Protección de Datos critica la falta de formación en la EMT para evitar el robo de cuatro millones

Tremenda bala la esquivada por Giuseppe Grezzi, presidente de la EMT, porque la resolución de la AEPD era demoledora. Proponía un apercibimiento por «la falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento». Las sanciones de la AEPD podrían llegar a los 10 millones de euros si la empresa fuera privada, aunque para entidades públicas, nunca habría pasado de un apercibimiento.

La AEPD, además, apunta que con los protocolos y las medidas necesarias, el robo se habría podido evitar. «Sí se infiere culpa suficiente en la falta de implantación de medidas adecuadas, especialmente de tipo organizativo y formativo del personal, que hubieran impedido que se consumaran los efectos del ataque tipo 'phishing'».

Según recoge la investigación de la Agencia, las medidas de seguridad que tenía implantadas la empresa en relación con los datos que sometía a tratamiento en calidad de responsable «no eran las adecuadas al momento de producirse la incidencia». La resolución, a la que ha tenido acceso LAS PROVINCIAS, esta falta de medidas tuvieron como consecuencia »el acceso por terceros ajenos a datos personales de empleados de la entidad investigada, siendo responsable de la falta de formación de su personal, lo que ha provocado la aceptación por un empleado del ataque 'phishing' y de sus consecuencias».

Cabe recordar que, como se dijo en el juicio laboral contra Celia Zafra, la directiva despedida, la formación que daba la empresa se limitaba a reenviar los correos electrónicos que llegaban del Instituto Nacional de Ciberseguridad, sin que hubiera un curso específico para evitar ataques de ingeniería social como aquel en el que cayó Zafra.

La AEPD va más allá y apunta que, una vez cedidos los datos de trabajadores de la empresa (cabe recordar que, engañada por la trama internacional, Zafra envió los DNI de dos altos directivos de la mercantil), es fácil, tras una búsqueda por internet, obtener resultados que, combinándolos con los datos cedidos, «permitan el acceso a otras aplicaciones de los afectados o la creación de perfiles de personalidad que no tienen por qué haber sido consentida por su titular».

Según la resolución, esta posibilidad «supone un riesgo añadido que se ha de valorar y que no consta que se haya valorado, lo que aumenta la exigencia del grado de protección en relación con la seguridad y salvaguarda de la integridad y confidencialidad de estos datos».

Preguntado a este respecto, el concejal del Grupo Popular Carlos Mundina, uno de los denunciantes del asunto ante la AEPD, ha advertido que la investigación evidencia la falta de control existente en el EMT, sin protocolos ni medidas de seguridad que «hubieran evitado el robo de los cuatro millones de euros de las cuentas de la EMT».

Mundina apunta que no es la primera vez que un informe apunta esta falta de medidas que habrían facilitado un robo que, y en eso está de acuerdo todo el mundo, se dio porque la trama internacional engañó de forma burda a una trabajadora con varias décadas de experiencia en la empresa. «Lo han dicho todas las auditorías realizadas en la EMT tanto de Sindicatura como del propio Ayuntamiento y de momento nadie ha asumido responsabilidades por el robo de los cuatro millones de euros», ha apuntado Mundina.

El edil 'popular' ha vuelto a reclamar que se aparte al concejal Grezzi de la EMT pues su gestión «sigue haciendo aguas»: «Las conclusiones de la investigación son claras y apuntan como responsables de la estafa a quienes debían haber velado por las medidas y protocolos de seguridad».

El PP ha insistido en el estado de la EMT, que aseguran que es cada día peor desde la llegada de Compromís. «Han sufrido un incendio de 26 autobuses, un robo de 4 millones de euros, una multa de Hacienda de 10,4 millones de euros, sanciones de la Inspección de Trabajo… Estos son motivos más que suficientes para que la compañía pase a ser dirigida por profesionales y no por la 'colla de amics' de Grezzi».