El público es amplio, más de 100 millones de usuarios dependen de un teléfono móvil en México, lo que representa una gran base de datos de los usuarios que están levantando las empresas de telefonía, a través de un software ofertado por una empresa de Lituania.
De acuerdo con el Instituto Federal de Telecomunicaciones, la empresa extranjera Mediafon Datapro, a través de sus filial Mediafon de México, S.A. de C.V., es la encargada de administrar la Base de Datos de Portabilidad Numérica (ABD) en el país. Esta base de datos es el sistema que permite a un usuario cambiarse de compañía telefónica (por ejemplo, de Telcel a AT&T u otra) conservando su mismo número de teléfono.
Su función es, en apariencia, técnica: gestionar las solicitudes de portación y sincronizar la información entre los más de 250 operadores fijos y móviles que operan en el país. Esta empresa comenzó a operar desde el 1 de septiembre de 2019.
En enero de 2024, el Pleno del Instituto Federal de Telecomunicaciones (IFT) aprobó por unanimidad la reelección de Mediafon para continuar con la recolección de datos masivos, por un periodo de cinco años más. Lo que llama la atención no es la decisión en sí, sino el proceso que la precedió.
A diferencia de otras contrataciones gubernamentales, la elección de Mediafon no fue resultado de una licitación pública abierta y transparente. El proceso fue un "acuerdo de voluntades" dentro del Comité Consultivo en Materias de Portabilidad, Numeración y Señalización, un órgano integrado por los propios proveedores de servicios de telecomunicaciones (PST) como Telcel, AT&T y Movistar.
Incluso, estos proveedores, en conjunto, lanzaron un comunicado en 2024, en el que anuncian la firma de un contrato para la “administración de la portabilidad numérica con la empresa Mediafon de México”, en el que refieren que el IFT, “aprobó la elección realizada por los proveedores de servicios de telecomunicaciones (PST)”.
La iniciativa se presenta como un derecho de los usuarios a conservar su número telefónico al cambiarse de concesionario o prestador de servicios de telefonía, de manera gratuita y en un lapso de 24 horas. “A través de este mecanismo también se fortalece la competencia en el sector, en beneficio de las personas usuarias, quienes podrán optar por el PST que más les convenga en términos de calidad, cobertura y precio”, señala el contrato que suscriben las empresas de telefonía móvil.
De modo que este contrato no fue una compra del gobierno federal con recursos públicos, sino un proceso de selección comercial cerrado, organizado directamente por los grandes operadores, quienes evaluaron las ofertas y eligieron a Mediafon, bajo la supervisión del IFT, que se limitó a aprobar la decisión.
Por tanto, como los operadores son los que pagan por el servicio de la base de datos, son ellos quienes manejan la información que les permite la autoridad.
El Poder del Data Warehouse
La justificación técnica para la reelección de Mediafon incluye una actualización clave que debería encender todas las alarmas en materia de privacidad. Según la resolución del IFT, la nueva propuesta de Mediafon incluye "la implementación de una solución Data Warehouse para la generación de vistas de la base de datos y reportes complejos".
En términos simples, un Data Warehouse es un sistema de almacenamiento masivo que permite explotar la información de la base de datos de portabilidad de una manera mucho más sofisticada. Este sistema "ofrece múltiples opciones de filtrado, permitiendo el acceso a la totalidad de la información contenida en la base de datos que incluye información histórica desde 2009".
Esto significa que Mediafon no solo gestiona el tráfico de portabilidad en tiempo real. Ahora tiene la capacidad técnica para crear perfiles complejos, cruzar datos históricos y generar análisis detallados sobre el comportamiento de la red telefónica de todo el país.
La sombra de la Inteligencia
Aquí es donde la historia adquiere una dimensión de seguridad nacional. Una base de datos que contiene el histórico de qué número pertenece a qué operador, cruzado con datos de fechas, es una mina de oro para la inteligencia en términos de seguridad. Permite trazar patrones de comunicación, identificar cambios en redes de contactos y mapear el ecosistema digital de individuos y grupos de interés.
Para entender el potencial riesgo, basta con mirar lo que está ocurriendo en Kazajistán con la misma empresa matriz, Mediafon Datapro. Investigaciones periodísticas y quejas de diputados han revelado un escándalo en ese país.
Allí, una empresa vinculada al grupo Mediafon, llamada "ATS Mediafon KZ", fue designada sin concurso público para gestionar la verificación obligatoria de los IMEI (identificadores únicos de los teléfonos) de todos los dispositivos importados al país. Esta empresa privada cruza los datos con los documentos aduaneros y fiscales.
Los legisladores de este país se quejaron de que no hubo licitación. La empresa fue designada por un simple acuerdo, sin transparencia ni competencia.
La estrategia de ATS Mediafon KZ, de reciente creación, apenas en 2023, se repite en México, procesa datos personales de millones de ciudadanos (incluyendo números de identificación y datos biométricos). Este modus operandi en Kazajistán, sienta un precedente sumamente preocupante para los mexicanos.
Si bien el alcance técnico es diferente, el patrón de negocio y la centralización de datos críticos en manos de un actor privado con vínculos internacionales es idéntico. En el caso de Kazajistan, la empresa ya está en la mira por su rápido enriquecimiento y por sus relaciones. El medio CMN.kz develó un presunto conflicto de interés que involucra a un diputado del parlamento kazajo (Talgat Uteubaev). El político fundó una empresa comercial junto al dueño de ATS Mediafon KZ (Vladislav Safarov).
Se denuncia que el diputado abandonó formalmente dicha sociedad apenas diez días antes de que terminara el plazo estatal para que los importadores comenzaran a pagar obligatoriamente a ATS Mediafon. Además, diversos medios de este país han denunciado que la empresa utiliza servicios extranjeros como Cloudflare, acusándola de transferir de forma transfronteriza y desprotegida los datos personales de millones de ciudadanos.
En el caso de México la incertidumbre ha tomado por asalto a los usuarios y las preguntas sobran ¿quién tiene acceso a toda esa base de datos?, ¿el IFT podrá supervisar de manera efectiva su uso?, ¿qué impide que esta información sea utilizada para fines de vigilancia masiva, como ya se ha visto en otras latitudes? La historia de Kazajistán es una advertencia.
