Hi ha innombrables problemes teòrics i pràctics lligats a la determinació de responsabilitat penal dels ordenaments jurídics en què regeix el principi societas delinquere non potest. La problemàtica de la responsabilitat penal de les persones col·lectives en l'àmbit d'Internet no pot deixar de reflectir tots els problemes generals. Però, en aquest àmbit, és preocupant que la problemàtica de les persones jurídiques pugui arribar a convertir-se en un discutible expedient de política criminal per a la transformació dels proveïdors d'accés o serveis en responsables criminals en substitució dels autors materials, en vista dels obstacles per a la punició de les comunicacions il·lícites via Internet. Serà necessària, doncs, una anàlisi dels principis del dret penal modern i de la seva projecció en l'àmbit de la criminalitat informàtica.
|
|
 |
| 1.
| Què és la criminalitat informàtica? |
No hi ha una definició científica de criminalitat informàtica[1] i ni tan sols resultaria idònia la recerca d'un concepte d'aquest tipus, ja que les múltiples combinacions de la criminalitat amb la informàtica abracen gairebé tots els dominis de la vella criminalitat. Es podria citar, a tall d'exemple, un cas de temptativa d'homicidi ocorregut als EUA, on una persona va voler desconnectar, per Internet, una màquina d'assistència de les funcions vitals d'un pacient en un hospital.[2]
Abandonem, doncs, els conceptes purs a la recerca d'una caracterització pragmàtica, atès el fet singular que els hackers, els insiders o les sofisticades associacions cibercriminals actuen sistemàticament en àrees específiques, però normalment no cometen homicidis per mitjà d'instruments informàtics. Per això és necessària l'especialització –en tecnologies de la informació, no únicament en matèria legal–[3] dels òrgans de policia criminal per a combatre els hackers, els insiders i altres cibercriminals; o, en cas contrari, no es lluitarà eficaçment contra els efectes perversos que acompanyen el creixement de la societat de la informació. Ara bé, aquesta especialització dels òrgans de policia criminal no resultaria compatible amb la competència material en la realització d'investigacions en tots els àmbits de la vella criminalitat en el moment en què aparegués un simple ordinador en l'escena del crim.[4]
A Portugal, la Policia Judicial (PJ) –òrgan de policia criminal– va veure la necessitat de crear una secció dedicada a la persecució del delicte informàtic, que existeix des del 1998 i que té, actualment, prop de quinze agents amb competència territorial nacional. Aquesta Secció d'Investigació de la Criminalitat Informàtica i en les Telecomunicacions, que està situada en l'àmbit intern de la Direcció Central de la Policia Judicial, funciona mitjançant instruccions i circulars i aspira a consolidar l'estructura dels seus recursos tècnics i humans.
A la pràctica (no ens oblidem que la secció esmentada només existeix en l'àmbit intern de la Direcció Central de la Policia Judicial), quins són els delictes informàtics perseguits pels agents "experts" de la PJ?
Són els següents:
1. En el Codi penal:[5] dins dels delictes contra la intimitat, la vulneració de la intimitat mitjançant la informàtica (devassa per meio da informática, art. 193); dins dels delictes contra el patrimoni, l'estafa informàtica o en les comunicacions (burla informática e nas comunicações, art. 221).
2. En la Llei de criminalitat informàtica (Lei da Criminalidade Informática, Llei 109/91, de 17 d'agost):[6] la falsedat informàtica (falsidade informática, art. 4); el dany relatiu a dades o a programes informàtics (dano relativo a dados ou programas informáticos, art. 5); el sabotatge informàtic (sabotagem informática, art. 6); l'accés il·legítim (acesso ilegítimo, art. 7); la intercepció il·legítima (intercepção ilegítima, art. 8), i la reproducció il·legítima de programa protegit (reprodução ilegítima de programa protegido, art. 9).[7]
3. En la Llei de protecció de dades personals (Llei 67/98, de 26 d'octubre): l'incompliment de les obligacions relatives a la protecció de dades (não cumprimento de obrigações relativas a protecção de dados, art. 43); l'accés indegut (acesso indebido, art. 44), i l'alteració o destrucció de dades personals (viciação ou destruição de dados pessoais, art. 45), entre d'altres.
