Mano dura contra el hackeo: ¿Justicia digital o populismo penal ante la vulnerabilidad del Estado?

El panorama de la ciberseguridad en México ha dado un giro hacia lo punitivo. El diputado Felipe Miguel Delgado Carrillo, integrante de la bancada del Partido Verde Ecologista de México (PVEM), ha puesto sobre la mesa una iniciativa que busca castigar hasta con 15 años de prisión a quienes vulneren, alteren o comercialicen información de bases de datos gubernamentales.

La propuesta, presentada formalmente esta semana, pretende elevar las bases de datos a la categoría de "infraestructura crítica", nivel que hoy comparten instalaciones estratégicas como plantas eléctricas o sistemas de distribución de agua. Sin embargo, en un país que ha sido testigo de filtraciones masivas —desde el caso "Guacamaya Leaks" hasta la exposición de datos de periodistas en la "Mañanera"—, la medida abre un debate necesario: ¿es la cárcel la solución a un problema de obsolescencia técnica?

El fondo de la propuesta

La iniciativa busca reformar el andamiaje jurídico para que la protección de datos quede bajo la tutela directa de la Fiscalía General de la República (FGR), la Secretaría de la Defensa Nacional (Defensa) y la Secretaría de Seguridad Pública Ciudadana (SSPC). Según Delgado Carrillo, el objetivo es "inhibir el delito" y dar certeza de que la información ciudadana está "blindada".

El proyecto no solo apunta a ciberdelincuentes externos, sino que incluye sanciones severas para servidores públicos que lucren con la información sensible que el Estado tiene bajo su resguardo, como datos biométricos y poblacionales.

Análisis Crítico: ¿Medida correcta o desproporcionada?

Si bien la intención de proteger la identidad de los mexicanos es loable, un análisis profundo del contexto actual sugiere que la propuesta podría pecar de insuficiente y, en ciertos aspectos, desproporcionada.

1. El espejismo del "Populismo Penal": Establecer una pena de 15 años —superior incluso a algunos delitos de violencia física— parece una respuesta reactiva. La historia legislativa en México demuestra que el aumento de las penas no necesariamente reduce la incidencia delictiva si no se acompaña de una capacidad real de investigación. En un entorno digital donde los atacantes suelen operar desde el extranjero o mediante redes encriptadas, la probabilidad de captura es mínima. Sin detenciones, la pena de 15 años es solo letra muerta.

2. Infraestructura Crítica sin Presupuesto: Etiquetar las bases de datos como "infraestructura crítica" es un paso correcto en la teoría, pero insuficiente en la práctica. La ciberseguridad no se logra con sentencias, sino con inversión. México ha sufrido recortes en áreas de tecnologías de la información bajo políticas de austeridad. Blindar un sistema requiere actualización de software, parches de seguridad constantes y capacitación técnica de alto nivel, elementos que no aparecen en la retórica de la sanción penal.

3. La militarización de los datos: Al entregar la custodia de estos activos a la SEDENA y la SSPC, surge el riesgo de una opacidad mayor. La seguridad nacional a menudo se utiliza como escudo para evitar la rendición de cuentas. Si el Estado es el responsable de una filtración (por negligencia), ¿se investigará a sí mismo con el mismo rigor que a un hacker externo?

4. Desproporción frente a la falta de ética técnica: Es desproporcionado castigar con tres lustros de cárcel si el Estado no cumple primero con su obligación mínima de debida diligencia. Muchas de las filtraciones recientes no han sido producto de ataques sofisticados, sino de errores básicos (contraseñas débiles o servidores expuestos). Criminalizar el síntoma (el hackeo) sin curar la enfermedad (la vulnerabilidad técnica) es una estrategia incompleta.

Conclusión

La propuesta del Partido Verde es un recordatorio de la urgencia de proteger la soberanía digital de México. Sin embargo, centrar la estrategia en el castigo y no en la prevención y el fortalecimiento tecnológico es una apuesta arriesgada.

Para que esta medida no sea vista como un simple "parche" mediático, el Congreso debería discutir no solo cuántos años pasarán en prisión los infractores, sino cuánto presupuesto se invertirá para que, en primer lugar, nadie pueda entrar en los sistemas del Estado. Sin ciberdefensa, la ciberjusticia es una quimera.