Web scraping, consumo de APIs y extracción automatizada de datos: límites entre uso legítimo, secretos industriales y acceso ilícito

Thu, Jul 18, 2024
#software #ciberseguridad #propiedad-intelectual #codigo-penal

En la ingeniería de software moderna, la recolección automatizada de información en internet mediante web scraping, rastreadores (crawlers) y el consumo sistemático de interfaces de programación de aplicaciones (APIs) constituyen técnicas habituales para el entrenamiento de modelos de inteligencia artificial, análisis de precios y agregación de contenidos.

Sin embargo, la frontera técnica entre la recopilación de datos de libre acceso y la comisión de conductas ilícitas está claramente delimitada en el ordenamiento jurídico mexicano. A continuación se examinan los hechos normativos que regulan el acceso no autorizado a sistemas informáticos bajo el Código Penal Federal, la exigibilidad contractual de los Términos de Servicio (Terms of Service) y la protección de las bases de datos como compilaciones intelectuales y secretos industriales.

Nota aclaratoria: El presente documento expone preceptos vigentes del Código Penal Federal, la Ley Federal del Derecho de Autor y la Ley Federal de Protección a la Propiedad Industrial en México. Su carácter es estrictamente informativo, técnico y documental; no constituye asesoría ni opinión legal individualizada.

1. El tipo penal de Acceso Ilícito a Sistemas Informáticos (Código Penal Federal)

El Título Noveno, Capítulo II del Código Penal Federal (CPF) tipifica de manera específica las conductas que atentan contra la confidencialidad, integridad y disponibilidad de los sistemas de cómputo:

  • Artículo 211 bis 1 del CPF:

    "Al que sin autorización modifique, destruya o provoque pérdida de información contenida en sistemas o equipos de informática protegidos por algún mecanismo de seguridad, se le impondrán de seis meses a dos años de prisión y de cien a trescientos días multa."

  • Artículo 211 bis 2 del CPF:

    "Al que sin autorización conozca o copie información contenida en sistemas o equipos de informática protegidos por algún mecanismo de seguridad, se le impondrán de seis meses a dos años de prisión y de cien a trescientos días multa."

Elementos técnicos que configuran la ilicitud penal:

Para que la extracción de datos actualice la hipótesis del delito informático, la norma exige la concurrencia de dos elementos materiales objetivos:

  1. Falta de autorización: Ausencia de consentimiento explícito o implícito del legítimo administrador del sistema.
  2. Vulneración de mecanismos de seguridad: El sistema vulnerado debe estar protegido por barreras técnicas activas (sistemas de autenticación, llaves criptográficas de API, tokens JWT, controles CAPTCHA, listas de bloqueo IP o cortafuegos de aplicaciones web / WAF).
  • La elusión deliberada de estas barreras (por ejemplo, mediante rotación abusiva de proxys residenciales para evadir un bloqueo IP o la explotación de vulnerabilidades en endpoints de APIs no documentados) colma el elemento típico de acceso indebido tipificado en el Código Penal.

2. Validez de los contratos electrónicos de adhesión: Browsewrap vs. Clickwrap

En el plano civil y mercantil, el rastreo de sitios web interactúa directamente con los términos y condiciones publicados por el operador de la plataforma:

