El debate público sobre la suplantación de identidad suele quedar circunscrito al plano patrimonial: fraude, estafa, perjuicio económico cuantificable. Ese encuadre, sin embargo, resulta incompleto.

Cuando un tercero se apropia del nombre, la imagen, la voz o los datos biométricos de una persona para actuar en su lugar, ya sea para contratar un servicio, publicar contenido o superar un proceso de verificación, no solo se ve afectado patrimonio, también está en juego la capacidad de la persona para controlar cómo se presenta su identidad frente a terceros.

Esa capacidad no está protegida en el ordenamiento español como un derecho autónomo con nombre propio. La protección se articula a través de distintos derechos y sus consecuencias pueden ir mucho más allá de una cuenta bancaria vaciada o de una factura que nunca contratamos.

La insuficiencia del tipo penal vigente

El Código Penal español no contempla un tipo autónomo de suplantación de identidad digital. La figura más próxima es el artículo 401 CP, que castiga la usurpación del estado civil con pena de prisión de seis meses a tres años.

El problema es que este precepto está pensado para una apropiación integral y duradera de la identidad ajena. Según la interpretación jurisprudencial consolidada, su aplicación exige una asunción completa y suficientemente prolongada de la identidad de otra persona, con vocación de sustituirla en su vida jurídica.

Y la identidad digital ya no necesita ser usurpada por completo.

Hoy puede bastar con apropiarse de un elemento concreto: crear un perfil falso, utilizar fotografías ajenas, clonar una voz mediante inteligencia artificial o utilizar determinados datos personales para realizar un proceso de onboarding digital. Son conductas que pueden producir un daño real sin encajar necesariamente en el concepto clásico de usurpación del estado civil.

Uso de documento de identidad de otra persona

El ordenamiento ofrece además otras dos vías. El artículo 172 ter.1.3ª CP, dentro del delito de acoso, castiga a quien, mediante el uso indebido de los datos personales de otra persona, adquiera productos, contrate servicios o haga que terceros se pongan en contacto con ella. Pero esta conducta comparte el requisito general del apartado 1, que exige que se produzca de forma insistente y reiterada hasta alterar el normal desarrollo de la vida cotidiana de la víctima, de modo que un uso puntual y aislado puede quedar fuera de su ámbito de aplicación.

Distinto es el apartado 5 del mismo artículo que castiga a quien, sin consentimiento de su titular, utilice la imagen de una persona para realizar anuncios o abrir perfiles falsos en redes sociales, páginas de contacto o cualquier medio de difusión pública, ocasionándole una situación de acoso, hostigamiento o humillación. A diferencia del apartado 1.3ª, su redacción no exige expresamente reiteración, aunque sí requiere que se genere esa situación de acoso u hostigamiento, lo que en la práctica deja cierto margen de interpretación sobre si basta un único acto.

En otras palabras, el problema no es que la legislación española no castigue ninguna forma de suplantación. El problema es que no existe una respuesta única para una realidad que tampoco es única.

El resultado es un mapa fragmentado. Según las circunstancias, la suplantación digital puede reconducirse al artículo 401 CP, al artículo 172 ter, al artículo 400 bis, a la estafa del artículo 248 CP o al descubrimiento y revelación de secretos del artículo 197 CP cuando existe un acceso no consentido a datos o comunicaciones.

El recurso a la vía civil

Cuando ninguna de estas figuras encaja, la respuesta puede desplazarse hacia la vía civil, a través de la Ley Orgánica de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen. Esta norma protege civilmente estos derechos frente a intromisiones ilegítimas y contempla, entre otras conductas, la utilización del nombre, la voz o la imagen de una persona en determinados contextos.

Así habría ocurrido, según recoge la prensa jurídica, en un caso sobre un perfil falso creado en Tinder con el nombre y las fotografías de un amigo, resuelto como intromisión ilegítima en el honor y la propia imagen, con una indemnización civil, y no como un delito de usurpación del estado civil que se incluye aquí como anécdota ilustrativa del tipo de respuesta que suele darse en la práctica.

