Cumplir con la protección de datos personales no consiste únicamente en publicar un aviso de privacidad. Una empresa necesita saber qué información obtiene, para qué la utiliza, quién puede acceder, cuánto tiempo la conserva, con quién la comparte y cómo responderá cuando una persona ejerza sus derechos o exista una vulneración de seguridad.
En este artículo
El aviso de privacidad es sólo una pieza. El cumplimiento debe poder demostrarse con procesos, responsables, controles de acceso, contratos, registros de atención, evidencia de seguridad y decisiones consistentes durante todo el ciclo de los datos.
La ley vigente cambió en 2025 y las referencias anteriores deben actualizarse
El 20 de marzo de 2025 se publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares. El decreto abrogó la ley publicada en 2010 y reasignó las funciones de vigilancia, verificación y sanción que anteriormente se asociaban al INAI.
Para empresas privadas, la autoridad identificada por la ley vigente es la Secretaría Anticorrupción y Buen Gobierno. La Secretaría puede interpretar administrativamente la ley, verificar su cumplimiento, resolver procedimientos de protección de derechos e imponer sanciones. Por ello, políticas, avisos, formatos y manuales que todavía mencionen exclusivamente al INAI deben revisarse antes de reutilizarse.
La revisión debe comprobar que las finalidades, categorías de datos, mecanismos ARCO, transferencias, medidas de seguridad y procesos internos correspondan a la operación actual de la empresa y al texto vigente.
Qué empresas están sujetas y qué información se protege
La ley aplica, en términos generales, a personas físicas y morales de carácter privado que tratan datos personales. El concepto de tratamiento es amplio: comprende obtención, uso, registro, organización, conservación, acceso, almacenamiento, transferencia, divulgación y disposición de información.
Un dato personal es cualquier información relacionada con una persona identificada o identificable. No se limita a nombre, correo o teléfono. También puede comprender identificadores, expedientes, ubicación, hábitos, historial de compras, imágenes, grabaciones, información laboral, financiera o patrimonial.
Los datos sensibles requieren un cuidado reforzado porque pueden afectar la esfera más íntima o generar discriminación o un riesgo grave. La ley menciona, entre otros, información de salud, genética, origen racial o étnico, creencias, opiniones políticas y preferencia sexual.
Identificación, contacto, relación comercial, registros de servicio y otros datos necesarios para una finalidad legítima.
Por regla general requieren consentimiento expreso, salvo las excepciones legales aplicables.
Requieren consentimiento expreso y por escrito, además de una justificación legítima y concreta para crear la base.
La relación laboral no elimina las obligaciones de información, seguridad, confidencialidad y conservación proporcional.
El cumplimiento debe seguir el ciclo de vida de los datos
El riesgo no aparece únicamente cuando la empresa recaba información. Puede surgir al reutilizarla para otra finalidad, compartirla con un proveedor, conservarla más tiempo del necesario o eliminarla sin atender obligaciones legales o contractuales.
La empresa debe poder explicar y controlar cada etapa del tratamiento.
¿Existe una finalidad legítima, informada y compatible con el tratamiento realizado?
¿La empresa puede demostrar quién accedió, qué hizo, con qué autorización y durante cuánto tiempo?
Cuando los datos dejan de ser necesarios para las finalidades informadas, la ley prevé su supresión, previo bloqueo cuando corresponda y una vez concluido el plazo de conservación aplicable. Por eso, una política de retención no debe limitarse a “guardar todo” ni a borrar automáticamente sin revisar obligaciones fiscales, laborales, contractuales o probatorias.
Seis controles mínimos para construir un programa de cumplimiento
La complejidad debe ser proporcional al tipo de información, el volumen de operaciones, los riesgos para las personas y las capacidades de la empresa. Aun así, un sistema básico necesita conectar al menos estas seis piezas:
Qué información existe, dónde se obtiene, qué sistemas la almacenan y quién puede acceder.
Para qué se trata cada categoría, qué finalidades son necesarias y cuándo se requiere consentimiento expreso.
Versiones correctas para clientes, candidatos, colaboradores, proveedores, visitantes y canales digitales.
Persona o departamento responsable, canal de recepción, verificación de identidad, plazos y evidencia de respuesta.
Medidas administrativas, técnicas y físicas, acceso por necesidad, capacitación y respuesta a incidentes.
Contratos, instrucciones, finalidades, ubicaciones, receptores y reglas para devolver o eliminar información.
