Resumen ejecutivo

Tres internos del Centro Penitenciario de Puig de les Basses, en Figueres, entraron en la red corporativa de la Generalitat de Cataluña a través de las pantallas táctiles para videollamadas del centro y llegaron hasta doce carpetas compartidas con 26.000 documentos internos. Copiaron dos de esas carpetas en un ordenador que tenían a su disposición. El Departamento de Justicia confirmó el acceso el 12 de agosto de 2026 y lo describió como un incidente contenido, sin afectación a sistemas críticos. Ocho días después, el 20 de agosto, la información publicada por El País cambió el relato: entre los documentos había nombres, números de DNI, correos electrónicos y matrículas de vehículos de funcionarios del centro.

El sindicato SICAP-Fepol sitúa el primer acceso en febrero de 2026 y calcula que los internos copiaron unos 40 GB de datos personales, con el 97% de la actividad concentrada en julio. El centro no detectó nada hasta el 9 de agosto, casi seis meses después del primer acceso según esa cronología. La Generalitat descarta, sin poder confirmarlo del todo, que la información saliera del centro por USB u otro dispositivo externo. Esa ambigüedad, junto con la distancia entre el primer comunicado y la versión posterior, es uno de los puntos que este análisis desarrolla con más detalle.

El artículo examina el caso desde tres ángulos jurídicos. El primero es la protección de datos: el artículo 32 del RGPD obliga a la Administración a implementar medidas de seguridad proporcionadas al riesgo, y la falta de segmentación entre la red de uso de los internos y la red corporativa apunta a un incumplimiento de ese deber. Los artículos 33 y 34 exigen además notificar la violación a la autoridad de control en 72 horas y, cuando el riesgo para los afectados sea alto, comunicarla también a cada persona implicada. El texto revisa si esas obligaciones se cumplieron con los datos hoy disponibles y qué preguntas quedan abiertas.

El segundo ángulo es la seguridad de la información en el sector público. El Esquema Nacional de Seguridad exige segmentación de redes, control de accesos y detección temprana de intrusiones proporcional al riesgo del sistema. El hecho de que tres internos sin perfil técnico especializado lograran moverse desde un terminal de videollamadas hasta carpetas administrativas señala un fallo de diseño, no una operación sofisticada. El sindicato SICAP-Fepol ya había avisado desde 2025 de deficiencias en la configuración de esos equipos, un dato que traslada parte del análisis del terreno técnico al de la gobernanza: qué se sabía, cuándo, y qué se hizo con esa información.

El tercer ángulo cubre los regímenes de responsabilidad que podrían activarse: la responsabilidad patrimonial de la Generalitat frente a los funcionarios afectados, la eventual responsabilidad disciplinaria de quienes gestionaban la seguridad del centro, la responsabilidad penal de los tres internos por los delitos de descubrimiento y revelación de secretos del artículo 197 del Código Penal, y la posible responsabilidad de la empresa que suministró el sistema, una vía que UGT ya ha reclamado que se investigue.

El análisis recoge también las exigencias planteadas por UGT, CC.OO. y Catac en su reunión del 20 de agosto con el Departamento de Justicia: transparencia sobre el alcance real del incidente, recuperación de las matrículas protegidas para los vehículos de los trabajadores penitenciarios y una investigación sobre la responsabilidad del proveedor. La Generalitat ha respondido con el refuerzo de los cortafuegos, la separación de los tres internos en centros distintos y un informe-auditoría de la Agencia de Ciberseguridad de Cataluña que tardará semanas en estar listo.

El artículo cierra con ocho recomendaciones dirigidas a cualquier centro penitenciario o administración que gestione datos sensibles en entornos de acceso mixto: segmentación de red verificada mediante auditoría, sistemas de detección de intrusiones, un procedimiento formal para gestionar alertas de seguridad, cumplimiento estricto de los plazos del RGPD, auditorías periódicas, protección concreta para los afectados, coordinación entre administraciones y formación continua del personal. El caso de Puig de les Basses no es solo un incidente aislado: es una prueba de que la seguridad de la información en el sector público exige revisión constante, no respuestas después del hecho.

1. Introducción: el incidente y su relevancia sistémica

1.1. Contexto del ciberataque en Puig de les Basses

El 12 de agosto de 2026, el Departamento de Justicia de la Generalitat de Cataluña confirmó la detección de un acceso no autorizado al sistema informático del Centro Penitenciario de Puig de les Basses, ubicado en Figueres (Girona) (2). La investigación preliminar señaló que tres internos del centro habían vulnerado la seguridad de la red corporativa, accediendo a documentación interna de la administración penitenciaria. El incidente fue puesto en conocimiento del juzgado de instrucción competente y notificado a la Autoridad Catalana de Protección de Datos (2).

Ocho días después, el 20 de agosto, el mismo diario amplió la información con datos en gran medida más graves (1). Según esta nueva revelación, los reclusos no se limitaron a visualizar documentos, sino que accedieron a información personal sensible de los funcionarios del centro: nombres completos, números de documento nacional de identidad, direcciones de correo electrónico y matrículas de sus vehículos particulares (1). El acceso alcanzó doce carpetas compartidas que contenían 26.000 documentos pertenecientes a la conselleria y a otros departamentos de la Generalitat. De esas doce carpetas, dos fueron copiadas en un ordenador utilizado por los internos (1). La investigación judicial se encuentra bajo secreto de actuaciones, y su dirección corre a cargo de la unidad de delitos informáticos de los Mossos d'Esquadra, en colaboración con la Agencia de Ciberseguridad de Cataluña (1).

La gravedad del caso radica en varios factores concurrentes. En primer lugar, el vector de ataque no procedía del exterior, sino que se originó en el interior del centro penitenciario a través de los terminales de uso de los presos (en concreto, las pantallas táctiles habilitadas para realizar videollamadas, que llevaban en funcionamiento poco más de un año (1)). Este hecho evidencia una vulneración crítica de los principios de segmentación de redes y aislamiento lógico entre los sistemas destinados a la población reclusa y los sistemas corporativos de gestión administrativa. En segundo lugar, el lapso temporal durante el cual el acceso pudo haber estado activo (según el sindicato SICAP-Fepol, desde febrero de 2026 (6)) plantea interrogantes sobre los mecanismos de monitorización y detección temprana de intrusiones. En tercer lugar, la naturaleza de los datos comprometidos (datos de carácter personal de funcionarios públicos, incluyendo identificadores unívocos y elementos que permiten la geolocalización de sus vehículos) trasciende el mero perjuicio organizativo y proyecta riesgos concretos sobre la seguridad física de los trabajadores y sus familias.

El Departamento de Justicia ha afirmado que, hasta el momento, no existe constancia de que la información haya sido extraída mediante dispositivos de almacenamiento externo (memorias USB), si bien tampoco puede garantizar que no se haya producido dicha exfiltración (1). Esta ambigüedad constituye, por sí misma, un elemento de incertidumbre relevante que será analizado en secciones posteriores.

1.2. Metodología y fuentes del análisis

El presente estudio adopta una metodología analítico-documental, basada en la revisión sistemática de las fuentes periodísticas disponibles y los comunicados oficiales emitidos por la Generalitat de Cataluña y las organizaciones sindicales del sector penitenciario. Dado que el proceso judicial se encuentra bajo secreto de sumario y la auditoría técnica encargada a la Agencia de Ciberseguridad de Cataluña no ha hecho público aún su dictamen (1), el análisis que se expone a continuación se circunscribe con rigor a la información verificable contenida en las fuentes abiertas.

Las fuentes primarias de esta investigación son las informaciones publicadas por los medios de comunicación nacionales y regionales entre el 12 y el 20 de agosto de 2026, contrastadas entre sí para identificar convergencias, divergencias y matices. En concreto, se han utilizado los reportajes de El País (1) (2), El Periódico (3), La Vanguardia (4), El Mundo (5), Diari de Girona (6) (7), las agencias Europa Press (8) e Infobae/EFE (9), así como las coberturas en lengua inglesa (10) (11) y catalana (12) (13). Todas ellas han sido cotejadas con el contenido del comunicado oficial del Departamento de Justicia difundido a través de Europa Press (8).

Se ha aplicado el principio de jerarquía de fuentes establecido en la metodología: los comunicados institucionales y las declaraciones oficiales prevalecen sobre las interpretaciones sindicales, si bien estas últimas se incorporan en la medida en que aportan datos fácticos (como la alerta previa formulada por SICAP-Fepol ya en 2025 sobre deficiencias en la configuración de equipos (3) (4)) o amplían el alcance del incidente (como la afirmación de que se habrían copiado 40 GB de datos, extremo que no ha sido confirmado de forma oficial (6)). Las afirmaciones no respaldadas por la documentación oficial se identifican de forma expresa como hipótesis o reivindicaciones sindicales, sin atribuirles el carácter de hechos probados.

1.3. Estructura del trabajo

El artículo se organiza en ocho secciones principales. Tras esta introducción, la Sección 2 presenta una cronología detallada de los hechos, distinguiendo entre la comunicación inicial del 12 de agosto y las revelaciones posteriores, y describe el perfil de los autores, el vector de ataque y la naturaleza de los datos afectados. La Sección 3 examina el marco normativo aplicable en materia de protección de datos personales (RGPD y LOPDGDD), seguridad de la información en el sector público (Esquema Nacional de Seguridad) y deberes de custodia de la Administración. La Sección 4 aborda el análisis técnico de la seguridad del sistema, incluyendo la arquitectura de red, las deficiencias preexistentes advertidas por los sindicatos y el papel de las pantallas táctiles como vector de entrada. La Sección 5 explora las consecuencias jurídicas y los regímenes de responsabilidad (patrimonial, disciplinaria y penal) que podrían derivarse del incidente. La Sección 6 recoge las reacciones de los representantes de los trabajadores y las medidas adoptadas por la Administración. La Sección 7 identifica los riesgos materiales y reputacionales para los funcionarios afectados y para la Generalitat, extrayendo lecciones aplicables a otros centros penitenciarios. Por último, la Sección 8 sintetiza las conclusiones del análisis y formula recomendaciones de carácter preventivo. El trabajo se cierra con la bibliografía completa, que recoge todas las fuentes citadas a lo largo del texto.

---

2. Hechos comprobados: cronología, vectores de ataque y datos afectados

2.1. Detección del incidente y primeras comunicaciones oficiales

El 12 de agosto de 2026, el Departamento de Justicia y Calidad Democrática de la Generalitat de Cataluña hizo público que había detectado un acceso no autorizado a "documentación compartida ubicada en unidades de red" desde el Centro Penitenciario de Puig de les Basses, en Figueres (Alt Empordà) (1). La notificación oficial precisaba que el incidente había sido detectado por los responsables del centro penitenciario (sin especificar la fecha exacta de la detección), quienes activaron de forma inmediata las medidas de seguridad correspondientes y corrigieron el acceso indebido (1) (7). Según el comunicado inicial, "no se ha producido acceso alguno a sistemas de información penitenciarios críticos ni ha comprometido el funcionamiento de los servicios del centro" (7).

