Cuando alguien crea un perfil falso con tu foto, accede a tu cuenta de correo o de banca online, o se hace pasar por ti para engañar a un tercero, hablamos coloquialmente de «suplantación de identidad», pero el Código Penal español no tiene un único artículo con ese nombre. Lo que existe es un conjunto de delitos distintos, cada uno pensado para una conducta distinta, y el que resulte aplicable depende de qué se hizo exactamente con esa identidad usurpada: solo apropiarse de ella, usarla para engañar y obtener un beneficio económico, acceder a datos privados, o acosar a la víctima.
Cómo obtienen los delincuentes nuestros datos en internet
Antes de entrar en los delitos aplicables, conviene entender cómo se produce el punto de partida de casi todos estos casos: la obtención de los datos personales que después se usan para suplantar. Los canales más habituales son:
- Robo o pérdida del teléfono móvil, con acceso directo a aplicaciones de correo, banca o redes sociales que quedan conectadas.
- Phishing: correos, SMS o mensajes que suplantan a una entidad conocida (un banco, una empresa de paquetería, la Agencia Tributaria) para que la víctima introduzca sus credenciales en una web falsa.
- Vigilancia o espionaje directo, especialmente en el entorno cercano de la víctima (pareja, expareja, familiar).
- Instalación de malware (software malicioso) que captura contraseñas o accede a la cámara o el micrófono del dispositivo.
- Compra de datos ya filtrados en foros o webs de terceros, procedentes de brechas de seguridad de otras empresas.
Cuando la usurpación es total: el artículo 401 CP
Cuando alguien no se limita a usar tu nombre puntualmente, sino que suplanta de forma integral tu identidad y tu posición jurídica —haciéndose pasar por ti de forma continuada, ejerciendo derechos que solo a ti te corresponden—, la figura aplicable es la usurpación del estado civil, del artículo 401 CP, castigada con prisión de 6 meses a 3 años. La jurisprudencia exige, para apreciar este delito, que la suplantación sea razonablemente completa y duradera (nombre, y en su caso profesión, nacionalidad u otros elementos de la identidad), no un simple uso puntual de una foto o un nombre, y que la persona suplantada exista realmente.
Cuando hay engaño y beneficio económico: la estafa (arts. 248-249 CP)
Es, en la práctica, el supuesto más frecuente: alguien crea un perfil falso o accede a una cuenta ajena para engañar a un tercero y obtener un beneficio patrimonial —por ejemplo, pedir dinero prestado a los contactos de la víctima haciéndose pasar por ella, o contratar servicios a su nombre—. Aquí el delito no es la suplantación en sí, sino la estafa, que exige engaño bastante para inducir a error, un acto de disposición patrimonial de la víctima del engaño y un perjuicio económico. La pena base es de prisión de 6 meses a 3 años, que se agrava en función de la cuantía defraudada y de otras circunstancias (art. 250 CP), como el uso de firma o datos de terceros, o afectar a un elevado número de personas.
Cuando se accede a cuentas o datos privados: descubrimiento y revelación de secretos (art. 197 CP)
Acceder sin autorización a un correo electrónico, una cuenta de redes sociales o cualquier archivo con datos personales de otra persona, para descubrir sus secretos o vulnerar su intimidad, es un delito autónomo con independencia de que después se use o no esa información para suplantar la identidad: el artículo 197.1 CP castiga con prisión de 1 a 4 años el apoderamiento de correspondencia, mensajes o datos reservados, así como la interceptación de comunicaciones o el uso de artificios técnicos de escucha o grabación, sin consentimiento del titular. El artículo 197.2 CP castiga con la misma pena el acceso, utilización o modificación de datos personales registrados en ficheros o soportes informáticos.
Cuando hay acoso continuado: el stalking del artículo 172 ter CP
Si la suplantación forma parte de un patrón de vigilancia, contacto reiterado o control de la víctima —crear perfiles falsos para seguir su actividad, contactar con su entorno haciéndose pasar por ella para obtener información sobre sus movimientos—, puede encajar en el delito de acoso (stalking) del artículo 172 ter CP, castigado con prisión de 3 meses a 2 años, o trabajos en beneficio de la comunidad de 60 a 120 días, pena que se eleva a 1-2 años cuando la víctima es especialmente vulnerable por su edad, enfermedad o situación.
