La protección de los datos personales exige medidas de seguridad adecuadas, una evaluación continua de los riesgos y un control efectivo de los sistemas informáticos. El ciberataque sufrido por el Hospital Clínic de Barcelona en marzo de 2023 vuelve a situar estas obligaciones en el centro del debate, después de que la Justicia haya confirmado una sanción de 109.750 euros a Barnaclínic por deficiencias en la protección de la información de sus pacientes.
Según la información publicada por El Periódico el 26 de octubre de 2026, el Juzgado de lo Contencioso-Administrativo número 9 de Barcelona ha desestimado el recurso presentado por Barnaclínic contra la sanción impuesta por la Autoritat Catalana de Protecció de Dades (APDCAT). La resolución judicial considera proporcionada la multa, aunque no consta que sea firme.
El caso constituye un recordatorio para las organizaciones que gestionan información personal, especialmente cuando se trata de datos de salud, una categoría de información que requiere una protección reforzada.
Un ciberataque que comprometió información de pacientes y profesionales
El ataque informático tuvo lugar el 5 de marzo de 2023 y afectó a la infraestructura tecnológica del Hospital Clínic de Barcelona y a otras entidades cuyos sistemas se encontraban alojados en ella.
Los ciberdelincuentes utilizaron un ataque de tipo ransomware, una modalidad que puede bloquear sistemas, sustraer información y utilizarla como instrumento de extorsión. En este caso, se extrajeron varios terabytes de información personal y médica, parte de la cual terminó publicándose en la dark web.
Entre los datos comprometidos se encontraban identificadores personales, información relativa a diagnósticos y tratamientos, resultados de pruebas médicas e informes clínicos, además de información de trabajadores y otras personas vinculadas a las entidades afectadas.
Las consecuencias fueron más allá de la pérdida de confidencialidad. El incidente también provocó importantes interrupciones en la actividad asistencial, con afectaciones a servicios como los laboratorios, las farmacias hospitalarias, las urgencias y los quirófanos.
¿Por qué se ha confirmado la multa a Barnaclínic?
La sanción de 109.750 euros impuesta a Barnaclínic se fundamenta en deficiencias relacionadas con las obligaciones de seguridad establecidas en el Reglamento General de Protección de Datos (RGPD).
Entre los aspectos señalados figuran la insuficiencia de las medidas de protección, una evaluación inadecuada de los riesgos y cuestiones relativas a las obligaciones vinculadas al tratamiento de datos por cuenta de terceros.
La resolución judicial también destaca deficiencias en aspectos concretos de la seguridad, como la protección de las contraseñas, la implantación de mecanismos de autenticación multifactor y el seguimiento de las auditorías externas.
Barnaclínic alegó que no disponía de un sistema informático propio y que utilizaba los servicios tecnológicos del Hospital Clínic. Sin embargo, según la información publicada, el juzgado considera que esta circunstancia no la eximía de sus propias responsabilidades respecto a los datos personales que gestionaba.
Contar con proveedores tecnológicos externos no elimina las obligaciones de protección de datos de una organización. Es necesario determinar quién asume cada responsabilidad, comprobar que existen garantías suficientes y verificar que las medidas de seguridad son adecuadas para los tratamientos realizados.
Qué exige el RGPD a las empresas para proteger los datos personales
El artículo 32 del RGPD establece que los responsables y encargados del tratamiento deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
Esto implica que no basta con disponer de antivirus, realizar copias de seguridad o contratar servicios informáticos especializados. Las medidas deben responder a los riesgos reales de cada organización y revisarse cuando cambian los sistemas, los tratamientos o las amenazas.
Entre las principales actuaciones que deben contemplarse destacan las siguientes:
1. Evaluar los riesgos de los tratamientos. La organización debe identificar qué información gestiona, qué amenazas pueden comprometerla y cuáles serían las consecuencias de una pérdida, alteración, destrucción o divulgación no autorizada. A partir de este análisis, debe determinar las medidas necesarias.
