Transcription
[Música]
Muy buenos días. Un saludo especial por parte del Dr. Jorge Enrique Vallejo Jaramillo, presidente del Consejo Superior de la Judicatura, de los demás magistrados y magistradas que integran la corporación y de la doctora Gloria Andrea Maecha Sánchez, directora de la Escuela Judicial Rodrigo Lara Bonilla.
Les damos la bienvenida a esta conferencia virtual denominada "Algunos aspectos problemáticos sobre los delitos informáticos". La revolución tecnológica ha transformado radicalmente nuestra relación con el delito, la prueba y el derecho penal. En un escenario cada vez más digitalizado, la criminalidad ha encontrado en el ciberespacio no solo un nuevo terreno de operación, sino también una infraestructura compleja y global, donde el anonimato, la velocidad y la transnacionalidad generan desafíos inéditos para la administración de justicia.
Esta conferencia aborda los principales problemas jurídicos, dogmáticos y probatorios que plantean los delitos informáticos en Colombia con especial atención a las siguientes dimensiones.
Primero, la transformación del bien jurídico. El surgimiento del título séptimo bis en el Código Penal ha consagrado como bien jurídico autónomo la confidencialidad, integridad y disponibilidad de los sistemas y datos informáticos, ampliando los esquemas tradicionales de protección penal.
Segundo, estructura y dinámica de los ciberdelitos. Se estudian figuras como el acceso abusivo a un sistema informático, artículo 269a, el daño informático, artículo 269D, el uso de software malicioso, artículo 269e, y la suplantación de sitios web, artículo 269g, distinguiendo entre ciberdelitos puros y ciberdelitos conexos sobre el objeto material y el bien jurídico protegido.
Tercero, evidencia digital y prueba electrónica. El debate probatorio incluye aspectos como la autenticidad de las capturas de pantalla y la diferencia con la prueba electrónica, la cadena de custodia, la valoración de metadatos y la tensión entre la volatilidad de la evidencia digital y el estándar de conocimiento penal.
Cuarto, nuevas modalidades delictivas y desafíos normativos. Se abordan figuras emergentes como los deep fakes, la sextorsión, online grooming, los ataques a infraestructuras críticas, el ransomware as a service y la proliferación de herramientas de inteligencia artificial para el delito.
Quinto, perspectiva internacional y cooperación jurídica. Se examina el impacto del convenio de Budapest, las reservas adoptadas por Colombia y los retos para la cooperación judicial internacional marcada por demoras de hasta 12 meses en el acceso transfronterizo a la evidencia digital.
Esta conferencia no solo expone las figuras típicas, sino que invita a una reflexión crítica sobre el marco jurídico, la prueba y su custodia, las respuestas institucionales y la necesidad de desarrollar competencias técnicas en los operadores judiciales para afrontar con eficacia el fenómeno de la ciberdelincuencia contemporánea.
Para esta actividad académica tenemos el gusto de contar con el Dr. Andrés Felipe Arango, doctor en derecho procesal contemporáneo por la Universidad de Medellín. Además, cuenta con una maestría en derecho procesal y se ha especializado en derecho procesal penal, derecho penal y criminología, así como en derecho penal y criminalística. Ha desarrollado una amplia carrera académica que lo convierte en un referente en el estudio y aplicación de estas disciplinas.
En cuanto a su trayectoria profesional, se desempeñó en la defensoría pública desde 2014 hasta 2023. Durante este periodo ocupó diversos cargos de gran relevancia, comenzando como defensor público adscrito a la Oficina Especial de Apoyo, luego como defensor destacado ante los tribunales y posteriormente como coordinador académico de la Defensoría Pública, donde se destacó en la orientación y formación de defensores públicos a nivel nacional.
Actualmente el Dr. Andrés Felipe Arango ejerce como juez segundo penal del circuito de Envigard. Además de su labor en el ámbito judicial, el Dr. Arango es un apasionado de la enseñanza. Es docente universitario a nivel de pregrado y posgrado en diversas instituciones educativas, tanto a nivel nacional como internacional, donde ha influido en la formación de innumerables estudiantes y profesionales del derecho.
Doctor Arango, bienvenido, es un gusto tenerlo con nosotros. Tiene el uso de la palabra.
Bueno, antes que nada, muchísimas gracias por esta invitación. Un especial saludo al Consejo Superior de la Judicatura, a la Escuela Judicial Rodrigo Lara Bonilla y a todos los servidores y servidoras judiciales y demás personas que se han conectado a esta capacitación virtual.
Debo advertir que para mí es un inmenso honor haber sido convocado pues a esta conferencia y compartir con ustedes algunas reflexiones sobre estas problemáticas que, como se ha indicado en la parte introductoria de esta charla, pues han generado realmente a partir de esa revolución tecnológica una transformación radical de nuestra forma de concebir el delito, los bienes jurídicos, la estructura dogmática, el manejo de la evidencia, entre otras muchas dificultades.
En este momento estoy compartiendo con ustedes una pequeña presentación donde pues intento que de alguna manera estos temas sean un poco más comprensibles y que espero pues les resulte de bastante utilidad para efectos de la dinámica que vamos a abordar.
Bien, lo primero que tenemos que destacar es que a partir precisamente de estas revoluciones tecnológicas e inclusive desde los años 80 se empezó a plantear la nueva relación que existiría en el delito o de los particulares frente al delito del Estado, frente a la persecución y las diferentes circunstancias que se podrían presentar en el marco de la lucha en contra de la criminalidad. Y se han generado entonces una serie de dificultades que nos llevan a preguntarnos precisamente cómo será nuestra relación con todas estas nuevas formas de delincuencia.
Uno de los principales problemas que abordamos los servidores cuando nos enfrentamos a este tipo de actividades delincuenciales es el manejo mismo de la terminología a la cual nos tenemos que enfrentar, porque en muchas oportunidades pues ni siquiera se llega a familiarizar el servidor, el fiscal o las partes intervinientes dentro del proceso penal con lo que tiene que ver con este tipo de comportamientos. Empecemos por algunos aspectos básicos que van a ser de relevancia para las explicaciones que vamos a abordar.
Digamos entonces que un sistema informático es un conjunto de dispositivos que se interconectan y que permiten el tratamiento automatizado de los datos. Pueden incluir el hardware, el software, el RS y las bases de datos que van a permitir entonces dicha integración. Recientemente la Corte Suprema de Justicia en la decisión 248 del año 2025 dentro del radicado 58,275 estableció que precisamente un sistema informático se componía tanto del hardware, que es el componente electrónico, el software encargado de recibir, guardar, procesar los datos y otra digital referida, la información, los datos, los metadatos, los mensajes que se presentan frente a los intervinientes.
Cuando hablamos de un dato informático, estamos hablando de la representación codificada de la información o conceptos que es susceptible de ser procesada electrónicamente, incluyendo los procesos, los textos, las imágenes, los sonidos y la demás información. Por supuesto, cuando hablamos entonces de ese tratamiento de datos, resultan relevantes los conceptos de confidencialidad de la información, su integridad y la disponibilidad que nos lleva a considerar entonces que podemos acceder al contenido de la información, tratarla, manejarla, custodiarla, rectificarla y permitir el contacto con terceros.
Una figura clásica de los delitos informáticos será el denominado Insider, que es la persona que tiene acceso legítimo a un sistema informático y está en la posición de acceder a los permisos que le han sido otorgados por parte de los titulares, bien sea para el tratamiento, almacenamiento, custodia o inclusive para para eventualmente incurrir en conductas de naturaleza delictivas. Generalmente escuchamos también la expresión cracker como la persona que accede sin autorización a los sistemas informáticos con el fin de obtener beneficios ilícitos o causar daño a terceros, a diferencia de lo que se ha considerado como el hacker ético, que actúa con el consentimiento de la organización o del titular del dato y que lo utiliza para efectos de generar un beneficio frente a los asociados.
