Huella, cámaras y datos de tus socios: qué exige la ley

La ley mexicana cambió en 2025 y el INAI desapareció. Multas desde $11,731 y dos modelos de aviso de privacidad listos para copiar.

Por , fundador de Mr. Gimnasios · San Luis Potosí · · 22 min de lectura

Huella, cámaras y datos de tus socios: qué exige la ley

La ley que te aplica en México es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial el 20 de marzo de 2025 y reformada el 14 de noviembre de ese año. No el RGPD europeo. Y la autoridad ya no es el INAI, que desapareció: hoy es la Secretaría Anticorrupción y Buen Gobierno, así lo dice el artículo 2 fracción XV de la propia ley. Las multas se cuentan en UMA, que en 2026 vale $117.31 diarios: de 100 a 160,000 UMA, o sea de $11,731 a $18,769,600, por omitir elementos del aviso de privacidad; y de 200 a 320,000 UMA, de $23,462 a $37,539,200, por recabar datos sin el consentimiento expreso cuando éste es exigible. Si el dato es sensible, y la huella de tu socio lo es por criterio, los montos pueden incrementarse hasta por dos veces. Ponerte en regla cuesta alrededor de $12,060 una sola vez.

Ese número final es el que importa para un gimnasio independiente. La multa millonaria no va a llegar. Lo que sí llega es una solicitud de un ex socio molesto pidiendo que borres su huella, y la obligación de contestarla en veinte días con un procedimiento que no tienes montado.

Y otra vez el aviso: no soy abogado y esto no es asesoría legal. Traigo la ley con artículo y liga, las cifras oficiales del INEGI, y dos modelos de aviso para que se los lleves a un abogado. Ese último paso no te lo ahorres.

Aquí no manda el RGPD, manda una ley que cambió en marzo de 2025

Si buscas "protección de datos en gimnasios" vas a encontrar quince artículos hablando de consentimiento explícito, de derecho al olvido y de DPO. Todo eso es vocabulario del Reglamento General de Protección de Datos de la Unión Europea. No te aplica. Tu gimnasio en San Luis Potosí, en Mérida o en Tijuana se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, y esa ley es nueva: abrogó a la de 2010 el 20 de marzo de 2025.

Las palabras cambiaron, y conviene usarlas bien porque son las que aparecen en cualquier solicitud que te llegue. Titular es tu socio. Responsable eres tú, el que decide sobre el tratamiento. Encargado es quien trata los datos por tu cuenta: tu software de control de acceso, tu contador si le pasas la base. Tercero es cualquiera distinto de los anteriores. Y transferencia es, literalmente, "toda comunicación de datos personales dentro o fuera del territorio mexicano, realizada a persona distinta de la titular, del responsable o de la persona encargada".

Lo que la ley te obliga a hacer se resume en tres cosas: informar antes de recabar, tratar sólo para lo que dijiste, y poder demostrar ambas. El instrumento de las tres es el aviso de privacidad.

Quién te vigila ahora que el INAI desapareció

Esto es lo que más confusión genera y por eso lo verifiqué en la fuente primaria en vez de repetir lo que dicen los despachos. El artículo 2, fracción XV de la ley define, sin ambigüedad: "Secretaría: Secretaría Anticorrupción y Buen Gobierno". El transitorio Décimo del decreto de 20 de marzo de 2025 remata: los procedimientos en materia de datos personales que estaban ante el INAI "se sustanciarán conforme a las disposiciones vigentes al momento de su inicio ante la Secretaría Anticorrupción y Buen Gobierno", y esa misma dependencia asume la defensa legal de los actos del instituto extinto.

