Iniciativa en materia de delitos informáticos, evidencias digitales y medidas de cooperación internacional para combatir el ciberdelito.
Que reforma y adiciona diversas disposiciones de los Códigos Penal Federal, y Nacional de Procedimientos Penales, suscrita por la diputada Sofía González Torres e integrantes del Grupo Parlamentario del PVEM y el diputado Waldo Fernández González, del PRD.
Quienes suscriben, diputada Sofía González Torres y diputados federales integrantes del Grupo Parlamentario del Partido Verde Ecologista de México, así como el diputado Waldo Fernández González, del Grupo Parlamentario del Partido de la Revolución Democrática de la LXIII Legislatura, con fundamento en lo dispuesto en el artículo 71, fracción II, de la Constitución Política de los Estados Unidos Mexicanos; y por los artículos 6, numeral 1, fracción I, 77 y 78, del Reglamento de la Cámara de Diputados, sometemos a consideración de esta asamblea la presente iniciativa con proyecto de decreto por el que se reforman y adicionan diversas disposiciones del Código Penal Federal y del Código Nacional de Procedimientos Penales, en materia de delitos informáticos, evidencias digitales y medidas de cooperación internacional para combatir el ciberdelito, al tenor de la siguiente
Exposición de Motivos
En los últimos 100 años el mundo ha cambiado de manera asombrosa y expedita. La Segunda Revolución Industrial (1850-1970) trajo descubrimientos tan importantes como la electricidad, los motores de combustión interna, el teléfono y la producción en masa de bienes de consumo, los cuales cambiaron para siempre la forma de vivir del ser humano. Estos grandes inventos abrieron paso a la Tercera Revolución Industrial, enfocada en innovación, creación e impulso de las tecnologías de la información y comunicación, motor de grandes cambios en interactividad e intercomunicación, que culmina con la llegada del internet en la década de los 90 del siglo XX. Esta Revolución tuvo lugar principalmente en Estados Unidos, Japón y la Unión Europea. A su vez, por primera ocasión se exponen los problemas que trae consigo el cambio climático y la importancia del desarrollo sostenible de los países, es así como inician las inversiones en energías renovables y surgen países líderes a nivel mundial en este sector, tales como Dinamarca, Holanda y Suecia.
Marcada por el encuentro de diferentes desarrollos y su transversalidad, la Cuarta Revolución Industrial representa un cambio de paradigmas. Sus principales motores son la digitalización, la robótica, el internet de las cosas y la conexión entre dispositivos, así como la creación de redes de datos y sistemas que se encuentran cada vez más integradas entre sí y con los usuarios, a través de un sin fin de dispositivos.
Gracias a esta Revolución Digital se han establecido nuevos sistemas en torno a casi cualquier aspecto de la vida cotidiana, se crean nuevos sistemas de negocios como la economía colaborativa, el internet de las cosas, los sistemas ciberfísicos, el “cloud computing” o “nube”. Esta revolución es tan importante, que fue el centro de las conferencias del Foro Económico Mundial en enero de 2017.
A la par de estas trasformaciones, el aspecto de derechos humanos juega un papel fundamental en el desarrollo de una política de Estado en materia de ciberseguridad y concretamente en materia de combate a los cibercrímenes. En los umbrales de las sociedades de la información, en donde las tecnologías de la información y la comunicación juegan un papel de primer orden, el acceso a las mismas es reconocido ya como un derecho fundamental por diversos Estados, formando una suerte de Soft Law dentro de la Comunidad Internacional de Naciones. Nuestra propia Constitución Política también reconoce este derecho, colocándolo, junto con la reforma constitucional de derechos humanos de 2011, a la vanguardia regional e internacional en materia de derechos humanos.
La reforma constitucional en materia de telecomunicaciones, publicada en el Diario Oficial de la Federación el 11 de junio de 2013, reconoció y elevó a rango constitucional el derecho humano al internet, incluyéndolo en el artículo 6o. de nuestra Norma Fundamental. De igual modo, y habilitando la competencia de los legisladores federales en la materia, la reforma constitucional en materia de telecomunicaciones facultó al Congreso de la Unión “para dictar leyes sobre vías generales de comunicación, tecnologías de la información y la comunicación, radiodifusión, telecomunicaciones, incluida la banda ancha e Internet, postas y correos, y sobre el uso y aprovechamiento de las aguas de jurisdicción federal.”
El mayor avance en las comunicaciones ha logrado, por un lado, que nuevos instrumentos puedan ser utilizados como vehículos o mecanismos para la maximización de derechos y en el caso de las tecnologías de la información y comunicación vemos una insuperable herramienta mediante la cual puede maximizarse el derecho fundamental a la libre expresión, al acceso a la información, a la educación, la cultura, el trabajo, la salud, por citar solo algunos ejemplos. Por otra parte, esta gran maximización de poder conlleva consigo ciertas responsabilidades y ciertas modalidades que habrán de tomarse para garantizar que el pleno ejercicio de los derechos de las personas pueda armonizarse también con la plena tutela de los derechos fundamentales de todos los ciudadanos.
En la teoría de los derechos fundamentales todo ejercicio de un derecho conlleva responsabilidades. Por ejemplo, es importante garantizar que con dicho ejercicio no se afecte injustificadamente la esfera normativa de otro sujeto. A lo anterior deben sumarse los grandes riesgos que un uso no compatible con los derechos humanos de las tecnologías de la información y comunicación puede tener y que se ha visto continuamente en casos como los que se están regulando a través de esta iniciativa.
El propio artículo 6o. constitucional dispone, en su párrafo primero que: “La manifestación de las ideas no será objeto de ninguna inquisición judicial o administrativa, sino en el caso de que ataque a la moral, la vida privada o los derechos de terceros, provoque algún delito, o perturbe el orden público...”.
