Imagen generada con IA.
La Agencia Española de Protección de Datos ha vuelto a poner el foco en uno de los riesgos más habituales —y más subestimados— de cualquier organización, pública o privada: los permisos mal configurados en carpetas compartidas. En este caso, la sancionada ha sido la Diputación Provincial de Huesca, después de que una carpeta interna con acceso demasiado amplio dejara expuestos datos personales, incluidos datos de salud, de su cuerpo de bomberos.
El expediente tiene un segundo ángulo, todavía más interesante desde el punto de vista del cumplimiento normativo: la misma persona que ejercía como delegado de protección de datos (DPD) de la institución dirigía también el canal de denuncias internas, una acumulación de funciones que la propia AEPD ha señalado como problemática.
El caso: acceso masivo a datos sensibles del SPEIS por una carpeta mal configurada
Según la resolución, una carpeta compartida utilizada por el Servicio Provincial de Extinción de Incendios y Salvamento (SPEIS) de la Diputación de Huesca tenía permisos de acceso que excedían con mucho lo necesario. Un número elevado de empleados —muchos de ellos sin ninguna relación funcional con la gestión de personal del servicio— podía consultar documentación que incluía, entre otros datos, información relativa a la salud de los bomberos: partes médicos, situaciones de incapacidad temporal o datos vinculados a reconocimientos médicos periódicos.
Se trata de una categoría especial de datos conforme al artículo 9 RGPD, sometida a un régimen de protección reforzado. La Administración no había limitado el acceso a quienes realmente necesitaban esa información para desempeñar sus funciones, incumpliendo el principio de integridad y confidencialidad del artículo 5.1.f) RGPD y las medidas técnicas y organizativas exigibles conforme al artículo 32.
Por qué los permisos de carpetas compartidas son un riesgo tan común como subestimado
Este tipo de incidente no es exclusivo de la Administración pública. En la mayoría de las organizaciones, las carpetas compartidas en red o en la nube crecen de forma orgánica durante años: se crean para un proyecto puntual, se conceden accesos «por si acaso» a departamentos enteros, y nadie vuelve a revisar quién puede entrar cuando ese proyecto termina o cuando una persona cambia de puesto.
El resultado habitual es una acumulación silenciosa de permisos heredados que nadie ha auditado, hasta que un incidente —o una inspección— obliga a mirar hacia atrás. A diferencia de una brecha causada por un ciberataque externo, este tipo de exposición no requiere que nadie «entre» en el sistema: el acceso ya estaba ahí, concedido de forma legítima pero desproporcionada, esperando a que alguien lo usara de forma indebida o, simplemente, a que un auditor o la propia AEPD se fijara en él.
El segundo problema: el DPD que también dirige el canal de denuncias
La resolución señala un segundo incumplimiento, distinto del anterior pero igual de relevante: la persona designada como delegado de protección de datos de la Diputación asumía simultáneamente la dirección del sistema interno de información (el canal de denuncias regulado por la Ley 2/2023).
Sobre el papel puede parecer una combinación razonable —ambas funciones tienen que ver con el cumplimiento normativo—, pero desde la óptica del RGPD son roles que deben mantenerse separados.
¿Por qué es un conflicto de interés que el DPD asuma otro rol incompatible?
El artículo 38.6 RGPD permite que el DPD desempeñe otras funciones, siempre que no den lugar a un conflicto de intereses. Dirigir el canal de denuncias sí lo genera, porque el DPD debe poder supervisar y asesorar de forma independiente sobre cómo esa misma organización trata los datos personales del propio canal de denuncias que él dirige. Es decir, acabaría teniendo que fiscalizar su propia gestión, algo incompatible con la independencia que exige su función.
La AEPD ya había advertido de este tipo de incompatibilidades en resoluciones anteriores referidas a otros organismos y empresas: quien ocupa puestos con capacidad de decisión sobre los fines y medios del tratamiento —como ocurre con la dirección de un canal de denuncias, que decide qué se investiga y cómo— no puede ejercer al mismo tiempo como DPD de esa misma organización.
Cómo auditar los permisos de tus carpetas compartidas con datos de personal
Más allá del caso concreto, este expediente es una buena excusa para revisar la higiene de accesos de cualquier organización:
- Haz un inventario de todas las carpetas compartidas (en red local o en la nube) que contengan datos de personal, y en particular datos de salud o de otras categorías especiales.
- Revisa quién tiene acceso a cada una y compáralo con quién lo necesita realmente hoy, no con quién lo necesitaba cuando se creó la carpeta.
- Establece una revisión periódica de permisos, no solo cuando alguien cambia de puesto, sino también con carácter general al menos una vez al año.
- Segrega los datos de salud del resto de documentación de personal, en carpetas con acceso todavía más restringido y, si es posible, cifradas.
- Revisa la posición del DPD en el organigrama: si asume otras funciones, comprueba que ninguna de ellas implique decidir sobre fines y medios de tratamientos que él mismo debería supervisar.
En resumen: el caso de la Diputación de Huesca demuestra que las brechas más costosas no siempre vienen de fuera. Una carpeta compartida sin revisar y un organigrama de cumplimiento mal diseñado pueden generar, a la vez, la exposición de datos de salud de trabajadores y un incumplimiento estructural de la independencia del delegado de protección de datos.
Si tu organización necesita auditar los permisos de sus carpetas compartidas o revisar la posición de su DPD en el organigrama, en Dataibérica podemos ayudarte a detectar estos riesgos antes de que lo haga la AEPD.
Fuente principal: Confilegal.com — «La AEPD sanciona a la Diputación de Huesca por no proteger los datos personales de su cuerpo de bomberos».
