¿Es delito revisar el celular de mi pareja en Colombia? Artículo 269A, pena y defensa

Usted sospecha que su pareja le oculta algo. Un impulso lleva su mano al teléfono, desbloquea la pantalla y empieza a leer conversaciones. En ese momento puede estar cometiendo un delito con pena de cuatro a ocho años de prisión. La respuesta directa es sí: revisar el celular de su pareja sin su autorización es una conducta tipificada en el Código Penal colombiano.

En este artículo, Estudio Penal Abogados explica qué normas aplican, cuáles son los elementos del delito según la Sala de Casación Penal de la Corte Suprema de Justicia, cuánto puede costar en años de prisión, por qué la información obtenida así es inútil como prueba y qué debe hacer usted si es víctima o si ya tomó el dispositivo ajeno.

¿Por qué revisar el celular de la pareja es un delito en Colombia?

El derecho a la intimidad está consagrado en el artículo 15 de la Constitución Política, que protege la correspondencia y las demás formas de comunicación privada. Ese mandato no desaparece porque dos personas convivan, tengan una relación sentimental o estén casadas.

Un teléfono inteligente es, técnicamente, un sistema informático. Contiene datos personales, conversaciones, fotografías, correos, historial de ubicación y acceso a redes sociales. Quien entra a ese dispositivo sin permiso del titular ingresa en la órbita del Título VII BIS del Código Penal, creado por el artículo 1 de la Ley 1273 de 2009 para proteger la información y los datos.

La Sala de Casación Penal precisó de dónde viene ese concepto. El Título VII BIS reprodujo las directrices del Convenio sobre la Ciberdelincuencia —el llamado Convenio de Budapest—, aprobado por Colombia mediante la Ley 1928 de 2018, y es ese instrumento el que define qué debe entenderse por sistema informático.

«a) Por ‘sistema informático’ se entenderá todo dispositivo aislado o conjunto de dispositivos interconectados o relacionados entre sí, siempre que uno o varios de ellos permitan el tratamiento automatizado de datos en ejecución de un programa; b) por ‘datos informáticos’ se entenderá cualquier representación de hechos, información o conceptos de una forma que permita el tratamiento informático, incluido un programa diseñado para que un sistema informático ejecute una función.»

CSJ SP2699-2022, 3 ago. 2022, rad. 59733, M.P. Fernando León Bolaños Palacios, citando el art. 1 del Convenio de Budapest, vinculante por la Ley 1928 de 2018

Un celular encaja sin dificultad en esa definición: es un dispositivo que permite el tratamiento automatizado de datos mediante la ejecución de programas. La norma no distingue entre equipos de una empresa y equipos domésticos.

Texto vigente del artículo 269A del Código Penal

Artículo 269A. Acceso abusivo a un sistema informático. El que, sin autorización o por fuera de lo acordado, acceda en todo o en parte a un sistema informático protegido o no con una medida de seguridad, o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.

Ley 599 de 2000, art. 269A, adicionado por el art. 1 de la Ley 1273 de 2009. Texto vigente.

Agravación punitiva. El artículo 269H aumenta las penas de la mitad a las tres cuartas partes cuando la conducta se comete, entre otros supuestos, aprovechando la confianza depositada por el poseedor de la información (numeral 3), revelando o dando a conocer el contenido de la información en perjuicio de otro (numeral 4) u obteniendo provecho para sí o para un tercero (numeral 5). En el contexto de una relación de pareja, el numeral 3 concurre con frecuencia.

Texto vigente del artículo 269F del Código Penal

Artículo 269F. Violación de datos personales. El que, sin estar facultado para ello, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modifique o emplee códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.

Ley 599 de 2000, art. 269F, adicionado por el art. 1 de la Ley 1273 de 2009. Texto vigente.

Este segundo tipo penal entra en juego cuando la persona no solo lee el celular ajeno, sino que guarda, reenvía, difunde o usa los datos que encontró. Tomar capturas de pantalla de conversaciones o descargar fotografías de la galería puede configurar de forma autónoma el delito del artículo 269F, siempre que se obre sin estar facultado y con provecho propio o de un tercero. Ese ingrediente subjetivo es parte del tipo y debe probarse: sin él, la conducta no se adecua al 269F.

Los elementos del delito de acceso abusivo según la Corte Suprema

La Sala de Casación Penal fijó la estructura típica del artículo 269A en los siguientes términos:

«A partir de la descripción legal, esta Sala ha señalado que este tipo penal presenta las siguientes características: i) el sujeto activo no es calificado; ii) el sujeto pasivo es la persona natural o jurídica titular del sistema informático; iii) provoca la lesión de varios bienes jurídicos tutelados, entre ellos, la información, los datos y la intimidad; iv) sólo admite la modalidad dolosa; v) contempla dos verbos rectores, acceder o mantener; vi) como ingrediente normativo, exige la intromisión en el sistema informático sin autorización, o, la permanencia dentro del mismo, excediendo las facultades otorgadas en el permiso.»

