Entre los nombres identificados en esa muestra figuran empresas como Amazon, American Express, Afirme, Banamex, Banco del Bajío, BBVA, Banorte, Banregio, HSBC, Inbursa, INVEX, Liverpool, Sam's Club, Santander, Scotiabank, Sears, Suburbia, Banco Walmart, Credomatic, IXE, Sanborns, C&A y Soriana, según la información difundida por la dependencia federal.
La legislación mexicana en materia de protección de datos personales en posesión de particulares establece obligaciones para quienes recopilan y tratan esa información: entre ellas, los principios de seguridad y confidencialidad y el deber de informar sobre el tratamiento de los datos y las transferencias a terceros. Esa responsabilidad no desaparece cuando una compañía subcontrata a un proveedor externo como un call center, aunque pueda deslindarse por las vías correspondientes si el tercero incumple.
El defecto está en la vigilancia, no en la ley
"La información que se está vendiendo es tu información, la que te identifica como persona", advierte Fidel Delgado Ramos, gerente coordinador de Business Advisory Services en Salles Sainz Grant Thornton, quien atribuye el problema no a la ausencia de normas sino a la falta de auditorías y mecanismos de vigilancia que comprueben su cumplimiento efectivo. A su juicio, las revisiones internas o externas permitirían detectar fallas antes de que la información salga del entorno autorizado.
Delgado Ramos sostiene que los avisos de privacidad frecuentemente no explican con claridad si intervienen terceros en el manejo de los datos, para qué fin los reciben o cómo puede una persona ejercer sus derechos frente a ellos. La existencia del documento, advierte, no garantiza que el usuario entienda el recorrido real de su información ni que la empresa cuente con controles efectivos para resguardarla.
"A mí me preocupa que lo normalicemos (las filtraciones de datos)", advierte Fidel Delgado Ramos, gerente coordinador de Business Advisory Services en Salles Sainz Grant Thornton.
El especialista plantea que esa normalización puede generar la idea de que no vale la pena tomar precauciones porque, tarde o temprano, cualquier persona terminará siendo víctima de una filtración. El fenómeno no es aislado en el país: la exposición de datos masivos ha alcanzado a instituciones públicas, como en 2022, cuando el grupo Guacamaya difundió millones de documentos de la Secretaría de la Defensa Nacional obtenidos tras vulnerar sus sistemas, lo que evidenció la vulnerabilidad de los resguardos digitales incluso en el ámbito gubernamental.
Proveedores externos, el eslabón menos vigilado
Según Delgado Ramos, una empresa puede evaluar a un call center por la calidad de su servicio, sus tiempos de entrega o sus costos, pero no necesariamente con el mismo rigor por la forma en que resguarda la información de los clientes que le es confiada para labores de atención o cobranza.
"¿Cuántas personas se dedican a decir: 'Oye, ¿y tú cómo guardas la información? ¿Dónde la guardas? ¿Cómo vamos a pasarnos la información de nuestros clientes?'", cuestiona Fidel Delgado Ramos, gerente coordinador de Business Advisory Services en Salles Sainz Grant Thornton.
El especialista recomienda que las personas revisen qué permisos conceden a las aplicaciones que utilizan —una herramienta para grabar audio, ejemplifica, no necesita acceder a la galería de fotos ni a los contactos del celular— y se pregunten para qué necesitan realmente sus datos antes de compartirlos. Reconoce que esa capacidad de decisión tiene límites: en la mayoría de los servicios, aceptar las condiciones es requisito indispensable para usarlos, y difícilmente un usuario puede comprobar por sí mismo cómo se almacena su información en cada eslabón de la cadena.
