El Aviso de Privacidad como obligación laboral

La información del trabajador también constituye un activo sujeto a protección jurídica

La administración contemporánea de una relación laboral exige recopilar una cantidad considerable de información sobre cada trabajador. Nombre, Registro Federal de Contribuyentes, CURP, domicilio, código postal fiscal, número de seguridad social, datos bancarios, percepciones, deducciones, incapacidades y documentación contractual forman parte habitual de los expedientes físicos y electrónicos administrados por las áreas de recursos humanos, contabilidad, fiscal y nómina.

La necesidad de obtener estos datos se ha intensificado con la digitalización de las obligaciones fiscales. El SAT confirma, por ejemplo, que para emitir el CFDI de nómina resulta necesario incorporar el código postal del domicilio fiscal del trabajador; asimismo, entre los datos necesarios para generar el comprobante se encuentran su nombre, RFC, régimen fiscal y código postal. Esta obligación fiscal explica por qué las empresas deben solicitar determinada información, pero no las exime de observar la legislación sobre protección de datos personales.

La cuestión debe analizarse actualmente conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente, expedida el 20 de marzo de 2025 y reformada por última vez el 14 de noviembre del mismo año. La nueva legislación sustituyó el régimen anterior y reconoce actualmente a la Secretaría Anticorrupción y Buen Gobierno como autoridad competente en esta materia respecto de los particulares.

El patrón es responsable del tratamiento

Una empresa que recaba información de sus trabajadores actúa, para efectos de la legislación de protección de datos, como responsable del tratamiento. La Ley define como sujetos regulados a las personas físicas o morales de carácter privado que realizan tratamiento de datos personales y entiende por tratamiento prácticamente cualquier operación sobre ellos: obtención, registro, conservación, almacenamiento, acceso, utilización, comunicación, transferencia o disposición.

Esto significa que la obligación empresarial no comienza ni termina al solicitar la información. Desde el momento en que recursos humanos recibe un currículum, el área de nómina almacena un RFC, contabilidad recibe una cuenta bancaria o seguridad registra determinados datos del trabajador, existe un tratamiento sujeto a principios jurídicos concretos.

El artículo 5 de la LFPDPPP establece que el responsable debe observar los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. Por ello, el cumplimiento en esta materia debe contemplarse como un sistema integral y no como la simple obtención de una firma al pie de un formato.

El Aviso de Privacidad no es una mera formalidad documental

Uno de los principales instrumentos para cumplir con el principio de información es el Aviso de Privacidad. El artículo 14 de la Ley establece que el responsable debe informar al titular, mediante dicho documento, sobre la existencia y características principales del tratamiento al que serán sometidos sus datos personales, de manera que pueda adoptar decisiones informadas.

Por su parte, el artículo 15 dispone que el aviso debe contener, cuando menos, la identidad y domicilio del responsable; los datos personales que serán objeto de tratamiento, identificando aquellos que sean sensibles; las finalidades del tratamiento; los medios para limitar el uso o divulgación de los datos; los mecanismos para ejercer los derechos de acceso, rectificación, cancelación y oposición —derechos ARCO—, y el procedimiento mediante el cual se comunicarán modificaciones al propio aviso.

Por tanto, un Aviso de Privacidad laboral genérico que únicamente señale que “la información será utilizada para fines relacionados con la relación de trabajo” puede resultar insuficiente si no identifica razonablemente los tratamientos que efectivamente realiza la organización. Una política adecuada debe corresponder con la realidad operativa de la empresa.

¿Cuándo debe entregarse al trabajador?

La legislación vigente contiene una precisión importante. Cuando los datos personales son obtenidos personalmente mediante formatos impresos, el aviso debe darse a conocer en ese momento, salvo que previamente se hubiera proporcionado. Si se obtienen por medios electrónicos, ópticos, sonoros, visuales o cualquier otra tecnología, puede proporcionarse el aviso en modalidad simplificada, indicando además dónde se encuentra disponible su versión integral.

En el ámbito laboral esto significa que la empresa debería incorporar la privacidad desde el inicio del proceso y no esperar necesariamente hasta la firma del contrato individual de trabajo. El aviso puede formar parte del expediente de contratación o acompañar al propio contrato, pero debe atenderse al momento efectivo en que comienzan a recabarse los datos.