Atesa l'enorme proliferació de casos de pornografia infantil a Internet, és objecte, també, d'investigació per part de la secció "especialitzada" de la PJ; aquests casos constitueixen diversos delictes contra la llibertat sexual i l'autodeterminació sexual, eventualment en concurs de delictes (en el dret penal portuguès, la punició del concurs ideal és igual a la punició del concurs real, article 77.1 CP).[8]
La criminalitat informàtica integra, doncs, delictes caracteritzats típicament per:
a. Una execució feta per mitjà d'instruments informàtics (per exemple, la vulneració de la intimitat amb la informàtica i l'estafa informàtica).[9]
b. Una interferència –generalment per mitjans tècnics, especialment informàtics– amb el mateix mitjà informàtic: equipaments, programes o dades (per exemple, el dany relatiu a dades o programes informàtics, el sabotatge informàtic o l'accés il·legítim).
Aparentment, els continguts il·lícits col·locats en xarxes, de manera especial a Internet (principalment la pornografia infantil, al marge dels tipus delictius concrets), apareixen aquí inclosos per antonomàsia, ja que la legislació penal portuguesa no considera rellevant el mitjà informàtic. Però el notable creixement de la pornografia infantil a Internet es considera raó suficient per a incloure-la en aquest àmbit.
Es pot dir el mateix sobre la protecció de dades personals, en no considerar-se especialment rellevant el caràcter informàtic de la intromissió en les dades de caràcter personal.[10] Tanmateix, és coneguda la moderna tendència del tractament automàtic de dades personals, motiu pel qual deixem de tenir a la pràctica espai per al supòsit, per exemple, de l'accés indegut a dades personals emmagatzemades en suport físic.
|
|
 |
| 2.
| El problema de la responsabilitat de les persones jurídiques |
Feta la caracterització de la criminalitat informàtica, resulta clarament visible la inabastable diversitat de problemes jurídics que poden sorgir en aquest àmbit.
Òbviament, no els podem tractar en conjunt. Passem a abordar el problema de la responsabilitat penal de les persones jurídiques.
|
|
|
| 3.
| Es justifica la diversitat de posicions que el legislador portuguès ha pres amb relació a la responsabilitat penal de les persones jurídiques en els diferents delictes informàtics? |
El Codi penal portuguès, en l'article 11, estableix que només les persones físiques són susceptibles de responsabilitat penal, llevat que hi hagi una disposició contrària.[11] En aquest àmbit, el Codi penal portuguès és més explícit que el seu homòleg espanyol, en què, com és sabut, la responsabilitat penal de les persones jurídiques es construeix a partir del caràcter sui generis de sancions accessòries, com ara la dissolució de la societat (art. 129.1.b del CP espanyol).[12] Sens dubte, això no vol dir que una tècnica legislativa sigui millor que l'altra.
El legislador portuguès admet, doncs, la responsabilitat penal de les persones jurídiques en casos especialment previstos en la llei. Però, en realitat, no hi ha encara cap cas de responsabilitat de les persones jurídiques per fets punibles en el Codi penal.[13]
Ja en el domini de la legislació penal especial, la responsabilitat de les persones jurídiques constitueix la norma general, que en el cas de la Llei de criminalitat informàtica (Llei 109/91, de 17 d'agost) es recull en l'article 3.1.
