Beneficiario controlador y protección de datos

Una obligación fiscal que genera responsabilidades adicionales

La regulación del beneficiario controlador introdujo para las personas morales una obligación que trasciende considerablemente el ámbito estrictamente tributario. Para cumplir con los artículos 32-B Ter, 32-B Quáter y 32-B Quinquies del Código Fiscal de la Federación (CFF), las empresas deben identificar a las personas físicas que, en última instancia, obtienen determinados beneficios o ejercen control, directa o indirectamente, sobre una persona moral, fideicomiso u otra figura jurídica. El resultado es la formación de expedientes que contienen una cantidad considerable de información personal.

Conviene efectuar desde el inicio una precisión terminológica. Aunque comúnmente se habla del “registro de beneficiario controlador”, el artículo 32-B Ter no establece, para todas las personas morales, una declaración periódica ordinaria que deba enviarse automáticamente al SAT. La obligación fundamental consiste en obtener y conservar la información fidedigna, completa y actualizada como parte de la contabilidad y proporcionarla al SAT cuando éste la requiera. Frente a un requerimiento, el plazo legal es de quince días hábiles, susceptible de ampliarse por diez días cuando exista una solicitud de prórroga debidamente justificada.

Esta precisión resulta relevante también para efectos de privacidad. La empresa no simplemente “recibe” información fiscal; crea y administra una base documental sobre personas físicas, y con ello adquiere la calidad de responsable del tratamiento bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).

La cantidad de información requerida explica la dimensión del riesgo

La Resolución Miscelánea Fiscal para 2026 confirma la amplitud de la información que debe integrarse respecto de cada beneficiario controlador. La regla 2.8.1.22 exige, entre otros datos, nombres y apellidos, alias, fecha de nacimiento, sexo, país de origen, nacionalidades, CURP o equivalente, residencia fiscal, identificación oficial, RFC o número de identificación fiscal, estado civil, identificación del cónyuge y régimen patrimonial, datos de contacto, domicilio particular y fiscal, así como información relacionada con su participación o control.

La misma regla requiere identificar el número, serie, clase y valor nominal de acciones o derechos; la forma de participación o control; la fecha desde la cual la persona adquirió la condición de beneficiario controlador y, cuando corresponda, los cambios o terminación de esa participación. Además, cuando existan cadenas de titularidad o control, deben conservarse datos de las entidades interpuestas.

Este conjunto demuestra por qué el cumplimiento no puede reducirse a solicitar al accionista una identificación y archivar un cuestionario. Se almacenan datos de identificación, contacto, residencia, situación fiscal, estructura patrimonial y relaciones familiares. Desde la perspectiva de protección de datos, su concentración incrementa el impacto potencial de una filtración, acceso indebido o utilización para fines ajenos a aquellos que justificaron su recopilación.

El Aviso de Privacidad continúa siendo obligatorio

La LFPDPPP fue expedida nuevamente en marzo de 2025 y su texto vigente, reformado en noviembre de ese año, contiene una numeración distinta de la que aparece en materiales anteriores sobre la materia. Actualmente, el artículo 14 obliga al responsable a informar al titular, mediante el Aviso de Privacidad, sobre la existencia y características principales del tratamiento de sus datos personales.

El artículo 15 establece su contenido mínimo: identidad y domicilio del responsable; datos que serán sometidos a tratamiento, identificando los sensibles; finalidades; opciones para limitar su uso o divulgación; mecanismos para ejercer derechos ARCO, y procedimiento para comunicar modificaciones al aviso. A su vez, el artículo 16 determina la forma en que debe ponerse a disposición del titular según los datos sean obtenidos personalmente o por medios electrónicos u otras tecnologías.

Por tanto, una persona moral que requiera información a sus socios, accionistas, administradores o cualquier otra persona susceptible de calificarse como beneficiario controlador debería acompañar el procedimiento fiscal con un Aviso de Privacidad diseñado específicamente para ese tratamiento. No basta necesariamente con remitir al aviso general de clientes o proveedores cuando las finalidades y los datos recopilados son distintos.

El consentimiento no debe confundirse con el deber de informar

Uno de los aspectos que mayor confusión genera consiste en determinar si el beneficiario controlador debe “autorizar” a la empresa para recopilar la información. Conforme al artículo 7 de la LFPDPPP, el consentimiento constituye la regla general y, tratándose de información financiera o patrimonial, ordinariamente debe ser expreso. Sin embargo, la propia legislación establece excepciones.

El artículo 9, fracción I, establece que no es necesario recabar consentimiento cuando una disposición jurídica así lo disponga. En materia de beneficiario controlador, el artículo 32-B Ter del CFF impone precisamente a las personas morales la obligación legal de obtener y conservar la información correspondiente, mientras que las reglas 2.8.1.20 a 2.8.1.22 desarrollan los datos y procedimientos necesarios. En consecuencia, respecto del tratamiento indispensable para satisfacer esa obligación fiscal, existe fundamento para sostener que no resulta necesario condicionar el cumplimiento a una autorización voluntaria del beneficiario controlador.

