Proteger la información de tus clientes y la tuya

Qué vas a poder hacer al terminar

Tu bitácora parece una lista de trabajos: fecha, nombre del cliente, aparato, dirección, teléfono. Pero es otra cosa: es un conjunto ordenado de datos personales de personas que sí se pueden identificar. En cuanto eso es cierto, la ley federal de protección de datos personales te aplica, y te aplica a ti que trabajas sola, no sólo a las empresas grandes. En esta lección vas a poder reconocer qué datos guardas y de qué clase son, decidir quién puede verlos y cómo se accede a ellos, y aprender a dejar de guardar lo que ya no necesitas: el bloqueo primero y la supresión después. También vas a saber qué tiene que decir tu aviso de privacidad y qué puede pedir un cliente.

La pregunta que responde esta lección Si un cliente te pide que borres sus datos, ¿sabes qué debes hacer y qué puedes conservar? Y si mañana entra alguien al taller, ¿sabes qué hojas no debería ver? Las dos respuestas salen de esta lección.

1. Tu bitácora es una base de datos

La ley federal de protección de datos personales es de orden público y de observancia general en todo el territorio nacional, y su objeto es regular el tratamiento legítimo, controlado e informado de los datos personales en posesión de los particulares. La ley define los datos personales como cualquier información concerniente a una persona identificada o identificable, y considera que una persona es identificable cuando su identidad puede determinarse directa o indirectamente a través de cualquier información.

También define lo que es una base de datos: un conjunto ordenado de datos personales referentes a una persona identificada o identificable, condicionado a criterios determinados, con independencia de la forma o modalidad de su creación, tipo de soporte, procesamiento, almacenamiento y organización. La hoja de Marisol cumple eso, y el archivo de comprobantes también.

Datos de contacto: nombre, teléfono y correo. Son los más comunes y los que más se anotan de más.
Datos de ubicación: la dirección donde vive o trabaja el cliente. Sirven para la visita y para nada más.
Datos de identificación: la identificación oficial o el comprobante de domicilio que te muestran para acreditar una visita.
Datos sensibles: los que afectan la esfera más íntima de la persona o cuya utilization indebida puede dar origen a discriminación o riesgo grave. La salud es el ejemplo que todo mundo entiende.
Tus propios datos: tu constancia de situación fiscal, tu domicilio, tus identificaciones. La ley no distingue: a ti te aplican las mismas reglas.

Tabla de cuatro columnas con cinco clases de datos del taller: contacto, dirección, documentos, datos sensibles y tus propios datos. Cada fila dice un ejemplo, el riesgo y la decisión práctica. — La regla es sencilla: si el dato no hizo falta para el trabajo, no lo anotaste.

La pregunta que ordena el taller Antes de anotar un dato, pregúntate para qué lo voy a usar hoy. Si la respuesta es «lo anoté por si acaso», ese dato no se anota. La ley llama a eso finalidad, y las finalidades son las que aparecen en tu aviso de privacidad.

2. El aviso de privacidad: el papel que va antes de los datos

El aviso de privacidad es el documento que el responsable pone a disposición de la persona titular desde el momento en que recaba sus datos, con el objeto de informarle las finalidades del tratamiento. La ley obliga al responsable a informar a la persona titular, a través del aviso, la existencia y características principales del tratamiento de sus datos, para que pueda tomar decisiones informadas.

El aviso debe contener, al menos, seis cosas: la identidad y el domicilio del responsable; los datos personales que serán tratados, identificando cuáles son sensibles; las finalidades del tratamiento, distinguiendo cuáles requieren consentimiento; las opciones y medios para limitar el uso o divulgación de los datos; los mecanismos para ejercer los derechos ARCO; y el procedimiento para comunicar los cambios al aviso.

Y hay una regla práctica sobre el momento: cuando los datos se obtienen directamente mediante formatos impresos, el aviso debe darse a conocer en ese momento, salvo que se hubiera facilitado con anterioridad; cuando se obtienen por medios electrónicos, se proporciona en una modalidad simplificada con al menos la información de los cuatro primeros puntos. Para un taller, esto significa una cosa muy concreta: la hoja donde pides nombre, teléfono y dirección es el lugar natural del aviso.

El aviso no es un adorno Si no hay aviso, no hay forma de que la persona sepa para qué usas sus datos ni de que puede pedirte que los borres. La ley exige que el aviso se respete en todo momento, incluso por terceros con los que tengas relación.

3. Consentimiento: cuándo se pide y cuándo no

La regla general es que todo tratamiento de datos personales está sujeto al consentimiento de la persona titular, salvo las excepciones que la propia ley señala. El consentimiento puede ser expreso o tácito: es expreso cuando la voluntad se manifiesta verbalmente, por escrito, por medios electrónicos, por signos inequívocos o por cualquier otra tecnología; y es tácito cuando, puesto el aviso a disposición de la persona, esta no manifiesta su voluntad en sentido contrario.

