AMPARO DIRECTO EN REVISIÓN 6061/2022

1. La primera cuestión constitucional que debe resolver esta Suprema Corte consiste en determinar si el artículo 3º, fracción V, de ese ordenamiento brinda seguridad jurídica al considerar que por Dato Personal debe entenderse cualquier información concerniente a una persona física identificada o identificable, o debió incluir un catálogo cerrado donde señalara precisamente qué información debe ser considerada con tal carácter.
2. Esta pregunta debe responderse en el sentido de que la definición contenida en esa norma es respetuosa del texto constitucional, brinda seguridad jurídica al régimen concerniente y, correlativamente, brinda un marco idóneo de protección del derecho a la protección de datos personales, conforme a las siguientes consideraciones.
3. Atendiendo el planteamiento de la parte quejosa y recurrente, se tiene que el artículo 16 constitucional señala que: “Nadie puede ser molestado en su persona, familia, domicilio, papeles o posesiones, sino en virtud de mandamiento escrito de la autoridad competente, que funde y motive la causa legal del procedimiento”, lo que implica el derecho de seguridad jurídica que, tratándose de normas de carácter general, ha sido explicado por esta Segunda Sala a través de la jurisprudencia 2a./J. 144/2006, de rubro: “GARANTÍA DE SEGURIDAD JURÍDICA. SUS ALCANCES ” .
4. El derecho en comento exige que las normas deben contener los lineamientos y elementos suficientes que permitan materializar el supuesto jurídico que prevean , con la finalidad de que la autoridad no incurra en arbitrariedades precisamente por la falta de parámetros mínimos que regulen su obligación frente a las prerrogativas de los particulares; empero, esa situación no implica que el legislador esté obligado a hacer una referencia expresa y pormenorizada de cada eventual situación que pudiera acontecer, sino que basta que establezca de manera genérica y sencilla la forma de proceder, normando la actuación de las autoridades.
5. Bajo ese marco de referencia es que habrá de revisarse si la definición legal es respetuosa del orden constitucional.
6. En primer lugar es indispensable hacer patente que la expresión datos personales es un concepto de orden constitucional , tal y como puede advertirse de las dos porciones normativas que en nuestro texto fundamental hacen referencia a tal prerrogativa.
7. La fracción II, del apartado A, del artículo 6, de la Constitución Política de los Estados Unidos Mexicanos, dispone que “ la información que se refiere a la vida privada y los datos personales será protegida en los términos y con las excepciones que fijen las leyes ” ; mientras que el segundo párrafo del artículo 16 constitucional expresa que “ Toda persona tiene derecho a la protección de sus datos personales , al acceso, rectificación y cancelación de los mismos, así como a manifestar su oposición, en los términos que fije la ley, la cual establecerá los supuestos de excepción a los principios que rijan el tratamiento de datos, por razones de seguridad nacional, disposiciones de orden público, seguridad y salud públicas o para proteger los derechos de terceros”.
8. Conforme al proceso legislativo de la adición del segundo párrafo del artículo 16 recién citado (publicada el primero de junio de dos mil nueve en el Diario Oficial de la Federación), el deber del Estado frente al derecho de los gobernados a decidir qué aspectos de su vida deben o no ser conocidos o reservados por el resto de los individuos que integran la sociedad, conlleva la obligación de dejarlos exentos e inmunes a invasiones agresivas o arbitrarias por parte de terceros o de la autoridad pública.
9. En ese mismo proceso legislativo, se hizo patente la necesidad de reforzar el ámbito de protección ante el actual efecto multiplicador de los medios de comunicación digitales de Internet y las redes sociales, a través de los cuales se facilita la difusión y durabilidad de su contenido, al permanecer de manera indefinida en los medios electrónicos en los que se publican, sin restricción territorial alguna; constituyéndose así en una constante invasión positiva o negativa, según el caso, a los derechos inherentes al ser humano, vinculados con el mencionado, como son la intimidad, el honor, la reputación, la vida privada y, consecuentemente, la dignidad humana.
10. El conjunto de éstas prerrogativas configuran el derecho a la protección de los datos personales, como un medio de salvaguarda de otros derechos fundamentales previstos en la propia Constitución Federal y en los tratados internacionales de los que México es parte, conforme a los cuales, el Estado tiene la obligación de garantizar y proteger el derecho de todo individuo a no ser interferido o molestado por terceros o por una autoridad, en ningún aspecto de su persona –vida privada–, entre los que se encuentra el relativo a la forma en que se ve a sí mismo y cómo se proyecta a los demás –honor–, así como de aquellos que corresponden a los extremos más personales de la vida y del entorno familiar –intimidad–, o que permiten el desarrollo integral de su personalidad –dignidad humana–.
