Última revisión
16/06/2023
Sentencia Social 67/2023 Audiencia Nacional. Sala de lo Social Única, Rec. 14/2022 de 26 de mayo del 2023
GPT Iberley IA
Copiloto jurídico
Relacionados:
Tiempo de lectura: 34 min
Orden: Social
Fecha: 26 de Mayo de 2023
Tribunal: Audiencia Nacional
Ponente: JOSE PABLO ARAMENDI SANCHEZ
Nº de sentencia: 67/2023
Núm. Cendoj: 28079240012023100068
Núm. Ecli: ES:AN:2023:2645
Núm. Roj: SAN 2645:2023
Encabezamiento
SENTENCIA: 00067/2023
-
GOYA 14 (MADRID)
Equipo/usuario: MAD
Modelo: ANS105 SENTENCIA
Procedimiento de origen: /
Sobre: IMPG. ACTOS ADMINISTRACION
D. JOSE PABLO ARAMENDI SANCHEZ
D. RAMÓN GALLO LLANOS
Dª ANA SANCHO ARANZASTI
En MADRID, a veintiséis de mayo de dos mil veintitrés.
La Sala de lo Social de la Audiencia Nacional compuesta por los Sres./as. Magistrados/as citados al margen y
Han dictado la siguiente
En el procedimiento IMPUGNACION DE ACTOS DE LA ADMINISTRACION 14/2022 seguido por demanda de ILUNION CEE CONTACT CENTER, S.A.U (Letrado D. Juan José Jiménez Remedios) contra MINISTERIO DE TRABAJO Y ECONOMIA SOCIAL (Abogado del Estado D. Ignacio Landa Colomina), CGT (Letrado D. José María Trillo-Figueroa Calvo) sobre IMPG. ACTOS ADMINISTRACION. Ha sido Ponente el Ilmo. Sr. D. JOSÉ PABLO ARAMENDI SÁNCHEZ.
Antecedentes
Se admite a trámite la demanda y de conformidad con lo dispuesto en art. 151.2 de la L.R.J.S., se señala el acto de conciliación el próximo día 23/05/23.
Se opone la Abogacía del Estado alegando que la resolución impugnada se dictó dentro de plazo y que el silencio en todo caso es negativo. En cuanto al fondo del asunto sostuvo que no concurre fuerza mayor al tratarse de una empresa del ámbito de las telecomunicaciones, a la que es exigible una especial diligencia, que la aparición del virus no determinó el cese de la actividad.
CGT se opone a la demanda por las mismas razones expone que el funcionamiento ordinario de la empresa no se vio afectado, que existía previsibilidad de un ataque informático y la empresa no actuó con la diligencia debida ya que carecía de copias de seguridad fuera del entorno de red y si las hubiera tenido se habrían evitado las consecuencias del ataque.
Resultado y así se declaran, los siguientes
Hechos
A la solicitud acompañaba memoria, informe técnico y comunicaciones enviadas a la RLT sobre la solicitud de suspensión de contratos. Todos ellos que obran a los D 1, 2 y 3 del EX se dan por reproducidos.
En cuanto a la duración de la suspensión de contratos se indica en la memoria que deberá ser hasta que se haya conseguido reestablecer totalmente la actividad, todo ello sin perjuicio del compromiso de la Empresa de ir desafectando de manera paulatina al mayor número de trabajadores posible a medida que se vaya recuperando la actividad.
Se diseña en dicha memoria una planificación para la recuperación de la actividad en 14 emanas.
El 15-7-2021 se dictó resolución por la Directora General de Trabajo en la que acuerda:
No se llegó a resolver de forma expresa el recurso de alzada.
A las 6:02 a.m. UCS informa que se está generando tráfico hacia ellos y que sospecha que
se trata de un virus ransomware y a las 6:40 a.m. se apaga el CPD (Centro de Proceso de Datos) completo y se procede a cortar las comunicaciones con todas las sedes de Contact Center para evitar la distribución.
Se informa del incidente a Grupo Ilunion y se convoca al Grupo de Respuesta ante incidentes de Ilunion (GRI), formado por los CIOs de Ilunion y Contact Center, Responsable de Seguridad de los Sistemas de Información, Departamento Jurídico, Responsable de Infraestructura y comunicaciones, y los equipos de soporte externo de Seguridad de la empresa UST-Global y de la consultora Deloitte, decidiendo activar el incidente en la póliza de ciberseguridad del Grupo.
