Pedir el INE para firmar: qué obligaciones te crea quedarte con esa copia
La respuesta corta
Puedes pedirla, y para los datos que necesitas para el contrato ni siquiera tienes que pedir consentimiento aparte: el artículo 9, fracción IV de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares exime de recabarlo cuando los datos se requieren para ejercer un derecho o cumplir obligaciones de una relación jurídica. Lo que sí nace en ese momento son cuatro obligaciones: poner a disposición el aviso de privacidad —en su versión simplificada si estás recabando por medios electrónicos, artículo 16, fracción II—, mantener medidas de seguridad (18), informar de inmediato cualquier vulneración que afecte los derechos patrimoniales o morales del titular (19), y suprimir los datos cuando dejen de ser necesarios (10). Y ojo con la numeración: la ley es nueva, publicada el 20 de marzo de 2025, así que casi todo lo que circula en internet cita artículos de la de 2010.
La escena es de todos los días. Vas a mandar un contrato a firmar, quieres estar seguro de con quién estás tratando, y pides una foto del INE por WhatsApp. Llega, la guardas en la carpeta del cliente, y ahí se queda tres años.
Ese momento —el de guardar— es el que cambia tu situación legal, y no el de pedir. Desde que conservas esa copia eres responsable del tratamiento de datos personales de tu cliente, con obligaciones concretas y con un capítulo de sanciones que no es decorativo. Casi nadie lo mide porque la pregunta que se suele hacer es si se puede pedir, y la respuesta a ésa es sí.
Primero, la ley cambió y la numeración que circula es vieja
Antes de citar cualquier artículo conviene saber de cuál ley. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente es nueva: se publicó en el Diario Oficial el 20 de marzo de 2025 y abrogó la de 2010. La mayoría de las guías, plantillas de aviso de privacidad y artículos que devuelve una búsqueda en español siguen citando la numeración anterior, y los números se movieron.
| Lo que necesitas saber | Artículo de la ley vigente | Qué dice en una línea |
|---|---|---|
| Cuándo no hace falta pedir consentimiento | 9, fracción IV | Cuando los datos se requieren para ejercer un derecho o cumplir obligaciones de una relación jurídica entre el titular y tú |
| Qué debe decir el aviso de privacidad | 15 | Identidad y domicilio, qué datos tratas, para qué, cómo limitar su uso, cómo ejercer derechos ARCO y cómo avisarás los cambios |
| Cómo se entrega si recabas por medios electrónicos | 16, fracción II | En modalidad simplificada, con al menos las fracciones I a IV del 15 y el sitio donde está el aviso integral |
| Seguridad | 18 | Medidas administrativas, técnicas y físicas, nunca menores a las que usas para tu propia información |
| Si se te filtran | 19 | Se informa de forma inmediata al titular cuando la vulneración afecte sus derechos patrimoniales o morales |
| Hasta cuándo los guardas | 10 | Se suprimen previo bloqueo cuando dejan de ser necesarios para la finalidad del aviso |
Lee el primer renglón otra vez, porque es el que invierte la conversación. La pregunta de internet es «¿puedo pedir el INE sin permiso?». La ley de datos personales contesta que para los datos necesarios para la relación jurídica no necesitas consentimiento. Lo que sí necesitas es haber informado. El consentimiento es la excepción; el aviso es la regla.
El aviso simplificado es el que te toca, y es corto
Aquí está el detalle que casi nadie aplica bien. El artículo 16 distingue cómo recabas: si es en persona y en papel, el aviso se da en ese momento. Si recabas por cualquier medio electrónico, óptico, sonoro, visual o cualquier otra tecnología —o sea, por WhatsApp, por correo o dentro de una liga de firma—, el aviso debe proporcionarse en su modalidad simplificada.
El simplificado necesita, cuando menos, las primeras cuatro fracciones del 15 y el sitio donde se consulta el integral. Son cuatro cosas:
- 1Quién eres y dónde estás: identidad y domicilio del responsable.
- 2Qué datos vas a tratar, identificando los sensibles si hay alguno.
- 3Para qué, distinguiendo las finalidades que sí requieren consentimiento de las que no.
- 4Qué opciones y medios ofreces para limitar el uso o divulgación de esos datos.
