La Ley Federal de Protección de Datos Personales en Posesión de los Particulares que rige hoy en México no es la de 2010: es una ley nueva, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y vigente desde el día siguiente. No fue una reforma. Su artículo transitorio segundo, fracción I, abroga expresamente la ley anterior, y el catálogo federal de la Secretaría de Gobernación la sigue registrando, a septiembre de 2026, como «sin reforma». Es decir: la norma que la mayoría de las funerarias mexicanas citó al pie de su aviso de privacidad durante quince años dejó de existir hace año y medio.
Hay una forma rápida de comprobar qué tan poco llegó esto al sector. Si buscas en Google, desde México, «aviso de privacidad funeraria datos sensibles», la primera página completa de resultados son avisos de privacidad de funerarias: sus propias páginas legales. Ni un solo artículo que explique la obligación. Y entre esos avisos publicados aparece uno de una funeraria mexicana que declara, textualmente, que no realiza tratamiento de datos sensibles de sus clientes —mientras que, tres posiciones más arriba, el aviso de privacidad del Gobierno de García, Nuevo León para su programa de apoyo económico en servicios funerarios enumera sin ambigüedad, bajo el encabezado «datos personales sensibles sometidos a tratamiento», la causa de defunción, clasificada como dato de salud.
Un municipio de Nuevo León tiene mejor identificado el problema que buena parte de la industria que vive de él. Este artículo recorre el articulado real de la nueva ley mexicana, marca tres cosas que la ley no dice y que sin embargo circulan como obligación en boletines del sector, y traduce todo a decisiones concretas de operación, de contrato y de sistema para la dirección de un grupo funerario en México.
Qué es la nueva LFPDPPP y desde cuándo rige en México
El 20 de marzo de 2025, en la edición vespertina del Diario Oficial, se publicó un decreto que expide de golpe tres leyes: la Ley General de Transparencia y Acceso a la Información Pública, la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados y —como artículo tercero— la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que es la que rige a una funeraria privada en México. El transitorio primero fija su entrada en vigor «al día siguiente de su publicación»: el 21 de marzo de 2025.
El segundo cambio estructural es de autoridad. El INAI desapareció. El artículo 2, fracción XV de la nueva ley define «Secretaría» como la Secretaría Anticorrupción y Buen Gobierno, y los artículos 38 y 39 le atribuyen conocer y resolver los procedimientos de protección de derechos y de verificación e imponer las sanciones. El transitorio décimo mandó que incluso los procedimientos de datos personales que estaban en trámite ante el INAI se sustanciaran ante esa Secretaría. Un día después, el 21 de marzo de 2025, el propio Diario Oficial publicó la reforma al Reglamento Interior de la Secretaría que crea una Unidad de Protección de Datos Personales y, dentro de ella, una Dirección General de Datos Personales en el Sector Privado con la facultad expresa de iniciar, sustanciar y resolver los procedimientos de verificación y de imposición de sanciones.
Dicho de otro modo: en México ya no hay un organismo autónomo enfrente, sino una dirección general dentro de una secretaría de Estado cuyo mandato es investigar y sancionar. Para el comité de dirección de un grupo funerario mexicano, esa es la diferencia entre un interlocutor técnico y una autoridad de fiscalización.
El expediente funerario mexicano, campo por campo: qué es dato sensible
El artículo 2, fracción VI define los datos personales sensibles como aquellos «que afecten a la esfera más íntima de la persona titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para esta», y añade una lista enunciativa más no limitativa que incluye origen racial o étnico, estado de salud presente o futuro, información genética, creencias religiosas, filosóficas y morales, opiniones políticas y preferencia sexual.
Ese «enunciativa más no limitativa» es un cambio real frente a la ley de 2010, cuyo artículo 3 fracción VI abría la lista con un «en particular, se consideran sensibles» que se leía como cerrada. Hoy la lista es abierta: un dato que no esté enumerado puede ser sensible si encaja en la definición general. Para una funeraria en México eso importa mucho, porque su expediente no se parece al de ninguna otra industria.
| Dato que la operación recoge de verdad | Cómo lo trata la nueva LFPDPPP | Consecuencia práctica |
|---|---|---|
| Causa de defunción | No está nombrada en la ley. Encuadrarla como «estado de salud» del art. 2 fr. VI es una lectura razonable, no texto expreso | Trátala como sensible. El aviso del Gobierno de García, N.L. ya la clasifica así, y el costo de equivocarse por defecto es una multa que se duplica |
| Credo o religión del fallecido y de la familia | Sensible por texto expreso: «creencias religiosas» | Consentimiento expreso y por escrito (art. 8). Es el campo más subestimado del expediente funerario mexicano |
| Estado de salud declarado al contratar un plan | Sensible por texto expreso: «estado de salud presente o futuro» | Consentimiento expreso y por escrito, y además entra en el radio del art. 26 fr. II si se usa para decidir sin intervención humana |
| Régimen de seguridad social del fallecido | No enumerado, pero revela condición de salud y situación laboral; cabe en la definición general | Trátalo como sensible y, sobre todo, pregúntate para qué finalidad lo pides |
| Datos de un menor sin identificación o de un nacido vivo | Datos personales de una persona titular, con el agravante de graduación del art. 60 por la naturaleza del dato | Es el expediente que más cuidado exige y el que más veces se digita a mano de madrugada |
| Capacidad de pago y situación patrimonial del contratante | NO es dato sensible. Cae en el art. 7: los datos financieros o patrimoniales requieren consentimiento expreso, pero no por escrito | Es una regla distinta y más suave. Confundirla con la de sensibles hace que se pida firma donde no hace falta |
| Firma autógrafa digitalizada del contratante | Dato personal; y es el mecanismo que el art. 8 admite para acreditar el consentimiento sobre los sensibles | No es un adorno del expediente: es la prueba. Guárdala con su fecha y su contexto |
Hay una precisión que conviene hacer, porque suele exagerarse en la dirección contraria. Al revisar el modelo de datos real de un ERP funerario, la causa de muerte no suele ser un diagnóstico clínico: es una categoría de tres opciones —natural, violenta u otros—. No hay codificación CIE-10, no hay historia clínica, no hay biometría dura y, al menos en la implementación que verificamos, tampoco hay estrato socioeconómico. El expediente funerario es sensible por su naturaleza, no por su profundidad clínica, y decirlo con precisión ayuda a dimensionar el trabajo en vez de asustar al comité.
