La Ley Federal de Protección de Datos Personales en Posesión de los Particulares que hoy está vigente se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor al día siguiente. La aplica la Secretaría Anticorrupción y Buen Gobierno y obliga a todo particular que trate datos personales, sin importar su tamaño.
La ley no tiene un capítulo sobre líneas de denuncia. Aun así, un canal de denuncias trata datos de tres grupos de personas: quien denuncia, las personas implicadas y los testigos. Cada grupo tiene derechos, y su canal tiene que poder respetarlos.
Lo que no cambió
El Reglamento de 2011 y los Lineamientos del Aviso de Privacidad de 2013 siguen publicados. Varios de sus artículos responden a la ley anterior, así que lo que descansa solo en ellos tiene una certeza menor. Su abogado le dirá qué partes siguen siendo la referencia.
Siete puntos para revisar su canal
- Aviso de privacidad en cada canal. Antes de recabar datos, la persona debe ver un aviso simplificado y poder consultar el integral (artículos 15 y 16). Si su línea recibe por web, WhatsApp, teléfono y correo, cada canal necesita su aviso.
- Ningún dato de identidad obligatorio. La ley pide tratar solo los datos necesarios para la finalidad. Para atender una denuncia no hace falta el nombre de quien la hace, y pedirlo desalienta a quien quiere denunciar. El modo anónimo debe ser una opción real.
- Los datos de implicados y testigos. Se tratan con las excepciones al consentimiento del artículo 9, y el aviso a esas personas sigue sus propias reglas. No es lo mismo una persona señalada que una persona responsable.
- Derechos ARCO con plazos. El responsable tiene 20 días hábiles para responder una solicitud de acceso, rectificación, cancelación u oposición, y 15 para hacerla efectiva. Una persona implicada puede pedir sus datos, pero nunca la identidad de quien la denunció.
- Decisiones automatizadas. La ley reconoce el derecho a oponerse a decisiones tomadas sin intervención humana (artículo 26, fracción II). Si su canal usa inteligencia artificial, que sugiera y que una persona decida.
- El proveedor como encargado. Quien opera la plataforma trata los datos por cuenta de su empresa. Eso exige un contrato de encargo, instrucciones por escrito y la lista de subencargados (artículos 49 a 55 del Reglamento).
- Vulneraciones. Si hay una vulneración que afecte de forma significativa a las personas, el responsable debe avisarles de inmediato (artículo 19).
Lo que la ley no pide
La ley no exige que los datos se queden en México: pide informar las transferencias y contar con base para hacerlas. Tampoco exige una certificación de seguridad ni un oficial de datos certificado: pide medidas de seguridad proporcionales y una persona o departamento de datos personales que atienda las solicitudes.
Cómo lo aborda la Línea de Denuncia Inteligente
La plataforma muestra el aviso simplificado antes de cada canal y guarda la versión que vio cada persona. Ningún campo de identidad es obligatorio: la denuncia es anónima salvo que, al final, la persona marque que acepta ser contactada, y aun entonces su nombre y su contacto son opcionales. La IA ordena el relato y propone, pero toda decisión sobre una persona la toma una persona, con su registro en la bitácora. Y el aviso de privacidad dice dónde se procesan los datos, incluida la inteligencia artificial en Estados Unidos.
Este artículo es información general y no sustituye la opinión de su abogado.