La soberanía digital personal y gobierno corporativo

La biometría empresarial frente a un nuevo parámetro constitucional

La tesis aislada con registro digital 2032350 introduce en el derecho una categoría de particular trascendencia: la soberanía digital personal, concebida como un derecho humano emergente destinado a proteger la privacidad, la seguridad y la integridad de las personas frente al monitoreo biométrico en un contexto de capitalismo de vigilancia. El criterio fue publicado el 26 de junio de 2026 por el Vigésimo Tribunal Colegiado en Materia Administrativa del Primer Circuito. El antecedente deriva de un juicio de amparo promovido contra el artículo 91 Bis de la Ley General de Población (LGP), relacionado con la CURP biométrica y con la creación de una Plataforma Única de Identidad. El Juzgado de Distrito concedió una suspensión provisional y la autoridad interpuso recurso de queja. Por ello, resulta jurídicamente impreciso afirmar que el tribunal haya invalidado, con efectos generales, la implementación nacional de la CURP biométrica. Se trata de una tesis aislada originada en una controversia cautelar concreta, no de una declaración general de inconstitucionalidad ni de jurisprudencia obligatoria para todos los órganos jurisdiccionales.

“El consentimiento autoriza un tratamiento; no convierte en necesaria, proporcional ni segura una infraestructura biométrica.”

Esa precisión no disminuye su importancia. El valor estratégico del criterio reside en que formula un parámetro constitucional susceptible de irradiar la interpretación de las obligaciones aplicables tanto a autoridades como, indirectamente, a particulares que desarrollan infraestructuras de identificación, autenticación, vigilancia, contratación o perfilamiento biométrico.

El aviso de privacidad dejó de ser el centro exclusivo del cumplimiento

Durante años, numerosas organizaciones estructuraron su cumplimiento alrededor de una secuencia aparentemente suficiente: aviso de privacidad, consentimiento expreso y medidas generales de seguridad. Sin embargo, la soberanía digital personal desplaza el análisis desde la mera autorización individual hacia la legitimidad integral de la arquitectura tecnológica. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) ya obliga a observar los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. Asimismo, cuando se tratan datos sensibles, exige consentimiento expreso y escrito, y prohíbe crear bases de datos de esa naturaleza sin justificar finalidades legítimas, concretas y acordes con las actividades del responsable.

Por consiguiente, el consentimiento nunca ha sido una patente de corso. La aportación del nuevo criterio consiste en reforzar una lectura material de la proporcionalidad: antes de capturar el rostro, la voz, el iris, la geometría de la mano o la huella dactilar, la empresa deberá poder explicar por qué ese tratamiento es necesario, adecuado y no sustituible por una alternativa razonablemente menos invasiva. Para una Fintech, por ejemplo, no bastará señalar que la biometría agiliza el onboarding. Deberá documentarse qué riesgo pretende mitigar, por qué los mecanismos tradicionales resultan insuficientes, qué precisión posee el sistema, qué sucede con los falsos positivos y negativos, durante cuánto tiempo se conservarán las plantillas y qué opción existe para quienes no puedan o no deseen utilizar ese mecanismo.

Privacidad por diseño: del documento jurídico al código fuente

La tesis sostiene que la soberanía digital personal debe impulsar la privacidad por diseño en cualquier sistema que opere datos biométricos. Esto representa un cambio cualitativo: la protección de datos ya no puede incorporarse al final del proyecto mediante un aviso redactado cuando la plataforma se encuentra terminada.

Privacidad por diseño significa que las restricciones jurídicas deben convertirse en especificaciones técnicas verificables. La minimización debe reflejarse en los campos que el sistema permite capturar; la temporalidad, en reglas automáticas de supresión; la finalidad, en controles de acceso; la confidencialidad, en cifrado y segregación; y la responsabilidad, en registros de auditoría capaces de reconstruir quién consultó, modificó, transmitió o eliminó determinada información. La legislación federal vigente obliga a establecer medidas administrativas, técnicas y físicas contra daño, pérdida, alteración, destrucción, uso o acceso no autorizado. También ordena considerar el riesgo, las posibles consecuencias para las personas, la sensibilidad de los datos y el desarrollo tecnológico. Las vulneraciones significativas deben comunicarse inmediatamente a las personas afectadas para que puedan defender sus derechos. 

