RESOLUCION 2583/2024

Visto: La Ley N° 642/95 “De Telecomunicaciones”; la Ley 4868/2013 de Comercio Electrónico; la Convención sobre la Ciberdelincuencia, y el Protocolo Adicional al Convenio sobre Ciberdelincuencia relativo a la Penalización de Actos de Índole Racista y Xenófoba cometidos por medios de Sistemas Informáticos, aprobado por Ley 5994/2017; las Normas Reglamentarias de la Ley de Telecomunicaciones aprobadas por Decreto N° 14.135/96; el Plan Nacional de Ciberseguridad aprobado por Decreto N° 7.052/2017; el Expediente N° 4614/2018 de fecha 27.12.2018 presentado por el Viceministerio de Tecnologías de la Información y Comunicación del Ministerio de Tecnologías de la Información y Comunicación; el Expediente N° 4366/2021 de fecha 12.11.2021 presentado por la Delegatura Nacional de la Unidad Especializada en Delitos Informáticos del Ministerio Público; la Providencia GET N° 007/2019 de fecha 14.02.2019 presentada por el Gabinete Técnico; la Providencia DGST N° 11/2019 de fecha 14.02.2019 presentada por la Gerencia de Servicios de Telecomunicaciones; la Providencia GT de fecha 02.11.2021 presentada por el Gabinete Técnico; la Providencia GST N° 877/2021 de fecha 24.11.2021 presentada por la Gerencia de Servicios de Telecomunicaciones; la Providencia GT de fecha 30.11.2021 presentada por el Gabinete Técnico; la Providencia GT N° 896/2021 de fecha 30.11.2021 presentada por la Gerencia de Servicios de Telecomunicaciones; el Dictamen A.L. N° 139/2022 de fecha 10.02.2022 presentado por la Asesoría Jurídica; la Providencia GT de fecha 20.09.2024 presentada por el Gabinete Técnico y; Considerando: Que, la Ley N° 642/95 de Telecomunicaciones en su artículo 3 establece que “Corresponde al Estado el fomento, control y reglamentación de las telecomunicaciones; el cual implementará dichas funciones a través de una Comisión Nacional de Telecomunicaciones en el marco de una política integrada de servicios, prestadores, usuarios, tecnología e industria”, y en su artículo 5 dispone que “La instalación, operación y explotación de los servicios de telecomunicaciones ubicados en el territorio nacional se realizarán conforme a las especificaciones técnicas que establezca la Comisión Nacional de Telecomunicaciones”. Que, el artículo 16, literal a de la Ley de Telecomunicaciones dispone como función de la Comisión Nacional de Telecomunicaciones “dictar los reglamentos en materia de telecomunicaciones”, y en su literal b dispone “aprobar las normas técnicas”; Que, la Ley 642/95 de Telecomunicaciones, en su artículo 89 estipula que “Se establece la inviolabilidad del secreto de la correspondencia realizada por los servicios de telecomunicaciones y del patrimonio documental, salvo orden judicial. Esta disposición es aplicable tanto al personal de telecomunicaciones, como a toda persona o usuario que tenga conocimiento de la existencia o contenido de las mismas”, y en su artículo 90 establece que “La inviolabilidad del secreto de la correspondencia de telecomunicaciones importa la prohibición de abrir sustraer, interferir, cambiar texto, desviar curso, publicar, usar, tratar de conocer o facilitar que persona ajena al destinatario tenga conocimiento de la existencia o el contenido de comunicaciones confiadas a prestadores de servicios y la de dar ocasión para cometer tales actos”. Que, el art. 10 de la Ley 4868/2013 de Comercio Electrónico establece a los Proveedores de Servicios de Intermediación (Servicio de Acceso a Internet) y los Proveedores de Servicio de Alojamiento de Datos a almacenar los datos de conexión y tráfico de comunicaciones establecidas durante la prestación de un servicio por un periodo de hasta 6 meses.

