Los derechos ARCO son cuatro: acceso, rectificación, cancelación y oposición. Cualquier persona puede ejercerlos sobre los datos personales que tienes de ella, y tú, como responsable del tratamiento, tienes veinte días hábiles para comunicar tu determinación y quince días hábiles más para hacerla efectiva si procede. Eso lo fija el artículo 31 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) publicada en el Diario Oficial de la Federación el 20 de marzo de 2025.
Ese es el resumen citable. Lo que sigue es el detalle operativo, porque responder bien una solicitud ARCO no depende de saber la definición: depende de tener un proceso que sostenga el reloj.
Antes de nada: la numeración cambió
La LFPDPPP vigente entró en vigor el 21 de marzo de 2025 y su Transitorio Segundo, fracción I, abroga expresamente la ley del 5 de julio de 2010. El nombre y la sigla son idénticos, así que el cambio pasa desapercibido, pero casi todos los artículos de ARCO se recorrieron un lugar. Si tu manual interno, tu plantilla de respuesta o tu aviso citan la numeración vieja, citan una ley abrogada. Esta es la traducción:
| Tema | Ley vigente (2025) | Ley abrogada de 2010 |
|---|---|---|
| Ejercicio general de ARCO | Artículo 21 | Artículo 22 |
| Acceso | Artículo 22 | Artículo 23 |
| Rectificación | Artículo 23 | Artículo 24 |
| Cancelación | Artículo 24 | Artículo 25 |
| Casos en que no procede cancelar | Artículo 25 | Artículo 26 |
| Oposición | Artículo 26 | Artículo 27 |
| Requisitos de la solicitud | Artículo 28 | Artículo 29 |
| Plazos de respuesta | Artículo 31 | Artículo 32 |
| Gratuidad | Artículo 34 | Artículo 35 |
Hay una forma de comprobar la tabla sin fiarse de nadie: el Reglamento de 2011 sigue vigente y no fue abrogado, así que sus remisiones internas todavía apuntan a la ley vieja. Su artículo 101 cita “el artículo 23 de la Ley” para el acceso, que hoy es el 22; su artículo 105 cita “el artículo 25” para la cancelación, que hoy es el 24; y sus artículos 97, 98 y 107 remiten al “artículo 32” para los plazos, que hoy es el 31. Las piezas encajan.
El otro cambio es de autoridad. El INAI se extinguió por la reforma constitucional publicada el 20 de diciembre de 2024, y la ley vigente designa a la Secretaría Anticorrupción y Buen Gobierno como autoridad para el sector privado (artículo 2, fracción XV, y artículos 38 y 39). Dentro de ella, la Dirección General de Datos Personales en el Sector Privado sustancia los procedimientos de protección de derechos, verificación y sanciones. Si tu aviso remite al INAI, la referencia está muerta desde el 21 de marzo de 2025. El marco completo está en nuestra guía sobre qué exige la LFPDPPP 2025 en el aviso de privacidad.
Qué es cada derecho, en la práctica
Acceso (artículo 22). Conocer los datos que tienes de la persona y las condiciones y generalidades de su tratamiento. En prospección se traduce en una pregunta concreta: “¿de dónde sacaste mi correo?”. El artículo 32 aclara que la obligación se cumple poniendo los datos a disposición, o mediante copias simples, documentos electrónicos o el medio que hayas señalado en tu aviso. El artículo 102 del Reglamento exige un formato legible o comprensible, y el 98 que si usas códigos, siglas o claves entregues su significado. Un volcado con nombres de columna internos no cumple.
Rectificación (artículo 23). Procede cuando los datos son inexactos, incompletos o están desactualizados. El artículo 30 pide indicar las modificaciones a realizar y aportar documentación que sustente la petición. Ojo con un detalle del texto: ese artículo 30 remite a “lo señalado en el artículo 29 de esta Ley”, pero los requisitos de la solicitud están en el artículo 28, mientras que el 29 trata de la designación de la persona o departamento de datos personales. Parece un cruce heredado de la numeración anterior; en la práctica, exige lo que dice el artículo 28.
