Aviso de privacidad en tu página web: qué pide la ley en México

Si tu negocio recoge datos personales de alguien (nombre, teléfono, correo, lo que escribe en un formulario), la ley mexicana te pide tener un aviso de privacidad a su disposición. La ley vigente es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada el 20 de marzo de 2025. La autoridad que la vigila hoy es la Secretaría Anticorrupción y Buen Gobierno, no el INAI.

Qué ley aplica y quién la vigila

La ley de 2025 es nueva, no una reforma de la anterior: el propio decreto abrogó la ley de 2010 y entró en vigor al día siguiente de su publicación. En el texto, un «responsable» es cualquier persona física o moral de carácter privado que trata datos personales. Eso incluye a una clínica, un despacho, un restaurante o una tienda con un formulario en su página. El artículo 1 exceptúa a las sociedades de información crediticia y a quien recoge datos solo para uso personal, sin divulgación ni uso comercial.

La ley define dato personal como cualquier información sobre una persona identificada o identificable. Un nombre con un teléfono lo es. Y define datos sensibles como los que afectan la esfera más íntima de la persona, con ejemplos como el estado de salud presente o futuro, el origen étnico o las creencias religiosas.

Sobre la autoridad: el INAI vigilaba antes esta materia, y el decreto que expidió la ley transfirió sus expedientes y recursos a la Secretaría Anticorrupción y Buen Gobierno. El texto define «Secretaría» como esa dependencia, y es la que sanciona. Su sitio en gob.mx lo anuncia con un aviso: la protección de datos personales es ahora atribución suya. Si encuentras guías que todavía mandan al INAI, son anteriores a ese cambio.

Qué debe decir el aviso

El artículo 15 enumera el contenido mínimo. El aviso debe incluir, al menos:

• Quién eres: la identidad y el domicilio del responsable.
• Qué datos tratas: cuáles, y cuáles son sensibles.
• Para qué: las finalidades del tratamiento, distinguiendo las que requieren el consentimiento de la persona.
• Cómo limitar el uso: las opciones y medios para limitar el uso o la divulgación de los datos.
• Cómo ejercer los derechos ARCO: acceso, rectificación, cancelación y oposición, con el mecanismo y el procedimiento.
• Cómo avisarás de cambios: el procedimiento y el medio por el que comunicarás cambios al aviso.

Dos reglas más afectan el texto. Primera: si quieres usar los datos para algo distinto de lo que dice el aviso, necesitas volver a pedir consentimiento (artículo 11). Segunda: el responsable debe vigilar que el aviso se respete en todo momento, también por los terceros con quienes se relacione (artículo 13). Un aviso copiado de otro negocio, con finalidades que no son las tuyas, no te protege.

Cómo se pone en una página web

El artículo 16 dice cómo ponerlo a disposición. Si los datos se obtienen por un medio electrónico, como un formulario web, el aviso debe darse en su modalidad simplificada: al menos quién eres, qué datos, para qué y cómo limitar el uso (los cuatro primeros puntos de arriba), y debe indicar el sitio donde se puede consultar el aviso integral. En la práctica, eso se traduce en dos piezas:

• Un resumen junto al formulario, con una frase corta y un enlace al texto completo, visible antes de que la persona envíe sus datos.
• Una página con el aviso integral, con los seis puntos del artículo 15.

Lo siguiente es práctica nuestra y no un texto de la ley. En el sitio de Byte and Brand, el enlace al aviso está en el pie de todas las páginas, para que se encuentre desde cualquier lugar. El aviso nombra a cada proveedor de medición o publicidad que usamos, y la medición no se carga sin un «sí» explícito de la persona.

Consentimiento y datos sensibles

La regla general, en el artículo 7, es que todo tratamiento requiere consentimiento. Puede ser expreso (por escrito, por medios electrónicos, con signos inequívocos) o tácito: la ley lo da por válido cuando pusiste el aviso a disposición y la persona no manifestó lo contrario. Los datos financieros o patrimoniales, en cambio, requieren consentimiento expreso.

Con los datos sensibles la exigencia sube. El artículo 8 pide el consentimiento expreso y por escrito, con firma autógrafa, firma electrónica u otro mecanismo de autenticación. También prohíbe crear bases de datos con datos sensibles sin justificar que sirven a finalidades legítimas, concretas y acordes con lo que hace el negocio. Para una clínica o un consultorio, que recoge estado de salud, esto no es un detalle: un formulario de cita que pide el motivo de consulta puede entrar aquí.

Qué pasa si lo omites

El artículo 58 enumera las infracciones. Una de ellas, la fracción V, es omitir en el aviso de privacidad alguno o todos los elementos del artículo 15. Según el artículo 59, la Secretaría sanciona con multas que van de 100 a 160,000 veces la Unidad de Medida y Actualización (UMA) en ese caso. Otras infracciones, como recabar o transferir datos sin el consentimiento expreso cuando es exigible, o vulnerar la seguridad de las bases de datos por causa imputable al responsable, van de 200 a 320,000 veces la UMA. Y cuando se trata de datos sensibles, la ley permite incrementar las sanciones hasta por dos veces.

El artículo 60 dice que la autoridad considera, entre otras cosas, la naturaleza del dato, si hubo intención, la capacidad económica del responsable y si es reincidente. Esos rangos son un tope legal, no una predicción de lo que le pasaría a un negocio concreto. Lo que sí es seguro es que sin aviso no tienes con qué demostrar que informaste.

Lista rápida para revisar tu página hoy

• ¿Existe una página con el aviso integral, a nombre de quien de verdad recoge los datos?
• ¿Se enlaza desde el pie de todas las páginas?
• ¿Cada formulario muestra un resumen y un enlace antes del botón de enviar?
• ¿Dice qué datos pides, para qué y cómo ejercer los derechos ARCO?
• ¿Distingue los datos sensibles y pide el consentimiento que corresponde?
• ¿Menciona las herramientas de medición y publicidad que usas?
• ¿Alguien revisó el texto con un abogado y lo actualizas cuando cambias lo que haces con los datos?