Andorra Digital i l’APDA signen un protocol d’entesa per gestionar incidents de ciberseguretat i protecció de dades

Andorra Digital, de la mà de l’Agència Nacional de Ciberseguretat (ANC-AD), i l’Agència Andorrana de Protecció de Dades (APDA) han signat un protocol d’entesa per millorar la coordinació en la gestió dels incidents que puguin afectar tant la ciberseguretat com la protecció de les dades personals. L’acord estableix els procediments per compartir informació i documentació, coordinar les actuacions i agilitzar la resposta quan sigui necessària la intervenció de totes dues agències.

El protocol preveu un mecanisme de recepció, anàlisi preliminar i trasllat de les comunicacions quan un incident pugui tenir implicacions en tots dos àmbits. Així, si una de les institucions rep una notificació i detecta que els fets també poden ser competència de l’altra, li podrà traslladar la informació i la documentació estrictament necessàries per gestionar el cas.

Aquest procediment vol evitar que la persona o l’entitat que comunica un incident hagi de presentar de nou la mateixa informació davant de l’altra institució. El trasllat, però, no comportarà l’obertura automàtica d’un expedient ni modificarà les competències de cada organisme, que continuarà actuant de manera independent dins del seu àmbit.

Terminis de verificació i seguiment

L’acord estableix terminis orientatius per facilitar la coordinació entre les dues agències. La verificació preliminar de les comunicacions s’haurà de fer en menys de 24 hores, mentre que la recopilació de la informació necessària per avaluar i abordar l’incident tindrà com a referència un termini inferior a 72 hores.

Aquests terminis tenen caràcter operatiu i no substitueixen les obligacions legals vigents. En particular, es manté l’obligació de notificar a l’APDA les violacions de seguretat de les dades personals dins dels terminis previstos per la normativa, que estableix, quan sigui possible, un màxim de 72 hores des que se’n té constància.

Per facilitar el seguiment dels casos, el protocol també preveu assignar un identificador únic als incidents que s’hi acullin. Aquest codi permetrà fer-ne el seguiment i garantir la traçabilitat de les comunicacions entre les institucions.

Un formulari conjunt de comunicació

Un dels elements destacats de l’acord és la previsió d’impulsar un formulari conjunt de comunicació inicial, accessible des de qualsevol de les dues agències. L’eina permetrà iniciar un únic tràmit quan els fets puguin afectar simultàniament la ciberseguretat i les dades personals, i facilitarà el trasllat intern de la informació quan sigui necessari.

El formulari recollirà les dades de contacte de la persona comunicant, la descripció de l’incident, la possible afectació, la documentació disponible i les mesures adoptades o proposades. La seva presentació, però, no substituirà les notificacions específiques que siguin legalment exigibles, especialment en cas de violació de la seguretat de les dades personals.

Per garantir la confidencialitat de la informació compartida, el correu electrònic corporatiu serà el canal principal d’intercanvi entre les institucions. Les comunicacions es protegiran mitjançant xifratge de punt a punt i l’ús de claus públiques PGP.

El protocol manté diferenciades les funcions de les dues agències. L’ANC-AD, a través de l’equip de resposta a incidents CSIRT-AD, actua en l’àmbit de la ciberseguretat i la seguretat de les xarxes i dels sistemes d’informació. L’APDA, per la seva banda, exerceix les funcions de control, supervisió i investigació en matèria de protecció de dades personals.

Amb aquest acord, les institucions volen agilitzar la comunicació i la coordinació davant de possibles incidents que afectin tots dos àmbits, amb l’objectiu d’oferir una resposta més ràpida i eficient sense alterar les competències de cadascuna.