Es por ello que, conforme a nuestra Constitución y los Tratados Internacionales en la materia, determinados derechos fundamentales pueden ser objeto de una atenuación en sus modalidades de ejercicio y ello con el único propósito de tutelar otro derecho fundamental o un valor que se estima de gran intensidad dentro de un Estado constitucional y democrático de derecho que, ante el caso concreto, sólo puede asegurarse su protección mediante la toma de medidas inmediatas que, incluso, pueden interferir con el pleno ejercicio de otros derechos.
Para garantizar lo anterior, cuando el ejercicio de un derecho humano interfiere en la esfera jurídica de otros derechos de orden primordial de otros sujetos, se requiere la adopción de medidas dirigidas al logro de un equilibrio, de un balance (balancing, según lo llama la tradición anglosajona) a fin de que todos puedan disfrutar del ejercicio pleno de dichos derechos.
De igual forma, cuando nos encontramos ante posibles colisiones de derechos, resulta necesario realizar un análisis de ponderación para tratar de determinar a cuál de los derechos en juego habrá que darle preferencia. Para este análisis, el principio de proporcionalidad será de gran utilidad, desarrollado ampliamente por Robert Alexy y siendo uno de los métodos de interpretación más utilizados por las Altas Cortes en el mundo contemporáneo, comprende los subprincipios de idoneidad, necesidad y proporcionalidad (stricto sensu).
La idoneidad se refiere a que la medida a emprender sea la conducente para conseguir el valor o la finalidad protegida mediante la restricción del valor en conflicto.1
La necesidad se refiere a que la medida a adoptar responda a una apremiante necesidad social, o bien, que no sea posible alcanzar el fin buscado con la restricción por otros mecanismos.2
La proporcionalidad, en sentido estricto, se refiere a la constatación de que la norma que otorga el trato diferenciado guarde una relación razonable con el fin que se procura alcanzar, lo que supone una ponderación entre sus ventajas y desventajas, a efecto de comprobar que los perjuicios ocasionados no sean desproporcionados con respecto a los objetivos perseguidos, lo cual implica que si existe una alternativa menos gravosa para conseguir el fin buscado debe emplearse dicha alternativa.3
En el caso concreto de esta iniciativa, tenemos que nuestra propuesta de introducir un catálogo de delitos cometidos en el ciberespacio y perfeccionar otros tipos penales cumple con el Test de Proporcionalidad, en tanto que la medida que pretendemos resulta ser idónea y necesaria, pues con ella puede tenerse certeza respecto de aquellos casos en los que alguien pudiera vulnerar los derechos humanos de otra persona, pero se le respeta su derecho de acceso al uso de las tecnologías de la información y comunicación sin censura previa ni restricción alguna y sin una intervención directa por parte del Estado que pueda vulnerar su esfera de libertades.
Al haberse cubierto los principios de idoneidad y necesidad antes indicados, no resulta preciso acudir al principio de proporcionalidad en sentido estricto, toda vez que pueden armonizarse los derechos de acceso a internet, a la libertad de expresión y a la protección de los derechos de quienes son receptores de dicha información sin que se realice restricción alguna a un derecho fundamental, únicamente previéndose la pertinencia de establecer un catálogo de conductas ilícitas con el fin de proteger los derechos de quienes usan las tecnologías de la información y comunicación.
En consecuencia, toda decisión pública por la que el ejercicio de un derecho puede estar sometida a alguna restricción o modalidad en su ejercicio, no puede ser arbitraria. Debe claramente estar justificada y motivada y ser proporcional entre la medida a adoptar y el riesgo presente, así como la justificación de la necesidad e idoneidad de la medida a emprender.4 Es por ello que, como más adelante se argumentará, las alarmantes cifras y el estado de vulnerabilidad que tenemos en nuestro país en materia de ciberseguridad y protección del espacio cibernético constituyen un hecho notorio para legislar de manera urgente sobre estos delitos.
Comprendiendo los alcances y retos de un mundo interconectado, a principios de este siglo la Unión Europea puso en marcha una serie de políticas públicas con el objetivo de bridar mayor seguridad a sus ciudadanos en el ciberespacio y la red. Como resultado de estas iniciativas, en el 2001 se redactó el Convenio de Budapest sobre Ciberdelincuencia, elaborado por el Consejo de Europa en Estrasburgo, con la participación activa de los estados observadores de Canadá, Japón y China.
Este es el primer tratado internacional que busca hacer frente a los delitos informáticos y los delitos en Internet mediante la armonización de leyes nacionales de los países miembros de la Unión Europea, la mejora de las técnicas de investigación y el aumento de la cooperación entre las naciones europeas. Su principal objetivo consiste en aplicar una política penal común encaminada a la protección de la sociedad contra el cibercrimen, especialmente mediante la adopción de una legislación adecuada y el fomento de la cooperación internacional.
Este Convenio dio la pauta sobre la clasificación y tipificación de delitos de base cometidos por medio de herramientas electrónicas y el Internet. Sin embargo, dados los rápidos avances tecnológicos, algunos países se han visto en la necesidad de modificar y actualizar sus leyes e incluso, en algunos casos, de crear agencias para la protección de sus ciudadanos y sus datos personales en el ciberespacio.
Ejemplo de lo anterior son la Agencia Europea para Redes y Seguridad de la Información (ENISA); el Centro Nacional de Ciberseguridad del Reino Unido (NCSC); y el Centro Australiano de Ciberseguridad. Además se realizado la modificación o creación de leyes específicas para la defensa de los usuarios y sus datos personales en el ciberespacio, como las directivas europeas del Network Information Service (NIS); la Ley de Protección Nacional de Ciberseguridad del 2015 de Estados Unidos (Nacional Cybersecurity Protection Advancement Act of 2015); la Ley de Ciberseguridad del 2017 de China; la adición de los artículos 579 al 588 de la Ley de Enjuiciamiento Criminal de España en 2015; y el Manual de Tallin 2.0 de Estonia, entre otras.
