Solicitud de información sobre formación y herramientas de detección de spyware de la Policía Científica y finalización por acuerdo de mediación

Resolució 121/2026, de 29 de gener Número d’expedient de la Reclamació: 2396/2025 Administració reclamada: Departament d’Interior i Seguretat Pública de la Generalitat de Catalunya Informació reclamada: Diversa informació sobre la Divisió de Policia Científica i la formació en matèria de detecció de “spyware”. Sentit de la resolució: Finalització per acord de mediació Resum: L’article 42.5 LTAIPBG estableix que l’acord assolit per les parts en el marc d’un procediment de mediació posa fi al procediment i en cap cas no pot ser contrari a l’ordenament jurídic. Segons es desprèn de l’acta aixecada al finalitzar la sessió de mediació celebrada, degudament signada pels assistents, les parts han assolit un acord, que consta annex a aquesta Resolució, a satisfacció de la persona reclamant. Amb la informació de què disposa la GAIP, no s’aprecia que aquest Acord contingui elements contraris a l’ordenament jurídic ni als interessos generals, per la qual cosa correspon posar fi al procediment de reclamació. Paraules clau: Generalitat de Catalunya. Departament d’Interior i Seguretat Pública. Policia científica. Formació. Spyware. Detecció. Mediació. Acord de mediació. Ponent i mediador: Josep Ramon Barberà i Gomis Antecedents El dia 30 d’octubre de 2025 entra a la GAIP la Reclamació 2396/2025, presentada per una persona física contra el Departament d'Interior i Seguretat Pública en relació amb la sol·licitud indicada a l’antecedent següent. La persona reclamant sol·licita el procediment de mediació previst a l’article 42 de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern (LTAIPBG) i regulat pels articles 36 a 41 del Reglament de la GAIP, aprovat pel Decret 111/2017, de 18 de juliol (RGAIP). El 30 de setembre de 2025 la part reclamant sol·licita al Departament d'Interior i Seguretat Pública la informació següent: “Detección Spyware por Laboratorio de Informática y Electrónica Forense (División de Investigación Criminal) Solicito conocer si desde 2022 el personal del Laboratorio de Informática y Electrónica Forense (División de Investigación Criminal) ha recibido formación específica para la detección del spyware Pegasus y de otros spyware similares como Candiru. Aclaración: Solicito que si aspectos de esta solicitud pudiesen ser incompatibles con alguna normativa de Mossos, que no se descarte la totalidad de la solicitud de información y que se me aporte la parte de información que puedan aportarme. También solicito la lista de empresas u organismos (nacionales o internacionales) han sido responsables o participado en estos trabajos de formación o aportado herramientas para la detección de Pegasus o software similares. También solicito confirmación de si el Laboratorio de Informática y Electrónica Forense (División de Investigación Criminal) utiliza el Mobile Verification Toolkit (MVT) en la detección de Pegasus y si representantes del centro de investigación Citizen Lab (parte de la Universidad de Toronto) o de Amnesty Tech (parte de Amnistía Internacional) han colaborado en la formación del personal en las técnicas de detección o incluso en algunos trabajos de detección de spyware. También quiero que se faciliten la fechas aunque sean aproximadas de cuando las formacions o cursos online fueron cursados por los miembros del Laboratorio de Informática y Electrónica Forense (División de Investigación Criminal) y si a dichas formaciones se invitó también o participaron miembros de Policía Nacional o Guardia Civil. Por último quisiera saber desde que fecha aproximadamente El Laboratorio de Informática y Electrónica Forense está capacitado para detectar infecciones con el software Pegasus y si sus herramientas para diferenciar las infecciones de este spyware de las infecciones de otros spyware similares han sido compartidas con otros cuerpos y fuerzas de seguridad españoles. O si al menos se ha solicitado a Policía Nacional o Guardia Civil colaboración para realitzar contra análisis. De no ser así quisiera saber que organismo, empresa o particular (aunque sea de forma anónima) ayuda a Mossos en contra análisis, si es que lo hay, o si los peritajes de Mossos sobre spyware no son revisados o verificados por ningún otro organismo. Soy un profesor de universidad y profesor que investiga desde hace años el caso de Pegasus y he publicado informes y capítulos académicos relativos a este problema. En los medios de comunicación han aparecido informaciones sobre el papel