Cada vez es más frecuente que diversas autoridades soliciten información sobre los clientes.

Por muy natural que esto pueda parecer para algunos, es habitual que otros acaben entrando en un estado de nerviosismo excesivo y, a menudo, se dejen presionar por contactos de las autoridades, lo que les lleva a tomar decisiones impulsivas con consecuencias irreversibles.

Ante esta situación, la primera recomendación que ofrecemos a nuestros clientes en situaciones como esta es: ¡MANTENGA LA CALMA!

Como segunda recomendación, le sugerimos que su empresa cuente con el respaldo de algún tipo de ASESORÍA JURÍDICA especializada en asuntos relacionados con Internet y las telecomunicaciones.

Cabe reiterar que el asesoramiento jurídico debe ser prestado por un profesional o una empresa con experiencia demostrada en estos temas. Sin menospreciar en modo alguno a los demás profesionales, destacamos que los temas de este ámbito son muy dinámicos desde el punto de vista jurídico y muy específicos desde el punto de vista técnico, y, en consecuencia, observamos que algunos casos en los que se ha recurrido a un asesoramiento jurídico sin la debida especialización acaban teniendo resultados indeseables.

Cabe destacar que la mayoría de las asociaciones de proveedores cuentan con servicios concertados con profesionales y empresas que reúnen el perfil necesario para que estos puedan intervenir en cuestiones como esta.

Y ahora, en el tercer punto, tema principal de este documento, abordaremos las dudas, los casos y los problemas que observamos con mayor frecuencia entre nuestros clientes, y expondremos parte de los análisis y las orientaciones que les ofrecemos al respecto.

Cabe destacar que el «asesoramiento jurídico en el ámbito de Internet y las telecomunicaciones» no figura, hasta la fecha (junio de 2021), en la cartera de servicios de Made4it.

En este documento, en nuestros ejemplos, no haremos referencia deliberadamente a la numeración ni a la identificación de las normas legislativas, ya que el objetivo de este documento no es sustituir ni prevalecer sobre las orientaciones de un servicio de asesoramiento jurídico especializado en estas actividades.

La pregunta que nos hacen con más frecuencia sobre este tema:

«Desde el punto de vista jurídico, ¿quién tiene autoridad para solicitar al proveedor de Internet información sobre sus clientes?»

Respuesta: ¡> ¡DEPENDE!

¿De qué tipo de información estamos hablando?

Si nos referimos a la identificación entre una dirección IP y un usuario o entre el usuario y la dirección IP, ¡la única persona con autoridad para solicitarlo es un juez! Y solo puede hacerlo mediante una orden judicial, en la que deben especificarse las fechas y horas concretas para dicha identificación; además, en caso de que el acceso de origen se haya realizado desde una dirección IPv4, también es necesario que se especifique el puerto de origen utilizado en el acceso.

Esto significa que:

• Un agente de policía (ya sea de la policía civil, federal o incluso de la policía del Congreso) no tiene competencia legal para solicitar la identificación de un usuario a partir de una dirección IP.
• Un diputado, un alcalde o un concejal tampoco tienen competencia legal para solicitar la identificación de un usuario a partir de una dirección IP. Por increíble que parezca, son frecuentes los casos de propietarios de proveedores de servicios de Internet que se ven presionados por este tipo de autoridades.
• Aunque se trate de un juez, no puede solicitar la identificación de un usuario a partir de una dirección IP sin una orden judicial, ya sea por teléfono, correo electrónico, WhatsApp o incluso en persona, sin que se haya emitido ningún documento.

Si nos referimos a datos registrales, cualquier autoridad policial (comisario, investigador, agente de policía) puede solicitar la información REGISTRAL de la base de datos de empresas que prestan servicios de alcance masivo, siempre que facilite una identificación inequívoca de los datos deseados.

Pues bien, vayamos por partes:

