamiento del sistema los verbos rectores que se aprecian son tres: “impedir”, que significa estorbar, imposibilitar -en forma absoluta, creemos- la ejecución de una cosa25; “obstaculizar”, esto es, impedir o dificultar la consecuencia de un propósito26, por ejemplo si el sistema no puede cumplir normalmente las operaciones de transformación de los datos en información procesada; y “modificar”, es decir, transformar o cambiar una cosa mudando alguno de sus accidentes27, por lo que bastaría con que no funcione de la forma prevista por el titular para que se realice esta acción, siendo de cargo del juez, auxiliado por peritos, determinar si el funcionamiento del sistema dejó de ser idóneo para satisfacer los requerimientos específicos del usuario y para lo cual fue diseñado. Un tercer comentario, extensivo para los demás artículos de la ley, se refiere al sujeto activo. Al emplearse la expresión “el que” no se restringe el tipo penal a un sujeto calificado, por ejemplo, por el nivel de conocimientos técnicos que posea o el cargo que desempeñe. Como cuarta idea que surge de la exégesis de este artículo, y al igual que en el 3° y 4°, la doctrina se ha visto dividida ante la supuesta inclusión en el tipo de un elemento subjetivo adicional derivado de la expresión “maliciosamente”. Autores como Huerta y Líbano opinan que el dolo exigido por la ley es el dolo directo propiamente tal28, es decir, el que requiere que el agente, además de conocer la acción en sí, sus modalidades típicas, el resultado y la relación causal, en su caso, tenga por objetivo, la realización del hecho típico29. Además, agregan el dolo de las consecuencias seguras o necesarias, también conocido como dolo indirecto, que existirá cuando el resultado es previsto, no como posible, sino como seguro o cierto30, cuando el agente se representa el hecho típico como una consecuencia segura de su actuar y, no obstante ello obra. Finalmente, excluyen las situaciones en que se realizan las conductas tipificadas con dolo eventual, esto es, aquel que 25 Diccionario de la Lengua Española, Op. cit., p. 808. 26 Ibídem, p. 1036. 27 Ibídem, p. 981. 28 Véase Huerta, M. y Líbano, C., Op. cit., p. 296. 29 Véase Cury, E. Derecho Penal. Ed. Jurídica de Chile. Tomo I. 1988, pp. 308-310. 30 Véase Etcheberry, A. El Derecho Penal en la Jurisprudencia. Ed. Jurídica de Chile. Tomo I. 1987, pp. 242-243.
40. 40 existe cuando el autor no va tras la obtención de resultados típicos, ni porque se haya propuesto su producción como meta, ni porque lo estime necesario para sus propósitos, sino que se limita a acogerlos como una posibilidad que incorpora a su representación total sin rechazarla o, por lo menos, sin hacer nada por evitarla. Otros, en cambio, comparten tal interpretación al estimar que la expresión “maliciosamente”, empleada en los artículos 1, 3 y 4 de la ley comentada, exigiría que la conducta sea realizada con dolo directo o dolo de las consecuencias necesarias, mas no el dolo eventual31. O bien se acepta únicamente la concurrencia de dolo directo32. Consideramos que la interpretación de la expresión “maliciosamente”, ya ha sido resuelta por la jurisprudencia a raíz de otras materias. Comparte esta idea, Vera Quilodrán33, por citar un ejemplo. En efecto, la jurisprudencia de los Tribunales Superiores de Justicia ha interpretado el término “maliciosamente” señalando que “no importa la exigencia de un requisito anímico especial ni da origen a un elemento subjetivo del tipo penal. Su significado no es otro que el de “intencional” y su finalidad es exigir del tribunal una especial atención a la prueba del dolo, sin que baste la sola presunción del mismo, contemplada en el artículo 1° del Código Penal”34. “La presunción de dolo, establecida en el inciso segundo del artículo 1 del Código Penal, tuvo por objeto resolver la dificultad práctica de su prueba y evitar la impunidad o el castigo a título de culpa, en los casos dudosos. El dolo específico, esto es aquel que importa la intención precisa de causar determinadas consecuencias dañosas; no está amparado por la presunción recientemente aludida. Cuando la ley lo exige emplea, las palabras “con malicia” o el adverbio “maliciosamente” [...] El dolo específico, como modalidad de dolo directo, debe ser acreditado por los medios legales ordinarios de prueba. Si el tribunal no ha adquirido, por medio de éstos, la convicción en orden a que el encausado incurrió “maliciosamente” en la figura penal [...], procede absolverlo de la acusación de autoría de tal hecho delictuoso”35. Vera Quilodrán agrega que la incorporación del término “maliciosamente” fue “[...] con el propósito de alterar el peso probatorio y establecer la regla de inocencia frente a la presunción 31 Véase López, R.; Coronado, R. y Varela, P. Delitos informáticos, nuevas figuras penales. Memoria para optar al grado de Licenciado en Ciencias Jurídicas y Sociales, de la Universidad Central de Chile. 1994, p. 80. 32 Véase Abedrapo, E. Ley 19.223 sobre Delitos Informáticos. Memoria para optar al grado de Licenciado en Ciencias Jurídicas y Sociales, de la Universidad de Chile. 1996, pp. 90-92. 33 Véase Vera, A. Op. cit., pp. 208-216. 34 Revista Derecho y Jurisprudencia. Tomo LXXVIII, N°2. Sección IV. 1981, p. 199. 35 Revista Derecho y Jurisprudencia. Tomo LXXXVII N°1. Sección IV. 1990, p. 150.