Hablamos de software malicioso o también conocido como el malware, que es el programa diseñado para enfrentarse, infiltrarse y dañar un sistema sin el consentimiento del usuario, como lo generalmente encontramos como los Rensware, Spyware, los troyanos, los gusanos, los Rodbig, los backdors, que son toda una serie de programas o de componentes que van a generar eh acceso a la información y que de alguna manera la destruye o le genera un tratamiento inadecuado. También hablamos de los snipers, que son las herramientas que interceptan y analizan los paquetes de datos y que van a circular en una red para usarse con fines ilegítimos para la auditoría o eh la auditoría de los datos, tratamiento de los datos, infiltración de los datos e igualmente para fines de naturaleza delictiva.
A propósito de reciente legislación, los denominados defes, que son los contenidos audiovisuales falsos que se generan por tecnologías de la información y que se utilizan desde el plano de lo ilícito para generar inducción en error en las comunidades. El denominado fishing, que es la técnica de engaño mediante el cual el ciberdelincuente suplanta una entidad de confianza para obtener datos personales. Nuestra sociedad está aquejada de este tipo de comportamientos en donde día a día inclusive las entidades bancarias nos llaman a que seamos cautelosos en el manejo de este tipo de información. La suplantación digital, que es una conducta que consiste en hacerse pasar por otra persona en el entorno digital con fines fraudulentos, que es a propósito de la reciente legislación sobre los defens, manipulación informática, evidencia digital, ramshware, que implican conceptos que van a ser utilizados a lo largo de esta conferencia para efectos de entender de qué se tratan este tipo de delitos de naturaleza informal.
Bien, dentro de este marco normativo, dentro de este contexto normativo, pues recordemos entonces que precisamente con la revolución tecnológica, a partir de los años 90 se empieza a plantear la nueva discusión en punto a lo que será la delincuencia. Nuestras sociedades entendían en el delincuente inicialmente una persona impulsiva o que por objeto de la pasión realizaba un comportamiento en contra de la norma o en contra de la sociedad y que generalmente se trataba del delincuente torpe, del delincuente que dejaba huellas, de la persona que no cubría bien sus comportamientos.
La aparición de las tecnologías de la información y hoy nuestro mundo más que globalizado nos enseña que existen nuevas formas de delincuencia y que lo que antes sucedía en entornos de naturaleza real, del contacto personal, pues hoy ha sido desplazado por las tecnologías de la información. Solo pensemos en la medida en la que nos estamos o en la forma en la que nos estamos comunicando el día de hoy. Hace algunos años, no más de 10, 15 años, este tipo de eventos necesariamente eran presenciales o difícilmente los podíamos concebir a través de las redes de la información. Hoy toda nuestra interacción social o gran parte de nuestra interacción social se desarrolla a través de las redes de información. Ya no escribimos cartas, ya no mandamos fax, ya no tenemos viper. Toda nuestra interacción se da a través de la tecnología de la información y por esa misma razón la delincuencia ha entendido que en las redes de información existe el perfecto escenario y el perfecto montaje para el desarrollo de la conducta delincuencial. Todas nuestras actividades, insisto, hoy se desarrollan a través de las redes de la información. El proceso en sí mismo se desarrolla hoy mayoritariamente a través de las redes de información.
En el año 1998, Caparros escribía su texto sobre el lavado de capitales, sobre el blanqueo de las capitales y citando a Link Smith de 1941 ponía de presente que efectivamente la delincuencia organizada se caracterizaba por la división y profesionalización del trabajo, por la vocación de permanencia de las organizaciones delincuenciales, por la internacionalización de esas actividades, por la conexidad y conexiones que se desarrollan entre esas redes, por la actuación con los fines y en los confines de la legalidad, por la incorporación en la industria del crimen y, por supuesto, por la implementación de las tecnologías de la información que contribuye a la expansión local e internacional de la actividad criminal y desplazamiento al cibercrimen.
Ese precisamente es el reto en el que nos encontramos las autoridades. Las autoridades debemos actuar, por supuesto, dentro del plano de la institucionalidad y de la legalidad, pero el delincuente actúa por fuera del marco de la legalidad y utiliza inclusive las plataformas que comúnmente conocemos como legales y legítimas para el desarrollo de las actividades delincuenciales. El delincuente ya no actúa como una estructura aislada o inclusive torpe, sino que se tecnifica, se profesionaliza, incurre en el comportamiento delictivo a través de las redes que generalmente utilizamos como legítimas y se incorpora en el desarrollo de los comportamientos que normalmente el conglomerado social ve como legítimos para el desarrollo de las actividades delincuenciales. Precisamente cuando Caparros en 1998 escribe su texto, quizás jamás se pudo imaginar lo que estaría sucediendo el día de hoy. Hoy, a través de las redes de información y el uso de las tecnologías, la delincuencia se profesionaliza y llega entonces a planos en donde difícilmente podemos enfrentarla si no tecnificamos nuestros comportamientos.
Las tecnologías de la criminalidad contemporánea incluyen entonces que se demuestra que a través del desarrollo de este tipo de comportamientos se prioriza en la Unión Europea, en Estados Unidos, en las naciones del eje central de Latinoamérica y por supuesto de Suramérica, el expansionismo de la cultura delincuencial a través de las redes de la información. Se utiliza entonces tecnología de alto impacto con el objetivo de captar los datos del público, manipular los datos y utilizar esa información para efectos de lograr el desarrollo de las actividades delincuenciales. La Unión Europea, la ciberdelincuencia es una de las propiedades en la lucha contra la delincuencia grave y organizada. Se puede observar en el programa Impact, programa 2022 a 2025, que establece entonces como de manera creciente en países estados miembros de la Unión Europea, la mayoría de los cuales encuentran que su infraestructura de internet se encuentra desarrolladas con sistemas de pago en línea, pero a partir de allí se observa cómo se desarrollan actividades delincuenciales que cada vez aumentan en número y frecuencia frente a la filtración de los datos y nuevas conductas delictivas como fraude y extorsión a través de las redes de la información.
Igualmente se observan entonces aparición de nuevas formas de criminalidad con el uso de los denominados botnets, que son redes de dispositivos infectados con malware o programas maliciosas sin el conocimiento de sus océanos para transmitir virus para transmitir virus que obtienen control remoto y ilícito de los dispositivos. Roban las contraseñas, desactivan la protección y generan entonces la filtración de los datos. La denominadas o las denominadas puertas traseras que implican que existen dispositivos comprometidos para permitir el hurto de dinero y datos o el acceso remoto de dispositivos a través de esas puertas traseras y generando entonces la creación de los bots, la creación de foros en líneas para intercambiar conocimientos de hackeo de redes, los servicios de alojamiento a prueba de intervención y creación de servicios para evadir virus y contenerlos antivirus. Precisamente el blanqueo de capitales tradicional y a través de las monedas virtuales que igualmente pues se tecnifica a través de las plataformas del blockchain, los fraudes en línea a través de los sistemas de pago por internet, la aplicación de la ingeniería social, las diversas formas de explotación sexual infantil que por supuesto hoy se ven implementados a través de las diferentes tecnologías de la información.
Esto, queridos servidores y servidoras, amigos todos, es una realidad que no podemos desatender. Son circunstancias que se presentan en nuestro devenir ordinario y que precisamente pues han dado lugar a que existan convenciones, como veremos más adelante, como la de Budapest y la creación de las normas que permiten la regulación y la implementación de la lucha contra este tipo de criminalidad.
Encontramos entonces que estos delitos se generan a través, como ya lo hemos indicado, de alta tecnología, a través de la creación de programas maliciosos de Botn, de Roadkit, de gusanos, de troyanos, de infectador de archivos, de puertas traseras, que lo que buscan entonces, como ya lo he advertido de alguna manera, es monitorear las diferentes acciones que desarrollan los usuarios, ejecutar comandos para infiltrar de alguna manera la red de comunicación o el dispositivo. Archivo local frente al cual existe la conexión en la red, enviar archivos y documentos al atacante, registrar pulsaciones del teclado que generan entonces patrones de comportamiento que posteriormente van a ser objeto de análisis e infiltración.