Artículo 8: consentimiento expreso y por escrito, firmado por una familia en duelo
El artículo 7 fija la regla general y es más benigna de lo que el sector cree: «por regla general será válido el consentimiento tácito, salvo que las disposiciones jurídicas aplicables exijan que la voluntad de la persona titular se manifieste expresamente». El problema es que en una funeraria mexicana la excepción es casi todo el expediente.
Tratándose de datos personales sensibles, el responsable deberá obtener el consentimiento expreso y por escrito de la persona titular para su tratamiento, a través de su firma autógrafa, firma electrónica, o cualquier mecanismo de autenticación que al efecto se establezca. No podrán crearse bases de datos que contengan datos personales sensibles, sin que se justifique la creación de las mismas para finalidades legítimas, concretas y acordes con las actividades o fines explícitos que persigue el sujeto regulado.— Artículo 8, LFPDPPP (DOF, 20 de marzo de 2025)
Hay dos obligaciones en ese artículo y el sector suele ver solo la primera. La segunda —no crear bases de datos con sensibles sin justificar la finalidad— es la que debería incomodar a cualquier grupo funerario en México que lleve veinte años acumulando expedientes. La pregunta que el comité tiene que poder responder no es «¿tenemos la firma?», sino «¿para qué finalidad legítima, concreta y acorde con nuestra actividad seguimos guardando el credo religioso de una familia que sepultó a su madre en 2011?».
Y hay una circunstancia que hace de este el sector más difícil de todos para el consentimiento: el momento. La familia firma el aviso de privacidad y la autorización de tratamiento en el peor día de su vida, con horas de haber perdido a alguien, mientras decide un ataúd y un horario de velación. Un consentimiento otorgado así es formalmente válido —la ley mexicana no distingue— pero es frágil en todo lo demás. Y esto no es una intuición sensible: está medido.
- En un estudio de 43 unidades de cuidados intensivos francesas con 836 cuestionarios completos de familiares, el 72,7 % presentó síntomas de ansiedad o depresión —84 % entre los cónyuges—, medidos con un instrumento validado. Los propios autores concluyen que la participación de familiares ansiosos o deprimidos en decisiones de final de vida «debe discutirse cuidadosamente» (Pochard et al., Critical Care Medicine 29(10):1893-1897, doi:10.1097/00003246-200110000-00007).
- Tras una primera reunión médica de diez minutos, el 54 % de los representantes familiares no había comprendido el diagnóstico, el pronóstico o el tratamiento (Azoulay et al., Critical Care Medicine 28(8):3044-3049, doi:10.1097/00003246-200008000-00061).
- En un ensayo controlado con 121 pacientes de trauma, el recuerdo de los riesgos explicados fue del 41 % con información solo verbal y del 64 % cuando además se entregó por escrito (Smith et al., Injury 43(9):1534-1538, doi:10.1016/j.injury.2011.06.419). Veintitrés puntos de diferencia por el simple hecho de entregar el documento.
- Y el dato más incómodo para el sector: en una muestra nacional estadounidense de 1.418 familiares a quienes se les pidió autorización en el momento de la muerte, el factor con mayor peso sobre la decisión no fue la actitud previa ni el conocimiento, sino cómo se condujo la conversación (razón de momios ajustada de 17,22; IC 95 % 11,61-25,54) (Siminoff, Traino y Gordon, Journal of Trauma 69(4):956-963, doi:10.1097/TA.0b013e3181d8924b).
Ese último hallazgo es el que debería cambiar una política interna. Si el guion de quien pregunta determina el resultado con esa fuerza, entonces el guion del asesor no es un asunto de ventas: es un objeto de gobierno. Y la respuesta operativa al conjunto no es legal, es de diseño: separa el consentimiento de la firma del contrato, dale su propia casilla desmarcada, su propio texto corto, entrégalo por escrito en vez de leerlo, y reconfirma las finalidades secundarias —mercadeo, cesión a aseguradoras, venta cruzada de previsión— días después por un canal asíncrono, cuando la familia pueda leer.
La declaración de salud: el consentimiento que sí bloquea y la autorización que no
Conviene bajar esto a un caso real, verificable en código y no en una diapositiva. En el flujo de firma electrónica de SFUN, el 25 de agosto de 2026 se integró a la rama principal una declaración de estado de salud obligatoria antes de firmar. El texto que la familia acepta dice, literalmente: «Doy fe, al momento de la vinculación, de que las personas inscritas en este documento, gozan de estado normal de salud al momento de la inscripción. Acepto la NO PRESTACIÓN de los servicios, en caso de falsedad en esta información».
Léelo dos veces con el artículo 2, fracción VI en la mano. Eso es una declaración sobre el estado de salud de varias personas —no solo del firmante— que condiciona la prestación futura del servicio. Es, con toda propiedad, el dato sensible más consecuente que una funeraria mexicana recoge, porque de él depende que un plan pague o no pague el día que haga falta.
