La dirección del
comité de empresa de la multinacional de consultoría e ingeniería
Ayesa ha confirmado a Viva Sevilla que los
servicios jurídicos están estudiando la presentación de una
denuncia ante la
Agencia Española de Protección de Datos (AEPD) por vulneración del
artículo 34 del reglamento a la hora de
comunicar la violación de la seguridad de los datos personales al interesado, después del
ciberataque de Black Basta y la confirmación de que están en la
dark web datos de al menos
35 de los empleados de la compañía.
La decisión de presentar la
denuncia llega después de la celebración de un
comité de empresa extraordinario, solicitado por el sindicato
ASC y celebrado el pasado viernes, un mes después de que Ayesa sufriera un ciberataque ransomware y antes de que
Black Basta, el grupo de ciberdelincuentes que lo reivindicaron, amagaran con publicar los
4,5 terabytes de datos en su blog.
Las fotografías con la relación de los trabajadores, el
montaje con los DNIS y pasaportes de los empleados y otra documentación fueron retirados al poco tiempo y, hasta el ciberexperto
Rafael López, que inicialmente entendía que había sido por un ataque DDos, ahora
comparte la opinión de Adrián Ramírez, de Dolbuck, de que finalmente
la empresa ha pagado por no hacerlos públicos.
En este ambiente,
ASC, que no es mayoritario en la empresa, sí que entendió que debía celebrarse un
comité extraordinario que abordara las consecuencias del ciberataque, más aún ante el “oscurantismo” de la dirección de la empresa y la constatación de que los datos de los trabajadores, al menos 35 pero se desconoce si de alguno más, “
estén circulando por la dark web puestos a disposición de ciberdelincuentes”, una brecha de datos cuyo alcance aún no está claro.
De esa reunión ha dado cuenta
ASC en su
web, denunciando la actitud del resto de sindicatos mayoritarios,
UGT y CCOO, aunque finalmente hubo
respaldo unánime para que se presentara una de las propuestas de la central sindical convocante, la
presentación de una denuncia contra la empresa ante la Agencia Española de Protección de Datos por vulnerar el artículo 34 de su reglamento por el
incumplimiento de la obligación de informar a los trabajadores de sus datos personales que hayan podido ser expuestos tras el ciberataque.
La
dirección del comité de empresa ha confirmado este extremo y ha señalado que se está
“estudiando” por los servicios jurídicos, aunque no es la única denuncia en estudio, puesto que también se aprobó
“por unanimidad” la propuesta de UGT de “iniciar los pasos para
interponer una denuncia en Inspección de Trabajo o una demanda ante la jurisdicción social
contra la empresa por no poner a disposición de los trabajadores y trabajadoras de
los medios necesarios para poder realizar nuestro trabajo diario”.
También se aprobó la presentación de un
escrito al departamento de
Recursos Humanos para
reclamar los archivos de cotizaciones a la Seguridad Social (RLC y RNT) de la plantilla “tal y como lo estaban haciéndolo antes del ciberataque, pues, desde que se produjo la
afectación del servidor en el que se encontraban dichos ficheros con datos sensibles de la plantilla, la empresa los había puesto en un recurso
sharepoint sin posibilidad de descargarlos ni tratarlos (por ejemplo, realizar búsqueda de información dentro del fichero) y solo se mostraba una especie de "vista previa" con mala calidad”.
Lo que
no consiguió el respaldo del comité de empresa fue la propuesta de ASC para convocar una
asamblea informativa “para explicarles a los trabajadores las
consecuencias sobre la exposición pública de sus datos y
asesorarles ante las acciones que pueden tomar en defensa de sus derechos, así como
aclararles todas las dudas que puedan tener”.