Ese mismo día, el director general de Asuntos Penitenciarios, Domingo Estepa, mantuvo una reunión extraordinaria con representantes de las organizaciones sindicales del ámbito penitenciario para informarles del incidente y de las medidas adoptadas (1) (2). Al mismo tiempo, el Departamento denunció los hechos ante el Juzgado de Instrucción de guardia de Figueres y notificó el ciberataque a la Autoridad Catalana de Protección de Datos (1) (2). La investigación quedó bajo la dirección de la unidad de delitos informáticos de la División de Investigación Criminal (DIC) de los Mossos d'Esquadra, en colaboración con la Agencia de Ciberseguridad de Cataluña, que inició un análisis técnico exhaustivo para determinar cómo se produjo el acceso y sus posibles afectaciones (7).

El comunicado inicial del 12 de agosto no detallaba el momento en que se produjo el ciberataque ni ofrecía precisiones sobre la naturaleza de la documentación a la que habían accedido los internos (1). La información disponible en esa primera fase se limitaba a señalar que los presuntos responsables eran internos del centro (ya identificados) y que el incidente no había comprometido sistemas críticos (4).

2.2. Autores: perfil de los internos y medios utilizados

Las investigaciones permitieron identificar a los autores del ciberataque como tres internos del Centro Penitenciario de Puig de les Basses (0). Según fuentes cercanas al caso citadas por El País, los reclusos que accedieron al sistema (en un primer momento se mencionó a dos internos) consiguieron vulnerar la seguridad del sistema a través de las pantallas táctiles habilitadas para realizar videollamadas, que llevaban en funcionamiento poco más de un año (1). Un dato relevante, subrayado por las mismas fuentes, es que los autores no se encontraban en el centro penitenciario por delitos informáticos (1). Esta circunstancia (internos sin perfil técnico especializado logrando vulnerar la segmentación de la red corporativa) apunta a deficiencias estructurales en la arquitectura de seguridad más que a una sofisticación excepcional del ataque.

Tras la identificación de los responsables, la Generalitat procedió a separar a los tres internos en distintos centros penitenciarios (0), medida cautelar orientada a interrumpir cualquier posible continuidad del acceso y a preservar la integridad de la investigación judicial.

El vector de ataque (las pantallas táctiles para videollamadas) constituye un elemento de particular interés técnico. Estos terminales, diseñados para uso de la población reclusa, deberían operar en un entorno de red en sentido estricto segregado del sistema corporativo de la administración penitenciaria. El hecho de que los internos lograran acceder a documentación interna a través de estos dispositivos evidencia, como señaló el sindicato SICAP-Fepol, que "la separación entre los equipos destinados al uso de los internos y los sistemas corporativos no ha funcionado" (2). No consta en las fuentes disponibles una explicación técnica detallada sobre la metodología empleada por los internos para vulnerar la segmentación; dicha información, en su caso, formará parte del informe-auditoría que está elaborando la Agencia de Ciberseguridad de Cataluña y que, según la información proporcionada a los sindicatos, tardará semanas en estar terminado debido a la complejidad del análisis (0).

2.3. Alcance del acceso: carpetas, documentos y naturaleza de la información comprometida

La ampliación de la información publicada el 20 de agosto de 2026 reveló que el alcance del ciberataque era en gran medida más grave de lo que se había comunicado al principio (0). Según fuentes sindicales (en particular UGT, que mantuvo reuniones con responsables técnicos de la conselleria y con el director general de Asuntos Penitenciarios), los presos accedieron desde febrero a doce carpetas que contenían 26.000 documentos, tanto de la conselleria como de otros departamentos de la Generalitat (0). De esas doce carpetas compartidas, dos fueron copiadas en uno de los ordenadores utilizados por los internos (0).

La naturaleza de la información comprometida incluye:

• Nombres completos de funcionarios del centro penitenciario (0).
• Números de documento nacional de identidad (DNI) (0).
• Direcciones de correo electrónico (0).
• Matrículas de los vehículos particulares de varios funcionarios (0).
• Listados antiguos de personal (5).
• Teléfonos corporativos de mandos y voluntarios (0).

El sindicato SICAP-Fepol, por su parte, ha ofrecido cifras adicionales que, aunque no han sido confirmadas de forma oficial, merecen ser consignadas con la debida cautela. Según esta organización, los internos habrían accedido a 26.000 documentos a lo largo de seis meses, copiando cerca de 40 GB de información personal de los trabajadores (5). El primer acceso se habría producido en febrero de 2026, si bien el 97% de la actividad detectada se concentraría en el mes de julio (5). El centro penitenciario no habría detectado el acceso a los datos hasta el 9 de agosto (5), lo que implicaría un período de actividad no detectada de cerca de seis meses. La fuente no aclara si este dato (el 9 de agosto como fecha de detección) procede de la Dirección General o de otras fuentes consultadas por el sindicato.

El Departamento de Justicia, por su parte, ha matizado el alcance de la exposición. Según la información trasladada a UGT, "prácticamente se puede descartar que hayan accedido al portal de los funcionarios ni a archivos con fichas o fotografías de trabajadores ni a cuentas bancarias" (0). No obstante, el mismo sindicato señala que, si bien "aún no se tiene constancia de que estos documentos copiados en Backup se hayan filtrado de ningún manera en cualquier lugar, o copiado en un dispositivo USB", también "tampoco pueden asegurar que no haya sido así" (0). Esta ambigüedad constituye un elemento de incertidumbre relevante, pues la mera ausencia de evidencia de exfiltración no equivale a certeza sobre su inexistencia.

Los documentos accedidos, según las fuentes disponibles, abarcan un período de cuatro a cinco años e incluyen listados de personal con firma electrónica (0). La inclusión de firmas electrónicas en los documentos comprometidos eleva el nivel de riesgo, toda vez que estos elementos pueden ser utilizados en intentos de suplantación de identidad o en ataques de ingeniería social dirigidos contra los funcionarios afectados o contra terceros con los que estos mantengan relaciones institucionales.

2.4. Evolución de la información: de la comunicación inicial a los datos aportados por los sindicatos

El análisis de la secuencia informativa revela una discrepancia significativa entre la comunicación inicial del Departamento de Justicia (12 de agosto) y la información que fue emergiendo en los días posteriores, sobre todo a través de las declaraciones sindicales y la publicación del 20 de agosto en El País.

La primera comunicación oficial (12 de agosto) presentaba el incidente como un acceso no autorizado a documentación compartida, sin especificar la naturaleza de los datos ni la magnitud del volumen comprometido, y enfatizaba que no se habían visto afectados sistemas críticos (1) (7). El comunicado transmitía una imagen de incidente contenido y controlado.

Sin embargo, la información conocida a partir del 20 de agosto (y ya anticipada por las denuncias sindicales) revela un escenario de mayor gravedad: acceso a datos personales de funcionarios, copia de carpetas completas en equipos de los internos, y un período de actividad que se extiende desde febrero hasta agosto. El sindicato SICAP-Fepol ha criticado de forma expresa que el Departamento de Justicia minimizara al principio el alcance del ciberataque, calificándolo de "extrema gravedad" y señalando que la información conocida después "contradice el relato inicial" de Justicia, que habría definido el acceso de los internos como "puntual y limitado" (5).

La fuente no aclara si esta discrepancia obedece a que, en el momento de la primera comunicación, el Departamento carecía aún de una visión completa del alcance del incidente, o si responde a una decisión deliberada de limitar la información pública. El hecho de que la investigación se encuentre bajo secreto de actuaciones (0) podría explicar, al menos en parte, la parquedad de la comunicación inicial. No obstante, el deber de información a los afectados (y, en particular, a los funcionarios cuyos datos personales han resultado comprometidos) constituye una obligación derivada del artículo 34 del Reglamento General de Protección de Datos (RGPD), extremo que será analizado en la Sección 3.

Un elemento adicional de divergencia entre las fuentes es el número de autores. Mientras la comunicación inicial aludía a dos internos (1), la información posterior del 20 de agosto menciona a tres presos (0). La fuente no aclara si esta variación responde a la identificación de un tercer implicado en el curso de la investigación o a una imprecisión en la información al principio disponible.

En cuanto a las medidas adoptadas, el Departamento de Justicia ha comunicado que las cárceles catalanas están reforzando los cortafuegos para impedir ataques similares (2). No obstante, la información disponible no especifica si estas medidas consisten en un refuerzo de los mecanismos de segmentación de red (que habrían fallado en el presente caso) o en otras actuaciones de distinta naturaleza. El informe de la Agencia de Ciberseguridad de Cataluña, cuyo resultado se espera en semanas (0), deberá proporcionar un diagnóstico técnico detallado que permita determinar con precisión las causas del fallo y las medidas correctoras necesarias.

---

3. Marco normativo aplicable

3.1. Protección de datos personales: RGPD (UE) 2016/679 y LOPDGDD 3/2018

El acceso no autorizado a información personal de funcionarios del Centro Penitenciario de Puig de les Basses sitúa el incidente en el ámbito de aplicación del Reglamento General de Protección de Datos (RGPD), Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (13). El RGPD establece, en su artículo 1, que "la protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental" (13). El artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea consagran el derecho de toda persona a la protección de los datos de carácter personal que le conciernan (13).

En el ordenamiento jurídico español, el RGPD se complementa con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) (14). Esta ley orgánica tiene por objeto la adaptación del ordenamiento jurídico español al RGPD (14). Corresponde a la Agencia Española de Protección de Datos (AEPD) supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 (14). La LOPDGDD contiene disposiciones específicas aplicables a los tratamientos de datos en el sector público, incluyendo los registros de personal (14).

La aplicación de la normativa de protección de datos al presente caso exige examinar varias obligaciones concretas del responsable del tratamiento (en este caso, la Generalitat de Cataluña como administración pública titular del centro penitenciario). En primer lugar, el artículo 32 del RGPD impone a los responsables del tratamiento la obligación de determinar y establecer las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (15). Este precepto exige una evaluación de los riesgos que presenta el tratamiento de datos, considerando en particular los riesgos que se derivan de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o de la comunicación o acceso no autorizados a dichos datos (15). El deber de seguridad del artículo 32 RGPD es, por tanto, un deber de medios cualificado: el responsable debe implementar medidas proporcionadas al riesgo, pero la ausencia de una segmentación efectiva entre redes de uso interno y redes corporativas (como la que ha permitido el acceso desde terminales de internos) constituye, prima facie, una infracción de este deber.