Qué significa para ti en la práctica:

  • La que recibe la queja de tu socio, verifica tu gimnasio y te multa es esa Secretaría, no PROFECO. Son procedimientos distintos y pueden coexistir: una cancelación mal manejada puede ser queja de consumo ante PROFECO y solicitud de protección de datos ante la Secretaría al mismo tiempo.
  • La ley sigue remitiendo en varios artículos a "el Reglamento" para el detalle de plazos y formas del procedimiento de verificación y del sancionador. A la fecha de este artículo no he podido confirmar la publicación de un reglamento nuevo, y no voy a afirmar que exista sin verlo. Lo que sí es seguro es que las obligaciones de fondo —aviso, consentimiento, derechos ARCO, plazos de respuesta— están en la ley misma y no dependen de ningún reglamento.
  • Los Lineamientos del Aviso de Privacidad publicados en el Diario Oficial el 17 de enero de 2013 se emitieron bajo la ley anterior. Formalmente quedaron descolgados. Materialmente siguen siendo el mejor manual publicado de cómo se redacta un aviso en México, y la estructura que describen coincide con la que exige la ley nueva. Los uso como guía de redacción, no como norma vigente, y así te los recomiendo.

El aviso de privacidad: tres modalidades y dónde va cada una

El artículo 15 de la ley enumera los seis elementos mínimos del aviso: identidad y domicilio del responsable; los datos que vas a tratar, identificando cuáles son sensibles; las finalidades, distinguiendo las que requieren consentimiento; las opciones para limitar el uso o divulgación; los mecanismos para ejercer derechos ARCO; y el procedimiento por el que vas a comunicar cambios al aviso.

El artículo 16 dice cuándo y cómo lo entregas. Si recabas en persona con formato impreso —o sea, la hoja de inscripción en el mostrador—, el aviso debe darse a conocer en ese momento. Si recabas por medio electrónico —tu formulario web, tu WhatsApp, el link de la promoción de Instagram—, basta la versión simplificada con los elementos de las fracciones I a IV del artículo 15, más la indicación de dónde consultar el integral.

Los Lineamientos de 2013 añaden una tercera modalidad muy útil para un gimnasio: el aviso corto, para cuando "el espacio para la obtención de los datos personales es mínimo y limitado". Ése es exactamente el caso de una hoja de registro de visita o de un formato de invitado por un día.

ModalidadQué debe contenerDónde va en tu gimnasio
IntegralLos seis elementos del artículo 15, más transferencias, destinatarios, revocación del consentimiento y uso de tecnologías de recolección automáticaEn tu sitio web, en una liga corta y permanente. También impreso en una carpeta en recepción, para quien lo pida
SimplificadoIdentidad y domicilio, finalidades, y el mecanismo para llegar al integralAl pie de tu formato de inscripción, en tu formulario web y en el mensaje automático de WhatsApp con el que respondes al primer contacto
CortoIdentidad, finalidades y cómo llegar al integral, en el menor espacio posibleEn la hoja de registro de visitantes, en el pase de invitado y en el letrero del torniquete

Los Lineamientos piden además que el aviso esté "en un lugar visible que facilite su consulta", en español, con "lenguaje claro y comprensible" y con una estructura que facilite el entendimiento. Si tu aviso ocupa media cuartilla en letra de seis puntos al reverso del contrato, no cumple ese estándar aunque contenga los seis elementos. Es la misma lógica del artículo 85 de la Ley Federal de Protección al Consumidor sobre el contrato de membresía y sus cláusulas nulas: ilegible equivale a inexistente.

La huella y las cámaras: lo que la ley trata distinto

El dato biométrico no está en la lista, y aun así lo trato como sensible

Voy a ser honesto con lo que dice y lo que no dice la ley. El artículo 2, fracción VI define dato sensible como aquel que afecte la esfera más íntima de la persona o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave. Enseguida enumera: origen racial o étnico, estado de salud presente o futuro, información genética, creencias religiosas, filosóficas y morales, opiniones políticas y preferencia sexual. La huella digital no aparece en esa lista.

Pero la enumeración es, en palabras de la propia ley, "enunciativa más no limitativa". Y una huella cumple la definición de cabecera: es irrevocable —no puedes cambiarla como cambias una contraseña—, identifica de manera única, y su uso indebido conlleva riesgo grave. Mi criterio, no una norma: trátala como sensible. Equivocarte hacia el lado prudente te cuesta una firma más en el alta. Equivocarte al revés te cuesta la tabla de multas, duplicada.

