ESTADO LIBRE ASOCIADO de Puerto Rico

20ma. Asamblea								           1ra. Sesión
Legislativa									     Ordinaria

SENADO DE PUERTO RICO
R. del S. 6
10 de enero de 2025
Presentada por el señor Dalmau Santiago
Referida a la Comisión de Asuntos Internos
RESOLUCIÓN
Para ordenar a la Comisión con jurisdicción del Senado de Puerto Rico, realizar una investigación exhaustiva sobre la implementación y el cumplimiento con la Ley 75-2019, de la Orden Ejecutiva 2021-007, la Orden Administrativa 2021-001, La Orden Administrativa 2023-001 y de la Carta Circular 2021-004 en las agencias del Estado Libre Asociado, las cuales requiere entre otras cosas, que toda transacción electrónica o formulario disponible en línea deben estar accesible a través del portal de gobierno 'pr.gov" y que prohíben publicar en portales externos transacciones que no hayan sido incluidas previamente en el portal de gobierno.
EXPOSICIÓN DE MOTIVOS 
La Ley 75 -2019 persigue, entre otros objetivos, proveer a la Puerto Rico Innovation and Technology Service ("PRITS") la facultad para establecer y dirigir el mejoramiento y modernización del proyecto conocido como "pr.gov". La propia ley impone en el PRITS desarrollar estrategias para mejorar "drásticamente el portal principal del Gobierno de modo que resulte accesible e integrado tanto para la ciudadanía como para el mismo gobierno". Igualmente, se le impone la obligación de hacer "disponibles la mayor cantidad de servicios vía Internet de una forma segura, ágil y fácil". 
Del mismo modo, la Ley 75 tiene como propósito principal establecer y promover la política pública sobre la elaboración, manejo, desarrollo, coordinación e integración Interagencial efectiva de la innovación y de la infraestructura tecnológica e informática del Gobierno. Cónsono con la ley, la PRITS publicó el 12 de abril de 2021 la Orden Administrativa PRITS - 2021-001. Posterior a esto el 15 de marzo de 2023 se publicó la Orden Administrativa PRITS 2023-001.  Estas órdenes establecen, entre otras cosas, que todo bien y/o servicio relacionado a tecnología tiene que obtener la aprobación de PRITS independientemente de su cuantía o la procedencia de los fondos a utilizarse. 
El 4 de febrero de 2021, el gobernador Pedro Pierluisi firmó la Orden Ejecutiva 2021-007 y detalló que esta forma parte de la política pública de tecnología del Gobierno y pretendía quitarle la obligación al ciudadano de estar procurando certificaciones de agencia en agencia, por cuanto el gobierno habría de consolidad, digitalizar y hacer disponible al ciudadano acceso a través de la página cibernética "pr.gov". Esta política pública está vigente desde el año 2004 cuando la Oficina de Gerencia y Presupuesto suscribió la orden administrativa OGP ATI-006, la cual fuera revisada el 7 de noviembre de 2016. Esta orden administrativa establece que "Toda transacción electrónica o formulario disponible en línea estará́ accesible a través del Portal de Gobierno en http://www.pr.gov. Se prohíbe publicar en portales externos transacciones que no hayan sido incluidas previamente en el Portal de Gobierno".
El 20 de septiembre de 2021, el Principal Ejecutivo de Innovación e Información, Enrique Volckers Nin firmó la Carta Circular 2021-004 y detalló que "Todo portal de Gobierno y/o de cualquiera de las Entidades Gubernamentales debe de residir en el dominio oficial designado: pr.gov (Ej.: agencia.pr.gov). En fiel cumplimiento con la normativa aplicable y la política pública establecida, PRITS no autoriza el uso de alteraciones u opciones adicionales al dominio y subdominio anteriormente establecido. Ejemplo de alteraciones u opciones no permitidas son: gobierno.pr o gov.pr, y el uso de otros dominios que acaben en .com, .net o .org. El fiel cumplimiento con el uso del dominio pr.gov es una gestión mandatoria y prioritaria, pues el Gobierno no puede asegurar la integridad y seguridad de los datos y transacciones que se encuentren en páginas externas, ya que recaen fuera de su alcance. El uso del dominio pr.gov permite que PRITS valide el cumplimiento con las políticas de seguridad, incluyendo, pero no limitado a, configuraciones y certificados adecuados. 
A pesar de la Ley 75 -2019, la orden administrativa OGP ATI-006, la Orden Administrativa PRITS 2021-001, la Carta Circular 2021-004 y la Orden Ejecutiva 2021-007 imponen sendas limitaciones en cómo debe manejarse la información de los ciudadanos y la emisión de certificaciones, varias agencias del ejecutivo suscriben y renuevan contratos para estos servicios en total menosprecio de estas. Actualmente, el gobierno mantiene contratación con entidades cuyas plataformas no residen en el gobierno, que manejan un cuestionable proceso de seguridad cibernética y son contratadas en total incumplimiento a la Ley 75-2019.
Uno de los aspectos más preocupantes de estas contrataciones es la seguridad de la información del ciudadano. Estas plataformas que manejan información privilegiada de los ciudadanos han demostrado ser vulnerables a criminales que los intervienen con el propósito de adquirir información confidencial del ciudadano, extorsionar al gobierno o sencillamente obstaculizar el servicio a la ciudadanía. La vulnerabilidad de estos sistemas externos al gobierno y la falta de supervisión de estos pone en riesgo la información del ciudadano, así como la data almacenada en las agencias que incumplen con la ley y la política pública vigente.
Uno de los casos más significativos del tipo de contratación que aparenta haberse realizado contrario a las disposiciones de la ley e ignorando la política pública vigente es el de la entidad que opera la plataforma www.renovacionesonline.com. Esta página pertenece a una entidad privada, opera manejando los datos de forma externa al gobierno, se encuentra en total incumplimiento con la Ley 75-2019, sus cartas circulares y administrativas, permite al ciudadano acceder a su plataforma y, por un costo de conveniencia, emiten certificaciones en representación del gobierno. Esta plataforma actualmente ofrece servicios a los ciudadanos que desean obtener certificaciones relacionadas al Departamento de Salud, el Departamento de Asuntos del Consumidor y la Junta Reglamentadora de Servicio Público, siendo esta última víctima de la falta de datos por parte de la empresa. Esta página web hace unas cuestionables representaciones al utilizar como titular en la página que es el "Sistema Oficial del Gobierno de Puerto Rico". De hecho, la propia página hace un despliegue de los logos y emblemas gubernamentales cuando en realidad es un negocio privado. 
Mediante los contratos que mantiene actualmente los operadores de esta página web y las agencias contratantes le permite a www.renovacionesonline.com acceder información privilegiada de los ciudadanos y almacenar esta data fuera de la plataforma del Gobierno. Más preocupante aun es el hecho de que a pesar de esta contratación no cumple con las disposiciones aplicables en ley, ni con la orden ejecutiva aplicable, ni con la orden administrativa y carta circular de PRITS, el Departamento de Salud y el Departamento de Asuntos al Consumidor continúan extendiendo la vigencia del contrato.
El Artículo 15 de la Ley 75-2019 establece la responsabilidad de PRITS de evaluar y aprobar cualquier contratación de servicios o compra de equipo por parte de las agencias a ser utilizado o destinado para un proyecto de base de datos, innovación, información y tecnología. Sin embargo, la mencionada contratación de www.renovacionesonline.com se otorga contrario a la propia Ley 75-2019 y poniendo en riesgo la supervisión y seguridad de la infraestructura que se encuentra a cargo de la Administración de Servicios Generales de los Estados Unidos. La centralización de dicha supervisión y seguridad permite que dicha agencia federal auxilie a los gobiernos estatales en la notificación y resolución de incidentes de seguridad. En la esfera estatal, PRITS tiene la facultad de manejar el dominio pr.gov, y en caso de tener que responder a alguna situación de seguridad con respecto a dicho dominio cuenta con los recursos para de ser procedente realizar toda gestión o acción necesaria en conjunto con las autoridades estales y federales. 
Esta Asamblea Legislativa pretende investigar la implementación y el cumplimiento con la Ley 75 -2019, la orden administrativa OGP ATI-006, la Orden Administrativa PRITS 2021-001, la Orden Administrativa 2023-001, la Carta Circular 2021-004 y la Orden Ejecutiva 2021-007 en las agencias del Estado Libre Asociado de Puerto Rico. Del mismo modo, debe investigarse las actuaciones de los oficiales de la rama ejecutiva a cargo del desarrollo de plataformas seguras y confiables, que, ignorando la ley y la política pública vigente, han permitido la contratación de empresas que custodian datos personales de los ciudadanos sin exigir estrictas medidas de seguridad cibernética, ha afectado una eficiente operación digital gubernamental, y faltando al principio básico de que los datos de los ciudadanos estén centralizados.
RESUÉLVESE POR El SENADO DE PUERTO RICO:

