Más allá de la protección de datos: la soberanía digital personal ante la CURP biométrica
La implementación de la CURP biométrica ha abierto uno de los debates más relevantes de los últimos años en materia de derechos fundamentales: ¿hasta dónde puede llegar el Estado en la recopilación, almacenamiento e interconexión de datos sin comprometer la privacidad de las personas?
En este contexto, los órganos jurisdiccionales han comenzado a responder esta interrogante, una reciente tesis del Vigésimo Tribunal Colegiado en Materia Administrativa del Primer Circuito ofrece una aproximación relevante. Al analizar la suspensión concedida contra diversas disposiciones relacionadas con la CURP biométrica, el órgano jurisdiccional sostuvo que la soberanía digital personal constituye un derecho humano emergente indispensable para proteger la privacidad, la seguridad y la integridad de las personas frente a este tipo de monitoreo.
Sin embargo, la relevancia del criterio trasciende el caso concreto. Más que pronunciarse exclusivamente sobre la CURP biométrica, la resolución parece plantear una pregunta de alcance constitucional mucho mayor: ¿son suficientes las categorías tradicionales de privacidad, protección de datos personales y autodeterminación informativa para enfrentar las nuevas formas de vigilancia digital?
El caso: la CURP biométrica como detonador del debate
La controversia tuvo origen en un juicio de amparo promovido contra diversas disposiciones que prevén la incorporación de datos biométricos a la CURP y la creación de una Plataforma Única de Identidad (PUI). La persona quejosa solicitó la suspensión para evitar la recolección, almacenamiento y utilización de sus datos biométricos, al considerar que tales medidas podían afectar sus derechos fundamentales.
El juzgado de distrito concedió la suspensión provisional y la autoridad responsable interpuso recurso de queja. Como resultado del análisis surgió la tesis: SOBERANÍA DIGITAL PERSONAL. ES UN DERECHO HUMANO EMERGENTE INDISPENSABLE PARA SALVAGUARDAR LA PRIVACIDAD, SEGURIDAD E INTEGRIDAD DE LAS PERSONAS ANTE EL MONITOREO BIOMÉTRICO EN UN CAPITALISMO DE VIGILANCIA.
Tanto el juzgado de distrito como el Tribunal Colegiado advirtieron que, al momento de resolver, no existía claridad respecto de los mecanismos de seguridad, control de accesos, trazabilidad, resguardo y protección de la información biométrica que alimentaría la Plataforma Única de Identidad.
Hasta este punto, el asunto podría parecer una controversia más sobre protección de datos personales. No obstante, la discusión tiene alcances más amplios.
¿Realmente existía una afectación inmediata?
Uno de los puntos más relevantes consistía en determinar si la reforma generaba una afectación desde su entrada en vigor o si esta dependería de actos posteriores de ejecución.
La autoridad responsable argumentó que la norma era esencialmente heteroaplicativa, pues los efectos concretos de la CURP biométrica dependerían de actos posteriores de implementación.
No obstante, el Tribunal consideró erróneo el planteamiento. A su juicio, la afectación no deriva únicamente del momento en que se recaban físicamente los datos biométricos, sino de la creación misma de una estructura jurídica y tecnológica destinada a recopilar, transferir, consultar e interconectar información biométrica sensible sin reglas claras y suficientemente definidas sobre su protección.
Esta parte del razonamiento es especialmente relevante porque adopta una lógica preventiva, la decisión parece reconocer que, en materia de biometría, el riesgo constitucionalmente relevante surge desde la creación de la infraestructura normativa que posibilita el tratamiento masivo de datos y no únicamente cuando este se materializa.
De la autodeterminación informativa a la identidad digital
La propuesta del Tribunal debe analizarse a la luz de uno de los desarrollos más relevantes en materia de protección de datos: la autodeterminación informativa.
El origen de este concepto suele ubicarse en la sentencia dictada por el Tribunal Constitucional Federal Alemán en el caso del Censo de Población de 1983 (Volkszählungsurteil). Frente a la creciente capacidad estatal para recopilar y procesar información personal, ese órgano jurisdiccional sostuvo que la libertad individual exige que las personas conserven cierto control sobre los datos que permiten identificarlas.
La premisa era sencilla, pero transformadora: una persona que desconoce qué información se recopila sobre ella, quién la utiliza o para qué se emplea, difícilmente puede ejercer plenamente su libertad, con el tiempo, esa construcción influyó en los sistemas modernos de protección de datos y fue incorporada, con distintos matices, en diversos sistemas jurídicos, incluido el mexicano.
No es casual que la resolución coloque la autodeterminación informativa en el centro de su argumentación, la privacidad no solo protege la intimidad, sino también la facultad de decidir sobre el tratamiento de la información personal y de ejercer derechos de acceso, rectificación, cancelación y oposición. Sin embargo, el criterio plantea que la biometría introduce un desafío distinto.
Mientras la autodeterminación informativa se desarrolló en una época en la que la principal preocupación era el tratamiento de información personal tradicional, hoy los sistemas tecnológicos permiten capturar datos sensibles como huellas dactilares, rasgos faciales, voz, iris y patrones conductuales.
