Sí. Cualquier persona física o moral del sector privado que trate datos personales de clientes, empleados, proveedores o visitantes de su web debe poner a su disposición un aviso de privacidad antes de recabarlos (arts. 15 a 17 de la LFPDPPP vigente desde marzo de 2025). No tenerlo se sanciona con multas en UMA.
Revisa qué obligaciones ya le aplican a tu negocio
¿Es obligatorio el aviso de privacidad?
Sí. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), en su versión publicada en el DOF el 20 de marzo de 2025 y vigente desde el día siguiente, obliga a toda persona física o moral privada que trate datos personales a informar al titular, mediante un aviso de privacidad, qué datos recaba y para qué, antes de recabarlos (arts. 15 a 17 LFPDPPP; numeración por validar contra el texto vigente). «Tratar datos» es cualquier cosa que hagas con un nombre, un RFC, un teléfono o una CURP de una persona física: pedirlos para facturar, guardarlos en tu sistema, mandar promociones o pagar una nómina.
Aclaración importante: esta página explica la obligación de tu negocio; el aviso de privacidad de Praxium está en su propia sección legal del sitio y no es un modelo para copiar. El regulador ya no es el INAI, extinguido en 2025: hoy la autoridad es la Secretaría Anticorrupción y Buen Gobierno. Y aunque el SAT no revisa avisos de privacidad, esta obligación aparece en cuanto empiezas a facturar, por eso está en el checklist de obligaciones fiscales y laborales de un negocio.
Tabla: ¿tu negocio necesita aviso de privacidad?
Casi siempre la respuesta es sí; la tabla ubica en qué modalidad y por qué.
| Situación | ¿Necesitas aviso? | Por qué | Fundamento |
|---|---|---|---|
| Facturas a clientes personas físicas (pides nombre, RFC, código postal) | Sí, integral y simplificado | El CFDI 4.0 te obliga a recabar datos personales; el tratamiento es por obligación legal, pero el aviso sigue siendo exigible | art. 15 LFPDPPP · art. 29-A CFF |
| Tienes uno o más empleados | Sí, aviso para el personal | Nómina, CURP, NSS, datos bancarios y de salud son datos personales | art. 15 y 16 LFPDPPP |
| Consultorio, clínica, gimnasio o cualquier giro que recaba datos de salud | Sí, con consentimiento expreso por escrito | Los datos de salud son sensibles | art. 9 LFPDPPP |
| Formulario de contacto o tienda en tu sitio web | Sí, integral en la web y corto en el formulario | Recabas datos por medio electrónico | art. 17 LFPDPPP |
| Cámaras de videovigilancia en tu local | Sí, aviso corto visible | La imagen es dato personal | art. 17 LFPDPPP y Lineamientos del aviso de privacidad |
| Solo facturas a empresas y no tienes empleados | En la práctica sí | Los datos de una persona moral no son personales, pero los de sus contactos sí | art. 3 LFPDPPP |
| Guardas contactos para uso estrictamente personal, sin fin comercial | No | Está fuera del ámbito de la ley | art. 2 LFPDPPP |
Revisa qué obligaciones ya le aplican a tu negocio
¿Qué debe contener el aviso de privacidad?
La ley fija un contenido mínimo (art. 16 LFPDPPP) y los Lineamientos del aviso de privacidad lo ordenan en tres modalidades: integral (el documento completo, en tu web o disponible en tu local), simplificado (lo esencial, al momento de recabar los datos) y corto (una leyenda en formularios, cámaras o mostradores que remite al integral). Como mínimo, el aviso integral incluye:
- Identidad y domicilio del responsable (tu nombre o razón social y domicilio).
- Los datos personales que recabas y si alguno es sensible (salud, origen étnico, creencias, preferencias).
- Las finalidades: las necesarias para la relación (facturar, entregar, pagar nómina) separadas de las secundarias (promociones, encuestas), con opción de negarse a las secundarias.
- Las transferencias a terceros que hagas (tu contador, tu proveedor de facturación, una paquetería) y su finalidad.
- Los medios para ejercer los derechos ARCO (acceso, rectificación, cancelación y oposición) y para revocar el consentimiento.
- El procedimiento para comunicar cambios al aviso.
¿Qué pasa si no lo tienes?
La ley prevé apercibimiento y multas por tramos, que se duplican cuando hay datos sensibles y en reincidencia (arts. 63 a 65 LFPDPPP; numeración por validar). Los tramos vigentes se miden en UMA, así que el monto exacto de 2026 depende de la UMA del año. Además, el titular puede presentar una queja ante la Secretaría Anticorrupción y Buen Gobierno, y el uso indebido de datos con ánimo de lucro tiene sanción penal (arts. 67 a 69 LFPDPPP).
| Infracción | Sanción | Fundamento |
|---|---|---|
| No poner a disposición el aviso o que le falten elementos | Apercibimiento y multa de 100 a 160,000 UMA (monto 2026 por validar) | art. 63 y 64 LFPDPPP |
| Tratar datos sin consentimiento cuando se requiere, o transferirlos sin informar | Multa de 200 a 320,000 UMA (por validar) | art. 64 LFPDPPP |
| Datos sensibles involucrados | Las multas se duplican | art. 64 LFPDPPP |
| Reincidencia | Hasta el doble de la multa anterior | art. 64 LFPDPPP |
| Vulneración de seguridad con ánimo de lucro | Sanción penal | art. 67 a 69 LFPDPPP |
¿Qué tiene que ver con lo fiscal?
