Privacidad

Protección de datos personales: 10 pasos antes de la primera multa

Llega un correo a la oficina. Un cliente que dejó de comprarte hace ocho meses pide que borres todos los datos personales que tienes de él. Quiere saber a quién más se los entregaste. Quiere confirmación por escrito en cuarenta y ocho horas. Tu equipo nunca había recibido una solicitud así. El abogado externo está de vacaciones. Y nadie en tu empresa sabe que desde el 21 de marzo de 2025 la autoridad que vigila esto ya no es el INAI, que la multa máxima puede llegar a treinta y siete millones y medio de pesos, y que el reloj empezó a correr el día que el correo entró a tu bandeja.

No es un escenario hipotético construido para asustarte. Es la consecuencia operativa de una reforma legal que muchas empresas en México todavía no han internalizado. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares cambió cuatro cosas que importan: la autoridad, el universo de obligados, las condiciones del aviso de privacidad y la vía de defensa. Si tu empresa trata datos personales de clientes, empleados, proveedores o leads de marketing, la pregunta no es si te aplica, te aplica y punto. El verdadero cuestionamiento es si tu operación está en orden o si la primera solicitud que llegue va a entrar a una empresa que no sabe cómo responderla.

Un nombre largo para una obligación que llevas años evadiendo sin darte cuenta

"Aviso de privacidad", "derechos ARCO", "responsable del tratamiento" suenan a vocabulario de despacho corporativo grande. Suena a algo que solo aplica a bancos, hospitales y plataformas digitales. Los abogados tenemos ese hábito otra vez: usar terminología que el empresario asume que no le toca porque suena ajena.

Lo que la ley regula es simple: si tu empresa pide, guarda, usa, comparte o vende información que permite identificar a una persona física, tu empresa es responsable del tratamiento de esos datos. Punto. La nueva ley amplió expresamente la definición de "responsable" para incluir a cualquier persona física o moral que realice tratamiento, sin que sea necesario que tome decisiones estratégicas sobre ese tratamiento. Si recibes correos con datos, si llenas un CRM, si guardas copias de identificaciones, si pides RFC para facturar, eres responsable. La pyme que asume que esto no le aplica está construyendo su próximo problema legal sobre ese supuesto.

Diez pasos antes de la primera solicitud, no después

Cada paso responde a tres preguntas: qué dice la ley, qué tienes que hacer concretamente, qué cuesta no hacerlo.

• Uno. Mapea qué datos personales trata tu empresa. No puedes proteger lo que no sabes que tienes. Identifica cada punto del proceso operativo donde se recolectan, guardan o comparten datos: contratos, formularios, sistemas, hojas de cálculo, archivo físico, correos. Si no tienes este mapa, todo lo demás es decoración. Sin mapa, una auditoría te encuentra brechas en quince minutos.

• Dos. Distingue cuáles son datos sensibles. La ley considera sensibles aquellos cuyo uso indebido pueda generar discriminación: origen racial, salud, datos genéticos, biométricos, ideología, preferencia sexual, religión. Para datos sensibles, la multa máxima se duplica. Confundir un dato sensible con uno común es la diferencia entre treinta y siete millones y setenta y cinco millones de pesos.

• Tres. Actualiza tu aviso de privacidad a la nueva ley. El aviso que tienes desde 2018, copiado de plantilla, ya no cumple. La nueva ley exige indicar expresamente los datos que serán tratados, los mecanismos para ejercer derechos ARCO, los procedimientos para revocar consentimiento y la diferencia entre finalidades necesarias y voluntarias. Un aviso que no cumple los nuevos requisitos no es defensa; es prueba de incumplimiento.

• Cuatro. Distingue finalidades necesarias y voluntarias. Esta es una de las exigencias nuevas más subestimadas. No puedes meter en una sola autorización el procesamiento operativo (necesario para entregarle el servicio) y el envío de promociones (voluntario). Si el cliente quiere recibir el servicio pero no las promociones, tienes que respetarlo. No segregar ambas finalidades te deja sin consentimiento válido para nada.

• Cinco. Asegura que el consentimiento sea libre, específico e informado. El consentimiento que se obtiene con casilla pre-marcada, con letra ilegible, o con texto que el cliente no leyó antes de firmar, no es consentimiento conforme a la nueva ley. Tu cliente debe saber qué autoriza, para qué se va a usar, y por cuánto tiempo. Si no puede entenderlo, no autorizó.

• Seis. Designa a una persona o área responsable del cumplimiento. El artículo 29 lo exige expresamente. Esto no es opcional, no es una buena práctica. Es una obligación. Esa persona es quien atiende solicitudes ARCO, quien actualiza el aviso, quien capacita al equipo y quien responde a la autoridad si llega una verificación. Si no tienes nombre y apellido asignado, tu empresa no tiene quien lleve el control de la obligación.

