ACCIÓN DE INCONSTITUCIONALIDAD 82/2021 Y SU ACUMULADA 86/2021. INSTITUTO NACIONAL DE TRANSPARENCIA, ACCESO A LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES Y DIVERSOS SENADORES INTEGRANTES DE LA LXIV LEGISLATURA. 26 DE ABRIL DE 2022. PONENTE: NORMA

305. En efecto, se ha explicado que la idoneidad de la medida implica reconocer la conexión que en términos de utilidad existe entre la opción adoptada y el fin perseguido. En ese sentido, debe recordarse que el fin legítimo que persigue el PANAUT es colaborar con las autoridades de justicia en relación con la comisión de un delito, especialmente cuando se realiza mediante telefonía celular. 306. Si esta es la finalidad, ¿podría afirmarse que la creación del PANAUT es más idónea que la intervención de comunicaciones para poder satisfacerla? la realidad es que no, puesto que ambas herramientas son susceptibles de proporcionar información sumamente valiosa para la investigación, persecución y sanción de este tipo de delitos.

307. Pero aun concediendo que con la creación del PANAUT se permita identificar con mayor facilidad a los posibles responsables de la comisión de estos delitos, ello no conduce a sostener que la medida por tanto es más idónea para colaborar con las autoridades de justicia en relación con la comisión de un delito, pues la identificación de los posibles implicados constituye sólo uno de los elementos de aquello que debe investigarse a fin de poder fincar las responsabilidades y establecer las sanciones penales correspondientes, por tanto, contar con esta información no implica por sí mismo que el combate a la delincuencia va a ser más efectivo.

308. En consecuencia, este Tribunal Pleno considera que ambas medidas –intervención de comunicaciones y PANAUT– son igualmente idóneas para colaborar con las autoridades de justicia en relación con la comisión de un delito, pues ambos mecanismos son susceptibles de proporcionar a las autoridades de seguridad y procuración de justicia información útil a fin de investigar las conductas, identificar a los responsables e imponer las sanciones respectivas.

309. No obstante, a pesar de que existe una equivalencia en términos de utilidad entre ambas medidas, debe reconocerse que, en su conjunto, la intervención de comunicaciones privadas resulta una medida menos restrictiva de los derechos a la privacidad y protección de datos personales de lo que resulta la creación y regulación del PANAUT.

310. Esto porque, si bien intervenir las comunicaciones privadas de los particulares representa en sí mismo una afectación fuerte en el derecho a la privacidad, lo cierto es que la figura se encuentra revestida de una serie de garantías y salvaguardas que permiten advertir que, en su conjunto, someten a estos derechos a un nivel más bajo de afectación de aquella que produce el PANAUT.

311. En primer lugar, porque el acceso del Estado a esta información no es generalizado, es decir, no se permite que las autoridades competentes puedan acceder de manera irrestricta a todos los procesos de comunicación que se lleven a cabo a través del uso de telefonía móvil. Por el contrario, de los artículos 292 y 293 del Código Nacional de Procedimientos Penales se puede apreciar que el acceso a dicha información es limitado.

312. Tanto en la solicitud de intervención de comunicaciones como en la autorización que en su caso otorgue el Juez, debe precisarse: i) la persona o personas que serán sujetas a la medida; ii) la identificación del lugar o lugares donde se realizará; iii) si fuere posible, el tipo de comunicación intervenida; iv) su duración; v) el proceso que se llevará a cabo; vi) las líneas, número o aparatos que serán intervenidos y; en su caso, vii) la denominación de la empresa concesionada del servicio de telecomunicaciones a través del cual se realizará la comunicación objeto de intervención.

313. Esto quiere decir que la intervención de las comunicaciones privadas está circunscrita a un caso en particular, a una persona o personas en concreto, o a un equipo o línea en específico, por lo que no puede abarcar a todos los usuarios de telefonía móvil ni a todos los procesos de comunicación, lo que evita que se instaure un sistema de vigilancia generalizado que, como correctamente lo afirman los accionantes, iría en contra de las bases de una sociedad democrática.

