Ciberdelitos y responsabilidad penal de las personas jurídicas en el Perú

 

1. Introducción

La transformación digital de la sociedad peruana ha propiciado un incremento significativo de conductas delictivas que emplean medios informáticos para la vulneración de bienes jurídicos. Así lo evidencia el hecho de que, según información del Ministerio Público, las denuncias por delitos informáticos en el país se incrementaron en 879.58% entre 2018 y 2024 (CEPLAN, 2025). En la misma línea, un análisis de Ernst & Young (EY) a nivel regional reveló que el 91% de las empresas en Latinoamérica ha sufrido incidentes de ciberseguridad y el 62% ha enfrentado filtraciones de información sensible (La República, 2025).

Estas cifras reflejan que miles de personas han visto comprometidos sus datos personales, cuentas de correo e información financiera, a raíz de intrusiones que no responden necesariamente a la sofisticación del atacante externo, sino, en muchos casos, a deficiencias en la gestión de la seguridad de la información dentro de las propias organizaciones: sistemas desactualizados, credenciales débilmente protegidas, ausencia de auditorías o personal que carece de protocolos claros de actuación.

Ahora bien, desde el 2013, el Perú cuenta con la Ley N.° 30096 - Ley de Delitos Informáticos, que sanciona conductas como el acceso ilícito a los sistemas, la afectación de la integridad de los datos, el fraude informático y la suplantación de identidad, entre otras. No obstante, esta norma centra la respuesta punitiva exclusivamente en el individuo que ejecuta la conducta, lo que deja abierta una cuestión de fondo: ¿qué ocurre con las personas jurídicas? 

Sobre esta cuestión se construye el Proyecto de Ley 14045/2025-CR, que propone incorporar los delitos previstos en los artículos 2, 3, 4, 7, 8, 9 y 10 de la Ley N.° 30096 al catálogo de delitos que, de acuerdo a la Ley N° 30424, pueden dar lugar a responsabilidad penal de las personas jurídicas. De aprobarse, la propuesta extendería el régimen de responsabilidad corporativa hacia un ámbito abordado principalmente desde la responsabilidad individual, siguiendo un camino ya transitado por Chile y España.

Bajo ese contexto, cabe preguntarse si nuestro país cuenta con las herramientas necesarias para que esta reforma funcione en la práctica. La experiencia comparada permite advertir que la inclusión de los delitos informáticos en el ámbito de la responsabilidad corporativa constituye apenas el punto de partida, pues persisten desafíos relevantes, algunos de los cuales se desarrollan a continuación. 

2. Desafíos para la incorporación de los delitos informáticos en la Ley N° 30424

2.1. Dificultad para establecer la vinculación entre la persona natural y la persona jurídica

Una de las problemáticas vinculadas a los delitos informáticos es la identificación de la persona natural que cometió el ilícito, pues conocer al autor es, en principio, un requisito para determinar responsabilidad penal. Ello, sin embargo, no constituye un obstáculo para sancionar a las personas jurídicas, dado que su responsabilidad es autónoma respecto de la persona natural, conforme al artículo 4 de la Ley N.° 30424. Ergo, esta autonomía no es absoluta porque debe existir cierto nivel de vinculación entre quien cometió el delito y la persona jurídica.

En efecto, el artículo 3 de la Ley N.° 30424 exige que el delito haya sido cometido en nombre de la persona jurídica y en su beneficio por quien ostente alguna de las calidades previstas en sus literales a), b) o c). Esta exigencia plantea dificultades tratándose de delitos informáticos: los registros de acceso, las direcciones IP o las credenciales utilizadas con frecuencia solo permiten identificar una cuenta o un dispositivo, mas no a la persona que ejecutó la conducta, pues dichos medios pueden haber sido compartidos, sustraídos o suplantados por un tercero.

Pensemos, por ejemplo, en una entidad bancaria que detecta un acceso no autorizado a información de sus clientes almacenada en servidores tercerizados a un proveedor. La investigación determina que el acceso se realizó mediante credenciales asociadas a una cuenta interna, pero no permite establecer con certeza quién las utilizó: un trabajador del banco, del proveedor, o de un tercero que las obtuvo ilícitamente.

