JULIETA DEL RÍO VENEGAS
Hay datos personales cuya exposición representa un problema administrativo. Hay otros cuya filtración puede poner en riesgo la vida de las personas. Cuando la información comprometida pertenece a ciudadanos que acudieron al Estado para denunciar falta de servicios, delitos, acosos, etc, la discusión deja de ser tecnológica y se convierte en un asunto de confianza pública.
La denuncia realizada por el periodista Ignacio Gómez Villaseñor sobre una vulneración del Sistema Integral de Atención Ciudadana del Gobierno Federal no puede minimizarse. De confirmarse la exposición de cientos de miles de expedientes con información de personas que denunciaron delitos, estaríamos frente a uno de los incidentes más delicados en materia de protección de datos personales de los últimos años.
No se trata únicamente de archivos electrónicos. Se trata de personas que decidieron confiar en el Estado para denunciar malos funcionarios, actos de extorsión, corrupción, desapariciones, abuso sexual, violencia o amenazas, bajo la premisa de que su identidad sería protegida.
Por eso las preguntas que hoy surgen trascienden el ámbito técnico. ¿Qué está ocurriendo con las bases de datos del Gobierno? ¿Qué sucede con la seguridad de los sistemas informáticos que el propio Estado contrata para resguardar la información de millones de personas?
La transformación digital del gobierno no puede construirse sobre plataformas vulnerables. Cada incidente de seguridad representa una falla tecnológica, pero también una afectación a derechos fundamentales y un golpe directo a la credibilidad de las instituciones.
Y esa pérdida de confianza resulta especialmente grave cuando el propio Estado ha dedicado años a construir una cultura de la denuncia. Se han creado plataformas digitales, líneas telefónicas y distintos mecanismos para que la ciudadanía reporte delitos o actos de corrupción. Sin embargo, ese esfuerzo aún no ha logrado consolidarse plenamente. El miedo a las represalias, la impunidad y la desconfianza siguen siendo obstáculos históricos.
Si ahora quienes deciden denunciar descubren que sus datos personales pueden quedar expuestos, el mensaje es devastador: el propio Estado no fue capaz de protegerlos.
¿Quién volverá a denunciar si existe el riesgo de que su nombre, domicilio, teléfono o correo electrónico terminen en manos de terceros?
Y quizá la pregunta más inquietante sea otra: ¿en manos de quién podrían estar hoy esos datos?
No hablamos de información cualquiera. Hablamos de víctimas, denunciantes, testigos y ciudadanos que acudieron al Estado en busca de protección. Si esa información llegara a utilizarse para fines ilícitos, las consecuencias podrían ser irreparables.
Más allá de la preocupación pública, este tipo de incidentes también activa obligaciones legales muy precisas. La Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados establece que todas las autoridades deben implementar y mantener medidas de seguridad administrativas, físicas y técnicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o acceso no autorizado. Además, dichas medidas deben revisarse y actualizarse permanentemente conforme evolucionan los riesgos tecnológicos.
No basta con adquirir plataformas digitales. Es indispensable mantenerlas seguras.
Pero cuando ocurre una vulneración, la responsabilidad del Estado apenas comienza.
La propia ley dispone que, cuando una vulneración afecte de forma significativa los derechos patrimoniales o morales de las personas titulares, la autoridad responsable deberá informarles sin dilación alguna, explicando la naturaleza del incidente, los datos comprometidos, las posibles consecuencias y las medidas que pueden adoptar para protegerse.
Aquí aparece un aspecto que merece especial reflexión. La legislación anterior establecía un plazo específico para atender este tipo de incidentes. El marco vigente sustituyó ese parámetro por la expresión “sin dilación alguna”. Jurídicamente significa actuar de manera inmediata y sin demora injustificada, pero la ausencia de un plazo concreto deja un margen de interpretación que puede traducirse en notificaciones tardías, precisamente cuando el tiempo resulta determinante.
Cuando los datos comprometidos pertenecen a personas que denunciaron delitos, cada hora cuenta. Cada minuto de retraso puede representar una oportunidad para el fraude, la extorsión, la suplantación de identidad o, en los casos más delicados, un riesgo para la integridad física de quienes acudieron a denunciar.
Por ello, la pregunta que hoy debería responder la autoridad es sencilla, pero fundamental: ¿las personas potencialmente afectadas ya fueron notificadas para que adopten medidas de protección?
Responder con rapidez y transparencia forma parte de la protección de los datos personales. Esa obligación no empieza cuando se diseña una plataforma informática; se pone verdaderamente a prueba cuando ocurre una vulneración y las instituciones demuestran si son capaces de reaccionar con eficacia.
Esta situación también obliga a mirar un tema del que pocas veces se habla: la inversión en ciberseguridad. La seguridad informática no puede verse como un gasto prescindible. Requiere actualización tecnológica permanente, monitoreo continuo, auditorías independientes, pruebas de penetración, personal altamente especializado y protocolos eficaces de respuesta.
Cuando estos elementos se debilitan por restricciones presupuestales o por decisiones administrativas, la austeridad termina saliendo muy cara. Porque entonces no sólo se comprometen bases de datos; se compromete la confianza pública.
La ciudadanía tiene derecho a conocer qué ocurrió, quién fue responsable y cuáles serán las medidas para reparar el daño. Pero, sobre todo, tiene derecho a recuperar la confianza en que las instituciones están preparadas para proteger la información que les entregamos.
Porque cuando una persona decide denunciar un delito no sólo proporciona un nombre, un domicilio o un número telefónico. Deposita en el Estado algo mucho más valioso: la confianza de que será protegida.
Si esa confianza se rompe, el daño trasciende cualquier base de datos comprometida. Se desalienta la denuncia ciudadana, se fortalece el miedo y se envía un mensaje profundamente preocupante: que acudir a las instituciones puede convertirse en un riesgo.
La protección de los datos personales nunca ha sido un asunto exclusivamente tecnológico. Es una obligación constitucional, una responsabilidad ética y una condición indispensable para fortalecer el Estado de derecho. Porque cuando el Estado no puede proteger a quienes confiaron en él, no sólo falla un sistema informático; también se debilita uno de los pilares sobre los que descansa la confianza en las instituciones y, con ella, la capacidad misma del Estado para combatir la impunidad.
Sobre la Firma
Escritora y defensora institucional de la transparencia y los datos
contacto@julietadelrio.org.mx
BIO completa