1. Introducción
Los alarmantes acontecimientos globales recientes demuestran que la ciberdelincuencia continúa evolucionando y adquiriendo dimensiones cada vez más preocupantes: En Francia, por ejemplo, los ataques contra supermercados han puesto de manifiesto la vulnerabilidad de las infraestructuras digitales. El descubrimiento de vulnerabilidades críticas en PHP evidencia los riesgos que enfrentan millones de páginas y servicios informáticos. A ello se suma el empleo creciente de inteligencia artificial para sofisticar los fraudes informáticos dirigidos contra bancos y sus clientes, así como la expansión de organizaciones criminales transnacionales que utilizan centros de estafas en línea (online scams) y recurren incluso a la trata de personas para obligar a sus víctimas a participar en actividades delictivas. Estos acontecimientos revelan que la ciberdelincuencia no solo se está diversificando, sino que también está adquiriendo mayores niveles de organización, sofisticación tecnológica y capacidad de afectación. Frente a este escenario, resulta indispensable fortalecer nuestro ordenamiento jurídico, no simplemente mediante la creación de nuevos delitos o el incremento de las penas, sino a través de una legislación penal coherente, técnicamente adecuada y capaz de responder a las nuevas manifestaciones de la criminalidad.
En este contexto, el jueves 22 de octubre de 2026 se publicó la Ley N.° 32743, mediante la cual se delegan facultades legislativas al Poder Ejecutivo en materia de seguridad ciudadana. Uno de los aspectos que despierta mi interés, tanto desde el ámbito académico como desde el ejercicio profesional, es el referido al fortalecimiento de la lucha contra la ciberdelincuencia. En ese sentido, comparto algunas reflexiones que pueden contribuir al debate y, por qué no, al fortalecimiento de las estrategias para enfrentar esta no tan nueva forma de criminalidad.
La delegación legislativa contempla la modificación de la Ley N.º 30096, Ley de Delitos Informáticos[1]. Esta habilitación constituye una oportunidad para revisar críticamente la legislación especializada, identificar sus deficiencias y plantear modificaciones que favorezcan una regulación coherente, sistemática y respetuosa de los principios fundamentales del derecho penal. En ese contexto, presento ocho propuestas para contribuir al debate sobre la eventual reforma.
2. Eliminar los elementos “deliberada” e “ilegítimamente”
La Ley de Delitos Informáticos original, publicada en octubre de 2013, siguió de cerca el modelo propuesto por el Convenio sobre la Ciberdelincuencia o Convenio de Budapest[2]. Pocos meses después, en marzo de 2014, mediante la Ley N.º 30171, se modificaron cinco tipos penales[3] para incluir en su construcción típica los elementos “deliberada” e “ilegítimamente”, bajo la idea de mejorar su redacción[4].
Considero que, hace doce años, se cometió un error de técnica legislativa: se creyó que, sin el término “deliberadamente”, podían sancionarse conductas culposas, cuando nuestro ordenamiento ya limita lo imprudente a los supuestos expresamente previstos. Incluir “deliberadamente” no sólo era innecesario, sino que restringe el ámbito de aplicación de los cinco delitos al introducir una exigencia adicional que no toda conducta dolosa cumple. De ahí que algunos autores, entre los que me incluyo, sostengamos que se excluyen conductas en las que el autor actuó con dolo eventual.
Por eso, esta eventual reforma es una oportunidad para suprimir ese término. Con ello superaremos una deficiente técnica legislativa que genera espacios de impunidad.
También convendría revisar y, eventualmente, eliminar la expresión “ilegítimamente” de los cinco delitos antes mencionados. ¿Por qué? Porque es redundante e innecesaria. No necesitamos que cada tipo penal nos recuerde que sólo se sanciona conductas antijurídicas[5]. Para eso está la parte general del derecho penal.
3. Fortalecer la protección de la Seguridad Informática
La delegación de facultades representa una oportunidad importante para reorganizar y sistematizar adecuadamente los delitos orientados a proteger la confidencialidad, integridad y disponibilidad de los datos y sistemas informáticos, la conocida tríada CIA –confidentiality, integrity, availability, por sus siglas en inglés-.
