Barnaclínic, el centro médico privado vinculado al Hospital Clínic de Barcelona, deberá pagar una multa de 109.750 euros por fallos en la protección de datos de pacientes tras un grave ciberataque en 2023. Un tribunal confirmó la sanción impuesta por la Autoritat Catalana de Protecció de Dades (APDCAT) luego de que la entidad recurriera sin éxito la decisión.
Fallo judicial por mala gestión de datos
El 28 de septiembre, el Juzgado de lo Contencioso-Administrativo número 9 de Barcelona determinó que Barnaclínic no implementó medidas suficientes para salvaguardar información sensible durante un ataque de ransomware que comprometió cerca de 4 terabytes de datos médicos y personales. El incidente, ocurrido el 5 de marzo de 2023, afectó a servidores del Hospital Clínic y a información gestionada por su filial privada, exponiendo registros de miles de pacientes y empleados.
Vulnerabilidades de seguridad expuestas
La sentencia detalla que Barnaclínic incurrió en tres violaciones clave del Reglamento General de Protección de Datos (RGPD) de la UE:
- Falta de protocolos adecuados: Uso de contraseñas débiles y ausencia de autenticación multifactor.
- Evaluación de riesgos insuficiente: No se identificaron ni mitigaron adecuadamente las amenazas cibernéticas.
- Incumplimiento en la supervisión: Auditorías de seguridad externas no fueron monitoreadas correctamente, violando el Esquema Nacional de Seguridad español.
El tribunal destacó que, aunque Barnaclínic dependía de los sistemas informáticos del Clínic, era responsable directo de garantizar la protección de los datos bajo su custodia. "Los incumplimientos en seguridad fueron graves y evidentes", señaló la jueza.
Un precedente para la ciberseguridad en salud
El fallo subraya la obligación de las instituciones médicas —públicas o privadas— de priorizar defensas robustas contra ataques digitales, especialmente tras el aumento global de ransomware en el sector sanitario. Barnaclínic aún podría apelar la decisión, pero el caso ya marca un estándar para futuras sanciones por negligencia en seguridad de datos.
Mientras los ciberdelincuentes refinan sus tácticas, este episodio sirve como advertencia: la protección de información sensible no puede ser una prioridad secundaria.
