¿Qué pide la ley de datos personales a un negocio pequeño?

Si en tu negocio guardas nombres, teléfonos, RFC o expedientes de tus clientes, la ley de datos personales te aplica, sin importar el tamaño. La ley vigente se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor al día siguiente. Lo básico se resume en cuatro tareas. Tener un aviso de privacidad, cuidar los datos con medidas prácticas, responder a tiempo cuando un cliente pide ver o corregir su información, y avisarle de inmediato si una vulneración afecta sus derechos de forma significativa.

¿Quién revisa que cumplas?

La autoridad es la Secretaría Anticorrupción y Buen Gobierno. Antes esta tarea correspondía al INAI, que desapareció con la reforma de 2025. La nueva ley le da a la Secretaría la tarea de vigilar el cumplimiento y de imponer sanciones (artículos 2, 38, 39 y 59).

¿Qué datos de tus clientes cuentan como personales?

La ley llama dato personal a cualquier información de una persona identificada o que se pueda identificar (artículo 2, fracción V). En la práctica eso incluye nombre, teléfono, domicilio, RFC, CURP, firma, fotos y expedientes.

Algunos datos piden más cuidado.

• Datos sensibles. Son los que tocan la esfera más íntima de la persona o pueden causar discriminación, como salud, creencias religiosas, opiniones políticas o preferencia sexual (artículo 2, fracción VI). Para usarlos necesitas su consentimiento expreso y por escrito, con firma autógrafa, firma electrónica o un mecanismo de autenticación (artículo 8). Un despacho legal o contable los encuentra seguido en sus expedientes.
• Datos financieros o patrimoniales. Cuentas, ingresos o bienes requieren consentimiento expreso, salvo las excepciones de la ley (artículo 7). Una de ellas aplica cuando el dato se necesita para cumplir la relación jurídica que tienes con tu cliente (artículo 9).

¿Qué obligaciones básicas tienes?

• Aviso de privacidad. Es el documento donde le explicas a tu cliente qué haces con sus datos (artículo 14). Debe incluir, al menos, tu identidad y domicilio, qué datos usas y cuáles son sensibles, para qué los usas, cómo puede limitar su uso, cómo ejercer sus derechos ARCO y cómo le avisarás de cambios (artículo 15). Si recabas datos en persona con formatos impresos, se lo das en ese momento. Si los recabas por medios digitales, basta una versión simplificada que indique dónde consultar el aviso completo (artículo 16).
• Medidas de seguridad. Debes establecer y mantener medidas administrativas, técnicas y físicas contra daño, pérdida, alteración, destrucción o uso no autorizado (artículo 18). Administrativas son reglas y responsables, como quién puede abrir cada expediente. Técnicas son las de tus equipos, como contraseñas, actualizaciones y respaldos. Físicas son las del lugar, como un archivero con llave. La ley pide que protejas los datos de tus clientes al menos igual que tu propia información.
• Confidencialidad. Quien trate datos en tu negocio debe guardar el secreto, incluso después de dejar de trabajar contigo (artículo 20).
• Una persona a cargo. Designa a alguien, o a un área, que atienda las solicitudes de tus clientes (artículo 29).
• Derechos ARCO. Tus clientes pueden pedir acceso, rectificación, cancelación u oposición sobre sus datos. Tienes hasta 20 días hábiles para responder y 15 días más para aplicar lo que proceda, ampliables una sola vez (artículo 31). El trámite es gratuito, salvo costos de copias o envío (artículo 34).
• Depuración. Cuando un dato deja de servir para lo que dice tu aviso, debes suprimirlo, con el bloqueo previo que corresponda (artículo 10).

¿Qué pasa si te roban o pierdes datos?

Imagina que se pierde una laptop con expedientes o que alguien copia la lista de clientes de tu servidor. La ley llama a eso una vulneración de seguridad. Si afecta de forma significativa los derechos patrimoniales o morales de tus clientes, debes informarles de forma inmediata para que puedan defenderse (artículo 19).

Cuando la falla es imputable a tu negocio, la ley la considera infracción (artículo 58, fracción XI). La multa va de 200 a 320,000 veces la Unidad de Medida y Actualización y puede duplicarse si hay datos sensibles (artículo 59). Omitir elementos del aviso de privacidad se multa con 100 a 160,000 veces esa unidad. Para decidir el monto, la autoridad considera el tipo de dato, si hubo intención, tu capacidad económica y si reincidiste (artículo 60). Lo que más te ayuda en esa revisión es mostrar que tenías medidas y que actuaste rápido.

Pasos para cumplir lo básico

1. Haz un inventario. Anota qué datos guardas, en qué equipos o archiveros están y quién los consulta.
2. Escribe o actualiza tu aviso de privacidad. Revisa que tenga los seis elementos del artículo 15 y ponlo a la vista de tus clientes.
3. Nombra a una persona responsable. Que tenga claro cómo recibir y contestar solicitudes ARCO dentro del plazo.
4. Refuerza tus equipos y tu oficina. Cuentas individuales, contraseñas fuertes, actualizaciones al día, respaldos probados y archiveros con llave.
5. Firma acuerdos de confidencialidad. Con empleados y con quien te dé servicios que tocan datos de tus clientes.
6. Prepara tu plan para vulneraciones. Define quién decide, cómo avisas a los afectados y dónde anotas qué pasó, qué hiciste y cuándo.
7. Depura una vez al año. Suprime lo que ya no necesitas, según tus plazos de conservación.

Este artículo es informativo y no sustituye la asesoría de un abogado.

Cómo te ayuda Ojo de Kraken

Ojo de Kraken protege tus computadoras, laptops y servidores con un programa ligero que revisa lo que pasa en cada equipo, día y noche, con IA y personas detrás. Si detecta un intento de entrada o un cambio sospechoso, te lo explica por WhatsApp en español claro, y nada se ejecuta sin tu aprobación. Cada paso queda en un registro encadenado que muestra qué pasó, qué se hizo y quién lo aprobó. Eso te da evidencia ordenada para demostrar que cuidas los datos de tus clientes, y el cumplimiento legal sigue en tus manos y en las de tu abogado.