Si bien México aún no forma parte del Convenio de Budapest, es indispensable crear un ambiente propicio para la cooperación internacional en materia de ciberseguridad, ya que para prevenir y mitigar los riesgos que implica una navegación no protegida en la red debemos entender que el ciberespacio es un mundo sin fronteras y la forma adecuada de prevenir ataques internos y/o externos es por medio de una legislación dinámica y contando con cooperación internacional fluida con buenos canales de comunicación. Por esto es indispensable dotar de lineamientos legales precisos a nuestras autoridades para perseguir a los criminales que utilizan las tecnologías de la información y comunicación como herramientas para la comisión de ilícitos.
Previendo todo esto, el Plan Nacional de Desarrollo 2013-2018 dispone el fortalecimiento de las capacidades institucionales en el ciberespacio y la ciberseguridad como uno de los puntos esenciales de la Seguridad Nacional, muestra de ello es la creación de la Estrategia Digital Nacional y la reciente presentación de la iniciativa de Ley de Tecnología Financiera.
En 2016 la Encuesta Nacional sobre Disponibilidad y Uso de las Tecnologías de la Información en los Hogares, realizada por el Instituto Nacional de Estadística y Geografía, revelo? que en nuestro país existen 81 millones de usuarios de un teléfono celular. Y de ellos, 60.6 millones utilizan un teléfono inteligente o smartphone, lo cual significa un incremento de 9.7 puntos porcentuales entre 2015 y 2016. A cuatro años de la reforma en materia de telecomunicaciones, México ha visto un incremento de 25 millones de usuarios de internet y 20 millones de usuarios de telefonía móvil. Esto no solo representa un tema de infraestructura crítica para el país, sino que también nos habla del enorme mundo de posibilidades y acceso a una economía y comercio digital nunca antes visto en México.
Sin embargo, las actividades ilícitas en el dominio digital se han vuelto cada vez más comunes y en el año 2013 le costaron a la economía mexicana 3 mil millones de dólares. El costo promedio por víctima aumentó de 197 a 238 dólares, entre 2012 y 2013. En el 2014, 10 millones de mexicanos fueron afectados por cibercrímenes y en 2016, de acuerdo al reporte de Ciberseguridad de Norton, 689 millones de personas fueron víctimas de algún ciberdelito alrededor del mundo, de las cuales 22.4 millones fueron ciudadanos mexicanos. En el mismo reporte se calcula que el costo de los cibercrimenes en los 21 países analizados fue de cerca de 126 mil millones de dólares, de los cuales 5.5 mil millones se obtuvieron como resultado de crímenes cometidos en nuestro territorio. Por último, Norton identificó que las causas de los cibercrímenes más recurrentes en México fueron robo de equipo celular (33 por ciento); falta de contraseñas seguras (26 por ciento); y correos hackeados (20 por ciento).
Con estos datos duros podemos confirmar que, si bien el uso de las tecnologías de la información y comunicación constituye un medio para la libre expresión y manifestación de las ideas, también debemos señalar que estos medios son utilizados para cometer ataques en contra de personas e instituciones, vulnerando los derechos humanos de los usuarios y poniendo en peligro su privacidad y datos personales. La existencia de una acotada cultura de seguridad de la información es quizás la principal vulnerabilidad del país actualmente. Por ello es necesario desarrollar una política de Estado en materia de ciberseguridad y ciberdefensa, para garantizar la protección de los derechos fundamentales de los usuarios y los intereses económicos y políticos de nuestro país en el ciberespacio.
Es necesario generar y poner en marcha una estrategia que evite afectaciones a las capacidades nacionales de comunicación y a la funcionalidad de los sistemas estratégicos de información. Es tiempo de tomar las medidas necesarias para llevar a nuestro país y a sus ciudadanos al siguiente nivel de protección en el ámbito cibernético. Y como bien lo marca el Plan Nacional de Desarrollo 2013-2018, “es necesario apuntar que esta Administración trabajará activamente en el desarrollo y actualización del marco jurídico en materia de seguridad de la información y ciberdefensa, así como en materia de prevención, investigación y sanción de delitos cibernéticos, a fin de responder a estándares de excelencia y mejores prácticas internacionales ...”.
Esta iniciativa constituye una medida legislativa eficaz en el combate a los ciberdelitos, mismos que, atendiendo al principio de estricto derecho de la ley penal que nos mandata nuestra Constitución Política, necesitamos regular con toda puntualidad y rigor para que esta normatividad sustantiva penal esté resguardada bajo el principio de legalidad y atendiendo a las mejores prácticas legislativas internacionales.
Tomando en cuenta las consideraciones generales, nuestra propuesta consiste en modificar los siguientes ordenamientos:
I. Código Penal Federal; y
II. Código Nacional de Procedimientos Penales.
Por lo que respecta al Código Penal Federal, se establece una reingeniería normativa a los delitos que están relacionados con los sistemas informáticos o que son cometidos con el uso de las tecnologías de la información y comunicación.
En este sentido, el delito de pornografía de personas menores de dieciocho años de edad o de personas que no tienen capacidad para comprender el significado del hecho o de personas que no tienen capacidad para resistirlo constituye un ilícito de alta incidencia delictiva y que en la actualidad se encuentra asociada con el uso de las tecnologías de la información y comunicación, por lo tanto, se propone modificar el texto normativo para perfeccionar su redacción.
