RESOLUCION 700/2025

Visto: La Ley Nº 642/95 de Telecomunicaciones; la Ley Nº 4868/2013 de Comercio Electrónico; la Convención sobre la Ciberdelincuencia, y el Protocolo Adicional al Convenio sobre Ciberdelincuencia relativo a la Penalización de Actos de Índole Racista y Xenófoba cometidos por medios de Sistemas Informáticos, aprobado por Ley Nº 5994/2017; las Normas Reglamentarias de la Ley de Telecomunicaciones aprobadas por Decreto Nº 14.135/96; el Plan Nacional de Ciberseguridad aprobado por Decreto Nº 7.052/2017; el Expediente Nº 4614/2018 de fecha 27.12.2018 presentado por el Viceministerio de Tecnologías de la Información y Comunicación del Ministerio de Tecnologías de la Información y Comunicación; el Expediente Nº 4366/2021 de fecha 12.11.2021 presentado por la Delegatura Nacional de la Unidad Especializada en Delitos Informáticos del Ministerio Público; la Resolución Directorio Nº 2583/2024 de fecha 20.09.2024 “por la cual se establece la obligatoriedad para todos los Licenciatarios del Servicio de Acceso a Internet y Transmisión de Datos de conservar los registros de conexión”; El expediente ME-AS-00111/2025 de fecha 08.01.2025 y el expediente ME-AS-00263/2025 de fecha 21.01.2025, ambos presentados por la Cámara de Operadores Móviles del Paraguay; el expediente ME-AS-00540/2025 de fecha 11.02.2025 presentado por Telefónica Celular del Paraguay S.A.E.; el expediente ME-AS-00678/2025 de fecha 24.02.2025 presentado por AMX Paraguay S.A.; el expediente ME-AS-00698/2025 de fecha 25.02.2025 presentado por Núcleo S.A.; el Informe GT-GST-VM de fecha 14.03.2025 elaborado conjuntamente por el Gabinete Técnico, la Gerencia de Servicios de Telecomunicaciones y el Ing. Víctor Martínez. Considerando: Que, la Ley Nº 642/95 de Telecomunicaciones en su artículo 3º establece que “Corresponde al Estado el fomento, control y reglamentación de las telecomunicaciones; el cual implementará dichas funciones a través de una Comisión Nacional de Telecomunicaciones en el marco de una política integrada de servicios, prestadores, usuarios, tecnología e industria”, y en su artículo 5º dispone que “La instalación, operación y explotación de los servicios de telecomunicaciones ubicados en el territorio nacional se realizarán conforme a las especificaciones técnicas que establezca la Comisión Nacional de Telecomunicaciones”. Que, el artículo 16º, literal a de la Ley de Telecomunicaciones dispone como función de la Comisión Nacional de Telecomunicaciones “dictar los reglamentos en materia de telecomunicaciones”, y en su literal b dispone “aprobar las normas técnicas”; Que, la Ley Nº 642/95 de Telecomunicaciones, en su artículo 89º estipula que “Se establece la inviolabilidad del secreto de la correspondencia realizada por los servicios de telecomunicaciones y del patrimonio documental, salvo orden judicial. Esta disposición es aplicable tanto al personal de telecomunicaciones, como a toda persona o usuario que tenga conocimiento de la existencia o contenido de las mismas”, y en su artículo 90º establece que “La inviolabilidad del secreto de la correspondencia de telecomunicaciones importa la prohibición de abrir, sustraer, interferir, cambiar texto, desviar curso, publicar, usar, tratar de conocer o facilitar que persona ajena al destinatario tenga conocimiento de la existencia o el contenido de comunicaciones confiadas a prestadores de servicios y la de dar ocasión para cometer tales actos”. Que, el artículo 10º de la Ley Nº 4868/2013 de Comercio Electrónico establece a los Proveedores de Servicios de Intermediación (Servicio de Acceso a Internet) y los Proveedores de Servicio de Alojamiento de Datos a almacenar los datos de conexión y tráfico de comunicaciones establecidas durante la prestación de un servicio por un periodo de hasta 6 meses.