11. Ahora bien, a partir de ese régimen constitucional, se desencadenó que el Congreso de la Unión emitiera la Ley Federal de Protección de Datos Personales en Posesión de los Particulares , la cual se publicó el cinco de julio de dos mil diez y entró en vigor al día siguiente. En este ordenamiento, se estableció que dato personal es “cualquier información concerniente a una persona física identificada o identificable” que es justamente la porción que la parte quejosa y recurrente considera que es en exceso amplia y no proporciona la claridad suficiente para que en cada caso se pueda decidir válidamente si determinada información es dato personal o no.
12. Sin embargo, contrario al planteamiento del recurso de revisión, esa definición es congruente con el parámetro constitucional, pues permite realizar una efectiva protección del derecho fundamental de protección de datos personales , la cual es justamente la vocación de esa disposición, pues permite a la autoridad analizar, sin límite en relación con la naturaleza de la información, si ello puede conducir a individualizar a una persona y con ello trascender a su esfera de privacidad e intimidad.
13. Esta puntualización es tan constitucionalmente relevante, que exige revisar el estándar del apuntado derecho humano, su naturaleza y alcances, lo cual será útil para explicar que los componentes de la definición tienen una razón de ser concreta, la cual brindan elementos de seguridad jurídica, especialmente para los responsables que pueden ser sancionados con motivo de alguna infracción al correcto manejo de los datos personales.
14. Las normas constitucionales previamente citadas tiene como finalidad reconocer el derecho de protección de datos personales con relación al acceso y uso que se da a la información personal, tanto por entes públicos como privados, a efecto de que las personas tengan el poder de disposición y control sobre sus datos personales. Esa salvaguarda derivó en los derechos ARCO (acceso, rectificación cancelación y oposición) y precisamente la referencia a la protección en los términos que fije la ley, a que hace referencia el artículo constitucional antes reproducido, es el reconocimiento para que el legislador establezca los lineamientos idóneos para esos efectos.
15. En lo que aquí interesa, en las porciones constitucionales citadas se encuentra previsto lo propio del derecho a la protección de los datos personales (que como se vio líneas atrás se configura a través de la unión de los derechos a la vida privada, intimidad, honor y reputación), mientras que desde el ámbito internacional, esas prerrogativas se encuentran protegidas en diversas declaraciones y tratados de derechos humanos, tales como la Declaración Universal de los Derechos Humanos (artículo 12) , el Pacto Internacional de Derechos Civiles y Políticos (artículo 17) , la Convención Americana sobre Derechos Humanos (artículo 11) , la Convención sobre los Derechos del Niño (artículo 16) y el Convenio 108 del Consejo de Europa para la Protección de las Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal (en adelante “el Convenio 108”, artículo 1) .
16. Estos instrumentos son coincidentes en la delimitación de la noción de “lo privado” , al establecer que las personas tienen derecho a gozar de un ámbito de proyección de su existencia que debe quedar reservado de la invasión y la mirada de los demás, que les concierne sólo a ellos y les provee de condiciones adecuadas para el despliegue de su individualidad y el desarrollo de su autonomía y su libertad .
17. La Corte Interamericana de Derechos Humanos ha establecido que la vida privada es un concepto amplio que no es susceptible de definiciones exhaustivas, sino que se trata de un ámbito de protección que comprende, entre otros aspectos, la vida sexual, el derecho a establecer y desarrollar relaciones con otros seres humanos, incluyendo la forma en que el individuo se ve a sí mismo, y lo que decide proyectar a los demás .
18. Ese órgano ha señalado que el ámbito de la privacidad se caracteriza por quedar exento e inmune a las invasiones o agresiones abusivas o arbitrarias por parte de terceros o de la autoridad pública , que comprende entre otras dimensiones, la facultad de tomar libremente decisiones relacionadas con diversas áreas de la propia vida, tener un espacio de tranquilidad personal, mantener reservados ciertos aspectos de la vida privada y controlar la difusión de la información personal hacia el público.
19. Ha puntualizado que el artículo 11.2 de la Convención Americana protege al individuo frente a la posible interferencia arbitraria o abusiva del Estado. Sin embargo, eso no significa que el Estado cumpla sus obligaciones convencionales con el solo hecho de abstenerse de realizar tales conductas. Además, el artículo 11.3 de la Convención impone a los Estados el deber de brindar la protección de la ley contra cualquier injerencia, en consecuencia, tiene la obligación de garantizar el derecho a la vida privada mediante acciones positivas, lo cual puede implicar, en ciertos casos, la adopción de medidas dirigidas a asegurar dicho derecho protegiéndolo de las interferencias de las autoridades públicas, así como también de las personas o instituciones privadas .
