Nº 44196-MSP-MICITT
EL PRESIDENTE DE LA REPÚBLICA,
EL MINISTRO DE SEGURIDAD PÚBLICA Y
LA MINISTRA DE CIENCIA,
INNOVACIÓN, TECNOLOGÍA Y
TELECOMUNICACIONES
En el
ejercicio de las atribuciones que les confieren los artículos 11, 24, 33, 34,
46, 121 inciso 14) subinciso c), 140 y 146 de la
Constitución Política emitida en fecha 07 de noviembre de 1949 y publicada en
la Colección de Leyes y Decretos del Año: 1949, Semestre: 2, Tomo: 2, Página:
724 y sus reformas; en el Anexo 13 de la Ley N° 8622, "Tratado de Libre
Comercio República Dominicana - Centroamérica - Estados Unidos (TLC)"
emitido en fecha 21 de noviembre de 2007 y publicado en el Alcance N° 40 al
Diario Oficial La Gaceta N° 246 de fecha 21 de diciembre de 2007, en el
"Convenio de Europa sobre Ciberdelincuencia (Budapest, 2001) aprobado
mediante la Ley N° 9452 "Aprobación de la Adhesión al Convenio sobre la
Ciberdelincuencia", emitida en fecha 26 de mayo de 2017 y publicada en el
Alcance N°161 al Diario Oficial La Gaceta N°125 de fecha 03 de julio de 2017,
en los artículos 4, 8, 10, 11, 12, 13, 15, 16, 25 inciso 1), 27 inciso 1), 28
inciso 2) acápite b), 113, 120, 121, 133, 136 inciso e), 240, y 307 inciso 2)
de la Ley Nº 6227, "Ley General de la Administración Pública",
emitida en fecha 02 de mayo de 1978 y publicada en la Colección de Leyes y
Decretos del Año: 1978, Semestre: 1, Tomo: 4, Página: 1403 y sus reformas; los
artículos 11, 20 inciso e) y 21 de la Ley Nº7169, "Ley de Promoción del Desarrollo
Científico y Tecnológico" emitida en fecha 26 de junio de 1990 y publicada
en el Alcance N°23 al Diario Oficial La Gaceta N°144 de fecha 01 de agosto de
1990 y sus reformas, en los artículos 1, 2 incisos d) e) y f), 3 incisos c),
d), f), i), j), 4, 6 incisos 7), 12), 16), 19), 23), y 30), 7, 8, 10, 41, 42,
45, 49 incisos 1, 2 y 3 de la Ley N° 8642, "Ley General de
Telecomunicaciones" (LGT), emitida en fecha 04 de junio de 2008 y
publicada en el Diario Oficial La Gaceta N° 125 de fecha 30 de junio de 2008 y
sus reformas, en los artículos 1, 2, 3, 38, 39 y 40 de la Ley N° 8660,
"Ley de Fortalecimiento y Modernización de las Entidades Públicas del
Sector Telecomunicaciones", emitida en fecha 08 de agosto de 2008 y
publicada en el Alcance N° 31, al Diario Oficial La Gaceta N° 156 de fecha 13
de agosto de 2008 y sus reformas; el artículo 1 de la Ley N°5482, "Ley
Orgánica del Ministerio de Seguridad", emitida el 24 de diciembre de 1973
y publicada en la Colección de Leyes y Decretos del año 1973, Semestre 2, Tomo
4, página 1858 y sus reformas, los artículos 13 y 14 de la Ley N° 7410
"Ley General de Policía", emitida el 26 de mayo de 1994, y publicada
en el Alcance N°16 al Diario Oficial La Gaceta N°103, de fecha 30 de mayo de
1994 y sus reformas, el artículo 1 de la Ley N° 8220, "Ley de Protección
al Ciudadano del Exceso de Requisitos y Trámites Administrativos" emitida
el 04 de marzo de 2002 y publicada en el Alcance N°22 al Diario Oficial La
Gaceta N°22 de fecha 11 de marzo de 2002 y sus reformas; los artículos 4 y 25
de la Ley N°8488, "Ley Nacional de Emergencias y Prevención del
Riesgo" emitida el 22 de noviembre de 2005 y publicada en el Diario
Oficial La Gaceta N° 8 de fecha 11 de enero de 2006 y sus reformas, el Decreto
Ejecutivo N° 37052-MICIT "Crea Centro de Respuesta de Incidentes de
Seguridad Informática CSIRT-CR" emitido el 09 de marzo de 2012, y
publicado en el Diario Oficial La Gaceta N°72 de fecha 13 de abril de 2012; el
Decreto Ejecutivo N° 40546-RREE "Adhesión de la República de Costa Rica al
Convenio de Europa sobre Ciberdelincuencia (Budapest, 2001)" emitido el 03
de julio de 2017 y publicado en el Diario Oficial La Gaceta N° 156 de fecha 18
de agosto de 2017; el Decreto Ejecutivo N°43542-MP-MICITT,"Declara estado
de emergencia nacional en todo el sector público del Estado costarricense,
debido a los cibercrímenes que han afectado la
estructura de los sistemas de información", emitido el 08 de mayo de 2022
y publicado en el Alcance N°94 al Diario Oficial La Gaceta N°86 de fecha 11 de
mayo de 2005; el artículo 2 del Decreto Ejecutivo Nº 44010-MINAET denominado
"Plan Nacional de Atribución de Frecuencias (PNAF)", emitido en fecha
16 de marzo de 2023, y publicado en el Alcance N°99 al Diario Oficial La Gaceta
Nº 95 de fecha 30 de mayo 2023, en el artículo 2 del Decreto Ejecutivo N°
38767-MP-MTSS-MJP, denominado "Reglamento al artículo 375 del
Código de Trabajo" emitido el 18 de diciembre de 2014, y publicado en el
Diario Oficial La Gaceta N°20 de 29 de enero de 2015; en el Plan Nacional de
Desarrollo de las Telecomunicaciones 2022-20217 "Costa Rica: Hacia la
disrupción digital inclusiva" y el Informe técnico Nº
MICITTDGDCFD-INF-007-2023 de fecha 25 de agosto de 2023 denominado
"Ciberseguridad en Redes 5G" emitido por la Dirección de Gobernanza
Digital y Certificadores de Firma Digital, del Ministerio de Ciencia,
Innovación, Tecnología y Telecomunicaciones, y ;
CONSIDERANDO:
I. Que, el
artículo 24 de la Constitución Política garantiza los derechos fundamentales a
la intimidad, la privacidad y el secreto de las comunicaciones, y el derecho de
autodeterminación informativa los cuales se sustentan en la dignidad de la
persona y la autodeterminación consciente y responsable de la propia vida.
