Piensa por un momento en cuántas empresas tienen tus datos: la tienda en línea donde compraste una vez, la app que abriste “solo para ver”, la promoción a la que te suscribiste hace años. En México tienes derecho a saber quién tiene tu información, para qué la usa y a exigir que la corrija o la elimine. Se llaman derechos ARCO. El problema es que casi nadie los ejerce, casi siempre por desconocer que existen.
Qué son los derechos ARCO
Son cuatro derechos que la ley reconoce a cualquier persona sobre sus datos personales:
- A — Acceso. Saber qué datos tuyos tiene una empresa y para qué los usa. Con la ley vigente, también tienes derecho a conocer las condiciones y generalidades de ese tratamiento.
- R — Rectificación. Pedir que corrijan datos inexactos, incompletos o que ya no están actualizados.
- C — Cancelación. Exigir que eliminen tus datos de sus archivos, registros y sistemas cuando ya no deban tratarlos.
- O — Oposición. Negarte a que usen tus datos para determinados fines.
Y hay una novedad importante: hoy puedes oponerte a decisiones automatizadas —esas que toma un algoritmo sin intervención humana— cuando afectan de forma significativa tus derechos. En la era de la inteligencia artificial y el profiling, eso no es un detalle menor.
Lo que cambió en 2025 (y por qué importa)
Si buscaste este tema hace un par de años, la información ya está desactualizada. En marzo de 2025 entró en vigor una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que sustituyó por completo a la de 2010.
Dos cambios que conviene tener claros:
- El INAI desapareció. El Instituto que antes vigilaba estos temas se extinguió. La autoridad en materia de datos personales del sector privado es ahora la Secretaría Anticorrupción y Buen Gobierno.
- Se reforzaron tus derechos. La ley amplió el acceso, la rectificación y —como vimos— la oposición frente a decisiones automatizadas, además de endurecer las sanciones a las empresas que los ignoran.
Los derechos siguen llamándose ARCO. Lo que cambió es ante quién y cómo se hacen valer.
Cómo ejercerlos, paso a paso
Ejercer un derecho ARCO es más sencillo de lo que parece:
- Identifica al responsable. Es la empresa que tiene tus datos. Su aviso de privacidad debe indicar un correo o área de contacto para atender estas solicitudes.
- Envía tu solicitud. Especifica qué derecho quieres ejercer (acceso, rectificación, cancelación u oposición) y sobre qué datos.
- Espera la respuesta. La empresa tiene, por regla general, 20 días para responderte.
- Si te ignoran o te niegan sin razón, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, en general dentro de los 15 días siguientes, para hacer valer tu derecho.
No necesitas un motivo elaborado para preguntar quién tiene tus datos. El derecho a saberlo es tuyo por ley.
El otro lado del mostrador: ¿y si la empresa eres tú?
Aquí es donde el tema deja de ser solo del ciudadano. Si tu negocio recolecta datos de clientes o usuarios, tú eres el responsable, y la nueva ley te exige estar listo para responder:
- Un aviso de privacidad actualizado conforme al marco de 2025 (muchos siguen citando al INAI y la ley vieja).
- Un mecanismo real para recibir y atender solicitudes ARCO dentro del plazo.
- Procesos para documentar tus respuestas, incluidas las negativas.
Y ojo con esto: bajo la ley vigente, atender con negligencia o dolo una solicitud ARCO es una infracción sancionable, con multas que se calculan en Unidades de Medida y Actualización y que, en los casos más graves, escalan a cifras millonarias —y se duplican cuando hay datos sensibles de por medio. Ignorar una solicitud ya no es solo un mal trato al cliente: es un riesgo legal y reputacional concreto.
En Click & Law lo vemos así
La protección de datos no es un trámite: es un derecho —el tuyo— y una obligación —la de las empresas—. Entender la ley tan bien como la tecnología es lo que permite ejercer uno y cumplir la otra sin sobresaltos.
- ¿Eres persona y quieres saber quién tiene tus datos? Te ayudamos a ejercer tus derechos ARCO.
- ¿Tu empresa recolecta datos? Revisamos tu aviso de privacidad y montamos el proceso para responder solicitudes conforme a la ley de 2025, antes de que llegue la primera —o la sanción.
¿Ya sabes quién tiene tu privacidad? Agenda una consultoría y lo revisamos contigo.