Diagnóstico

Aviso de privacidad: los seis elementos que exige la ley de 2025 y cómo revisarlos

El aviso de privacidad es el documento de datos personales que más se copia y el que más fácilmente revisa una autoridad. Seis elementos deciden si cumple.

Equipo del área de Datos Personales de LEXURE 7 min de lectura Vigencia normativa verificada en 2026

El aviso de pri­va­ci­dad suele resol­verse copiando el de otra empresa y cam­biando el nombre. Es el docu­mento de datos per­so­na­les más visi­ble y el pri­mero que pide la auto­ri­dad. Tam­bién es el que con más faci­li­dad revela que la empresa no sabe qué datos trata ni para qué. Revi­sarlo contra la ley de 2025 toma poco tiempo y evita una de las multas más fáci­les de impo­ner.

Qué exige la norma

El deber de infor­mar. El res­pon­sa­ble debe infor­mar a los titu­la­res qué infor­ma­ción recaba y con qué fines, por medio del aviso de pri­va­ci­dad (artículo 14 de la Ley Fede­ral de Pro­tec­ción de Datos Per­so­na­les en Pose­sión de los Par­ti­cu­la­res).

El con­te­nido mínimo. El aviso debe con­te­ner, al menos (artículo 15):

  1. La iden­ti­dad y el domi­ci­lio del res­pon­sa­ble.
  2. Los datos per­so­na­les que se tra­ta­rán, iden­ti­fi­cando los sen­si­bles.
  3. Las fina­li­da­des del tra­ta­miento, dis­tin­guiendo las que requie­ren con­sen­ti­miento del titu­lar.
  4. Las opcio­nes y medios para limi­tar el uso o la divul­ga­ción de los datos.
  5. Los meca­nis­mos, medios y pro­ce­di­mien­tos para ejer­cer los dere­chos de acceso, rec­ti­fi­ca­ción, can­ce­la­ción y opo­si­ción.
  6. El pro­ce­di­miento y el medio para comu­ni­car los cam­bios al aviso.

Cómo y cuándo se entrega. Si los datos se obtie­nen per­so­nal­mente en for­mato impreso, el aviso se da a cono­cer en ese momento. Si se obtie­nen por medios elec­tró­ni­cos o cual­quier otra tec­no­lo­gía, se pro­por­ciona en moda­li­dad sim­pli­fi­cada, con al menos los pri­me­ros cuatro ele­men­tos y la indi­ca­ción del sitio donde puede con­sul­tarse el aviso com­pleto (artículo 16). Si los datos no se obtu­vie­ron direc­ta­mente del titu­lar, el aviso debe darse a cono­cer en el primer con­tacto (artículo 17).

El con­sen­ti­miento. Por regla gene­ral basta el con­sen­ti­miento tácito: si el aviso se puso a dis­po­si­ción y el titu­lar no se opone, se entiende que con­siente (artículo 7). Pero los datos finan­cie­ros o patri­mo­nia­les requie­ren con­sen­ti­miento expreso, salvo las excep­cio­nes de la ley, y los datos sen­si­bles requie­ren con­sen­ti­miento expreso y por escrito, mediante firma autó­grafa, firma elec­tró­nica u otro meca­nismo de auten­ti­ca­ción (artícu­los 7 y 8). Si la empresa quiere usar los datos para una fina­li­dad dis­tinta a la infor­mada, debe reca­bar de nuevo el con­sen­ti­miento (artículo 11).

Trans­fe­ren­cias. Si los datos se comu­ni­ca­rán a ter­ce­ros dis­tin­tos de los encar­ga­dos, el aviso debe con­te­ner una cláu­sula que indi­que si el titu­lar acepta o no la trans­fe­ren­cia (artículo 35), salvo los supues­tos en que la ley la per­mite sin con­sen­ti­miento, como la trans­fe­ren­cia a empre­sas del mismo grupo que operen bajo las mismas polí­ti­cas (artículo 36).

Lo que la ley no men­ciona. La ley vigente no regula el lla­mado "aviso corto", que pro­viene de linea­mien­tos emi­ti­dos bajo el régi­men ante­rior. Tam­poco existe en México una regla de con­sen­ti­miento previo para cookies equi­va­lente a la euro­pea: el Regla­mento de 2011 exige infor­mar, en el momento, el uso de tec­no­lo­gías que reca­ban datos de forma auto­má­tica y cómo des­ha­bi­li­tar­las (artículo 14, tercer párrafo, del Regla­mento). Es razo­na­ble usar esas herra­mien­tas como buena prác­tica, siem­pre que no se fun­da­men­ten como si fueran la ley vigente.

