El 20 de marzo de 2025 se publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Para una empresa que recopila nombres, teléfonos, correos, identificaciones, datos de clientes o información de colaboradores, el cambio es una oportunidad para revisar si su Aviso de Privacidad y sus procesos internos realmente describen lo que hace con los datos.
El Aviso de Privacidad debe reflejar el tratamiento real
La ley establece que el tratamiento debe limitarse a las finalidades previstas en el Aviso de Privacidad. Si el responsable pretende utilizar los datos para una finalidad distinta, puede requerirse un nuevo consentimiento.
Esto significa que copiar un aviso genérico de internet no es una buena práctica. El documento debe corresponder con los formularios, sistemas, proveedores y procesos que realmente utiliza la empresa.
Información mínima que debe contemplar
El artículo 15 de la ley señala elementos mínimos, entre ellos identidad y domicilio del responsable, datos personales tratados, finalidades, mecanismos para limitar uso o divulgación, medios para ejercer derechos ARCO y forma en que se comunicarán cambios al aviso.
Cuando los datos se obtienen por medios electrónicos, la ley también prevé una modalidad simplificada y la indicación del sitio donde puede consultarse el aviso integral.
Derechos ARCO: no basta con mencionarlos
Acceso, Rectificación, Cancelación y Oposición deben tener un mecanismo real de atención. La ley permite que la persona titular presente una solicitud y obliga al responsable a comunicar una determinación en un plazo máximo de veinte días.
Si resulta procedente, la determinación debe hacerse efectiva dentro de los quince días siguientes. Una empresa necesita saber quién recibe esas solicitudes, cómo identifica al titular y dónde documenta la respuesta.
Seguridad administrativa, técnica y física
La ley obliga a mantener medidas de seguridad administrativas, técnicas y físicas para proteger datos contra daño, pérdida, alteración, destrucción, uso o acceso no autorizado.
Eso lleva el cumplimiento más allá del documento legal. Contraseñas, permisos, respaldos, expedientes, proveedores, dispositivos y manejo de documentos impresos forman parte del mismo sistema de protección.
Qué revisar en un sitio web
| Elemento | Pregunta de control | Acción |
|---|---|---|
| Formulario | ¿Qué datos pide realmente? | Eliminar campos innecesarios |
| Aviso | ¿Describe finalidades y responsable? | Actualizar contenido |
| Checkbox | ¿Se presenta el aviso antes del envío? | Integrar aceptación cuando corresponda |
| Proveedores | ¿Terceros reciben datos? | Revisar contratos y transferencias |
| Seguridad | ¿Quién accede a la información? | Definir permisos y controles |
Vulneraciones de seguridad
La ley dispone que las vulneraciones que afecten significativamente los derechos patrimoniales o morales de las personas titulares deben informarse de forma inmediata para que puedan tomar medidas de defensa.
La empresa debería definir desde antes cómo detectará una incidencia, quién evaluará su impacto y qué información necesitará conservar. Improvisar después de una pérdida de datos aumenta el riesgo operativo.
Checklist de actualización 2026
- Comparar el Aviso de Privacidad contra los datos que realmente se recopilan.
- Revisar finalidades y eliminar usos que ya no existen.
- Definir responsable interno de solicitudes ARCO.
- Documentar controles de seguridad y accesos.
- Revisar transferencias a proveedores o terceros.
- Mantener un procedimiento para incidentes de seguridad.
- Verificar que formularios y páginas enlacen al aviso integral.
Cumplimiento documental y operativo deben coincidir
Un aviso bien escrito pierde valor si el negocio utiliza datos de una manera distinta. El objetivo debería ser que documento, tecnología y operación describan el mismo flujo.
En 2026, una revisión preventiva es especialmente recomendable para empresas que conservaron durante años el mismo aviso sin actualizarlo, que migraron a nuevos sistemas o que comenzaron a recopilar más información a través de su sitio, CRM o campañas digitales.
Datos sensibles y minimización
La ley distingue los datos personales sensibles y exige especial cuidado. Una empresa debería cuestionar si realmente necesita recopilar cada dato que solicita. Pedir información que no es necesaria aumenta exposición sin aportar valor al proceso.
La minimización también ayuda a simplificar sistemas, formularios y controles. Cuantos menos datos innecesarios se almacenan, menor es la superficie que debe protegerse y más claro resulta explicar las finalidades a la persona titular.
Proveedores que procesan información
CRM, plataformas de correo, sistemas de formularios, servicios de almacenamiento y proveedores tecnológicos pueden intervenir en el tratamiento de datos. La empresa debería identificar qué terceros reciben información y bajo qué condiciones.
No basta con saber que existe un proveedor. Conviene revisar responsabilidades, instrucciones de tratamiento, seguridad y transferencias. La operación real debe coincidir con lo que se comunica en el Aviso de Privacidad.
El formulario web es parte del cumplimiento
Un sitio puede tener un Aviso de Privacidad correcto y aun así presentar fallas si el formulario recopila más información de la declarada, si la liga está escondida o si los datos terminan en cuentas personales sin control.
Por eso la revisión debería hacerse de extremo a extremo: qué ve el usuario, qué envía, dónde se almacena, quién recibe el mensaje, cuánto tiempo se conserva y cómo puede ejercer sus derechos.
Fuentes consultadas
Este artículo se preparó con información oficial disponible al momento de su publicación.