II. Que,
por lo anterior se afirma que la dignidad es inherente al ser humano, y es
el mínimo jurídico que se le debe asegurar a la persona con el objeto de que se
respete su condición de tal y un mínimo de calidad de vida humana. En el
respeto de los derechos derivados del artículo 24 se manifiesta el respeto a la
dignidad humana." (Procuraduría General de la República, Opinión
Jurídica OJ-103-2010, del 13 de diciembre de 2010).
III. Que,
ese sentido, como derivado de la dignidad e intimidad humanas, el tratamiento
de los datos personales se encuentra dispuesto en un régimen jurídico especial
que garantiza un trato adecuado de los mismos, por ello la Procuraduría General
de la República en su Dictamen N° C-064-2022 de fecha 22 de marzo de 2022
manifestó:
"Por
ejemplo, se prohíbe el tratamiento por parte de terceros, de aquellos datos
considerados sensibles o personales, en cuyo caso, se consideran
confidenciales, además, se protegen los datos personales de acceso restringido,
los cuales, aún y cuando consten en registros de acceso al público, no pueden
ser de acceso irrestricto, de allí que, su tratamiento está permitido sólo para
el titular de la Administración Pública interesada, cuando persiga fines
públicos, o bien, se cuente con el consentimiento expreso del titular."
IV. Que, el
artículo 34 de la Constitución Política dispone el principio de seguridad
jurídica para la debida protección de los derechos subjetivos y patrimoniales
adquiridos o de situaciones jurídicas consolidadas. Se procura, además, que los
administrados conozcan de previo a qué atenerse frente al ejercicio de la
función administrativa y recibir de la administración pública un comportamiento
leal, ajustado a parámetros de certidumbre y predictibilidad, para evitar
situaciones objetivamente confusas, o situaciones jurídicas no conformes con el
ordenamiento jurídico.
V. Que,
esta garantía de seguridad al individuo "por la cual, tiene la certeza
de que su situación jurídica no será modificada más que por procedimientos
regulares, establecidos previamente, es decir, representa la garantía de la
aplicación objetiva de la ley, en tanto los individuos saben en
cada momento cuáles son sus derechos y obligaciones.". (Sala
Constitucional mediante su Resolución N° 2010-03946 de las 14:44 horas de fecha
24 de febrero de 2010).
VI. Que,
por su parte el artículo 46 de la Constitución Política reconoce la libertad de
empresa, la libre concurrencia en el mercado, así como la protección al
conjunto de intereses y derechos de los usuarios finales quienes gozan de "(.)
la protección de su salud, ambiente, seguridad e intereses económicos; a
recibir información adecuada y veraz; a la libertad de elección, y a un trato
equitativo.".
VII. Que,
mediante la Ley N°9452 se aprobó, en cada una de sus partes, la adhesión al
Convenio sobre la Ciberdelincuencia, hecha en Budapest el 23 de noviembre de
2001, siendo un instrumento jurídico fundamental en la lucha contra la
ciberdelincuencia, cuyo propósito principal es prevenir, investigar y sancionar
los delitos cibernéticos, fortalecer la seguridad de los sistemas de
información y fomentar la cooperación internacional en esta materia.
VIII. Que
el preámbulo del Convenio sobre la Ciberdelincuencia establece que resulta
"(.) necesario para prevenir los actos dirigidos contra la
confidencialidad, la integridad y la disponibilidad de los sistemas
informáticos, redes y datos informáticos, así como el abuso de dichos sistemas,
redes y datos, mediante la tipificación de esos actos, tal y como se definen en
el presente Convenio, y la asunción de poderes suficientes para luchar de forma
efectiva contra dichos delitos, facilitando su detección, investigación y
sanción, tanto a nivel nacional como internacional, y estableciendo
disposiciones que permitan una cooperación internacional rápida y fiable; (...)".
IX. Que,
por disposición del inciso 14), sub inciso c), del artículo 121 de la
Constitución Política el espectro radioeléctrico es un bien demanial
constitucional que únicamente puede ser explotado por la administración pública
o por particulares, de acuerdo con la ley o mediante concesión especial otorgada
por tiempo limitado y con arreglo a las condiciones y estipulaciones que
establezca la Asamblea Legislativa.
X. Qué, el
constituyente originario ha dispuesto que el uso y explotación del espectro
radioeléctrico o electromagnético puede darse en un régimen de competencia y
libre concurrencia, tanto por la administración pública o por particulares
conforme a la constitución económica siendo "el deseo del Constituyente
que los particulares participen de la explotación de este bien, siempre y
cuando, se cumplan con las condiciones estipuladas en la propia Norma
Fundamental.". (Sala Constitucional, mediante Resolución N.º 04569 -
2008, del 26 de marzo del 2008.).
XI. Que,
debido a lo anterior, conforme lo dispone el artículo 140 inciso 8 de la
Constitución Política, corresponde al Presidente de la República y a los
Ministerios de Seguridad Pública y de Ciencia, Innovación, Tecnología y
Telecomunicaciones, vigilar el buen funcionamiento de los
servicios de telecomunicaciones, en resguardo de bienes jurídicos tutelados
superiores como lo son la dignidad humana, la intimidad y la seguridad.
XII. Que,
los principios constitucionales del buen funcionamiento y continuidad del,
servicio público contenidos en el artículo 4 de la Ley General de la
Administración Pública, Ley Nº 6227, expresan que la conducta administrativa en
relación con el servicio público debe estar dirigida a asegurar la continuidad,
eficiencia y adaptación al cambio, asimismo en la "igualdad
en el trato de los destinatarios, usuarios o beneficiarios".
