Puntos clave
- Si tu empresa recopila datos de clientes, trabajadores, proveedores o prospectos, debe revisar sus obligaciones en materia de protección de datos personales.
- El aviso de privacidad debe explicar qué información recopilas y para qué la utilizas.
- Descargar un formato de internet y cambiarle el nombre de la empresa no garantiza el cumplimiento.
- Omitir información obligatoria en el aviso puede generar en 2026 multas de $11,731 hasta $18,769,600 pesos.
- Otras infracciones en materia de datos personales pueden alcanzar $37,539,200 pesos y, tratándose de datos sensibles, las sanciones pueden incrementarse hasta el doble.
Tu empresa probablemente recopila datos personales todos los días: nombres, teléfonos, correos electrónicos, identificaciones, datos bancarios, currículums o información de trabajadores.
Pero ¿sabes realmente qué debe decir el aviso de privacidad de tu empresa y si el que utilizas hoy cumple con la ley?
El aviso de privacidad no debe verse como un simple texto para colocar en la página web. Es una obligación legal relacionada directamente con la forma en que tu empresa obtiene y utiliza información de otras personas.
¿Qué es un aviso de privacidad?
Es el documento mediante el cual una empresa informa a las personas qué datos personales recopila, para qué los utilizará y cómo pueden ejercer sus derechos sobre esa información.
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde marzo de 2025, obliga al responsable a informar las características principales del tratamiento que dará a los datos personales.
¿Qué empresas necesitan aviso de privacidad?
Si recopilas datos personales, este tema debe formar parte del cumplimiento legal de tu negocio. Por ejemplo, si tu empresa:
- tiene trabajadores;
- recibe datos de clientes o prospectos;
- solicita identificaciones;
- recibe currículums;
- utiliza formularios en su página web;
- cuenta con bases de datos comerciales;
- utiliza cámaras de videovigilancia; o
- recopila información financiera, patrimonial o sensible.
El tratamiento de datos incluye actividades tan comunes como obtener, registrar, almacenar, utilizar, comunicar o transferir información personal. Por eso, muchas empresas tienen obligaciones en esta materia desde el día en que contratan a su primer trabajador, aunque nunca lo hayan visto así. Si estás en esa etapa, también conviene revisar las cláusulas obligatorias del contrato de trabajo.
¿Qué debe contener un aviso de privacidad?
Entre otros elementos, debe señalar:
- quién es responsable de los datos;
- qué datos personales serán utilizados;
- cuáles de ellos son sensibles;
- para qué serán utilizados;
- cómo puede limitarse su uso o divulgación;
- cómo ejercer los derechos de acceso, rectificación, cancelación y oposición (derechos ARCO); y
- cómo se comunicarán las modificaciones al aviso.
Estos elementos se encuentran previstos en el artículo 15 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
¿Cuáles son las multas por no tener un aviso de privacidad correcto?
Aquí está uno de los puntos que las empresas suelen subestimar. La ley considera una infracción omitir alguno o todos los elementos que debe contener el aviso de privacidad, y para esta infracción establece una multa de 100 a 160,000 UMA.
Considerando que el valor diario de la UMA para 2026 es de $117.31 pesos, la multa puede ir aproximadamente de $11,731 a $18,769,600 pesos.
Además, existen otras infracciones relacionadas con el tratamiento indebido de datos personales que pueden sancionarse con hasta 320,000 UMA, equivalentes en 2026 a $37,539,200 pesos. Cuando las infracciones involucran datos personales sensibles, las sanciones pueden incrementarse hasta por dos veces.
El monto no se aplica automáticamente: la autoridad debe considerar elementos como la naturaleza de los datos, la intención, la capacidad económica del responsable y la reincidencia. Desde la desaparición del INAI, esa autoridad es la Secretaría Anticorrupción y Buen Gobierno.
Un caso reciente: la multa a la Federación Mexicana de Futbol
El riesgo no es únicamente teórico. En julio de 2026, la Secretaría Anticorrupción y Buen Gobierno informó una sanción de $42.8 millones de pesos a la Federación Mexicana de Futbol por incumplimientos relacionados con el tratamiento de datos personales mediante el FAN ID.
Uno de los incumplimientos estaba justamente en el aviso de privacidad: la Federación recababa fotografías de los aficionados, pero su aviso no indicaba que esos datos eran sensibles. Una omisión en el documento terminó siendo parte de una multa millonaria.
¿Tener un aviso de privacidad es suficiente?
No. La empresa también debe cumplir en la práctica con lo que establece su aviso.
Por ejemplo, debe implementar medidas administrativas, técnicas y físicas para proteger los datos contra pérdida, alteración, destrucción o acceso no autorizado.
Un aviso bien redactado sirve de poco si cualquier persona dentro de la empresa puede acceder, copiar o compartir una base de datos sin controles.
Errores comunes en el aviso de privacidad de una empresa
- Descargar un aviso de privacidad genérico de internet.
- Tener un aviso que no corresponde con los datos que realmente recopila la empresa.
- No actualizarlo cuando cambian los servicios o procesos del negocio.
- Utilizar datos para finalidades diferentes de las informadas.
- No establecer mecanismos para atender los derechos ARCO.
- Recopilar datos sensibles sin revisar las reglas especiales aplicables.
- Pensar que publicar el aviso en la página web es suficiente para cumplir con todas las obligaciones.
Preguntas frecuentes sobre el aviso de privacidad
¿Todas las empresas deben tener aviso de privacidad?
Si una empresa trata datos personales de clientes, trabajadores, proveedores, usuarios o prospectos, debe analizar y cumplir las obligaciones aplicables en materia de protección de datos.
¿Puedo utilizar un formato de aviso de privacidad descargado de internet?
Puede servir como referencia, pero no garantiza el cumplimiento. El aviso debe adaptarse a los datos, procesos y finalidades reales de cada empresa.
¿Necesito más de un aviso de privacidad?
Depende de la operación. Una empresa puede requerir avisos diferentes para trabajadores, clientes, candidatos, videovigilancia o usuarios de su página web.
¿Debo actualizar mi aviso de privacidad?
Sí, especialmente cuando cambian las finalidades del tratamiento, los datos recopilados, los procesos internos o las tecnologías utilizadas.
¿Qué pasa si recopilo datos sensibles?
Existen obligaciones adicionales y las sanciones pueden ser mayores. La ley establece que, para determinados tratamientos de datos sensibles, se requiere consentimiento expreso y por escrito. Marcar una casilla en un formulario no siempre es suficiente.
Recomendaciones finales
El aviso de privacidad no debería elaborarse únicamente para “cumplir con un requisito”. Debe reflejar cómo funciona realmente tu empresa.
Antes de utilizar un formato genérico, conviene identificar qué datos recopilas, para qué los utilizas, dónde los almacenas, quién tiene acceso y con quién los compartes.
La prevención en protección de datos puede evitar sanciones, reclamaciones y problemas que afecten la reputación de tu empresa, y forma parte del cumplimiento que revisamos dentro de nuestra área de derecho corporativo.
¿Tu aviso de privacidad está actualizado?
En Potenza Lex revisamos la forma en que tu empresa recopila y utiliza datos personales para identificar riesgos y elaborar o actualizar los avisos de privacidad que correspondan a tu operación.
No se trata únicamente de tener un documento. Se trata de que tu empresa realmente esté protegida.
Agenda una consulta con Potenza Lex y revisemos si tu aviso de privacidad cumple con las obligaciones actuales.
Potenza Lex
Tu superpoder legal.