En segundo lugar, el artículo 33 del RGPD impone al responsable del tratamiento la obligación de notificar a la autoridad de control competente (en este caso, la Autoridad Catalana de Protección de Datos) cualquier violación de la seguridad de los datos personales, a menos que sea improbable que dicha violación constituya un riesgo para los derechos y libertades de las personas físicas. La notificación debe efectuarse, en la medida de lo posible, en un plazo máximo de 72 horas a partir de que el responsable haya tenido conocimiento de la violación. El Departamento de Justicia comunicó el 12 de agosto que ya había notificado el incidente a la Autoridad Catalana de Protección de Datos (1) (2). La fuente no aclara, sin embargo, si dicha notificación se produjo dentro del plazo legal ni si incluía todos los elementos exigidos por el artículo 33 (naturaleza de la violación, categorías y número aproximado de registros y afectados, consecuencias y medidas adoptadas).

En tercer lugar, el artículo 34 del RGPD establece que, "cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento comunicará la violación al interesado sin dilación indebida" (16). La comunicación debe describir, con un lenguaje claro y sencillo, la naturaleza de la violación, las medidas adoptadas o propuestas para paliarla, y las recomendaciones para mitigar posibles efectos adversos (16). La información comprometida en el incidente (nombres, DNIs, correos electrónicos y matrículas de vehículos) reúne los criterios para considerar que existe un "alto riesgo" en los términos del artículo 34: los datos permiten la identificación unívoca de los afectados y, en el caso de las matrículas, la localización de sus vehículos particulares. La LOPDGDD no introduce un régimen distinto para el sector público en este punto: remite al RGPD y al deber general de responsabilidad activa de los responsables del tratamiento (14). La fuente no aclara si la Generalitat ha comunicado de forma individual a los funcionarios afectados la violación de sus datos personales.

Un aspecto adicional relevante es la aplicación del principio de "protección de datos desde el diseño y por defecto" (privacy by design and by default), consagrado en el artículo 25 del RGPD. Este principio exige que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas, como la seudonimización, destinadas a aplicar los principios de protección de datos de manera efectiva e integrar las garantías necesarias en el tratamiento. La integración de terminales de uso de internos en la misma red que alberga información personal de funcionarios, sin una segmentación efectiva, constituye una vulneración de este principio de diseño.

3.2. Seguridad de la información en el sector público: Esquema Nacional de Seguridad

El Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS) (9), constituye el marco normativo de referencia para la seguridad de la información en la Administración Pública española. El ENS tiene por objeto "establecer la política de seguridad en la utilización de medios electrónicos en el ámbito de las relaciones entre la Administración Pública [...]" y "garantizar la seguridad de los sistemas de información" (9). Su ámbito de aplicación comprende todas las entidades de las administraciones públicas, incluyendo la Generalitat de Cataluña (9).

El ENS se fundamenta en una serie de principios básicos recogidos en su artículo 5, entre los que destacan: la seguridad como un proceso integral (artículo 6), la gestión de la seguridad basada en riesgos (artículo 7), y la existencia de una política de seguridad que defina la organización y los procedimientos a seguir. El artículo 28 del Real Decreto 311/2022, en relación con el Anexo I, establece que los sistemas de información deben adoptar las medidas de seguridad recogidas en el Anexo II correspondientes a su categoría (9). El Anexo I fija la secuencia para determinar esa categoría en función del impacto que tendría una eventual vulneración de la seguridad sobre los activos del sistema (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad), y la clasifica en nivel básico, medio o alto (9). Los datos personales de funcionarios (nombres, DNIs, correos y matrículas) tienen, sin duda, una relevancia que exige, como mínimo, la aplicación de medidas de seguridad de nivel medio, cuando no alto.

Uno de los principios fundamentales del ENS es la segmentación de redes y el aislamiento lógico entre sistemas de diferente nivel de criticidad. El Anexo I del Real Decreto 311/2022 detalla las medidas de seguridad aplicables en función de la categoría del sistema (9). Entre estas medidas se incluyen controles de acceso, autenticación, gestión de incidentes de seguridad, y protección de las comunicaciones. El hecho de que los internos pudieran acceder desde terminales de uso recluso (las pantallas táctiles de videollamadas) a carpetas compartidas del sistema corporativo indica, en principio, una ausencia de los controles de segmentación exigidos por el ENS. La fuente no aclara si el sistema del Centro Penitenciario de Puig de les Basses se encontraba de forma adecuada categorizado y si las medidas de seguridad correspondientes a esa categoría estaban implementadas en el momento del ataque.

El ENS también exige que las administraciones públicas establezcan procedimientos de respuesta a incidentes de seguridad, incluyendo la detección temprana, el análisis y la comunicación a los afectados. El hecho de que el acceso pudiera haber estado activo desde febrero de 2026, según las afirmaciones de SICAP-Fepol (6), sin que el centro lo detectara hasta el 9 de agosto (5), plantea serias dudas sobre la adecuación de los mecanismos de monitorización y detección de intrusiones exigidos por el ENS. La fuente no aclara si estos mecanismos existían y funcionaban de forma correcta, o si, por el contrario, el incidente evidencia una deficiencia estructural en la capacidad de detección del centro penitenciario.

3.3. Normativa autonómica catalana en materia de transparencia, administración digital y ciberseguridad

El ordenamiento jurídico catalán aporta un tercer nivel normativo aplicable al incidente. La Ley 19/2014, de 29 de diciembre, de transparencia, acceso a la información pública y buen gobierno (11), tiene como principal ámbito subjetivo de aplicación las administraciones públicas de Cataluña, incluyendo la Administración de la Generalitat y sus entes dependientes (11). Esta ley establece el derecho de acceso a la información pública y los deberes de transparencia de la Administración catalana. Si bien su finalidad principal es garantizar el acceso ciudadano a la información, la ley también impone a la Administración la obligación de gestionar de forma adecuada la información pública, lo que incluye su custodia y protección.

El Decreto 76/2020, de 4 de agosto, de Administración digital de la Generalitat de Cataluña (12), configura el modelo de administración digital de la Generalitat y establece su gobernanza y servicios digitales (12). El artículo 34 de este decreto aborda la ciberseguridad en el ámbito de la administración digital, estableciendo que "la Administración de la Generalitat ha de disponer de un modelo de ciberseguridad que garantice la seguridad de los activos tecnológicos y de los [...]" (12). Este modelo de ciberseguridad se basa en una política de ciberseguridad que incluye y define los instrumentos para su aplicación (12). El Decreto 76/2020 exige, por tanto, a la Generalitat el establecimiento de un modelo de ciberseguridad que garantice la protección de sus activos tecnológicos y de la información que estos procesan. La vulneración de la seguridad de la red del centro penitenciario de Puig de les Basses plantea interrogantes sobre la implementación efectiva de este modelo en el ámbito de los centros penitenciarios catalanes.

La fuente no especifica si el modelo de ciberseguridad de la Generalitat, previsto en el Decreto 76/2020, se aplica a los centros penitenciarios y, en particular, al de Puig de les Basses, ni si dicho modelo incluía medidas específicas de segmentación entre redes de internos y redes corporativas. La mención en la noticia de que el Departamento de Justicia ha reforzado los cortafuegos tras el incidente (1) sugiere que, hasta ese momento, las medidas de seguridad en el ámbito del centro penitenciario no eran suficientes o no se ajustaban a lo exigido por el Decreto 76/2020.

3.4. Deber de custodia y secreto profesional de los funcionarios públicos

Más allá de la normativa específica de protección de datos y ciberseguridad, la Administración Pública está sujeta a un deber general de custodia de los documentos e información que obran en su poder. La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (10), establece, en su artículo 17.1, la obligación de las administraciones de disponer de un archivo electrónico de documentos y de garantizar la integridad, autenticidad, confidencialidad y conservación de los documentos electrónicos (10). Este deber de custodia se extiende a toda la documentación que obra en poder de la Administración, incluyendo los datos personales de los funcionarios.

El deber de custodia y confidencialidad se predica también de los funcionarios públicos de forma individual considerados, en virtud del deber de secreto profesional inherente a su condición. Si bien este deber no es aplicable al caso (los autores del ciberataque no son funcionarios, sino internos), sí lo es en relación con la responsabilidad de la Administración de garantizar que los datos confiados a sus funcionarios no sean accesibles por terceros no autorizados. La Administración, como responsable del tratamiento de los datos personales de sus empleados, está obligada a adoptar las medidas necesarias para preservar la confidencialidad de dichos datos frente a accesos no autorizados, ya provengan del exterior o del interior de la organización.

El artículo 18.4 de la Constitución Española reconoce el derecho fundamental a la protección de los datos de carácter personal, y el Tribunal Constitucional ha declarado en reiterada jurisprudencia que este derecho impone a los poderes públicos la obligación de adoptar las medidas necesarias para garantizar su efectividad. La vulneración de la seguridad que ha permitido el acceso a datos personales de funcionarios desde terminales de internos podría constituir, en su caso, una vulneración de este derecho fundamental, susceptible de amparo constitucional.

---

4. Análisis de la seguridad del sistema: fallos de segmentación y gobernanza

4.1. La arquitectura de red del centro penitenciario: terminales de internos frente a sistemas corporativos

El principio fundamental de cualquier arquitectura de red segura en un entorno penitenciario es la segmentación estricta entre los sistemas a los que pueden acceder los internos y aquellos que constituyen el núcleo corporativo de la administración. Esta segmentación no es una mera recomendación técnica, sino una exigencia derivada del Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, de 3 de mayo (9). El ENS establece, en su articulado y anexos, que los sistemas de información deben categorizarse en función del impacto que tendría una vulneración de la seguridad, y que las medidas de seguridad aplicables deben ser proporcionadas a dicha categoría (9). La información de carácter personal de los funcionarios (nombres, DNIs, correos electrónicos, matrículas) constituye, sin duda, un activo cuya compromisión exige, como mínimo, medidas de seguridad de nivel medio, cuando no alto (9).

En el caso de Puig de les Basses, la evidencia disponible indica que esta segmentación no funcionó. El sindicato SICAP-Fepol ha denunciado que "la separación entre los equipos destinados al uso de los internos y los sistemas corporativos no ha funcionado" (2). Esta afirmación, si se confirma, apunta a una vulneración de los principios básicos del ENS: el principio de seguridad integral (artículo 6), que exige que la seguridad se considere un proceso global y continuo; el principio de gestión de riesgos (artículo 7), que obliga a identificar, analizar y tratar los riesgos; y el principio de proporcionalidad, que exige medidas adecuadas a la naturaleza de la información (9).

