L’APDA troba mancances en la protecció de dades de 18 dels afectats pel ciberatac a Andornet

D’aquesta forma, l’APDa tanca una primera fase de l’acció encetada arran de l’atac cibernètic que va patir Andornet i que, de retruc, va afectar bona part de les entitats o empreses que la tenien com a subministrador. En total, l’Agència va rebre 38 notificacions de violacions de seguretat i es va demanar als afectats que donessin detalls de les afectacions sofertes per determinar si hi havia millores a realitzar.

En aquest cas, i segons ha informat l’APDA en un comunicat penjat a la seva pàgina web, en 15 dels casos la incidència no va suposar un perjudici per a les dades personals. Per exemple, és el cas d’aquelles entitats que van patir simplement un bloqueig del seu lloc a internet sense que això suposés que els ciberdelinqüents poguessin accedir a informació sensible dels seus clients o usuaris.

En canvi, a l’entendre de l’Agència, aquest risc sí que va existir en 18 dels casos. I, per això, es considera que cal prendre mesures per preparar-se si es torna a repetir una situació similar. Així, s’han fet recomanacions a 18 entitats per millorar diferents aspectes de la protecció de dades. Per exemple, es demana revisar el contracte d’encàrrec de tractament amb el proveïdor de serveis, avaluar si aquest encarregat aplica les mesures de seguretat adequades o mantenir un enfocament proactiu per garantir la normativa de protecció de dades.

A banda, hi ha quatre entitats més que no van enviar la notificació que tocava a l’Agència. Per això, l’APDA els fa un requeriment. A aquests organismes se’ls ha demanat una explicació dels motius pels quals no han presentat la notificació i que facilitin la comunicació feta als seus afectats, si és que n’hi ha. 

Finalment, pel que fa a la mateixa Andornet se li ha fet un requeriment més exhaustiu. En aquest, entre altres coses, se li demana la relació d’entitats clientes afectades per la violació de la seguretat amb implicacions sobre les dades personals; els contractes d’encàrrec de tractament amb diferents organismes, incloent-hi públics i parapúblics, així com detalls tècnics del ciberatac.