Tener una base de datos también implica una responsabilidad
No es necesario dirigir un banco o una plataforma tecnológica para administrar datos personales.
Un restaurante que conserva teléfonos para reservaciones, una clínica que integra expedientes, una inmobiliaria que recibe identificaciones, un hotel que registra huéspedes o una tienda en línea que almacena información de clientes están tratando datos personales.
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente en México tiene como objetivo regular el tratamiento legítimo, controlado e informado de esa información y proteger la privacidad y la autodeterminación informativa de las personas. La nueva ley fue publicada el 20 de marzo de 2025 y su texto vigente registra una última reforma publicada el 14 de noviembre de ese mismo año.
El aviso de privacidad no es suficiente
Uno de los errores empresariales consiste en pensar que cumplir con protección de datos equivale simplemente a colocar un aviso de privacidad en una página web.
El documento es importante, pero la obligación va más lejos. La legislación establece principios para el tratamiento de la información y señala que los datos deben utilizarse para las finalidades previstas en el aviso de privacidad. Cuando dejan de ser necesarios para esas finalidades, existen también reglas relacionadas con su conser- vación, bloqueo y eliminación.
Esto obliga a formular una pregunta que muchas compañías todavía no se hacen: ¿ sabemos realmente qué información personal conservamos y para qué la utilizamos?
Bases de clientes antiguas, currículums recibidos hace años, identificaciones almacenadas en computadoras, formularios digitales y archivos compartidos pueden contener información que permanece dentro de la organización mucho después de haber cumplido su propósito original.
Proteger los datos también significa proteger los sistemas
La legislación vigente establece que los responsables deben mantener medidas de seguridad administrativas, técnicas y físicas destinadas a proteger los datos personales contra daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado. Para determinar esas medidas deben considerarse, entre otros elementos, el riesgo existente, las posibles consecuencias para los titulares, la sensibilidad de los datos y el desarrollo tecnológico.
La obligación, por tanto, no corresponde exclusivamente al departamento jurídico.
Tecnología, Recursos Humanos, Marketing, Ventas y cualquier área que recopile o administre información pueden intervenir en el ciclo de vida de los datos.
CLASEEMPRESARIAL · Octubre 2026 47