En empresas sin un área jurídica interna, estos controles pueden integrarse dentro de una estructura de Gerencia Legal Externa, coordinando a responsables internos, tecnología, Recursos Humanos, operaciones y especialistas cuando la complejidad técnica lo requiera.
El aviso de privacidad debe corresponder al tratamiento real
La ley exige informar a la persona titular las características principales del tratamiento para que pueda tomar decisiones informadas. El aviso debe incluir, al menos, la identidad y domicilio del responsable; las categorías de datos, identificando los sensibles; las finalidades; las opciones para limitar uso o divulgación; los mecanismos para ejercer derechos ARCO; y el procedimiento para comunicar cambios.
No existe un único aviso que funcione para todos los canales. La información obtenida de una persona candidata, un colaborador, un cliente de comercio electrónico, un visitante, un proveedor o un usuario de una aplicación responde a finalidades y flujos distintos.
- Copiar un aviso genérico. Puede describir datos que la empresa no trata y omitir sistemas, finalidades o receptores que sí forman parte de la operación.
- Usar consentimiento para justificar cualquier finalidad. El consentimiento debe ser libre, específico e informado; además, existen tratamientos sustentados en relaciones jurídicas o excepciones legales que deben documentarse correctamente.
- Publicar el aviso sin integrarlo al punto de recolección. Debe ponerse a disposición de la persona en el momento y modalidad que corresponda al canal utilizado.
- No controlar versiones. La empresa debe poder identificar qué aviso estaba vigente cuando obtuvo los datos y cómo comunicó cambios materiales.
Cuando una relación comercial también involucra contratos, formularios, plataformas o servicios de terceros, conviene revisar la coherencia con los contratos empresariales y mecanismos de ejecución que regulan el acceso y uso de la información.
La empresa necesita un proceso real para atender derechos ARCO
Las personas pueden solicitar acceso, rectificación, cancelación u oposición respecto de sus datos personales. La ley también contempla oposición frente a determinados tratamientos automatizados que produzcan efectos jurídicos no deseados o afecten significativamente intereses, derechos o libertades.
Todo responsable debe fomentar la protección de datos dentro de la organización y designar a una persona o departamento que tramite estas solicitudes. La designación no sustituye el proceso: deben existir formatos, criterios de identidad, búsqueda en sistemas, responsables de aprobación y registro de cada respuesta.
Registrar la solicitud, confirmar al titular o representante y localizar los datos involucrados.
Informar si la solicitud procede, se niega total o parcialmente o requiere una respuesta fundada.
Cuando proceda, ejecutar el acceso, rectificación, cancelación u oposición y conservar evidencia.
Los plazos pueden ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen. La gratuidad es la regla, salvo costos limitados de reproducción, copias o envío en los supuestos previstos por la ley.
Las medidas de seguridad deben ser proporcionales al riesgo
La ley exige medidas administrativas, técnicas y físicas para proteger los datos contra daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado. La evaluación debe considerar el riesgo, las posibles consecuencias para las personas, la sensibilidad de los datos y el desarrollo tecnológico.
Controles que conviene documentar
- Gobierno y responsables definidos.
- Acceso limitado por funciones.
- Altas, cambios y bajas de usuarios.
- Contraseñas, autenticación y registros.
- Respaldos y recuperación.
- Capacitación y confidencialidad.
- Gestión de proveedores.
- Clasificación y retención.
- Respuesta a incidentes.
- Evidencia de revisiones y mejoras.
Cuando una vulneración de seguridad afecte de forma significativa los derechos patrimoniales o morales de las personas titulares, el responsable debe informarles de forma inmediata para que puedan tomar medidas de defensa. La ley no reduce esta obligación a una falla tecnológica: puede existir un incidente por envío al destinatario equivocado, pérdida de un dispositivo, acceso interno no autorizado, divulgación documental o configuración deficiente.
- Contener y preservar evidencia
Detener la exposición sin destruir registros necesarios para entender el alcance y las causas.
- Determinar datos y personas afectadas
Identificar categorías, sensibilidad, volumen, accesos, receptores y consecuencias posibles.
- Evaluar la obligación de informar
Revisar si existe una afectación significativa y preparar una comunicación clara, útil y coherente con los hechos.
- Corregir y documentar
Adoptar medidas para reducir el riesgo, actualizar controles y conservar el expediente del incidente.
Proveedores, encargados y transferencias deben estar gobernados
La contratación de plataformas, servicios de nube, nómina, marketing, soporte, reclutamiento o analítica no elimina la responsabilidad de la empresa respecto de los datos. Antes de habilitar el acceso, conviene definir el rol de cada proveedor, las instrucciones permitidas, las medidas de seguridad, los subcontratistas, la ubicación de la información y el tratamiento al concluir el servicio.
