Aviso de privacidad para tu sitio web: qué es, por qué es obligatorio y cómo hacerlo

Si tienes un sitio web, una tienda en línea o cualquier negocio que reciba datos de clientes en México —un nombre, un correo, un número de teléfono— estás obligado por ley a tener un aviso de privacidad. Sin él, tu negocio está expuesto a sanciones. En esta guía te explicamos qué es, por qué es obligatorio, qué debe incluir y cómo tener uno en minutos.

¿Qué es el aviso de privacidad?

Es el documento con el que le informas a tus usuarios o clientes qué datos personales recopilas, para qué los usas y cómo pueden ejercer sus derechos sobre ellos. No es un documento opcional ni solo para empresas grandes: aplica a cualquier persona física o moral que trate datos personales en el ámbito privado.

¿Por qué es obligatorio?

En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares obliga a todo responsable que trate datos personales a informar a los titulares sobre ese tratamiento mediante un aviso de privacidad. El incumplimiento puede resultar en sanciones económicas por parte del INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales).

Más allá de la obligación legal, un aviso bien hecho genera confianza: los usuarios saben qué haces con su información.

¿Qué datos "activan" la obligación?

Cualquier dato que identifique o pueda identificar a una persona: nombre, correo electrónico, teléfono, dirección, datos de pago, dirección IP, cookies de rastreo, entre otros. Si tu formulario de contacto pide nombre y correo, ya estás tratando datos personales.

Qué debe incluir un aviso de privacidad

Un aviso completo contiene:

• Identidad y domicilio del responsable (quién eres tú o tu empresa).
• Datos personales que se recaban (qué información recopilas).
• Finalidades del tratamiento (para qué usas esos datos), distinguiendo entre finalidades primarias y secundarias.
• Transferencias a terceros, si los datos se comparten con alguien más.
• Cómo ejercer los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición): el medio de contacto para que el usuario solicite ver, corregir, eliminar u oponerse al uso de sus datos.
• Uso de cookies, si tu sitio las utiliza.
• Cambios al aviso: cómo notificarás modificaciones futuras.

Aviso integral vs aviso simplificado

La ley distingue dos versiones. El aviso integral incluye toda la información detallada arriba y es el estándar para sitios que recopilan datos de forma significativa. El aviso simplificado es una versión corta que se muestra en el punto de captura (por ejemplo, debajo de un formulario) e indica los datos que se recaban, las finalidades principales y cómo acceder al aviso completo.

Para la mayoría de los sitios web, la práctica habitual es tener un aviso integral en una página dedicada (por ejemplo /privacidad) y un aviso simplificado junto a los formularios.

Errores comunes

• Copiar el aviso de otro sitio. Un aviso genérico copiado puede no reflejar lo que realmente haces con los datos, lo cual es igual de problemático que no tenerlo.
• No actualizarlo cuando cambia tu operación. Si empiezas a usar una nueva herramienta de marketing o cambias tu proveedor de pagos, tu aviso debe reflejarlo.
• No tener un mecanismo de contacto para derechos ARCO. Debe existir un medio real (un correo, por ejemplo) para que los usuarios ejerzan sus derechos.

Preguntas frecuentes

¿El aviso de privacidad aplica a negocios pequeños? Sí. La ley aplica a cualquier persona física o moral que trate datos personales, independientemente del tamaño del negocio.

¿Qué pasa si no tengo aviso de privacidad? El INAI puede iniciar procedimientos de verificación e imponer sanciones económicas. Además, la ausencia de aviso puede afectar la confianza de tus clientes.

¿Necesito un aviso diferente para clientes y empleados? En principio sí, porque los datos que recopilas y las finalidades son distintas. Un aviso para clientes cubre la relación comercial; uno para empleados cubre la relación laboral.

¿Cada cuánto debo actualizarlo? Cada vez que cambies la forma en que tratas los datos: nuevas finalidades, nuevos proveedores que reciben datos, nuevas tecnologías de rastreo, etc.

---

Este artículo es información general y no constituye asesoría legal personalizada. Para casos específicos, te recomendamos consultar a un profesional.