Se inicia el análisis forense con la ayuda del equipo de Deloitte, comenzando por un equipo aislado de la red que se identifica como infectado. Se buscan en este portátil artefactos infectados por el malware y se identifican los siguientes:
ASWA_Install_Log_000.log.RYK
DumpStack.log.tmp.RYK
Clasificación: Interna
Icr.txt.RYK
MSCCHRT20.OCX.RYK
RyukReadMe.html
Se concluye por la extensión de los archivos que se trata del ransomware RYUK.
Durante la mañana del viernes, 4 de junio, fue comunicado a la Agencia Española de Protección de Datos (AEPD) la brecha de seguridad sufrida. Dicha comunicación fue actualizada el domingo, 6 de junio.
inoperativos por este incidente. Del mismo modo, todas aquellas computadoras que estaban instaladas en las diferentes sedes de la compañía fueron afectadas por el incidente, quedando totalmente inoperativas (1200 equipos diferentes).
La ejecución del virus Ryuk, se inició de forma programada y coordinada en todos aquellos sistemas que pudieran ser objeto del virus (servidores y computadoras). El comportamiento del virus se inicia desinstalando de forma centralizada todas las soluciones antivirus existentes en los diferentes equipos afectados, para no ser detectado, y en ese momento comienza a encriptar todos los sistemas de ficheros existentes y accesibles desde cada máquina/servidor con sistema operativo Microsoft Windows (en todas sus versiones), sustituyendo su contenido original por contenido encriptado y su extensión por ".ryk"
No resultaron afectados aquellos servicios que se prestaban desde la infraestructura informática aportada por los propios clientes.
Desde 2017, cuenta con la certificación ISO/IEC 27001 de técnicas de seguridad de la información, otorgada por AENOR, y que es renovada anualmente mediante auditorías. Esta norma plantea un marco de gestión para llevar el sistema de gestión, y se complementa con la ISO/IEC 27002, que desarrolla controles específicos distribuidos en 13 capítulos, que suman 133 controles.
El modelo en el que se basa el SGSI de ILUNION Contact Center BPO es el denominado Modelo PDCA (Planificar, Hacer, Revisar, Actuar, por sus siglas en inglés) con lo que anualmente, se hace una revisión de las medidas de seguridad que están implantadas y se promueve una mejora continua, basados en un análisis de riesgos.
A nivel organizativo, la empresa cuenta con un entramado de políticas, normas y procedimientos de seguridad que establecen las pautas para actuar de forma segura en torno a la información. La empresa cuenta con una Política de Seguridad (PO01) de la cual se derivan normas que cubren todos los capítulos que se desarrollan en la ISO 27002.
Existen, asimismo, controles que regulan la seguridad en la operativa diaria sobre los sistemas de información, que comprenden la asignación nominativa de usuarios con exigencia de contraseñas complejas para su login; revisión periódica de los permisos y privilegios de los usuarios, con énfasis en aquellos usuarios administradores; segmentación de redes destinadas a servicios diferenciados; gestión de conexiones remotas seguras; programa antivirus actualizado en todos los equipos, gestionado de forma centralizada; realización periódica de copias de seguridad y almacenamiento en lugares seguros.
Cuenta también con un procedimiento de gestión de incidentes de seguridad informática. La versión de 23-4-2020 era la existente al momento del ataque del virus. Emplea el antivirus Kaspersky en todos los dispositivos y servidores.
El 25-1-2021 se había elaborado por ILUNION un manual de respuesta técnica frente a ataques por ransomware.
Y tiene contratado con Telefónica un servicio de seguridad informática mediante cortafuegos Fortinet.
La citada sentencia fe recurrida en casación y el Tribunal Supremo se pronunció el 20-2-2023, rec. 193/22, declarando
Se han cumplido las previsiones legales.
Fundamentos
- hecho 1º: no es controvertido
- hecho 2º. 3º y 4º: se obtienen de las actuaciones y resoluciones obrantes en el expediente administrativo
- hecho 5º: de acuerdo con la memoria e informe técnico aportados con la solicitud de suspensión y que obran a loa D26 y 27 y han sido reconocidos de adverso
- hecho 6º: conforme la memoria y el informe técnico referidos y conforme el testimonio del Sr. Luis que revela la no afectación de entornos ajenos a Ilunion
- hecho 7º: se obtiene del informe técnico
- hecho 8º: se obtiene de los informes técnicos, de Deloitte y de la UCO al D 206
- hecho 9º: se obtiene de los datos contenidos en la memoria y a los D 35, 36 y 69
- hecho 10º: conforme las precedentes sentencias que obran en las actuaciones.
El art. 33.1 del RD 1483/2012 determina que en las solicitudes de suspensión de relaciones de trabajo y reducción de jornada por fuerza mayor se dictará resolución en plazo máximo de cinco días desde la fecha de entrada de la solicitud en el registro del órgano competente para su tramitación, lo que tuvo lugar en este caso el 21-6-2021.
Pero esta misma norma establece que
La suspensión cobra sentido si los informes se solicitan dentro del plazo con el que cuenta la Administración para resolver, pero no en el caso de que dicha solicitud tenga lugar ya sobrepasado el plazo resolutorio.
En el caso presente queda acreditado que la solicitud del empresario para suspender contratos por FM se lleva a cabo el 21-6-2021. Contaba la Administración con un plazo de cinco días para dictar resolución, plazo que finalizaba el 28-6- 2021. Dado que tal como consta en el expediente administrativo, el informe a la ITSS se solicita el 9-7-2021 ya se había sobrepasado holgadamente el plazo de cinco días para resolver por lo que la citada solicitud no puede servir de instrumento suspensivo de dicho plazo.
Esta norma recoge una serie de supuestos contrarios a la aplicación de esta regla general en favor del silencio positivo y por tanto resoluciones por silencio con efectos negativos, a saber: concurrencia de norma europea o internacional que establezca lo contrario, acceso a actividades o su ejercicio, ejercicio derecho de petición aquellos cuya estimación tuviera como consecuencia que se transfirieran al solicitante o a terceros facultades relativas al dominio público o al servicio público que impliquen el ejercicio de actividades que puedan dañar el medio ambiente y en los procedimientos de responsabilidad patrimonial de las Administraciones Públicas y procedimientos de impugnación de actos y disposiciones y en los de revisión de oficio iniciados a solicitud de los interesados.
La suspensión de contratos de trabajo con causa en FM no encaja en ninguno de estos supuestos que excepcionan el valor positivo del silencio administrativo, por lo que se debe llegar a la conclusión de que la posterior resolución dictada el 15-7-2021 es nula y carece de efectos, debiendo sustituirse por la validación administrativa por silencio de la solicitud suspensiva de contratos.
En esta línea argumental debe citarse la STS 25-1-2021 rec 125/20, invocada por la parte demandante si bien se trataba de un supuesto aplicando el art 22.2.c del RDL 8/2020 de medidas urgentes extraordinarias para hacer frente al impacto económico y social del COVID-19, lo que no es el caso.
El art. 4.2.a) ET reconoce como un derecho básico del trabajador el de la ocupación efectiva. Tratándose de un contrato sinalagmático la ocupación efectiva y consiguiente prestación de servicios al empresario se corresponde con la obligación para éste, art. 4.2.f) ET, de abonarle la remuneración pactada.
Este devenir ordinario del contrato de trabajo y sus correspondientes obligaciones de trabajar y remunerar puede verse alterado por la concurrencia de supuestos fácticos que encajen en la llamada fuerza mayor, que incidiendo en el decurso del contrato, determine su suspensión, art 47.3 ET, o su extinción art. 51.7 ET.
No contiene el ordenamiento laboral una definición de la fuerza mayor por lo que, para su identificación, habrá de aplicarse el art. 1105 CC que dispone:
Opera por tanto la fuerza mayor como un mecanismo que exonera del cumplimiento de las obligaciones, lo que trasladado al marco de las relaciones laborales se traduce en la imposibilidad de trabajar, por la concurrencia de un suceso imprevisible o previsible pero inevitable, lo que exoneraría de la correlativa obligación de abonar el salario.
En este contexto, las previsiones del legislador pasan por establecer mecanismos de cobertura prestacional (la prestación por desempleo) de las retribuciones de los trabajadores. El hecho de comprometerse fondos públicos para atender la pérdida de salario, justifica la intervención administrativa con el objeto de constatar la concurrencia cierta de fuerza mayor.
- Que la empresa no aporta ninguna prueba documental que efectivamente acredite la existencia de un virus informático en su sistema
- que no ha quedado acreditada la imposibilidad de trabajar con causa en el ataque
- que se trata de un caso que se conoce como fuerza mayor impropia, respecto de los que exige la jurisprudencia que la fuerza mayor venga determinada por la existencia de acontecimientos extraordinarios, que
Los dos primeros argumentos de carácter fáctico se basan en el informe de la ITSS.
Dicho informe en ningún caso niega el ataque padecido, como tampoco se niega en juicio por la Abogacía del Estado ni por CGT. El ataque está plenamente acreditado por el informe técnico también reconocido y por el informe de la UCO al 206. Es relevante que parte del informe técnico se vuelca en el informe de la ITSS para describir el acontecimiento determinante de la solicitud.
Sí indica el informe de la ITSS que
Las declaraciones de los trabajadores se refieren a las manifestaciones realizadas a la Inspección por los representantes sindicales que señalan que
Concluye de estas pruebas el informe de la ITSS que ILUNION no acredita que el ataque informático impidiera la prestación de servicios, por lo que no constituyó causa suficiente para impedir el cumplimiento de las obligaciones de trabajar y remunerar.
