Términos de servicio y política de privacidad no son “letras chiquitas” inocuas, sino el contrato que define qué puede hacer una plataforma con tu contenido, tus datos y hasta con tu presencia en línea. En el caso de X (antes Twitter), ese contrato se ha ido convirtiendo en un documento cada vez más agresivo para el usuario, que combina una cesión amplísima de derechos sobre lo que publicas con un modelo de vigilancia comercial muy intrusivo. Para quienes usamos X desde México, esto no solo plantea dudas éticas y políticas, sino choques directos con la Ley Federal del Derecho de Autor, la Ley Federal de Protección de Datos Personales y la Ley Federal de Protección al Consumidor, que en teoría deberían equilibrar una relación de poder profundamente asimétrica.
La reciente actualización de los Términos de Servicio de X (antes Twitter) contiene varios puntos nocivos para el usuario final, especialmente para quien crea contenidos desde México, monetiza su presencia en redes o simplemente valora su privacidad y libertad de expresión. A continuación se desglosan los riesgos principales y se aterrizan en el contexto de la legislación mexicana.
La licencia sobre tu contenido y su choque con tus derechos de autor
X establece que, al publicar contenido, concedes una licencia mundial, gratuita, sublicenciable y transferible para usar, copiar, procesar, adaptar, modificar, publicar y distribuir tu contenido por cualquier medio y para cualquier propósito, incluidos usos comerciales y entrenamiento de modelos de IA, sin pagarte nada.
En México:
- La Ley Federal del Derecho de Autor reconoce al autor derechos patrimoniales y morales sobre su obra: el derecho a explotar económicamente la obra, pero también a exigir reconocimiento, a oponerse a deformaciones que la dañen, y a mantener su integridad.
- Los derechos morales son irrenunciables e inalienables en la legislación mexicana; cualquier contrato que pretenda eliminarlos, en principio, sería nulo en esa parte, aunque puedas otorgar licencias amplias de uso.
¿Qué implica esto? Aunque X pueda usar y sublicenciar tu contenido conforme a sus términos, en México seguirías siendo autor y podrías, en teoría, reclamar por usos que lesionen tus derechos morales (por ejemplo, deformar una obra de forma denigrante), aunque la plataforma se ampare en la licencia que le diste. En la práctica, litigar contra una empresa extranjera con fuero elegido en otra jurisdicción es costoso y difícil.
Moderación, censura y cierre de cuenta vs. libertad de expresión
X se reserva el derecho de eliminar contenido, limitar su difusión, suspender cuentas, reasignar nombres de usuario o cortar el acceso a sus servicios “en cualquier momento” por incumplimientos, riesgos legales o incluso por “inviabilidad comercial”, con amplísima discrecionalidad.
En el marco mexicano:
- La libertad de expresión está protegida por la Constitución (artículo 6 y 7), pero va dirigida principalmente frente a actos de autoridad, no frente a decisiones de empresas privadas.
- La Suprema Corte ha reconocido que las plataformas privadas no son, en principio, autoridades, por lo que su decisión de cancelar una cuenta o moderar contenido generalmente se ubica en el ámbito del derecho privado y la autonomía contractual.
Esto coloca al usuario en una posición de vulnerabilidad: a pesar de que socialmente X funciona como espacio de debate público, jurídicamente se reserva el derecho de expulsarte casi sin responsabilidad, y la protección constitucional mexicana no se traduce fácilmente en un derecho exigible a permanecer en la plataforma.
Publicidad, perfilado y datos personales bajo la LFPDPPP
Los Términos señalan que verás anuncios como condición de acceso y que X y sus socios podrán mostrarte publicidad personalizada, lo cual supone un perfilado intensivo con base en tu uso, interacciones e intereses.
Frente a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP):
- La LFPDPPP exige que el responsable del tratamiento informe claramente las finalidades del uso de datos, obtenga consentimiento cuando se traten datos sensibles, y permita al titular ejercer derechos ARCO (Acceso, Rectificación, Cancelación, Oposición).
- Las empresas extranjeras que recaban datos de usuarios en México también están sujetas a la ley cuando tratan datos en territorio nacional o a través de encargados establecidos en México, y, en todo caso, el usuario puede acudir al INAI para denunciar uso indebido de datos personales.
