El Supremo da la razón a Ilunion y ratifica el primer ERTE por fuerza mayor derivado de un ciberataque

La Sala de lo Social del Tribunal Supremo ha ratificado la sentencia de la Audiencia Nacional que permitió a Ilunion Contact Center declarar un Expediente de Regulación Temporal de Empleo (ERTE) por fuerza mayor a raíz de un ciberataque. La resolución contradice las tesis del Ministerio de Trabajo, que decidió denegárselo.

Los antecedenters se remontan al 4 de junio de 2021. Ilunion Contact Center, una empresa participada íntegramente por la ONCE y dedicada al servicio de atención al cliente, detectó un ciberataque que comprometió aproximadamente 1.200 de sus equipos informáticos. Este ataque, identificado como un ransomware de la familia 'Ryuk', paralizó las operaciones de telemarketing de la compañía, afectando a sus empleados en Madrid, Barcelona, Sevilla y Logroño.

Ante esta situación, Ilunion solicitó a la Dirección de Trabajo la constatación de fuerza mayor para activar un ERTE que afectaría a 1.192 trabajadores. Sin embargo, la autoridad laboral denegó esta solicitud, lo que llevó a la empresa a recurrir a la vía judicial. Juan José Jiménez, abogado laboralista y mánager en CECA MAGÁN Abogados, ha sido quien ha defendido a Ilunion en el proceso.

Resolución de la Audiencia Nacional

El 14 de marzo de 2022, la Audiencia Nacional falló a favor de Ilunion, argumentando que el informe de la empresa y la auditoría forense de Deloitte acreditaban la existencia del ciberataque y la lenta recuperación de los equipos. La Audiencia determinó que el ataque no podía haberse previsto ni evitado, cumpliendo así con los criterios de fuerza mayor establecidos por la jurisprudencia.

Ahora, el Supremo  en su sentencia del 11 de junio de 2024, confirmó la resolución de la Audiencia Nacional. El recurso presentado por el Ministerio de Trabajo y la Confederación General del Trabajo (CGT) fue desestimado. La Administración alegó una incidencia técnica que justificó la ampliación de plazos para resolver el procedimiento administrativo. Sin embargo, el Supremo determinó que esta ampliación no fue adecuadamente comunicada ni justificada, resultando en la validez del silencio administrativo positivo. A pesar de las medidas de seguridad avanzadas implementadas por Ilunion, el ataque cibernético no pudo ser evitado, cumpliendo así con los criterios de fuerza mayor. El Supremo subrayó que, aunque los ciberataques pueden ser previstos en términos generales, su inevitabilidad en casos específicos justifica la consideración de fuerza mayor.

La Sala argumentó que la disponibilidad de los empleados para trabajar no es equivalente a la posibilidad efectiva de realizar sus tareas cuando las herramientas necesarias están comprometidas. En este caso, los sistemas informáticos esenciales para el trabajo de los empleados fueron afectados, imposibilitando su labor.  El Supremo reconoció que Ilunion actuó diligentemente antes, durante y después del ataque, aplicando todas las medidas preventivas y reactivas posibles. La empresa no fue negligente, y las medidas adoptadas mitigaron significativamente los impactos del ataque.