Sin embargo, a diferencia de la sistemática propuesta por el Convenio de Budapest, el legislador peruano ha distribuido los cinco tipos penales vinculados con la seguridad informática en tres capítulos distintos. Así, en “Delitos contra datos y sistemas informáticos” se ubican el acceso ilícito y los atentados contra la integridad de datos y de sistemas (arts. 2, 3 y 4); en el capítulo sobre intimidad y secreto de las comunicaciones aparece la interceptación de datos informáticos (art. 7); y en las disposiciones comunes se regula el abuso de mecanismos y dispositivos informáticos (art. 10).
Esta dispersión es una oportunidad de mejora: convendría reunir estos delitos en un solo capítulo y ajustar su denominación para que refleje con precisión el bien jurídico protegido. No se trata de proteger datos y sistemas de forma aislada, sino la relación de seguridad que las personas mantienen con ellos, es decir, la seguridad informática[6].
La reorganización propuesta permitiría identificar adecuadamente el bien jurídico en cada conducta -por ejemplo, la confidencialidad de los datos en la interceptación- e integrar el abuso de dispositivos en el mismo capítulo, acercando nuestra legislación a los estándares del Convenio de Budapest y de la Convención de las Naciones Unidas contra la Ciberdelincuencia. En definitiva, es una ocasión para fortalecer no solo la respuesta penal, sino también dotar de coherencia y sistematicidad a nuestra legislación criminal informática.
4. Modificar el delito de acceso ilícito (art. 2 LDI)
La regulación actual del delito de acceso ilícito permite sancionar penalmente conductas que, desde una perspectiva de política criminal, no justifican la intervención del derecho penal, en particular los accesos no autorizados sin vulneración de medidas de seguridad[7].
Por ejemplo, si una persona deja una computadora encendida, con sesión abierta y sin bloqueos, y un tercero accede a la información solo aprovechando esa circunstancia, actualmente se configura el delito de acceso ilícito. Esa situación merece revisión: Mantener esta regulación amplía la carga del Ministerio Público -el cual, de por sí, adolece de recursos económicos, humanos y logísticos-. Además, desconoce que los usuarios deben adoptar medidas mínimas de protección sobre sus sistemas informáticos.
Esta modificación no legitimaría el ingreso indebido de terceros, pero sí permitiría definir qué conductas ameritan intervención penal y cuáles pueden abordarse por vías civiles o administrativas. Por ello, la delegación de facultades es una oportunidad para mejorar los alcances de este delito, reservando la intervención penal para supuestos con una afectación más relevante.
5. Modificar el delito de atentado a la integridad de datos informáticos (art. 3 LDI)
A diferencia de otros tipos penales, el delito de atentado contra la integridad de datos informáticos se aproxima considerablemente a la regulación prevista en el Convenio de Budapest. No obstante, para respetar el principio de legalidad y evitar contradicciones o problemas de interpretación respecto de los verbos rectores, sería conveniente revisar su estructura.
La legislación peruana recoge siete verbos rectores en el art. 3: dañar, introducir, borrar, deteriorar, alterar, suprimir y hacer inaccesibles datos informáticos. En cambio, el art. 4 del Convenio de Budapest y el art. 9 de la Convención de las Naciones Unidas se refieren a cinco: dañar, borrar, deteriorar, alterar y suprimir datos informáticos.
| Convenio de Budapest | Convención de las Naciones Unidas contra la Ciberdelincuencia | Ley de Delitos Informáticos |
| Ataque a la integridad de los datos (art. 4) | Interferencia con datos electrónicos (art. 9) | Atentado a la integridad de datos informáticos (art. 3) |
| Dañar | Dañar | Dañar |
| Borrar | Borrar | Borrar |
| Deteriorar | Deteriorar | Deteriorar |
| Alterar | Alterar | Alterar |
| Suprimir | Suprimir | Suprimir |
| – | – | Introducir |
| – | – | Hacer inaccesible |
Convendría evaluar la eliminación de los verbos rectores “introducir” y “hacer inaccesibles”, aproximando el tipo penal peruano a la formulación original del Convenio de Budapest y de la Convención de las Naciones Unidas contra la Ciberdelincuencia.
