Aviso de privacidad en México: qué exige la LFPDPPP 2025
Qué debe decir un aviso de privacidad en México según la LFPDPPP 2025, con ejemplos para empleadores: aviso para candidatos, para empleados y simplificado.
Un aviso de privacidad es el documento con el que tu empresa le informa a una persona qué datos suyos usa, para qué, cómo puede limitar ese uso y cómo ejercer sus derechos. En México lo necesitas siempre que trates datos personales, y eso incluye a cada candidato que aplica a una vacante y a cada empleado. Su contenido mínimo está en el artículo 15 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el DOF el 20 de marzo de 2025.
Esta guía va artículo por artículo y usa ejemplos de empleadores: qué lleva el aviso para candidatos, qué lleva el de empleados y dónde se muestra cada uno. Si tu aviso se redactó antes de 2025, es probable que cite una ley abrogada.
La ley cambió en 2025 y la numeración también
La LFPDPPP vigente entró en vigor el 21 de marzo de 2025 (Transitorio Primero) y su Transitorio Segundo, fracción I, abrogó la ley del 5 de julio de 2010. La única reforma posterior, del 14 de noviembre de 2025, tocó el artículo 4 sobre supletoriedad (texto vigente, Cámara de Diputados).
- El nombre y la sigla no cambiaron, por eso es fácil no notar que el texto es otro.
- Los artículos se movieron. El contenido del aviso pasó del artículo 16 al 15, y los plazos ARCO del 32 al 31.
- El INAI ya no existe. Se extinguió con la reforma constitucional publicada el 20 de diciembre de 2024, y la autoridad para empresas es la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV, y artículos 38 y 39). Dentro de ella, el decreto que reformó su Reglamento Interior asignó a la Dirección General de Datos Personales en el Sector Privado los procedimientos de protección de derechos, verificación y sanciones. Si tu aviso remite al INAI, la referencia está muerta.
¿Hay reglamento nuevo? No. Al 25 de octubre de 2026 no localizamos en el DOF un reglamento de la LFPDPPP de 2025. El Transitorio Décimo Segundo daba al Ejecutivo noventa días naturales para adecuar los reglamentos y ese plazo venció a mediados de junio de 2025. El Reglamento del 21 de diciembre de 2011 no está en la lista de lo abrogado y la Cámara de Diputados lo publica como vigente, así que se aplica en lo que no contradiga la ley nueva. Sus remisiones apuntan a la numeración vieja: su artículo 68 habla de “las excepciones previstas en el artículo 37 de la Ley”, que hoy están en el 36. En este artículo, cuando citamos el Reglamento, es el de 2011.
¿Qué debe decir un aviso de privacidad? El artículo 15, fracción por fracción
El aviso integral debe tener seis elementos (LFPDPPP, artículo 15):
- Identidad y domicilio del responsable. La razón social del empleador, no el nombre comercial.
- Los datos personales que se tratarán, identificando los sensibles. Fracción nueva. Ya no basta con “sus datos”: hay que enumerarlos.
- Las finalidades, distinguiendo las que requieren consentimiento. También nueva en esa forma. Hay que separar lo necesario para la relación de lo opcional.
- Las opciones y medios para limitar el uso o la divulgación.
- Los mecanismos, medios y procedimientos para ejercer los derechos ARCO.
- El procedimiento y medio para comunicar cambios al aviso.
Omitir cualquiera de estos elementos es infracción (artículo 58, fracción V) con multa de 100 a 160,000 veces la UMA (artículo 59, fracción II). Con la UMA diaria de 117.31 pesos vigente desde el 1 de febrero de 2026 (INEGI), eso va de 11,731 a 18,769,600 pesos.
Las transferencias se movieron de artículo, no desaparecieron
El artículo 15 vigente ya no tiene la fracción de transferencias que tenía el artículo 16 de la ley de 2010. La obligación sigue: el artículo 35 exige que el aviso contenga “una cláusula en la que se indique si la persona titular acepta o no la transferencia de sus datos”, y el artículo 68 del Reglamento pide informar toda transferencia en el aviso. Tu aviso tiene que seguir hablando de transferencias.