Y la liga al aviso integral. En la práctica eso cabe en el mensaje con el que mandas el contrato, y es más barato que cualquier discusión posterior. Qué lleva el documento completo está en qué es el aviso de privacidad.
¿El INE es un dato sensible? No, y conviene saber por qué importa
La fracción VI del artículo 3 define los datos personales sensibles como los que afectan la esfera más íntima del titular o cuya utilización indebida pueda dar origen a discriminación o conllevar un riesgo grave, y enumera —de manera enunciativa, no limitativa— origen racial o étnico, estado de salud, información genética, creencias religiosas, filosóficas y morales, opiniones políticas y preferencia sexual. Una credencial para votar no está en esa lista.
La diferencia pesa en dos lugares. El primero es el artículo 8: para datos sensibles se necesita consentimiento expreso y por escrito, y el propio artículo acepta que ese escrito se firme con firma autógrafa, firma electrónica o cualquier mecanismo de autenticación. El segundo es el castigo: el artículo 59 prevé multas de 100 a 160,000 veces la Unidad de Medida y Actualización y de 200 a 320,000 según la infracción, y la fracción IV permite incrementarlas hasta por dos veces cuando se trata de datos sensibles. Con la UMA de 2026 en 117.31 pesos diarios, el tramo de arriba empieza en el orden de los veintitrés mil pesos y no tiene un techo que convenga probar.
Si además pides la huella o la cara, ya no estás en el mismo terreno
La palabra biometría no aparece en el texto de la ley, y eso no significa lo que suele significar en una junta de ventas. La definición de sensibles es enunciativa, así que un rasgo biométrico puede caer dentro por la vía del riesgo grave. El argumento completo —y cuándo la verificación de identidad resuelve un problema real y cuándo nada más lo encarece— está en cuándo la identidad es el problema.
Las dos obligaciones que sí cuestan trabajo
Seguridad medida contra lo tuyo, no contra un estándar abstracto
El artículo 18 pide medidas administrativas, técnicas y físicas contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado. Y trae una regla de comparación que es la más fácil de incumplir sin darse cuenta: no se pueden adoptar medidas de seguridad menores a aquellas que mantengas para el manejo de tu propia información. Si tu contabilidad vive en una carpeta con contraseña y las identificaciones de tus clientes en un grupo de WhatsApp, ya estás abajo de tu propio estándar.
El mismo artículo manda tomar en cuenta el riesgo existente, las consecuencias posibles para los titulares, la sensibilidad de los datos y el desarrollo tecnológico. El artículo 20 agrega controles para que todos los que intervengan guarden confidencialidad, obligación que subsiste aun después de terminar su relación contigo: eso es una cláusula en el contrato de tu personal, no una buena intención.
Avisar la fuga, de inmediato
El artículo 19 no da plazo en días: dice que las vulneraciones que afecten de forma significativa los derechos patrimoniales o morales del titular le serán informadas de forma inmediata, para que pueda defenderse. Y el capítulo de delitos cierra el punto: el artículo 62 impone de tres meses a tres años de prisión a quien, estando autorizado para tratar datos personales, con ánimo de lucro provoque una vulneración de seguridad a las bases bajo su custodia, y el 64 duplica las penas cuando se trata de datos sensibles.
Entonces, ¿vale la pena pedirla?
Depende de para qué, y la decisión se vuelve fácil si la planteas como la plantea el artículo 12: el tratamiento debe ser el que resulte necesario, adecuado y relevante en relación con las finalidades del aviso. O sea que la pregunta no es si puedes guardar la credencial, sino qué vas a hacer con ella que no puedas hacer sin ella.
| Para qué la quieres | La copia resuelve el problema | Qué conviene hacer |
|---|---|---|
| Saber que el nombre del contrato está bien escrito | No: para eso basta leerla | Verificar el dato y no conservar la imagen |
| Probar después que esa persona firmó | No: la copia no prueba quién apretó el botón | Acuse con fecha, correo o teléfono y código de verificación |
| Cumplir una obligación de identificación de tu giro | Sí, cuando una ley de tu sector la exige | Conservarla con el plazo y las medidas que esa ley fije |
| Cobrar si no te pagan | No por sí sola | Contrato firmado con acuse, y en su caso garantía o pagaré |
Para el segundo renglón, que es el que más se confunde, la prueba de quién firmó no viene de la credencial sino del expediente de la firma: el acuse de auditoría con la hora, el medio por el que se mandó la liga y el código que se usó para abrirla, comprobable en la página de verificación. Si lo que te preocupa es que alguien niegue su firma, lo que trabaja a tu favor es el no repudio, no una fotografía.
