En síntesis. El acceso abusivo a un sistema informático o telemático está tipificado en el art. 615-ter del Código Penal italiano (codice penale, c.p.): castiga a quien se introduce sin autorización en un sistema informático protegido por medidas de seguridad, o se mantiene en él contra la voluntad de quien tiene derecho a excluirlo. Introducido por la L. 547/1993 (ley italiana sobre delitos informáticos) y reforzado por la L. 48/2008 (ratificación del Convenio de Budapest) y, más recientemente, por la L. 90/2024 (ley italiana sobre ciberseguridad), es uno de los delitos informáticos de mayor aplicación práctica. Conlleva penas de prisión que se agravan de forma notable en presencia de circunstancias cualificadas.

Qué es el acceso abusivo a un sistema informático

El art. 615-ter del Código Penal italiano castiga dos conductas alternativas:

  • introducirse sin autorización en un sistema informático o telemático protegido por medidas de seguridad; y
  • mantenerse en él contra la voluntad expresa o tácita de quien tiene derecho a excluir al intruso.

El bien jurídico protegido es el domicilio informático (domicilio informatico): la facultad del titular de mantener reservado el espacio digital, de manera análoga a la inviolabilidad del domicilio físico. Por eso no se exige que el intruso copie, altere o destruya datos: basta el acceso o la permanencia indebidos en un sistema protegido.

Un punto crucial, consolidado por la jurisprudencia italiana (Sezioni Unite Casani, n.º 4694/2012, y Savarese, n.º 41210/2017), es que comete el delito también quien, estando autorizado a acceder al sistema, lo utiliza para finalidades ajenas o contrarias a las reglas que delimitan su autorización (por ejemplo, el empleado que consulta bases de datos por motivos personales o desviados). El abuso no es solo entrar sin permiso, sino también permanecer o actuar excediendo los límites del permiso recibido.

Fuentes normativas

  • Art. 615-ter del Código Penal italiano (codice penale) — acceso abusivo a sistema informático o telemático.
  • L. 547/1993 — ley italiana que introdujo los delitos informáticos en el Código Penal.
  • L. 48/2008 — ratificación del Convenio de Budapest sobre ciberdelincuencia y modificación del Código Penal y del Código Procesal Penal italianos.
  • L. 90/2024 (en vigor desde el 17 de julio de 2024) — ley italiana en materia de ciberseguridad y delitos informáticos, que ha agravado el régimen sancionador del art. 615-ter c.p. (las formas agravadas pasan de 1-5 a 2-10 años de prisión) y reforzado los instrumentos de tutela.
  • Convenio de Budapest sobre ciberdelincuencia (Consejo de Europa, 23 de noviembre de 2001) — referente internacional del illegal access.
  • Art. 615-quater del Código Penal italiano — tenencia y difusión abusiva de códigos de acceso, figura instrumental conexa.

Las agravantes del art. 615-ter

El delito se castiga en su forma base con prisión, pero el art. 615-ter prevé un sistema de circunstancias agravantes que elevan sensiblemente la pena. Entre las hipótesis cualificadas figuran:

  • la comisión por parte de un funcionario público o de un encargado de un servicio público, con abuso de poderes o violación de los deberes inherentes a la función, o por quien ejerce, incluso de forma abusiva, la profesión de investigador privado, o con abuso de la cualidad de operador del sistema;
  • el empleo de violencia sobre las cosas o las personas, o el hecho de estar manifiestamente armado;
  • la producción de la destrucción o el daño del sistema, o la interrupción total o parcial de su funcionamiento, o la destrucción o alteración de los datos, informaciones o programas en él contenidos;
  • el hecho de que el sistema sea de interés militar, de orden público, de seguridad pública o sanitario, o relativo a otro interés público, o utilizado por servicios públicos esenciales (hipótesis especialmente reforzadas por las reformas más recientes).

La L. 90/2024 ha intervenido sobre estas franjas, endureciendo las penas: la forma base (primer párrafo) sigue castigada con prisión de hasta tres años, mientras que las formas agravadas pasan a prisión de dos a diez años y, cuando los sistemas son de interés público, militar o estratégico, de tres a diez años y, en los casos más graves, de cuatro a doce años.

Las penas y el régimen procesal

La forma base del delito se persigue, por regla general, a instancia de parte (querela della persona offesa, denuncia del perjudicado), mientras que las hipótesis agravadas se persiguen de oficio. Las penas de prisión aumentan progresivamente según las agravantes concurrentes y, en los supuestos relativos a sistemas de interés público, alcanzan límites elevados.

A la pena principal pueden añadirse consecuencias accesorias y, en el contexto empresarial, la responsabilidad de la persona jurídica: los delitos informáticos, incluido el acceso abusivo, son delitos antecedentes de la responsabilidad del ente conforme al art. 24-bis del D.lgs. 231/2001 (decreto legislativo italiano sobre la responsabilidad de los entes).

Estrategias de defensa

La defensa frente a una imputación por el art. 615-ter exige un análisis técnico y jurídico cuidadoso. Las líneas más frecuentes son:

  • Existencia y eficacia de las medidas de seguridad. El delito presupone un sistema “protegido por medidas de seguridad”; la verificación de si tales medidas existían y eran reconocibles es a menudo decisiva.
  • Ámbito de la autorización. En los casos del empleado o del usuario habilitado, es central reconstruir los límites efectivos del permiso y distinguir el uso simplemente irregular del acceso penalmente abusivo.
  • Elemento subjetivo. Acreditar la ausencia de dolo, el error sobre la autorización o la falta de conciencia de la oposición del titular.
  • Prueba digital. El análisis forense de logs, direcciones IP, marcas temporales y cadena de custodia es esencial; vicios en la adquisición de la prueba informática pueden comprometer la acusación.
  • Dimensión transnacional. Cuando el acceso se produce desde el extranjero o afecta a servidores en otro país, entran en juego la competencia territorial y los mecanismos de cooperación judicial internacional.

Preguntas frecuentes

¿Comete delito quien accede con credenciales que conocía pero ya no debía usar? Sí, puede cometerlo. La jurisprudencia italiana considera abusivo tanto el acceso no autorizado como la permanencia o el uso del sistema excediendo los límites de la autorización recibida, por ejemplo un exempleado o un usuario que utiliza credenciales para fines distintos de los permitidos.

¿Hace falta robar o dañar datos para que haya delito? No. El art. 615-ter protege el “domicilio informático”: basta introducirse o mantenerse indebidamente en un sistema protegido por medidas de seguridad. La sustracción o el daño de datos pueden configurar agravantes o delitos ulteriores, pero no son requisito de la figura base.

¿El acceso abusivo se persigue solo con denuncia del perjudicado? La forma base se persigue normalmente a instancia de parte (denuncia del perjudicado), pero las hipótesis agravadas, en particular las que afectan a sistemas de interés público, se persiguen de oficio. La calificación concreta del hecho determina el régimen aplicable.