CSIF Presons alerta que l’accés no autoritzat detectat al centre penitenciari Puig de les Basses de Figueres podria tenir un abast molt superior al reconegut inicialment pel Departament de Justícia i Qualitat Democràtica. El sindicat assegura que els interns implicats haurien pogut accedir no només a documentació penitenciària, sinó també a informació d’altres departaments i organismes de la Generalitat.
Justícia ha reconegut l’existència de l’incident i ha obert una investigació per aclarir els fets. L’Agència de Ciberseguretat de Catalunya està analitzant com es va produir l’accés i quines afectacions se’n poden haver derivat. El cas també s’ha denunciat al jutjat de guàrdia de Figueres i s’ha comunicat a l’Autoritat Catalana de Protecció de Dades.
Segons la informació de què assegura disposar CSIF Presons, els interns haurien tingut al seu abast llistats de personal, comandaments i equips directius, protocols de seguretat, plànols, normativa, ordres i formularis modificables. El sindicat sosté que alguns d’aquests documents podrien contenir informació susceptible de comprometre la seguretat dels centres penitenciaris.
A més, afirma que haurien pogut consultar comptes de peculi dels interns i manipular el servei telefònic del centre, anul·lant les limitacions de temps de les trucades i el nombre màxim de comunicacions setmanals.
Possible accés a dades mèdiques i judicials
El sindicat sosté que la incidència podria anar més enllà de l’àmbit penitenciari perquè hauria quedat exposada la intranet de la Generalitat, amb l’excepció de la xarxa dels Mossos d’Esquadra, que disposen d’una infraestructura pròpia.
CSIF assegura que els interns haurien pogut visualitzar i descarregar dades sanitàries i proves mèdiques, documentació de jutjats i informació d’organismes com el Servei Públic d’Ocupació de Catalunya (SOC), Habitatge, l’Agència Catalana de l’Aigua (ACA), la Junta Electoral i diverses empreses públiques.
El sindicat remarca, però, que aquests extrems estan pendents de ser confirmats per la investigació. En cas que es corroborin, considera que es tractaria d’un incident amb un abast molt més ampli del que es desprèn de la comunicació inicial de Justícia i que podria haver compromès informació especialment sensible.
Per aquest motiu, reclama determinar quins sistemes van quedar exposats, quines dades van poder ser consultades i durant quant de temps es va mantenir oberta aquesta possibilitat d’accés.
Un intern hauria alertat abans d’una vulnerabilitat
CSIF també assegura que un dels interns implicats ja havia informat anteriorment de l’existència d’una vulnerabilitat de seguretat en el sistema utilitzat per Justícia i que, fins i tot, hauria estat recompensat per la seva ajuda.
El sindicat afegeix que, durant la implantació del projecte En Viu Digital, un treballador que hi participava hauria elaborat un informe advertint de mancances de seguretat del sistema. Segons CSIF, posteriorment es va prescindir dels seus serveis.
Davant d’aquests antecedents, el sindicat reclama que s’investigui si l’Administració havia rebut avisos previs, quan es van produir i quines actuacions es van dur a terme per comprovar i corregir les possibles vulnerabilitats.
CSIF arriba a plantejar que la facilitat amb què, segons la seva informació, s’hauria produït l’accés podria indicar que no es tractava simplement d’un error en els filtres de seguretat. El sindicat especula fins i tot amb la possibilitat que la vulnerabilitat hagués pogut ser utilitzada prèviament per tercers, un extrem sobre el qual no aporta proves i que haurà de determinar la investigació.
Reclamen investigar T-Systems
El sindicat demana que la investigació analitzi també el paper dels serveis tecnològics externalitzats i, en particular, els prestats per T-Systems ITC Iberia. CSIF precisa que no atribueix cap responsabilitat a l’empresa abans que finalitzin les investigacions.
Sí que reclama determinar quins serveis prestava, quines responsabilitats de seguretat tenia assumides contractualment, quins mecanismes de control existien, si van funcionar correctament i si hi havia vulnerabilitats conegudes o comunicades prèviament.
CSIF destaca que T-Systems manté una relació contractual important amb la Generalitat a través del Centre de Telecomunicacions i Tecnologies de la Informació (CTTI). Segons les dades recollides pel sindicat, des del 2010 les adjudicacions acumulades a l’empresa superarien els 500 milions d’euros.
Entre els contractes que cita hi ha un bloc de quinze projectes tecnològics adjudicats el 2023 per 164 milions d’euros. També assenyala un contracte adjudicat el 2024 a una UTE formada per SDG i T-Systems per 1,27 milions d’euros per a serveis relacionats amb aplicacions de Justícia.
El sindicat també apunta a la pròrroga, el 2025, d’un contracte de control i gestió de centres de dades amb un valor estimat de 120 milions d’euros durant dos anys i a una adjudicació del gener d’aquest 2026 per 1,98 milions vinculada, entre altres qüestions, al sistema de gestió processal de menors i la Sala Penal del Tribunal Superior de Justícia.
Exigeixen conèixer l’abast de la investigació
CSIF reclama que els representants dels treballadors rebin informació continuada sobre les investigacions de l’Agència de Ciberseguretat, les actuacions judicials i les diligències de l’Autoritat Catalana de Protecció de Dades.
El sindicat vol conèixer l’abast real de l’incident, els sistemes i dades afectats, els col·lectius potencialment perjudicats, les mesures de contenció adoptades, les vulnerabilitats detectades i els possibles avisos previs.
També exigeix que, si les investigacions detecten negligències, errors, incompliments contractuals, deficiències de seguretat o manca de diligència en la protecció de les dades, es depurin les responsabilitats administratives, tècniques o contractuals que corresponguin.
Finalment, CSIF reconeix la feina de la plantilla de Puig de les Basses i especialment dels treballadors que van detectar i investigar inicialment els fets. També destaca la rapidesa amb què la direcció del centre i la Direcció General van adoptar mesures una vegada coneguda la incidència.
El sindicat considera prioritari aclarir per què existia la vulnerabilitat, si podia haver estat detectada abans i si els mecanismes de seguretat de l’Administració eren suficients per protegir la informació dels treballadors i els sistemes de la Generalitat.
