Queja ante el INAI por Protección de Datos Personales en México (LFPDPPP)

Los derechos ARCO son los cuatro derechos fundamentales sobre los datos personales establecidos por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP): Acceso (artículo 22), el derecho a recibir una copia de todos los datos personales que el responsable tenga sobre ti, las finalidades para las que los trata y los destinatarios de cualquier transferencia; Rectificación (artículo 24), el derecho a que se corrijan los datos personales inexactos, desactualizados o incompletos; Cancelación (artículo 25), el derecho a que se supriman los datos personales cuando ya no sean necesarios para la finalidad original, cuando se revoque el consentimiento o cuando el tratamiento sea ilícito; y Oposición (artículo 27), el derecho a oponerte a determinadas actividades de tratamiento, en particular la mercadotecnia directa, la elaboración de perfiles y las decisiones automatizadas. Para ejercer un derecho ARCO, presenta una solicitud por escrito (solicitud de derechos ARCO) ante el contacto de protección de datos que el responsable designe en su aviso de privacidad, ya sea por correo electrónico, correo postal o cualquier mecanismo que el responsable haya señalado. La solicitud debe incluir la acreditación de tu identidad, la descripción del derecho específico que se invoca y los detalles relevantes sobre los datos en cuestión. El responsable tiene 20 días hábiles para responder conforme al artículo 24 de la LFPDPPP. Si la solicitud se niega sin una justificación legal adecuada o el responsable no responde dentro de los 20 días hábiles, puedes presentar una queja ante el INAI conforme al artículo 45 de la LFPDPPP dentro del plazo legal de 15 días hábiles establecido por el artículo 101 del Reglamento.

Conforme al artículo 45 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y al artículo 101 de su Reglamento, el titular de los datos debe presentar la queja ante el INAI (procedimiento de protección de derechos) dentro de los 15 días hábiles siguientes a cualquiera de estas fechas: (1) la fecha en que el responsable comunica su decisión de negar la solicitud ARCO; o (2) la fecha en que vence el plazo de 20 días hábiles de respuesta previsto en el artículo 24 de la LFPDPPP sin que el responsable haya respondido. Este plazo de 15 días hábiles se aplica de forma estricta: el INAI desechará por prescrita una queja presentada después de este periodo, salvo que el quejoso pueda acreditar que la presentación tardía obedeció a una causa de fuerza mayor o a circunstancias ajenas a su voluntad. Los días hábiles excluyen sábados, domingos y los días festivos oficiales publicados por la Secretaría de Gobernación. El plazo de 15 días empieza a correr a partir del día siguiente a la fecha de notificación de la negativa del responsable o del día siguiente al vencimiento del plazo de 20 días de respuesta. Documentar con prontitud la fecha de presentación de la solicitud ARCO (idealmente con un acuse de recibo confirmado) y la respuesta del responsable (o su ausencia) es esencial para preservar el derecho a presentar la queja ante el INAI.

El INAI tiene facultad para imponer sanciones administrativas conforme a los artículos 63 a 66 de la LFPDPPP a los responsables del sector privado que violen la ley. Las sanciones se gradúan según la gravedad de la infracción: para infracciones leves —como no responder a una solicitud ARCO dentro del plazo legal o proporcionar un aviso de privacidad inadecuado— las multas van de 100 a 160,000 días de salario mínimo general vigente (aproximadamente de $1,060 a $1,698,400 MXN a los niveles de 2025); para infracciones graves —como tratar datos personales sin consentimiento, transferir datos personales sin autorización o no implementar medidas de seguridad adecuadas— las multas van de 160,001 a 320,000 días de salario mínimo (aproximadamente de $1,698,411 a $3,396,800 MXN); tratándose de infracciones que involucren datos personales sensibles, como datos de salud, financieros, biométricos o de orientación sexual, las multas máximas pueden duplicarse. Además de las multas, el INAI puede dictar medidas correctivas que ordenen atender la solicitud ARCO dentro de un plazo determinado, cesar determinadas actividades de tratamiento, implementar medidas de seguridad técnicas y organizativas, y hacer pública la sanción. Las violaciones deliberadas o sistemáticas pueden remitirse a la Fiscalía General de la República (FGR) para su persecución penal conforme a los artículos 220 a 222 del Código Penal Federal.

El INAI tiene dos competencias distintas. Respecto de los datos personales en posesión de entes del sector privado (personas físicas y morales de carácter privado), el INAI aplica la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que abarca a empresas, organizaciones de la sociedad civil, colegios profesionales, instituciones educativas, prestadores de servicios de salud y cualquier persona o entidad privada que trate datos personales con fines comerciales. Respecto de los datos personales y la información pública en posesión de dependencias del gobierno federal, el Congreso, el Poder Judicial de la Federación, los órganos constitucionales autónomos, los partidos políticos y demás sujetos obligados federales, el INAI aplica la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO, DOF 26 de enero de 2017) a través de un mecanismo de impugnación distinto (el recurso de inconformidad previsto en el artículo 104 de la LGPDPPSO). Los entes de los gobiernos estatales y municipales están sujetos a las leyes estatales de protección de datos y a sus respectivos órganos garantes: cada estado de México cuenta con su propio instituto de transparencia (órgano garante local) encargado de hacer cumplir las reglas locales de protección de datos para los entes del gobierno estatal. El INAI no tiene competencia directa sobre el tratamiento de datos del gobierno estatal: ello corresponde a los institutos estatales de transparencia (Institutos de Acceso a la Información y Protección de Datos de los estados), que operan bajo el marco de competencias compartidas de la LGPDPPSO.

