Multa de 153.000 euros a l'empresa de metre i bus de Barcelona per exposar dades confidencials de les seves emprats

Protecció de Dades retreu a TMB el seu "descontrol" amb informació sensible de la plantilla i assenyala una "actuació persistent molt negligent" en la implementació de mesures de seguretat

Hemeroteca - Una jutgessa imputa a la cúpula de TMB per assetjament laboral a la cap que investigava irregularitats internes

L'Autoritat Catalana de Protecció de Dades (APDCAT) ha imposat a TMB, l'empresa pública que gestiona el metre i el bus a Barcelona, sis sancions que sumen 153.000 euros per l'exposició de dades personals de treballadors en la seva intranet, segons una resolució obtinguda per eldiario.es.

La multa se suma als 60.000 de sanció que l'Oficina Antifrau de Catalunya va imposar recentment al director de l'àrea jurídica de TMB per la mateixa bretxa de seguretat, destapada per aquesta redacció al febrer de 2025.

La APDCAT considera “inesperable” el “descontrol” de les dades personals en una empresa pública de l'envergadura de TMB, que compta amb uns 9.000 empleats i gestiona diàriament “un volum ingent” de dades derivat dels dos milions de viatgers que utilitzen el transport públic a Barcelona cada jornada.

L'organisme conclou en la seva resolució que TMB ha tingut una “actuació persistent molt negligent” i que el seu sistema de seguretat “no és sòlid”. Tant el comitè d'empresa del metre com el del bus han demanat la dimissió del responsable jurídic de TMB per aquests fets.

Protecció de Dades, que ha imposat cinc sancions greus i una molt greu, ha aplicat com a agreujant que l'empresa ja havia estat sancionada en nou procediments anteriors, el primer en 2011, i considera que TMB va incomplir diversos articles de l'Esquema Nacional de Seguretat. La multa ha quedat finalment en 91.800 euros perquè TMB va admetre els fets i va avançar l'import de la sanció abans de la resolució.

Una font oficial de TMB consultada per aquest periòdic explica que l'empresa va reforçar la seva política de protecció de dades després de la bretxa de gener de 2025 i que ja aplica les mesures que exigeix la APDCAT. Atribueixen l'exposició a un proveïdor extern i assenyalen que la sanció està en una “forqueta baixa” perquè podia haver estat de fins a 15 milions.

Un cercador que permetia conèixer dades sensibles

Protecció de Dades considera provat que, escrivint algunes paraules clau en el cercador de la intranet de TMB, qualsevol empleat podia obtenir informació dels seus companys, que en alguns casos podia ser molt sensible.

Segons la resolució, en teclejar “adaptació” en la intranet, qualsevol podia consultar sol·licituds d'adaptació de jornada d'altres empleats, contractes, llibres de família, certificats d'empadronament, sentències sobre el règim de guarda i custòdia dels seus fills, convenis de separació, certificats d'escolarització de menors….

Amb la paraula “baixa” s'accedia a parts d'incapacitat temporal en els quals constava el diagnòstic que tenien els treballadors que estaven de baixa.