Daño informático en Colombia: artículo 269D, pena y defensa
El último día de trabajo, un empleado borra las bases de datos de clientes, elimina los respaldos y deja los servidores inservibles. No se llevó nada: destruyó. Ese acto de aniquilar información ajena tiene nombre penal propio: daño informático.
En Estudio Penal Abogados acompañamos a las empresas que ven destruida su información y defendemos a las personas acusadas de causar ese daño. En esta guía verá qué exige el artículo 269D del Código Penal, su pena —de 4 a 8 años de prisión— y el punto donde suele librarse la defensa: la gravedad del daño. Si su empresa víctima de daño informático busca reparación, la representamos.
El origen del 269D: los datos como bienes que se pueden destruir
La ley penal siempre castigó el daño en las cosas materiales. El artículo 269D dio un paso más: reconoció que los datos también pueden destruirse y merecen una protección análoga a la de los objetos físicos. Esa idea proviene del artículo 4 del Convenio de Budapest («interferencia en los datos»), que Colombia adoptó con la Ley 1273 de 2009.
Como en el resto del capítulo, la adhesión formal de Colombia al convenio fue posterior —Ley 1928 de 2018—, de modo que el país usó la fórmula europea casi diez años antes de ratificar el tratado que la contenía.
¿Qué es el delito de daño informático?
El daño informático consiste en destruir, dañar, borrar, deteriorar, alterar o suprimir datos informáticos, o un sistema de tratamiento de información, sin estar facultado para ello. Protege la integridad de la información: el derecho a que los datos se conserven completos y utilizables.
A diferencia del software malicioso —que se castiga por el solo hecho de crearlo o distribuirlo— y de la obstaculización —que ataca el funcionamiento—, el daño informático es un delito de resultado: exige que la información quede efectivamente destruida o alterada. Sin ese resultado no hay consumación, aunque sí puede haber tentativa.
Texto vigente del artículo 269D del Código Penal
Artículo 269D. Daño Informático. El que, sin estar facultado para ello, destruya, dañe, borre, deteriore, altere o suprima datos informáticos, o un sistema de tratamiento de información o sus partes o componentes lógicos, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.
Ley 599 de 2000, art. 269D, adicionado por la Ley 1273 de 2009. Norma vigente.
Los seis verbos rectores —destruir, dañar, borrar, deteriorar, alterar, suprimir— cubren todas las formas de atentar contra la información. El objeto puede ser tanto los datos como el propio sistema de tratamiento o sus «componentes lógicos», es decir, el software que lo hace funcionar.
¿Le destruyeron o borraron su información? Hable con un penalista →
¿Qué ha dicho la Corte Suprema sobre el artículo 269D?
El daño informático es de los pocos ciberdelitos que sí ha llegado a la Corte Suprema, aunque la producción sobre la Ley 1273 sigue siendo escasa. En la sentencia CSJ SP2699-2022, 3 ago. 2022, rad. 59733, la Sala de Casación Penal describió las características típicas del delito y explicó una de sus modalidades más comunes: borrar datos informáticos ajenos. Para completar el análisis —sobre todo en el punto más discutido, la gravedad del daño— resulta muy útil el derecho comparado, en especial la jurisprudencia del Tribunal Supremo español, que aplica un tipo equivalente en su artículo 264.
Glosario: 5 términos para entender el artículo 269D
- Daño lógico: destrucción o alteración de los datos y programas, sin tocar físicamente el equipo. Es la forma más habitual del delito.
- Daño físico: deterioro del hardware —los equipos o componentes— que soporta la información.
- Borrado o «wiping»: eliminación de datos con técnicas que buscan hacerlos irrecuperables.
- Defacement: alteración no autorizada de un sitio web para modificar su contenido o apariencia.
- Inyección de código: introducción de instrucciones maliciosas en un programa para dañar o alterar los datos que maneja.
Un caso real: la regla de la gravedad del daño
No toda alteración de datos es delito. El punto más fino de este tipo penal es cuándo el daño es lo bastante serio para merecer una condena, y ahí el Tribunal Supremo español dejó una regla muy citable. En la STS 91/2022 juzgó a una empleada que, el día de su despido, borró desde su equipo de trabajo los archivos de su área —hojas de cálculo y correos con contactos de clientes—.
El Tribunal precisó que la gravedad se mide por el daño funcional: resultan atípicas las conductas cuyo efecto es irrelevante para que el sistema opere, y solo hay reproche penal cuando «la función digital deviene imposible» o se trastoca de manera relevante su utilidad. Es un criterio de enorme valor para la defensa: obliga a demostrar que el daño fue realmente significativo, y no una molestia menor. En Colombia, además, buena parte de estos casos involucra el borrado de bases de datos de entidades por parte de personas con acceso privilegiado. Para investigados, defensa penal informática con soporte pericial.