20. En concordancia con el tribunal interamericano, este Tribunal Pleno ha establecido respecto “de lo privado”, que sus rasgos característicos se refieren a aquello que no atañe a la vida pública, sino al ámbito reservado frente a la acción y al conocimiento de los demás, lo que se desea compartir con aquellos que uno elige, las actividades de las personas en la esfera particular relacionadas con el hogar y la familia, así como los actos que las personas no desempeñan con el carácter de servidores públicos .
21. En consecuencia, ha reconocido que el derecho a la privacidad constituye una expresión de la dimensión externa del derecho al libre desarrollo de la personalidad, la cual protege esta “esfera de privacidad” del individuo en contra de las incursiones externas que limitan la capacidad para tomar ciertas decisiones a través de las cuales se ejerce la autonomía personal .
22. Se apela al derecho de las personas a mantener fuera del conocimiento de los demás ciertas manifestaciones o dimensiones de su existencia, así como al correspondiente derecho a que los demás no las invadan sin su consentimiento. Inclusive se ha precisado que esta protección no se limita a un espacio físico, sino que se extiende como un impedimento para cualquier interferencia o molestia que pudiera efectuarse, por cualquier medio , en un ámbito reservado de la vida personal .
23. Dentro de este ámbito general de protección del derecho a la privacidad, se ha identificado el denominado derecho a la intimidad, el cual se encuentra integrado con los extremos más personales de la vida y del entorno familiar de una persona. Así, el concepto de vida privada comprende a la intimidad como núcleo protegido con mayor celo y fuerza porque se entiende como esencial en la configuración de la persona, esto es, la vida privada es lo genéricamente reservado y la intimidad lo radicalmente vedado .
24. Por ejemplo, se ha expresado que la información atinente al origen étnico o nacional, el género, la edad, las discapacidades, la condición social, las condiciones de salud, la religión, las opiniones, las preferencias sexuales, el estado civil o cualquier otra que atente contra la dignidad humana constituyen datos sensibles, en tanto pueden afectar la esfera más íntima de su titular, pues su utilización indebida puede dar origen a discriminación o implicar un riesgo para la persona, por lo que cuentan con una protección especial .
25. Ahora bien, es importante señalar que en las sociedades modernas, la posesión de datos personales representa una posible agresión a la intimidad, lo cual tiene una relevancia pública enorme, ya que el derecho a la intimidad, además de tener un aspecto de protección de bienes individuales, tiene una importante función para el desarrollo de sociedades democráticas porque, bien entendido, constituye una condición necesaria para el ejercicio del resto de los derechos humanos.
26. En efecto, se ha reconocido que actualmente nos desarrollamos en un contexto en el que las tecnologías de las comunicaciones globales y las prácticas mediáticas plantean serios y crecientes desafíos para las nociones fundamentales tales como privacidad, protección de datos y reputación, así como para la necesidad crucial de proteger y promover la libertad de expresión y de prensa y el libre flujo de información transfronteriza .
27. La creciente sofisticación de la tecnología de la información digital permite a las entidades privadas, así como a los gobiernos, la posibilidad de recabar, analizar y diseminar mayor cantidad de información personal más rápido que nunca. Por otro lado, los nuevos avances en las áreas de investigación, de cuidado médico, telecomunicaciones, sistemas de transporte avanzados y transferencias financieras han incrementado de manera dramática el nivel de información generado por cada individuo, lo que exige el despliegue de acciones y medidas por parte de los Estados a fin de proteger de manera efectiva a las personas .
28. Ante tal contexto, un aspecto primordial en el entendimiento de estos derechos es que han dejado de constituir solamente un mecanismo de defensa de un espacio exclusivo y excluyente, para convertirse también en un derecho activo de control sobre la información personal, y del uso que se le dé, la denominada autodeterminación informativa .
29. Es precisamente en este ámbito donde se inserta la protección de los datos personales como una expresión de la autodeterminación informativa , referida a la facultad de cada persona para decidir libremente sobre el uso y destino de sus datos, teniendo en todo momento derecho a acceder, rectificar, cancelar y oponerse legítimamente a su tratamiento .
30. Sobre esta materia, resultan orientadores los Principios Actualizados sobre la Privacidad y la Protección de los Datos Personales adoptados por el Comité Jurídico Interamericano , los cuales tienen por objeto el contribuir en los países americanos al desarrollo de un marco vigente para salvaguardar los derechos de la persona a la protección de sus datos personales y a la autodeterminación informativa.
