Interceptación de datos informáticos en Colombia: artículo 269C, pena y defensa
Alguien se sitúa, sin que usted lo note, entre su computador y su banco. Captura lo que escribe —usuario, clave, el contenido de un mensaje— mientras viaja por la red, antes de que llegue a su destino. Esa «escucha» silenciosa de datos que circulan es el delito de interceptación de datos informáticos.
En Estudio Penal Abogados asesoramos a víctimas de interceptaciones y, sobre todo, defendemos a quienes son procesados con prueba obtenida interceptando comunicaciones. Esta guía explica el artículo 269C del Código Penal, su pena —de 3 a 6 años de prisión— y por qué la orden judicial es el corazón de la defensa. Le ayudamos a denunciar interceptación ilegal de sus comunicaciones.
El origen del 269C: la privacidad de las comunicaciones
El artículo 269C protege un derecho antiguo con una herramienta nueva: la privacidad de las comunicaciones. Su modelo es el artículo 3 del Convenio de Budapest, que castiga la «interceptación ilícita» y traslada al mundo digital la vieja garantía contra la escucha no autorizada de las conversaciones ajenas.
Colombia incorporó esa figura con la Ley 1273 de 2009 y solo más tarde, con la Ley 1928 de 2018, se hizo parte del convenio que la inspiró. El país adoptó primero la norma y ratificó después el tratado del que provenía.
¿Qué es el delito de interceptación de datos informáticos?
La interceptación consiste en captar, sin orden judicial previa, datos informáticos en su origen, en su destino o en el interior de un sistema, e incluso las emisiones electromagnéticas que los transportan. Lo que se protege es la confidencialidad de la información mientras se transmite.
La expresión «sin orden judicial previa» es el núcleo del tipo. La interceptación no es ilícita en sí misma: lo que la vuelve delito es hacerla sin la autorización del juez. Por eso la frontera entre la investigación legítima y el delito —o entre la prueba válida y la prueba nula— pasa exactamente por ese punto.
Texto vigente del artículo 269C del Código Penal
Artículo 269C. Interceptación de datos informáticos. El que, sin orden judicial previa intercepte datos informáticos en su origen, destino o en el interior de un sistema informático, o las emisiones electromagnéticas provenientes de un sistema informático que los transporte, incurrirá en pena de prisión de treinta y seis (36) a setenta y dos (72) meses.
Ley 599 de 2000, art. 269C, adicionado por la Ley 1273 de 2009. Norma vigente.
A diferencia de los demás tipos del Capítulo I de la Ley 1273 —que suman multa de 100 a 1.000 salarios mínimos—, este no contempla multa: la sanción es solo la prisión de 36 a 72 meses (3 a 6 años). Es también el ciberdelito con la pena base más baja del capítulo. Eso no impide que se agrave por las circunstancias del artículo 269H.
¿Lo procesan con prueba interceptada? Hable con un abogado penalista →
¿Qué ha dicho la Corte Suprema sobre el artículo 269C?
La interceptación de datos casi no se juzga como delito autónomo, y la Corte Suprema no registra una línea propia sobre el artículo 269C. Es coherente con un panorama general de producción escasa en materia de delitos informáticos. Por eso su estudio se apoya en el Convenio de Budapest y en la jurisprudencia internacional, que sí ha abordado a fondo los límites de la interceptación.
Glosario: 5 términos para entender el artículo 269C
- Interceptación: captar datos o comunicaciones mientras se transmiten, sin ser el destinatario legítimo.
- Ataque de intermediario (Man-in-the-Middle): el atacante se coloca entre dos partes que se comunican y lee o altera lo que se envían, sin que ninguna lo advierta.
- Man-in-the-Browser: variante en la que un programa malicioso instalado en el navegador intercepta y modifica las operaciones, típicamente bancarias, en tiempo real.
- Troyano bancario: software espía diseñado para capturar credenciales y datos de banca en línea.
- Emisiones electromagnéticas: señales que emiten los equipos y que, captadas con instrumentos técnicos, permiten reconstruir la información que procesan.
Un caso emblemático: el precedente EncroChat
El caso más importante en Europa sobre interceptación de datos es el de la red cifrada EncroChat. En 2020, autoridades europeas se infiltraron en ese servicio de mensajería cifrada e interceptaron millones de mensajes de sus usuarios antes de que se cifraran. La discusión jurídica que siguió es exactamente la que plantea el artículo 269C: ¿cuándo es válida una interceptación y cuándo la prueba obtenida debe caer?