CSJ SP030-2023, 8 feb. 2023, rad. 58252, M.P. Myriam Ávila Roldán

1. Sujeto activo no calificado

Cualquier persona puede cometer este delito. No se requiere ser programador ni tener conocimientos técnicos. El cónyuge, el compañero permanente, el novio o la novia que toma el celular de su pareja y lo desbloquea es sujeto activo en el sentido penal. Que la relación sea sentimental no altera nada: el sujeto pasivo es el titular del sistema informático.

2. Acceso sin autorización o excediendo la autorización recibida

Este es el núcleo del tipo penal, y la Corte distingue dos modalidades que suelen confundirse:

«En la primera modalidad de la conducta resulta suficiente la introducción ilegítima sin la voluntad del titular de la cuenta, mientras que en la segunda es necesario establecer los límites de esa autorización que se desbordarían con la permanencia indebida del agente en el sistema.»

CSJ SP030-2023, 8 feb. 2023, rad. 58252

La segunda modalidad es la que más aparece en el ámbito de pareja. Conocer la contraseña porque el titular la compartió en algún momento no equivale a una autorización permanente. La Sala lo explicó al analizar el alcance del tipo:

«Además, dada su configuración alternativa, el tipo penal castiga la conducta de quien, contando con autorización, excede los marcos de ésta, circunstancia que se puede representar en ingresos por fuera de las horas, espacios, circunstancias o temas acordados.»

CSJ SP473-2023, 22 nov. 2023, rad. 57922, M.P. Diego Eugenio Corredor Beltrán

3. Es indiferente que el dispositivo tenga o no contraseña

El artículo 269A no exige que el sistema esté protegido con una medida de seguridad. La expresión «protegido o no con una medida de seguridad» confirma que un celular sin clave también queda cubierto. Lo determinante es la ausencia de autorización del titular, no la existencia de una barrera tecnológica. La Corte destacó que Colombia adoptó, en este punto, la fórmula más amplia que permitía el Convenio de Budapest.

4. Delito de mera conducta y de peligro

El tipo se consuma con el solo acceso. No es necesario que el autor copie, difunda o use los datos:

«Así mismo, en Colombia se adoptó la textura más amplia permitida en el Convenio, pues, no se exige que el sistema esté protegido con medida de seguridad, ni que se tenga una específica intención, de lo que surge ostensible su condición de delito de mera conducta. De igual manera, se ofrece evidente que la conducta adviene de peligro, en el entendido que por sí misma afecta o pone en efectivo riesgo el bien jurídico, pues, lo buscado por el legislador es anticipar la barrera de protección […] en el entendido que a partir del ingreso abusivo es factible perpetrar otras muchas conductas delictivas.»

CSJ SP473-2023, 22 nov. 2023, rad. 57922

La consecuencia práctica es directa: quien tomó el celular de su pareja y leyó sus mensajes ya consumó el delito, aunque después no haya hecho nada más con esa información. Si además tomó capturas o reenvió conversaciones con provecho propio o de un tercero, puede concursar el artículo 269F.

¿Denunciado por acceso abusivo? Hable con un abogado penalista →

¿Cuántos años de prisión tiene este delito en Colombia?

Las penas previstas en el Título VII BIS del Código Penal, adicionado por la Ley 1273 de 2009, son las siguientes:

• Acceso abusivo a sistema informático (art. 269A): prisión de 48 a 96 meses (4 a 8 años) y multa de 100 a 1.000 salarios mínimos legales mensuales vigentes (SMLMV).
• Violación de datos personales (art. 269F): prisión de 48 a 96 meses (4 a 8 años) y multa de 100 a 1.000 SMLMV. Exige actuar sin estar facultado y con provecho propio o de un tercero.
• Interceptación de datos informáticos (art. 269C): prisión de 36 a 72 meses (3 a 6 años). Aplica a quien, sin orden judicial previa, intercepta datos informáticos en su origen, destino o en el interior de un sistema informático.
• Uso de software malicioso (art. 269E): prisión de 48 a 96 meses y multa de 100 a 1.000 SMLMV, para quien produzca, adquiera, distribuya, venda, envíe o introduzca software malicioso u otros programas de efectos dañinos.

La agravante por confianza relacional (art. 269H)

El artículo 269H aumenta las penas de la mitad a las tres cuartas partes en ocho supuestos. Tres son especialmente relevantes en conflictos de pareja: aprovechar la confianza depositada por el poseedor de la información (num. 3), revelar o dar a conocer el contenido en perjuicio de otro (num. 4) y obtener provecho para sí o para un tercero (num. 5). Con la agravante del numeral 3, el rango del artículo 269A se desplaza por encima de los 8 años en su tope.

