Aviso de privacidad web: qué exige la nueva ley

Un aviso de privacidad es el documento que explica qué datos personales recaba tu empresa, para qué los usa y cómo pedir que se corrijan o borren. Si tu sitio pide datos en un formulario, un chat o un registro, la ley vigente te obliga a tenerlo.

Esa ley es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Se publicó como nueva ley en el Diario Oficial de la Federación (DOF) el 20 de marzo de 2025, entró en vigor al día siguiente y abrogó la de 2010, según el texto vigente de la Cámara de Diputados, cuya última reforma se publicó el 14 de noviembre de 2025. Un aviso no se escribe una vez y se olvida: cada formulario o herramienta nueva lo puede dejar incompleto, y por eso conviene incluirlo en un mantenimiento web que revise también formularios y textos legales.

Qué cambió con la nueva ley y quién la vigila

El cambio más visible es la autoridad. Con la desaparición del INAI, el instituto autónomo que antes vigilaba los datos personales, la ley encarga su vigilancia a la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV). Esa Secretaría puede verificar el cumplimiento, resolver las quejas de las personas afectadas e imponer sanciones (artículo 39). Si tu aviso todavía menciona al INAI, está desactualizado.

La ley aplica a cualquier persona física o moral de carácter privado que trate datos personales (artículo 2, fracción XVI): un despacho contable de dos personas en Guadalajara tiene la misma obligación de informar que una cadena de tiendas. Solo queda fuera el uso exclusivamente personal (artículo 1). Dos términos que conviene tener claros: titular es la persona dueña de los datos, como tu prospecto o cliente; responsable es tu empresa, que decide qué hacer con ellos.

El reglamento que aparece en el compendio de la Cámara de Diputados sigue siendo el publicado en el DOF el 21 de diciembre de 2011, expedido para la ley anterior (consultado el 2 de noviembre de 2026). La nueva ley ordenó adecuarlo (transitorio décimo segundo); mientras tanto, en CloudStudio recomendamos usar ese reglamento como guía práctica en lo que no contradiga la ley vigente y confirmar cada caso con tu abogado.

Qué debe incluir un aviso de privacidad

El artículo 15 de la LFPDPPP fija el contenido mínimo. Así se traduce cada elemento a un sitio web:

1. Identidad y domicilio del responsable: razón social y domicilio completo, no solo el nombre comercial.
2. Los datos que vas a tratar, señalando cuáles son sensibles, es decir, los que tocan la esfera más íntima de la persona, como su salud, origen étnico, creencias o preferencia sexual (artículo 2, fracción VI).
3. Las finalidades, distinguiendo las que requieren consentimiento. “Responder tu cotización” es la finalidad principal; “enviarte promociones” es secundaria y debe poder rechazarse.
4. Las opciones para limitar el uso o la divulgación de los datos: por ejemplo, un correo para darse de baja del boletín o un enlace para dejar de recibir llamadas.
5. Los medios para ejercer los derechos ARCO, que son los de acceso, rectificación, cancelación y oposición: ver qué datos tienes, corregirlos, pedir que los borres u oponerse a un uso.
6. Cómo avisarás de cambios al aviso: por ejemplo, publicando la versión nueva con su fecha.

Además, el aviso debe explicar cómo revocar el consentimiento (artículo 7) y, si compartes datos con terceros distintos de tus proveedores, incluir una cláusula en la que la persona indique si acepta o no esa transferencia (artículo 35). Omitir cualquiera de los seis elementos del artículo 15 es, por sí mismo, una infracción (artículo 58, fracción V).

Aviso integral y aviso simplificado: dónde va cada uno

Cuando recabas datos por un medio electrónico, la ley pide entregar el aviso en su modalidad simplificada en ese momento. Esa versión corta debe incluir al menos los elementos I a IV del artículo 15 y decir dónde consultar el aviso integral (artículo 16, fracción II):

El integral vive en una página fija, como tusitio.mx/aviso-de-privacidad, enlazada desde el pie de todas las páginas. El simplificado va debajo de cada formulario y en la ventana del chat, antes del botón de enviar. Ejemplo hipotético bajo un formulario de cotización:

Distribuidora Ejemplo, S.A. de C.V., con domicilio en Av. Ejemplo 123, Monterrey, N.L., usará tu nombre, correo y teléfono para responder tu solicitud. Si no quieres recibir promociones, deja sin marcar la casilla. Consulta el aviso de privacidad integral en distribuidoraejemplo.mx/aviso-de-privacidad.

El Mapa de datos del sitio: inventario antes de redactar

Antes de redactar, en CloudStudio recomendamos armar un Mapa de datos del sitio: una tabla con cada punto donde entra un dato, qué dato es, para qué lo usas y quién más lo recibe. Un ejemplo para una pyme:

Con el mapa hecho, revisa estas reglas en cada formulario:

• Pide solo lo necesario. La ley exige que el tratamiento sea necesario, adecuado y relevante para las finalidades del aviso (artículo 12). Si para cotizar no necesitas la fecha de nacimiento, no la pidas.
• Si usas los datos para algo distinto de lo que dice el aviso, necesitas un consentimiento nuevo (artículo 11). Para las promociones, en CloudStudio recomendamos una casilla que la persona marque por sí misma.
• Los datos sensibles requieren consentimiento expreso y por escrito, con firma autógrafa, firma electrónica u otro mecanismo de autenticación (artículo 8). Piensa en una clínica dental en la CDMX cuyo formulario de cita pregunta por padecimientos.
• Los datos financieros o patrimoniales requieren consentimiento expreso, salvo las excepciones de la ley (artículo 7).