Junto a esa casilla, el mismo flujo registra la autorización de tratamiento de datos. Es un opt-in real: nace desmarcada y el botón de continuar permanece deshabilitado hasta que la persona la marca. Se guarda con el resto de la evidencia de la firma —incluido el hash SHA-256 del documento firmado— en un registro con historial de cambios activo. Hasta ahí, bien.
Lo decimos porque es exactamente el examen que la dirección de un grupo funerario mexicano debería hacerle a cualquier proveedor de software, incluido el suyo: no «¿tienen casilla de aviso de privacidad?», sino «muéstrenme el registro de un consentimiento concreto, con su fecha, su origen y el texto exacto que esa persona aceptó».
Artículo 26 fracción II: el derecho nuevo que le apunta directo a una funeraria
Este es el cambio más relevante de la nueva ley mexicana para cualquier operación que ya use automatización o agentes de inteligencia artificial, y prácticamente nadie del sector lo ha leído. El artículo 27 de la ley de 2010 decía apenas que el titular podía oponerse al tratamiento de sus datos por causa legítima. El artículo 26 de la ley vigente añade una fracción que no existía:
La persona titular tendrá derecho en todo momento y por causa legítima a oponerse al tratamiento de sus datos o exigir que se cese en el mismo cuando: […] II. Sus datos personales sean objeto de un tratamiento automatizado, el cual le produzca efectos jurídicos no deseados o afecte de manera significativa sus intereses, derechos o libertades, y estén destinados a evaluar, sin intervención humana, determinados aspectos personales de la misma o analizar o predecir, en particular, su rendimiento profesional, situación económica, estado de salud, preferencias sexuales, fiabilidad o comportamiento.— Artículo 26, fracción II, LFPDPPP (DOF, 20 de marzo de 2025)
Ahora vuelve a la declaración de salud del apartado anterior y ponla al lado de esa fracción. Un sistema que, sin intervención humana, evalúa el estado de salud declarado y la situación económica —días de atraso, mora, capacidad de pago— para negar la prestación de un servicio exequial produce, sin ninguna duda, «efectos jurídicos no deseados» y afecta «de manera significativa» los intereses de una familia. La descripción del legislador mexicano encaja con el proceso funerario con una precisión casi incómoda.
Vale la pena inventariar cuántas decisiones así toma de verdad un ERP funerario. En la implementación que revisamos son cuatro: el rechazo automático de la autorización de un servicio por días de atraso, el bloqueo de creación de un contrato de previsión por reglas de restricción, el cálculo y vencimiento de carencias, y el cobro automático con reintentos. Ninguna de las cuatro es un modelo de inteligencia artificial: son reglas deterministas. Y da igual: el artículo 26 fracción II habla de «tratamiento automatizado», no de aprendizaje automático. La regla de negocio que corre sola ya está dentro del supuesto.
El artículo también trae su propio límite, y es honesto citarlo: «No procederá el ejercicio del derecho de oposición en aquellos casos en los que el tratamiento sea necesario para el cumplimiento de una obligación legal impuesta al responsable». Eso salva el tratamiento que exige la autoridad fiscal o la sanitaria; no salva la evaluación comercial de una carencia.
«Lo revisa un humano» no es, por sí solo, un control
La reacción natural del comité al leer el artículo 26 fracción II es escribir en la política: «toda decisión del sistema es revisada por una persona». Conviene saber que esa frase, sola, no aguanta una auditoría seria —y que la literatura arbitrada sobre supervisión humana de algoritmos es bastante menos halagüeña de lo que el sector supone.
| Qué se midió | Resultado | Qué implica para una funeraria |
|---|---|---|
| Capacidad de las personas para calibrar su confianza en un algoritmo, en 10 combinaciones de tratamiento y escenario (N = 1.156 y 732) | Solo en 1 de 10 los participantes ajustaron su confianza al desempeño real. En 3 la relación fue negativa: confiaban más cuanto peor rendía el algoritmo (Green y Chen, Proc. ACM HCI 3(CSCW):50, doi:10.1145/3359152) | El asesor que «revisa» no sabe cuándo el sistema se equivoca. Un botón de aprobar sin señal de desempeño produce confirmación, no control |
| 27 radiólogos frente a 50 estudios, con 12 sugerencias incorrectas del sistema | Los aciertos cayeron de 82,3 % a 45,5 % en los más experimentados cuando la sugerencia era errónea (Dratsch et al., Radiology 307(4):e222176, doi:10.1148/radiol.222176) | «Ponemos a alguien senior a revisar» atenúa el arrastre, pero no lo elimina. La experiencia no es una salvaguarda suficiente |
| 26 médicos generales × 20 escenarios de prescripción, 6 con consejo incorrecto (520 decisiones) | El sistema mejoró la exactitud en 13,1 % de los casos e indujo un 5,2 % de cambios de correcto a incorrecto. Neto: +8 % (Goddard, Roudsari y Wyatt, Int J Med Inform 83(5):368-375, doi:10.1016/j.ijmedinf.2014.01.001) | El número honesto: el asistente mejora el resultado neto y crea una clase de error que antes no existía. Se reportan las dos cifras o ninguna |
| Efecto de las explicaciones del sistema sobre la decisión humana, tres conjuntos de datos, ~100 participantes por condición | Las explicaciones no produjeron mejor desempeño conjunto y aumentaron la probabilidad de aceptar la recomendación, fuera correcta o no (Bansal et al., CHI 2021, doi:10.1145/3411764.3445717) | La explicación que el sistema escribe junto a su sugerencia sirve para el afectado —que es lo que exige la ley— pero no funciona como salvaguarda operativa |
¿Cómo se prueba entonces que la revisión fue real? Con una métrica sencilla que casi nadie mide: la tasa de anulación. Cuántas veces, en un período, la persona que revisa cambió efectivamente la salida del sistema, y cuánto tiempo dedicó a hacerlo. Si en seis meses el revisor no modificó nunca nada, o el tiempo medio de revisión es de segundos, no hubo revisión: hubo sello de goma, y el reporte lo demuestra. Es la acción sugerida por el marco de gestión de riesgos de IA del NIST, y es un reporte de sistema, no un texto de política.
