Regulaciones actuales y proyectos de reforma sobre delitos informáticos en Costa Rica

Este artículo apareció originalmente en el número 29 de la Revista Electrónica de Derecho Informático. Actualizado el 30 de agosto del 2012.

Introducción

En febrero del año 2000, se realizó en San José de Costa Rica un encuentro de Ministros de Justicia del continente americano. Uno de los temas tratados en esa reunión fue el creciente fenómeno de la delincuencia informática. Como acuerdo concreto, se dispuso intensificar los esfuerzos por establecer un frente común de combate a la ciberdelincuencia, reconociendo su cada vez mayor carácter internacional. Poco después, una conferencia del grupo G-8 de países industrializados hizo eco de esta misma preocupación, a la vez que la Unión Europea anunció la aprobación de un tratado sobre la materia, el "Convenio europeo sobre ciberdelincuencia". Se inició así una serie de importantes innovaciones jurídicas a nivel legislativo, alrededor del mundo.
Es oportuno, consecuentemente, realizar un repaso de la situación actual y de las perspectivas a corto plazo en el tratamiento normativo del delito informático en nuestro país.
A manera de preliminar y con el propósito de brindar un contexto sistemático al tema, haremos primero una breve reflexión sobre las diversas tendencias legislativas observadas en lo que toca a la tipificación de los delitos informáticos en los distintos sistemas jurídicos. Posteriormente brindaremos un vistazo de la situación actual costarricense en la materia, para concluir repasando las principales propuestas de reforma jurídica que encontramos en la agenda del legislador patrio.

Técnicas legislativas frente a la delincuencia informática

En el actual Derecho Informático vemos desarrollar al menos dos amplias polémicas en torno al tema de interés. De una parte, se discute sobre si los delitos informáticos realmente son nuevas modalidades de criminalidad o si estamos solamente ante una forma novedosa de cometer delitos tradicionales. Para aquellos que se inclinan por la primera postura, se plantea además el problema de la unidad o multiplicidad de la delincuencia informática; esto es, de si existe tal cosa como un único "delito informático" o si se trata de tipos heterogéneos, que ameritan un tratamiento individualizado. En general, de la postura que se adopte respecto de ambas interrogantes dependerá la clase de técnica adoptada para normar sobre esta materia.
Podríamos así establecer tres tendencias legislativas básicas [1]:

1. Allí donde se estime que la delincuencia informática simplemente viste con un nuevo ropaje a conductas criminales previamente conocidas y tipificadas, se optará por reformar o agregar secciones o incisos a las figuras penales preexistentes para contemplar las nuevas modalidades tecnológicas de su comisión (ejemplos: Paraguay y, en cierta medida, España).
2. En los ordenamientos que se prefiera pensar en el ciberdelito como una nueva clase de conducta criminal, de carácter unitario, se procurará normarlo mediante el diseño de un tipo penal nuevo (llámese "delito informático" o de otra manera) que se adicionará al respectivo Código Penal.
3. Finalmente, en el caso de que exista una inclinación a visualizar la delincuencia informática no sólo como una manifestación novedosa sino, además, como una que presenta múltiples facetas y vías de comisión, probablemente se elegirá agregar un capítulo separado sobre delincuencia informática al Código Penal o las respectivas leyes especiales que lo pretendan reglar (capítulo separado: Bolivia, Francia; leyes especiales: Venezuela, Chile, Estados Unidos, Alemania).

Como es de esperar, cada alternativa presenta sus pros y contras. Sin embargo, pareciera que la segunda es la menos favorecida, visto lo difícil que resulta pretender encontrar una redacción tan comprensiva y general como para que cubra con efectividad todas aquellas circunstancias en que la informática puede intervenir en la configuración de un ilícito. Por ejemplo, un proyecto de ley del Ministerio de Justicia de Chile, de 1986, [2] pretendía tipificar el "delito informático" con una redacción tan abigarrada que resultaba virtualmente inmanejable. [3] Personalmente coincido en que el hecho fundamental de que la informática pueda servir tanto de objeto de la conducta criminal como de simple medio para su comisión, en sí mismo desvirtúa la posibilidad de darle una regulación unitaria al fenómeno de la ciberdelincuencia, restándole viabilidad jurídica a esta corriente legislativa.

Situación actual en Costa Rica

Establecido el marco conceptual anterior, podemos especificar que el legislador costarricense (al igual que el de Argentina y Brasil) se ha inclinado por un sistema mixto; es decir, que combina más de una de las tendencias citadas, lo cual ha conducido a situaciones de notoria inconsistencia normativa.
El desarrollo positivo nacional en materia de cibercriminalidad es escaso, como probablemente sea la tónica en la mayoría del área latinoamericana. Hasta el momento, solamente unas pocas leyes prevén figuras de esta naturaleza. A ellas se une la normativa sobre derechos de autor, que desde una óptica general tutela al software y que, por ende, algún interés presenta también para el tema bajo examen.
Examinemos a continuación las normas mencionadas.