Tu hosting (el servicio que guarda tu sitio en un servidor), tu CRM y tu herramienta de correo tratan datos por cuenta tuya: la ley los llama personas encargadas (artículo 2, fracción XII), y la responsabilidad sigue siendo de tu empresa. Más detalle en la guía sobre qué es un CRM y cuándo lo necesita tu pyme. Si vas a construir o rehacer tu página, pide que el desarrollo web incluya casillas de consentimiento y avisos simplificados desde el diseño de cada formulario.

Cookies y analítica: lo que casi nadie declara

Las cookies son archivos pequeños que un sitio guarda en el navegador para recordar una sesión o reconocer a quien regresa. Un píxel es código de una plataforma de anuncios que registra lo que el visitante hace en tu página. La LFPDPPP no menciona las cookies, pero define dato personal como cualquier información de una persona identificable, directa o indirectamente (artículo 2, fracción V), y un identificador de cookie unido a una IP y a un historial de navegación puede caer ahí.

El reglamento de 2011 es más concreto: si usas tecnologías que recaban datos de forma automática, debes informarlo en el momento, decir que con ellas obtienes datos personales y explicar cómo deshabilitarlas (artículo 14). Google también lo exige: su política de avisos de privacidad para Analytics pide informar a los usuarios que usas la herramienta y cómo recoge y procesa los datos.

En la práctica, el aviso integral debería tener una sección de cookies y tecnologías de rastreo con lo siguiente:

• La lista de herramientas activas: Google Analytics, el píxel de Meta, mapas de calor, el chat.
• Qué recaba cada una: dirección IP, tipo de dispositivo, páginas visitadas, identificadores de cookies.
• Para qué: medir visitas, mostrar anuncios a quien ya entró, mejorar el sitio.
• Cómo deshabilitarlas: desde el banner del sitio o desde la configuración del navegador.

En CloudStudio recomendamos un banner con “Aceptar” y “Rechazar” al mismo nivel, que bloquee la analítica y los píxeles hasta que la persona elija. Las cookies indispensables, como las del carrito o la sesión, pueden seguir activas.

Derechos ARCO, seguridad y plazos

Además de publicar el aviso, la ley pide designar a una persona o un departamento de datos personales que dé trámite a las solicitudes (artículo 29). Cuando alguien pida ver, corregir o borrar sus datos, tienes 20 días hábiles para comunicarle tu respuesta y 15 más para hacerla efectiva si procede; ambos plazos pueden ampliarse una sola vez (artículo 31). El trámite es gratuito, salvo costos de reproducción o envío (artículo 34).

También debes mantener medidas de seguridad administrativas, técnicas y físicas para proteger los datos (artículo 18). Si ocurre una vulneración que afecte de forma significativa los derechos patrimoniales o morales de las personas, debes informarles de inmediato (artículo 19). Si ya sufriste un ataque, revisa qué hacer en las primeras horas con una página web hackeada. Para el resto de la operación, revisa esta guía práctica de ciberseguridad y privacidad para empresas.

Errores comunes y lo que cuesta no corregirlos

Busca estos errores en tu aviso actual:

• Copiarlo de otra empresa, con finalidades y proveedores que no son los tuyos.
• Poner solo el nombre comercial, sin razón social ni domicilio.
• No mencionar la analítica, los píxeles ni el chat que sí están instalados.
• Enlazarlo solo desde el pie de página, sin aviso simplificado junto a los formularios.
• No actualizarlo cuando agregas una herramienta o un proveedor nuevo.

Omitir elementos del artículo 15 se sanciona con multa de 100 a 160,000 veces la Unidad de Medida y Actualización (UMA), una referencia en pesos que se actualiza cada año (artículo 59, fracción II). Con la UMA diaria de $117.31 vigente desde el 1 de febrero de 2026, según el comunicado del INEGI, eso va de $11,731 a $18,769,600 MXN. Infracciones como recabar datos de forma engañosa o transferirlos sin permiso llegan a 320,000 UMA, y con datos sensibles los montos pueden duplicarse.

Preguntas frecuentes

¿Es obligatorio el aviso de privacidad si mi página solo tiene un formulario de contacto?

Sí. Un nombre, un correo o un teléfono ya son datos personales, y al recabarlos por medios electrónicos debes mostrar el aviso simplificado y enlazar el integral (artículo 16).

¿Puedo copiar el aviso de privacidad de otra empresa?

No te conviene. Uno copiado suele prometer cosas que no haces u omitir lo que sí haces, y cualquiera de las dos lo deja incumplido.

¿Quién supervisa la protección de datos personales ahora que no existe el INAI?

La Secretaría Anticorrupción y Buen Gobierno, que vigila el cumplimiento, resuelve los procedimientos de protección de derechos e impone sanciones (artículos 2 y 39).

¿Cuánto puede costar no tener un aviso de privacidad completo?

Con la UMA de 2026, la multa por omitir elementos obligatorios va de $11,731 a $18,769,600 MXN. La autoridad fija el monto con criterios como la intención, la reincidencia y la capacidad económica de la empresa (artículo 60).

¿Necesito un banner de cookies en México?

La ley no lo pide con ese nombre, pero el reglamento de 2011 exige informar que usas tecnologías de recolección automática y cómo deshabilitarlas. Un banner con opción de rechazar es la forma más clara de cumplir.

Este artículo es orientación general sobre la LFPDPPP y no constituye asesoría legal: el texto final de tu aviso debe revisarlo un abogado. La parte técnica sí podemos verla contigo: agenda una revisión de los formularios y cookies de tu sitio y te decimos qué datos recaba hoy y qué debe declarar tu aviso.