¿Proceden subrogados penales?

El primer requisito de la prisión domiciliaria del artículo 38B del Código Penal se mide sobre la pena mínima prevista en la ley. Como el mínimo del artículo 269A es de cuatro años, el delito admite en principio el sustituto, siempre que se acredite el arraigo familiar y social y se preste la caución. No es automático: el juez valora esos factores. Si concurren las agravantes del artículo 269H, el ámbito punitivo se desplaza hacia arriba y los subrogados se vuelven más difíciles de sostener.

Diferencias entre acceso abusivo (art. 269A) y violación de datos (art. 269F)

Estos dos tipos penales se confunden porque suelen cometerse de manera conjunta. La diferencia está en la conducta concreta.

El artículo 269A sanciona el ingreso no autorizado al sistema: el acto de desbloquear y revisar el contenido del dispositivo. La consumación ocurre en el momento del acceso, sin importar qué haga después el autor con lo que encontró.

El artículo 269F sanciona lo que el autor hace con los datos una vez dentro: obtenerlos, compilarlos, enviarlos, divulgarlos o emplearlos, siempre con provecho propio o de un tercero. Esta conducta presupone el acceso, pero compromete de manera más intensa la autodeterminación informática del titular, es decir, su derecho a decidir quién conoce su información.

En el contexto de pareja, el escenario que activa ambos tipos es conocido: una persona toma el celular de su compañero, lee sus conversaciones (art. 269A) y luego se envía a sí misma capturas de pantalla para usarlas después (art. 269F). Esos dos delitos pueden concursar materialmente.

La prueba ilícita: el efecto bumerán de revisar el celular ajeno

La consecuencia más paradójica de acceder sin permiso al celular de la pareja aparece cuando se intenta usar esa información como prueba en un proceso judicial.

La regla general está en el artículo 29 de la Constitución: «es nula, de pleno derecho, la prueba obtenida con violación del debido proceso». La desarrolla el artículo 23 de la Ley 906 de 2004, que ordena excluir del proceso la prueba obtenida con violación de las garantías fundamentales, junto con las que sean consecuencia de ella. La Sala de Casación Penal ha sistematizado de dónde puede nacer una prueba ilícita, y el acceso abusivo a un sistema informático figura expresamente en esa lista:

«[L]a prueba ilícita puede ser consecuencia de una violación al derecho fundamental de la intimidad (art. 15 Constitución Política), al haberse obtenido con ocasión de unos allanamientos y registros de domicilio o de trabajo ilícitos […], por violación ilícita de comunicaciones […], por retención y apertura de correspondencia ilegales […], por acceso abusivo a un sistema informático […] o por violación ilícita de comunicaciones o correspondencia de carácter oficial.»

CSJ SP9792-2015, 29 jul. 2015, rad. 42307, M.P. Patricia Salazar Cuéllar

La misma providencia añade una precisión que suele decidir estos debates: la exclusión no depende del vínculo familiar entre las partes, sino de quién es el titular del sistema o de la cuenta y de si existía una expectativa razonable de intimidad sobre su contenido. Ese es el criterio que un juez aplicará a un celular.

Y hay una consecuencia adicional para quien obtuvo la información: el acceso no autorizado es en sí mismo un delito investigable, de modo que la persona que aporta esa prueba está describiendo su propia conducta en un expediente. La prueba se excluye y el aportante queda expuesto.

Jurisprudencia: cómo ha resuelto la Corte Suprema estos casos

Usar la clave de otro para entrar al sistema — SP473-2023

Una funcionaria de policía judicial utilizó el perfil y la contraseña de su coordinador, sin autorización de este, para ingresar a la plataforma interna de gestión de la entidad y registrar allí prórrogas de órdenes de trabajo que no le habían sido concedidas. El Tribunal la había absuelto por ausencia de antijuridicidad material. La Corte casó la sentencia, revocó la absolución y la condenó por acceso abusivo a un sistema informático y falsedad material en documento público, ambos continuados, a 116 meses de prisión, con prisión domiciliaria. CSJ SP473-2023, 22 nov. 2023, rad. 57922, M.P. Diego Eugenio Corredor Beltrán.

La lección trasladada al ámbito doméstico es clara: conocer la clave no es tener autorización. Lo que se juzga es si el titular consintió ese ingreso concreto.

Quién es el titular decide la exclusión — SP9792-2015

La defensa de un procesado pidió excluir unos correos electrónicos en los que su cliente presionaba a una menor de edad para que declarara en determinado sentido. Los mensajes habían sido hallados por la madre de la menor y aportados con su testimonio, sin orden de fiscal ni control de juez de garantías.