La posibilidad entonces de alquiler de programas dedicados al desarrollo de pues los Ramswars, que son programas que se crean para precisamente la infiltración de eh virus en los sistemas y que van a ser utilizados como una especie de alquiler de programas maliciosos para realizar actividades delincuenciales y compartir las ganancias, lo que lleva entonces a que precisamente existan programas dedicados al desarrollo de esa actividad delincuencial que generan altos réditos, que generan millonarias sumas de dineros y que precisamente encuentran en la actividad delincuencial tanto rédito que pues se ha trasladado la delincuencia común a la ciberdelincuencia. Son estos pues delitos de alta tecnología que han dado lugar entonces a que exista en el delincuente un comportamiento de traslado a esa actividad.
Existen entonces cifras relevantes en donde a través de los diferentes estudios que se vienen desarrollando por parte de Interpol, Unión Europea, las eh agencias estadounidenses que permiten entonces observar que existe un crecimiento de más del 30% en los delitos informáticos en Latinoamérica, que cuando se generan entonces la infiltración de datos y el denominado secuestro de la información, las sumas promedio que exigen las organizaciones delincuenciales ascienden a 1.5 millones de dólares por el rescate que a través de los sistemas de judicialización que se encuentran en nuestros países, pues se tarda entre 6 a 12 meses la autorización para la obtención de las autorizaciones para las búsquedas selectivas en bases de datos, recolectar la información e iniciar los procesos de judicialización. El delincuente avanza a un paso mucho más rápido que el de la institucionalidad. Por supuesto, como ya le hemos dicho, como quiera que no se tiene que someter a la legalidad y esto entonces genera precisamente la preocupación por parte de las autoridades en lo que tiene que ver con la detección, ¿no?, con la prevención, detección y judicialización de este tipo de comportamientos delincuenciales.
Dentro de esas tendencias que se observan en la ciberdelincuencia se encuentra entonces los ataques a las infraestructuras críticas como entidades bancarias, sistemas financieros, redes de energía, servicios públicos, que son pues un blanco generalizado en este tipo de organizaciones. Infiltran entonces las redes de información, los sistemas informáticos, generan entonces la captación de esos datos, los secuestran, si me permiten ese tipo de expresión y posteriormente utilizan la extorsión o la ciberextorsión para el desarrollo de la petición monetaria. Se advierte entonces la ciberdelincuencia como un servicio de alquiler, el denominado RSWER, que implica entonces que las organizaciones delincuenciales llegan a alquilar los software, el malware, los spywars que se ponen al servicio de otras entidades como una especie de tercerización de la actividad delincuencial y que posteriormente se someten a un reparto de las ganancias. Y por supuesto la proliferación de las tecnologías automatizadas o de las inteligencias generativas, las denominadas inteligencias artificiales, que dan lugar entonces a que se genere una automatización de la delincuencia cibernética, generando pues un impacto mucho más prolongado en las sociedades.
Esto da lugar entonces precisamente a que desde las agencias internacionales y de las agencias locales se procura entonces la distinción de dos formas de delincuencia, la ciberdelincuencia pura y la ciberdelincuencia conexa. Pueden existir, pueden coexistir, pero en todo caso deben ser diferenciados. Nos referimos entonces a ciberdelitos puros, cuando lo que se genera es la afectación directa del bien jurídico protegido y el objeto material de la conducta son en sí mismos los sistemas informáticos, los datos o la infraestructura digital, que en Colombia veremos que se trata entonces de la disponibilidad, del control, de la permanencia y de la integralidad de los datos. En este tipo de ciberdelitos puros, el delito en sí mismo no podría existir sin el componente tecnológico. Por ejemplo, el acceso abusivo a un sistema informático, el daño informático, el uso de software malicioso son de lo que podríamos denominar ciberdelitos puros.
Pero existen ciberdelitos conexos, que son los delitos que tradicionalmente se han ejecutado, pero se utiliza el medio tecnológico para acceder al bien jurídico protegido que se intenta pues de alguna manera salvaguardar. Clásico ejemplo del delito de hurto por medios informáticos, que se trata precisamente de la apropiación de la cosa mueble ajena, en este caso el activo dinero, que podríamos llamar dinero digital, pero que se utiliza la plataforma tecnológica para acceder al sistema informático y generar el desplazamiento patrimonial. La denominada extorsión o las figuras novedosas como el grooming o el online grooming, donde precisamente a través de las redes de la información se procura entonces generar en el sujeto pasivo de la acción penal la afectación. Y me refiero al sujeto pasivo porque en este caso el sujeto pasivo sería la víctima directa y no el dato o la integridad del dato, qué es lo que va a suceder con los delitos o los ciberdelitos que hemos denominado como impuros.
Bien, tenemos entonces como antecedente de absoluta relevancia para comprender de manera adecuada lo que significa el delito cibernético o el ciberdelito, la convención de Budapest del 23 de noviembre del año 2001, que se aprueba en Colombia mediante la ley 1928 del año 2018 y que es objeto de control y aprobación constitucional mediante la sentencia C224 del año 2019. En esta sentencia C224 del año 2019, nuestra Corte Constitucional establece que efectivamente la convención o el convenio de PUDAPES se ajusta a la Constitución Política y Colombia adopta simplemente una reserva que se relaciona con el artículo 14.3 con relación al artículo 20 de la Convención. Es sobre la obtención de los datos en tiempo real. Sabemos nosotros que en Colombia para la realización de la búsqueda selectiva en base de datos de conformidad con el artículo 244 del Código de Procedimiento Penal y en armonía con la sentencia C336 del año 2007, siempre se requerirá de un control previo por parte del juez en función de control de garantías para acceder a las bases de datos de naturaleza confidencial o privada. Precisamente el artículo 20 de la convención estableció pues que existirían protocolos para el acceso de la información en tiempo real.
¿Qué encontramos entonces en la convención de PUDAPES? Precisamente en la convención se establece dentro de su preámbulo, la necesidad de aplicar con carácter prioritario esa política penal común encaminada a proteger la sociedad frente a la ciberdelincuencia. La aparición de la ciberdelincuencia genera entonces un impacto negativo en la sociedad, porque como hemos advertido, el ciberdelincuente no tiene barreras nacionales. Su actividad se enmarca dentro del desarrollo de la conducta transnacional y de esa manera pues no tiene los límites locales a los que nos encontramos. La ciberdelincuencia, como lo advertí al principio de esta pequeña disertación, tiene por propósito entonces generar lazos entre las organizaciones delincuenciales, generar redes de información, incorporarse en el mercado de lo legal. Paradójicamente, el delincuente lo que busca es que a través del desarrollo de la conducta delincuencial, en donde ha obtenido réditos, de allí que la Convención de Palermo persiga el desarrollo del incremento patrimonial a través de la adquisición de esos réditos de la actividad delincuencial, pretende entonces reinvertirlos en la sociedad legalizada, en la sociedad que opera dentro del marco del derecho y confundirse para de esa manera. Era pues vivir dentro del marco de la aparente legalidad. De ahí entonces que la ciberdelincuencia es una forma de criminalidad organizada que utiliza las redes de la información para el desarrollo de las conductas delictivas.
Dentro de la convención de Budapest encontraremos entonces que el sistema informático es todo dispositivo aislado en conjunto que se interconecta y se relaciona entre sí siempre que uno o varios de ellos permitan el tratamiento automatizado de los datos en la ejecución de un programa. Los datos informáticos se entenderán como la representación de hechos, información o conceptos que permiten el tratamiento de esa información. También encontramos entonces eh definiciones como proveedor de servicios, como toda entidad pública o privada que ofrece a los usuarios de sus servicios la posibilidad de comunicar por medio de ese sistema y otra entidad que u otras entidades que procesen la información y datos de el tráfico, entre otras definiciones que van a ser de relevancia.
