Una interesante sentencia de la Audiencia Nacional ha concluido que la paralización de la actividad de una empresa como consecuencia de un ataque informático justifica la activación de un ERTE. Se trata de la sentencia número 37/2022, de 14 de marzo de 2022.
Resumiendo los hechos del caso concreto, Ilunion Contact Center es una sociedad perteneciente al Grupo Ilunion, participado íntegramente por la Fundación ONCE, dedicada desde sus inicios a la actividad de telemarketing. El 4 de junio de 2021, la empresa descubrió fallos informáticos y, después de las primeras comprobaciones, corroboran que el problema viene derivado de un virus ransomware. Al objeto de impedir la propagación del virus se opta por apagar el Centro de Procesamiento de Datos al completo y se procede a cortar las comunicaciones con todas las sedes de la división Contact Center BPO.
Esta medida produjo que la empresa tuviera que suspender la mayor parte de los servicios que se prestaban a los clientes, quedando con ello sin actividad los empleados vinculados varias campañas ante la imposibilidad de uso de las herramientas informáticas esenciales para el desarrollo de la actividad laboral. Además, el restablecimiento pleno de los servidores y del sistema informático requería de un proceso complicado que, a juicio de la compañía, justificaba la aplicación de un ERTE resultado de fuerza mayor.
El 21 de junio de 2021 Ilunion presentó ante la Dirección General de Empleo del Ministerio de Trabajo y Economía Social una solicitud de constatación de fuerza mayor en que se basaba el ERTE puesto en marcha por la empresa. Este expediente de regulación temporal de empleo contemplaba medidas suspensivas y de reducción de jornada que afectaban a 1.192 trabajadores de la empresa, distribuidos en sus centros de trabajo de Madrid, Barcelona, Sevilla y Logroño.
Pues bien, la citada solicitud fue denegada. Trabajo vino a decir que las razones aportadas por la empresa no resultaban suficientes a los efectos de su calificación como determinante de una situación de fuerza mayor. La empresa presentó recurso de alzada, que fue desestimado por silencio administrativo, lo que la llevó a acudir a la Audiencia Nacional, cuya Sala de lo Social le ha dado la razón.
Vistos los hechos, lo importante en este comentario es analizar los fundamentos jurídicos de la sentencia, adelantando ya que la AN estima la concurrencia de fuerza mayor en que se funda el ERTE por fuerza mayor planteado por la empresa.
En concreto, la AN, tras analizar la definición de fuerza mayor dada por la Sala IV, III y I del Tribunal Supremo entiende que el análisis de estos elementos configuradores permite concluir que el ataque informático a través de un virus ransomware que se traduce en el “secuestro” de la información clave de la empresa, afectando de forma determinante a su operatividad, puede ser calificado como un supuesto de fuerza mayor.
Analizando la naturaleza del hecho obstativo, la concurrencia del mismo y la relación de causalidad e inimputabilidad, imprevisibilidad o inevitabilidad afirma que: “En efecto, concurren todos los elementos configuradores que permiten concluir la existencia de causa de fuerza mayor: imposibilidad, existencia de una relación causal entre el incumplimiento de la obligación contractual y el hecho obstativo, inimputabilidad y (al menos) inevitabilidad”. Y lo analiza de la siguiente forma:
(i) Sobre la naturaleza del hecho obstativo: tal y como se describe en los hechos declarados probados, se produjo en fecha 4 de junio de 2021 un ataque informático deliberado (en este caso, en forma de ransomware) por parte de terceros ajenos a la Empresa. Tal circunstancia, resulta subsumible en el concepto de fuerza mayor, el origen “humano” (e, incluso, “intencionado”) del hecho obstativo, no es una circunstancia suficiente para descartar una posible concurrencia de una fuerza mayor.
(ii) Sobre la concurrencia de un hecho obstativo, resulta acreditado, y así se colige del contenido de los informes periciales, que el secuestro de datos que el cifrado provoca tiene una afectación claramente obstativa en el cumplimiento de las prestaciones contractuales acordadas. Especialmente porque imposibilita la oportunidad empresarial de ofrecer la prestación de trabajo a las personas trabajadora.
Por dicha razón, el Tribunal rechaza que la manifestación de disponibilidad de los trabajadores no es equivalente “a la ocupación efectiva, cuando hay imposibilidad objetiva de prestar servicios laborales. Es decir, las personas trabajadoras pueden manifestar estar disponibles para realizar actividad laboral, pero la disponibilidad se traduce en la manifestación del mero deseo de querer trabajar, pero sin poder hacerlo porque existe una causa, ajena a voluntad de empleados y empresa, que lo impide”.
