Aviso de privacidad: lo que la ley exige antes de escribir una línea de código

Si recolectas un dato personal, ya eres "responsable"

No hace falta vender nada ni tener una empresa grande. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) aplica a toda persona física o moral de carácter privado que trate datos personales — la ley las llama "sujetos regulados":

"Personas físicas o morales de carácter privado que llevan a cabo el tratamiento de datos personales" (art. 2, fracción XVI)

Un formulario de contacto, un checkout, una cookie de analítica, una lista de correo: todo eso es "tratamiento de datos personales". La ley exceptúa solo dos casos puntuales — sociedades de información crediticia (reguladas aparte) y quien recolecta datos para uso exclusivamente personal, sin fines de divulgación o comercialización (art. 1). Fuera de esos dos casos, si tu sitio pide un dato, la ley te aplica.

¿Qué es exactamente el aviso de privacidad?

La ley lo define así:

"Documento a disposición de la persona titular de la información de forma física, electrónica o en cualquier otro formato generado por el responsable, a partir del momento en el cual se recaben sus datos personales, con el objeto de informarle los propósitos del tratamiento de los mismos" (art. 2, fracción I)

Y la obligación de tenerlo no es opcional ni es una "buena práctica": es un artículo directo.

"El responsable tendrá la obligación de informar a la persona titular, a través del aviso de privacidad, la existencia y características principales del tratamiento al que serán sometidos sus datos personales, a fin de que pueda tomar decisiones informadas al respecto." (art. 14)

Lo que tiene que contener, como mínimo

El artículo 15 lo enumera de forma cerrada — esto no es una lista de sugerencias, es el contenido mínimo exigido:

1. Identidad y domicilio del responsable.
2. Los datos personales sometidos a tratamiento, identificando cuáles son sensibles.
3. Las finalidades del tratamiento, distinguiendo cuáles requieren consentimiento.
4. Las opciones que el responsable ofrece para limitar el uso o divulgación de los datos.
5. Los mecanismos para ejercer los derechos ARCO (acceso, rectificación, cancelación, oposición).
6. El procedimiento para avisar sobre cambios al propio aviso de privacidad.

Cómo debe entregarse en un sitio o app

Aquí la ley distingue el medio. Cuando el dato se obtiene por vía electrónica — que es el caso de prácticamente cualquier sitio o app — el artículo 16, fracción II es explícito: basta con un aviso simplificado que cubra al menos las fracciones I a IV del artículo 15, siempre que indique dónde consultar el aviso integral completo. Es, literalmente, el patrón que ya conoces como "banner corto + enlace a la política completa".

Qué pasa si se omite

El artículo 58, fracción V tipifica como infracción "omitir en el aviso de privacidad, alguno o todos los elementos a que se refiere el artículo 15 de esta Ley". La sanción, conforme al artículo 59, fracción II, es una multa de 100 a 160,000 Unidades de Medida y Actualización (UMA) — y esta es solo una de varias infracciones que contempla la ley; no es la única forma de incumplir. Vale aclarar: el texto no usa literalmente la frase "no tener aviso de privacidad" — lo que tipifica es omitir elementos del artículo 15, lo que en la práctica cubre tanto un aviso incompleto como la ausencia total.

Un aviso que cambió de fondo hace poco

Algo que muchos artículos de blog sobre este tema todavía no reflejan: la LFPDPPP que rige hoy no es la ley de 2010 que probablemente conoces por nombre. El 20 de marzo de 2025 se publicó una Nueva LFPDPPP que abrogó por completo la anterior, entrando en vigor al día siguiente, con una reforma adicional publicada el 14 de noviembre de 2025 (el texto citado aquí). Cambió, entre otras cosas, la autoridad competente — ya no es el extinto INAI, sino la Secretaría Anticorrupción y Buen Gobierno. Si encuentras contenido en internet que cite "artículo 15" o "artículo 16" con un texto distinto al de aquí, probablemente está citando la ley abrogada.

Dónde entra el código

Esta es la parte que casi nadie conecta bien: el aviso de privacidad no es un documento aislado que redacta el área legal y pega el área de marketing. Tiene que describir exactamente lo que el código hace — qué campos captura el formulario, qué cookies se disparan, a qué servicios de terceros (analítica, pagos, CRM) se les transfieren datos. El error de cumplimiento más común no es un aviso mal redactado: es un aviso correcto que ya no coincide con lo que el sitio realmente recolecta, porque el código cambió y el aviso no. Mantenerlos sincronizados es, en la práctica, tan responsabilidad de quien programa como de quien redacta.

Este artículo explica el contenido general de la LFPDPPP con fines informativos y educativos. No constituye asesoría jurídica para un caso concreto ni sustituye la revisión de tu aviso de privacidad específico por un profesional.