XIII. Que,
el artículo 1 de la Ley General de Telecomunicaciones, Ley N° 8642, establece
que estarán sometidas al ordenamiento sectorial y a la jurisdicción
costarricense, las personas, físicas o jurídicas, públicas o privadas,
nacionales o extranjeras, que operen redes o presten servicios de
telecomunicaciones que se originen, terminen o transiten por el territorio
nacional.
XIV. Que,
el artículo 2, incisos d), e), y f) de la Ley General de Telecomunicaciones,
Ley N° 8642, establece los objetivos sectoriales con enfoque de protección de
los derechos de los usuarios de los servicios de telecomunicaciones, asegurando
eficiencia, igualdad, continuidad, calidad, mayor y mejor cobertura, mayor y
mejor información, más y mejores alternativas en la prestación de los
servicios, así como garantizar la privacidad y confidencialidad en las
comunicaciones; la promoción de la competencia efectiva en el mercado de las
telecomunicaciones; así como la promoción del desarrollo y uso de los servicios
de telecomunicaciones dentro del marco de la Sociedad de la Información y el
Conocimiento.
XV. Que, el
artículo 3 incisos c), d), f), i), j), de la misma Ley General de
Telecomunicaciones, Ley N° 8642, establece que nuestro ordenamiento jurídico
sectorial se basa en principios rectores como lo son el beneficio al usuario
final de los servicios de telecomunicaciones, la transparencia, la optimización
del recurso escaso, privacidad de la información, competencia efectiva,
principios orientadores de la función administrativa del Ente Rector de las
Telecomunicaciones y de la actividad del Poder Ejecutivo, que derivan de las
mismas normas constitucionales referidas ut supra.
XVI. Que,
el artículo 4 de la Ley General de Telecomunicaciones, Ley N° 8642, establece
la especialidad de esta Ley sobre otras normas de carácter general, y, por
tanto, su aplicación de manera prioritaria sobre cualesquiera otras leyes,
reglamentos, costumbres, prácticas, usos o estipulaciones contractuales en
contrario.
XVII. Que,
el artículo 6 incisos 7), 12), 16), 19), 23), y 30) de la Ley General de
Telecomunicaciones, Ley N° 8642, estipula una serie de definiciones (v.gr.
usuario final de telecomunicaciones, red de telecomunicaciones, competencia
efectiva, operador, proveedor entre otras), que orientan la aplicación del
régimen jurídico sectorial y que además informan el contenido de la normativa
sectorial hacia la plena satisfacción del interés público que reviste el
eficiente y seguro uso y explotación del espectro radioeléctrico, y de forma
particular en el contexto de la presente normativa reglamentaria, en relación
con quienes operen redes o presten servicios de telecomunicaciones basados en
la tecnología de quinta generación móvil (5G) y la protección efectiva que debe
darse sobre el régimen jurídico de protección a los derechos de los usuarios
finales que comprende la intimidad, la privacidad y secreto de sus
comunicaciones y autodeterminación informativa.
XVIII. Que,
en concordancia con lo anterior, en los artículos 7, 8 inciso a) y 10 de la Ley
General de Telecomunicaciones, Ley N° 8642, se establece que el espectro
radioeléctrico es un bien de dominio público y que su planificación,
administración y control se llevará a cabo según lo establecido en la
Constitución Política, los tratados internacionales, la Ley General de
Telecomunicaciones, el Plan Nacional de Desarrollo de las Telecomunicaciones,
el Plan Nacional de Atribución de Frecuencias y los demás reglamentos que al
efecto se emitan.
XIX. Que,
el Título II, Capítulo II denominado Régimen de Protección a la intimidad y
derechos de los usuarios finales de la Ley General de Telecomunicaciones, Ley
N° 8642, se establece una norma especial que regula el régimen de privacidad y
de protección de los derechos e intereses de los usuarios finales de los
servicios de telecomunicaciones, y de forma específica los artículos 41 y 42 de
este cuerpo legal disponen la obligación de los operadores de redes públicas y
proveedores de servicios de telecomunicaciones disponibles al público, de
garantizar el secreto de las comunicaciones, el derecho a la intimidad y la
protección de los datos de carácter personal de los abonados y usuarios
finales, mediante la implementación de los sistemas y las medidas técnicas y
administrativas necesarias de protección que sean fijadas reglamentariamente
por el Poder Ejecutivo.
XX. Que,
aunado a lo anterior, para garantizar el secreto de las comunicaciones, el
derecho a la intimidad y la protección de los datos de carácter personal de los
usuarios finales de telecomunicaciones, hay un compromiso legalmente dispuesto
para múltiples partes, que se constituye en una relación jurídica triangular
conexa, en donde en primer lugar se tiene a los operadores de redes públicas y
proveedores de servicios de telecomunicaciones disponibles al público quienes
tienen la obligación de implementar los sistemas y las medidas técnicas y
administrativas necesarias que conlleven la protección de los citados derechos,
en segundo lugar, el Poder Ejecutivo debe de disponer reglamentariamente las
regulaciones pertinentes con un ámbito de sujeción que comprende a los
operadores y proveedores de servicios de telecomunicaciones disponibles al
público y, por último, las funciones delegadas a la Superintendencia de
Telecomunicaciones de verificar y fiscalizar por el cumplimiento de tales
medidas de protección. Todo ello a favor del régimen jurídico de protección a
los usuarios finales en el acceso y disfrute de los servicios de
telecomunicaciones.
XXI. Que,
el artículo 49 incisos, 1, 2 y 3, de la Ley General de Telecomunicaciones, Ley
N° 8642, establece como parte de las obligaciones de los operadores y
proveedores de servicios de telecomunicaciones el deber de cumplir con las
condiciones que establezca su título habilitante, pero además con los
reglamentos y las demás disposiciones que se dicten, así como respetar los
derechos de los usuarios de telecomunicaciones y atender sus reclamaciones.
XXII. Que,
la Ley General de la Administración Pública, Ley Nº6227, en su artículo 14
inciso 1) establece que "Los principios generales de derecho podrán
autorizar implícitamente los actos de la Administración Pública necesarios para
el mejor desarrollo de las relaciones especiales creadas entre ella y los
particulares por virtud de actos o contratos administrativos de duración.".