• Siete. Implementa medidas de seguridad físicas, administrativas y tecnológicas. Físicas: a los archivos en papel no debe poder acceder cualquiera. Administrativas: políticas internas escritas y conocidas por el equipo. Tecnológicas: contraseñas, accesos por rol, respaldos cifrados. La ley no te dice exactamente qué tecnología usar; te exige que las medidas sean proporcionales al volumen y la sensibilidad de los datos que manejas. Si tu base de datos de clientes vive en una hoja de cálculo compartida sin contraseña, tu empresa está fuera de cumplimiento.

• Ocho. Documenta el procedimiento de respuesta a solicitudes ARCO. El plazo es de veinte días hábiles para responder y quince días hábiles para hacer efectiva la medida si procede. Esto significa que si llega una solicitud el lunes, tienes hasta cuatro semanas calendario para una respuesta formal. Si tu empresa no tiene flujo definido (quién recibe la solicitud, quién valida la identidad, quién busca los datos en los sistemas, quién redacta la respuesta), el plazo se vence sin que nadie se haya enterado.

• Nueve. Vincula la confidencialidad a tus contratos. La nueva ley exige que todos los que intervengan en cualquier fase del tratamiento guarden confidencialidad, y que esa obligación subsista después de terminada la relación. Esto se traduce en cláusulas concretas en contratos laborales, contratos de prestación de servicios, acuerdos con proveedores que manejen datos, y NDAs. Si un ex empleado filtra tu base de clientes y no hay cláusula clara y firmada, tu defensa civil y penal se complica.

• Diez. Lleva bitácora documentada de cumplimiento. Registra cada solicitud ARCO recibida: fecha, identidad del titular, derecho ejercido, respuesta otorgada, acciones tomadas. Documenta capacitaciones internas, actualizaciones del aviso de privacidad, auditorías. Sin bitácora, frente a una verificación de la Secretaría tu palabra no vale nada. Con bitácora, demuestras buena fe, diligencia y trazabilidad. La diferencia en una sanción puede ser de millones.

Quién vigila al que vigila

Hay algo que señalar y que los abogados que nos dedicamos a esto no podemos pasar por alto. La autoridad que ahora vigila el cumplimiento de la protección de datos personales no es un órgano autónomo. Es una secretaría que depende directamente del Ejecutivo Federal. El INAI, con todas sus limitaciones, era constitucionalmente autónomo. La Secretaría Anticorrupción y Buen Gobierno no lo es.

Organizaciones internacionales como Naciones Unidas, Human Rights Watch y Artículo 19 advirtieron que la extinción del INAI representaba un retroceso democrático. La Unión Europea tiene detenido un acuerdo con México para que la agencia Europol pueda intercambiar datos personales con autoridades mexicanas en materia de combate al narcotráfico, precisamente por la pérdida de la autoridad autónoma de protección de datos. No es un debate académico. Es un costo institucional real, y tu empresa opera dentro de ese contexto sin que nadie te lo haya dicho.

Para el empresario, esto significa dos cosas concretas. Primero, la autoridad que va a investigar tu empresa también es la que investiga al gobierno; las prioridades y los criterios pueden cambiar con cada administración. Segundo, la vía de defensa cambió por completo. Tu abogado externo necesita actualizarse, y la estrategia procesal de hace dos años ya no aplica.

Lo que te llevas

Tres cosas concretas para esta semana.

Primero, levanta el inventario de datos personales que trata tu empresa. No esperes a la primera solicitud; hazlo en frío, con tiempo, sin presión. Una hora bien invertida con tu equipo te muestra todo lo que necesitas atender. La ausencia de mapa es la causa raíz del noventa por ciento de los incumplimientos.

Segundo, revisa tu aviso de privacidad y tu procedimiento ARCO con un abogado que conozca la nueva ley. No el aviso que copiaste de otra empresa; el tuyo, alineado a la operación que realmente tienes. Si no tienes procedimiento ARCO documentado, esta es la semana para construirlo. Veinte días hábiles parecen muchos hasta que el correo llega.

Tercero, asigna por escrito al responsable interno de cumplimiento. Una persona con nombre, apellido, correo y cuenta de tiempo dedicada a esto. Si la responsabilidad es de "todos", es de nadie. Y cuando la Secretaría haga una verificación, va a pedir saber quién es la persona responsable. Si no hay quien levante la mano, ya perdiste el primer round.

La autoridad cambió. La obligación no.

Si estás revisando hoy si tu empresa está en cumplimiento con la nueva LFPDPPP, esa revisión merece más que una opinión de pasillo. En ABL diagnosticamos el nivel de exposición real antes de proponer cualquier ruta.

Abascal Boutique Legal | abascalboutiquelegal.com