En cuanto al Capítulo II, que contiene los delitos de acceso ilícito a sistemas y equipos de informática, se realiza un perfeccionamiento del texto normativo incluyendo como hipótesis normativa al que sin autorización o excediendo la que posea o sin permiso o el consentimiento legalmente reconocido o contra el acceso no autorizado, cometa alguno de los distintos tipos penales que contempla dicho capítulo, mismos en los que también se incluyen los supuestos de ser realizados mediante sistemas que utilicen tecnologías de la información y comunicación, así como de incorporar los supuestos no establecidos en la actual legislación, abonando con ello en la conformación de un tipo penal integral de acuerdo a las mejores prácticas internacionales.
Otro aspecto importante de esta iniciativa es la incorporación de un delito en este capítulo, la cual consiste en tipificar como delito al que intercepte de forma deliberada sin autorización o excediendo la que posea, sin permiso o consentimiento legalmente reconocido por cualquier medio técnico, datos informáticos, información o comunicaciones dirigidas, originadas o efectuadas en o dentro de un sistema informático o sistema que utilice sistemas de tecnologías de información y comunicación incluidas las emisiones electromagnéticas que transporten datos, información o comunicaciones.
Asimismo, se incorpora un Capítulo III que agruparía a los Delitos Informáticos, los cuales se tipifican en los artículos 211 Ter con el abuso de dispositivos; 211 Quáter con la falsificación informática; y 211 Quintus con la usurpación de identidad ajena. De igual forma, se adiciona una fracción XXII al artículo 387 para tipificar el fraude informático.
Por lo que respecta a la materia adjetiva penal, se adiciona una Sección VII relativa a los actos de investigación necesarios para la obtención de evidencias digitales en el Código Nacional de Procedimientos Penales, misma que facilitará la obtención de los medios de prueba para integrar las investigaciones de los delitos de manera más ágil, eficaz y expedita, acorde a las necesidades que el mundo digital y la ciudadanía nos demandan.
En esta importante aportación a nuestro Código Adjetivo Penal se adicionan los artículos 390 Bis 1 al 390 Bis 8 para que, atendiendo a la técnica legislativa, no se interfiera con las demás disposiciones normativas de este ordenamiento jurídico. En este conjunto de artículos se establecen aspectos de especial relevancia para la obtención de evidencias digitales como medios de prueba, tales como la Conservación de Datos Informáticos Almacenados, los Datos Almacenados de Usuarios o Abonados, el Registro y Preservación de Datos Almacenados, los Datos Informáticos Almacenados en otro Estado, la Obtención de Datos en Tiempo Real, la Cooperación y Asistencia Jurídica en Materia Procesal Penal, así como la Protección de Datos Personales en Investigaciones.
Finalmente, se reforma la fracción II del artículo 439 sobre los alcances de la asistencia jurídica, misma que incorpora como medio de obtención de pruebas a las evidencias digitales o pruebas almacenadas en un sistema informático o sistema que utilice tecnologías de la información y comunicación, con el objetivo de armonizar la adición propuesta por esta iniciativa a la Sección VII.
Todo acto jurídico donde interviene la conducta humana se tiene que regular mediante normas que den certeza jurídica a todas las partes. En el caso del uso de tecnologías de información y comunicación resulta más complejo establecer una relación directa entre quien realiza el acto y las modalidades de realización, pues el anonimato con el cual se conduce este uso constituye una barrera compleja al momento de crear esta regulación.
Resulta importante señalar que, en el caso concreto de nuestra propuesta legislativa, no se incluye ninguna restricción al ejercicio del derecho a la libertad de expresión o de acceso a internet, al contrario, el espíritu de la misma consiste en garantizar el pleno ejercicio de los derechos humanos en el uso de las tecnologías de la información y comunicación, a fin de armonizar plenamente los derechos fundamentales de todos y cada uno de los ciudadanos.
Sin embargo, las instituciones del Estado deben ejercer todos los medios necesarios para alcanzar una legislación eficaz y vigorosa que si bien, por la naturaleza del tema, impide que toda legislación esté acorde y en tiempo real con las transformaciones tan aceleradas que conlleva proteger el uso de estas tecnologías, se tienen que buscar las acciones que estén al alcance del Estado para fortalecer el andamiaje institucional en materia de Ciberseguridad.
Por tanto, la falta de un marco jurídico adecuado para hacer frente a todas las amenazas que día a día se descubren con el uso de las tecnologías de la información y comunicación marcan la necesidad de adecuar la legislación vigente para lograr prevenir, sancionar y contrarrestar todas aquellas conductas que dañen los bienes de las personas y la infraestructura nacional o el actuar y la estabilidad de las instituciones del Estado, por lo que un marco regulatorio debe considerarse como urgente y necesario para dar un paso considerable a fin de hacer frente a estas amenazas.
Con la eventual aprobación de esta iniciativa daremos ese paso trascendental en el fortalecimiento a la ciberseguridad que requiere nuestro país. El mundo global en el que nos desarrollamos exige al Estado Mexicano realizar todas las acciones de gobierno necesarias para evolucionar en las áreas estratégicas de seguridad, incluyendo el uso de las tecnologías de la información y comunicación.
Tenemos que sumar todas las voluntades para colocar a México a la vanguardia y en sintonía con los países más avanzados dotándolo de un marco legal que proteja a las personas en el uso de las tecnologías de la información y comunicación. Necesitamos garantizar y dar certeza jurídica a aquellas personas que han sufrido afectación en el uso de estas tecnologías, por lo que esta propuesta generará las condiciones idóneas para colocar a la vanguardia a nuestro país para enfrentar los retos que la Cuarta Revolución Industrial plantea a la humanidad.