La cuestión de fondo es precisamente que, cuando la suplantación no encaja en otra figura jurídica, el ordenamiento todavía tiene dificultades para reconocerla como una lesión autónoma de la identidad de la persona.

El fundamento constitucional: derechos reconocidos y un valor que los refuerza

Que no exista un tipo penal específico de suplantación digital no significa que la conducta carezca de protección constitucional.

El artículo 18.1 CE reconoce tres derechos fundamentales directamente relacionados con esta cuestión: el honor, la intimidad personal y familiar y la propia imagen. La suplantación puede afectar a los tres cuando alguien utiliza, sin consentimiento, atributos identificativos de otra persona para generar ante terceros una representación de ella que no responde a su voluntad.

Sobre esta base puede afirmarse, sin forzar el argumento, que determinadas formas de suplantación pueden afectar a derechos fundamentales ya reconocidos.

Distinto es el papel del artículo 10.1 CE, que reconoce la dignidad de la persona y el libre desarrollo de la personalidad. Aquí conviene ser especialmente precisos. No existe en la Constitución un «derecho a la identidad» denominado como tal, con unos contornos propios y autónomos.

El valor constitucional del artículo 10.1 CE

El Tribunal Constitucional ha vinculado identidad personal, dignidad y libre desarrollo de la personalidad en resoluciones como la STC 99/2019, de 18 de julio (FJ 4.a), sobre rectificación registral de sexo, que afirma que «establecer la propia identidad… coloca al sujeto en posición de poder desenvolver su propia personalidad», y la STC 67/2022, de 2 de junio (FJ 3.b y FJ 4), sobre discriminación laboral por identidad de género, que vincula la identidad de género «al respeto de la dignidad humana (art. 10.1 CE)» y al libre desarrollo de la personalidad.

Ninguna de estas resoluciones resuelve un supuesto de suplantación digital: ambas versan sobre identidad de género, no sobre suplantación por parte de un tercero. Pero sí permiten sostener, por conexión con los derechos reconocidos en el artículo 18, que la identidad personal forma parte de la esfera de autonomía de la persona y merece protección frente a determinadas interferencias de terceros.

Y aquí aparece una cuestión especialmente importante en el entorno digital: ¿quién decide cómo se presenta nuestra identidad ante los demás?

Cuando un tercero utiliza nuestra imagen, nuestra voz o nuestros datos para hacerse pasar por nosotros, no solo está utilizando información. Está interviniendo en la forma en la que nuestra identidad se proyecta frente a terceros.

Reglamento de IA y contenido sintético

La inteligencia artificial ha añadido una nueva dimensión al problema.

Una fotografía puede manipularse hasta resultar difícil distinguirla de una imagen real. Una voz puede clonarse a partir de una muestra de audio. Un video puede mostrar a una persona haciendo o diciendo algo que nunca hizo ni dijo.

El problema ya no es únicamente que alguien consiga nuestros datos. Es que puede utilizarlos para construir una representación cada vez más convincente de nosotros.

Conviene distinguir entre la identidad y los atributos que utilizamos para representarla. Nuestro nombre, nuestra imagen, nuestra voz o nuestros datos biométricos son elementos que permiten identificarnos, pero esos datos pueden copiarse o manipularse.

Lo difícil es demostrar que esos atributos están siendo utilizados por su verdadero titular.

La respuesta del artículo 50 del Reglamento de IA

El marco europeo ya ha empezado a responder a esta realidad. El artículo 50 del Reglamento de Inteligencia Artificial establece obligaciones específicas de transparencia para determinados sistemas de IA y contenidos generados o manipulados mediante IA, incluidos los deepfakes.

En particular, el artículo 50 contempla obligaciones de marcado o etiquetado de determinados contenidos generados o manipulados artificialmente y obligaciones de información en determinados supuestos de interacción con sistemas de IA. La Comisión Europea ha publicado además directrices específicas para aclarar el alcance de estas obligaciones para proveedores y responsables de despliegue.