que está empezando a jugar los Mossos a través de su Laboratorio de Informática y Electrónica Forense (División de Investigación Criminal) en los peritajes relacionados con spyware y en concreto Pegasus. De acuerdo a informaciones en prensa los Mossos ya han confirmado infecciones de Pegasus en móviles (por ejemplo, en el del anterior presidente de la Generalitat, Pere Aragonès). Es muy importante conocer las herramientas y nivel de formación de los Mossos que se están encargando de (o a los que se les solicita) hacer peritajes judiciales en relación a presuntas infecciones de Pegasus. Es aún más importante dado que algunos de los querellantes trabajan o han trabajado en organizaciones que han diseñado las herramientas de detección de possibles infecciones con Pegasus, o han podido colaborar con los mismos Mossos anteriormente en análisis forenses”. El dia 26 d’octubre el Departament respon la SAIP amb la següent comunicació: “El análisis de dispositivos en búsqueda de software específico por parte de la Policia de la Generalitat – Mossos d’Esquadra (PG-ME), como el referido en esta SAIP, responde a la necesidad de proteger la seguridad ciudadana y garantizar el cumplimiento de la ley en un entorno cada vez más digitalizado. Dicho análisis facilita el acceso a información relevante y oportuna para las investigaciones, lo que contribuye a una respuesta eficaz frente a amenazas y permite prevenir delitos complejos donde se emplean tecnologías avanzadas, como el crimen organizado , el terrorismo y la ciberdelincuencia. Actualmente, la PG-ME no utiliza ninguna herramienta específica para la detección de este tipo de programas (Pegasus o Candiru) en terminales móviles o fijos, como sería el Mobile Verification Toolkit (MVT). Las herramientas utilizadas en los laboratorios forenses de la PG-ME son de creación propia, creadas con lenguajes de código abierto como Linux, o herramientas de uso público como Wireshark, que permitan localizar vestigios de infección de terminales. Desde los servicios de la PG-ME, se trabaja para garantizar que estas intervenciones se realicen preservando la integridad y confidencialidad de la información obtenida para un uso policial específico. Actualmente, en el ámbito de la PG-ME no se realizan actividades de formación en este ámbito. Es por ello que la capacitación de los equipos forenses se realiza de manera autónoma, en base a los diferentes perfiles académicos y los conocimientos técnicos, y el intercambio de información con otros cuerpos policiales. La capacitación adquirida permite incorporar las herramientas necesarias para manejar tecnologías avanzadas que facilitan la identificación, recuperación y análisis de datos digitales. Así mismo, se mantiene una comunicación permanente con otros actores, como autoridades judiciales y entidades reguladoras, lo que refuerza la eficacia de las investigaciones. En ese sentido, este trabajo permite asegurar de preservación de la integridad de los dispositivos y los datos mediante procedimientos forenses que permitan reproducir y validar los resultados en sede judicial.” El dia mateix 30 d’octubre, amb la presentació de la Reclamació, el reclamant aporta un recurs de reposició sense el registre d’entrada: “Estimados señores del Gabinete Técnico como Unidad de Información del Departamento de Interior y Seguridad Pública, Quisiera presentar un recurso de reposición a la nota de respuesta a mi solicitud de información pública (Código de Trámite: 95QBTHYB1, Expediente: ISP_2025_EXP_SIP001SOL2_00014231) que realicé el 30 de septiembre de 2025 y cuya respuesta fue firmada por el Director General de la Policía, Josep Lluís Trapero Álvarez, el 26 de octubre de 2026. Aunque agradezco sinceramente la respuesta del XXX, esta me parece insuficiente y omite aspectos claves de la solicitud de información que hice (en negrita texto de mi solicitud original que adjunto también como fichero): Entre otras cosas estas partes de la solicitud no han sido contestadas: “Solicito conocer si desde 2022 el personal del Laboratorio de Informática y Electrónica Forense (División de Investigación Criminal) ha recibido formación específica para la detección del spyware Pegasus y de otros spyware similares como Candiru" En este apartado el señor XXX en su respuesta ha dicho "Actualmente, en el ámbito de la PG-ME no se realizan actividades de formación en este ámbito." Pero esto no implica que entre 2022 y ahora no se hubiesen realizado estas actividades de formación. Y esto es un aspecto central en mi demanda. Si por ejemplo se realizaron dichas actividades