Aviso de privacidad: qué es y qué tiene que contener
La respuesta corta
El aviso de privacidad es el documento con el que quien recaba datos personales le informa a la persona para qué los va a tratar. Así lo define la fracción I del artículo 2 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, y el artículo 15 fija los seis datos que debe contener como mínimo. No es una cláusula del contrato ni el consentimiento: es información que se pone a disposición desde el momento en que se recaban los datos, y cuando se recaban por medios electrónicos la ley pide entregarlo en su versión simplificada, con la liga al integral.
Qué es
La fracción I del artículo 2 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares —ley nueva, publicada en el Diario Oficial el 20 de marzo de 2025— lo define como el documento puesto a disposición de la persona titular, de forma física, electrónica o en cualquier otro formato, a partir del momento en el cual se recaban sus datos, con el objeto de informarle los propósitos del tratamiento. El artículo 14 pone la obligación del lado de quien trata los datos: informar la existencia y las características principales del tratamiento para que la persona pueda decidir con información.
Qué debe contener
- La identidad y el domicilio de quien es responsable.
- Los datos que se van a tratar, señalando cuáles son sensibles.
- Las finalidades del tratamiento, distinguiendo las que necesitan consentimiento.
- Las opciones y medios para limitar el uso o la divulgación.
- Los mecanismos para ejercer los derechos de acceso, rectificación, cancelación y oposición.
- El procedimiento y el medio por el que se avisarán los cambios al propio aviso.
Son los seis del artículo 15, y omitir alguno es una infracción con nombre propio en el catálogo de la misma ley. El artículo 11 agrega el límite que más se pasa por alto: si quieres usar los datos para una finalidad que no está en el aviso, necesitas pedir otra vez el consentimiento.
El ejemplo mexicano: cuando los datos se recaban en línea
La fracción II del artículo 16 es la que aplica a cualquier flujo digital, una liga de firma incluida: cuando los datos se obtienen por medio electrónico, óptico, sonoro, visual o cualquier otra tecnología, el aviso debe proporcionarse en su modalidad simplificada, con al menos las primeras cuatro fracciones del artículo 15, y señalar el sitio donde se consulta el integral. Por eso un formulario serio no pega tres párrafos de texto legal: pone el resumen y la liga. Si además vas a recabar una identificación para verificar quién firma, ahí entran datos que conviene decidir antes de pedirlos.
Con qué se confunde
- Con el consentimiento. El aviso informa; el consentimiento es el acto de la persona. Son dos cosas y la primera tiene que existir antes que la segunda; qué cuenta como consentimiento por medios electrónicos está en qué es el consentimiento electrónico.
- Con los términos y condiciones. Regulan la relación con el servicio; el aviso regula qué se hace con los datos. Meterlo como una cláusula más no cumple el artículo 16.
- Con el aviso de tu proveedor. El de la plataforma que usas cubre el tratamiento de esa plataforma. Frente a tu cliente, el responsable eres tú.
- Con un requisito de validez del contrato. No lo es. Un contrato firmado sin aviso de privacidad sigue siendo válido; lo que hay es una infracción en materia de datos personales, que se sanciona por su propia vía.
Dónde aparece en la práctica: el expediente de personal lo necesita desde el primer documento, como explicamos en firma electrónica para recursos humanos, y en salud se cruza con el consentimiento informado, que tiene su propio régimen en consentimiento informado y firma electrónica.
Cómo se prueba que lo pusiste, y qué cuesta
¿Basta con publicarlo en el sitio?
Publicarlo cumple; probar que esa persona lo vio, en esa versión y ese día, es otra cosa, y es lo que pide el INAI cuando llega una queja. Dos rutas: guardar tú la bitácora de versiones y aceptaciones, que no cuesta pero depende de tu palabra, o hacer que la aceptación quede firmada con acuse. Si además manejas datos sensibles, conviene la constancia de conservación que incluyen Mifiel y Legalario.
¿Cuánto cuesta dejarlo probado?
Al 14 de septiembre de 2026: Firmame desde $155 MXN al mes por cinco documentos, Verificamex $45 por firma suelta, Mifiel desde $89 por documento con constancia incluida, Legalario desde $700 más IVA al mes por diez. Nosotros: diez documentos gratis y $399 MXN al mes por 500, con usuarios ilimitados.
De dónde salen las citas
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en el texto vigente que publica la Cámara de Diputados.
Preguntas frecuentes
¿Qué debe contener un aviso de privacidad?
Seis cosas, según el artículo 15 de la LFPDPPP: la identidad y domicilio del responsable; los datos que se van a tratar, señalando los sensibles; las finalidades, distinguiendo las que requieren consentimiento; las opciones para limitar el uso o la divulgación; los mecanismos para ejercer los derechos de acceso, rectificación, cancelación y oposición; y el procedimiento para avisar los cambios al propio aviso.
¿Qué diferencia hay entre el aviso simplificado y el integral?
El simplificado es el que se entrega cuando los datos se recaban por medios electrónicos. La fracción II del artículo 16 pide que traiga al menos las primeras cuatro fracciones del artículo 15 y que señale el sitio donde se puede consultar el aviso integral, que es la versión completa con los seis elementos y el detalle del tratamiento. No son dos avisos distintos: es el mismo, en dos niveles de detalle.
¿El aviso de privacidad es lo mismo que el consentimiento?
No. El aviso informa a la persona qué se va a hacer con sus datos y quién responde por ellos; el consentimiento es el acto con el que esa persona acepta. El artículo 14 pone la obligación de informar antes, para que la decisión sea informada, y el artículo 11 exige pedir el consentimiento otra vez si los datos se van a usar para una finalidad que no estaba en el aviso.
¿Un contrato firmado sin aviso de privacidad es inválido?
No. La validez del contrato se rige por sus propias reglas de forma y consentimiento, no por la ley de datos personales. Lo que hay si falta el aviso, o si le faltan elementos del artículo 15, es una infracción en materia de protección de datos, con su propio procedimiento y sus propias sanciones. Son dos regímenes distintos que conviene no mezclar en la misma discusión.