La arquitectura de red que debería haber estado implementada en el centro penitenciario incluía, con toda probabilidad, como mínimo, los siguientes elementos:

• VLANs (Redes Locales Virtuales) separadas para los terminales de uso de internos y para los sistemas corporativos.
• Firewalls de segmentación con políticas de acceso que impidieran el tráfico entre ambas redes, salvo excepciones en sentido estricto controladas.
• Control de acceso basado en privilegios (principio de mínimo privilegio), de modo que cada usuario solo pudiera acceder a los recursos en sentido estricto necesarios para su función.
• Monitorización continua de la actividad en la red, con sistemas de detección de intrusiones (IDS) y sistemas de prevención de intrusiones (IPS) capaces de identificar patrones anómalos.

La fuente no aclara si estas medidas estaban implementadas en el centro penitenciario de Puig de les Basses antes del incidente. Sin embargo, el hecho de que los internos pudieran acceder a carpetas compartidas del sistema corporativo (y, más aún, que dos de esas carpetas fueran copiadas en un ordenador utilizado por ellos) sugiere que, o bien las medidas de segmentación eran insuficientes, o bien existían configuraciones erróneas que permitían el acceso no autorizado. El Departamento de Justicia ha anunciado, tras el incidente, que las cárceles catalanas están reforzando los cortafuegos para impedir ataques similares (1) (2), lo que parece confirmar que, hasta ese momento, las medidas de seguridad no eran las adecuadas.

4.2. Deficiencias previas advertidas por el sindicato SICAP-Fepol desde 2025

Uno de los elementos más relevantes del análisis de la seguridad del sistema es la existencia de alertas previas formuladas por el sindicato SICAP-Fepol. Según las fuentes consultadas, tanto internos como trabajadores habían advertido desde 2025 "de la existencia de accesos indebidos y de deficiencias en la configuración y el control de estos equipos" (2). El sindicato ha recordado que "desde 2025 advierten de la existencia de accesos indebidos y deficiencias en la configuración y el control de los equipos informáticos cedidos a los presos" (3). Asimismo, ha denunciado que ya desde 2025 se estaba alertando de que los internos de distintas cárceles habían podido acceder a datos confidenciales de Justicia desde los mismos ordenadores que tienen a su disposición en los centros penitenciarios (4).

Estas advertencias tempranas adquieren una relevancia crucial desde la perspectiva de la gobernanza de la seguridad. Si las alertas fueron conocidas por los responsables del centro o por el Departamento de Justicia y no se actuó con la diligencia debida, el incidente dejaría de ser un mero fallo técnico para convertirse en un fallo de gestión con posibles implicaciones en materia de responsabilidad patrimonial y disciplinaria. El propio sindicato ha señalado que "si estas alertas fueron conocidas y no se actuó con la rapidez y la contundencia necesarias, no estaríamos únicamente ante un fallo técnico, sino ante una negligencia en la gestión de la seguridad" (2).

La fuente no aclara, sin embargo, si estas alertas fueron por escrito comunicadas al Departamento de Justicia, si se documentaron por escrito, y cuál fue la respuesta de la administración. Tampoco se especifica si existían procedimientos establecidos para la gestión de vulnerabilidades y la corrección de deficiencias de configuración. Esta ausencia de información impide determinar si el incidente responde a una falta de recursos, a una inacción deliberada o a una combinación de ambos factores.

4.3. El papel de las pantallas táctiles para videollamadas como vector de entrada

Un elemento técnico de especial relevancia es el vector de ataque utilizado por los internos. Según fuentes cercanas al caso, los reclusos consiguieron vulnerar la seguridad del sistema a través de las pantallas táctiles habilitadas para realizar videollamadas, que llevaban en funcionamiento poco más de un año (1). La información disponible indica que los internos accedieron al sistema la tarde del domingo 9 de agosto, o al menos fue entonces cuando se detectó el acceso (1).

Las pantallas táctiles para videollamadas constituyen un punto de entrada crítico por varias razones. En primer lugar, son dispositivos situados en zonas de acceso de los internos, lo que significa que el control físico sobre ellos es limitado. En segundo lugar, su función principal (realizar videollamadas) requiere conectividad a redes externas, lo que puede implicar la existencia de pasarelas o proxies que, si no están de forma correcta configurados, pueden ofrecer vectores de escape hacia otras redes. En tercer lugar, estos dispositivos suelen ejecutar sistemas operativos o aplicaciones que pueden contener vulnerabilidades no parcheadas.

El hecho de que los autores del ataque no sean internos condenados por delitos informáticos (1) sugiere que la vulneración no requirió de una sofisticación técnica excepcional. Esto apunta a que el fallo de seguridad residía en la configuración de la red y en la falta de aislamiento entre los terminales de uso de internos y los sistemas corporativos, más que en la explotación de una vulnerabilidad compleja en el software de las pantallas táctiles. Como ha señalado SICAP-Fepol, "no estamos ante una incidencia menor ni ante un fallo puntual: estamos ante una brecha que compromete la confidencialidad de información pública sensible" (2).

La fuente no aclara si las pantallas táctiles estaban conectadas a la misma red que los sistemas corporativos, o si existían mecanismos de autenticación y autorización específicos para su uso. Tampoco se especifica si se realizaron auditorías de seguridad específicas sobre estos dispositivos antes de su puesta en funcionamiento, como exige el principio de "seguridad desde el diseño" (security by design) del ENS.

4.4. Evaluación preliminar de la Agencia de Ciberseguridad de Cataluña

La Agencia de Ciberseguridad de Cataluña, creada para garantizar la ciberseguridad de los sistemas de la Generalitat, está elaborando un informe-auditoría de las consecuencias de este ataque informático (0). Según la información proporcionada por el Govern a los sindicatos, el informe de la Agencia tardará semanas en estar terminado, por la complejidad del análisis (0). La Agencia está llevando a cabo "un análisis técnico exhaustivo para determinar cómo se ha producido este acceso y las posibles afectaciones derivadas de los hechos" (1) (2).

La evaluación preliminar de la Agencia se centra, con toda probabilidad, en varios aspectos clave:

• Identificación del vector de ataque: determinar con precisión cómo los internos lograron pasar de los terminales de videollamadas a los sistemas corporativos.
• Análisis de los controles de acceso: evaluar si los mecanismos de autenticación y autorización eran suficientes y si se aplicaron de forma correcta.
• Evaluación de la segmentación de red: verificar si existía una separación efectiva entre las redes de internos y las redes corporativas.
• Análisis de logs y registros de actividad: reconstruir la cronología del acceso y determinar qué información fue visualizada, copiada o exfiltrada.
• Identificación de vulnerabilidades: detectar las debilidades de configuración o de diseño que permitieron el incidente.

El hecho de que el informe de la Agencia de Ciberseguridad de Cataluña se encuentre aún en elaboración (0) y bajo secreto de actuaciones limita la posibilidad de realizar un análisis más detallado en este momento. La fuente no aclara si la Agencia ha emitido recomendaciones provisionales o si ha ordenado la adopción de medidas cautelares adicionales más allá del refuerzo de cortafuegos ya comunicado. Tampoco se especifica si la Agencia ha colaborado con la unidad de delitos informáticos de los Mossos d'Esquadra en la investigación judicial, o si sus respectivos ámbitos de actuación se mantienen separados.

Desde la perspectiva de la gobernanza de la seguridad, la demora en la finalización del informe-auditoría ("semanas", según la información proporcionada a los sindicatos (0)) plantea interrogantes sobre la capacidad de la Agencia para dar una respuesta ágil a incidentes de esta naturaleza. Si bien es comprensible que un análisis técnico exhaustivo requiera tiempo, la existencia de datos personales de funcionarios comprometidos exige una actuación rápida para minimizar los riesgos para los afectados, tal como exige el artículo 34 del RGPD en materia de comunicación de violaciones de seguridad a los interesados (16).

---

5. Consecuencias jurídicas y responsabilidades

5.1. Responsabilidad de la Administración: deber de vigilancia y obligación de seguridad

La Administración de la Generalitat de Cataluña, en su condición de responsable del tratamiento de los datos personales de los funcionarios del Centro Penitenciario de Puig de les Basses, está sujeta al deber de vigilancia y a la obligación de seguridad que imponen tanto el RGPD como el Esquema Nacional de Seguridad. El artículo 32 del RGPD exige al responsable del tratamiento implementar "medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo" (15). La vulneración de la segmentación de redes que ha permitido el acceso a datos personales desde terminales de uso de internos constituye, prima facie, un incumplimiento de esta obligación de seguridad.

La responsabilidad de la Administración se proyecta en varios planos. Desde la óptica del derecho administrativo, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (17), establece en su artículo 3 el principio de eficacia como uno de los que rigen la actuación de las administraciones públicas. El deber de garantizar la seguridad de los sistemas electrónicos y de los datos personales que en ellos se tratan deriva del régimen de funcionamiento electrónico del sector público que regula esa misma ley en su Capítulo V, en conexión directa con las obligaciones del RGPD y de la LOPDGDD. La Generalitat, como administración pública, tiene el deber de organizar sus sistemas de información de manera que se garantice la confidencialidad, integridad y disponibilidad de los datos que trata.

En el plano de la responsabilidad disciplinaria, la inobservancia de los deberes de seguridad por parte de los responsables del centro o de los técnicos competentes podría dar lugar a la exigencia de responsabilidades en el seno de la Administración. El hecho de que SICAP-Fepol hubiera advertido desde 2025 sobre deficiencias en la configuración y control de los equipos informáticos cedidos a los presos (3) (4) resulta relevante a estos efectos. Si estas advertencias no fueron atendidas con la diligencia debida, la responsabilidad podría calificarse como un incumplimiento grave de los deberes de supervisión y mantenimiento de la seguridad de los sistemas.

La fuente no aclara si el Departamento de Justicia ha abierto un procedimiento interno para depurar eventuales responsabilidades disciplinarias entre los funcionarios encargados de la seguridad informática del centro. Tampoco se especifica si se han identificado a los responsables concretos de la configuración de la red o del mantenimiento de los sistemas de segmentación. Esta ausencia de información impide determinar si la responsabilidad recae en fallos estructurales (falta de recursos o de personal cualificado) o en negligencias individuales.

5.2. Posible responsabilidad patrimonial de la Generalitat por daños a los funcionarios afectados

La vulneración de la seguridad que ha expuesto datos personales de los funcionarios (nombres, DNIs, correos electrónicos y matrículas de vehículos) podría generar daños a los afectados que, en su caso, serían indemnizables por la Administración. El artículo 32, apartado 1, del RGPD reconoce de forma expresa el derecho de toda persona que haya sufrido un daño material o inmaterial como consecuencia de una infracción del Reglamento a recibir una indemnización del responsable o del encargado del tratamiento (18). El apartado 2 del mismo artículo precisa que el responsable del tratamiento estará exento de responsabilidad si prueba que el hecho causante del daño no le es en modo alguno imputable (18).

