Aviso de privacidad LFPDPPP: artículos 15 y 16 | México

La ley lo define en su artículo 2, fracción I: un documento físico o electrónico generado por el responsable y puesto a disposición del titular desde el momento en que se recaban sus datos, con el objeto de informarle los propósitos del tratamiento. No es un contrato ni un formato de consentimiento firmado, aunque de él dependa la validez del consentimiento tácito del artículo 7. Tampoco equivale a los términos y condiciones de un sitio, ni a una "política de privacidad" al estilo estadounidense, expresión sin definición legal en México. La etiqueta del archivo no se revisa. Lo que se revisa son los seis elementos del artículo 15.

La práctica mexicana trabaja con tres modalidades. El integral contiene toda la información y es el documento de referencia al que apuntan los demás. El simplificado es obligatorio cuando los datos se obtienen por medios electrónicos, ópticos, sonoros o visuales: el artículo 16, fracción II pide que reproduzca al menos las fracciones I a IV del artículo 15 y señale dónde se consulta el integral. El corto sobrevive en los Lineamientos del aviso de privacidad para espacios mínimos, como un ticket o un mostrador. Publicar solo el integral en el pie de página no basta si el formulario de contacto no muestra el simplificado en el momento mismo de la captura.

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en vigor al día siguiente, que abrogó la ley de 2010. El cambio institucional pesa tanto como el sustantivo: se extinguió el INAI y las funciones sobre datos personales del sector privado pasaron a la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV), con las facultades de vigilancia, verificación y sanción de los artículos 38 y 39. Los avisos que siguen nombrando al INAI como autoridad de queja quedaron desfasados, y ese detalle salta a la vista en cualquier revisión.

El artículo 14 fija el deber de información y el artículo 15 enumera el contenido mínimo: identidad y domicilio del responsable, los datos tratados con identificación de los sensibles, las finalidades distinguiendo las que requieren consentimiento, las opciones para limitar el uso o divulgación, los mecanismos para ejercer los derechos ARCO y el procedimiento para comunicar cambios. Dos exigencias que antes vivían en el reglamento subieron a rango de ley: listar los datos tratados y separar finalidades necesarias de voluntarias. Aunque el artículo 15 ya no menciona las transferencias, el artículo 35 mantiene la cláusula por la que el titular acepta o rechaza la transferencia, de modo que esa sección sigue siendo indispensable.

El Reglamento de 2011 y los Lineamientos de 2013 siguen aplicándose en lo que no se opongan a la nueva ley. Omitir alguno de los elementos del artículo 15 es infracción expresa (artículo 58, fracción V) y el catálogo del artículo 59 llega hasta 320,000 veces la Unidad de Medida y Actualización, cifra que se duplica cuando hay datos sensibles de por medio. Cada referencia puede contrastarse con el texto vigente de la Ley Federal de Protección de Datos Personales publicado por la Cámara de Diputados, y el resto del expediente corporativo se apoya en los modelos de documentos para empresas en México.

El detonante más frecuente es el sitio que recaba correos: un formulario de contacto, un carrito de compra o un chat comercial ya implican tratamiento en los términos amplios del artículo 2, fracción XIX. Le sigue el alta de clientes en despachos, consultorios y agencias, donde se piden nombre, domicilio, teléfono y datos fiscales. La contratación de personal viene después, porque el expediente laboral concentra CURP, RFC, número de seguridad social y a veces certificados médicos.

Dos escenarios menos obvios generan buena parte de las quejas. El primero es la videovigilancia: una cámara en recepción recaba imágenes que identifican personas, y la señalización debe remitir a un aviso consultable en algún medio. El segundo es el arrendamiento entre particulares, donde el propietario acumula identificaciones, comprobantes de ingresos y datos del fiador antes de firmar, supuesto que conviene mirar junto con los contratos de arrendamiento y documentos inmobiliarios para México. La ley excluye únicamente dos casos en su artículo 1: las sociedades de información crediticia bajo su propia legislación y la recolección con fines exclusivamente personales, sin divulgación ni uso comercial, terreno que cubren los formatos para asuntos personales en México.

