El expediente de cada trabajador —solicitud de empleo, examen médico de ingreso, resultados de la NOM-035, huellas del checador— es, en términos legales, una base de datos personales. Desde el 21 de marzo de 2025 rige una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares que abrogó la ley de 2010, desapareció al INAI y trasladó la vigilancia y las multas a la Secretaría Anticorrupción y Buen Gobierno. Casi todas las empresas de Tijuana y Ensenada actualizaron su aviso de privacidad para clientes y proveedores; muy pocas tocaron el de empleados y candidatos. Ese es el hueco, y la sanción por omitir elementos del aviso llega a 160,000 UMA, duplicables en datos sensibles.
Qué cambió el 21 de marzo de 2025
La nueva LFPDPPP se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor al día siguiente; su segundo artículo transitorio abrogó expresamente la ley del 5 de julio de 2010, y el 14 de noviembre de 2025 se reformó su artículo 4 para precisar la supletoriedad procesal. Para un patrón importan tres cambios. La autoridad ya no es el INAI: la Secretaría Anticorrupción y Buen Gobierno verifica, resuelve y sanciona. El catálogo de infracciones del artículo 58 llegó a diecinueve fracciones y cierra con una cláusula abierta —«cualquier incumplimiento del responsable a las obligaciones establecidas a su cargo»— que deja poco margen para alegar que una omisión no está tipificada. Y el artículo 29 obliga a designar una persona o departamento de datos personales, rol que en la mayoría de las empresas medianas de Baja California ya ejerce RH de facto, sin nombramiento por escrito.
El expediente laboral es una base de datos, y buena parte es «sensible»
El artículo 2, fracción VI define como datos sensibles los que afectan la esfera más íntima del titular o cuyo uso indebido puede originar discriminación o un riesgo grave: origen racial o étnico, estado de salud, información genética, creencias religiosas o morales, opiniones políticas y preferencia sexual. En el expediente que RH integra todos los días eso alcanza al examen médico de ingreso y a los periódicos —que el artículo 134, fracción X de la Ley Federal del Trabajo permite exigir—, a los certificados de incapacidad del IMSS y su diagnóstico, a los resultados individuales de la NOM-035-STPS-2018 y a los biométricos del checador.
El artículo 8 es tajante: para datos sensibles el responsable debe obtener el consentimiento expreso y por escrito mediante firma autógrafa, firma electrónica o mecanismo de autenticación equivalente. Y añade una prohibición que casi nadie documenta: no pueden crearse bases de datos sensibles sin justificar su creación para finalidades legítimas, concretas y acordes con las actividades explícitas de la empresa. No basta la firma; hay que poder explicar por qué la empresa necesita ese dato.
Lo que la ley exige (y lo que no)
- Sí exige un aviso de privacidad con los seis elementos del artículo 15: identidad y domicilio del responsable; datos que se tratarán, identificando los sensibles; finalidades, distinguiendo las que requieren consentimiento; opciones para limitar el uso o divulgación; mecanismos para ejercer derechos ARCO; y procedimiento para comunicar cambios al aviso.
- Sí exige entregarlo en ese momento cuando los datos se obtienen en formatos impresos (artículo 16, fracción I). La solicitud de empleo es el caso típico: si el aviso llega hasta el día del alta, ya se recabaron datos sin él.
- Sí exige consentimiento expreso y por escrito para datos sensibles y justificar la existencia misma de la base (artículo 8), además de medidas de seguridad administrativas, técnicas y físicas que no pueden ser menores a las que la empresa mantiene para su propia información (artículo 18).
- Sí exige designar persona o departamento de datos personales y atender las solicitudes ARCO en un máximo de veinte días, haciéndolas efectivas dentro de los quince días siguientes (artículos 29 y 31).
- No exige destruir el expediente cuando el trabajador se va: el artículo 804 de la Ley Federal del Trabajo obliga a conservar el contrato individual mientras dure la relación y hasta un año después, y las listas de raya, controles de asistencia y comprobantes de utilidades, vacaciones y aguinaldos por el último año y uno más.
- No exige registro ni permiso previo ante la autoridad: la obligación es documental y se acredita en la verificación. Tampoco exime a la empresa haber tercerizado nómina o reclutamiento: quien decide sobre el tratamiento sigue siendo el responsable.
Conservar o suprimir: dos leyes que apuntan en direcciones distintas
El conflicto práctico más común es qué hacer con el expediente de un ex trabajador. La LFT empuja a conservar para exhibir en juicio; la LFPDPPP empuja a suprimir lo que ya no tiene finalidad. La respuesta no es elegir una, sino separar el expediente por tipo de documento.
| Documento | Qué manda la LFT (art. 804) | Qué manda la LFPDPPP | Criterio práctico |
|---|---|---|---|
| Contrato individual de trabajo | Durante la relación y un año más | Finalidad vigente mientras exista deber legal de conservarlo | Conservar: es la defensa base ante una demanda |
| Listas de raya, recibos de pago, controles de asistencia | Último año y uno después de extinguida la relación | Conservar sólo mientras subsista la finalidad | Conservar el plazo de ley; después suprimir o disociar |
| Comprobantes de PTU, vacaciones y aguinaldo | Último año y uno después | Igual que el anterior | Conservar el plazo de ley |
| Examen médico de ingreso y expediente de salud | No listado en el art. 804 | Sensible: consentimiento expreso y finalidad concreta | Custodia separada y supresión al cesar la finalidad |
| Resultados individuales NOM-035 | No listado en el art. 804 | Dato sensible de salud | Guardar agregados; individuales con confidencialidad reforzada |
| Datos biométricos del checador | El control de asistencia sí; el biométrico no | Dato sensible; base de datos que debe justificarse | Justificar por escrito y ofrecer alternativa no biométrica |
El checador biométrico: el punto más frágil de las plantas de Baja California
La huella dactilar y el reconocimiento facial llegaron a la industria de Tijuana y Ensenada como solución de control de asistencia, no como tratamiento de datos. El problema es que el biométrico identifica de forma única e irrevocable: si se filtra, no se puede cambiar como una contraseña.