XXIII. Que,
la Ley General de la Administración Pública, Ley Nº6227, en su artículo 59
inciso 1) dispone que "1. La competencia será regulada por ley siempre que
contenga la atribución de potestades de imperio."
XXIV. Que,
la misma Ley General de la Administración Pública, Ley Nº6227, en su artículo
113 inciso 3) determina que "En la apreciación del interés público se
tendrá en cuenta, en primer lugar, los valores de seguridad jurídica y justicia
para la comunidad y el individuo, a los que no puede en ningún caso anteponerse
la mera conveniencia.".
XXV. Que,
mediante el artículo 11 de la Ley de Promoción del Desarrollo Científico y
Tecnológico, Ley Nº7169, se define que el Ministerio de Ciencia, Innovación,
Tecnología y Telecomunicaciones (MICITT) será el rector del Sistema Nacional de
Ciencia, Tecnología e Innovación, con funciones orgánicas de articulación y
coordinación en los campos de desarrollo científico, tecnológico y de la
innovación.
XXVI. Que,
en ese sentido el artículo 20 de la Ley de Promoción del Desarrollo Científico
y Tecnológico, Ley Nº7169, dispone que el Ministerio de Ciencia, Innovación,
Tecnología y Telecomunicaciones (MICITT) es el órgano rector en materia de
ciencia, innovación, tecnología y telecomunicaciones, particularmente el inciso
e) de dicho numeral, le delega "Promover la creación y el mejoramiento
de los instrumentos jurídicos y administrativos necesarios para el desarrollo
científico, tecnológico y de la innovación del país".
XXVII. Que,
el artículo 21 de la citada Ley de Promoción del Desarrollo Científico y
Tecnológico, Ley Nº7169, define que: "Las competencias del Ministerio
de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt)
serán ejercidas por su ministro, salvo que sean delegadas por él mismo o por
disposición del reglamento, siempre que no sean las reservadas al Poder
Ejecutivo, según la Constitución Política y los artículos 27 y 28 de la Ley
6227, Ley General de la Administración Pública, de 2 de mayo de 1978.".
XXVIII.
Que, de conformidad con el artículo 1 de la Ley N°5482, "Ley Orgánica del
Ministerio de Seguridad Pública", dicho Ministerio, tiene por función
preservar y mantener la soberanía nacional, velar por la seguridad,
tranquilidad y el orden público en el país, por lo qué, representa un actor
esencial en la prevención de situaciones que pudiesen afectar o impactar el
régimen jurídico de protección a los usuarios finales de los servicios de
telecomunicaciones, en resguardo de derechos fundamentales como la dignidad,
intimidad, seguridad, acceso a la información, la libre comunicación, salud,
entre otros.
XXIX. Que
en concordancia con lo anterior, el ordinal 1, de la Ley General de Policía,
Ley N°7410, establece que el Estado garantizará la seguridad pública, para
ello, el Presidente de la República y el Ministro del Ramo, podrán disponer
medidas necesarias para garantizar el orden, la defensa y la seguridad del
país, así como las que aseguren la tranquilidad y el libre disfrute de las
libertades públicas.
XXX. Que,
en concordancia, los artículos 13 y 14 de la Ley General de Policía, Ley
N°7410, disponen que, la Dirección de Inteligencia y Seguridad Nacional,
consiste en un órgano informativo del Presidente de la República en materia de
seguridad nacional, teniendo entre sus funciones la de prevenir hechos que
impliquen riesgo para la independencia o la integridad territorial o pongan en
peligro la estabilidad del país y de sus instituciones.
XXXI. Que,
mediante Decreto Ejecutivo N°37052-MICIT se establece en Costa Rica el Centro
de Respuesta de Incidentes de Seguridad Informática denominado CSIRTCR, con
sede en el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones
MICITT, establecido en el año 2012.
XXXII. Que,
el Decreto Ejecutivo N°37052-MICIT dispone que el CSIRT-CR tiene facultades
suficientes para coordinar con los poderes del Estado, instituciones autónomas,
empresas y bancos del Estado todo lo relacionado con la materia de seguridad
informática y cibernética y concretar el equipo de expertos en seguridad de las
Tecnologías de la Información que trabajará para prevenir y responder ante los
incidentes de seguridad cibernética e informática que afecten a las
instituciones gubernamentales.
XXXIII.
Que, el 12 de abril de 2022 Costa Rica recibió un fuerte ataque cibernético a
las bases de datos del Ministerio de Hacienda y en fechas posteriores se
recibieron ataques a diferentes bases de datos de otras instituciones, tal como
lo establece el Decreto Ejecutivo N°43542-MP-MICITT, "Declara estado de
emergencia nacional en todo el sector público del Estado costarricense, debido
a los cibercrímenes que han afectado la estructura de
los sistemas de información", en tal Decreto, se comprenden todas las
acciones, obras y servicios necesarios para poder contener, solucionar y
prevenir nuevos ataques en contra de los Sistemas de Información del Estado
Costarricense.
XXXIV. Que,
el artículo 2 del Decreto Ejecutivo Nº 44010-MICITT denominado "Plan
Nacional de Atribución de Frecuencias (PNAF), dispone que, entre otros, son
complemento de dicho PNAF, las leyes y reglamentos sobre telecomunicaciones y
radiodifusión, las notas, referencias, resoluciones, recomendaciones y las
indicaciones técnicas que surjan de la Unión Internacional de
Telecomunicaciones (en adelante, UIT), los alcances y recomendaciones que se
deriven y estén vigentes de la Convención Mundial de Telecomunicaciones, demás
reglamentos dispuestos, así como el Convenio de la Unión Internacional de Telecomunicaciones,
ratificado por Costa Rica mediante la Ley Nº 8100 publicada en el Alcance Nº 44
al Diario Oficial La Gaceta Nº 114 de fecha 14 de junio de 2002, sin detrimento
de que puedan ser adoptados de forma complementaria los documentos y/o recomendaciones
de otros organismos regionales e internacionales generadores de estándares o
desarrolladores de tecnología en materia de telecomunicaciones y radiodifusión,
que sean consecuentes con la ciencia y la técnica, y debidamente justificados
como aplicables a las necesidades del país.