La Corte no casó el fallo. La razón es la que interesa aquí: la cuenta no era personal de la menor, sino una cuenta corporativa de una institución educativa cuya titular acreditada y administradora de la clave era la propia madre, en su condición de acudiente. Por eso el hallazgo no afectó ninguna expectativa razonable de intimidad de la menor y no requería el procedimiento propio de una interceptación. CSJ SP9792-2015, 29 jul. 2015, rad. 42307, M.P. Patricia Salazar Cuéllar.

Leída al revés, la decisión marca el límite: si la cuenta o el dispositivo es personal del otro, la conclusión se invierte. La Corte fue explícita en señalar que no se trataba de una cuenta personal de correo electrónico de la menor.

Cuando el titular entrega el dispositivo voluntariamente — SP924-2025

En un proceso contra un exmagistrado, la defensa pidió excluir unos chats extraídos del teléfono de un testigo que lo había entregado por su propia voluntad a la Fiscalía. La Sala rechazó la petición con una regla que conviene conocer:

«Por obvias razones, las reservas judicial y legal atrás referidas no se activan cuando el ciudadano, por un acto de liberalidad, decide renunciar a la expectativa razonable de intimidad que tiene frente a sus comunicaciones privadas y opta […] por entregar a las autoridades los dispositivos donde las mismas están almacenadas, con la inequívoca intención de que se extraiga la información relevante para el esclarecimiento de los hechos objeto de investigación.»

CSJ SP924-2025, 9 abr. 2025, rad. 63202, M.P. Gerardo Barbosa Castillo

Esa renuncia solo la puede hacer el titular. Nadie puede renunciar por él, y menos su pareja.

El límite de la lesividad — SP2699-2022

Una trabajadora de una cooperativa de transporte, tras ser notificada de su despido, movió 64 archivos del servidor de su área a la papelera de reciclaje. El Tribunal la condenó por daño informático. La Corte revocó la condena y la absolvió, al recordar que el principio de lesividad exige que la afectación sea real: un daño inocuo, insignificante o aparente para la seguridad informática no es siquiera típico. CSJ SP2699-2022, 3 ago. 2022, rad. 59733, M.P. Fernando León Bolaños Palacios.

El razonamiento importa para la defensa en delitos del Título VII BIS: no basta con describir una maniobra técnica; hay que acreditar la efectiva puesta en peligro del bien jurídico.

¿Qué hacer si revisaron su celular sin permiso?

Si usted descubrió que su pareja accedió a su dispositivo, leyó sus conversaciones o tomó capturas de pantalla, estos son los pasos:

1. No confronte ni borre nada todavía. Preserve el estado actual del equipo. Si se instaló una aplicación de monitoreo, los rastros en la configuración son evidencia valiosa; reconfigurar el teléfono puede destruirla.
2. Solicite un peritaje informático forense. El dictamen de un experto que certifique los accesos no autorizados, las sesiones abiertas en otros dispositivos o la instalación de software de monitoreo suele ser la prueba central. La Fiscalía tiene laboratorios, y usted puede además contratar un perito privado.
3. Revise «Dispositivos vinculados». En las aplicaciones de mensajería, una sesión activa en un equipo que usted no reconoce es indicio de acceso no autorizado. Documéntela con capturas fechadas antes de cerrar la sesión.
4. Presente la denuncia. Puede hacerlo ante la Fiscalía General de la Nación o ante la Policía Nacional. El acceso abusivo a sistema informático no es un delito querellable. No necesita tener toda la prueba reunida antes de denunciar.
5. Consulte a un abogado penalista antes de actuar. Estos pasos tienen efectos en procesos civiles, de familia o laborales que quizá no anticipa. Contáctenos aquí para una valoración confidencial.

¿Qué hacer si usted revisó el celular de su pareja?

Si usted fue quien accedió sin permiso al dispositivo de otra persona, la situación es jurídicamente delicada y conviene tener claros tres puntos.

Primero, el delito puede estar consumado desde el momento del acceso, incluso si no hizo nada con la información: es un tipo de mera conducta. Segundo, si además tomó capturas o reenvió mensajes con provecho propio o de un tercero, puede concurrir el artículo 269F. Tercero, la información obtenida es procesalmente inútil: será excluida y su aportación lo expone a una investigación penal.

Lo más importante es no actuar sin asesoría. Si su pareja ya lo confrontó o si sospecha que presentará una denuncia, programe una consulta antes de tomar cualquier decisión. La defensa se construye desde el primer momento, y en estos delitos hay márgenes reales de discusión: la titularidad del dispositivo, el alcance de la autorización recibida y la lesividad efectiva de la conducta.

Consultar con un abogado penalista →

Preguntas frecuentes sobre el acceso abusivo al celular de la pareja