Transferencia internacional de datos en universidades mexicanas: LFPDPPP e INAI

Por qué las universidades privadas mexicanas transfieren datos sin saberlo

Cada vez que un prospecto llena un formulario en el sitio web de una universidad privada, cada vez que el equipo de admisiones registra una candidatura en un CRM alojado en Estados Unidos, o cada vez que se realiza una videollamada por Zoom con un candidato de otro país, se produce una transferencia de datos personales a servidores ubicados fuera de México.

Más del 55% de las herramientas SaaS más utilizadas por instituciones de educación superior privada en México tienen sus servidores en Estados Unidos (estimación basada en análisis del mercado de servicios cloud en LATAM, 2025). Esto significa que la gran mayoría de los flujos de datos en admisiones y marketing cruzan fronteras de forma rutinaria — con o sin que el equipo responsable lo haya documentado.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) establece obligaciones específicas para estas transferencias. A diferencia del RGPD europeo, el marco mexicano no requiere un mecanismo de adecuación formal previo, pero sí impone en términos generales el consentimiento previo del titular — con excepciones importantes — y la inclusión de los datos de la transferencia en el aviso de privacidad publicado.

El marco jurídico: LFPDPPP y las transferencias internacionales

Artículo 36: el eje de la transferencia internacional

El artículo 36 de la LFPDPPP regula específicamente las transferencias internacionales de datos personales. La regla general es que el responsable (la universidad) debe obtener el consentimiento previo del titular (el estudiante o prospecto) para transferir sus datos a un tercero ubicado en el extranjero.

Sin embargo, el artículo 37 de la misma ley establece excepciones en las que el consentimiento no es necesario. Las más relevantes para las instituciones de educación superior privada son:

• Necesidad contractual o precontractual: la transferencia es necesaria para la ejecución de un contrato en el que el titular es parte, o para la aplicación de medidas precontractuales a petición del interesado — por ejemplo, una plataforma de postulación en línea cuyo proveedor está en el extranjero
• Interés vital del titular: la transferencia es necesaria para proteger la vida, integridad física o salud del titular
• Reconocimiento de derechos: la transferencia es necesaria para el reconocimiento, ejercicio o defensa de un derecho ante una autoridad judicial
• Convenio o tratado internacional: cuando exista un convenio o acuerdo internacional suscrito por México que lo permita

Para la mayoría de las transferencias rutinarias a proveedores SaaS (CRM, emailing, videoconferencias), la excepción de necesidad contractual o precontractual es la más aplicable. El proveedor estadounidense de CRM es necesario para gestionar las candidaturas: la transferencia se encuadra en la relación precontractual con el prospecto.

El INAI: la autoridad reguladora en México

El INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) es el órgano constitucional autónomo que supervisa el cumplimiento de la LFPDPPP en el sector privado. A diferencia de la CNIL francesa o el INAI español, el regulador mexicano no ha emitido guías técnicas extensas por herramienta específica — el análisis caso a caso recae en la propia institución.

El INAI puede imponer sanciones que van desde amonestaciones hasta multas cuyo monto máximo equivale a 320,000 días de salario mínimo vigente en la Ciudad de México — aproximadamente entre $40 y $50 millones de pesos mexicanos en 2026, dependiendo de la gravedad de la infracción. Las infracciones relacionadas con transferencias internacionales sin consentimiento o sin aviso de privacidad adecuado pueden alcanzar el nivel más grave de sanción establecido en la ley.

El aviso de privacidad: la obligación de informar

La LFPDPPP exige que toda universidad que transfiera datos personales internacionalmente lo especifique en su aviso de privacidad. El aviso debe indicar:

• Las finalidades del tratamiento (primarias y secundarias)
• Los terceros nacionales y extranjeros con quienes se comparten los datos, o la categoría de terceros
• Si los datos se transfieren al extranjero, los países o entidades destinatarias y si cuentan con nivel de protección adecuado conforme a los estándares internacionales
• Los derechos ARCO del titular (Acceso, Rectificación, Cancelación, Oposición) y el procedimiento para ejercerlos

Un aviso de privacidad que diga genéricamente "sus datos pueden ser compartidos con terceros para el cumplimiento de finalidades" sin mencionar las transferencias internacionales ni los destinatarios extranjeros específicos es insuficiente bajo la LFPDPPP y expone a la institución a sanciones del INAI.

Herramientas digitales en universidades privadas mexicanas: estado de cumplimiento

Observación sobre el EXANI-II: los datos enviados al Ceneval para el examen de admisión institucional son procesados por un organismo mexicano y no implican transferencia internacional. Sin embargo, si la universidad utiliza una plataforma de evaluación en línea alojada en el extranjero — como Duolingo English Test para validación de idioma — esa evaluación sí constituye una transferencia internacional que debe constar en el aviso de privacidad.

La captación internacional: la exposición estructural de las universidades privadas

Una universidad privada mexicana con programas de maestría o MBA que atrae candidatos de otros países latinoamericanos o del extranjero opera estructuralmente flujos de datos transfronterizos. Aunque los candidatos que residen fuera de México no están directamente protegidos por la LFPDPPP (que protege a los titulares en México), los datos de candidatos residentes en México sí están protegidos — incluso si el CRM que gestiona sus candidaturas está alojado en los Estados Unidos.

La distinción es crítica: el flujo de datos no sigue la nacionalidad del candidato, sino la arquitectura técnica del sistema. Un candidato mexicano que postula a través de un CRM alojado en servidores de AWS East (Virginia, EUA) genera una transferencia internacional sujeta a la LFPDPPP — independientemente de que el candidato sea mexicano.