También afirma que existe una clara relación de causalidad entre el hecho obstativo (el ataque informático y la imposibilidad material de la empresa de dar ocupación de trabajo a las personas trabajadoras. Especialmente porque el ataque “impactó sobre todos los componentes que dependen de esta infraestructura, y, en consecuencia, se resiente la prestación de servicios por la imposibilidad de los agentes de utilizar los programas computacionales para operar los servicios de contact center y gestión documental en todas las sedes”.
En relación al último elemento que citábamos arriba, es decir, en relación a la inimputabilidad y la imprevisibilidad o la inevitabilidad, la sentencia alega lo siguiente: “sin duda, estos son los elementos más determinantes de este supuesto. Y, por este motivo, conviene un análisis pormenorizado. Para poder determinar esta cuestión es oportuno, evaluar si el riesgo era imprevisible o, si previsto, inevitable. Especialmente porque, en función de la naturaleza del hecho sobrevenido, podrá delimitarse la diligencia requerida a través del análisis de las medidas preventivas o de seguridad adoptadas (esto es, si se agotaron cuantas medidas de precaución incumben a la Empresa en la evitación de este fenómeno). En primer lugar, no puede afirmarse que un ataque informático ni la afectación de un virus sean circunstancias totalmente imprevisibles (y el ransomware tampoco), (…). Ahora bien, en este supuesto, concurren los factores suficientes para concluir que el nivel de diligencia empresarial para prevenir este riesgo ha sido adecuado conforme a lo que una “conducta prudente hubiera podido evaluar”. En efecto, atendiendo a la naturaleza de la causa del hecho obstativo (claramente “independiente y extraña a la voluntad del sujeto obligado” y la limitada capacidad de anticipación que este tipo de intrusión permite), la variada y revisión periódica del conjunto de medidas que conforman la Política de seguridad de la información de XXXXX permiten concluir que el nivel de previsión y precaución es adecuado dentro del grado de esfuerzo y coste de un ordenado y diligente comerciante».
El profundo examen de los medios de seguridad informáticos acreditados por la empresa (a través de dos informes técnico y pericial), hacen entender al Tribunal que: “Se acredita, por tanto, que la Empresa había cumplido con el nivel de diligencia debido, así se hace constar en el informe aportado en el que se recoge que la actuación y medios de seguridad de la empresa para la evitación del ataque eran los adecuados».
Por lo tanto, de todo lo expuesto, expresa que: “El ataque informático a través de un virus ransomware en una actividad empresarial que gravita sobre una “arquitectura” esencialmente digital como la que lleva a cabo la demandante puede subsumirse en el concepto de fuerza mayor por lo siguiente:
– Primero, el origen humano del hecho obstativo no impide que pueda subsumirse un hecho imposibilitante en el concepto de fuerza mayor;
– Segundo, concurre una imposibilidad absoluta y objetiva sobre una de las prestaciones esenciales empresariales del contrato de trabajo (dar ocupación efectiva);
– Tercero, existe una relación causal entre el incumplimiento de la obligación y el hecho obstativo;
– Cuarto, dado el nivel de diligencia preventiva adoptado por la demandante puede afirmarse que concurre la nota de inimputabilidad y (como mínimo) la de inevitabilidad. En este supuesto, pese a tratarse de un riesgo conocido (y, por ende, previsible), se dan suficientes elementos para entender que el nivel de diligencia empresarial para prevenir este riesgo ha sido el suficientemente elevado como para descartar que su conducta empresarial pueda calificarse como negligente (y por ello imputable). Especialmente porque las medidas que conforman la ‘Política de seguridad de la información’ de la compañía constituyen medidas de precaución adecuadas dentro del grado de esfuerzo y coste de un ‘ordenado y diligente comerciante”.
En mi opinión y ya para finalizar el comentario, creo que la fundamentación de la sentencia es totalmente acertada. Lo realmente crucial en estos supuestos será el deber de diligencia y su acreditación ante un Tribunal. Deber de diligencia que deberá ser aún más fuerte puesto que la automatización, aun alabando sus ventajas, también tiene graves desventajas como son la extrema vulnerabilidad a la que son sometidas las empresas.
Artículo escrito por Ángel Ureña, director de tu asesor laboral y de tu formación fiscal. Letrado y profesor. Además, es funcionario del gobierno de Castilla-La Mancha, y profesor colaborador de formación del Colegio de Graduados Sociales de Asturias.
TodosobreRRHH 