Cuando el responsable transfiere datos a un tercero nacional o extranjero distinto de la persona encargada, debe comunicar el aviso de privacidad y las finalidades a las que se sujetó el tratamiento. El aviso debe contemplar si la persona titular acepta la transferencia, salvo que exista una excepción legal aplicable.
El contrato debe reflejar qué información se entrega, para qué puede utilizarse, quién puede acceder, qué controles aplican, cómo se notifican incidentes y qué ocurre con los datos al terminar la relación.
Las sanciones dependen de la conducta, los datos y la reincidencia
La ley tipifica, entre otras conductas, omitir elementos del aviso, tratar datos contra los principios, incumplir confidencialidad, cambiar finalidades sin observar la ley, transferir datos indebidamente, vulnerar la seguridad cuando resulte imputable al responsable, obstruir verificaciones o recabar información de forma engañosa.
Rangos previstos en la ley
La gráfica expresa rangos legales en UMA; no representa una multa automática ni una estimación para un caso específico.
En infracciones relacionadas con datos sensibles, las sanciones pueden incrementarse hasta por dos veces. La autoridad debe considerar la naturaleza del dato, la intencionalidad, la capacidad económica y la reincidencia.
Las sanciones administrativas pueden coexistir con responsabilidades civiles o penales. Por ello, una evaluación de cumplimiento no debe enfocarse sólo en el valor potencial de una multa: también debe considerar interrupción operativa, reclamaciones, pérdida de evidencia, afectación contractual y reputación.
Cómo ordenar el cumplimiento sin convertirlo en un proyecto aislado
La protección de datos funciona mejor cuando se integra a procesos que la empresa ya utiliza: contratación, ventas, Recursos Humanos, compras, tecnología, seguridad, conservación documental y atención a clientes.
- Levantar un diagnóstico verificable
Identificar bases, sistemas, documentos, canales, proveedores, responsables y riesgos actuales.
- Priorizar tratamientos de mayor exposición
Atender primero datos sensibles, financieros, biométricos, grandes volúmenes, accesos remotos y procesos críticos.
- Alinear documentos con la operación
Actualizar avisos, consentimientos, contratos, políticas, formatos ARCO y protocolos de incidentes.
- Asignar responsables y evidencia
Definir quién aprueba, quién ejecuta, dónde se conserva el registro y cómo se demuestra cada control.
- Revisar cambios relevantes
Nuevas plataformas, campañas, integraciones, adquisiciones, proveedores o modelos automatizados pueden modificar finalidades y riesgos.
Ferreira puede acompañar la revisión jurídica y contractual, integrar el tema a la operación legal recurrente y coordinar especialistas técnicos o de privacidad cuando el alcance lo exija. Este enfoque es consistente con una asesoría orientada a decisiones y no con una promesa genérica de “cumplimiento total”.
El objetivo es poder demostrar cómo se toman y ejecutan las decisiones
Una empresa puede tener un aviso correctamente redactado y aun así incumplir si sus sistemas, contratos o equipos operan de manera distinta. También puede contar con controles tecnológicos y mantener debilidades jurídicas en finalidades, consentimientos, transferencias o derechos ARCO.
La revisión útil conecta norma, tecnología y operación. El resultado debe ser un sistema proporcional, entendible y capaz de generar evidencia cuando una persona, un cliente, un auditor o la autoridad cuestionen el tratamiento.
Fuentes y fecha de actualización
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto vigente. Nueva ley publicada el 20 de marzo de 2025.
- Decreto publicado en el Diario Oficial de la Federación el 20 de marzo de 2025.
- Versión sistematizada de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, actualizada con reformas publicadas el 14 de noviembre de 2025.
Fecha de corte jurídico: 28 de julio de 2026. El artículo se concentra en empresas privadas sujetas a la ley federal mexicana. No sustituye una auditoría de datos, seguridad, contratos, legislación sectorial, transferencias internacionales ni circunstancias específicas. Borrador sujeto a revisión jurídica de Ferreira antes de publicación.
¿Tu empresa necesita revisar cómo obtiene, utiliza o comparte datos personales?
Una revisión inicial permite identificar tratamientos, documentos y proveedores que requieren atención prioritaria. Ferreira puede ayudarte a ordenar el diagnóstico jurídico y definir una ruta de trabajo coordinada con las áreas operativas y técnicas.
Revisar el cumplimiento con Ferreira
.svg){kind=icon}
.svg)
.svg)
.svg)
