La prórroga hasta el 31 de diciembre para el registro de líneas celulares no garantiza la seguridad de los datos personales de los millones de mexicanos que ya registraron su número telefónico a solicitud del Gobierno de México; ni la propia Comisión Reguladora de Telecomunicaciones (CRT) ni las compañías telefónicas han garantizado el resguardo de la información personal.

A pesar de los diversos reportes de robo de datos personales y bases de datos institucionales expuestos en páginas web y en la red, el Gobierno mexicano no ha garantizado la seguridad de los datos y la identidad de los ciudadanos, provocando incertidumbre entre quienes ya cumplieron con el requisito y suspicacias entre los millones de usuarios de las líneas no registradas hasta ahora.

La eliminación del Instituto Nacional de Acceso a la Información y Protección de Datos Personales (INAI) a finales de 2024 “dificulta saber qué mecanismos efectivos están tomando las autoridades para proteger nuestros datos, o si llegara a haber una filtración, cuáles son los pasos que seguirían para revertir los daños”, reveló a buzos Nayeli Torres, especialista en tecnología de la agrupación internacional Artículo 19.

La desaparición del organismo constitucionalmente autónomo encargado de garantizar la seguridad de la información sensible de las personas representa un grave riesgo para la seguridad individual.

Nayeli Torres explicó que las claves de registro oficial pueden cambiarse, pero no sucede lo mismo en el caso de los “datos biométricos”, huellas de los dedos y de iris; además, la reforma a la Ley de Amparo expone los derechos colectivos ante una posible defensa legal conjunta.

Los señalamientos oficiales sobre los beneficios del registro masivo de datos para perseguir la extorsión y la búsqueda de personas desaparecidas, “nos parece más una narrativa utilizada para empujar estas bases de datos masivas”.

Cuando la CRT anunció la prórroga para el registro, en un comunicado, puntualizó: “por seguridad de todas y todos, cada número telefónico debe estar a nombre de una persona para eliminar el anonimato que ha permitido que la delincuencia cometa delitos como fraude o extorsión. Con esta medida, México ya no pertenecerá a los pocos países que permiten adquirir un chip sin identificación, y se suma a esta práctica internacional vigente en 166 países”.

Sin embargo, el delito de extorsión no ha disminuido, al contrario, creció, como demuestra la Encuesta Nacional de Victimización y Percepción sobre Seguridad Pública (Envipe) 2025 del Instituto Nacional de Estadística y Geografía (Inegi), cuando el fraude y la extorsión figuraron entre los delitos con mayor incidencia en México. La extorsión registró cifras-récord de 11 mil 81 víctimas nacionales, un aumento de 4.5 por ciento respecto al año anterior.

Así, en lo que va del año, al menos 83 de los 144 millones de usuarios mexicanos de teléfonos celulares no registraron su línea en el plazo establecido por las autoridades, del nueve de enero al 30 de junio de 2026, desconfiados ante el manejo de los datos personales y la privacidad de los aparatos de comunicaciones.

A este rechazo se sumaron inconformidades de compañías que calcularon afectaciones a sus ingresos con una desconexión masiva de celulares, especialmente la telefónica mayoritaria Telcel, de Carlos Slim quien, el 26 de mayo pasado, pidió públicamente al gobierno dar una “reestudiadita” al procedimiento de registro.

Esto originó que un mes después, es decir, el 25 de junio, el gobierno de Claudia Sheinbaum Pardo concediera una prórroga a la que se había negado, aunque se mantuvieron las mismas reglas de fondo; la inscripción se realizaría ahora entre agosto y diciembre de manera escalonada, conforme a la terminación del número celular entre cero y nueve.

Se enfocará en las mayoritarias líneas de “prepago”, esquema mercantil que se activaba comprando una tarjeta-SIM (Módulo de Identificación de Abonado, en inglés) y haciendo “recargas” sin identificación de los operadores; anonimato que se ha descrito al mismo tiempo como elemento de seguridad ciudadana y como riesgo de actividades delincuenciales.

En tanto, las minoritarias líneas de “pospago” no se considerarán en el procedimiento, porque las empresas telefónicas recaban los datos del usuario al momento de la contratación del servicio, detalle no considerado por las autoridades anteriormente, cuando exigieron la inscripción de los celulares en general.

