Aviso de privacidad en México: qué exige la LFPDPPP 2025

Un aviso de privacidad es el documento con el que quien trata datos personales, llamado responsable en la ley, le informa a la persona titular qué datos usa, con qué finalidades, cómo puede limitar ese uso y cómo ejercer sus derechos. En México hace falta siempre que trates datos personales, incluidos los de un contacto profesional al que le escribes en frío. La ley vigente es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, y su artículo 15 fija el contenido mínimo del aviso.

Ese es el resumen citable. Lo que sigue es de dónde sale cada afirmación, artículo por artículo, porque la mayoría del contenido que circula sobre avisos de privacidad en México cita una ley que ya está abrogada.

Primero: la ley cambió y la numeración también

La LFPDPPP vigente se publicó el 20 de marzo de 2025 y entró en vigor al día siguiente, el 21 de marzo de 2025 (Transitorio Primero). Su Transitorio Segundo, fracción I, abroga expresamente la LFPDPPP publicada el 5 de julio de 2010. La última reforma registrada es del 14 de noviembre de 2025 y solo tocó el artículo 4, sobre supletoriedad.

Dos consecuencias prácticas:

• El nombre y la sigla no cambiaron. Sigue llamándose Ley Federal de Protección de Datos Personales en Posesión de los Particulares y sigue siendo la LFPDPPP. Por eso es fácil no darse cuenta de que el texto es otro.
• Los artículos sí se movieron. El contenido mínimo del aviso ya no está en el artículo 16, sino en el artículo 15. Los plazos de respuesta a derechos ARCO ya no están en el artículo 32, sino en el artículo 31. Si tu aviso cita la numeración vieja, está citando una ley abrogada.

El otro cambio es institucional: el INAI se extinguió y la autoridad de protección de datos en el sector privado es hoy la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV, y artículos 38 y 39). Dentro de ella, el decreto que reformó su Reglamento Interior, de marzo de 2025, creó la Unidad de Protección de Datos Personales, auxiliada por la Dirección General de Datos Personales en el Sector Privado, a la que corresponde sustanciar los procedimientos de protección de derechos, de verificación y de imposición de sanciones.

Nota honesta sobre esto: al preparar este artículo buscamos en el portal oficial de la Secretaría un trámite, formulario, correo o teléfono publicado para que un titular presente una solicitud de protección de datos contra una empresa privada, y no lo encontramos. Preferimos decirlo así antes que publicar un dato de contacto que no pudimos confirmar en fuente oficial. Si tu aviso todavía remite al INAI, la referencia es incorrecta desde el 21 de marzo de 2025 y conviene revisarla con tu abogado.

Este artículo complementa nuestra guía sobre si es legal el cold email en México, que cubre el marco general de la prospección. Aquí nos concentramos en el aviso.

El Reglamento de 2011 no fue abrogado

El Transitorio Segundo enumera de forma cerrada lo que se abroga, y el Reglamento de la LFPDPPP publicado el 21 de diciembre de 2011 no aparece en esa lista. La Cámara de Diputados lo sigue publicando como texto vigente y sin reformas anotadas.

La propia ley presupone que existe un reglamento: el artículo 17 le remite las medidas compensatorias y los artículos 41, 50, 55 y 57 le delegan la forma, términos y plazos de los procedimientos. El Transitorio Décimo Segundo ordenó al Ejecutivo Federal expedir las adecuaciones reglamentarias dentro de los noventa días naturales siguientes a la entrada en vigor del decreto, plazo que venció a mediados de junio de 2025. Al cierre de este artículo no localizamos publicado un reglamento nuevo de la LFPDPPP.

Consecuencia para quien lee el Reglamento hoy: sus remisiones internas apuntan a la numeración derogada. Por ejemplo, su artículo 68 dice “salvo las excepciones previstas en el artículo 37 de la Ley”, materia que hoy está en el artículo 36; y su artículo 109 dice “En términos del artículo 27 de la Ley”, que hoy es el artículo 26. Cualquier cita al Reglamento hay que leerla con esa traducción.

Cuándo hace falta un aviso de privacidad

Siempre que trates datos personales, entendidos por el artículo 2, fracción V, como cualquier información concerniente a una persona identificada o identificable. La pregunta útil no es si hace falta, sino en qué modalidad y en qué momento. El artículo 16 regula la puesta a disposición y distingue dos escenarios que importan para prospección y reclutamiento:

• Captación electrónica. Cuando los datos se obtienen “por cualquier medio electrónico, óptico, sonoro, visual, o a través de cualquier otra tecnología”, el aviso debe proporcionarse en su modalidad simplificada (artículo 16, fracción II). Esto cubre formularios web, registros en línea, chats, extensiones de navegador y cualquier captura digital. La ley de 2010 no usaba siquiera la palabra “simplificado”: era buena práctica, hoy es texto de ley.
• Datos que no obtuviste del titular. Es el caso típico del cold email y del sourcing de candidatos a partir de fuentes de terceros. Aplica el artículo 17, que remite al Reglamento para las medidas compensatorias cuando dar el aviso de forma directa exija esfuerzos desproporcionados.