XXXV. Que,
la Organización Internacional de Normalización (del inglés, International Organization for Standardization, ISO) es una entidad reconocida
mundialmente, dedicada a promover la estandarización y facilitar el intercambio
de conocimientos técnicos y científicos para mejorar la
cooperación en diversos campos.
XXXVI. Que
específicamente en el ámbito de la seguridad de la información la Organización
Internacional de Normalización ha emitido la familia de estándares ISO/IEC
27000 diseñados para ayudar a las organizaciones a establecer, implementar,
mantener y mejorar continuamente un sistema de gestión de la seguridad de la
información, proporcionando un marco sólido y completo para abordar los riesgos
relacionados con la seguridad, y ofreciendo a las organizaciones directrices
claras sobre cómo establecer controles adecuados y eficaces para proteger la
información.
XXXVII.
Que, la Asociación de la Industria de las Telecomunicaciones (del inglés, Telecommunications Industry Association, TIA) es una organización reconocida a nivel
internacional que promueve el desarrollo de estándares técnicos y normas
en el campo de las telecomunicaciones y las tecnologías de la información.
XXXVIII.
Que, de forma reciente la Asociación de la Industria de las Telecomunicaciones
emitió el estándar SCS 9001, que proporciona directrices y requisitos
específicos para garantizar la protección de los productos y servicios a lo
largo de la cadena de suministro, abordando aspectos clave como la gestión de
riesgos, la evaluación y selección de proveedores, el control de acceso físico
y lógico, la protección de datos y la gestión de incidentes, entre otros,
promoviendo a través de su implementación, incrementar la confianza y la
seguridad en las operaciones comerciales, así como fortalecer la reputación de
las empresas y su competitividad en el mercado.
XXXIX. Que,
en el año 2022, la Organización para la Cooperación y Desarrollo Económico
(OCDE en lo sucesivo) publicó el Marco Político de la OCDE sobre Seguridad
Digital - Ciberseguridad para la Prosperidad (del inglés, OECD Policy Framework on Digital
Security - Cybersecurity for
Prosperity), que evalúa las dimensiones económicas y
sociales de la ciberseguridad e introduce las Recomendaciones de la OCDE sobre:
gestión de riesgos de seguridad digital, estrategias nacionales de seguridad
digital; seguridad digital de actividades críticas, seguridad digital de
productos y servicios; y el tratamiento de vulnerabilidades de seguridad
digital. Respecto a este último elemento, la Recomendación del Consejo sobre el
Tratamiento de las Vulnerabilidades de Seguridad Digital (del inglés, Recommendation of the Council on the Treatment
of Digital Security Vulnerabilities) recomienda
establecer responsabilidades claras para todas las categorías de partes
interesadas con respecto al tratamiento de vulnerabilidades, en particular,
recomienda a los propietarios de vulnerabilidades minimizar la ventana de
exposición a la explotación de vulnerabilidades por parte de criminales y otros
actores maliciosos, procediendo lo más rápidamente posible, y asegurándose de
que las mitigaciones sean suficientemente probadas para reducir al mínimo la
probabilidad de crear nuevas vulnerabilidades y otros efectos secundarios
negativos.
XL. Que, el
citado Marco Político de la OCDE sobre Seguridad Digital- Ciberseguridad para
la Prosperidad, recomienda a los responsables políticos que consideren la
seguridad digital a nivel estratégico, abogando por la aplicación de una
estrategia nacional con una visión clara para crear una cultura de seguridad
digital y que consideren la seguridad digital a nivel de mercado, abogando por
que los responsables políticos "fomenten o exijan que los operadores
adopten medidas de gobernanza, protección, detección y respuesta, así como de
resiliencia", especialmente en el contexto de actividades críticas y
recomienda a los responsables políticos que consideren la seguridad digital a
nivel técnico para combatir las vulnerabilidades y los riesgos de la tecnología.
XLI. Que,
en el año 2019 la Comisión Europea adoptó la "Recomendación sobre la
ciberseguridad de las redes 5G" la cual insta a los Estados miembros a
completar evaluaciones de riesgos nacionales y revisar las medidas nacionales
en relación con la seguridad informática de las redes 5G, así
como, trabajar a nivel de la Unión Europea (UE en lo sucesivo) en una
evaluación de riesgos coordinada y preparar una caja de herramientas de
posibles medidas de mitigación.
XLII. Que,
a partir de lo anterior, en el mes de enero de 2020 la NIS Cooperation
Group (Grupo de Cooperación de los Sistemas de Redes
e Información por su traducción libre al español), publicó el documento
denominado "Ciberseguridad de Redes 5G - EU Caja de Herramientas para
mitigación de riesgos", consistente en un conjunto de medidas para
mitigar los principales riesgos de ciberseguridad de las redes de quinta
generación (5G) y proporciona además orientación para la elección de
medidas, siendo esto un marco referencial sólido y consolidado que garantiza un
nivel adecuado de ciberseguridad en las citadas redes. Entre los riesgos de
ciberseguridad identificados en la caja de herramientas se contemplan los
siguientes: "dependencia de un único suministrador en determinadas
redes o falta de diversidad a nivel nacional, intromisiones por parte de
Estados a través de la cadena de suministro de la 5G, aprovechamiento de las
redes 5G por parte de grupos de delincuentes organizados para atacar a usuarios
finales, entre otros."
XLIII. Que,
como referencia internacional en el caso de España, se tiene el Real Decretoley 7/2022, de fecha 29 de marzo de 2022, denominado
"Sobre requisitos para garantizar la seguridad de las redes y servicios
de comunicaciones electrónicas de quinta generación", que establece
una serie de condiciones de seguridad para la instalación, el despliegue y la
explotación de redes de comunicaciones electrónicas y la prestación de
servicios de comunicaciones electrónicas e inalámbricas basados en la
tecnología de quinta generación (5G). En particular, el numeral 12 del Real
Decreto-ley 7/2022 contempla aspectos relacionados con la estrategia de
diversificación en la cadena de suministro y el numeral 14 aborda las medidas
estratégicas y aspectos relacionados con la exposición a injerencias externas
de un tercer Estado.
