Derechos ARCO en México: cómo responder a empleados y candidatos

Los derechos ARCO son cuatro: acceso, rectificación, cancelación y oposición. Cualquier empleado, excolaborador o candidato puede ejercerlos sobre los datos que tu empresa tiene de él, y tú tienes veinte días hábiles para comunicar tu respuesta y quince días hábiles más para hacerla efectiva, según el artículo 31 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el DOF el 20 de marzo de 2025 y vigente desde el día siguiente.

Esta guía está pensada para el área de RH de una empresa privada: quién te puede pedir qué, cómo contar el plazo, qué puedes negar y qué parte del expediente laboral tienes que conservar aunque te pidan borrarlo. Si llegaste buscando cómo ejercer tus derechos ARCO ante una dependencia de gobierno, la siguiente sección te dice qué ley aplica y dónde presentar la solicitud.

¿Derechos ARCO ante el gobierno o ante una empresa? Qué ley aplica

Depende de quién tenga tus datos. Si es una dependencia, un órgano público, un partido político o un fideicomiso público, aplica la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO) y la solicitud se presenta ante la Unidad de Transparencia de esa institución. Si es una empresa o cualquier particular, aplica la LFPDPPP y la solicitud va a la persona o departamento de datos personales de esa empresa.

Las dos leyes se expidieron en el mismo decreto del 20 de marzo de 2025 y las dos reconocen los mismos cuatro derechos, pero el procedimiento cambia:

	Sector público	Empresas y particulares
Ley	LGPDPPSO (DOF 20-03-2025)	LFPDPPP (DOF 20-03-2025)
Ante quién se presenta	Unidad de Transparencia del sujeto obligado (art. 46)	Persona o departamento de datos personales de la empresa (art. 29)
Plazo de respuesta	20 días hábiles, ampliable una vez hasta por 10 (art. 45)	20 días hábiles, ampliable una vez por un periodo igual (art. 31)
Plazo para hacerlo efectivo	15 días hábiles (art. 45)	15 días hábiles (art. 31)
Si no te responden o te niegan	Recurso de revisión en 15 días (art. 86)	Solicitud de protección de datos en 15 días (art. 40)
Quién resuelve	Secretaría Anticorrupción y Buen Gobierno o la autoridad garante que corresponda (art. 3, fr. II, y 81)	Secretaría Anticorrupción y Buen Gobierno (art. 2, fr. XV, y 39)

En el sector público, las “autoridades garantes” son el órgano de control y disciplina del Poder Judicial, los órganos internos de control de los órganos autónomos, las contralorías del Congreso, el INE para los partidos políticos y las contralorías de los poderes y órganos autónomos de cada estado (LGPDPPSO, art. 3, fracción II). Si tu caso es con una dependencia estatal o municipal, revisa también la ley de datos de tu estado. El resto de este artículo trata del sector privado.

Qué es cada derecho ARCO y en qué artículo está

La ley vigente los regula en artículos consecutivos. Esta es la referencia rápida, con ejemplos de RH:

Derecho	Artículo LFPDPPP 2025	Ejemplo en RH
Acceso	22	Un excolaborador pide copia de los datos que conservas de él
Rectificación	23	Una empleada corrige su CURP o su domicilio en el expediente
Cancelación	24 (excepciones en el 25)	Un candidato rechazado pide que borres su CV
Oposición	26	Un candidato se opone a que una prueba automatizada decida sin revisión humana

Acceso. La persona tiene derecho a conocer sus datos y las condiciones de su tratamiento. Cumples poniéndolos a su disposición o con copias simples, documentos electrónicos u otro medio señalado en tu aviso (artículo 32). El Reglamento pide un formato legible y que, si usas claves o siglas, expliques su significado (artículos 98 y 102). Un volcado del sistema de nómina con nombres de columna internos no cumple.

Rectificación. Procede cuando los datos son inexactos, incompletos o están desactualizados. El artículo 30 pide que la persona indique qué cambiar y aporte documentos que lo sustenten. Ese artículo remite “al artículo 29”, pero los requisitos de la solicitud están en el 28: es un cruce de numeración que quedó en el texto.

Cancelación. No es un borrado inmediato. Abre un periodo de bloqueo que dura lo que el plazo de prescripción de las acciones derivadas de la relación jurídica, y después se suprime el dato (artículo 24). Durante el bloqueo los datos no pueden tratarse (artículo 2, fracción III). Si ya los habías enviado a un tercero que los sigue usando, tienes que comunicarle la solicitud.

Oposición. Tiene dos supuestos en el artículo 26: una causa legítima por la que el tratamiento, aunque sea lícito, deba cesar para evitar un daño; y el tratamiento automatizado que evalúe sin intervención humana aspectos como el rendimiento profesional, la fiabilidad o el comportamiento. No procede cuando el tratamiento es necesario para cumplir una obligación legal del responsable.