Esta consideración es especialmente relevante en los procesos de reclutamiento. Un candidato que entrega currículum, identificación, teléfono, correo electrónico, referencias profesionales o información académica ya es titular de datos personales sometidos a tratamiento, aun cuando posteriormente no sea contratado. La inexistencia todavía de una relación laboral no significa que la información del candidato quede fuera del ámbito de protección.

No todos los datos laborales tienen la misma naturaleza

Una correcta política de privacidad requiere comenzar con un inventario de información. Una empresa puede poseer datos de identificación como nombre, RFC, CURP, domicilio y fecha de nacimiento; datos de contacto; datos académicos; información laboral; datos financieros, como la cuenta bancaria utilizada para depositar la nómina, y diversa documentación fiscal o patrimonial.

La Ley vigente distingue además los datos personales sensibles, definidos como aquellos que afectan la esfera más íntima de la persona y cuya utilización indebida puede generar discriminación o un riesgo grave. La definición incluye, de manera enunciativa, datos relativos al origen racial o étnico, estado de salud presente o futuro, información genética, creencias religiosas, filosóficas o morales, opiniones políticas y preferencia sexual.

Esta clasificación resulta especialmente relevante para recursos humanos. Certificados médicos, incapacidades, resultados clínicos, información sobre discapacidad o expedientes relativos a la salud pueden implicar el tratamiento de información sensible. El hecho de que algunos de estos documentos tengan una justificación laboral o de seguridad social no disminuye su grado de protección.

Consentimiento y relación laboral no son conceptos equivalentes

Una confusión frecuente consiste en considerar que todo tratamiento de información requiere necesariamente obtener una autorización firmada del trabajador. La regla general del artículo 7 establece que el tratamiento está sujeto al consentimiento del titular, pero la propia Ley contempla diversas excepciones. Tratándose de datos financieros o patrimoniales, el consentimiento debe ser expreso, salvo que resulte aplicable alguna de las excepciones legales.

De manera particularmente relevante para el ámbito laboral, el artículo 9, fracción IV, establece que el responsable no está obligado a recabar el consentimiento cuando los datos sean necesarios para ejercer un derecho o cumplir obligaciones derivadas de una relación jurídica entre el titular y el responsable. La relación laboral constituye precisamente una relación jurídica de la cual surgen obligaciones para ambas partes.

Por ello, el patrón puede encontrarse jurídicamente habilitado para tratar determinados datos indispensables para pagar salarios, calcular retenciones, expedir CFDI de nómina, cumplir obligaciones de seguridad social o administrar prestaciones sin que resulte necesario obtener un consentimiento autónomo para cada una de estas actividades.

Sin embargo, que no se requiera consentimiento no significa que desaparezcan las demás obligaciones de protección de datos. Subsisten los deberes de información, finalidad, proporcionalidad, seguridad, calidad, responsabilidad y confidencialidad. Éste es uno de los aspectos jurídicos más importantes: consentimiento y Aviso de Privacidad cumplen funciones diferentes.

Datos sensibles: un estándar reforzado

El artículo 8 de la Ley establece como regla que, tratándose de datos personales sensibles, deberá obtenerse consentimiento expreso y por escrito mediante firma autógrafa, firma electrónica u otro mecanismo de autenticación admitido. Además, impide crear bases de datos sensibles sin una justificación vinculada con finalidades legítimas, concretas y acordes con las actividades del responsable.

No obstante, esta regla debe interpretarse conjuntamente con las excepciones previstas por el artículo 9. Cuando determinado tratamiento sea necesario para cumplir obligaciones provenientes de la relación jurídica o venga impuesto por una disposición legal, deberá analizarse cuidadosamente si opera una excepción al consentimiento.

La empresa, por ello, no debería utilizar formatos indiscriminados de autorización. Antes debe identificar qué información realmente necesita, cuál es la finalidad, qué disposición sustenta su tratamiento y durante cuánto tiempo debe conservarla. El principio de proporcionalidad exige precisamente que los datos sean necesarios, adecuados y relevantes para las finalidades declaradas.

¿Qué finalidades debe contemplar un Aviso de Privacidad laboral?

Las finalidades deben reflejar la verdadera operación de cada patrón. Entre las más comunes pueden encontrarse la integración y administración del expediente laboral; elaboración y pago de nómina; cálculo y entero de retenciones fiscales; emisión de CFDI; altas, bajas y modificaciones salariales ante instituciones de seguridad social; administración de prestaciones; control de asistencia; capacitación; evaluación de desempeño; seguridad laboral y cumplimiento de obligaciones contractuales.