En el ordenamiento jurídico español, la responsabilidad patrimonial de la Administración Pública se rige por la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y por la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. El artículo 32 de la Ley 40/2015 establece que "los particulares tendrán derecho a ser indemnizados por las Administraciones Públicas correspondientes, de toda lesión que sufran en cualquiera de sus bienes y derechos, siempre que la lesión sea consecuencia del funcionamiento normal o anormal de los servicios públicos" (17). La lesión debe ser efectiva, evaluable en términos económicos e individualizada con relación a una persona o grupo de personas.

Los funcionarios afectados podrían alegar, entre otros posibles daños:

• Daños morales: la intranquilidad, el temor fundado a sufrir suplantación de identidad o acoso, y la pérdida de confianza en la capacidad de la Administración para proteger sus datos personales.
• Daños materiales: si, como consecuencia del acceso a sus datos, se producen intentos de suplantación de identidad, uso fraudulento de sus firmas electrónicas, o sufrir perjuicios económicos derivados de la explotación de su información personal.
• Daños a la seguridad física: la exposición de las matrículas de los vehículos particulares podría ser utilizada para localizar a los funcionarios o a sus familias, generando un riesgo tangible para su integridad física.

La fuente no aclara si los funcionarios afectados han presentado o tienen intención de presentar reclamaciones de responsabilidad patrimonial. Tampoco se ha pronunciado la Generalitat sobre la posibilidad de indemnizaciones. Sin embargo, el sindicato UGT ha solicitado la recuperación de las matrículas protegidas para los vehículos de los trabajadores penitenciarios, y el Govern se ha comprometido a gestionarlo con el Ministerio del Interior (1). Esta medida, si se adopta, podría considerarse un reconocimiento implícito de que la exposición de las matrículas genera un riesgo que merece una respuesta institucional, aunque no constituye por sí misma una indemnización por los daños ya sufridos.

Desde la óptica de la protección de datos, el artículo 82 del RGPD establece el derecho a indemnización, y el artículo 83 regula el régimen sancionador, que puede imponer multas administrativas de hasta 20 millones de euros o, en el caso de una empresa, hasta el 4% del volumen de negocio total anual global del ejercicio anterior, adoptándose la cantidad que sea mayor (19). La AEPD, que tiene competencia sancionadora en materia de protección de datos, podría abrir un procedimiento sancionador contra la Generalitat por el incumplimiento de las obligaciones del artículo 32 RGPD si considera que las medidas de seguridad implementadas eran insuficientes. La fuente no indica si la AEPD ha iniciado o tiene previsto iniciar actuaciones de inspección o sancionadoras.

5.3. Responsabilidad penal de los internos autores del ciberataque

Los autores del ciberataque (tres internos del Centro Penitenciario de Puig de les Basses) han sido identificados y separados en distintos centros penitenciarios (0). El acceso no autorizado a sistemas informáticos y la obtención de datos personales podrían constituir, en principio, uno o varios delitos tipificados en el Código Penal español.

El artículo 197 del Código Penal (20) tipifica el delito de descubrimiento y revelación de secretos, sancionando a quien, "para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales, o intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación" (20). El acceso a los documentos que contienen nombres, DNIs, correos electrónicos y matrículas de funcionarios, sin su consentimiento, encaja en el supuesto de apoderamiento de "documentos o efectos personales" en soporte informático.

El artículo 197 bis del Código Penal castiga con penas más graves (prisión de dos a cinco años) a quien "cometa cualquiera de los hechos descritos en el artículo anterior en el ámbito de una relación de prestación de servicios o de trabajo" (20). Si bien los internos no mantienen una relación laboral con la Administración, su condición de personas internadas en un centro público y su acceso a equipos facilitados por el centro podría interpretarse como un aprovechamiento de una situación de confianza o de un acceso legítimo para fines ilícitos, lo que podría agravar la calificación.

Además, el artículo 197.3 del Código Penal castiga con penas superiores a quien, "para su propio provecho o para el de un tercero, difunda, revele o ceda a terceros la información a la que se refiere el número 1" (20). La fuente no aclara si los internos han difundido o cedido los datos a terceros. El Departamento de Justicia ha señalado que no tiene constancia de que se haya producido una filtración a través de USB u otros medios (1), pero tampoco puede garantizar que no haya ocurrido (0). Esta incertidumbre es relevante para la calificación penal, pues la existencia de difusión agravaría el delito.

El artículo 197 bis, apartado 2, del Código Penal, introducido por la reforma de 2015, también sanciona la captación, grabación o reproducción de imágenes o sonidos en lugares públicos o privados sin autorización, cuando se utilicen para atentar contra la intimidad (20). Si bien el presente caso no parece referirse a imágenes o sonidos, sí podría aplicarse el artículo 197.1 en su modalidad de apoderamiento de documentos personales.

El procedimiento judicial se encuentra bajo secreto de actuaciones, instruido por el Juzgado de Instrucción de Figueres, y la investigación corre a cargo de la unidad de delitos informáticos de los Mossos d'Esquadra (1). La fuente no aclara si los internos han sido puestos a disposición judicial, si han prestado declaración o si se han decretado medidas cautelares adicionales a la separación de centros. Tampoco se especifica si la investigación se orienta también hacia posibles colaboradores externos o hacia la determinación de si el acceso se produjo solo desde el interior del centro o si hubo comunicación con el exterior.

5.4. Responsabilidad de la empresa suministradora del servicio: posibles negligencias

Un aspecto relevante que ha sido planteado por los sindicatos es la posible responsabilidad de la empresa suministradora del sistema o de los equipos informáticos que han permitido el ciberataque. UGT ha reclamado "responsabilidades a la empresa suministradora del servicio por posibles negligencias" (0). Esta reivindicación apunta a la posibilidad de que el fallo de seguridad no resida solo en la administración, sino también en el diseño, la configuración o el mantenimiento de los sistemas por parte de proveedores externos.

La determinación de la responsabilidad de un proveedor externo dependerá de varios factores. En primer lugar, la naturaleza de la relación contractual entre la Generalitat y la empresa suministradora. Si el contrato incluía la obligación de garantizar la seguridad de los equipos y la correcta segmentación de redes, y se acredita que el proveedor incumplió esas obligaciones, podría existir responsabilidad contractual. En segundo lugar, si el fallo se debe a un defecto de diseño o de fabricación de los equipos o del software, podría plantearse una responsabilidad extracontractual o de producto.

El artículo 1964 del Código Civil, en materia de responsabilidad civil extracontractual, establece un plazo de prescripción de un año para las acciones derivadas de responsabilidad extracontractual (21). En el ámbito de los contratos del sector público, la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (22), exige que los pliegos de cláusulas administrativas particulares incluyan las condiciones de ejecución del contrato, que pueden referirse a consideraciones de tipo social, medioambiental o innovador, pero también a la seguridad de la información. Los pliegos deberían haber previsto, en su caso, auditorías de seguridad periódicas y la corrección de vulnerabilidades.

La fuente no aclara si la empresa suministradora ha sido identificada de forma pública, si el contrato está vigente, o si la Generalitat ha iniciado actuaciones para depurar su responsabilidad. Tampoco se especifica si el fallo de segmentación se debe a la configuración por defecto de los equipos, a una mala praxis en la instalación, o a una negligencia en el mantenimiento posterior. Esta ausencia de información impide evaluar la probabilidad de que se exija en efecto responsabilidad al proveedor, si bien la reclamación sindical pone de manifiesto la existencia de una expectativa de que la Administración actúe en esa dirección.

La posible responsabilidad del proveedor también podría derivarse de la normativa de protección de datos, si la empresa actuaba como encargado del tratamiento. En tal caso, el artículo 28 RGPD impone al encargado la obligación de implementar las medidas de seguridad adecuadas, y el artículo 82 establece su responsabilidad solidaria con el responsable si no ha cumplido con las obligaciones del Reglamento (15). La fuente no aclara si la empresa suministradora tenía la condición de encargado del tratamiento, o si su relación con la Generalitat se limitaba a la provisión de equipos y mantenimiento técnico sin acceso efectivo a los datos.

---

6. Reacciones de los sindicatos y medidas adoptadas

6.1. Exigencias de UGT, CC OO y Catac: transparencia y minimización de riesgos

El 20 de agosto de 2026, los sindicatos UGT, CC OO y Catac mantuvieron una reunión con responsables de la conselleria de Justicia y con el director general de Asuntos Penitenciarios, Domingo Estepa, para abordar las consecuencias del ciberataque (0). En el transcurso de esa reunión, los representantes de los trabajadores plantearon varias exigencias concretas orientadas a garantizar la transparencia y a minimizar los riesgos para los funcionarios afectados.

La principal reivindicación de los sindicatos fue la necesidad de transparencia sobre el alcance real del incidente. UGT, en particular, exigió que el Departamento de Justicia proporcionara información detallada y fiable sobre qué datos concretos habían sido accedidos y si existía constancia de su filtración a terceros (0). El sindicato manifestó su preocupación por la ambigüedad de la información oficial, que reconocía no tener constancia de exfiltración mediante USB pero tampoco podía garantizar que no hubiera ocurrido (0).

Los sindicatos también reclamaron medidas específicas para proteger a los funcionarios afectados. UGT propuso la recuperación de las matrículas protegidas para los vehículos de los trabajadores penitenciarios, una medida que había sido suprimida antes. La Generalitat se comprometió a gestionar esta petición con el Ministerio del Interior (0). Además, los sindicatos solicitaron que se adoptaran medidas de seguridad adicionales para evitar que los datos personales de los funcionarios (en particular las matrículas y los DNIs) pudieran ser utilizados para fines malintencionados.

Otro de los puntos planteados fue la exigencia de responsabilidades a la empresa suministradora del servicio informático. UGT reclamó que la Administración investigara posibles negligencias del proveedor que pudieran haber contribuido al ciberataque (0). Los sindicatos consideraron que, si las deficiencias en la configuración de los equipos habían sido advertidas desde 2025 y no se tomaron medidas, la responsabilidad no podía recaer solo en la Administración, sino también en aquellos proveedores que no garantizaron una seguridad adecuada.

La fuente no aclara si la Generalitat ha dado una respuesta formal a todas estas exigencias o si se ha comprometido a establecer un calendario para su implementación. La información disponible se limita a señalar que el Govern se ha comprometido a gestionar la cuestión de las matrículas protegidas con el Ministerio del Interior (0). No consta que se haya adoptado una decisión definitiva sobre la exigencia de responsabilidades al proveedor.