Hay tres reglas que en un taller se ven todos los días. La primera: los datos financieros o patrimoniales requieren consentimiento expreso de la persona titular. La segunda: para tratar datos personales sensibles, el responsable debe obtener consentimiento expreso y por escrito, con firma autógrafa, firma electrónica o cualquier mecanismo de autenticación que se establezca; además, no se pueden crear bases de datos con datos sensibles sin justificar la necesidad de esas bases para finalidades legítimas y concretas. La tercera: si quieres tratar los datos para una finalidad distinta a las que pusiste en el aviso, necesitas obtener de nuevo el consentimiento.

Y hay una salida: el consentimiento puede revocarse en cualquier momento y sin efectos retroactivos. Por eso el aviso debe decir cómo se revoca. En el taller, esto se traduce en algo muy simple: si el cliente te dice que ya no quieres que le anotes, dejas de anotarlo y anotas el cambio de fecha.

Flujo de cinco pasos: se recaba el dato con el aviso de privacidad a la vista, se guarda en una bitácora con acceso controlado, se usa sólo para el trabajo aceptado, se comparte sólo con quien lo necesita y con aviso, y se bloquea antes de suprimirse. — El acceso se decide en el momento de compartir, no al final. Por eso conviene saber quién entra al taller.

4. Quién puede ver un dato del taller

Todo responsable debe establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado. La ley también dice que los responsables no adoptarán medidas de seguridad menores que las que mantienen para el manejo de su propia información, y que se tomarán en cuenta el riesgo existente, las posibles consecuencias para las personas titulares, la sensibilidad de los datos y el desarrollo tecnológico.

Y hay dos obligaciones que se olvidan fácil. La primera: si ocurre una vulneración de seguridad que afecta de forma significativa los derechos patrimoniales o morales de las personas titulares, el responsable debe informarla de forma inmediata. La segunda: el responsable o tercero debe establecer controles para que todas las personas que intervienen en cualquier fase del tratamiento guarden confidencialidad, y esa obligación subsiste aunque termine la relación.

Quién entra, con qué regla
Quién	Qué puede ver	Con qué regla
Tú	Todo lo que está en la bitácora	Acceso controlado: bitácora cerrada, no una libreta abierta
Quien te ayuda	Lo del trabajo que le toca	Confidencialidad que sigue después de que termine
Un proveedor	Lo justo para cotizar o entregar	Se le comunica el aviso y las finalidades
Un cliente	Sólo sus propios datos	Puede pedir acceso, rectificación, cancelación u oposición

Lo más simple que funciona Si alguien entra a trabajar contigo, escribe en la bitácora una nota: qué puede ver y qué no. No hace falta un documento complicated: una frase escrita en la primera hoja de la bitácora cumple y evita discusión.

5. Lo que ya no necesitas: bloqueo y supresión

Aquí está la parte que casi nadie aplica, y es la que más protege al cliente. La ley dice que cuando los datos han dejado de ser necesarios para cumplir las finalidades del aviso que motivaron su tratamiento, deben suprimirse, previo bloqueo en su caso, y una vez que concluya el plazo de conservación. El bloqueo es la etapa intermedia: se identifica y se conserva el dato, ya sin tratarlo, sólo para determinar posibles responsabilidades, y al terminar ese plazo se cancela en la base de datos.

El derecho de cancelación funciona igual: la persona titular puede pedir en todo momento la cancelación de sus datos de tus archivos, registros, expedientes y sistemas; la cancelación da lugar a un periodo de bloqueo y después a la supresión, y el responsable puede conservarlos sólo para efectos de las responsabilidades nacidas del tratamiento.

Pero la cancelación no es automática, y aquí está la parte que te conviene: el responsable no está obligado a cancelar cuando los datos se refieren a las partes de un contrato privado, social o administrativo y son necesarios para su desarrollo y cumplimiento; cuando deben ser tratados por disposición legal; cuando obstaculizan actuaciones vinculadas a obligaciones fiscales o a la investigación de delitos; o cuando son necesarios para proteger los intereses jurídicamente tutelados de la persona. En un taller, el contrato y la garantía son la razón para conservar algunos datos.

Para que todo esto sea posible, la ley pide que reserves los datos de tal manera que permitan ejercer los derechos sin dilación, que designes a una persona o a un departamento de datos que tramite las solicitudes, y que sepas qué hacer cuando llega una: el ejercicio de los derechos ARCO es gratuito y sólo pueden cobrare los costos de reproducción, copias o envío.

