Privacidad corporativa y datos personales
Las personas morales no son titulares ordinarias del régimen de datos personales, aunque conservan protección constitucional sobre información sensible. Examinamos jurisprudencia, contratos, trabajadores, beneficiarios controladores y obligaciones empresariales actuales.
La privacidad de las empresas: una cuestión de alcance jurídico
La protección de datos personales constituye una obligación fundamental para las empresas que recopilan, utilizan, almacenan o transfieren información de clientes, trabajadores y proveedores. Sin embargo, surge una cuestión distinta cuando la información pertenece a una sociedad mercantil y no directamente a una persona física.
La pregunta consiste en determinar si las personas morales pueden exigir la protección de sus datos en los mismos términos que los individuos. Su respuesta requiere distinguir entre el régimen especial de datos personales, la protección constitucional de determinados derechos y los mecanismos de confidencialidad empresarial.
Estas categorías no son equivalentes. Una sociedad puede tener derecho a proteger información comercial reservada sin convertirse, por ello, en titular de todos los derechos reconocidos por la legislación especial de protección de datos personales.
El alcance de la legislación mexicana vigente
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), expedida el 20 de marzo de 2025 y reformada el 14 de noviembre del mismo año, regula el tratamiento legítimo, controlado e informado de datos personales.
Su artículo 2, fracción V, define los datos personales como información concerniente a una persona identificada o identificable. Aunque esta formulación debe interpretarse sistemáticamente, el régimen especial se encuentra orientado a la protección de información relativa a personas físicas.
Esta distinción es importante porque una empresa puede intervenir como responsable del tratamiento sin que todos sus datos corporativos sean, a su vez, datos personales protegidos por esa legislación.
Por ejemplo, una sociedad mercantil está obligada a proteger los expedientes de sus trabajadores, pero ello no significa que su denominación social, por sí misma, deba recibir el tratamiento jurídico de un dato personal.
La diferencia entre información empresarial y datos personales
Los datos relativos exclusivamente a una persona moral, como su denominación, estructura corporativa o domicilio comercial, no se encuentran ordinariamente sujetos al régimen especial de protección de datos personales.
El artículo 5, fracción I, del Reglamento de la LFPDPPP de 2011 establece expresamente la exclusión de la información relativa a personas morales. Esta disposición constituye un antecedente reglamentario relevante, cuya aplicación debe interpretarse conforme a la ley expedida en 2025 y al marco normativo vigente.
Sin embargo, la exclusión no debe extenderse indiscriminadamente a todos los documentos empresariales. Un contrato celebrado entre sociedades puede contener nombres, firmas, identificaciones, domicilios particulares y otros datos correspondientes a individuos.
En esos supuestos, la información empresarial y los datos personales coexisten dentro de un mismo expediente. Su tratamiento exige identificar qué elementos corresponden a la sociedad y cuáles permiten identificar a personas físicas.
La información de una sociedad mercantil no constituye automáticamente un dato personal; sin embargo, su exclusión de la legislación especial no significa que carezca de protección jurídica
La protección constitucional de las personas morales
La Constitución reconoce derechos fundamentales cuyo ejercicio puede corresponder a personas jurídicas colectivas, siempre que su naturaleza resulte compatible con la estructura y finalidad de éstas.
La Suprema Corte de Justicia de la Nación examinó esta cuestión en la tesis aislada P. I/2014 (10a.), con registro digital 2005521. El criterio establece que la titularidad de determinados derechos debe analizarse conforme a su naturaleza y a las circunstancias del caso concreto.
En consecuencia, las personas morales pueden ser titulares de derechos como propiedad, acceso a la justicia y debido proceso. Otros derechos, vinculados inseparablemente con condiciones humanas, no necesariamente resultan atribuibles a entidades colectivas.
La protección de la información corporativa debe situarse dentro de este análisis. No basta con afirmar que las empresas tienen todos los derechos de privacidad reconocidos a los individuos, ni resulta correcto negarles cualquier protección constitucional.