Tres cosas que la ley no dice y que medio sector está afirmando
Aquí es donde este artículo se separa de los resúmenes que circulan. Verificamos el texto completo publicado en el Diario Oficial buscando término por término, y hay tres afirmaciones muy repetidas que no tienen respaldo en el articulado. Publicarlas como obligación es un error, y construir un plan de cumplimiento sobre ellas es desperdiciar presupuesto.
| Lo que se afirma | Lo que dice el texto verificado |
|---|---|
| «El aviso de privacidad ahora debe declarar el uso de datos para decisiones automatizadas y perfilamiento» | Falso. El artículo 15 enumera seis elementos del aviso —identidad y domicilio del responsable; datos tratados identificando los sensibles; finalidades distinguiendo las que requieren consentimiento; opciones para limitar uso o divulgación; mecanismos para ejercer los derechos ARCO; y cómo se comunicarán los cambios— y ninguno menciona tratamiento automatizado, lógica, perfiles ni consecuencias previstas. Tampoco los artículos 14, 16 o 17. Declararlo es buena práctica; presentarlo como obligación legal es inventar |
| «La ley incorpora el derecho a no ser objeto de decisiones automatizadas» | Impreciso. Lo que el artículo 26 fracción II crea es un derecho de oposición con requisitos acumulativos: causa legítima, efectos jurídicos no deseados o afectación significativa, y ausencia de intervención humana. No es una prohibición general, no hay derecho a obtener la lógica del algoritmo y no hay derecho a exigir revisión humana. La palabra «perfil» no aparece ni una vez en toda la ley |
| «El reglamento de 2011 sigue plenamente vigente y obliga a firmar contrato con el encargado» | Zona gris, y conviene tratarla como tal. La obligación contractual con el encargado vive en los artículos 50 a 55 del Reglamento de 2011, no en la ley vigente. Ese reglamento desarrollaba una ley que fue abrogada, se refiere a un instituto que ya no existe, y no hallamos pronunciamiento de la autoridad que aclare su aplicabilidad. El catálogo federal lo sigue listando. Firmar el contrato es lo correcto; afirmar que un artículo vigente lo exige, no |
Hay una cuarta corrección, más pequeña pero relevante para el sector: la afiliación sindical desapareció de la enumeración de datos sensibles que sí traía la ley de 2010. Como la lista es abierta puede seguir cayendo en la definición general, pero decir que «la ley la considera sensible» ya no es literalmente cierto.
Tu proveedor de software no es «encargado» por ley: el hoyo del reglamento
Este punto le importa a cualquier grupo funerario mexicano que tenga su operación en la nube, use un proveedor de mensajería, envíe texto a un modelo de lenguaje o verifique identidades contra una base externa. La ley vigente define a la persona encargada en su artículo 2 fracción XII —«persona física o jurídica que sola o conjuntamente con otras trate datos personales por cuenta del responsable»— y prácticamente ahí se acaba. La palabra aparece cuatro veces en toda la ley y la palabra «remisión» no aparece nunca. No hay capítulo de responsable-encargado, ni obligación expresa de suscribir contrato.
Eso no significa que no haya nada que exigirle a un proveedor. Significa que el fundamento es otro, y es más directo de lo que parece:
- Artículo 13: el responsable debe garantizar que el aviso de privacidad «sea respetado en todo momento por él o por terceros con los que guarde alguna relación jurídica». Es decir, la funeraria responde por lo que su proveedor haga con los datos.
- Artículo 20: obliga a establecer controles para que todas las personas que intervengan en cualquier fase del tratamiento guarden confidencialidad, «obligación que subsistirá aun después de finalizar sus relaciones».
- Artículo 18: medidas de seguridad, sin distinguir si el dato está en tu servidor o en el de tu proveedor.
- Artículo 19: las vulneraciones que afecten de forma significativa los derechos patrimoniales o morales se informan a la persona titular de forma inmediata. No hay plazo de setenta y dos horas en México: hay «de forma inmediata», que es más exigente y más ambiguo a la vez.
- Artículos 35 y 36: la transferencia a un tercero distinto del encargado obliga a comunicarle el aviso y las finalidades, y a que el aviso contenga una cláusula donde la persona acepte o no la transferencia. El tercero receptor asume las mismas obligaciones del que transfirió.
La conclusión operativa para una funeraria en México es cómoda de aplicar: firma el contrato de tratamiento con tu proveedor de software aunque ningún artículo vigente lo exija, porque los artículos 13, 18, 19 y 20 te hacen responsable de todos modos y el contrato es la única forma de trasladar obligaciones y de acreditar diligencia ante la Secretaría. Y exige en él lo concreto: dónde se alojan los datos, qué subencargados hay, qué pasa con la información al terminar el servicio, en cuánto tiempo te notifican un incidente y qué evidencia te entregan.
Qué sabe hoy un ERP funerario sobre quién leyó la causa de muerte
Cuando la conversación llega al artículo 18 —medidas de seguridad— el sector suele responder con copias de respaldo y contraseñas. La pregunta útil es otra, y es la que separa a un sistema auditable de uno que no lo es: ¿puedes saber quién leyó la causa de muerte de una persona, y cuándo?
