Para México, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente desde el 21 de marzo de 2025. Te entrega las tres versiones que pide la ley: integral, simplificada y corta.
Esto es un punto de partida, no una asesoría legal. El documento cubre la estructura y los elementos que la ley pide, pero cada negocio trata datos distintos. Si manejas datos sensibles, datos de menores, transferencias al extranjero o estás en un sector regulado como salud o servicios financieros, revísalo con un abogado antes de publicarlo.
Marca solo lo que realmente pides. Recabar de más te obliga de más.
Datos sensibles, marca solo si aplica
Los datos sensibles exigen consentimiento expreso y por escrito. Necesitas una casilla o firma específica para ellos, aparte de la aceptación general, y el aviso debe decirlo. Te recomendamos revisar este caso con un abogado.
Las finalidades primarias son las necesarias para tu servicio. Las secundarias requieren que la persona pueda negarse.
Primarias
Secundarias
Faltan datos para que el aviso quede completo
Qué cambió con la ley de 2025, qué te obliga de verdad y los errores que más se repiten.
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que entró en vigor al día siguiente y sustituyó a la ley de 2010.
El cambio más visible es de autoridad: el INAI desapareció y las funciones sobre datos personales del sector privado pasaron a la Secretaría Anticorrupción y Buen Gobierno, que las atiende a través de la Dirección General de Datos Personales en el Sector Privado.
Esto tiene un efecto práctico inmediato: casi todos los avisos de privacidad publicados en México antes de 2025, y buena parte de los generadores que siguen circulando en línea, mencionan al INAI como la autoridad ante la cual reclamar. Ese texto quedó desactualizado. Si tu aviso dice INAI, conviene actualizarlo.
A cualquier persona física con actividad empresarial o persona moral que trate datos personales. No hay mínimo de facturación, de empleados ni de tamaño. Si tienes un formulario de contacto, una lista de correos, un registro de clientes o expedientes de personal, ya estás obligado.
La nueva ley además amplió la definición de responsable: ahora lo es quien realiza el tratamiento de datos, sin que sea necesario que tome las decisiones sobre ese tratamiento. En la práctica eso mete a más negocios dentro del alcance de la ley.
Es lo más frecuente y lo más inútil. El aviso declara qué datos tratas tú y para qué. Si copias el de otro negocio estás declarando finalidades que no son las tuyas, lo cual no te protege y sí te expone.
El consentimiento debe ser libre, específico e informado. Una casilla marcada de antemano no cumple ninguna de las tres. La persona tiene que marcarla activamente.
Enviar publicidad no es necesario para entregar un pedido. Las finalidades secundarias van separadas y la persona debe poder negarse a ellas sin perder el servicio principal.
El aviso debe señalar un correo o domicilio concreto y un plazo de respuesta. Un aviso sin canal de contacto real es un aviso incompleto.
Si cambias de sistema de facturación, agregas un chat, instalas píxeles de publicidad o empiezas a vender en otro país, tu tratamiento de datos cambió y el aviso debe reflejarlo. Ponle fecha de última actualización y revísalo al menos una vez al año.
| Derecho | Qué puede pedir la persona |
|---|---|
| Acceso | Saber qué datos suyos tienes y para qué los usas |
| Rectificación | Corregir datos incorrectos o incompletos |
| Cancelación | Que elimines sus datos de tus registros |
| Oposición | Negarse a un uso concreto, por ejemplo publicidad |
Sí. Basta con tener un formulario de contacto, una lista de correos o un registro de clientes. No existe un mínimo de facturación ni de empleados que te exente.
No. Desde la ley publicada el 20 de marzo de 2025, el INAI desapareció y sus funciones para el sector privado pasaron a la Secretaría Anticorrupción y Buen Gobierno. Si tu aviso menciona al INAI, está desactualizado.
Los que pueden dar origen a discriminación o poner en riesgo grave a la persona: salud, origen racial o étnico, creencias religiosas, afiliación sindical, opiniones políticas, preferencia sexual y datos biométricos. Exigen consentimiento expreso y por escrito.
Es un punto de partida sólido, no una asesoría legal. Si manejas datos sensibles, datos de menores, transferencias al extranjero o estás en un sector regulado, revísalo con un abogado especialista antes de publicarlo.
Cumplir con la ley empieza por resguardar bien la información. En Neubox tenemos hosting con certificado SSL, respaldos y correo propio.