Cómo hacer un aviso de privacidad que cumple la ley (2025)

Un aviso de privacidad que cumple la ley en México (2025) es un documento donde tu negocio le dice a cada persona quién eres, qué datos recabas, para qué los usas, a quién los transfieres y cómo puede ejercer sus derechos —con un consentimiento más estricto tras la reforma a la LFPDPPP que entró en vigor el 21 de marzo de 2025. No es un texto legal decorativo: es la pieza que da respaldo a todo lo que haces con los datos de tus clientes.

Muchos negocios copian un aviso de privacidad de internet, lo pegan en un rincón de su web y se olvidan del tema. Después de la reforma de 2025, eso ya no alcanza: un aviso genérico que no refleja lo que de verdad haces con los datos te deja igual de expuesto que no tener ninguno. Este artículo te explica, en lenguaje claro, qué secciones debe llevar tu aviso, qué cambió con la reforma y dónde colocarlo. Está enfocado al mercado mexicano y no constituye asesoría jurídica definitiva; para casos sensibles conviene validarlo con un abogado.

Piensa en el aviso de privacidad como el contrato invisible entre tu negocio y cada persona que te confía sus datos. No es papeleo para «cumplir por cumplir»: es la forma en que le demuestras a tu cliente que sabes exactamente qué información tienes de él y que la vas a tratar con respeto. Bien hecho, transmite seriedad; mal hecho o inexistente, es una de las señales que más rápido erosionan la confianza en un negocio digital.

¿Qué secciones debe incluir un aviso de privacidad?

Un aviso completo responde, de forma ordenada, a las preguntas que cualquier persona tiene sobre sus datos. Estas son las secciones que no pueden faltar:

• Identidad y domicilio del responsable. Quién eres (nombre o razón social) y cómo contactarte. La persona debe saber a quién le está entregando su información.
• Datos personales que recabas. Qué información pides: nombre, correo, teléfono, dirección, datos de pago, etc. Sé específico.
• Finalidades del tratamiento. Para qué usas esos datos. Aquí conviene separar las finalidades necesarias (dar el servicio, facturar) de las opcionales (marketing, encuestas).
• Transferencias a terceros. Si compartes datos con proveedores o socios, dilo, indica con quién y para qué.
• Derechos ARCO. Explica que la persona puede Acceder, Rectificar, Cancelar u Oponerse al uso de sus datos.
• Medios para ejercer esos derechos. Un correo, un formulario o un procedimiento claro para que puedan pedirlo.
• Cambios al aviso. Cómo notificarás si el aviso se actualiza en el futuro.

¿Qué cambió con la reforma de 2025?

El ajuste central es que el consentimiento se volvió más estricto y las finalidades deben ser más específicas. La reforma eliminó la vieja permisión de usar datos para fines «compatibles o análogos» al original, así que tu aviso ya no puede escudarse en frases vagas.

Esto tiene consecuencias prácticas en la redacción de tu aviso:

• Finalidades concretas, no genéricas. En lugar de «usaremos sus datos para fines relacionados con nuestro negocio», enumera cada uso real. Cuanto más específico, mejor.
• Consentimiento por finalidad. Si vas a usar los datos para algo distinto de lo que motivó la recolección, necesitas permiso para ese uso nuevo, no puedes darlo por incluido.
• Autoridad actualizada. La vigilancia en protección de datos pasó del INAI a la Secretaría Anticorrupción y Buen Gobierno; tenlo presente al referirte a la autoridad competente.

¿Dónde debo poner el aviso de privacidad?

En todos los puntos donde recolectas datos, no solo escondido en el pie de página. La regla práctica es simple: donde pides información, ahí debe estar visible el aviso o un enlace a él.

• En tu sitio web. Con un enlace permanente en el pie de página y accesible desde cualquier sección.
• En cada formulario. Contacto, suscripción, registro, checkout: cada uno debe enlazar al aviso en el mismo punto de recolección.
• En el punto físico de recolección. Si captas datos en mostrador, evento o por teléfono, ten a la mano un aviso corto que remita al completo.

Un aviso de privacidad no protege por existir, sino por reflejar lo que de verdad haces con los datos. Si dice una cosa y tú haces otra, no cumple.

Checklist final para tu aviso de privacidad

Antes de dar por terminado tu aviso, revísalo con esta lista rápida:

• ¿Identificas con claridad quién es el responsable y cómo contactarlo?
• ¿Enumeras los datos concretos que recabas?
• ¿Describes cada finalidad de forma específica, separando las necesarias de las opcionales?
• ¿Declaras las transferencias a terceros?
• ¿Explicas los derechos ARCO y el medio para ejercerlos?
• ¿Indicas cómo avisarás de futuros cambios?
• ¿Está enlazado en tu web y en cada formulario donde pides datos?
• ¿Lo validaste con un especialista legal si manejas datos sensibles?

En resumen

Un aviso de privacidad que cumple la ley en 2025 no es un texto copiado: es un documento específico que declara qué datos recabas, para qué y cómo se ejercen los derechos, con finalidades concretas y consentimiento más estricto según la reforma a la LFPDPPP. Colócalo en tu web y en cada formulario, y valídalo con un abogado si manejas información sensible.

Si prefieres no armarlo desde cero, en Normandia Web podemos ayudarte a redactar y colocar tu aviso de privacidad, conectarlo bien con tus formularios y dejar tu sitio en orden para que recolectes datos con confianza y de acuerdo con la ley.