Auditamos nuestro propio producto para responderla con evidencia y no con marketing. El resultado, publicado tal cual:
| Pregunta | Respuesta verificada en el código |
|---|---|
| ¿Se sabe quién modificó un dato sensible? | Sí, y con detalle. El historial de cambios está activo en la enorme mayoría de los registros sensibles —expediente del fallecido, contrato, afiliado, cremación, conversaciones— y guarda el detalle del cambio con autor y fecha |
| ¿Se sabe quién lo leyó? | No. El seguimiento de vistas está desactivado en el cien por ciento de los registros propios y no hay ninguna llamada al registro de acceso. Solo queda rastro si alguien además exportó, imprimió o descargó un adjunto, y ese rastro se autopurga a los treinta días |
| ¿Queda rastro cuando quien consulta es un agente de inteligencia artificial? | No. El conector de IA tiene rol propio, verificación que falla del lado seguro, modo de solo lectura configurable y un tope duro contra el volcado masivo por consulta directa; lo que no tiene es bitácora propia de invocaciones ni enmascaramiento de campos sensibles antes de devolver el dato al modelo |
| ¿Hay política de retención o borrado? | No conectada. El framework trae el flujo completo de supresión y portabilidad, pero las aplicaciones de negocio no declararon qué campos personales le corresponden: hoy una solicitud de supresión correría sobre una lista vacía |
| ¿Qué pasa con lo que la familia le contó al bot de atención? | Se conserva íntegro y sin plazo. Mensajes, estado de la conversación, grabaciones y transcripciones no tienen trabajo de purga |
Hay una precaución técnica que conviene fijar ahora, antes de que el sector la aprenda por las malas. La respuesta intuitiva a «¿cómo evito que el agente vea datos sensibles?» es quitar el nombre antes de enviar el expediente al modelo, o instruirlo para que no los revele. Ninguna de las dos funciona. Un trabajo presentado en ICLR 2024 mostró que los modelos de lenguaje infieren atributos personales —ubicación, ingreso, sexo— a partir de texto libre con hasta 85 % de exactitud, y que la anonimización del texto no fue una defensa efectiva; otro trabajo de la misma conferencia midió que modelos punteros revelaban información privada entre el 39 % y el 57 % de las veces aun cuando se les instruía explícitamente preservar la privacidad. La conclusión de diseño es directa y coincide con lo que recomienda el proyecto OWASP para aplicaciones con modelos de lenguaje: el límite de lo que el agente puede ver se implementa en la capa de datos —permisos, proyecciones y máscaras por contexto—, nunca en las instrucciones del modelo.
Vale la pena decir qué se hace con un hallazgo así, porque de lo contrario es una queja. Las cuatro cosas que lo cierran son baratas y están en nuestra hoja de ruta declarada: un registro de finalidades y consentimientos por titular —con versión del aviso aceptada, fecha, canal y revocación—, la conexión del flujo de supresión que el framework ya trae, la bitácora de invocaciones del conector de inteligencia artificial y la persistencia del razonamiento de las decisiones automatizadas. Ninguna requiere inventar tecnología; requieren decidir hacerlas. Puedes ver cómo encaja este frente con el resto del gobierno de agentes en nuestra guía sobre permisos, trazabilidad y auditoría de lo que hace la IA en el ERP funerario.
La otra llave: la NOM-036-SCFI-2016 y PROFECO
Una particularidad mexicana que no existe en Chile ni en Costa Rica: la obligación de privacidad de una funeraria en México no vive solo en la ley de datos. Vive también en la norma sectorial que aplica la Procuraduría Federal del Consumidor. La NOM-036-SCFI-2016, «Prácticas comerciales, requisitos de información y disposiciones generales en la prestación de servicios funerarios», publicada en el Diario Oficial el 5 de enero de 2017, dice en su numeral 6.5 que el contrato debe «establecer que el proveedor ha dado a conocer su aviso de privacidad en los términos que señala la Guía para cumplir con los principios y deberes de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares».
Y va más lejos. El numeral 6.6 establece que «el consumidor podrá exigir a proveedores que la información relativa a él no sea cedida o trasmitida a terceros, ni que se le envíe publicidad sobre bienes o servicios», y el numeral 7.1.7 lo repite como derecho del consumidor. En la práctica, eso significa que una familia mexicana que pide no recibir publicidad no está invocando la ley de datos: está invocando una norma oficial que PROFECO verifica, con un procedimiento y una autoridad distintos de los de la Secretaría Anticorrupción y Buen Gobierno.
El numeral 6.1 cierra la pinza: «los contratos de adhesión para la prestación de servicios funerarios para su validez, tendrán que ser registrados ante la Procuraduría». Es decir, el documento donde vive el aviso de privacidad y la cláusula de transferencia está registrado ante una autoridad, y modificarlo no es editar un PDF en la sede.
La NOM-036 tiene además una ausencia que conviene conocer: no fija ningún plazo de conservación de documentos. Ni ella ni la LFPDPPP dan un número de años. Lo que la ley sí exige, en su artículo 12, es que el período de tratamiento de los datos sensibles sea «el mínimo indispensable». Traducido a una funeraria: el plazo lo fijas tú, por escrito, con criterio defendible —típicamente el que exija la materia fiscal y la civil para el contrato—, y luego lo cumples. Un plazo fijado y cumplido es defendible; no tener plazo, no.
Los datos del difunto: silencio en la ley del sector privado
Es la pregunta que hace todo el mundo en el sector y la respuesta honesta incomoda: la LFPDPPP no menciona a las personas fallecidas ni una sola vez. Buscamos en el articulado completo los términos fallecido, difunto, defunción, muerte, herederos y sucesión: cero ocurrencias.
