¿Qué dice la Ley de Protección de Datos Personales y qué obligaciones genera para empresas que hacen KYC digital?

Cuando una empresa pide a un cliente que tome una foto de su INE, se tome una selfie y grabe un video de prueba de vida, está recolectando algunos de los datos más sensibles que existen: imágenes biométricas, datos del documento de identidad, información de domicilio y características faciales. Todo eso tiene un marco legal que regula cómo puede obtenerse, usarse, conservarse y eliminarse.

Ese marco es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares — la LFPDPPP — y aplica a cualquier empresa privada que recolecte datos personales de personas físicas en México, sin importar su tamaño ni sector.

Qué es la LFPDPPP y a quiénes aplica

La LFPDPPP, publicada en 2010 y reglamentada en 2011, establece los principios, obligaciones y derechos que rigen el tratamiento de datos personales por parte de personas morales y físicas con actividad empresarial. Su autoridad supervisora es el INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales).

Aplica a toda empresa que:

• Recolecte datos personales de clientes, prospectos, empleados o cualquier persona física

• Los procese, almacene, transmita o use con cualquier fin

En el contexto de un proceso de KYC digital, esto incluye desde la captura del nombre y CURP del cliente hasta las imágenes biométricas del proceso de verificación.

Qué son datos personales sensibles y por qué importan en KYC

La ley distingue entre datos personales ordinarios y datos personales sensibles. Los datos sensibles son los que, si se divulgan indebidamente, pueden originar discriminación o afectar gravemente al titular. Requieren protección reforzada y consentimiento explícito.

En un proceso de KYC digital, los datos biométricos — características faciales derivadas de la selfie, el video de prueba de vida, las huellas si aplica — califican como datos personales sensibles bajo la LFPDPPP. Esto tiene implicaciones directas sobre cómo deben tratarse.

Las obligaciones principales para empresas que hacen KYC digital

1. Aviso de privacidad

Toda empresa debe tener un aviso de privacidad que informe al titular, antes de recolectar sus datos:

• Quién es el responsable del tratamiento

• Qué datos se recolectan y para qué finalidad

• Si los datos se transfieren a terceros y a quiénes

• Cómo puede el titular ejercer sus derechos ARCO

• El periodo de conservación de los datos

En un flujo de KYC digital, el aviso de privacidad debe mostrarse y aceptarse antes de que el usuario inicie la captura. No basta con tenerlo publicado en el sitio web — debe ser accesible y legible en el momento de la recolección.

2. Consentimiento

Para datos personales ordinarios, el consentimiento puede ser tácito (continuar usando el servicio después de ver el aviso). Para datos sensibles — incluyendo biometría — la ley exige consentimiento expreso y por escrito, que puede ser electrónico.

En la práctica, esto significa que el usuario debe confirmar activamente que acepta el tratamiento de sus datos biométricos antes de iniciar el flujo de captura, no solo hacer clic en "continuar".

3. Principio de finalidad

Los datos solo pueden usarse para las finalidades informadas en el aviso de privacidad. Si los datos biométricos del KYC se recolectaron para verificar identidad en la contratación, no pueden usarse después para análisis de marketing o para otros fines no declarados.

4. Principio de proporcionalidad

Solo deben recolectarse los datos estrictamente necesarios para la finalidad declarada. Un proceso de KYC para apertura de cuenta no debería recolectar más datos de los que exige el marco regulatorio aplicable (CNBV, LACP, LFPIORFI según corresponda).

5. Seguridad

La empresa debe implementar medidas de seguridad administrativas, físicas y técnicas para proteger los datos contra pérdida, robo, acceso no autorizado o uso indebido. Para datos biométricos, esto implica cifrado en tránsito y en reposo, control de acceso y políticas de retención definidas.

6. Transferencias a terceros

Si el proceso de KYC involucra un proveedor externo que procesa las imágenes o ejecuta la verificación biométrica — lo cual es el caso en la mayoría de las plataformas de KYC digital — esa transferencia debe estar declarada en el aviso de privacidad y el proveedor debe comprometerse a las mismas obligaciones de protección mediante un contrato de transmisión de datos.