¿Quién puede ejercer derechos ARCO frente a tu empresa?

Cualquier persona titular o su representante legal (artículo 21). En RH eso incluye a tres grupos con necesidades distintas:

• Empleados activos. Suelen pedir acceso (qué hay en su expediente) o rectificación (datos para IMSS, nómina o constancias). La oposición rara vez procede sobre datos que necesitas para la relación laboral, porque el artículo 26 la excluye cuando el tratamiento cumple una obligación legal.
• Excolaboradores. Piden acceso para un juicio o una reclamación, o cancelación para “desaparecer” de la empresa. Aquí pesa lo que estás obligado a conservar (ver más abajo).
• Candidatos. Piden saber qué datos guardas, por qué no avanzaron o que borres su CV del banco de talento. Si usas evaluaciones automatizadas, pueden oponerse o pedir reconsideración. Lo desarrollamos en datos personales en reclutamiento.

El representante debe acreditar su identidad, la del titular y la representación, con instrumento público, carta poder firmada ante dos testigos o declaración en comparecencia del titular (Reglamento, artículo 89). Un compañero de trabajo que “pregunta por él” no es representante.

¿Cuántos días tienes para responder una solicitud ARCO?

Veinte días hábiles para comunicar la respuesta y quince días hábiles más para hacerla efectiva si procede (LFPDPPP, artículo 31). La ley escribe “veinte días” sin adjetivo, pero el artículo 2, fracción VIII, define “Días: Días hábiles”.

• Inicio. El plazo corre desde el día en que recibiste la solicitud. Anota la fecha en el acuse de recibo (Reglamento, artículo 95).
• Ampliación. Cada plazo se amplía una sola vez por un periodo igual si las circunstancias lo justifican. La justificación se notifica dentro del plazo original, no cuando ya venció (Reglamento, artículo 97).
• Solicitud incompleta. Puedes requerir información una sola vez, dentro de los cinco días siguientes a recibirla. La persona tiene diez días para contestar; si no lo hace, la solicitud se tiene por no presentada. Si contesta, tu plazo empieza al día siguiente (Reglamento, artículo 96).
• Acceso. La entrega procede después de acreditar la identidad del titular o del representante (artículo 31).

Sin ampliaciones son treinta y cinco días hábiles entre que recibes la solicitud y la ejecutas; con las dos ampliaciones, hasta setenta. Parece mucho hasta que la solicitud llega al correo de alguien que está de vacaciones.

Qué debe traer la solicitud y qué no puedes exigir

El artículo 28 lista cinco elementos: nombre y domicilio o medio para recibir notificaciones; documentos que acrediten la identidad del titular o de su representante; descripción clara de los datos, salvo que se trate de acceso; el derecho que se ejerce o lo que se pide; y cualquier elemento que ayude a localizar los datos (por ejemplo, número de empleado o vacante a la que aplicó).

Para la identidad, el Reglamento admite copia de identificación con cotejo del original y también mecanismos electrónicos de autenticación que hayas establecido (artículo 89). Si tus empleados entran a un portal o app con usuario propio, puedes usar esa vía.

Lo que no puedes hacer:

• Cobrar por atender. El ejercicio es gratuito; solo recuperas costos de reproducción, copias o envío, y si la persona proporciona el medio, la entrega es sin costo. Si reitera en menos de doce meses, el tope es de tres UMA (artículo 34), unos 352 pesos con la UMA diaria de 117.31 pesos vigente desde el 1 de febrero de 2026 (INEGI).
• Poner como única vía un medio con costo (Reglamento, artículo 93).
• Exigir tu formato como requisito. Puedes ofrecer un formulario, pero la persona puede presentar la solicitud por los medios de tu aviso (Reglamento, artículo 90).

¿Qué puedes negar y qué tienes que conservar del expediente laboral?

Puedes negar total o parcialmente cuando se actualiza una causa del artículo 33, y no estás obligado a cancelar datos que una ley te obliga a conservar (artículo 25, fracción II). Siempre tienes que responder, aunque sea para negar.

Las causas de improcedencia del artículo 33 son: titular o representante no acreditados; datos que no están en tu posesión; lesión de derechos de un tercero; impedimento legal o resolución de autoridad; y que la rectificación, cancelación u oposición ya se hubiera hecho. La negativa se fundamenta, se comunica por el mismo medio por el que llegó la solicitud y se acompaña de pruebas.

En RH, el caso típico de “lesión a un tercero” es la investigación interna: un excolaborador pide acceso a un expediente de queja donde aparecen declaraciones de compañeros. Puedes entregar sus datos y testar los de los demás.