31. El objetivo de estos principios es proteger a las personas de la recopilación, el uso, la retención y la divulgación ilícita o innecesaria de datos personales, proporcionando los elementos básicos de una protección efectiva, desplegando su ámbito de aplicación sobre aquellos datos recopilados o administrados por entidades públicas o privadas existentes en cualquier soporte físico o digital.
32. Igualmente, resultan útiles los “Estándares de Protección de Datos Personales para los Estados Iberoamericanos” , aprobados por unanimidad en el XV Encuentro Iberoamericano de Protección de Datos, celebrado el veinte de junio de dos mil diecisiete, en Santiago de Chile (en adelante “Los Estándares Iberoamericanos”) .
33. En ellos se contiene un conjunto de directrices orientadoras que pretenden garantizar el ejercicio y tutela efectivos del derecho a la protección de datos personales, así como facilitar el flujo de estos datos a fin de coadyuvar con el crecimiento económico y social de la región, proporcionando un conjunto de principios y derechos comunes que los Estados miembros puedan adoptar y desarrollar en sus legislaciones nacionales logrando contar con reglas homogéneas en la región.
34. Finalmente, en el artículo 1º del ya citado Convenio 108 para la Protección de las Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal, encontramos que su fin es garantizar en el territorio de cada Parte, a cualquier persona física sean cuales fueren su nacionalidad o su residencia, el respeto de sus derechos y libertades fundamentales, concretamente su derecho a la vida privada, con respecto al tratamiento automatizado de los datos de carácter personal correspondientes a dicha persona («protección de datos»).
35. Ahora bien, estos instrumentos internacionales son coincidentes en definir los datos personales como la información que identifica o puede usarse de manera razonable para identificar a una persona física de forma directa o indirecta , especialmente por referencia a un número de identificación, datos de localización, un identificador en línea o a uno o más factores referidos específicamente a su identidad física, fisiológica, genética, mental, económica, cultural o social. Incluye información expresada en forma numérica, alfabética, gráfica, fotográfica, alfanumérica, acústica, electrónica, visual o de cualquier otro tipo.
36. Igualmente, identifican los datos personales sensibles como esta categoría más estrecha que abarca los datos que afectan los aspectos más íntimos de las personas. Según el contexto cultural, social o político, esta categoría podría abarcar, por ejemplo, datos relacionados con la salud personal, las preferencias sexuales o vida sexual, las creencias religiosas, filosóficas o morales, la afiliación sindical, los datos genéticos, los datos biométricos dirigidos a identificar de manera unívoca a una persona física, las opiniones políticas o el origen racial o étnico, información sobre cuentas bancarias, documentos oficiales, información recopilada de niños y niñas o geolocalización personal.
37. Esa conceptualización es coincidente con la cuestionada en este asunto y contenida en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, fracción V, del artículo 3.
38. El Constituyente Permanente delegó en el Congreso de la Unión la facultad de reglamentar el alcance del citado derecho fundamental a través de una ley federal, tanto en su aspecto formal como material; precisamente en este instrumento normativo se establece y desarrolla el contenido del derecho humano en comento, pues simultáneamente se protege esa prerrogativa constitucional y se comunica a los sujetos privados y particulares sus respectivas obligaciones.
39. La ley en comento dispone en su artículo 1º que su objeto es “la protección de los datos personales en posesión de los particulares, con la finalidad de regular su tratamiento legítimo, controlado e informado, a efecto de garantizar la privacidad y el derecho a la autodeterminación informativa de las personas”.
40. En esa línea, la congruencia constitucional de entender a los datos personales como cualquier información relativa a una persona física, que la identifica o hace identificable, radica –en su sustancia– en que con ello se cumple con el mandato constitucional de proteger la información que nos describe, que nos da identidad, nos caracteriza y diferencia de otros individuos.
41. Con la revisión nacional e internacional sobre los alcances del derecho a la protección de los datos personales (que como se vio líneas atrás se configura a través de la unión los derechos a la vida privada, intimidad, honor y reputación), se tiene que el concepto definido en la ley federal es congruente con los alcances que se pretenden blindar constitucionalmente en los artículos 6 y 16, pero además, es consecuente con las definiciones de rango internacionales y con las propias finalidades: brindar un robusto marco de protección al apuntado derecho.