6.2. La denuncia de SICAP-Fepol: alertas previas y "quiebra de extrema gravedad"

El sindicato SICAP-Fepol, que representa a los trabajadores del ámbito penitenciario, ha sido el más crítico con la gestión del incidente. Desde los primeros momentos, SICAP-Fepol denunció que el ciberataque evidenciaba una "quiebra de extrema gravedad" en la seguridad del centro penitenciario (3) (4). El sindicato señaló que los internos habían conseguido acceder a información confidencial de los trabajadores (nombres, apellidos, fechas de nacimiento, direcciones, números de teléfono, matrículas de vehículos y datos bancarios), extremo que no ha sido confirmado de forma oficial en su totalidad (5).

SICAP-Fepol sostiene que el centro penitenciario no detectó el acceso a los datos hasta el 9 de agosto, mientras que el primer acceso se habría producido en febrero de 2026, lo que supondría un período de actividad no detectada de cerca de seis meses (5). Según la información proporcionada por este sindicato, los internos copiaron cerca de 40 GB de información personal de los trabajadores, si bien la fuente no aclara si esta cifra procede de datos oficiales o de estimaciones propias del sindicato (5). El 97% de la actividad detectada se concentraría en el mes de julio (5).

El sindicato ha criticado de forma expresa que el Departamento de Justicia "minimizara inicialmente el alcance del ciberataque" (5). Según SICAP-Fepol, el relato inicial de la conselleria, que definía el acceso de los internos como "puntual y limitado", no se corresponde con la gravedad de los hechos conocidos después (5). El sindicato ha reclamado que se depuren responsabilidades y que se adopten medidas para garantizar que incidentes similares no vuelvan a producirse.

SICAP-Fepol también ha denunciado que "desde 2025 se venía advirtiendo de la existencia de accesos indebidos y de deficiencias en la configuración y el control de estos equipos" (3). Esta alerta temprana, si se confirma, reforzaría la tesis de que el incidente no fue un fallo imprevisible, sino una vulneración que podría haberse evitado si las advertencias hubieran sido atendidas con la diligencia debida. La fuente no aclara, sin embargo, a quiénes se dirigieron esas advertencias, si se formalizaron por escrito, ni cuál fue la respuesta de la administración en su momento.

6.3. Medidas inmediatas: refuerzo de cortafuegos y separación de internos

El Departamento de Justicia, tras la detección del incidente, adoptó varias medidas inmediatas. En primer lugar, se corrigió el acceso indebido y se activaron los protocolos de seguridad establecidos (1). En segundo lugar, se procedió a la separación de los tres internos autores en distintos centros penitenciarios, con el fin de interrumpir cualquier posible continuidad del acceso y de preservar la integridad de la investigación judicial (0). Esta decisión, adoptada en el marco de las medidas cautelares, implica que los internos han sido trasladados a otros centros de la red penitenciaria catalana, sin que la fuente especifique a cuáles.

En tercer lugar, la Generalitat ha anunciado que está reforzando los cortafuegos en las cárceles catalanas para impedir ataques similares (1) (2). El Departament de Justícia ha afirmado que se ha mejorado la seguridad de la red del centro para que una vulneración de estas características sea "improbable" que se repita (0). El refuerzo de cortafuegos constituye una medida de seguridad perimetral que busca impedir el tráfico no autorizado entre redes, pero no aborda por fuerza la segmentación interna que habría permitido el acceso desde terminales de internos a sistemas corporativos. La fuente no aclara si el refuerzo de cortafuegos se ha limitado a la periferia de la red o si también ha incluido controles de segmentación entre redes internas.

La Generalitat también ha comunicado a los sindicatos que la Agencia de Ciberseguridad de Cataluña está elaborando un informe-auditoría sobre el incidente, que se espera esté terminado en semanas debido a la complejidad del análisis (0). Este informe debería proporcionar un diagnóstico técnico detallado de las vulnerabilidades explotadas, las medidas que fallaron y las recomendaciones para prevenir incidentes similares en el futuro. La fuente no aclara si el informe será público o si se mantendrá reservado para la investigación judicial.

6.4. La propuesta de recuperación de matrículas protegidas

Una de las medidas más concretas que han surgido de las reuniones entre los sindicatos y la Administración es la recuperación de las matrículas protegidas para los vehículos de los trabajadores penitenciarios. UGT propuso esta medida, y el Govern se ha comprometido a gestionarla con el Ministerio del Interior (0). Las matrículas protegidas (también conocidas como matrículas reservadas) permiten que los vehículos de funcionarios que desempeñan funciones de especial riesgo no puedan ser identificados con facilidad a través de los registros públicos de tráfico. La exposición de las matrículas de los funcionarios del centro penitenciario, que ha quedado acreditada como consecuencia del ciberataque, ha puesto de manifiesto la necesidad de esta protección.

La fuente no aclara si las matrículas protegidas existían antes y fueron suprimidas, o si nunca se implementaron para los trabajadores del Centro Penitenciario de Puig de les Basses. Tampoco se especifica el plazo en el que el Govern gestionará esta cuestión con el Ministerio del Interior, ni si la medida se aplicará solo a los funcionarios del centro afectado o se extenderá a otros centros penitenciarios. El compromiso del Govern, sin embargo, constituye un reconocimiento implícito de que la exposición de las matrículas genera un riesgo tangible para la seguridad de los funcionarios.

Además de la medida de las matrículas protegidas, los sindicatos han solicitado a la Generalitat que comunique de forma individual a cada funcionario afectado la naturaleza de los datos a los que se ha accedido, y que ofrezca recomendaciones para mitigar los riesgos, como la posibilidad de cambiar de número de teléfono o de adoptar medidas de seguridad adicionales en el ámbito personal. La fuente no aclara si la Generalitat ha iniciado estas comunicaciones individuales, como exige el artículo 34 del RGPD. Esta ausencia de información constituye una incertidumbre relevante en relación con el cumplimiento por parte de la Administración de sus obligaciones de transparencia y protección de datos.

---

7. Riesgos y lecciones aprendidas para el sector público

7.1. Riesgos para los funcionarios afectados: suplantación de identidad, acoso y seguridad física

La exposición de los datos personales de los funcionarios del Centro Penitenciario de Puig de les Basses genera una serie de riesgos concretos que trascienden el mero perjuicio reputacional o la vulneración de la intimidad. Estos riesgos pueden clasificarse en tres categorías principales: suplantación de identidad, acoso y amenazas a la seguridad física.

En primer lugar, la suplantación de identidad constituye uno de los riesgos más inmediatos. Los datos comprometidos (nombres completos, números de documento nacional de identidad, direcciones de correo electrónico y firmas electrónicas) son elementos suficientes para intentar suplantar la identidad de los funcionarios en diversos ámbitos: procedimientos administrativos, contratación de servicios, solicitud de créditos o incluso en el acceso a sistemas informáticos de la propia administración. La inclusión de firmas electrónicas en los listados de personal a los que accedieron los internos (0) eleva el nivel de riesgo, pues estos elementos pueden ser utilizados en intentos de falsificación documental o en ataques de ingeniería social dirigidos contra los funcionarios afectados o contra terceros con los que estos mantengan relaciones institucionales. La fuente no aclara si la Generalitat ha ofrecido a los funcionarios afectados servicios de monitorización de crédito o alertas tempranas ante posibles usos indebidos de su identidad.

En segundo lugar, el riesgo de acoso cobra especial relevancia en un entorno penitenciario. Los funcionarios de prisiones desempeñan su labor en un contexto de alta conflictividad, y la exposición de sus datos personales (en particular sus nombres, correos electrónicos y matrículas de vehículos) podría ser utilizada por internos o por terceros con fines de intimidación. Los sindicatos han expresado su preocupación por este aspecto, señalando que la exposición de las matrículas permite la localización de los vehículos de los funcionarios fuera del centro penitenciario, lo que podría facilitar actos de acoso o seguimiento (0). La propuesta de recuperación de matrículas protegidas, que el Govern se ha comprometido a gestionar con el Ministerio del Interior (0), responde a este riesgo.

En tercer lugar, la seguridad física de los funcionarios y de sus familias podría verse comprometida. La combinación de nombres, DNIs y matrículas de vehículos permite, con relativa facilidad, obtener direcciones de residencia a través de registros públicos o de fuentes abiertas. La exposición de estos datos en un contexto penitenciario (donde los internos pueden tener vínculos con organizaciones criminales o con personas del exterior) genera un riesgo tangible de amenazas, coacciones o incluso agresiones. La fuente no aclara si la Generalitat ha evaluado este riesgo específico ni si ha adoptado medidas adicionales de protección para los funcionarios más vulnerables, como escoltas o medidas de seguridad en sus domicilios.

El artículo 34 del RGPD exige que, cuando la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento comunique la violación al interesado "sin dilación indebida", describiendo con un lenguaje claro y sencillo "la naturaleza de la violación de los datos personales", "las recomendaciones para mitigar los posibles efectos adversos" y "las medidas adoptadas o propuestas para paliar la violación" (16). La fuente no aclara si la Generalitat ha cumplido con esta obligación de comunicación individual a los funcionarios afectados. Tampoco se especifica si se han establecido canales específicos para que los funcionarios puedan reportar posibles incidentes derivados de la exposición de sus datos.

7.2. Riesgo reputacional para la Administración catalana

El ciberataque en el Centro Penitenciario de Puig de les Basses genera un riesgo reputacional significativo para la Generalitat de Cataluña y, en particular, para el Departamento de Justicia. La exposición de datos personales de funcionarios públicos (que son, a su vez, empleados de la propia administración) proyecta una imagen de debilidad en la gestión de la seguridad de la información y de falta de diligencia en la protección de los datos de sus propios trabajadores.

El principal factor que alimenta este riesgo reputacional es la discrepancia entre el relato inicial de la administración y la información que ha ido emergiendo después. La comunicación del 12 de agosto presentaba el incidente como un acceso no autorizado a documentación compartida, sin especificar la naturaleza de los datos ni la magnitud del volumen comprometido, y enfatizaba que no se habían visto afectados sistemas críticos (2). Sin embargo, los datos conocidos a partir del 20 de agosto (y ya anticipados por las denuncias sindicales) revelaron un escenario de mayor gravedad: acceso a datos personales de funcionarios, copia de carpetas completas y un período de actividad no detectada que se extiende desde febrero hasta agosto (0) (5). Esta evolución informativa ha alimentado la percepción de que la administración, en un primer momento, minimizó el alcance del incidente o, en el mejor de los casos, carecía de una visión completa de lo ocurrido.