de formación en 2022 o 2023. Otro aspecto clave que no ha sido respondido es el siguiente: "También solicito la lista de empresas u organismos (nacionales o internacionales) han sido responsables o participado en estos trabajos de formación o aportado herramientas para la detección de Pegasus o software similares. También solicito confirmación de ... si representantes del centro de investigación Citizen Lab (parte de la Universidad de Toronto) o de Amnesty Tech (parte de Amnistía Internacional) han colaborado en la formación del personal en las técnicas de detección o incluso en algunos trabajos de detección de spyware." El señor XXX no ha aclarado si representantes de Citizen Lab o de Amnesty Tech han colaborado con la policía en 2022 o años posteriores. La pregunta no era relativa a si hoy en día seguía existiendo una colaboración, sino si esta se había producido antes. Además, hay otros aspectos como la información relativa al software Pegasus o a si se ha invitado al personal de Guardia Civil y Policía Nacional a cualquier formación que se diese en el pasado (aunque ahora ya no se hagan formaciones): “Por último quisiera saber desde que fecha aproximadamente El Laboratorio de Informática y Electrónica Forense está capacitado para detectar infecciones con el software Pegasus y si sus herramientas para diferenciar las infecciones de este spyware de las infecciones de otros spyware similares han sido compartidas con otros cuerpos y fuerzas de seguridad españoles.” Por todo lo expuesto, les solicito que revisen su respuesta y aporten la información sol·licitada en su totalidad, respondiendo directamente a las cuestiones destacadas arriba en este recursos de reposición. Incluyendo si ha habido algún tipo de colaboración de Citizen Lab, Amnesty Tech o sus representantes (en tareas de formación o detección de spyware) o que organizaciones han participado en las formaciones si las hubiera habido desde el año 2022 (incluso si en la actualidad no se estuviesen organizado). También si se ha invitado a Guardia Civil o Policía Nacional a tales formaciones (de haberlas habido) y las fechas en que tuvieron lugar (aunque fuesen aproximadas, por ejemplo, el mes y año). El dia 12 de novembre de 2025 la GAIP notifica un requeriment d’esmena a la persona reclamant i li sol·licita que aporti una còpia del justificant de registre del recurs de reposició. El dia 14 de novembre el reclamant respon al requeriment d’esmena de la GAIP indicant: “Les escribo para explicarles que el documento titulado “Recurso de reposición en relación a la nota de respuesta a la solicitud de información”, no pudo ser finalmente registrado en mi àrea privada en el trámite con el Departamento de Interior y Seguridad Pública y tan solo lo adjunté en el trámite iniciado con ustedes, la GAIP. Expreso mi voluntad de desistir en dicho recurso y solicitarle que sean ustedes quienes gestionen mi reclamación. Sin embargo, solicitaría a la GAIP que tuviesen en cuenta el argumentario que desarrollé en dicho documento y que les reproduzco a continuación: (adjunta el mateix contingut citat anteriorment).” El dia 21 de novembre de 2025 la GAIP comunica la Reclamació al Departament d'Interior i Seguretat Pública i li requereix que, en un termini de 5 dies, li faciliti les dades necessàries per a la convocatòria de la sessió de mediació sol·licitada per la part reclamant. El mateix dia 21 de novembre la GAIP admet provisionalment la Reclamació, informa a la part reclamant sobre els aspectes més rellevants de la seva tramitació i de la posició jurídica que ostenta com a part interessada, de conformitat amb la legislació de procediment administratiu i la de transparència i accés a la informació pública. Li demana especialment que informi a la GAIP immediatament de les comunicacions que rebi de l’Administració reclamada relatives a la informació pública sol·licitada, mentre duri la Reclamació. El dia 28 de novembre el Departament proposa dues possibles dates per celebrar la sessió de mediació. El dia 2 de desembre la GAIP convoca la primera sessió de mediació pel dia 17 de desembre de 2025 a les 11 hores. En data 17 de desembre de 2025 es celebra la sessió de mediació programada, que finalitza amb acord entre les parts, annex a aquesta Resolució. Finalment, s’assoleix la signatura de l’acta i de l’acord de mediació per la part reclamant i per la part reclamada els dies 15 i 25 de gener de 2026, respectivament. Fonaments jurídics 1. Competència de la GAIP i contingut i abast general del dret d’accés a la informació pública L’article 39.1 LTAIPBG estableix