Sin contrapesos: ¿El gobierno ya no está obligado a justificar previamente el acceso a tus datos personales?

Durante semanas, el discurso oficial ha insistido en un mismo mensaje: el gobierno no está construyendo una base de datos centralizada con la información personal de millones de mexicanos. La afirmación, repetida por distintas autoridades, ha buscado tranquilizar a una ciudadanía cada vez más preocupada por la entrega obligatoria de su CURP, identificación oficial y, en algunos casos, datos biométricos para contratar una línea telefónica.

Pero esa narrativa omite un detalle fundamental. El problema nunca fue únicamente dónde se almacenan los datos. La verdadera pregunta es quién tiene el poder de acceder a ellos.

Mientras el gobierno defendía públicamente que no existía un padrón único bajo su control, en julio de 2025 el Congreso aprobó la Ley del Sistema Nacional de Investigación e Inteligencia, una reforma que cambió radicalmente las reglas del juego. La nueva legislación no necesita que el Estado concentre físicamente la información de los ciudadanos; le basta con contar con la facultad legal para obtenerla directamente de quienes la resguardan.

En otras palabras, la base de datos puede seguir siendo administrada por empresas privadas; sin embargo, lo que ha cambiado es quién cuenta con la facultad de acceder a ella y autorizar su consulta.

Durante meses, la conversación pública giró alrededor de una pregunta aparentemente sencilla: ¿dónde estarán almacenados nuestros datos? La respuesta técnica es conocida. La información continúa en los servidores de los concesionarios de telecomunicaciones, quienes, por obligación legal, deben protegerla bajo estrictos estándares de seguridad y confidencialidad.

Sin embargo, centrar toda la discusión en la ubicación física de los datos terminó desviando la atención del verdadero problema. La información permanece donde siempre estuvo, pero la legislación eliminó uno de los principales mecanismos de protección frente al acceso gubernamental: el control judicial previo.

El punto más controvertido de la nueva legislación se encuentra en el Artículo 12, fracción III, disposición que permite a las autoridades requerir información directamente a empresas privadas para fines de investigación e inteligencia.

Ahora es la propia autoridad interesada en obtener la información quien determina cuándo solicitarla, sin necesidad de convencer previamente a un órgano imparcial de que la medida resulta necesaria, proporcional y legal.

El resultado es una concentración de facultades que preocupa a expertos en derechos digitales y protección de datos personales, pues reduce significativamente los mecanismos de supervisión sobre uno de los ámbitos más sensibles de la vida privada.

El discurso oficial insiste en que estas herramientas están dirigidas exclusivamente al combate de la delincuencia organizada y a la protección de la seguridad nacional.

Nadie discute que el Estado necesita instrumentos eficaces para enfrentar amenazas reales. Lo cuestionable es que esas facultades extraordinarias carezcan de controles igualmente extraordinarios.

La experiencia internacional demuestra que los sistemas de inteligencia funcionan mejor cuando están sometidos a supervisión judicial, parlamentaria y ciudadana. La ausencia de estos contrapesos no fortalece a las instituciones; por el contrario, aumenta el riesgo de abusos y erosiona la confianza pública.

La preocupación no consiste únicamente en que el gobierno pueda acceder a los datos. El problema es que la legislación reduce significativamente los mecanismos que permiten verificar si ese acceso estuvo realmente justificado.

Más allá del debate jurídico, la implementación del nuevo sistema deja abiertas preguntas fundamentales que el gobierno aún no ha respondido con claridad.

¿Quién autoriza exactamente estas solicitudes de información?

¿Qué nivel jerárquico debe tener el funcionario que firma los requerimientos?

¿Cuáles son los criterios objetivos para considerar que un ciudadano representa un interés para las labores de inteligencia?

¿Cuántas solicitudes de información se realizan cada año?

¿Cuántas terminan derivando en investigaciones judiciales?

¿Existe algún mecanismo para que un ciudadano sepa, una vez concluida una investigación, que sus datos fueron consultados?

Hasta el momento, estas interrogantes continúan sin una respuesta clara y permanecen en un terreno de incertidumbre.

La ausencia de estadísticas públicas, registros auditables e informes periódicos impide conocer la verdadera dimensión del uso de estas facultades. Sin transparencia resulta prácticamente imposible distinguir entre un instrumento legítimo de seguridad y un mecanismo susceptible de abusos.

Durante años, las empresas de telecomunicaciones fueron presentadas como los principales responsables de proteger la información personal de millones de usuarios. Paradójicamente, hoy enfrentan una situación compleja.

Siguen obligadas por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares a custodiar esa información con los más altos estándares de seguridad, pero al mismo tiempo deben atender requerimientos formulados por las autoridades conforme al nuevo marco legal. El resguardo de la información continúa a cargo del mismo custodio; sin embargo, lo que se modificó fue la facultad del Estado para acceder a esos datos.

En términos prácticos, el ciudadano puede confiar en que la empresa protegerá sus datos frente a ciberdelincuentes o filtraciones externas, pero ya no tiene la misma certeza respecto a los controles institucionales que regulan el acceso gubernamental.

El debate público se orientó hacia una falsa disyuntiva: si el gobierno concentraría o no una gran base de datos nacional. Sin embargo, ese nunca fue el verdadero punto de discusión. La cuestión de fondo radica en definir cuáles son los límites que deben imponerse al poder del Estado para acceder a la información privada de las personas.

Un Estado democrático necesita herramientas de inteligencia eficaces, pero también necesita instituciones capaces de impedir que esas herramientas se conviertan en mecanismos de vigilancia sin controles.

Cuando deja de existir la supervisión judicial, no hay registros públicos sobre las solicitudes de acceso, los criterios para intervenir la privacidad permanecen reservados y las personas nunca son notificadas de que sus datos fueron consultados, la confianza deja de sustentarse en las instituciones para depender únicamente del ejercicio responsable y la buena fe de quienes detentan el poder.

Y precisamente para eso existen los contrapesos constitucionales: porque las democracias no se construyen sobre la confianza ciega en los gobiernos, sino sobre reglas que limitan su capacidad de actuar sin supervisión.

Es posible que la información personal continúe resguardada por empresas privadas. Sin embargo, lo verdaderamente preocupante es que, tras la reforma de 2025, los mecanismos de control para acceder a esos datos se hayan debilitado significativamente. Cuando el Estado puede consultar esa información sin la autorización previa de un juez independiente, el debate deja de centrarse en la tecnología y pasa a involucrar la protección de los derechos fundamentales, la privacidad y las libertades de las personas.

* Víctor Ruiz. Fundador de SILIKN | Emprendedor Tecnológico | Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro | Líder del Capítulo Querétaro de OWASP | CyberOps Associate (CCNA CyberOps) | NIST Cybersecurity Framework 2.0 Certified Expert (CSFE) | (ISC)² Certified in Cybersecurity℠ (CC) | Cyber Security Certified Trainer (CSCT™) | EC-Council Ethical Hacking Essentials (EHE) | EC-Council Certified Cybersecurity Technician (CCT) | Cisco Ethical Hacker & Cybersecurity Analyst.

X: https://x.com/victor_ruiz

Instagram: https://www.instagram.com/silikn

YouTube: https://www.youtube.com/@silikn7599

** Las expresiones emitidas en esta columna son responsabilidad de quien las escribe y no necesariamente coinciden con la línea editorial de Infobae México, respetando la libertad de expresión de expertos.