La tesis sobre datos equiparables a los personales
Especial relevancia tiene la tesis aislada P. II/2014 (10a.), registro digital 2005522, emitida por el Pleno de la Suprema Corte, de rubro: PERSONAS MORALES. TIENEN DERECHO A LA PROTECCIÓN DE LOS DATOS QUE PUEDAN EQUIPARARSE A LOS PERSONALES, AUN CUANDO DICHA INFORMACIÓN HAYA SIDO ENTREGADA A UNA AUTORIDAD.
El criterio reconoce que cierta información de las personas morales puede merecer protección cuando su divulgación arbitraria comprometa aspectos económicos, comerciales o relacionados con su identidad y afecte el desarrollo de sus actividades.
La importancia de esta interpretación radica en que distingue entre el concepto estricto de dato personal y la existencia de espacios constitucionalmente protegidos frente a intromisiones injustificadas.
No obstante, debe precisarse que se trata de una tesis aislada, no de jurisprudencia obligatoria por sí misma. Tampoco implica que la LFPDPPP extienda automáticamente a las sociedades todos los derechos y procedimientos diseñados para titulares de datos personales.
Confidencialidad, secreto empresarial y protección contractual
La información corporativa puede encontrarse protegida por diversos ordenamientos, aun cuando no constituya un dato personal. Entre los mecanismos disponibles destacan las obligaciones contractuales de confidencialidad y la regulación de secretos industriales.
La Ley Federal de Protección a la Propiedad Industrial, particularmente su artículo 163, establece condiciones para reconocer determinada información como secreto industrial. Su protección depende, entre otros elementos, de su carácter confidencial, valor competitivo y medidas de resguardo.
Por ello, estados financieros no públicos, estrategias comerciales, metodologías de producción y determinadas bases de información pueden requerir protección jurídica específica.
La existencia de una cláusula de confidencialidad no convierte automáticamente cualquier documento en secreto industrial. Es indispensable identificar su naturaleza, establecer restricciones de acceso y adoptar medidas razonables para preservar su reserva.
La información de accionistas y beneficiarios controladores
La identificación de accionistas, socios y beneficiarios controladores constituye uno de los ámbitos donde la información corporativa puede relacionarse directamente con datos personales.
Los artículos 32-B Ter, 32-B Quáter y 32-B Quinquies del Código Fiscal de la Federación establecen obligaciones relacionadas con la identificación y conservación de información de beneficiarios controladores.
Cuando el beneficiario controlador es una persona física, su nombre, domicilio, identificación y demás elementos exigibles conservan su naturaleza de datos personales, aunque se integren en un expediente corporativo.
La obligación legal de recabar o proporcionar esa información no autoriza su utilización indiscriminada. Deben observarse las finalidades legítimas, las medidas de seguridad y las condiciones aplicables a su conservación y comunicación.
Trabajadores, representantes y proveedores de servicios
Las empresas también deben proteger la información personal de sus trabajadores y de las personas que actúan como representantes de clientes o proveedores.
En operaciones de servicios especializados, por ejemplo, pueden intercambiarse datos de identificación, documentación laboral y registros necesarios para acreditar el cumplimiento de obligaciones contractuales y legales.
El artículo 5 de la LFPDPPP vigente establece principios como licitud, finalidad, consentimiento, proporcionalidad y responsabilidad. Los artículos 14 y 15 regulan obligaciones relacionadas con el aviso de privacidad.
Asimismo, los artículos 35 y 36 establecen condiciones para las transferencias de datos personales y determinados supuestos en los que pueden efectuarse sin consentimiento. No toda comunicación entre empresas constituye automáticamente una transferencia sujeta a idénticos requisitos.
La información de contacto profesional
Una cuestión particularmente delicada se presenta con los datos utilizados para identificar a representantes empresariales: nombres, puestos, teléfonos laborales y direcciones electrónicas institucionales.
El artículo 5, fracción III, del Reglamento de 2011 contempla una exclusión específica respecto de determinada información de contacto laboral, cuando se utiliza para fines de representación del empleador o contratista.
