México | Ampliación de la vigilancia estatal: GNI alerta sobre las leyes de telecomunicaciones y seguridad
En julio del 2025, el gobierno mexicano aprobó, de forma acelerada, un paquete de leyes que incrementan significativamente los poderes de vigilancia por parte del Estado e imponen al sector privado la obligación de retener y divulgar información sensible de la ciudadanía. Estas leyes incluyen reformas a la Ley de Telecomunicaciones, la Ley General de Población, la Ley de Inteligencia, la Ley de Personas Desaparecidas, la Ley de la Guardia Nacional y la Ley Orgánica de la Administración Pública Federal.
En conjunto, estas reformas crean una infraestructura de vigilancia masiva interconectada que exige la identificación biométrica, establece un registro centralizado para una amplia gama de datos sensibles, permite el acceso en tiempo real a bases de datos públicas y privadas, obliga a las empresas a obedecer a estos cambios, sin las salvaguardas adecuadas, y permite la vigilancia militar sin una supervisión autónoma y suficiente. Esto plantea preguntas incómodas sobre el compromiso y la capacidad de México para cumplir con sus obligaciones en virtud del derecho internacional de los derechos humanos y las garantías constitucionales.
La Global Network Initiative está profundamente preocupada por este paquete de reformas legislativas y exhorta al gobierno, así como al Congreso y al sector judicial, a reconsiderar los enfoques dados por estas leyes dando prioridad a la protección de los derechos humanos.
Cambios clave en las reformas de ley:
- Las empresas de telecomunicaciones están obligadas a retener, por dos años, los metadatos de usuarios de telefonía móvil y proporcionar los datos de geolocalización a las autoridades competentes.
- Todas las líneas telefónicas deben estar conectadas a una identificación biométrica o serán bloqueadas en Mayo de 2026.
- Creación de un nuevo registro de usuarios de telefonía móvil que obliga a las empresas de telecomunicaciones a conservar y almacenar datos de comunicaciones pormenorizados, lo que se asemeja al PANAUT, que fue anulado anteriormente por la Suprema Corte de Justicia de México.
- Todas las personas deben obtener una CURP biométrica, que incluirá escaneo de iris y huellas dactilares, para acceder a servicios públicos y privados.
- Creación de la Plataforma Única de Identidad que centralizará todos los datos biométricos y facilitará el acceso, en tiempo real, a las fuerzas del orden.
- La ley de inteligencia da acceso a las autoridades a cualquier base de datos pública y privada, incluyendo empresas de todos los sectores, en aras de mantener “la seguridad pública”, término que aún no ha sido definido claramente.
- Las Fuerzas Armadas y la Guardia Nacional ahora tienen el poder de conducir actividades de inteligencia o vigilancia sin ninguna restricción judicial.
La reestructuración normativa socava la independencia y la supervisión
El paquete de leyes introduce colectivamente una importante reforma institucional del marco regulatorio de las telecomunicaciones en México. Las reformas sustituyen al Instituto Federal de Telecomunicaciones (un organismo autónomo conocido por su experiencia técnica, su toma de decisiones pluralista y su relativa independencia del control por parte del Ejecutivo).
En su lugar, la ley establece dos entidades nuevas: La Agencia de Transformación Digital y Telecomunicaciones, una agencia ejecutiva a nivel ministerial encargada de formular la política digital y supervisar la infraestructura, y la Comisión Reguladora de Telecomunicaciones (CRT), una figura técnica autónoma, pero subordinada, que operará bajo el ATDT.
Mientras la CRT aparentemente es responsable de la asignación del espectro, la concesión de licencias y los derechos de los usuarios, no será institucionalmente independiente. Por lo que el poder ejecutivo ahora controlará tanto la dirección de las políticas como la aplicación de la normativa, lo que crea un conflicto de intereses estructural, dado que el Estado mexicano también actúa como proveedor de servicios de telecomunicaciones en algunos contextos. En un contexto con amplio poder para una vigilancia exhaustiva, una retención de datos onerosa y la obligación por parte de empresas privadas de acatar las reformas, la pérdida de un regulador independiente es especialmente alarmante ya que elimina un mecanismo institucional crucial que, de otro modo, podría haber cuestionado los abusos, mediado en las disputas o defendido el debido proceso y la protección de los usuarios.
Obligaciones generales para las empresas sin salvaguardas
Las leyes transfieren las responsabilidades de vigilancia a las empresas privadas, incluidos los proveedores de telecomunicaciones, bancos, proveedores de servicios sanitarios y las plataformas digitales. Estas empresas están obligadas a recopilar, conservar y entregar datos sensibles de las personas usuarias, interconectar sus bases de datos con los sistemas gubernamentales y aceptar CURP biométrica y la Llave MX para su autenticación.
Estas obligaciones están pobremente definidas, dejando a las empresas expuestas a una incertidumbre legal y potenciales sanciones, incluyendo responsabilidades penales. Estas obligaciones también hacen más difícil para las compañías cumplir de forma adecuada con sus responsabilidades y compromisos en materia de derechos humanos, lo que crea tensión entre la legislación nacional y los estándares internacionales en materia de empresas y derechos humanos.