O Tribunal Supremo, na sentencia nº 709/2025, de 30 de xullo, detalla os límites do delito de manipulación informática do artigo 264 CP, equiparando os sistemas de videovixiancia aos sistemas informáticos.
Polo que, apagar unha cámara ou manipular un sistema informático, para cometer ou ocultar a comisión de un delito, será constitutivo de delito informático grave.
A sentencia confirma a condea a dous traballadores dunha empresa petrolera quen, xunto co xerente dunha empresa de transporte, modificaron os turnos de traballo para coincidir ambos na terminal os fins de semana, cando o personal de vixiancia era menor e así, sustraer combustible dunha terminal do porto de Barcelona. Para elo, un dos traballadores, desconectou o sistema de seguridade e control da terminal, apagando as cámaras, así como, tamén modificaron documentos de inventario para camuflar a reducción do combustible sustraído. Con tan solo dúas actuacións, conseguiron introducir un camión cisterna e apropiarse de gasóleo por valor de 60.000 €.
A cuestión xurídica, radica respecto á interpretación do artigo 264 bis CP, o cal castiga a quen, sen autorización e de forma grave, obstaculizara ou interrumpira o funcionamento dun sistema informático mediante conductas como, introducir ou transmitir datos, destruíndo, danando, inutilizando, eliminando ou sustituíndo o mesmo.
De acordo, coa interpretación do Tribunal Supremo, a conducta do traballador que apagou as cámaras e deshabilitou os sistemas de control, non foi solo instrumental para facilitar o sustracción do combustible, se non que constituiu en sí misma, una obstrucción grave do sistema de seguridade.
Argumenta a sentencia que a gravidade, é un concepto normativo que se determina polo dano xerado, e non únicamente por criterios cuantitativos ou económicos. Considerando factores como o ámbito de afectación da paralización, relevancia dos intereses comprometidos e permanencia ou irreversibilidade do ataque.
Concluíndo o Tribunal Supremo que a protección dos sistemas de seguridade, non se limita contra ameazas cibernéticas externas, se non que inclúe a manipulación intencionada interna, cando os traballadores/as acceden e alteran o sistema en beneficio propio ou alleno e en perxuizo da empresa. Reforzando o concepto de responsabilidade penal directa de quen, dende dentro dunha organización, instrumentaliza o seu acceso lexítimo a infraestructuras informática para perpetrar delitos.
