Aviso de privacidad en México: qué debe contener

Qué es

Es un documento físico, electrónico o en cualquier otro formato que el responsable pone a disposición del titular desde que recaba sus datos. Sirve para informarle de los propósitos del tratamiento (art. 2).

A través de él, el titular conoce las características principales del tratamiento y puede tomar decisiones informadas (art. 14). Por regla general, si el titular no se opone tras ponerse el aviso a su disposición, el consentimiento se entiende dado de forma tácita (art. 7).

El consentimiento tácito no basta para los datos financieros o patrimoniales, que exigen consentimiento expreso salvo en las excepciones de los arts. 9 y 36 (art. 7). Tampoco para los sensibles, que lo exigen expreso y por escrito (art. 8).

Qué debe contener

Como mínimo (art. 15):

1. la identidad y el domicilio del responsable;
2. los datos personales que se tratarán, señalando los sensibles;
3. las finalidades del tratamiento, distinguiendo las que requieren el consentimiento del titular;
4. las opciones y medios para limitar el uso o la divulgación de los datos;
5. los mecanismos, medios y procedimientos para ejercer los derechos ARCO;
6. cómo comunicará el responsable los cambios del aviso.

El responsable puede transferir los datos a terceros distintos del encargado. En ese caso, el aviso debe llevar una cláusula en la que el titular indique si acepta o no la transferencia (art. 35). Y debe explicar cómo revocar el consentimiento (art. 7).

Cuándo y cómo se da

• Si los datos se recogen en persona con formatos impresos, en ese momento, salvo que se haya dado antes (art. 16).
• Si se recogen por medios electrónicos, ópticos, sonoros o visuales, el aviso se da en su modalidad simplificada. Debe incluir al menos los elementos 1 a 4 y decir dónde consultar el aviso integral (art. 16).
• Si los datos no se obtuvieron directamente del titular, la ley obliga al responsable a «darle a conocer el cambio en el aviso de privacidad» (art. 17), salvo fines históricos, estadísticos o científicos.
• Si es imposible dar a conocer el aviso de forma directa o exige esfuerzos desproporcionados, puede aplicar medidas compensatorias según el Reglamento (art. 17).

Qué pasa si falta

Omitir en el aviso alguno o todos los elementos del art. 15 es una infracción (art. 58). La Secretaría Anticorrupción y Buen Gobierno la sanciona con multa de 100 a 160.000 veces la Unidad de Medida y Actualización (UMA). Con datos sensibles, los montos pueden incrementarse hasta por dos veces (art. 59).

Las demás infracciones están en multas por protección de datos en México.