FACUA denuncia a Randstad ante la AEPD por el fallo de seguridad que permitió a los empleados ver nóminas ajenas
FACUA-Consumidores en Acción denunciará ante la Agencia Española de Protección de Datos (AEPD) al portal de búsqueda de empleo Randstad. La acción viene motivada tras la información publicada por el eldiario.es donde se detallaba cómo un fallo de seguridad en sus sistemas permitió a los usuarios de la web ver nóminas y datos personales ajenos solo pulsando un botón.
La asociación ha pedido la apertura de un procedimiento sancionador contra Randstad. FACUA también considera que se trata de un “escándalo” porque “esta brecha de seguridad, que ha permitido el acceso a cualquier usuario de la web a los datos personales de los perjudicados, visibles a todo el mundo” podría dejar entreabierta la posibilidad de que “cualquier persona de manera malintencionada pudiera suplantar la identidad de otra”.
Una fuente consultada por este diario aseguró que, cuando el usuario se encontraba dentro de su perfil y pinchaba sobre el apartado “Consulta y descarga de nóminas” era capaz de visualizar nóminas ajenas tan solo apretando un botón (el F5 del teclado, que sirve para actualizar la página web).
De esta forma iban saltando nóminas de empleados de todo el territorio nacional subcontratados por Randstad. Entre los datos ahí mostrados se encontraban el número de la Seguridad Social, el DNI, nombre, apellidos, antigüedad en la empresa o categoría salarial, así como el importe líquido a recibir.
FACUA considera que la empresa tiene que mandar una comunicación a todos los empleados que se han visto perjudicados por el fallo de seguridad y poner en conocimiento de la AEPD el incidente. “Deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado”, explican.
La organización también recuerda que el Reglamento de la Unión Europea (UE) 2016/679, en su artículo 32, apartado primero, recoge que “el responsable y el encargado del tratamiento” de datos personales “aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo” que incluya “la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento”.