La vía administrativa: la Agencia Española de Protección de Datos
Al margen de la vía penal, cuando la suplantación implica un tratamiento indebido de datos personales, la víctima puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), al amparo del Reglamento General de Protección de Datos (RGPD) y la LOPDGDD (Ley Orgánica 3/2018). Esta vía es compatible con la penal, no excluyente, y suele resolverse en plazos más cortos, con la posibilidad de sanciones administrativas a la plataforma o al responsable del tratamiento cuando corresponda.
Tabla resumen: qué delito aplica según la conducta
| Qué se hizo con tu identidad | Delito aplicable | Pena |
|---|---|---|
| Suplantación integral y continuada de tu identidad y posición jurídica | Usurpación del estado civil (art. 401 CP) | Prisión de 6 meses a 3 años |
| Uso de tu identidad para engañar y obtener un beneficio económico | Estafa (arts. 248-250 CP) | Prisión de 6 meses a 3 años (agravable según cuantía y circunstancias) |
| Acceso no autorizado a tu correo, cuentas o datos personales | Descubrimiento y revelación de secretos (art. 197 CP) | Prisión de 1 a 4 años |
| Vigilancia, contacto reiterado o control usando tu identidad o la de un tercero | Acoso / stalking (art. 172 ter CP) | Prisión de 3 meses a 2 años, o trabajos en beneficio de la comunidad |
| Tratamiento indebido de tus datos personales (vía administrativa, compatible con la penal) | Reclamación ante la AEPD (RGPD y LOPDGDD) | Sanción administrativa a la plataforma o responsable |
Qué hacer si te han suplantado la identidad
- Reúne pruebas antes de que desaparezcan: capturas de pantalla con fecha y hora, URLs, mensajes recibidos por los contactos engañados.
- Denuncia el perfil o contenido ante la propia plataforma (la mayoría tiene un canal específico para suplantación de identidad, que puede llevar a la retirada rápida del contenido).
- Presenta denuncia en comisaría, en el juzgado de guardia o a través de la sede electrónica de la Policía Nacional o la Guardia Civil, aportando toda la prueba reunida.
- Valora la reclamación paralela ante la AEPD si hay datos personales implicados.
- Cambia tus contraseñas y activa la verificación en dos pasos en todas tus cuentas, especialmente si sospechas que ha habido acceso no autorizado, no solo uso de tu nombre o fotos públicas.
Preguntas frecuentes
¿Existe un delito llamado «suplantación de identidad en internet» en el Código Penal?
No como tal. Es una expresión coloquial que puede corresponder, según lo que se haya hecho con esa identidad, a la usurpación del estado civil, a una estafa, a un delito de descubrimiento y revelación de secretos o a un delito de acoso.
¿Crear un perfil falso con mi foto ya es delito, aunque no pidan dinero a nadie?
Depende de qué haga esa persona con el perfil. Si solo lo mantiene sin usarlo para engañar, acosar o acceder a datos privados, puede no alcanzar el umbral de ningún tipo penal, aunque sí puede reclamarse por la vía civil (derecho a la propia imagen) y ante la plataforma o la AEPD.
¿Qué pena tiene acceder a mi correo electrónico sin permiso?
El artículo 197.1 y 197.2 del Código Penal castiga estas conductas con prisión de 1 a 4 años.
¿Puedo reclamar a la vez por la vía penal y ante la Agencia de Protección de Datos?
Sí, son vías compatibles: la reclamación ante la AEPD no exige haber denunciado penalmente, y puede tramitarse en paralelo.
¿Qué pruebas necesito para denunciar?
Capturas de pantalla con fecha y hora visibles, las URLs de los perfiles o publicaciones, y cualquier mensaje o comunicación que acredite el engaño o el acceso no autorizado. Cuanto antes se recopilen, mejor, porque el contenido puede eliminarse.
¿Han suplantado tu identidad en internet, o te acusan a ti de hacerlo?
El delito exacto que aplica cambia completamente la estrategia, tanto si eres víctima como si eres investigado. Consulta confidencial.
📞 697 982 344 / 91 828 71 32 · josemartin@icam.es
Delitos relacionados
- Delitos en Internet
- Prueba Pericial Informática y Registro de Dispositivos
- Estafas y Delitos en Internet: Guía Legal Completa