XLIV. Que,
de acuerdo con la Superintendencia de Telecomunicaciones mediante su dictamen
N°09228-SUTEL-OTC-2022 de fecha 20 de octubre de 2022", en referencia a
las redes de quinta generación (5G), ha manifestado, que: "(.) prometen
generar cambios en muchas industrias. La tecnología 5G es una gran innovación
capaz de ayudar a muchas otras innovaciones complementarias a desarrollarse.
Los aspectos más prometedores de la tecnología son el aumento de la capacidad
(ancho de banda), el aumento de las velocidades de carga y descarga de datos,
la disminución de la latencia (retraso) en las transmisiones de datos y una
mayor eficiencia de entrada."
XLV. Que,
el Plan Nacional de Desarrollo de las Telecomunicaciones 2022-2027: "Costa
Rica: Hacia la Disrupción Digital Inclusiva", establece la política
pública en materia de telecomunicaciones el cual plantea dentro de sus metas la
disminución de la brecha digital de conectividad y uso de los servicios móviles,
acceso universal, servicio universal, solidaridad, y optimización del uso del
espectro radioeléctrico en lo que respecta a su administración y planificación
eficiente para destinarlo a las necesidades presentes y futuras de servicios de
telecomunicaciones de todos los habitantes del país.
XLVI. Que,
de conformidad con el ordinal 12 de la Ley General de Telecomunicaciones, Ley
N°8642 en concordancia con los artículos 22 y 23 del Decreto Ejecutivo
Nº34765-MINAET, "Reglamento a la Ley General de Telecomunicaciones",
el Poder Ejecutivo debe acreditar la necesidad y pertinencia de un eventual
concurso público de bandas del espectro radioeléctrico para el desarrollo de
sistemas IMT, incluyendo 5G.
XLVII. Que,
derivado de lo anterior, la Superintendencia de Telecomunicaciones, mediante
los dictámenes técnicos N° 05348-SUTEL-DGC-2019 de fecha 19 de junio de 2019,
aprobado por su Consejo mediante el Acuerdo N° 033- 040-2019, adoptado en la
sesión ordinaria N° 040-2019, celebrada en fecha 27 de junio de 2019; N°
10425-SUTEL-DGC-2019 de fecha 20 de noviembre de 2019, aprobado por su Consejo
mediante el Acuerdo N° 020-076-2019, adoptado en la sesión ordinaria N°
076-2019, celebrada en fecha 25 de noviembre de 2019; N° 05071-SUTEL-DGC-2020
de fecha 09 de junio de 2020, aprobado por su Consejo mediante el Acuerdo N°
014-045-2020, adoptado en la sesión ordinaria N° 045-2020, celebrada en fecha
19 de junio de 2020; N° 00138-SUTEL-DGC-2021 de fecha 07 de enero de 2021,
aprobado por el Consejo de la SUTEL mediante el Acuerdo N° 023-002-2021,
adoptado en la sesión ordinaria N° 002-2021, celebrada en fecha 14 de enero de
2021, aclarado y ampliado mediante oficio Nº 02156- SUTEL-DGC-2021 de fecha 12
de marzo de 2021, aprobado por el Consejo de la SUTEL mediante el Acuerdo N°
011-021-2021, adoptado en la sesión ordinaria N° 021-2021, celebrada en fecha
18 de marzo de 2021; así como los oficios N° 04225- SUTEL-OTC-2021 de fecha 19
de mayo de 2021, aprobado por su Consejo, mediante el Acuerdo N° 031-041-2021,
adoptado en la sesión ordinaria N° 041- 2021, celebrada en fecha 27 de mayo de
2021; N° 04482- SUTEL-DGC-2021 de fecha 28 de mayo de 2021, aprobado por su
Consejo mediante el Acuerdo N° 022- 046-2021, adoptado en la sesión ordinaria
N° 046-2021, celebrada el día 24 de junio de 2021; N° 01355-SUTEL-DGC-2023 de
fecha 22 de febrero de 2023, aprobado por su Consejo mediante el Acuerdo N°
003-014- 2023, adoptado en la sesión ordinaria N° 014-2023, celebrada en fecha
23 de febrero de 2023, y N° 01556-SUTEL-OTC-2023, de fecha 22 de febrero de 2023,
aprobado por su Consejo mediante el Acuerdo N° 004-014-2023, adoptado en la
sesión ordinaria N° 014-2023, celebrada en fecha 23 de febrero de 2023, se
acreditó la existencia de estudios necesarios por medio de la emisión de los
informes técnicos conjuntos N° MICITT-DCNT-INF-012-2022 / N°
MICITT-DEMTINF-012-2022 / N° MICITT-DERRT-INF-009-2022 de fecha 31 de octubre
de 2022, y N°
MICITT-DCNT-INF-003-2023/N°MICITT-DEMT-INF-002-2023/N°MICITTDERRT- INF-002-2023
ambos del Viceministerio de Telecomunicaciones (MICITT), y por tanto la
viabilidad de dar la instrucción a la SUTEL para su inicio.
XLVIII.
Que, el Poder Ejecutivo mediante el Acuerdo Ejecutivo N°031-2023-TEL-MICITT,
publicado en el Alcance N° 77 al Diario Oficial La Gaceta N°75 de fecha 02 de
mayo de 2023, emitió la instrucción a la Superintendencia de Telecomunicaciones
para el inicio al concurso público de bandas del espectro radioeléctrico para
el desarrollo de sistemas IMT, incluyendo 5G.