Qué debe hacer y en qué plazo

  1. Levante un inven­ta­rio real de los datos que su empresa recaba por cada canal: sitio web, apli­ca­cio­nes, for­mu­la­rios, con­tra­tos, recur­sos huma­nos y video­vi­gi­lan­cia.
  2. Redacte o corrija el aviso inte­gral para que con­tenga los seis ele­men­tos del artículo 15 y refleje ese inven­ta­rio, sin fina­li­da­des gené­ri­cas.
  3. Pre­pare un aviso sim­pli­fi­cado para cada canal elec­tró­nico, con los cuatro pri­me­ros ele­men­tos y el vín­culo al inte­gral.
  4. Separe las fina­li­da­des que requie­ren con­sen­ti­miento, como la mer­ca­do­tec­nia, de las nece­sa­rias para la rela­ción con el titu­lar.
  5. Obtenga con­sen­ti­miento expreso para datos finan­cie­ros o patri­mo­nia­les y con­sen­ti­miento expreso y por escrito para datos sen­si­bles.
  6. Actua­lice las citas lega­les a la nume­ra­ción de 2025 y eli­mine las refe­ren­cias al INAI.
  7. Con­serve evi­den­cia de que el aviso se puso a dis­po­si­ción en cada canal, con fecha y ver­sión.

Recomendaciones para mitigar riesgos

Omitir en el aviso alguno o todos los ele­men­tos del artículo 15 se san­ciona con multa de 100 a 160,000 UMA (de 11,731 a 18,769,600 pesos; de once mil sete­cien­tos treinta y un pesos a die­cio­cho millo­nes sete­cien­tos ses­enta y nueve mil seis­cien­tos pesos), con­forme a los artícu­los 58, frac­ción V, y 59, frac­ción II. Si el aviso no dice la verdad sobre las fina­li­da­des y la empresa usa los datos para otra cosa, la con­ducta puede encua­drar en el cambio sus­tan­cial de fina­li­dad sin con­sen­ti­miento (artículo 58, frac­ción IX), o en la trans­fe­ren­cia sin comu­ni­car el aviso al recep­tor (frac­ción X). Ambas se san­cio­nan con multa de 200 a 320,000 UMA (de 23,462 a 37,539,200 pesos; de vein­ti­trés mil cua­tro­cien­tos ses­enta y dos pesos a treinta y siete millo­nes qui­nien­tos treinta y nueve mil dos­cien­tos pesos), con­forme a la frac­ción III del artículo 59. La auto­ri­dad indi­vi­dua­liza la multa con­si­de­rando, entre otros ele­men­tos, la natu­ra­leza del dato y la capa­ci­dad eco­nó­mica del res­pon­sa­ble (artículo 60).

Autoevaluación

Res­ponda sí o no sobre su propia empresa.

  1. ¿Su aviso inte­gral con­tiene los seis ele­men­tos del artículo 15?
  2. ¿Tiene un aviso sim­pli­fi­cado en cada canal elec­tró­nico donde recaba datos?
  3. ¿El aviso iden­ti­fica qué datos sen­si­bles trata, si los trata?
  4. ¿Dis­tin­gue las fina­li­da­des que requie­ren con­sen­ti­miento de las nece­sa­rias para la rela­ción?
  5. ¿Obtiene con­sen­ti­miento expreso y por escrito para datos sen­si­bles?
  6. ¿Las citas lega­les de su aviso corres­pon­den a la ley de 2025?
  7. ¿Puede demos­trar con fecha y ver­sión que el aviso estuvo a dis­po­si­ción en cada canal?

Cómo lo abordamos en LEXURE

Par­ti­mos del inven­ta­rio de datos de su empresa: mapea­mos qué recaba, por qué canal y para qué, y con ese mapa redac­ta­mos el aviso inte­gral, los avisos sim­pli­fi­ca­dos y los meca­nis­mos de con­sen­ti­miento. Tam­bién deja­mos el pro­ce­di­miento para actua­li­zar el aviso cada vez que cambie un pro­ceso, porque es enton­ces cuando los avisos suelen dejar de refle­jar la rea­li­dad.

Si su aviso de pri­va­ci­dad es ante­rior a la ley de 2025 o fue copiado de otra empresa, agende una reu­nión de diag­nós­tico con noso­tros.

Agendar reunión de diagnóstico Ver las líneas de servicio

Fundamento

  1. Ley Federal de Protección de Datos Personales en Posesión de los Particulares, artículos 7, 8, 11, 14, 15, 16, 17, 35, 36, 58, fracciones V, IX y X, 59 y 60. Texto vigente (se abre en otra pestaña)
  2. Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, artículo 14. Texto publicado (se abre en otra pestaña)
  3. Valor de la Unidad de Medida y Actualización 2026, INEGI. Publicación oficial (se abre en otra pestaña)

Esta nota es informativa y describe la norma vigente a la fecha de verificación. No constituye opinión legal sobre un caso concreto.

Siga leyendo

Notas relacionadas.

Ver todas las notas