153.000 euros en sanciones por exponer información personal de la plantilla
La Autoridad Catalana de Protección de Datos (APDCAT) ha impuesto seis sanciones a TMB, la empresa pública que gestiona el metro y los autobuses de Barcelona, por un importe conjunto de 153.000 euros. Según la información publicada por elDiario.es el 14 de octubre de 2026, el organismo considera que la compañía incurrió en una actuación persistentemente negligente en la aplicación de medidas de seguridad destinadas a proteger los datos de sus empleados.
La resolución recoge cinco infracciones graves y una muy grave, y señala deficiencias en la gestión de la información almacenada en la intranet corporativa. La empresa reconoció los hechos y abonó finalmente 91.800 euros tras aplicarse una reducción del importe de las sanciones.
El caso resulta especialmente relevante por la naturaleza de la información expuesta y por el alcance de los accesos no autorizados. La documentación disponible incluía datos personales, expedientes laborales, información médica y documentación relacionada con procedimientos judiciales y denuncias internas.
¿Qué información confidencial quedó expuesta?
De acuerdo con la resolución recogida por el medio, la configuración de las herramientas corporativas permitía que empleados sin autorización accedieran a archivos que debían permanecer restringidos. Mediante búsquedas en la intranet o el acceso a determinadas carpetas, podían localizar información privada de otros trabajadores.
Entre los documentos expuestos figuraban solicitudes de adaptación de jornada, contratos, certificados familiares, partes de incapacidad temporal con diagnósticos médicos y documentación relativa a procesos de separación y custodia de menores. También se detectó una tabla que contenía los nombres y los números completos del DNI de 971 trabajadores.
La exposición alcanzó igualmente documentación del área de cumplimiento normativo, con expedientes relacionados con denuncias por acoso laboral, investigaciones internas y actuaciones judiciales. En algunos casos, los archivos incluían información médica especialmente delicada de personas vinculadas a estos procedimientos.
Los informes forenses aportados por la propia compañía identificaron a seis personas que accedieron sin autorización a documentos y descargaron archivos. La brecha afectó a 68 personas, entre trabajadores en activo, antiguos empleados y personal de empresas subcontratadas.
El origen del problema: permisos y supervisión insuficientes
Según la información publicada, el incidente estuvo relacionado con un sistema de creación automática de equipos de Microsoft Teams configurado por un proveedor externo. La configuración generaba por defecto grupos públicos, lo que facilitaba que personas que no debían tener acceso pudieran consultar determinados documentos.
Sin embargo, la intervención de un proveedor no elimina la necesidad de supervisar los sistemas y servicios contratados. La APDCAT señaló que la organización debía comprobar la ejecución del contrato y no encontró documentación que acreditara una supervisión adecuada de la configuración de privacidad.
Además, el problema no quedó completamente resuelto tras la primera detección. Meses después, determinados documentos confidenciales seguían disponibles para su consulta y descarga, sin que la empresa hubiera detectado todos esos accesos.
Esta circunstancia pone de relieve una cuestión fundamental: corregir una configuración incorrecta no es suficiente si no se comprueba que la solución funciona, se revisan los permisos relacionados y se verifica que la información ya no permanece expuesta.
Cómo puede prevenir una empresa una brecha de datos personales
El caso de TMB demuestra que la protección de datos no depende únicamente de disponer de políticas internas o herramientas tecnológicas. Es necesario comprobar que las medidas implantadas se aplican correctamente y que los accesos a la información responden a las funciones reales de cada usuario.
Una de las primeras medidas consiste en aplicar el principio de mínimo privilegio: cada persona debe acceder únicamente a los datos que necesita para desarrollar su trabajo. Los permisos deben revisarse periódicamente, especialmente cuando hay cambios de puesto, bajas de personal, reorganizaciones internas o modificaciones en los equipos de trabajo.
También es importante configurar de forma segura las plataformas colaborativas, los repositorios documentales y los servicios en la nube. Los grupos, carpetas y espacios de trabajo no deberían habilitarse con permisos amplios por defecto. Antes de ponerlos en funcionamiento, es necesario verificar quién puede consultar, modificar, compartir o descargar los archivos almacenados.
