Aviso de privacidad en México: qué debe informar una empresa

Fecha de revisión: 30.10.2026.

El aviso de privacidad comunica al titular la existencia y las características del tratamiento de sus datos, conforme al artículo 14 de la LFPDPPP. Por sí solo no equivale al consentimiento expreso, aunque la ley reconoce que el consentimiento tácito puede derivarse de su puesta a disposición cuando la persona titular no manifiesta voluntad en contrario. Para el responsable del formulario, esto supone decidir entre dos formatos y definir los contenidos mínimos que exige el artículo 15 antes o en el momento de la recolección.

A quién aplica este aviso

Conforme al artículo 1, la LFPDPPP protege los datos personales en posesión de los particulares y regula su tratamiento legítimo, controlado e informado para garantizar la privacidad y el derecho a la autodeterminación informativa. Esta ley aplica exclusivamente al sector privado; los sujetos obligados del sector público se rigen por una norma distinta. Si el formulario lo publica una sociedad mercantil, una fintech, una aseguradora o un comercio electrónico, el aviso debe cumplir la LFPDPPP.

El aviso lo debe poner a disposición el responsable del tratamiento. Las obligaciones de los artículos 14, 15 y 16 de la LFPDPPP recaen sobre esa figura. La primera verificación que realiza el responsable es precisamente esta: si su organización es privada, diseña el aviso conforme a la LFPDPPP; si es pública, requiere otro marco jurídico.

Los elementos del artículo 15

La ley enumera los contenidos mínimos que el responsable adapta a sus operaciones conforme al artículo 15 de la LFPDPPP. Cada uno de estos seis puntos condiciona qué información debe aparecer en el aviso; omitir alguno deja al titular sin un dato que la ley exige, y confundirlos con la solicitud de consentimiento desvirtúa la función informativa del documento.

Identidad y domicilio del responsable. La empresa debe indicar su denominación o razón social y un domicilio donde las personas titulares puedan contactarla.

Datos personales sometidos a tratamiento. Hay que listar qué datos se recaban y señalar cuáles son sensibles, si los hay.

Finalidades del tratamiento. Deben distinguirse las que requieren el consentimiento del titular de aquellas que no lo necesitan. El aviso refleja esa separación; la decisión sobre qué finalidades exigen consentimiento depende de la base legal aplicable en cada caso y corresponde validarla al responsable.

Opciones y medios para limitar el uso o divulgación. El aviso describe cómo el titular puede acotar el tratamiento: un correo electrónico, un apartado en la cuenta del usuario o un número telefónico claro.

Mecanismos para ejercer los derechos ARCO. Acceso, rectificación, cancelación y oposición. El aviso detalla el procedimiento y los datos de contacto de la persona o departamento designado para recibir estas solicitudes.

Procedimiento y medio para comunicar cambios al aviso. El responsable define por qué canal notificará modificaciones al aviso de privacidad —un anuncio en el sitio web o un correo a los titulares— y se obliga a respetarlo.

Estos seis contenidos mínimos forman la estructura obligatoria del aviso. A continuación se explica en qué formato y en qué momento entregarlos.

Aviso integral y simplificado al recoger datos

La normativa separa dos escenarios que determinan si se debe presentar el aviso integral, el simplificado o ambos.

Cuando los datos se recogen personalmente mediante un formato impreso, el responsable debe dar a conocer el aviso de privacidad en ese momento, salvo que lo hubiera facilitado con anterioridad. No puede postergar la información hasta después de la captura.

Cuando los datos se obtienen por un medio electrónico, óptico, visual o cualquier otra tecnología, el responsable debe proporcionar el aviso de privacidad simplificado. Este contiene al menos los elementos I a IV de la ley y señala el sitio donde se puede consultar el aviso integral. El aviso integral debe estar publicado y accesible.

El aviso no reemplaza el consentimiento expreso cuando la ley lo requiere. En los supuestos en que basta el consentimiento tácito, la puesta a disposición del aviso permite que este se configure si la persona no manifiesta oposición, de acuerdo con el artículo 7 de la LFPDPPP.

Para el formulario de una empresa privada, la regla práctica es doble: incrustar en la interfaz de captura el texto del aviso simplificado con un enlace al aviso integral alojado en una página permanente del sitio, y habilitar mecanismos de limitación y derechos ARCO que remitan al procedimiento descrito en el aviso integral.

Un ejemplo de estructura para un formulario

La estructura que sigue sirve para revisar qué campos debe completar el responsable de un formulario comercial. No es un aviso terminado ni un documento jurídico suficiente: cada organización debe llenar los espacios con sus datos reales y validarlos con su asesor legal.

Una plataforma de reservas en línea —la llamaremos «Reserva Fácil S.A. de C.V.»— recoge nombre, teléfono y correo electrónico a través de un formulario web. Además, solicita al cliente una foto de su identificación oficial para verificar los datos. La empresa determina que tratará esos datos para confirmar la reserva y, si el cliente lo acepta, para enviar promociones propias. El responsable designa el correo privacidad@reservafacil.example y publica el aviso integral en reservafacil.example/privacidad.

El aviso simplificado, visible antes del botón «Enviar reserva», contiene:

• Identidad: Reserva Fácil S.A. de C.V., con domicilio en Av. Reforma, Col. Juárez, CDMX.

• Datos recabados: nombre, teléfono, correo electrónico e imagen de la identificación oficial. No se recaban datos sensibles.

• Finalidades: necesarias (confirmación y gestión de la reserva, verificación de la identidad mediante el documento) y, si el cliente da su consentimiento marcando una casilla independiente, envío de promociones propias.

• Medios para limitar el uso: envío de un correo a privacidad@reservafacil.example solicitando la baja de promociones.

El texto cierra con la línea: «El aviso de privacidad integral está disponible en reservafacil.example/privacidad, conforme a la LFPDPPP».

Verificación de documentos y datos del proveedor

La carga de una identificación oficial en un formulario —como en el caso de Reserva Fácil— obliga a procesar la imagen para extraer los datos. Para esa tarea la empresa puede apoyarse en un motor de reconocimiento de documentos como el que ofrece Biometric.Vision. El motor recibe la imagen de un documento de identidad y devuelve en JSON los campos estructurados —nombre, fecha de nacimiento, número de documento, vigencia— junto con el resultado de las comprobaciones técnicas que evalúan la autenticidad del documento a partir de la imagen, mediante el campo authentic y una puntuación de confianza.

El SDK de verificación de documentos no redacta el aviso de privacidad, no toma decisiones sobre las finalidades del tratamiento ni determina por sí mismo la identidad del titular; la decisión final corresponde al responsable. Al incorporar un motor de reconocimiento, el responsable debe actualizar el aviso para que el apartado de datos recabados incluya los campos extraídos del documento —y no solo los que el cliente teclea— y para que las finalidades reflejen la verificación documental y, si la empresa cruza esos datos con otras fuentes, la prevención del fraude. Conforme al artículo 14 de la LFPDPPP, el hecho de que los datos pasen por un motor de reconocimiento antes de llegar al sistema de la empresa no releva al responsable de informar previamente al titular sobre ese tratamiento.