Derechos ARCO y cómo afectan el proceso de KYC

Los titulares tienen cuatro derechos sobre sus datos: Acceso, Rectificación, Cancelación y Oposición — los derechos ARCO. La empresa debe tener un procedimiento definido para responderlos dentro de los plazos que establece la ley (20 días hábiles para acceso y rectificación, 20 días para cancelación y oposición, con posibilidad de prórroga).

En el contexto de KYC, el derecho de cancelación tiene una particularidad importante: si la empresa está obligada por regulación financiera a conservar el expediente de identificación del cliente durante un periodo determinado (por ejemplo, 10 años bajo la LACP para actividades vulnerables), puede negarse a cancelar los datos durante ese periodo, siempre que lo informe así al titular.

La relación entre LFPDPPP y las obligaciones de KYC regulatorio

Hay un punto de tensión frecuente: las regulaciones financieras (CNBV, LACP, LFPIORFI) obligan a las empresas a recolectar y conservar datos de identificación de sus clientes. La LFPDPPP regula cómo hacerlo.

Ambas obligaciones coexisten y no se contradicen — la regulación financiera define qué datos recolectar y por cuánto tiempo conservarlos; la LFPDPPP define cómo informar al titular, obtener su consentimiento y proteger esos datos durante el tiempo que deban conservarse.

El aviso de privacidad debe reflejar esa realidad: informar que los datos se conservan por el periodo que exige la regulación aplicable, incluso si el titular solicita su cancelación.

Qué pasa cuando no se cumple

El INAI puede iniciar procedimientos de verificación y sancionar a las empresas que incumplan la LFPDPPP. Las sanciones van desde amonestaciones hasta multas que pueden alcanzar millones de pesos, dependiendo de la gravedad y reincidencia. Los incumplimientos más comunes en procesos de KYC digital incluyen:

• Aviso de privacidad inexistente o incompleto

• Ausencia de consentimiento expreso para datos biométricos

• Transferencia de datos a proveedores sin contrato de transmisión

• Falta de mecanismos para atender derechos ARCO

Cómo una plataforma de KYC digital ayuda a cumplir

Una plataforma como DIGID incorpora por diseño varios de los requisitos de la LFPDPPP: presenta el aviso de privacidad y solicita consentimiento expreso antes de iniciar la captura biométrica, transmite los datos cifrados a los servidores de verificación, y documenta qué datos se recolectaron, cuándo y con qué finalidad.

El integrador — la empresa que contrata el servicio — sigue siendo el responsable principal ante la LFPDPPP. DIGID actúa como encargado del tratamiento, y el contrato de servicio establece las obligaciones de ambas partes respecto a la protección de los datos.

Preguntas frecuentes

¿Aplica la LFPDPPP si la empresa es pequeña o mediana? Sí. La ley no establece un umbral de tamaño. Aplica a toda persona moral o física con actividad empresarial que trate datos personales, independientemente de su tamaño.

¿El aviso de privacidad puede estar solo en el sitio web? No es suficiente para un proceso de KYC. Debe ser presentado y aceptado en el momento y lugar donde se recolectan los datos — en la pantalla previa al inicio del flujo de captura.

¿Cuánto tiempo pueden conservarse las imágenes del KYC? Depende de la finalidad y de las obligaciones regulatorias aplicables. Para empresas sujetas a la LACP o a regulación de la CNBV, el periodo mínimo de conservación puede ser de 5 a 10 años. El aviso de privacidad debe declarar ese periodo.

¿El proveedor de KYC es responsable ante el INAI? El responsable principal es la empresa que contrata el servicio y define los fines del tratamiento. El proveedor de KYC actúa como encargado y debe cumplir las instrucciones del responsable. Ambos pueden tener responsabilidad si incumplen sus obligaciones contractuales.

¿La biometría siempre es dato sensible bajo la LFPDPPP? Las características biométricas que permiten identificar a una persona — como el patrón facial usado en el face match — califican como datos sensibles. Una fotografía ordinaria del documento no necesariamente, pero las imágenes procesadas para verificación biométrica sí.

Cumple la LFPDPPP en tu proceso de KYC desde el diseño

DIGID incorpora los requerimientos de consentimiento, aviso de privacidad y protección de datos en el flujo de verificación de identidad. El expediente que genera documenta qué datos se recolectaron, cuándo y bajo qué consentimiento.

Habla con tu ejecutivo de DIGID para revisar cómo tu implementación cumple con la LFPDPPP.