42. Dicho de otra manera, la definición es coincidente constitucional y convencionalmente, tanto en las expresiones utilizadas como en el hecho de que esa construcción semántica tiene su razón de ser en buscar la protección más amplia al derecho de protección de datos personales en sus diversas manifestaciones.
43. Corrobora esta afirmación, la revisión de los componentes de la definición, de donde se advierte que comunican con claridad cada uno de los elementos por revisar para decidir si determinada información es o no dato personal:

• CUALQUIER INFORMACIÓN . Esto es, sin límite sobre la naturaleza o el tipo de información, puesto que la cobertura que se brinda a la comunión de prerrogativas que es el derecho a la protección de datos personales debe ser de tal amplitud que comprenda cualquier tipo de noticia, para hacer frente a la compleja dinámica social, a las variaciones que ocurren con el paso del tiempo (sin necesidad de practicar actos de reforma para actualizar la norma, con el alto riesgo que conllevaría la lesión o puesta en peligro de cierta información si se tratara de un catálogo cerrado) y, particularmente, para tener una pauta de inclusión de todos aquellos datos que forman parte de los cambios tecnológicos.
• CONCERNIENTE A UNA PERSONA . La información debe poder ser concretizada, relacionada o vinculada con un ente individual quien es el titular del derecho a la protección de datos personales . No se trata entonces de algún dato indeterminable, sino de información a través de la cual se pueda singularizar a una persona, o bien construir un puente para concretizar a una persona en particular.
• IDENTIFICADA O IDENTIFICABLE . El núcleo de la protección de la privacidad e intimidad (como pilares del apuntado derecho, en vinculación con el derecho al honor, a la reputación y la propia dignidad humana) es que esa información de cualquier naturaleza se vincule con una persona y tenga la posibilidad de exponerla en el ámbito público. En este punto es clave decir que esa identificación exige que la información se delimite al conjunto de rasgos propios de una persona que la caracterizan frente a los demás, es decir aquello que nos brinda una identidad .

El sentido de esta última porción es coincidente con el propio parámetro general concerniente al derecho de protección de datos personales , esto es el directamente previsto en la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, que es el ordenamiento que también tiene la vocación de brindar cobertura al manejo y tratamiento de datos privados o íntimos en manos de entes públicos. En el artículo 3º, fracción IX de este cuerpo normativo, relativo –también– a la definición de datos personales, se precisa con toda claridad que “se considera que una persona es identificable cuando su identidad pueda determinarse directa o indirectamente a través de cualquier información” .

Como se ve, cuando la norma habla de persona identificada o identificable se refiere a la posibilidad de individualizar a una persona frente al resto, de tal manera que la información a la que hace referencia la definición permite relacionarse o revelar la identidad o los rasgos de ésta.

1. Como se ve, existe una línea semántica racional que es respetuosa de la garantía de seguridad jurídica, pues delimita con toda precisión el tipo de información o datos que tienen cobertura en el derecho a la protección de los datos personales .
2. Además de que constitucional y convencionalmente se corroboró la pertinencia de contar con una definición legal de tales rasgos, y de que semánticamente –como ya se expuso– que define un universo de manera idónea; también cabe decir que la propia Ley Federal de Protección de Datos Personales en Posesión de los Particulares brinda elementos adicionales para que el operador cuente con bases para comprender a plenitud de qué hablamos cuando hablamos de datos personales .
3. En el cuerpo de esta consideración, se hizo referencia a que dentro de los datos personales existen algunos que son de especial naturaleza sensible por referirse a aspectos puntuales de la intimidad personal, al respecto el ordenamiento en cita brinda una definición sobre qué debe entenderse por éstos en el propio artículo 3, pero en la diversa fracción VI se expresa que son:

“(…) Aquellos datos personales que afecten a la esfera más íntima de su titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para éste. En particular, se consideran sensibles aquellos que puedan revelar aspectos como origen racial o étnico, estado de salud presente y futuro, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas, preferencia sexual.”

1. Este mecanismo de entendimiento sistemático de la porción impugnada permite apreciar que la norma es respetuosa de la garantía de seguridad jurídica por los extremos apuntados, pero también porque el legislador incluyó pautas claras de entendimiento para la decisión caso a caso.
2. Este conjunto de argumentos, la revisión constitucional y convencional sobre el contenido y alcances del derecho a la protección de datos personales , que permite comprender a cabalidad qué es lo que se pretende proteger, así como la revisión semántica de la redacción de la norma y, finalmente, su relación con otros elementos del sistema normativo de la materia, permiten concluir que es infundado el argumento de la parte recurrente, pues es constitucionalmente correcta la definición contenida en la fracción V, del artículo 3º de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.