La pregunta que formula el Tribunal es inevitable: ¿siguen siendo suficientes las herramientas jurídicas diseñadas para proteger datos personales cuando lo que se recopila ya no es únicamente información sobre una persona, sino elementos sobre su identidad biológica?
La privacidad ya no parece suficiente
La concepción tradicional de la privacidad fue diseñada para responder a amenazas distintas de las que plantean hoy las tecnologías de identificación biométrica.
Las huellas dactilares, el reconocimiento facial, el iris o los patrones biométricos no son simples datos personales. Se trata de elementos permanentes de la identidad humana que permiten identificar, rastrear y eventualmente, perfilar a una persona de forma continua. Además, a diferencia de otros datos, no pueden modificarse una vez comprometidos; por ello, una filtración puede generar consecuencias duraderas e incluso irreversibles.
Este cambio tecnológico obliga a replantear una premisa que, durante décadas, orientó el desarrollo de la protección de datos personales, la autodeterminación informativa surgió para garantizar que cada individuo conservara cierto control sobre la información que lo identifica. Sin embargo, los sistemas biométricos contemporáneos no solo procesan información sobre una persona, sino componentes de su propia identidad biológica.
La cuestión deja de ser únicamente quién tiene acceso a los datos y con qué finalidad los utiliza, el problema también involucra quién controla las infraestructuras tecnológicas que los almacenan, de qué manera se interconectan las bases de datos, qué mecanismos de supervisión existen y cuáles son los límites frente a las nuevas capacidades de vigilancia digital.
Si la tecnología ha transformado radicalmente las capacidades de identificación, monitoreo y perfilamiento de individuos, resulta razonable cuestionar si los mecanismos jurídicos diseñados para proteger la privacidad deben evolucionar en la misma proporción.
La respuesta del Tribunal: la soberanía digital personal
Frente a este escenario, el Tribunal sostuvo que la soberanía digital personal constituye un derecho humano emergente indispensable para proteger a las personas frente al monitoreo biométrico en un contexto de capitalismo de vigilancia.
La afirmación es relevante porque la resolución no parte de la existencia de una disposición constitucional que reconozca expresamente este derecho, por el contrario, presenta la soberanía digital personal como una categoría jurídica “en construcción”, derivada del principio de progresividad previsto en el artículo 1o. constitucional y orientada a responder a riesgos tecnológicos difíciles de prever cuando se configuraron las garantías tradicionales de privacidad y protección de datos personales.
La soberanía digital personal buscaría atender desafíos para los que la normativa tradicional no fue diseñada, entre ellos: la identificación permanente mediante biometría, la interconexión de bases de datos, el perfilamiento de personas y los sistemas de vigilancia capaces de reconstruir patrones de conducta a partir de información biométrica.
La tesis sostiene que este derecho exigiría, además, mecanismos de supervisión independientes, controles vinculantes de gobernanza tecnológica, evaluaciones previas de impacto, transparencia en el funcionamiento de sistemas biométricos y una exigencia reforzada de proporcionalidad ante cualquier intervención estatal que implique el tratamiento de información sensible.
Desde esta perspectiva, la soberanía digital personal se distinguiría de la autodeterminación informativa tradicional, mientras esta última se enfoca principalmente en la facultad individual de decidir sobre la recolección, el uso o la divulgación de datos personales, la nueva categoría buscaría garantizar un grado mínimo de control sobre los datos biométricos, las infraestructuras tecnológicas que los procesan y las reglas de gobernanza que permiten su circulación y explotación.
Esto implicaría obligaciones concretas para las autoridades: establecer mecanismos robustos de seguridad para proteger la integridad, confidencialidad y la disponibilidad de los datos biométricos; incorporar esquemas de privacidad desde el diseño, contemplar alternativas de almacenamiento descentralizado; permitir auditorías algorítmicas independientes; establecer remedios efectivos frente a filtraciones; y garantizar que la identidad biológica y conductual de las personas no sea objeto de control o comercialización indiscriminados.
Más allá de que se comparta o no esta construcción, resulta difícil ignorar que se está formulando una pregunta constitucional de fondo: si la autodeterminación informativa fue la respuesta jurídica frente a los desafíos de la sociedad de la información, ¿qué herramienta debe ofrecerse frente a una realidad en la que los datos biométricos permiten identificar, rastrear y perfilar a una persona de manera permanente?
Una propuesta construida desde el constitucionalismo de derechos humanos
Desde esta perspectiva, quizá el aspecto más sólido de la resolución no sea la expresión “soberanía digital personal”, sino el andamiaje jurídico empleado para construirla.
Si bien no existe una disposición constitucional que reconozca expresamente este derecho, es posible articularlo a partir de principios y garantías ya consagrados, como la privacidad, la autodeterminación informativa y el principio de progresividad previsto en el artículo 1o. constitucional.
Esta construcción responde a una pregunta fundamental: ¿cómo deben adaptarse los derechos fundamentales cuando cambian las formas en que pueden ser vulnerados? Después de todo, la privacidad que originalmente protegía el domicilio, la correspondencia o la esfera íntima de las personas, evolucionó para incorporar la protección de datos personales y la autodeterminación informativa.