Que, el artículo 20 de la Convención sobre la Ciberdelincuencia, y el Protocolo Adicional al Convenio sobre Ciberdelincuencia relativo a la Penalización de Actos de Índole Racista y Xenófoba cometidos por medios de Sistemas Informáticos, aprobado por Ley 5994/2017 dispone que “Cada Parte adoptará las medidas legales y de otra índole que sean necesarias con el fin de facultar a sus autoridades competentes para: ...b. obligar a un proveedor de servicios, dentro de los límites de su capacidad técnica: i. a obtener o grabar mediante la aplicación de medios técnicos existentes en el territorio de esa Parte; o, ii. a cooperar y asistir a las autoridades competentes en la obtención y grabación de los datos sobre el tráfico, en tiempo real, asociados a comunicaciones específicas en su territorio transmitidas por medio de un sistema informático... 3. Cada Parte adoptará las medidas legales y de otra índole que sean necesarias para obligar a un proveedor de servicios a mantener en secreto el hecho de la ejecución de cualquiera de los poderes previstos en el presente artículo, así como cualquier información relacionada al mismo...”. Que, la línea de acción 5.c.1 del objetivo 5.c del eje 5. “Capacidad de Investigación y Persecución de la Ciberdelincuencia” del Plan Nacional de Ciberseguridad dispone “Elaborar propuestas de modificación, mejoramiento y elaboración de reglamentaciones, que sean necesarias y efectivas para la persecución de delitos que utilizan para su comisión tecnologías de la información y comunicación, tanto en lo que respecta a la parte sustantiva como la procesal, y que son adecuados, necesarios y proporcionales conforme al enfoque de Derechos Humanos vigente”. Que, el Viceministerio de Tecnologías de la Información y la Comunicación del Ministerio de Tecnologías de la Información y Comunicación, por medio del Expediente N° 4614/2018, solicitó a la CONATEL la modificación de la Resolución N° 1350/2002 de modo a incluir también la obligatoriedad de la conservación, por 6 meses, de registros de la asignación de IPs, y así permitir la identificación del cliente o usuario que ha usufructuado una determinada dirección IP en una fecha y hora determinada, basado en que la gran mayoría de los Proveedores de Servicios de Internet (ISP) no conserva los datos referentes a la asignación dinámica de IPs, por lo que en el marco de una investigación judicial, las más de las veces, cuando se identifica una IP paraguaya, aun contando con la evidencia (acción realizada, fecha y hora) no es posible determinar qué usuario ha utilizado dicha IP en la fecha y hora indicada, y en que en el Plan Nacional de Ciberseguridad se ha incluido esta línea de acción, bajo el Eje de “Capacidad de Investigación y Persecución de Ciberdelincuencia”. Que, la Agente Fiscal a cargo de la Delegatura Nacional de la Unidad Especializada en Delitos Informáticos, a través de la nota ingresada como Expediente 4366/2021 expresa la preocupación por la falta de reglamentación de la obligación de las proveedoras de servicios de internet a proveer datos de tráfico en relación de la titularidad de los usuarios que utilizan una dirección de IP determinada. Que, en la citada nota se expresa la distinción entre datos de usuario, de tráfico y de contenido. Los datos de tráfico, o metadatos, en una comunicación son los datos que rodean el mensaje que se transmite, pero que no forman parte del contenido de dicho mensaje. Por lo que el contenido de las comunicaciones se mantiene estrictamente privado.