Es preciso, sin embargo, entender bien qué persigue esta regulación.

El etiquetado no impide que alguien cree un deepfake con fines fraudulentos ni convierte por sí mismo ese contenido en lícito. Su finalidad es aportar transparencia, es decir, permitir que las personas puedan identificar determinados contenidos generados o manipulados mediante IA y reducir así los riesgos de engaño y manipulación.

Es un paso importante, pero saber que un contenido es sintético no siempre basta para evitar la suplantación.

A veces necesitamos algo más que identificar que una imagen ha sido generada por IA. Necesitamos poder comprobar quién está realmente detrás de una identidad.

RGPD y LOPDGDD

La suplantación de identidad implica, en muchos casos, un tratamiento de datos personales sin una base jurídica válida en los términos del artículo 6 del RGPD.

En la mayoría de los casos, esa falta de base jurídica no es solo teórica. Quien trata los datos no se dirige al verdadero titular, sino que actúa creyendo, o simulando, que lo es. El suplantador puede prestar su propio consentimiento, pero no el del titular real, que es quien debería otorgarlo conforme al artículo 4.11 RGPD. Y la mera existencia de una relación contractual aparente o de un interés legítimo tampoco legitima por sí sola el tratamiento cuando esa relación se ha construido sobre una identidad suplantada, porque esas bases del artículo 6 RGPD están pensadas para vínculos reales entre el responsable del tratamiento y el titular de los datos.

El régimen reforzado de los datos biométricos

Cuando el vector de suplantación consiste en datos biométricos, entra además en juego el régimen reforzado del artículo 9 del RGPD, que incluye entre las categorías especiales de datos personales los datos biométricos destinados a identificar de manera unívoca a una persona física, salvo que concurra alguna de las circunstancias que permiten su tratamiento. No toda fotografía o grabación de voz es, por sí sola, un dato biométrico en este sentido estricto. Para entrar en esa categoría reforzada, el tratamiento tiene que estar orientado técnicamente a esa identificación unívoca, no a un uso cualquiera de la imagen o la voz.

Cuando sí lo son, existe una diferencia fundamental respecto a una contraseña. Si una contraseña se ve comprometida, podemos cambiarla; nuestra cara o nuestra voz no funcionan de la misma manera.

Por eso, la protección de los datos biométricos no debe entenderse únicamente como una cuestión de privacidad. También forma parte de la protección de la identidad de la persona.

Ese régimen reforzado no constituye una protección paralela al derecho a la identidad, sino una de las vías a través de las cuales el ordenamiento protege los atributos identificativos de las personas. Lo anterior plantea la pregunta de quién puede utilizar determinados atributos de una persona, con qué finalidad y bajo qué condiciones.

El reto está en encontrar un equilibrio: utilizar únicamente los datos necesarios para una finalidad específica y con medidas de seguridad adecuadas, sin convertir la tecnología utilizada para proteger la identidad de los usuarios en una nueva fuente de riesgo.

Verificación biométrica como herramienta de prevención, no solo como riesgo

Existe una narrativa recurrente que presenta la captura de datos biométricos únicamente como un riesgo para la privacidad.

Y es lógico que exista preocupación. Cualquier tratamiento de datos biométricos debe ser proporcional, seguro y respetuoso con los principios de protección de datos. Pero quedarse únicamente con esa parte de la historia sería incompleto.

Un sistema de verificación de identidad digital con biometría correctamente diseñado puede ayudar a impedir que alguien utilice una foto, una grabación o un contenido sintético para hacerse pasar por otra persona.

La diferencia está en lo que estamos intentando demostrar. Por ejemplo, una contraseña demuestra que alguien sabe algo y un documento demuestra que una persona posee algo.

Pero la verificación de identidad busca responder a una pregunta diferente:

¿La persona que está realizando esta operación es realmente quien dice ser?

