Diagnostic

Avis de confidentialité : les six éléments qu’exige la loi de 2025 et comment les vérifier

L’avis de confidentialité est le document sur les données personnelles le plus copié et celui qu’une autorité contrôle le plus facilement. Six éléments déterminent s’il est conforme.

Équipe du pôle Données personnelles de LEXURE 7 min de lecture Textes en vigueur vérifiés en 2026

L’avis de confi­den­tia­lité se règle sou­vent en copiant celui d’une autre entre­prise et en chan­geant le nom. C’est le docu­ment sur les don­nées per­son­nelles le plus visible et le pre­mier que demande l’auto­rité. C’est aussi celui qui révèle le plus faci­le­ment que l’entre­prise ne sait pas quelles don­nées elle traite ni dans quel but. Le véri­fier au regard de la loi de 2025 prend peu de temps et évite l’une des amendes les plus faciles à infli­ger.

Ce qu’exige la norme

L’obli­ga­tion d’infor­mer. Le res­pon­sable du trai­te­ment doit infor­mer les per­sonnes concer­nées des infor­ma­tions qu’il col­lecte et des fins pour­sui­vies, au moyen de l’avis de confi­den­tia­lité (article 14 de la loi fédé­rale sur la pro­tec­tion des don­nées per­son­nelles déte­nues par les par­ti­cu­liers, ou Ley Fede­ral de Pro­tec­ción de Datos Per­so­nales en Pose­sión de los Par­ti­cu­lares).

Le contenu mini­mal. L’avis doit conte­nir, au mini­mum (article 15) :

  1. L’iden­tité et l’adresse du res­pon­sable du trai­te­ment.
  2. Les don­nées per­son­nelles qui seront trai­tées, en iden­ti­fiant les don­nées sen­sibles.
  3. Les fina­li­tés du trai­te­ment, en dis­tin­guant celles qui requièrent le consen­te­ment de la per­sonne concer­née.
  4. Les options et moyens per­met­tant de limi­ter l’uti­li­sa­tion ou la divul­ga­tion des don­nées.
  5. Les méca­nismes, moyens et pro­cé­dures per­met­tant d’exer­cer les droits d’accès, de rec­ti­fi­ca­tion, d’annu­la­tion et d’oppo­si­tion.
  6. La pro­cé­dure et le moyen de com­mu­ni­ca­tion des modi­fi­ca­tions de l’avis.

Com­ment et quand il est remis. Si les don­nées sont obte­nues en per­sonne sur sup­port papier, l’avis est porté à la connais­sance de la per­sonne concer­née à ce moment-là. Si elles sont obte­nues par voie élec­tro­nique ou par toute autre tech­no­lo­gie, il est fourni sous forme sim­pli­fiée, avec au moins les quatre pre­miers élé­ments et l’indi­ca­tion du site où l’avis com­plet peut être consulté (article 16). Si les don­nées n’ont pas été obte­nues direc­te­ment auprès de la per­sonne concer­née, l’avis doit être porté à sa connais­sance lors du pre­mier contact (article 17).

Le consen­te­ment. En règle géné­rale, le consen­te­ment tacite suffit : si l’avis a été mis à dis­po­si­tion et que la per­sonne concer­née ne s’y oppose pas, elle est répu­tée consen­tir (article 7). En revanche, les don­nées finan­cières ou patri­mo­niales requièrent un consen­te­ment exprès, sauf excep­tions pré­vues par la loi, et les don­nées sen­sibles requièrent un consen­te­ment exprès et écrit, au moyen d’une signa­ture manus­crite, d’une signa­ture élec­tro­nique ou d’un autre méca­nisme d’authen­ti­fi­ca­tion (articles 7 et 8). Si l’entre­prise sou­haite uti­li­ser les don­nées pour une fina­lité dif­fé­rente de celle qui a été annon­cée, elle doit recueillir à nou­veau le consen­te­ment (article 11).

Trans­ferts. Si les don­nées doivent être com­mu­ni­quées à des tiers autres que les sous-trai­tants, l’avis doit conte­nir une clause indi­quant si la per­sonne concer­née accepte ou non le trans­fert (article 35), sauf dans les cas où la loi l’auto­rise sans consen­te­ment, comme le trans­fert à des socié­tés du même groupe opé­rant selon les mêmes poli­tiques (article 36).

Ce que la loi ne men­tionne pas. La loi en vigueur ne régit pas le pré­tendu « avis court », issu de lignes direc­trices émises sous l’ancien régime. Il n’existe pas non plus au Mexique de règle de consen­te­ment préa­lable aux cookies équi­va­lente à la règle euro­péenne : le Règle­ment de 2011 (Regla­mento de la Ley Fede­ral de Pro­tec­ción de Datos Per­so­nales en Pose­sión de los Par­ti­cu­lares) exige d’infor­mer, au moment même, de l’uti­li­sa­tion de tech­no­lo­gies qui col­lectent des don­nées de manière auto­ma­tique et de la façon de les désac­ti­ver (article 14, troi­sième alinéa, du Règle­ment). Il est rai­son­nable d’uti­li­ser ces outils comme bonne pra­tique, à condi­tion de ne pas les invo­quer comme s’ils consti­tuaient la loi en vigueur.