Van 17 años de intentos fallidos

Desde hace tres sexenios, los gobiernos mexicanos han ensayado la forma de almacenar los datos personales de la población. En diversos momentos su intento ha fallado, pues las bases terminan en manos de la delincuencia y empresas de telemarketing, lo que satura el ofrecimiento de productos y mercancías o encuestas sobre preferencias electorales a los usuarios. En algunos casos, incluso con fines de vigilancia política, lo que lo hace mucho más grave.

De 2009 a la fecha, los gobiernos han realizado fallidos intentos por crear un magno registro telefónico, vinculando millones de celulares a los datos sensibles de ciudadanos, con el argumento de que servirá para acabar con las extorsiones y la delincuencia organizada.

El primer intento comenzó el 10 de abril de 2009, en el gobierno de Felipe Calderón, cuando se activó el Registro Nacional de Usuarios de Telefonía Móvil (Renaut), con lo que se fijó un año de plazo para completar la inscripción, con fecha límite al 10 de abril de 2010; después se eliminarían definitivamente las líneas no registradas.

Incidentes de ciberseguridad ocurrieron al Renaut, padrón que fue cancelado en abril de 2011 en medio de una controversia nacional. El tres de junio de 2010 se difundió que la base de datos del Renaut había sido hackeada y estaba a la venta en el “mercado negro”, según el diario El Universal.

Un mes antes de terminar ese plazo, la empresa Telcel obtuvo una suspensión provisional, con un amparo judicial para negarse a cortar los millones de líneas telefónicas que quedaron sin registrar, como ordenaban las reglas del Renaut.

La controversia aumentó hasta que, tras un largo debate parlamentario, el 29 de abril de 2011, el Congreso de la Unión aprobó la eliminación del Renaut. El 15 de junio de 2012, la Secretaría de Gobernación negó una vez más que se hubiera vulnerado la base de datos del Renaut, aunque informó haber destruido lo recabado de 98 millones 455 mil 246 registros.

Durante el gobierno de AMLO se emitió una versión similar a la que se llamó Padrón Nacional de Usuarios de Telefonía Móvil (Panaut), que se activó el 16 de abril de 2021, aunque lo invalidaron acciones legales interpuestas ante la Suprema Corte de Justicia de la Nación (SCJN) bajo denuncias de violaciones a los derechos humanos.

En abril de 2021, los entonces organismos autónomos: el Inai y el Instituto Federal de Telecomunicaciones, así como un grupo de senadores, interpusieron independientemente recursos de Acción de Inconstitucionalidad contra el Panaut.

El 25 de abril de 2022, la SCJN confirmó la suspensión del registro del Panaut tras declararlo inconstitucional, porque la recopilación de datos biométricos de los usuarios telefónicos exigida por el gobierno vulnera los derechos humanos; y actualmente ya no se piden para registrar líneas celulares, pero sí en las inscripciones al SAT, mientras oficialmente se impulsa que su entrega se vuelva obligatoria y se vincule a la nueva CURP.

El riesgo

El registro masivo de dispositivos celulares con cada vez más posibilidades técnicas de observación de uso y geolocalización es un trámite obligatorio que varios gobiernos están realizando en el mundo, lo que abre importantes riesgos de seguridad para los usuarios de la tecnología digital, advirtió la organización internacional Privacy International (PI).

“El registro obligatorio de la tarjeta-SIM permite la elaboración de perfiles con diversas consecuencias. El número de teléfono de una persona podría vincularse con sus preferencias de voto o datos de salud, lo que facilitaría a los gobiernos identificar y atacar a opositores políticos, por ejemplo”, plantea la organización PI en su estudio Registro de la Tarjeta SIM.

Si bien los sistemas de vigilancia de comunicaciones pueden ayudar a mejorar la seguridad nacional a los gobiernos –apuntó‒ “también es probable que permitan la vigilancia de defensores de los derechos humanos, políticos, inmigrantes y otros grupos”.

Sin la legislación y supervisión estatal efectiva de protección de datos, “la información de los usuarios de SIM puede compartirse y cotejarse con otras bases de datos públicas y privadas, lo que permite al Estado crear perfiles completos de los ciudadanos, y a las empresas y terceros acceder a una gran cantidad de datos”, sentenció la agrupación internacional especializada.

