El pasado 24 de noviembre, Sony Pictures sufría un importantísimo ataque informático. Unos días más tarde, aparecía en la red un archivo repleto de documentos confidenciales pertenecientes a la compañía. Se propagó muy rápido a través de páginas y redes P2P: en cuestión de horas lo tenían miles de personas. Con la base de datos de Ashley Madison ocurrió lo mismo: apareció en la deep web, dio el salto a The Pirate Bay y de ahí se convirtió en información accesible para cualquiera que quiera verlo.
En Internet, y una vez se publica la información filtrada en una red P2P o en otra página, cualquiera con unos mínimos conocimientos puede acceder a ella y descargarla sin mayores problemas. Pero ¿qué dice la ley? Si tú no eres el responsable del ataque, ¿puedes descargar todos estos datos confidenciales sin miedo? Y una vez en tu poder, ¿qué puedes hacer con ellos sin meterte en problemas? A continuación repasamos qué dice la legislación vigente en España sobre todo este asunto.
Lo que dice el Código Penal
Partimos del Código Penal, que en su Artículo 197 del Código Penal sobre la Revelación de secretos nos da más información sobre las penas que puede acarrear el hacerse con información de otras personas. En los dos primeros puntos hablan de lo que ocurre cuando alguien se apodera de información ajena y en el tercero se contempla lo que pasa si alguien, que no ha participado en el ataque, difunda dicha información obtenida en él:
Artículo 197: 1. El que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales, intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses.
2. Las mismas penas se impondrán al que, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado. Iguales penas se impondrán a quien, sin estar autorizado, acceda por cualquier medio a los mismos y a quien los altere o utilice en perjuicio del titular de los datos o de un tercero.
3. Se impondrá la pena de prisión de dos a cinco años si se difunden, revelan o ceden a terceros los datos o hechos descubiertos o las imágenes captadas a que se refieren los números anteriores.
Será castigado con las penas de prisión de uno a tres años y multa de doce a veinticuatro meses, el que, con conocimiento de su origen ilícito y sin haber tomado parte en su descubrimiento, realizare la conducta descrita en el párrafo anterior.
Si seguimos leyendo, en el artículo 4 y posteriores especifican como las penas son mayores si el delito lo comete una persona que esté encargada de los ficheros, si se consiguen utilizando datos personales (como contraseñas) de una víctima, si se divulgan datos de carácter personal (por ejemplo, religión o vida sexual) o si el ataque se realiza con fines lucrativos.
Entonces, ¿puedo descargar sin miedo?
Hemos hablado con Sergio Carrasco (@sergiocm, de Derecho en Red) y David Maeztu (@davizmaeztu, de Derecho y Normas), abogados especializados en nuevas tecnologías, para que nos ayuden a interpretar a lo que se refiere exactamente el Código Penal. Hay algo que ambos me señalan al principio: la redacción es demasiado amplia e interpretable, por lo que no podemos esperar una respuesta definitiva y segura al 100% a todas las preguntas que esta situación puede generar.
La legislación actual no especifica ni concreta demasiado bien al respecto, es bastante interpretable
¿Puedes descargar sin miedo archivos procedentes de filtraciones, como los de Sony o los de Ashley Madison? "Si tu accedes a una web, habiendo sido ya divulgados, no se entendería cometido el delito. Además porque tampoco puedes saber la realidad o no de esos datos", nos explica David, que además nos precisa lo siguiente: "Realmente la redacción es tan amplia que podría considerarse casi cualquier cosa, pero en aplicación de principios como el de última ratio del derecho penal, por ejemplo, considero que la intención del tipo penal (la descripción de los hechos del delito) es la de perseguir a quienes se apoderan en un primer momento de los datos o quienes realizan la posterior divulgación".
En esta interpretación coincide Sergio: "Es un tema complejo, pero en mi opinión no debe aplicarse este precepto a la ligera. El art. 197.2 solo contempla la comisión dolosa y en perjuicio del titular. Es cierto que la redacción es excesivamente amplia, lo cual puede llevar a equívocos respecto a su alcance, y también es cierto que no requiere que se produzca efectivamente la causación de perjuicio de otro, pero al no admitir la incriminación imprudente y que en los "accesos eventuales" llevados a cabo por el mero pulsar un enlace dudo que haya una intención de llevar a cabo el acceso para causar el perjuicio (lo que impediría el cumplimiento de los requisitos del tipo subjetivo) no debería aplicarse".
¿Y compartir la información?
Vale, ya has descargado la información, pero ¿puedes compartirla? Aquí ya nos entran las dudas debido a lo que dice la segunda parte del artículo 197.3 (señalada en negrita anteriormente), donde se hace mención específicamente a aquellos que "con conocimiento de su origen ilícito y sin haber tomado parte en su descubrimiento" revelen o cedan a terceros los datos descubiertos. Parece que sí podría considerarse delito el compartir esta información. Y ojo, porque no hablamos sólo de enlazar, sino que "difusión" también podría ser un simple retweet.
Así también lo interpreta Sergio Carrasco: "El tema de la difusión es muy distinto. El núcleo esencial del delito es la difusión, con lo cual sí podrían cumplirse los requisitos del tipo (información reservada puesta a disposición de terceros, y hecho con conocimiento y voluntad de difundir, revelar o ceder los datos) si retuiteo un enlace a los mismos (en condición de autor por la difusión realizada a partir de este retuit). El 197.3 tiene de nuevo una redacción excesivamente amplia, y al hablar de difusión permitiría que entraran en el tipo objetivo muchos supuestos que, a mi juicio, no deberían ser merecedores de reproche penal en base al principio de ultima ratio del Derecho Penal".
El apartado dedicado a la difusión, 197.3, tampoco es del todo preciso
David nos explica que dicho artículo parece ir enfocado a penalizar la difusión, pero también nos matiza que "habiendo habido una divulgación ya pública puede ampararse". En cualquier caso, y según resalta el abogado, "son redacciones y circunstancias que pueden dar lugar a interpretaciones. No nos movemos en ámbitos de blanco o negro, es un poco complejo". Por tanto, no está demasiado claro lo que puede ocurrir si se da esta situación.
Estos artículos fueron modificados con la reforma del Código Penal de este año y, precisamente por su amplia redacción, han sido muy criticados por algunos colectivos. Además, en algunos casos las filtraciones pueden llegar a ser consideradas "terrorismo", gracias a la nueva definición de dicho término. ¿Qué puedes hacer entonces? Por desgracia, y por lo que hemos explicado, no podemos responder con garantías a esta pregunta. Parece que descargar estos archivos no debería suponer un problema (siempre que ya sean públicos y no seas tú el atacante), pero el divulgarlos te podría dar un disgusto. Tú decides.
Imagen | Ashley Madison
Ver 12 comentarios