En la demanda, pag. 43 y sig, se trata de argumentar acerca de la relevancia obstativa (impeditiva para trabajar) que tuvo el ataque y en la pag. 58 se hace referencia a un hecho relevante y acreditado
Por otra parte el informe técnico también revela que diseñó ILUNION el proceso de recuperación de los sistemas afectados y del desarrollo habitual de la actividad, planificándose la realización de las tareas precisas en un periodo de 14 semanas y a partir de la recuperación de la información contenida en las copias de seguridad externas al sistema.
Consideramos en consecuencia que dichos informes revelan con claridad la relevancia del ataque y la afectación que produjo en la actividad empresarial por lo que, pese el informe de la ITSS y atendiendo a las pruebas que lo soportan, llegamos a la conclusión de que efectivamente el ataque tuvo la suficiente contundencia para operar como causa obstativa plena y determinante de la imposibilidad de trabajar.
Cuestión distinta pero que escapa de este proceso, es la determinación de si la afectación tuvo la misma intensidad y duración para todos los trabajadores.
Evidentemente los ataques informáticos no pueden ser considerados acontecimientos imprevisibles pues su existencia está a la orden del día, pero el art. 1105 CC no aprecia la fuerza mayor en la concurrencia de imprevisión e inevitabilidad sino que la califica como la consistente
Por tanto, lo que debemos analizar en el presente caso es si el previsible ataque informático resultaba inevitable.
La evitabilidad o inevitabilidad de un suceso, al igual que acontece con los accidentes de trabajo, no impone la consecución necesaria de un resultado, en este caso que el ataque informático sea siempre neutralizado (como tampoco la legislación impone la obligación de que no se produzca un accidente laboral), sino que se hayan adoptado todas las medidas preventivas disponibles para su neutralización.
Y en el presente caso la prueba practicada es demostrativa de que ILUNION contaba con toda una serie de medios para atajar estos ataques, en lo racionalmente posible y conforme los conocimientos técnicos normalizados, tal como revela el HP 9º.
No se aprecia en este caso, porque tampoco se alega, una conducta defectuosa en sus obligaciones preventivas en materia de seguridad informática, por lo que debemos concluir de que pese a las adecuadas que se adoptaban por ILUNION el ataque tuvo lugar. Ataque que resultó ser de la suficiente sofisticación, al punto de no haberse podido aún acreditar pese a los informes técnicos y del UCO, cuál fue el mecanismo de entrada del virus en la intranet de la empresa.
Por todas estas razones la demanda debe finalmente resultar estimada.
VISTOS los preceptos legales citados y demás de general y pertinente aplicación,
Fallo
ESTIMAMOS la demanda formulada por la mercantil ILUNION CEE CONTACT CENTER S.A.U y anulamos y dejamos sin efecto la resolución expresa adoptada por la DIRECCIÓN GENERAL DE TRABAJO el 15-7-2021 por la que se declaraba no constatada la existencia de fuerza mayor en la solicitud de suspensión de contratos de trabajo interesada por la demandante el 21-6-2021, solicitud que reconocemos con esta resolución.
Notifíquese la presente sentencia a las partes advirtiéndoles que, contra la misma cabe recurso de Casación ante el Tribunal Supremo, que podrá prepararse ante esta Sala de lo Social de la Audiencia Nacional en el plazo de
Al tiempo de preparar ante la Sala de lo Social de la Audiencia Nacional el Recurso de Casación, el recurrente, si no goza del beneficio de Justicia Gratuita, deberá acreditar haber hecho el depósito de 600 euros previsto en art. 229.1.b de la Ley Reguladora de la Jurisdicción Social, y, en el caso de haber sido condenado en sentencia al pago de alguna cantidad, haber consignado la cantidad objeto de condena de conformidad con el art. 230 del mismo texto legal, todo ello en la cuenta corriente que la Sala tiene abierta en el Banco de Santander Sucursal de la Calle Barquillo 49, si es por transferencia con el (IBAN ES55) nº 0049 3569 92 0005001274 haciendo constar en las observaciones el nº 2419 0000 00 0014 22; si es en efectivo en la cuenta nº 2419 0000 00 0014 22, pudiéndose sustituir la consignación en metálico por el aseguramiento mediante aval bancario, en el que conste la responsabilidad solidaria del avalista.
Llévese testimonio de esta sentencia a los autos originales e incorpórese la misma al libro de sentencias.
Así por nuestra sentencia lo pronunciamos, mandamos y firmamos.
