María Amate
Software defectuoso: qué daños indemniza la nueva directiva de la UE
El fallo de un programa de control, una actualización que compromete la seguridad de un dispositivo conectado o un sistema de inteligencia artificial que ocasiona daños a una persona plantean una cuestión de creciente relevancia: ¿puede reclamarse responsabilidad por software defectuoso al fabricante como si se tratara de un producto físico?
La Directiva (UE) 2024/2853, sobre responsabilidad por los daños causados por productos defectuosos, que deroga la histórica Directiva 85/374/CEE, incorpora expresamente el software a su ámbito de aplicación, adaptando así el régimen europeo de responsabilidad a los riesgos derivados de las nuevas tecnologías.
España deberá transponer esta norma a más tardar el 9 de diciembre de 2026 a través de la necesaria modificación del Texto Refundido de la Ley General para la Defensa de los Consumidores y Usuarios. El nuevo marco se aplicará a los productos introducidos en el mercado o puestos en servicio a partir de dicha fecha.
¿Por qué el software se considera un producto según la nueva directiva?
La nueva directiva parte de una consideración esencial: el concepto de producto no se limita a los bienes físicos. En este sentido, su definición incluye expresamente los programas informáticos, tanto si funcionan de manera independiente como si están integrados en otros productos.
De este modo, quedan comprendidas las aplicaciones, los sistemas operativos y los programas basados en inteligencia artificial, con independencia de que se encuentren instalados en un dispositivo, se descarguen con posterioridad o se suministren mediante servicios en la nube.
Esta modificación adquiere especial relevancia para los desarrolladores de software, los fabricantes de dispositivos conectados y las empresas dedicadas a la comercialización de soluciones tecnológicas.
Ahora bien, no cualquier fallo informático genera responsabilidad por producto defectuoso. Para que pueda exigirse responsabilidad conforme a este régimen, será necesario que concurran un defecto de seguridad, un daño indemnizable y una relación de causalidad entre ambos.
En cuanto al software libre y de código abierto, la directiva contempla una excepción cuando haya sido desarrollado o suministrado fuera de una actividad comercial. Por el contrario, el carácter abierto del código no excluye por sí solo la responsabilidad cuando su utilización o distribución se produce en un contexto empresarial.
¿Qué daños cubre la responsabilidad por software defectuoso?
El nuevo régimen está dirigido a proteger a las personas físicas perjudicadas por productos defectuosos, contemplando a estos efectos tres categorías principales de daños:
- Daños personales: muerte, lesiones corporales y daños a la salud psicológica médicamente reconocidos.
- Daños materiales: daños o destrucción de bienes, con determinadas exclusiones, entre ellas el propio producto defectuoso y los bienes utilizados exclusivamente con fines profesionales. Como novedad, se elimina la clásica franquicia de 500 euros, permitiendo reclamar el daño material íntegro.
- Pérdida de datos: destrucción o corrupción de datos que no se utilicen con fines profesionales.
Esta delimitación cobra especial relevancia en el ámbito empresarial.
Así, cuando una actualización defectuosa provoque lesiones a una persona, podría surgir responsabilidad conforme a la nueva regulación.
Por el contrario, si el incidente ocasiona únicamente una interrupción de la actividad, pérdida de facturación o desaparición de archivos utilizados con fines profesionales, estos perjuicios no quedan automáticamente cubiertos por este régimen de responsabilidad.
En tales supuestos, deberán examinarse las posibles acciones contractuales por incumplimiento o las vías ordinarias de responsabilidad extracontractual, así como las garantías aplicables al servicio tecnológico.
¿Cuándo se considera defectuoso un software o producto digital?
El criterio fundamental para determinar la existencia de un defecto no consiste en exigir que el software funcione siempre a la perfección, sino en comprobar que ofrezca la seguridad que una persona tiene derecho a esperar y que exige la normativa aplicable.
A tal fin, deberán valorarse, entre otras circunstancias, las características y la presentación del producto, su utilización razonablemente previsible, las advertencias de seguridad y las exigencias legales que resulten aplicables.
En el caso de los sistemas de inteligencia artificial, también pueden adquirir especial relevancia sus capacidades de aprendizaje o de modificación del comportamiento después de su comercialización.
Actualizaciones de software y ciberseguridad
Las actualizaciones de software y la ciberseguridad ocupan un lugar destacado dentro del nuevo régimen de responsabilidad por productos digitales defectuosos.
En este sentido, la directiva contempla la posible responsabilidad del fabricante cuando el defecto tenga su origen en actualizaciones que se encuentren bajo su control o en la falta de aquellas actualizaciones necesarias para mantener la seguridad del producto durante su vida útil razonable.
Sin embargo, ello no implica que el fabricante deba responder por cualquier ciberataque o modificación realizada por terceros. Será preciso examinar, en cada caso, el alcance del control que mantiene sobre el producto y las circunstancias concretas que dieron lugar al daño.
¿Quién responde por los daños causados por un software defectuoso?
La nueva regulación amplía y precisa el conjunto de operadores económicos que pueden resultar responsables de los daños ocasionados por productos defectuosos.
En primer lugar, el fabricante del producto ocupa una posición central dentro de este régimen de responsabilidad, sin excluir la posible responsabilidad del fabricante de un componente defectuoso que se encuentre integrado o interconectado con aquel.