El 25 de junio de 2026, cuando se anunció la ampliación del plazo para los registros telefónicos, la CRT del Gobierno Federal destacó que, de los 144 millones de líneas celulares en el país, hasta esa fecha se habían registrado 63 millones: 40.2 millones de prepago, y 22.8 millones de pospago.

Sobre las líneas de pospago, la CRT indicó que “no requieren un nuevo trámite por estar asociadas a una persona desde su contratación”, en tanto, las “líneas de prepago que hasta ahora no se han vinculado tendrán una fecha límite asignada conforme al último dígito del número telefónico”.

Para las líneas de prepago se fijaron fechas limitadas entre el 15 de agosto y el 31 de diciembre de este año, conforme a la terminación del número celular, del cero a al nueve, bajo la advertencia de que, si no se inscriben antes de las fechas límite, la telefónica está obligada a suspender las líneas no registradas en un plazo no mayor a 72 horas.

Datos inseguros

Mientras tanto, en lugar de reducirse, crecieron las preocupaciones de usuarios telefónicos ante los riesgos del manejo de sus datos, a partir de los incidentes de ciberseguridad ocurridos desde 2010 y ahora en meses recientes.

El nueve de enero de 2026, el anterior periodo de registro, la cuenta de X Telefonías Unlimited fue la primera en alertar sobre un riesgo de seguridad en la plataforma de inscripciones habilitada por Telcel, la compañía telefónica mayoritaria en el país, debido a “una grave vulnerabilidad de exposición de datos personales actualmente explotable”.

“El problema es crítico: únicamente ingresando un número Telcel, el sistema devuelve información del titular sin autenticación previa y sin registro en el portal”. Los datos expuestos pueden incluir, según el tipo de línea –alertó‒ nombre completo, Registro Federal de Causantes (RFC), Clave Única de Registro Poblacional (CURP), correo electrónico, y de las empresas, nombre de la empresa y RFC.

“Con el registro ya en operación, esta falla permite suplantación de identidad, ingeniería social dirigida, fraude, violaciones directas a la Ley de Protección de Datos Personales… la vulnerabilidad no requiere credenciales, tokens ni validaciones adicionales, basta conocer un número Telcel activo”, precisó Telefonías Unlimited en su publicación para redes sociales.

En este marco pidió acciones urgentes de Telcel y de la CRT, mientras expertos en ciberseguridad se sumaron a los cuestionamientos; algunos consideraron el incidente como grave, incluso plantearon que la telefónica debería ser sancionada por las autoridades.

En un pronunciamiento del 14 de enero de 2026, la organización especializada Red en Defensa de los Derechos Digitales (R3D) exigió la suspensión del registro obligatorio de celulares comenzado el nueve de enero hasta que existieran garantías mínimas de ciberseguridad para preservar los derechos humanos de los usuarios telefónicos.

Tras la divulgación del caso Telcel en redes, la empresa reconoció el incidente de ciberseguridad, aunque negó que haya ocurrido una “filtración masiva” de datos personales de los usuarios registrados, y refirió que hubo una falla en la construcción del portal destinado al registro de las líneas (en una “capa” del sitio web), por lo que se procedió a bajarla de Internet, corregirla y activarla nuevamente, lo que se efectuó en el curso de algunas horas, aseguró.

Desconfianza ciudadana

El mencionado incidente ocurrió a la principal telefónica privada, pero también se conoció otro a principios del año en el ámbito gubernamental, donde se planea instaurar una magna red nacional para interconectar bases de datos privadas y oficiales, incluidas las que estarían en poder de las compañías telefónicas.

La agrupación R3D alertó el seis de marzo de 2026 sobre la vulneración de al menos 10 bases de datos operadas por autoridades federales y estatales en dos amplios ciberataques entre enero y febrero de 2026.

Delincuentes digitales extrajeron 150 gigabytes de datos personales de ciudadanos alojados en los sistemas informáticos de unas 25 dependencias gubernamentales, reportaron expertos y organizaciones especializadas.

Entre las instituciones hackeadas estuvieron la Secretaría del Bienestar, el Servicio de Administración Tributaria (SAT), el Instituto Nacional Electoral (INE) y los sistemas informáticos de seis gobiernos estatales, según los informes de la agrupación R3D, especialista en tecnología digital.

