El aviso de privacidad no basta: siete controles que toda empresa debe revisar

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente obliga a las empresas a observar principios, informar el tratamiento, mantener medidas de seguridad, preservar la confidencialidad y permitir el ejercicio de derechos ARCO. Estas obligaciones alcanzan información de clientes y proveedores, pero también expedientes laborales, procesos de reclutamiento, controles de acceso, videovigilancia y datos administrados por plataformas o prestadores de servicios.

La ley actual fue publicada el 20 de marzo de 2025 y su texto vigente registra una reforma al 14 de noviembre de 2025. En 2026 la autoridad ha abierto diálogos para actualizar nuevamente el marco normativo; esa conversación no sustituye ni suspende la ley vigente. Por ello, la prioridad práctica es comprobar que el cumplimiento existe en la operación diaria.

Por qué un aviso correcto puede ser insuficiente

Los artículos 14 a 16 regulan el deber de informar y el contenido mínimo del aviso de privacidad. Sin embargo, el documento solo describe el tratamiento. Si la práctica real no coincide con lo informado, si se recaban datos innecesarios o si los accesos internos carecen de control, el aviso no corrige esas deficiencias.

El artículo 13 exige al responsable adoptar medidas necesarias y suficientes para aplicar los principios de protección y garantizar que el aviso sea respetado por la propia empresa y por terceros con los que tenga una relación jurídica. La revisión, por tanto, debe unir lo legal, lo laboral, lo contractual y lo tecnológico.

Siete controles que conviene revisar

1. Inventario y mapa de datos

La empresa debe identificar qué datos personales posee, de quiénes, en qué sistemas o expedientes se encuentran, quién los consulta, con qué finalidad y durante cuánto tiempo. El mapa debe incluir archivos físicos, hojas de cálculo, correo electrónico, servicios en la nube, expedientes de personal, cámaras y aplicaciones utilizadas por proveedores.

Este ejercicio permite aplicar el principio de proporcionalidad del artículo 12: el tratamiento debe ser necesario, adecuado y relevante para las finalidades informadas. Recabar información “por si acaso” aumenta el riesgo sin crear una ventaja jurídica.

2. Avisos distintos para tratamientos distintos

Un aviso genérico rara vez describe con precisión todos los escenarios. Conviene separar, cuando corresponda, los avisos para clientes, prospectos, proveedores, candidatos, personas trabajadoras, visitantes y videovigilancia. El artículo 15 exige identificar al responsable, los datos tratados (incluidos los sensibles), las finalidades, los medios para limitar uso o divulgación, los mecanismos ARCO y la forma de comunicar cambios.

3. Base jurídica y consentimiento

No todo tratamiento descansa en el consentimiento. El artículo 9 contempla excepciones, entre ellas cuando los datos son necesarios para ejercer un derecho o cumplir obligaciones derivadas de una relación jurídica. Aun así, debe documentarse por qué se utiliza cada dato. Los datos financieros o patrimoniales requieren, por regla general, consentimiento expreso; los sensibles exigen consentimiento expreso y por escrito, salvo una excepción legal aplicable.

4. Accesos, confidencialidad y salida de personal

El artículo 20 ordena establecer controles para que quienes intervienen en el tratamiento guarden confidencialidad, incluso después de terminar su relación. En la práctica, esto exige perfiles de acceso, compromisos de confidencialidad, capacitación y un proceso de baja que retire cuentas, llaves, respaldos y permisos cuando una persona deja la organización.

5. Contratos con proveedores

Nómina, reclutamiento, almacenamiento, CRM, correo, soporte y videovigilancia suelen depender de terceros. La empresa debe saber qué datos reciben, bajo qué instrucciones operan, dónde los alojan, qué medidas aplican y qué ocurrirá al terminar el servicio. El contrato debe reflejar la operación real; una cláusula estándar no sustituye la evaluación del proveedor.

6. Seguridad e incidentes

El artículo 18 exige medidas administrativas, técnicas y físicas acordes con el riesgo, las consecuencias posibles, la sensibilidad de los datos y el desarrollo tecnológico. El artículo 19 ordena informar inmediatamente a las personas titulares cuando una vulneración afecte de forma significativa sus derechos patrimoniales o morales.

La empresa necesita un protocolo que defina responsables, conservación de evidencia, contención, evaluación del impacto, decisión de comunicación y documentación del incidente. En enero de 2026, la autoridad advirtió sobre vulnerabilidades detectadas en sistemas de gestión de contenidos con complementos y plantillas genéricas; la selección y actualización de herramientas también forma parte del control.

7. Procedimiento ARCO y conservación

Las personas pueden solicitar acceso, rectificación, cancelación u oposición. No basta con mencionar un correo en el aviso: debe existir un flujo interno para autenticar a la persona solicitante, localizar la información, coordinar áreas y responder. La cancelación tampoco significa borrar indiscriminadamente: el artículo 24 prevé un periodo de bloqueo y el artículo 25 reconoce supuestos en los que no procede cancelar, por ejemplo cuando los datos son necesarios para cumplir un contrato o una obligación legal.

En materia laboral: los expedientes de personal suelen concentrar identificaciones, domicilio, información bancaria, salud, beneficiarios, evaluaciones y datos biométricos. Recursos Humanos, Jurídico y Tecnología deben acordar finalidades, accesos, conservación y eliminación; ninguno de esos controles puede resolverse aisladamente.

Conclusión

El aviso de privacidad sigue siendo indispensable, pero es solo la puerta de entrada. Una empresa con cumplimiento maduro puede explicar y demostrar el ciclo completo de la información: obtención, uso, acceso, transferencia, conservación, respuesta a derechos e incidentes y eliminación. Ese enfoque reduce exposición jurídica, mejora la relación laboral y comercial y evita que la protección de datos se convierta en una política que existe únicamente en papel.