Casi todos los avisos de privacidad que circulan en México son el mismo documento con el nombre cambiado. Funciona para tener algo publicado. No funciona para lo que se supone que sirve.
Y ahora además están desactualizados. La LFPDPPP de 2010 fue abrogada: desde el 21 de marzo de 2025 rige una ley nueva que exige más detalle en el aviso integral y que sustituyó al INAI por la Secretaría Anticorrupción y Buen Gobierno. Si tu aviso menciona al INAI, señala a una autoridad inexistente — ver el análisis de la ley nueva.
El problema del aviso copiado
En una verificación no se lee el aviso de forma aislada: se contrasta contra la operación real. Y ahí es donde el documento genérico se vuelve un problema, porque suele hacer dos cosas mal a la vez:
- Describe finalidades que no tienes. Menciona tratamientos de marketing, perfilamiento o transferencias que tu empresa nunca hizo. Ahora tienes que explicar por qué declaraste algo que no ocurre.
- Omite las que sí tienes. No menciona que le pasas datos a tu contador externo, a tu proveedor de nómina o a la plataforma de CRM. Esas transferencias existen y no están informadas.
El aviso deja de defenderte y empieza a documentar el incumplimiento.
El aviso se escribe al final, no al principio
El orden correcto es el inverso al que casi todo el mundo sigue:
- Mapear. Qué datos recabas, de dónde vienen, dónde viven, quién los toca dentro de la empresa y a quién se los transfieres fuera.
- Clasificar finalidades. Cuáles son necesarias para la relación y cuáles no — la distinción importa porque el titular puede oponerse a las segundas.
- Redactar. El aviso describe lo que encontraste en el mapeo.
Sin el paso uno, el aviso describe una empresa imaginaria.
Las tres modalidades
No son tres documentos distintos: son tres niveles de detalle del mismo contenido.
- Integral — la versión completa, normalmente en el sitio web. La ley vigente exige que detalle los datos que se tratan identificando expresamente los sensibles
- Simplificado — el que se muestra en el momento de recabar los datos
- Corto — para espacios donde no cabe más, con remisión al integral
Lo que no se ve pero se revisa
El aviso es la parte visible. El cumplimiento se acredita con lo demás:
- Un procedimiento real de derechos ARCO, con responsable designado y plazos que se cumplen
- Medidas de seguridad documentadas, proporcionales al tipo de dato
- Contratos con los proveedores que tratan datos por tu cuenta — sigues siendo responsable de lo que ellos hagan
- Un protocolo de respuesta a incidentes, definido antes de que ocurra uno
Ya no es solo cumplimiento
Cada vez más contratos B2B exigen acreditar cumplimiento en protección de datos. Para muchas empresas esto dejó de ser un tema regulatorio y pasó a ser un requisito para vender.