Lo que se encuentra entonces dentro de la convención de Palermo a partir del capítulo segundo de la misma es que las autoridades a nivel nacional que suscriban la convención de PUDAPES tienen que encontrar dentro de sus secciones de derecho penal sustantivo delitos contra la confidencialidad, integridad y disponibilidad de los datos. Catalogar como conductas delictivas, por supuesto, dentro del margen de configuración legislativa de cada estado, lo que significa el acceso ilícito a los datos, la interferencia en los datos, los abusos de los dispositivos, los delitos informáticos, las falsificaciones y fraudes informáticos y, por supuesto, el ataque a los delitos de naturaleza eh contra la libertad de integridad y formación sexual en los que se desarrolle la cibercriminalidad, los delitos relacionados con la propiedad intelectual, entre otros.
Precisamente en virtud de la convención de PUDAPES, pues encontramos que en Colombia la ley 1273 del año 2009 pues desarrolla el denominado bien jurídico tutelado sobre la protección de la información y de los datos. Por supuesto, no podemos desconocer que la convención de PUAPES es del 23 de noviembre del año 2001 y en Colombia se aprueba mediante la ley 1928 del año 2018, mientras que la ley 1273 del año 2009 pues es por lo menos 9 o 10 años, 9 años anteriores a la misma. Sin embargo, dentro de la exposición de motivos de la ley 273 del año 2009, se observa entonces una inspiración directa en la convención de con el convenio de que contamos entonces que Colombia se acopla frente a este tipo de instrumentos.
Vamos a encontrar entonces en la ley 1273 del año 2009 la incorporación de un bien jurídico autónomo a los delitos como conocíamos y es precisamente el bien jurídico de la confidencialidad, la integralidad y la la integridad y la disponibilidad de los datos y de los sistemas informáticos. Nace entonces en nuestra legislación un nuevo bien jurídico que protege precisamente el dato, es decir, la información que existe dentro de un sistema y el sistema en sí mismo para igualmente proteger su confidencialidad, su integridad y la disponibilidad. De ahí entonces que la aparición de este bien jurídico implica una transformación, como nuevamente se decía al inicio de esta intervención, de un nuevo relacionamiento con lo que es el bien jurídico. Esto nosotros en nuestro devenir no lo notamos tan paradigmático porque precisamente ocurre frente a nuestros ojos, pero en 200 230 años de la aparición de la dogmática penal aparece un bien jurídico completamente autónomo, independiente y novedoso a los bienes jurídicos que tradicionalmente observábamos en nuestra sociedad. No se está afectando, no se está afectando la persona, su patrimonio, su honra, su intimidad, sino que es el bien jurídico que aparece en una sociedad transformada y globalizada como lo es el dato y el sistema que almacena el dato para de esa manera proteger su confidencialidad, integridad y disponibilidad.
Esa confidencialidad implica entonces la garantía de que esa información solo sea accesible a las personas que están autorizadas para ello, los denominados insiders. La integridad es la preservación de la exactitud y la amplitud de esa información y los métodos para su procesamiento, para mantener la integridad, al igual que la disponibilidad que permitirá entonces ese acceso oportuno y en tiempo real a esa información. Encontramos entonces que este bien jurídico de la protección de la información y de los datos va a generar entonces una forma distinta de comprometernos con el estudio del derecho penal.
De manera genérica podríamos decir, permítanme, me voy a una diapositiva posterior para volver sobre específicamente las formas de delincuencia que vamos a analizar. Implica entonces de manera genérica, es decir, cuando me estoy refiriendo a los bienes jurídicos que hacen parte de los datos del sistema informático, de la confidencialidad, integridad y disponibilidad de los datos, de un nuevo eh de una nueva forma de observar tanto el sujeto activo como el sujeto pasivo, como el objeto de la acción, como el objeto jurídico de la acción, los nexos causales, los resultados, si me lo permiten, de una forma completamente diferente.
Y entonces encontramos que en el sujeto activo vamos a tener dos clases de sujetos. El insider o la persona que es el usuario legítimo de la red de información o del sistema informático y que está habilitado para el manejo tratamiento y custodia de los datos como aquella persona externa que no se encuentra autorizada para ello. Vamos a distinguir igualmente entonces el hacker ético como la persona que actúa con la autorización previa y documentada, como esta persona técnica que se encuentra amparada en el contacto con el dato por parte de su titular y que tiene como finalidad detectar las vulnerabilidades y fortalecer la seguridad de los sistemas informáticos, operando bajo, bien sea la autorización de los titulares o como contratos de prueba, de penetración, de auditoría, de información. Autorizándose entonces para que su actividad se desarrolle en punto a la al tratamiento, confidencialidad, manejo de la de los datos. Mientras que el cracker o el outsider es aquella persona que no tiene la determinación o no tiene la autorización para el desarrollo de la actividad que se está ejecutando. Esta persona entonces no tiene la posibilidad de acceder a esa información y lo hace interfiriéndola sin que exista eh la misma.
Ahora tenemos que existe una distinción muy importante. Hay personas que pueden haber accedido de manera legítima la información, pero permanecen o acceden más allá de lo permitido, excediendo los permisos que se le han concedido. Este también será el sujeto activo de las conductas que afectan el sistema informático o el dato.
Vamos a encontrarnos igualmente que con la aparición de los delitos informáticos debemos estudiar una nueva forma de observar la coautoría, las posiciones de garantía, los ejercicios de actividades de participación, me refiero a la determinación y la complicidad en los delitos informáticos. Sabemos pues que son coautores quienes mediando un acuerdo común se distribuyen el trabajo criminal atendiendo la importancia de los aportes. Pero vamos a encontrar entonces que cuando hablamos de delitos informáticos tendremos que verificar precisamente si existía en los denominados, entre comillas, coautores, la posibilidad de ejecutar la conducta si existía en un coautor la autorización para el desarrollo o para el acceso a la información y de los datos y en el otro no. Si existía o no posición de garante y allí entonces será importante analizar el rol que cumplen los administradores de los sistemas, cuáles son sus roles, cuáles son sus responsabilidades, cuáles son las credenciales que tienen frente al particular.
Se han dado casos muy interesantes en nuestro país, como lo que se genera entonces a través de los accesos a las a los accesos remotos a los sistemas financieros a través de la aplicación o la elevación de los permisos que tienen los titulares de la información, la insuplación de los cuentas, la la modificación de los patrones de de funcionamiento de las cuentas, entre otras. Esto pues no podrá ser objeto amplio de discusión el día de hoy por la limitación temática la que nos encontramos y que el propósito pues de esta pequeña charla es pues sensibilizarnos frente a la actividad delincuencial que se viene desarrollando a través de los delitos informáticos.
Vamos a analizar entonces brevemente en el tiempo que nos queda algunas de las tipologías de este tipo de conductas delictivas con el propósito de encontrar al final de esta charla algunas conclusiones sobre las dificultades dogmáticas probatorias que existen en el particular y por supuesto en otro evento tener la posibilidad de ampliar el acceso abusivo a un sistema informáticos que se tipifica en el artículo 269A del Código Penal, por supuesto incorporado por la ley 1273 del año 2009 y que establece entonces que el que sin autorización o por fuera de lo acordado acceda o en todo en parte de un sistema informático protegido o no con una medida de seguridad o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo.
¿Qué nos encontramos entonces en este tipo de comportamientos? Tenemos un sujeto activo que puede ser calificado o indeterminado. ¿Por qué? Porque en principio puede desarrollarlo cualquier persona, pero también puede ser desarrollado por el denominado insider, es decir, por aquella persona que se encontraba autorizada para estar dentro del sistema informático y permanecer dentro de él, pero que excediendo los permisos o por fuera de lo acordado accede manera abusiva a ese sistema informático. Como sujeto pasivo nos encontraremos con el titular legítimo del sistema o quien tiene el derecho de exclusión del sistema informático y de forma mediata la colectividad, porque lo que se protege es la eh información, los datos, la confidencialidad y la integridad. Piénese, por ejemplo, en el acceso a un sistema informático donde se generan datos sobre la población, sobre su eh sobre su eh contenido médico, sobre su filiación política, etcétera, que son datos de naturaleza sensible.