La supervisión debe extenderse a los proveedores que prestan servicios tecnológicos o gestionan información por cuenta de la organización. Los contratos, las instrucciones documentadas y los mecanismos de control deben permitir comprobar que se aplican las medidas de seguridad acordadas. Delegar una tarea técnica no significa renunciar a la responsabilidad de controlar los riesgos asociados al tratamiento de datos.
¿Tu empresa protege correctamente los datos personales?
Si tu empresa almacena información de empleados, clientes o proveedores en plataformas compartidas, es importante comprobar que los tratamientos y los permisos de acceso cumplen con la normativa.
En FORLOPD te ayudamos a identificar riesgos, revisar las medidas de seguridad y adaptar tu organización al RGPD y a la LOPDGDD mediante nuestro servicio de consultoría y protección de datos.
La responsabilidad de proteger los datos también afecta a los empleados
La información laboral requiere una protección especialmente cuidadosa. Los departamentos de Recursos Humanos, asesoría jurídica, cumplimiento normativo y prevención de riesgos pueden gestionar documentos que contienen datos personales de elevada sensibilidad. Su acceso debe limitarse a las personas que tengan una necesidad legítima y una función concreta relacionada con esa información.
Las denuncias internas y los expedientes de acoso laboral requieren controles adicionales. Una configuración incorrecta puede revelar la identidad de denunciantes, testigos o personas afectadas, comprometer la confidencialidad de una investigación y aumentar el riesgo de represalias. Por ello, las organizaciones deben establecer permisos específicos, procedimientos de custodia documental y mecanismos para registrar y revisar los accesos.
La formación del personal también desempeña un papel importante. Los empleados deben conocer cómo compartir archivos de forma segura, qué información no deben publicar en espacios comunes y cómo comunicar posibles incidentes. Estas pautas han de acompañarse de procedimientos claros para que los responsables puedan actuar con rapidez cuando se detecta un acceso indebido.
Qué debe hacer una empresa cuando detecta una brecha de seguridad
La prevención reduce la probabilidad de que se produzca un incidente, pero ninguna organización está completamente libre de riesgos. Cuando se detecta una posible exposición de datos, la prioridad debe ser limitar el acceso y evitar que el problema continúe.
La empresa debe investigar el alcance del incidente, identificar los sistemas y documentos afectados, determinar qué personas han podido acceder a la información y conservar las evidencias necesarias. A partir de ese análisis, debe valorar los riesgos para los derechos y libertades de las personas afectadas y aplicar las obligaciones de notificación que correspondan.
El Reglamento General de Protección de Datos (RGPD) establece que las violaciones de seguridad de los datos personales deben notificarse a la autoridad de control competente cuando puedan entrañar un riesgo para los derechos y libertades de las personas. Cuando resulte exigible, la notificación debe realizarse sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes a que la organización tenga constancia de la brecha. Si existe un alto riesgo para las personas afectadas, también puede ser necesario comunicarles el incidente.
La respuesta no debe terminar cuando se bloquea el acceso. Es imprescindible determinar por qué fallaron los controles, corregir las deficiencias y comprobar que las medidas adoptadas son eficaces. La documentación de las decisiones y de las actuaciones realizadas permite demostrar la diligencia de la organización y mejorar su capacidad de respuesta ante futuros incidentes.
Protección de datos: una responsabilidad que exige controles continuos
La sanción a TMB constituye un recordatorio de que la confidencialidad debe garantizarse durante todo el ciclo de vida de la información. La existencia de una política de privacidad o de herramientas tecnológicas adecuadas no basta si los permisos, las configuraciones y los procedimientos no se revisan de manera efectiva.
Las organizaciones necesitan integrar la protección de datos en sus procesos habituales, desde la contratación de proveedores hasta la gestión de documentos, la formación del personal y la respuesta ante incidentes. La revisión periódica de los riesgos permite detectar deficiencias antes de que se conviertan en una exposición de información personal.
Revisa la protección de datos de tu organización con FORLOPD
En FORLOPD ayudamos a empresas y organizaciones a revisar sus obligaciones en materia de protección de datos, detectar posibles incumplimientos y establecer medidas adaptadas a sus necesidades.
Si quieres conocer el nivel de cumplimiento de tu organización y qué aspectos conviene reforzar, contacta con nuestro equipo y solicita información sin compromiso.
Fuente: elDiario.es
