Responsabilidad civil subsidiaria por brechas de seguridad informática: análisis de la Sentencia del Tribunal Supremo 908/2024

Santiago Carretero Sánchez
Profesor Titular de Filosofía del Derecho

Abogado

En la era digital actual, la seguridad de los sistemas informáticos se ha convertido en un pilar fundamental para el correcto funcionamiento de las empresas. La Sentencia del Tribunal Supremo 908/2024, de fecha 11 de junio de 2024, aborda la responsabilidad civil subsidiaria de una empresa tras una brecha de seguridad en su sistema informático.

Supuesto de Hecho: 

Una empresa concesionaria de vehículos sufrió un ciberataque que comprometió la cuenta de correo electrónico de uno de sus empleados. Los atacantes, haciéndose pasar por la empresa, indujeron a una tercera entidad a realizar una transferencia bancaria significativa a una cuenta controlada por los delincuentes. La cuestión central era determinar si la empresa concesionaria debía responder civilmente de forma subsidiaria por los perjuicios ocasionados a la tercera entidad, en virtud del artículo 120.3 del Código Penal.

Fundamentos jurídicos:

El Tribunal Supremo analizó si el sistema informático de la empresa podía ser considerado como parte de su "establecimiento" a los efectos de la mencionada disposición legal. Tradicionalmente, el término "establecimiento" se ha asociado a la sede física donde una entidad desarrolla su actividad económica. Sin embargo, la Sala reconoció que, en la era digital, los sistemas informáticos son herramientas esenciales en el funcionamiento empresarial, independientemente de su ubicación física.

En este sentido, el Tribunal concluyó que:

"Es difícil negar que dicho sistema, así como otros medios tecnológicos usados habitualmente por los empresarios o sus empleados, queden abarcados dentro del término 'establecimiento', aunque esas herramientas digitales propiamente sean utilizadas en las sedes físicas donde se desarrolla la actividad propia de la empresa." 

Por ende, una brecha de seguridad en el sistema informático, como un hackeo, es equiparable a la comisión de un delito en el establecimiento de la empresa, lo que activa su responsabilidad civil subsidiaria.

Implicaciones practicas:

Esta sentencia establece un precedente relevante en la interpretación del artículo 120.3 del Código Penal, adaptándolo a la realidad tecnológica actual. Las empresas deben ser conscientes de que sus infraestructuras digitales son consideradas parte integral de su "establecimiento" y, por tanto, están sujetas a las mismas responsabilidades legales que sus instalaciones físicas.

Además, se enfatiza la importancia de implementar medidas de seguridad informática robustas. La falta de diligencia en la protección de los sistemas puede derivar en responsabilidades legales significativas, especialmente si terceros resultan perjudicados por incidentes cibernéticos.

Conclusión:

La Sentencia 908/2024 del Tribunal Supremo refleja la necesidad de reinterpretar conceptos jurídicos tradicionales a la luz de los avances tecnológicos. La equiparación de los sistemas informáticos al "establecimiento" empresarial en términos de responsabilidad civil subsidiaria subraya la importancia de la ciberseguridad en el entorno empresarial actual. Las organizaciones deben adoptar una postura proactiva en la protección de sus infraestructuras digitales para mitigar riesgos legales y salvaguardar la confianza de sus clientes y socios comerciales.