Ciberseguridad y Delitos Informáticos

Lo primero es contener el incidente y resguardar la evidencia digital: registros de acceso, correos, capturas y bitácoras del sistema, evitando alterar los equipos comprometidos. Esa evidencia es decisiva para una eventual denuncia por los delitos de la Ley N° 21.459, sobre delitos informáticos. En paralelo conviene evaluar si el ataque afectó datos personales de clientes o trabajadores, lo que activa obligaciones de la Ley N° 21.719, y si la organización está sujeta a deberes de reporte ante la autoridad de ciberseguridad. Actuar con rapidez y con asesoría reduce el daño y mejora la posición legal.

Depende de la actividad. La Ley N° 21.663, que establece el marco de ciberseguridad y crea la Agencia Nacional de Ciberseguridad (ANCI), impone a los operadores de servicios esenciales y a quienes califican como de importancia vital la obligación de gestionar riesgos y de notificar los incidentes que tengan efectos significativos, dentro de los plazos que fija la normativa. Aunque su empresa no quede en esas categorías, reportar y documentar el incidente suele ser recomendable, y si se afectaron datos personales pueden surgir deberes adicionales bajo la Ley N° 21.719. Conviene revisar caso a caso si existe una obligación legal de notificar.

La Ley N° 21.459 tipifica, entre otras, el acceso ilícito a un sistema informático, la interceptación indebida de comunicaciones, el ataque a la integridad de un sistema o de los datos (por ejemplo, dañar, borrar o alterar información), la falsificación informática y el fraude informático. También sanciona el abuso de dispositivos creados para cometer estos delitos. La ley contempla agravantes cuando se afectan servicios o infraestructuras relevantes. Si fue víctima de alguna de estas conductas, el resguardo temprano de la evidencia digital es clave para sustentar la denuncia.

Una filtración de datos personales puede generar responsabilidad bajo la Ley N° 21.719, sobre protección de datos personales, que exige adoptar medidas de seguridad adecuadas y, según el caso, notificar las vulneraciones que afecten a los titulares. A ello puede sumarse la dimensión penal si el origen fue un acceso o ataque ilícito sancionado por la Ley N° 21.459. La empresa debe documentar el incidente, evaluar el riesgo para las personas afectadas y revisar sus contratos con proveedores tecnológicos. Una respuesta ordenada reduce sanciones y reclamaciones posteriores.

Sí. Acceder a un sistema, correo o cuenta ajena sin autorización del titular puede constituir el delito de acceso ilícito de la Ley N° 21.459, aunque no se modifique ni se sustraiga información. El hecho de conocer la clave no equivale a tener autorización para usarla. Si además se interceptan comunicaciones, se alteran datos o se usa la información para defraudar, pueden configurarse otros delitos de la misma ley. Tampoco es excusa que la cuenta sea de un familiar, una expareja o un compañero de trabajo: la autorización del titular es lo determinante.

La evidencia digital es frágil y puede perder valor si se manipula mal. Conviene no apagar ni formatear los equipos comprometidos, conservar los registros de acceso y los correos en su formato original, y documentar con fecha y hora cada hallazgo. Capturas de pantalla, respaldos íntegros y la cadena de custodia ayudan a acreditar los hechos en una denuncia por delitos de la Ley N° 21.459 o en un juicio civil. Cuando el incidente es relevante, lo recomendable es recurrir a un perito informático y a asesoría legal antes de intervenir los sistemas, para no comprometer la prueba.