Una descripción típica más precisa contribuiría a la seguridad jurídica y a una interpretación más uniforme.
6. Modificar el delito de atentado contra la integridad de sistemas informáticos (art. 4 LDI)
La delegación de facultades permite revisar la redacción del delito de atentado contra la integridad de sistemas informáticos y adecuarla a los estándares establecidos en el Convenio de Budapest y la Convención de las Naciones Unidas contra la Ciberdelincuencia.
A diferencia de otros tipos penales de nuestra legislación, cuya formulación mantiene cierta correspondencia con estos instrumentos internacionales, la regulación de este delito se aleja de ellos, dando lugar a una disposición compleja, oscura y de difícil interpretación.
En efecto, mientras que el Convenio de Budapest propone sancionar la obstaculización grave del funcionamiento de un sistema informático, mediante determinadas conductas realizadas sobre datos informáticos, nuestra legislación ha incorporado una multiplicidad de verbos rectores[8] que dificultan su comprensión y delimitación.
Además, la regulación peruana no reproduce adecuadamente los medios comisivos previstos en el Convenio de Budapest y en la Convención de las Naciones Unidas contra la Ciberdelincuencia, particularmente aquellos relacionados con la introducción, transmisión, daño, borrado, deterioro, alteración o supresión de datos informáticos que ocasionen una obstaculización grave en el funcionamiento de los sistemas. Por ello, esta reforma legislativa constituye una oportunidad para simplificar la estructura del tipo penal, precisar sus elementos constitutivos y adecuar su redacción a los instrumentos internacionales.
No debemos olvidar que, con las sucesivas modificaciones de la Ley de Delitos Informáticos, nos hemos alejado progresivamente de la formulación propuesta por el Convenio de Budapest, dando lugar a disposiciones cada vez más complejas y ambiguas. Recuperar esa coherencia normativa contribuiría a fortalecer el principio de legalidad, facilitar la interpretación judicial y mejorar la aplicación de nuestra legislación penal frente a los ataques contra los sistemas informáticos.
7. Revisar la proporcionalidad de las penas
Actualmente, el acceso ilícito con vulneración de medidas de seguridad, la interceptación de datos y los atentados contra la integridad de datos y sistemas informáticos contemplan penas privativas de libertad entre tres y seis años. Desde una perspectiva de política criminal, esto no parece adecuado, pues no todas las conductas afectan del mismo modo la seguridad informática.
El acceso ilícito compromete sobre todo la confidencialidad, mientras que los ataques contra datos y sistemas afectan la integridad y la disponibilidad, con consecuencias potencialmente más graves. Por ello, convendría diferenciar las penas de acuerdo con la naturaleza y la gravedad de la afectación, de modo que las conductas que afecten la integridad o la disponibilidad reciban una respuesta penal proporcionalmente más severa que aquellas que afecten exclusivamente la confidencialidad, sin perjuicio de evaluar las circunstancias de cada caso.
8. Modificar el delito de fraude informático (art. 8 LDI)
Tanto el Convenio de Budapest como la Convención de las Naciones Unidas contra la Ciberdelincuencia prevén sancionar el fraude informático mediante dos modalidades principales: manipulación de datos[9] e interferencia en sistemas informáticos. Ese esquema es suficiente para sancionar las conductas fraudulentas cometidas mediante las TIC.
Sin embargo, en diciembre de 2023 se incorporó como modalidad de fraude informático la suplantación de interfaces o páginas web, cambio que, en mi opinión, es innecesario y problemático desde la técnica legislativa. Esa figura no constituye una modalidad autónoma expresamente prevista en dichos instrumentos y puede solaparse, según el caso, con la suplantación de identidad del art. 9 o, incluso, con la estafa, lo que introduce complejidad normativa evitable.
