Un perfil abierto no es un expediente

Pensemos en una escena habitual, aunque hipotética: una analista de selección de una empresa en Monterrey prepara las entrevistas del día y, antes de la última, busca en Instagram y Facebook a la candidata finalista. El perfil está abierto, nadie lo protegió, y en pocos minutos aparecen fotografías de una peregrinación, un comentario sobre una elección, una publicación sobre una enfermedad familiar y un álbum de boda. La analista no hace nada ilegal en un sentido obvio, porque no entró a ningún sistema ni usó una contraseña ajena. Y, sin embargo, lo que ve ya forma parte de su impresión sobre la candidata. El argumento que suele cerrar la discusión es breve: "lo publicó ella misma".


Esa lógica tiene arraigo porque el contexto la favorece. Según la Encuesta Nacional sobre Disponibilidad y Uso de Tecnologías de la Información en los Hogares 2025 del INEGI, el 86.1 % de la población mexicana usó internet, es decir, 104.9 millones de personas. Mirar un perfil es técnicamente trivial. La pregunta jurídica es otra: si ese dato era accesible, ¿quedó disponible para cualquier uso que una empresa quiera darle en una decisión de contratación?


Qué entiende la ley mexicana por "fuente de acceso público"

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, sí contempla una excepción vinculada con lo público: su artículo 9, fracción II, dispensa de obtener el consentimiento cuando los datos figuran en fuentes de acceso público. Pero el artículo 2, fracción X, define esas fuentes de una manera más estrecha de lo que sugiere la expresión: son las bases de datos, sistemas o archivos que, por disposición de ley, pueden consultarse públicamente cuando no exista una norma que lo limite, y se excluyen las de origen ilícito. La definición no menciona internet ni las redes sociales. Un registro público de comercio o un boletín oficial encajan con facilidad en esa descripción. El perfil de una persona en una plataforma privada, regulado por los términos de la plataforma y por la configuración que la propia persona eligió, es, al menos, un caso menos evidente. El texto de la ley no lo resuelve de manera expresa y este artículo no identifica un criterio judicial uniforme que lo haga, por lo que quien invoque la excepción para revisar perfiles asume una interpretación, no una certeza.


Aun si se aceptara que la excepción aplica, ésta solo exime del consentimiento. El artículo 5 exige observar los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. El artículo 6 pide privilegiar la expectativa razonable de privacidad de la persona titular, y es difícil sostener que quien comparte una fotografía con sus amigos espera que sirva para valorar su candidatura. El artículo 12 establece que el tratamiento debe ser necesario, adecuado y relevante para las finalidades declaradas, y los artículos 14 a 16 exigen informar a la persona, por medio del aviso de privacidad, qué datos se tratan y para qué. Una empresa que revisa redes sociales sin haberlo previsto en su aviso, sin una finalidad concreta y sin criterios para delimitar qué mirar, tiene un problema que la excepción de consentimiento no resuelve.


Lo que el perfil revela es, con frecuencia, lo que no se puede usar

El segundo frente es el de la no discriminación. El último párrafo del artículo 1 de la Constitución prohíbe toda discriminación motivada por origen étnico o nacional, género, edad, discapacidades, condición social, condiciones de salud, religión, opiniones, preferencias sexuales, estado civil o cualquier otra que atente contra la dignidad humana. La Ley Federal del Trabajo lo recoge en su artículo 3, que impide establecer condiciones que impliquen discriminación entre los trabajadores, y en el artículo 133, fracción I, que prohíbe a los patrones negarse a aceptar trabajadores por esas razones. La Ley Federal para Prevenir y Eliminar la Discriminación, por su parte, califica en su artículo 9, fracción III, como conducta discriminatoria restringir las oportunidades de acceso, permanencia y ascenso en el empleo.


La coincidencia con lo que muestra una red social es evidente. La fe, las ideas políticas, la salud, la orientación sexual o el estado civil son, precisamente, los datos que un perfil suele exhibir sin que nadie los haya pedido. La propia ley de datos clasifica como sensibles los que afectan a la esfera más íntima de la persona, entre ellos el origen racial o étnico, el estado de salud, las creencias religiosas, filosóficas y morales, las opiniones políticas y la preferencia sexual, y su artículo 8 reserva para ellos el consentimiento expreso y por escrito. Desde el punto de vista de la prueba, además, hay una dificultad práctica: si una empresa vio esa información y después descartó a la persona, le resultará complicado demostrar que la decisión no se basó en ella, salvo que existan criterios objetivos definidos de antemano y registrados. Mirar sin criterio no solo es un problema de privacidad; también es un riesgo documental para la propia empresa.


