Robo de identidad en internet: qué hacer en las primeras 48 horas y cómo reclamar lo que han hecho en tu nombre

El robo de identidad casi nunca empieza con una alarma: empieza con una carta de una financiera que no conoces, un mensaje de bienvenida de una compañía que nunca contrataste o una llamada de recobro por una deuda que no es tuya. Cuando aparece, ya lleva semanas funcionando. Esta guía ordena qué hacer en las primeras horas, qué figura penal encaja en cada caso, cómo se limpia el rastro que deja (contratos, créditos, ficheros de morosidad) y con qué plazos, con un modelo de escrito listo para enviar.

Qué delito es exactamente

En el Código Penal español no existe un delito llamado «robo de identidad». Lo que hay es un conjunto de tipos que se activan según lo que el suplantador haya hecho con tus datos, y esa distinción importa porque determina dónde denunciar y qué se puede pedir.

Si la suplantación es un perfil falso en una red social, guarda capturas con la fecha y la dirección del perfil y denúncialo en la propia plataforma con su formulario de suplantación de identidad: el Reglamento de Servicios Digitales (Reglamento (UE) 2022/2065) obliga a las plataformas a ofrecer un mecanismo de notificación (art. 16) y, si deciden no retirar el perfil, a explicarte el motivo (art. 17). El uso de tus datos por parte de empresas lo tratamos en la guía sobre el uso indebido de tus datos personales.

Las primeras 48 horas: por orden

1. Corta el acceso. Cambia la contraseña de tu correo principal antes que ninguna otra: es la llave que permite recuperar todas las demás cuentas. Activa la verificación en dos pasos.
2. Revisa los ajustes de recuperación. Comprueba que no hay teléfonos, correos alternativos ni reglas de reenvío añadidos por el atacante. Esta es la puerta trasera que más se olvida.
3. Cierra sesiones abiertas en todos los dispositivos desde el panel de seguridad de cada servicio.
4. Avisa a tu banco. Bloquea tarjetas, revisa movimientos y solicita la devolución de los cargos que no reconoces.
5. Preserva la prueba antes de borrar nada. Captura pantallas con la URL y la fecha visibles, guarda los correos originales con sus cabeceras y anota números de referencia. Si el daño es serio, un acta notarial de presencia fija el contenido con mucha más solidez que una captura suelta.
6. Denuncia. Con la documentación reunida, no antes: una denuncia con capturas y referencias avanza mucho más que un relato genérico.
7. Comprueba tu rastro crediticio. Pide el informe de riesgos del Banco de España y consulta si figuras en ficheros de morosidad.

Cargos y transferencias que no hiciste

Si el suplantador ha movido dinero de tus cuentas, el marco es el Real Decreto-ley 19/2018 de servicios de pago, y es más favorable de lo que muchos usuarios creen:

• Debes notificar la operación no autorizada sin demora indebida en cuanto la detectes, con un límite máximo de 13 meses desde la fecha del cargo.
• La carga de la prueba es del banco: es la entidad quien debe acreditar que la operación fue autenticada, registrada correctamente y que hubo fraude o negligencia grave por tu parte (art. 44).
• Notificada la operación, la entidad debe devolver el importe de inmediato y, como muy tarde, al final del día hábil siguiente, salvo que tenga motivos razonables para sospechar fraude del propio cliente (art. 45).

Los pasos concretos de esa reclamación, incluido el recorrido por el servicio de atención al cliente y el Banco de España, están en la guía sobre cómo denunciar una estafa online y cuándo el banco está obligado a devolverte el dinero, que cubre también el caso en que te engañaron para que fueras tú quien hiciera el pago.

Contratos y créditos abiertos a tu nombre

Aquí la clave jurídica es sencilla y conviene tenerla clara desde el primer escrito: tú no eres parte de un contrato que no firmaste. No estás pidiendo un favor ni una cancelación anticipada; estás afirmando que ese contrato es inexistente respecto de ti y que quien lo aceptó sin verificar la identidad asumió el riesgo. Los tribunales vienen exigiendo a las empresas una diligencia reforzada en la comprobación de identidad, precisamente porque son ellas quienes diseñan el proceso de contratación.

1. Solicita a la empresa copia del contrato y de la documentación con la que se te identificó. Es un derecho de acceso del artículo 15 del RGPD y te da la prueba de cómo se contrató.
2. Comunica formalmente la suplantación por burofax con certificación de texto, adjuntando la denuncia, y exige la anulación del contrato y el cese del tratamiento de tus datos.
3. Ejercita la supresión y la oposición (artículos 17 y 21 del RGPD). El responsable tiene un mes para responder, prorrogable dos meses más en casos complejos (art. 12.3 RGPD).
4. Si no responde o se niega, reclama ante la Agencia Española de Protección de Datos (art. 77 RGPD).

Salir de un fichero de morosidad

Que te incluyan en ASNEF, Badexcug o similares por una deuda que nació de una suplantación es de los daños más persistentes, porque te cierra financiación durante años. El artículo 20 de la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD) fija requisitos estrictos para que una inclusión sea lícita:

Reclama en paralelo a la entidad que te incluyó y al titular del fichero, y guarda la respuesta: si la inclusión se mantiene pese a estar acreditada la suplantación, además de la reclamación ante la AEPD cabe una acción civil de indemnización por intromisión ilegítima en el honor, que los tribunales han reconocido en supuestos de inclusión indebida.