	Sección 1.- Se ordena a la Comisión con jurisdicción del Senado de Puerto Rico, realizar una investigación exhaustiva sobre los contratos que se están otorgando y que se están renovando en las agencias del gobierno y que incumplen con los requerimientos establecidos por la Ley 75 -2019, la orden administrativa OGP ATI-006, la Orden Administrativa PRITS 2021-001, la Orden Administrativa 2023-001, la Carta Circular 2021-004 PRITS y la Orden Ejecutiva 2021-007.
Sección 2.- Para llevar a cabo lo ordenado en la Sección 1 de esta Resolución, y sin que se entienda como una limitación a sus facultades, la Comisión con jurisdicción del Senado de Puerto Rico podrá celebrar vistas públicas; citar funcionarios y testigos; requerir información, documentos y objetos; y realizar inspecciones oculares a los fines de cumplir con el mandato de esta Resolución de conformidad con el Artículo 31 del Código Político de Puerto Rico de 1902.
Sección 3.-La Comisión con jurisdicción del Senado de Puerto Rico someterá un informe final contentivo de los hallazgos, conclusiones, y recomendaciones, que estime pertinentes, incluyendo las acciones legislativas y administrativas que deban adoptarse con relación al asunto objeto de este estudio, dentro del término de ciento sesenta (160) días contados a partir de la aprobación de la presente Resolución. 
Sección 4.- Esta Resolución comenzará a regir inmediatamente después de su aprobación.