Primero, lo que cambió en 2025
La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares se publicó en el DOF el 20 de marzo de 2025 y entró en vigor al día siguiente. Con ella desapareció el INAI: la autoridad que ahora vigila el cumplimiento es la Secretaría Anticorrupción y de Buen Gobierno, que depende directamente del Ejecutivo federal. Si su aviso todavía menciona al INAI, ya está desactualizado.
Lo que todo aviso de privacidad debe contener
Como mínimo, el aviso debe informar:
- Quién es el responsable: identidad y domicilio de quien trata los datos.
- Qué datos se tratan: los datos personales sujetos a tratamiento, señalando de forma expresa los sensibles.
- Para qué se usan: las finalidades del tratamiento, distinguiendo las necesarias de las que requieren su consentimiento.
- Cómo limitar el uso o divulgación: los medios que ofrece para ello.
- Cómo ejercer los derechos ARCO: acceso, rectificación, cancelación y oposición, y el medio para hacerlo.
- Cómo se avisan los cambios: el procedimiento y el medio por el que comunicará modificaciones al aviso.
Lo que es nuevo respecto a la ley anterior
Dos cambios importan para redactarlo bien hoy:
Ahora hay que listar los datos que se tratan
Se incorpora como requisito mínimo señalar los datos personales sometidos a tratamiento. Un aviso genérico que no diga qué datos recaba se queda corto.
Las transferencias salieron de la lista, pero no de la obligación
El artículo que enumera los requisitos del aviso ya no menciona las transferencias. Pero la obligación no se eliminó: el artículo 35 sigue exigiendo que, al transferir datos a un tercero, se le comunique el aviso de privacidad y las finalidades a las que el titular sujetó el tratamiento.
No es un solo documento: son tres
Según el canal y el espacio disponible, se usan tres versiones del aviso, y conviene tener las tres:
Integral
La versión completa, con todos los elementos.
Simplificado
El resumen que remite al integral, para formularios y contratos.
Corto
La leyenda breve, para espacios donde no cabe más.
Lo que casi nadie le va a decir
El documento es la parte fácil
Redactar el aviso no es lo difícil, ni es acto reservado a ninguna profesión. Lo difícil es lo que casi nadie opera: el canal ARCO que de verdad responde cuando alguien ejerce sus derechos, el control de los plazos de respuesta, la evidencia de que se atendió, y la revisión cuando cambian sus datos o la ley.
Un aviso publicado sin ese respaldo se ve bien hasta el día que le piden comprobar. Ahí es donde importa tenerlo operado, no solo redactado.
¿Su aviso está al día con la ley de 2025?
En un diagnóstico revisamos su aviso, sus formularios y su canal ARCO, y le decimos qué le falta para quedar en regla con la ley nueva — y quién responde el día que se lo pidan.