que “Les resolucions expresses o presumptes en matèria d’accés a la informació pública i, si escau, les que resolguin el recurs de reposició poden ésser objecte de reclamació gratuïta i voluntària davant la Comissió de Garantia del Dret d’Accés a la Informació Pública, encarregada de vetllar pel compliment i les garanties del dret d’accés a la informació pública que regula aquest títol”. L’article 29 RGAIP desenvolupa aquest precepte i concreta que també poden ser objecte de reclamació davant la GAIP les comunicacions que substitueixin les resolucions i l’incompliment material del dret d’accés, quan aquest ha estat reconegut expressament o presumpta. D’acord amb aquests preceptes, la GAIP és competent per tramitar i resoldre aquesta Reclamació, ja que deriva d’una sol·licitud d’informació pública. L’article 2.c LTAIPBG defineix el dret d’accés a la informació pública com “el dret subjectiu que es reconeix a les persones per a sol·licitar i obtenir la informació pública, en els termes i les condicions regulats per aquesta llei”. Per la seva banda, l’apartat b del mateix precepte defineix la informació pública com “la informació elaborada per l’Administració i la que aquesta té en el seu poder com a conseqüència de la seva activitat o de l’exercici de les seves funcions, inclosa la que li subministren els altres subjectes obligats d’acord amb el que estableix aquesta llei” 2. Acord de mediació L’article 42.5 LTAIPBG estableix que l’acord assolit per les parts en el marc d’un procediment de mediació posa fi al procediment i en cap cas no pot ser contrari a l’ordenament jurídic. Segons es desprèn de l’acta aixecada al finalitzar la sessió de mediació celebrada, degudament signada pels assistents, les parts han assolit un acord, que consta annex a aquesta Resolució, a satisfacció de la persona reclamant. Amb la informació de què disposa la GAIP, no s’aprecia que aquest Acord contingui elements contraris a l’ordenament jurídic ni als interessos generals, per la qual cosa correspon posar fi al procediment de reclamació. 3. Publicitat de les resolucions de la GAIP L’article 44 LTAIPBG preveu que les resolucions de la GAIP s’han de publicar en el portal de la Comissió previst a l’article 25 RGAIP, amb la dissociació prèvia de les dades personals. Resolució Sobre la base dels antecedents i fonaments jurídics exposats, el Ple de la GAIP, en la sessió de 29 de gener de 2026, resol per unanimitat: 1. Declarar finalitzat el procediment relatiu a la Reclamació 2396/2025, amb l’acord de les parts annex a aquesta Resolució. 2. Donar publicitat d’aquesta resolució al web de la GAIP. Iolanda Pineda Balló Presidenta Contra aquesta resolució, que posa fi a la via administrativa, es pot interposar recurs contenciós administratiu davant el Tribunal Superior de Justícia de Catalunya en un termini de dos mesos, a comptar de l’endemà de la notificació de la resolució, d’acord amb la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa. ACORD DE MEDIACIÓ De 17 de desembre de 2025, relatiu a la Reclamació 2396/2025 REUNITS La persona reclamant, ... En representació del Departament d’Interior i Seguretat Pública, ... ACORDEN En relació amb la Reclamació 2396/2025, el Departament d'Interior i Seguretat Pública reconeix el dret del reclamant a accedir a la data en la qual el cos de Mossos d’Esquadra va emetre el primer peritatge en un procediment judicial en matèria de detecció d’“spyware”. La part reclamant, mitjançant aquest acord de mediació es dona per satisfeta de la seva reclamació. El termini màxim establert per executar l’acord es fixa en data 15 de gener. L’administració reclamada es compromet a informar del compliment del present acord a la GAIP un cop s’hagi fet efectiu, de conformitat amb el què estableix l’article 43.5 de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern, comunicant-li expressament en un termini d’una setmana el seu compliment i els termes de la seva execució. El present Acord de mediació es regeix per la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern, i segueix el previst pel Manual de mediació de la GAIP, els aspectes més destacats del qual són recollits per les adjuntes “Característiques bàsiques del procediment de mediació per a l’accés a la informació pública”. Tots aquests documents són coneguts per les parts i mereixen la seva conformitat. L’acord es presentarà al Ple de la GAIP, a fi que aquesta en tingui coneixement, dicti la resolució que posa fi al procediment de reclamació, ordeni la seva execució i la seva publicació al web de la GAIP. Firmes: Consten les firmes