¿Cuánto cuesta un aviso de privacidad? (2026)

¿Cuánto cuesta hacer un aviso de privacidad?

El documento en sí no tiene precio oficial. No se presenta ante ninguna autoridad, no se registra y no hay derechos que pagar: es una obligación de informar que cumples publicándolo y poniéndolo a disposición de las personas cuyos datos tratas. Si lo redactas tú con la ley en la mano, cuesta cero.

Lo que sí se paga es el trabajo de escribirlo bien, y eso es un rango de mercado por validar: depende de cuántas finalidades tenga tu operación, de si tratas datos sensibles y de si además necesitas cláusulas de transferencia a proveedores. Un aviso para una tienda en línea con pasarela de pago, mensajería y remarketing no se parece al de un consultorio. Antes de pedir cotización conviene tener claro qué datos recabas y para qué, porque ese inventario es la mitad del trabajo.

Nota de orientación: si llegaste aquí buscando el aviso de privacidad de este sitio, está publicado en praxiumconsultores.com/aviso-de-privacidad. Esta página explica cuánto cuesta el tuyo y qué tiene que decir.

Qué debe contener, según el artículo 15

El marco vigente es la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial el 20 de marzo de 2025, que además extinguió al INAI y trasladó sus atribuciones a la Secretaría Anticorrupción y Buen Gobierno. Su artículo 14 fija la obligación de informar y el artículo 15 lista el contenido mínimo. No es una guía de buenas prácticas: omitir alguno de esos elementos está tipificado como infracción.

¿Cuándo y cómo hay que entregarlo?

El artículo 16 distingue dos escenarios. Cuando los datos se obtienen personalmente a través de formatos impresos, el aviso debe darse a conocer en ese momento, salvo que ya se hubiera facilitado antes. Cuando se obtienen por cualquier medio electrónico, óptico, sonoro, visual o tecnológico, se proporciona en su modalidad simplificada, que debe contener al menos la información de las fracciones I a IV del artículo 15 y señalar el sitio donde puede consultarse el aviso integral.

De ahí salen las dos piezas que la mayoría de los negocios necesita: un aviso integral publicado en el sitio y un aviso simplificado que aparece en el formulario, en el punto de venta o en el mostrador. Si los datos no se obtuvieron directamente de la persona, el artículo 17 obliga a darle a conocer el cambio en el aviso, y cuando resulte imposible hacerlo de manera directa o exija esfuerzos desproporcionados, permite medidas compensatorias en términos del Reglamento.

Lo que cuesta no tenerlo

El artículo 58, fracción V de la ley tipifica como infracción «omitir en el aviso de privacidad, alguno o todos los elementos a que se refiere el artículo 15». Las sanciones están en el artículo 59: para los supuestos de las fracciones II a VII del artículo 58 —donde cae esa omisión— la multa va de 100 a 160,000 veces la Unidad de Medida y Actualización, es decir de $11,731.00 a $18,769,600.00 con la UMA 2026 de $117.31; para las fracciones VIII a XVIII, de 200 a 320,000 veces la UMA ($23,462.00 a $37,539,200.00); y si las infracciones persisten de manera reiterada, se impone una multa adicional de 100 a 320,000 veces la UMA. Tratándose de datos sensibles, las sanciones pueden incrementarse hasta por dos veces esos montos.

La ley fija el rango en veces la UMA, no en pesos, justamente para que se actualice solo: conserva el múltiplo y multiplícalo por el valor del año en que ocurran los hechos (en 2026, $117.31 diarios desde el 1 de febrero; para hechos de enero todavía rige la UMA de 2025). Lo que conviene retener, además de la escala, es el procedimiento: la Secretaría notifica los hechos y otorga quince días para rendir pruebas, luego cinco días para alegatos, y resuelve dentro de los cincuenta días siguientes al inicio del procedimiento, prorrogables una vez por causa justificada (art. 57). El capítulo de delitos añade prisión de tres meses a tres años para quien, estando autorizado para tratar datos y con ánimo de lucro, provoque una vulneración de seguridad (art. 62), y de seis meses a cinco años para quien trate datos mediante el engaño con el fin de alcanzar un lucro indebido (art. 63), penas que se duplican cuando se trata de datos sensibles (art. 64).

El error que sí cuesta dinero: copiar el aviso de otra empresa

Es la tentación obvia y la que más problemas genera. Un aviso copiado describe finalidades que tú no persigues, datos que no recabas y transferencias que no haces, y omite justo las que sí. Cuando alguien ejerce un derecho ARCO contra ese documento, el desajuste queda a la vista: el correo que aparece no existe, el domicilio es de otra empresa y nadie sabe quién atiende la solicitud. El artículo 58 sanciona no solo la omisión de elementos, sino también no cumplir la solicitud para el ejercicio de los derechos ARCO sin razón fundada y actuar con negligencia o dolo durante su trámite.

El otro error frecuente es cambiar el uso de los datos sobre la marcha. La fracción IX del artículo 58 tipifica cambiar sustancialmente la finalidad originaria del tratamiento sin observar lo dispuesto en el artículo 11, y esa conducta cae en el rango de multa más alto. Si tu negocio va a empezar a usar la base de clientes para algo nuevo —publicidad, perfilado, compartirla con un socio—, el aviso se actualiza antes, no después.

Qué hacer hoy

Seis pasos que puedes hacer sin abogado y que dejan listo el trabajo si luego contratas a uno.

1. Haz el inventario de datos: qué recabas, por qué canal y para qué lo usas.
2. Marca cuáles son datos sensibles: cambian el nivel de consentimiento y el de sanción.
3. Separa las finalidades necesarias de las secundarias, como publicidad o encuestas.
4. Define un correo real de atención de derechos ARCO y quién lo revisa.
5. Publica el aviso integral en tu sitio y coloca el simplificado en cada punto de captura.
6. Agenda una revisión anual del aviso y actualízalo antes de cualquier uso nuevo de la base.