La consecuencia corporativa es contundente: los consejos de administración, comités de riesgos y órganos de cumplimiento no pueden delegar íntegramente la biometría al área de sistemas. La decisión de crear una base biométrica es una determinación de riesgo empresarial que exige participación jurídica, tecnológica, financiera, laboral y de ciberseguridad.

Auditorías algorítmicas y explicabilidad

Otro elemento novedoso es la posibilidad de permitir auditorías algorítmicas independientes, preferentemente practicadas por organismos especializados. La tesis no establece, por sí misma, una obligación general e inmediata para que toda empresa contrate una auditoría internacional. No obstante, sí configura una expectativa reforzada de transparencia, supervisión y comprobación técnica. En consecuencia, las organizaciones deberán anticipar preguntas que anteriormente permanecían confinadas al proveedor tecnológico: ¿con qué bases fue entrenado el sistema?, ¿qué tasas de error presenta entre distintos grupos?, ¿qué umbrales utiliza?, ¿puede reconstruirse una decisión?, ¿existe intervención humana?, ¿el proveedor reutiliza los datos para entrenar otros modelos?

La preocupación adquiere mayor relevancia cuando el tratamiento automatizado produce consecuencias jurídicas o afecta significativamente intereses, derechos o libertades. La legislación reconoce el derecho de oposición frente a determinados tratamientos automatizados destinados a evaluar o predecir aspectos personales, entre ellos el rendimiento profesional, la situación económica, la fiabilidad o el comportamiento.

Esto impacta directamente a Recursos Humanos, prevención de fraude, scoring, seguros, seguridad privada y comercio electrónico. Un sistema que rechaza a una persona por una falla de reconocimiento facial puede transformar un error técnico en discriminación, incumplimiento contractual o afectación reputacional.

¿Las bases centralizadas se convierten en activos tóxicos?

La tesis contempla la posibilidad de ofrecer almacenamiento local o descentralizado de plantillas biométricas. Debe subrayarse la formulación: no ordena eliminar toda base centralizada, pero sí obliga a reconsiderar si la concentración masiva de identificadores biológicos resulta indispensable. A diferencia de una contraseña, la huella o el rostro no pueden sustituirse fácilmente después de una filtración. La centralización amplifica el impacto potencial del incidente, incrementa el atractivo para atacantes y eleva el número de titulares afectados por una sola vulneración.

La descentralización, el almacenamiento en el dispositivo, la tokenización y la conservación de plantillas irreversibles pueden reducir la superficie de ataque. No obstante, ninguna arquitectura debe adoptarse como dogma: deberá evaluarse su eficacia, gobernanza, posibilidad de revocación, interoperabilidad y resistencia frente a reconstrucciones o ataques de correlación.

“Una base biométrica centralizada no es solamente un activo tecnológico: representa una concentración extraordinaria de riesgo jurídico, operativo y reputacional.”

La agenda inmediata para empresas

El nuevo estándar aconseja sustituir el cumplimiento documental por un modelo probatorio. La empresa debe conservar evidencia de que evaluó la necesidad del tratamiento, comparó alternativas, limitó finalidades, estableció periodos de conservación, revisó proveedores, probó el algoritmo, configuró controles de acceso y preparó mecanismos de respuesta ante incidentes. También deberá reconsiderar contratos con encargados, servicios en la nube y desarrolladores. Las cláusulas genéricas de confidencialidad serán insuficientes cuando no regulen subencargados, ubicación de servidores, entrenamiento de modelos, devolución de información, supresión certificada, portabilidad, auditorías y notificación de vulneraciones.

La soberanía digital personal todavía es un derecho “en construcción y por construir”, según la propia tesis, precisamente por ello representa una advertencia temprana. Las empresas que continúen considerando la biometría como una simple funcionalidad de autenticación podrían descubrir que acumularon, además de datos, una contingencia jurídica difícilmente cuantificable.