En este caso, la ausencia de elementos que vinculen al autor con la organización dificulta establecer si la conducta resulta atribuible a la persona jurídica conforme al artículo 3 de la Ley N.° 30424. El Proyecto de Ley 14045/2025-CR no aborda esta problemática, pues se limita a incorporar los delitos de la Ley N.° 30096 al catálogo de la Ley N.° 30424

2.2. Dificultad para adaptar los modelos de prevención a la dinámica cambiante de la ciberdelincuencia

Otro desafío se vincula con la exigencia de idoneidad del modelo de prevención prevista en el artículo 17 de la Ley N° 30424, conforme a la cual este debe responder a la naturaleza, riesgos, necesidades y características de la persona jurídica, mediante medidas de vigilancia y control destinadas a prevenir el delito o reducir el riesgo de su comisión. Esta exigencia adquiere particular complejidad frente a los delitos informáticos, debido a la rápida evolución de las amenazas cibernéticas, que pueden tornar insuficientes las medidas inicialmente adoptadas.

El dinamismo y carácter transfronterizo de la cibercriminalidad exigen modelos de prevención flexibles y permanentemente actualizados, que comprendan medidas técnicas de seguridad, capacitación continua de los trabajadores y una cultura organizacional orientada a la ciberseguridad. Un modelo que hoy resulta adecuado puede dejar de serlo mañana si la empresa no se toma el trabajo de revisarlo con cierta frecuencia.

Tomemos el caso de una empresa que diseñó su modelo centrado en amenazas como el phishing o el malware más tradicional, sin contar con protocolos para el secuestro de información (ransomware), modalidad extendida en los últimos años se ha vuelto bastante común. Si no actualiza su modelo y sus sistemas resultan comprometidos, cabría cuestionar si aún satisface el estándar de idoneidad exigido por el artículo 17. A ello se suma que cada delito informático presenta particularidades técnicas propias, pues sectores como el financiero, las fintech, las telecomunicaciones, el retail o el comercio electrónico enfrentan perfiles de riesgo distintos, lo que exige mecanismos diferenciados.

El propio Proyecto de Ley 14045/2025-CR es consciente de este vacío. Por eso, en su disposición complementaria final ordena al Poder Ejecutivo adecuar el reglamento de la Ley N° 30424 en un plazo de noventa días calendario, a fin de incorporar lineamientos técnicos mínimos de ciberseguridad aplicables a los modelos de prevención. Mientras ello no ocurra, subsistirá la incertidumbre sobre qué medidas concretas satisfacen el estándar de idoneidad.

3. Consideraciones finales

Incorporar los delitos informáticos a la Ley N.° 30424 sería, sin duda, un paso importante para el régimen peruano de responsabilidad penal de las personas jurídicas. Sin embargo, persisten desafíos como la dificultad para acreditar el vínculo funcional entre la persona natural y la empresa, y la exigencia de que los modelos de prevención se mantengan idóneos frente a amenazas cibernéticas en constante evolución, lo que representa un verdadero reto para las organizaciones.

El Proyecto de Ley 14045/2025-CR contempla ajustar el reglamento de la Ley N.° 30424 e incorporar lineamientos técnicos mínimos de ciberseguridad, lo cual va en la dirección correcta. Sin embargo, esos lineamientos tendrán que ser lo bastante claros y precisos como para despejar la incertidumbre que hoy existe alrededor de la aplicación de este régimen a los delitos informáticos.

 

Referencias bibliográficas

CEPLAN. (2025). Incremento del ciberdelito. https://observatorio.ceplan.gob.pe/ficha/t85

Congreso de la República del Perú. (2025). Proyecto de Ley N.° 14045/2025-CR: Ley que modifica el artículo 1 de la Ley N.° 30424, Ley que regula la responsabilidad administrativa de las personas jurídicas, para incorporar los delitos informáticos previstos en la Ley N.° 30096. 

La República. (18 de mayo de 2025). Ciberataques: Perú supera el millón de delitos informáticos cometidos dentro del sector empresarial, ¿cómo prevenirlo?

https://larepublica.pe/economia/2025/05/18/ciberataques-peru-supera-el-millon-de-delitos-informaticos-cometidos-dentro-del-sector-empresarial-como-prevenirlo-atmp-565470

 

Elaborado por: Brenda Quiroga