Cascada de cuatro peldaños: recabar con aviso de privacidad, guardar en bitácora cerrada, conservar sólo lo necesario para contrato, garantía y contabilidad, y borrar con bloqueo y supresión. — Un dato que no sale del taller no está protegido: está simplemente olvidado.

El dato que sí conservas El contrato y la garantía son la razón legal para conservar algunos datos del cliente. Eso significa que el papel de trabajo, la nota de remisión y la póliza tienen una fecha de archivo, no una fecha de papelera.

6. Ejemplos resueltos

Ejemplo resuelto 1: la libreta del mostrador

Tenía una libreta en el mostrador con el nombre, el teléfono y la dirección de los clientes, y a veces anotaba también de qué aparato se trataba y qué problema tenía. La libreta se quedó ahí dos años, con clientes que ya no volvieron.
Marisol compró una carpeta con anillos y le hizo una carátula a cada hoja. Ahora la bitácora está en la carpeta, no en el mostrador. Nadie más la abre.
En la primera hoja de la carpeta escribió seis renglones: quién es, dónde está, qué datos guarda, para qué los usa, cómo se eligen y cómo puede pedir que los borren. Con eso cumplió el aviso que la ley pide.
Metió las hojas que correspondían a trabajos con garantía en el archivo del mes y tiró el resto. No era una formalidad: era dejar de guardar datos que ya no servían para nada.
El cambio de una libreta a una carpeta con carátula le tomó una tarde y no le costó dinero. La ley no pedía un sistema: pedía que sabes qué guardas, quién lo ve y hasta cuándo.

Ejemplo resuelto 2: el cliente que pide que borres su dirección

Un cliente llama y dice que ya no vive en la casa donde le hicieron la instalación y pide que su dirección se borre. Marisol anota la solicitud con la fecha y el nombre de quien la hace.
Busca qué más tiene de ese cliente. La nota de remisión y la póliza de garantía son necesarias para el cumplimiento del contrato y de la garantía, y mientras dure ese plazo no puede borrarlas.
En la hoja de ruta del mes ya no hace falta esa dirección: la borra y escribe la fecha. La libreta de direcciones queda limpia.
Le explica qué conserva y por qué, y con qué fecha lo va a suprimir. La persona titular puede conocer las condiciones degeneral tratamiento a través del aviso de privacidad.
Responder bien una solicitud de borrado no es un problema: es un procedimiento con pasos. Lo difícil es no tener nada anotado, porque entonces no puedes ni responder ni demostrar qué hiciste.

7. Lo que te llevas

Tres decisiones y un producto. La primera: tu bitácora es una base de datos con datos de personas y la ley federal de protección de datos personales te aplica a ti, que trabajas sola. La segunda: cada dato tiene una finalidad y un acceso, y las dos se deciden antes de anotar, no después. La tercera: lo que ya no necesitas se bloquea y después se suprime, con una fecha.

Y el producto: una hoja de control con tres columnas —dato, quién lo necesita y hasta cuándo—, pegada en la primera página de la bitácora, más un aviso de privacidad de seis renglones en la carátula. Con eso puedes recibir una solicitud de acceso, rectificación o cancelación sin improvisar.

Marisol anota nombre, teléfono y dirección de cada cliente en una hoja. ¿Qué es esa hoja?

Cuando Marisol pide los datos del cliente en una hoja impresa, la ley quiere que le entregue el aviso de privacidad en ese momento.

¿Cuántos puntos debe contener, como mínimo, el aviso de privacidad que entregas al cliente?

puntos

El aviso de privacidad debe decir quién eres y dónde vives, qué datos de la persona van a ser tratados, para qué se usan, qué opciones tiene para limitar su uso, cómo puede ejercer sus derechos y cómo le avisarás de los cambios. El primero de esos seis puntos es la identidad y el del responsable.

Une cada concepto con la regla que lo explica.

Coloca cada regla según el momento en que aplica.

Antes de recabar

Mientras lo usas

Cuando ya no lo necesitas

Ordena el ciclo de un dato en el taller.

☰

Un asistente escribió estas cinco notas en el chat del taller. Marca las que no se sostienen.

La ley federal de protección de datos personales es de observancia general en todo el territorio nacional.
Los datos personales sensibles se pueden guardar sin consentimiento escrito si el cliente lo cuenta en confianza.
Quien recibe los datos debe guardar confidencialidad, y esa obligación sigue después de que termina la relación.
Si un cliente pide cancelar sus datos, el responsable tiene que borrarlos de inmediato, sin ninguna excepción.
La ley pide que avises al cliente si vas a usar sus datos para un fin distinto al que declaraste.

Identifica la linea con error.

