La empresa puede haber previsto en su actividad ordinaria la existencia de un ciberataque (previsibilidad), pero hay algunos sucesos de este tipo que rebasan los tenidos en cuenta en el desenvolvimiento ordinario y, por ello, no pueden ser evitados (inevitabilidad), por lo que si derivan si derivan en la imposibilidad de que los trabajadores presten sus servicios, representan un supuesto de fuerza mayor que justifica la tramitación de un ERTE
Se dirimía en el procedimiento al que pone fin esta sentencia la posibilidad de que un ciberataque pueda justificar la activación de un ERTE por fuerza mayor.
Recuerda el Tribunal Supremo que la jurisprudencia ha venido señalando que por supuesto de fuerza mayor deben entenderse aquellos hechos que aun siendo previsibles, sean sin embargo inevitables, insuperables e irresistibles, siempre que la causa que los motiva sea independiente y extraña a la voluntad del sujeto obligado. También se ha hecho referencia a este concepto como «sucesos imprevistos e inevitables que rebasan los tenidos en cuenta en el curso normal de la vida y extraños al desenvolvimiento ordinario de un proceso industrial».
Por tanto, no es preciso que concurra la imprevisibilidad, pues es suficiente con que el hecho, siendo previsible, sea inevitable, para que concurra una fuerza mayor.
Teniendo en cuenta estas apreciaciones y aplicadas al supuesto sometido a enjuiciamiento, señala el Tribunal Supremo que no es admisible la afirmación de que un ataque de ciberseguridad sufrido por una empresa, cuya prestación se desarrolla mediante el uso de sistemas informáticos, software, aplicaciones, etc., no pueda ser calificado de fuerza mayor, sino que lo que procede es considerarlo una causa técnica o productiva, pues el hecho de que un ataque de este tipo sea previsible en una empresa cuyos medios materiales son esencialmente digitales -ordenadores-, no lo convierte en evitable.
Asimismo, sigue señalando el Tribunal Supremo, tampoco puede cuestionarse la existencia de fuerza mayor por el hecho de que el «suceso» no haya sido uno de los tradicionalmente considerados como tales -esto es, un incendio o un terremoto-, pues el art. 1.105 CC no exige que sea un suceso natural, puede ser de otro tipo -atendida la realidad social en la que nos hallamos, una sociedad tecnológica, donde los sucesos pueden ser provocados por la acción del hombre-.
Y es que, la principal diferencia entre una causa de fuerza mayor y otra de tipo objetivo técnica no está en la causalidad natural de la primera y humana en la segunda, sino en el hecho de que la fuerza mayor es un suceso externo, ajeno a la voluntad de la empresa y de carácter extraordinario, y la segunda es una causa introducida, favorecida o exigida por las circunstancias, pero siempre ordinaria y voluntaria. La empresa puede haber previsto en su actividad ordinaria la existencia de un ciberataque (previsibilidad), pero hay algunos sucesos de este tipo que rebasan los tenidos en cuenta en el desenvolvimiento ordinario y, por ello, no pueden ser evitados (inevitabilidad).
En conclusión, si se trata de un suceso inevitable, que rebasa los que pueden ser tenidos en cuenta en el curso normal de la vida de la empresa, estaremos ante un supuesto de fuerza mayor, que ampara la tramitación de un ERTE.
Los hechos probados ponen de manifiesto que la empresa había previsto la posibilidad de un ciberataque, ya que disponía de las medidas de seguridad necesarias y suficientes para evitar un ataque de ciberseguridad. Efectivamente, aplicaba una política de seguridad de la información completa y al más alto nivel tecnológico, que le hizo ser merecedora de las certificaciones ISO/IEC 27001 e ISO/IEC 27002. Pese a todo ello, el cibertaque no pudo ser evitado.
En esa situación, algunos trabajadores pudieron trabajar, pero la mayoría simplemente quedó a disposición de la empresa -los hechos probados afirman se suspendieron la mayor parte de los servicios que se prestaban a los clientes, quedando con ello sin actividad los empleados vinculados a dichas campañas, ante la imposibilidad de uso de las herramientas informáticas esenciales para el desarrollo de la actividad laboral. Además, consta que el CPD se apagó por completo y se procedió a cortar las comunicaciones con todas las sedes de la división afectada para evitar la distribución del virus, mientras se desarrollaba la investigación forense del escenario identificado-.
Todo ello acredita la producción del suceso de carácter ajeno a la empresa, su inevitabilidad, así como una efectiva imposibilidad de trabajar, que permite la apreciación de la existencia de una causa de fuerza mayor que justifica la tramitación de un ERTE.
[Sentencia Tribunal Supremo, Sala de lo Social, Sección 1ª, de 11 de junio de 2024, recurso n.º 144/2022]
Departamento de Documentación de Garrido