Ahí es donde la biometría, acompañada de mecanismos de detección de vida y de medidas adecuadas de seguridad y privacidad, puede convertirse en una herramienta de protección de la identidad y no únicamente en un dato que proteger. No se trata simplemente de comprobar si determinados datos coinciden, sino de añadir una comprobación sobre la persona que está detrás de esos datos.

En estos términos, la verificación de identidad no debería entrar necesariamente en tensión con los derechos en juego. Puede contribuir, si está correctamente diseñada y aplicada, a prevenir determinados supuestos de suplantación. No se trata, por tanto, de elegir entre privacidad y seguridad, sino de utilizar la tecnología adecuada para proteger ambas.

Determinar quién es el verdadero titular exige comparar el dato biométrico capturado en el momento con una fuente fiable. En la práctica, esto implica contrastar esa captura frente a una referencia verificada del titular, ya sea el propio documento de identidad, una base de datos autorizada o un registro biométrico previo, en lugar de aceptar sin más la identidad que la persona dice tener. Lo anterior permite responder con un grado razonable de certeza a la pregunta de quién está realmente detrás de una operación y evitar la suplantación de identidad.

Dos modelos comparados: criminalización específica y carga dinámica de la prueba

El derecho comparado muestra que no todos los países han respondido de la misma manera a este problema. Dos ejemplos recientes permiten observar dos aproximaciones diferente sobre la suplantación de identidad: actuar sobre quien suplanta y reforzar las obligaciones de quien verifica.

Francia y el foco en la conducta ilícita del suplantador

Francia optó ya en 2011 por una criminalización específica. El artículo 226-4-1 de su Código Penal castiga a quien usurpe la identidad de un tercero o utilice datos de cualquier naturaleza que permitan identificarlo con el fin de perturbar su tranquilidad o la de otro, o de atentar contra su honor o consideración.

La diferencia respecto al artículo 401 CP español radica en que la norma francesa no exige una sustitución completa y duradera del estado civil de la víctima. Basta con el uso de datos identificativos acompañado de las finalidades lesivas previstas por el precepto.

Esto permite abordar determinadas formas de suplantación más propias del entorno digital, como perfiles falsos, usos fraudulentos de datos personales o determinadas conductas realizadas a través de internet.

Colombia y la responsabilidad de quien tiene capacidad para determinar la suplantación

La Ley Estatutaria 2573 de 2026 introduce medidas para proteger a las personas suplantadas frente a operadores de telecomunicaciones, entidades financieras y crediticias y determinados establecimientos comerciales. Entre sus principios incluye, en el artículo 2º, la carga dinámica de la prueba: la obligación de probar recae sobre la parte que se encuentre en mejores condiciones de hacerlo, y en materia de suplantación, los operadores de telecomunicaciones y las entidades financieras y/o crediticias deben entregar la información y documentación que recibieron para aprobar el producto o servicio.

La ley también exige a estas entidades adoptar medidas de seguridad digital suficientes y razonables para verificar la identidad de sus clientes, y entregar al reclamante la información y documentación con la que aprobaron el producto o servicio, si así lo solicita.

El modelo francés actúa persiguiendo la conducta del suplantador. El modelo colombiano, en cambio, refuerza las obligaciones de quien verifica la identidad y sitúa la carga de la prueba en quien esté en mejores condiciones de aportar los elementos necesarios para esclarecer la suplantación.

Frente al mismo problema, uno pone el foco en quien suplanta; el otro en quien está en mejor posición para detectar y acreditar cómo se produjo la suplantación.

La suplantación de identidad puede afectar a diferentes derechos y bienes jurídicos, pero el ordenamiento español responde de forma fragmentada porque no existe una protección autónoma y unificada de la identidad digital.

Y desde ahí surge una cuestión cada vez más relevante.

Si la identidad se puede atacar tecnológicamente, también necesitamos herramientas tecnológicas como MobbScan capaces de verificar quién está realmente detrás de una operación.

DOSIER PRODUCTO

Descubre nuestra solución de verificación de identidad

Verifica la identidad de tus clientes en segundos a través del escaneo y validación de documentos de identidad y matching biométrico facial con prueba de vida.