La exposición deliberada de domicilios, teléfonos, documentos u otros datos personales en internet puede desencadenar responsabilidades legales, pero en México el combate al doxing todavía se apoya en distintas vías jurídicas y no en un delito federal autónomo aplicable a cualquier caso de divulgación de información privada.
Publicar en internet los datos personales de otra persona con la intención de intimidarla, acosarla, localizarla o ponerla en riesgo puede convertir una publicación aparentemente ordinaria en un problema jurídico de mayor gravedad. A esta práctica se le conoce como doxing y, aunque el término ya forma parte del lenguaje habitual de la seguridad digital, su tratamiento legal sigue dependiendo de las circunstancias concretas y de las normas que resulten aplicables.
La Policía Cibernética de la Ciudad de México define el doxing como la exposición de documentación o información personal de terceros sin su consentimiento con fines como acosar, amenazar o tomar represalias. La propia autoridad ha advertido que la práctica puede aparecer vinculada con formas de acoso digital, sextorsión y difusión de contenido privado.
La precisión es importante porque no toda publicación de un dato personal constituye automáticamente un delito. La valoración jurídica depende de factores como la naturaleza de la información, la forma en que fue obtenida, la finalidad de su difusión, el consentimiento existente y el daño que pueda producir. También deben considerarse derechos que pueden entrar en tensión, particularmente la privacidad y la libertad de expresión.
En México, el punto de partida constitucional se encuentra en el artículo 16, que reconoce el derecho a la protección de los datos personales y permite a sus titulares ejercer derechos de acceso, rectificación, cancelación y oposición. La Suprema Corte de Justicia de la Nación ha reiterado que la vida privada y los datos personales merecen protección, especialmente cuando la información permite identificar directamente a una persona o construir un perfil sobre ella.
El marco federal cambió de manera importante en 2025. El 20 de marzo de ese año se publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, junto con una nueva Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados. La reforma también modificó la arquitectura institucional encargada de proteger estos derechos tras la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales.
Actualmente, la Secretaría Anticorrupción y Buen Gobierno ejerce atribuciones federales en materia de protección de datos personales, mientras que Transparencia para el Pueblo funciona como órgano administrativo desconcentrado en materia de acceso a la información. El cambio institucional no elimina los derechos de los titulares, pero sí modificó quién ejerce determinadas funciones de garantía, verificación y sanción.
La nueva legislación federal establece que el tratamiento de datos personales debe realizarse de manera legítima, controlada e informada y reconoce la autodeterminación informativa de las personas. También conserva mecanismos para que el titular pueda solicitar el acceso, rectificación, cancelación u oposición al tratamiento de su información.
Sin embargo, existe una diferencia que suele perderse en el debate público. Las leyes de protección de datos regulan principalmente el tratamiento de información por parte de responsables y encargados. Eso no significa que cualquier persona que publique un dato ajeno en una red social quede automáticamente sometida a una sanción administrativa en materia de protección de datos. La propia legislación contempla excepciones, entre ellas determinados tratamientos realizados exclusivamente para uso personal y sin fines de divulgación o utilización comercial.
La vía penal también requiere cuidado. La legislación federal contempla delitos relacionados con el tratamiento indebido de datos personales, pero no puede afirmarse, con carácter general, que México haya creado un único delito federal denominado doxing que abarque cualquier divulgación maliciosa de información privada.
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares establece penas de prisión para determinadas conductas relacionadas con el tratamiento indebido de información. Entre ellas se encuentran supuestos en los que una persona autorizada para tratar datos provoca una vulneración de seguridad con ánimo de lucro o utiliza engaños para obtener y tratar información con el propósito de conseguir un beneficio indebido. Cuando están involucrados datos personales sensibles, las penas previstas por la ley pueden incrementarse.
Esto significa que el contexto importa. Exponer deliberadamente el domicilio de una persona para facilitar que otros la localicen puede involucrar derechos de privacidad, honor, seguridad e incluso otras figuras jurídicas dependiendo del propósito y las consecuencias. En cambio, una publicación periodística que mencione información personal por razones de interés público exige un análisis diferente.
La Suprema Corte ha sido particularmente cuidadosa al abordar ese choque entre privacidad y libertad de expresión. En distintos criterios ha señalado que la protección de datos personales no puede convertirse automáticamente en una herramienta para impedir publicaciones de interés público. También ha advertido que en México no existe un derecho al olvido con los mismos alcances que en el modelo europeo, debido a las diferencias constitucionales y convencionales relacionadas con la libertad de expresión y el acceso a la información.
La frontera puede ser difícil de trazar. Una dirección particular publicada para permitir el hostigamiento de una persona no tiene la misma relevancia jurídica que el domicilio oficial de una dependencia pública incluido en una investigación periodística. El dato puede ser el mismo en términos materiales, pero su contexto, finalidad y posible afectación cambian por completo.
