Por Rodolfo Herrera Bravo (*)
::: En DerechoTecnológico.com :::
(Ponencia presentada en el X Congreso Latinoamericano y II Iberoamericano de Derecho Penal y Criminología, celebrado en la Universidad de Chile en agosto de 1998)
En junio de 1993 entró en vigencia en Chile la Ley n°19.223, sobre delitos informáticos, un cuerpo legal que consta de 4 artículos a partir de los cuales señalaré algunas breves reflexiones sobre la delincuencia informática, surgidas principalmente de los desaciertos encontrados en dicha ley. Hago presente el número de artículos para señalar que, a diferencia de quienes ven en ello una crítica importante, yo le resto importancia, ya que de nada sirven leyes extensas si están mal redactadas, confunden las instituciones que deben regular, se contradicen o sufren vacíos importantes. En esos casos, un sólo artículo bien elaborado podría ser suficiente. Lamentablemente, ese no es el caso de la Ley n°19.223 que, no obstante se pionera en la región al abordar expresamente el delito informático, adolece de muchas deficiencias de forma y de fondo, que me llevan a considerarla como desafortunada.
1.- Una primera reflexión surge en relación al concepto de delito informático. De la relación entre delito e informática surgen dos tipos de ilícitos, los delitos computacionales y los delitos informáticos. Cuando los delincuentes de delitos tradicionales comienzan a utilizar como un medio específico de comisión a las tecnologías de la información, se produce una informatización de los tipos tradicionales, naciendo el delito computacional, que en realidad se trataría sólo de ilícitos convencionales que ya están regulados en el Código Penal. Sin embargo, también se crean conductas nuevas, no contempladas en los ordenamientos penales por su especial naturaleza, lo que hace necesario crear nuevos delitos, llamados delitos informáticos.
Es así como entendemos por delito informático a la acción típica, antijurídica y dolosa cometida mediante el uso normal de la informática, contra el soporte lógico o software, de un sistema de tratamiento automatizado de la información. Por lo tanto, únicamente estaremos ante un delito informático cuando se atenta dolosamente contra los datos digitalizados y contra los programas computacionales contenidos en un sistema; otros casos parecidos, serán sólo delitos computacionales que no ameritan la creación de un nuevo ilícito penal.
Al respecto, la Ley n°19.223 confunde esta distinción y trata como delito informático a algunos delitos computacionales. Esto tiene como consecuencia, que en esos casos en vez de actualizar el tipo tradicional contenido en el Código Penal, -que habría sido lo correcto- crea una supuesta nueva figura. El problema que produce es comparable con la situación de considerar como delitos distintos el robo de una lámpara y el de una impresora, pese a que se trata de un mismo delito.
2.- Otra idea surge en relación al bien jurídico protegido por los delitos informáticos. En la moción presentada al Congreso se indicó que se buscaba proteger un nuevo bien jurídico: la calidad, pureza e idoneidad de la información en cuanto a tal, contenida en un sistema automatizado de tratamiento de la misma y de los productos que de su operación se obtengan.
Es común observar en parte de la doctrina mucha confusión para determinar el bien jurídico, porque no se limitan exclusivamente a los delitos informáticos, sino que también consideran a los computacionales, que al ser delitos convencionales ya tienen un bien jurídico específico. Por ejemplo, los atentados contra el hardware tienen claramente como bien jurídico al patrimonio.
Ahora bien, como los delitos informáticos atentan contra programas computacionales y ciertos datos, es ahí donde debemos buscar el bien jurídico. En el caso de los datos digitalizados, no todos merecen protección penal, sólo aquellos que sean relavantes o importantes. Ese grado de importancia puede ser dado por la naturaleza de la información, por ejemplo, nominativa, estratégica o económica. Por lo tanto, los delitos informáticos son pluriofensivos, afectan la intimidad, el patrimonio, la propiedad intelectual, la seguridad, etc.
Y respecto al nuevo bien jurídico creado por la Ley n°19.223, es discutible, porque ni el mismo legislador lo entiende con claridad. Citando la opinión del profesor Renato Jijena Leiva, expuesta en el VI Congreso Iberoamericano de Derecho e Informática, fue inadecuado aludir a "la información en cuanto tal", sin otorgarle carga o contenido valórico, sin reparar en que no todo conjunto organizado de datos reviste igual importancia. Él incluso observó la ambigüedad del legislador quien durante la tramitación señaló que al legislar "no debe importar el tipo de información sino las acciones delictuales para obtenerla".
Agrega que, además, expresamente se dejó de lado la tutela de la intimidad a través de una protección penal de los datos personales, indicándose que la Ley no buscaba sancionar delitos que pudieran ser cometidos utilizando la información que contienen los sistemas informáticos, especialmente en cuanto afectasen la vida privada de las personas.
Pero donde se aprecia la confusión del legislador con mayor claridad es en el hecho que, si bien se indicó a la información (en la forma incorrecta que explicamos) como el nuevo bien jurídico, durante la tramitación se sostuvo que "el sistema informático es un nuevo bien jurídico que se quiere proteger, el cual difícilmente puede asimilarse a otros penalmente protegidos". Es claro el desconocimiento sobre la delincuencia informática, por no distinguir dentro del sistema informático entre el hardware y el software.