El Tribunal de Justicia de la Unión Europea resolvió el punto en la sentencia C-670/22, de 30 de abril de 2024. Fijó tres reglas de gran valor para la defensa: una interceptación realizada por un Estado en el territorio de otro debe notificarse a ese Estado, que puede oponerse; el respeto a los derechos fundamentales de los afectados debe poder revisarse ante un juez; y —lo más relevante— los tribunales deben excluir la prueba cuando la persona no está en condiciones de pronunciarse sobre ella y esa prueba puede tener una influencia determinante en los hechos. Es la traducción europea de la garantía que en Colombia expresa el 269C al exigir «orden judicial previa». Si es usted el señalado, reciba defensa especializada.
Hacia dónde va: la inteligencia artificial y el Convenio de Budapest
La interceptación también se transforma con la inteligencia artificial, capaz de filtrar en tiempo real cuáles comunicaciones interceptadas valen la pena y de clonar voces para engañar a la víctima. El Comité de la Convención de Budapest creó un Grupo de Trabajo sobre Inteligencia Artificial que prepara, entre 2025 y 2026, un estudio sobre el impacto de la IA en el cibercrimen y en la evidencia electrónica. Es la sede donde se están escribiendo las reglas que definirán mañana este delito.
¿Qué hacer si lo investigan con prueba interceptada?
Aquí la defensa tiene una herramienta poderosa. Si la interceptación que sustenta el caso se hizo sin orden judicial previa, o con una autorización defectuosa, esa prueba puede ser ilícita y quedar excluida del proceso, arrastrando consigo lo que de ella se derive. Revisar con lupa la cadena de autorizaciones de cada interceptación es, muchas veces, la diferencia entre una condena y una absolución. Si enfrenta una situación así, contáctenos aquí antes de que la prueba se consolide.
Si usted es la víctima de una interceptación —un competidor que espía sus comunicaciones, un troyano en la banca de su empresa—, la clave es documentar técnicamente el ataque y denunciar sin manipular los equipos. Programe una consulta para preservar la evidencia como es debido.
Evalúe su caso con un especialista en delitos informáticos →
Preguntas frecuentes sobre la interceptación de datos informáticos
¿Qué es la interceptación de datos informáticos?
Es el delito del artículo 269C del Código Penal que castiga captar, sin orden judicial previa, datos informáticos en su origen, destino o dentro de un sistema, o las emisiones electromagnéticas que los transportan. Protege la confidencialidad de la información en tránsito.
¿Cuántos años de cárcel tiene la interceptación de datos?
La pena es de prisión de 36 a 72 meses, es decir, de 3 a 6 años, sin multa, a diferencia de los demás tipos del Capítulo I de la Ley 1273. Con una agravación del artículo 269H, la pena aumenta de la mitad a las tres cuartas partes.
¿Cuándo es legal interceptar datos o comunicaciones?
Solo con orden judicial previa dentro de una investigación penal. El artículo 269C convierte en delito la interceptación hecha sin esa autorización. Por eso una interceptación sin control judicial no solo es punible: produce prueba ilícita, que debe excluirse del proceso.
¿Qué pasa si me condenan con una interceptación ilegal?
La prueba obtenida sin orden judicial válida es ilícita y debe ser excluida, junto con las pruebas que se deriven de ella. Detectar ese defecto a tiempo puede desmontar el sustento de la acusación. Es uno de los focos centrales de la defensa en estos casos.
¿Interceptar los datos de mi pareja o de un empleado es delito?
Sí. Instalar programas espía para leer las comunicaciones de otra persona, sin su consentimiento y sin orden judicial, encaja en el artículo 269C y puede concurrir con la violación de datos personales. La relación personal o laboral no autoriza la interceptación.
¿En cuánto tiempo prescribe el delito del artículo 269C?
Antes de la formulación de imputación, la acción penal prescribe en un término igual al máximo de la pena: seis años, y en ningún caso menos de cinco (artículo 83 del Código Penal). La prescripción se interrumpe con la formulación de imputación y desde ahí vuelve a correr por la mitad de ese término, sin que pueda ser inferior a tres años (artículo 292 del Código de Procedimiento Penal) ni superior a diez (artículo 86 del Código Penal). En la interceptación de datos la mitad del máximo son justamente tres años, que es el mínimo legal.
Luis Andrés González Rivera
Abogado de la Universidad Externado de Colombia y Especialista en Derecho Procesal Penal de esta misma casa de estudios.
Como Socio Fundador de Estudio Penal, lidera la estrategia de defensa en los escenarios más críticos del proceso. Su trayectoria incluye su paso por la firma Jaime Granados Peña & Asociados, donde perfeccionó la técnica del litigio en casos de alto perfil nacional.
Su práctica se distingue por una visión integral del conflicto: interviene desde la fase de investigación hasta el juicio oral con un enfoque técnico riguroso. Se especializa en Manejo de Crisis Penales, asumiendo la representación cuando la libertad y el patrimonio están en juego.