Transcripción textual del documento proporcionado:

Registro digital: 2032350

Instancia: Tribunales Colegiados de Circuito
Duodécima Época
Materia(s): Constitucional, Administrativa
Tesis: I.20o.A.55 A (12a.)
Fuente: Semanario Judicial de la Federación.
Tipo: Aislada
Publicación: viernes 26 de junio de 2026 10:32 h

SOBERANÍA DIGITAL PERSONAL. ES UN DERECHO HUMANO EMERGENTE INDISPENSABLE PARA SALVAGUARDAR LA PRIVACIDAD, SEGURIDAD E INTEGRIDAD DE LAS PERSONAS ANTE EL MONITOREO BIOMÉTRICO EN UN CAPITALISMO DE VIGILANCIA.

Hechos: Una persona promovió amparo indirecto contra el artículo 91 Bis de la Ley General de Población, adicionado mediante decreto publicado el 16 de julio de 2025, que prevé la creación de la Clave Única de Registro de Población (CURP) biométrica como documento nacional de identidad obligatorio, así como la obtención, el almacenamiento, la administración, la consulta y el uso de datos biométricos para la instauración de una Plataforma Única de Identidad. El Juzgado de Distrito concedió la suspensión provisional solicitada. Contra esa decisión la autoridad responsable interpuso recurso de queja.

Criterio jurídico: La soberanía digital personal es un derecho humano emergente indispensable para proteger a las personas del monitoreo biométrico en un capitalismo de vigilancia y de sus impactos negativos.

Justificación: La soberanía digital personal es un derecho humano en construcción y por construir en acatamiento al principio constitucional de progresividad, que prevé la mejora continua en el disfrute de los derechos humanos, inclusive, a través de su transformación, y que: 1) respondería a dificultades específicas para los que la normativa tradicional en la materia simplemente no habría sido diseñada; 2) reclamaría garantías estructurales, mecanismos de supervisión independientes y controles de gobernanza tecnológica vinculantes; 3) reivindicaría la potestad de exigir la proporcionalidad de toda intervención biométrica, la transparencia de los sistemas que operasen con datos biométricos, así como de su consulta, y la evaluación previa de su impacto en las personas involucradas; y 4) impondría algunos elementos obligacionales para: a) conservar la eficacia de la privacidad como barrera inicialmente pensada contra intromisiones típicas, b) actualizar y reimaginar sus componentes; y c) robustecerlos ante intromisiones inéditas como las que surgen de la biometría y de la obtención de datos biométricos por autoridades.

Sería un derecho que, a diferencia de la autodeterminación informativa (enfocada en la salvaguarda de la libertad para decidir sobre la recolección y divulgación de datos personales, es decir, en una decisión individual de protección frente a terceros), buscaría un grado de control mínimo sobre los datos biométricos, las infraestructuras tecnológicas y las reglas de gobernanza del espacio digital, así como la colaboración de otros actores y mejores condiciones institucionales para equilibrar asimetrías de poder ocasionadas por elementos estructurales tecnológicos e informáticos.

De ahí que sería un derecho que retomaría el andamiaje obligacional de la autodeterminación informativa, la expandiría y proyectaría al espacio digital con nuevos alcances. También impondría las siguientes obligaciones para salvaguardar la autonomía individual: 1) establecer mecanismos de seguridad suficientes para salvaguardar la integridad, confidencialidad y disponibilidad de los datos biométricos; 2) impulsar la privacidad por diseño (PpD) en cualquier sistema que opere esos datos; 3) contemplar la posibilidad de ofrecer alternativas de almacenamiento local o descentralizado de plantillas biométricas; 4) permitir auditorías algorítmicas independientes y preferentemente por organismos internacionales especializados; 5) establecer fuertes vías remediales para reparar filtraciones eventuales; y 6) establecer las medidas de protección adecuadas para asegurarse que la identidad biológica y comportamental no sea objeto de control ni de comercio indiscriminado.

VIGÉSIMO TRIBUNAL COLEGIADO EN MATERIA ADMINISTRATIVA DEL PRIMER CIRCUITO.

Queja 57/2026. 6 de febrero de 2026. Unanimidad de votos de las personas Magistradas Mayra González Solís, Daniela Tejeda Hernández y Fernando Silva García. Ponente: Mayra González Solís. Secretario: Héctor Jesús Reyna Pérez Güemes.

Esta tesis se publicó el viernes 26 de junio de 2026 a las 10:32 horas en el Semanario Judicial de la Federación.