Datos personales sensibles en México: qué son y cómo tratarlos

Los datos personales sensibles son los que tocan lo más íntimo de una persona: su salud, su origen étnico, sus creencias, su preferencia sexual, sus opiniones políticas, su información genética. En México los regula la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), y con ellos la regla cambia: se necesita consentimiento expreso y por escrito, más cuidado en la seguridad y, si algo sale mal, multas que pueden llegar al doble.

Se puede trabajar con ellos, sabiendo dónde aparecen y qué no debe salir de la oficina. Aquí va qué dice la ley, con ejemplos, y qué revisar antes de pegarlos en una IA.

Qué son los datos personales sensibles según la ley

La LFPDPPP vigente se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y sustituyó a la de 2010. Su artículo 2, fracción VI, define los datos personales sensibles como los que afectan la esfera más íntima de la persona titular, o cuya utilización indebida puede dar origen a discriminación o implicar un riesgo grave para ella.

Después da una lista, y la ley misma aclara que es «de manera enunciativa más no limitativa». Se consideran sensibles los datos que puedan revelar:

• el origen racial o étnico;
• el estado de salud presente o futuro;
• la información genética;
• las creencias religiosas, filosóficas y morales;
• las opiniones políticas;
• la preferencia sexual.

Que la lista sea abierta tiene dos lecturas. Un dato que no aparece puede ser sensible si encaja en la definición. Y al revés, no conviene afirmar que algo lo es «por ley» si el texto no lo nombra: los datos biométricos, como la huella o la foto, no están en la lista, y lo que decide es si en ese uso concreto afectan la intimidad o abren la puerta a discriminar.

Ejemplos de datos sensibles que llegan a una oficina

Casi nadie los recaba a propósito, pero llegan dentro de documentos que parecen administrativos:

• Salud. La incapacidad que justifica una falta, el correo de un empleado que explica su tratamiento, el examen médico de ingreso, el expediente que un consultorio manda a la aseguradora. El «estado de salud futuro» también cuenta: un pronóstico o un antecedente familiar.
• Origen étnico. La pertenencia a un pueblo indígena que aparece en un expediente agrario o en una solicitud de apoyo. En un municipio aparece en los expedientes de apoyo social, como contamos en la IA en los ayuntamientos y los datos de la ciudadanía.
• Creencias religiosas. La petición de un día libre por una festividad, o el documento de una asociación religiosa con la lista de sus miembros.
• Opiniones políticas. La afiliación a un partido en un currículum que llega a recursos humanos, o una queja interna que cita la militancia de alguien.
• Preferencia sexual. El expediente de una demanda por discriminación o la designación de beneficiarios que revela una pareja del mismo sexo. Esa designación es un papel de todos los días para un agente, y cómo se trabaja con IA sin exponer al asegurado lo contamos en IA para agentes de seguros de vida y gastos médicos.
• Información genética. Una prueba de paternidad en un juicio familiar o un estudio genético dentro de un historial clínico.

En un despacho de abogados varios de estos datos se juntan en el mismo expediente. En un despacho contable aparecen en la nómina, en las incapacidades y en las deducciones personales de la declaración anual.

Cómo tratarlos: consentimiento por escrito y lo mínimo indispensable

Para los datos comunes, la ley admite el consentimiento tácito: si pusiste el aviso de privacidad a disposición y la persona no se opuso, basta. Con los sensibles no. El artículo 8 exige el consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica o cualquier mecanismo de autenticación que se establezca.

El mismo artículo agrega una regla que a veces se pasa por alto: no se pueden crear bases de datos con datos sensibles si no se justifican para finalidades legítimas, concretas y acordes con la actividad de la empresa. A eso se suman tres obligaciones más:

1. El aviso de privacidad tiene que identificar qué datos sensibles recabas (artículo 15, fracción II).
2. El periodo de tratamiento se limita al mínimo indispensable, con esfuerzos razonables para lograrlo (artículo 12).
3. Usarlos para otra cosa pide un nuevo consentimiento. Si la finalidad no está en el aviso, el artículo 11 obliga a volver a pedirlo.

Seguridad, confidencialidad y multas agravadas

El artículo 18 obliga a mantener medidas de seguridad administrativas, técnicas y físicas, y dice que para fijarlas se toma en cuenta, entre otras cosas, la sensibilidad de los datos. El artículo 20 añade el deber de confidencialidad: el responsable tiene que poner controles para que todas las personas que intervienen en el tratamiento guarden confidencialidad, una obligación que sigue aun después de terminar su relación con la empresa. Una política de IA firmada por cada empleado es la forma más sencilla de dejar constancia de esos controles.

