El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que abrogó la ley de 2010. Su texto vigente incluye una reforma publicada el 14 de noviembre de 2025. Para cualquier empresa que recabe datos de clientes, prospectos o trabajadores —incluso mediante un simple formulario de contacto— conviene revisar sus avisos y procesos internos.
Cambió la autoridad
La autoridad en la materia es ahora la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV), que asumió las funciones del extinto INAI respecto de los particulares. Los avisos de privacidad que todavía remiten al INAI o a la ley abrogada deben actualizarse.
Qué debe contener el aviso de privacidad
Conforme al artículo 15, el aviso de privacidad debe contener, al menos:
- La identidad y el domicilio del responsable.
- Los datos personales que se tratarán, identificando los sensibles.
- Las finalidades del tratamiento, distinguiendo las que requieren el consentimiento del titular.
- Las opciones y medios para limitar el uso o divulgación de los datos.
- Los mecanismos, medios y procedimientos para ejercer los derechos ARCO.
- El procedimiento y medio para comunicar cambios al aviso.
Cuando los datos se obtienen por medios electrónicos —como un sitio web— debe ponerse a disposición un aviso simplificado con, al menos, los cuatro primeros elementos, e indicar dónde consultar el aviso integral (artículo 16, fracción II).
Consentimiento
Por regla general es válido el consentimiento tácito, que se actualiza cuando, puesto a disposición el aviso, el titular no se opone; los datos financieros o patrimoniales requieren consentimiento expreso, salvo las excepciones legales (artículo 7).
Plazos para los derechos ARCO
El responsable debe comunicar su determinación en un plazo máximo de veinte días desde que recibe la solicitud y, si procede, hacerla efectiva dentro de los quince días siguientes; ambos plazos pueden ampliarse una sola vez por un periodo igual cuando se justifique (artículo 31). Además, debe designar a una persona o departamento que dé trámite a estas solicitudes (artículo 29).
Encargados y transferencias
Los proveedores que tratan datos por cuenta del responsable —por ejemplo, el hosting o el despacho contable— son personas encargadas, no terceros receptores de una transferencia (artículo 2, fracciones XII y XX). Cuando sí hay transferencias a terceros, el aviso debe incluir una cláusula en la que el titular indique si las acepta (artículo 35), salvo las excepciones del artículo 36.
Lista de revisión para su empresa
- Actualizar los avisos de privacidad integral y simplificado.
- Eliminar referencias al INAI y a la ley de 2010.
- Designar a la persona o área que atenderá solicitudes ARCO.
- Identificar proveedores que tratan datos y documentar su función.
- Revisar los formularios del sitio web y la política de cookies.