Análisis del Artículo 297 BIS del Código Penal, acceso ilícito a datos informáticos

El artículo 297 bis del Código Penal de Uruguay establece una sanción penal para aquellos que accedan de forma ilícita a datos informáticos ajenos, sin autorización y sin justificación legal, así como para quienes interfieran, difundan, vendan o cedan dicha información. Pasando así, a integrar los delitos contra la Inviolabilidad del Secreto.

Descripción del Delito

El artículo penaliza el acceso ilícito a información contenida en soportes digitales. Esto implica que la persona que actúe sin la debida autorización (por ejemplo, acceso a bases de datos o sistemas informáticos de terceros sin permiso) incurre en un acto delictivo. Las acciones especificadas en el artículo incluyen:

Acceso sin autorización: Ingresar a sistemas informáticos o bases de datos sin el permiso correspondiente lo que implica el acceso a datos en estado de reposo.
Interferencia: Manipular, modificar o alterar datos sin justificación sea que los mismos estén en reposo o en movimiento.
Difusión, venta o cesión: Compartir o vender la información obtenida sin autorización de su legítimo titular.

Bien Jurídico Protegido

El bien protegido por este nuevo tipo penal es la seguridad de los datos informáticos y la privacidad de la información contenida en sistemas electrónicos. Así como el secreto privado protegiendo la correspondencia cuando el delito se tipifica por la interferencia de los datos, protegiendo así la intimidad personal como derecho individual. El artículo resalta la importancia de la protección de la información confidencial y de los derechos digitales de las personas y organizaciones, así como la confianza en los sistemas informáticos. Cuando se tipifican las acciones de ceder o vender información se busca proteger el secreto de la información contenida en dichos datos. Este tipo penal protege aquello que razonablemente no puede ser público o conocido por cualquier tercero.

Objeto Material

El objeto material es el dato informático alojado en soportes digitales. Independientemente de si el dato se encuentra en movimiento o en reposo. A su vez, el sujeto activo puede ser cualquier tipo de persona que logre el acceso, sea de forma remota o en custodia de los datos.

Elementos del Tipo Penal

Medios informáticos o telemáticos: Esto sugiere que el delito solo se configura cuando se emplean tecnologías digitales para realizar el acceso no autorizado.
Acceso sin autorización: La clave del tipo penal es que la acción se realice sin autorización; esto puede ser de una persona, una organización o una ley que permita dicho acceso.
Sin justa causa: No se puede justificar la acción de ninguna manera legal o legítima. En otras palabras, incluso si alguien accede a los datos por razones personales o en una situación de urgencia, si no hay justificación legal, el acceso es ilícito.
Acciones prohibidas: El artículo menciona expresamente varias acciones como el acceso, interferencia, difusión, venta y cesión de información.

Pena

La pena establecida es de seis a veinticuatro meses de prisión. Esta sanción sugiere que el delito es considerado de poca o mediana gravedad, lo que indica que el sistema jurídico no lo contempla como un crimen mayor, pero aún así es lo suficientemente serio como para que la ley imponga una pena de prisión. La amplitud de la pena (seis a veinticuatro meses) refleja que la gravedad del delito puede variar según las circunstancias, como la magnitud del daño o el alcance de la divulgación de los datos.

Problemas de Interpretación y Aplicación

Concepto de "sin autorización": Puede generar disputas e interpretaciones contrarias sobre lo que constituye la autorización legítima para acceder a ciertos sistemas. En algunos casos, las "autorizaciones" pueden ser implícitas o dependientes de acuerdos previos. Por ejemplo, se puede dar una intromisión sin autorización en el contexto de una auditoría del Sistema de Seguridad Informática.
Justa causa: La falta de una definición clara en la ley sobre qué se considera una "justa causa" podría generar incertidumbre y diferentes interpretaciones. Esto es clave, ya que el acceso legítimo a los datos también depende de si existe o no una causa justa para realizar dicho acceso, desconociendo en la redacción actual las autoridades competentes para determinar previamente cuando hay justa causa y cuando no la hay.

Ámbito de Aplicación

Este artículo se aplica a cualquier tipo de acceso no autorizado a información digital, lo que lo hace relevante para una amplia gama de delitos informáticos, como el hacking, el phishing, el robo de datos y la difusión de información personal sin consentimiento. También es crucial en el contexto de la protección de datos personales y la ciberseguridad.

Posibles Defensas

Las posibles defensas para una persona acusada bajo este artículo podrían incluir:

Autorización implícita o explícita: El acusado podría argumentar que tenía permiso para acceder a los datos.
Justa causa: El acusado podría defenderse argumentando que su acción estaba justificada, como en el caso de una intervención de emergencia o en un contexto en el que la ley lo permita.

Conclusión

El artículo 297 bis establece un nuevo tipo penal que claramente era necesario. El sujeto activo de dicho delito puede ser cualquier persona que pueda acceder sin autorización a información digital y difunden o venden dicha información, generando dudas si dicha información se encuentra en estado público. Refuerza la protección de la privacidad digital y asegura que los delitos informáticos sean castigados adecuadamente. La pena de prisión de seis a veinticuatro meses refleja la seriedad de la violación, aunque no se considera un delito grave en comparación con otros delitos más graves, como el fraude a gran escala.