El aviso de privacidad es el documento que todo responsable en México debe poner a disposición del titular al recabar sus datos personales, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Debe informar, como mínimo, de la identidad y domicilio del responsable, los datos que se tratan (señalando los sensibles), las finalidades distinguiendo las que requieren consentimiento, los medios para limitar el uso o divulgación, el mecanismo para ejercer los derechos ARCO y el procedimiento para comunicar cambios al aviso. Existen tres tipos —integral, simplificado y corto— y omitir el aviso es una de las infracciones que la ley sanciona.
En una frase. El aviso de privacidad es obligatorio en México desde el primer momento en que se recaban datos: sin un aviso que cumpla los elementos de la LFPDPPP, el tratamiento es ilícito y sancionable.
Puntos clave
- La nueva LFPDPPP se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor el 21 de marzo de 2025.
- La autoridad ya no es el INAI, que fue extinto: sus funciones en el sector privado pasaron a la Secretaría Anticorrupción y Buen Gobierno.
- Tres tipos de aviso: integral, simplificado y corto, según el canal y el espacio disponible.
- El aviso debe distinguir las finalidades necesarias de las voluntarias (que requieren consentimiento).
- El ejercicio de los derechos ARCO por el titular es gratuito y puede solicitarse en cualquier momento.
1. Qué es el aviso de privacidad
El aviso de privacidad es el instrumento con el que el responsable (la persona física o moral del sector privado que decide sobre el tratamiento) cumple su deber de informar al titular (la persona a quien pertenecen los datos). No es un formalismo: es la base sobre la que se construye el consentimiento y, por tanto, la licitud del tratamiento. Sin aviso, el titular no puede consentir de forma informada y el responsable incumple la LFPDPPP.
A diferencia del RGPD europeo, donde el consentimiento es solo una de varias bases de licitud, en México el consentimiento —tácito o expreso según el tipo de dato— ocupa un papel central, y el aviso de privacidad es la pieza que lo sostiene. Quien conozca el marco europeo encontrará paralelismos con la política de privacidad del RGPD, pero la terminología y la estructura mexicanas son propias.
2. El nuevo marco legal de 2025
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en vigor desde el día siguiente. Dos cambios estructurales:
- Desaparición del INAI. El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales fue extinto en el marco de la reforma de organismos autónomos. Sus funciones en materia de datos del sector privado se atribuyeron a la Secretaría Anticorrupción y Buen Gobierno, que las ejerce a través de una dirección general especializada.
- Nuevo medio de defensa. Frente a las resoluciones de la autoridad se abre la vía del juicio de amparo ante jueces y tribunales especializados, en lugar del juicio de nulidad ante el Tribunal Federal de Justicia Administrativa.
La ley conserva conceptos consolidados —aviso de privacidad, consentimiento, datos personales sensibles, derechos ARCO— y refuerza algunos, como la obligación de distinguir finalidades necesarias y voluntarias.
3. Elementos obligatorios del aviso integral
El aviso de privacidad integral debe contener, como mínimo:
| Elemento | Contenido |
|---|---|
| Identidad y domicilio | Nombre o razón social del responsable y su domicilio |
| Datos tratados | Categorías de datos personales, señalando expresamente los sensibles |
| Finalidades | Distinguiendo las necesarias de las que requieren consentimiento |
| Limitación de uso | Medios para limitar el uso o divulgación de los datos |
| Derechos ARCO | Mecanismo para ejercer acceso, rectificación, cancelación y oposición |
| Transferencias | En su caso, a quién se transfieren y para qué |
| Cambios al aviso | Procedimiento para comunicar modificaciones |
Los datos personales sensibles (origen racial o étnico, estado de salud, información genética, creencias religiosas, opiniones políticas, preferencia sexual, entre otros) requieren consentimiento expreso y por escrito del titular, y el aviso debe advertir de su tratamiento con una cláusula específica.
4. Los tres tipos de aviso de privacidad
La normativa mexicana reconoce tres modalidades según el momento y el espacio:
- Aviso integral. El completo, con todos los elementos anteriores. Es el aviso de referencia, habitualmente publicado en la web del responsable.
- Aviso simplificado. Versión reducida que se usa cuando el espacio es limitado o el contacto es directo. Debe informar, al menos, de la identidad del responsable, las finalidades del tratamiento y el mecanismo para consultar el aviso integral.
- Aviso corto. El mínimo, para espacios muy reducidos (señalización, atención telefónica, formularios breves). Indica la identidad del responsable, la finalidad principal y dónde consultar el aviso integral.
| Tipo | Cuándo se usa | Contenido mínimo |
|---|---|---|
| Integral | Sitio web, documento principal | Todos los elementos |
| Simplificado | Espacio limitado, contacto directo | Identidad, finalidades y dónde ver el integral |
| Corto | Espacios muy reducidos | Identidad, finalidad principal y dónde ver el integral |
5. Modelo de aviso de privacidad integral
Adapta los campos entre corchetes a tu organización y a tus tratamientos reales. Este modelo es un punto de partida; revísalo con criterio jurídico.
