TEXTO 302/2018 Sobre la reforma del código penal operada por la L.O. 999/2015 DE 30 de mayo Delitos de descubrimiento, revelación de secretos y los delitos informáticos Novedades introducidas en los delitos de descubrimiento y revelación de secretos. Las modificaciones operadas en estos delitos proceden de dos momentos distintos en la tramitación parlamentaria del proyecto de ley de reforma del CP. En un primer momento las modificaciones se limitaban a la incorporación, en un apartado (4 bis) del art.197, de un nuevo tipo penal para sancionar las conductas de quien sin autorización de la persona afectada difundieran o revelaran a terceros imágenes o grabaciones de carácter privado obtenidas con la anuencia de aquella cuando dicha divulgación supusiera un grave menoscabo en su intimidad. Por otro lado, a efectuar una pequeña modificación de carácter sistemático, en el apartado 7 del citado precepto. Sin embargo, la publicación de la Directiva 2013/40/UE de 12 de agosto, antes referida, determinó la introducción, ya en trámite parlamentario, de las novedades que tienen por objeto incorporar en nuestro ordenamiento jurídico dicha Directiva, cuyo plazo de implementación finalizaba en septiembre del año 2015. A dicho fin no solo se modifica el actual artículo 197 CP sino que se añaden los artículos 197 bis, ter, quater,, y quinquies. Nueva redacción del artículo 197 CP. Las novedades en el art. 197 son las siguientes: A) El delito de acceso ilegal a sistemas informáticos, tipificado hasta el momento, y desde la reforma operada en el Código Penal por Ley Orgánica 5/2010, de 22 de junio, en el apartado tercero de este precepto, se traslada al nuevo art.197 bis, lo que determina la reordenación de los apartados 4, 5, 6 y 7 del anterior art.197 que en su vigente redacción pasan respectivamente a reenumerarse como 3, 4, 5, y 6. Según se hace constar en el Preámbulo, siguiendo con ello el propio planteamiento de la Directiva europea, se introduce una separación nítida entre los supuestos de revelación de datos que afectan directamente a la intimidad personal y el acceso a otros datos o informaciones que pueden afectar a la privacidad pero que no están referidos directamente a la intimidad personal. No es lo mismo el acceso al listado personal de contactos que recabar datos relativos a la versión software empleado o a la situación de los puertos de entrada a un sistema. Por ello se opta por una tipificación separada y diferenciada del mero acceso a los sistemas informáticos. La decisión de sancionar separadamente el acceso ilegal a sistemas, adoptada por el Legislador ha de considerarse acertada, ya que su anterior ubicación resultaba perturbadora en la interpretación y aplicación de este tipo penal. Es evidente que en estos casos el bien jurídico protegido, no es directamente la intimidad personal, sino más bien la seguridad de los sistemas de información en cuanto medida de protección del ámbito de privacidad reservado a la posibilidad de conocimiento público. Lo que sanciona este precepto es el mero acceso a un sistema vulnerando las medidas de seguridad y sin estar autorizado para ello, sin que se exija que dicha conducta permita, de lugar, o posibilite en alguna forma el conocimiento de información de carácter íntimo o reservado. Con la tipificación en un precepto independiente se solventa la incongruencia denunciada por buena parte de la doctrina, de sancionar esta conducta en el marco de un tipo penal definido por el dolo específico de descubrir secretos o vulnerar la intimidad de otro. B) El antiguo apartado quinto de este precepto, además de su reordenación numérica como apartado cuanto a la que anteriormente se ha hecho referencia, es objeto de modificación al incorporar una nueva circunstancia determinante de la elevación de la pena privativa de libertad que será, de concurrir la misma, la de tres a cinco años. Así, junto a la tradicional agravación prevista para los supuestos en que los autores del hecho ilícito sean las personas encargadas o responsables de los ficheros, soportes informáticos, electrónicos o telemáticos, archivos o registros, se contempla en el nuevo texto. Con igual carácter, el supuesto en que los hechos sancionados en los párrafos 1º y 2º del mismo articulo se lleven a cabo mediante la utilización no autorizada de datos personales de la victima. Lo que el Legislador pretende sancionar más gravemente son aquellas conductas en las que el autor del hecho no solo invade