El artículo 36 lista cuándo puedes transferir sin consentimiento. Para un empleador, los supuestos más comunes son tres: que lo prevea una ley (por ejemplo, avisos al IMSS o al SAT), que la transferencia sea a empresas del mismo grupo que operen con los mismos procesos y políticas, y que sea necesaria para mantener o cumplir la relación jurídica con la persona (fracciones I, III y VII).
Aviso integral y aviso simplificado: qué lleva cada uno
El integral es el documento completo; el simplificado es el que se muestra donde capturas los datos y enlaza al integral.
| Aviso integral | Aviso simplificado | |
|---|---|---|
| Base legal | Artículo 15 | Artículo 16, fracción II |
| Contenido | Las seis fracciones del artículo 15 | Fracciones I a IV del artículo 15 |
| Extra obligatorio | No aplica | Indicar dónde se consulta el integral |
| Dónde va en RH | Página de privacidad del sitio, carpeta de alta del empleado | Formulario de vacante, solicitud en línea, app de asistencia |
El artículo 16 distingue dos momentos: si recabas datos en un formato impreso, el aviso se da en ese momento (fracción I); si los recabas por un medio electrónico, óptico, sonoro, visual u otra tecnología, va el simplificado (fracción II). La ley de 2010 no usaba la palabra “simplificado”; hoy es obligación expresa.
Aviso de privacidad para candidatos: qué incluir
El aviso de candidatos cubre el proceso de selección y nada más. Si mezclas candidatos y clientes en un solo aviso, terminas con finalidades confusas y datos que no aplican.
| Elemento | Qué poner en un aviso para candidatos |
|---|---|
| Datos | Nombre, contacto, CV, historial laboral, formación, pretensión salarial, referencias que la persona entrega, resultados de evaluaciones |
| Sensibles | Solo si de verdad los necesitas para el puesto, identificados y con consentimiento expreso y por escrito (artículo 8) |
| Finalidades necesarias | Evaluar la candidatura a la vacante, contactar para entrevistas, verificar referencias autorizadas |
| Finalidades que requieren consentimiento | Conservar el CV en un banco de talento para otras vacantes |
| Transferencias | Si eres agencia: envío de la terna al cliente. Si eres empleador: proveedores que actúan por tu cuenta (no son transferencia, son encargados) |
| Evaluaciones automatizadas | Qué componentes son automáticos y cómo pedir revisión humana |
Tres momentos donde se muestra:
- Formulario de vacante o bolsa de trabajo en línea: aviso simplificado con enlace al integral (artículo 16, fracción II).
- Solicitud de empleo en papel: el aviso se entrega en ese momento (artículo 16, fracción I).
- Sourcing o headhunting, cuando contactas a alguien cuyos datos no te dio directamente: aplica el artículo 17, y el aviso se da a conocer en el primer contacto. Si eso es imposible o desproporcionado, el Reglamento prevé medidas compensatorias.
El detalle de qué datos puedes pedir y cuáles no está en nuestra guía de datos personales en reclutamiento.
Aviso de privacidad para empleados: qué incluir
El aviso de empleados cubre la relación laboral completa: alta, nómina, prestaciones, seguridad social, capacitación, desempeño y baja.
| Elemento | Qué poner en un aviso para empleados |
|---|---|
| Datos | Identificación, RFC, CURP, NSS, domicilio, cuenta bancaria para nómina, beneficiarios, asistencia, desempeño |
| Sensibles | Salud (incapacidades, exámenes médicos cuando la ley o el puesto los exigen), y cualquier otro que de verdad necesites, identificado |
| Finalidades necesarias | Administrar la relación laboral, pagar la nómina, cumplir obligaciones ante IMSS, Infonavit y SAT |
| Finalidades que requieren consentimiento | Usar fotos en redes de la empresa, enviar promociones de terceros, compartir datos con aliados comerciales |
| Transferencias | Autoridades por ley; empresas del grupo; aseguradoras o proveedores de prestaciones, con su base legal |
| Conservación | Cuánto guardas el expediente después de la baja y por qué (ver derechos ARCO) |
Un punto que confunde: el artículo 9, fracción IV, te releva de pedir consentimiento para los datos que necesitas para cumplir obligaciones derivadas de la relación jurídica con la persona. Eso no te releva del aviso: el deber de informar está en el artículo 14 y aplica igual. Para los datos sensibles, el artículo 8 pide consentimiento expreso y por escrito, con firma autógrafa, electrónica o un mecanismo de autenticación; lo prudente es recabarlo en el alta.
