La Ley 1273 de 2009 frente a los desafíos actuales de la ciberdelincuencia en Colombia: balance, vacíos y perspectivas de actualización
Con el auge de la tecnología en los años 90 y los delitos informáticos, en enero de 2009 el Congreso colombiano expidió la Ley 1273, que modificó el Código Penal para crear un nuevo bien jurídico: la protección de la información y de los datos. Antes de esta ley, los ataques informáticos debían encajarse a la fuerza en delitos tradicionales como el hurto o la falsedad; después de ella, Colombia contó por primera vez con un catálogo penal propio para el ciberespacio.
La norma tipificó diez conductas, entre ellas el acceso abusivo a un sistema informático, la interceptación de datos, el daño informático, el uso de software malicioso, la violación de datos personales y la suplantación de sitios web para robar información (phishing). También fue la primera vez que la clonación de tarjetas bancarias quedó cobijada expresamente por la ley penal, dentro del delito de hurto por medios informáticos, junto con la manipulación de cajeros automáticos y de sistemas de transferencia electrónica. Estos delitos no solo protegen a las personas: para las empresas, cuya información como la bases de clientes, secretos comerciales, sistemas de pago es hoy uno de sus activos más valiosos, representan una capa adicional de seguridad jurídica frente a robos, filtraciones y secuestros de datos.
Podemos entender que el internet es como el océano: hay una capa visible que todos navegamos y capas cada vez más profundas donde acechan los peligros, no solo en forma de gusanos informáticos, sino de piratas, piratas cibernéticos. La Ley 1273 nació, precisamente, para proteger las aguas por las que navegamos y el barco que llevamos con nosotros: nuestro propio patrimonio de información. Pero cuando la amenaza se materializa, afecta tanto a personas como al barco, que pueden perder desde datos sensibles hasta el control de sus propios sistemas.
El reto más grande hoy no es, como se pensaba, lograr que Colombia se sume a la comunidad internacional: el país ya se adhirió al Convenio de Budapest sobre la Ciberdelincuencia en 2020 y firmó su Segundo Protocolo Adicional en 2022. El verdadero desafío es hacer operativos esos compromisos. En la práctica, la Fiscalía enfrenta al menos tres problemas de fondo: falta de personal capacitado en informática forense, recursos insuficientes frente a un volumen de casos que ya supera los 79.000 procesos activos, y la gran dificultad de identificar autores que operan de forma anónima o desde el extranjero. En la red no hay fronteras: un ataque puede originarse en Rusia y golpear el pueblo más recóndito de Colombia, lo que vuelve extremadamente difícil judicializar estos casos. A esto se suma un punto poco discutido: los subrogados como la prisión domiciliaria no siempre consideran que, con solo un computador y conexión a internet, es posible seguir delinquiendo desde la propia casa.
A la dificultad para perseguir estos delitos se suma un problema distinto: hay conductas que, sencillamente, todavía no están tipificadas. Es el caso de la falsedad virtual; la manipulación de identidades, documentos o contenidos digitales, incluidos los deepfakes, que no está prevista expresamente en la norma y hoy se aborda de forma imperfecta con los tipos penales tradicionales de falsedad. Algo parecido ocurre con los criptoactivos: Colombia no cuenta con un tipo penal específico para las estafas, los fraudes o el uso fraudulento de criptomonedas, de modo que estos casos terminan encuadrándose, también de forma forzada, en delitos como la estafa, la captación ilegal de dinero o el lavado de activos. El problema práctico es serio, porque las criptomonedas ofrecen a los delincuentes un canal casi anónimo y difícil de rastrear para mover el dinero; como ocurre, por ejemplo, cuando se exige el pago de un rescate en Bitcoin tras un ataque de ransomware, y la Fiscalía ya reporta un número creciente de investigaciones por esquemas piramidales y lavado de activos que usan activos digitales hoy por hoy en Colombia.
Ahora bien, tampoco se trata de legislar cada conducta maliciosa posible en internet. La criminología ha mostrado que quienes delinquen en la red siempre encontrarán nuevas formas de hacerlo, porque para ellos es, ante todo, un negocio. Y la tecnología avanza mucho más rápido de lo que puede avanzar el derecho penal: para cuando el legislador logra tipificar una nueva modalidad delictiva, es muy probable que los delincuentes ya hayan ideado otra distinta. Perseguir esa carrera artículo por artículo es, en el mejor de los casos, una estrategia que siempre llega tarde.
La apuesta de la Ley 1273 nunca fue anticiparse a cada amenaza, sino garantizar tres pilares fundamentales: la confidencialidad, la integridad y la disponibilidad de los datos. Quince años después, ese objetivo sigue vigente; lo que falta no es necesariamente más norma, sino más capacidad del Estado para investigar, más cooperación internacional real y una actualización puntual frente a los vacíos que sí resultan urgentes, sin caer en la ilusión de que existe una ley capaz de prever cada delito que está por inventarse.