Los verbos rectores que encontramos en esta conducta delictiva serán entonces los de acceder, es decir, ingresar total o parcialmente a ese sistema informático, superando no medidas de seguridad y sin autorización del titular o mantenerse por fuera de lo acordado. El objeto material entonces del comportamiento delictivo será ese sistema informático, esto en armonía del artículo primero del convenio de PUDAPES y el objeto jurídico será la confidencialidad, integridad y disponibilidad de esos datos y de esos sistemas. Se trata entonces de un delito de mera conducta que se consuma con la sola realización del acceso o permanencia irregular a ese sistema informático, por lo que en principio podríamos decir que no admite modalidad tentada. Alguien me podría decir, "¿Y si yo intento acceder, pero no logro superar la barrera informática?" Tendríamos que decir que estaríamos en presencia de un acto de preparación inidóneo para afectar el bien jurídico tutelado. Sin embargo, desde ya debo advertir sobre este punto no ha existido una gran elaboración jurisprudencial en Colombia precisamente pues por las dificultades de este tipo de comportamientos, porque en la práctica no existen procesos efectivos de judicialización y que llevan en muchas oportunidades a que no se logre la efectiva judicialización de este tipo de conductas delictivas.
La modalidad entonces de esta conducta es necesariamente dolosa. Es decir, aquella persona que por error entra a su computador y que cuando va a abrir su plataforma de WhatsApp, por ejemplo, encuentra que está abierta la de su pareja y en ese sentido pues la observa y y en el momento en que se da cuenta de que no es su cuenta de WhatsApp sale de ella, pues no estaríamos frente a una persona que realiza la conducta de manera consciente y voluntaria. Es decir, no hay conocimiento y voluntad de desarrollo de la conducta. Esta conducta de acceso abusivo a un sistema informático, pues se diferencia en sí mismo de otros comportamientos de la misma norma del de la misma ley 1273 como la de eh obstaculización del sistema informático, porque aquí no se está afectando el funcionamiento, o el acceso normal que implicaría el contenido del artículo 269D que ya vamos a analizar. Y en ese sentido, pues existen diferencias dogmáticas frente al miedo.
Un ejemplo práctico de este tipo de conductas es, por ejemplo, el del empleado de la empresa de telecomunicaciones con acceso a los datos de los clientes de su zona, que excediendo lo autorizado, pues eh ingresa a la base nacional para obtener la información de los clientes del país y venderla a terceros. Esto sucede lastimosamente con muchísima frecuencia. O el empleado bancario que accede al sistema informático para consultar los movimientos financieros de un cliente sin su autorización o lo que nos sucede todos los días en nuestro ordinario de venir y es que personas inescrupulosas realizan consultas de nuestro historial crediticio con ganas de ofrecernos productos que no hemos solicitado.
Bien, otro de los delitos interesantes, pero lastimosamente no podríamos evacuarlos todos, sería el de obstaculización ilegítima del sistema informático, que nos encontramos en el artículo 269B y que establece que el que sin estar facultado para ello impida que leice el funcionamiento o el acceso normal a un sistema informático o a los datos allí contenidos, va a incurrir en la conducta delictiva. En este caso nos encontramos que el sujeto sí es indeterminado. En este caso puede ser cualquier persona, ni necesariamente tendremos que estar en presencia de un insider. Es decir, esta persona ya lo que hace es teniendo o no teniendo la autorización para ingresar al sistema informático, lo obstaculiza. De ahí entonces que el sujeto pasivo será el titular del sistema informático y de los datos allí almacenados junto con toda la comunidad. La conducta consiste entonces en impedir u obstaculizar el sistema, el funcionamiento normal al sistema o los datos que allí se encuentran.
Encontramos entonces que el objeto material de la conducta es el sistema informático o sus datos y el objeto jurídico, es decir, el objeto de protección es la disponibilidad y el libre acceso. De ahí entonces que si la persona ingresa el sistema informático estando autorizado para ello y no logra perturbar obstaculizar el sistema, estaríamos entonces en presencia de una conducta de naturaleza atípica. Por supuesto, es un delito de mera conducta y se perfecciona con la actividad que se procura desarrollar. Cuando analizaba esta discusión, sostenía entonces eh conmigo mismo la siguiente pregunta. Y si la persona realiza de manera idónea los comportamientos tendientes a generar el obstáculo o el o la o la obstrucción del sistema y por causa a su voluntad el malware, el Spywar, el gusano, el troyano no funciona, estaríamos en presencia de una conducta tentada. Allí discutía, conmigo mismo, insisto, y consideraba que eventualmente esta conducta sí podría admitir la modalidad tentada como quiera que fue por causas ajenas a la voluntad del autor la que se desarrolló. Insisto, no ha existido bastante precedente frente al particular y en tal sentido pues no ha existido mucha evolución. Sí, existió una decisión la 2699 del año 2022 en el radicado 59,733 en donde la Corte pues recordó que en este tipo de circunstancias el objeto de protección era tangible o intangible el sistema o el dato y podía requerir pues la posibilidad de que existiere una afectación frente al mismo que daría lugar a el desarrollo de la conducta típica.
El daño informático tipificado en el artículo 269 de, perdón, que establece que el que sin estar facultado para ello destruya, dañe, borre, deteriore, altero de suprima datos informáticos o un sistema de tratamiento de información, va a incurrir allí en la pena que considera el legislador. No nos detendremos nuevamente sobre el sujeto activo y el sujeto pasivo para efectos de no ser redundante, pero entendemos entonces que se trata de un sujeto indeterminado y el sujeto pasivo es el titular de la información y de la comunidad. La conducta consiste en destruir, dañar, borrar, deteriorar u alterar de manera dolosa la red de información o suprimir los datos informáticos que allí se encuentran.
Encontramos igualmente que en este caso sí existió un antecedente muy interesante en la decisión 2699 del año 2022. Y en este caso pues eh se abordaba una discusión frente a una persona que trasladó una información, cuando creo que fue despedida, trasladó la información de la carpeta principal a la papelera de reciclaje y la información pudo ser recuperada. De ahí entonces que se discutía si esta persona había suprimido o no borrado la información y se entendió entonces que al no haber desaparecido del sistema la conducta era atípeta. En ese tema, en esta decisión 2699 del año 2022, se estableció entonces que en Colombia eran dos los grupos de conductas constitutivos del daño informático, como lo eran destruir, dañar, borrar, deteriorar, alterar y suprimir un daño, un dato informático o destruir, dañar, borrar, deteriorar o alterar y suprimir un sistema de información amparado pues en el artículo 38 de la Convención de Pudapest.
Otra de las conductas interesantes que vamos a analizar hoy, me quedan dos por analizar, si mal no estoy, como sería entonces el uso de software malicioso y el hurto por medios informáticos como delito cibernético conexo. Está entonces en el artículo 269E y establece que el que sin estar facultado para ello produzca, trafique, adquiera, distribuya, venda, envía, introduzca o extraiga en el territorio nacional o eh nacional software malicioso u otros programas de computación. Defecto dañino incurrirá en prisión de 48 a 96 meses. Esta es una conducta bien interesante porque es una adelantamiento de las barreras del derecho penal para establecer entonces que por el
El solo hecho de producir, traficar, adquirir, distribuir, vender, enviar, introducir o extraer del territorio nacional software malicioso va a dar lugar a la punición.
Esta es una forma muy interesante en la que el legislador ha establecido como el desarrollo de software perjudicial sin permiso, por supuesto, autoridad competente o la facultad para ello, puesto que pensemos que eventualmente inteligencia nacional u otro tipo de componentes de la inteligencia pueden autorizar a terceros para la producción de software malicioso con propósitos legítimos. Pues simplemente, cuando la persona produce este software sin que se encuentre autorizado para ello o realice cualquiera de los otros verbos rectores, va a encontrarse inmerso en la conducta.
De ahí entonces que en el análisis del objeto material, que sería en sí mismo ese software malicioso, debemos distinguirlo del objeto jurídico, que va más allá del dato del sistema informático y se transforma en la seguridad, confiabilidad e integralidad de los sistemas que, en abstracto, utilizamos todos los coasociados. El legislador entonces decidió reprimir con pena un comportamiento que, sin requerir el uso del software malicioso, genera entonces la posibilidad de revisarlo.
