La automatización del acceso a la información pública ha evolucionado rápidamente, y con ésta, prácticas como el Web Scraping —el uso de programas para extraer masivamente datos de sitios web— se han vuelto herramientas comunes en sectores como el marketing, la inteligencia financiera o la investigación académica. Pero ¿qué sucede cuando estos datos contienen información personal o sensible?, ¿dónde trazamos la línea entre la automatización legítima y un potencial riesgo de privacidad?

A pesar de su apariencia técnica y neutra, el Web Scraping puede tener un impacto significativo en la privacidad de las personas, sobre todo cuando los datos extraídos son de carácter personal —como nombres, DNI, correos electrónicos, historial crediticio o de navegación— y son usados sin una base legal para su tratamiento.

      I.          ¿Solo protección de datos?

En el Perú, la Ley No. 29733 y su Reglamento, aprobado mediante Decreto Supremo No. 16-2024-JUS, reconoce como datos personales toda información que permite identificar directa o indirectamente a una persona. A partir de esta definición, una base de datos extraída por scraping puede configurar una actividad ilícita si no se cuenta con una base legal para su tratamiento. Sin embargo, las sanciones en este campo son predominantemente administrativas.

Y aquí entra el ángulo penal: ¿puede el web scraping configurar delito? La respuesta no es sencilla, pero sí urgente.

   II.          La delgada línea hacia el delito

Existen al menos cuatro figuras penales del Código Penal peruano que podrían activarse por actividades de Web Scraping ilegítimo o con fines ilícitos:

1. Acceso indebido a sistemas informáticos (Art. 207-A): si el scraping se ejecuta eludiendo medidas de seguridad o accediendo a información restringida.
2. Violación de la intimidad (Art. 154): cuando los datos extraídos comprometen la privacidad o vida íntima de las personas.
3. Tráfico ilegal de datos personales (Artículo 154-A): si se emplea para recolectar y comercializar datos personales sin el consentimiento del titular.
4. Suplantación de identidad o fraude informático (Art. 207-D): si se usan los datos extraídos para cometer fraudes, crear perfiles falsos o manipular plataformas.

Por otro lado, la Ley de Delitos Informáticos (“LDI”) tipifica el delito de atentado a la integridad de datos informáticos (artículo 7 de la LDI) que puede estar vinculado al uso ilegítimo del web scraping que se configura cuando la ejecución del web scraping se realiza de manera reiterada, masiva o irresponsable podría ocasionar que se borren, alteren, supriman o se hagan inaccesibles los datos informáticos.

En el Perú, aún no existen precedentes judiciales ni resoluciones administrativas sobre el Web scraping. Esta ausencia de jurisprudencia no implica un vacío legal, sino la urgencia de anticiparse a conflictos que podrían tener consecuencias penales o administrativas.

III.          ¿Y si los datos eran públicos?

El hecho de que un dato esté en línea dentro de una página web no significa que sea de libre disposición o sean de carácter público, ni mucho menos que puedan ser utilizados sin límites.

Aquí es clave entender el principio de finalidad que rige el tratamiento de datos personales: si un dato fue publicado para un fin específico (p.e. transparencia pública), no puede ser usado para otros fines (como marketing o perfilamiento automatizado) sin consentimiento o base legal.

Para determinar que el web scraping es legal, es necesario preguntarse si la finalidad de la disponibilidad del dato es igual a la finalidad por la cual se extraerá dicha información vía Web Scraping. En caso positivo, el Web Scraping será legal. En caso negativo, deberá contar con el consentimiento del titular del dato personal.

 IV.          Conclusiones

Repensar el tratamiento normativo del web scraping en el Perú resulta indispensable cuando su uso compromete derechos fundamentales como la privacidad y la protección de datos personales para poder definir con claridad los límites jurídicos que deben regir su aplicación.

Ante el avance de la inteligencia artificial, el análisis automatizado de información y el acceso masivo a datos, el Derecho penal debe incorporarse al debate normativo con una función garantista y preventiva mediante instrumentos técnicamente fundamentados y articulados con el marco regulatorio vigente.

La ausencia de pronunciamientos jurisprudenciales en el ámbito nacional no exime al legislador ni a los operadores jurídicos de actuar con visión anticipatoria.