ChatGPT
Claude
Perplexity
Gemini
GrokCuando un prospecto pide que borres sus datos, la LFPDPPP te da 20 días hábiles para actuar
En México, el marco jurídico que protege la privacidad de las personas frente a organismos privados es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), no el Reglamento General de Protección de Datos europeo (RGPD). Bajo la LFPDPPP, los titulares de datos personales tienen cuatro derechos fundamentales conocidos como derechos ARCO: Acceso, Rectificación, Cancelación y Oposición. El derecho de cancelación es el equivalente mexicano de lo que en Europa se denomina "derecho de supresión" o droit à l'effacement.
Cuando un prospecto estudiantil solicita que una universidad privada elimine sus datos —ya sea porque no quiere seguir siendo contactado, porque el proceso de admisión no prosperó, o simplemente porque ejerce su derecho— la institución tiene una obligación legal concreta: responder y actuar en un plazo máximo de 20 días hábiles (artículo 32 de la LFPDPPP). No es un plazo orientativo: superarlo es una infracción sancionable por el INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales).
Esta guía explica qué implica exactamente ese derecho, cuándo la cancelación es obligatoria, cuándo la institución puede negarse legítimamente y cómo documentar cada paso del procedimiento.
Para el contexto completo de protección de datos en captación estudiantil, consulta nuestra guía integral de datos estudiantiles para universidades mexicanas.
La LFPDPPP y los derechos ARCO: el marco legal aplicable a las universidades privadas
La LFPDPPP fue publicada en el Diario Oficial de la Federación el 5 de julio de 2010. Su artículo 1 establece que aplica a los particulares —personas físicas y morales de carácter privado— que traten datos personales. Las universidades privadas (ITESM, IBERO, UP, Anáhuac, UDEM y similares) están plenamente sujetas a esta ley; las instituciones públicas se rigen por marcos jurídicos distintos (LFTAIP y normativas estatales).
El derecho de cancelación bajo la LFPDPPP
El artículo 23 de la LFPDPPP establece que el titular tiene derecho a solicitar la cancelación de sus datos cuando el tratamiento no respete los principios, deberes y obligaciones de la ley. La cancelación no equivale a una supresión inmediata: implica un bloqueo previo de los datos durante el tiempo necesario para cumplir las obligaciones legales o contractuales vigentes, tras el cual procede la eliminación definitiva.
El artículo 24 precisa que, al producirse la cancelación, los datos se someterán a un procedimiento de bloqueo. Durante ese periodo de bloqueo, los datos no podrán ser tratados para ninguna finalidad distinta de la que justifica su conservación provisional. El INAI ha establecido orientaciones sobre los plazos razonables de bloqueo, que en el contexto de prospectos estudiantiles suelen ser cortos (de semanas, no de años) salvo obligación legal específica.
Plazos obligatorios: 20 días hábiles
El plazo de respuesta bajo la LFPDPPP es de 20 días hábiles contados a partir de la recepción de la solicitud. Este plazo puede prorrogarse por 20 días hábiles adicionales si la complejidad de la solicitud lo justifica, pero la prórroga debe notificarse al titular antes del vencimiento del plazo original (artículo 32). Comparado con el plazo de 30 días calendario del RGPD europeo, el sistema mexicano es más preciso en su cómputo: los días hábiles excluyen sábados, domingos y días festivos oficiales.
La supervisión del INAI
El INAI es la autoridad de protección de datos en México para el sector privado. Tiene facultades de inspección, verificación y sanción. Las multas previstas en la LFPDPPP pueden alcanzar hasta 27 millones de pesos mexicanos (MXN) en las infracciones más graves. Más allá de la sanción económica, el INAI puede ordenar la publicación de la resolución, lo que representa un riesgo reputacional significativo frente a prospectos y familias. El INAI ha publicado lineamientos y recursos sobre el derecho de cancelación que los equipos de cumplimiento deben consultar.
Cuándo aplica el derecho de cancelación: situaciones concretas para admisiones
No toda solicitud de cancelación es idéntica. La tabla siguiente recoge las situaciones más frecuentes en el contexto de captación estudiantil, la base legal que las sustenta y si la cancelación es obligatoria.