Problema práctico: aunque en teoría tienes derecho a oponerte a ciertos tratamientos o solicitar cancelación, el diseño de X te “empuja” a aceptar un tratamiento muy amplio para poder usar el servicio, lo que reduce la autodeterminación informativa a una aceptación casi forzada.
Renuncia de responsabilidades y su validez frente a la ley mexicana
X presta el servicio “tal cual” y “según disponibilidad”, renunciando a casi todas las garantías (calidad, seguridad, disponibilidad, exactitud) y limitando su responsabilidad económica total frente a ti a 100 dólares o al monto que le hayas pagado en los últimos seis meses.
Con relación a la Ley Federal de Protección al Consumidor (LFPC):
- La LFPC prohíbe cláusulas abusivas que limiten o eximan de responsabilidad al proveedor en casos de dolo o culpa grave, o que desequilibren en perjuicio del consumidor los derechos y obligaciones.
- La PROFECO tiene facultades para considerar abusivas ciertas cláusulas de adhesión en contratos celebrados con consumidores mexicanos, incluso si el proveedor es extranjero con actividades dirigidas al mercado mexicano.
En otras palabras, aunque aceptes los Términos, no todo lo que se pacte es automáticamente válido en México: una renuncia total a responsabilidad podría considerarse abusiva, especialmente en casos de fallas graves, omisiones dolosas o prácticas engañosas. El problema vuelve a ser de viabilidad: activar estos mecanismos contra una corporación global es complejo y suele rebasar las posibilidades de un usuario individual.
Acceso a tu información, cooperación con autoridades y vigilancia
X indica que puede acceder, leer, preservar y divulgar cualquier información que considere necesaria para cumplir leyes, investigar violaciones, prevenir fraude o proteger sus derechos.
En México, esto se cruza con dos planos:
- Datos personales: la LFPDPPP exige medidas de seguridad y principios de proporcionalidad; divulgar más información de la necesaria o sin base legal podría vulnerar esa ley, aunque X se ampare en obligaciones legales de otras jurisdicciones.
- Vigilancia estatal: en México ya existen precedentes de vigilancia a través de herramientas como Pegasus; la cooperación de plataformas con autoridades, incluso extranjeras, podría derivar en accesos indirectos a conversaciones o metadatos de usuarios mexicanos, con impactos en derechos a la privacidad y al debido proceso.
En la práctica, el usuario rara vez sabe qué se comparte, con quién y bajo qué criterios; el TOS se limita a una fórmula general que habilita transferencias muy amplias.
“Daños liquidados” y su posible choque con el orden público
Una cláusula particularmente agresiva de X establece que, si accedes o haces que otros accedan a más de un millón de publicaciones en 24 horas infringiendo los Términos (por ejemplo, scrapers, minería masiva de datos), aceptas pagar 15 000 dólares (o euros) por cada millón de posts como “daños liquidados”.
Desde el prisma mexicano:
- El Código Civil mexicano permite pactar penas convencionales, pero prohíbe que sean desproporcionadas o contrarias al orden público; los jueces pueden moderarlas si resultan excesivas.
- Una cláusula estandarizada, impuesta a todo usuario, con una penalidad fija y muy elevada, podría considerarse desproporcionada si se intentara ejecutar frente a un usuario mexicano, especialmente si no hay daño real demostrable.
Es decir, X puede usar esta cláusula como herramienta intimidatoria y como base para reclamaciones en su jurisdicción, pero su eficacia automática en México no está garantizada y, de ser judicializada aquí, podría ser reducida o declarada inválida en parte.
¿Qué puede hacer un usuario mexicano?
Ante este escenario, algunas estrategias mínimas de autoprotección para usuarios en México serían:
- Evitar publicar obras inéditas de alto valor (literarias, visuales, musicales) en X como primer lugar de explotación; mejor usarla como escaparate parcial y dirigir al público a plataformas donde conserves más control contractual.
- Separar identidades: no mezclar datos personales sensibles (teléfono, dirección, información financiera) con la identidad pública en X y limitar la información que se entrega a la plataforma.