Sin embargo, la ausencia de necesidad de consentimiento no elimina el Aviso de Privacidad. Son obligaciones jurídicamente distintas. Una norma puede habilitar u ordenar el tratamiento sin consentimiento y, simultáneamente, subsistir el deber de informar al titular quién tratará sus datos, cuáles serán utilizados, con qué finalidad, durante cuánto tiempo y mediante qué mecanismos podrá ejercer los derechos que legalmente procedan.

La finalidad fiscal debe delimitarse cuidadosamente

El artículo 11 de la legislación vigente dispone que el tratamiento debe limitarse a las finalidades previstas en el Aviso de Privacidad. Si el responsable pretende utilizar los datos para una finalidad distinta, deberá obtener nuevamente el consentimiento del titular cuando corresponda. Asimismo, el artículo 12 exige que el tratamiento resulte necesario, adecuado y relevante respecto de las finalidades declaradas.

Éste es uno de los puntos más importantes para las áreas fiscales y jurídicas. Si determinada información se solicitó para identificar, verificar y mantener actualizado al beneficiario controlador conforme al CFF, no debe asumirse que automáticamente puede utilizarse para investigaciones comerciales, mercadotecnia, elaboración de perfiles, inteligencia corporativa u otros objetivos no contemplados originalmente.

También debe evitarse concluir que un expediente integrado para efectos fiscales satisface necesariamente otras obligaciones regulatorias que utilizan conceptos semejantes. El responsable debe analizar por separado la finalidad y fundamento jurídico de cada régimen. La información puede coincidir parcialmente, pero el hecho de haber sido recabada para una obligación no convierte de manera automática cualquier utilización posterior en legítima.

La información debe verificarse y actualizarse

La obligación fiscal tampoco termina al integrar el expediente inicial. El artículo 32-B Quinquies obliga a mantener actualizada la información y establece que, cuando exista una modificación en la identidad o participación del beneficiario controlador, ésta debe actualizarse dentro de los quince días naturales siguientes a la fecha en que se produzca.

En congruencia con ello, la regla 2.8.1.21 de la RMF para 2026 exige implementar procedimientos de control interno debidamente documentados, considerados parte de la contabilidad. Estos procedimientos deben permitir identificar, verificar y validar al beneficiario controlador; obtener información completa y actualizada; conservar la documentación soporte y permitir el acceso a la autoridad cuando legalmente proceda.

La exigencia de actualización tiene una vertiente adicional en materia de privacidad, el artículo 10 de la LFPDPPP establece que el responsable debe procurar que la información sea exacta, completa, correcta y actualizada para las finalidades para las cuales fue recabada. De esta manera, las obligaciones fiscal y de privacidad convergen: mantener información desactualizada puede representar simultáneamente una deficiencia en el expediente de beneficiario controlador y una deficiencia en la calidad de los datos personales.

¿Qué sucede con la entrega de información al SAT?

El CFF establece expresamente que la información del beneficiario controlador deberá proporcionarse al SAT cuando éste la requiera. Incluso contempla la posibilidad de que determinada información sea suministrada a autoridades fiscales extranjeras al amparo de tratados internacionales de intercambio recíproco de información.

Desde la perspectiva de protección de datos, la comunicación al SAT constituye una transferencia a una persona distinta del titular, del responsable o del encargado. No obstante, el artículo 36, fracción I, de la LFPDPPP permite realizar transferencias sin consentimiento cuando éstas estén previstas en una ley o tratado internacional del que México sea parte. También existen excepciones cuando la transferencia resulte legalmente exigida para salvaguardar un interés público.

Por ello, el cumplimiento de un requerimiento legal del SAT no debería quedar sujeto a que el beneficiario controlador otorgue posteriormente su autorización. Pero nuevamente debe distinguirse la ausencia de consentimiento de las restantes obligaciones: el tratamiento y eventual transferencia deben estar correctamente documentados y alineados con el Aviso de Privacidad.

Las transferencias requieren especial cuidado en la redacción del aviso

La legislación vigente contiene aquí una particularidad técnica, el artículo 15 enumera el contenido mínimo general del Aviso de Privacidad y ya no presenta las transferencias como una fracción autónoma dentro de ese catálogo; sin embargo, el artículo 35 establece que, cuando el responsable pretenda transferir datos a terceros distintos de la persona encargada, deberá comunicarles el Aviso de Privacidad y las finalidades correspondientes. Además, el propio precepto dispone que el aviso debe contener una cláusula sobre aceptación o negativa de la transferencia.

En consecuencia, un aviso para beneficiarios controladores debe diseñarse considerando conjuntamente los artículos 15, 35 y 36, en lugar de limitarse a copiar mecánicamente el contenido mínimo del primero. En particular, conviene explicar que la información podrá ser proporcionada a autoridades fiscales cuando exista obligación legal o requerimiento conforme a las disposiciones aplicables.

