Protecció de Dades multa TMB amb 153.000 euros per exposar informació sensible dels seus treballadors
Les sis sancions es divideixen en cinc infraccions greus i una de molt greu. Per graduar-les, l'organisme ha tingut en compte que TMB ja havia rebut sancions en nou procediments anteriors, el primer el 2011
Altres notícies: Protecció de Dades sanciona TMB per l'exposició de dades privades dels seus treballadors
Notícies relacionades
L'Autoritat Catalana de Protecció de Dades imposa sis sancions a l'empresa pública del transport de Barcelona per una bretxa de seguretat que va deixar al descobert des de diagnòstics mèdics fins a denúncies per assetjament laboral.
La resolució, avançada per elDiario.es, assenyala la "actuació persistent molt negligent" de TMB i conclou que els seus sistemes de seguretat no eren sòlids. La bretxa, destapada per aquest mateix mitjà el febrer de 2025, ja havia motivat una sanció de 60.000 euros de l'Oficina Antifrau de Catalunya al responsable jurídic de la companyia per exposar dades de denunciants d'irregularitats.
L'Autoritat Catalana de Protecció de Dades (APDCAT) considera especialment greu que una empresa pública de la dimensió de TMB, amb uns 9.000 treballadors i milions d'usuaris diaris, no garantís la confidencialitat de la informació personal que emmagatzemava. L'organisme qualifica d'"inesperable" el descontrol detectat i conclou que la companyia va incomplir diversos articles de l'Esquema Nacional de Seguretat.
Cinc infraccions greus i una de molt greu
Les sis sancions es divideixen en cinc infraccions greus i una de molt greu. Per graduar-les, l'organisme ha tingut en compte que TMB ja havia rebut sancions en nou procediments anteriors, el primer el 2011. Tot i que la suma inicial ascendeix a 153.000 euros, l'import definitiu s'ha reduït a 91.800 euros després que l'empresa reconegués els fets i avancés el pagament.
Punt TMB / TMB
Des de TMB atribueixen la bretxa a un proveïdor extern i asseguren que van reforçar les seves polítiques de protecció de dades després de l'incident del gener de 2025. La companyia sosté que ja ha implantat les mesures exigides per l'APDCAT i argumenta que la sanció es troba en una "forquilla baixa", ja que podria haver arribat als 15 milions d'euros.
Un cercador intern donava accés a informació mèdica i familiar
La resolució detalla com qualsevol empleat podia localitzar documents confidencials dels seus companys només introduint determinades paraules al cercador de la intranet corporativa.
En buscar el terme «adaptació», per exemple, apareixien sol·licituds de canvis de jornada, contractes, llibres de família, certificats d'empadronament i documents judicials relacionats amb separacions i custòdies de menors. La cerca de la paraula «baixa» permetia consultar parts d'incapacitat temporal que incloïen els diagnòstics mèdics dels treballadors.
Diligències policials relacionades amb un conductor
L'accés no es limitava a aquests documents. Un empleat va poder entrar a carpetes de Recursos Humans que contenien diligències policials relacionades amb un conductor d'autobús i una taula amb els noms i els DNI complets de 971 treballadors. També estaven disponibles arxius sobre absentisme, vacances, reclamacions salarials, informes de dependència i notificacions de multes a conductors.
L'exposició va arribar fins i tot a l'Òrgan de Compliment de TMB, l'espai del qual figurava com un grup públic a la intranet. Entre els documents accessibles hi havia expedients del canal ètic, denúncies per assetjament laboral, resolucions judicials i investigacions de l'Oficina Antifrau i de la Fiscalia, a més de gravacions de testimonis de treballadors.
Edifici corporatiu de TMB / TMB
Un dels casos recollits per l'APDCAT revela l'abast de la informació compromesa: un expedient incloïa diagnòstics mèdics d'una denunciant d'assetjament laboral, un informe psiquiàtric, el seu pla de medicació i gravacions de converses amb professionals sanitaris.
Sis persones van descarregar arxius sense autorització
L'origen del problema es troba en un sistema de creació automàtica d'equips de Microsoft Teams que un proveïdor extern va configurar per encàrrec de TMB. L'eina generava per defecte grups de treball públics, cosa que permetia accedir a documents que havien de romandre restringits.
L'APDCAT subratlla que el contracte establia que una unitat de la pròpia empresa havia de supervisar l'execució del servei. Tanmateix, TMB no va aportar documentació que acredités que s'hagués comprovat la configuració de privacitat. La companyia va reconèixer durant el procediment que no havia donat "ordres tècniques puntuals" al respecte.
Les anàlisis forenses presentades per TMB van confirmar que sis persones van accedir sense autorització als arxius i van descarregar documents. Una d'elles es va fer amb 1.798 fitxers entre el 22 i el 23 de gener de 2025, mentre que una altra en va descarregar 68. En total, la bretxa va afectar 68 persones: 52 treballadors, vuit exempleats i vuit empleats d'empreses subcontractades.
La informació va continuar exposada mesos després
El problema no va quedar resolt del tot després de la primera bretxa. A l'octubre de 2025, diversos treballadors van descobrir que encara es podia consultar i descarregar un escrit que TMB havia enviat a la policia judicial adscrita a la Fiscalia en el marc d'una investigació per presumpte assetjament laboral. El document contenia els noms de les persones investigades.
Segons la resolució, tres empleats havien descarregat aquell arxiu entre maig i octubre sense que l'empresa detectés el que havia passat. Aleshores, l'Oficina Antifrau ja havia reconegut una de les persones afectades per aquestes descàrregues com a informant protegida.
L'APDCAT també qüestiona les al·legacions presentades per TMB durant el procediment. L'organisme considera «contradictori i sorprenent» que l'empresa negués les bretxes de seguretat que ella mateixa havia comunicat al gener i al novembre de 2025. Així mateix, assenyala la contradicció entre la defensa de les seves mesures de protecció i els propis informes forenses de la companyia, que recomanaven introduir nombroses millores de seguretat.
La gravetat dels fets ha provocat també una reacció interna: tant el comitè d'empresa del metro com el de l'autobús han reclamat la dimissió del responsable jurídic de TMB.
