O marco xurídico

O LFPDPPP sitúase no cume dun marco de múltiples niveis. A propia lei define os principios fundamentais — legalidade, consentimento, información, calidade, propósito, fidelidade, proporcionalidade, responsabilidade — que os redactores mexicanos tomaron prestado da tradición europea de protección de datos. Por baixo da lei sitúanse os Regulamentos do LFPDPPP, que cobren os detalles operativos, e os Lineamientos del Aviso de Privacidad (as directrices do aviso de privacidade), que especifican o que debe aparecer nun aviso de privacidade e como. Estes tres textos forman xuntos o equivalente mexicano dun código de privacidade unificado, coa forza práctica dunha regulación vinculante.

Para os editores en liña, as disposicións máis transcendentes son as normas de consentimento dos artigos 8 ao 11 da lei e os requisitos de aviso de privacidade que regulan como se solicita o consentimento. O consentimento mexicano está graduado: o consentimento implícito é suficiente para algún tratamento de datos persoais ordinarios cando se deu o aviso adecuado, pero o consentimento expreso é necesario para os datos sensibles e para calquera tratamento que a lei requira específicamente. A cuestión interpretativa para as bandeiras de cookies é cal destes réximes se aplica ás cookies de comportamento e publicidade.

Como a lei mexicana trata as cookies e os identificadores en liña

A diferenza da Directiva ePrivacy da UE, o LFPDPPP non contén unha disposición específica sobre cookies. En cambio, o marco trata os identificadores en liña como datos persoais cando se poden vincular a un individuo identificable, e as obrigas de consentimento derivan do marco xeral e non dunha norma dedicada a cookies. A orientación do INAI aclarou que:

• As cookies de primeira parte estritamente necesarias para o funcionamento do sitio non requiren consentimento previo, pero a súa presenza debe divulgarse no aviso de privacidade.
• As cookies analíticas xeralmente requiren consentimento informado, sendo aceptable o consentimento implícito cando o aviso de privacidade é claramente accesible antes de que se recollan datos.
• As cookies publicitarias e de comportamento requiren consentimento expreso, especialmente cando os datos se comparten con terceiros ou se usan para o seguimento entre sitios.
• As cookies que capturan datos sensibles — saúde, orientación sexual, crenza relixiosa, opinión política — requiren consentimento expreso independentemente da categoría.

O efecto práctico é que unha bandeira de cookies mexicana que cumpra a normativa debe distinguir como mínimo entre as categorías necesarias, analíticas e publicitarias, con opt-in afirmativo necesario para a publicidade e aviso claro para a analítica.

O aviso de privacidade como ancla de cumprimento

O dereito de privacidade mexicano está centrado no aviso dunha forma que difire da tradición europea. O aviso de privacidade — aviso de privacidad — non é só un documento de transparencia; é o instrumento xurídico a través do cal se estrutura o consentimento. Os Lineamientos del Aviso de Privacidad requiren que o aviso conteña elementos específicos, e calquera bandeira de cookies debe ser coherente co aviso subxacente en vez de intentar comprimir todo nunha ventá emerxente de bandeira.

Elementos obrigatorios do aviso

O aviso debe identificar o responsable do tratamento, enumerar os datos persoais que se recollen, describir os fins do tratamento, especificar se os datos serán transferidos a terceiros, identificar os dereitos do interesado (acceso, rectificación, cancelación, oposición — os chamados dereitos ARCO) e describir como se poden exercer eses dereitos. Para un editor en liña, a bandeira de cookies debe actuar como un punto de entrada estratificado ao aviso completo, non como un substituto del.

Curto, simplificado, integral

Os regulamentos recoñecen tres formatos de aviso: integral (completo), simplificado e curto. Unha bandeira de cookies normalmente presenta o aviso curto ou simplificado cunha ruta clara á versión integral. As categorías de cookies e os interruptores de consentimento viven dentro desta estrutura en capas.

A reforma do INAI e o que vén despois

A finais de 2024 o goberno mexicano avanzou nunha reforma que reestrutura a función federal de protección de datos — o INAI autónomo está sendo absorbido nunha nova disposición institucional baixo o poder executivo. O marco xurídico (LFPDPPP, regulamentos, lineamientos) segue vixente, pero a continuidade da supervisión é a cuestión aberta. Para os editores, a postura conservadora é asumir que os estándares substantivos se manteñen constantes mentres que a intensidade de execución é incerta no período de transición. Construír segundo os estándares que o INAI articulou antes da reforma — categorías granulares, opt-in expreso para publicidade, soporte completo de dereitos ARCO, aviso de privacidad preciso — é a estratexia correcta independentemente de como se estabilice a arquitectura de supervisión.

Unha lista de verificación práctica de cumprimento

Seis preguntas concretas para responder para calquera bandeira de cookies que sirva tráfico mexicano.

1. Categorización

A bandeira separa as cookies en categorías necesarias, analíticas e publicitarias como mínimo, con opt-in afirmativo para a publicidade? Agrupar todas as cookies non esenciais baixo un único «Aceptar todo» sen granularidade é o defecto máis común.

2. Vinculación ao aviso de privacidade

A bandeira enlaza co aviso de privacidade completo, e ese aviso contén todos os elementos requiridos (responsable do tratamento, datos, fins, transferencias, dereitos ARCO)? Unha bandeira sen un aviso de apoio correctamente redactado é unha superficie de cumprimento escasa.

3. Lingua española (mexicana)

A bandeira está presentada en español e utiliza as convencións do español mexicano onde diverxen do español europeo? O rexistro lingüístico correcto é sinal de seriedade tanto para os usuarios como para os supervisores.

4. Vía de retirada

Existe un control persistente que permite ao usuario revisar e modificar a súa elección de consentimento? O dereito a revogar forma parte do dereito de «oposición» do ARCO e a bandeira debe acomodalo.

5. Divulgación de transferencias a terceiros

O aviso identifica as categorías de terceiros que reciben datos persoais a través de cookies (redes publicitarias, provedores de analítica, CDP), con suficiente detalle para que o usuario entenda o fluxo de datos?

6. Rexistro

O sistema rexistra cada decisión de consentimento con marca de tempo e versión de bandeira para que, no caso dunha queixa, o editor poida demostrar que a decisión foi dada libremente e con coñecemento?

Como encaixa isto no panorama latinoamericano

México é o segundo maior mercado dixital de América Latina despois de Brasil, e o seu réxime de protección de datos é un dos máis influentes da rexión. O debate sobre a reforma que se está a desenvolver configurará a dirección interpretativa durante anos, pero os estándares substantivos son estables: centrado no aviso, fundamentado nos dereitos ARCO, consentimento granular para a publicidade, divulgación completa das transferencias a terceiros. Os editores que operan en toda América Latina benefícianse de construír unha vez co estándar máis elevado — o marco reformado de Arxentina, o LGPD de Brasil, a lei reformada de Chile e o proxecto de lei pendente de Colombia todos converxen en expectativas de liña de base similares. Un CMP que admite o español mexicano, captura o consentimento a nivel de categoría, enlaza de forma limpa cun aviso de privacidad completo e rexistra as decisións en formato de nivel de auditoría xestiona o cumprimento mexicano a través da mesma infraestrutura que xestiona o cumprimento rexional.