¿Responde la empresa por los ciberdelitos de sus empleados?

En un mundo cada vez más informatizado, cometer delitos online es una práctica cada vez más común, y ello puede ocurrir también en el seno de una empresa. Por eso es importante dotar a la estructura empresarial de protocolos de actuación para sus empleados, que garanticen que la empresa ha dado las instrucciones adecuadas para evitar estos supuestos. Hoy en nuestro blog analizamos lo que cometa el propio  Tribunal Supremo, a través de las declaraciones de Elvira Tejada, fiscal jefa de Sala de este Tribunal y coordinadora nacional contra la Criminalidad Informática.

En el marco de las VII Juntas de Gobierno del Consejo General de la Abogacía Española (CGAE), que se celebraron hace pocos días en Granada, Tejada aseguró que los delitos cometidos por un empleado contra la privacidad de los datos personales y contra la seguridad de los sistemas de información pueden generar responsabilidad penal de la empresa para la que trabaje si ésta no ha adoptado las medidas de prevención necesarias para evitar su comisión. Una pista clave para los empresarios, relacionada con el compliance o cumplimiento normativo y los límites hasta los que se extiende la responsabilidad de la sociedad.

Así, asegura que “hay una normativa de protección de datos que hay que cumplir y si su incumplimiento implica responsabilidades delictivas, podría derivarse de él la responsabilidad penal de la persona jurídica”. Estas declaraciones vinieron al hilo del auge de los ciberataques en las últimas semanas. En este sentido, tal y como recoge elEconomista, la última reforma del Código Penal incorporó al título que ya incluye la protección de los delitos contra la protección de datos dos nuevos tipos que sancionan los ataques a los sistemas de información.

«Acceder a un sistema, aunque no lleguemos a los datos que contiene, ya está tipificado como delito. También la interceptación de las comunicaciones entre sistemas», explicó la fiscal, quien subrayó que estos tipos se encuentran dentro de la lista cerrada de delitos que generan responsabilidad penal de las personas jurídicas. Asimismo, la «negligencia» en la adopción de las medidas de prevención necesarias (dentro de los programas de compliance) puede derivar, si uno de sus empleados comete estos delitos, en una condena para la empresa.

Los expertos que intervinieron junto a Tejada pusieron especial énfasis en las medidas de prevención y de respuesta en materia de ciberseguridad y en su estrecha vinculación con las nuevas exigencias que introduce el Reglamento General del Protección de Datos (que estará vigente el 25 de mayo de 2018) y los programas de compliance.

Posibles sanciones millonarias

En la actualidad, se estima que la ciberdelincuencia es el segundo negocio ilegal más lucrativo, solo por detrás de la venta de armas, y multiplicando por tres el dinero que mueve el tráfico de drogas. «La denuncia es un medio más, pero no la solución. La solución es tener protocolos de respuesta, saber exactamente qué hacer las 24 horas siguientes a un ataque. Hay que tener un plan de reacción. Luego sí, denunciar e investigar, pero esa no puede ser la única solución», incidió la jefa de la Sección Técnica de la Unidad de Investigación y Tecnología de la Policía Nacional, Silvia Barrera.

A los riesgos económicos y reputacionales que implica ser más vulnerable ante un posible ciberataque, hay que añadir la posibilidad de ser sancionado por no haber adoptado las medidas de protección exigidas por el Reglamento de protección de datos. Las multas, con esta norma, podrán alcanzar los 20 millones de euros o el 4% del volumen anual de negocio.

¿Quieres saber más sobre cómo evitar ciberdelitos en tu empresa? ¿Cuentas con un protocolo de actuación legal? Podemos asesorarte sobre éste y otros aspectos de tu empresa.