Tratarla como sensible activa el artículo 8, que exige consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica o cualquier mecanismo de autenticación. Y su segundo párrafo pone una barrera que casi nadie ha leído: "No podrán crearse bases de datos que contengan datos personales sensibles, sin que se justifique la creación de las mismas para finalidades legítimas, concretas y acordes con las actividades o fines explícitos que persigue el sujeto regulado". El artículo 12 añade que para datos sensibles debes hacer esfuerzos razonables para que el periodo de tratamiento sea el mínimo indispensable.

Lo digo directo: si no necesitas la huella, no la pidas. Un código numérico, una credencial con código de barras o un QR en el celular resuelven el control de acceso sin meterte al régimen de datos sensibles. Cuando hablé de software y control de acceso para tu gimnasio puse el argumento operativo; éste es el argumento legal, y apunta al mismo lado. La huella se justifica cuando el préstamo de credenciales te cuesta dinero medible y lo puedes demostrar. Si nunca lo mediste, no tienes la finalidad legítima y concreta que exige el artículo 8, y esa es una infracción autónoma: la fracción XVIII del artículo 58 sanciona crear bases de datos en contravención de ese párrafo.

Las cámaras: el pasillo sí, el vestidor nunca

La ley no tiene un capítulo de videovigilancia. Lo que hay es criterio de autoridad, y el más claro que encontré publicado es del extinto INAI: en un comunicado de marzo de 2025 explicó que las imágenes son datos personales porque "identifican o hacen identificables a sus titulares", que si la recolección es para uso exclusivamente personal sin fines de divulgación ni comerciales la legislación no aplica, y que cuando sí hay tratamiento éste "deberá ser informado a las personas a través de un aviso de privacidad", siendo recomendable "colocar señalizaciones para informar a las personas que están siendo videovigiladas".

Tu gimnasio es un fin comercial. No caes en la excepción de uso personal. Entonces:

  • Señaliza cada zona con cámara. Un letrero visible en la entrada de cada área, no uno solo escondido junto a la caja. El letrero es aviso corto: quién graba, para qué, y dónde está el aviso integral.
  • Vestidores, regaderas y sanitarios: cero cámaras. No hay finalidad legítima que resista ahí, y el riesgo no es una multa administrativa, es el artículo 62 y siguientes de la ley, que son delitos con pena de prisión, duplicada cuando se trata de datos sensibles.
  • Define cuánto conservas el video y cúmplelo. Treinta días es un plazo razonable y defendible para un gimnasio. Escríbelo en el aviso integral y que el sistema lo sobrescriba solo.
  • Decide quién puede ver las grabaciones. El artículo 20 te obliga a establecer controles para que todos los que intervengan en cualquier fase del tratamiento guarden confidencialidad, "obligación que subsistirá aun después de finalizar sus relaciones" contigo. En cristiano: el entrenador que renunció el mes pasado no puede seguir con acceso al NVR.
  • Nunca subas video de un socio a redes sin consentimiento. Ni el del que hizo un mal levantamiento, ni el del que se puso agresivo en recepción. Ahí ya no es tratamiento interno, es divulgación.

Qué datos tienes, cuáles son sensibles y cuánto los puedes guardar

Hice el inventario de un gimnasio típico. Vale la pena que hagas el tuyo, porque el artículo 15 te obliga a enumerarlos en el aviso y no puedes enumerar lo que no sabes que tienes.

Dato¿Sensible?ConsentimientoCuánto conservarlo
Nombre, teléfono, correo, domicilioNoTácito, con el aviso a la vistaMientras dure la relación; después, el plazo de prescripción de las acciones del contrato
Fecha de nacimiento y sexoNoTácitoIgual que el anterior
Contacto de emergenciaNo, pero es dato de un terceroTácito; informa al socio que debe avisarle a esa personaMientras dure la relación
Cuestionario de salud, lesiones, medicamentosSí, estado de salud, artículo 2 fracción VIExpreso y por escrito, artículo 8Lo mínimo indispensable, artículo 12
Huella digital o reconocimiento facialSí por criterio, no por listaExpreso y por escrito, artículo 8Borrar la plantilla al causar baja, sin esperar
Fotografía de credencialNo por sí solaTácito si la finalidad es identificación en accesoMientras dure la relación
Datos bancarios para domiciliaciónNo sensibles, pero patrimonialesExpreso, artículo 7 párrafo quintoHasta cancelar el cargo recurrente y cerrar las obligaciones fiscales
Historial de adeudos e incumplimientosNoTácitoSetenta y dos meses, seis años, artículo 10 tercer párrafo
Video de las cámarasNo, salvo que revele algo sensibleTácito, con señalización visibleEl plazo que declares; treinta días es razonable