XLIX. Que,
de forma complementaria el Ministerio de Ciencia, Innovación, Tecnología y
Telecomunicaciones, mediante oficio N°MICITT-DM-OF-416-2023, de fecha 19 de
mayo de 2023, remitió a la SUTEL los "Lineamientos técnicos adicionales
de la Ministra Rectora en cumplimiento de lo dispuesto en el artículo 2 del
Acuerdo Ejecutivo N° 031-2023- TEL-MICITT", mismo que, en el punto 3 "Fines
del Concurso", inciso k) "Seguridad de las redes IMT-2020 y la
privacidad de los usuarios de los servicios de telecomunicaciones", establece
entre otras cosas que, dadas las implicaciones en materia de seguridad
nacional, así como de la privacidad y seguridad de los usuarios de los
servicios de telecomunicaciones, para la realización del proceso concursal de
cita, se incorpore dentro de las condiciones técnicas de despliegue que se exijan
a los eventuales adjudicatarios, los aspectos y estándares relativos a la
seguridad de las redes móviles IMT-2020, incluyendo 5G, considerando para ello
las distintas medidas técnicas, de gestión del riesgo, de arquitectura de red y
de cadena de suministro que puedan generar vulnerabilidades de seguridad y
privacidad de los usuarios finales de las redes de telecomunicaciones, como fin
primordial de esta medida, en protección de los principios de ley y de nivel
constitucional, y se propicien entornos adecuados para fomentar la inversión,
la innovación, y el desarrollo de infraestructura, y con ello alcanzar mayores
niveles de bienestar en la sociedad.
L. Que, en
el marco de tal concurso público y reconociendo que si bien la tecnología de
quinta generación (5G) tiene la capacidad de generar numerosas oportunidades,
también conlleva muchos riesgos y amenazas porque esta ofrece una mayor
superficie de ataque que los sistemas de telecomunicaciones anteriores tales
como tercera o cuarta generación, debido a su naturaleza y, en particular, a su
dependencia de los programas informáticos, resulta necesario emitir una norma
jurídica que garantice desde la óptica de las telecomunicaciones un despliegue,
implementación y mantenimiento de las redes basadas en la tecnología de quinta
generación (5G).
LI. Que, al
tenor de lo indicado, es importante resaltar que a partir de la tecnología de
quinta generación (5G) y su profunda integración en distintos procesos y
aplicaciones, se trasiegan grandes cantidades de datos permitiendo almacenar
información personal y sensible de los usuarios y en ese sentido los operadores
y proveedores en Costa Rica tienen la obligación de garantizar el derecho a la
intimidad, la privacidad y el secreto de las comunicaciones, así como de
proteger la confidencialidad de la información que obtengan de sus clientes o
de otros operadores. Esto conlleva la obligación de que los operadores o
proveedores deben implementar medidas adecuadas de seguridad de la información
para prevenir el acceso no autorizado a la información de los usuarios y evitar
la filtración de datos sensibles e información protegida desde el ámbito de la
intimidad y privacidad de estos.
LII. Que,
la implementación de las redes basadas en la tecnología de quinta generación
(5G), ha generado preocupaciones sobre la seguridad nacional y el riesgo de
espionaje pues existe la posibilidad de que información confidencial y sensible
pueda ser interceptada y utilizada por agentes extranjeros para fines de
espionaje. Por esta razón, la seguridad nacional debe ser una prioridad en la
implementación de las redes 5G, y los gobiernos deben trabajar en estrecha
colaboración con los operadores y proveedores para garantizar la seguridad y la
integridad de la información que se transmite a través de estas redes. Esto
implica la implementación de medidas de seguridad adecuadas y la vigilancia
constante de posibles amenazas informáticas.
LIII. Que,
el artículo 361 inciso 2) de la Ley N° 6227, Ley General de la Administración
Pública establece que "1) Se concederá audiencia a las entidades
descentralizadas sobre los proyectos de disposiciones generales que puedan
afectarlas."; en este sentido el Poder Ejecutivo llevó a cabo las
diligencias de consulta procedentes al Órgano Regulador y a la Autoridad
Reguladora de Servicios Públicos considerando para tales efectos el carácter y
la naturaleza de la materia tratada.
LIV. Que,
mediante oficio MICITT-DM-OF-651-2023 de fecha 04 de agosto de 2023 se realizó
consulta a la Junta Directiva de la Autoridad Reguladora de los Servicios
Públicos y a la Superintendencia de Telecomunicaciones para que en el ámbito de
sus competencias se refirieran al proyecto normativo, confiriéndole el plazo de
diez días hábiles para recibir sus observaciones.
LV. Que,
vencido el plazo conferido en el considerando anterior, el Consejo Directivo de
la Superintendencia de Telecomunicaciones remitió el oficio Nº 06900-SUTELCS-
2023 de fecha 17 de agosto de 2023, con fundamento en la Ley Nº 9736, Ley de
Fortalecimiento de las Autoridades de Competencia de Costa Rica, con las
consideraciones del anteproyecto de decreto ejecutivo. Consideraciones que
fueron revisadas y analizadas para la emisión de la presente reglamentación.
LVI. Que
mediante informe Nº MICITT-DGDCFD-INF-007-2023 de fecha 25 de agosto de 2023,
emitido por la Dirección de Gobernanza Digital y Certificadores de Firma
Digital, del Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones,
denominado "Ciberseguridad en Redes 5G" se analizan las mejores
prácticas implementadas por países, para promover la ciberseguridad en la
operación y servicios de las redes 5G y superiores, y proponer un articulado
técnico - jurídico, de conformidad con las competencias dispuestas para las
autoridades sectoriales con fundamento en lo dispuesto en el numeral 42 de la
Ley General de Telecomunicaciones, a fin de resguardar el régimen de derechos
de los usuarios finales en cuanto a la intimidad, la privacidad y el secreto de
las comunicaciones y la autodeterminación informativa. Dicho informe valoró las
consideraciones realizadas por la Superintendencia de Telecomunicaciones
mediante oficio Nº 06900-SUTEL-CS-2023 de fecha 17 de agosto de 2023.
LVII. Que,
sobre esta materia la Procuraduría General de la República, en su dictamen
vinculante N°C-022-89 de fecha 25 de enero de 1989 ha manifestado: "(..)
la gran mayoría de las situaciones de urgencia que se han presentado y se
presentan en Costa Rica son atípicas. Ello debido a que las normas jurídicas
que regulan tales situaciones no las precisan en grado suficiente como
supuestos constitutivos de urgencia, así como tampoco contemplan el efecto o
contenido que habrá de tener las medidas que se adopten; sino que dichas
situaciones deben ser asumidas mediante el acto cuyo motivo está definido con
harta imprecisión, el cual puede consistir en el hecho puro y simple de una
necesidad apremiante, previsto sin ulterior especificación ni cualidad, y en
el cual el contenido del acto se deja en blanco para que la autoridad
respectiva lo cubra y lo determine, caso por caso, dentro de una gama amplia de
posibilidades.