Sin embargo, esa previsión no debe interpretarse como una autorización general para divulgar cualquier información del trabajador. Su aplicación depende del tipo de dato, la finalidad del tratamiento y las condiciones reglamentarias.
Por ejemplo, un correo electrónico institucional utilizado para gestionar contratos no equivale necesariamente a un expediente de nómina que contiene domicilio particular, información bancaria o datos de salud.
Cuando un expediente corporativo identifica simultáneamente a una empresa y a sus accionistas, representantes o trabajadores, la protección de datos personales debe analizarse respecto de cada individuo involucrado
La protección de datos en operaciones empresariales
La compraventa de empresas, las auditorías legales y fiscales, las reorganizaciones corporativas y los procedimientos de cumplimiento pueden involucrar grandes volúmenes de información.
Durante una revisión de adquisición empresarial, por ejemplo, es posible que se soliciten contratos laborales, expedientes de clientes, información accionaria y documentación financiera.
En estos casos, conviene establecer mecanismos de acceso restringido, confidencialidad y, cuando corresponda, disociación de datos personales. La finalidad consiste en permitir la evaluación del negocio sin divulgar información individual innecesaria.
También debe distinguirse entre la entrega de información a una persona encargada del tratamiento y su transferencia a un tercero independiente, porque las obligaciones aplicables pueden variar.
La reforma institucional de 2025
La expedición de la nueva LFPDPPP en marzo de 2025 modificó el marco institucional de protección de datos personales, lLa legislación vigente atribuye funciones a la Secretaría Anticorrupción y Buen Gobierno, en sustitución del esquema anteriormente encabezado por el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales.
Por ello, las empresas deben actualizar sus documentos internos y referencias normativas. Mantener políticas que identifiquen exclusivamente al INAI como autoridad competente puede generar inconsistencias con el régimen actualmente aplicable.
La modificación institucional no elimina las obligaciones de protección de datos. Los responsables deben continuar observando las reglas sobre avisos de privacidad, medidas de seguridad, ejercicio de derechos y tratamiento legítimo de la información.
La experiencia europea como referencia comparativa
El Reglamento General de Protección de Datos de la Unión Europea (RGPD) también distingue entre la información correspondiente a personas físicas y aquella relacionada exclusivamente con personas jurídicas. Su considerando 14 establece que el Reglamento no regula los datos relativos a personas jurídicas, incluidas determinadas referencias a su nombre, forma jurídica e información de contacto corporativo.
Esta coincidencia conceptual permite identificar una tendencia: los regímenes especiales de protección de datos personales se concentran principalmente en los individuos, sin excluir otras formas de protección para las empresas. No obstante, el RGPD no constituye legislación mexicana. Su utilidad en este análisis es comparativa y no debe emplearse para sustituir las disposiciones nacionales aplicables.
Conclusión
Las personas morales no son, por regla general, titulares del régimen especial de protección de datos personales en los mismos términos que las personas físicas.
Sin embargo, esta conclusión no significa que su información carezca de protección. La Constitución, los criterios judiciales, la legislación sobre propiedad industrial y los acuerdos de confidencialidad pueden proteger determinados intereses informativos de las empresas.
Además, cuando la documentación corporativa contiene datos de accionistas, representantes, trabajadores o beneficiarios controladores, las obligaciones previstas en la LFPDPPP deben examinarse respecto de las personas físicas identificadas o identificables.
La protección jurídica de la información empresarial exige distinguir entre datos personales, información corporativa confidencial y secretos industriales. La precisión en esta clasificación permite cumplir adecuadamente las obligaciones legales sin extender ni restringir indebidamente los derechos reconocidos por el ordenamiento nacional.
Sobre el autor
Mtro. Arturo Accio Paredes Santana
Licenciado en contaduría por la Universidad de Guadalajara, Doctorado en Derecho por la Universidad de Guadalajara
Compartir este análisis
Texto listo con título, sinopsis y liga. LinkedIn no muestra la sinopsis por sí solo: pégala en el post.
Sigue leyendo
