La Autoridad Catalana de Protección de Datos impone seis sanciones a la empresa pública del transporte de Barcelona por una brecha de seguridad que dejó al descubierto desde diagnósticos médicos hasta denuncias por acoso laboral.
La resolución, adelantada por elDiario.es, señala la "actuación persistente muy negligente" de TMB y concluye que sus sistemas de seguridad no eran sólidos. La brecha, destapada por este mismo medio en febrero de 2025, ya había motivado una sanción de 60.000 euros de la Oficina Antifraude de Catalunya al responsable jurídico de la compañía por exponer datos de denunciantes de irregularidades.
La Autoridad Catalana de Protección de Datos (APDCAT) considera especialmente grave que una empresa pública de la dimensión de TMB, con unos 9.000 trabajadores y millones de usuarios diarios, no garantizara la confidencialidad de la información personal que almacenaba. El organismo califica de "inesperable" el descontrol detectado y concluye que la compañía incumplió varios artículos del Esquema Nacional de Seguridad.
Cinco infracciones graves y una muy grave
Las seis sanciones se dividen en cinco infracciones graves y una muy grave. Para graduarlas, el organismo ha tenido en cuenta que TMB ya había recibido sanciones en nueve procedimientos anteriores, el primero en 2011. Aunque la suma inicial asciende a 153.000 euros, el importe definitivo se ha reducido a 91.800 euros después de que la empresa reconociera los hechos y adelantara el pago.
Punto TMB / TMB
Desde TMB atribuyen la brecha a un proveedor externo y aseguran que reforzaron sus políticas de protección de datos tras el incidente de enero de 2025. La compañía sostiene que ya ha implantado las medidas exigidas por la APDCAT y argumenta que la sanción se encuentra en una "horquilla baja", puesto que podría haber alcanzado los 15 millones de euros.
Un buscador interno daba acceso a información médica y familiar
La resolución detalla cómo cualquier empleado podía localizar documentos confidenciales de sus compañeros con solo introducir determinadas palabras en el buscador de la intranet corporativa.
Al buscar el término «adaptación», por ejemplo, aparecían solicitudes de cambios de jornada, contratos, libros de familia, certificados de empadronamiento y documentos judiciales relacionados con separaciones y custodias de menores. La búsqueda de la palabra «baja» permitía consultar partes de incapacidad temporal que incluían los diagnósticos médicos de los trabajadores.
Diligencias policiales relacionadas con un conductor
El acceso no se limitaba a esos documentos. Un empleado pudo entrar en carpetas de Recursos Humanos que contenían diligencias policiales relacionadas con un conductor de autobús y una tabla con los nombres y los DNI completos de 971 trabajadores. También estaban disponibles archivos sobre absentismo, vacaciones, reclamaciones salariales, informes de dependencia y notificaciones de multas a conductores.
La exposición alcanzó incluso al Órgano de Cumplimiento de TMB, cuyo espacio figuraba como un grupo público en la intranet. Entre los documentos accesibles había expedientes del canal ético, denuncias por acoso laboral, resoluciones judiciales e investigaciones de la Oficina Antifraude y de la Fiscalía, además de grabaciones de testimonios de trabajadores.
Edificio corporativo de TMB / TMB
Uno de los casos recogidos por la APDCAT revela el alcance de la información comprometida: un expediente incluía diagnósticos médicos de una denunciante de acoso laboral, un informe psiquiátrico, su plan de medicación y grabaciones de conversaciones con profesionales sanitarios.
Seis personas descargaron archivos sin autorización
El origen del problema se encuentra en un sistema de creación automática de equipos de Microsoft Teams que un proveedor externo configuró por encargo de TMB. La herramienta generaba por defecto grupos de trabajo públicos, lo que permitía acceder a documentos que debían permanecer restringidos.
La APDCAT subraya que el contrato establecía que una unidad de la propia empresa debía supervisar la ejecución del servicio. Sin embargo, TMB no aportó documentación que acreditara que se hubiera comprobado la configuración de privacidad. La compañía reconoció durante el procedimiento que no había dado "órdenes técnicas puntuales" al respecto.
Los análisis forenses presentados por TMB confirmaron que seis personas accedieron sin autorización a los archivos y descargaron documentos. Una de ellas se hizo con 1.798 ficheros entre el 22 y el 23 de enero de 2025, mientras que otra descargó 68. En total, la brecha afectó a 68 personas: 52 trabajadores, ocho extrabajadores y ocho empleados de empresas subcontratadas.
La información siguió expuesta meses después
El problema no quedó resuelto por completo tras la primera brecha. En octubre de 2025, varios trabajadores descubrieron que todavía se podía consultar y descargar un escrito que TMB había enviado a la policía judicial adscrita a la Fiscalía en el marco de una investigación por presunto acoso laboral. El documento contenía los nombres de las personas investigadas.
Según la resolución, tres empleados habían descargado ese archivo entre mayo y octubre sin que la empresa detectara lo ocurrido. Para entonces, la Oficina Antifraude ya había reconocido a una de las personas afectadas por esas descargas como informante protegida.
La APDCAT también cuestiona las alegaciones presentadas por TMB durante el procedimiento. El organismo considera «contradictorio y sorprendente» que la empresa negara las brechas de seguridad que ella misma había comunicado en enero y noviembre de 2025. Asimismo, señala la contradicción entre la defensa de sus medidas de protección y los propios informes forenses de la compañía, que recomendaban introducir numerosas mejoras de seguridad.
La gravedad de los hechos ha provocado también una reacción interna: tanto el comité de empresa del metro como el del autobús han reclamado la dimisión del responsable jurídico de TMB.