Qué debe decir el aviso: el artículo 15, fracción por fracción

El contenido mínimo del aviso integral es:

1. Identidad y domicilio del responsable. Quién trata los datos y dónde localizarlo.
2. Los datos personales que serán sometidos a tratamiento, identificando aquellos que son sensibles. Fracción nueva respecto de la ley de 2010. Ya no basta con hablar en abstracto de “sus datos”: hay que enumerarlos.
3. Las finalidades del tratamiento, distinguiendo aquellas que requieren el consentimiento. También ampliada. Antes bastaba con listar finalidades; hoy hay que separar cuáles necesitan consentimiento y cuáles no.
4. Las opciones y medios que el responsable ofrece para limitar el uso o divulgación de los datos.
5. Los mecanismos, medios y procedimientos para ejercer los derechos ARCO. La redacción es más exigente que el “los medios para ejercer” de la ley anterior.
6. El procedimiento y medio por el cual se comunicarán los cambios al aviso.

Las fracciones II y III son las que más avisos incumplen hoy, porque son precisamente las que no existían antes. Y el costo no es teórico: omitir alguno de los elementos del artículo 15 está tipificado como infracción en el artículo 58, fracción V, con multa de 100 a 160,000 UMA conforme al artículo 59, fracción II. El valor de la UMA lo actualiza el INEGI cada año, así que el monto en pesos sube solo.

El detalle de las transferencias, que se movió sin desaparecer

Aquí hay una confusión que vale la pena aclarar porque los despachos que comentaron la reforma no coincidieron entre sí. Es cierto que el artículo 15 vigente ya no incluye la fracción de transferencias que sí tenía el artículo 16 de la ley de 2010. Pero la obligación no desapareció: el artículo 35 vigente sigue exigiendo que el aviso contenga “una cláusula en la que se indique si la persona titular acepta o no la transferencia de sus datos”, y el artículo 68 del Reglamento de 2011, que no fue abrogado, sigue exigiendo que toda transferencia se informe mediante el aviso de privacidad.

Traducido: la obligación cambió de artículo y perdió jerarquía, no se eliminó. En la práctica tu aviso sigue teniendo que hablar de transferencias. Además, el artículo 58 refuerza el régimen sancionador en esta materia: la fracción X sanciona transferir sin comunicar al tercero el aviso con sus limitaciones, la XII transferir fuera de los casos permitidos y la XIII recabar o transferir sin el consentimiento expreso cuando sea exigible, todas en el rango de multa más alto del artículo 59, fracción III.

Aviso integral y aviso simplificado: qué lleva cada uno

	Aviso integral	Aviso simplificado
Base legal	Artículo 15	Artículo 16, fracción II
Contenido	Las seis fracciones del artículo 15	Solo las fracciones I a IV del artículo 15
Extra obligatorio	No aplica	Señalar el sitio donde se consulta el aviso integral
Mecanismos ARCO	Sí	No es exigido por esta vía
Procedimiento de cambios	Sí	No es exigido por esta vía

El simplificado es el que va en el punto de captura: el pie de un formulario, la pantalla de registro, el momento en que alguien deja su correo. El integral es el documento completo publicado en tu sitio, al que el simplificado enlaza.

Los plazos que tu aviso promete y tienes que poder cumplir

El aviso no es solo un texto: te obliga a operar. Los números que conviene conocer antes de publicarlo:

• Veinte días para comunicarle al titular la determinación adoptada sobre su solicitud ARCO, y quince días más para hacerla efectiva si procede (artículo 31).
• Son días hábiles. La ley escribe “veinte días” sin adjetivo, pero el artículo 2, fracción VIII, define “Días: Días hábiles”.
• Ambos plazos se amplían una sola vez por un periodo igual cuando las circunstancias del caso lo justifiquen (artículo 31, segundo párrafo).
• El ejercicio es gratuito (artículo 34). Solo puedes cobrar gastos de reproducción, copias o envío, con un tope de tres UMA cuando la misma persona reitera su solicitud en menos de doce meses.
• Si el titular no queda conforme, tiene quince días para presentar su solicitud de protección de datos ante la Secretaría (artículo 40), que cuenta con cincuenta días para resolver, ampliables una vez (artículo 42). Contra esa resolución procede juicio de amparo ante jueces y tribunales especializados (artículo 51).

Tres novedades que cambian cómo se redacta el aviso

1. Oposición al tratamiento automatizado y al perfilado. El artículo 26 amplió el derecho de oposición de forma notable frente al párrafo genérico que tenía la ley de 2010. Hoy incluye expresamente oponerse cuando los datos “sean objeto de un tratamiento automatizado, el cual le produzca efectos jurídicos no deseados o afecte de manera significativa sus intereses, derechos o libertades, y estén destinados a evaluar, sin intervención humana, determinados aspectos personales de la misma o analizar o predecir, en particular, su rendimiento profesional, situación económica, estado de salud, preferencias sexuales, fiabilidad o comportamiento”. Si tu operación asigna scores a leads, infiere perfiles o clasifica candidatos de forma automática, este artículo te aplica de lleno. Lo desarrollamos desde el lado de evaluación en la guía sobre qué mide de verdad una prueba psicométrica.

