El Ple del Tribunal Constitucional ha estimat en part el recurs d'inconstitucionalitat presentat pel Govern contra la Llei 15/2017, de 25 de juliol, de l'Agència de Ciberseguretat de Catalunya i, en conseqüència, declara nuls els apartats següents de l'article 2: apartat 1 complert; l'incís "amb relació a les persones físiques o jurídiques situades a Catalunya", de l'apartat 3. L'incís "Planificar, gestionar, coordinar i supervisar la ciberseguretat a Catalunya, establint la capacitat preventiva i reactiva necessària per pal·liar els efectes dels incidents de ciberseguretat que afecten el territori de Catalunya, així com les proves que puguin organitzar-se en matèria de ciberseguretat i continuïtat "de la lletra b) de l'apartat 4.
El Tribunal entén que la redacció d'aquests apartats excedeix de les competències del legislador autonòmic, ja que l'art. 149.1.29a CE atorga competència exclusiva a l'Estat en matèria de seguretat pública, dins de la qual s'integra la ciberseguretat.
L'art. 2.1 de la Llei 15/2017 prescriu que "l'Agència de Ciberseguretat de Catalunya té per objecte garantir la ciberseguretat en el territori de Catalunya, entesa com la seguretat de les xarxes de comunicacions electròniques i dels sistemes d'informació".
La sentència explica que "la definició de l'objecte que efectua el precepte és molt extensa en la seva concepció, ja que la ciberseguretat s'integra en les competències estatals en matèria de seguretat pública i de telecomunicacions". Per tant, aquesta "atribució incondicionada" a l'Agència en el territori de Catalunya desborda en el seu enunciació els marges en què la ciberseguretat s'inclou en les competències autonòmiques.
Per la seva banda, l'art. 2.3 estableix que l'Agència pot exercir les seves funcions "amb relació a les persones físiques o jurídiques situades a Catalunya". El Tribunal també el declara inconstitucional i nul ja que "no es limita a objectius relacionats amb la necessitat de protegir les xarxes i sistemes d'informació propis i els dels particulars i d'altres administracions que es relacionen per mitjans electrònics amb l'Administració".
Pel que fa a la lletra b) de l'art. 2.4 anteriorment transcrit, la sentència assenyala que "la funció d'aquest apartat b) pressuposa el disseny d'un marc estratègic i institucional en aquesta matèria que supera les competències de la Generalitat en aquest àmbit, ja que no es refereix a l'actuació de l'administració i tampoc pot relacionar-se amb les competències autonòmiques derivades de la creació de la policia de seguretat pròpia ".
En canvi, l'apartat 2 de l'art. 2 de la llei 15/2017 no és contrari a la Constitució si s'interpreta el sentit que "l'objectiu que persegueix l'Agència es relaciona amb la necessitat de protegir les xarxes i sistemes d'informació de l'Administració de la Generalitat i del seu sector públic i els dels particulars i altres administracions públiques que es relacionen per mitjans electrònics amb aquesta administració ".
El Tribunal també avala la constitucionalitat de les lletres a) b) id) de l'apartat 5, impugnades pel Govern, que es refereixen a les funcions de l'Agència de Ciberseguretat de Catalunya circumscrites al "àmbit del Govern i de l'Administració de la Generalitat i el seu sector públic dependent ".
Finalment, tampoc és inconstitucional la lletra f) de l'apartat 4 de l'art. 2, que atribueix a l'Agència la funció de "investigar i analitzar tecnològicament els ciberincidentes i ciberatacs sobre infraestructures tecnològiques, sistemes d'informació, serveis de tecnologies de la informació i la comunicació o la pròpia informació en què l'Agència intervingui per raó de la seva competència".
Economist & Jurist