                            TIPOLOGÍA DE TÉRMINOS DIGITALES
                                           │
                    ┌──────────────────────┴──────────────────────┐
                    ▼                                             ▼
        ┌───────────────────────┐                     ┌───────────────────────┐
        │  CONTRATOS CLICKWRAP  │                     │ BROWSEWRAP AGREEMENTS │
        ├───────────────────────┤                     ├───────────────────────┤
        │• Requiere clic activo │                     │• Enlace estático al   │
        │  en "Acepto términos".│                     │  pie de página (web). │
        │• Consentimiento       │                     │• Sin manifestación    │
        │  expreso comprobable. │                     │  positiva de voluntad.│
        │• Plena fuerza legal   │                     │• Criterio judicial    │
        │  (C.Com. Arts. 89-93).│                     │  restrictivo en MX.   │
        └───────────────────────┘                     └───────────────────────┘
  1. Acuerdos tipo Clickwrap (Consentimiento Expreso):
    • Ocurren cuando el desarrollador o usuario debe marcar activamente una casilla ("He leído y acepto los términos de uso") o autenticarse mediante un API key para acceder al servicio.
    • Conforme a los Artículos 89 al 93 del Código de Comercio, este consentimiento electrónico perfecciona un contrato válido entre las partes. Si los términos prohíben expresamente el scraping automatizado, la extracción masiva constituye un incumplimiento contractual generador de daños y perjuicios.
  2. Acuerdos tipo Browsewrap (Consentimiento Tácito):
    • Consisten en leyendas estáticas colocadas al pie de una página web (footer) que afirman que la mera navegación implica sumisión a los términos.
    • La doctrina procesal mexicana y los criterios judiciales exigen acreditar que el usuario tuvo conocimiento efectivo y pleno de las cláusulas para poder oponerlas vinculantemente, limitando su eficacia frente a agentes automatizados que acceden a recursos públicos indexables.
  3. El protocolo robots.txt:
    • Si bien el estándar de exclusión de robots (robots.txt) es una directiva técnica de cortesía arquitectónica y no una ley vinculante en sí misma, su contravención deliberada por parte de un scraper es admitida en litigios como indicio probatorio de mala fe y desobediencia a las políticas operativas del servidor.

3. Tutela de las bases de datos: Derechos de autor y Secretos Industriales

La extracción masiva de datos puede vulnerar dos regímenes patrimoniales diferenciados:

  • Protección de bases de datos como compilaciones (Art. 107 LFDA):
    La Ley Federal del Derecho de Autor protege las bases de datos que por razón de la selección o disposición de sus contenidos constituyan creaciones intelectuales. Aunque los datos en sí mismos sean hechos públicos (como cotizaciones o directorios), la estructura organizada, esquemas relacionales y arquitectura de la base están protegidos frente a copias serviles no autorizadas.
  • Secretos Industriales (Arts. 163 al 167 de la LFPPI):
    La Ley Federal de Protección a la Propiedad Industrial define como secreto industrial toda información de aplicación comercial o industrial que guarde una persona física o moral con carácter confidencial, que le signifique obtener o mantener una ventaja competitiva o económica frente a terceros, y respecto de la cual haya adoptado los medios o sistemas suficientes para preservar su confidencialidad y el acceso restringido a la misma.
    La sustracción automatizada de bases de datos de clientes, algoritmos internos o listas de precios no públicas califica como revelación o apoderamiento indebido de secretos industriales, sancionado penal y administrativamente.

4. Matriz comparativa: Escenarios técnicos de extracción de datos

Práctica técnica de recolección Medida de protección del servidor Marco legal aplicable en México Calificación jurídica objetiva
Scraping de páginas públicas HTML Ninguna (Datos públicos sin login) Código de Comercio / LFDA Lícito, salvo saturación del servidor (DoS) o copia de diseño original.
Evasión de CAPTCHA / Rotación IP WAF, rate limits y bloqueos Arts. 211 bis 1 y bis 2 del CPF Ilegal: Se configura vulneración deliberada de mecanismos de seguridad.
Extracción masiva con API Token Autenticación con contrato previo Términos de Servicio / Código Civil Incumplimiento contractual de los términos de uso autorizados de la API.
Copia de base de datos compilada Estructura organizada de datos Art. 107 de la LFDA Infracción autoral por reproducción no autorizada de compilación intelectual.
Extracción de datos confidenciales Endpoint restringido con cifrado Arts. 163-167 LFPPI / CPF Ilícito grave: Violación de secreto industrial y acceso ilícito a sistemas.

5. Fuentes normativas oficiales

  • Código Penal Federal: Libro Segundo, Título Noveno, Capítulo II (Acceso ilícito a sistemas y equipos de informática), Artículos 211 bis 1 al 211 bis 7.
  • Ley Federal del Derecho de Autor (LFDA): Artículos 107, 108 y 109 (Protección de bases de datos).
  • Ley Federal de Protección a la Propiedad Industrial (LFPPI): Título Tercero, Capítulo Único (De los Secretos Industriales), Artículos 163 al 169.
  • Código de Comercio de México: Título Segundo (Del Comercio Electrónico), Artículos 89 al 93 (Consentimiento expreso en medios electrónicos).