Datos personales y marcas: lo que tu empresa puede perder sin que nadie te avise

El INAI dejó de existir en marzo de 2025. Desde entonces, la autoridad que vigila cómo tratas los datos personales en el sector privado es la Secretaría Anticorrupción y Buen Gobierno, que es la que verifica, resuelve los procedimientos y sanciona. Y hay una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares que la acompaña.

Esto importa por una razón práctica: buena parte de lo que circula en internet sobre avisos de privacidad en México, plantillas gratuitas incluidas, sigue nombrando al INAI. Un aviso de privacidad que remite a una autoridad que ya no existe no está desactualizado nada más de forma. Le dice a cualquiera que lo lea que nadie lo revisó.

Empecemos por lo que casi nadie te dice. Si no atiendes una solicitud ARCO sin razón fundada, la primera consecuencia que la ley prevé no es una multa: es un apercibimiento para que hagas lo que el titular te pidió. La multa entra cuando desatiendes ese apercibimiento, o cuando la conducta fue otra.

Cuando sí hay multa, la ley maneja dos tramos: de 100 a 160,000 veces la UMA para un grupo de infracciones, y de 200 a 320,000 veces la UMA para el grupo más grave. Si las infracciones persisten de manera reiterada, se suma una multa adicional. Y tratándose de datos sensibles, las sanciones pueden incrementarse hasta por dos veces.

Con la UMA vigente desde el 1 de febrero de 2026, de $117.31 diarios, el piso son $11,731 y el techo del tramo mayor, $37,539,200.

Te damos la operación completa y no solo la cifra grande, porque el número grande casi nunca es el que te va a tocar. Lo que decide dónde caes está en otro artículo: la autoridad debe fundar y motivar su resolución considerando la naturaleza del dato, si la negativa era notoriamente improcedente, si hubo intención, tu capacidad económica y si eres reincidente.

Ahí está el argumento entero de esta página. Esa bitácora de solicitudes, ese aviso bien hecho, ese responsable designado, no son papeleo. Son la prueba documental de diligencia que se pone sobre la mesa el día que alguien tiene que graduar una sanción. Es la diferencia entre una empresa descuidada y una que hizo lo que le tocaba y falló en un punto.

Aquí está la razón de que estas dos materias vivan en una sola página y no en dos.

En materia de datos, el responsable debe establecer controles para que todas las personas que intervienen en cualquier fase del tratamiento guarden confidencialidad, y esa obligación subsiste aun después de terminada la relación. En materia de secretos industriales, una información solo califica como secreto si quien ejerce su control legal adoptó los medios o sistemas suficientes para preservar su confidencialidad y el acceso restringido, y solo puedes reclamar contra quien tuvo acceso por su trabajo, cargo o relación de negocios si se le previno sobre esa confidencialidad.

Traducido: tu lista de clientes, tu método de operación y tus precios no están protegidos porque sean valiosos. Están protegidos si puedes probar que restringiste el acceso y que a cada persona se le advirtió. Ese es exactamente el mismo documento que te exige la ley de datos personales, en el mismo contrato laboral y en el mismo contrato con proveedores.

Si esa cláusula no está, no fallan dos cosas. Fallan las dos leyes con el mismo papel faltante.

Bajé un aviso de privacidad de internet. ¿Me sirve?

Como estructura, quizá. Como cumplimiento, casi nunca. Un aviso genérico no puede enumerar los datos que tú tratas ni las finalidades que tú persigues, y esos son justo dos de los seis elementos obligatorios. Además, buena parte de los que circulan siguen nombrando al INAI, que ya no existe.

Somos quince personas. ¿Esto de verdad nos aplica?

Sí. La ley no distingue por tamaño, distingue por si tratas datos personales. Si tienes clientes, nómina y proveedores, los tratas. Lo que sí cambia con el tamaño es la profundidad de las medidas, y esa proporción se define en el diagnóstico.

Nunca hemos tenido un problema con esto. ¿Por qué ahora?

Porque la obligación no depende de que hayas tenido un problema. El aviso, la persona designada y el procedimiento ARCO se exigen desde que tratas datos, y son justo el tipo de prueba que la ley manda considerar cuando alguien tiene que graduar una sanción. Construirlos después del primer reclamo cuesta más y ya no acredita lo mismo.

¿Ustedes registran marcas?

El registro como trámite lo lleva Legalit, nuestra marca hermana, que está armada para eso. En ABL entramos en lo consultivo: portafolio, titularidad, calendario de uso y renovación, licencias, secretos industriales y defensa. Si llegas buscando solo el registro, te lo decimos y te mandamos con ellos.

Si me llega una solicitud de datos mañana, ¿me acompañan?

Sí, y esa es la parte donde más nos buscan. También es la más cara de resolver improvisando, porque el plazo ya está corriendo cuando nos llamas.

Ya se me pasó la declaración de uso de una marca. ¿Hay algo que hacer?

Depende de cuánto tiempo pasó y de si alguien más ya solicitó ese signo. Hay rutas, pero se evalúan caso por caso y no todas terminan bien. Es la conversación que preferimos tener antes y no después.

¿Cuánto cuesta?

Depende del tamaño de tu operación y de cuántos frentes estén abiertos. En el diagnóstico te decimos el alcance, los entregables y la inversión, sin letra chica.