Índice
Para justificar un ERTE por fuerza mayor a causa de un ciberataque es necesario demostrar que fue inevitable y que imposibilitó que los empleados pudiesen trabajar
A raíz de la pandemia, todos los españoles nos familiarizamos con unas siglas que resultaron críticas a la hora de salvar a empresas y puestos de trabajo: ERTE. O lo que es lo mismo, Expediente de Regulación Temporal de Empleo.
En nuestro actual ordenamiento jurídico, se contemplan dos tipos de ERTE:
- Por causas económicas, técnicas, organizativas y de producción.
- Por fuerza mayor.
¿En qué casos se puede poner en marcha un ERTE por fuerza mayor? En un mundo plenamente digitalizado como el nuestro, en el que la operatividad de miles de empresas depende al 100% de su infraestructura tecnológica, ¿es posible aprobar un ERTE por fuerza mayor a causa de un ciberataque?
En este artículo, vamos a responder a esta pregunta, a raíz de una reciente sentencia de la Sala de lo Social del Tribunal Supremo que validó un ERTE por fuerza mayor a causa de un ciberataque.
¿Qué es un ERTE por fuerza mayor?
En primer lugar, debemos aclarar en qué consiste un ERTE por fuerza mayor. El Estatuto de los Trabajadores establece que las empresas pueden «por causa derivada de fuerza mayor temporal»:
- Reducir la jornada de trabajo de sus empleados entre un 10% y un 70%.
- Suspender los contratos de los trabajadores.
Asimismo, el ET dicta que la existencia de fuerza mayor que justifique el ERTE debe ser comprobada por la autoridad laboral, sin importar el número de trabajadores afectados. Además, las empresas que pongan en marcha un ERTE deberán:
- Indicar el periodo temporal durante el que estarán en vigor la reducción de jornada o la suspensión del contrato.
- Listar a los trabajadores incluidos en el ERTE.
- Detallar la medida que se aplicará a cada trabajador, incluyendo el porcentaje máximo de reducción de jornada o, en su caso, el tope máximo de número de días en los que se suspenderá el contrato.
Naturaleza vs. Humanos: La fuerza mayor en la era digital
A pesar de regular los aspectos esenciales de los ERTE, el Estatuto de los Trabajadores no precisa qué se debe considerar fuerza mayor. Lo que dificulta la tarea de saber si es posible realizar un ERTE por fuerza mayor a causa de un ciberataque.
Para profundizar en el concepto debemos acudir a una de las normas más antiguas de nuestro ordenamiento jurídico: el Código Civil.
El artículo 1105 del CC establece que «nadie responderá de aquellos sucesos que no hubieran podido preverse, o que, previsto, fueran inevitables».
A la luz de esta norma, los tribunales históricamente han ligado el concepto de «sucesos» a eventos de índole natural: una pandemia como la del covid, incendios, inundaciones, terremotos, volcanes…
Sin embargo, ni el Código Civil, ni el Estatuto de los Trabajadores establecen que los sucesos que pueden justificar la existencia de una causa de fuerza mayor deban ser naturales.
Actualmente, tanto el tejido productivo como el conjunto de la sociedad están plenamente digitalizados. Como consecuencia de ello, los ciberataques contra empresas se han convertido en una peligrosa amenaza que puede causar sucesos tan graves que respondan a la definición de fuerza mayor que se incluye en el Código Civil.
De ahí que pueda resultar válido un ERTE por fuerza mayor a causa de un ciberataque, aunque detrás del suceso esté la actividad humana y no un fenómeno natural.
El Tribunal Supremo hace suya esta tesis en la sentencia que validó un ERTE por fuerza mayor a causa de un ciberataque. Ya que, según el Alto Tribunal, «la imposibilidad objetiva que describe la fuerza mayor no queda circunscrita a fenómenos naturales, pudiéndose predicar a fenómenos que tienen su origen en el comportamiento humano».
Imprevisibilidad e inevitabilidad. Dos parámetros clave
La definición del Código Civil de fuerza mayor no precisa que los sucesos deban ser naturales, pero sí incluye los dos elementos clave para determinar si existe o no fuerza mayor:
- Imprevisibilidad.