Qué hacer esta semana, en orden
- 1Mira qué identificaciones tienes guardadas y de cuándo. El artículo 10 obliga a suprimirlas previo bloqueo cuando dejan de ser necesarias para la finalidad que motivó su tratamiento. Una copia de un cliente de 2023 que ya cerró no es un archivo: es una obligación abierta.
- 2Escribe el aviso simplificado y pégalo donde pides los datos. Cuatro renglones y la liga al integral. Si lo pides por WhatsApp, va en el mensaje.
- 3Define quién tiene acceso y fírmalo. El artículo 20 pide controles y confidencialidad que subsista después de la relación laboral.
- 4Decide, por tipo de documento, si de verdad necesitas la copia. Donde la respuesta sea no, pide ver y no pide guardar.
- 5Si ya hubo una fuga, avisa. El 19 dice de forma inmediata, y la antigüedad de la fuga no mejora con el tiempo.
Y una cosa práctica que ahorra la mitad del problema: cuando el contrato se firma con una liga, el expediente de la firma ya queda armado sin que tú recolectes nada. Los primeros 10 documentos son gratis y sin tarjeta desde tu cuenta, y el plan de paga son $399 MXN al mes con 500 documentos. Lo que ninguna plataforma puede hacer por ti es borrar las copias que ya tienes en tu teléfono.
De dónde salen las citas
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en el texto vigente que publica la Cámara de Diputados.
Preguntas frecuentes
¿Necesito consentimiento del cliente para pedirle el INE?
Para los datos que requieres para la relación jurídica, no. El artículo 9, fracción IV de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares exime de recabar el consentimiento cuando los datos se requieren para ejercer un derecho o cumplir obligaciones derivadas de una relación jurídica entre el titular y el responsable. Lo que sí es obligatorio es poner a disposición el aviso de privacidad. Esto no es asesoría legal.
¿Qué es el aviso de privacidad simplificado y cuándo se usa?
Es la versión corta que exige el artículo 16, fracción II cuando los datos se obtienen por medios electrónicos, ópticos, sonoros, visuales o cualquier otra tecnología. Debe contener al menos las fracciones I a IV del artículo 15 —identidad y domicilio del responsable, qué datos se tratan, para qué finalidades y qué opciones hay para limitar su uso o divulgación— y señalar el sitio donde se puede consultar el aviso integral.
¿La credencial para votar es un dato personal sensible?
No está en la lista del artículo 3, fracción VI, que enumera de manera enunciativa el origen racial o étnico, el estado de salud, la información genética, las creencias religiosas, filosóficas y morales, las opiniones políticas y la preferencia sexual. Como la enumeración no es limitativa, un rasgo biométrico puede entrar por la vía del riesgo grave, y ahí sí aplica el consentimiento expreso y por escrito del artículo 8.
¿Cuánto tiempo puedo conservar la copia de una identificación?
Mientras sea necesaria para la finalidad que informaste. El artículo 10 obliga a suprimir los datos previo bloqueo cuando han dejado de ser necesarios para el cumplimiento de las finalidades previstas en el aviso de privacidad y una vez que concluya el plazo de conservación. Si una ley de tu sector fija un plazo de identificación de clientes, ése manda y se documenta.
¿Qué hago si se me filtraron los datos de mis clientes?
Informarlo. El artículo 19 dice que las vulneraciones de seguridad que afecten de forma significativa los derechos patrimoniales o morales de los titulares les serán informadas de forma inmediata por el responsable, para que puedan tomar medidas en defensa de sus derechos. El artículo 62 además prevé prisión de tres meses a tres años para quien, estando autorizado para tratar datos y con ánimo de lucro, provoque una vulneración a las bases bajo su custodia.
¿Guardar el INE me sirve para probar que esa persona firmó?
Poco. Una copia de identificación demuestra que alguien te la envió, no que esa persona fue la que firmó el documento. Lo que se usa para eso es el expediente de la firma: la hora, el medio por el que se entregó la liga, el código de verificación y la huella del archivo, que es lo que el acuse de auditoría recoge y lo que se puede comprobar después sin depender del proveedor.