La nueva LFPDPPP y el tracking de marketing: qué cambia para tu tienda

México tiene una nueva ley de protección de datos personales. ¿Qué cambia para los píxeles, las cookies y las APIs de conversiones que mi tienda usa para anunciarse?

El 20 de marzo de 2025 México publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la LFPDPPP. Entró en vigor al día siguiente y abrogó la ley de 2010 a la que sustituye. Casi todo lo que una tienda hace con datos funciona igual con el nuevo texto, pero algunos cambios tocan justo las herramientas de las que depende el marketing: píxeles, cookies, APIs de conversiones y el aviso de privacidad que tiene que describirlos. Este artículo resume esos cambios a partir del texto oficial que publica la Cámara de Diputados. Es información general, no asesoría legal, y la lista del final es lo que hay que llevarle a tu abogado.

Qué cambió, en corto

• Una nueva autoridad. La ley la supervisa y sanciona la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV, y artículos 39 y 59), que asumió las funciones que antes tenía el INAI.
• Una prueba más amplia de quién es identificable. Dato personal es cualquier información concerniente a una persona identificada o identificable, y la ley precisa que una persona es identificable cuando su identidad puede determinarse directa o indirectamente a través de cualquier información (artículo 2, fracción V).
• El consentimiento debe ser libre, específico e informado (artículo 2, fracción IV). El consentimiento tácito sigue siendo válido por regla general: existe cuando se puso a disposición el aviso de privacidad y la persona no manifestó su voluntad en sentido contrario (artículo 7).
• El aviso de privacidad debe listar los datos personales que se tratan, identificando los sensibles, y debe distinguir las finalidades que requieren consentimiento (artículo 15, fracciones II y III).
• Una finalidad nueva requiere un consentimiento nuevo. El tratamiento se limita a las finalidades del aviso, y usar los datos para una distinta obliga a obtener otra vez el consentimiento (artículo 11).

La comparación con la ley de 2010 sigue el análisis de Basham sobre la nueva ley; los números de artículo son del texto oficial.

Qué significa para píxeles y cookies

Un píxel o una cookie por sí solos registran un identificador, no un nombre. Pero una tienda liga esos identificadores con personas todo el tiempo: el visitante que inicia sesión, se suscribe o compra deja un correo, y desde ese momento el identificador y la persona quedan conectados. Con una prueba que cuenta la identificación directa o indirecta "a través de cualquier información", lo prudente es tratar como datos personales los identificadores de seguimiento que se pueden ligar a un cliente, y describirlos en el aviso de privacidad. Si un identificador en particular califica en tu configuración es una pregunta para tu abogado.

El reglamento que se expidió en 2011 para la ley anterior pedía algo concreto aquí: cuando un sitio usa tecnologías que recaban datos personales de forma automática en cuanto el visitante llega, debe informarle en ese momento que usa esas tecnologías, que a través de ellas se obtienen datos personales y la forma en que se pueden deshabilitar (artículo 14 del Reglamento). La nueva ley no dice expresamente si ese reglamento sigue aplicando, y al momento de escribir esto la Cámara de Diputados todavía lo publica como texto vigente. En cualquier caso, el paso práctico es el mismo: un aviso visible cuando la gente llega, con un enlace al aviso de privacidad integral y una forma de deshabilitar el seguimiento.

Qué significa para las APIs de conversiones y las plataformas de anuncios

Mandar compras a Meta o a Google desde tu servidor, con correos y teléfonos con hash para que la plataforma pueda emparejarlos con sus usuarios, es tratar datos personales, y comunicarlos a otra empresa. El hash protege el valor mientras viaja; no vuelve anónimo el dato para una plataforma cuyo único propósito al recibirlo es emparejarlo con una persona.

Tres preguntas deciden lo que tu aviso tiene que decir al respecto:

• ¿La medición publicitaria es una de las finalidades de tu aviso? Si el aviso dice que tratas datos para surtir pedidos y no dice nada sobre medir u optimizar publicidad, mandar compras a las plataformas de anuncios es una finalidad que el aviso no cubre (artículo 11).
• ¿La plataforma es tu encargada o un tercero? La ley distingue a la "persona encargada", que trata datos por cuenta del responsable (artículo 2, fracción XII), de una transferencia a un tercero (artículo 2, fracción XX). En una transferencia tienes que comunicarle el aviso de privacidad a quien recibe los datos, y el aviso debe incluir una cláusula que indique si la persona acepta o no la transferencia de sus datos (artículo 35). Dónde cae una plataforma de anuncios en particular es una pregunta legal con consecuencias reales para tu aviso.
• ¿Tus eventos podrían revelar datos sensibles? Los datos sensibles, como el estado de salud o las creencias religiosas de una persona, requieren consentimiento expreso y por escrito (artículo 8). Si lo que vendes puede revelar un padecimiento, revisa qué detalles de producto mandan tus eventos a las plataformas de anuncios.

Los datos financieros son un caso aparte: requieren consentimiento expreso (artículo 7). Nada en la medición publicitaria necesita datos de pago, así que la regla más sencilla es no mandarlos nunca.

Una lista para revisar con tu abogado

• Haz la lista de cada etiqueta, píxel y conexión de servidor que recibe datos de visitantes o clientes, y de lo que recibe cada una.
• Actualiza el aviso de privacidad: quién eres y tu domicilio, los datos personales que tratas, cada finalidad (la medición publicitaria incluida) marcando las que requieren consentimiento, cómo pueden las personas limitar el uso o la divulgación, cómo ejercen sus derechos ARCO y cómo vas a comunicar los cambios (artículo 15).
• Donde recabes datos en línea, muestra el aviso simplificado, con al menos los primeros cuatro de esos elementos y un enlace al aviso integral (artículo 16).
• Informa a los visitantes sobre las tecnologías de seguimiento cuando llegan, y cómo deshabilitarlas.
• Haz que una oposición llegue también al servidor: a una persona que se opone al uso publicitario de sus datos tampoco se le debe mandar a las plataformas de anuncios desde tu back end.
• Mantén un proceso para las solicitudes ARCO: una persona o departamento a cargo, una respuesta en un máximo de 20 días hábiles y 15 más para hacerla efectiva (artículos 29 y 31).
• Revisa tus medidas de seguridad y tu proceso para informar de inmediato a las personas sobre una vulneración que las afecte de forma significativa (artículos 18 y 19).

Lo que cuesta no cumplir

Las multas van de 100 a 160,000 veces la Unidad de Medida y Actualización para infracciones como omitir elementos obligatorios del aviso de privacidad, y de 200 a 320,000 veces para otras, como recabar datos sin el consentimiento expreso cuando éste es exigible. Cuando se trata de datos sensibles pueden llegar hasta el doble de esos montos (artículos 58 y 59).

Cómo lo maneja Adray

Con los datos de compradores que recaba por cuenta de una tienda, Adray actúa generalmente como encargado de la tienda, como explica su aviso de privacidad; la tienda sigue siendo responsable de su propio aviso. El pixel de Adray lee la señal Global Privacy Control, y el servidor de Adray no le reenvía a Meta ni a Google las conversiones de un visitante cuyo navegador la manda. Para ver cómo fluyen los datos de primera parte en una tienda, revisa cookies de primera parte, y para el lado de la IA de la misma pregunta, ¿es seguro darle tus datos de marketing a ChatGPT o Claude?