Cecilio García Escobar, consultor del área de Governance Risk & Compliance de Ecix Group.
Analizando este tema desde una perspectiva penal se pueden producir dos situaciones: que nos encontremos ante hechos realizados por empleados en beneficio de la empresa y conductas perpetradas por personal ajeno a la compañía.
A partir de la reforma operada en el Código Penal por la Ley Orgánica 5/2010, de 22 de junio, las personas jurídicas pueden ser responsables penalmente. En este sentido, si nos encontramos ante un delito cometido a través de la IP de la compañía por cuenta de la misma, y en su beneficio directo o indirecto por alguno de los empleados, personal directivo u órgano de administración, y la organización no cuenta con las medidas de control exigidas por la Ley Orgánica 1/2015, de 30 de marzo para poder optar a la exención de responsabilidad, la organización podría ser responsable de la comisión delictiva.
Pero, ¿qué ocurre si se produce la comisión de un delito a través de la IP de una empresa por medio de un individuo ajeno a la misma?
Nuestro código recoge dos niveles de responsabilidad: la penal, aplicable a los autores y cómplices de los delitos, y la civil que se extiende no sólo a los responsables del delito, sino también a aquellos que, en virtud de motivos tasados legalmente, sean considerados responsables civiles directos o subsidiarios.
En este sentido, el artículo 120 del código penal, en relación con la responsabilidad civil, establece que:
“Son también responsables civilmente, en defecto de los que lo sean criminalmente:
1.º Los padres o tutores, por los daños y perjuicios causados por los delitos cometidos por los mayores de dieciocho años sujetos a su patria potestad o tutela y que vivan en su compañía, siempre que haya por su parte culpa o negligencia.
2.º Las personas naturales o jurídicas titulares de editoriales, periódicos, revistas, estaciones de radio o televisión o de cualquier otro medio de difusión escrita, hablada o visual, por los delitos cometidos utilizando los medios de los que sean titulares, dejando a salvo lo dispuesto en el artículo 212.
3.º Las personas naturales o jurídicas, en los casos de delitos cometidos en los establecimientos de los que sean titulares, cuando por parte de los que los dirijan o administren, o de sus dependientes o empleados, se hayan infringido los reglamentos de policía o las disposiciones de la autoridad que estén relacionados con el hecho punible cometido, de modo que éste no se hubiera producido sin dicha infracción.
4.º Las personas naturales o jurídicas dedicadas a cualquier género de industria o comercio, por los delitos que hayan cometido sus empleados o dependientes, representantes o gestores en el desempeño de sus obligaciones o servicios.
5.º Las personas naturales o jurídicas titulares de vehículos susceptibles de crear riesgos para terceros, por los delitos cometidos en la utilización de aquellos por sus dependientes o representantes o personas autorizadas.”
De este texto unido al contenido del artículo 31 bis relativo a la responsabilidad penal de la persona jurídica se desprende que, ante este tipo de supuestos concretos en el que una persona ajena a la organización hace uso de la red inalámbrica de la misma para llevar a cabo actos delictivos, resulta imposible asociar responsabilidad alguna de la organización en el ámbito penal, siquiera en su vertiente de responsabilidad civil, en tanto en cuanto nos encontramos ante situaciones no recogidas bajo el paraguas de ambos preceptos.
En segundo lugar, ¿qué solución encontramos ante este dilema en la normativa civil?
El artículo 14 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico establece en su apartado primero que:
“Los operadores de redes de telecomunicaciones y proveedores de acceso a una red de telecomunicaciones que presten un servicio de intermediación que consista en transmitir por una red de telecomunicaciones datos facilitados por el destinatario del servicio o en facilitar acceso a ésta no serán responsables por la información transmitida, salvo que ellos mismos hayan originado la transmisión, modificado los datos o seleccionado éstos o a los destinatarios de dichos datos”.
En esta misma línea se pronuncia el Tribunal de Justicia de la Unión Europea en la sentencia de 15 de septiembre de 2016 (C-484/2014). La sentencia analiza la responsabilidad que tiene el titular de una red Wi-Fi cuando se infringen derechos de autor por un tercero usuario de la red.
El alto tribunal amparándose en el artículo 12.1 de la Directiva 2000/31/CE concluye que no se puede exigir la responsabilidad de los prestadores de acceso a redes de comunicación por una actividad ilícita iniciada en su propia red cuando la prestación consista en una “mera transmisión” de información, es decir, siempre que, en connivencia con el artículo 14 anteriormente desarrollado, el prestador no haya originado él mismo la transmisión, no haya seleccionado al destinatario de la transmisión y no haya seleccionado ni modificado los datos transmitidos. Si bien es cierto que, aunque la organización no tendría responsabilidad alguna, el pronunciamiento establece que podrá ordenarse, a través de requerimiento judicial y bajo pena de multa coercitiva, al proveedor de acceso a redes de comunicación que adopte medidas de protección de la conexión a Internet para impedir a los usuarios de dicha red la vulneración de derechos de terceros.