Seguridad: la obligación que frecuentemente se descuida

Una de las mayores paradojas del régimen de beneficiario controlador es que la legislación fiscal obliga a crear un expediente extraordinariamente detallado sobre personas físicas, pero la concentración de información incrementa simultáneamente la necesidad de protegerlo. El cumplimiento tributario puede convertirse en una fuente de riesgo si documentos con domicilios particulares, identificaciones, RFC, información accionaria, datos familiares y números telefónicos permanecen en carpetas compartidas sin restricciones o son remitidos indiscriminadamente por correo electrónico.

La LFPDPPP exige establecer y mantener medidas administrativas, técnicas y físicas que protejan los datos frente a daño, pérdida, alteración, destrucción, acceso o tratamiento no autorizado. Además, los principios de proporcionalidad y responsabilidad obligan al responsable a administrar los datos de acuerdo con las finalidades legítimas del tratamiento.

En términos prácticos, el expediente de beneficiario controlador debería tener controles de acceso diferenciados, responsables identificados, políticas de conservación, procedimientos de actualización y mecanismos para impedir que personal ajeno a las funciones fiscal, jurídica o de cumplimiento acceda innecesariamente a la información. El Aviso de Privacidad es indispensable, pero no sustituye estas medidas.

Dos regímenes de sanciones que pueden coexistir

El riesgo económico tampoco es menor. Los artículos 84-M y 84-N del CFF sancionan no obtener, conservar o presentar la información del beneficiario controlador; no mantenerla actualizada; o presentarla de manera incompleta, inexacta o con errores. Para 2026 las multas ascienden, por cada beneficiario controlador, de $1,686,750 a $2,249,000 en el primer supuesto; de $899,600 a $1,124,500 por falta de actualización; y de $562,250 a $899,600 por información incompleta, inexacta o incorrecta.

Paralelamente, la LFPDPPP considera infracciones, entre otras, omitir elementos obligatorios del Aviso de Privacidad, incumplir la confidencialidad, cambiar sustancialmente las finalidades sin observar la ley, realizar transferencias fuera de los casos permitidos o vulnerar la seguridad de bases de datos cuando ello sea imputable al responsable. Las sanciones pueden alcanzar desde 100 hasta 320,000 veces la UMA, dependiendo de la conducta, sin perjuicio de las reglas aplicables en casos de reincidencia.

Por ello, la empresa enfrenta un doble deber: recabar suficiente información para no incumplir el CFF y limitar adecuadamente su tratamiento para no incumplir la legislación de privacidad. Obtener menos información de la exigida puede generar contingencia fiscal; obtenerla correctamente pero utilizarla o protegerla deficientemente puede generar una contingencia diferente.

El Aviso de Privacidad debe integrarse al procedimiento de beneficiario controlador

Desde una perspectiva de cumplimiento, el expediente fiscal y el expediente de privacidad no deberían administrarse como universos independientes. El procedimiento interno diseñado conforme a la regla 2.8.1.21 puede incorporar, desde el inicio, el mecanismo de entrega del Aviso de Privacidad, identificación de finalidades, controles de acceso, actualización de información, manejo de solicitudes ARCO y documentación de transferencias legalmente procedentes.

Incluso resulta recomendable que los formularios mediante los cuales se solicita información al beneficiario controlador remitan de forma clara al Aviso de Privacidad correspondiente. De esta manera, la empresa puede demostrar que la obtención no se realizó de forma clandestina o descontextualizada, sino dentro de un procedimiento fiscal y de privacidad previamente definido.

Conclusión

La regulación del beneficiario controlador constituye un ejemplo claro de cómo una obligación fiscal puede generar responsabilidades jurídicas en otras materias. Los artículos 32-B Ter, 32-B Quáter y 32-B Quinquies exigen identificar, documentar y mantener actualizada información sumamente detallada sobre personas físicas; la RMF 2026 profundiza esa obligación mediante procedimientos internos y un extenso catálogo de información que debe formar parte de la contabilidad.

Pero la existencia de una obligación fiscal para recabar esos datos no libera a la persona moral de cumplir con la legislación de protección de datos personales. La excepción legal al consentimiento para el tratamiento indispensable no equivale a una autorización ilimitada. Continúan vigentes los principios de finalidad, proporcionalidad, calidad, información, responsabilidad y seguridad, así como el deber de proporcionar el Aviso de Privacidad.

Por ello, un adecuado expediente de beneficiario controlador debe responder simultáneamente dos preguntas: ¿cuenta la empresa con toda la información y evidencia que el SAT puede exigir?, y ¿puede demostrar que esa información personal fue obtenida, utilizada, conservada, protegida y transferida dentro de los límites jurídicos correspondientes?

Responder afirmativamente sólo a la primera deja incompleto el cumplimiento. En el régimen actual, la información del beneficiario controlador debe ser suficiente para efectos fiscales, pero también jurídicamente legítima y segura desde la perspectiva de privacidad.