Domingo Monforte Abogados Asociados
Área de Derecho Penal de DOMINGO MONFORTE Abogados Asociados
Colaboración: Nerea Martínez Andreu. Programa formativo ‘Festina lente’
La Sentencia del Tribunal Supremo, Sala de lo Penal, n.º 849/2025, de 16 de octubre, oscila entre las conductas límites que son suficientes para considerar cometida una transgresión penal en la intimidad y datos personales de un tercero y, con ello, introduce importantes precisiones sobre el alcance del delito de descubrimiento de secretos del artículo 197.2 del Código Penal.
El caso analizado y resuelto por la Sala penal versa sobre dos compañeros de trabajo, por un lado, la denunciante quien había comenzado a utilizar de forma habitual y exclusiva uno de los ordenadores recientemente instalados por su empresa, con conocimiento del resto de trabajadores. La trabajadora configuró el equipo con una clave personal y le dio un uso mixto, tanto profesional como privado, almacenando en él información reservada y datos sensibles de su vida personal, bajo la convicción de que no era accesible a terceros.
Según los hechos objeto de acusación, el acusado accedió sin autorización al contenido de dicho ordenador con el propósito de descubrir información privada y obtener datos personales que pudieran perjudicarla. Un día, aprovechando que la denunciante no se encontraba en el centro de trabajo, el acusado accedió al despacho donde se hallaba el ordenador y, utilizando la clave de su compañera que había obtenido meses antes mediante un pendrive que introdujo en el equipo informático, logró acceder a la totalidad de su contenido. Una vez dentro del equipo usuario, modificó la clave de acceso y accedió a carpetas identificadas con archivos privados y personales de la denunciante, carpetas con nombres asignados tales como “Precio, alquiler”, “Servicio de Catering”, “Piso CC/Contrato”.
En primera instancia, la Audiencia Provincial de Cáceres condenó al acusado como autor de un delito de descubrimiento de secretos, con condena al pago de responsabilidad civil y costas procesales. Ante dicho pronunciamiento, se interpuso por el acusado recurso de apelación ante la Sala de lo Civil y Penal del Tribunal Superior de Justicia de Extremadura, la cual revoca la resolución impugnada y absuelve al apelante del delito de descubrimiento de secretos.
El artículo 197.2 del Código Penal denominado como de “descubrimiento y revelación de secretos” preceptúa entre sus modalidades típicas el apoderamiento, utilización, modificación o acceso no autorizado a datos reservados de carácter personal o familiar que se hallen registrados en ficheros o soportes informáticos, electrónicos, telemáticos o cualquier archivo o registro público o privado.
Así pues, la conducta típica podrá consistir en el acceso no autorizado a un fichero o soporte informático como lo es el ordenador protegido con clave de usuario por ser utilizado por uno de los trabajadores del centro laboral en el que existan datos personales de éste.
El TSJ argumenta su fallo absolutorio en que el tipo penal exigido por el art. 197.2 CP no se produce por el simple acceso no autorizado a un ordenador, sino cuando se accede a los datos que contiene ese ordenador, conducta que entiende que no ha quedado probada.
Este tribunal considera que conocer únicamente la nomenclatura o título que la denunciante le había dado a esas carpetas no es suficiente para determinar que en su interior hubiera algún contenido personal reservado, al no especificarse nada sobre si estaban vacías o integradas por algún documento, o en caso de haberlos, si se traba de asuntos privados o de uso laboral. Por tanto, entiende que el uso de la contraseña para acceder a un ordenador no es suficiente para colmar la tipicidad del delito de descubrimiento y revelación de secretos, no habiéndose podido comprobar invadido el ámbito personal reservado, ni la libertad informática afectada ni tampoco el perjuicio causado a la denunciante. Se interpone recurso de casación ante este pronunciamiento.
El perjuicio al titular o tercero es un elemento típico del delito, tesis en la que el TSJ parece fundamentar su pronunciamiento absolutorio, pues entiende que sin acreditarse el acceso a los documentos personales archivados no puede acreditarse el perjuicio, no siendo bastante para causar éste el mero acceso al fichero sin que se haya invadido el ámbito personal reservado.
