Auditoría Legal Abierta

[B5-01] Acceso del CNI a bases de datos públicas y privadas por simple oficio, sin control judicial, criterios, registro ni plazo (LSNIIMSP)

Área / bloque: B. Seguridad, inteligencia y vigilancia. Bloque 5 Tipo de defecto: B2 (facultades sin control), B1 (conceptos indeterminados), B6 (tensión con la CADH y la Corte IDH) Quién puede explotarlo: (a) principalmente. También (c): la información de particulares queda concentrada en una plataforma con amplio acceso interno.

La disposición

El defecto

  1. No hay control judicial previo ni posterior. En la ley no aparece ninguna mención a juez, autorización judicial, bitácora de accesos auditable desde fuera, notificación diferida a la persona afectada, plazo de conservación o informe al Congreso. Se hizo una búsqueda textual de “judicial”, “juez”, “bitácora”, “trazabil”, “notific”, “plazo” y “Congreso”. La única referencia al control judicial es el “en su caso” del art. 26, que remite a “ordenamientos aplicables” sin decir cuáles ni cuándo. El acceso a datos de particulares se activa por “requerimiento oficial” (art. 30) o “solicitud directa” (art. 39-C) del propio CNI.
  2. El acceso es masivo y no está ligado a una investigación concreta. La interconexión “permanente” y “en tiempo real” (arts. 30, 36 y 38) permite consultar a toda la población, no sólo a personas relacionadas con un delito. La SCJN invalidó el PANAUT por esa misma razón (AI 82/2021 y acum. 86/2021, sentencia en DOF 12/12/2022, https://dof.gob.mx/nota_detalle.php?codigo=5673910&fecha=12/12/2022):
    • Párr. 327: “una recopilación que incluya a todos los usuarios […] y cuya entrega se realiza directamente al Estado con independencia de que exista una relación, al menos indirecta, con el fin perseguido, no puede considerarse limitada a lo estrictamente necesario”.
    • Párr. 334: “dicho acceso por un lado, debe estar condicionado a criterios objetivos que permitan definir las circunstancias y los requisitos conforme a los cuales pueda otorgarse y además, salvo en casos de urgencia debidamente justificados, dicho acceso debe estar sujeto a un control previo de un órgano jurisdiccional.”
    • Párr. 338: precisar “qué autoridades, en qué supuestos o bajo qué circunstancias” se accede a la información “era necesario que estuvieran contemplados en una ley y no en disposiciones administrativas”.
    • Según la nota de votación publicada en el DOF, el considerando séptimo se aprobó por mayoría de nueve votos, algunos “apartándose de algunas consideraciones”.
  3. Contraste con la CADH. Corte IDH, Miembros de la Corporación Colectivo de Abogados “José Alvear Restrepo” vs. Colombia, sentencia de 18/10/2023, Serie C No. 506:
    • Párr. 551: “la pretensión de los organismos de inteligencia de requerir información referida a datos personales a empresas privadas que, por distintos motivos, lícitamente la administren o gestionen, requieren también de autorización judicial”.
    • Párr. 553: “se requiere igualmente autorización judicial previa para el empleo de técnicas de vigilancia y seguimiento con relación a personas determinadas que impliquen el acceso a bases de datos y sistemas de información no públicos que almacenen y procesen datos personales […] o la localización de dispositivos electrónicos”.
    • Párr. 549: es necesario “diferenciar de las facultades específicas a cargo de los organismos de inteligencia las tareas propias de seguridad pública” y excluir de ellas “las labores en materia de investigación criminal”. La LSNIIMSP hace lo contrario: los arts. 5-V y VI y 36 asignan a la Plataforma de inteligencia “la obtención de datos de prueba”.
    • Esta jurisprudencia vincula a los jueces mexicanos cuando es más favorable (tesis P./J. 21/2014 (10a.), reg. digital 2006225; identificada por fuente secundaria, sjf2 no accesible).
  4. Fundamento constitucional.
    • Art. 16, párr. 2 CPEUM: “Toda persona tiene derecho a la protección de sus datos personales […] en los términos que fije la ley, la cual establecerá los supuestos de excepción”. La excepción debe estar en ley y ser precisa. Aquí la ley delega el “cuándo” y el “cómo” en la “consideración” del CNI y del Consejo Nacional (arts. 7, 27 y 30) y en niveles de acceso que fija el propio CNI (art. 42).
    • Art. 16, párr. 1 (acto de molestia fundado y motivado) y art. 11.2 CADH.
  5. Conceptos indeterminados (B1). El universo de fuentes es “todos aquellos de donde se pueda extraer información” (art. 24) y “cualquier otra fuente que pueda resultar trascendente” (art. 26). Los sujetos obligados son “todas aquellas personas físicas que tengan o puedan tener o acceder a información” (art. 39-C-II). No existe un estándar de sospecha ni un catálogo de delitos.

Escenario de explotación

Una unidad de análisis del CNI quiere reconstruir la red de contactos y movimientos de la periodista ficticia “Laura Méndez”, que investiga contratos de seguridad. No hay una carpeta de investigación abierta. Con base en los arts. 30 y 39-C, el CNI dirige “requerimientos oficiales” a su banco, a su aseguradora de gastos médicos y a una aplicación de transporte. Además consulta “en tiempo real” las bases públicas interconectadas (registros vehiculares, catastro, SAT vía art. 39-B). La ley no exige orden judicial, no obliga a registrar el motivo frente a un órgano externo y no prevé notificarle nunca a la periodista. El art. 1 declara “reservado” todo lo generado por el Sistema y el art. 51 impone secreto a quien “tenga conocimiento”. En consecuencia, la afectada difícilmente sabrá que fue objeto de consulta, y las empresas requeridas no tienen en la ley un fundamento claro para negarse. El mismo diseño facilita fugas o usos privados por personal con acceso: el riesgo (c) que la SCJN señaló en la AI 82/2021, párr. 405.