| Situación | Base del titular para pedir cancelación | ¿Cancelación obligatoria? |
|---|---|---|
| Prospecto que nunca inició el proceso de admisión y no quiere más comunicaciones | Finalidad agotada / oposición al tratamiento | Sí, una vez concluido el bloqueo |
| Prospecto que asistió a un open house y no desea seguir en la base de datos de marketing | Finalidad específica completada | Sí, para datos de marketing |
| Candidato que fue admitido pero decidió no inscribirse | Consentimiento no renovado para la nueva finalidad | Sí, salvo datos contables o legales |
| Candidato rechazado que solicita la eliminación de su expediente | Finalidad del proceso de selección concluida | Sí, salvo plazo de conservación legal |
| Prospecto menor de edad cuyos datos fueron recopilados sin consentimiento parental | Tratamiento ilícito de origen | Sí, de manera inmediata |
| Prospecto cuyo correo fue importado desde una feria sin aviso de privacidad | Base legal inexistente | Sí, de manera inmediata |
| Ex candidato que inició un proceso judicial contra la institución | Proceso legal activo | No, durante la duración del procedimiento |
| Candidato con deuda de colegiatura o pago pendiente | Obligación contractual o legal vigente | No, hasta extinción de la obligación |
La regla general es sencilla: si los datos ya no son necesarios para la finalidad que justificó su recopilación, la cancelación es procedente. Si existe una obligación legal o contractual activa que requiere la conservación de esos datos, la cancelación puede negarse o diferirse justificadamente.
Cuándo puede la institución negarse legítimamente a cancelar
La LFPDPPP no configura el derecho de cancelación como absoluto. El artículo 26 enumera las causas legítimas por las que el responsable del tratamiento puede diferir o denegar la cancelación:
Obligación legal de conservación: las disposiciones fiscales mexicanas (SAT, CFF) exigen conservar documentación contable y fiscal durante 5 años. Si el prospecto realizó algún pago (por inscripción a un examen, depósito de reserva de lugar), esos datos contables no pueden cancelarse hasta cumplir el plazo fiscal. El Código Fiscal de la Federación prevalece sobre la solicitud de cancelación.
Relación jurídica vigente: si el prospecto firmó un contrato (compromiso de inscripción, contrato de servicios educativos), los datos necesarios para el cumplimiento de ese contrato no pueden cancelarse mientras subsista la relación jurídica. Esto incluye deudas, reclamaciones o procedimientos de reembolso.
Procedimiento legal en curso: si existe una queja, demanda o procedimiento administrativo activo en el que los datos del titular sean relevantes, la cancelación puede suspenderse hasta la resolución del procedimiento.
Interés público o seguridad nacional: excepción de aplicación muy limitada en el contexto universitario; prácticamente irrelevante para la gestión ordinaria de prospectos.
Interacción activa reciente: la LFPDPPP no contempla expresamente este supuesto, pero la doctrina del INAI reconoce que si el propio titular realizó una acción que evidencia su voluntad de continuar el proceso (acceso a portal, descarga de brochure en la semana previa), la institución puede documentar esa evidencia. Sin embargo, esto no suspende indefinidamente el derecho; simplemente permite documentar el contexto antes de procesar la cancelación.
Cuando la cancelación se deniega, la respuesta al titular debe ser motivada y por escrito, indicando la causa específica y el plazo estimado de conservación provisional. Una negativa sin motivación o fuera de plazo constituye una infracción independiente.
Procedimiento de 5 pasos para gestionar una solicitud de cancelación
El procedimiento debe estar documentado en el aviso de privacidad de la institución e implementado operativamente en los equipos de admisiones, marketing y TI. Los 5 pasos siguientes integran las exigencias de la LFPDPPP y las recomendaciones del INAI.
Paso 1 — Recepción y acuse de recibo (día 0)
La institución debe designar un canal de recepción de solicitudes ARCO (correo electrónico del responsable de datos personales, formulario en el sitio web, oficina física). Al recibir la solicitud, enviar acuse de recibo al titular con: fecha de recepción, folio de seguimiento, indicación del plazo de 20 días hábiles y datos de contacto del responsable de la gestión. Este acuse es la prueba de inicio del cómputo del plazo.
Verificar la identidad del solicitante: la LFPDPPP permite solicitar al titular que acredite su identidad antes de procesar la solicitud. En el contexto de prospectos, una dirección de correo que coincida con la registrada en el CRM suele ser suficiente para solicitudes de baja de marketing. Para solicitudes más amplias (expediente completo), se puede requerir identificación oficial.
Paso 2 — Análisis de la solicitud (días 1 a 5)
Determinar exactamente qué datos están en alcance: ¿dónde están almacenados los datos del titular? CRM, herramienta de email marketing, historial del chatbot, registros de asistencia a open house, expediente de candidatura, copias de seguridad. Mapear todos los sistemas antes de responder.
Evaluar si aplica alguna excepción (paso anterior): obligación fiscal, relación jurídica vigente, procedimiento legal. Si aplica una excepción, preparar la respuesta denegatoria motivada. Si no aplica excepción, proceder al paso 3.
Paso 3 — Respuesta al titular (antes del día 20 hábil)
Comunicar al titular por escrito (correo electrónico con acuse de lectura, carta certificada o portal institucional con registro de entrega) la decisión tomada:
- Si procede la cancelación: confirmar que los datos serán bloqueados e indicar el plazo estimado de bloqueo previo a la eliminación definitiva.