Código de Normas y Procedimientos Tributarios

El Código de Normas y Procedimientos Tributarios [4] -junto con otras disposiciones de la misma materia- pasó por un importante proceso de ajustes legislativos, particularmente y en cuanto interesa, los introducidos por ley número 7535 ("Ley de Justicia Tributaria") del 1 de agosto de 1995; y la número 7900, publicada en el diario oficial La Gaceta del 17 de agosto de 1999.
Es así como en su Título 3 ("Hechos Ilícitos Tributarios"), Capítulo 3 ("Sanciones Penales") encontramos la Sección 2 ("Delitos Tributarios"), con cuatro preceptos de importancia:

• El artículo 94 establece sanciones por acceso desautorizado a la información. Será castigado, con prisión de uno a tres años, quien, por cualquier medio tecnológico, acceda a los sistemas de información o las bases de datos de la Administración Tributaria, sin la autorización correspondiente.
• De acuerdo con el numeral 95 ("Manejo indebido de programas de cómputo"), se impondrá pena de tres a diez años de prisión, a quien -sin autorización de la Administración Tributaria- se apodere de cualquier programa de cómputo utilizado por aquélla para administrar la información tributaria y sus bases de datos; lo copie, destruya, inutilice, altere, transfiera o lo conserve en su poder, siempre que la aplicación haya sido declarada de uso restringido, mediante resolución.
• La sanción para quien facilite su código y su clave de acceso, asignados para ingresar a los sistemas de información tributarios, para que otra persona los use, es de prisión de tres a cinco años (artículo 96). Si ello ocurriere culposamente, la prisión será de seis meses a un año (artículo 97).

Ley General de Aduanas

La vigente Ley General de Aduanas [5] incorpora un Título 10, denominado "Delitos Aduaneros, Infracciones Administrativas y Tributarias". Éste, a su vez, contiene un Capítulo 2, titulado "Delitos Informáticos", con dos artículos.

• Conforme al artículo 221, se reprimirá con prisión de uno a tres años a quienes:
  a) Accedan, sin la autorización correspondiente y por cualquier medio, a los sistemas informáticos utilizados por el Servicio Nacional de Aduanas.
  b) Se apoderen, copien, destruyan, inutilicen, alteren, faciliten, transfieran o tengan en su poder, sin autorización de la autoridad aduanera, cualquier programa de computación y sus bases de datos, utilizados por el Servicio Nacional de Aduanas, siempre que hayan sido declarados de uso restringido por esta autoridad.
  c) Dañen los componentes materiales o físicos de los aparatos, las máquinas o los accesorios que apoyen el funcionamiento de los sistemas informáticos diseñados para las operaciones del Servicio Nacional de Aduanas, con la finalidad de entorpecerlas u obtener beneficio para si o para otra persona. Y,
  d) Faciliten el uso del código y la clave de acceso asignados para ingresar en los sistemas informáticos. La pena será de seis meses a un año si el empleo se facilita culposamente.
  Como se nota, un mismo tipo reúne la previsión de acciones múltiples: la penetración no autorizada de sistemas (en el inciso a), la sustracción o reproducción ilícita de software junto con el sabotaje informático (en el inciso b) y el daño informático (inciso c). Por su parte, el último precepto contempla una conducta que podría discutirse si debe quedar regulada como un tipo autónomo (de la clase que algún sector de la doctrina penalista califica de "delitos de peligro") o si pareciera más bien una modalidad de participación (en carácter de complicidad) en un ilícito informático cometido por terceros.
  Nótese que hay reiteración de figuras respecto de las contempladas en el Código Tributario, previamente citado, solo que con una sanción mayor. A esto nos referíamos al comentar acerca de los peligros de promulgar normas especiales -en vez de una regulación general- en materia tan delicada. La incongruencia legislativa nos parece evidente e injustificable, desde que las materias tributaria y aduanera son áreas estrechamente entrelazadas del Derecho Financiero. No percibimos entonces la razonabilidad de sancionar diferenciadamente un mismo injusto penal.
• Por su parte, el numeral 222 ibidem prevé una agravante (pena de tres a cinco años) cuando, respecto de las causales del artículo anterior, concurran las siguientes circunstancias:
  a) Que intervengan en el hecho tres o más personas, en calidad de autores. O,
  b) Que intervenga, en calidad de autor, instigador o cómplice, un funcionario público en ejercicio de sus funciones, con ocasión de ellas o con abuso de su cargo.
  A pesar de que el segundo supuesto es claro y razonable, nos ofrece duda el primero. Al menos a primera vista pareciera irrelevante el número de coautores del delito para efectos de agravación de la pena en este caso. [6] Lo pertinente podría ser sancionar el ilícito informático en sí y -si correspondiera- contemplar la intervención de múltiples autores bajo una figura separada, como por ejemplo en Costa Rica, el delito de asociación ilícita. [7]

