La Justicia avala una multa de 109.750 euros a Barnaclínic por fallos de seguridad

La Justicia ha confirmado la multa de 109.750 euros impuesta a Barnaclínic, el brazo privado del Hospital Clínic de Barcelona, por no proteger adecuadamente los datos de sus pacientes tras el ciberataque que sufrió el centro en marzo de 2023.

El Juzgado de lo Contencioso-Administrativo número 9 de Barcelona desestimó íntegramente el recurso presentado por la entidad contra la sanción de la Autoritat Catalana de Protecció de Dades (APDCAT). La sentencia, fechada el 28 de septiembre, no consta como firme, ya que Barnaclínic disponía de 15 días para presentar un recurso de apelación.

El ataque de tipo ransomware bloqueó unos 800 servidores del Hospital Clínic y permitió robar hasta cuatro terabytes de información personal y médica de empleados y miles de pacientes. Parte de esos datos estaba gestionada por Barnaclínic.

La sanción se fundamenta en tres infracciones del Reglamento General de Protección de Datos: medidas de seguridad inadecuadas, una evaluación insuficiente de los riesgos y el incumplimiento de obligaciones relacionadas con el encargado del tratamiento.

La jueza considera proporcional la multa y señala que los fallos de seguridad fueron graves y evidentes. Entre ellos, cita el uso de contraseñas insuficientemente protegidas, la falta de medidas adecuadas de autenticación multifactor y un seguimiento inadecuado de las auditorías externas, en contra de las exigencias del Esquema Nacional de Seguridad.

Barnaclínic alegó que no contaba con un sistema informático propio y que utilizaba los servicios tecnológicos del Hospital Clínic. Sin embargo, la sentencia mantiene que la entidad privada era responsable de garantizar la protección de los datos bajo su gestión. La resolución afecta a un centro de Barcelona y se publica también en Palma por su interés dentro del ámbito sanitario y de protección de datos en la comunidad balear.

Información elaborada a partir de Diario de Mallorca.