314. Sobre este punto en específico debe advertirse que los Principios del CJI, concretamente el principio tres referido a la pertinencia y necesidad, establece lo siguiente:

"Los datos personales deberían ser únicamente los que resulten adecuados, pertinentes y limitados al mínimo necesario para las finalidades específicas de su recopilación y tratamiento ulterior."

315. Al respecto, señala el referido Comité que la pertinencia y la necesidad son principios cruciales de la protección de datos y la privacidad personal. Desde luego, sus requisitos deben evaluarse en relación con el contexto específico en el cual se recopilen y ulteriormente traten los datos. Las consideraciones contextuales incluyen qué datos particulares se recopilan y con qué finalidades.

316. Respecto de la pertinencia, el Comité refiere que este requisito significa que los datos personales requeridos deben guardar una relación razonable con la finalidad para la cual hayan sido recopilados y se tenga la intención de usarlos.

317. Por su parte, explica que la necesidad tiene una doble dimensión. En primer lugar, impone que los datos personales sean tratados solamente de una forma acorde con las finalidades expresas de su recopilación, por ejemplo, cuando sean necesarios para proporcionar el servicio o el producto solicitado por la persona. Pero, además, implica que los recopiladores y encargados de datos deben seguir un criterio de "limitación" o "minimización", de acuerdo con el cual deben hacer un esfuerzo razonable para cerciorarse de que los datos personales que manejen correspondan al mínimo necesario para la consecución de la finalidad expresa.

318. Sobre este punto son coincidentes los Estándares Iberoamericanos, pues el principio 18, denominado principio de proporcionalidad, establece que: "El responsable tratará únicamente los datos personales que resulten adecuados, pertinentes y limitados al mínimo necesario con relación a las finalidades que justifican su tratamiento."

319. Estos estándares se encuentran incorporados en nuestro derecho interno por la Ley General de Protección de Datos en Posesión de Sujetos Obligados, pues su artículo 16, establece que el responsable deberá observar los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad en el tratamiento de datos personales.(105) Por su parte, el artículo 25 establece que dicho responsable sólo deberá tratar los datos personales que resulten adecuados, relevantes y estrictamente necesarios para la finalidad que justifica su tratamiento.(106) Finalmente, el ya referido artículo 80 establece que la obtención y tratamiento de datos personales por parte de los sujetos obligados competentes en instancias de seguridad, procuración y administración de justicia, está limitada a aquellos supuestos y categorías de datos que resulten necesarios y proporcionales para el ejercicio de las funciones en materia de seguridad nacional, seguridad pública, o para la prevención o persecución de los delitos.(107)

320. En contraposición a estos estándares, el sistema normativo que crea y regula el PANAUT impone la recopilación generalizada de información privada y de datos personales, pues la obligación de entregar esta información recae sobre todas aquellas personas físicas o morales que sean titulares de una línea de telefonía móvil.

321. El riesgo de la medida se impone por sí mismo, pues como se explicó, hoy en día la tenencia y el uso de un celular es una práctica muy extendida que tiene una importancia creciente en la vida cotidiana de las personas. Tan es así, que conforme al Banco de Información de Telecomunicaciones (BIT)(108) emitido por el Instituto Federal de Telecomunicaciones, al primer trimestre de dos mil veintiuno, el número de líneas telefónicas móviles existentes era de 123´377,078 [ciento veintitrés millones trescientos setenta y siete (sic) setenta y ocho], lo que implica que hasta el año pasado existían noventa y ocho líneas por cada cien habitantes.

322. En consecuencia, dada la densidad de líneas de telefonía móvil que hoy en día existe, debe advertirse que el Estado a partir de la creación y regulación del PANAUT, podrá recopilar, administrar, conservar por tiempo indefinido y tener acceso a la información básica privada y más íntima de casi de toda la población del país.

323. Sobre este punto, debe resaltarse que la generalización de la medida a tal escala conlleva que la entrega de los datos personales e íntimos de los usuarios de telefonía móvil al Estado, así como su acceso y disponibilidad, no presupone una relación entre dichos datos y una amenaza para la seguridad pública vinculada con la comisión de un delito, pues a pesar de que las personas no se encuentren ni siquiera indirectamente en una situación que pueda dar lugar a acciones penales, de todas maneras deberá entregar su información al Estado.

