Protección de Datos Personales

POR QUÉ CON ÓSCAR

Criterio legal, no atención genérica

Lo primero que hay que saber es que el marco legal cambió por completo. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente es nueva: se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y abrogó la ley de 2010 con la que trabajaba casi todo el material que circula en internet. El INAI, la autoridad que durante años impuso las multas en esta materia, desapareció como parte de la reforma de simplificación orgánica, y sus funciones pasaron a la Secretaría Anticorrupción y Buen Gobierno, que hoy es la autoridad que verifica, sustancia los procedimientos y sanciona a las empresas. Consecuencia práctica: el aviso de privacidad que tu empresa copió hace años probablemente cita una ley abrogada y una autoridad extinta — y ese solo detalle delata que nada del sistema de datos está al día.

Las obligaciones del responsable son concretas y verificables. El aviso de privacidad debe contener, como mínimo, la identidad y domicilio del responsable, los datos que se tratan identificando los sensibles, las finalidades del tratamiento distinguiendo las que requieren consentimiento, los medios para limitar el uso o divulgación, los mecanismos para ejercer los derechos ARCO y el procedimiento para comunicar cambios al propio aviso; así lo exige el artículo 15 de la ley. El responsable debe además establecer y mantener medidas de seguridad administrativas, técnicas y físicas que protejan los datos contra pérdida, alteración o acceso no autorizado (artículo 18), garantizar la confidencialidad de todo el que intervenga en el tratamiento (artículo 20), e informar de forma inmediata a los titulares las vulneraciones de seguridad que afecten significativamente sus derechos (artículo 19). En materia de derechos ARCO —acceso, rectificación, cancelación y oposición—, el artículo 31 fija un plazo máximo de veinte días para comunicar la determinación y quince más para hacerla efectiva, ampliables una sola vez por un periodo igual cuando el caso lo justifique.

El régimen de sanciones es el argumento económico de todo este tema. El artículo 58 de la ley tipifica las infracciones —desde no atender una solicitud ARCO hasta tratar datos sin consentimiento, incumplir el aviso de privacidad, vulnerar la seguridad de las bases o transferir datos indebidamente— y el artículo 59 fija las sanciones: apercibimiento en los supuestos menores, multa de 100 a 160,000 veces la Unidad de Medida y Actualización para un primer bloque de infracciones, multa de 200 a 320,000 UMA para las graves, y multa adicional en caso de reiteración; tratándose de datos sensibles, las sanciones pueden incrementarse hasta por dos veces. En pesos, el techo se mide en decenas de millones. La ley prevé incluso prisión: de tres meses a tres años para quien, estando autorizado, provoque con ánimo de lucro una vulneración de las bases a su custodia, y de seis meses a cinco años para quien trate datos mediante engaño, penas que se duplican con datos sensibles (artículos 62 a 64). Frente a un procedimiento de sanción hay defensa: los plazos, la motivación de la resolución y la proporcionalidad de la multa se litigan, y contra la resolución procede el juicio de amparo.

La lectura honesta para una PyME es esta: casi ninguna tiene este tema en orden, la autoridad nueva está estrenando facultades, y el costo de cumplir —un diagnóstico, avisos bien hechos, un procedimiento ARCO y cláusulas de transferencia— es una fracción de la multa mínima por una sola infracción grave. Este trabajo encaja de forma natural en la iguala legal mensual del despacho: el cumplimiento de datos se implementa una vez y se mantiene vivo conforme cambia tu operación. La asesoría inicial cuesta $2,000 MXN e incluye la revisión de tu aviso de privacidad actual, el diagnóstico preliminar de tus tratamientos de mayor riesgo y la propuesta con alcance y precio cerrados — y si tu exposición real es baja, también se te dice, porque venderte un proyecto que no necesitas sale más caro en confianza que en honorarios.