Tabla de plazos

Dónde denunciar

La denuncia puede presentarse en cualquier comisaría de la Policía Nacional, en un cuartel de la Guardia Civil o en el juzgado de guardia. La denuncia por internet tiene un uso limitado: la Policía Nacional solo la admite para hechos sin autor conocido y sin violencia ni intimidación (hurtos, pérdida o sustracción de documentos y efectos, daños), y hay que ratificarla presencialmente en 72 horas o caduca. La Guardia Civil sí permite firmarla electrónicamente con certificado o Cl@ve, sin ratificación posterior.

Si en la suplantación hay un autor identificado, imágenes íntimas, menores o violencia, la denuncia debe ser presencial. Para orientación técnica gratuita antes o después de denunciar, el 017 del Instituto Nacional de Ciberseguridad atiende de forma confidencial y sin coste.

Modelo de escrito a la empresa que contrató con el suplantador

A LA ATENCIÓN DEL DELEGADO DE PROTECCIÓN DE DATOS Y DEL SERVICIO DE ATENCIÓN AL CLIENTE
[RAZÓN SOCIAL DE LA EMPRESA] - [CIF] - [DIRECCIÓN COMPLETA]

Don/Doña [NOMBRE Y APELLIDOS], mayor de edad, con NIF [NÚMERO] y domicilio a efectos de
notificaciones en [DIRECCIÓN COMPLETA], correo electrónico [CORREO] y teléfono [TELÉFONO],

EXPONE:

PRIMERO.- Que esa entidad me reclama el pago de [IMPORTE] euros [Y/O ha comunicado mis datos al
fichero de solvencia ______] en virtud del contrato número [NÚMERO], de fecha [FECHA], referido a
[PRODUCTO O SERVICIO].

SEGUNDO.- Que NUNCA he suscrito dicho contrato ni he autorizado a nadie a suscribirlo en mi nombre.
Los hechos han sido denunciados ante [POLICÍA NACIONAL / GUARDIA CIVIL / JUZGADO DE GUARDIA] con
número de atestado o referencia [NÚMERO], cuya copia se adjunta como documento número 1.

TERCERO.- Que corresponde a esa entidad acreditar la válida formación del consentimiento contractual
y la correcta verificación de la identidad del contratante, sin que pueda oponérseme un contrato en
cuya celebración no he intervenido.

Por lo expuesto,

SOLICITA:

1.- Que se me facilite, en ejercicio del derecho de acceso del artículo 15 del Reglamento (UE)
2016/679, copia íntegra del contrato, de la documentación identificativa aportada, de las grabaciones
o registros de contratación y de la dirección IP y datos técnicos asociados a su formalización.

2.- La ANULACIÓN del contrato y de toda deuda asociada, así como el cese inmediato de cualquier
gestión de cobro.

3.- La SUPRESIÓN de mis datos personales vinculados a ese contrato, conforme al artículo 17 del
citado Reglamento, y la OPOSICIÓN a su tratamiento con arreglo a su artículo 21.

4.- La CANCELACIÓN INMEDIATA de la inclusión de mis datos en el fichero de solvencia patrimonial
[NOMBRE DEL FICHERO], comunicándolo a su titular y a cuantos hayan consultado el dato, por no
concurrir el requisito de deuda cierta, vencida y exigible del artículo 20 de la Ley Orgánica 3/2018.

Se advierte que, transcurrido UN MES sin respuesta satisfactoria, se presentará reclamación ante la
Agencia Española de Protección de Datos al amparo del artículo 77 del Reglamento (UE) 2016/679, sin
perjuicio de las acciones civiles de indemnización que puedan corresponder.

En [LUGAR], a [FECHA].

Fdo.: [NOMBRE Y APELLIDOS] - NIF [NÚMERO]

Documentos que se acompañan:
1.- Copia de la denuncia presentada.
2.- Copia del DNI.
3.- Comunicación recibida de la entidad o del fichero de solvencia.

Trámites y enlaces oficiales

• Agencia Española de Protección de Datos: ejercicio de derechos y reclamaciones
• INCIBE: línea de ayuda en ciberseguridad 017
• Policía Nacional: denuncias
• Guardia Civil: denuncia telemática
• Banco de España: informe de riesgos de la CIRBE y servicio de reclamaciones

Resumen

Fuentes

• Ley Orgánica 10/1995, Código Penal, artículos 197, 249, 390 a 395, 399 bis y 401 (texto consolidado, BOE)
• Reglamento (UE) 2016/679 (RGPD), artículos 12, 15, 17, 21 y 77
• Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, artículo 20 (texto consolidado, BOE)
• Real Decreto-ley 19/2018 de servicios de pago, artículos 44 y 45 (texto consolidado, BOE)
• Ley Orgánica 1/1982 de protección civil del derecho al honor, a la intimidad y a la propia imagen (texto consolidado, BOE)
• Ley de Enjuiciamiento Criminal, artículos 259 a 269 sobre la denuncia (texto consolidado, BOE)

Escrito por Matías Lloret, autor de Soluciones Jurídicas MLR. Última revisión: 10 de septiembre de 2026, contrastada con los textos consolidados en el BOE del Código Penal, la Ley Orgánica 3/2018, el Real Decreto-ley 19/2018 y la Ley Orgánica 1/1982, y con la información publicada por la Policía Nacional, la Guardia Civil y la Agencia Española de Protección de Datos. Este artículo es divulgación jurídica general y no constituye asesoramiento legal: la calificación penal depende de los hechos concretos, así que para un caso con perjuicio económico relevante consulta con un abogado.