41. 41 de dolo del artículo 1 del Código Penal. Así, [...] el dolo en las conductas de los artículos 1, 3 y 4 deberá probarse porque no está amparado por la presunción de voluntariedad del Código Penal”36. Finalmente, durante la tramitación en el Senado, una opinión del senador Diez a propósito de una propuesta del senador Thayer por reemplazar la expresión comentada, refleja la justificación de ella: “Estamos frente a una materia en la cual tenemos poca experiencia y poca práctica, porque es sabido que las informaciones o los datos se pueden destruir, a veces, accidentalmente. Si eso ocurre, la persona debe responder civilmente de la negligencia con que actuó. Aquí estamos ante una responsabilidad penal, ante un delito. Por eso considero que la Comisión estuvo acertada al exigir un dolo específico, el cual tendría que probarse por las circunstancias adyacentes al hecho mismo. Pero, evidentemente, no nos estamos refiriendo a la obligación de indemnizar los perjuicios del daño civil, sino a una pena. Y debemos tener la certeza de que respecto de ella, en este caso no ha sido fruto de elementos accidentales. Porque también por accidente se ejecutan actos sin la debida autorización, lo que constituiría un delito. A mi juicio, tiene razón la Comisión -por eso me opongo a la modificación del concepto, a no ser que se efectúe un estudio posterior- al exigir en este tipo de delitos -en donde la destrucción, el conocimiento o el ocultamiento, a veces, obedece a una mala maniobra del operador- un dolo específico, el que se probará por la condiciones del autor de la infracción, el uso o no uso que se dé a la información y las circunstancias en que ocurrieron los hechos. El juez podrá apreciar si existe o no el dolo específico. Pero no cabe duda de que, en este tipo de materia, el legislador debe requerir dolo específico, porque no se puede cargar con responsabilidad penal, pues lo primero es la persona y después el sistema. Estamos protegiendo a la persona de sus errores, haciéndola responsable civilmente; pero no podemos, en conciencia, inculpar a alguien y asignarle la calidad de delincuente si sin malicia ha incurrido en un daño o ha causado alteraciones de sistemas que, a veces, sólo responden a la mayor o menor preparación y eficacia del que los opera”37. Un último comentario al artículo se refiere a la causal de agravamiento de la responsabilidad, contenida en el inciso segundo. Se señala que si como consecuencia de estas conductas se afectaren los datos contenidos en el sistema, se aplicará la pena de presidio menor en su grado 36 Vera, A. Op. cit., pp. 214 y 216. 37 Boletín Oficial N°412-07 de la Honorable Cámara de Diputados y Senado de Chile. Senado, sesión 50ª Ext., de martes 11 de mayo de 1993, p. 5.912.
42. 42 máximo. Es decir, la pena original de este delito, que va desde los 541 días hasta 5 años de presidio, se debería aplicar ahora a partir de los 3 años y un día como mínimo. En este caso, el sujeto activo del delito de daños no persigue directamente el afectar los datos contenidos en el sistema, es decir, alterarlos o modificarlos -hecho que refuerza nuestra interpretación del inciso 1°-, pero como es previsible que esto puede ocurrir por tales acciones, se sanciona el resultado obtenido aunque no haya sido querido por su autor. Sin perjuicio de ello, para algunos es irrelevante este inciso, porque para atentar contra la información o manipular datos generalmente se requiere el uso normal y correcto de las instrucciones, no destruirlas, inutilizarlas u obstaculizarlas38. En otro orden de ideas, el artículo 2 de la ley establece: “El que con ánimo de apoderarse, usar o conocer indebidamente la información contenida en un sistema de tratamiento de la misma, lo intercepte, interfiera o acceda a él, será castigado con presidio menor en su grado mínimo a medio”. A través de este artículo se sanciona con una pena de presidio que cubre el rango entre los 61 días y los 3 años, al espionaje informático, delito que tiene por finalidad obtener datos indebidamente, violando la reserva u obligación de secreto de la información contenida en un sistema de procesamiento de datos. En primer lugar, es interesante mencionar el desconocimiento del legislador respecto de la trascendencia de un “hurto” de datos, ya que en el primer informe de la Comisión se le consideró un delito de menor relevancia que el anterior, porque en él “no se destruye nada”. Por otra parte, en este artículo encontramos la exigencia, para la perfección subjetiva del tipo, de un elemento motivacional necesario en el agente comisivo: la intención o ánimo de apoderarse, usar o conocer, indebidamente, la información contenida en un sistema de tratamiento de la misma. Por tal razón, no bastaría con el cumplimiento de alguna de las conductas tipificadas - interceptar, interferir o acceder al sistema-, sino que es necesario este ánimo en el agente. 38 Véase Jijena, R. La criminalidad informática en Chile. Análisis de la ley N°19.233. Ponencia presentada al VI Congreso Iberoamericano de Derecho e Informática, realizado en Montevideo, Uruguay, mayo de 1998.
Legalidad de la firma manuscrita biométrica en Chile
Marco legal y técnico de la seguridad de la información en la Administración ...
4 Tipos de relación entre Leyes de Transparencia y de Protección de Datos

References: artículo 79
 artículo 79
 artículo 18
 artículo 79
 artículo 18
 artículo 47
 artículo 80
 artículo 1
 artículo 1
 artículo 1
 artículo 1
 artículo 2