El renglón más ignorado es el penúltimo. El artículo 10 dice que estás obligado a eliminar los datos relativos al incumplimiento de obligaciones contractuales una vez que transcurra un plazo de setenta y dos meses, contado desde la fecha en que se presentó el incumplimiento. Seis años. Esa lista de morosos históricos que arrastras desde 2016 en un Excel ya no la puedes tener. Y el mismo artículo, en su párrafo anterior, obliga a suprimir —previo bloqueo— los datos que dejaron de ser necesarios para las finalidades del aviso. La regla práctica es incómoda pero simple: tener datos de más es una infracción, no una ventaja.

Eso choca de frente con la costumbre de guardar la base completa de todos los que alguna vez preguntaron precio para mandarles promociones en enero. Si vas a hacer eso, esa finalidad —mercadotecnia y prospección— tiene que estar declarada en tu aviso como finalidad secundaria, con un mecanismo para que el titular manifieste su negativa. Es la parte legal de lo que expliqué al hablar de cómo dar seguimiento a los prospectos de tu gimnasio: la lista sirve si la construyes bien desde el primer mensaje.

Llegó una solicitud ARCO y el reloj empieza a correr

Los derechos ARCO son cuatro: acceso a saber qué tienes de él, rectificación de lo que esté mal, cancelación para que salga de tus archivos, y oposición a un tratamiento concreto. El artículo 21 aclara que ejercer uno no es requisito ni impedimento para ejercer otro.

El artículo 29 te obliga a algo que casi ningún gimnasio independiente ha hecho: designar a una persona o un departamento de datos personales que dé trámite a las solicitudes. En un gimnasio de cuatro empleados eso eres tú o tu encargada de recepción, con nombre y correo publicados en el aviso. No es opcional.

Los plazos del artículo 31: tienes veinte días desde que recibes la solicitud para comunicar la determinación, y si procede, quince días más para hacerla efectiva. Ambos se pueden ampliar una sola vez por un periodo igual si las circunstancias lo justifican. Son días hábiles: el artículo 2 fracción VIII define "Días" como días hábiles.

Qué hacer cuando llega una, en orden:

  • Acusa recibo el mismo día, por escrito, con fecha. Ese acuse es tu prueba de cuándo empezó el reloj.
  • Verifica la identidad. El artículo 28 exige documentos que acrediten la identidad del titular o la personalidad de su representante. Sin eso, el artículo 33 fracción I te permite negar la solicitud, pero tienes que decirlo por escrito y motivarlo.
  • Busca en todos lados, no sólo en el software: el Excel de la computadora de recepción, el grupo de WhatsApp del equipo, la carpeta de contratos en papel, el respaldo en la nube.
  • Contesta por el mismo medio por el que llegó la solicitud, dentro de los veinte días, diciendo qué procede y qué no y por qué.
  • Si es cancelación, recuerda el artículo 24: la cancelación genera un periodo de bloqueo equivalente al plazo de prescripción de las acciones derivadas del contrato, tras el cual se suprime el dato, y una vez cancelado le das aviso al titular. No es borrar todo hoy; es bloquear, conservar sólo para responsabilidades del tratamiento, y suprimir al vencer el plazo.

El artículo 25 te da causales legítimas para no cancelar: cuando los datos se refieren a las partes de un contrato y son necesarios para su cumplimiento, cuando deban tratarse por disposición legal, o cuando obstaculice actuaciones vinculadas a obligaciones fiscales. Traducido: el socio que te debe tres meses no borra su adeudo pidiendo cancelación de datos. Pero tienes que decírselo por escrito, fundado, dentro del plazo. El silencio no es una respuesta válida.

