Aviso de privacidad de datos personales: qué debe llevar tu página web

Qué es un aviso de privacidad

Es el documento donde le dices a la gente qué datos suyos recabas, para qué los usas y cómo puede pedirte que los corrijas o los borres. En México es obligatorio para cualquier negocio que trate datos personales, según la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Quién lo necesita

Cualquier persona o empresa que reciba datos personales. En una página web eso abarca más de lo que parece:

• Un formulario de contacto o de cotización.
• Un botón de WhatsApp o un chat, si guardas las conversaciones.
• Una suscripción a un boletín.
• Una tienda en línea: nombre, dirección de envío, correo.
• Herramientas de medición o de anuncios que dejan cookies.

Es raro que la página de un negocio no reciba ningún dato: basta un botón de WhatsApp.

Qué cambió en 2025

El 20 de marzo de 2025 se publicó una ley nueva que sustituyó a la de 2010 y entró en vigor al día siguiente. Con ella desapareció el INAI: la autoridad en protección de datos personales ahora es la Secretaría Anticorrupción y Buen Gobierno.

La prueba más rápida de que un aviso está desactualizado es que todavía mencione al INAI.

Qué debe incluir

1. Quién es el responsable. El nombre de la persona o empresa que recibe los datos y su domicilio.
2. Qué datos recabas. Todos, y cuáles son sensibles si los hay. Solo los que de verdad pides.
3. Para qué los usas. Separando lo necesario para atender al cliente de lo que no lo es, como mandarle promociones.
4. Cómo negarse a lo que no es necesario. Un medio sencillo para decir «no me manden publicidad» sin perder el servicio.
5. Con quién los compartes. Incluye a los proveedores que los procesan: WhatsApp, tu correo, tu hosting, tus anuncios.
6. Cómo ejercer los derechos ARCO. A quién escribir y qué pedir para ver, corregir, borrar u oponerse al uso de sus datos.
7. Cómo revocar el consentimiento. La persona puede retirar en cualquier momento el permiso que te dio.
8. Si usas cookies o rastreo. Qué tecnologías usa tu página para medir o hacer publicidad, y para qué.
9. Cómo avisarás de cambios. Dónde se publica la versión vigente y con qué fecha.

Cómo hacer tu aviso de privacidad, paso a paso

1. Haz la lista de los datos que recibes. Revisa cada formulario, el botón de WhatsApp, el correo y las herramientas de medición o de anuncios de tu página.
2. Escribe para qué usas cada uno, separando lo necesario para atender al cliente de lo que no lo es, como mandarle promociones.
3. Anota con quién los compartes, incluidos tus proveedores: WhatsApp, tu correo, tu hosting y tus plataformas de anuncios.
4. Define cómo te pueden contactar para ejercer sus derechos ARCO o negarse a los usos que no son necesarios. Un correo basta.
5. Pon tus datos como responsable y la fecha de la última actualización.
6. Publícalo en tu página, con un enlace en el pie de todas las páginas y junto a cada lugar donde pides datos.
7. Revísalo cada vez que cambie algo: un formulario nuevo, otro proveedor o una campaña.

Si quieres un modelo, el aviso de privacidad de Sitio Norte sigue estos mismos pasos.

Datos sensibles: cuidado especial

Son los que pueden dar pie a discriminación o a un riesgo grave: origen racial o étnico, estado de salud, creencias religiosas, opiniones políticas, preferencia sexual o datos biométricos. Si los recabas necesitas el consentimiento expreso y por escrito de la persona.

Pasa sobre todo en consultorios y clínicas que piden historial médico desde su página. Si no los necesitas para atender, no los pidas.

Los derechos ARCO y sus plazos

Cualquier persona puede pedirte ver sus datos (Acceso), corregirlos (Rectificación), borrarlos (Cancelación) u oponerse a un uso concreto (Oposición). Tienes hasta 20 días hábiles para contestar y, si procede, 15 días hábiles más para hacerlo efectivo. El trámite es gratuito para quien lo pide.

Dónde ponerlo en tu página

Un enlace visible en el pie de todas las páginas, y otro junto a cada lugar donde pides datos: al lado del botón de enviar de un formulario, por ejemplo. Tiene que estar disponible antes de que la persona te dé sus datos, no después.

Los errores más comunes

• Copiarlo de otra empresa. Acaba diciendo que recabas datos que no pides y callando los que sí.
• Seguir mencionando al INAI. Desapareció en marzo de 2025. Si tu aviso lo nombra, está desactualizado.
• Olvidar a los proveedores. WhatsApp, Gmail, los anuncios de Meta o Google también tratan los datos de tus clientes.
• Pedir datos sensibles «por si acaso». Cada dato sensible exige consentimiento expreso y por escrito. Si no lo necesitas, no lo pidas.
• Esconderlo. Sin enlace en el pie de página ni fecha de actualización, es como no tenerlo.

Un ejemplo real

El de este sitio: el aviso de privacidad de Sitio Norte. Cubre un caso muy común —una página sin formularios que recibe mensajes por WhatsApp— y explica qué pasa con los datos de los anuncios por los que alguien llega.