● La Asociación Mexicana de
Internet A.C., organización representante de la industria tecnológica con 25
años de historia y trabajo ininterrumpido impulsando el desarrollo del
ecosistema digital del país, expresa su reconocimiento y preocupación por los
comunicados recientes publicados por la Secretaría Anticorrupción y Buen
Gobierno, en los que la autoridad informa que localizó en Telegram la oferta de
bases de datos de ciudadanos.
Ciudad de
México, Septiembre de 2026.— La Asociación Mexicana de
Internet expresa su reconocimiento y, a la vez, su preocupación por los
comunicados recientes (Comunicado No. 111, publicado el 20 de
septiembre y Comunicado No. 113, publicado el 24 de
septiembre) de la Secretaría Anticorrupción y Buen Gobierno. En ellos, la
autoridad informa de monitoreos forenses en los que se detectó la oferta de
bases de datos atribuidas empresas privadas, tras lo cuál anuncia que se
iniciarían investigaciones de oficio.
La Asociación
comparte plenamente el objetivo de proteger a las personas titulares de los
datos. Por ello plantea establecer mecanismos para lograr que estos hallazgos
fortalezcan la protección de datos sin debilitar el debido proceso, la
investigación de los delitos ni la confianza en la economía digital.
La importancia de la detección temprana
La AIMX reconoce la labor de la Secretaría. Detectar a tiempo una
posible exposición permite activar de inmediato los protocolos de respuesta a
incidentes: verificar la autenticidad de la información, contener el daño e
informar a las personas titulares, como se exige en la Ley Federal de
Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).
Identificar estas amenazas rápidamente puede reducir de días a horas el
tiempo de reacción de las empresas, y de ese tiempo depende cuánto daño sufren
las personas. Sin duda, el mayor valor de un hallazgo así está en compartirlo
primero, y por canales directos, con quien puede actuar sobre él.
El monitoreo no debe ser la antesala automática de la sanción
Preocupa que un monitoreo derive, en el mismo acto, en el anuncio
público de una investigación de oficio para “determinar la presunta
responsabilidad” de una empresa identificada por su nombre, aún cuando los
propios comunicados reconocen que las filtraciones están en calidad de
“supuestamente atribuible” y que el sistema “podría estar relacionado” con las
empresas.
La LFPDPPP sólo permite la verificación de oficio cuando se presume,
fundada y motivadamente, una violación a la Ley: la oferta que un presunto
delincuente publica en Telegram apunta, en su caso, a un delito cometido contra
la empresa; no acredita por sí misma que ésta haya incumplido. La Ley exige
medidas de seguridad acordes al riesgo, no infalibilidad, y sólo sanciona la
vulneración cuando resulte imputable al responsable.
Anunciar primero y verificar después invierte el orden del debido
proceso: La presunción de inocencia rige también en el
procedimiento administrativo sancionador, como lo ha sostenido la Suprema Corte
(jurisprudencia P./J. 43/2014). Además, los servidores públicos deben guardar
confidencialidad sobre lo que conozcan con motivo de una verificación.
“Un esquema en el que cada publicación criminal detona una verificación
y una eventual multa crea un incentivo perverso. Entrega a los grupos
delincuenciales una nueva palanca de extorsión: les basta difundir una muestra
para activar a la autoridad
contra su víctima. También desalienta que las empresas compartan información
sobre incidentes, que es justo lo que el ecosistema necesitaría para atenderlos
oportunamente”, señala Lina Rodríguez, Presidenta de la AIMX.
La difusión pública prematura puede comprometer la investigación del
delito: la venta de una base de datos sustraída es un
hecho delictivo. Si bien, la Secretaría tiene competencia para verificar el
cumplimiento de la LFPDPPP, es importante señalar que el indicio que detonó su
actuación (por ejemplo, la venta de datos en un canal de Telegram), su
investigación compete al Ministerio Público y a las autoridades policiacas,
entre ellas las unidades de policía cibernética federal y estatales.
La difusión en este tipo de incidentes, representa consecuencias
serias:
●
Alerta al infractor. Un anuncio oficial le da tiempo para borrar la publicación, migrar de
canal y destruir rastros antes de que actúe la policía cibernética.
●
Debilita la prueba. Un indicio digital recabado fuera de la cadena de custodia puede
perder valor probatorio en el proceso penal.
●
Amplifica la oferta criminal. La confirmación oficial funciona como sello de autenticidad de la base
y eleva su valor y su demanda en el mercado ilícito.
●
Crea un riesgo adicional. La muestra en poder de la autoridad contiene datos de más de 100 mil
personas y exige las mismas salvaguardas que se piden a cualquier Responsable.
