IMSS, SAT y SHF: SABG detecta fallas en datos personales; estos son los casos

MÉXICO.- La Secretaría Anticorrupción y Buen Gobierno (SABG) detectó incumplimientos relacionados con la protección de datos personales en nueve institutos nacionales de salud, el Instituto Mexicano del Seguro Social (IMSS), Sociedad Hipotecaria Federal (SHF) y el Servicio de Administración Tributaria (SAT). (Buen Gobierno)

Los casos forman parte de las 122 investigaciones y 60 verificaciones iniciadas en el sector público entre el 1 de septiembre de 2025 y el 30 de junio de 2026.

Los datos aparecen en el Segundo Informe de Labores 2025-2026 de la SABG, documento presentado por la dependencia para reportar sus actividades. El informe destaca cuatro asuntos relacionados con el tratamiento y seguridad de información personal: un sistema de expedientes clínicos sin la certificación de seguridad requerida, la publicación de una base de datos del IMSS, un ataque de ransomware contra la SHF y la extracción y divulgación de información de un contribuyente del SAT. Gobierno de México

México

¿Te pueden meter a la cárcel por hacer un meme del gobierno?

¿Qué detectó la SABG en el IMSS, SAT y SHF?

Los cuatro casos señalados en el informe involucran distintos tipos de vulneraciones y responsabilidades. La dependencia describe tanto deficiencias en sistemas de seguridad como acciones realizadas por personas con acceso autorizado a información.

• Nueve institutos nacionales de salud: utilizaban un sistema de expediente clínico electrónico que no contaba con la certificación de seguridad necesaria. El informe señala que los diagnósticos, tratamientos y otros datos sensibles de pacientes no estaban protegidos conforme a las exigencias legales.
• IMSS: un empleado con acceso autorizado copió indebidamente una base de datos con información de derechohabientes del sistema Modelo Preventivo de Enfermedades Crónicas (MPEC) y posteriormente la publicó en Internet. El expediente fue remitido a las autoridades competentes para determinar las responsabilidades administrativas y penales correspondientes.
• Sociedad Hipotecaria Federal: la institución sufrió un ataque mediante ransomware que comprometió sistemas utilizados para el tratamiento de datos personales. De acuerdo con el informe, la vulneración comenzó cuando un usuario con credenciales válidas estableció una conexión desde el exterior, lo que permitió la contaminación y propagación del virus.
• SAT: un servidor público con acceso a información extrajo datos personales de un contribuyente sin justificación. Esa información fue divulgada y ofrecida como ejemplo de datos a la venta. Una investigación forense realizada por la SABG y el SAT permitió identificar al servidor público señalado y se dio vista al Órgano Interno de Control, que presentó una denuncia penal.

¿Qué medidas ordenó la Secretaría Anticorrupción?

En el caso de los nueve institutos nacionales de salud, la SABG ordenó corregir las políticas correspondientes, actualizar los sistemas y capacitar al personal en un plazo de 40 días hábiles.

Para la SHF, además de las medidas administrativas, técnicas y físicas adoptadas tras el incidente, la resolución ordenó dar vista a su Órgano Interno de Control para determinar si existen responsabilidades.

En el caso del SAT, la investigación derivó en una denuncia penal presentada por el Órgano Interno de Control. La información proporcionada por la SABG no establece en este informe una resolución penal definitiva sobre el caso.

¿Cuántos casos de datos personales revisó la SABG en el sector privado?

El informe también reporta las actividades relacionadas con solicitudes sobre el tratamiento de datos personales en poder de instituciones públicas o particulares.

Durante el periodo de referencia, en el sector privado se recibieron 294 asuntos y se resolvieron 298. La SABG señala que en distintos casos consiguió que las empresas respondieran a las solicitudes o que las partes alcanzaran acuerdos mediante conciliación.

Además, por incumplimientos de la legislación se recibieron 76 asuntos relacionados con la imposición de sanciones a empresas y se resolvieron 71.

Las cifras reportadas por la dependencia son:

• 294 asuntos recibidos sobre tratamiento de datos personales en el sector privado.
• 298 asuntos resueltos.
• 76 asuntos recibidos para imposición de sanciones.
• 71 asuntos de sanción resueltos.
• 118.5 millones de pesos en multas aplicadas por infracciones relacionadas con datos personales.

En un balance presentado por la titular de la SABG, Raquel Buenrostro, la dependencia informó además que había sancionado a 51 particulares en materia de datos personales, con multas por 118.5 millones de pesos. Gobierno de México

México

Octubre: Terminación de celulares que dejarán de funcionar

¿Qué pueden hacer las personas ante el uso indebido de sus datos?

La SABG señala que las personas titulares de los datos pueden presentar denuncias cuando consideren que su información personal fue utilizada indebidamente. Dependiendo de la conducta, también pueden acudir ante las autoridades competentes en materia penal.

El reporte se enmarca en las funciones de protección de datos personales que la SABG asumió tras la transferencia de atribuciones que anteriormente correspondían al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). En septiembre, la dependencia informó que absorbió 80% de las funciones del organismo y que había resuelto 8 mil 222 recursos. Gobierno de México

La SABG también informó que trabaja en un proyecto de nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, elaborado a partir de referencias internacionales y del diálogo con el sector privado, después de participar en la actualización de los Estándares Iberoamericanos de Protección de Datos 2026.

Para la presentación de denuncias, la dependencia ha señalado como canal electrónico Denuncias MX, disponible las 24 horas, los 365 días del año, además de sus módulos de atención.