La exposición deliberada de domicilios, teléfonos o documentos de identificación puede convertir una publicación en una herramienta de acoso y riesgo, pero en México todavía no existe un delito federal autónomo de doxing y las vías legales dependen de la conducta, la entidad y el daño provocado.
Publicar el domicilio de una persona después de una discusión en redes sociales puede parecer, a primera vista, apenas otra forma de agresión digital. La realidad es mucho más seria. Cuando alguien coloca en internet un teléfono particular, una dirección, fotografías de documentos o información sobre familiares con la intención de intimidar, perseguir o poner en riesgo a otra persona, el dato deja de ser una simple pieza de información y puede convertirse en una herramienta de violencia.
En México, el llamado doxing todavía no tiene una tipificación federal específica que permita afirmar que toda divulgación maliciosa de datos personales constituye, por sí misma, un delito autónomo. Esa precisión es importante. El marco jurídico actual permite perseguir determinadas conductas mediante normas de protección de datos, delitos ya existentes y legislaciones estatales, mientras el Congreso y los congresos locales siguen discutiendo reformas para cubrir de manera más directa este fenómeno.
La propia Policía Cibernética de la Ciudad de México define el doxing como la exposición de información personal de otra persona sin su consentimiento con propósitos de acoso, amenaza o venganza. La Secretaría de las Mujeres capitalina también lo identifica como una forma de violencia digital. Es decir, el fenómeno ya está reconocido institucionalmente, aunque su tratamiento penal no sea uniforme en todo el país.
Un ejemplo reciente muestra hacia dónde apunta esa discusión. En diciembre de 2025 se presentó en el Congreso de la Ciudad de México una iniciativa para tipificar y combatir el doxing. La propuesta plantea considerar como violencia digital la difusión no consentida de domicilios, teléfonos, información familiar, laboral o de identificación cuando exista intención de intimidar, hostigar, perseguir o poner en riesgo la seguridad de una mujer o de su familia. También plantea reconocerlo como un hecho victimizante para facilitar asistencia, asesoría jurídica y reparación integral.
La iniciativa, sin embargo, debe entenderse como una propuesta legislativa y no como una ley federal vigente. Esa diferencia evita una confusión frecuente: que una conducta sea reconocida por una iniciativa no significa que ya tenga una pena penal aplicable en todo México.
Mientras tanto, la protección de datos personales ofrece otra vía. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en 2025, establece que el tratamiento de información personal debe ser legítimo, controlado e informado. Además, reconoce derechos como el acceso, la rectificación, la cancelación y la oposición al tratamiento de los datos. Desde la desaparición del INAI, las funciones federales de protección de datos personales quedaron bajo la responsabilidad de la Secretaría Anticorrupción y Buen Gobierno.
Pero existe un obstáculo que puede resultar desconcertante para una víctima: denunciar la publicación ante una plataforma y promover un juicio de amparo contra ella no son necesariamente la misma cosa. En 2025, un Tribunal Colegiado determinó que la negativa de Facebook a retirar publicaciones no constituye, por sí misma, un acto de autoridad susceptible de ser combatido mediante amparo. La resolución obliga a distinguir entre la responsabilidad de una plataforma privada y las decisiones de una autoridad pública.
Eso no significa que las publicaciones sean intocables. Las medidas cautelares pueden desempeñar un papel decisivo cuando existe un riesgo concreto de daño grave o irreparable y se cumplen los requisitos legales. En determinados procedimientos, una autoridad judicial puede ordenar acciones dirigidas a impedir la continuidad de una difusión ilícita. En materia de protección de niñas, niños y adolescentes, por ejemplo, la Suprema Corte ha reconocido mecanismos que permiten solicitar medidas para suspender o bloquear contenidos en medios electrónicos cuando esté comprometido su interés superior.
Un caso ocurrido en marzo de 2026 también mostró que la protección puede alcanzar a las propias redes. El Instituto Nacional Electoral ordenó la desindexación de información personal y patrimonial que aparecía en perfiles de Facebook e Instagram, incluyendo domicilios y ubicaciones exactas. La decisión no estableció que cualquier publicación de datos deba desaparecer automáticamente, pero sí evidenció que, bajo determinadas circunstancias y competencias, las autoridades pueden exigir medidas para reducir la exposición de información personal.
La verdad es que el problema avanza más rápido que las leyes. Una dirección publicada a las nueve de la mañana puede haber sido copiada, descargada y replicada en decenas de cuentas antes del mediodía. Eliminar la publicación original ayuda, pero no siempre borra sus huellas.
Por eso, la respuesta jurídica necesita algo más que una nueva figura penal. También requiere procedimientos rápidos, conservación de evidencia digital, canales eficaces con las plataformas y criterios claros para ordenar retiros cuando exista un peligro real. La protección de la privacidad no puede depender de que una víctima consiga detener primero una publicación que ya se convirtió en amenaza.
El reto consiste en proteger a las personas sin convertir cualquier publicación incómoda en delito. La libertad de expresión sigue siendo un derecho fundamental, pero no ampara automáticamente la persecución, la intimidación ni la exposición maliciosa de información privada. En esa frontera, cada vez más estrecha, se está jugando una parte importante de la seguridad personal en la era digital.
