Aviso de privacidad para trabajadores eventuales: qué debe decir

Quien contrata personal por evento en México recaba la CURP, el NSS, el RFC y la CLABE de cada persona, y con eso se vuelve responsable de esos datos conforme a la nueva LFPDPPP, publicada en el DOF el 20 de marzo de 2025. Aquí explicamos qué debe decir el aviso de privacidad para trabajadores y cuándo hace falta consentimiento.

¿Quién es el responsable de los datos de un trabajador eventual?

El responsable de los datos de un trabajador eventual es el patrón que lo contrata. Un proveedor de software que trata esos datos por cuenta del patrón es persona encargada (LFPDPPP art. 2, fr. XII). Comunicar los datos al encargado no es una transferencia (art. 2, fr. XX; art. 35).

La ley nueva rige desde el 21 de marzo de 2025 y abrogó la de 2010 (transitorios Primero y Segundo del decreto). La autoridad ya no es el INAI: es la Secretaría Anticorrupción y Buen Gobierno (art. 2, fr. XV; arts. 38 y 39; LOAPF art. 37, fr. XV).

La ley de 2025 no exige un contrato con el encargado. El Reglamento de 2011, que citamos solo en lo que resulte aplicable, pide que el encargado trate los datos conforme a las instrucciones del responsable (art. 50) y que la relación conste en cláusulas contractuales u otro instrumento jurídico (art. 51). Al 26 de septiembre de 2026 no encontramos un reglamento nuevo.

¿Qué debe contener el aviso de privacidad para trabajadores?

El aviso de privacidad para trabajadores debe contener, al menos, seis elementos que fija el art. 15 de la LFPDPPP: quién es el responsable, qué datos trata, para qué, cómo limitar su uso, cómo ejercer los derechos ARCO y cómo se avisan los cambios. Otros artículos agregan la revocación del consentimiento y la cláusula de transferencias.

1. La identidad y el domicilio del responsable (fr. I).
2. Los datos personales que se tratan, identificando los sensibles (fr. II).
3. Las finalidades, distinguiendo las que requieren consentimiento (fr. III).
4. Las opciones y medios para limitar el uso o la divulgación (fr. IV).
5. Los mecanismos, medios y procedimientos para ejercer los derechos ARCO (fr. V).
6. El procedimiento y el medio para comunicar cambios al aviso (fr. VI).

Además, el aviso establece cómo revocar el consentimiento (art. 7) e incluye una cláusula que indique si la persona acepta o no la transferencia de sus datos (art. 35). El responsable designa a una persona o departamento de datos personales que tramita las solicitudes (art. 29).

Omitir alguno de los elementos del art. 15 es infracción (art. 58, fr. V), con multa de 100 a 160,000 UMA (art. 59, fr. II).

¿Qué datos personales se piden en una contratación por evento?

Los datos personales de una contratación por evento son los que hacen falta para el contrato, el IMSS, la nómina y el pago: nombre, CURP, NSS, RFC y CLABE, además del puesto, las fechas y el salario. El aviso debe listarlos e identificar cuáles son sensibles (LFPDPPP art. 15, fr. II).

Dato	Para qué se usa
CURP y NSS	Alta y baja ante el IMSS (LSS art. 15, fr. I)
RFC	Recibo de nómina en CFDI (LISR art. 99, fr. III; CFF art. 29, fr. IV)
CLABE	Depósito del pago por medio del banco
Nombre, puesto, fechas y salario	Contrato y nómina del evento

La CLABE y el salario son datos financieros o patrimoniales, que por regla piden consentimiento expreso, salvo las excepciones de los arts. 9 y 36 (art. 7). Los datos sensibles requieren consentimiento expreso y por escrito (art. 8). Si dudas de que un dato que pides sea sensible, confírmalo con tu abogado.

¿Se necesita el consentimiento del trabajador para tratar sus datos?

