- La Autoridad Catalana de Protección de Datos (APDCAT) ha impuesto sanciones al Hospital Clínic y sus entidades asociadas por no cumplir con las medidas de seguridad mínimas.
- El ataque ocurrido en marzo de 2023 colapsó servicios esenciales del hospital y expuso miles de datos sensibles de pacientes.
- Las entidades afectadas, excepto Barnaclínic, deberán informar sobre las medidas correctoras implementadas hasta 2026.
- Los hackers exigieron un rescate de 4,5 millones de euros, que el hospital se negó a pagar, lo que derivó en la filtración de datos durante meses.
La Autoridad Catalana de Protección de Datos (APDCAT) ha sancionado al Hospital Clínic de Barcelona y varias de sus entidades asociadas tras concluir que no contaban con las medidas de seguridad mínimas necesarias para prevenir ciberataques. La resolución llega después de una investigación iniciada a raíz del ciberataque sufrido por el centro hospitalario el 5 de marzo de 2023, que obligó a desprogramar operaciones no urgentes, aplazar sesiones de radioterapia y suspender consultas externas.
Sanciones por falta de medidas de seguridad
Según la APDCAT, el Hospital Clínic y sus entidades asociadas, como el Consorci d’Atenció Primària de Salut Barcelona Esquerra (CAPSBE), la Fundació de Recerca Clínic Barcelona – IDIBAPS y Barnaclínic, S.A., no habían implementado las medidas de prevención, detección y contención necesarias para proteger los datos personales de sus pacientes. Además, la investigación reveló que estas entidades no realizaron un análisis adecuado de riesgos para definir las medidas de seguridad que debían adoptar.
Aunque Barnaclínic ha recurrido la decisión mediante un recurso contencioso-administrativo, el resto de entidades deberán presentar informes periódicos a la APDCAT hasta 2026 sobre las medidas correctoras que implementen para garantizar la protección de los datos.
El ciberataque y sus consecuencias
El ciberataque, atribuido al grupo de hackers Ransom House, paralizó gran parte de los servicios del hospital durante tres semanas y afectó la atención a los pacientes. Los atacantes exigieron un rescate de 4,5 millones de euros, pero la administración del hospital se negó a pagar, lo que provocó la filtración de datos en tres ocasiones a lo largo de cuatro meses.
La APDCAT responsabilizó al Hospital Clínic como el principal encargado del tratamiento de los datos personales, señalando que la falta de medidas adecuadas comprometió la seguridad de miles de registros médicos.
Medidas correctoras y prevención futura
Como parte de la sanción, el Hospital Clínic y las entidades afectadas deberán presentar a la APDCAT un plan detallado de medidas de seguridad mejoradas, además de realizar un seguimiento continuo para garantizar su cumplimiento. El objetivo es evitar que incidentes similares vuelvan a ocurrir y proteger la confidencialidad de los datos de los pacientes.
El caso del Hospital Clínic pone de manifiesto la vulnerabilidad del sector sanitario frente a ciberataques y subraya la necesidad de que las instituciones inviertan en ciberseguridad para proteger la información sensible de sus usuarios.
