El Tribunal Supremo ha dictado una sentencia pionera al equiparar los sistemas informáticos de los autónomos con sus establecimientos o sedes físicas, abriendo la puerta a que cualquier negocio pueda ser considerado responsable civil subsidiario de los delitos cometidos desde sus herramientas digitales. Incluso con sus empleados teletrabajando.
No obstante, aunque el fallo se refiere al ámbito penal, esta reinterpretación del concepto de oficina o establecimiento podría tener consecuencias también fiscales o laborales, si otras autoridades aplican el mismo razonamiento jurídico a entornos digitales, como la nube o el software de gestión.
Dicho de otro modo, la ampliación del concepto de sede “podría abrir la puerta a que la Agencia Tributaria investigue la actividad empresarial en la nube”, indicó a este diario Sonsoles Rexach, letrada de Ágora Legal & Gestión.
Pues según esta experta en Derecho Mercantil, “esto permitiría considerar que la gestión de operaciones o almacenamiento en servidores remotos constituye un “establecimiento permanente”, lo que derivaría en nuevas obligaciones tributarias y facilitaría inspecciones sobre la actividad digital de los negocios”.
El Supremo otorga a las herramientas digitales la relevancia jurídica que tenían los locales físicos
El reciente fallo del Alto Tribunal (STS 699/2025) surgió tras analizar un caso en el que un concesionario de automóviles fue considerado responsable por un ciberataque, dirigido concretamente a su sistema de correo electrónico. El Supremo concluye que los sistemas informáticos pueden calificarse jurídicamente como establecimientos de los negocios, conforme al artículo 120.3 del Código Penal.
Toda una interpretación, que abre un precedente clave para autónomos y pymes, que podrían responder por delitos cometidos desde sus sistemas informáticos, incluso sin conocimiento directo.
El caso analizado por el Supremo involucra a la firma Gamboa Automoción S.A., que sufrió una brecha en la seguridad informática de una cuenta de correo corporativo. Este incidente permitió a ciberdelincuentes interceptar y manipular mensajes electrónicos, derivando en un fraude. La víctima transfirió dinero a una cuenta controlada por los atacantes, creyendo que se trataba del concesionario.
La trascendencia del fallo reside en la ampliación del concepto jurídico de establecimiento. Tradicionalmente, las responsabilidades se asociaban siempre a locales físicos. Ahora, el Supremo reconoce que las plataformas digitales tienen la misma relevancia jurídica para declarar, en su caso, la responsabilidad civil subsidiaria.
“Una doctrina que podría ser igualmente utilizada por la Inspección de Trabajo para exigir cumplimiento de obligaciones laborales en entornos digitales”, continuó Sonsoles Rexach. Para quien, “los sistemas de fichaje remoto o las plataformas de teletrabajo podrían ser inspeccionadas como si fueran centros físicos, con exigencias en materia de jornada, desconexión y protección de datos.»
Sufrir un ataque no exime de responsabilidad, si no se adoptaron medidas razonables para evitarlo
En todo caso, esta novedad implica que los autónomos y pequeños negocios deben prestar aún más atención a la seguridad de sus sistemas informáticos. La vulnerabilidad digital deja de ser sólo un riesgo operativo para convertirse en un riesgo jurídico y económico de primer orden. “Puesto que el autónomo puede verse comprometido si desde sus herramientas tecnológicas se facilita indirectamente un delito digital”, argumentó Sonsoles Rexach.
La experta legal subraya que esta sentencia obliga a revisar las políticas de ciberseguridad: el hecho de sufrir un ataque no exime de responsabilidad. La clave es si se adoptaron medidas razonables para evitarlo.
“Esta sentencia refuerza la necesidad de políticas robustas de ciberseguridad y cumplimiento normativo. No basta con alegar desconocimiento: la diligencia exigida implica medidas preventivas, auditorías y formación continua”, señaló la letrada. Para quien este estándar “será clave para evitar responsabilidades penales o inspecciones fiscales y laborales”.
Y es que el fallo del Supremo señala que la empresa condenada tenía constancia previa de problemas en su seguridad digital, pero no actuó con la debida diligencia para proteger a terceros con los que mantenía relaciones comerciales.
En la práctica, esto se traduce en una necesidad perentoria de reforzar los protocolos de seguridad informática. Los autónomos y las pymes deben garantizar que sus accesos digitales cuenten con sistemas actualizados y detección de actividades sospechosas. Y tampoco es descabellado plantearse la contratación de seguros que cubran delitos digitales y ofrezcan asistencia jurídica para defenderse en caso de ciberataques.
Para evitar riesgos jurídicos, las auditorías de ciberseguridad van a ser cada vez más necesarias
Por tanto, esta sentencia podría derivar también en un aumento del coste económico y operativo, sobre todo para negocios que operan fundamentalmente online. Y en este apartado no sólo están los portales de ecommerce, como es sencillo pensar, sino las gestorías y asesorías, que además de tramitar ya prácticamente toda la documentación online, manejan información muy sensible de sus clientes.
De manera que, tanto las auditorías de ciberseguridad, como la formación de los empleados y las actualizaciones constantes de software van a ser cada vez más inevitables para reducir el riesgo jurídico.
Porque este cambio jurídico respecto al tratamiento de los sistemas informáticos no es un caso aislado. La jurisprudencia europea ya camina en la misma dirección, ampliando la responsabilidad de las empresas en el ámbito digital. Este fallo del Supremo refuerza que la ciberseguridad es también un asunto legal, y no sólo técnico.
También preocupa entre expertos jurídicos el alcance transversal que esta sentencia puede tener fuera del ámbito penal. Si el sistema informático se equipara a un establecimiento físico, Hacienda e Inspección de Trabajo podrían actuar sobre entornos digitales con la misma contundencia. Desde inspecciones tributarias sobre la nube hasta controles de fichaje remoto, el criterio del Supremo puede extender obligaciones más allá del local físico.
Los pequeños negocios, tradicionalmente menos preparados en ciberseguridad, se enfrentan ahora con una nueva obligación urgente: la de profesionalizar este aspecto. Puesto que, además, este precedente alerta también sobre la responsabilidad frente a socios comerciales. Si un negocio no adopta medidas de seguridad adecuadas, podría responder por daños a terceros, incrementando el riesgo legal.
