Filtración de datos de mil trabajadores municipales de Badalona: cierran el expediente resolviéndolo como "infracción"

La Autoritat Catalana de Protecció de Dades (APDCAT) ha cerrado el expediente que investigaba la filtración de los datos personales (nombres, apellidos, cargos y sueldos) de la plantilla de trabajadores y funcionarios del Ayuntamiento de Badalona, que en el momento de los hechos (diciembre de 2023) estaba formada por 1.076 personas. En la resolución, firmada con fecha de 21 de enero, la APDCAT declara que "el Ayuntamiento de Badalona ha cometido una infracción prevista en el artículo 83.5.a con relación al artículo 5.1.f, ambos del Reglamento General de Protección de Datos (RGPD)".

Así, la APDCAT considera probado que el 1 de diciembre de 2023, a las 11:00 horas, el Ayuntamiento de Badalona publicó en su página web un documento que contenía los datos personales de la plantilla. Listado que incluía también la firma electrónica de una persona, de manera que se visualizaba su DNI completo. El documento se mantuvo en línea, consultable por cualquier ciudadano con acceso a Internet, durante cuatro días. Durante este tiempo, el consistorio detectó 16 accesos al archivo, el primero de los cuales a las 06:20 horas del día 4; es decir, cinco horas antes de que el documento fuese retirado.

Publicados "por error" los sueldos de todos los trabajadores municipales de Badalona

Siete días después de la filtración, el Ayuntamiento notificó a la APDCAT lo ocurrido, en consonancia a lo que obligan los artículos 33 y 34 del RGPD, así como a todas las personas afectadas por la filtración.

Según lo manifestado al APDCAT por el Ayuntamiento, el listado formaba parte, junto a otros documentos, de un expediente del departamento de Recursos Humanos que se estaba preparando de cara al siguiente Pleno municipal, en el que se aprobarían unas modificaciones de retribuciones de la plantilla. Asimismo, el consistorio declaró al APDCAT que "se llevaría a cabo una investigación y se valorará como se ha producido la brecha de seguridad y se aplicarán medidas preventivas para que no se vuelva a producir".

De esta manera, la infracción queda ratificada, así como que "el Ayuntamiento no actuó con la diligencia que le era exigible". Pese a la reprimenda de la APDCAT, el ente declara en la resolución que "no es necesario requerir medidas para corregir los efectos de la infracción". En esta línea, fuentes municipales recuerdan que "la publicación fue fruto de un error humano involuntario" y que los datos "estuvieron expuestos durante poco tiempo".