En el ámbito digital, el desarrollador o productor de software puede tener la consideración de fabricante, incluidos los proveedores de sistemas de inteligencia artificial en los términos previstos por la directiva.
Asimismo, cuando el fabricante se encuentre establecido fuera de la Unión Europea, podrán resultar responsables, conforme a las condiciones legalmente establecidas, el importador, el representante autorizado o determinados prestadores de servicios logísticos.
Por su parte, los distribuidores y determinadas plataformas en línea podrán asumir responsabilidad en supuestos específicos, particularmente cuando no resulte identificado el operador económico responsable dentro de la UE tras ser requeridos para ello.
La directiva también contempla el supuesto de quien modifica sustancialmente un producto fuera del control del fabricante y posteriormente lo comercializa o pone en servicio, pudiendo ser considerado fabricante a estos efectos.
Por tanto, para determinar quién debe responder por los daños, será necesario analizar quién desarrolló el software, cómo se integró en el producto, quién mantenía el control sobre sus actualizaciones y qué operadores intervinieron en su comercialización.
¿Cómo se prueba un defecto del software y su relación con el daño?
Una de las principales dificultades que plantea la responsabilidad por software defectuoso reside en acreditar que un algoritmo, una actualización o un componente digital ha ocasionado un daño, dada la complejidad técnica que puede presentar su funcionamiento.
Como regla general, corresponde al demandante acreditar la existencia del defecto, el daño sufrido y la relación de causalidad entre ambos.
Ahora bien, la directiva incorpora determinados mecanismos destinados a facilitar esta actividad probatoria, entre los que se encuentran la exhibición judicial de documentación relevante y una serie de presunciones legales.
Estas presunciones pueden resultar aplicables, por ejemplo, cuando concurran dificultades probatorias excesivas derivadas de la complejidad técnica o científica del producto, siempre que se cumplan los demás requisitos legalmente previstos.
Conviene precisar que esto no supone una inversión automática de la carga de la prueba, puesto que dichas presunciones se encuentran sujetas a determinadas condiciones y admiten prueba en contrario.
Asimismo, el acceso a la documentación deberá respetar los criterios de proporcionalidad y las exigencias de protección de la información confidencial.
Ejemplo práctico: daños causados por una actualización de software defectuosa
Puede tomarse como ejemplo el supuesto de un dispositivo doméstico conectado que recibe una actualización de su software de control. Tras su instalación, se produce un fallo de seguridad que provoca lesiones a una persona.
En este caso, para determinar la posible responsabilidad será necesario identificar el dispositivo y la versión del software, comprobar quién desarrolló o suministró la actualización y acreditar la relación de causalidad entre el defecto y el daño producido.
Igualmente, deberá examinarse el momento en que el producto fue introducido en el mercado o puesto en servicio, dado que esta circunstancia resulta determinante para establecer el régimen jurídico aplicable.
De ahí la importancia de conservar los registros técnicos, las actualizaciones y la documentación relativa a las incidencias, que pueden resultar decisivos para reconstruir lo sucedido.
¿Cómo pueden prepararse las empresas tecnológicas ante la nueva directiva?
Ante este nuevo escenario, fabricantes, desarrolladores, importadores y distribuidores deberían anticiparse mediante una revisión de sus procedimientos de prevención y gestión de riesgos. Entre las medidas recomendables destacan:
- La revisión de los contratos con proveedores.
- La trazabilidad de los componentes.
- La documentación de versiones y actualizaciones de software.
- Los protocolos de ciberseguridad.
- La gestión de incidencias.
- La revisión de las coberturas de los seguros de responsabilidad civil.
Asimismo, resulta conveniente establecer procedimientos claros que permitan conservar las pruebas técnicas y determinar las responsabilidades que corresponden a cada uno de los operadores intervinientes.
¿Qué plazos se aplican para reclamar por un producto defectuoso?
En cuanto a los plazos para reclamar, la directiva establece una prescripción general de tres años para reclamar, así como un plazo de caducidad de diez años, ampliable hasta veinticinco en determinados supuestos de lesiones corporales de manifestación tardía.
Por su parte, las personas perjudicadas deberían conservar el producto, las comunicaciones mantenidas con el proveedor, los informes técnicos y toda aquella documentación que permita acreditar los daños sufridos.
La responsabilidad por software defectuoso va más allá del hardware
En definitiva, la nueva directiva supone una modificación relevante del régimen de responsabilidad por productos defectuosos, al reconocer expresamente los riesgos derivados del software, las actualizaciones y los componentes digitales.
Su aplicación concreta en España deberá analizarse en atención a la normativa nacional de transposición y al momento en que el producto haya sido introducido en el mercado o puesto en servicio.
Por ello, para las empresas tecnológicas resulta especialmente importante anticipar los riesgos jurídicos, documentar los procesos de desarrollo y delimitar adecuadamente las responsabilidades contractuales.
El Departamento de Derecho Civil y Mercantil de HispaColex ofrece asesoramiento especializado en prevención de riesgos, responsabilidad por productos defectuosos y reclamaciones por daños, tanto desde la perspectiva de las empresas como de las personas perjudicadas.
Si su empresa necesita evaluar los riesgos derivados de un producto digital o ha sufrido daños relacionados con un software defectuoso, puede contactar con nuestro equipo para analizar las circunstancias de su caso y las posibles vías de actuación.
Si tiene dudas sobre como aplicar este artículo a su caso, puede realizarnos una consulta a través de nuestro formulario