Si aplicas la NOM-035, los cuestionarios sobre factores de riesgo psicosocial y acontecimientos traumáticos tocan información de salud. Conviene mencionarlos en el aviso y limitar quién ve los resultados individuales. Quincenea tiene una guía de NOM-035 para PyMEs con el procedimiento.
Los plazos que tu aviso promete
El aviso te obliga a operar lo que promete. Los números de la ley:
- Veinte días hábiles para comunicar la respuesta a una solicitud ARCO y quince más para hacerla efectiva (artículo 31). Son hábiles porque el artículo 2, fracción VIII, así define “Días”.
- Una sola ampliación de cada plazo por un periodo igual, si se justifica (artículo 31).
- Gratuidad (artículo 34): solo costos de reproducción, copias o envío, con tope de tres UMA si la persona reitera en menos de doce meses.
- Si la persona no queda conforme, tiene quince días para acudir a la Secretaría (artículo 40), que resuelve en un máximo de cincuenta, ampliables una vez (artículo 42).
Cómo atender cada solicitud de empleados y candidatos está en la guía de derechos ARCO en México.
Tres novedades de 2025 que cambian la redacción
1. Oposición al tratamiento automatizado. El artículo 26, fracción II, permite oponerse cuando los datos son objeto de un tratamiento automatizado que afecte de manera significativa a la persona y esté destinado a evaluar sin intervención humana aspectos como su “rendimiento profesional”, su fiabilidad o su comportamiento. Si usas filtros automáticos de CV, pruebas con corte automático o puntajes de desempeño, dilo en el aviso y ofrece revisión humana. Sobre los límites de las pruebas, vale leer qué mide de verdad una prueba psicométrica.
2. Se acabaron las finalidades “análogas”. La ley de 2010 permitía usar datos para finalidades compatibles o análogas sin pedir consentimiento nuevo. El artículo 11 vigente dice que cualquier finalidad distinta a las del aviso requiere consentimiento nuevo. Guardar el CV de un candidato para futuras vacantes es otra finalidad y debe estar en el aviso.
3. “Fuente de acceso público” se endureció. La excepción al consentimiento por fuentes públicas sigue en el artículo 9, fracción II, pero el artículo 2, fracción X, aclara que no es fuente de acceso público la información “obtenida o [que] tenga una procedencia ilícita”. Una base de CV comprada sin origen claro no entra.
Fugas de datos: a quién hay que avisar
A las personas afectadas, de forma inmediata. El artículo 19 dice que las vulneraciones que afecten de forma significativa los derechos patrimoniales o morales de las personas “le serán informadas de forma inmediata por el responsable”. No fija plazo en días ni menciona a la autoridad, y ninguna de las diecinueve fracciones del artículo 58 sanciona no avisarle a la Secretaría.
El Reglamento de 2011 pide avisar “sin dilación alguna” (artículo 64) e incluir la naturaleza del incidente, los datos comprometidos, recomendaciones para la persona, las acciones correctivas inmediatas y dónde obtener más información (artículo 65). Si se filtra la base de candidatos o la nómina, ese es el contenido mínimo del aviso a cada afectado.
Ojo con la diferencia con el sector público: la ley general para sujetos obligados sí pide avisar a la Secretaría o a la autoridad garante, según corresponda (artículo 34). Esa regla no aplica a empresas.
Checklist para revisar tus avisos esta semana
- ¿Citan artículos de la ley de 2010? El contenido del aviso es el artículo 15 y los plazos ARCO el 31.
- ¿Mencionan al INAI? Cámbialo por la Secretaría Anticorrupción y Buen Gobierno.
- ¿Tienes avisos separados para candidatos y para empleados?
- ¿Enumeran los datos e identifican los sensibles? Artículo 15, fracción II.
