La nueva ley de datos personales: tu aviso de privacidad ya está desactualizado

Este artículo nos obligó a corregir nuestro propio aviso de privacidad. Lo decimos porque es exactamente el punto: casi todos los avisos que circulan hoy en México citan una ley que ya no existe y una autoridad que ya se extinguió.

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares. No es una reforma a la de 2010: es una ley nueva que sustituye a la anterior. Entró en vigor al día siguiente.

Lo que cambió y sí te toca

Ya no es el INAI

Las funciones del INAI en materia de datos en manos de particulares pasaron a la Secretaría Anticorrupción y Buen Gobierno.

Si tu aviso dice que el titular puede acudir al INAI, tu aviso manda a la gente a una institución que ya no ejerce esa función. Es el error más extendido ahora mismo y el más fácil de corregir.

Hay que separar para qué usas los datos

La ley exige distinguir entre finalidades necesarias —las que hacen falta para darte el servicio— y finalidades voluntarias, como mandar promociones.

En la práctica esto significa que el aviso ya no puede ser un párrafo que mete todo junto:

Y el cliente debe poder rechazar las voluntarias sin perder el servicio.

Un uso nuevo pide un permiso nuevo

Si vas a usar los datos para algo que no estaba en el aviso cuando los recogiste, tienes que volver a pedir consentimiento. No basta con actualizar el aviso en el sitio y dar por hecho que ya cubre lo anterior.

Qué revisar hoy en tu sitio

Esto es una lista, no asesoría legal —no somos abogados y al final conviene que uno lo lea—, pero es lo que cualquiera puede verificar en veinte minutos:

1. ¿Tu aviso menciona al INAI? Corrígelo.
2. ¿Cita la ley de 2010 con su fecha? Está desactualizado.
3. ¿Separa finalidades necesarias de voluntarias? Si no, hay que reescribirlo.
4. ¿Hay una casilla marcada por defecto que suscribe al boletín? Quítale la marca.
5. ¿Tu formulario de contacto dice a dónde van los datos y enlaza al aviso? Si no, no hay aviso previo.
6. ¿Alguien sabe qué hacer si llega una solicitud de acceso, rectificación, cancelación u oposición? Debe haber una dirección de correo que alguien lea.
7. ¿Qué pasa con los datos de tus formularios? Si se guardan para siempre sin que nadie los mire, estás acumulando riesgo sin ganar nada.

El aviso de privacidad no es un trámite de relleno. Es el documento que te protege cuando alguien reclama, y sirve exactamente en la medida en que describa lo que de verdad haces con los datos.

El error de fondo

Casi todos los avisos que vemos son copiados de otro sitio. Se nota porque mencionan tratamientos que el negocio no hace y omiten los que sí.

Un aviso copiado es peor que no tenerlo: declara por escrito un compromiso que no cumples, y eso es justo lo que se revisa cuando hay una queja.

Qué hicimos nosotros

Reescribimos el nuestro. Dejamos de nombrar al INAI, separamos finalidades y listamos de verdad qué datos pedimos en el formulario, cuánto tiempo los guardamos y quién los ve.

Sigue pendiente que un abogado lo revise. Lo decimos aquí en lugar de esperar a tenerlo perfecto, porque la corrección del INAI es urgente para cualquiera y no requiere abogado para hacerse.