AVISO DE PRIVACIDAD INTEGRAL
[Nombre o razón social], con domicilio en [·] (el «Responsable»), es responsable del tratamiento de sus datos personales conforme a la LFPDPPP.
Datos que tratamos. Recabamos [datos de identificación, contacto, facturación, etc.]. [En su caso: para las finalidades X tratamos datos personales sensibles consistentes en (·), respecto de los cuales solicitamos su consentimiento expreso.]
Finalidades. Finalidades necesarias: [prestar el servicio contratado, facturación, atención de solicitudes]. Finalidades que requieren su consentimiento: [envío de promociones, mercadotecnia, prospección comercial]. Usted puede negarse a las finalidades voluntarias sin que ello afecte la prestación del servicio.
Transferencias. [Indicar si se transfieren datos, a quién y para qué; o declarar que no se realizan transferencias que requieran consentimiento.]
Derechos ARCO. Usted puede ejercer sus derechos de acceso, rectificación, cancelación y oposición, así como revocar su consentimiento, enviando su solicitud a [correo o domicilio]. El ejercicio es gratuito.
Limitación de uso o divulgación. Puede limitar el uso o divulgación de sus datos [mediante (·)].
Cambios al aviso. Cualquier modificación se comunicará a través de [medio: sitio web, correo].
Fecha de última actualización: [·].
6. Consentimiento: tácito y expreso
En México, la regla general es que el consentimiento es tácito cuando, puesto el aviso a disposición del titular, este no manifiesta oposición. Sin embargo, se exige consentimiento expreso para los datos financieros o patrimoniales, y consentimiento expreso y por escrito para los datos sensibles. El diseño del aviso y de los formularios debe reflejar esta gradación; sobre la mecánica del consentimiento válido, el paralelo europeo se explica en consentimiento RGPD: ejemplos.
7. Cuándo y cómo poner el aviso a disposición
El aviso debe estar disponible desde el momento en que se recaban los datos y por el mismo medio: en línea (web, app) mediante enlace visible; en persona, con un aviso simplificado o corto que remita al integral; por teléfono, con un aviso corto verbal. La clave es que el titular pueda conocer el tratamiento antes o en el momento de entregar sus datos, no después.
8. Errores frecuentes
- No tener aviso de privacidad, o tenerlo escondido y sin enlace desde los formularios.
- Copiar un aviso genérico sin adaptar responsable, datos y finalidades reales.
- No distinguir finalidades necesarias de voluntarias.
- Omitir la cláusula específica y el consentimiento expreso para datos sensibles.
- No indicar el mecanismo real para ejercer los derechos ARCO.
- No informar de las transferencias.
Estos fallos, además de exponer al responsable a sanción, son los que más reclamaciones generan por parte de los titulares.
9. Cómo elaborar un aviso conforme
- Inventariar qué datos se recaban, de quién y para qué (equivalente al registro de actividades).
- Clasificar las finalidades en necesarias y voluntarias.
- Identificar datos sensibles, financieros o patrimoniales y su consentimiento reforzado.
- Redactar el aviso integral y sus versiones simplificada y corta.
- Enlazar el aviso desde cada punto de recolección.
- Definir el procedimiento de atención de derechos ARCO y de comunicación de cambios.
La guía completa de obligaciones está en nuestro artículo LFPDPPP México: guía de cumplimiento. Mantener el aviso, el inventario de datos y los procedimientos de derechos al día es el tipo de trabajo documental que una plataforma como Legiscope automatiza; para comparar herramientas, ver software de cumplimiento.
Preguntas frecuentes
¿Qué debe contener obligatoriamente un aviso de privacidad en México?
La identidad y domicilio del responsable, los datos que se tratan (señalando los sensibles), las finalidades distinguiendo las que requieren consentimiento, los medios para limitar el uso o divulgación, el mecanismo para ejercer los derechos ARCO, en su caso las transferencias y el procedimiento para comunicar cambios al aviso.
¿Cuántos tipos de aviso de privacidad existen?
Tres: el integral (completo), el simplificado (para espacio limitado o contacto directo) y el corto (para espacios muy reducidos). Los dos últimos deben remitir siempre al aviso integral.
¿Cuánto cuesta ejercer los derechos ARCO ante una empresa?
El ejercicio de los derechos ARCO es gratuito. El titular solo podría asumir, en su caso, gastos justificados de envío o de reproducción en copias, pero la atención de la solicitud en sí no tiene costo.
¿Quién vigila el cumplimiento tras la desaparición del INAI?
La Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones del extinto INAI en materia de datos personales del sector privado y las ejerce a través de una dirección general especializada.
Conclusión
El aviso de privacidad es el documento fundacional del cumplimiento en materia de datos en México: sin él, no hay consentimiento informado ni tratamiento lícito. La nueva LFPDPPP de 2025 mantiene sus elementos esenciales y sus tres modalidades —integral, simplificado y corto—, refuerza la distinción entre finalidades necesarias y voluntarias, y traslada la vigilancia a la Secretaría Anticorrupción y Buen Gobierno tras la desaparición del INAI. Un aviso adaptado al responsable real, enlazado desde cada punto de recolección y coherente con el consentimiento que exige cada tipo de dato es la mejor póliza frente a reclamaciones y sanciones.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial