Perú. El Poder Ejecutivo oficializó el 24 de enero el Decreto Legislativo N.º 1700, mediante el cual se modifica la Ley N.º 30096, conocida como Ley de Delitos Informáticos. La norma incorpora un nuevo delito que castiga la posesión, compra, recepción, venta, intercambio o cualquier forma de comercialización ilícita de datos informáticos obtenidos sin el consentimiento de su titular.
El Poder Ejecutivo oficializó el Decreto Legislativo N.º 1700 para modificar la Ley de Delitos Informáticos, estableciendo sanciones específicas contra el tráfico de datos obtenidos sin consentimiento. Esta normativa busca desarticular la cadena de comercialización de información sensible, penalizando desde la posesión hasta la venta de bases de datos y credenciales de acceso. Las penas principales oscilan entre cinco y ocho años de cárcel, pudiendo alcanzar los diez años ante agravantes como el perjuicio patrimonial grave o el uso de bases de datos estatales. Asimismo, la ley incorpora un criterio de diligencia reforzada que exige a los usuarios verificar la licitud de la procedencia de la información que gestionan.
- La nueva norma castiga la posesión, compra y venta de datos informáticos obtenidos ilegalmente con penas de hasta 8 años de prisión.
- Las sanciones se incrementan a 10 años cuando el delito involucra a organizaciones criminales o afecta a entidades del Estado.
- La legislación protege específicamente las credenciales de acceso, bases de datos personales y cualquier información que identifique a una persona natural.
- Se introduce la responsabilidad por falta de diligencia, sancionando a quienes debieron presumir el origen ilícito de la información comercializada.
- Existen excepciones legales para el tratamiento de datos bajo mandato judicial, autorización del titular o ejercicio legítimo de funciones legales.
La actualización legal no solo apunta a quienes vulneran sistemas de seguridad, sino también a las personas que participan en la cadena de adquisición y venta de información obtenida de manera ilegal. Esta medida responde al incremento de filtraciones masivas de datos y al uso de información personal para delitos como la extorsión, el fraude y la suplantación de identidad.
Alcance del nuevo delito y tipos de datos protegidos
El decreto establece que serán sancionadas las conductas vinculadas al tráfico de datos informáticos extraídos mediante ataques a sistemas de seguridad o a través de otros delitos informáticos. De esta manera, se amplía la protección que ya contemplaba la legislación vigente.
El abogado especialista en derecho digital Oscar Montezuma explicó que la modificación resulta clave porque ahora la norma abarca toda la cadena de comercialización de datos personales. Según indicó, el objetivo es cerrar las brechas que actualmente facilitan el uso indebido de información sensible.
El nuevo tipo penal contempla tres categorías específicas: datos informáticos en general, credenciales de acceso —como contraseñas, pines u otros códigos— y bases de datos personales. Montezuma precisó que la norma se remite a la Ley de Protección de Datos Personales, la cual considera dato personal a toda información que identifica o puede hacer identificable a una persona natural. En ese sentido, aclaró que “esto incluye datos evidentes, como el DNI o el correo electrónico, así como información que, combinada con otros elementos, permita identificar a un individuo”.
Asimismo, el especialista subrayó que “la ley no exige que el dato identifique de manera directa; basta con que exista un potencial de identificación”.
Penas y agravantes previstas en la norma
La modificación legal fija penas de entre cinco y ocho años de prisión para quienes incurran en este delito, además de multas que van de 180 a 365 días-multa. Montezuma explicó que, en el sistema peruano, el juez determina tanto la cantidad de días-multa como el valor diario de estos, tomando como referencia los ingresos del infractor y su capacidad económica.
Las sanciones pueden agravarse hasta los 10 años de pena privativa de la libertad e inhabilitación cuando el delito se comete en el marco de una organización criminal, cuando genera un perjuicio patrimonial grave, afecta a un número elevado de personas o involucra bases de datos pertenecientes a entidades públicas.
La norma también establece excepciones a la responsabilidad penal. No se sancionará la adquisición o el tratamiento de datos cuando exista autorización del titular, un mandato judicial o administrativo, o cuando se actúe en el ejercicio legítimo de funciones legales, siempre que no haya una finalidad ilícita ni comercialización indebida.
Finalmente, el decreto incorpora un criterio de diligencia reforzada, ya que no solo se castiga a quien actúa con pleno conocimiento del origen ilegal de los datos, sino también a quien debió presumirlo. En palabras del especialista, “no se puede asumir por defecto que la información recibida está autorizada; existe un deber de diligencia”.