Por las consideraciones expuestas, someto a consideración de esta honorable Asamblea el siguiente proyecto de
Decreto por el que se reforman y adicionan diversas disposiciones del Código Penal Federal y del Código Nacional de Procedimientos Penales, en materia de delitos informáticos, evidencias digitales y medidas de cooperación internacional para combatir el ciberdelito
Artículo Primero. Se reforman los artículos 202, párrafos primero y tercero, 202 Bis, la denominación del Título Noveno, “Revelación de secretos, acceso ilícito a sistemas y equipos de informática y delitos informáticos”, del Libro Segundo, los artículos 211 Bis 1 al 211 Bis 5 y 211 Bis 7; y se adicionan el artículo 211 Bis 8, el Capítulo III, “Delitos Informáticos”, del Título Noveno, conteniendo los artículos 211 Ter al 211 Quintus y la fracción XXII del artículo 387 del Código Penal Federal, para quedar como sigue:
Artículo 202. Comete el delito de pornografía de personas menores de dieciocho años de edad o de personas que no tienen capacidad para comprender el significado del hecho o de personas que no tienen capacidad para resistirlo, quien procure, obligue, facilite o induzca, por cualquier medio, a una o varias de estas personas a realizar actos sexuales o de exhibicionismo corporal con fines lascivos o sexuales, reales o simulados, con el objeto de video grabarlos, fotografiarlos, filmarlos, exhibirlos o describirlos a través de anuncios impresos, transmisión de archivos de datos en red pública o privada de telecomunicaciones, sistemas de cómputo, electrónicos o sucedáneos, incluidos sistemas informáticos . Al autor de este delito se le impondrá pena de siete a doce años de prisión y de ochocientas a dos mil veces el valor diario de la Unidad de Medida y Actualización.
(...)
La misma pena se impondrá a quien produzca , reproduzca, ofrezca o ponga a disposición , almacene, distribuya, venda, compre, arriende, exponga, publicite, difunda o transmita, importe, exporte o posea el material a que se refieren los párrafos anteriores.
Artículo 202 Bis. Quien almacene, adquiera, compre, arriende o posea, a través de sistemas informáticos o en dispositivos de almacenamiento de datos informáticos el material a que se refieren los párrafos anteriores, sin fines de comercialización o distribución se le impondrán de uno a cinco años de prisión y de cien a quinientas veces el valor diario de la Unidad de Medida y Actualización. Asimismo, estará sujeto a tratamiento psiquiátrico especializado.
Título Noveno
Revelación de secretos, acceso ilícito a sistemas y equipos de informática y Delitos Informáticos
Artículo 211 Bis 1. Al que sin autorización obstaculizare el funcionamiento de un sistema informático, mediante la introducción, transmisión, daño, borrado, deterioro, alteración o supresión de información y datos contenidos en sistemas o equipos de informática protegidos contra el acceso no autorizado, se le impondrán de dos a cuatro años de prisión y de cien a trescientas veces el valor diario de la Unidad de Medida y Actualización .
Al que sin autorización copie información contenida en sistemas o equipos de informática protegidos en contra del acceso no autorizado, se le impondrán de seis meses a dos años de prisión y de doscientas a seiscientas veces el valor diario de la Unidad de Medida y Actualización.
Artículo 211 Bis 2. Al que sin autorización acceda, modifique, destruya o provoque pérdida parcial o total de información contenida en sistemas o equipos de informática del Estado, protegidos en contra del acceso no autorizado, se le impondrán de uno a cuatro años de prisión y de quinientas a mil veces el valor diario de laUnidad de Medida y Actualización.
Al que sin autorización acceda, conozca o copie información o datos contenidos en sistemas o equipos de informática del Estado, protegidos en contra del acceso no autorizado, se le impondrán de seis meses a dos años de prisión y de doscientas a seiscientas veces el valor diario de la Unidad de Medida y Actualización.
A quien sin autorización acceda, conozca, obtenga, copie o utilice información contenida en cualquier sistema, equipo o medio de almacenamiento informáticos de seguridad pública, protegidos en contra del acceso no autorizado, se le impondrá pena de cuatro a diez años de prisión y de mil a dos mil veces el valor diario de laUnidad de Medida y Actualización. Si el responsable es o hubiera sido servidor público en una institución de seguridad pública o del sistema nacional de administración de justicia penal , se impondrá además, destitución e inhabilitación de cuatro a diez años para desempeñarse en otro empleo, puesto, cargo o comisión pública.
(...)
Artículo 211 Bis 3. Al que estando autorizado indebidamente modifique, destruya o provoque pérdida parcial o total de información contenida en sistemas o equipos de informática del Estado , se le impondrán de dos a ocho años de prisión y de trescientas a novecientas veces el valor diario de la Unidad de Medida y Actualización .
Al que estando autorizado, indebidamente copie información o datos contenidos en sistemas o equipos de informática del Estado, se le impondrán de dos a ocho años de prisión y de cien a ochocientas veces el valor diario de la Unidad de Medida y Actualización.
Al que estando autorizado, indebidamente obtenga, copie o utilice información o datos contenidos en sistemas o equipos de informática en materia de seguridad pública , se le impondrá pena de cuatro a diez años de prisión y multa de mil a dos mil veces el valor diario de la Unidad de Medida y Actualización. Si el responsable es o hubiera sido servidor público en una institución de seguridad pública, se impondrá además, hasta una mitad más de la pena impuesta, destitución e inhabilitación por un plazo igual al de la pena resultante para desempeñarse en otro empleo, puesto, cargo o comisión pública.