Contraargumentos del Estado

  1. “La ley remite a la LGPDPPSO, la LFPDPPP y la LGTAIP (arts. 24, 25, 26 y 50), y a ‘previo control judicial’ en su caso; la interpretación conforme exige leer que el control judicial opera cuando lo exija otra ley (p. ej., el art. 303 CNPP).” Respaldo: principio de interpretación conforme. Evaluación: incierto. La remisión salva el texto, pero la AI 82/2021 (párr. 338) exige que los supuestos y requisitos de acceso estén en la ley, no en remisiones genéricas. Ninguna de las leyes de datos de 2025 contiene un régimen de autorización judicial para inteligencia en seguridad pública. La LGPDPPSO (art. 74) sólo limita el tratamiento a lo “necesario y proporcional”.
  2. “No es un padrón: los datos siguen en poder de los particulares y sólo se consultan; el precedente del PANAUT (recopilación generalizada de biométricos) no es aplicable.” Respaldo: distinción entre recopilación y acceso (AI 82/2021, párrs. 185-186). Evaluación: probable respecto de la recopilación, improbable respecto del acceso. El párr. 334 se refiere precisamente al acceso, y la interconexión permanente y en tiempo real (art. 30) equivale funcionalmente a la posesión.
  3. “La seguridad pública es un fin constitucionalmente imperioso (art. 21, párr. 13, CPEUM, que encomienda a la SSPC la coordinación del Sistema Nacional de Inteligencia ‘en los términos que señale la ley’).” Evaluación: probable en cuanto al fin legítimo e incierto en la necesidad y proporcionalidad.
  4. “CAJAR es un caso contra Colombia.” Respaldo: la tesis P./J. 21/2014 no distingue. Evaluación: improbable como argumento de exclusión, aunque una SCJN con nueva integración (2025) podría restringir el alcance del precedente [no verificado].

Añadidos de la Fase 2 (verificación adversarial, 31/10/2026):

  1. “La ley sí remite expresamente al CNPP, con su control judicial.” La ficha omitía dos remisiones textuales. El art. 27 termina así: “en términos de lo dispuesto por la Ley General de Transparencia y Acceso a la Información Pública y del Código Nacional de Procedimientos Penales”. El art. 50 dispone: “La información y los datos de prueba que se generen como consecuencia directa o indirecta de la operación de la Plataforma, deberán obtenerse, tratarse y ajustarse a las disposiciones previstas en […] el Código Nacional de Procedimientos Penales”. La interpretación conforme que propondría el Estado diría que todo acceso a datos de particulares con fines de investigación queda sujeto a los arts. 252 y 303 CNPP (autorización del juez de control o ratificación en 48 horas). Para los datos de telecomunicaciones, la reforzaría la doctrina de la Segunda Sala sobre los arts. 189 y 190 LFTR (AR 1311/2015, 30/11/2016; tesis aislada 2a. XXXV/2016 (10a.), reg. 2011994, identificada por fuente secundaria): la entrega de datos conservados exige autorización judicial federal. Evaluación: probable para el acceso dirigido a la investigación de delitos. Incierto para la inteligencia “preventiva” (arts. 5-II y 7), porque el CNPP no rige fuera de una investigación penal. Esa lectura salvaría la norma, pero también fijaría la exigencia de control judicial, lo que sirve a los litigantes. La ficha debe matizar que la ley “no menciona” ningún control: remite al CNPP, pero sin decir cuándo se aplica.
  2. Improcedencia del amparo contra la ley. El plazo para combatir la ley como autoaplicativa venció. La vía heteroaplicativa exige probar un acto de aplicación, lo que la reserva de los arts. 1 y 51 dificulta. Además, la reforma de 2025 a la Ley de Amparo restringe el interés legítimo y la suspensión. Evaluación: probable como obstáculo práctico, no como defensa de fondo.
  3. “El párr. 553 de CAJAR exige autorización sólo para la vigilancia ‘con relación a personas determinadas’.” Es cierto, pero el párr. 551 exige autorización judicial para los requerimientos a “empresas privadas” sin esa limitación, y el art. 30 permite precisamente el “requerimiento oficial” a particulares. Evaluación: improbable.
  4. Precedente interno favorable al hallazgo, que el Estado tendría que distinguir. En la AI 10/2014 (22/03/2018) el Pleno invalidó el párrafo primero del art. 303 CNPP (texto de 2014) porque la geolocalización no estaba acotada “a ciertos delitos taxativamente enumerados en la ley y/o a ciertos supuestos de urgencia” (párrs. 284-285, según el Cuaderno de Jurisprudencia del CEC-SCJN). Los arts. 27, 30 y 39-C LSNIIMSP no contienen ningún catálogo de delitos ni supuestos de urgencia.

Estado actual

No se localizaron AI ni CC contra la LSNIIMSP (búsqueda no exhaustiva; el inventario B registra “no se localizaron [NO VERIFICADO]”). El INAI, que promovió la AI 82/2021, se extinguió (DOF 20/03/2025 y acuerdo de 01/04/2025). El plazo de 30 días naturales para promover una AI contra la ley venció en agosto de 2025. Hallazgo nuevo en cuanto a la confrontación sistemática con la AI 82/2021 y con CAJAR.

Vía procesal posible

Fuentes

Confianza y verificación

This site is open source. Improve this page.