- ¿Separan las finalidades necesarias de las que requieren consentimiento? Artículo 15, fracción III.
- ¿Incluyen la cláusula de aceptación de transferencias? Artículo 35.
- ¿El formulario de vacante muestra el simplificado con enlace al integral? Artículo 16, fracción II.
- ¿Declaran las evaluaciones automatizadas y cómo pedir revisión humana? Artículo 26, fracción II.
- ¿Tienes recabado por escrito el consentimiento para datos sensibles? Artículo 8.
Esto no es asesoría legal
Este artículo es informativo y refleja el texto oficial de la ley y del Reglamento al 25 de octubre de 2026. Cada afirmación lleva su artículo para que la verifiques. No sustituye la revisión de un abogado, y tu caso puede cambiar según el giro, el tipo de datos y las transferencias que hagas.
Hay puntos que dejamos marcados en lugar de rellenarlos: no encontramos en el portal de la Secretaría un canal publicado para que una persona presente una solicitud de protección de datos contra una empresa privada (su sección de protección de datos personales trata los datos que posee la propia Secretaría), y no hay reglamento nuevo de la ley de 2025.
Si vas a abrir vacantes y quieres que el proceso tenga desde el inicio un aviso claro para candidatos y pida solo lo necesario, en Ingrowth llevamos reclutamiento y selección para empresas en Venezuela.
Fuentes
- LFPDPPP, texto vigente (DOF 20-03-2025, última reforma 14-11-2025), Cámara de Diputados
- Reglamento de la LFPDPPP (DOF 21-12-2011), Cámara de Diputados
- LGPDPPSO, texto vigente, Cámara de Diputados
- INEGI, comunicado 1/26: valor de la UMA 2026
- Decreto que reforma el Reglamento Interior de la Secretaría Anticorrupción y Buen Gobierno, SIDOF
Preguntas frecuentes
¿Qué es un aviso de privacidad?
Es el documento con el que quien trata datos personales (el responsable) informa a la persona qué datos usa, para qué finalidades, cómo puede limitar ese uso y cómo ejercer sus derechos ARCO. En México su contenido mínimo está en el artículo 15 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025.
¿Qué debe contener el aviso de privacidad según la ley de 2025?
Seis elementos, según el artículo 15: identidad y domicilio del responsable; los datos que se tratarán, identificando los sensibles; las finalidades, distinguiendo las que requieren consentimiento; las opciones para limitar el uso o la divulgación; los mecanismos para ejercer los derechos ARCO; y el procedimiento para comunicar cambios al aviso. Las fracciones II y III son nuevas respecto de la ley de 2010.
¿Necesito un aviso de privacidad distinto para candidatos y para empleados?
Conviene tenerlos separados, porque cambian los datos, las finalidades y las transferencias. El de candidatos cubre la evaluación para una vacante y, si lo usas, el banco de talento. El de empleados cubre la relación laboral, la nómina y las obligaciones ante IMSS, Infonavit y SAT. Los dos deben cumplir el artículo 15 de la LFPDPPP.
¿Cuándo hay que usar el aviso de privacidad simplificado?
Cuando obtienes los datos por un medio electrónico, óptico, sonoro, visual o cualquier otra tecnología, por ejemplo un formulario de vacante en línea. El artículo 16, fracción II, pide el aviso simplificado con las fracciones I a IV del artículo 15 y la indicación de dónde consultar el aviso integral.
¿Hay que notificar a la autoridad si mi empresa sufre una fuga de datos?
Según el texto de la ley, no. El artículo 19 de la LFPDPPP obliga a informar de forma inmediata a las personas afectadas cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales. No fija un plazo en días ni menciona a la autoridad, y el catálogo de infracciones del artículo 58 no sanciona no avisarle.
¿Mi empresa tuvo un plazo de gracia para actualizar su aviso?
No. Los transitorios del decreto de 2025 no dieron plazo de transición a las empresas, así que la obligación es exigible desde el 21 de marzo de 2025. Los noventa días naturales del Transitorio Décimo Segundo eran para que el Ejecutivo Federal adecuara los reglamentos, no para los particulares.