Artículo 211 Bis 4. Al que sin autorización modifique, destruya o provoque pérdida de información o datos contenidos en sistemas o equipos de informática de las instituciones que integran el sistema financiero, protegidos en contra del acceso no autorizado, se le impondrán de seis meses a cuatro años de prisión y multa de doscientas a mil doscientas veces el valor diario de la Unidad de Medida y Actualización.
Al que sin autorización copie información o datos contenidos en sistemas o equipos de informática de las instituciones que integran el sistema financiero, protegidos en contra del acceso no autorizado, se le impondrán de tres meses a dos años de prisión y multa de cien a seiscientas veces el valor diario de la Unidad de Medida y Actualización.
Artículo 211 Bis 5. Al que estando autorizado para acceder a sistemas y equipos de informática de las instituciones que integran el sistema financiero indebidamente modifique, destruya o provoque pérdida de información o datos contenidos en sistemas o equipos de informática, se le impondrán de seis meses a cuatro años de prisión y multa de cien a seiscientas veces el valor diario de la Unidad de Medida y Actualización.
Al que estando autorizado para acceder a sistemas y equipos de informática de las instituciones que integran el sistema financiero, indebidamente copie información o datos contenidos en sistemas o equipos de informática, se le impondrán de tres meses a dos años de prisión y multa de cincuenta a trescientas veces el valor diario de la Unidad de Medida y Actualización.
(...)
Artículo 211 Bis 7. Las penas previstas en este capítulo se aumentarán hasta en una mitad cuando la información o datos obtenidos se utilicen en provecho propio o ajeno.
Artículo 211 Bis 8. A quien intercepte de forma dolosa y sin autorización por cualquier medio técnico, datos informáticos, información o comunicaciones dirigidas, originadas o efectuadas en o dentro de un sistema informático incluidas las emisiones electromagnéticas que transporten datos, información o comunicaciones, se le impondrá pena de cinco a diez años de prisión y multa de mil a dos mil veces el valor diario de la Unidad de Medida y Actualización.
Capítulo III
Delitos Informáticos
Artículo 211 Ter. Abuso de Dispositivos.
Comete el delito de abuso de dispositivos quien, sin autorización, cometiere cualquiera de las siguientes actividades:
I. Producir, vender, obtener para su utilización, importar, difundir o de cualquier otra forma poner a disposición:
a) Cualquier dispositivo, incluido un programa informático, concebido o adaptado principalmente para la comisión de cualquiera de los delitos previstos en el Título Noveno de este Código; y
b) Una contraseña, código de acceso o datos informáticos similares que permitan acceder a todo o parte de un sistema informático con intención de que sean utilizados para cometer cualquiera de los delitos previstos en el Título Noveno de este Código.
II. Poseer alguno de los elementos previstos en los incisos a) o b) de la fracción primera del presente artículo con intención de que sean utilizados para cometer cualquiera de los delitos previstos en el Título Noveno de este Código.
III. Crear, utilizar, alterar, capturar, grabar, copiar o transferir de un dispositivo de acceso o un medio a otro similar, o cualquier instrumento destinado a los mismos fines, los códigos de identificación y acceso al servicio o sistema informático que permita la operación paralela, simultánea o independiente de un servicio o sistema informático, legítimamente obtenido por un tercero; o bien, con la intención de que sean utilizados para cometer cualquiera de los delitos previstos en el Título Noveno de este Código.
Se impondrá pena de prisión de tres a cinco años y multa de doscientas a cuatrocientas veces el valor diario de la Unidad de Medida y Actualización.
No se interpretará que el presente artículo impone responsabilidad penal cuando la producción, venta, obtención para la utilización, importación, difusión o cualquier otra forma de puesta a disposición mencionada en el párrafo primero del presente artículo no tenga por objeto la comisión de alguno de los delitos previstos en el Título Noveno, de este Código.
Artículo 211 Quáter. Falsificación informática.
Comete delito de falsificación informática quien sin autorización introdujere, alterare, borrare o suprimiere datos informáticos previamente almacenados en un sistema informático, que generen datos no auténticos con la intención que sean tomados o utilizados a efectos legales como auténticos, con independencia de que los datos sean legibles e inteligibles directamente. Se le impondrá pena de prisión de dos a tres años y multa de cien a cuatrocientas veces el valor diario de la Unidad de Medida y Actualización.
Se impondrá pena de tres a cinco años de prisión y multa de doscientas a quinientas veces el valor diario de la Unidad de Medida y Actualización en los casos siguientes:
a) Cuando los actos descritos en el párrafo anterior se realicen con la intención de cometer otro delito; y,
b) Cuando los actos descritos en el párrafo anterior se realicen para inducir a usuarios a la provisión de datos confidenciales, personales y/o financieros, tanto de personas físicas como de personas morales.
Artículo 211 Quintus. Usurpación de Identidad Ajena.
A quien usurpe, suplante, obtenga, utilice, apropie o adopte la identidad de otra persona, a través de un sistema informático con la intención de causar un daño o perjuicio a una persona, se le impondrá pena de uno a cinco años de prisión y de cuatrocientas a seiscientas veces el valor diario de la Unidad de Medida y Actualización.
La misma pena se impondrá cuando la usurpación de identidad ajena se cometa infringiendo medidas de seguridad y con la intención de obtener de forma ilegítima un beneficio económico o lucro indebido para sí mismo o para otra persona o generar un daño en el patrimonio de una persona tanto física como jurídica.
Artículo 387. Las mismas penas señaladas en el artículo anterior, se impondrán:
I. a XXI. (...)
XXII. A quien sin autorización causare un perjuicio patrimonial a otra persona, incluyendo a una persona moral, mediante la introducción, alteración, borrado o supresión de datos informáticos.