Legislación sobre propiedad intelectual

La Ley de Derechos de Autor y Derechos Conexos [8] también ha venido pasando por una serie de reformas relevantes. En el terreno informático, nos conciernen las modificaciones introducidas en ese texto mediante las leyes número 7397 de 28 de abril de 1994, 7979 de 22 de diciembre de 1999 y 8039 de 12 de octubre del 2000.
La LDA considera al software como una "obra literaria o artística" (artículo 1). Por ende, a las infracciones a la propiedad intelectual sobre el software se aplican las sanciones genéricamente previstas para las obras en sentido amplio. En particular, el artículo 119 -hoy derogado- contemplaba la imposición de la pena de prisión, de uno a tres años, por diversos ilícitos en este terreno, dentro de los cuales se incluían las infracciones relativas a los bienes informáticos, como la llamada "piratería de software".
Aunque tampoco específicamente relativa a los bienes digitales, la mencionada ley número 8039 ("Ley de Procedimientos de Observancia de los Derechos de Propiedad Intelectual") ha venido a sustituir a ese precepto de la LDA con sus artículos 51 a 63, que regulan ahora todo lo referente a las sanciones para los delitos contra los derechos de autor y derechos conexos, manteniendo eso sí las penas previas de uno a tres años de prisión.

Ley de Administración Financiera de la República y Presupuestos Públicos

Se trata de la ley Ley No. 8131 de 18 de setiembre del 2001. Su artículo 110 establece la responsabilidad administrativa de los funionarios públicos, independientemente de la responsabilidad civil o penal, entre otras causas, por:

• El ingreso, por cualquier medio, a los sistemas informáticos de la Administración Financiera y de Proveeduría, sin la autorización correspondiente (inciso m).
• Obstaculizar el buen desempeño de los sistemas informáticos de la Administración Financiera y de Proveeduría, omitiendo el ingreso de datos o ingresando información errónea o extemporánea (inciso n). Y,
• Causar daño a los componentes materiales o físicos de los aparatos, las máqui-nas o los accesorios que apoyan el funcionamiento de los sistemas informáticos de la Administración Financiera y de Proveeduría (inciso ñ).

Por su parte, el artículo 111 ibidem señala:

"Artículo 111.— Delito informático. Cometerán delito informático, sancionado con prisión de uno a tres años, los funcionarios públicos o particulares que realicen, contra los sistemas informáticos de la Administración Financiera y de Proveeduría, alguna de las siguientes acciones:
a) Apoderarse, copiar, destruir, alterar, transferir o mantener en su poder, sin el debido permiso de la autoridad competente, información, programas o bases de datos de uso restringido.
b) Causar daño, dolosamente, a los componentes lógicos o físicos de los aparatos, las máquinas o los accesorios que apoyan el funcionamiento de los sistemas informáticos.
c) Facilitar a terceras personas el uso del código personal y la clave de acceso asignados para acceder a los sistemas.
d) Utilizar las facilidades del Sistema para beneficio propio o de terceros."

Finalmente, los artículos 114 y 117 establecen la correlativa responsabilidad civil de los funcionarios o particulares involucrados, respectivamente.

Código Penal

Como fruto de la reunión de Ministros a que se aludió al inicio, la Procuraduría General de la República preparó un proyecto de ley que el Poder Ejecutivo envió a conocimiento de la Asamblea Legislativa y que fue aprobado mediante ley 8148 de 24 de octubre del 2001. El proyecto contemplaba la adición de cuatro preceptos al Código Penal (de los cuales en definitiva solo se adoptó tres), junto con una reforma asociada a la denominada "Ley sobre Registro, Secuestro y Examen de Documentos Privados e Intervención de las Comunicaciones". [9]
a.- Se adicionó en primer término un nuevo artículo 196 bis al Código, cuyo texto establece:

"Artículo 196 bis.- Violación de comunicaciones electrónicas.
Será reprimida con pena de prisión de seis meses a dos años, la persona que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere, accese, modifique, altere, suprima, intercepte, interfiera, utilice, difunda o desvíe de su destino, mensajes, datos e imágenes contenidas en soportes: electrónicos, informáticos, magnéticos y telemáticos. La pena será de uno a tres años de prisión, si las acciones descritas en el párrafo anterior, son realizadas por personas encargadas de los soportes: electrónicos, informáticos, magnéticos y telemáticos."