Ahora, se trata de un delito de mera conducta, pero es importante entender que, dependiendo del corrector, entenderemos que existirá o no la posibilidad de tentativa. Yo puedo sostener entonces que distribuir, vender, enviar a terceros, introducir o extraer el software, pues serían delitos de actividad. Igualmente, producir, diseñar o desarrollar el software son comportamientos que no podríamos pensar sin trascender al desarrollo de la conducta en sí misma. Es decir, cuando hablamos de que se trate, en este caso, de un delito de mera conducta, no estamos diciendo que no requiera una actividad específica por parte del autor, sino que no se requiere que, en sí mismo, el software malicioso produzca un daño. Basta entonces que se produzca, pero necesariamente esa producción es un verbo rector de naturaleza, eh, concreta, es decir, de resultado.
Violación de datos personales del artículo 269F. Establece entonces que el que, sin estar facultado para ello, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modifique o emplee códigos personales, datos personales, contenidos de ficheros o archivos, bases de datos o medios semejantes, va a incurrir en pena de 48 a 96 meses de prisión.
Este es un comportamiento típico bastante complejo porque, a su vez, debe de ser diferenciado de conductas que, de manera autónoma, establece el legislador como violación de datos personales. En este caso, nos vamos a encontrar entonces que el objeto material del comportamiento es el dato personal o código personal, contraseñas, pines, claves, ficheros, archivos, bases de datos o semejantes, mientras que el objeto jurídico es el derecho a la intimidad, autonomía informativa y autodeterminación sobre esos datos personales. Y que se diferencia de los delitos de violación de datos personales, por ejemplo, porque en este caso estamos hablando de un ciberdelito y no de un ciberdelito común.
Me explico. Si eventualmente fuésemos a analizar, por ejemplo, la violación de datos personales, artículo 192, algo, si más no estoy, tendríamos que decir que se actualizaría este delito de violación de datos personales sí, solo sí, se desarrolla a través del sistema informático. Si se da de otra manera, encontraríamos entonces otro tipo de comportamientos. Para efectos de esclarecer lo que les estoy indicando en este momento, ubicamos el contenido del artículo 192, por ejemplo, o del capítulo séptimo del título tercero, si mal no estoy, de la violación de la intimidad, reserva, interceptación de comunicaciones y de la violación de la libertad individual, otras garantías. Y nos encontramos, por ejemplo, con la violación ilícita de comunicaciones, el ofrecimiento o compra de instrumento apto para interceptar comunicaciones, la divulgación y empleo de datos reservados, la violación ilícita de comunicaciones o correspondencia, utilización ilícita de redes de comunicaciones, etcétera.
Estos delitos que también afectan la intimidad y los datos personales son autónomos al de violación de datos personales en la medida en que, para esta conducta específica, se utilizan redes de información o datos informáticos.
El delito de suplantación de sitios web, una de las conductas que generan mayor afectación al bien jurídico o a los bienes jurídicos tutelados, porque precisamente en este tipo de comportamiento lo que se realiza es diseñar, desarrollar, traficar, vender, ejecutar, programar o enviar páginas electrónicas para obtener los datos de los terceros, modificar los dominios de las mismas y de esa manera entonces, eh, generar lo que se denomina como la técnica *spoofing* o *pharming* para redireccionar a sitios web distintos, sin el consentimiento de los asociados y de esa manera obtener datos o generar, pues, por supuesto, fraudes electrónicos. El objeto material de este tipo de comportamiento son las páginas electrónicas, los sistemas de resolución de dominio, los DNS, las direcciones URL, y el objeto jurídico es la confianza del usuario en estas plataformas. De allí que encontramos en el día a día cómo las entidades bancarias, por ejemplo, nos hablan de la necesidad de verificar que exista un sistema o la autenticidad de los sistemas.
Y otro de los delitos que encontraríamos en el artículo 261 y en este caso sería un delito cibernético conexo es el delito de hurto por medios informáticos, que establece entonces que el que, superando medidas de seguridad informática, realice la conducta del artículo 239, es decir, nos remite al delito de hurto, manipulando un sistema informático o una red de sistema informático, telemático u otro medio semejante o suplantando a un usuario. En este caso, lo que hace entonces es que, remitiéndonos al hurto tradicional del artículo 239, el sujeto activo manipula los sistemas, altera la lógica del sistema informático y transfiere bienes o dinero a sus cuentas o las cuentas de un tercero, generando, pues entonces, la suplantación de quien tiene la titularidad del dato.
El objeto material, y ahí lo podemos diferenciar del delito cibernético puro, ya es el bien mueble ajeno que es sometido a transferencia a través del sistema informático. En este caso, estamos hablando de que se trata de un delito de resultado, puesto que se consuma con la apropiación efectiva del bien, del bien mueble y, por supuesto, admitirá la modalidad tentada del comportamiento.
Aquí venimos a esto, lo dejaré, pues, a a discreción de ustedes para que lo puedan analizar, pero no puedo dejar pasar la oportunidad para hablar de un delito cibernético conexo como la falsedad personal a través de los *deepfakes*, que aparece entonces con la ley 250 del año 2025. Sabemos todos que la falsedad personal del artículo 296 establece entonces la posibilidad que tiene una persona para obtener un provecho para sí o para un tercero o causar daño de sustituir o suplantar a una persona, eh, asignándose calidades, nombres o datos que no le pertenecen.
La ley 250 del año 2025, en su artículo tercero, establece que cuando la falsedad personal se realice con la utilización de inteligencia artificial, la multa se va a aumentar hasta una tercera parte. ¿Qué es lo interesante de la ley 2205? Pues que está incorporando los conceptos del *deepfake*, de la identidad de la imagen en el desarrollo de este tipo de conductas delictivas. Entonces nos dice entonces que el *deepfake* es la creación, modificación y utilización de un registro audiovisual, incluida fotografías, videos, imágenes o grabaciones, a través de la tecnología de la información IA. Que la identidad se refiere al conjunto de características que nos permiten diferenciarnos de las personas y que la imagen hace referencia a la proyección externa de una persona.
En estos días, lo escuchaba a un catedrático bastante importante del país, donde establecía cómo, de alguna manera, nuestras legislaciones son legislaciones de 10, de 15 años atrás. Perfectamente podríamos decir, pues, que ya la legislación se va a encontrar en desuso, como quiera, pues, que el concepto mismo de la inteligencia generativa, pues ha evolucionado y lo que veíamos, pues, en nuestras circunstancias o nuestro, pues, se ha modificado sustancialmente.
Voy llegando al cierre de la introducción a este tema. Quienes me estén escuchando entenderán y les ruego indulgencia, de alguna manera, de la velocidad en la que avanzamos, pero no es posible en 50 minutos abordar la totalidad de los delitos informáticos. He tenido que dejar por fuera varios de ellos y muchas de las estructuras que necesariamente deben ser abordadas en las mismas, pero el propósito de la sesión es simplemente sensibilizarnos en punto a la naturaleza de este tipo de delitos, a los nuevos retos que se afrontan.
Y en ese sentido, pues encontramos que solo podríamos hablar de un aspecto introductorio. Sí, es importante entonces, en este cierre, diferenciar entre los delitos informáticos y los delitos a la intimidad, a los que he alusión del título tercero de nuestro código penal, y las diferencias que podemos encontrar se dan frente al bien jurídico titular, eh, o o tutelado por parte del legislador. En el título tercero, el bien jurídico tutelado será la intimidad personal, familiar y las otras garantías que se encuentren frente a los asociados. Mientras que en el título séptimo, es decir, en los delitos informáticos, es la confianza en la seguridad de los sistemas informáticos, la disponibilidad, integridad y confiabilidad de los datos.