Lo que sí existe es una regla expresa en la otra ley del mismo decreto. La Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados dispone en su artículo 43 que, tratándose de datos de personas fallecidas, quien acredite interés jurídico puede ejercer los derechos «siempre que la persona titular de los derechos hubiere expresado fehacientemente su voluntad en tal sentido o que exista un mandato judicial para dicho efecto». Pero esa ley rige a sujetos obligados públicos, no a una funeraria privada. El legislador mexicano resolvió el punto en una de las dos leyes del mismo decreto y lo dejó abierto en la otra.
Hay un detalle de redacción que vale registrar sin sobreinterpretarlo: la definición de datos personales del artículo 2 fracción V dice ahora «cualquier información concerniente a una persona identificada o identificable», y eliminó la palabra «física» que traía la ley de 2010. Que ese cambio ampare al difunto es especulación: no hay criterio publicado que lo resuelva, y así hay que decirlo.
Para un grupo funerario que opera en varios países de la región, lo importante es que este punto se resuelve distinto en cada mercado, y el sistema tiene que soportar esa diferencia en vez de aplicar un criterio único:
| País | Cómo se resuelve el dato del difunto |
|---|---|
| México (sector privado) | Sin regla. La LFPDPPP no menciona a las personas fallecidas. La única regla expresa está en la ley del sector público (LGPDPPSO, art. 43) y exige interés jurídico más voluntad expresada fehacientemente por el titular, o mandato judicial |
| Brasil | Quedan fuera del régimen de datos personales. La autoridad se pronunció expresamente: los datos de una persona fallecida no son datos personales para efectos de la LGPD, y la tutela se remite al derecho sucesorio y a los derechos de la personalidad (ANPD, Nota Técnica 3/2023) |
| Colombia | El causahabiente acreditado ejerce los derechos. La Ley 1581 de 2012 nunca excluye al fallecido y canaliza consulta, reclamo y queja ante la SIC por el causahabiente; el Decreto 1377 de 2013 exige acreditar esa calidad |
| Chile | Desde la entrada en vigencia de la Ley 21.719, los herederos ejercen los derechos, con el límite de la prohibición expresa que hubiera dejado la persona fallecida |
| Argentina | Los sucesores universales ejercen los derechos; el decreto reglamentario exige declaratoria de herederos |
Cinco países, cinco reglas distintas para el mismo campo de la misma tabla. Si tu operación es regional, quién es sujeto legitimado y si el dato del causante sigue siendo dato personal tiene que ser un parámetro por país en el sistema, no una decisión tomada una vez en la casa matriz. Y en los cinco, sin excepción, el dato del deudo vivo está plenamente protegido.
El terreno firme es otro, y es más que suficiente para organizar la operación: una funeraria mexicana trata, de todos modos, datos de personas vivas. El deudo que contrata, el titular sustituto que la NOM-036 obliga a designar, los dos beneficiarios con orden de prelación de su numeral 6.2.8, quien paga, el contacto de emergencia, el afiliado de un plan de previsión. Sobre ninguno de ellos hay la menor duda de aplicabilidad. Discutir si el difunto es titular es un debate interesante que no cambia una sola de las obligaciones que hay que cumplir mañana.
La aritmética de las multas con la UMA de 2026
El artículo 58 enumera diecinueve infracciones. Varias describen situaciones cotidianas en el sector: omitir alguno de los elementos del aviso de privacidad (fracción V), incumplir el deber de confidencialidad del artículo 20 (fracción VIII), recabar o transferir datos sin el consentimiento expreso cuando es exigible (fracción XIII) y crear bases de datos con sensibles sin justificar la finalidad (fracción XVIII). La última fracción es una cláusula abierta: «cualquier incumplimiento del responsable a las obligaciones establecidas a su cargo».
El artículo 59 fija las sanciones en Unidades de Medida y Actualización —la ley de 2010 las expresaba en días de salario mínimo del Distrito Federal— y establece el agravante que define el riesgo del sector funerario mexicano: «en tratándose de infracciones cometidas en el tratamiento de datos sensibles, las sanciones podrán incrementarse hasta por dos veces, los montos establecidos».
| Supuesto | Rango legal (art. 59) | Equivalente con la UMA de 2026 |
|---|---|---|
| Infracciones de las fracciones II a VII del art. 58 | 100 a 160.000 UMA | De 11.731 a 18.769.600 pesos |
| Infracciones de las fracciones VIII a XVIII (incluye confidencialidad, consentimiento y bases de sensibles) | 200 a 320.000 UMA | De 23.462 a 37.539.200 pesos |
| Reiteración | Multa adicional de 100 a 320.000 UMA | Hasta 37.539.200 pesos adicionales |
| Cualquiera de las anteriores, cometida sobre datos sensibles | Hasta el doble | Hasta 75.078.400 pesos |
El cálculo usa la UMA diaria vigente desde el 1 de febrero de 2026, 117,31 pesos, publicada por el INEGI en enero de 2026. Vale la pena advertirlo porque casi todas las cifras en pesos que circulan sobre esta ley están calculadas con la UMA de 2024 o 2025 y quedaron cortas; y el artículo 60 añade que la sanción se gradúa considerando, entre otras cosas, la capacidad económica del responsable, lo que en un grupo funerario multisede no juega a favor.
Y hay un tramo que rara vez se menciona en el sector. Los artículos 62 y 63 tipifican delitos: de tres meses a tres años de prisión para quien, estando autorizado para tratar datos, provoque con ánimo de lucro una vulneración de seguridad; y de seis meses a cinco años para quien trate datos mediante engaño con el fin de obtener un lucro indebido. El artículo 64 cierra: «tratándose de datos personales sensibles, las penas a que se refiere este Capítulo se duplicarán».