Es interesante notar que el proyecto original era bastante más extenso, pues rezaba:

"Artículo 196 bis.- Violación de comunicaciones electrónicas.
Será reprimido con pena de prisión de uno a cuatro años la persona que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus mensajes de correo electrónico o cualesquiera otro tipo de telecomunicación de tipo remoto, documentos magnéticos, intercepte sus telecomunicaciones, o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen o de cualquier otra señal de comunicación telemática para lograr ese objetivo.
Las mismas penas se impondrán al que, sin estar autorizado, accese, se apodere, utilice, modifique o altere, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado, ya sea en perjuicio del titular de los datos o de un tercero.
Se impondrá la pena de prisión de dos a cinco años si se difunden, revelan o ceden a terceros los datos o hechos descubiertos o las imágenes captadas a que se refieren los números anteriores.
Será castigado con las penas de prisión de uno a tres años, el que, con conocimiento de su origen ilícito y sin haber tomado parte en su descubrimiento, realizare la conducta descrita en el párrafo anterior.
Si los hechos descritos en los párrafos 1 y 2 de este artículo se realizan por las personas encargadas o responsables de los ficheros, soportes informáticos, electrónicos o telemáticos, archivos o registros, se impondrá pena de prisión de dos a seis años.
Si los hechos descritos en este artículo se realizan con fines lucrativos, la pena será de prisión de cuatro a siete años.
Lo dispuesto en este artículo será aplicable al que descubriere, revelare o cediere datos reservados de personas jurídicas, sin el consentimiento de sus representantes."

A manera de comentario, viene a la mente el problema de titular la norma como una "violación de comunicaciones electrónicas", cuando no todas las conductas descritas están estrictamente asociadas a una comunicación de esa naturaleza. El tipo se podría configurar incluso en ausencia de ella (por ejemplo, la persona que, aprovechando que la víctima ha dejado su computadora personal momentáneamente desatendida, hurga en sus archivos personales) o con posterioridad a su conclusión.
Por otra parte, nos hubiera parecido importante seguir la tendencia de otros ordenamientos, en que se agrava la sanción cuando los datos reservados que se cede o revela aluden a factores personalísimos como la ideología, creencias religiosas, preferencias sexuales, origen étnico o racial, o se refieren a menores o incapaces.
Finalmente, valga destacar la mala técnica legislativa de señalar que la conducta punible la sufre la víctima "sin su consentimiento", lo cual debería ser obvio, dado que si media su anuencia, no habría delito.
b.- Se agregó igualmente -con cambios mínimos frente al proyecto- un nuevo artículo 217 bis, con el siguiente texto:

"Artículo 217 bis.- Fraude informático.
Se impondrá pena de prisión de uno a diez años a la persona que, con la intención de procurar u obtener un beneficio patrimonial para sí o para un tercero, influya en el procesamiento o el resultado de los datos de un sistema de cómputo, mediante programación, empleo de datos falsos o incompletos, uso indebido de datos o cualquier otra acción que incida en el proceso de los datos del sistema."

Como se nota, la previsión omite la modalidad agravada -tipificada en otros países- del fraude fiscal informático, en el que la víctima del acto es la Administración tributaria o aduanera. Nótese, además, que este ilícito no resultaría idóneo para sancionar los supuestos de hurto informático.
c.- Al artículo 229 se proponía agregar un inciso 5), con este texto:

"5) Cuando el daño recayere sobre el soporte físico de un sistema de cómputo o en sus partes o componentes."

Esta parte del proyecto no se aprobó. De toda suerte, valga comentar que habría sido importante distinguir el caso del daño que recaiga sobre equipos dedicados a servicios públicos especialmente sensibles (por ejemplo, el Registro Nacional, el suministro eléctrico, etc.).
d.- Finalmente, se adicionó al mismo Código un nuevo artículo 229 bis, estableciendo:

"Artículo 229 bis.- Alteración de datos y sabotaje informático.
Se impondrá pena de prisión de uno a cuatro años a la persona que por cualquier medio accese, borre, suprima, modifique o inutilice sin autorización los datos registrados en una computadora.
Si como resultado de las conductas indicadas se entorpece o inutiliza el funcionamiento de un programa de cómputo, una base de datos o un sistema informático, la pena será de tres a seis años de prisión. Si el programa de cómputo, la base de datos o el sistema informático contiene datos de carácter público, se impondrá pena de prisión hasta de ocho años. "