Más de lo que parece. Cada CFDI 4.0 exige nombre, RFC y código postal del receptor (art. 29-A CFF), y esos datos se conservan cinco años con tu contabilidad (art. 30 CFF): estás tratando datos personales por obligación legal, y el aviso debe decirlo como finalidad. Tu contador, tu PAC y tu proveedor de nómina son «encargados» que tratan datos por tu cuenta (art. 3 LFPDPPP), y la ley pide que esa relación conste en un contrato o cláusula de confidencialidad. Y si además compartes datos con el SAT, el IMSS o un banco, no es una transferencia que requiera consentimiento, pero sí conviene mencionarla.
Praxium no redacta avisos de privacidad ni litiga en materia de datos: para el texto final, un abogado especializado o el aliado legal con el que trabajamos. Lo que sí revisamos es que la operación fiscal (facturación, nómina, retenciones) no esté generando tratamientos de datos que tu aviso no contempla.
El error común y qué hacer hoy
El error más frecuente es copiar el aviso de otra empresa con su nombre cambiado: las finalidades no coinciden con lo que haces, las transferencias no aparecen y el aviso vale poco. El segundo es tenerlo en la web y no en el mostrador o el formulario donde realmente recabas los datos. Qué hacer hoy:
- Haz un inventario de una hoja: qué datos pides, a quién, para qué, dónde los guardas y con quién los compartes.
- Con esa hoja, redacta (o pide redactar) el aviso integral, y de él saca el simplificado y el corto para formularios y cámaras.
- Publícalo en tu sitio web, en el punto donde recabas datos y en el contrato o formato de alta de tus empleados.
- Designa a una persona responsable de atender solicitudes ARCO (art. 30 LFPDPPP) y define cómo contestar en el plazo legal.
- Firma cláusulas de confidencialidad con tu contador, tu PAC y quien procese tu nómina.
- Corre el [Diagnóstico de Riesgo Fiscal](/herramientas/diagnostico-fiscal) para revisar el resto del checklist junto con la [e.firma](/blog/es-obligatorio-tener-e-firma) y el [buzón tributario](/blog/buzon-tributario-sat-que-es-y-como-activarlo).
Preguntas frecuentes
¿Un negocio pequeño también está obligado a tener aviso de privacidad?
Sí. La LFPDPPP aplica a toda persona física o moral privada que trate datos personales, sin importar su tamaño (art. 2 LFPDPPP). Basta con facturar a personas físicas, tener un empleado o un formulario web para estar obligado a poner un aviso a disposición de los titulares antes de recabar sus datos (art. 15 LFPDPPP).
¿Cuál es la multa por no tener aviso de privacidad?
La ley prevé apercibimiento y multa de 100 a 160,000 UMA por no poner el aviso a disposición o por omitir elementos, y de 200 a 320,000 UMA por infracciones más graves, con el doble cuando se trata de datos sensibles o en reincidencia (art. 64 LFPDPPP, numeración y montos por validar). El monto exacto de 2026 depende de la UMA vigente.
¿Quién vigila el cumplimiento de la ley de datos personales desde 2025?
La Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones del INAI tras su extinción en 2025 con la nueva LFPDPPP. Ante ella se presentan las quejas de los titulares y es quien impone las sanciones. El SAT no interviene en esta materia, aunque los datos que recabas para facturar también están protegidos por la ley.
¿Necesito consentimiento de mis clientes para pedirles su RFC al facturar?
No necesitas consentimiento porque el tratamiento cumple una obligación legal (art. 29-A CFF exige nombre, RFC y código postal del receptor), pero sí necesitas informarlo en el aviso de privacidad como finalidad. El consentimiento expreso solo es indispensable para datos sensibles, como los de salud (art. 9 LFPDPPP).
¿Mi contador o mi proveedor de facturación necesitan aparecer en el aviso?
Como encargados, no como destinatarios de una transferencia: tratan los datos por tu cuenta y bajo tus instrucciones (art. 3 LFPDPPP). La ley pide que esa relación conste en un contrato o cláusula de confidencialidad y que tu aviso mencione que compartes datos con proveedores que te prestan servicios de facturación, contabilidad o nómina.
Lecturas relacionadas
- Obligaciones fiscales de un negocio: checklist completo
- Contador para PYMEs en México
- ¿Es obligatorio tener contador?
- ¿Es obligatorio tener e.firma?
- ¿Es obligatorio el dictamen fiscal?
- Buzón Tributario del SAT: qué es y cómo activarlo
- Buzón tributario obligatorio: quién está obligado, fecha límite y multa por no habilitarlo
Revisa qué obligaciones ya le aplican a tu negocio
El Diagnóstico de Riesgo Fiscal cruza tu facturación, tu nómina y tus proveedores con las obligaciones que suelen quedar sin cumplir, incluida la de datos personales, y te dice por dónde empezar. Después lo revisamos contigo sin costo.