La localització d'un tipus penal dins o fora del Codi penal sembla "[...] qüestió menor, de mera sistemàtica, però al final té conseqüències substantives importants".[14]
Per exemple, "[l']estafa informàtica va ser recollida en el Codi penal portuguès, en l'article 221, perquè es considerava que tenia el mateix significat que el delicte comú d'estafa; el dany informàtic està regulat en l'article 5 de la Llei de criminalitat informàtica.[15] Com a conseqüència d'això, les persones jurídiques responen penalment pel delicte de dany informàtic i no pel d'estafa informàtica.[16]
Hi ha raons de política criminal per a justificar la diferència de posicions legislatives en un cas o un altre? Penso que no.
Puntualitzem una mica la posició del legislador portuguès en aquesta matèria. A Portugal, la responsabilitat penal de les persones jurídiques apareix com un instrument de lluita contra l'anomenada criminalitat d'empresa (criminalidade de empresa, Unternehmenskriminalität o corporate crime),[17] la qual es pot definir com el conjunt de delictes econòmics que dimana de la mateixa empresa cap a l'exterior. [Atenció: la criminalitat d'empresa és una categoria merament criminològica.][18]
La lluita contra aquesta criminalitat d'empresa passa, segurament, per la responsabilitat penal de persones físiques (v. gr., la responsabilitat dels superiors jeràrquics pels actes dels seus subordinats[19] o, en una altra mesura, la responsabilitat dels representants de la persona jurídica).[20]
És discutible que la criminalitat d'empresa pugui ser combatuda únicament per mitjà de la responsabilitat de les persones físiques. Per què? L'eventual incriminació d'aquestes últimes no impedeix la continuïtat de la pràctica delictiva de la mateixa persona jurídica, ja que altres agents poden ser col·locats al lloc dels que han estat sancionats.
Els models d'explicació psicosociològica de la criminalitat de grup suggereixen la necessitat d'una mesura col·lectiva de sanció, atesa l'evident fungibilitat dels autors físics de les infraccions.[21]
Fonaments criminològics i raons de política criminal ofereixen, doncs, un principi de responsabilitat de les persones jurídiques.
El legislador portuguès va interioritzar, espontàniament, aquests fonaments i raons en establir la responsabilitat de les persones jurídiques en el camp natural de l'anomenat dret penal secundari (direito penal secundário o Nebenstrafrecht).[22] [El dret penal secundari és una categoria doctrinària que va ser forjada, originàriament, per a al·ludir de manera indiscriminada a la legislació penal especial, fonamentalment lligada a la defensa de l'economia!][23]
És clar que "[...] el fenomen criminal que avui s'adverteix a l'empresa no se circumscriu a la criminalitat econòmica, encara que hi tingui la més gran virtualitat.[24] [...] És fàcil, amb aquesta perspectiva, advertir la importància que tenen els atacs contra el medi ambient o l'incompliment de la normativa de seguretat relativa als treballadors. [...]. [Penseu també] en la punibilitat derivada de l'ús d'ordinadors (Computerkriminalität)."[25]
Cal afegir que els fets punibles de contingut econòmic (i. e., delictes contra interessos socials supraindividuals de la vida econòmica, delictes especials d'empresaris i delictes d'abús d'instruments moderns de la vida econòmica)[26] proliferen –avui més que mai– en el Codi penal portuguès, en lloc d'estar únicament recollits en la legislació penal especial.[27] Realment, cada vegada és menys fàcil explicar la selecció de les matèries que es poden incloure en el nostre dret penal codificat davant la legislació penal especial.[28] Qui sap quins factors merament conjunturals d'iniciativa legislativa condicionen, de vegades, la inclusió de nous fets punibles en el Codi o la dispersió en lleis especials.
D'acord amb això, ja no es percep, doncs, el motiu pel qual la responsabilitat penal de les persones jurídiques es manté com una peculiaritat de la legislació penal especial en la norma jurídica portuguesa.