- Conservar respaldos: nunca depender de X como archivo principal de tu trabajo; guarda copias locales y en otros servicios.
- En caso de abuso grave (uso no autorizado de datos sensibles, publicidad engañosa, filtración de datos), considerar acudir a PROFECO o al INAI, dependiendo de si se trata de un tema de consumo o de protección de datos personales, documentando evidencias y términos aceptados.
Para un creador de contenido mexicano, el mensaje de fondo es claro: X no es un socio, es un intermediario con poder contractual abrumador. Usarlo implica aceptar una cesión amplia de control a cambio de alcance, y la ley mexicana ofrece ciertas defensas, pero no compensa el desequilibrio estructural del contrato que firmas con un clic.
En cuanto a la política de privacidad de X, dibuja un modelo de vigilancia comercial muy intrusivo: se recogen y cruzan enormes volúmenes de datos, se construyen perfiles detallados y se usan para publicidad e IA, todo con márgenes amplios para compartir con terceros y autoridades. En México, esto se cruza de lleno con la Ley Federal de Protección de Datos Personales, recientemente reformada, que en teoría ofrece herramientas de defensa, pero en la práctica deja al usuario individual en clara desventaja frente a una plataforma global.
Qué datos recoge X y por qué es problemático
X no solo recoge lo que publicas, sino prácticamente todo lo que haces dentro del servicio: publicaciones, likes, reposts, DMs, historial de visualización, búsquedas, interacción con anuncios, datos de ubicación aproximada o precisa, datos de dispositivo y metadatos técnicos. Además puede reunir información de contactos, información financiera (número de tarjeta, dirección, CVV en algunos casos) y, “según tu consentimiento”, datos biométricos (por ejemplo, rasgos faciales para verificación).
En México, la nueva LFPDPPP de 2025 considera los biométricos y ciertos datos financieros como datos personales sensibles, que requieren consentimiento informado, finalidades claramente delimitadas y medidas de seguridad reforzadas, con multas que pueden llegar a decenas de millones de pesos por uso indebido. La amplitud de lo que X dice poder recolectar y el carácter “global” de ese tratamiento abre un frente delicado: se nutre de información de usuarios mexicanos, pero el control efectivo se ejerce desde fuera, con poca claridad sobre cómo se cumple el estándar mexicano de minimización y seguridad de datos.
Perfilado, identidad inferida y pérdida de anonimato
La política de X indica que puede usar cookies, identificadores móviles y señales de actividad para inferir tu identidad incluso si no inicias sesión, vinculando navegadores, dispositivos, correos y teléfonos para construir un solo perfil. Esto significa que aunque cambies de cuenta o intentes navegar “de incógnito”, X puede seguir asociando tu comportamiento con un mismo individuo y combinarlo con información de socios publicitarios y otras empresas del grupo.
La LFPDPPP exige que el tratamiento sea leal, proporcional y limitado a las finalidades informadas en el aviso de privacidad, además de reconocer el derecho de oposición (la “O” de ARCO) cuando el tratamiento se haga para finalidades secundarias como marketing o perfilado. Sin embargo, X diseña el servicio de forma que negar ese tratamiento implica, en la práctica, dejar de usar la plataforma o perder funcionalidades, lo que convierte el “consentimiento” en algo más cercano a una imposición de contrato de adhesión que a una decisión libre y genuina, una situación difícil de impugnar usuario por usuario.
IA, publicidad personalizada y reutilización de datos
X declara que puede utilizar datos personales y “información disponible públicamente” para entrenar modelos de aprendizaje automático e inteligencia artificial con fines de seguridad, moderación, recomendaciones y otros usos, e incluso que algunos terceros que reciben datos pueden emplearlos para entrenar sus propios modelos generativos. Al mismo tiempo, usa tus datos para personalizar anuncios dentro y fuera de X, combinando tu actividad con datos de anunciantes, socios de medición y data brokers.