Asimismo, podrán existir tratamientos vinculados con seguros de vida o gastos médicos, fondos de ahorro, vales, prestaciones corporativas, planes de pensiones, acceso a instalaciones o sistemas informáticos. La empresa debe distinguir las finalidades indispensables para ejecutar la relación laboral de aquellas adicionales que, por su naturaleza, pudieran requerir una manifestación específica del trabajador.

La finalidad no debe redactarse de manera artificialmente amplia para cubrir cualquier utilización futura. El artículo 11 establece que el tratamiento debe limitarse a los propósitos previstos en el aviso y que, cuando el responsable pretenda utilizar los datos para una finalidad diferente, deberá obtener nuevamente el consentimiento cuando resulte aplicable.

SAT, IMSS e INFONAVIT: transferencias jurídicamente justificadas

La información laboral necesariamente circula fuera de la empresa. El patrón comunica datos al SAT para efectos tributarios, al IMSS en materia de seguridad social y al INFONAVIT para cumplir obligaciones relacionadas con vivienda y créditos de los trabajadores.

Conforme a la definición vigente, una transferencia es la comunicación de datos a una persona distinta del titular, responsable o encargado. El artículo 35 regula las transferencias nacionales e internacionales y exige que el tercero receptor conozca el Aviso de Privacidad y las finalidades a las cuales está sujeto el tratamiento.

Ahora bien, esto no significa que el patrón necesite pedir autorización al trabajador cada vez que envía información al SAT o al IMSS. El artículo 36 permite transferencias sin consentimiento, entre otros casos, cuando estén previstas en una ley, sean legalmente exigidas para salvaguardar un interés público o resulten necesarias para el mantenimiento o cumplimiento de una relación jurídica entre el responsable y el titular.

Por ello, el punto fundamental no consiste únicamente en determinar si existe consentimiento, sino en documentar qué datos se transfieren, a quién, con qué finalidad y bajo qué fundamento jurídico.

El proveedor de nómina no siempre es un “tercero” en el mismo sentido

Una precisión importante aparece cuando la empresa contrata a un despacho contable, proveedor de nómina, plataforma tecnológica o prestador de servicios para procesar información laboral. La Ley distingue entre “tercero” y persona encargada, entendida esta última como la persona física o jurídica que trata datos por cuenta del responsable.

Por ello, no toda entrega de información a un prestador externo debe analizarse automáticamente como una transferencia ordinaria. Si una empresa de nómina procesa los datos siguiendo las instrucciones del patrón, puede asumir el carácter de encargada del tratamiento.

Esta diferencia jurídica tiene consecuencias prácticas. La relación con proveedores que acceden a información laboral debe documentarse contractualmente, estableciendo obligaciones de confidencialidad, seguridad, utilización limitada a las instrucciones recibidas y, en su caso, reglas sobre devolución, eliminación y conservación de información.

El Aviso de Privacidad no sustituye las medidas de seguridad

Uno de los errores más frecuentes consiste en considerar que entregar un aviso y obtener una firma constituye cumplimiento suficiente. El artículo 18 impone al responsable la obligación de establecer y mantener medidas administrativas, técnicas y físicas destinadas a evitar daño, pérdida, alteración, destrucción, acceso o tratamiento no autorizado. Las medidas deben atender al riesgo existente, las posibles consecuencias para los titulares, la sensibilidad de la información y el desarrollo tecnológico.

Esto cobra particular relevancia en recursos humanos. Una empresa puede contar con un Aviso de Privacidad impecable y, simultáneamente, mantener expedientes laborales sin controles de acceso, archivos compartidos abiertos para personal no autorizado, documentos médicos en carpetas generales o bases de nómina enviadas mediante correos inseguros.

La protección de datos exige por ello una arquitectura organizacional: perfiles de acceso, políticas de contraseñas, respaldos, cifrado cuando resulte razonable, controles para proveedores, destrucción segura de documentos, capacitación y procedimientos de respuesta ante incidentes.

La legislación exige además informar de manera inmediata a los titulares sobre vulneraciones de seguridad que afecten significativamente sus derechos patrimoniales o morales, para que puedan adoptar medidas de defensa.

Derechos ARCO dentro de la relación laboral

El trabajador conserva durante la relación laboral sus derechos de acceso, rectificación, cancelación y oposición. El artículo 21 reconoce el ejercicio de estos derechos y el artículo 29 obliga a los responsables a fomentar la protección de los datos dentro de la organización y designar a una persona o departamento encargado de tramitar estas solicitudes.