2. Implantar controles de acceso robustos. Es fundamental utilizar contraseñas seguras, autenticación multifactor cuando corresponda, permisos ajustados a las funciones de cada usuario y mecanismos para retirar los accesos que ya no sean necesarios.
3. Mantener los sistemas actualizados. La aplicación de parches de seguridad, la revisión de configuraciones y la eliminación de vulnerabilidades conocidas reducen las posibilidades de que los atacantes aprovechen debilidades técnicas.
4. Realizar auditorías y verificar sus resultados. Las auditorías permiten detectar deficiencias, pero su utilidad depende de que las recomendaciones se evalúen, se asignen responsables y se corrijan dentro de plazos razonables.
5. Preparar una respuesta ante incidentes. La empresa debe contar con procedimientos para detectar, contener y analizar incidentes de seguridad, recuperar los sistemas y determinar si se ha producido una brecha de datos personales.
6. Supervisar a los proveedores. Cuando intervienen terceros en el tratamiento de información, es necesario revisar sus garantías, formalizar las condiciones exigibles y comprobar que las medidas de seguridad se mantienen durante toda la relación contractual.
Estas actuaciones deben adaptarse al tamaño de la organización, a la naturaleza de los datos tratados y a la probabilidad y gravedad de los riesgos. No existe una única solución válida para todas las empresas.
Refuerza la ciberseguridad de tu empresa
Anticiparse a las amenazas digitales es fundamental para proteger la información y evitar incidentes que puedan comprometer la actividad de tu organización. En FORLOPD te ayudamos a identificar riesgos y mejorar tus medidas de seguridad.
Descubre nuestros servicios de ciberseguridad y encuentra la solución que mejor se adapte a las necesidades de tu empresa.
Brechas de datos personales: obligaciones y plazos de notificación
Cuando se produce una violación de la seguridad que afecta a datos personales, la organización debe activar su procedimiento de respuesta y valorar el alcance del incidente.
El artículo 33 del RGPD establece que el responsable del tratamiento debe notificar la brecha a la autoridad de control competente, sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes a tener constancia de ella, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas.
Además, cuando sea probable que la brecha entrañe un alto riesgo para las personas afectadas, el artículo 34 establece la obligación de comunicarles el incidente sin dilación indebida, con las excepciones previstas en el propio Reglamento.
La organización también debe documentar las violaciones de seguridad, incluyendo los hechos, sus efectos y las medidas correctivas adoptadas, de acuerdo con el artículo 33.5.
Una respuesta adecuada no se limita, por tanto, a recuperar los sistemas informáticos. También exige analizar las consecuencias sobre la privacidad, cumplir las obligaciones de comunicación que correspondan y adoptar medidas para evitar que el incidente vuelva a producirse.
La prevención como parte de la estrategia de cumplimiento normativo
El caso de Barnaclínic demuestra que las deficiencias de seguridad pueden tener consecuencias económicas y jurídicas incluso cuando una organización utiliza infraestructuras tecnológicas gestionadas por otra entidad.
Para las empresas, la principal lección es que la protección de datos debe integrarse en la gestión diaria. Las evaluaciones de riesgos, los controles de acceso, las auditorías, la supervisión de proveedores y los planes de respuesta deben funcionar de forma coordinada y contar con evidencias que permitan acreditar su aplicación.
También resulta esencial revisar periódicamente las medidas implantadas. Una evaluación realizada hace años o una auditoría cuyas recomendaciones no se han aplicado pueden resultar insuficientes ante los riesgos actuales.
La seguridad de la información no consiste únicamente en reaccionar ante un ciberataque, sino en reducir la probabilidad de que ocurra y limitar sus consecuencias si llega a producirse.
En FORLOPD ayudamos a las organizaciones a evaluar sus obligaciones en materia de protección de datos, identificar riesgos y establecer medidas de seguridad adecuadas a sus tratamientos. Una revisión preventiva permite detectar deficiencias, mejorar los procedimientos internos y reforzar el cumplimiento del RGPD y la LOPDGDD.
Si necesitas revisar las medidas de protección de datos de tu empresa, contacta con nosotros para analizar tu situación y valorar las actuaciones necesarias.
Fuente: Elperiodico