El ejercicio es gratuito por el artículo 34; sólo puedes cobrar costos de reproducción, copias o envío. Y si el mismo titular repite su solicitud en menos de doce meses, el cobro no puede exceder tres UMA, $351.93 en 2026.

Si no contestas, o contestas mal, el titular tiene quince días desde tu respuesta —o desde que venció tu plazo, si guardaste silencio— para presentar solicitud de protección de datos ante la Secretaría, por el artículo 40. Ésta resuelve en un máximo de cincuenta días, ampliables una vez, por el artículo 42. Si te resuelven en contra, tienes diez días para cumplir y otros diez para acreditarlo por escrito, por el artículo 43. Y el artículo 52 dice que todas las resoluciones de la Secretaría son susceptibles de difundirse públicamente.

Tu software y tu domiciliación también mueven datos

Aquí hay una distinción que decide si necesitas consentimiento o no. Tu proveedor de software de gestión, si sólo trata los datos por cuenta tuya y bajo tus instrucciones, es encargado, no tercero, y comunicarle datos no es transferencia. Tu contador externo, el despacho de cobranza, la aseguradora, la empresa que te hace las credenciales: ésos sí pueden ser terceros, y ahí sí hay transferencia.

El artículo 35 te obliga, cuando transfieres a terceros nacionales o extranjeros, a comunicarles el aviso de privacidad y las finalidades a las que el titular sujetó el tratamiento; el aviso debe contener una cláusula donde el titular indique si acepta o no la transferencia; y el tercero receptor asume las mismas obligaciones que tú. El artículo 36 lista los casos en que la transferencia no requiere consentimiento, y dos te sirven: cuando es necesaria por virtud de un contrato celebrado en interés del titular entre tú y un tercero (fracción IV), y cuando es precisa para el mantenimiento o cumplimiento de la relación jurídica entre tú y el titular (fracción VII). Ahí caben el banco que procesa la domiciliación y el procesador de pagos.

Tres cosas que sí te toca revisar de tu proveedor de software, aunque sea encargado y no tercero:

  • Dónde están los servidores. Si están fuera de México, sigue siendo transferencia internacional cuando el proveedor es tercero; si es encargado, no lo es, pero el artículo 18 te sigue obligando a mantener medidas de seguridad administrativas, técnicas y físicas. No puedes delegar la responsabilidad, sólo la operación.
  • Qué pasa con tu base cuando te vas. Pide por escrito, en el contrato, la devolución y la supresión de tu base al terminar el servicio. Si no está escrito, no existe.
  • Quién te avisa si los hackean. El artículo 19 te obliga a ti —no a tu proveedor— a informar de forma inmediata al socio las vulneraciones de seguridad que afecten de forma significativa sus derechos patrimoniales o morales. Si tu proveedor tarda dos semanas en decirte, el incumplido eres tú.

Cuánto cuesta equivocarse y cuánto cuesta ponerse en regla

Las multas de esta ley están en UMA, no en pesos. El comunicado del INEGI del 8 de enero de 2026 fijó los valores vigentes desde el 1 de febrero de 2026: $117.31 diarios, $3,566.22 mensuales y $42,794.64 anuales, 3.69% arriba de 2025. Todas las conversiones que siguen usan el valor diario.

ConductaFracción del artículo 58Rango en UMAEn pesos de 2026
No atender una solicitud ARCO sin razón fundadaIApercibimiento para que cumplasSin multa, la primera vez
Negligencia o dolo al tramitar una solicitud ARCO; omitir elementos del aviso de privacidad; mantener datos inexactos; no cumplir el apercibimientoII a VII100 a 160,000 UMA$11,731 a $18,769,600
Incumplir el deber de confidencialidad; cambiar la finalidad sin consentimiento; transferir sin comunicar el aviso; vulnerar la seguridad por causa imputable a ti; recabar datos sin consentimiento expreso cuando es exigible; crear bases de datos sensibles sin justificaciónVIII a XVIII200 a 320,000 UMA$23,462 a $37,539,200
Persistir de manera reiterada en cualquiera de las anterioresArtículo 59 fracción IV100 a 320,000 UMA adicionales$11,731 a $37,539,200 más
Cualquiera de las anteriores cometida sobre datos sensiblesArtículo 59 último párrafoHasta el dobleHasta $75,078,400