324. La medida aplica por igual a personas respecto de las que no existen indicios que sugieran que su comportamiento pueda guardar relación, incluso indirecta o remota, con delitos. No se prevé algún tipo de excepción, abarca a cualquier tipo de usuarios sin distinción, incluyendo por ejemplo a menores de edad, como correctamente lo afirman los accionantes.

325. De estos aspectos, es posible concluir que el legislador optó por establecer una medida global y estandarizada, que implica recabar de forma indistinta la información privada e íntima prácticamente toda la población del país y entregársela al Estado, con independencia de que las personas o la información esté relacionada, directa o indirectamente con los hechos delictivos.

326. Para este Tribunal Pleno, este criterio de recopilación y acceso es contrario a los estándares previamente expuestos, pues el principio de necesidad de la información obliga a reconocer que la conservación y al acceso a la información privada y datos personales debe responder a criterios objetivos que permitan advertir una relación entre los datos que sean objeto de tratamiento y el objetivo que se pretende lograr. La recopilación y el acceso a los datos debe responder efectiva y estrictamente a la satisfacción de tales objetivos. En particular, estos criterios deben permitir que pueda delimitarse en la práctica de modo efectivo el alcance de la medida y, en consecuencia, el público afectado.(109)

327. En consecuencia, una recopilación que incluya a todos los usuarios de telefonía móvil y cuya entrega se realiza directamente al Estado con independencia de que exista una relación, al menos indirecta, con el fin perseguido, no puede considerarse limitada a lo estrictamente necesario. Por el contrario, este requisito de necesidad, en atención al fin legítimo previamente identificado, estaría vinculado con los datos de personas de las que se encuentren relacionadas con la posible comisión de un delito.

328. En contraposición, la intervención de comunicaciones, como quedó expuesto, está circunscrita a casos particulares, a una persona o personas en concreto, o a equipos o líneas en específico y sobre todo, a la existencia de razones y motivos que relacionen a dichas personas o equipos con las conductas que se investigan, por tanto, no implica la intervención de todas las comunicaciones, ni incluye todos los usuarios de telefonía móvil, lo que evita que se instaure un sistema de vigilancia generalizado.

329. De ahí que resulte medianamente clara la diferencia que sobre este punto existe en el grado de afectación a los derechos de privacidad y protección de datos personales entre un mecanismo y otro.

330. Otro aspecto que debe resaltarse sobre la intervención de las comunicaciones privadas es que la injerencia que provoca en estos derechos está sujeta a un control judicial, pues por mandato expreso de la Constitución General y del Código Nacional de Procedimientos Penales, la intervención de comunicaciones debe ser necesariamente autorizada y supervisada por un Juez, lo que de entrada imprime una importante salvaguarda para estos derechos.

331. En contraposición, de la regulación del PANAUT no se advierte que el acceso del Estado a la información privada y los datos personales de los usuarios de telefonía móvil esté sujeto a un control judicial.(110)

332. Por el contrario, de las normas que integran el Decreto impugnado se puede apreciar que toda la información que integre el PANAUT va a ser entregada por mandato legal al Estado, a través del Instituto Federal de Telecomunicaciones, pues de conformidad con los artículos 15, fracción XLII Bis, 180 Quintes y 180 Sextus de la Ley Federal de Telecomunicaciones y Radiodifusión, los concesionarios de telecomunicaciones y, en su caso, los autorizados, deberán recabar la información de los usuarios de telefonía móvil para después ingresarla al Padrón Nacional de Usuarios de Telefonía Móvil, el cual será instalado, operado, mantenido y validado por el Instituto Federal de Telecomunicaciones.

333. Esto significa que todos los datos e información que integran el PANAUT estará en manos del Estado de manera automática por efecto de las normas que se combaten, de tal suerte que para otorgar dicho acceso no se requerirá de orden judicial o mecanismo jurídico adicional. En otras palabras, por mandato de ley el Estado es el poseedor, administrador y operador de toda esta información privada, datos personales y datos sensibles entregados por todos los usuarios de telefonía móvil, lo que nuevamente imprime un fuerte riesgo a la privacidad e intimidad de las personas.