3.- Sin perjuicio de que el proyecto original contemplaba penas más altas que las contenidas en la Ley en vigor, aún consideramos que la penalidad es sumamente elevada. Según el artículo 1, si, por ejemplo, alguien destruye dolosamente un computador, puede recibir como castigo la pena de presidio menor en su grado medio a máximo, es decir, puede tener desde 541 días hasta 5 años de cárcel. En virtud del artículo 2, si un hacker, por ejemplo, ingresa indebidamente a un sistema para conocer información sin autorización, puede recibir desde 61 días hasta 3 años de presidio. De acuerdo al artículo 3, si alguien, por ejemplo, graba intencionalmente un virus en un sistema, puede ser castigado desde 541 días hasta 3 años de presidio.
Finalmente, en virtud del artículo 4, podría recibir también presidio desde 541 días hasta 3 años, un operador que dé a conocer dolosamente el contenido de la información guardada en el sistema informático, e incluso podría alcanzar hasta 5 años si la persona es el responsable del sistema.
Sería conveniente recordar que en el proyecto original se contemplaba la facultad del tribunal para sustituir las penas corporales por multas, expresadas en unidades tributarias mensuales, cuando las consecuencias del delito no fueren de especial gravedad.
El Director del Instituto de Ciencias Penales de Chile, don Carlos Kunsemuller Loebenfelder se refirió al respecto, a través de un informe enviado al Congreso durante la tramitación, señalando: "...consideramos muy positivo el hecho de que se consagre la facultad del tribunal instructor de sustituir la pena... por multa, cuando... .- Creemos que en este tipo de delitos, de caracteres muy particulares, en cuanto al entorno cultural y socio-económico en que normalmente se habrán de producir y a la tipología criminológica de los delincuentes, la privación de libertad -cuya crisis es por todos reconocida- no parece ser el tipo de sanción más adecuado, desde un punto de vista político criminal. Una pena pecuniaria severa, bien administrada y ejecutada, a través del sistema de días-multa, por ejemplo, con fracciones que disminuyan en forma sustancial el nivel de vida del condenado, como asimismo, ciertas formas de trabajo obligatorio, como la prolongación de la jornada laboral, el trabajo de fin de semana, la ejecución controlada de determinadas actividades, destinadas a reparar el daño ocasionado... podrían operar como alternativas que satisfarían las exigencias de retribución, prevención general y especial, sin provocar los males tan conocidos de la pena carcelaria".
4.- Además, la ubicación del texto fuera del Código Penal es una desafortunada técnica legislativa, por lo que lamento que las opiniones de algunos parlamentarios en este mismo sentido no hayan sido escuchadas. Se hizo presente durante la discusión de la ley, ideas tales como, que al tratarse de una legislación codificada, la tendencia de los legisladores debería fortalecerla y no seguir creando legislaciones penales particulares y especiales que sólo sirven para desperdigar la normativa penal existente, lo que dificulta la labor del juez y la defensa de los inculpados. Además, en la medida que no se incorporen los nuevos delitos que exige la realidad social en el Código Penal, dicho cuerpo legal quedará desadaptado a los tiempos actuales.
En definitiva, pienso que lo más adecuado habría sido tipificar en el Código Penal los nuevos delitos que surgen del mal uso que se le da a las tecnologías de la información y que por sus características no puedan encuadrarse dentro de los delitos tradicionales. En el caso de los delitos computacionales, es decir, figuras tradicionales informatizadas, no es correcto tratarlas como sinónimos de los delitos informáticos. Pero como muchos de estos delitos convencionales no se adaptan a las exigencias de la sociedad de la información, se debería haber actualizado y ampliado sus tipos en el Código Penal, por ejemplo, respecto del delito de daños cometido contra el hardware.
5.- Dentro de las múltiples clasificaciones aportadas por la doctrina, creo que las figuras más comúnmente aceptadas son:
a) el sabotaje informático, es decir, una acción típica, antijurídica y dolosa destinada a destruir o inutilizar el soporte lógico de un sistema computacional, empleando medios computacionales. Por ejemplo, introduciendo un virus informático;
b) el fraude informático o las manipulaciones no autorizadas de datos, que según Carlos Romeo Casabona, es la incorrecta utilización del resultado de un procesamiento automatizado de datos, mediante la alteración en cualquiera de las fases de su procesamiento o tratamiento informático, siempre que sea con ánimo de lucro y en perjuicio de tercero. Por ejemplo, al ingresar datos falsos, manipular programas computacionales con fines ilícitos, o al alterar los datos procesados que salen por los dispositivos periféricos;
c) el espionaje informático, que consiste en obtener no autorizadamente datos almacenados en un fichero automatizado, en virtud de lo cual se produce la violación de la reserva o secreto de información de un sistema de tratamiento automatizado de la misma. Por ejemplo, interceptando la información que circula en línea a través de las líneas telefónicas;
d) la piratería informática o copia ilegal de obras digitales, que consiste en la reproducción, plagio, distribución, comunicación, transformación, exportación o importación de software, sin autorización, con o sin ánimo de lucro. Por ejemplo, al grabar en el disco duro la copia de un programa sin contar con la licencia de uso respectiva;
e) el acceso no autorizado o hacking directo, que según los autores nacionales Marcelo Huerta y Claudio Líbano, consiste en acceder de manera indebida, sin autorización o contra derecho a un sistema de tratamiento de la información, con el fin de obtener una satisfacción de carácter intelectual por el desciframiento de los códigos de acceso o passwords, no causando daños inmediatos y tangibles en la víctima, o bien por la mera voluntad de curiosear o divertirse de su autor. Por ejemplo, rompiendo las medidas de seguridad se logra ingresar a la información contenida en un sistema del Gobierno o de alguna empresa.