El sindicato SICAP-Fepol ha criticado de forma expresa esta situación, señalando que la información conocida después "contradice el relato inicial" de Justicia, que habría definido el acceso de los internos como "puntual y limitado" (5). Esta percepción de falta de transparencia podría erosionar la confianza de los funcionarios en la capacidad de la administración para proteger sus datos, y también podría afectar la confianza del conjunto de la ciudadanía en la gestión de la seguridad de la información por parte de la Generalitat.

Además, el hecho de que SICAP-Fepol hubiera advertido desde 2025 sobre deficiencias en la configuración y control de los equipos informáticos cedidos a los presos (3) (4) añade un elemento adicional de riesgo reputacional. Si se confirma que estas advertencias fueron conocidas por los responsables del centro o por el Departamento de Justicia y no se actuó con la diligencia debida, el incidente dejaría de ser percibido como un fallo técnico imprevisible para convertirse en un caso de negligencia en la gestión de la seguridad. La fuente no aclara si la Generalitat ha realizado una declaración pública de disculpa o de asunción de responsabilidad por el incidente, más allá de la comunicación de medidas correctoras.

El riesgo reputacional también podría traducirse en consecuencias políticas y administrativas. El Departamento de Justicia podría ser objeto de comparecencias en el Parlamento de Cataluña para dar explicaciones sobre el incidente, y la oposición política podría utilizar el caso para cuestionar la competencia del Govern en la gestión de los centros penitenciarios. La fuente no aclara si se han producido o están previstas comparecencias parlamentarias.

7.3. Lecciones para otros centros penitenciarios y administraciones públicas

El incidente de Puig de les Basses ofrece lecciones valiosas que deberían ser tenidas en cuenta por otros centros penitenciarios y por administraciones públicas en general. Estas lecciones pueden sintetizarse en los siguientes puntos:

En primer lugar, la segmentación de redes entre sistemas de uso de internos y sistemas corporativos no es un lujo, sino una necesidad imperiosa. La integración de terminales de uso de internos (como las pantallas táctiles para videollamadas) en la misma red que alberga información personal de funcionarios, sin una segmentación efectiva, constituye una vulneración de los principios básicos de seguridad de la información. El Esquema Nacional de Seguridad exige la aplicación de medidas de seguridad proporcionales al riesgo, y la información de carácter personal de los funcionarios exige, como mínimo, medidas de nivel medio (9). La lección es clara: la segmentación debe ser verificada de forma periódica mediante auditorías técnicas, y los accesos entre redes deben ser controlados y monitorizados de forma continua.

En segundo lugar, la detección temprana de intrusiones es fundamental. El hecho de que el acceso pudiera haber estado activo desde febrero de 2026, según las afirmaciones de SICAP-Fepol (5), sin que el centro lo detectara hasta el 9 de agosto, evidencia una carencia en los sistemas de monitorización y detección de intrusiones. Esta lección se extiende a todas las administraciones públicas, no solo a los centros penitenciarios. La implementación de sistemas de detección de intrusiones (IDS) y de prevención de intrusiones (IPS), junto con la monitorización continua de logs y la correlación de eventos, constituye una práctica esencial para identificar accesos anómalos de forma temprana. El ENS exige, en su Anexo I, la implementación de estos controles para sistemas de nivel medio y alto (9).

En tercer lugar, la gestión de vulnerabilidades debe ser un proceso continuo y no una actividad puntual. Las advertencias de SICAP-Fepol desde 2025 sobre deficiencias en la configuración y control de los equipos (3) (4) evidencian que los fallos de seguridad no siempre son imprevisibles. La administración debe establecer procedimientos formales para la recepción, análisis y corrección de vulnerabilidades notificadas por empleados, sindicatos o terceros. La transparencia en la gestión de estas advertencias y la rendición de cuentas sobre las acciones emprendidas son elementos clave para mantener la confianza de los trabajadores.

En cuarto lugar, la comunicación de incidentes debe regirse por los principios de transparencia y veracidad. La discrepancia entre el relato inicial de la administración y la información posterior ha generado desconfianza. La comunicación temprana y honesta sobre la naturaleza y el alcance de un incidente, aunque sea limitada por las necesidades de la investigación judicial, contribuye a preservar la confianza y a facilitar la adopción de medidas por parte de los afectados. El RGPD, en sus artículos 33 y 34, establece plazos y contenidos para las notificaciones a la autoridad de control y a los interesados, que deben ser cumplidos con rigor (16).

Por último, la coordinación entre administraciones (en este caso, entre la Generalitat y el Ministerio del Interior) es esencial para abordar riesgos que trascienden el ámbito competencial de una única administración, como la protección de matrículas de vehículos de funcionarios. La propuesta de recuperación de matrículas protegidas, que requiere la intervención del Ministerio del Interior (0), evidencia la necesidad de mecanismos de coordinación ágiles y efectivos.

7.4. La necesidad de una auditoría de seguridad integral y periódica

El incidente de Puig de les Basses subraya la necesidad de que las administraciones públicas realicen auditorías de seguridad integrales y periódicas de sus sistemas de información. La Agencia de Ciberseguridad de Cataluña está elaborando un informe-auditoría sobre el incidente, que se espera esté terminado en semanas debido a la complejidad del análisis (0). Sin embargo, esta auditoría, aunque necesaria, llega después de que el incidente haya ocurrido. La lección es que las auditorías de seguridad no deben ser reactivas, sino proactivas y periódicas.

El Esquema Nacional de Seguridad, en su artículo 8, establece que la seguridad de los sistemas de información se basará en un "proceso continuo de gestión del riesgo" que incluye la identificación, análisis y evaluación de los riesgos, la selección e implementación de medidas, y la verificación y mejora continua de la seguridad (9). Esta verificación debe incluir auditorías periódicas realizadas por personal cualificado e independiente. La fuente no aclara cuándo fue la última auditoría de seguridad del Centro Penitenciario de Puig de les Basses antes del incidente, ni si se realizaron pruebas de penetración para verificar la efectividad de los controles de segmentación.

La auditoría del incidente que está realizando la Agencia de Ciberseguridad de Cataluña debería abordar, como mínimo, los siguientes aspectos:

• Análisis de la arquitectura de red: determinar con precisión cómo los internos lograron pasar de los terminales de videollamadas a los sistemas corporativos.
• Evaluación de los controles de acceso: verificar si los mecanismos de autenticación y autorización eran suficientes y si se aplicaron de forma correcta.
• Análisis de la segmentación de red: evaluar si existía una separación efectiva entre las redes de internos y las redes corporativas, y si los cortafuegos de segmentación estaban de forma correcta configurados.
• Revisión de los procedimientos de gestión de vulnerabilidades: analizar cómo se gestionaron las advertencias previas de SICAP-Fepol y si existían procedimientos formales para su recepción y corrección.
• Evaluación de la capacidad de detección: determinar por qué el acceso no fue detectado durante meses, y proponer mejoras en los sistemas de monitorización y detección de intrusiones.

Además de la auditoría técnica, el incidente debería dar lugar a una auditoría de procesos y de gobernanza de la seguridad de la información en el ámbito penitenciario catalán. Esta auditoría debería examinar si existen procedimientos establecidos para la gestión de incidentes, si se realizan pruebas periódicas de continuidad de negocio, y si los recursos asignados a la ciberseguridad en los centros penitenciarios son suficientes. La fuente no aclara si la Generalitat tiene previsto realizar esta auditoría de procesos o si se limitará a la auditoría técnica que está llevando a cabo la Agencia de Ciberseguridad.

---

8. Conclusiones

8.1. Síntesis de los hallazgos

El ciberataque perpetrado por tres internos del Centro Penitenciario de Puig de les Basses (Figueres) entre febrero y agosto de 2026 constituye un incidente de seguridad de la información de gravedad sistémica que trasciende el ámbito de un centro penitenciario concreto para convertirse en un caso de referencia sobre las vulnerabilidades de la administración pública en entornos de alta seguridad.

Los hechos comprobados, a partir del contraste de las fuentes disponibles, permiten establecer las siguientes conclusiones fácticas:

Primero, los internos accedieron, a través de terminales de videollamadas, a doce carpetas compartidas que contenían 26.000 documentos con información personal de funcionarios (nombres, DNIs, correos electrónicos y matrículas de vehículos), y copiaron al menos dos de esas carpetas en un ordenador de su uso (0). El acceso se mantuvo activo durante un período de cerca de seis meses, con el 97% de la actividad concentrada en julio, y el centro no detectó el incidente hasta el 9 de agosto (5). El vector de ataque (pantallas táctiles para videollamadas sin segmentación de red efectiva) evidencia una vulneración estructural de la arquitectura de seguridad, que no puede atribuirse a una sofisticación técnica excepcional de los autores, quienes no estaban condenados por delitos informáticos (0).

Segundo, el incidente ha generado riesgos materiales para los funcionarios afectados, incluyendo suplantación de identidad (por la exposición de DNIs y firmas electrónicas), acoso (por la exposición de correos y matrículas) y amenazas a su seguridad física (por la posibilidad de localización de vehículos y domicilios) (0). La Administración no ha podido garantizar que no se haya producido una exfiltración de datos a través de dispositivos USB, lo que introduce un elemento de incertidumbre que no puede ser resuelto con la información disponible (0).

Tercero, el incidente revela deficiencias previas en la gobernanza de la seguridad. El sindicato SICAP-Fepol había advertido desde 2025 sobre deficiencias en la configuración y control de los equipos informáticos cedidos a los presos (3) (4). Esta alerta temprana, si se confirma, apunta a un fallo de gestión más que a un mero accidente técnico. La discrepancia entre el relato inicial del Departamento de Justicia (12 de agosto), que presentaba el incidente como "puntual y limitado", y la información posterior (20 de agosto), que reveló la magnitud del acceso, ha generado una percepción de falta de transparencia que afecta a la confianza en la Administración (1) (2) (5).

8.2. Valoración de la respuesta institucional

La respuesta de la Generalitat al incidente ha sido en parte adecuada en el plano operativo, pero insuficiente en el plano de la transparencia y la protección de los afectados.

En el plano operativo, la Administración actuó con celeridad en la detección del incidente (una vez que tuvo conocimiento del mismo), corrigió el acceso indebido, separó a los tres internos en distintos centros penitenciarios, reforzó los cortafuegos y encargó a la Agencia de Ciberseguridad de Cataluña una auditoría técnica (0) (1). Estas medidas, aunque necesarias, son sobre todo reactivas y no abordan la raíz del problema: la ausencia de una segmentación efectiva entre redes de internos y redes corporativas, que debería haber estado implementada desde el diseño de la infraestructura tecnológica.

