El 24 de enero de 2026, se publicó el Decreto Legislativo N.º 1700 a través del cual se modificó la Ley de Delitos Informáticos, con el objeto de incorporar un tipo penal autónomo que sancione la posesión, compra, recepción, venta, comercialización, intercambio, facilitamiento o tráfico ilícito de datos informáticos obtenidos sin consentimiento de su titular o mediante la vulneración de sistemas de seguridad o la comisión de un delito informático.
El nuevo tipo penal puede apreciarse en el siguiente gráfico:
Ley Nº 30096
“Artículo 12-A.- Adquisición, posesión y tráfico ilícito de datos informáticos
El que posee, compre, recibe, comercialice, vende, facilite, intercambie o trafique datos informáticos, credenciales de acceso o bases de datos personales, teniendo conocimiento o debiendo presumir que se obtuvo sin consentimiento de su titular o mediante la vulneración de sistemas de seguridad o la comisión de un delito informático, es reprimido con pena privativa de libertad no menor de cinco (5) ni mayor de ocho (8) años y con ciento ochenta (180) a trescientos sesenta y cinco (365) días-multa.
La pena privativa de libertad es no menor de ocho (8) ni mayor de diez (10) años, e inhabilitación, cuando:
a) El agente actúa como integrante de una organización criminal;
b) Se cause perjuicio patrimonial grave o afectación a una pluralidad de personas; o
c) La base de datos es procesada o custodiada por una entidad pública.
Queda exceptuada de responsabilidad penal la adquisición, posesión, intercambio o tratamiento de datos informáticos cuando estas conductas se realicen con autorización expresa del titular, conforme a la Ley Nº 29733, Ley de Protección de Datos Personales, en cumplimiento de un mandato judicial o administrativo emitido conforme a ley, o en el ejercicio legítimo de derechos fundamentales o de funciones legalmente reconocidas, siempre que no exista finalidad de aprovechamiento ilícito ni de comercialización indebida de la información.”
Como se aprecia, la modificación incorpora un tipo penal autónomo que sanciona no solo el tráfico ilícito de datos informáticos, sino también conductas previas como la posesión, compra, recepción, intercambio o facilitación de dichos datos, cuando estos han sido obtenidos sin el consentimiento de su titular o mediante la vulneración de sistemas de seguridad o la comisión de un delito informático.
Ello anticipa las barreras de intervención penal frente a la circulación ilegal de información, lo que resulta especialmente relevante en un contexto de incremento de ciberdelitos, fraudes digitales y mercados ilícitos de datos personales.