2. Se acabaron las finalidades “compatibles o análogas”. La ley de 2010 permitía tratar datos para finalidades análogas a las informadas sin pedir consentimiento nuevo. El artículo 11 vigente eliminó esa salida: cualquier finalidad distinta a la del aviso requiere consentimiento nuevo. Si tu aviso se apoyaba en la analogía para justificar usos derivados, ese argumento ya no existe.

3. “Fuente de acceso público” se endureció. La excepción de consentimiento por fuentes de acceso público sigue viva en el artículo 9, fracción II, pero la definición del artículo 2, fracción X, agrega que “No se considerará fuente de acceso público cuando la información contenida en la misma sea obtenida o tenga una procedencia ilícita”. El argumento de “estaba en internet” quedó más débil que antes.

Fugas de datos: a quién hay que avisar

Este es el punto donde más desinformación encontramos. Según el texto de la ley, la obligación es hacia el titular, no hacia la autoridad.

El artículo 19 dice que las vulneraciones de seguridad “que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares le serán informadas de forma inmediata por el responsable, a fin de que pueda tomar las medidas correspondientes a la defensa de sus derechos”. No hay plazo en días: el único calificador temporal es “de forma inmediata”. Y el catálogo de diecinueve infracciones del artículo 58 no incluye ninguna por dejar de notificar una brecha a la autoridad.

El detalle operativo sigue en el Reglamento de 2011, que tampoco menciona a la autoridad: su artículo 64 pide informar al titular “sin dilación alguna” y su artículo 65 fija el contenido mínimo del aviso de incidente, que es la naturaleza del incidente, los datos comprometidos, las recomendaciones al titular, las acciones correctivas inmediatas y dónde obtener más información.

Si en tu política de seguridad prometiste públicamente notificar a la autoridad mexicana en un plazo de días, estás prometiendo algo que la ley no exige y que después tienes que sostener en una auditoría. Es un error frecuente y fácil de corregir.

Checklist para revisar tu aviso esta semana

• ¿Cita artículos de la ley de 2010? El contenido del aviso es hoy el artículo 15 y los plazos ARCO el 31.
• ¿Menciona al INAI como autoridad o como instancia de queja? Ya no existe.
• ¿Enumera los datos personales que tratas e identifica cuáles son sensibles? Artículo 15, fracción II.
• ¿Distingue qué finalidades requieren consentimiento y cuáles no? Artículo 15, fracción III.
• ¿Incluye la cláusula sobre aceptación de transferencias? Artículo 35.
• ¿Muestras un aviso simplificado en cada punto de captura digital, con enlace al integral? Artículo 16, fracción II.
• ¿Puedes cumplir de verdad los veinte más quince días hábiles del artículo 31?
• ¿Hay una vía clara para ejercer oposición, incluida la oposición al tratamiento automatizado del artículo 26?

Puedes ver cómo aplicamos esto en nuestro propio aviso de privacidad para México y en la página de transparencia de datos.

Esto no es asesoría legal

Este artículo es informativo. Refleja el marco vigente a la fecha de publicación con base en el texto oficial de la ley y del reglamento, y cada afirmación jurídica va con su artículo para que puedas verificarla en la fuente. No es asesoría legal, no sustituye la revisión de un abogado y tu caso concreto puede cambiar el análisis según el sector, el tipo de datos, el volumen y las transferencias que realices.

Además, hay puntos que preferimos dejar marcados como no resueltos en lugar de rellenarlos: no encontramos publicado un canal oficial de la Secretaría Anticorrupción y Buen Gobierno para que un titular presente su solicitud contra una empresa privada, no localizamos un reglamento nuevo de la LFPDPPP, y el estatus de los lineamientos secundarios emitidos antes de la extinción del INAI no nos quedó claro. Consulta a un especialista en protección de datos en México antes de fijar tu política.

Cómo lo vemos en Growly

Ninguna herramienta te vuelve cumplido, porque el responsable del tratamiento eres tú. Lo que sí se puede hacer es que cumplir sea el camino fácil: que el aviso viaje con cada envío, que la baja sea de un clic y se respete en campañas futuras, y que quede registro de qué datos tratas y con qué finalidad. Esa es la parte que automatizamos en Growly, y el resto sigue siendo una decisión tuya y de tu abogado.

Fuentes

• LFPDPPP, texto vigente (DOF 20-03-2025, última reforma 14-11-2025), Cámara de Diputados
• Reglamento de la LFPDPPP (DOF 21-12-2011), Cámara de Diputados
• Decreto que reforma el Reglamento Interior de la Secretaría Anticorrupción y Buen Gobierno (DOF 21-03-2025), SIDOF
• Littler: México tiene nueva ley en materia de protección de datos personales (03-04-2025)
• Basham, Ringe y Correa: nueva LFPDPPP publicada en el DOF (21-03-2025)