El Poder Ejecutivo publicó el Decreto Legislativo N.º 1700, que modifica la Ley N.º 30096, Ley de Delitos Informáticos, e incorpora como delito autónomo la adquisición, posesión y tráfico ilícito de datos informáticos, en el marco de las facultades delegadas por el Congreso mediante la Ley N.º 32527.
La norma fue emitida dentro del plazo de 60 días otorgado al Ejecutivo para legislar en materia de seguridad ciudadana y lucha contra la criminalidad organizada.
LEA TAMBIÉN: El millonario costo de la piratería online en Perú: Los riesgos de ver un partido “gratis”
Nuevo tipo penal
El decreto incorpora el artículo 12-A a la Ley de Delitos Informáticos, estableciendo sanciones para quien posea, compre, reciba, comercialice, venda, facilite, intercambie o trafique datos informáticos, credenciales de acceso o bases de datos personales obtenidas sin consentimiento del titular o mediante la vulneración de sistemas de seguridad.
La pena prevista es de cinco a ocho años de prisión y de 180 a 365 días-multa.
La sanción se eleva a entre ocho y diez años de cárcel, además de inhabilitación, cuando el delito sea cometido como integrante de una organización criminal, cause perjuicio patrimonial grave o afecte a una pluralidad de personas, o cuando la base de datos comprometida sea procesada o custodiada por una entidad pública.
LEA TAMBIÉN: Nuevas amenazas ‘silenciosas’, ¿qué ciberataques crecerán en 2026?
Protección de la autodeterminación informativa
Según el texto oficial, la finalidad de la norma es fortalecer la seguridad y confianza digital a nivel nacional, incluyendo la ciberseguridad, y reforzar la tutela penal del derecho fundamental a la autodeterminación informativa frente a conductas que generan afectaciones masivas en el entorno digital.
El Ejecutivo sostiene que la comercialización de información obtenida ilícitamente constituye una conducta de elevada lesividad social, al impactar en la seguridad de los datos y en el funcionamiento de servicios públicos y privados.
LEA TAMBIÉN: Minería peruana en jaque: cibercriminales filtran información de empresas en la Dark Web
El decreto precisa que no existe responsabilidad penal cuando la adquisición o tratamiento de datos se realice con autorización expresa del titular, conforme a la Ley de Protección de Datos Personales (Ley N.º 29733), en cumplimiento de un mandato judicial o administrativo, o en el ejercicio legítimo de derechos fundamentales o funciones legalmente reconocidas, siempre que no exista finalidad de aprovechamiento ilícito.
La implementación de la norma se financiará con cargo al presupuesto de las instituciones involucradas, sin demandar recursos adicionales al Tesoro Público.