En el plano de la transparencia, la respuesta ha sido deficiente. La comunicación inicial del 12 de agosto minimizó el alcance del incidente, y la información en gran medida más grave no fue conocida hasta el 20 de agosto, a través de fuentes sindicales y periodísticas (5). La falta de claridad sobre si la Generalitat ha comunicado de forma individual a los funcionarios afectados la violación de sus datos personales (como exige el artículo 34 del RGPD (16)) constituye una laguna significativa en el cumplimiento de las obligaciones legales. La fuente no aclara si se han emitido dichas comunicaciones individuales, y esta ausencia de información impide concluir que la Administración haya cumplido con su deber de información a los interesados.

En el plano de la protección de los afectados, la respuesta ha sido insuficiente. La propuesta de recuperación de matrículas protegidas, si bien es una medida positiva, no aborda la totalidad de los riesgos derivados de la exposición de DNIs, correos electrónicos y firmas electrónicas (0). No consta que la Generalitat haya ofrecido servicios de monitorización de crédito o de alerta temprana ante posibles usos indebidos de la identidad de los funcionarios, ni que haya establecido canales específicos para que los afectados puedan reportar incidentes derivados del ciberataque.

La investigación judicial, bajo secreto de actuaciones y dirigida por la unidad de delitos informáticos de los Mossos d'Esquadra, y la auditoría técnica encomendada a la Agencia de Ciberseguridad de Cataluña, constituyen los pilares de la respuesta institucional a medio plazo (0). Sin embargo, la demora en la finalización del informe de la Agencia ("semanas", según la información proporcionada a los sindicatos (0)) plantea interrogantes sobre la capacidad de la Administración para dar una respuesta ágil a incidentes de esta naturaleza. La fuente no aclara si se han establecido plazos intermedios para la presentación de recomendaciones provisionales o medidas cautelares adicionales.

8.3. Recomendaciones para la prevención de incidentes similares

A partir del análisis del caso de Puig de les Basses, y en el marco del principio de fidelidad a las fuentes, se formulan las siguientes recomendaciones, todas ellas derivadas de los hallazgos documentados y de las obligaciones normativas citadas en el trabajo:

Recomendación 1: Segmentación de redes obligatoria y verificada. Los centros penitenciarios deben garantizar una separación efectiva entre las redes de uso de internos y las redes corporativas que albergan información personal de funcionarios y datos de gestión administrativa. Esta segmentación debe ser verificada mediante auditorías de seguridad periódicas y pruebas de penetración, tal como exige el Esquema Nacional de Seguridad (Real Decreto 311/2022) (9). La integración de nuevos dispositivos (como las pantallas táctiles para videollamadas) debe ir precedida de una evaluación de riesgos y de la implementación de controles de segmentación adecuados, conforme al principio de "seguridad desde el diseño" del artículo 25 del RGPD (15).

Recomendación 2: Mejora de los sistemas de detección temprana. La Administración debe implementar sistemas de detección de intrusiones (IDS) y de prevención de intrusiones (IPS) con monitorización continua de logs y correlación de eventos, de manera que cualquier acceso anómalo o no autorizado sea identificado en un plazo de horas o días, no de meses. La detección debe incluir alertas automáticas que permitan una respuesta inmediata, conforme a los procedimientos de gestión de incidentes del ENS (9).

Recomendación 3: Gestión formal de vulnerabilidades y advertencias. La Administración debe establecer un procedimiento formal y documentado para la recepción, análisis y corrección de vulnerabilidades notificadas por empleados, sindicatos o terceros. Las advertencias formuladas por SICAP-Fepol desde 2025 sobre deficiencias en la configuración de los equipos (3) (4) evidencian la necesidad de que estas comunicaciones sean registradas, evaluadas y respondidas con la debida diligencia, y que se rinda cuenta de las acciones emprendidas.

Recomendación 4: Cumplimiento estricto de las obligaciones de comunicación del RGPD. La Generalitat debe garantizar que, en futuros incidentes, se cumplan con rigor los plazos y contenidos de las notificaciones a la autoridad de control (artículo 33 RGPD) y a los interesados (artículo 34 RGPD) (16). La comunicación a los afectados debe incluir la naturaleza de la violación, las recomendaciones para mitigar los efectos adversos y las medidas adoptadas, todo ello con un lenguaje claro y sencillo, como exige el Reglamento. La transparencia en la comunicación de incidentes es esencial para preservar la confianza de los funcionarios y de la ciudadanía en la Administración.

Recomendación 5: Auditorías de seguridad integrales y periódicas. Más allá de la auditoría reactiva del incidente, la Generalitat debe establecer un programa de auditorías de seguridad periódicas en todos los centros penitenciarios, que incluyan tanto el análisis técnico de la arquitectura de red y de los controles de acceso como la revisión de los procesos de gobernanza de la seguridad. Estas auditorías deben ser realizadas por personal cualificado e independiente, y sus resultados deben ser públicos, al menos en sus conclusiones generales, para garantizar la rendición de cuentas.

Recomendación 6: Protección de los funcionarios afectados. La Administración debe adoptar medidas concretas para minimizar los riesgos derivados de la exposición de datos personales de los funcionarios: recuperación de matrículas protegidas (ya comprometida por el Govern) (0), oferta de servicios de monitorización de crédito y alertas tempranas, establecimiento de canales específicos para reportar incidentes, y evaluación individualizada de los riesgos para los funcionarios más vulnerables.

Recomendación 7: Coordinación interadministrativa. La Generalitat debe establecer mecanismos de coordinación ágiles y efectivos con el Ministerio del Interior y con otras administraciones competentes para abordar riesgos que trascienden el ámbito de una única administración, como la protección de matrículas de vehículos de funcionarios o la prevención de ataques externos que pudieran utilizar la información comprometida.

Recomendación 8: Formación y concienciación. La Administración debe reforzar los programas de formación en ciberseguridad para todos los empleados del ámbito penitenciario, incluyendo tanto a los responsables técnicos como a los funcionarios de primera línea, de manera que se fomente una cultura de seguridad que permita identificar y reportar vulnerabilidades de forma temprana.

---

El ciberataque de Puig de les Basses constituye una advertencia sistémica para todas las administraciones públicas que gestionan entornos con población en régimen de internamiento. La vulneración de la segmentación de redes, la falta de detección temprana, la insuficiente gestión de las alertas previas y la comunicación tardía de la magnitud del incidente revelan deficiencias estructurales que no pueden ser atribuidas solo a la actuación de tres internos. La lección fundamental es que la seguridad de la información en el sector público no puede ser un añadido, sino un elemento integral y continuo de la gestión, basado en la evaluación de riesgos, la implementación de medidas proporcionales y la rendición de cuentas. La investigación judicial y la auditoría de la Agencia de Ciberseguridad de Cataluña deberán proporcionar un diagnóstico detallado que permita corregir las deficiencias identificadas y restaurar la confianza en la capacidad de la Administración para proteger los datos de sus propios empleados.

---

9. Bibliografía

(1) El País (20 de agosto de 2026). Los presos de Figueres autores de un ciberataque accedieron a información personal de funcionarios. https://elpais.com/espana/catalunya/2026-08-20/los-presos-de-figueres-autores-de-un-ciberataque-accedieron-a-informacion-personal-de-funcionarios.html

(2) El País (12 de agosto de 2026). Presos de la cárcel de Figueres acceden a información confidencial del centro. https://elpais.com/espana/catalunya/2026-08-12/presos-de-la-carcel-de-figueres-acceden-a-informacion-confidencial-del-centro.html

(3) El Periódico (12 de agosto de 2026). Piratas informáticos en la cárcel: presos de la cárcel Puig de les Basses 'hackean' información de la prisión de Figueres. https://www.elperiodico.com/es/sociedad/20260812/detectan-acceso-autorizado-presos-sistema-informatico-carcel-figueres-133296833

(4) La Vanguardia (12 de agosto de 2026). Presos de la cárcel de Girona hackean el sistema de la Generalitat. https://www.lavanguardia.com/local/girona/20260812/11612786/presos-carcel-girona-hackean-sistema-generalitat.html

(5) El Mundo (12 de agosto de 2026). Internos de la cárcel de Puig de les Basses 'hackean' el sistema informático de la Generalitat. https://www.elmundo.es/cataluna/2026/08/12/6a7c5199fc6c83dd3d8b4595.html

(6) Diari de Girona (20 de agosto de 2026). SICAP-FEPOL denuncia que el ciberatac al Puig de les Basses hauria exposat dades personals dels treballadors. https://www.diaridegirona.cat/alt-emporda/2026/08/20/sicap-fepol-denuncia-ciberatac-puig-133508787.html

(7) Diari de Girona (12 de agosto de 2026). Detecten un accés no autoritzat a documentació del centre penitenciari de Puig de les Basses. https://www.diaridegirona.cat/alt-emporda/2026/08/12/detecten-acces-no-autoritzat-puig-basses-133288085.html

(8) Europa Press (12 de agosto de 2026). Justícia investiga el acceso no autorizado de presos de Figueres (Girona) a documentación en red. https://www.europapress.es/catalunya/noticia-justicia-investiga-acceso-no-autorizado-presos-figueres-girona-documentacion-red-20260812144141.html

(9) Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. BOE núm. 108, de 6 de mayo de 2022.

(10) Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. BOE núm. 236, de 2 de octubre de 2015.

(11) Ley 19/2014, de 29 de diciembre, de transparencia, acceso a la información pública y buen gobierno. DOGC núm. 6782, de 29 de diciembre de 2014.

(12) Decreto 76/2020, de 4 de agosto, de Administración digital de la Generalitat de Cataluña. DOGC núm. 8192, de 6 de agosto de 2020.

(13) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos). DOUE L 119, de 4 de mayo de 2016.

(14) Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. BOE núm. 294, de 6 de diciembre de 2018.

(15) Reglamento (UE) 2016/679 (RGPD), artículo 32. DOUE L 119, de 4 de mayo de 2016.

(16) Reglamento (UE) 2016/679 (RGPD), artículos 33 y 34. DOUE L 119, de 4 de mayo de 2016.

(17) Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. BOE núm. 236, de 2 de octubre de 2015.

(18) Reglamento (UE) 2016/679 (RGPD), artículo 82. DOUE L 119, de 4 de mayo de 2016.

(19) Reglamento (UE) 2016/679 (RGPD), artículo 83. DOUE L 119, de 4 de mayo de 2016.

(20) Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal. BOE núm. 281, de 24 de noviembre de 1995. Artículos 197 y 197 bis.

(21) Código Civil. Real Decreto de 24 de julio de 1889. Artículo 1964. Gaceta de Madrid núm. 206, de 25 de julio de 1889.

(22) Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público. BOE núm. 272, de 9 de noviembre de 2017.