Para el expediente laboral, estos son los plazos de conservación que encontramos en la ley y que justifican negar la cancelación (o, mejor dicho, bloquear en lugar de suprimir):

Documento	Plazo mínimo de conservación	Fuente
Contrato individual de trabajo	Mientras dure la relación y un año después	LFT, art. 804
Nóminas o recibos de salario, controles de asistencia, comprobantes de PTU, vacaciones, aguinaldo, primas y cuotas de seguridad social	El último año de la relación y un año después	LFT, art. 804
Documentación con efectos fiscales (por ejemplo, CFDI de nómina y su soporte)	Cinco años desde la declaración relacionada	CFF, art. 30

Para calcular el bloqueo, ten a mano los plazos de prescripción laboral: un año como regla general (LFT, art. 516), dos meses para las acciones por despido (art. 518) y dos años para indemnizaciones por riesgo de trabajo (art. 519). La ley de datos remite a esa prescripción para fijar el bloqueo (artículo 24), así que tu política de conservación debería decir cuál aplica a cada tipo de documento.

Dos precisiones. Primera: el artículo 98 del Reglamento obliga a responder aunque no tengas datos de la persona; no tenerlos es causa de improcedencia, no permiso para callar. Segunda: el artículo 100 del Reglamento dice que al negar debes informar el derecho de acudir “ante el Instituto”. Ese era el INAI; hoy la instancia es la Secretaría Anticorrupción y Buen Gobierno.

Casos frecuentes en RH y cómo responderlos

El excolaborador que pide “todo lo que tienen de mí”. Es acceso. Entrega los datos del expediente, nómina, asistencia y evaluaciones en formato legible, con la explicación de claves. No es obligatorio entregar documentos internos que no contienen sus datos.

El candidato rechazado que pide borrar su CV. Es cancelación y casi siempre procede, porque no hay obligación legal de conservar el CV de alguien que no contrataste. Bloquea por el tiempo que definiste en tu política y suprime después. Si lo tenías en un banco de talento, sácalo también de ahí.

El candidato que pregunta por qué lo descartó una prueba. Si la decisión se tomó sin valoración de una persona, el artículo 112 del Reglamento le permite conocer los datos usados, rectificarlos y pedir reconsideración. La forma más simple de cumplir es que ninguna prueba descarte sola: los resultados se leen junto con la entrevista.

La empleada que pide corregir su nombre o su CURP. Es rectificación. Pide el documento que lo sustente y, si ya enviaste el dato a un tercero que lo sigue tratando (por ejemplo, el proveedor de vales), comunícale la corrección (artículo 24, último párrafo).

El excolaborador que se opone a que des referencias. Es oposición por causa legítima. Además, la LFT, artículo 133, fracción IX, prohíbe “poner en el índice” a quien se separa para que no lo vuelvan a contratar. Las referencias se limitan a lo verificable (fechas, puesto) y con su autorización. Lo que sí debes darle si lo pide es la constancia de servicios, dentro de tres días (LFT, artículo 132, fracción VIII).

¿Qué pasa si no respondes una solicitud ARCO?

La persona puede acudir a la Secretaría Anticorrupción y Buen Gobierno, y tu empresa queda expuesta a multas. El procedimiento está en la LFPDPPP:

1. Quince días para que el titular presente su solicitud de protección de datos desde que le respondiste; si no respondiste, puede presentarla en cuanto vence tu plazo (artículo 40).
2. Ante falta de respuesta, la Secretaría te da diez días para acreditar que respondiste o para responder; si tu respuesta atiende lo pedido, se sobresee (artículo 50).
3. Cincuenta días máximos para resolver, ampliables una vez (artículo 42).
4. Si la resolución favorece al titular, tienes diez días para cumplir y otros diez para informarlo (artículo 43).
5. Contra las resoluciones procede amparo ante jueces especializados (artículo 51).

Dentro de la Secretaría, el decreto que reformó su Reglamento Interior asignó a la Dirección General de Datos Personales en el Sector Privado los procedimientos de protección de derechos, verificación e imposición de sanciones.

En la vía sancionadora, el artículo 58 abre con estas conductas y el 59 fija la consecuencia. Con la UMA de 2026 los rangos quedan así:

Conducta (art. 58)	Sanción (art. 59)	En pesos con UMA 2026
Fr. I: no atender la solicitud ARCO sin razón fundada	Apercibimiento	No aplica
Fr. II y III: negligencia o dolo en el trámite; negar con dolo que existen datos	100 a 160,000 UMA	$11,731 a $18,769,600
Fr. VII: no cumplir el apercibimiento	100 a 160,000 UMA	$11,731 a $18,769,600
Fr. XVI: seguir usando los datos tras pedirse el cese	200 a 320,000 UMA	$23,462 a $37,539,200

Las multas pueden duplicarse si se trata de datos sensibles (artículo 59, fracción IV). El cálculo en pesos usa la UMA diaria de 117.31 pesos publicada por el INEGI, vigente del 1 de febrero de 2026 al 31 de enero de 2027.