Hoja de ruta de noventa días para un grupo funerario en México
La ley lleva año y medio vigente, así que no hay una fecha futura que esperar: el retraso ya empezó. Este es el orden que tiene sentido para una operación mexicana de varias sedes, ordenado por lo que más reduce riesgo con menos esfuerzo.
- Semana 1 — Inventario de datos y finalidades. Enumera qué datos personales trata cada proceso, marca cuáles son sensibles y, sobre todo, encuentra los duplicados: en un ERP funerario la causa de muerte suele vivir en tres o cuatro tablas distintas. Sin este mapa, ninguna de las obligaciones siguientes se puede cumplir.
- Semana 2 — Reescribe el aviso de privacidad contra el artículo 15, no contra el modelo de 2010. La fracción II es nueva: hay que enumerar los datos tratados e identificar cuáles son sensibles. Y recuerda que la transferencia salió de la lista del artículo 15 y quedó en el artículo 35, que exige una cláusula específica de aceptación o rechazo.
- Semana 3 — Designa a la persona o departamento de datos personales que exige el artículo 29, con nombre, correo y respaldo por escrito. Es el requisito más barato de toda la ley y el primero que una verificación pide.
- Semanas 4 a 6 — Separa el consentimiento sensible de la firma del contrato. Casilla propia, desmarcada, texto corto y específico, y evidencia guardada con fecha, canal y versión del aviso aceptada. Si tu sistema no guarda la versión del texto que la persona aceptó, tienes consentimiento pero no tienes prueba.
- Semanas 6 a 8 — Contrato con cada proveedor que toque datos. Hosting, mensajería, pasarelas de pago, verificación de identidad, proveedores de modelos de inteligencia artificial. Ningún artículo vigente lo exige de forma expresa; los artículos 13, 18, 19 y 20 te hacen responsable igual.
- Semanas 8 a 10 — Procedimiento ARCO con reloj. Veinte días hábiles para comunicar la determinación y quince para hacerla efectiva (art. 31), ampliables una sola vez. Define quién recibe, quién resuelve y dónde queda registrada la respuesta. Es gratuito, salvo la reiteración del mismo titular en menos de doce meses, que admite un cobro de hasta 3 UMA.
- Semanas 10 a 12 — Política de retención escrita y protocolo de vulneraciones. Fija el plazo de conservación por tipo de dato con criterio defendible —la ley no da un número, exige el «mínimo indispensable» para los sensibles— y escribe el procedimiento del artículo 19, que obliga a informar «de forma inmediata». Un protocolo escrito con responsables y canales es la diferencia entre reaccionar y improvisar.
- Transversal — El inventario de decisiones automatizadas. Lista qué decide tu sistema sin intervención humana sobre una persona, y para cada una responde si puedes reconstruir el porqué. Es la preparación del artículo 26 fracción II, y es la que más tiempo toma.
Cinco errores que el sector funerario mexicano va a cometer
- Declarar que no se tratan datos sensibles. Está publicado hoy, en la primera página de Google, en el aviso de una funeraria mexicana. Con credo, régimen de seguridad social y causa de defunción en el expediente, esa declaración no protege: agrava, porque el artículo 58 fracción V sanciona omitir elementos del aviso y el artículo 60 gradúa por intencionalidad.
- Confundir el historial de cambios con la auditoría de acceso. Casi todo el software del sector registra quién modificó un dato y casi ninguno registra quién lo leyó. Son controles distintos y el artículo 18 no se satisface con el primero.
- Copiar el aviso de privacidad de otra funeraria. El artículo 15 fracción II obliga a enumerar los datos que tú tratas e identificar cuáles son sensibles. Un aviso copiado describe el tratamiento de otra empresa, y eso es exactamente la infracción.
- Creer que la falta de reglamento suspende la obligación. Los artículos sustantivos son exigibles desde el 21 de marzo de 2025. Lo que falta reglamentar son procedimientos, no deberes.
- Pedir consentimiento por escrito para todo. El error contrario también cuesta: el artículo 7 admite el consentimiento tácito como regla general, y los datos patrimoniales solo requieren consentimiento expreso, no por escrito. Sobrecargar el momento de la firma con papeles que la ley no pide empeora la experiencia de una familia en duelo sin añadir cumplimiento.
Dónde queda esto en un ERP funerario
Este artículo se escribió auditando nuestro propio código, así que corresponde ser exacto también en la parte comercial. Lo que hoy existe y sirve para cumplir: consentimiento de tratamiento como casilla desmarcada en el flujo de firma electrónica con evidencia y hash del documento; historial de cambios activo sobre los registros sensibles; tokenización de medios de pago; rol dedicado y modo de solo lectura para el conector de inteligencia artificial, con tope duro contra la extracción masiva; y trazabilidad completa del cobro automático, que es la única decisión automatizada del producto de la que hoy se puede reconstruir el porqué.
Lo que no existe y está en la hoja de ruta, dicho sin adornos: el registro de finalidades y consentimientos por titular, la conexión del flujo de supresión, la bitácora de lectura y de invocaciones del agente, la minimización de campos sensibles en el borde del conector y la persistencia del razonamiento de las decisiones automatizadas. Si evalúas software funerario en México, pide esta misma lista a cada proveedor, dividida en las dos columnas. La respuesta te dirá más que cualquier demostración.
Si operas en varios países de la región, el criterio no se copia de un mercado a otro: la Ley 21.719 chilena tiene un régimen sancionatorio y un calendario propios, y en Costa Rica la directriz de PRODHAB sobre gestiones de cobro restringe algo que en México todavía es legal. Para el resto de la operación mexicana, complementan este artículo nuestras guías sobre facturación electrónica con CFDI, contabilidad de la previsión funeraria y jornada de 40 horas y registro de asistencia.