Encontramos igualmente que un elemento estructural que los diferencia será el contexto tecnológico. En el ámbito del título tercero, puede que se den los medios electrónicos, pero también implica para otro tipo de comportamientos ajenos a los mismos. Si nos enfrentamos a una problemática de esta naturaleza, tendremos que acudir a los principios de especialidad. Es decir, si encontramos que el delito contra la intimidad, por ejemplo, la afectación de las comunicaciones, no implica necesariamente un acceso a un sistema informático ni un daño a un sistema informático, estaremos en presencia de uno de los delitos del título tercero. Mientras que si necesariamente existe afectación al sistema informático o a la naturaleza de los mismos, estaremos, pues, en presencia de uno de estos delitos de naturaleza especializada.
¿Qué problemas dogmáticos y probatorios nos vamos a encontrar en nuestra práctica? Nos vamos a encontrar entonces que, en punto a este fenómeno de la cibercriminalidad, pues que desafía no solo esas estructuras tradicionales a las cuales hemos venido haciendo alusión a la concepción del delito como desarrollado entre personas, el encuentro entre seres humanos, la interacción necesaria desde el plano causal, pues también nos vamos a encontrar que, a partir de la cibercriminalidad, pues, eh, se van a reformular los estándares de la imputación, de la valoración probatoria, de las garantías de los sujetos procesales.
Y en ese sentido, pues, una de las primeras dificultades a las que nos vamos a encontrar es el tema de la prueba digital. Sería otra charla si fuésemos a hablar de prueba digital el día de hoy, pero hemos encontrado que distinguimos, a partir de la ley 527, lo que es prueba digital, lo que es prueba electrónica, lo que es un metadato, lo que es una captura de pantalla. Nuestra Corte Constitucional ha entendido que las capturas de pantalla deben valorarse como indicios. Las Cortes y los tribunales han entendido que son pruebas documentales. Se han discutido aspectos de lo que es la equivalencia funcional entre la prueba electrónica o digital con las capturas de pantalla o con los documentos, y ahí encontramos grandes discusiones frente al particular.
No puedo abordar a profundidad el tema hoy. Les recomiendo la lectura de la sentencia 248 del año 2025, radicado 58.275, para establecer, pues, cómo precisamente a partir de los problemas que se desarrollan en las discusiones de prueba digital y prueba documental y cadena de custodia, pues han establecido nuestras legislaciones. Por supuesto, estos problemas en lo que tiene que ver con la prueba digital y en lo que tiene que ver con la cadena de custodia no implican el desconocimiento que establece el artículo 381 del Código de Procedimiento Penal, ni modifican el concepto de las garantías constitucionales de las partes intervinientes, que en todo caso, pues, siempre será el de el conocimiento que supere el umbral de la duda justificable, de la duda razonable en punto de los coasociados.
La aparición de la ciberdelincuencia, la implementación de nuevos modelos de ciberdelincuencia, las grandes dificultades que se dan en el ordinario de venir, no implica un desmonte de las garantías de los coasociados.
Para cerrar, algunos casos relevantes en la jurisprudencia. En este caso, me tomo aquí 3 minuticos, casos, cuatro casos que quiero recomendarles, además de la decisión 248 del año 2025, está la sentencia 2699 del año 2022, en el enradicado 59.733. En este caso, los hechos jurídicamente relevantes que nos convocan era la de una ciudadana que tenía un vínculo laboral con una empresa y cuando es despedida, pues, eh, esta persona manipuló, al parecer, el servidor en donde se almacenaba la información de recursos humanos y movió 60 y punta de archivos a la carpeta de reciclaje. En este caso, la Corte, a pesar de que en primera instancia, eh, se emitió sentencia absolutoria y en segunda instancia se confirma la absolución, en este caso llega la Corte y en este caso, eh, se entiende, pues, que no era posible condenar a esta ciudadana porque el traslado a la papelera de reciclaje no cumplió con la exigencia típica de borrar en el sentido penal, sino de trasladar la información.
En la decisión 3023 del año 2023, obviamente 58.252, se estableció un caso en donde una persona fue condenada por tráfico estupefacientes agravado y se estableció entonces como uno de los problemas jurídicos si el juez, eh, había sido, eh, o si se había generado una alteración en el reparto de un expediente, formalizando su asignación, eh, para eventualmente dictar una sentencia favorable en favor del ciudadano. Aquí se analizaron de manera profunda los delitos de acceso abusivo a un sistema informático, el concepto de daño informático, los conductas de prevaricato por acción como delito conexo y se halló que efectivamente existieron decisiones manifiestamente contrarias al ordenamiento jurídico y que se había manipulado el sistema de reparto siglo XXI, constituyendo un acceso abusivo y a un daño informático.
En la decisión 473 del año 2023, pues se abordó un caso donde, a través de la afectación del sistema integrado de gestión, el SIC, pues se había generado comunicaciones con el cliente. Nuevamente, la Corte analizó los sistemas, los delitos de acceso abusivo a un sistema informático, eh, entre otros delitos como falsedades y, eh, otro tipo de daños y, pues, planteó que la modificación que se configuraba una modificación del sistema integrado de gestión y se configuraba el delito de acceso abusivo cuando se había establecido el acceso a un sistema sin autorización o excediendo esos permisos.
Y en la sentencia 903 del año 2024, es un caso, pues, muy conocido en nuestra sociedad, es el famosísimo caso de Hyundai Motors y donde se vio involucrado el empresario Matos Barrero y se estableció, pues, que precisamente existió, al parecer, una manipulación del sistema de repartos. Nuevamente, la Corte aquí verifica la coexistencia de los delitos, otros como el cohecho impropio, la utilización ilícita de redes de comunicación, el acceso abusivo a un sistema informático y el daño informático, y en este caso, pues, se establecen, eh, los agravantes de la conducta.
A título simplemente de cierre, pues nos vamos a enfrentar en el futuro a nuevas formas de delincuencia frente a las cuales vamos a tener que estar preparados. Estos son, por ejemplo, la aparición de los *deepfakes*. Ya, en buena hora, el legislador, con la ley 250 del año 2025, empezó a tipificar esta forma de conducta delictiva. El denominado o la denominada *sextorsión* o el *online grooming*, es donde, a partir del uso de de tecnologías de comunicación, pues se establecen fenómenos en donde los ciberdelincuentes interactúan con menores y exigen, exigen, a veces económicas, otras veces no, frente a ese tipo de conductas. Normalmente, cuando un agresor ha establecido o ha entrado en contacto con la víctima y le hace, eh, peticiones o exigencias sexuales, pues no se, no ha sido posible tipificar el delito de extorsión, como quiera que no hay una exigencia económica, pero esto ha dado lugar entonces a que la Corte acuñe el fenómeno del *grooming*, que es una conducta, pues, que se ha establecido en otro tipo de legislaciones como Estados Unidos, que se conoce también como el engaño pedófilo. Les recomiendo la lectura de la sentencia 4573 del año 2019 frente a esto. Recientemente, la Corte Suprema de Justicia ha tipificado estos delitos como acceso carnal violento o acto sexual violento, porque siguiendo los parámetros de la sentencia SU360 del año 2024, se ha entendido que cuando no existe consentimiento, estamos en presencia de este tipo de modalidades delincuenciales.
El *ransomware* como servicio, el alquiler de plataformas de creación de sistemas de creación de software malicioso como un servicio. Son alquileres de infraestructura. Esto todavía no lo hemos planteado como una modalidad autónoma de conducta delictiva, pero va a aparecer los fenómenos del ciberacoso, entre otras muchas modalidades que van a generar, pues, las, eh, nuevas discusiones a nivel de Corte Suprema de Justicia, Corte Constitucional, entre otras.
Simplemente, pues, para cerrar la disertación, nos estamos enfrentando a una nueva forma de criminalidad. Ha desplazado lo que ordinariamente conocíamos en nuestras legislaciones. Esto está sucediendo. No es una opción considerar que podemos o no adaptarnos. O nos adaptamos a los nuevos fenómenos de delincuencia, los estudiamos, los comprendemos, los analizamos e intentamos adecuar nuestra práctica judicial y, por supuesto, la práctica investigativa a ella, o simplemente, pues, la delincuencia va a arrasar lo que queda de nuestras infraestructuras.