En la Ley n°19.223, no se contemplan las figuras de hacking directo o la de fraude informático. Tampoco se refiere a la copia ilegal de programas, cuyo delito se encuentra tipificado en la Ley n°17.336, sobre Propiedad Intelectual, específicamente en dos artículos: el artículo 79 letra a) y el artículo 80 letra b). Es interesante mencionar que en el primer caso, se sanciona con presidio menor en grado mínimo (desde 61 a 540 días) y multa de 5 a 50 unidades tributarias mensuales, al que, sin estar expresamente facultado para ello, utilice obras de dominio ajeno protegidas por la ley de propiedad intelectual, inéditas o publicadas, en cualquiera de las formas o por cualquiera de los medios establecidos en el artículo 18 de dicho cuerpo legal. Es decir, sólo el titular del derecho de autor del programa o quien esté expresamente facultado (normalmente a través de una licencia de uso) podrá utilizar la obra. En los demás casos, se incurrirá en las sanciones mencionadas.
A mi juicio, por el tenor del artículo 79 letra a), la utilización (por ejemplo, publicando, reproduciendo, adaptando o ejecutando públicamente la obra) puede ser hecha a título oneroso o gratuito, sin necesidad de reportarle un provecho al infractor, ni tampoco que éste haya tenido ánimo de lucro o intención de perjudicar. Si a ello agregamos que no todas las formas de utilización que establece el artículo 18 deben publicitarse al público en general (únicamente en caso de publicar o ejecutar la obra), se sanciona como delito de copia no autorizada al que reproduce total o parcialmente un programa, aún para fines privados (salvo en los casos excepcionales en que la ley permite la copia sin autorización expresa del titular).
Dicho esto, a contrario sensu, la Ley n°19.223 contemplaría los delitos informáticos de sabotaje y espionaje informáticos, aunque no de una forma clara. Así pues, en el artículo 1, el inciso primero alude a los daños que se puedan cometer contra el hardware, sea destruyéndolo o inutilizándolo, por lo que no se trataría de un delito informático sino que de un delito de daños convencional. Es en el artículo 3° en donde encontraríamos la figura del sabotaje informático al sancionar al que maliciosamente altere, dañe o destruya los datos contenidos en un sistema.
Por su parte, el espionaje informático se tipificaría en el artículo 2 y 4. En este último caso, el tipo es demasiado amplio y no otorga contenido valórico a los datos afectados, dando, a mi parecer, un tratamiento inadecuado.
Como este trabajo ha sido preparado para una instancia no sólo nacional, no ahondaré en un análisis específico del artículado, por lo que me limito a transcribir el texto para finalizar.
Artículo 1. "El que maliciosamente destruya o inutilice un sistema de tratamiento de información o sus partes o componentes, o impida, obstaculice o modifique su funcionamiento, sufrirá la pena de presidio menor en su grado medio a máximo.
Si como consecuencia de estas conductas se afectaren los datos contenidos en el sistema, se aplicará la pena señalada en el inciso anterior, en su grado máximo".
Artículo 2. "El que con ánimo de apoderarse, usar o conocer indebidamente la información contenida en un sistema de tratamiento de la misma, lo intercepte, interfiera o acceda a él, será castigado con presidio menor en su grado mínimo a medio".
Artículo 3. "El que maliciosamente altere, dañe o destruya los datos contenidos en un sistema de tratamiento de información, será castigado con presidio menor en su grado medio".
Artículo 4. "El que maliciosamente revele o difunda los datos contenidos en un sistema de información sufrirá la pena de presidio menor en su grado medio. Si quien incurriere en estas conductas es el responsable del sistema de información, la pena se aumentará en un grado".
En síntesis, el tema de la criminalidad informática presenta una complejidad elevada, la necesidad de un estudio profundo y la creación de una regulación adecuada, que a mi juicio, lamentablemente no ocurrió con la Ley n°19.223, al extremo de existir algunos profesores partidarios de su derogación. Esperamos que los legisladores adviertan que el tema no fue bien manejado, para que futuras leyes sobre materias de Derecho Informático se redacten correctamente.