Preguntas frecuentes sobre la LFPDPPP en el sector funerario mexicano
¿Qué dice la ley de aviso de privacidad en México y desde cuándo rige la nueva?
La ley vigente es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, en vigor desde el 21 de marzo de 2025. Abrogó la ley de 2010. Su artículo 15 exige que el aviso de privacidad contenga al menos seis elementos: identidad y domicilio del responsable; los datos que serán tratados, identificando cuáles son sensibles; las finalidades, distinguiendo las que requieren consentimiento; las opciones y medios para limitar el uso o divulgación; los mecanismos para ejercer los derechos de acceso, rectificación, cancelación y oposición; y el procedimiento por el cual se comunicarán los cambios al aviso.
¿Cuál es la norma oficial mexicana para funerarias?
Es la NOM-036-SCFI-2016, «Prácticas comerciales, requisitos de información y disposiciones generales en la prestación de servicios funerarios», publicada en el Diario Oficial el 5 de enero de 2017 y vigente sesenta días naturales después. Regula el contrato, la información al consumidor y los servicios funerarios a futuro, y obliga a registrar el contrato de adhesión ante PROFECO para su validez (numeral 6.1). En materia de datos, su numeral 6.5 exige acreditar que el proveedor dio a conocer su aviso de privacidad, y los numerales 6.6 y 7.1.7 reconocen al consumidor el derecho a exigir que su información no sea cedida a terceros ni se le envíe publicidad.
¿La causa de muerte es un dato personal sensible en México?
La ley no la nombra. El artículo 2 fracción VI enumera el «estado de salud presente o futuro» entre los datos sensibles, con una lista expresamente enunciativa más no limitativa, de modo que encuadrar ahí la causa de defunción es una lectura razonable, aunque no es texto expreso. En la práctica hay dos razones para tratarla como sensible: el artículo 59 permite duplicar la sanción cuando la infracción recae sobre datos sensibles, y avisos de privacidad de entidades públicas mexicanas ya la clasifican como dato de salud. El credo religioso, en cambio, sí es sensible por texto expreso.
¿Hay que informar en el aviso si se usan decisiones automatizadas o inteligencia artificial?
No es obligatorio por texto de ley. El artículo 15 no lo exige, y tampoco los artículos 14, 16 o 17. Lo que la ley sí creó es el derecho del artículo 26 fracción II: la persona puede oponerse cuando sus datos sean objeto de un tratamiento automatizado que le produzca efectos jurídicos no deseados o afecte de manera significativa sus intereses, y esté destinado a evaluar, sin intervención humana, aspectos como su situación económica o su estado de salud. Informarlo en el aviso es buena práctica y facilita responder ese derecho; presentarlo como una obligación legal expresa no es correcto.
¿Cuánto tiempo hay para responder a una persona que ejerce sus derechos ARCO?
El artículo 31 da un máximo de veinte días para comunicar la determinación adoptada y, si resulta procedente, quince días más para hacerla efectiva. Ambos plazos pueden ampliarse una sola vez por un período igual si las circunstancias lo justifican. Son días hábiles, según la definición del artículo 2 fracción VIII. Si la persona no queda conforme, tiene quince días desde la respuesta para acudir a la Secretaría Anticorrupción y Buen Gobierno (art. 40), que debe resolver en un máximo de cincuenta días.
¿Los datos de una persona fallecida están protegidos en México?
La ley que rige a las funerarias privadas no dice nada al respecto: no menciona a las personas fallecidas ni una sola vez. La regla expresa existe, pero en la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados —artículo 43—, que rige a entidades públicas y permite a quien acredite interés jurídico ejercer los derechos si el titular expresó fehacientemente esa voluntad o media mandato judicial. No hallamos criterio publicado de la autoridad aplicable al sector privado. En cualquier caso, la funeraria trata datos de personas vivas —el contratante, el titular sustituto, los beneficiarios, quien paga— y sobre esos no hay ninguna duda de aplicabilidad.
¿De cuánto son las multas y quién las impone hoy?
Las impone la Secretaría Anticorrupción y Buen Gobierno, a través de su Dirección General de Datos Personales en el Sector Privado, creada por la reforma a su Reglamento Interior publicada el 21 de marzo de 2025. El artículo 59 fija multas de 100 a 160.000 UMA o de 200 a 320.000 UMA según la infracción, más una multa adicional por reiteración, y permite incrementarlas hasta el doble cuando la infracción recae sobre datos sensibles. Con la UMA diaria de 2026 —117,31 pesos— el techo con agravante supera los 75 millones de pesos. Los artículos 62 a 64 añaden penas de prisión, también duplicadas tratándose de datos sensibles.
¿México tiene ya una ley de inteligencia artificial que aplique a una funeraria?
No. A septiembre de 2026 no hay ninguna norma de inteligencia artificial publicada en el Diario Oficial de la Federación: la búsqueda en el índice del Diario de los últimos diez años por «inteligencia artificial» y por «algoritmo» no devuelve resultados, y el catálogo federal de leyes no lista ninguna. Lo único aplicable hoy a un sistema automatizado que decide sobre personas en México es el artículo 26 fracción II de la LFPDPPP, junto con los deberes generales de finalidad, seguridad y confidencialidad. Hay iniciativas en el Congreso, pero una iniciativa presentada no es una ley y no genera obligaciones.
Este artículo se preparó el 2 de septiembre de 2026 con base en el texto publicado en el Diario Oficial de la Federación. No es asesoría legal: la aplicación concreta a una operación funeraria en México debe revisarse con el área jurídica de la compañía.