• ¿Qué significa «empresas prestadoras de servicios de gran alcance»?
  • Se trata de empresas que cuentan en su base de datos con información sobre muchas personas, muchas direcciones y datos de este tipo.
  • Algunos ejemplos de este tipo de empresas son las empresas de saneamiento, las concesionarias de suministro eléctrico, las empresas de telefonía, los proveedores de Internet, las facultades y las universidades.
• ¿Qué significa «identificación inequívoca de los datos deseados»?
  • La autoridad policial puede solicitar los datos de registro de una (1) dirección o de un (1) usuario.
  • La autoridad policial NO PUEDE solicitar algo como: «Facilítenme la lista completa de sus clientes con los datos de dirección y teléfono».
  • En caso de ambigüedad u homónimos, corresponde a la autoridad policial resolver dicha ambigüedad. Para ello, se deben especificar datos como el número de la vivienda o el número del equipo instalado en la vivienda que se desea identificar. También se deben indicar los números de los documentos y los nombres de los padres, con el fin de descartar la posibilidad de que haya personas con el mismo nombre e identificar de forma específica a la persona en cuestión.
• ¿Cuáles serían algunos ejemplos adecuados, de acuerdo con la lógica de la legislación que garantiza dicha entrega de datos de registro?
  • Imagine que es usted un investigador de la policía y está buscando a una persona llamada «Teófilo Antônio de Oliveira Antunes de Souza e Sá» (nombre ficticio). Y ha recibido información de alguna forma de que dicho individuo fijó su residencia hace cierto tiempo en la ciudad de «Lugarlândia» (ciudad ficticia). Y en esa ciudad, el servicio de Internet lo presta principalmente la empresa «CoisaNet» (empresa ficticia). El investigador puede acudir a dicha empresa y solicitar los datos de registro ESPECÍFICAMENTE DE ESA PERSONA y, de este modo, averiguar dónde reside.
  • Imagine que es usted un agente de policía y está recabando información sobre un delito ocurrido en una vivienda de la que, hasta ese momento, se desconoce quién es el titular. Y en dicha vivienda hay una conexión a Internet activa de «CoisaNet». El agente de policía puede acudir a la empresa y solicitar los datos de registro del titular de la conexión contratada en «Rua Azul, 123» (dirección ficticia).
  • Es importante destacar que la legislación sobre el acceso a los datos de registro no especifica que dicha solicitud de datos de registro deba realizarse mediante algún tipo concreto de documento. Además, existen divergencias sobre si es necesario o no presentar un escrito oficial de la institución policial correspondiente. Lo que sugerimos es que NUNCA FACILITEN DATOS SIN QUE QUEDE REGISTRO DOCUMENTAL DE DICHA ENTREGA. Esto no significa que se deban poner obstáculos al desarrollo de la actividad policial, ya que, en el peor de los casos, se puede solicitar a la autoridad que redacte de su puño y letra, en una hoja en blanco, una solicitud en la que se especifiquen los datos solicitados. Y al entregar dichos datos, hágalo en dos ejemplares, obteniendo una firma que confirme la recepción, con la fecha y el lugar. Todo esto se gestiona en menos de 10 minutos.
• ¿Cuáles son los casos más habituales de uso indebido de la legislación que garantiza dicha entrega de datos de registro?
  • Es muy frecuente que los agentes, investigadores o policías envíen escritos a los proveedores de Internet solicitando: «Facilítenos el nombre y la dirección del usuario con la dirección IP “A.B.C.D”». ¡No! Esa autoridad policial NO TIENE COMPETENCIA para solicitar la identificación de un usuario basándose en una dirección IP.
  • Otro caso frecuente de uso indebido de esta legislación son las solicitudes de datos de registro formuladas de manera muy genérica, sin especificar con exactitud la persona o el lugar sobre el que se debe informar. Casos como, por ejemplo: «Solicitamos los datos de registro (dirección, teléfono y nombre completo) de todos los clientes de su empresa que se llamen “José Carlos”» (nombre ficticio), o bien «Solicitamos los datos de registro (dirección, teléfono y nombre completo) de todos los clientes de su empresa que residan en el “Barrio Alvorada”» (barrio ficticio).

Siguiendo con el tema de la información que pueden solicitar las autoridades, incluso en el caso de las solicitudes formuladas por un juez mediante una orden judicial, existen límites en cuanto a lo que se puede solicitar.

Se trata de una cuestión muy delicada de explicar a quienes no tienen conocimientos tecnológicos. Sin embargo, no es raro que, incluso por parte de jueces que, en teoría, deberían contar con el apoyo de asesores técnicos competentes, recibamos solicitudes como:

• «Solicitamos que se nos facilite información sobre todos los sitios web a los que ha accedido el cliente de su proveedor «Teófilo Antônio de Oliveira Antunes de Souza e Sá» (nombre ficticio)».

Un proveedor de Internet que cumpla con toda la legislación relativa a los registros de conexión, la privacidad de los datos, la protección y la seguridad de los datos no debería tener la posibilidad de obtener dichos datos.

¡Y aquí les dejamos una advertencia muy importante!

• En un contexto operativo general, si consigue obtener una lista de los contenidos a los que ha accedido alguno de sus clientes, sin que dicho cliente se encuentre en ninguna condición especial de depuración o resolución de problemas, podemos afirmar con casi un 100 % de certeza que su proveedor está cometiendo(sin darse cuenta) algún tipo de irregularidad al recabar dichos datos.

En vista de ello, es correcto afirmar que, en condiciones normales, aunque lo solicite un juez, un proveedor de Internet no debería poder hacerlo.

¿Qué medidas debe adoptar un proveedor de Internet al recibir una solicitud de datos de clientes?

Respuesta breve:

1. Mantenga la calma y no cometa errores en sus acciones.
2. Ser educado, cordial y servicial con cualquier persona que se presente como autoridad. Sin dejar de actuar con cautela.
3. Compruebe la identidad de la persona que se presenta como autoridad, entre otras cosas, contrastando dicha información en las páginas web de los organismos a los que dice pertenecer.
4. Comunique al departamento jurídico de su proveedor que ha recibido dicha demanda y consulte con ellos si debe responder o no, y cómo hacerlo.
5. En caso de que haya sido una autoridad competente la que haya solicitado la información, y proceda facilitarla, se deberá:
   1. Facilitar por escrito la información solicitada
   2. Obtenga un acuse de recibo de la entrega de la información, en el que figure la identificación del destinatario, el lugar y la fecha.
6. En caso de que la solicitud de información no haya sido presentada por una autoridad competente, o de que no proceda facilitar la información solicitada, se deberá:
   1. Consultar los datos en cuestión y garantizar que estén debidamente almacenados y protegidos contra posibles pérdidas por sobrescritura temporal
   2. Envíe una respuesta por escrito a la autoridad solicitante explicando el motivo por el que no es posible facilitar la información, indicando que ya ha protegido los datos de la acción temporal.
   3. En caso de que se requieran especificaciones más detalladas por parte del usuario, solicítelas a la autoridad solicitante.
   4. En caso de que se trate de una limitación de competencia de la autoridad, sugerir a la autoridad solicitante que tome las medidas necesarias para que la solicitud sea tramitada
   5. Obtenga un acuse de recibo de la respuesta en el que figure la identificación del destinatario, el lugar y la fecha.

Este contenido se basa en situaciones que observamos en el día a día; se trata de consejos y medidas que recomendamos a nuestros clientes que sigan. Queremos insistir en que no ofrecemos asesoramiento jurídico; si se encuentra en esta situación, le recomendamos que contrate a un profesional.

Autor: Douglas Fischer (especialista en redes de Made4it)