Cancelación (artículo 24). Sacar los datos de tus archivos, registros, expedientes y sistemas. No es un borrado inmediato: da lugar a un periodo de bloqueo y después a la supresión. El bloqueo dura lo que el plazo de prescripción de las acciones derivadas de la relación jurídica que funda el tratamiento, y durante ese tiempo los datos solo pueden almacenarse (artículo 108 del Reglamento). Cancelado el dato, hay que avisar a la persona. Y si ya habías transmitido esos datos a terceros que los siguen tratando, el propio artículo 24 te obliga a comunicarles la solicitud.
Oposición (artículo 26). El más relevante para quien prospecta o evalúa. Tiene dos supuestos: por causa legítima y situación específica, cuando el tratamiento lícito debe cesar para evitar un daño; y uno nuevo, cuando los datos “sean objeto de un tratamiento automatizado” que afecte de manera significativa los intereses, derechos o libertades de la persona y esté destinado a evaluar sin intervención humana aspectos como el rendimiento profesional, la situación económica, el estado de salud o el comportamiento. Si tu operación asigna scores o clasifica personas de forma automática, ese es el artículo que te van a citar.
Para gestionar oposiciones a escala, el artículo 110 del Reglamento contempla los listados de exclusión, propios o comunes por sector, con inscripción gratuita y constancia. Es lo que en operación llamamos lista de supresión.
El reloj: cómo se cuentan los veinte más quince
El artículo 31 dice “veinte días” sin adjetivo, y ahí es donde muchos equipos se equivocan. El artículo 2, fracción VIII, define “Días: Días hábiles”. Son hábiles.
- Inicio del cómputo. Desde el día en que recibiste la solicitud. El artículo 95 del Reglamento pide anotar la fecha de recepción en el acuse.
- Veinte días para comunicar la determinación adoptada, y quince días adicionales para hacerla efectiva, contados desde que comunicaste la respuesta.
- Ampliación. Cada plazo puede ampliarse una sola vez por un periodo igual si las circunstancias lo justifican (artículo 31, último párrafo). El artículo 97 del Reglamento agrega el requisito que casi nadie cumple: la justificación debe notificarse dentro del plazo original, no cuando ya venció.
- Interrupción. Si la solicitud viene incompleta o con información errónea, puedes requerir información adicional una sola vez y dentro de los cinco días siguientes a recibirla. La persona tiene diez días para atenderlo; si no responde, la solicitud se tiene por no presentada. Si responde, tu plazo empieza a correr al día siguiente (artículos 95 y 96 del Reglamento).
El peor escenario razonable son treinta y cinco días hábiles, cerca de siete semanas naturales. Suena holgado hasta que la solicitud llega al correo de alguien que está de vacaciones.
Qué debe traer la solicitud, y qué no puedes exigir
El artículo 28 lista cinco elementos: nombre y domicilio o medio para recibir notificaciones; documentos que acrediten la identidad de la persona o la personalidad de su representante; descripción clara y precisa de los datos sobre los que se ejerce el derecho, salvo que se trate de acceso; descripción del derecho que se pretende ejercer; y cualquier elemento que facilite localizar los datos.
Sobre la identidad, el artículo 89 del Reglamento admite copia del documento de identificación con cotejo del original, y también “instrumentos electrónicos por medio de los cuales sea posible identificar fehacientemente al titular, u otros mecanismos de autenticación” que el responsable haya establecido. Si la persona ya se autentica en tu producto, puedes usar esa sesión.
Lo que no puedes hacer: cobrar por atender, porque el ejercicio es gratuito y solo recuperas costos de reproducción, copias o envío, con tope de tres UMA si la persona reitera en menos de doce meses (artículo 34); poner como única vía de presentación un servicio con costo, prohibido por el artículo 93 del Reglamento; ni exigir un formato propio, que puedes ofrecer como facilidad pero no como requisito excluyente (artículo 90 del Reglamento).
Responder siempre, incluso para negar
El artículo 98 del Reglamento es tajante: hay que responder toda solicitud ARCO con independencia de que figuren o no datos de la persona en tus bases. No tener datos no te libera de contestar; es una causa de improcedencia (artículo 33, fracción II).
Las demás causas del artículo 33: que la persona o su representante no estén debidamente acreditados, que se lesionen derechos de un tercero, que exista un impedimento legal o resolución de autoridad, y que el derecho ya se haya ejercido antes. La negativa puede ser parcial, y siempre tienes que informar el motivo, comunicarlo por el mismo medio por el que llegó la solicitud y acompañar las pruebas pertinentes.