Producto de la lección. Toma tu bitácora y haz tres columnas: dato, quién lo necesita y hasta cuándo. En la tercera columna escribe una fecha. Marca con una palomita los datos que no hacen falta para el trabajo que haces y escríbeles al lado la fecha en que los vas a suprimir. Con la lista llena, responde en una línea qué le vas a decir al siguiente cliente cuando le pidas su dirección para mandar a un técnico.

Pista

Empieza por lo que guardas sin motivo: papeles viejos, mensajes con datos, fotos de refacciones con la etiqueta del cliente. Si no sabes desde cuándo lo tienes, la fecha de hoy sirve: hoy empieza el conteo.

Memoria: seis palabras de la protección de datos

Termino	Definicion

Tarjetas de repaso rápido

¿De qué trata la ley federal de protección de datos personales?

De regular el tratamiento de los datos que tienen los particulares. Es de observancia general en todo el territorio.

¿Qué es el aviso de privacidad?

El documento que das a la persona titular para informarle las finalidades del tratamiento de sus datos.

¿Qué datos requieren consentimiento expreso y por escrito?

Los datos personales sensibles.

¿Qué son los derechos ARCO?

Acceso, rectificación, cancelación y oposición. Se pueden ejercer en cualquier momento y su ejercicio es gratuito.

¿Qué pasa si me piden cancelar los datos de un cliente?

Primero se bloquean y después se suprimen. Hay casos en que se conservan por necesidad legal o contractual.

¿Quién puede ver la bitácora del taller?

Sólo quien la necesita para trabajar, con confidencialidad y con medidas de seguridad.

Segunda pregunta del producto: escribe tu aviso de privacidad en seis renglones y pégalo en la carátula de la bitácora. Después escríbelo en una hoja suelta para probarlo con un conocido: pídele que lo lea y que te diga, con sus palabras, para qué usas sus datos. Si no puede contestarlo, el aviso todavía no está listo.

Pista

Un aviso de privacidad que el cliente no entiende no cumple la función para la que existe. Escribe en lenguaje llano: no es un documento de abogado, es la explicación de lo que haces con los datos de quien te la da.

Fuentes y para saber más

Esta lección es orientación general y no sustituye la asesoría profesional de un contador o de un abogado: qué datos guarda tu negocio y con qué base legal los trata depende de tu actividad y de la relación con cada cliente. Jurisdicción y vigencia, consultadas el 24 de octubre de 2026: federal, con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (ley nueva publicada en el Diario Oficial (DOF) el 20 de marzo de 2025, última reforma del 14 de noviembre de 2025) y, para la conservación de la documentación que respalda tus operaciones, el Código Fiscal de la Federación (última reforma del 9 de abril de 2026). Al momento de esta consulta, el reglamento de la ley de datos personales todavía no aparece publicado en el portal de la Cámara de Diputados: revisa el DOF antes de guiarte por sus reglas. El caso de Marisol y sus cifras son ficticios y de práctica.

Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto vigente
Busca los artículos 2 (qué es cada cosa), 7 y 8 (consentimiento expreso y tácito), 10 a 12 (finalidades y supresión), 14 a 16 (aviso de privacidad), 18 a 20 (medidas de seguridad y confidencialidad) y 21 a 26 (derechos ARCO).

Reformas de la ley federal de protección de datos
Consulta la fecha de publicación de la ley nueva y la última reforma publicada en el DOF: el texto cambió y el número de artículos es otro.

Código Fiscal de la Federación, texto vigente
Busca el artículo 30: la documentación que respalda tus operaciones también se conserva por un plazo determinado.

Secretaría Anticorrupción y Buen Gobierno
Es la autoridad que la ley designa para promover el conocimiento de los derechos de protección de datos y vigilar su observancia.

SAT: constancia de situación fiscal
Tu constancia es un dato tuyo: descárgala, guárdala en un lugar seguro y no la compartas por mensajería sin necesidad.

Diario Oficial (DOF)
Busca el decreto de publicación de la ley y de su reglamento cuando se publique, y las reformas posteriores.

Para dominar este tema

Ahora sabes tres cosas: que la bitácora de tu taller es una base de datos con datos de personas y la ley te aplica a ti, que cada dato tiene una finalidad y un acceso que decides antes de anotarlo, y que lo que ya no necesitas se bloquea y después se suprime, con fecha. El paso que falta es el tuyo: escribe tu tabla de tres columnas y tu aviso de privacidad de seis renglones. Esta lección es orientación general y no sustituye la asesoría profesional de un contador o de un abogado; confirma con la fuente oficial vigente y con quien asesora si tu caso tiene particularidades.

Chequeo de la lección

Se requiere 70% de aciertos para avanzar.