intencionadamente la intimidad de una persona cometiendo alguna de las conductas típicas, sino que además lleva a efecto dicho comportamiento haciendo uso de las señas de identidad propias de la victima, es decir, haciéndose pasar por ella como medio para lograr sus criminales propósitos. Esta agravación, aunque contemplada para su apreciación en cualquiera de las acciones previstas en los apartados 1 y 2 del art.197 CP, encuentra su pleno significado en las conductas de acceso, apoderamiento o modificación de información de carácter personal almacenada en archivos o registros públicos o privados, para cuya ejecución suele resultar necesario acreditar que quien actúa es el titular de la información, bien se ante terceros encargados de su custodia bien sea para superar las barreras tecnológicas establecidas como medio de asegurar su protección. De hecho, en este último caso, la agravación concurrirá en muchos de los supuestos, por la necesidad de hacer uso de contraseñas personales para el acceso a dichos registros o archivos. Como ya se ha indicado, el precepto se refiere a los supuestos de utilización de datos personales. Como tales han de entenderse no solo los datos de identidad oficial, en sentido estricto, sino cualesquiera que sean propios de una persona o utilizados por ella y que la identifiquen o hagan posible esa identificación frente a terceros tanto en un entorno físico como virtual. A los efectos de integrar este concepto, el art.3 a) de la Ley Orgánica de Protección de Datos 15/1999, de 13 de diciembre, define los datos de carácter personal como cualquier información concerniente a personas físicas identificadas o identificables, definición que se complementa con el art. 5.1 f) del Reglamento que se desarrolla tal Ley Orgánica, aprobado por real Decreto 1720/2007, de 21 de diciembre, que entiende por tales cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier tipo concerniente a persona físicas identificadas o identificables. El mismo Reglamento proporciona en el apartado 5.1 o) el concepto de persona identificable describiéndola como toda persona cuya identidad pueda determinarse directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados. La Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y a la libre circulación de los mismos, definía los datos personales en su art.2 a) como toda información sobre una persona física identificada o identificable. Se considerará identificable toda persona cuya identidad pueda determinarse directa o indirectamente, en particular median un número de identificación o uno o varios elementos específicos característicos de su identidad física, fisiológica, psíquica, económica, cultural o social. Actualmente, el nuevo Reglamento (UE) sobre Protección de Datos, 679/2016 del Parlamento y del Consejo, que deroga la Directiva antes mencionada y que será aplicable a partir del 25 de mayo de 2018, precisa aún más el alcance del concepto al considerar datos personales, en su art. 4.1). Toda información sobre una persona física identificada o identificable (el interesado), indicando a continuación que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo, un nombre, un numero de identificación, datos de localización, un identificador en línea o una o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. En consecuencia no solo cabría entender como tales el nombre y apellidos sino también, entre otros, los números de identificación personal como el correspondiente al DNI, el número de teléfono asociado a un concreto titular (Informe Agencia Española de Protección de Datos nº285/2006), el número de afiliación a la Seguridad Social o a cualquier institución u organismo público o privado. También la dirección postal, el apartado de correos, la dirección de correo electrónico, la contraseña/usuario de carácter personal, la matrícula del propio vehículo, las imágenes de una persona obtenidas por videovigilancia, los datos biométricos y datos de ADN, los seudónimos, los datos personales relativos a la salud física o mental de una persona (art 4 del Reglamento europeo sobre Protección de Datos) así como también los datos del apartado 8 del vigente art.197 referido en su versión anterior a los supuestos en que los hechos se comentan en el seno de una organización o grupo criminal, pasando a integrar dicha circunstancia el nuevo art. 197 quater. Se incorpora un nuevo apartado séptimo al art. 197 cuyo alcance y contenido se analiza a continuación.