(...)"
LVIII. Que,
mediante Resolución Nº 16359-2016 de fecha 04 de noviembre de 2016, la Sala
Constitucional ha manifestado en relación con la materia de seguridad nacional
del Estado lo siguiente: "..(.) El secreto de Estado es un límite al
derecho de acceso a la información; Existe secreto de Estado, en términos
generales, en materia de seguridad nacional, defensa nacional y relaciones
exteriores, no sólo con otros Estados, sino con los demás sujetos de Derecho
Internacional Público
(...)"
LIX. Que,
por disposición del artículo 1 de la Ley N° 8488, Ley Nacional de Emergencias y
prevención del riesgo, se establece que "(.) regulará las acciones
ordinarias, establecidas en su artículo 14, las cuales el Estado Costarricense
deberá desarrollar para reducir las causas de las pérdidas de vidas y las
consecuencias sociales, económicas y ambientales, inducidas por los factores de
riesgo de origen natural y antrópico; así como la actividad extraordinaria que
el Estado deberá efectuar en caso de estado de emergencia, para lo cual se
aplicará un régimen de excepción"; régimen de excepción que
actualmente se presenta en relación con lo dispuesto en el Decreto Ejecutivo
N°43542-MP-MICITT, "Declara estado de emergencia nacional en todo el
sector público del Estado costarricense, debido a los cibercrímenes
que han afectado la estructura de los sistemas de información".
LX. Que,
adicionalmente la Ley N° 8488, Ley Nacional de Emergencias y prevención del
riesgo establece en su numeral 4 una serie definiciones, que entre otras
incluye: "(...)
Riesgo:
Probabilidad de que se presenten pérdidas, daños o consecuencias económicas,
sociales o ambientales en un sitio particular y durante un periodo definido. Se
obtiene al relacionar la amenaza con la vulnerabilidad de los elementos
expuestos.
Estado de
emergencia: Declaración del Poder Ejecutivo, vía decreto ejecutivo, con
fundamento en un estado de necesidad y urgencia, ocasionado por circunstancias
de guerra, conmoción interna y calamidad pública. Esta declaratoria permite
gestionar, por la vía de excepción, las acciones y la asignación de los
recursos necesarios para atender la emergencia, de conformidad con el artículo
180 de la Constitución Política.
Amenaza: Peligro
latente representado por la posible ocurrencia de un fenómeno peligroso, de
origen natural, tecnológico o provocado por el hombre, capaz de producir
efectos adversos en las personas, los bienes, los servicios públicos y el
ambiente.
Desastre: Situación
o proceso que se desencadena como resultado de un fenómeno de origen natural,
tecnológico o provocado por el hombre que, al encontrar, en una población,
condiciones propicias de vulnerabilidad, causa alteraciones intensas en las
condiciones normales de funcionamiento de la comunidad, tales como pérdida de
vidas y de salud de la población, destrucción o pérdida de bienes de la
colectividad y daños severos al ambiente.
Emergencia: Estado de
crisis provocado por el desastre y basado en la magnitud de los daños y las
pérdidas. Es un estado de necesidad y urgencia que obliga a tomar acciones
inmediatas con el fin de salvar vidas y bienes, evitar el sufrimiento y atender
las necesidades de los afectados. Puede ser manejada en tres fases progresivas:
respuesta, rehabilitación y reconstrucción; se extiende en el tiempo hasta que
se logre controlar definitivamente la situación.
Gestión del
riesgo: Proceso mediante el cual se revierten las condiciones de
vulnerabilidad de la población, los asentamientos humanos, la infraestructura,
así como de las líneas vitales, las actividades productivas de bienes y
servicios y el ambiente. Es un modelo sostenible y preventivo, al que
incorporan criterios efectivos de prevención y mitigación de desastres dentro
de la planificación territorial, sectorial y socioeconómica, así como a la
preparación, atención y recuperación ante las emergencias.
(...)
LXI. Que,
en el contexto que atraviesa el país debido al estado de emergencia ocasionado
por los ciberataques sufridos a nivel nacional, el Poder Ejecutivo reconoce la
necesidad de fortalecer y adaptar el marco regulatorio sectorial mediante el
aseguramiento de medidas técnico-jurídicas de carácter normativo, con un
enfoque basado en el riesgo para la atención de riesgos de ciberseguridad, con
la finalidad de garantizar la operación y explotación segura por quienes operen
redes y presten servicios de telecomunicaciones sustentados en la tecnología de
quinta generación (5G).
LXII. Que
por la materia tratada se debe considerar que el artículo 1) de la Ley de
Protección al ciudadano del exceso de requisitos y trámites administrativos,
Ley N°8220, excluye de su ámbito de aplicación los trámites y procedimientos en
materia de defensa del Estado y seguridad nacional.
LXIII. Que
el acceso y disfrute de los servicios de las telecomunicaciones dentro de la
Sociedad de la Información y el Conocimiento, requiere la adopción de un
ordenamiento sectorial que resguarde de manera efectiva el régimen jurídico
especial de protección a los derechos de los usuarios finales, sobre todo en su
ámbito de intimidad, privacidad y secreto de las comunicaciones y la
autodeterminación informativa.
POR TANTO,
DECRETAN:
REGLAMENTO SOBRE MEDIDAS DE
CIBERSEGURIDAD APLICABLES A
LOS SERVICIOS DE TELECOMUNICACIONES
BASADOS EN LA
TECNOLOGÍA DE QUINTA GENERACIÓN
MÓVIL (5G) Y SUPERIORES
CAPÍTULO I
Disposiciones Generales
Artículo
1º-Objeto. El presente reglamento tiene por objeto establecer medidas de
ciberseguridad para garantizar el uso y la explotación segura y con resguardo
de la privacidad de las personas, de las redes y los servicios de
telecomunicaciones basados en la tecnología de quinta generación móvil (5G) y
superiores.