Cuando la conducta publicada sí importa

Nada de lo anterior significa que las redes sociales sean irrelevantes para una relación laboral. Pensemos, otra vez en un ejemplo hipotético, en una persona ya contratada por un laboratorio clínico que publica una captura de pantalla con el nombre, los estudios y los resultados de una paciente. Aquí el centro del asunto no es la identidad ni las ideas de la persona, sino una conducta concreta, vinculada con sus funciones y con información reservada a la que accede por su trabajo. La Ley Federal del Trabajo contempla en el artículo 47, fracción IX, como causa de rescisión sin responsabilidad para el patrón revelar asuntos de carácter reservado con perjuicio de la empresa, y el artículo 20 de la ley de datos mantiene el deber de confidencialidad incluso después de terminada la relación laboral. Lo determinante es la diferencia de naturaleza: una cosa es evaluar una conducta específica que afecta obligaciones del puesto, y otra distinta es explorar la vida privada de alguien para formarse una idea general de su carácter. Tampoco toda opinión ajena a la empresa constituye una falta: la Constitución protege en sus artículos 6 y 7 la libre manifestación de las ideas, y la valoración de cada caso exige vincular el contenido con una obligación laboral real.


Un uso acotado a la función

Dentro del Human Risk Management, entendido como la gestión estructurada de riesgos asociados a personas, funciones, accesos y decisiones, y no como vigilancia, la revisión de contenido público solo tiene sentido cuando existe una relación directa entre lo que se quiere verificar y un riesgo específico del puesto: por ejemplo, una función con acceso a información confidencial en la que un antecedente público de divulgación indebida sea pertinente. Eso supone definir de antemano qué se busca, quién lo revisa, qué se registra, qué se descarta sin guardarlo y cómo se informa a la persona. "Que algo sea público no lo vuelve relevante para el puesto. La pregunta que muchas veces se salta no es si se puede ver, sino si corresponde usarlo para esa decisión en particular", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, describe sus procesos como estructurados en función del rol, el riesgo y la exposición de cada posición, sin que esto implique que la compañía evalúe opiniones, creencias o rasgos de personalidad de las personas ni que garantice el cumplimiento normativo de ninguna empresa.


La pregunta que debería hacerse antes de abrir el perfil

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares no prohíbe, en términos expresos, mirar un perfil abierto, pero tampoco convierte esa posibilidad técnica en una autorización general. El reglamento actualizado de la ley sigue pendiente de publicación, de modo que subsisten zonas grises que cada empresa debe resolver con prudencia y con documentación. Para las áreas de RR.HH., Legal y Compliance, la pregunta útil no es si la información estaba disponible. Es si existía una razón, vinculada con el puesto, para ir a buscarla, y si la empresa podría explicársela a la persona afectada, a un juez o a la autoridad de protección de datos, que hoy es la Secretaría Anticorrupción y Buen Gobierno.


Fuentes y marco normativo consultado

• INEGI, Encuesta Nacional sobre Disponibilidad y Uso de Tecnologías de la Información en los Hogares (ENDUTIH) 2025, comunicado de prensa 32/26, 16 de junio de 2026 (86.1 % de la población usó internet, 104.9 millones de personas)

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-mar-2025; texto vigente en la Cámara de Diputados), arts. 2 fracciones VI y X, 5, 6, 8, 9, 12, 14 a 16 y 20

• Constitución Política de los Estados Unidos Mexicanos, arts. 1 (último párrafo), 6, 7 y 16

• Ley Federal del Trabajo, arts. 3, 47 fracción IX y 133 fracción I

• Ley Federal para Prevenir y Eliminar la Discriminación, arts. 1 fracción III y 9 fracción III

• Validato, Background Screening y Human Risk Management estructurados por rol: https://validato.ch/mx-es/human-risk