Con esta norma ocurrió algo interesante. En efecto, menos de un año después de su promulgación, la Asamblea Legislativa -mediante ley número 8250 de 2 de mayo del 2002- promulgó otro artículo 229 bis, relativo al "Abandono dañino de animales". En buena teoría, podría pensarse que este gazapo legislativo (puesto que seguramente se dio por error) provocó la derogatoria tácita del tipo "Alteración de datos y sabotaje informático". Hubo quienes sostuvieron, sin embargo, que se debía ver como un simple error material y que la nueva norma debía entenderse como un artículo 229 ter. El problema es que, mediante sentencia número 2007-18486 de las 18:03 horas del 19 de diciembre del 2007, la Sala Constitucional declaró la norma en cuestión (esto es, el "Abandono dañino de animales") inconstitucional. ¿En qué quedaría entonces el tipo del sabotaje informático? La solución deberán darla eventualmente los tribunales de justicia, en ejercicio de su función exegética de la ley. [10]
En todo caso, en lo que a alteración de datos se refiere, la norma -con excesiva rigurosidad, me parece- no hace la distinción que hacen otros ordenamientos, en el sentido de dejar en el terreno de las infracciones administrativas o disciplinarias la conducta de quien realiza la adulteración sin ánimo lucrativo ni perjuicio de terceros (ejemplo: el estudiante que altera sus calificaciones para lograr la aprobación de un curso académico).
e.- Como anticipamos también arriba, la reforma contemplaba también un ajuste paralelo en el texto del párrafo primero del artículo 9 de la Ley sobre Registro, Secuestro y Examen de Documentos Privados e Intervención de las Comunicaciones, en la forma siguiente:

"Articulo 9.- Autorización de intervenciones.
Los Tribunales de Justicia podrán autorizar la intervención de comunicaciones orales, escritas o de cualquier otro tipo, dentro de los procedimientos de una investigación policial o jurisdiccional, cuando involucre el esclarecimiento de los siguientes delitos: el secuestro extorsivo, los previstos en la Ley sobre Sustancias Psicotrópicas, Drogas de Uso no Autorizado y actividades conexas y cualquier otro delito vinculado con el uso de comunicaciones telemáticas, comunicaciones de tipo remoto, correo electrónico o cualesquiera otro tipo, documentos magnéticos, o la utilización de artificios técnicos de escucha, transmisión, grabación, reproducción del sonido o de la imagen, cualquier señal de comunicación telemática y en general cualquier delito que utilice como instrumento o tenga por objetivo los accesos no autorizados a computadoras o sistemas informáticos."

Esta parte del proyecto no se aprobó.

Propuestas de lege ferenda

Proyecto de reforma de 1996

A la Asamblea Legislativa (Parlamento costarricense) fue sometido en 1996 un proyecto de ley, mediante el cual se proponía la reforma de seis artículos del Código Penal, a fin de incluir una disciplina más general del delito informático en nuestro país. Aunque la enmienda no prosperó, es la primera de su género de que tenemos noticia en nuestro medio.

Proyecto de reformas al Código Penal

De iniciativa del Poder Ejecutivo (y, según entendemos, aprovechando en parte el proyecto anteriormente citado), se envió a la Asamblea una "Ley de reformas al Código Penal". [11] Por desgracia y, como resultado de una inadecuada tramitación, la iniciativa quedó archivada en julio del 2009 [12].
En lo que a delitos informáticos se refiere, el proyecto original incluía las siguientes disposiciones de interés:

"Artículo 187: Tratamiento ilícito de datos personales y comunicaciones.
Será sancionado con pena de prisión de uno a cuatro años quien se apodere, abra, accese, imponga, copie, transmita, publique, recopile, use, intercepte, retenga, suprima, oculte, desvíe o dé un tratamiento no autorizado a las comunicaciones, imágenes o datos de otra persona física o jurídica no públicos o notorios, a soportes informáticos, a programas de cómputo o a sus bases de datos."
"Artículo 191: Circunstancias de agravación
Las penas de los artículos anteriores se elevarán según lo dispuesto en el artículo 79, cuando la conducta se realice:
1. Por un servidor público con motivo de sus funciones, cualquiera que sea su grado de participación;
2. Con desobediencia a las autoridades judiciales;
3. Prevaleciéndose el autor o partícipe de su vinculación con una empresa o institución, pública o privada, encargada de comunicaciones;
4. Por las personas encargadas o responsables de los ficheros, soportes informáticos, archivos o registros; y
Con el fin de establecer perfiles discriminatorios de personalidad."

Nótese como, en este caso, se omitía -correctamente- la referencia al número de autores como un factor agravante.

"Artículo 222: Hurto calificado agravado
El hurto se sancionará con pena de prisión de tres meses a tres años, si el valor de lo sustraído no excede de cinco veces el salario base, y de uno a ocho años, si es mayor de esa suma, en los siguientes casos:
(...)
3. Cuando se hace uso de procedimientos o mecanismos que sin ejercer fuerza permitan el acceso o ingreso, tales como ganzúas, llaves, claves, tarjetas magnéticas o perforadas, mandos u otros instrumentos que cumplan esa función;
(...)
8. Cuando se realice por medio de la manipulación de datos o de la intervención en soportes de información electrónicos, magnéticos o de otras tecnologías."