Desde esta lógica evolutiva, la soberanía digital personal podría interpretarse no como un derecho completamente nuevo, sino como una manifestación contemporánea de la protección de la autonomía individual frente a nuevas capacidades de vigilancia y tratamiento de información.
Los estándares internacionales ya apuntaban en esa dirección
En ese sentido, instrumentos como la Convención Americana sobre Derechos Humanos, el Pacto Internacional de Derechos Civiles y Políticos, la Declaración Universal de Derechos Humanos y el Reglamento General de Protección de Datos de la Unión Europea (GDPR) aportan elementos relevantes para desarrollar el contenido del derecho a la privacidad.
En los últimos años, los debates internacionales sobre identidad digital, gobernanza de datos, privacidad por diseño, reconocimiento biométrico y supervisión algorítmica han buscado responder a desafíos similares.
Sin embargo, existe una diferencia importante, mientras gran parte de la discusión desarrollada en Europa se ha concentrado en conceptos como soberanía tecnológica, el dominio sobre los datos o autonomía estratégica digital de los Estados, este criterio desplaza el foco hacia la persona. La cuestión ya no consiste únicamente en determinar quién controla las infraestructuras tecnológicas o los flujos de datos, sino quién decide sobre la identidad digital cuando esta puede reconstruirse a partir de información biométrica interoperable.
El puente con el precedente PANAUT
Probablemente el antecedente nacional más importante para comprender esta decisión sea la Acción de Inconstitucionalidad 82/2021, relativa al Padrón Nacional de Usuarios de Telefonía Móvil (PANAUT).
En aquel asunto, la Suprema Corte de Justicia de la Nación (SCJN) advirtió que la recopilación masiva de datos biométricos podía permitir la elaboración de perfiles detallados de las personas, generar una sensación de vigilancia permanente y provocar afectaciones intensas a la privacidad derivadas de la concentración y conservación de información sensible.
Desde esta perspectiva, la SCJN ya ha abordado las preocupaciones asociadas a la recopilación masiva de datos biométricos, con énfasis en la intensidad de la afectación a la privacidad y a la protección de datos personales, sin embargo, parece necesario dar un paso adicional y formular una categoría conceptual que explique por qué tales riesgos adquieren una dimensión distinta cuando los datos biométricos son interoperables, pueden ser consultados por múltiples autoridades y se integran en ecosistemas tecnológicos cada vez más complejos.
En otras palabras, la sentencia parece funcionar como un puente entre el precedente PANAUT y una futura discusión sobre identidad digital, biometría y vigilancia algorítmica.
Una construcción innovadora pero también debatible
Como ocurre con toda construcción jurisprudencial novedosa, la tesis deja abiertas diversas interrogantes.
La primera consiste en determinar si realmente se está ante un nuevo derecho o si, más bien, se trata de una manifestación distinta de garantías ya reconocidas, como la privacidad y la protección de datos personales.
No debe perderse de vista que parte de las obligaciones atribuidas a la soberanía digital personal ya encuentran respaldo en el derecho a la protección de datos personales; en los principios de proporcionalidad, finalidad, necesidad, transparencia y seguridad; y en los estándares internacionales sobre tratamiento de datos sensibles. Por ello, resulta viable considerarla una vertiente o manifestación reforzada de ese derecho.
La segunda interrogante se relaciona con los alcances prácticos: ¿se trata únicamente de una herramienta interpretativa? ¿Podría emplearse para analizar sistemas de reconocimiento facial, inteligencia artificial, vigilancia masiva o tecnologías predictivas?
La sentencia no ofrece todavía respuestas definitivas, no obstante, la sola formulación de esta interrogante resulta significativa, pues introduce al debate constitucional mexicano preguntas que hasta hace poco permanecían principalmente en la literatura especializada sobre tecnología, protección de datos y gobernanza digital.
La relevancia de la tesis radica en que no se limita a la discusión sobre la CURP biométrica, su planteamiento central consiste en determinar si la protección jurídica debe continuar circunscrita al control de información personal o si debe evolucionar hacia la tutela de una realidad más amplia: la identidad digital construida a partir de datos biométricos, sistemas interoperables, inteligencia artificial y tecnologías capaces de identificar, rastrear y perfilar individuos en tiempo real.
Tal vez la soberanía digital personal no constituya un derecho plenamente definido y deba entenderse como una manifestación de distintas garantías fundamentales, no obstante, sí es claro que la autodeterminación informativa, surgida para responder a los desafíos de la sociedad de la información, podría requerir una nueva etapa evolutiva para enfrentar los retos de la sociedad de la biometría.
Si la privacidad fue la respuesta jurídica del siglo XX frente a las intromisiones en la esfera personal, y la autodeterminación informativa respondió al tratamiento masivo de datos, la tesis deja abierta una pregunta decisiva: ¿cuál debe ser la respuesta constitucional frente a una época en la que la identidad misma puede convertirse en objeto de monitoreo permanente?