En resum, si es manté l'actitud del legislador portuguès de rebutjar el reconeixement d'hipòtesi de responsabilitat de les persones jurídiques directament en la part especial del Codi, la inserció acrítica dels nous delictes dins o fora del Codi penal continuarà provocant escissions arbitràries en la lluita estratègica contra la criminalitat d'empresa.[29]
|
|
|
| 4.
| Arguments en contra de la responsabilitat penal de les persones jurídiques |
Però la qüestió essencial és una altra, a saber: és correcte abandonar el principi societas delinquere non potest?[30] Des de fa temps, alguns països han consagrat la responsabilitat penal de les persones jurídiques. N'hi ha prou de pensar en el dret anglès i americà, on hi ha la corporate liability.
La Recomanació R (88) 18, adoptada pel Comitè de Ministres del Consell d'Europa el 20 d'octubre de 1988, apuntava també la responsabilitat penal de les persones jurídiques. Malgrat això, no s'ha de pensar que aquesta tendència sigui imparable. Hi ha ordenacions juridicopenals que la rebutgen, per exemple l'alemanya[31] i la italiana.[32]
D'altra banda, amplis sectors de la doctrina penal de molts països són contraris a aquesta solució.[33]
S'argumenta que les persones jurídiques no tenen capacitat d'acció, i és cert que la construcció dogmàtica de l'il·lícit penal té, en la cúspide, l'acció. S'addueix, d'altra banda, que les persones jurídiques no tenen capacitat de culpa, i és cert que el dret penal no prescindeix del principi de culpabilitat.
En un altre nivell, s'argumenta que la punició de les persones jurídiques perjudica els seus membres innocents, i igualment els treballadors de l'empresa.
Els pragmàtics diran que aquestes objeccions no els impressionen perquè parteixen d'una visió del dret penal rica en connotacions ètiques, quan el dret penal modern s'orienta cap a unes finalitats clares de política criminal i la legitimitat de les seves figures és avalada d'acord amb la importància dels resultats obtinguts.
Jo no hi estic d'acord, però accepto el repte de discutir la qüestió de la responsabilitat de les persones jurídiques únicament en el terreny dels resultats pràctics que proporciona.
Les penes adequades a la naturalesa de les persones jurídiques són diferents de les penes comminades a les persones físiques (per exemple, dissolució de la societat, clausura de l'empresa, etc.). És molt possible que l'aplicació d'aquestes sancions sigui compatible amb un dret administratiu sancionador, que és menys garantista i que seria més eficaç (el nostre dret de mera ordenació social[34]).[35]
D'altra banda, moltes societats són utilitzades pels titulars dels seus òrgans o pels seus representants exclusivament o predominantment per a practicar il·lícits penals. Paradoxalment, aquests són els casos en què la necessitat de punició de la persona jurídica és menys efectiva a la pràctica, perquè els representants de la persona jurídica no exerceixen el seu dret de defensa en el procés; en conseqüència, resulta la mateixa condemna (malgrat la vigència del principi in dubio pro reo), però això no vol dir que la sanció sigui eficaç, ja sigui perquè la persona jurídica no té patrimoni, ja sigui perquè mesures com el bloqueig dels comptes bancaris de la persona jurídica no resulten efectives, etc.[36] En definitiva, és una condemna merament simbòlica i penso que tot el que és merament simbòlic és contraproduent en termes penals.[37]
Sigui com sigui, la responsabilitat de les persones jurídiques existeix en la llei portuguesa i hem de conviure amb això.
|
|
|
| 5.
| La Llei de criminalitat informàtica |
Quin és el dèficit de punibilitat que el legislador ha volgut eventualment prevenir per mitjà de la responsabilitat de les persones jurídiques en l'àmbit de la Llei de criminalitat informàtica?
Hi ha certes pràctiques comercials en què es manifesta una cultura criminal d'empresa (criminològicament parlant). Per exemple, la reproducció il·legítima d'un programa protegit apareix moltes vegades associada a la venda d'ordinadors, com a obsequi de programari pirata per a captar clients. En aquests casos, la responsabilitat de les persones físiques, sobretot dels venedors i dels seus superiors jeràrquics que incentiven aquesta pràctica, no eximeix la persona jurídica de la responsabilitat. En cas contrari, la societat prosseguiria aquesta pràctica il·lícita. Aquest és un supòsit que els tribunals portuguesos castiguen amb multa i amb sancions accessòries (que mai no constitueixen un efecte automàtic de la pena principal).