Se incorporaba aquí el concepto de la "llave falsa", propia del hurto tradicional, para hacerla extensiva al hurto informático cometido -entre otros- mediante el empleo de contraseñas o tarjetas magnéticas.

"Artículo 230: Estafa calificada agravada
Las penas de la estafa se aumentarán de conformidad con el artículo 79, en las siguientes circunstancias:
(...)
4. Cuando se realice mediante manipulación que interfiera el resultado de un procesamiento o transmisión informática de datos.
(...)"

Al pretender introducir la figura del fraude informático, no sólo no quedaba clara en la propuesta la relación entre este tipo y el inciso 8 del previamente transcrito, sino que -peor aún- se olvidaba que este ilícito también es susceptible de ser cometido a través de la manipulación de los datos de entrada o bien de su procesamiento, propiamente dicho, en adición al que se pueda efectuar de los resultados de este último.

"Artículo 242: Daño calificado agravado
La sanción será prisión de seis meses a tres años, cuando el daño se produzca en las siguientes circunstancias:
(...)
4. Cuando recaiga sobre documentos, archivos electrónicos, magnéticos o de nuevas tecnologías, programas de computadora o sus bases de datos; o los componentes de los aparatos, máquinas o accesorios que apoyan el funcionamiento de sistemas informáticos."

Se buscaba fusionar el daño informático (al hardware) con el sabotaje informático (al software), cosa innecesaria e inconveniente, desde que se trata de conductas completamente diferentes: una tiene por objetivo el equipo físico y se comete por medios físicos también -por ejemplo, dejando caer la computadora-; la otra ataca al sistema de información (que es inmaterial) y se comete por medios lógicos -por ejemplo, implantando un virus informático-.
Como comentario global, se puede observar que el proyecto inicial se orientaba claramente hacia circunscribir a nuestro país dentro de la primera tendencia legislativa que identificamos supra.
Ahora bien, como resultado de las consabidas negociaciones y propuestas legislativas, entiendo (puesto que no dispongo de la última versión) que la redacción final presentaba sustanciales variaciones respecto del proyecto original. Se me ha indicado que en lo que a delitos informáticos se refiere, la propuesta actual se orientaba hacia incluir solamente las siguientes disposiciones:

• Lesiones a la autodeterminación informativa: arts. 191-193, 196
• Publicación y reproducción de ofensas por medios electrónicos: arts. 207, 208
• Hurto informático: art. 238-8
• Fraude informático: arts. 245-5 (?) y 252
• Daño agravado: art. 261-4

De ser así, habríamos echado de menos una previsión de figuras tales como la intrusión simple, el fraude fiscal informático, sabotaje informático, apropiación de servicios, denegación de servicios y "spamming".

Proyecto de la ex-diputada Núñez Chávez

En La Gaceta del 6 de octubre 10 del 2003 apareció un proyecto de "Ley de Delito Informático" (exp. 15.397) presentado por la entonces diputada María Elena Núñez Chávez [13]. Los tipos penales que sanciona son: fraude por computadora, falsificación de información, accesos no autorizados a servicios y sistemas informáticos, reproducción no autorizada de programas informáticos de protección legal, sabotaje informático, estafa electrónica, pesca u olfateo de claves secretas de acceso, uso ilegítimo de contraseñas de acceso, uso ilegítimo de sistemas informáticos ajenos, delitos informáticos contra la privacidad y difusión de pornografía infantil.
Se trata de una iniciativa muy completa y bien redactada. Esperaríamos que eventualmente sea adoptada y refundida más bien dentro de un futuro Código Penal, a fin de centralizar el tratamiento de estas figuras.

Convenio europeo sobre ciberdelincuencia

Como es sabido, el Consejo de Europa aprobó en noviembre del 2001 un "Convenio sobre la Ciberdelincuencia", que es el primer instrumento multinacional diseñado para atacar el problema de los delitos cometidos por medio de la red. Está abierto a otros Estados no europeos que sean invitados a suscribirlo. Entró en vigencia el 1 de julio del 2004.
En el Alcance N° 119 a La Gaceta N° 163 del 24 de agosto del 2012, apareció publicado el expediente legislativo N° 18.484, por medio del cual el Poder Ejecutivo sometió a la Asamblea Legislativa la aprobación de la adhesión de Costa Rica al Convenio. El asunto se encuentra a la fecha bajo estudio de la Comisión Permanente Especial de Relaciones Internacionales y de Comercio Exterior.

