REGULACIÓNESPAÑA
La Justicia confirma la multa a Barnaclínic, del Hospital Clínic de Barcelona, por el ciberataque de 2023
El Juzgado de lo contencioso-administrativo número 9 de Barcelona desestimó el recurso de la entidad privada del Clínic y ratificó la sanción de 109.750 euros por no proteger adecuadamente los datos de sus pacientes.
El 5 de marzo de 2023 el Hospital Clínic de Barcelona sufrió un ciberataque con ransomware que bloqueó unos 800 servidores informáticos y permitió el robo de hasta 4 terabytes de información, entre datos personales y médicos de empleados y de miles de pacientes. Parte de esa información estaba gestionada por Barnaclínic, el brazo privado del centro hospitalario.
La Autoritat Catalana de Protecció de Dades (APDCAT) sancionó en 2024 a Barnaclínic con 109.750 euros por no haber garantizado una protección adecuada de los datos de sus pacientes. La entidad presentó un recurso contencioso-administrativo contra esa resolución.
En una sentencia del 28 de septiembre, el Juzgado de lo contencioso-administrativo número 9 de Barcelona desestimó íntegramente el recurso y confirmó la multa. La jueza consideró que la sanción es proporcional y que los incumplimientos de seguridad fueron graves y evidentes.
El tribunal señaló que Barnaclínic usaba contraseñas insuficientemente protegidas, no contaba con medidas adecuadas de autenticación multifactor y no hacía un seguimiento apropiado de las auditorías externas de seguridad, incumpliendo las medidas del Esquema Nacional de Seguridad.
Qué se sabe
ACREDITADO
- El Juzgado de lo contencioso-administrativo número 9 de Barcelona desestimó íntegramente el recurso de Barnaclínic y confirmó la multa de 109.750 euros.
- La sentencia, del 28 de septiembre, califica la sanción como proporcional y los incumplimientos de seguridad como graves y evidentes.
- El fallo detalla que la entidad usaba contraseñas insuficientemente protegidas, carecía de autenticación multifactor adecuada y no seguía apropiadamente las auditorías externas.
- El ciberataque de marzo de 2023 bloqueó unos 800 servidores y permitió el robo de hasta 4 terabytes de datos, según la causa.
SIN VERIFICAR O ABIERTO
- No consta que la sentencia sea firme: Barnaclínic disponía de 15 días para presentar un recurso de apelación.
- Barnaclínic sostuvo en su recurso que no tenía un sistema informático propio porque usaba los servicios tecnológicos del Hospital Clínic; el tribunal rechazó ese argumento.
- No se detalla qué grupo de ransomware estuvo detrás del ataque ni el alcance final de los datos filtrados.
Contexto
Barnaclínic es el brazo privado del Hospital Clínic de Barcelona y gestionaba parte de los datos personales y médicos afectados por el incidente. La sentencia remarca que, aunque recurriera a la infraestructura tecnológica del hospital, seguía siendo responsable de proteger la información bajo su gestión.
El tribunal subrayó que este tipo de ataques constituyen uno de los mayores riesgos identificados actualmente para las entidades públicas, por lo que la entidad debía haber adoptado medidas para prevenirlos o minimizarlos.
La sanción original fue impuesta por la Autoritat Catalana de Protecció de Dades en 2024, meses después del ciberataque que paralizó el centro hospitalario durante días.
Qué hacer
- Revisar accesos y contraseñas Auditar las cuentas con acceso a datos de pacientes y eliminar credenciales débiles o reutilizadas.
- Implementar autenticación multifactor Exigir un segundo factor en todos los sistemas que tratan información personal o médica, incluidos los de proveedores.
- Controlar a los proveedores Verificar que los terceros que gestionan datos cumplan las mismas medidas de seguridad y revisar sus auditorías.
- Desconfiar de mensajes con el incidente Los atacantes suelen usar casos conocidos como gancho para pedir datos o credenciales; verificar el origen antes de responder.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