Sin embargo, el derecho de cancelación no significa que un exempleado pueda exigir inmediatamente la destrucción de todo su expediente. La Ley permite conservar información cuando resulte necesaria para el cumplimiento contractual, para atender disposiciones legales o para enfrentar obligaciones fiscales, judiciales o administrativas. Los periodos de conservación deben, por tanto, coordinarse con los plazos legales de prescripción y con las obligaciones laborales, fiscales y de seguridad social aplicables.

De la privacidad documental a un verdadero programa de cumplimiento

La protección de los datos laborales debe evolucionar desde una lógica puramente documental hacia un modelo de cumplimiento permanente. El primer paso consiste en identificar qué información recibe la empresa desde el reclutamiento hasta la terminación laboral. Después debe clasificarse, identificar su finalidad, determinar el fundamento para tratarla, reconocer quién accede a ella y establecer a qué autoridades, empresas relacionadas o proveedores se comunica.

Este ejercicio permite construir un mapa de datos y detectar prácticas innecesarias. Una empresa podría descubrir, por ejemplo, que continúa conservando información médica que dejó de ser necesaria, que proporciona documentos completos a proveedores que sólo necesitan ciertos datos o que distintos departamentos mantienen duplicados expedientes de los trabajadores sin una razón operativa suficiente.

El principio de responsabilidad exige precisamente que la protección de datos pueda demostrarse mediante políticas, controles y actuaciones verificables. La empresa debe estar preparada no sólo para afirmar que cumple, sino para acreditar cómo cumple.

Riesgo económico y reputacional

El cumplimiento tampoco debe analizarse exclusivamente desde la perspectiva formal. La legislación vigente tipifica como infracción, entre otras conductas, omitir alguno de los elementos exigidos en el Aviso de Privacidad, incumplir el deber de confidencialidad, modificar sustancialmente las finalidades sin observar las disposiciones legales o recabar y transferir datos sin consentimiento cuando éste sea exigible. La propia Ley contempla multas importantes para estas infracciones.

La aplicación práctica del nuevo régimen tampoco es meramente hipotética. Durante 2026, la Secretaría Anticorrupción y Buen Gobierno ha iniciado investigaciones por vulneraciones de datos y ha impuesto sanciones relevantes por incumplimientos a la legislación en materia de protección de datos personales.

Para una empresa, además de la sanción económica, una filtración de nómina puede revelar remuneraciones, cuentas bancarias, domicilios, RFC, CURP o información médica, produciendo consecuencias reputacionales y riesgos directos para los trabajadores afectados.

Conclusión

El Aviso de Privacidad laboral no debe concebirse como un anexo secundario del contrato de trabajo ni como un documento destinado exclusivamente a obtener la firma del empleado. Constituye la manifestación visible de una obligación más amplia: administrar legítima, proporcional y responsablemente la información de las personas que integran la organización.

Las necesidades fiscales y laborales explican por qué una empresa debe obtener información como RFC, CURP, código postal, cuentas bancarias, número de seguridad social y otros elementos indispensables para ejecutar la relación de trabajo. Sin embargo, la existencia de una obligación legal para recabar un dato no autoriza al patrón a utilizarlo indiscriminadamente para cualquier finalidad.

Un esquema adecuado exige distinguir qué información se necesita; identificar si es ordinaria, financiera, patrimonial o sensible; precisar la finalidad de su tratamiento; determinar cuándo se requiere consentimiento y cuándo existe una excepción; documentar las transferencias; controlar a encargados y proveedores; garantizar derechos ARCO y establecer medidas administrativas, físicas y tecnológicas de seguridad.

La conclusión para las áreas jurídica, fiscal, contable y de recursos humanos es clara: proteger correctamente los datos del trabajador no consiste únicamente en tener un Aviso de Privacidad; consiste en conseguir que la forma en que la empresa obtiene, utiliza, comparte, conserva y destruye la información coincida efectivamente con aquello que el aviso declara y con lo que la legislación permite.

En la actualidad, un expediente laboral es simultáneamente evidencia contractual, soporte fiscal, documentación de seguridad social y una concentración significativa de datos personales. Su correcta administración exige, por ello, la misma disciplina jurídica con la que la empresa atiende sus obligaciones laborales, fiscales y corporativas.