La Sala del Tribunal Supremo, sin embargo, entiende que, aun admitiendo esta tesis del TSJ de que solo ha quedado probado el acceso a las carpetas, sin saber cuál es su contenido, tal conducta ya es perfectamente integrable en el tipo del artículo 197.2 CP, siendo este acceso típico en sí mismo, ya que consta acreditado que la trabajadora utilizaba diariamente el ordenador para elaborar sus particulares e individuales modelos de plantillas de los usuarios de la residencia, como de ordenador propio con clave personal pues existía contenido reservado y datos sensibles de su vida privada, así como su correo electrónico personal. Dicha tesis solo parece prosperar para los supuestos en los que el ordenador esté completamente vacío de dicha información, circunstancia que no se ha acreditado en el caso enjuiciado.
A los efectos de analizar la tipicidad de los hechos y la condena por medio del mero acceso al dispositivo mediante las claves personales que protegen el acceso a tercero y que han sido obtenidas ilícitamente, conviene preliminarmente atender al concepto de dato reservado, que de conformidad con la STS 538/2021, de 17 de junio de 2021, no equivale a dato secreto. En tal sentido, la STS 634/2019, de 19 de diciembre, ya interpretó que todos los datos personales automatizados son sensibles en cuanto la ley no distingue en su protección. Por ende, todos los datos personales automatizados quedan protegidos penalmente, sin importar la trascendencia e importancia objetiva de los datos personales.
En el supuesto analizado por la Sentencia objeto de estudio, la Sala penal del Tribunal Supremo critica el pronunciamiento alcanzado por el tribunal de apelación partiendo de la base de que un identificador en línea constituye un dato personal susceptible de protección, de conformidad con la STS 15/2023, de 19 de enero, que entiende: “De hecho, esa numeración capaz de proporcionar una respuesta habilitante para el acceso a un servicio automatizado sustituye la identificación física por una identificación virtual, asociada a esa clave de titularidad exclusiva”.
Por consiguiente, la obtención fraudulenta de la clave del ordenador ya constituye en sí mismo el supuesto típico del artículo 197.2 del Código Penal considerada como la puerta de acceso a un ordenador personal y todo su contenido, que incluye información reservada.
La discrepancia del Alto Tribunal en dicho elemento típico se apoya en la consideración de la clave de acceso como un dato reservado de pleno derecho, no siendo un mero elemento informático, sino una herramienta identificadora del titular del dispositivo al que se accede, permitiendo la entrada a toda su información personal.
Así pues, la resolución entiende no necesaria una descripción detallada del contenido accedido una vez acreditado el hecho de que el autor no se limitó únicamente a obtener la clave personal, privada y secreta, sino que accedió a distintas carpetas y contenido, cumpliéndose así el perjuicio exigido por el precepto.
La sutil frontera entre la tipicidad y atipicidad de los hechos se comprende del pronunciamiento de otras resoluciones del Alto Tribunal, véase la Sentencia del Tribunal Supremo, Sala de lo Penal, n.º 43/2022, de 20 de enero, en el que se enjuicia el acceso y consulta de un funcionario del Cuerpo Nacional de Policía en bases de datos policiales que no había sido autorizado. El Alto Tribunal determinó que el simple descubrimiento de datos personales no es suficiente para la consumación del delito, que exige un perjuicio añadido al titular de los datos o un tercero. Por ello, al tratarse de datos reservados, que no sensibles, como pudieran ser la ideología, salud, vida sexual, religión, etc., ha de probarse la existencia de un perjuicio que el caso ahí enjuiciado no pudo acreditarse.
Atendiendo a criterios integradores, la Sala casacional ha admitido que el perjuicio es exigible en los supuestos de simple acceso (SSTS 1328/2009, de 30 de diciembre y 40/2016, de 3 de febrero), aunque los datos accedidos no sean esencialmente sensibles, pero que, como en el caso enjuiciado, supongan un acceso indiscriminado a la totalidad del contenido de un ordenador de uso personal con la intención de perjudicar – aunque se encuentre en el centro de trabajo – y que incluye información personal amplia y variada.
En conclusión, el acceso indiscriminado y no autorizado a datos reservados almacenados en un soporte informático con intención de obtener dichos datos y perjudicar el derecho a la intimidad de la titular de los datos, logrado ante un acto ilícito previo como es la obtención fraudulenta de la clave de acceso personal al dispositivo, constituye un supuesto de los encuadrados en el delito de descubrimiento de secretos tipificado en el artículo 197.2 del Código Penal.