El consentimiento del trabajador no se necesita para tratar los datos del contrato, el IMSS, la nómina y el CFDI, porque una disposición jurídica lo dispone o porque sirven para cumplir obligaciones de la relación jurídica (LFPDPPP art. 9, fr. I y IV). La excepción alcanza a la CLABE y al salario (art. 7).

Sí hace falta para una finalidad distinta, por ejemplo guardar nombre y teléfono después del evento para invitar a la persona a otros. El aviso debe separar esas finalidades (art. 15, fr. III), una finalidad nueva pide consentimiento otra vez (art. 11) y la persona puede revocarlo en cualquier momento (art. 7).

Las transferencias al IMSS y al SAT están previstas en ley y no piden consentimiento (art. 36, fr. I). El pago a la CLABE por medio del banco cabe en la transferencia necesaria para cumplir la relación jurídica (art. 36, fr. VII).

¿Cuándo se entrega el aviso de privacidad al trabajador?

El aviso de privacidad se pone a disposición de la persona a partir del momento en que se recaban sus datos (LFPDPPP art. 2, fr. I). Si los datos se obtienen por medios electrónicos, basta la modalidad simplificada, con las fracciones I a IV del art. 15 y el sitio del aviso integral (art. 16, fr. II).

En un evento, eso significa entregarlo antes de pedir los datos o al mismo tiempo, junto con el contrato por tiempo determinado. Recomendamos guardar un acuse firmado en el expediente de la persona, como prueba de la entrega.

¿Qué son los derechos ARCO y en cuánto tiempo se responden?

Los derechos ARCO son acceso, rectificación, cancelación y oposición (LFPDPPP arts. 22 a 26). El patrón responde en un máximo de veinte días hábiles desde que recibe la solicitud y, si procede, la hace efectiva dentro de los quince días hábiles siguientes. Cada plazo puede ampliarse una sola vez por un periodo igual (art. 31).

• Qué lleva la solicitud: nombre, medio para notificaciones, documentos de identidad, descripción de los datos y derecho que se ejerce (art. 28).
• Costo: es gratuito, salvo gastos de reproducción o envío (art. 34).
• Si no hay acuerdo: la persona puede acudir a la Secretaría dentro de los quince días hábiles siguientes a la respuesta, o cuando venza el plazo sin respuesta (art. 40).

¿Cuánto tiempo se conservan los datos de un trabajador eventual?

Los datos de un trabajador eventual se conservan por los plazos que marcan las leyes laboral, de seguridad social y fiscal: el contrato, mientras dura la relación y hasta un año después (LFT art. 804); las nóminas y listas de raya, cinco años (LSS art. 15, fr. II); la contabilidad y su documentación, cinco años (CFF art. 30).

Mientras corre un plazo legal de conservación, la cancelación no procede sobre esos datos (LFPDPPP art. 25), ni la oposición cuando el tratamiento cumple una obligación legal (art. 26). Cuando procede, la cancelación pasa por un periodo de bloqueo y termina con la supresión (art. 24). Qué documentos conviene tener a la mano está en qué piden en una inspección laboral.

Lo que prepara Cubierto

En Cubierto generamos un aviso de privacidad para personas trabajadoras ya llenado con los datos de tu empresa: razón social, RFC y domicilio. Lo descargas desde la sección Empresa, listo para imprimir, y ahí indicas quién atiende las solicitudes de datos, por dónde y cómo avisarás los cambios. Es una plantilla: revísala con tu asesor si tu operación es distinta.

Tu empresa es la responsable y nosotros tratamos los datos de tus trabajadores como encargado, por tu cuenta; las cláusulas de encargo están en nuestros términos. Con esos datos preparamos el alta en el IMSS. Las definiciones están en el glosario.

Qué no cubre esta guía: el aviso para clientes o para tu sitio web, los datos de menores de edad, otras transferencias a terceros ni el procedimiento ante la Secretaría. No es asesoría legal: revisa tu aviso con tu abogado.