Aparte, el artículo 25 lista siete supuestos en los que no estás obligado a cancelar, entre ellos que los datos se refieran a las partes de un contrato y sean necesarios para su cumplimiento, o que deban tratarse por disposición legal. Es la base para conservar facturación tras una baja comercial.
Una precisión: el artículo 100 del Reglamento dice que al negar un derecho debes informar del derecho a acudir “ante el Instituto”. Ese Instituto era el INAI. La instancia es hoy la Secretaría.
Si no respondes, esto es lo que sigue
- Quince días para que el titular presente su solicitud de protección de datos ante la Secretaría, contados desde que le comunicaste tu respuesta (artículo 40). Si no hubo respuesta, puede presentarla en cuanto venza tu plazo.
- Cincuenta días máximos para que la Secretaría resuelva, ampliables una sola vez por un periodo igual (artículo 42).
- Ante falta de respuesta, la Secretaría te da vista para que en diez días acredites haber respondido en tiempo y forma, o respondas. Si tu respuesta atiende lo solicitado, el asunto se sobresee (artículo 50).
- Si la resolución favorece al titular, tienes diez días para hacer efectivo el derecho y otros diez para dar cuenta del cumplimiento (artículo 43).
- Contra las resoluciones de la Secretaría procede juicio de amparo ante jueces y tribunales especializados (artículo 51).
En la vía sancionadora, el artículo 58 abre su catálogo justo con esto: la fracción I es no cumplir la solicitud ARCO sin razón fundada, la II actuar con negligencia o dolo durante su trámite y la III declarar dolosamente que no existen datos cuando sí existen. Para la fracción I el artículo 59, fracción I, prevé apercibimiento; para las fracciones II a VII, multa de 100 a 160,000 veces la UMA. Y la fracción XVI sanciona seguir usando los datos cuando ya se solicitó el cese, el escenario clásico de la baja que no se respeta.
Nada de esto es asesoría legal: tu caso puede cambiar según el sector, el volumen y las transferencias que hagas. Es información general con el artículo a la vista para que la verifiques.
Cómo montar el proceso en una semana
- Designa a alguien. El artículo 29 obliga a designar una persona o departamento de datos personales que dé trámite a las solicitudes. Con nombre y suplente, no “el área legal”.
- Publica un canal gratuito, correo y formulario, declarado en el aviso (artículo 15, fracción V, y artículo 90 del Reglamento).
- Acusa recibo con fecha (artículo 95 del Reglamento). Es tu prueba si el asunto escala.
- Ten seis plantillas: una por derecho, más requerimiento de información y negativa fundada.
- Fija un SLA interno de diez días hábiles. La ley te da veinte; deja margen para vacaciones y escalamientos.
- Mantén un registro de tratamiento: qué datos tienes de cada persona, de qué fuente salieron, con qué finalidad y cuándo se dio de baja. Sin esto no puedes responder un acceso ni acreditar una cancelación.
- Conecta la oposición con tu lista de supresión, para que la baja no reaparezca en la siguiente importación.
Los errores que más vemos: contar días naturales, ampliar el plazo avisando tarde, no responder cuando no hay datos, tratar la baja de marketing como si fuera cancelación total y borrar todo de golpe sin periodo de bloqueo.
Si aún estás resolviendo si tu operación puede tratar esos datos, empieza por si es legal el cold email en México y, si reclutas, por qué datos puedes tratar de un candidato. Nuestro aviso de privacidad para México muestra cómo se declaran los canales ARCO.
Lo que no pudimos verificar
No localizamos en fuentes oficiales un trámite, formulario, correo o teléfono publicado por la Secretaría Anticorrupción y Buen Gobierno para que una persona presente su solicitud contra una empresa privada. Preferimos decirlo así antes que publicar un dato de contacto sin confirmar.
Cómo lo vemos en Growly
Responder ARCO en plazo es un problema de datos antes que de derecho: si no sabes qué tienes de cada persona y de dónde salió, no hay plantilla que te salve. Por eso en Growly la baja es de un clic y alimenta una lista de supresión que se respeta en campañas futuras, cada contacto conserva su origen y finalidad, y el registro de tratamiento existe para que un acceso se conteste con evidencia. La postura completa está en soberanía de tus datos y en la página de confianza. Ninguna herramienta te vuelve cumplido; lo que sí puede hacer es que cumplir sea el camino fácil.