Por eso, las medidas para retirar contenido tampoco funcionan como un mecanismo automático aplicable a cualquier publicación considerada ofensiva. En 2024, la Suprema Corte validó determinadas reglas de la Ley Federal del Derecho de Autor que permiten a los proveedores de servicios en línea retirar contenido después de recibir un aviso del titular de derechos o una resolución de autoridad competente. Pero ese procedimiento pertenece al ámbito específico de los derechos de autor y no puede trasladarse sin más a cualquier disputa relacionada con datos personales, difamación o daño al honor.
La propia Corte destacó que los proveedores no resuelven definitivamente la controversia sobre quién tiene la razón. Cuando existe una disputa probatoria, la determinación puede requerir un procedimiento judicial o administrativo. En otras palabras, una plataforma no sustituye al juez.
Existe además jurisprudencia que pone límites a la idea de que una red social pueda ser tratada como si fuera una autoridad pública. Un tribunal colegiado determinó que los administradores de redes sociales no tienen, por el simple hecho de operar una plataforma, el carácter de autoridad responsable para efectos del juicio de amparo. Las controversias relacionadas con publicaciones deben atenderse, en principio, conforme a la relación contractual con la plataforma y por las vías legales que correspondan.
Eso vuelve especialmente relevante la diferencia entre solicitar a una plataforma que retire una publicación y obtener una orden judicial. Una persona puede denunciar contenido mediante las herramientas internas de una red social y conseguir su eliminación conforme a las reglas de servicio, pero cuando se necesita una obligación jurídicamente exigible, la autoridad competente puede tener que intervenir.
Las medidas cautelares adquieren entonces un papel importante. En enero de 2026, la Suprema Corte estableció que las medidas de protección y determinadas providencias precautorias previstas en el Código Nacional de Procedimientos Penales pueden prolongarse mientras subsista el riesgo para las víctimas o no se haya garantizado la reparación del daño. El criterio no fue creado específicamente para casos de doxing, pero resulta relevante para entender que las medidas de protección no necesariamente quedan sujetas a una lectura mecánica de plazos cuando persiste el peligro.
En materia de publicaciones digitales, los tribunales también han comenzado a examinar con mayor atención la posibilidad de ordenar el retiro de contenidos. Una tesis publicada en agosto de 2026 reconoció, en un caso concreto, la procedencia de una suspensión provisional para retirar publicaciones de redes sociales relacionadas con una controversia sobre honor y reputación. El criterio se refiere a una persona moral y a circunstancias específicas, por lo que no puede presentarse como una regla general que obligue a las plataformas a eliminar cualquier publicación denunciada.
Esta evolución muestra algo importante: la respuesta jurídica al doxing no depende exclusivamente de crear nuevos delitos. También puede construirse mediante herramientas que ya existen, como la protección constitucional de la privacidad, los derechos ARCO, las responsabilidades civiles, determinadas figuras penales, las medidas de protección y las órdenes judiciales.
El problema es que la velocidad de internet juega en contra de esas herramientas. Un domicilio puede difundirse en cuestión de segundos y ser copiado por cientos de cuentas antes de que la víctima consiga presentar una denuncia. Aunque una autoridad ordene posteriormente su eliminación, las réplicas pueden permanecer en capturas de pantalla, bases de datos, motores de búsqueda o plataformas ubicadas fuera del país.
Ahí aparece uno de los principales desafíos regulatorios. La eliminación de una publicación no equivale necesariamente a borrar sus consecuencias. Y mientras más sensible sea el dato —por ejemplo, un domicilio particular, información financiera, documentos de identidad o datos que permitan localizar físicamente a una persona— mayor puede ser el riesgo derivado de su exposición.
La discusión legislativa también se está moviendo hacia un consentimiento más verificable. En marzo de 2026, el Senado aprobó un dictamen orientado a reforzar el principio de consentimiento en materia de datos personales, planteando que este sea acreditable, verificable, libre, específico e informado. Aunque la medida se refiere al tratamiento de datos y no constituye por sí misma una tipificación del doxing, refleja una tendencia hacia reglas más estrictas sobre la forma en que se obtiene y utiliza la información personal.
El reto será encontrar un equilibrio que proteja realmente a las víctimas sin convertir la legislación en un mecanismo de censura privada. La publicación de información de interés público, las investigaciones periodísticas y las expresiones críticas requieren una protección distinta de aquella que merece la difusión deliberada de datos para intimidar o poner en peligro a alguien.
La verdad es que el doxing expone una debilidad particular de la vida digital: una persona puede perder el control de su información mucho antes de saber que alguien la está utilizando en su contra. Por eso, la respuesta jurídica necesita ser suficientemente rápida para reducir el daño, pero también suficientemente precisa para no confundir privacidad con censura.
En México, el marco legal ya ofrece instrumentos para enfrentar distintas formas de difusión no consentida de datos personales, pero todavía existe una discusión abierta sobre si son suficientes frente a la velocidad, permanencia y alcance de las plataformas digitales. El desafío no consiste solamente en castigar después del daño, sino en establecer procedimientos capaces de actuar cuando la amenaza todavía puede contenerse.