Que, el artículo 20º de la Convención sobre la Ciberdelincuencia, y el Protocolo Adicional al Convenio sobre Ciberdelincuencia relativo a la Penalización de Actos de Índole Racista y Xenófoba cometidos por medios de Sistemas Informáticos, aprobado por Ley Nº 5994/2017 dispone que “Cada Parte adoptará las medidas legales y de otra índole que sean necesarias con el fin de facultar a sus autoridades competentes para: ...b. obligar a un proveedor de servicios, dentro de los límites de su capacidad técnica: i. a obtener o grabar mediante la aplicación de medios técnicos existentes en el territorio de esa Parte; o, ii. a cooperar y asistir a las autoridades competentes en la obtención y grabación de los datos sobre el tráfico, en tiempo real, asociados a comunicaciones específicas en su territorio transmitidas por medio de un sistema informático... 3. Cada Parte adoptará las medidas legales y de otra índole que sean necesarias para obligar a un proveedor de servicios a mantener en secreto el hecho de la ejecución de cualquiera de los poderes previstos en el presente artículo, así como cualquier información relacionada al mismo...”. Que, la línea de acción 5.c.1 del objetivo 5.c del eje 5. “Capacidad de Investigación y Persecución de la Ciberdelincuencia” del Plan Nacional de Ciberseguridad dispone “Elaborar propuestas de modificación, mejoramiento y elaboración de reglamentaciones, que sean necesarias y efectivas para la persecución de delitos que utilizan para su comisión de tecnologías de la información y comunicación, tanto en lo que respecta a la parte sustantiva como la procesal, y que son adecuados, necesarios y proporcionales conforme al enfoque de Derechos Humanos vigente”. Que, el Viceministro de Tecnologías de la Información y la Comunicación del Ministerio de Tecnologías de la Información y Comunicación, por medio del Expediente Nº 4614/2018, solicitó a la CONATEL la modificación de la Resolución Nº 1350/2002 de modo a incluir también la obligatoriedad de la conservación, por 6 meses, de registros de la asignación de IPs, y así permitir la identificación del cliente o usuario que ha usufructuado una determinada dirección IP en una fecha y hora determinada, basado en que la gran mayoría de los Proveedores de Servicios de Internet (ISP) no conserva los datos referentes a la asignación dinámica de IPs, por lo que en el marco de una investigación judicial, las más de las veces, cuando se identifica una IP paraguaya, aun contando con la evidencia (acción realizada, fecha y hora) no es posible determinar qué usuario ha utilizado dicha IP en la fecha y hora indicada, y en que en el Plan Nacional de Ciberseguridad se ha incluido esta línea de acción, bajo el Eje de “Capacidad de Investigación y Persecución de Ciberdelincuencia”. Que, la Agente Fiscal a cargo de la Delegatura Nacional de la Unidad Especializada en Delitos Informáticos, a través de la Nota ingresada como Expediente Nº 4366/2021, expresa la preocupación por la falta de reglamentación de la obligación de las proveedoras de servicios de internet a proveer datos de tráfico en relación de la titularidad de los usuarios que utilizan una dirección de IP determinada. Que, en la citada Nota se expresa la distinción entre datos de usuario, de tráfico y de contenido. Los datos de tráfico, o metadatos, en una comunicación son los datos que rodean el mensaje que se transmite, pero que no forman parte del contenido de dicho mensaje. Por lo que el contenido de las comunicaciones se mantiene estrictamente privado.

