De: Javier Prenafeta Rodríguez
Fecha:Octubre 2001
Origen: Noticias Jurídicas
Las lamentables consecuencias y elevada cuantía de los daños que pueden causar los virus informáticos obliga a examinar la cuestión de su responsabilidad. Con carácter general, habrá que aplicar las reglas de la responsabilidad extracontractual, cuyo fundamento normativo se encuentra en el artículo 1902 del Código Civil, o bien puede derivarse de una responsabilidad penal.
En España, esto último se trata como delito de daños en los arts. 263, 264 y 267 del Código Penal, pero la tipología de los virus hace que, para algunos autores1 [2], determinadas conductas también se puedan encuadrar dentro del art. 256, en la medida en que ciertos virus (los llamados troyanos2 [3]) pueden facilitar el acceso a un sistema informático y permitir la utilización ilegítima de éste para causar daños. Es una forma un tanto forzada de encajar el intrusismo informático en un Código Penal que, pese a ser de 1995, no había pensado en ello.
La mera creación de un virus no está contemplada en el Código Penal, que exige un resultado dañoso para poder exigirse responsabilidad penal. Sí se regula en el borrador del Convenio sobre el Cibercrimen del Consejo de Europa3 [4], que ha optado por considerar que la creación (al igual que su venta, importación, distribución o cualquier otra forma de puesta a disposición) de un programa o dispositivo diseñado o adaptado específicamente para acceder o interferir ilegalmente a sistemas informáticos, interceptar ilegalmente las comunicaciones, dañar, suprimir o alterar datos contenidos en sistemas informáticos, debe tener la consideración de delito. Habrá que ver a dónde lleva esto. Por el momento, las protestas sobre dicho convenio ya se hicieron notar entre las asociaciones de internautas y por parte de programadores y expertos en seguridad informática.
La puesta en circulación de un virus, por otro lado, podría entrar dentro de la tentativa4 [5] para cometer los delitos de los artículos 263 y ss. del Código Penal como acto previo que es al resultado dañoso que se pretende y, en este sentido habría responsabilidad criminal, aunque efectivamente no se causara ningún daño ya que el delito no se llega a consumar. En esta fase, igualmente puede existir cooperación5 [6] para cometer el delito, ya que la puesta en circulación o difusión de un virus son actos necesarios para la producción del daño, por lo que estas actuaciones también tendrían respuesta penal. En el mismo sentido, aquel que por sus actos favoreciera la propagación de un virus podrían ser responsable criminalmente como cómplice6 [7]. La distinción entre cooperación y complicidad es sutil en estos casos, aunque probablemente haya que hablar únicamente de cooperación, ya que la puesta en circulación de un virus será siempre un presupuesto necesario e indispensable para que el delito de daños se pueda consumar, no pudiendo darse en este momento casos de complicidad.
Con carácter general hay que tener en cuenta que, en estos casos, el Código Penal castiga las conductas dolosas y la imprudencia grave, por lo que, si concurre simplemente culpa o imprudencia leve, no habrá responsabilidad penal7 [8]. Las distintas formas de dolo (entendido como consciencia y voluntad de llevar a cabo la acción típica) plantean el problema de prueba de la intencionalidad, presupuesto para la incriminación. El virus debe haber sido creado y puesto en circulación con la finalidad de causar un daño económico. Más dificultades para ver esto existen si el creador del virus es uno y los propagadores varios, como sucede en la mayoría de los casos.
Habrá que definir bajo qué criterios hablaremos de imprudencia grave. A principios del siglo XXI, con la información de que se dispone y los sonados casos de infección masiva de sistemas informáticos por virus como "I love you" o las variantes de "Magistr", la diligencia debida, y así lo ha reconocido alguna jurisprudencia8 [9], exige la utilización de un programa antivirus, o incluso cortafuegos, por parte de los usuarios de ordenadores, y no sólo en la utilización del correo electrónico, sino también cuando se utilicen disquetes ajenos. Con mayor medida por parte de las empresas, que deben contar con medidas de seguridad informática que protejan sus sistemas de acuerdo con la normativa de protección de datos de carácter personal9 [10].
En ese caso, no tendrá una conducta imprudente quien tenga instalado y actualizado un antivirus en su equipo. Debe distinguirse, como hace Javier Ribas10 [11], entre virus catalogados y no catalogados, y, caso de ser infectado por alguno de éstos últimos, no debería exigírsele responsabilidad por no haber sido detectado por su programa antivirus. Claro que la diligencia debe verse en ambos sentidos, y tal imprudente es quien nos reenvía un virus como nosotros, que nos infectamos precisamente por no tener un antivirus en condiciones.
Los mayores problemas derivan de la gran cantidad de personas implicadas en la difusión de un virus, y habrá que seguir la cadena de infecciones para determinar la responsabilidad de cada uno de los intervinientes hasta llegar al creador del virus que, si bien será difícil atribuirle responsabilidad penal, sí la tendrá civilmente. A menudo estas personas se localizarán en varios Estados, lo que dificultará y retrasará las investigaciones.
En conclusión, los daños causados por virus informáticos tienen respuesta jurídica tanto en vía penal como en vía civil. Esta última requerirá acreditar el daño, la culpa o negligencia, y la relación de causalidad entre ambos elementos, mientras que a la vía penal, como siempre más rápida, añadiremos la prueba de la intencionalidad.
Y a todo esto uniremos la cuantificación del daño que, como se trata de información y además el virus no habrá dejado ni rastro de la misma, será difícil de evaluar.
Habrá que ver qué dice la jurisprudencia española pero créanme, si no quieren iniciar un largo y costoso procedimiento judicial transoceánico de incierto resultado, utilicen programas antivirus, cortafuegos y lo que esté a su alcance.
Disponível em: http://noticias.juridicas.com/articulos/20-Derecho%20Informatico/200110-... [12]