Proyecto de la diputada Vásquez Badilla

En La Gaceta Nº 113 del 13 de junio del 2007 apareció otro proyecto de "Adición de nuevos artículos al Código Penal para regular el delito informático", expediente Nº 16.546, de la diputada Lorena Vásquez Badilla [14]. Allí se propone:
a.- Adicionar un nuevo artículo 216 bis al Código Penal, que se leerá de la siguiente manera:

"Artículo 216 bis.- ESTAFA MEDIANTE TARJETA DE CRÉDITO O DÉBITO
Quien, mediante engaño, utilizare una tarjeta de crédito o débito con el ánimo de obtener para sí, o para un tercero, beneficios patrimoniales, será sancionado con pena de prisión de uno a cuatro años."

b.- Agregar un nuevo artículo 218, con el siguiente contenido:

"Artículo 218.- FRAUDE INFORMÁTICO CON TARJETA DE CRÉDITO O DÉBITO
Quien, con el ánimo de obtener un beneficio patrimonial para sí, o para un tercero, altere, suprima o incorpore en una tarjeta de crédito o débito, datos falsos, ocasionando con ello un perjuicio económico a su legítimo propietario, será sancionado con pena de prisión de uno a seis años.
El perjuicio patrimonial se calculará de conformidad con lo establecido por la Ley Nº 7337, de 5 de mayo de 1993."

c.- Finalmente, adicionar un artículo 218 bis al Código Penal, que se leerá de la siguiente manera:

Artículo 218 bis.- FRAUDE NACIONAL, INDUSTRIAL Y PERSONAL
Quien, mediante procesamiento de datos en una cuenta electrónica, manipule, suprima, facilite, altere o modifique de cualquier forma información, con el ánimo de obtener o procurar un beneficio propio o para un tercero, será sancionado con pena de prisión de dos a ocho años."

Como se ve, se trata de disposiciones muy puntuales, referidas más que nada a los crecientes problemas suscitados con el empleo fraudulento de tarjetas electrónicas bancarias. Lo que en definitiva no comprendo es el sentido del título de la última figura ("Fraude nacional, industrial y personal"), por demás inusual.

Proyecto de nuevo Código Penal

En La Gaceta N° 212 del 2 de noviembre del 2009 se publicó un nuevo proyecto de Código Penal, expediente Nº 17.514 [15], que contiene varias previsiones importantes en materia de delitos informáticos. Entre ellas:

• Un Título IV, sobre "Delitos contra el ámbito de intimidad y la autodeterminación informativa".
• La publicación de ofensas, que se configura cuando "se realice con publicidad por medio de la imprenta, la televisión, la radiodifusión, redes de información o por cualquier otro medio de eficacia semejante" (artículo 208).
• Una nueva modalidad de hurto agravado, que se comete "Cuando se realice por medio de la manipulación de datos o de la intervención en soportes de información electrónicos, magnéticos o de otras tecnologías" (artículo 239, inciso 8).
• Estafa agravada, "cuando se realice mediante manipulación que interfiera el resultado de un procesamiento o transmisión informática de datos" (artículo 246, inciso 5).
• Fraude informático, que sanciona "a la persona que, con la intención de procurar u obtener un beneficio patrimonial para sí o para un tercero, influya en el procesamiento o el resultado de los datos de un sistema de cómputo, mediante programación, empleo de datos falsos o incompletos, uso indebido de datos o cualquier otra acción que incida en el proceso de los datos del sistema" (artículo 253). Y,
• Un nuevo tipo de daño agravado, "Cuando recaiga sobre documentos, archivos electrónicos, magnéticos o de nuevas tecnologías, programas de computadora o sus bases de datos; o los componentes de los aparatos, máquinas o accesorios que apoyan el funcionamiento de sistemas informáticos" (artículo 262, inciso 6).

Algunos comentaristas nacionales -como el profesor Alfredo Chirino Sánchez [16]- han destacado que el proyecto de Código padece de importantes limitaciones en esta materia, debido al hecho de que parte de un intento de preveer los tipos de delitos informáticos únicamente sobre la base de conductas tradicionales previas, lo cual representa un enfoque claramente restrictivo.

Proyecto del diputado Luis A. Barrantes

Según informó el diario La Prensa Libre del 3 de marzo del 2010, dicho congresista presentó, bajo el expediente legislativo N° 17.613, un proyecto de ley denominado "Reforma a varios artículos del Código Penal y adición de un nuevo capítulo denominado 'Delitos informáticos'" [17]. En julio del 2012, el proyecto fue aprobado y se convirtió en “Ley de Delitos Informáticos”, N° 9048, que reforma diversos preceptos del Código Penal. La nueva legislación, que no ha entrado aun en vigencia pues a la fecha no ha sido publicada en el diario oficial La Gaceta, ha generado controversia por el contenido de algunas de sus disposiciones, que –según sus críticos– afecta el ejercicio de la libertad de prensa. El Gobierno de la República manifestó su disposición a revisar el texto y reformarlo de ser necesario [18]. Esto se concretó el 30 de agosto del 2012, con la publicación en el Alcance N° 121 a La Gaceta N° 167 (documento PDF, 224 kb) del proyecto de ley, expediente legislativo N° 18.546, titulado "Reforma de los tipos penales establecidos en los artículos 167, 196, 196 bis, 231, 236 y 288 del Código Penal". Por este motivo, no incluyo las reformas aun como legislación vigente y opto por postergar cualquier comentario al respecto.