Que, en la Nota se expone que la imposibilidad de informar sobre las asignaciones de IP causa un impacto nefasto en la investigación de hecho punibles, dejando un sinnúmero de delitos y crímenes en total impunidad, poniendo como ejemplo que entre 2014 y 2016 ingresaron 1.561 causas de pornografía infantil reportadas por las proveedoras de servicios electrónicos como Facebook, Instagram y Twitter, y que el 80,39% de los casos debieron ser archivados por falta de identificación del autor. Que, de acuerdo a las estadísticas y datos del Observatorio Criminológico del Ministerio Público en el año 2021 se han procesado 2.796 denuncias de pornografía relativa a niños, niñas y adolescentes, y que, asimismo, señala que, en el 2021, sólo en la sede de la Capital de Delitos Informáticos se recibieron más de 1.800 denuncias sobre pornografía infantil. Que, la Resolución Directorio Nº 2583/2024 establece la obligatoriedad para todos los Licenciatarios del Servicio de Acceso a Internet y Transmisión de Datos de conservar los registros de conexión. Que, en el expediente ME-AS-00111/2025 de fecha 08.01.2025, la Cámara de Operadores Móviles del Paraguay solicita la modificación de los artículos 1º, 2º y 5º de la Resolución Directorio Nº 2583/2024. Que en el expediente ME-AS-00263/2025 de fecha 21.01.2025, la Cámara de Operadores Móviles del Paraguay presenta informe, entre otros, acerca de los avances realizados para la implementación de lo dispuesto en la Resolución Directorio Nº 2583/2024, y expresa que no es viable la implementación del sistema para el mes de marzo de 2025. Que en el expediente ME-AS-00540/2025 de fecha 11.02.2025, la empresa Telefónica Celular del Paraguay S.A.E. solicita la modificación de los artículos 1º, 2º y 5º de la Resolución Directorio Nº 2583/2024 de fecha 20.09.2024. Que en el expediente ME-AS-00678/2025 de fecha 24.02.2025, la empresa AMX Paraguay S.A. solicita formalmente una prórroga, hasta junio de 2026, de la aplicación de la Resolución Directorio Nº 2583/2024. Que en el expediente ME-AS-00698/2025 de fecha 25.02.2025, la empresa Núcleo S.A. solicita que el plazo de implementación de la Resolución Directorio Nº 2583/2024 sea extendido hasta el 31 de diciembre de 2025. Que, por Informe GT-GST-VM de fecha 14.03.2025, elaborado conjuntamente por el Gabinete Técnico, la Gerencia de Servicios de Telecomunicaciones y el Ing. Víctor Martínez, Director Suplente, se eleva a consideración del Directorio una propuesta de modificación de la Resolución Directorio N° 2583/2024, como resultado del análisis de todo lo planeado. Que, el Directorio ha analizado la propuesta de modificación de la Resolución Directorio Nº 2583/2024. Por tanto: El Directorio de la CONATEL, en sesión ordinaria del 19 de marzo de 2025, Acta Nº 12/2025, y de conformidad a las disposiciones previstas en la Ley Nº 642/95 de Telecomunicaciones. Resuelve:

Artículo 1º.- Modificar la Resolución Directorio Nº 2583/2024 de fecha 20.09.2024, quedando la misma redactada como sigue:

Art. 1º. Establecer la obligatoriedad, para todos los Licenciatarios del Servicio de Acceso a Internet y Transmisión de Datos, de conservar los registros de conexión correspondientes a cada abonado del servicio. Estos registros deben incluir los datos necesarios para identificar de madera inequívoca y única a los abonados del Servicio de Acceso a Internet y Transmisión de Datos.

Art. 2º.- Disponer la obligatoriedad, para los Licenciatarios del Servicio de Acceso a Internet y Transmisión de Datos, de almacenar en cada conexión realizada por el abonado del servicio los siguientes datos:

1. Dirección de protocolo IP asignada al abonado.

2. Puertos TCP/UDP utilizados en la comunicación IP, en los casos que existan procesos de traducción de direcciones de red (NAT - Network Address Translation).

3. Fecha y hora de la comunicación IP, en los casos que existan procesos de traducción de direcciones de red (NAT - Network Address Translation).

4. Identificación del abonado del servicio contratado.

Art. 3º.- Establecer que los datos mencionados en el artículo que precede, deben ser conservados por un período mínimo de 6 (seis) meses, debiendo los mismos, ser protegidos con medidas de seguridad adecuadas para garantizar su integridad y confidencialidad de acuerdo con las leyes y regulaciones vigentes en materia de protección de datos y privacidad.

Art. 4º.- Estipular que, en el cumplimiento de lo dispuesto en la presente Resolución, debe darse el estricto respeto de lo establecido en los artículos 89 y 90 de la Ley Nº 642/95 “De Telecomunicaciones”.

Art. 5º.- Establecer un plazo hasta el 20 de agosto de 2025, para la adecuación y ajustes técnicos de los sistemas que soportan el servicio afectado

Art. 6º.- Considerar como infracción grave de conformidad al inciso a y e, del artículo 104º de la Ley Nº 642/95 de Telecomunicaciones, el incumplimiento de las disposiciones establecidas en la presente Resolución.

Art. 2º.- Publicar en la Gaceta Oficial.

Art. 3°.- Comunicar a quienes corresponda y cumplido archivar.