Multa de 153.000 euros a la empresa de metro y bus de Barcelona por exponer datos confidenciales de sus empleados
La Autoridad Catalana de Protección de Datos (APDCAT) ha impuesto a TMB, la empresa pública que gestiona el metro y el bus en Barcelona, seis sanciones que suman 153.000 euros por la exposición de datos personales de trabajadores en su intranet, según una resolución obtenida por elDiario.es.
La multa se suma a los 60.000 de sanción que la Oficina Antifraude de Catalunya impuso recientemente al director del área jurídica de TMB por la misma brecha de seguridad, destapada por esta redacción en febrero de 2025.
La APDCAT considera “inesperable” el “descontrol” de los datos personales en una empresa pública de la envergadura de TMB, que cuenta con unos 9.000 empleados y gestiona a diario “un volumen ingente” de datos derivado de los dos millones de viajeros que utilizan el transporte público en Barcelona cada jornada.
El organismo concluye en su resolución que TMB ha tenido una “actuación persistente muy negligente” y que su sistema de seguridad “no es sólido”. Tanto el comité de empresa del metro como el del bus han pedido la dimisión del responsable jurídico de TMB por estos hechos.
Protección de Datos, que ha impuesto cinco sanciones graves y una muy grave, ha aplicado como agravante que la empresa ya había sido sancionada en nueve procedimientos anteriores, el primero en 2011, y considera que TMB incumplió varios artículos del Esquema Nacional de Seguridad. La multa ha quedado finalmente en 91.800 euros porque TMB admitió los hechos y avanzó el importe de la sanción antes de la resolución.
Una fuente oficial de TMB consultada por este periódico explica que la empresa reforzó su política de protección de datos tras la brecha de enero de 2025 y que ya aplica las medidas que exige la APDCAT. Atribuyen la exposición a un proveedor externo y señalan que la sanción está en una “horquilla baja” porque podía haber sido de hasta 15 millones.
Un buscador que permitía conocer datos sensibles
Protección de Datos considera probado que, escribiendo algunas palabras clave en el buscador de la intranet de TMB, cualquier empleado podía obtener información de sus compañeros, que en algunos casos podía ser muy sensible.
Según la resolución, al teclear “adaptación” en la intranet, cualquiera podía consultar solicitudes de adaptación de jornada de otros empleados, contratos, libros de familia, certificados de empadronamiento, sentencias sobre el régimen de guarda y custodia de sus hijos, convenios de separación, certificados de escolarización de menores….
Con la palabra “baja” se accedía a partes de incapacidad temporal en los que constaba el diagnóstico que tenían los trabajadores que estaban de baja.
Otro empleado, siempre según la resolución, pudo entrar libremente en carpetas de Recursos Humanos. Allí había diligencias policiales sobre unos hechos en los que estuvo implicado un conductor de autobús, así como una tabla con el nombre y el número completo del DNI de 971 trabajadores.
También había archivos sobre absentismo, vacaciones, reclamaciones salariales e informes médicos sobre el grado de dependencia, además de notificaciones de multas a conductores de bus, en su mayoría de los Mossos d’Esquadra.
Los datos expuestos también alcanzaron al Órgano de Cumplimiento, configurado como “grupo público” en la intranet. La documentación accesible de ese departamento incluía documentación del canal ético, denuncias por acoso laboral, resoluciones judiciales, expedientes de la Oficina Antifrau de Catalunya y de la Fiscalía así como grabaciones con el testimonio de trabajadores en un procedimiento por acoso.
En uno de los expedientes incluso figuraban diagnósticos médicos de una denunciante de acoso laboral, así como un informe psiquiátrico, el plan de medicación y grabaciones de conversaciones telefónicas con médicos, psicólogos y psiquiatras, según Protección de Datos.
El origen de la brecha
El origen de la brecha está en un sistema de creación automática de equipos de Microsoft Teams que un proveedor externo configuró por encargo de TMB y que generaba por defecto los grupos de trabajo como públicos.
La APDCAT recuerda, sin embargo, que el contrato encargaba a una unidad de la propia empresa supervisar su ejecución y señala que TMB no ha aportado ninguna documentación que acredite que se supervisó la configuración de privacidad. La compañía admitió en el procedimiento que no dio “órdenes técnicas puntuales” al respecto.
Los informes forenses aportados por TMB acreditan que seis personas accedieron sin autorización y descargaron archivos. Una de ellas se bajó 1.798 ficheros entre el 22 y el 23 de enero de 2025, y otra, 68. La brecha afectó a 68 personas: 52 trabajadores, ocho extrabajadores y ocho empleados de empresas subcontratadas.
Meses después de notificar esa brecha, en octubre de 2025, varios trabajadores detectaron que todavía podía consultarse y descargarse un escrito que TMB había dirigido a la policía judicial adscrita a la Fiscalía en una investigación por presunto acoso laboral, con los nombres de las personas investigadas.
Tres empleados lo habían descargado entre mayo y octubre “sin que la empresa se enterara”, apunta la resolución. En ese momento, la Oficina Antifrau ya había reconocido a una de las personas afectadas por estas descargas la condición de informante protegida.
La resolución califica de “contradictorio y sorprendente” que TMB negara en sus alegaciones las brechas de seguridad que ella misma había admitido ante Protección de Datos en enero y noviembre de 2025. También considera contradictorio que defendiera tener medidas adecuadas cuando sus propios escritos e informes forenses recomendaban adoptar numerosas acciones para mejorar la seguridad.