El procedimiento de protección de derechos ante el INAI, conforme a los artículos 45 a 63 de la LFPDPPP, comprende las siguientes etapas. Presentación: el titular de los datos presenta la queja o denuncia ante el INAI, ya sea de forma electrónica a través del portal del INAI en www.inai.org.mx, por correo postal a las oficinas del INAI en la Ciudad de México, o de manera presencial. La queja debe presentarse dentro de los 15 días hábiles siguientes a la negativa de la solicitud ARCO. Revisión de admisibilidad: el INAI revisa la queja para verificar el cumplimiento de requisitos formales dentro de 5 días hábiles; si se detectan deficiencias formales, el quejoso cuenta con 5 días hábiles para subsanarlas, y de no hacerlo se desecha la queja. Notificación: el INAI notifica la queja al responsable dentro de los 5 días hábiles siguientes a su admisión y le otorga 10 días hábiles para presentar su respuesta y pruebas por escrito. Investigación: la Dirección de Investigación y Verificación del INAI analiza las pruebas aportadas por ambas partes y puede requerir información adicional o realizar una verificación in situ. Resolución: el INAI emite una resolución formal en la que determina que la infracción ocurrió (procedencia), ordenando remedios o sanciones específicas, o bien desecha la queja (improcedencia). La resolución se emite dentro de los 60 días hábiles siguientes a la admisión de la queja. Impugnación: el responsable puede combatir la resolución del INAI mediante un amparo indirecto ante los Juzgados de Distrito, ya que los tribunales federales revisan con regularidad las resoluciones del INAI por motivos de constitucionalidad.

Tanto el INAI como la CONDUSEF tienen competencia sobre los datos personales en posesión de las instituciones financieras, pero sus mandatos difieren de forma significativa. El INAI aplica la LFPDPPP, específicamente los derechos sobre los datos personales (derechos ARCO), las obligaciones de seguridad de los datos, los requisitos de consentimiento y la suficiencia del aviso de privacidad. Una queja ante el INAI es procedente cuando un banco, una aseguradora o una empresa fintech niega una solicitud ARCO, trata datos personales sin consentimiento, no implementa medidas de seguridad adecuadas o sufre una vulneración de datos que afecta los datos personales del quejoso. La CONDUSEF aplica la Ley de Protección y Defensa al Usuario de Servicios Financieros (LPDUSEF), específicamente los derechos del usuario de servicios financieros, incluyendo cargos no autorizados, reclamaciones de seguros rechazadas, mala gestión de la AFORE, prácticas de cobranza abusiva y ventas fraudulentas de productos financieros. Una queja ante la CONDUSEF es procedente cuando la controversia versa sobre un perjuicio económico (montos adeudados, reclamaciones rechazadas, operaciones no autorizadas) y no sobre los derechos en materia de datos personales. En casos que involucran tanto un perjuicio económico como violaciones a los datos personales —por ejemplo, cuando una aseguradora rechaza una reclamación con base en información médica incorrecta y además comparte esos datos médicos con terceros sin consentimiento— pueden presentarse de forma simultánea una queja ante el INAI y una queja ante la CONDUSEF. El INAI y la CONDUSEF mantienen mecanismos de coordinación interinstitucional (convenios de colaboración) para los casos de vulneraciones de datos financieros que derivan tanto en violaciones a los datos personales como en perjuicios al usuario de servicios financieros.

Tanto el INAI como la CONDUSEF tienen competencia sobre los datos personales en posesión de las instituciones financieras, pero sus mandatos difieren de forma significativa. El INAI aplica la LFPDPPP, específicamente los derechos sobre los datos personales (derechos ARCO), las obligaciones de seguridad de los datos, los requisitos de consentimiento y la suficiencia del aviso de privacidad. Una queja ante el INAI es procedente cuando un banco, una aseguradora o una empresa fintech niega una solicitud ARCO, trata datos personales sin consentimiento, no implementa medidas de seguridad adecuadas o sufre una vulneración que afecta los datos personales del quejoso. La CONDUSEF aplica la Ley de Protección y Defensa al Usuario de Servicios Financieros (LPDUSEF), específicamente los derechos del usuario de servicios financieros, incluyendo cargos no autorizados, reclamaciones de seguros rechazadas, mala gestión de la AFORE, prácticas de cobranza abusiva y ventas fraudulentas de productos financieros. Una queja ante la CONDUSEF es procedente cuando la controversia versa sobre un perjuicio económico y no sobre los derechos en materia de datos personales. En casos que involucran tanto un perjuicio económico como violaciones a los datos personales —por ejemplo, cuando una aseguradora rechaza una reclamación con base en información médica incorrecta y además comparte esos datos con terceros sin consentimiento— pueden presentarse de forma simultánea una queja ante el INAI (por la violación a la LFPDPPP) y una queja ante la CONDUSEF (por la reclamación de seguro rechazada). El INAI y la CONDUSEF mantienen mecanismos de coordinación interinstitucional (convenios de colaboración) para los casos de vulneraciones de datos financieros que ocasionan tanto violaciones a los datos personales como perjuicios al usuario de servicios financieros.