• La identificación del responsable abre el documento con denominación o razón social completa y domicilio físico en territorio nacional. Un correo electrónico no sustituye el domicilio que pide el artículo 15, fracción I.
• El catálogo de datos tratados se organiza por categorías, de identificación, contacto, laborales, patrimoniales y financieros, señalando por separado los sensibles. Esa separación activa el consentimiento expreso y por escrito del artículo 8.
• Las finalidades primarias y secundarias aparecen en bloques distintos, con una casilla para que el titular manifieste su negativa a las voluntarias, como la mercadotecnia, tal como exige el artículo 15, fracción III.
• Los medios para limitar el uso o divulgación describen el correo o el registro de exclusión al que puede acudir el titular. Sin ese apartado el aviso queda incompleto aunque el resto sea correcto.
• El procedimiento ARCO detalla los requisitos del artículo 28, los plazos de respuesta y los datos de la persona o departamento designado conforme al artículo 29. Designar a alguien por nombre y correo evita que la solicitud se pierda entre áreas.
• La cláusula de transferencias identifica a los terceros receptores, la finalidad de cada envío y la casilla de aceptación del artículo 35, junto con los supuestos del artículo 36 que no requieren consentimiento.
• El procedimiento de cambios fija el medio de comunicación de las actualizaciones y el control de versiones con fecha, punto que refuerza el artículo 11: una finalidad distinta obliga a recabar de nuevo el consentimiento.

Comercio electrónico y sitios web. El aviso simplificado debe aparecer junto a cada campo de captura, con enlace directo al integral. Las cookies, píxeles y herramientas de analítica se declaran en un apartado propio, con instrucciones de deshabilitación por navegador, según los Lineamientos del aviso de privacidad. Si el hosting o el CRM están en el extranjero, esa transferencia se describe en la cláusula del artículo 35, aunque encuadre en alguna excepción del artículo 36.

Recursos humanos. El expediente de personal mezcla datos de identificación con datos patrimoniales, que exigen consentimiento expreso por el artículo 7, y a veces datos de salud, sensibles y sujetos a firma autógrafa o electrónica. El aviso para candidatos rara vez coincide con el de empleados, porque las finalidades cambian al cerrar la vacante. Conviene alinearlo con los documentos de empleo y recursos humanos en México para que las finalidades declaradas coincidan con el contrato individual de trabajo.

Salud y datos sensibles. Consultorios, clínicas y laboratorios necesitan consentimiento expreso y por escrito, y deben articular el aviso con la NOM-004-SSA3-2012 sobre el expediente clínico, cuyos plazos de conservación difieren del bloqueo del artículo 24. Las multas se duplican.

Asociaciones civiles. El padrón de asociados, las listas de donantes y los registros de beneficiarios son bases de datos plenamente sujetas a la ley, incluso sin fines de lucro. Los procesos de admisión recaban copias de identificación que casi nunca se documentan, y ese vacío aparece en las revisiones. Los documentos para asociaciones civiles y organizaciones sin fines de lucro parten del mismo marco de gobernanza.

Empiezas indicando si el responsable es persona física con actividad empresarial o persona moral, y capturas denominación, domicilio y medio de contacto. El formulario pregunta después por los canales de recolección, presencial, sitio web, aplicación o videovigilancia, y decide si necesitas el bloque simplificado y en qué redacción. Enseguida marcas las categorías de datos que tratas, y el sistema separa las sensibles para insertar la cláusula de consentimiento expreso del artículo 8.

El siguiente tramo cubre las finalidades. Declaras primero las necesarias para la relación jurídica y luego las voluntarias, y el documento genera el mecanismo de negativa. Si transfieres datos a terceros, describes al receptor y la finalidad, y se inserta la cláusula de aceptación del artículo 35. Al final designas a quien atenderá las solicitudes ARCO y defines el medio por el que comunicarás cambios. El archivo se descarga en Word y PDF con las dos versiones separadas.

Copiar el aviso de otra empresa es el error número uno, y se detecta solo: aparecen finalidades que nadie realiza, domicilios ajenos y referencias al INAI como autoridad competente. El segundo es publicar solo el integral y dejar los formularios digitales sin aviso simplificado, cuando el artículo 16, fracción II lo exige expresamente. El tercero es mezclar finalidades necesarias y voluntarias en una sola lista, lo que impide al titular oponerse a la mercadotecnia. Un aviso sin mecanismo de negativa es un aviso incompleto, aunque tenga diez páginas.

Los otros dos errores nacen del olvido operativo. Muchas empresas redactan un aviso correcto y nunca designan a la persona o departamento del artículo 29, de modo que la primera solicitud ARCO circula entre áreas y vence el plazo legal sin respuesta. Y casi nadie versiona el documento: cuando se suma un CRM o un proveedor extranjero, la finalidad cambia y el artículo 11 obliga a recabar el consentimiento otra vez, algo imposible de acreditar si el aviso no tiene fecha ni historial.