Respuesta directa: Sí. Un servidor público puede incurrir en delitos informáticos —y afrontar responsabilidad penal además de la administrativa— por conductas que muchas veces se minimizan: revisar sin autorización bases de datos del Estado, modificar un registro, usar credenciales ajenas o extraer información institucional para fines personales. La Ley 30096 (Ley de Delitos Informáticos) tipifica estas conductas, y su modificatoria, la Ley 30171, agravó penas y precisó tipos penales. Conocer los límites no es un requisito burocrático: es la línea que separa una falta disciplinaria de un proceso penal.
¿A quiénes aplica esta norma?
- Funcionarios y servidores con acceso a sistemas de información (SIAF, SIGA, AIRHSP, plataformas de trámite, bases de datos institucionales): los delitos de acceso ilícito e indebido se configuran incluso con credenciales válidas si el uso excede lo autorizado.
- Personal de TI y administradores de sistemas: responsables de la integridad de datos y sistemas; su manipulación indebida configura tipos agravados.
- Oficinas de Recursos Humanos, tesorería y administración: manejan datos personales y financieros sensibles; la suplantación o alteración de registros es delito.
- Titulares de entidades y jefes de oficina: responsables de implementar controles; la omisión que facilita delitos informáticos puede generar responsabilidad por el incumplimiento de deberes de supervisión.
- Abogados públicos y asesores legales: necesitan conocer los tipos penales para asesorar correctamente y para litigar casos de corrupción y criminalidad organizada que usan medios digitales.
¿Qué conductas son delitos informáticos?
La Ley 30096 protege sistemas y datos informáticos. Los principales tipos penales aplicables al ámbito público:
- Acceso ilícito (art. 2): acceder, total o parcialmente, sin autorización a un sistema informático. Se agrava si el acceso es para obtener información restringida o con fines de lucro.
- Atentado a la integridad de datos (art. 3): dañar, alterar, suprimir o destruir datos informáticos sin autorización — p. ej., modificar un registro de pago o una base de datos institucional.
- Atentado a la integridad de sistemas (art. 4): obstaculizar, impedir o inutilizar el funcionamiento de un sistema (ataques de denegación de servicio, sabotaje).
- Fraude informático (art. 5): manipular datos o sistemas para obtener beneficio económico indebido — p. ej., alterar información para desviar pagos.
- Suplantación de identidad (art. 6, incorporado por Ley 30171): apropiarse de la identidad digital de otra persona para cometer actos ilícitos — p. ej., suplantar a un funcionario para emitir documentos.
Para el servidor público el riesgo es doble: además de la pena privativa de libertad, se abre la responsabilidad administrativa disciplinaria (Ley 30057, Ley del Servicio Civil) y, cuando se afecta el correcto funcionamiento de la administración, la responsabilidad penal por delitos contra la administración pública (peculado, colusión, malversación) cuando la conducta se vincula a recursos o funciones públicas.
La regla de oro
Tener acceso autorizado no es una carta blanca. La autorización se otorga para cumplir funciones institucionales, no para usos personales. Todo uso de sistemas y datos públicos que exceda la finalidad institucional —aunque se usen credenciales propias— puede constituir acceso o uso indebido penalmente relevante. En la práctica forense, la evidencia digital (registros de acceso, trazabilidad, metadatos, copias forenses) deja rastro: el sistema registra quién accedió, cuándo y qué hizo.
En la práctica: 4 recomendaciones para entidades
- Control de accesos: perfiles mínimos, revisión periódica de usuarios y baja inmediata de accesos al cese o rotación del personal.
- Trazabilidad: habilitar y conservar registros de auditoría de accesos y modificaciones; son la primera evidencia ante un incidente.
- Directivas de uso aceptable: documentar qué está prohibido (uso personal de sistemas, descargas no autorizadas, reenvío de información reservada) y socializarlo.
- Respuesta ante incidentes: protocolo para preservar evidencia digital (cadena de custodia) y denunciar ante el Ministerio Público cuando se detecte un ilícito.
Preguntas frecuentes
¿Es delito revisar información de un familiar en un sistema del Estado?
Sí, puede configurar acceso ilícito (art. 2 de la Ley 30096): el acceso sin autorización o con uso indebido de credenciales a información restringida es penalmente relevante, además de falta administrativa.
¿Un servidor responde si un tercero usa sus credenciales?
Depende de la diligencia: si el servidor facilitó, entregó o no resguardó sus credenciales, puede responder por los hechos derivados de ese uso; por eso la custodia de claves es un deber de función.
¿Qué pasa si la entidad detecta un acceso indebido?
Debe activar el protocolo de preservación de evidencia (no borrar ni alterar registros), comunicar el hecho a la autoridad competente (Ministerio Público) y, en paralelo, iniciar el procedimiento administrativo disciplinario conforme a la Ley 30057.
¿La Ley 30096 aplica a entidades públicas?
Sí. Protege todo sistema informático, sea público o privado, ubicado en territorio nacional; y los servidores públicos pueden incurrir en estos delitos con agravantes específicas cuando afectan información del Estado.
Enlaces
- Ley 30096, Ley de Delitos Informáticos (texto oficial)
- Ley 30171, modificatoria de la Ley 30096 (texto oficial)
Análisis preparado por el equipo de Gestores Públicos Perú con base en el texto oficial de la Ley 30096 y su modificatoria, la Ley 30171.