El artículo 60 manda que la autoridad funde y motive considerando la naturaleza del dato, si la negativa era notoriamente improcedente, si hubo intención, la capacidad económica del responsable y la reincidencia. Otra vez: el techo no es para ti. El piso sí. Y el artículo 61 aclara que la multa se impone sin perjuicio de la responsabilidad civil o penal que resulte.

Ahora la cuenta que de verdad te interesa. Esto es lo que cuesta ponerte en regla en el gimnasio del caso de la casa: 320 m², renta de $32,000, cuatro empleados, 268 socios activos, cuota de $580.

ConceptoNotaImporte
Revisión del aviso y del formato de alta por abogadoSupuesto mío, una sola vez$6,000.00
Reimpresión de 500 formatos de alta con aviso simplificado y casilla de huellaSupuesto mío, imprenta local$1,400.00
Dos letreros de videovigilancia y uno de aviso en recepción, en vinilSupuesto mío$900.00
Publicar el aviso integral en el sitio webSupuesto mío, trabajo de un desarrollador$1,800.00
Cuatro horas de capacitación a dos personas de recepción4 h × 2 personas × $95 la hora$760.00
Archivero con llave para los formatos en papelMedida de seguridad física, artículo 18$1,200.00
Total$12,060.00

Doce mil sesenta pesos. Son 20.8 mensualidades a cuota de $580, o 7.8% de un mes de ingreso por membresías en ese gimnasio, que factura $155,440 al mes con sus 268 socios. Y es apenas $329 más que la multa mínima de 100 UMA por tener el aviso incompleto. Ese es todo el argumento económico: el costo de cumplir y el costo del piso de la multa son prácticamente el mismo número, sólo que uno lo pagas una vez y el otro puede repetirse.

Los dos avisos, listos para copiar y adaptar

Van los dos modelos. Sustituye lo que está entre corchetes. Son un modelo, no asesoría legal; llévalos a un abogado antes de usarlos, sobre todo si vas a pedir huella o si tienes cámaras en más de dos áreas.

Aviso simplificado, para el mostrador y el formato de inscripción

"[Nombre o razón social], con domicilio en [calle, número, colonia, ciudad], es responsable del tratamiento de tus datos personales. Los usamos para inscribirte y administrar tu membresía, controlar tu acceso a las instalaciones, cobrarte, contactarte por temas de tu membresía y atender emergencias. Con tu autorización expresa también los usamos para enviarte promociones; puedes negarte a esta finalidad sin que afecte tu membresía, marcando la casilla de este formato o avisándonos por escrito. Si nos entregas datos de salud o tu huella digital, los tratamos como datos sensibles y sólo con tu consentimiento expreso y por escrito. Consulta el aviso de privacidad integral en [liga] o pídelo impreso en recepción. Para ejercer tus derechos de acceso, rectificación, cancelación u oposición, escribe a [correo] o acude a recepción y pregunta por [nombre del responsable de datos personales]."

Debajo, en el mismo formato, tres casillas separadas que el socio marca y firma:

  • Autorizo el uso de mis datos para recibir promociones y avisos comerciales. Sí / No
  • Autorizo expresamente el tratamiento de los datos de salud que declaro en este formato, con la finalidad de adaptar mi entrenamiento y atender una emergencia. Sí / No
  • Autorizo expresamente el registro de mi huella digital con la única finalidad de controlar mi acceso a las instalaciones, y entiendo que puedo pedir su eliminación en cualquier momento. Sí / No

Que sean tres casillas y no una es el punto. Un consentimiento en bloque para todo no acredita el consentimiento expreso del artículo 8 para los datos sensibles. Y que la tercera casilla se pueda decir que no sin perder la membresía: si dice que no, le das credencial o código. Si condicionas la inscripción a la huella, estás condicionando el servicio.

