Una persona escribe al correo general de la empresa para pedir que borren sus datos. Nadie sabe a quién turnarlo, el mensaje se pierde y, semanas después, llega un requerimiento de la autoridad. Así empiezan muchos procedimientos en materia de datos personales, sin que haya de por medio una vulneración: basta una solicitud que nadie atendió a tiempo.
Qué exige la norma
Los cuatro derechos. El titular puede acceder a sus datos, pedir su rectificación cuando sean inexactos o incompletos, solicitar su cancelación y oponerse a su tratamiento (artículos 22 a 26 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares). El ejercicio de uno no es requisito ni impide el de otro (artículo 21), y puede ejercerlos en cualquier momento, por sí o por su representante (artículo 27).
La solicitud. Debe contener el nombre del titular y un medio para recibir notificaciones, los documentos que acrediten su identidad o la de su representante, la descripción de los datos y del derecho que se ejerce, y cualquier elemento que facilite localizarlos (artículo 28). En la rectificación, el titular debe indicar las modificaciones y aportar la documentación que las sustente (artículo 30).
Los plazos. El responsable debe comunicar su determinación en un máximo de veinte días contados desde que recibió la solicitud y, si resulta procedente, hacerla efectiva dentro de los quince días siguientes a la respuesta. Ambos plazos pueden ampliarse una sola vez por un periodo igual, cuando las circunstancias lo justifiquen (artículo 31). Para efectos de la ley, los días son hábiles. En el derecho de acceso, la entrega procede previa acreditación de la identidad.
Cómo se cumple el acceso. El responsable pone los datos a disposición del titular o los entrega mediante copias simples, documentos electrónicos u otro medio que señale en el aviso de privacidad (artículo 32).
La cancelación no siempre es inmediata. La cancelación da lugar a un periodo de bloqueo antes de la supresión definitiva (artículo 24), y el responsable no está obligado a cancelar en los supuestos del artículo 25, por ejemplo cuando los datos deban conservarse por disposición legal o para cumplir obligaciones derivadas de la relación con el titular.
Cuándo puede negarse. El responsable puede negar el ejercicio cuando el solicitante no esté acreditado, los datos no estén en su posesión, se lesionen derechos de un tercero, exista impedimento legal o resolución de autoridad, o la rectificación, cancelación u oposición ya se haya realizado. La negativa puede ser parcial y debe comunicarse con su motivo, en los mismos plazos y por el mismo medio de la solicitud (artículo 33).
El costo. El ejercicio es gratuito; solo pueden cobrarse los costos de reproducción, copias o envío. Si el titular reitera su solicitud en menos de doce meses, el costo no puede exceder de tres veces la UMA, es decir 3 UMA (351.93 pesos; trescientos cincuenta y un pesos con noventa y tres centavos), salvo cambios sustanciales al aviso (artículo 34).
Lo que sigue si el titular no queda conforme. Puede presentar una solicitud de protección de derechos ante la Secretaría Anticorrupción y Buen Gobierno (artículo 40). La Secretaría debe resolver en un plazo máximo de cincuenta días, ampliable una vez (artículo 42), y si la resolución es favorable al titular, el responsable debe cumplirla en diez días e informar a la autoridad dentro de los diez siguientes (artículo 43).
Qué debe hacer y en qué plazo
- Publique en su aviso de privacidad un medio específico para presentar solicitudes y el procedimiento para hacerlo.
- Lleve un registro de cada solicitud con fecha de recepción, fecha límite de respuesta y fecha de cumplimiento, calculadas en días hábiles.
- Defina quién valida la identidad del solicitante y con qué documentos, antes de entregar información.
- Prepare respuestas modelo para cada derecho, incluida la negativa fundada en las causas del artículo 33.
- Identifique qué datos deben conservarse por disposición legal, para aplicar correctamente el bloqueo y las excepciones a la cancelación.
- Turne cualquier solicitud recibida por un canal distinto al oficial el mismo día en que llega, porque el plazo corre desde la recepción.
Recomendaciones para mitigar riesgos
No responder una solicitud sin razón fundada da lugar a un apercibimiento para que la empresa cumpla (artículos 58, fracción I, y 59, fracción I). Desatender ese apercibimiento, actuar con negligencia en el trámite o mantener datos inexactos sin rectificarlos se sanciona con multa de 100 a 160,000 UMA (de 11,731 a 18,769,600 pesos; de once mil setecientos treinta y un pesos a dieciocho millones setecientos sesenta y nueve mil seiscientos pesos), conforme a los artículos 58, fracciones II, VI y VII, y 59, fracción II. Declarar dolosamente que no existen datos que sí están en las bases de la empresa cae en el mismo rango (artículo 58, fracción III). Continuar usando los datos después de que el titular pidió el cese se sanciona con multa de 200 a 320,000 UMA (de 23,462 a 37,539,200 pesos; de veintitrés mil cuatrocientos sesenta y dos pesos a treinta y siete millones quinientos treinta y nueve mil doscientos pesos), conforme a los artículos 58, fracción XVI, y 59, fracción III.
Autoevaluación
Responda sí o no sobre su propia empresa.
- ¿Su aviso de privacidad indica un medio específico para presentar solicitudes?
- ¿Lleva un registro de solicitudes con sus fechas límite en días hábiles?
- ¿Sabe quién valida la identidad del solicitante antes de entregar datos?
- ¿Tiene respuestas modelo para cada derecho, incluida la negativa fundada?
- ¿Sabe qué datos debe conservar por ley aunque el titular pida su cancelación?
- ¿Las solicitudes que llegan a otros correos o a redes sociales se turnan el mismo día?
Cómo lo abordamos en LEXURE
Diseñamos el procedimiento completo de atención de solicitudes: canal, registro, validación de identidad, respuestas modelo, calendario de plazos y reglas de conservación. Capacitamos a la persona o al departamento designado y, cuando llega una solicitud compleja, acompañamos la respuesta para que resista una revisión de la autoridad.
Si su empresa recibe solicitudes de clientes, empleados o usuarios y no tiene un procedimiento escrito, agende una reunión de diagnóstico con nosotros.
Fundamento
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, artículos 21 a 34, 40, 42, 43, 58, fracciones I, II, III, VI, VII y XVI, y 59, fracciones I a III. Texto vigente (se abre en otra pestaña)
- Valor de la Unidad de Medida y Actualización 2026, INEGI. Publicación oficial (se abre en otra pestaña)
Esta nota es informativa y describe la norma vigente a la fecha de verificación. No constituye opinión legal sobre un caso concreto.