Que faire et dans quel délai

  1. Dres­sez un inven­taire réel des don­nées que votre entre­prise col­lecte par canal : site web, appli­ca­tions, for­mu­laires, contrats, res­sources humaines et vidéo­sur­veillance.
  2. Rédi­gez ou cor­ri­gez l’avis inté­gral afin qu’il contienne les six élé­ments de l’article 15 et reflète cet inven­taire, sans fina­li­tés géné­riques.
  3. Pré­pa­rez un avis sim­pli­fié pour chaque canal élec­tro­nique, avec les quatre pre­miers élé­ments et le lien vers l’avis inté­gral.
  4. Sépa­rez les fina­li­tés qui requièrent un consen­te­ment, comme la pros­pec­tion com­mer­ciale, de celles qui sont néces­saires à la rela­tion avec la per­sonne concer­née.
  5. Obte­nez un consen­te­ment exprès pour les don­nées finan­cières ou patri­mo­niales et un consen­te­ment exprès et écrit pour les don­nées sen­sibles.
  6. Mettez à jour les réfé­rences légales selon la numé­ro­ta­tion de 2025 et sup­pri­mez les men­tions de l’Ins­ti­tut natio­nal de la trans­pa­rence, de l’accès à l’infor­ma­tion et de la pro­tec­tion des don­nées per­son­nelles (INAI).
  7. Conser­vez la preuve que l’avis a été mis à dis­po­si­tion sur chaque canal, avec la date et la ver­sion.

Recommandations pour atténuer les risques

Omettre dans l’avis l’un ou l’ensemble des élé­ments de l’article 15 est sanc­tionné d’une amende de 100 à 160 000 Unités de mesure et d’actua­li­sa­tion (UMA), soit de 11 731 à 18 769 600 pesos mexi­cains (MXN), confor­mé­ment aux articles 58, frac­tion V, et 59, frac­tion II. Si l’avis ne dit pas la vérité sur les fina­li­tés et que l’entre­prise uti­lise les don­nées à d’autres fins, la conduite peut rele­ver du chan­ge­ment sub­stan­tiel de fina­lité sans consen­te­ment (article 58, frac­tion IX) ou du trans­fert sans com­mu­ni­ca­tion de l’avis au des­ti­na­taire (frac­tion X). Ces deux infrac­tions sont sanc­tion­nées d’une amende de 200 à 320 000 UMA, soit de 23 462 à 37 539 200 pesos mexi­cains (MXN), confor­mé­ment à la frac­tion III de l’article 59. L’auto­rité indi­vi­dua­lise l’amende en tenant compte, entre autres élé­ments, de la nature de la donnée et de la capa­cité éco­no­mique du res­pon­sable du trai­te­ment (article 60).

Autoévaluation

Répon­dez par oui ou par non au sujet de votre propre entre­prise.

  1. Votre avis inté­gral contient-il les six élé­ments de l’article 15 ?
  2. Dis­po­sez-vous d’un avis sim­pli­fié sur chaque canal élec­tro­nique où vous col­lec­tez des don­nées ?
  3. L’avis iden­ti­fie-t-il les don­nées sen­sibles que vous trai­tez, le cas échéant ?
  4. Dis­tingue-t-il les fina­li­tés qui requièrent un consen­te­ment de celles qui sont néces­saires à la rela­tion ?
  5. Obte­nez-vous un consen­te­ment exprès et écrit pour les don­nées sen­sibles ?
  6. Les réfé­rences légales de votre avis cor­res­pondent-elles à la loi de 2025 ?
  7. Pouvez-vous démon­trer, avec la date et la ver­sion, que l’avis a été mis à dis­po­si­tion sur chaque canal ?

Notre approche chez LEXURE

Nous par­tons de l’inven­taire des don­nées de votre entre­prise : nous car­to­gra­phions ce qu’elle col­lecte, par quel canal et dans quel but, et à partir de cette car­to­gra­phie nous rédi­geons l’avis inté­gral, les avis sim­pli­fiés et les méca­nismes de consen­te­ment. Nous met­tons éga­le­ment en place la pro­cé­dure de mise à jour de l’avis à chaque modi­fi­ca­tion d’un pro­ces­sus, car c’est à ce moment que les avis cessent sou­vent de reflé­ter la réa­lité.

Si votre avis de confi­den­tia­lité est anté­rieur à la loi de 2025 ou a été copié sur celui d’une autre entre­prise, pla­ni­fiez une réunion de diag­nos­tic avec nous.

Planifier une réunion de diagnostic Voir nos domaines d’intervention

Base légale

  1. Loi fédérale sur la protection des données personnelles détenues par les particuliers (Ley Federal de Protección de Datos Personales en Posesión de los Particulares), articles 7, 8, 11, 14, 15, 16, 17, 35, 36, 58, fractions V, IX et X, 59 et 60. Texte en vigueur (s’ouvre dans un nouvel onglet)
  2. Règlement de la loi fédérale sur la protection des données personnelles détenues par les particuliers (Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares), article 14. Texte publié (s’ouvre dans un nouvel onglet)
  3. Valeur de l’Unité de mesure et d’actualisation 2026, INEGI. Publication officielle (s’ouvre dans un nouvel onglet)

Cette note est informative et décrit la norme en vigueur à la date de vérification. Elle ne constitue pas un avis de droit sur un cas particulier. Il s’agit d’une traduction de l’original espagnol : le droit mexicain est publié en espagnol et seuls les textes officiels en espagnol font foi.

Poursuivre la lecture

Notes associées.

Voir toutes les notes