¿Qué es el aviso de privacidad y por qué tu sitio necesita uno?
El aviso de privacidad es el documento con el que una empresa informa a las personas qué datos personales recaba, para qué los usa y qué derechos tienen sobre ellos, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Si tu sitio tiene un formulario de contacto, un botón de WhatsApp que guarda el número de quien escribe, o herramientas de análisis que registran visitas, ya estás recabando datos personales, y la ley exige que exista un aviso, no que se publique sólo si a alguien se le ocurre pedirlo.
No es un trámite exclusivo de empresas grandes: aplica igual a una pyme con un formulario de tres campos que a una cadena con miles de clientes. Lo que cambia es el nivel de detalle exigido, no si hace falta.
¿Qué exige la LFPDPPP que contenga el aviso de privacidad?
Exige, como mínimo: la identidad y el domicilio del responsable de los datos; qué datos personales se recaban (y si incluyen datos sensibles, como los de salud); para qué finalidades se usan, distinguiendo las necesarias del servicio de las adicionales (como enviar promociones); los medios para ejercer los derechos ARCO (acceso, rectificación, cancelación y oposición); y, si los datos se transfieren a terceros, con quién y para qué. Un aviso que omite el domicilio del responsable no cumple, aunque tenga el resto correcto: es el requisito que más se salta porque parece un detalle menor.
Lo que exige el aviso de privacidad, mínimo
| Elemento | Ejemplo |
|---|---|
| Identidad y domicilio del responsable | Nombre legal de la empresa, dirección completa |
| Datos que se recaban | Nombre, correo, teléfono; datos sensibles si aplica (salud, menores) |
| Finalidades | Responder contacto, agendar cita, enviar cotización; promociones, si aplica, por separado |
| Derechos ARCO | Cómo solicitar acceso, corrección, cancelación u oposición al uso de tus datos |
| Transferencias a terceros | Si se comparten datos con un proveedor de correo, CRM o similar, y para qué |
¿Qué pasa si tu empresa no tiene domicilio en México?
El aviso publica el domicilio real de la empresa, sea cual sea, porque la ley exige identificar al responsable, no simular una presencia que no existe. YAST Digital es una empresa neerlandesa sin oficina en México, y su aviso de privacidad publica el domicilio en Groningen, Países Bajos: es la consecuencia legal directa de operar a distancia, no un problema a esconder. De hecho, hace explícita en cada página con formulario la misma posición europea que la empresa usa como parte de su venta.
El error que sí hay que evitar es inventar un domicilio mexicano para parecer local: eso no es un problema estético, es una declaración falsa en un documento legal, y expone a la empresa mucho más que decir la verdad.
Un domicilio real en otro país, publicado con claridad, cumple la ley. Un domicilio inventado en México, no.
¿Qué diferencia hay entre aviso simplificado y aviso integral?
La LFPDPPP contempla un aviso de privacidad simplificado, más corto, que se muestra en el punto donde se recaban los datos (junto al formulario, por ejemplo) y remite a un aviso integral más completo publicado aparte, normalmente en una página propia del sitio. La mayoría de los sitios de pyme necesita las dos versiones: un texto breve junto al formulario («al enviar aceptas nuestro aviso de privacidad, ver aquí») y la página completa con todos los elementos exigidos.
¿Qué errores tiene la mayoría de los avisos de privacidad copiados?
El error más frecuente es copiar el aviso de otro sitio y dejar el nombre de la otra empresa, o partes que no aplican al negocio (menciona videovigilancia sin tener cámaras, por ejemplo). El segundo es omitir el domicilio, ya sea por descuido o por no querer publicar una dirección personal. El tercero, específico de salud y educación, es no distinguir los datos sensibles (de salud, de menores) del resto, cuando la ley exige tratamiento reforzado para esos casos.
Errores frecuentes en avisos de privacidad copiados
- ✓El nombre de otra empresa, olvidado al copiar la plantilla
- ✓Sin domicilio del responsable, o con uno inventado
- ✓Menciona finalidades o datos que el negocio no recaba realmente
- ✓No distingue datos sensibles (salud, menores) del resto
- ✓No dice cómo ejercer los derechos ARCO, sólo que existen
- ✓Nunca actualizado desde que se publicó el sitio
¿Cómo se ve un aviso de privacidad bien hecho? (checklist)
Se ve como un documento propio, con el nombre real de la empresa, su domicilio real (donde sea que esté), los datos que efectivamente recaba, y un medio de contacto claro para ejercer derechos ARCO. En nuestros sitios, el aviso se estructura una vez y se adapta por sector cuando hay datos sensibles (salud, datos de menores en educación), en lugar de usar el mismo texto genérico para todos los hubs.