Lo que el newsletter no alcanza a cubrir: el trasfondo legal y qué hacer al respecto

El antecedente legal que casi nadie recuerda: el PANAUT

Esto no es la primera vez que México intenta un registro obligatorio de líneas móviles. En 2021, el Congreso aprobó el Padrón Nacional de Usuarios de Telefonía Móvil (PANAUT), que exigía entregar datos biométricos —huella dactilar, reconocimiento facial— para mantener una línea activa. En abril de 2022, la Suprema Corte de Justicia de la Nación (SCJN) invalidó el PANAUT por unanimidad de 9 votos a favor de la inconstitucionalidad, tras una acción promovida por el INAI. La Corte determinó que exigir datos biométricos era una medida desproporcionada frente al derecho a la privacidad, y que el Congreso nunca hizo una evaluación de impacto en protección de datos personales.

El registro vigente hoy es, legalmente, un instrumento distinto: pide vincular cada línea a una identificación oficial (CURP, INE o pasaporte), no a datos biométricos. Por eso no ha corrido la misma suerte legal que el PANAUT, y por eso circula desinformación en redes sociales que confunde ambos registros como si fueran lo mismo. Son legalmente distintos, aunque persigan un objetivo similar — y esa distinción es, precisamente, la que le ha permitido mantenerse vigente hasta ahora.

Especialistas en protección de datos han señalado, de cualquier forma, que el riesgo de que la información de los usuarios sea vulnerada y usada con fines fraudulentos sigue existiendo con el esquema actual — que es exactamente lo que ya documentamos en el newsletter con los casos de Telcel, Mago Peak y Pamela Cerdeira.

Checklist: qué puede revisar tu empresa esta semana

Esto no está en el newsletter. Son cinco pasos concretos, pensados para el equipo de TI, compras o cumplimiento de una empresa que administra líneas telefónicas corporativas:

1. Inventario de líneas activas: confirma cuántas líneas corporativas tiene tu empresa hoy y bajo qué operador y razón social están registradas — no asumas que el área de TI tiene esto centralizado.
2. Verifica el titular de cada línea: en muchas empresas, las líneas quedan registradas a nombre del colaborador (con su CURP personal) en lugar de la empresa. Si ese colaborador sale de la empresa, la línea y el número pueden quedar en un limbo legal.
3. Pregunta a tu proveedor qué controles de acceso tiene sobre esos datos: no es una pregunta incómoda, es una pregunta legítima de proveeduría — cualquier operador serio debería poder responderla.
4. Define un protocolo de reacción ante una filtración: si tu proveedor reporta un incidente de seguridad de datos (como los ya documentados), ¿tu empresa sabe en cuánto tiempo se entera y qué hace al respecto?
5. No compres líneas «pre-registradas» para uso corporativo: el ahorro de tiempo no compensa el riesgo de que una línea de tu empresa esté legalmente vinculada al CURP de alguien más.