El 13 de febrero de 2026, se publicó el Decreto Legislativo N.º 1741 a través del cual se modificó el artículo 12 – A° de la Ley Nº 30096, Ley de Delitos Informáticos, e incorpora expresamente una excepción de responsabilidad penal aplicable a los sectores bursátil, financiero, previsional y de seguros dentro de su ámbito de aplicación.
La modificación efectuada se puede apreciar en el siguiente gráfico:
Tipo penal base
Tipo penal modificado
Artículo 12-A.- Adquisición, posesión y tráfico ilícito de datos informáticos
El que posee, compre, recibe, comercialice , vende, facilite , intercambie o trafique datos informáticos, credenciales de acceso o bases de datos personales, teniendo conocimiento o debiendo presumir que se obtuvo sin consentimiento de su titular o mediante la vulneración de sistemas de seguridad o la comisión de un delito informático , es reprimido con pena privativa de libertad no menor de cinco (5) ni mayor de ocho (8) años y con ciento ochenta (180 ) a trescientos sesenta y cinco (365 ) días-multa.
La pena privativa de libertad es no menor de ocho (8) ni mayor de diez (10) años, e inhabilitación,cuando:
a) El agente actúa como integrante de una organización criminal;
b) Se cause perjuicio patrimonial grave o afectación a una pluralidad de personas; o
c) La base de datos es procesada o custodiada por una entidad pública.
Queda exceptuada de responsabilidad penal la adquisición, posesión, intercambio o tratamiento de datos informáticos cuando estas conductas se realicen con autorización expresa del titular, conforme a la Ley Nº 29733 , Ley de Protección de Datos Personales, en cumplimiento de un mandato judicial o administrativo emitido conforme a ley, o en el ejercicio legítimo de derechos fundamentales o de funciones legalmente reconocidas, siempre que no exista finalidad de aprovechamiento ilícito ni de comercialización indebida de la información.”
Artículo 12-A.- Adquisición, posesión y tráfico ilícito de datos informáticos
El que posee, compre, recibe, comercialice, vende, facilite, intercambie o trafique datos informáticos, credenciales de acceso o bases de datos personales, teniendo conocimiento o debiendo presumir que se obtuvo sin consentimiento de su titular o mediante la vulneración de sistemas de seguridad o la comisión de un delito informático, es reprimido con pena privativa de libertad no menor de cinco (5) ni mayor de ocho (8) años
y con ciento ochenta (180) a trescientos sesenta y cinco (365) días-multa.
La pena privativa de libertad es no menor de ocho (8) ni mayor de diez (10) años, e inhabilitación, cuando:
a) El agente actúa como integrante de una organizacióncriminal;
b) Se cause perjuicio patrimonial grave o afectación a una pluralidad de personas; o
c) La base de datos es procesada o custodiada por una entidad pública.
Queda exceptuada de responsabilidad penal la adquisición, posesión, intercambio o tratamiento de datos informáticos cuando estas conductas se realicen con autorización expresa del titular, conforme a la Ley Nº 29733, Ley de Protección de Datos Personales, en cumplimiento de un mandato judicial o administrativo emitido conforme a ley, o en el ejercicio legítimo de derechos fundamentales, funciones legalmente reconocidas, o actividades desarrolladas en los sectores bursátil, financiero, previsional o de seguros, siempre que no exista finalidad de aprovechamiento ilícito o de comercialización indebida de la información.
Como se aprecia, la modificación introduce de forma expresa la excepción de responsabilidad penal para la adquisición, posesión, intercambio o tratamiento de datos informáticos cuando estas conductas se realicen en el marco de actividades propias de los sectores bursátil, financiero, previsional y de seguros, siempre que no exista finalidad de aprovechamiento ilícito ni comercialización indebida de la información.
Asimismo, esta precisión busca garantizar seguridad jurídica en el desarrollo de dichas actividades y evitar una expansión indebida del derecho penal hacia ámbitos que corresponden, principalmente, al derecho administrativo sancionador.
