Protección de datos de candidatos y empleados: cómo cumplir la nueva LFPDPPP

Un proceso de selección y un expediente de personal están llenos de datos personales: CV, identificaciones, domicilios, cuentas bancarias y, a veces, datos de salud. Desde el 21 de marzo de 2025 rige una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el DOF el 20 de marzo de 2025, que abrogó la ley de 2010 y trasladó las funciones del INAI a la Secretaría Anticorrupción y Buen Gobierno.

Los principios que debes cumplir (art. 5)

Toda empresa que trata datos personales debe observar los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. En la práctica, para RH significa:

• Solo para lo informado: usa los datos para las finalidades de tu aviso de privacidad. Para una finalidad distinta necesitas volver a pedir el consentimiento (art. 11).
• Solo lo necesario: trata los datos que resulten necesarios, adecuados y relevantes para esas finalidades (art. 12).
• Nada engañoso: no puedes obtener datos por medios engañosos o fraudulentos (art. 6).
• Datos al día y con fecha de salida: procura que sean exactos y actualizados, y suprímelos cuando dejen de ser necesarios (art. 10).

Aviso de privacidad (arts. 14 a 16)

Debe estar disponible desde el momento en que recabas los datos y contener al menos:

1. Identidad y domicilio de la empresa.
2. Los datos que tratarás, identificando los sensibles.
3. Las finalidades, distinguiendo las que requieren consentimiento.
4. Las opciones para limitar el uso o divulgación de los datos.
5. Cómo ejercer los derechos ARCO.
6. Cómo comunicarás los cambios al aviso.

Si recabas los datos por internet (formularios de postulación, bolsas de trabajo, correo), basta un aviso simplificado con los puntos 1 a 4 y la dirección donde se consulta el aviso integral.

Consentimiento (arts. 7 a 9)

• Por regla general basta el consentimiento tácito: pones el aviso a disposición y la persona no se opone.
• Datos financieros o patrimoniales (por ejemplo, la cuenta para depositar la nómina): requieren consentimiento expreso, salvo las excepciones de la ley.
• Datos sensibles: consentimiento expreso y por escrito, con firma autógrafa, firma electrónica u otro mecanismo de autenticación.
• Sin consentimiento puedes tratar los datos que se requieran para cumplir obligaciones derivadas de la relación con la persona, o los que ordene una disposición jurídica. Por ejemplo, los que exige la ley para dar de alta a un trabajador en el IMSS.
• El consentimiento puede revocarse en cualquier momento, y tu aviso debe decir cómo.

Datos sensibles en reclutamiento

La ley considera sensibles, entre otros, el origen racial o étnico, el estado de salud presente o futuro, la información genética, las creencias religiosas, filosóficas y morales, las opiniones políticas y la preferencia sexual (art. 2). Además:

• No puedes crear bases de datos con datos sensibles sin una finalidad legítima y concreta que lo justifique (art. 8).
• Debes procurar que su tratamiento dure el mínimo indispensable (art. 12).
• La Ley Federal del Trabajo prohíbe rechazar a una persona por su origen étnico, género, edad, discapacidad, condiciones de salud, religión, opiniones, preferencias sexuales o estado civil (art. 133, fracción I), y exigir certificados de no embarazo para contratar, mantener o ascender a alguien (art. 133, fracción XIV).

Regla práctica: si un dato no sirve para decidir si la persona puede hacer el trabajo, no lo pidas en la postulación.

Seguridad y confidencialidad (arts. 18 a 20)

• Mantén medidas de seguridad administrativas, técnicas y físicas contra daño, pérdida, alteración o acceso no autorizado. No pueden ser menores que las que usas para tu propia información.
• Si hay una vulneración de seguridad que afecte de forma significativa los derechos de las personas, debes informarles de inmediato.
• Todas las personas que intervienen en el tratamiento, incluido tu equipo de RH, deben guardar confidencialidad, aun después de dejar la empresa.

Derechos ARCO: plazos (arts. 31 y 34)

Candidatos y empleados pueden pedir acceso, rectificación, cancelación u oposición sobre sus datos.

• Tienes 20 días hábiles desde que recibes la solicitud para comunicar tu respuesta.
• Si procede, debes hacerla efectiva dentro de los 15 días hábiles siguientes.
• Ambos plazos pueden ampliarse una sola vez por un periodo igual, si las circunstancias lo justifican.
• El ejercicio es gratuito; solo puedes cobrar costos de reproducción, copias o envío.

Proveedores: ATS, plataformas y bolsas de trabajo

La ley llama persona encargada a quien trata datos por cuenta de tu empresa, como un ATS o un proveedor de nómina (art. 2). Tú sigues siendo responsable de que se respete tu aviso de privacidad, también por parte de terceros con los que tengas relación jurídica (art. 13). Si transfieres datos a un tercero distinto del encargado, debes comunicarle tu aviso de privacidad y las finalidades a las que la persona sujetó sus datos (art. 35).

Multas (arts. 58 y 59)

Infracción	Multa (UMA)	Equivalente con UMA 2026 ($117.31)
Negligencia en solicitudes ARCO, aviso de privacidad incompleto, tratar datos contra los principios, no rectificar o cancelar cuando procede	100 a 160,000	$11,731 a $18,769,600
Romper la confidencialidad, cambiar la finalidad sin consentimiento, vulnerar la seguridad, recabar datos sin el consentimiento exigido o de forma engañosa, obstruir una verificación	200 a 320,000	$23,462 a $37,539,200

Si las infracciones persisten, hay una multa adicional de 100 a 320,000 UMA. Si involucran datos sensibles, los montos pueden duplicarse.

Checklist para RH

1. Aviso de privacidad integral y simplificado en formularios, vacantes y correos de postulación.
2. Formato de consentimiento expreso para datos financieros y, por escrito, para datos sensibles.
3. Postulación mínima: elimina campos que no sirven para evaluar la capacidad para el puesto.
4. Acceso limitado a CV y expedientes al equipo que decide.
5. Plazo de conservación por escrito para CV de candidatos no contratados y expedientes de exempleados.
6. Procedimiento ARCO con responsable y control de plazos.
7. Contratos con proveedores que traten datos por tu cuenta.
8. Cláusula de confidencialidad para el personal que maneja datos.

Si tu equipo trabaja a distancia, revisa también las reglas de la NOM-037 de teletrabajo. Y para ordenar el expediente completo, consulta la guía de contratación legal.

Contrata con un aliado que conoce las reglas

Ginia te conecta con talento joven ya validado para que contrates de forma directa y legal, sin caer en esquemas de subcontratación. Agenda un demo y cubre tus vacantes más rápido y con menos rotación.