Las mismas penas se impondrán a quien interfiera en el funcionamiento de un sistema informático con la intención de obtener de forma ilegítima un beneficio económico para sí mismo o para un tercero.
Artículo Segundo. Se reforma la fracción II del artículo 439; y se adiciona la “Sección VII Actos de Investigación necesarios para la obtención de Evidencias Digitales”, del Capítulo IV Disposiciones Generales Sobre la Prueba, del Título VIII Etapa del Juicio, del Libro Segundo Del Procedimiento, conteniendo los artículos 390 Bis 1 a 390 Bis 8; del Código Nacional de Procedimientos Penales, para quedar como sigue:
Sección VII
Actos de investigación necesarios para la obtención de evidencias digitales
Artículo 390 Bis 1 . Disposiciones Generales
Los actos de investigación para la obtención de evidencias digitales, deberán considerar los supuestos previstos en la Constitución Política de los Estados Unidos Mexicanos, los instrumentos y tratados internacionales que versen sobre los derechos humanos de los que el Estado Mexicano sea parte, así como las garantías, principios y reglas que fundamentan el presente Código.
Artículo 390 Bis 2 . Conservación de Datos Informáticos Almacenados.
El Ministerio Público podrá ordenar a cualquier persona física o jurídica, la conservación de la integridad de los datos informáticos concretos, almacenados en un sistema informático que esté bajo su disposición cuando tenga motivos suficientes para considerar que puedan ser alterados o suprimidos y afectar así el resultado de una investigación. La medida no podrá exceder de noventa días y será prorrogable por igual período, si se mantienen los motivos que fundamentaron la orden.
La persona requerida, una vez que reciba la comunicación respectiva, deberá ejecutar los actos necesarios que garanticen la preservación, inmediata de los datos en cuestión y estará obligado a mantener secreto en los términos de lo previsto por la legislación penal aplicable.
Cuando se trate del aseguramiento o conservación de datos relativos al tráfico de comunicaciones, si el proveedor de servicios requerido advierte que en la comunicación objeto de la investigación han participado otros proveedores de servicios, informará inmediatamente a la autoridad competente que haga el requerimiento o solicitud, para que adopte las medidas necesarias.
Para llevar a cabo la conservación de la integridad de los datos informáticos almacenados en un sistema informático, se requerirá la autorización judicial del Juez de control y para ello, se estará a lo dispuesto en el tercer párrafo de artículo 291 y artículos 292 a 302 de este Código.
Artículo 390 Bis 3. Datos Almacenados de Usuarios o Abonados
El Ministerio Público podrá ordenar a cualquier persona física o jurídica, que presente, remita o entregue datos almacenados en un sistema informático que este bajo su poder o control y que se vinculen con la investigación de un delito concreto. Asimismo, podrá ordenar a toda persona física o jurídica que preste un servicio de comunicaciones o a los proveedores de servicios de cualquier tipo, la entrega de datos de los usuarios o abonados o los datos de identificación y facturación con los que cuente. La orden podrá contener la indicación de que la medida deberá mantenerse en secreto bajo el apercibimiento de sanción penal en los términos de lo previsto por la legislación aplicable. Estas medidas serán ejecutadas por el Ministerio Público correspondiente, salvo las excepciones previstas en la legislación vigente, en las cuales se exija la autorización judicial del Juez de control.
Artículo 390 Bis 4 . Registro y Preservación de Datos Almacenados
El órgano jurisdiccional podrá ordenar a solicitud del Ministerio Público, el registro de un sistema informático o de una parte de éste, o de un medio de almacenamiento de datos informáticos o electrónicos, con el objeto de:
I. Acceder a los componentes físicos y lógicos del sistema y,
II. Obtener copia de los datos en un soporte autónomo o
III. Preservar por medios tecnológicos o bloquear el acceso a los datos de interés para la investigación.
En los supuestos en los que, durante la ejecución de una medida de incautación de datos de un sistema Informático, previstos en el párrafo anterior, surjan elementos que permitan considerar que los datos buscados se encuentran almacenados en otro dispositivo o sistema Informático al que se tiene acceso lícito desde el dispositivo o sistema inicial, quienes llevan adelante la medida podrán extenderla o ampliar el registro al otro sistema. La ampliación del registro a los fines de la incautación deberá ser autorizada por el órgano jurisdiccional salvo que estuviera prevista.
Artículo 390 Bis 5. Datos Informáticos Almacenados en otro Estado
Con fundamento en lo dispuesto en los tratados y convenciones internacionales ratificados por el Estado Mexicano, las autoridades especializadas en la investigación de delitos del fuero federal o fuero común, incluida la Unidad de Investigaciones Cibernéticas y Operaciones Tecnológicas adscrita a la Agencia de Investigación Criminal, podrán acceder o recibir datos informáticos almacenados en un sistema informático, ubicado en otro Estado, cuando éstos se encuentren accesibles en fuentes de acceso público, independientemente de la ubicación geográfica de los mismos; o a través de un sistema informático ubicado en México, si la autoridad investigadora competente obtiene el consentimiento lícito y voluntario de la persona legalmente autorizada a revelarlos en ese país por medio de un sistema informático.
Artículo 390 Bis 6. Obtención de Datos en Tiempo Real
Para la obtención, en tiempo real, de datos de tráfico de comunicaciones electrónicas o la interceptación de datos informáticos de contenido, regirá lo dispuesto en los artículos 178 Bis del Código Penal Federal, 303 del Código Nacional de Procedimientos Penales y los artículos 189 y 190 de la Ley Federal de Telecomunicaciones y Radiodifusión.
