Aviso de privacidad para mi empresa: lo que cambió en 2025 y casi nadie corrigió

La ley regula a toda persona física o moral de carácter privado que trate datos personales. No hay mínimo de empleados ni de facturación. Si tienes clientes que te dejan nombre y teléfono, empleados con expediente, candidatos que mandan CV, un WhatsApp de ventas con el historial de cada contacto o cámaras que graban a quien entra a tu local — tratas datos personales y la ley te considera responsable, con las obligaciones completas del paquete: aviso de privacidad, atención de derechos ARCO, medidas de seguridad y confidencialidad.

Esto aplica igual a un consultorio, una agencia, un restaurante o una constructora. Y las obligaciones de datos personales de tu empresa no viven solas: se conectan con tus contratos laborales y con proveedores (cláusulas de confidencialidad y de encargado de tratamiento) y con el resto del cumplimiento legal que revisa un abogado para empresas.

El artículo 15 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares exige que el aviso contenga, al menos: (1) la identidad y domicilio del responsable; (2) los datos personales que se tratan, identificando los sensibles; (3) las finalidades del tratamiento, distinguiendo las que requieren consentimiento; (4) las opciones y medios para limitar el uso o divulgación; (5) los mecanismos para ejercer los derechos ARCO; y (6) el procedimiento para comunicar cambios al propio aviso.

Y el dato que el 90% de las plantillas tiene mal: la autoridad ya no es el INAI. Con la reforma de simplificación orgánica y la ley de 2025, quien recibe denuncias, verifica a las empresas e impone las multas es la Secretaría Anticorrupción y Buen Gobierno. Un aviso que remite al instituto extinto desinforma al titular sobre dónde ejercer sus derechos — exactamente lo que el aviso existe para informar. El diagnóstico completo de este tema está en el servicio de protección de datos personales del despacho.

Cita una ley abrogada. La mayoría de las plantillas se redactaron con la ley de 2010, muerta desde marzo de 2025. Publicar hoy un aviso fundado en una ley abrogada no es un tecnicismo: es evidencia por escrito, firmada por tu propia empresa, de que nadie ha revisado tus obligaciones de datos. Frente a una verificación, ese documento no te defiende — te delata.

Remite a una autoridad extinta y a finalidades ajenas. El aviso copiado manda al titular ante el INAI, que ya no existe, y lista finalidades de otro negocio: la plantilla de una escuela hablando de “expedientes académicos” en la página de una taquería. Mientras tanto omite lo que sí tratas — las cámaras, el WhatsApp de ventas, la bolsa de trabajo. El resultado: consentimientos que no amparan tu operación real y titulares mal informados. Eso se corrige con diagnóstico, no con otro copy-paste.

Las multas por no tener aviso de privacidad — o tenerlo mal. El artículo 59 de la ley vigente prevé apercibimiento en los supuestos menores, multa de 100 a 160,000 UMA para un primer bloque de infracciones y de 200 a 320,000 UMA para las graves, con multa adicional de 100 a 320,000 UMA si la conducta persiste de manera reiterada — y hasta el doble cuando se trata de datos sensibles. En pesos, el techo se mide en decenas de millones. Poner el aviso en orden cuesta una fracción de la multa mínima.

Los derechos ARCO tienen reloj. Acceso, Rectificación, Cancelación y Oposición: el artículo 31 te da veinte días para comunicar tu determinación y quince más para hacerla efectiva, ampliables una sola vez por un periodo igual. Si tu aviso no dice cómo ejercerlos — o la solicitud llega a un correo que nadie revisa — el plazo se vence solo y la infracción se configura sin que te enteres.