Aviso integral, para el sitio web

"Aviso de privacidad integral. [Nombre o razón social], con domicilio en [domicilio completo], es responsable del tratamiento de tus datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Datos que tratamos. Nombre, fecha de nacimiento, sexo, domicilio, teléfono, correo electrónico, fotografía de identificación, nombre y teléfono de tu contacto de emergencia, historial de pagos y de accesos. Tratamos además los siguientes datos sensibles, sólo con tu consentimiento expreso y por escrito: condiciones de salud, lesiones y medicamentos que declares en el cuestionario de ingreso, y tu huella digital si eliges ese método de acceso.

Finalidades que dan origen a la relación. Inscribirte, administrar y renovar tu membresía; controlar tu acceso; cobrar y facturar; contactarte por asuntos de tu membresía; atender emergencias médicas dentro de las instalaciones; y cumplir obligaciones fiscales y legales.

Finalidades secundarias. Enviarte promociones, encuestas de satisfacción e invitaciones a eventos. Puedes negarte a estas finalidades desde ahora, escribiendo a [correo], sin que ello afecte tu membresía.

Videovigilancia. Contamos con cámaras en [enumera las áreas: acceso, recepción, área de pesas, área de cardio, estacionamiento]. No hay cámaras en vestidores, regaderas ni sanitarios. Las grabaciones se conservan [30] días naturales y después se sobrescriben. Sólo tienen acceso a ellas [el titular y el encargado de turno]. La finalidad es la seguridad de personas y bienes.

Transferencias. No transferimos tus datos a terceros con fines comerciales. Los comunicamos únicamente a: la institución financiera que procesa tu pago, para ejecutar el cobro; nuestro proveedor de software de gestión, que actúa como encargado por cuenta nuestra; nuestro contador externo, para el cumplimiento de obligaciones fiscales; y a la autoridad que lo requiera por mandato fundado y motivado. Estas comunicaciones no requieren tu consentimiento conforme a las fracciones IV y VII del artículo 36 de la Ley. Cualquier transferencia distinta te será informada y requerirá tu autorización.

Plazos de conservación. Conservamos tus datos de identificación y contacto mientras dure tu membresía y, después de tu baja, por el plazo de prescripción de las acciones derivadas del contrato. Los datos de incumplimiento de pago se eliminan a los setenta y dos meses de ocurrido el incumplimiento. Tu huella digital se elimina al causar baja. Las grabaciones de video, en el plazo señalado arriba.

Derechos ARCO. Tienes derecho a acceder a tus datos, rectificarlos, cancelarlos u oponerte a su tratamiento. Envía tu solicitud a [correo] o entrégala en recepción dirigida a [nombre del responsable de datos personales]. Acompaña identificación oficial y describe con claridad qué datos y qué derecho quieres ejercer. Te responderemos en un máximo de veinte días hábiles y, si procede, la haremos efectiva dentro de los quince días hábiles siguientes. El ejercicio es gratuito; sólo podríamos cobrarte costos de reproducción o envío.

Revocación del consentimiento. Puedes revocar en cualquier momento el consentimiento que nos diste, por el mismo medio, sin efectos retroactivos y sin que ello afecte la prestación del servicio contratado, salvo cuando el dato sea indispensable para prestarlo.

Cambios al aviso. Cualquier cambio se publicará en [liga] y se anunciará en el mostrador de recepción durante treinta días naturales.

Autoridad. Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir ante la autoridad competente en la materia conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Última actualización: [fecha]."

Dos advertencias sobre el modelo. La primera: donde dice "autoridad", deliberadamente no puse un nombre que puedas pegar sin pensar. La ley identifica a la Secretaría Anticorrupción y Buen Gobierno, y así lo verifiqué, pero el nombre y los datos de contacto de una dependencia cambian, y un aviso con un dato de contacto muerto es peor que uno genérico. Pon el nombre y el portal vigentes el día que publiques, y revísalo cada año.

