Cuando el riesgo ya es bastante grave
Un trabajador descargó sin autorización 475.163 registros correspondientes a más de 16.000 clientes, los copió en una memoria USB personal y se llevó tanto el dispositivo como el ordenador corporativo a su domicilio. La empresa detectó la operación ese mismo día, recuperó los equipos y actuó antes de que constara un uso comercial o una difusión efectiva de la información.
El Tribunal Superior de Justicia de Cantabria ha confirmado la procedencia del despido disciplinario. La idea central es relevante para cualquier pyme: no hace falta esperar a que el perjuicio económico se materialice cuando la conducta ya ha creado una situación objetiva de grave riesgo.
La diferencia estuvo en detectar la conducta
La resolución señala que el sistema de seguridad informática generó una alerta de posible pérdida de confidencialidad. No sabemos qué tecnología concreta utilizaba la empresa y, por tanto, sería imprudente afirmar que se trataba de una solución DLP, UEBA o SIEM.
Desde un punto de vista empresarial, el nombre de la herramienta es secundario. Lo importante es que la organización podía identificar una operación anómala sobre información sensible y reaccionar a tiempo.
Muchas pymes disponen de cláusulas de confidencialidad, políticas de uso de los sistemas o permisos de acceso. Pero esto no garantiza que puedan detectar una exportación masiva, una copia a USB, un acceso fuera de patrón o una extracción de datos que exceda de las necesidades habituales del puesto de trabajo.
Prohibir no es lo mismo que controlar
Una política interna que nadie puede supervisar ofrece una protección limitada. La respuesta no pasa necesariamente por implantar una infraestructura compleja, sino por aplicar controles proporcionados al volumen ya la sensibilidad de la información.
Conviene revisar quién puede acceder a los datos, qué exportaciones están permitidas, si existen alertas frente a descargas masivas, cómo se controla el uso de dispositivos externos, qué registros conserva el sistema y quién debe actuar cuando se produce una incidencia.
Estos controles también deben ser transparentes y respetar la normativa laboral y de protección de datos. Detectar una conducta sospechosa no autoriza cualquier forma de vigilancia ni convierte automáticamente su evidencia en prueba válida.
Una excepción que no debe generalizarse
La sentencia también analiza la ausencia de audiencia previa antes del despido. El tribunal le admite por las circunstancias excepcionales del caso: detección inmediata, riesgo de continuación del acceso, reconocimiento de los hechos y necesidad de proteger información de terceros.
Esto no significa que la audiencia previa pueda omitirse a todos los efectos. Tras la doctrina del Tribunal Supremo sobre el artículo 7 del Convenio 158 de la OIT, sigue siendo la regla en los despidos disciplinarios, salvo cuando no sea razonablemente exigible. Cada caso requiere una valoración jurídica específica.
De la alerta a una prueba digital defendible
Cuando aparece una alerta, no es suficiente con una captura de pantalla o afirmar que “el sistema lo detectó”. Es necesario preservar registros, documentar la intervención, identificar a las personas que han participado y poder reconstruir qué pasó, cuándo, con qué usuario y sobre qué datos.
Aquí conecta el caso con nuestro método Forensic: detectar es sólo el primer paso; el valor real consiste en convertir la alerta en una prueba digital íntegra, trazable y defendible.
Para una pyme, la lección es clara. La confidencialidad no se protege sólo con normas. Se protege combinando prevención, detección, respuesta y evidencias. Porque quizás no hace falta que el daño llegue a producirse, pero sí es necesario poder demostrar el riesgo y la conducta que lo ha creado.
Como siempre, ¡cuidad los datos y cuidaos!
Véase aquí la sentencia: Roj: STSJ CANT 101/2026 - ECLI:ES:TSJCANT:2026:101