Que, en la nota se expone que la imposibilidad de informar sobre las asignaciones de IP causa un impacto nefasto en la investigación de hecho punibles, dejando un sinnúmero de delitos y crímenes en total impunidad, poniendo como ejemplo que entre 2014 y 2016 ingresaron 1561 causas de pornografía infantil reportadas por las proveedoras de servicios electrónicos como Facebook, Instagram y Twitter, y que el 80,39% de los casos debieron ser archivados por falta de identificación del autor. Que, de acuerdo a las estadísticas y datos del Observatorio Criminológico del Ministerio Público en el año 2021 se han procesado 2796 denuncias de pornografía relativa a niños, niñas y adolescentes, y que, asimismo, señala que, en el 2021, sólo en la sede de la Capital de Delitos Informáticos se recibieron más de 1800 denuncias sobre pornografía infantil. Que, el Gabinete Técnico ha analizado la situación planteada y ha expresado su posición por medio de la Providencia GET N° 007/2019 de fecha 14.02.2019, de la Providencia GT de fecha 02.11.2021 y de la Providencia GT de fecha 30.11.2021 Que, la Gerencia de Servicios de Telecomunicaciones también ha analizado la situación planteada y se expidió por medio de la Providencia DGST N° 11/2019 de fecha 14.02.2019, de la Providencia GST N° 877/2021 de fecha 24.11.2021 y de la Providencia GT N° 896/2021 de fecha 30.11.2021. Que, la Asesoría Jurídica por medio del Dictamen A.L. N° 139/2022 expone que la conservación del registro de asignaciones IP coadyuvaría –aparte de la Ciberseguridad, persecución de la Ciberdelincuencia– en el análisis de los reclamos presentados por los usuarios de servicios de telecomunicaciones, respetando lo dispuesto por la Ley N° 642/95 “De Telecomunicaciones” en sus artículos 89 y 90 que refieren a la inviolabilidad del secreto de correspondencia, y asimismo teniendo en cuenta esto, la inobservancia de esta condición (conservar registros de asignaciones de direcciones IP) constituiría infracción grave, tipificada en el Art. 104 inc. A) y e) de la Ley N° 642/95 “De Telecomunicaciones”. Que, en la Providencia GT de fecha 20.09.2024, el Gabinete Técnico presenta una consolidación de los aportes de las distintas áreas y propone un texto final para la normativa técnica a ser aprobada por medio de una Resolución de Directorio. Por tanto: El Directorio de la CONATEL, en sesión extraordinaria del 20 de septiembre de 2024, Acta N° 45/2024, y de conformidad a las disposiciones previstas en la Ley N° 642/95 “De Telecomunicaciones”; Resuelve:

Artículo 1°.- Establecer la obligatoriedad, para todos los Licenciatarios del Servicio de Acceso a Internet y Transmisión de Datos, de conservar los registros de conexión correspondientes a cada usuario del Servicio. Estos registros deben incluir los datos necesarios para identificar de manera inequívoca y única a los usuarios del Servicio de Acceso a Internet y Transmisión de Datos.

Art. 2°.- Disponer la obligatoriedad, para los Licenciatarios del Servicio de Acceso a Internet y Transmisión de Datos, de almacenar en cada conexión realizada por el usuario del servicio los siguientes datos:

1. Dirección IP asignada al usuario en el momento de la conexión. Fecha y hora de asignación y liberación de la dirección.

2. De realizarse de traducción de direcciones de red (NAT - Network Address Translation), la correspondencia entre las direcciones privadas y públicas.

Art. 3°.- Establecer que los datos mencionados en el artículo que precede, deben ser conservados por un período mínimo de 6 (seis) meses, debiendo los mismos, ser protegidos con medidas de seguridad adecuadas para garantizar su integridad y confidencialidad de acuerdo con las leyes y regulaciones vigentes en materia de protección de datos y privacidad.

Art. 4°.- Estipular que, en el cumplimiento de lo dispuesto en la presente Resolución, deber darse el estricto respeto de lo establecido en los artículos 89 y 90 de la Ley N° 642/95 “De Telecomunicaciones”.

Art. 5°.- Establecer un plazo máximo de 6 (seis) meses, contados a partir de la entrada en vigencia de la presente Resolución, para la adecuación y ajustes técnicos de los sistemas que soportan el servicio afectado.

Art. 6°.- Considerar como infracción grave de conformidad al inciso a y e, del artículo 104 de la Ley N° 642/95 “De Telecomunicaciones”, el incumplimiento de las disposiciones establecidas en la presente Resolución.

Art. 7°.- Publicar en la Gaceta Oficial.

Art. 8°.- Comunicar a quienes corresponda y cumplida archivar.