Por ello, esta delegación de facultades también es una oportunidad para revisar el tipo penal y eliminar esa modalidad, recuperando una formulación coherente con los estándares internacionales.
9. Reubicación de tipos penales ajenos a la criminalidad informática (arts. 5-A, 8-A, 9-A y 12-A LDI)
La Ley de Delitos Informáticos nació como una oportunidad para adecuar nuestra legislación penal especializada en ciberdelincuencia a estándares internacionales. Sin embargo, con el paso del tiempo se han incorporado tipos penales que no corresponden a esta legislación especial.
Por ejemplo, el chantaje sexual con materiales elaborados o modificados por medios digitales o tecnológicos (art. 5-A), los préstamos informáticos extorsivos (art. 8-A), la activación de servicios móviles sin consentimiento del titular (art. 9-A) y la adquisición, posesión y tráfico ilícito de datos informáticos (art. 12-A). Estos tipos penales merecen una revisión en lo que a su ubicación sistemática se refiere.
Sostengo que una adecuada comprensión de la cibercriminalidad llevaría a su reubicación. Así, deberían ser trasladarlos al Código Penal, donde podrían encontrar mayor coherencia según el bien jurídico protegido.
La Ley de Delitos Informáticos debe ser mucho más que un conjunto heterogéneo de figuras delictivas cuyo único punto en común es el uso de tecnología. Esta ley especial debería reservarse para los delitos informáticos propiamente dichos, dejando en el Código Penal aquellos delitos tradicionales que solo utilizan tecnologías como medio de comisión -en la doctrina especializada, reciben el nombre de ciberataques réplica-. De ese modo, avanzaremos hacia una legislación más ordenada, coherente y sistemática, alineada con los estándares internacionales y con mayor claridad sobre los bienes jurídicos protegidos. En un país en el que la ciberdelincuencia avanza sin tregua, desde la academia podemos contribuir al fortalecimiento de nuestra legislación penal, promoviendo una regulación más coherente, sistemática y respetuosa de los principios fundamentales del derecho penal.
[1] Art. 2.- Materias de la delegación de facultades legislativas. (…) 2.1 En materia de seguridad ciudadana: 2.1.8 e) Modificar la Ley 30096, Ley de Delitos Informáticos, para: 1. Actualizar los tipos penales y agravantes frente a las nuevas modalidades de ciberdelincuencia. 2. Fortalecer la respuesta penal frente al acceso ilícito a sistemas y datos, fraude informático, suplantación de identidad y utilización de tecnologías digitales como instrumentos para la comisión de los delitos.
[2] Es importante recordar que, mediante Decreto Supremo N.° 010-2019-RE del 9 de marzo, Perú ratificó el referido Convenio.
[3] La inclusion de los elementos bajo análisis impactaron en los delitos previstos en los arts. 2, 3, 4, 7, 8 y 10 de la Ley: Acceso ilícito, atentado contra datos informáticos, atentado contra sistemas informáticos, interceptación ilícita, fraude informático y abuso de mecanismos y dispositivos informáticos.
[4] Al respecto, ver: Proyecto de Ley N.° 2991/2013, 2999/2013
[5] Para mayor comprensión, recomiendo revisar el parágrafo 38 del Informe Explicativo del Convenio de Budapest.
[6] Sobre este bien jurídico, puede revisarse el capítulo cuarto del libro “Delitos contra la seguridad informática”, publicado en el 2025 por el Instituto Pacífico.
[7] Recordemos que, desde su incorporación en el 2000 hasta la modificación de diciembre del 2023, el intrusismo informático o hacking únicamente sancionaba los ingresos ilícitos realizados mediante la vulneración de medidas de seguridad.
[8] A diferencia de Budapest que recoge el verbo obstaculizar, el legislador peruano optó por los siguiente: inutilizar, impedir el acceso, entorpecer e imposibilitar.
[9] El Convenio de Budapest, específicamente, sanciona la introducción, alteración, borrado o supresión de datos informáticos.