La segunda: la lista de áreas con cámara y la lista de a quién le comunicas datos son las dos partes que casi nadie llena con la verdad. Si dejas el texto genérico y luego resulta que tienes una cámara apuntando a la entrada de vestidores, o que le pasas la base a un promotor externo que no declaraste, el aviso deja de protegerte y se convierte en la prueba en tu contra. Esto es lo mismo que pasa con el contrato: lo que sirve es lo que describe la operación real. Y la operación real empieza el primer día, que es de lo que hablo cuando escribo sobre por qué los gimnasios pierden socios desde el primer día. Un alta que pide huella sin explicar nada, de paso, es de las cosas que peor caen en ese primer día.

Lo último, y lo digo porque me lo preguntan siempre: si sólo vas a hacer una cosa de toda esta lista, imprime el aviso simplificado con las tres casillas y ponlo en el formato de alta a partir del lunes. Eso solo te saca de la fracción V del artículo 58, que es la infracción más fácil de acreditar en tu contra y la más fácil de arreglar. Lo demás se puede hacer en dos meses. Eso, no.

Preguntas frecuentes

¿Qué ley de protección de datos aplica a un gimnasio en México?
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y reformada el 14 de noviembre de 2025. Abrogó a la ley de 2010. El RGPD europeo no te aplica, aunque sea de lo único que hablan los blogs del sector. Tu gimnasio es responsable del tratamiento y tus socios son titulares. Las obligaciones de fondo son tres: aviso de privacidad con los seis elementos del artículo 15, consentimiento en los términos de los artículos 7 y 8, y atención de derechos ARCO en veinte días hábiles.
¿Puedo pedir la huella digital a los socios de mi gimnasio?
Sí, pero con condiciones. La huella no está en la lista de datos sensibles del artículo 2 fracción VI, aunque esa lista es enunciativa y no limitativa, y mi criterio es tratarla como sensible. Eso activa el artículo 8: consentimiento expreso y por escrito mediante firma autógrafa o electrónica. Además, el segundo párrafo de ese artículo prohíbe crear bases de datos sensibles sin justificar finalidades legítimas y concretas. Si el préstamo de credenciales no te cuesta dinero medible, no tienes esa justificación. Una credencial con código de barras o un QR resuelven el acceso sin entrar a este régimen.
¿Cuánto tiempo puedo guardar los datos de un ex socio del gimnasio?
Depende del dato. El artículo 10 obliga a suprimir, previo bloqueo, los datos que dejaron de ser necesarios para las finalidades del aviso, y fija un plazo expreso para un caso concreto: los datos relativos al incumplimiento de obligaciones contractuales deben eliminarse a los setenta y dos meses, seis años, contados desde que ocurrió el incumplimiento. Los datos de identificación y contacto pueden conservarse durante el periodo de bloqueo del artículo 24, equivalente al plazo de prescripción de las acciones del contrato. La huella conviene borrarla al causar baja.
¿Necesito aviso de privacidad para las cámaras de mi gimnasio?
Sí. Las imágenes son datos personales porque identifican o hacen identificables a sus titulares, y tu gimnasio es un fin comercial, así que no caes en la excepción de uso exclusivamente personal. El criterio publicado por el INAI en marzo de 2025 pedía informar mediante aviso de privacidad y colocar señalización visible en las áreas videovigiladas. En vestidores, regaderas y sanitarios no debe haber cámaras: ahí el riesgo no es una multa administrativa sino los delitos del artículo 62 y siguientes, con pena de prisión duplicada cuando se trata de datos sensibles.
¿De cuánto son las multas por no tener aviso de privacidad en México?
Omitir alguno o todos los elementos del aviso de privacidad es la fracción V del artículo 58 y se sanciona conforme al artículo 59 fracción II, con multa de 100 a 160,000 UMA. Con la UMA de 2026 en $117.31 diarios, eso va de $11,731 a $18,769,600. Recabar datos sin el consentimiento expreso cuando es exigible cae en la fracción III: de 200 a 320,000 UMA, o sea de $23,462 a $37,539,200. Si la infracción se cometió sobre datos sensibles, los montos pueden incrementarse hasta por dos veces. El artículo 60 obliga a considerar tu capacidad económica.