Ha sido para mí un gusto compartir estas disertaciones con ustedes. Por supuesto, entiendo perfectamente que solo puede ser una muy breve introducción porque la complejidad de este tema es inmensa, pero espero que sea de utilidad para ustedes como servidores y servidoras, como las personas que nos acompañan, como la comunidad. Estamos comprometidos como sociedad, como judicatura, lo mismo la escuela, estoy seguro de ello, en la formación e información de todos los asociados para que entendamos los problemas que cotidianamente nos afectan y que, por supuesto, establezcamos parámetros de comportamiento que sean de utilidad para el mejoramiento de nuestra infraestructura social.
A la Escuela Judicial un agradecimiento profundo por esta invitación. Me han honrado con la posibilidad de compartir con ustedes y compartir con toda la comunidad jurídica y académica del país. Si existe alguna inquietud, alguna pregunta, quedo muy atento para, si está dentro de mis posibilidades, poder responderla. Muchas gracias.
Doctor Andrés Felipe.
Gracias a usted por su valiosa presentación y, efectivamente, pasaremos a la sección de preguntas. La primera de ellas es la siguiente: ¿Puede afirmarse que los delitos informáticos deben ser considerados como una categoría autónoma con estructura típica y dogmática propia?
Muchas gracias por la pregunta. Yo he sido partidario siempre de considerar que no podemos crear nuevas categorías o no podemos entender que existen delitos completamente que necesitan un estudio aparte, una categoría aparte, un código aparte, una legislación específica frente al mismo. Creo que nuestra legislación tiene que generar pautas comunes de evolución que sean útiles para comprender las nuevas figuras o los nuevos fenómenos delincuenciales y tenemos que adaptarnos al cambio. Adaptarnos al cambio es entender que estas figuras, pues, existen, aparecen y que debemos implementar la legislación que tenemos y a partir de ella, pues, utilizarla de la mejor manera. ¿Por qué esto es importante tenerlo en consideración? Porque entonces, en ese orden de ideas, el delincuente simplemente crea una nueva forma de programación o modifica los parámetros normativos para, de esa forma, hacerle el quite a la norma. La norma tiene que ser suficientemente general y suficientemente completa para entrar a analizar todas las posibles, eh, fenómenos y todos los posibles instituciones que abarquen la conducta delincuencial.
Gracias, doctor. Vamos con la siguiente pregunta. ¿En qué casos la antijuridicidad material puede excluir la punibilidad en los delitos informáticos pese a la tipicidad formal?
Magnífica pregunta. Allí cito a uno de mis grandes maestros, el Dr. Carlos Arturo Gómez Pavalló. La antijuridicidad material es un corrector de la tipicidad formal y así debe ser entendido. Por supuesto, hay comportamientos que actualizan el tipo de acceso, eh, abusivo a un sistema informático. Por ejemplo, acceder a la plataforma de WhatsApp de la pareja, mirarle el celular, eh, entrar al correo electrónico. Este comportamiento es típico, formal y, eh, pues objetivo y subjetivamente hablando. Y es un comportamiento que debe ser reprochado, pero el derecho penal debe ser entendido como la última ratio y no podemos entenderlo como la solución automática de las problemáticas sociales. Si lleváramos a la cárcel a toda persona que alguna vez ha mirado el celular de su pareja, tendríamos que crear nuevas cárceles para que todas las personas pudiesen estar allí. Son comportamientos que no pueden ser socialmente aceptados. La intimidad, la privacidad y la autonomía y confidencialidad de los datos siempre tienen que ser protegidos, pero siempre bajo el entendido de que el derecho penal no puede ser la primera solución, sino la última de ellas. Siempre el derecho disciplinario, la corrección social, los comportamientos, eh, de corrección extrapenales tienen que ser la primera línea de defensa y no la primera puede ser el derecho penal. De ahí entonces que el concepto de antijuridicidad material como tercer eslabón de la conducta punible siempre tiene que ser un limitante y un corrector de esa antijuridicidad formal y tipicidad, por supuesto.
Gracias, doctor. Vamos con la tercera pregunta. ¿Cuáles son los límites que ha establecido la Corte Suprema para considerar una conducta como acceso no autorizado en contextos laborales o institucionales?
Nuestra corte, de pronto me equivoco, puede que no haya verificado sentencias puntuales sobre ese tema. Las que he consultado no han realizado ese abordaje. Por supuesto, la que tocábamos, eh, en lo que la decisión 2699 del año 2022 sí abordó un tema de relaciones laborales, pero creo que el derecho español y otras legislaciones sí han abordado bastante bien esa temática. Por ejemplo, el computador con el que yo ejerzo mis labores y los programas que yo utilizo en el desarrollo de mis labores son para mi función, pero no me pertenecen. De ahí entonces que la información y los datos que eventualmente una persona, dependiendo de su marco normativo, del contrato de trabajo, si es o no un servidor público, pues son informaciones que, eh, hacen parte de sus labores y debe existir cierto tipo de de regulación frente a eso. Pongo un ejemplo sencillo y me me coloco en como ejemplo para el tema. Es como si yo el día de mañana pudiese decir que voy a borrar todas las sentencias que se han proferido por el juez segundo penal del circuito de Envigado y todos los autos y no voy a permitir que exista ningún tipo de repositorio porque fueron sentencias que yo produje. Sí, está bien. Puede que yo las haya producido, pero son institucionales, son de no el juez que las profirió, sino del juzgado como institución. Entonces, esos límites tienen que ser analizados, pero es un tema que todavía le falta algo de estudio a nuestra legislación. No son muchos los casos que llegan allí. Tendría muchas razones para decir por qué no se ha proliferado tanto el estudio de estos casos. Será objeto de otra invitación por parte de la escuela si así la vida no lo permite, pero sí necesariamente tendremos que evacuar esos temas en nuestra legislación, en nuestra jurisdicción y en las decisiones ordinarias. Por supuesto, cada caso tiene que ser analizado de manera concreta, atendiendo los marcos normativos propios de cada sujeto.
Gracias, doctor. Tenemos una cuarta pregunta realizada por uno de los asistentes a la videoconferencia. Abro comillas. Doctor, buenos días. ¿Hay alguna sentencia o pronunciamiento de la corte frente a lo que ahora explicaste de la antijuridicidad material? Cuando una persona ingresa sin autorización al WhatsApp o redes sociales de su pareja o algún pronunciamiento frente a este tipo de hechos. Cierro comillas.
No lo he conocido. He conocido principios de oportunidad que se han presentado, eh, bajo la causal de menor lesividad. He conocido, eh, discusiones académicas frente al particular, pero hasta el día de hoy no he conocido, insisto, puede que no la haya leído, sentencia de la Corte Suprema de Justicia sobre ese punto. Sobre el tema de la antijuridicidad material. Sí, han existido muchas decisiones de la Corte Suprema de Justicia, pero abarcando, pues, otro tipo de problemas jurídicos, no necesariamente relacionados con eso.
Dr. Andrés Felipe Arango Giraldo, en nombre del Consejo Superior de la Judicatura y de la Escuela Judicial Rodrigo Lara Bonilla, queremos expresarle todo nuestro agradecimiento por su generosa intervención que seguramente será de mucho provecho para los asistentes a esta videoconferencia.
Dr. José Camilo, muchas gracias a usted, nuevamente a la Escuela Judicial Rodrigo Lara Bonilla, por haberme permitido estar con ustedes el día de hoy y que esta reflexión inicial, pues, sea de provecho para todos los servidores, servidoras y todas las personas que nos han acompañado y que, pues, a futuro podrán también conocer de esta, de esta pequeña charla. Muchas gracias a todos.
Agradecemos igualmente a los servidores y servidoras judiciales que se conectaron a esta conferencia virtual. Los invitamos a que nos sigan a través de las redes sociales como Escuela Judicial Rodrigo Lara Bonilla. Recuerden que en nuestro canal institucional de YouTube encontrarán las grabaciones de las videoconferencias realizadas anteriormente, las cuales pueden contribuir a su quehacer judicial. Muchas gracias.
[Música]