Bajo el artículo 8, la empresa que usa biométricos debe acreditar por escrito tres cosas: el consentimiento expreso y firmado de cada trabajador, la justificación de por qué el control de asistencia no puede lograrse con un medio menos invasivo, y las medidas de seguridad del artículo 18 sobre la plantilla biométrica. Si el proveedor del reloj checador aloja las plantillas en la nube, hay además una transferencia que debe estar cubierta en el aviso. Documentarlo es parte de un programa de cumplimiento laboral preventivo, no un trámite aislado. Y conviene anticipar un matiz: si el consentimiento se recaba dentro de la relación de trabajo, un tribunal puede cuestionar su libertad, así que la práctica recomendable es ofrecer una alternativa real —gafete, NIP, registro manual— y dejar constancia de que se ofreció.
Riesgos si no se cumple
El artículo 59 fija las sanciones. Con la UMA vigente desde el 1 de febrero de 2026 —117.31 pesos diarios— los rangos quedan así:
- 100 a 160,000 UMA (11,731 a 18,769,600 pesos) por las fracciones II a VII del artículo 58, entre ellas omitir en el aviso de privacidad alguno o todos los elementos del artículo 15.
- 200 a 320,000 UMA (23,462 a 37,539,200 pesos) por las fracciones VIII a XVIII: incumplir el deber de confidencialidad, transferir datos sin consentimiento exigible, vulnerar la seguridad de las bases de datos cuando sea imputable al responsable y crear bases sensibles sin justificación.
- Multa adicional de 100 a 320,000 UMA si las infracciones persisten de forma reiterada.
- Duplicación: en infracciones cometidas en el tratamiento de datos sensibles las sanciones pueden incrementarse hasta por dos veces, con techo de 75,078,400 pesos.
Hay un segundo riesgo, menos visible y más frecuente: el probatorio. Si la empresa acredita faltas de asistencia con registros biométricos obtenidos sin aviso ni consentimiento, o sustenta una rescisión en información del expediente médico, abre la puerta a que la contraparte objete la prueba por su origen. En una defensa de demanda laboral eso convierte un despido justificado en uno de resultado incierto. El blindaje está en incorporar las cláusulas de tratamiento de datos y el uso de medios de control al contrato individual y al reglamento interior de trabajo, no en un formato suelto que nadie firma.
Checklist para RH
- Levantar el inventario de datos personales por etapa —candidato, alta, relación vigente, terminación y archivo— marcando cuáles son sensibles.
- Redactar o actualizar un aviso de privacidad específico para candidatos y trabajadores con los seis elementos del artículo 15, distinto del aviso de clientes y proveedores.
- Incorporar el aviso integral a la solicitud de empleo impresa y entregarlo en el momento en que se recaban los datos, con acuse firmado y fechado.
- Recabar consentimiento expreso y por escrito, con firma autógrafa o electrónica, para exámenes médicos, resultados individuales de la NOM-035 y biométricos, y documentar la justificación de cada base sensible: finalidad legítima, concreta y acorde con la actividad de la empresa.
- Designar formalmente, mediante oficio o acta, a la persona o departamento de datos personales del artículo 29 y publicar un correo de contacto para solicitudes ARCO.
- Documentar las medidas de seguridad del artículo 18: acceso controlado al archivo físico, perfiles y contraseñas en nómina, bitácora de consultas y cláusula de confidencialidad para el personal de RH.
- Definir una política de conservación y supresión que cruce el artículo 804 de la LFT con la finalidad del dato, con actas de destrucción, y revisar los contratos con proveedores de nómina, reclutamiento, exámenes médicos y relojes checadores para incluir cláusulas de encargado y confidencialidad.
- Diseñar un procedimiento interno de veinte días para responder solicitudes ARCO y un protocolo ante vulneraciones de seguridad, con registro de fecha, alcance y medidas correctivas.
Este artículo tiene fines informativos y no constituye asesoría legal para un caso concreto. La aplicación de la LFPDPPP al expediente laboral depende del giro de la empresa, de los datos que efectivamente trata y de su documentación. Si su empresa opera en Tijuana o Ensenada y necesita revisar avisos de privacidad, contratos y reglamento interior desde la perspectiva del patrón, puede agendar una consulta con nuestro equipo.
Fuentes: Ley Federal de Protección de Datos Personales en Posesión de los Particulares, DOF 20 de marzo de 2025, reformada el 14 de noviembre de 2025 (artículos 2, 8, 15, 16, 18, 29, 31, 58, 59 y transitorios primero y segundo); Ley Federal del Trabajo, artículos 134 fracción X y 804; NOM-035-STPS-2018; INEGI, valor de la Unidad de Medida y Actualización vigente desde el 1 de febrero de 2026 (117.31 pesos diarios), DOF 9 de enero de 2026.