Notas de la IAPP América Latina: ¿Qué dirección tomará el sistema de protección de datos personales en México?

Los últimos años han representado probablemente uno de los periodos más relevantes para el derecho a la privacidad y la protección de datos personales en México, desde la publicación de la Ley en el 2010. El panorama normativo ha tenido importantes cambios derivados de la reforma constitucional en materia de simplificación orgánica.

Algunos de los acontecimientos más trascendentes han sido la publicación, el 20 de marzo de 2025, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, así como la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, autoridad constitucional autónoma que había fungido como garante de los derechos de acceso a la información y protección de datos personales por más de una década.

Las atribuciones del INAI fueron distribuidas, destacando la Secretaría Anticorrupción y Buen Gobierno como nueva autoridad competente en materia de protección de datos personales en el sector privado. Esta transición ha generado cuestionamientos sobre todo en cuanto a la independencia de la autoridad, los mecanismos de tutela de derechos ARCO y los procedimientos de supervisión y sanción, que se espera sean desarrollados en el reglamento.

El debate público y regulatorio se ha centrado en el tratamiento de datos biométricos y en la creación de sistemas de identidad digital de alcance nacional. En particular, ha sido relevante la discusión en torno al proyecto denominado “Llave MX,” un mecanismo de autenticación digital para la interacción de los ciudadanos con servicios gubernamentales. 

Diversas organizaciones de la sociedad civil, especialistas en protección de datos personales y académicos han expresado preocupación respecto de la concentración de información biométrica en bases de datos gubernamentales. Además, destacan la necesidad de establecer medidas de seguridad robustas, así como la urgencia de contar con sistemas que respeten los principios de proporcionalidad y minimización de datos. Esta discusión es importante pues, en general, en el ámbito internacional, se ha sostenido que el tratamiento de datos biométricos constituye una injerencia mayor en la esfera privada de las personas.

Otro asunto relevante de los últimos años, relacionado con datos biométricos, ha sido el procedimiento iniciado por el INAI respecto del sistema “Fan ID”, implementado por la Federación Mexicana de Fútbol. El caso se convirtió en uno de los expedientes más importantes en materia de tratamiento de datos biométricos en el sector privado. “Fan ID” se centraba en la recopilación y utilización de datos biométricos de aficionados para permitirles el acceso a estadios deportivos mediante mecanismos de identificación digital. Este asunto puso en discusión cuestiones fundamentales como el consentimiento, la proporcionalidad, la responsabilidad de encargados y responsables, sobre todo cuando se involucran proveedores. 

Lo anterior es solo un ejemplo, pero México sin duda atraviesa una etapa de redefinición institucional y normativa en materia de privacidad y protección de datos personales. La combinación de reformas, nuevos modelos de gobernanza digital, sistemas de identidad electrónica y el creciente uso de tecnologías biométricas plantea desafíos sin precedentes tanto para las autoridades como para las empresas e incluso los titulares de datos personales. La evolución en la materia y el actuar de la nueva autoridad serán determinantes para conocer el alcance del nuevo sistema mexicano de protección de datos personales y su capacidad para garantizar uno de los derechos fundamentales más relevantes de la era digital.