Artículo 390 Bis 7. Cooperación y Asistencia Jurídica en Materia Procesal Penal
En caso de cooperación y asistencia jurídica internacional, las solicitudes de aseguramiento de datos, solicitudes de presentación de datos, de obtención o confiscación, de acceso libre a fuentes de acceso público y asistencia mutua para obtención de datos sobre el tráfico e interceptación de comunicaciones, se estará a lo dispuesto en el Titulo XI de este Código, así como los tratados y convenciones internacionales ratificados por el Estado Mexicano. Asimismo, se tomará en cuenta el derecho a la intimidad y a la confidencialidad de ciertos datos protegidos bajo la legislación nacional vigente y tratados y convenciones internacionales en materia de derechos humanos ratificados por el Estado Mexicano.
Artículo 390 Bis 8. Protección de Datos Personales en Investigaciones
Las autoridades nacionales encargadas de investigar y perseguir delitos informáticos y el órgano jurisdiccional competente, deben respetar los principios y garantías individuales establecidas en la Constitución Política de los Estados Unidos Mexicanos, en convenios y tratados sobre derechos humanos ratificados por el Estado Mexicano, de tal forma que los derechos de las personas sean protegidos a través del uso de tecnologías de información y comunicación, en particular el respeto a su intimidad y la protección de datos personales, tanto datos de tráfico como datos de contenido, salvo con fines legítimos para la prevención de delitos o la protección de los derechos y libertades de terceros.
Con respecto a la obtención y tratamiento de datos personales por parte de las instancias de seguridad, procuración y administración de justicia, se estará a lo dispuesto en los Artículos 80, 81 y 82 de la Ley General de Protección de Datos en Posesión de los Sujetos Obligados.
El tratamiento de datos personales para efectos de la investigación o como medio de prueba, deberá cumplir exclusivamente la finalidad para el que fueron originalmente obtenidos y tratados, por un tiempo de dos años y una vez cumplida la finalidad y propósito de investigación debe procederse a su cancelación y supresión.
La protección de la información y los datos personales es responsabilidad compartida de las autoridades en las distintas entidades que intervienen en la vigilancia, investigación y persecución penal de los delitos establecidos en el Código Penal Federal y otras leyes.
Artículo 439. Alcances
La asistencia jurídica comprenderá:
I. (...)
II. Obtención de pruebas, incluidas las evidencias digitales o pruebas almacenadas en un sistema informático.
III. a XI. (...)
Transitorio
Único. El presente decreto entrará en vigor al día siguiente al de su publicación en el Diario Oficial de la Federación.
Notas
1 Tribunal Electoral del Poder Judicial de la Federación. Recurso de consideración. Expediente: SUP-REC-41/2013. Resolución del 26 de junio de 2013.
2 Tribunal Electoral del Poder Judicial de la Federación. Juicio para la protección de los derechos político-electorales del ciudadano: SX-JDC-954/2012. Sentencia del 18 de abril de 2012.
3 Tribunal Electoral del Poder Judicial de la Federación. Recurso de consideración. Expediente: SUP-REC-41/2013. Resolución del 26 de junio de 2013.
4 La Corte Interamericana de Derechos Humanos ha sostenido que: “La restricción debe encontrarse prevista en una ley, no ser discriminatoria, basarse en criterios razonables, atender a un propósito útil y oportuno que la torne necesaria para satisfacer un interés público imperativo, y ser proporcional a ese objetivo. Cuando hay varias opciones para alcanzar ese fin, debe escogerse la que restrinja menos el derecho protegido y guarde mayor proporcionalidad con el propósito que se persigue” Corte Interamericana de Derechos Humanos. Caso Yatama vs. Nicaragua. Sentencia del 23 de junio de 2005. Serie C. No. 127. Párrafo 206.
Dado en el Palacio Legislativo de San Lázaro, a 7 de noviembre de 2017.
Diputados: Jesús Sesma Suárez (rúbrica), Sofía González Torres, Arturo Álvarez Angli, Jorge Álvarez López, Rosa Alicia Álvarez Piñones, José Antonio Arévalo González, Alma Lucía Arzaluz Alonso, Luis Ignacio Avendaño Bermúdez, María Ávila Serna, Omar Noé Bernardino Vargas, Paloma Canales Suárez, Jesús Ricardo Canavati Tafich, Juan Manuel Celis Aguirre, José Alberto Couttolenc Buentello, Sharon María Cuenca Ayala, Sasil Dora Luz de León Villard, Daniela de los Santos Torres, Andrés Fernández del Valle Laisequilla, Evelyng Soraya Flores Carranza, Sara Paola Gálico Félix Díaz, José de Jesús Galindo Rosas, Jorgina Gaxiola Lezama, Yaret Adriana Guevara Jiménez, Leonardo Rafael Guirao Aguilar, Javier Octavio Herrera Borunda, Jesús Gerardo Izquierdo Rojas, Lía Limón García, Mario Machuca Sánchez, Cesáreo Jorge Márquez Alvarado, Virgilio Mendoza Amezcua, Cándido Ochoa Rojas, Samuel Rodríguez Torres, Emilio Enrique Salazar Farías, José Refugio Sandoval Rodríguez, Adriana Sarur Torre, Miguel Ángel Sedas Castro, Édgar Spinoso Carrera, Wendolin Toledo Aceves, Francisco Alberto Torres Rivas, Diego Valente Valera Fuentes, Claudia Villanueva Huerta, Lorena Corona Valdés, Enrique Zamora Morlet, Waldo Fernández González.
Fuente:
Gaceta Parlamentaria, año XX, número 4901-V, martes 7 de noviembre de 2017.
Que reforma y adiciona diversas disposiciones de los Códigos Penal Federal, y Nacional de Procedimientos Penales, suscrita por la diputada Sofía González Torres e integrantes del Grupo Parlamentario del PVEM y el diputado Waldo Fernández González, del PRD.