- Si no procede total o parcialmente: explicar la causa legal específica, el dato o sistema afectado y el plazo de conservación provisional.
La respuesta debe emitirse antes del vencimiento del día hábil 20. Si se requiere prórroga, notificarla al titular antes de ese vencimiento con la causa justificada.
Paso 4 — Ejecución de la cancelación en todos los sistemas (días 20 a 40)
Una vez confirmada la procedencia, ejecutar el bloqueo y, concluido el periodo de bloqueo, la eliminación en todos los sistemas donde figuren los datos del titular:
- CRM: dar de baja el contacto y marcar como "cancelado ARCO" con fecha y folio
- Herramienta de email marketing: baja definitiva de todas las listas, incluidas las de inactivos
- Historial del chatbot: eliminación o anonimización de las conversaciones vinculadas al identificador
- Registros físicos (formularios de open house, tarjetas de presentación): destrucción segura documentada
- Copias de seguridad: no es obligatorio restaurar las copias para eliminar un registro específico, pero el INAI recomienda documentar que, en el momento de la restauración, el dato no estará disponible para uso activo
Paso 5 — Cierre y documentación (tras la ejecución)
Registrar internamente: folio de solicitud, fecha de recepción, fecha de respuesta, sistemas afectados, acción ejecutada (bloqueo + eliminación o denegación motivada), persona responsable. Esta documentación es lo que el INAI solicitará en caso de inspección o queja del titular. Conservar esta documentación durante al menos 3 años desde el cierre de la solicitud.
Notificar al titular la conclusión del procedimiento si la solicitud fue favorable.
Plazos de conservación de datos de prospectos: lo que el INAI recomienda
La LFPDPPP exige que los datos personales se traten durante el tiempo estrictamente necesario para cumplir las finalidades declaradas en el aviso de privacidad. El INAI no fija plazos específicos por tipo de institución, pero las recomendaciones generales y la práctica consolidada permiten establecer referencias orientadoras para universidades privadas:
Datos de primer contacto (formulario web, chatbot, feria educativa): 12 meses desde el último contacto activo del prospecto. Pasado ese plazo sin interacción, la finalidad de captación se considera agotada y los datos deben purgar o entrar en un flujo de reactivación con nuevo consentimiento antes de la eliminación.
Datos de candidatura incompleta (el prospecto inició el proceso pero no lo concluyó): 24 meses desde el último contacto, para cubrir un posible ciclo escolar siguiente. El plazo debe constar expresamente en el aviso de privacidad.
Datos de candidatura rechazada: 6 meses desde la notificación del rechazo, salvo que la institución tenga política de reservas para el siguiente ciclo escolar (máximo 12 meses adicionales, con mención en el aviso de privacidad).
Datos del chatbot: 12 meses para conversaciones identificables. Los registros anonimizados para mejora del servicio pueden conservarse más tiempo, siempre que la anonimización sea irreversible.
Datos con base fiscal (pagos de inscripción, depósitos): 5 años conforme al Código Fiscal de la Federación, independientemente de las solicitudes de cancelación.
Una solicitud de cancelación que llega antes del vencimiento del plazo de conservación legítimo no obliga a eliminar inmediatamente los datos que tienen base legal vigente, pero sí obliga a bloquear cualquier uso activo (marketing, seguimiento comercial) hasta la eliminación definitiva. La distinción entre bloqueo y eliminación es central en la LFPDPPP: un prospecto que solicita la cancelación deja de recibir comunicaciones desde ese momento, aunque sus datos permanezcan bloqueados hasta que expire la obligación de conservación.
Para las medidas operativas de protección de datos de prospectos, consulta nuestra guía operativa de protección de datos para admisiones.
Chatbots de IA, CRM y el reto de la cancelación a escala
La gestión de solicitudes de cancelación se complica considerablemente cuando los datos del prospecto están distribuidos en múltiples sistemas: CRM, plataforma de email marketing, historial del chatbot, analytics, copias de seguridad, y eventualmente bases de datos de terceros a quienes se transfirieron los datos conforme al aviso de privacidad.
Las instituciones educativas que trabajan con Skolbot gestionan una mediana de 195 leads calificados por mes (Fuente: Benchmark Skolbot 2024-2025, panel de 18 instituciones). A esa escala, el riesgo de recibir solicitudes ARCO de cancelación de forma regular es real. Sin un proceso documentado y sistemas integrados, cada solicitud puede convertirse en una operación manual que consume tiempo, genera riesgo de omisión y dificulta demostrar el cumplimiento ante el INAI.