La numeración cambió: tabla de equivalencias con la ley de 2010

La LFPDPPP de 2025 conserva el nombre y la sigla de la ley de 2010, que quedó abrogada por su Transitorio Segundo, fracción I. Casi todos los artículos de ARCO se recorrieron un lugar, así que muchos avisos y formatos internos citan una ley que ya no existe:

Tema	Ley vigente (2025)	Ley abrogada (2010)
Ejercicio general de ARCO	21	22
Acceso	22	23
Rectificación	23	24
Cancelación	24	25
Excepciones a la cancelación	25	26
Oposición	26	27
Requisitos de la solicitud	28	29
Plazos de respuesta	31	32
Gratuidad	34	35

¿Hay reglamento nuevo? No. Al 25 de octubre de 2026 no localizamos en el DOF la publicación de un reglamento de la LFPDPPP de 2025, aunque el Transitorio Décimo Segundo daba al Ejecutivo noventa días para adecuar los reglamentos. La Cámara de Diputados sigue publicando como vigente el Reglamento del 21 de diciembre de 2011, y la ley no lo incluyó en la lista de lo que abrogó. Se aplica en lo que no contradiga a la ley nueva, con un cuidado: sus remisiones apuntan a la numeración vieja. Por ejemplo, su artículo 101 cita “el artículo 23 de la Ley” para el acceso (hoy 22) y sus artículos 97, 98 y 107 citan el “artículo 32” para los plazos (hoy 31). En esta guía, cada artículo del Reglamento se menciona como del Reglamento de 2011.

¿Y el INAI? Se extinguió con la reforma constitucional de simplificación orgánica publicada el 20 de diciembre de 2024, y la ley de 2025 dio sus funciones para el sector privado a la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV, y artículos 38 y 39). Si tu aviso o tus formatos remiten al INAI, hay que corregirlos. Cómo hacerlo está en nuestra guía de aviso de privacidad en México.

Cómo montar el proceso ARCO en tu área de RH

1. Designa a alguien. El artículo 29 obliga a designar a una persona o departamento de datos personales. Con nombre y suplente.
2. Publica un canal gratuito (correo y, si quieres, formulario) en tus avisos para candidatos y empleados (artículo 15, fracción V).
3. Acusa recibo con fecha (Reglamento, artículo 95). Es tu prueba si el asunto escala.
4. Ten plantillas para acceso, rectificación, cancelación, oposición, requerimiento de información, ampliación y negativa fundada.
5. Fija un plazo interno de diez días hábiles. La ley te da veinte; el resto es margen para vacaciones y revisiones.
6. Escribe tu política de conservación por tipo de documento, con la tabla de la LFT y el CFF, para saber qué bloqueas y cuándo suprimes.
7. Ordena el expediente. Si los documentos de cada persona están dispersos entre correos, carpetas y hojas de cálculo, responder un acceso en plazo es difícil. Un expediente digital por colaborador, como el que ofrece Quincenea, ayuda a saber qué tienes de cada persona y a entregarlo en formato legible.

Los errores que más se repiten: contar días naturales, avisar la ampliación cuando el plazo ya venció, no contestar cuando no hay datos, borrar todo de golpe sin periodo de bloqueo y negar la cancelación sin decir qué ley obliga a conservar.

Nada de esto es asesoría legal. Es información general con el artículo a la vista para que la verifiques y la revises con tu abogado.

Lo que no pudimos verificar

No encontramos en el portal oficial de la Secretaría Anticorrupción y Buen Gobierno un trámite, formulario o correo publicado para que una persona presente una solicitud de protección de datos contra una empresa privada; su sección de protección de datos personales trata los datos que la propia Secretaría posee. Preferimos decirlo antes que publicar un contacto sin confirmar.

Si tu empresa recluta y quieres que el proceso cuide desde el inicio qué datos se piden y cómo se informa al candidato, en Ingrowth llevamos reclutamiento y selección para empresas en Venezuela con ese criterio.

Fuentes

• LFPDPPP, texto vigente (DOF 20-03-2025, última reforma 14-11-2025), Cámara de Diputados
• Reglamento de la LFPDPPP (DOF 21-12-2011), Cámara de Diputados
• LGPDPPSO, texto vigente (DOF 20-03-2025, última reforma 14-11-2025), Cámara de Diputados
• Ley Federal del Trabajo, texto vigente, Cámara de Diputados
• Código Fiscal de la Federación, texto vigente, Cámara de Diputados
• INEGI, comunicado 1/26: valor de la UMA 2026
• Decreto que reforma el Reglamento Interior de la Secretaría Anticorrupción y Buen Gobierno, SIDOF