334. Contrario a esta situación y a fin de establecer salvaguardas suficientes que garanticen que la limitación al derecho a la privacidad y el acceso a los datos personales sea el estrictamente indispensable y necesario en estos supuestos de investigación y persecución de delitos, es que este Tribunal Pleno estima necesario establecer que dicho acceso por un lado, debe estar condicionado a criterios objetivos que permitan definir las circunstancias y los requisitos conforme a los cuales pueda otorgarse y además, salvo en casos de urgencia debidamente justificados, dicho acceso debe estar sujeto a un control previo de un órgano jurisdiccional.

335. En esa tesitura, el hecho de que todos los usuarios de telefonía móvil deban entregar su información privada y datos personales directamente al Estado, tal y como lo establece el Decreto impugnado, resulta claramente incompatible con este parámetro.(111)

336. No pasa inadvertido que el artículo 180 Septimus, último párrafo, de la Ley Federal de Telecomunicaciones establece que las autoridades de seguridad, procuración y administración de justicia que cuenten con la facultad expresa para requerir los datos del PANAUT podrán tener acceso a esta información.

337. Sin embargo, debe reiterarse que esta previsión no regula el acceso del Estado a la información que integra el PANAUT, pues como ha quedado expuesto, dicho acceso ya lo tiene por mandato legal al ser el poseedor, administrador y operador de la misma, de tal suerte que lo único que regula este precepto es la transferencia de la información de un órgano del Estado a otro, concretamente del Instituto Federal de Telecomunicaciones a las autoridades de procuración y de administración de justicia.

338. Sobre este punto cabe destacar que dicha transferencia tampoco se sujeta a un control judicial previo, de hecho, el Decreto combatido ni siquiera precisa qué autoridades, en qué supuestos o bajo qué circunstancias o con arreglo a qué requisitos el Instituto Federal de Telecomunicaciones deberá otorgar el acceso a esta información a las autoridades de investigación y procuración de justicia, ni tampoco si en determinados supuestos y en cuáles, podrá negarse a dicha solicitud, aspectos que en opinión de este Tribunal Pleno, era necesario que estuvieran contemplados en una ley y no en disposiciones administrativas.(112)

339. Nuevamente, derivado de este aspecto relativo al control previo, debe concluirse que el riesgo que genera el PANAUT en los derechos a la privacidad y protección de datos personales de los usuarios de telefonía móvil es mayor de aquel que plantea la intervención de comunicaciones privadas.

340. Otro elemento que resulta de la mayor relevancia para efectos de este estudio comparativo es que la intervención de las comunicaciones privadas es temporal. En efecto, el artículo 292 del Código Nacional de Procedimientos establece que el plazo de la intervención incluyendo prórrogas, no podrá exceder de seis meses, por lo que trascurrido dicho plazo sólo podrán autorizarse nuevas intervenciones cuando el Ministerio Público acredite nuevos elementos que así lo justifiquen. Por su parte, el artículo 300 de dicha legislación penal establece entre otras cosas, que los registros de las intervenciones serán destruidos una vez que se decrete el archivo definitivo, el sobreseimiento o la absolución del imputado.

341. A diferencia de lo anterior, de los diversos preceptos que integran el Decreto que crea y regula el PANAUT no se advierte la existencia de alguna previsión legal que sujete a alguna temporalidad la conservación de la información privada y datos personales de los usuarios de telefonía móvil, lo que permite inferir que la afectación a estos derechos tiene una condición permanente.

342. Sobre este punto, conviene referir nuevamente a los Principios del CJI, pues el principio cuarto que habla del tratamiento y conservación limitados, establece lo siguiente:

"Los datos personales deberían ser tratados y conservados solamente de manera legítima no incompatible con las finalidades para las cuales se recopilaron. Su conservación no debería exceder del tiempo necesario para cumplir dichas finalidades, de conformidad con la legislación nacional correspondiente."