- Inevitabilidad.
En el caso de un ERTE por fuerza mayor a causa de un ciberataque no se puede alegar que un incidente de seguridad es imprevisible. Basta con echarle un ojo a los ciberataques más importantes en España en 2024, algunas de las grandes compañías de nuestro país han sufrido incidentes. Nadie está a salvo de estos ataques. De ahí que todas las empresas y, especialmente, las que operan en el sector de la tecnología o dependen al 100% de su infraestructura tecnológica deben prever que puedan sufrir un ataque.
Es más, en el ámbito de la ciberseguridad, existe la máxima de que las empresas no deben preguntarse si pueden ser atacadas, sino cuándo van a serlo y si están preparadas para hacer frente a un ataque.
Por ende, la clave para determinar si un ERTE por fuerza mayor a causa de un ciberataque es válido reside en dilucidar si los efectos del ataque pudieron evitarse o no.
Analizar la estrategia de seguridad de la empresa
¿Cómo se determina si se cumple el requisito de inevitabilidad en un ERTE por fuerza mayor a causa de un ciberataque? Analizando la estrategia y políticas de seguridad de la empresa que sufrió el incidente de seguridad.
En este sentido, el Tribunal Supremo considera que para que un ERTE por fuerza mayor a causa de un ciberataque sea válido:
- El ataque no puede ser causado por la empresa.
- La compañía debe haber actuado con diligencia ante el incidente para mitigar sus consecuencias.
- La empresa debe contar con medidas de prevención e instrumentos y mecanismos de seguridad que permitan rebajar el riesgo de sufrir un ciberataque de gravedad: certificados ISO sobre ciberseguridad, seguros frente a ciberataques, protocolos de actuación, etc.
Imposibilidad, la tercera I a tener en cuenta en un ERTE por fuerza mayor a causa de un ciberataque
¿Basta con demostrar la inevitabilidad del incidente para que un ERTE por fuerza mayor a causa de un ciberataque sea válido? No. Ha de entrar en juego un elemento clave en el ámbito laboral: la imposibilidad de prestar los servicios.
Según el Tribunal Supremo es fundamental contar con informes periciales que evidencien «una imposibilidad manifiesta de prestación de servicios» y que, por ende, los profesionales no pudieran trabajar y, por lo tanto, la empresa pueda recurrir a la suspensión de los contratos durante el tiempo que lleve recuperar la normalidad tras el ataque.
En el caso juzgado por el Tribunal Supremo, la empresa sufrió un ciberataque de ransomware que provocó el secuestro de información crítica de la compañía y la inoperatividad de servidores y equipos informáticos. Como consecuencia de ello, se vio afectada su continuidad de negocio y la posibilidad de desarrollar sus actividades con normalidad.
Así, la «imposibilidad temporal de que la prestación laboral se lleve a cabo», junto con la inevitabilidad del ataque serían argumentos suficientes para justificar un ERTE por fuerza mayor a causa de un ciberataque.
En definitiva, la jurisprudencia del Tribunal Supremo ha adaptado los supuestos de fuerza mayor a la realidad en la que vivimos, contemplando la posibilidad de que un ciberataque sea la causa de un ERTE de fuerza mayor.
Para ello, las empresas deben:
- Contar con una estrategia de seguridad integral que les permita prevenir los incidentes y responder ante los ataques. Para ello, es fundamental disponer de servicios de ciberseguridad como auditorías web.
- Emplear soluciones seguras desde el diseño como software de gestión que cumplan con los máximos estándares de seguridad y contribuyan a proteger la información corporativa.
- Contratar a expertos en ciberseguridad para lidiar con un ataque, facilitar la recuperación ante el incidente y elaborar informes periciales que certifiquen la imposibilidad de prestar servicios y los problemas en la operatividad de la compañía.
- Recurrir a abogados laboralistas para elaborar el expediente de regulación de empleo y justificarlo de manera adecuada para demostrar la inevitabilidad del ataque y la imposibilidad temporal de trabajar de los profesionales afectados por el ERTE por fuerza mayor a causa de un ciberataque.