Incumplir ese deber de confidencialidad es una infracción (artículo 58, fracción VIII), y quien sanciona hoy es la Secretaría Anticorrupción y Buen Gobierno, la autoridad que la ley de 2025 designa. Las multas del artículo 59 van de 100 a 160,000 veces la UMA o de 200 a 320,000 veces, según la conducta, y el mismo artículo prevé que, cuando la infracción se comete con datos sensibles, pueden incrementarse hasta por dos veces. En el terreno penal, el artículo 64 duplica las penas de prisión cuando se trata de datos sensibles. Qué hacer si uno de esos datos ya llegó a un chat de IA, y cuándo hay que avisarle a la persona, lo explicamos en la guía sobre vulneraciones de seguridad con IA. Y si tienes un seguro cibernético, conviene revisar si tu póliza cubre esas multas.

Qué pasa si un empleado pega un expediente de salud en ChatGPT

Imagina a alguien de recursos humanos que pega en un chat de IA el correo de un trabajador con su nombre, su CURP, su domicilio y el diagnóstico que justifica su incapacidad. En una sola consulta, un dato de salud de una persona identificada salió de la empresa hacia un tercero. Y borrar ese chat del historial de ChatGPT lo quita de la cuenta, pero no de inmediato de los servidores del proveedor.

La ley no habla de ChatGPT. Nuestro criterio, que es una lectura prudente y no una resolución de la autoridad: si el proveedor trata los datos por cuenta de tu empresa, podría encajar en la figura de persona encargada, la que trata datos personales por cuenta del responsable (artículo 2, fracción XII), y esa relación tendría que estar amparada. Si no lo está, el envío podría acabar siendo una finalidad que el aviso no menciona (artículo 11) o una falta al deber de confidencialidad (artículo 20), con el agravante de que el dato es sensible. Cómo encaja cada herramienta en la ley se explica en la guía sobre la LFPDPPP y la inteligencia artificial.

Para ayudarte a contestar ese correo, la IA no necesita saber quién es el trabajador. Le basta con «un empleado comunica una incapacidad larga y pide ajustar su horario». Lo que identifica a la persona puede quedarse en la oficina. Qué más conviene quitar de un correo así lo repasamos en la guía de qué datos ocultar antes de usar la IA.

Lo que Nonimo cambia antes de pegar, y lo que no

Nonimo es una app para Windows y Mac que trabaja en tu computadora, antes de que el texto llegue al chat. Seleccionas el fragmento, presionas la tecla asignada y los datos que identifican a la persona se convierten en marcadores como [PERSONA_1] o [CURP_1]. Al volver la respuesta, cada marcador recupera su valor en tu pantalla. Como tú conservas la forma de volver al nombre, eso no es disociar en sentido estricto: la diferencia la explicamos en qué es la disociación de datos personales.

Esto es lo que cambia por marcadores:

• los nombres de personas;
• los correos electrónicos;
• la CURP y el RFC;
• la fecha de nacimiento y el domicilio cuando van con su rótulo, como «Fecha de nacimiento:» o «Domicilio:».

No cambia el número de celular ni de teléfono, la CLABE, la clave de elector ni el número de expediente: esos búscalos tú antes de pegar.

Y tampoco cambia el contenido clínico. Un diagnóstico, un medicamento o el resultado de un estudio siguen en el texto, porque muchas veces son justo lo que la IA tiene que leer. Lo que consigue Nonimo es que ese dato de salud ya no diga de quién es. Si la tarea no necesita el diagnóstico, bórralo a mano antes de pegar, y revisa el texto completo: un puesto, una sucursal o una fecha muy concreta también pueden señalar a alguien. En un consultorio el caso es diario, y lo contamos en la guía de IA para médicos.

Si lo que tienes que compartir es un PDF y no un fragmento, la misma lógica sirve para hacer la versión pública de un documento.

Y antes de mandarlo, quita los metadatos del PDF: el título o el autor pueden llevar el nombre que ya quitaste del texto.

Y si llevas la nómina de varios clientes, en la página para despachos contables está cómo se usa en una oficina con varios puestos.

Esta guía no sustituye la asesoría sobre un caso concreto: eso le toca al responsable de privacidad de tu empresa o a su abogado.

Fuentes

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025 (texto vigente, última reforma DOF 14-11-2025): artículo 2, fracciones VI, XII y XV; artículos 7, 8, 11, 12, 15, 18, 20, 58, 59 y 64. Texto en la Cámara de Diputados.