Identificación de líneas móviles y datos biométricos: nuevas obligaciones y prohibiciones a partir de hoy

A partir de hoy, 9 de enero de 2026, entran en vigor las obligaciones previstas en los Lineamientos para la Identificación de Líneas Telefónicas Móviles, emitidos por la Comisión Reguladora de Telecomunicaciones (CRT). Este nuevo marco regulatorio impone a los Proveedores del Servicio de Telefonía Móvil —concesionarios y comercializadoras— la obligación de vincular todas las líneas móviles a un Titular (persona física o moral), así como de habilitar mecanismos presenciales y remotos para la vinculación, desvinculación y consulta de dichas líneas.

Los Lineamientos establecen un calendario de implementación escalonado. En un plazo de 30 días naturales, los proveedores deberán habilitar la Plataforma de Gestión de Líneas Telefónicas Móviles para realizar los procesos de vinculación y desvinculación; y, en 60 días, la Plataforma de Consulta, que permitirá a los titulares conocer qué líneas se encuentran asociadas a su CURP o RFC. Transcurrido el periodo de implementación, toda línea que no se encuentre vinculada antes del 30 de junio de 2026 será suspendida a partir del 1 de julio, quedando limitada únicamente a comunicaciones de emergencia.

Uso de datos biométricos: permitido solo para validación en tiempo real

Uno de los aspectos más relevantes —y sensibles— del nuevo esquema es el relativo al uso de datos biométricos en los procesos de vinculación y desvinculación en modalidad remota. Los Lineamientos prevén la utilización de la denominada “Prueba de Vida” como mecanismo para validar que la persona que realiza el trámite corresponde a quien presenta la identificación oficial.

No obstante, el marco regulatorio es expreso y restrictivo:

• La biometría solo puede utilizarse como un mecanismo de verificación en tiempo real, es decir, para efectos de autenticación inmediata de la identidad.
• En ningún caso puede implicar la conservación, almacenamiento o generación de registros biométricos.

Las Plataformas de Gestión no deben almacenar datos biométricos, fotografías, copias de identificaciones oficiales ni ningún otro documento de los Titulares o Usuarios. La “Prueba de Vida” opera, por tanto, como un espejo digital momentáneo, sin dejar rastro permanente, en línea con los principios de minimización y proporcionalidad en materia de protección de datos personales.

Datos mínimos que sí pueden ser resguardados

Para fines de la vinculación, los proveedores únicamente pueden resguardar información estrictamente delimitada, entre la que se encuentra:

• Nombre o razón social;
• CURP o RFC;
• Número telefónico asociado;
• Tipo de identificación oficial presentada;
• Resultado y fuente de la validación de identidad; y
• Un folio único que incluya fecha y hora del proceso.

Cualquier tratamiento adicional o conservación de información distinta a la expresamente autorizada constituiría un incumplimiento directo a los Lineamientos y a la normativa de protección de datos personales aplicable.

Implicaciones inmediatas de cumplimiento

 La entrada en vigor de estas disposiciones obliga a los proveedores a revisar y ajustar de forma inmediata sus procesos operativos, tecnológicos y de cumplimiento, en particular:

• El diseño y operación de plataformas tecnológicas, asegurando que cumplan con los requisitos funcionales y de seguridad.
• La gobernanza de datos personales, garantizando que la biometría no sea almacenada ni reutilizada.
• La difusión clara y oportuna de información a los usuarios sobre los requisitos, plazos y consecuencias de no vincular sus líneas.

Adicionalmente, los Lineamientos establecen que los procesos de vinculación, desvinculación y consulta deben ser gratuitos, y fijan límites como la posibilidad de vincular hasta diez líneas por persona física, con reglas diferenciadas para personas morales y otros supuestos específicos.

En conjunto, este nuevo régimen refuerza la identificación de usuarios de telefonía móvil, pero al mismo tiempo impone límites claros al uso de datos biométricos, confirmando que su utilización solo es válida como herramienta de verificación puntual y no como base para la creación de registros permanentes.

Artículo elaborado por el equipo de ECIJA México especializado en regulación tecnológica y protección de datos personales.