Igualment, el delicte d'accés il·legítim –el més comú a la pràctica– constitueix un brou de cultiu per a la cultura criminal d'empresa, en la mesura que molts cibercafès permeten –conscientment– per mitjà dels seus terminals l'activitat de hackers. Aquí també hi ha exemples de punició de persones jurídiques amb multes i sancions accessòries.
Al marge d'aquests exemples, s'ha de puntualitzar que la Llei de criminalitat informàtica sembla establir la responsabilitat de les persones jurídiques no tant segons estudis empírics i objectius clars de política criminal, sinó com a concreció de la idea preconcebuda que aquesta responsabilitat ha de ser una constant de les lleis especials. No sorprèn, llavors, que el legislador gairebé s'hagi limitat en aquesta matèria a copiar els preceptes del text legislatiu relatiu a les infraccions contra l'economia i contra la salut pública (Decret llei 28/84, de 20 de gener),[38] els principis generals del qual són instintivament considerats com una mena de model que s'ha de seguir en tot el dret penal secundari (legislació penal especial).[39]
La superficialitat legislativa és evident en el supòsit de la sanció de dissolució, que està condicionada, en l'aplicació, als supòsits en què els titulars dels òrgans o els seus representants utilitzen la persona jurídica solament o predominantment per a delinquir (article 10.6 de la Llei de criminalitat informàtica), molt lluny dels tipus delictius previstos en aquesta llei (i més necessària –si es volgués ser conseqüent– en l'àmbit de l'estafa informàtica).
|
|
|
| 6.
| Confrontació amb la responsabilitat penal dels proveïdors d'accés i serveis |
Arribats en aquest punt, convé puntualitzar que la responsabilitat penal de les persones jurídiques no és una alternativa a la responsabilitat penal dels proveïdors d'accés i serveis a Internet (de la qual parla el professor Lorenzo Picotti).[40]
No és una alternativa per dues raons:
1) Hi ha responsabilitat de les persones jurídiques per delictes informàtics que són totalment aliens a les xarxes.
2) Hi ha responsabilitat de les persones jurídiques per delictes telemàtics, encara que no siguin proveïdors d'accés i serveis a Internet, com ara els proveïdors de continguts.
Queda clar que la responsabilitat penal de les persones jurídiques pot derivar del fet que són proveïdors d'accés i serveis a Internet.
|
|
|
| 7.
| Conclusions |
Hi ha motius per a témer que la responsabilitat penal de les persones jurídiques, més enllà del que s'ha exposat anteriorment, pugui ser utilitzada com a alternativa, a la pràctica, a la persecució penal dels autors materials dels delictes informàtics, sobretot a Internet, atesa la dificultat de la identificació (per exemple, resulta més fàcil descobrir el cibercafè des d'on surt l'accés il·legítim que no pas saber qui hi havia darrere del terminal, ja que els cibercafès no tenen l'obligació de registrar els usuaris).
Però hem de ser justos: fins ara això no ha succeït a Portugal. No hi ha processos només contra persones jurídiques.[41] Els processos es dirigeixen contra els agents del fet punible (en totes les seves formes de participació) i, quan, a més, representen la persona jurídica, també surt la responsabilitat d'aquesta persona jurídica.[42]
Si hem de conviure amb la responsabilitat penal de les persones jurídiques, llavors només desitjo que no es despersonalitzi el dret penal fins al punt de lluitar únicament contra seu.
Mentrestant, continuem a l'expectativa del que ens portarà la futura legislació, debatuda en la novíssima Convenció contra el Cibercrim (Budapest, 23 de novembre de 2001).
[43]
|
|
|
|
|
[Data de publicació: gener de 2003]
|
| | |