Para las instituciones que también reclutan en la Unión Europea — por ejemplo, a través de ferias internacionales o campañas digitales dirigidas a estudiantes en España — puede aplicarse adicionalmente el RGPD europeo bajo el principio de alcance territorial del artículo 3.2, que extiende el RGPD a organizaciones que ofrezcan servicios activamente a residentes en la UE desde fuera de ella.

Plan de acción en 90 días

Días 1 a 30: inventario y cartografía de flujos

Lista todas las herramientas SaaS utilizadas en admisiones, marketing y gestión académica. Para cada una: identifica el país donde se alojan los servidores, determina si existe un contrato de tratamiento de datos firmado con el proveedor, y revisa si el aviso de privacidad vigente menciona la transferencia y al destinatario extranjero.

Resultado esperado: un mapa de herramientas con estado de cumplimiento LFPDPPP por cada sistema — con identificación de los flujos que requieren actualización del aviso o formalización contractual.

Días 31 a 60: actualización del aviso de privacidad y contratos

Actualiza el aviso de privacidad para incluir a todos los destinatarios internacionales con indicación del país y, si corresponde, del nivel de protección disponible en ese país. Para herramientas sin contrato de tratamiento de datos (equivalente al DPA europeo), solicita el acuerdo al proveedor y verifica que incluya: limitación de finalidades, medidas de seguridad técnica y organizativa, procedimiento de notificación en caso de violación de seguridad, y obligación de eliminar los datos al término del contrato.

Documenta la excepción aplicable del artículo 37 para cada transferencia que no requiere consentimiento explícito, y conserva esta documentación para una eventual revisión por parte del INAI.

Días 61 a 90: gobernanza y capacitación

Designa un Responsable de privacidad o un área específicamente responsable del cumplimiento de la LFPDPPP. Establece un proceso de evaluación de proveedores extranjeros antes de contratarlos: verificación del país de alojamiento, existencia de acuerdo contractual de tratamiento, y actualización del aviso de privacidad antes del despliegue. Capacita al equipo de admisiones y marketing sobre los derechos ARCO de los titulares y los plazos de respuesta obligatorios.

Un punto que suele omitirse en las universidades privadas mexicanas: los convenios de doble titulación con universidades extranjeras. El intercambio de datos de estudiantes con universidades socias en España, EUA, Francia o Argentina para programas de doble titulación es una transferencia internacional que debe estar cubierta en el convenio interinstitucional y en el aviso de privacidad dirigido a los estudiantes participantes.

Preguntas frecuentes

¿Necesitamos consentimiento expreso del prospecto para usar Salesforce o HubSpot en México?

No necesariamente. El artículo 37 fracción I de la LFPDPPP exime del consentimiento cuando la transferencia es necesaria para la ejecución de un contrato entre el responsable y el titular, o para la aplicación de medidas precontractuales a petición del interesado. Si el prospecto solicitó información o inició un proceso de postulación, la transferencia al CRM cae dentro de la excepción precontractual. Sin embargo, el aviso de privacidad sí debe mencionar explícitamente la transferencia internacional al proveedor del CRM y el país de destino de los datos.

¿Puede el INAI sancionar a una universidad por usar Google Analytics con servidores en EUA?

Sí, si la transferencia no está contemplada en el aviso de privacidad. Google Analytics transfiere datos conductuales (dirección IP, páginas visitadas, duración de sesión, dispositivo utilizado) a servidores en Estados Unidos. Si el aviso de privacidad de la universidad no menciona esta transferencia ni identifica a Google como destinatario extranjero, existe una infracción a la LFPDPPP susceptible de sanción por el INAI. La solución es actualizar el aviso de privacidad y, opcionalmente, migrar a una herramienta de analítica con servidores en México o la UE.

¿Qué son los derechos ARCO y en qué plazo debe responder la universidad?

Los derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) permiten a cualquier titular controlar sus datos personales. Una universidad tiene 20 días hábiles para responder a una solicitud ARCO una vez que el titular la presenta ante el Responsable de privacidad de la institución (artículo 32 LFPDPPP). El plazo puede prorrogarse 20 días hábiles adicionales cuando sea necesario. La solicitud puede presentarse en cualquier momento — incluso un prospecto que nunca se inscribió puede solicitar la cancelación de sus datos. El incumplimiento de los plazos de respuesta es una infracción autónoma sancionable por el INAI.

¿Se aplica el RGPD europeo a las universidades mexicanas que reclutan en Europa?

Posiblemente. El RGPD aplica a organizaciones no europeas que ofrezcan activamente bienes o servicios a residentes en la Unión Europea (artículo 3.2 RGPD). Si una universidad privada mexicana realiza campañas de marketing dirigidas a candidatos en España, Francia u otros países de la UE — con sitio web en español ibérico, publicidad en redes dirigida geográficamente a la UE, o presencia en ferias educativas en Europa — el procesamiento de datos de esos candidatos puede estar sujeto al RGPD en paralelo con la LFPDPPP. En ese caso, la universidad deberá contar con un representante en la UE designado y cumplir con las obligaciones del Capítulo V del RGPD para las transferencias posteriores de esos datos a herramientas fuera de la UE.

La privacidad en el sector de la educación superior privada en México no es un requisito exclusivamente burocrático. La confianza de los prospectos y sus familias en el manejo responsable de sus datos personales es un factor directo en las tasas de conversión de admisiones y en la reputación institucional. Documentar correctamente las transferencias internacionales, actualizar el aviso de privacidad, y responder en plazo a las solicitudes ARCO son acciones que construyen esa confianza de forma concreta.

También te puede interesar: Guía RGPD y datos de estudiantes para universidades · Chatbot IA y RGPD: qué datos se pueden recopilar