Tres medidas concretas reducen significativamente la carga operativa de las cancelaciones:
1. Registro centralizado de consentimientos con identificadores únicos: cada prospecto debe tener un ID único que permita localizarlo en todos los sistemas con una sola consulta. Sin este registro centralizado, la cancelación requiere búsquedas manuales en cada sistema.
2. Procedimiento de cancelación automatizado en el CRM: configurar el CRM para que, al marcar un contacto como "cancelación ARCO solicitada", desencadene automáticamente la baja en la herramienta de email marketing y la notificación al proveedor del chatbot. El proceso manual de notificación a cada sistema es lento y propenso a olvidos.
3. Contratos de encargo del tratamiento (artículo 36 LFPDPPP) con proveedores: cada proveedor que trate datos de prospectos en nombre de la institución (proveedor de CRM, plataforma de chatbot, agencia de email marketing) debe firmar un contrato de encargo del tratamiento que especifique su obligación de procesar las cancelaciones comunicadas por la institución en un plazo determinado. Sin este contrato, la institución sigue siendo responsable ante el INAI de los datos que el proveedor retiene.
Para revisar la gestión de cookies y consentimiento digital en el sitio web de la institución, consulta también nuestra guía de consentimiento de cookies para universidades. Y para una revisión completa del estado de cumplimiento, la checklist de auditoría LFPDPPP cubre todos los puntos relevantes, incluido el procedimiento de derechos ARCO.
Descubra cómo las escuelas mexicanas mejoran la captación de estudiantes con Skolbot
Preguntas frecuentes
¿El derecho de cancelación en México es lo mismo que el derecho al olvido europeo?
No exactamente. El derecho de cancelación bajo la LFPDPPP (artículo 23) y el derecho de supresión o "derecho al olvido" del RGPD europeo (artículo 17) persiguen el mismo objetivo, pero difieren en su mecánica. La LFPDPPP mexicana establece un procedimiento de bloqueo previo antes de la eliminación definitiva, mientras que el RGPD europeo exige la supresión directa sin este periodo de bloqueo intermedio. Además, el RGPD contempla causas adicionales de supresión (como los datos tratados ilícitamente con fines de mercadotecnia directa) que en México se canalizan a través del derecho de oposición. Para efectos prácticos: cuando un prospecto en México pide que "borres sus datos", el procedimiento correcto es la cancelación ARCO bajo la LFPDPPP.
¿Qué pasa si el prospecto solicita la cancelación pero tiene una deuda pendiente con la institución?
La existencia de una deuda o reclamación económica pendiente es una causa legítima para diferir la cancelación de los datos necesarios para gestionar esa deuda (nombre, datos de contacto para notificaciones, datos del pago). No es una causa para seguir enviando comunicaciones de marketing. La institución debe bloquear el uso de los datos para cualquier finalidad ajena a la gestión de la deuda, responder al titular explicando qué datos se conservan provisionalmente y por qué, y eliminar el resto de los datos que no sean necesarios para esa gestión.
¿La cancelación obliga a eliminar también los registros históricos y las copias de seguridad?
La LFPDPPP distingue entre datos en uso activo y copias de seguridad. Para los datos en uso activo (CRM, plataforma de email, historial del chatbot), la cancelación es exigible en el plazo de 20 días hábiles. Para las copias de seguridad, el INAI reconoce que la restauración de una copia para eliminar un registro específico no siempre es técnicamente razonable; lo exigible es que la institución documente que ese dato no se recuperará ni utilizará en el momento en que la copia sea restaurada. Sin embargo, si la copia de seguridad es rutinariamente restaurada para uso activo (p. ej., exportaciones para campañas), el dato cancelado debe excluirse de esos usos.
¿Cuánto tiempo debe conservarse la documentación del procedimiento de cancelación?
El INAI recomienda conservar los registros de ejercicio de derechos ARCO durante al menos 3 años desde el cierre del procedimiento. Esta documentación incluye: la solicitud original del titular (correo, formulario), el acuse de recibo enviado, la decisión tomada (con motivación en caso de denegación) y la confirmación de ejecución. En caso de queja del titular ante el INAI, esta documentación es la primera evidencia que la institución debe presentar.
¿Puede un prospecto presentar una queja ante el INAI si la institución no responde a su solicitud de cancelación?
Sí. El artículo 45 de la LFPDPPP establece que el titular puede interponer ante el INAI un recurso de revisión cuando la institución no responda en el plazo establecido, deniegue la solicitud sin motivación suficiente o ejecute de manera incompleta la cancelación solicitada. El INAI tiene un plazo de 40 días hábiles para resolver el recurso. Si la resolución le es favorable al titular, el INAI puede ordenar la cancelación y, en su caso, iniciar un procedimiento sancionador contra la institución. Las sanciones previstas en los artículos 63 y 64 de la LFPDPPP incluyen multas de hasta 320 000 UMAs para las infracciones graves.