“Señalar públicamente
a una empresa por su nombre, cuando todavía se está frente a indicios que
requieren verificación, puede generar un efecto de revictimización y producir
un daño reputacional y comercial anticipado. Antes de atribuir el origen,
autenticidad o responsabilidad respecto de una base de datos, resulta
indispensable determinar si la información es auténtica, cuál es su antigüedad,
de dónde provino, cómo fue obtenida y si existió algún incumplimiento
atribuible al responsable o a un tercero”, apunta Juan Antonio Ramírez Márquez,
Vicepresidente de Relaciones con Gobierno de la Asociación Mexicana de
Internet.
Respeto a ello, señaló
que en un incidente de esta naturaleza, la comunicación institucional debe
calibrarse cuidadosamente: “La autoridad tiene el deber de investigar y
proteger los derechos de las personas titulares de los datos, pero esa función
debe desarrollarse con información verificable y distinguiendo claramente entre
un indicio, una hipótesis de investigación y un hecho acreditado. El objetivo
de la comunicación pública debe ser informar y prevenir riesgos para los
titulares, sin generar una atribución anticipada de responsabilidad que
posteriormente pudiera resultar incorrecta.”
Comentó que esto no
significa minimizar un posible incidente de seguridad ni limitar las facultades
de investigación de la autoridad. Significa que la protección de los datos
personales debe ir acompañada de una comunicación institucional responsable, proporcional
y basada en hechos verificados.”
¿Qué proponemos como industria?
Invitamos respetuosamente a la Secretaría a construir, junto con la
industria, un modelo de cooperación, colaboración y participación conjunta
frente a los grupos delincuenciales que afectan a empresas, instituciones y
ciudadanía. Proponemos seis medidas concretas:
- Aviso
temprano y confidencial al Responsable. Que todo
indicio detectado en el monitoreo se comunique primero a la organización
involucrada, por un punto de contacto designado, con un plazo razonable
para verificar, contener e informar a las personas titulares.
- Coordinación
inmediata con las autoridades de investigación.
Que el hallazgo se denuncie ante el Ministerio Público y se comparta con
la policía cibernética antes de cualquier difusión, y que los indicios se
preserven bajo cadena de custodia.
- Criterios
claros de comunicación pública. Que la autoridad
comunique cuando sea necesario para proteger a las personas, con
recomendaciones útiles para ellas, y que reserve la identificación del
Responsable hasta contar con hechos verificados o una resolución.
- Mesa
permanente autoridad–industria. Un espacio de
trabajo con la Secretaría, las autoridades de seguridad y procuración de
justicia, la academia y la sociedad civil para compartir inteligencia de
amenazas, protocolos y capacitación.
- Incentivos
a la transparencia y atenuantes formales. Que la
Secretaría establezca, mediante lineamientos generales, un catálogo de
circunstancias atenuantes aplicables en procedimientos sancionadores, que
incluya: (a) la notificación voluntaria y oportuna del incidente a la
autoridad; (b) la cooperación activa durante la verificación; (c) la
notificación diligente a las personas titulares; (d) la implementación
previa de un programa integral de protección de datos; y (e) la adopción
de medidas correctivas verificables.
- Protocolo
de preservación de evidencia digital. Que la
Secretaría, en coordinación con la Fiscalía General de la República y las
fiscalías estatales, establezca un protocolo para la preservación, manejo
y transferencia de evidencia digital obtenida en monitoreos, que garantice
la cadena de custodia y que asegure que los datos personales contenidos en
muestras obtenidas se traten con las medidas de seguridad que la LFPDPPP
exige.
La industria debe redoblar esfuerzos para cumplir cabalmente la Ley
El modelo mexicano pone en el centro a la persona titular. La Ley
obliga al Responsable de los Datos a informar de inmediato al titular las
vulneraciones que afecten de forma significativa sus derechos patrimoniales o
morales, para que pueda defenderse. Ahí deben concentrarse los esfuerzos de
empresas y autoridad: en que ese aviso llegue pronto, sea claro y sea útil.
“Las empresas que detectan, contienen e informan con oportunidad deben
encontrar en la autoridad a un aliado. Un entorno que castiga la transparencia
produce silencio, y el silencio deja indefensas a las personas. La
protección de los datos personales es una responsabilidad compartida. La AIMX
reitera su reconocimiento a la Secretaría Anticorrupción y Buen Gobierno y su
plena disposición para trabajar con ella, con las autoridades de seguridad y
procuración de justicia, y con todos los sectores”, señaló Iván Díaz González,
Vicepresidente de Innovación y Tecnologías Emergentes de la Asociación Mexicana
de Internet.
# # #
Para más información sobre las actividades de la
Asociación Mexicana de Internet visite: https://www.asociaciondeinternet.mx/
Acerca de la Asociación de Internet MX
(AIMX)
Es una asociación civil, sin fines de lucro, que desde
1999 representa a las empresas más relevantes de la industria de internet para
orientar sus intereses hacia el desarrollo libre, responsable y seguro del
mismo, generando así un impacto positivo en la sociedad. Actualmente, la
asociación cuenta con más de 200 afiliados, entre los cuales se encuentran
tanto MiPyMES como corporativas transnacionales de diversas actividades en
línea.