Conclusión

Costa Rica requiere de una importante actualización legislativa en materia de delincuencia informática. Los proyectos presentados al efecto se orientan en esa dirección, pero al parecer no aprovechan las investigaciones y experiencia de otros ordenamientos que llevan la delantera en este terreno.
Por ello, estimamos importante y urgente el aporte de mayores criterios, así como la realización de actividades de análisis académico del tema, con el fin de obtener una panorámica completa del fenómeno de la ciberdelincuencia, que a la par de complejo, solamente da muestras de un crecimiento cada vez más acelerado.

Agradecimiento

El autor agradece a las colegas, Licda. Andrea Hulbert Volio y Licda. Saray Peralta Aguilar, su lectura previa y comentarios a la versión original de este trabajo.

Notas

1. Los ordenamientos jurídicos citados como ejemplos provienen de RIQUERT, Marcelo A. "Estado de la legislación contra la delincuencia informática en el Mercosur", en Revista Electrónica de Derecho Informático, marzo 2008.
2. Citado en CORREA, Carlos y otros. Derecho Informático. Ediciones Depalma, Buenos Aires, 1994. Página 298.
3. Según el proyecto, “cometerá delito informático la persona que maliciosamente use o entre a una base de datos, sistema de computadores o red de computadoras o a cualquier parte de la misma con el propósito de diseñar, ejecutar o alterar un esquema o artificio, con el fin de defraudar, obtener dinero, bienes o información. También comete este tipo de delito el que maliciosamente y a sabiendas y sin autorización intercepta, interfiere, recibe, usa, altera, daña o destruye una computadora, un sistema o red de computadoras, un soporte lógico o programa de la computadora o los datos contenidos en la misma, en la base, sistema o red.” En definitiva, Chile optó en 1993 por una ley especial, de escasos cuatro artículos, siempre con el propósito de establecer una regulación general sobre el tema (nos referimos a la ley número 19.223 de 28 de mayo de 1993).
4. También llamado Código Tributario; ley número 4755 de 29 de abril de 1971.
5. Ley número 7557 de 20 de octubre de 1995.
6. A diferencia de lo que sucede, por ejemplo, en los delitos de robo o violación, en los que la participación de varias personas como autoras claramente justifica una punibilidad mayor.
7. Artículo 274 del Código Penal.
8. Número 6683 de 14 de octubre de 1982.
9. Ley número 7425 de 9 de agosto de 1994.
10. En el "Observatorio Judicial" (boletín de prensa electrónico del Poder Judicial) del 6 de enero del 2009, aparece un comentario titulado "La (I)responsabilidad en el acto de legislar (a propósito de los errores en la 'nueva' Ley de Tránsito)", de la Licda. Rosaura Chinchilla Calderón, Jueza de Casación Penal de San José. En él hace el siguiente comentario: "(Por) ley N° 8148 de 24 de octubre del 2001 se creó un artículo 229 bis denominado 'Alteración de datos y sabotaje informático' y luego, por ley Nº 8250 de 02 de mayo de 2002 se 'volvió a crear' el artículo 229 bis previendo, ahora, el abandono dañino de animales. El contenido de ambos es radicalmente diferente. Entonces, si partimos que la ley posterior deroga la anterior y en aplicación del principio de legalidad, la primera reforma, que no tenía relación con la temática abarcada en la segunda, quedó tácitamente derogada porque el legislador no supo introducir adecuadamente la segunda norma".
11. Se trata del expediente número 11.871, proyecto inicialmente publicado en La Gaceta Nº 82 del 29 de abril de 1994.
12. Véase mi artículo "Delitos informáticos impunes", en La Nación del 8 de agosto del 2009.
13. Se puede descargar el proyecto desde el sitio web de la Asamblea (en formato Word).
14. Descargar el proyecto desde el sitio de la Asamblea Legislativa (en formato Word).
15. Se puede ver en el sitio web de la Imprenta Nacional.
16. Comentarios verbales efectuados durante la mesa redonda "Delitos informaticos: necesidad de nuevas formas de regulacion", el 10 de noviembre del 2009, en el Colegio de Abogados de Costa Rica.
17. El proyecto original fue publicado en La Gaceta Nº 49 del 11 de marzo del 2010.
18. Véase, por ejemplo, este artículo de prensa.