Con la reforma de 2025, la ley mexicana obliga a distinguir claramente entre finalidades que requieren consentimiento (por ejemplo, publicidad conductual o ciertos usos de IA) y aquellas que no, e impone estándares más altos de transparencia y responsabilidad proactiva para los responsables y encargados. El problema para el usuario mexicano es que esa transparencia suele diluirse en avisos extensos y poco claros; la distancia entre el estándar legal y lo que realmente comprende un usuario al aceptar la política de X es enorme, aunque en teoría podría acudir a la nueva autoridad de protección de datos para denunciar usos no informados o desproporcionados.
Compartición con terceros y autoridades
La política de X permite compartir datos con: proveedores tecnológicos, socios publicitarios, integraciones de terceros, empresas del mismo grupo y “colaboradores” que puedan tratarlos para sus propios fines, salvo que te excluyas cuando exista esa opción. También se reserva la facultad de conservar y revelar información a autoridades gubernamentales, tanto por requerimientos legales como para “proteger el interés público”, prevenir delitos o defender sus propios derechos, cláusulas muy amplias y abiertas a interpretación.
En México, la protección de datos personales es un derecho humano reconocido a nivel constitucional, y la LFPDPPP obliga a que toda transferencia de datos a terceros, especialmente al extranjero, se haga bajo ciertas garantías contractuales y con base en finalidades legítimas y proporcionadas. Tras la reforma que extingue al INAI y traslada sus funciones a una Secretaría de Anticorrupción y Buen Gobierno, la supervisión y sanción de incumplimientos de empresas como X dependerá de cómo se organice y actúe esta nueva autoridad, lo que introduce además un factor de incertidumbre institucional para los titulares mexicanos.
Conservación prolongada y dificultad para ejercer derechos
X indica que conserva tus datos mientras exista tu cuenta, y que ciertos registros (por ejemplo, transacciones, logs de seguridad y datos necesarios para hacer cumplir sus términos) pueden guardarse durante años o incluso de forma indefinida para prevenir abusos o evasión de bloqueos. Aun si borras tu cuenta, reconoce que copias de tu contenido pueden seguir accesibles mediante cachés, búsquedas externas o terceros que ya lo replicaron, lo que limita de facto tu derecho al olvido.
La LFPDPPP reconoce derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) y obliga a los responsables a establecer mecanismos sencillos y expeditos para que el titular pueda ejercerlos, así como a suprimir datos cuando hayan dejado de ser necesarios para las finalidades que motivaron su recabación. En teoría, un usuario mexicano puede exigir a X la eliminación de ciertos datos y denunciar ante la autoridad si no se cumple; en la práctica, el diseño global de la plataforma y el efecto cascada (copias en cachés, terceros y backups) hacen que la cancelación sea parcial y que el rastro digital persista mucho más allá de lo que la intuición del usuario sugiere.
Qué puede hacer un usuario mexicano
Ante este panorama, hay algunas medidas mínimas de autoprotección alineadas con la legislación mexicana:
- Limitar la entrega de datos sensibles: evitar subir documentos oficiales, datos biométricos fuera de lo estrictamente necesario y centralizar información financiera en el menor número de servicios; la ley mexicana considera especialmente graves los abusos con datos sensibles y biométricos.
- Ejercer derechos ARCO cuando haya incidentes: si X hace un uso claramente abusivo (por ejemplo, filtraciones, usos no informados de datos delicados), documentar el caso y presentar una reclamación formal ante la nueva autoridad de datos personales, invocando la LFPDPPP y las obligaciones de seguridad y minimización.
- Tratar X como un espacio de exposición, no de confianza: asumir que todo lo que se haga en la plataforma puede ser leído, perfilado, conservado y cruzado; usarla para difusión controlada, nunca como repositorio principal de identidad, relaciones o archivos importantes.
En términos jurídicos, la política de privacidad de X va al límite de lo aceptable para un contexto como el mexicano: explota al máximo la asimetría de información y de poder entre usuario y plataforma, y confía en que muy pocos usuarios recurrirán a las herramientas de defensa que la ley les da. ¿Vale el alcance que ofrece X el precio en control y privacidad que exige?
FUENTES DOCUMENTALES
[1] Ley Federal de Protección de Datos Personales en Posesión de los Particulares https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
[2] Ley Federal de Protección al Consumidor https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPC.pdf