Hacia dónde va: la inteligencia artificial y el Convenio de Budapest
La inteligencia artificial permite generar código destructivo cada vez más eficaz y difícil de atribuir. Anticipándose a ese escenario, el Comité de la Convención de Budapest constituyó un Grupo de Trabajo sobre Inteligencia Artificial, que prepara para 2025-2026 un estudio sobre el impacto de la IA en el cibercrimen y en la evidencia digital. De allí surgirán los criterios que actualizarán la lectura de delitos como el daño informático.
¿Qué hacer si le destruyen la información o si lo investigan por el 269D?
Si es la víctima, no reinstale ni sobrescriba los equipos afectados antes de asesorarse: cada intento de «arreglar» puede borrar la evidencia de quién causó el daño. Preservar los discos y los registros con cadena de custodia es lo que sostiene la denuncia. Contáctenos aquí para actuar bien desde el inicio.
Si es el investigado, la defensa se concentra en la gravedad y en la prueba: ¿el daño fue realmente relevante o el sistema siguió operando? ¿Existía respaldo que minimizó el efecto? ¿La evidencia digital que lo señala se obtuvo con las autorizaciones judiciales debidas? Antes de rendir interrogatorio, programe una consulta con un especialista.
Evalúe su caso con un especialista en delitos informáticos →
Preguntas frecuentes sobre el daño informático
¿Qué es el daño informático?
Es el delito del artículo 269D del Código Penal que castiga destruir, dañar, borrar, deteriorar, alterar o suprimir datos informáticos o un sistema de tratamiento de información, sin autorización. Protege la integridad de la información.
¿Cuántos años de cárcel tiene el daño informático?
La pena es de prisión de 48 a 96 meses, es decir, de 4 a 8 años, y multa de 100 a 1.000 salarios mínimos legales mensuales vigentes. Con una circunstancia de agravación del artículo 269H, la pena se aumenta de la mitad a las tres cuartas partes.
¿Borrar los archivos de la empresa al renunciar es delito?
Sí, si se borran datos ajenos sin autorización y el daño es relevante para la operación. La jurisprudencia comparada exige que el perjuicio sea significativo —que afecte de verdad la utilidad del sistema— y no una simple molestia.
¿Cuál es la diferencia entre daño informático y obstaculización?
El daño informático (269D) ataca la integridad de los datos: los destruye o altera. La obstaculización (269B) ataca la disponibilidad: impide que el sistema funcione, aunque los datos queden intactos. Un mismo hecho puede configurar ambos en concurso.
¿Se necesita causar un daño para que exista el delito?
Sí. El daño informático es un delito de resultado: exige que los datos o el sistema queden efectivamente destruidos o alterados. Si la conducta se queda a mitad de camino sin lograr el daño, puede haber tentativa, con pena menor.
¿En cuánto tiempo prescribe el daño informático?
Antes de la formulación de imputación, la acción penal prescribe en un término igual al máximo de la pena, ocho años, sin ser inferior a cinco (artículo 83 del Código Penal). Con la formulación de imputación el término se interrumpe y corre de nuevo por la mitad, sin que pueda ser inferior a tres años (artículo 292 del Código de Procedimiento Penal).
Carlos Fernando Alarcón González
Abogado penalista de la Universidad Externado de Colombia, con Maestría en Derecho Penal Económico (UNIR) y Especialización en Derecho Penal de la Universidad del Rosario.
Cuenta con más de 15 años de experiencia en el litigio de alta complejidad. Antes de fundar Estudio Penal, se desempeñó durante más de una década en la firma Jaime Granados Peña & Asociados, donde lideró como Jefe de Litigios Complejos la defensa de casos de trascendencia nacional.
Su práctica actual se centra en la defensa de directivos y empresas, anticipando escenarios de riesgo y ejecutando estrategias técnicas en delitos contra la administración pública y el patrimonio.
Luis Andrés González Rivera
Abogado de la Universidad Externado de Colombia y Especialista en Derecho Procesal Penal de esta misma casa de estudios.
Como Socio Fundador de Estudio Penal, lidera la estrategia de defensa en los escenarios más críticos del proceso. Su trayectoria incluye su paso por la firma Jaime Granados Peña & Asociados, donde perfeccionó la técnica del litigio en casos de alto perfil nacional.
Su práctica se distingue por una visión integral del conflicto: interviene desde la fase de investigación hasta el juicio oral con un enfoque técnico riguroso. Se especializa en Manejo de Crisis Penales, asumiendo la representación cuando la libertad y el patrimonio están en juego.