Explicó que la penetración de sistemas se ejecutó con herramientas de Inteligencia Artificial (IA), particularmente mediante el Robot o Chatbot denominado Claude, de la empresa Anthropic, y utilizando una versión del sistema GPT de OpenAI.

“El incidente fue detectado por la empresa de ciberseguridad Gambit Security, que aclaró que el ataque estuvo activo por un mes y logró extraer datos fiscales sensibles, archivos del Registro Civil, credenciales de empleados públicos y datos del padrón electoral”, subrayó la organización R3D.

Además de dependencias e instituciones federales, también fueron penetrados sistemas informáticos de los gobiernos de los estados de México, Jalisco, Michoacán y Tamaulipas. La agrupación tecnológica mencionó que, “a través de un comunicado, el SAT negó haber identificado actividad sospechosa vinculada con el incidente reportado. El INE también descartó haber sufrido una vulneración de datos”.

Múltiples riesgos 

Por otro lado, agrupaciones especializadas en tecnología digital y ciberseguridad, R3D, SocialTIC, y Artículo 19-México han criticado reiteradamente las iniciativas en materia de seguridad e inteligencia aprobadas en 2025: Ley General del Sistema de Seguridad Pública y Ley del Sistema Nacional de Investigación e Inteligencia en Materia de Seguridad Pública.

Destacaron que esas nuevas legislaciones establecen la creación de una plataforma nacional digital “que pretende fusionar información contenida en bases de datos sobre registros vehiculares, datos biométricos, registros inmobiliarios, registros fiscales, datos y registros telefónicos, entre otros, así como cualquier otra base de datos, inclusive en posesión de entes privados”, para extraerles indicios, datos y pruebas para crear productos de inteligencia.

“La legislación propuesta inclusive contempla la posibilidad de utilizar sistemas de IA para procesar e interrelacionar los datos personales de toda la población y pretende conceder acceso a las bases de datos del sistema a instituciones policiales, tanto federales como estatales, incluso municipales”.

Reconocieron que, con las nuevas leyes, las empresas privadas que administran líneas celulares quedan obligadas a conectar sus bases de datos a la magna red nacional digital proyectada por el gobierno, que se nutrirá con toda clase de datos ciudadanos de carácter sensible, en posesión gubernamental y de particulares. R3D por ejemplo, calificó como “engañosa” la afirmación gubernamental de que las compañías telefónicas resguardarán las bases de datos personales de los usuarios de telefonía móvil, y que el gobierno solamente pedirá acceder a ellas cuando se cometa un delito.

Vigilancia masiva

Una preocupación social es que se multiplique el espionaje oficial sobre los ciudadanos: “este sistema centralizado de recolección, almacenamiento y procesamiento de datos personales sensibles constituye una medida de vigilancia masiva e indiscriminada de la población, sin controles democráticos y susceptible de que se abuse de ella, incluso por la propia delincuencia que pretende combatir”, denunciaron las citadas agrupaciones especializadas.

“Las Leyes de Seguridad e Inteligencia crean una infraestructura tecnológica autoritaria que amenaza los derechos humanos…”, denunciaron enérgicamente la medida, a la que calificaron como un intento de ampliar y consolidar una infraestructura tecnológica autoritaria en México.

R3D, SocialTIC y Artículo 19-México alertaron que la plataforma nacional de datos personales operará “sin control judicial ni supervisión de una autoridad de protección de datos profesional y autónoma… y sin que se contemplen otras salvaguardas como el derecho de notificación a las personas afectadas”.

“Puede existir una vigilancia masiva, porque habrá una extracción y almacenamiento de datos, pero también puede haber una vigilancia selectiva en cuanto a autoridades que quieran vigilar a ciertos actores, que son casos ya vistos en administraciones pasadas”, opinó para buzos Nayeli Torres, investigadora del Programa de Ecosistema Informativo y Tecnología, de la organización internacional Artículo 19-México.

Agregó que se abren más riesgos para la libertad de expresión, “porque al asociar un número telefónico con la identidad legal de las personas, será más fácil rastrear actividades… como el uso de redes sociales y plataformas digitales”.

La especialista estimó que se mantienen las dudas sobre cómo operará la base de datos nacional “para asegurar los accesos, las restricciones; aquí recalcamos que la opacidad nos parece una medida deliberada para mantenernos a oscuras de lo que está sucediendo con nuestros datos; no hay información sobre su tratamiento”.