Aviso de cookies en México: qué pide la ley y qué vimos en 54 sitios de agencias

Sí: en México, si tu sitio usa cookies, píxeles u otras herramientas que recogen datos personales de forma automática mientras alguien navega, tienes que avisarlo en ese momento, decir que con ellas se obtienen datos y explicar cómo se pueden desactivar. Esa regla está en el último párrafo del artículo 14 del Reglamento de la ley de datos personales y en los Lineamientos del Aviso de Privacidad, publicados en el DOF en 2013.

Además, lo que recoges por esas herramientas tiene que aparecer en tu aviso de privacidad, que con la ley vigente desde el 21 de marzo de 2025 debe incluir, al menos, qué datos tratas, para qué y cómo se ejercen los derechos ARCO.

México no copia el modelo europeo de "nada se activa hasta que aceptes", pero tampoco te deja instalar rastreadores en silencio. Y en nuestras propias revisiones, eso último es justo lo que más vemos.

¿Qué encontramos en las revisiones de Ortlex?

Entre el 10 y el 14 de octubre de 2026 revisamos 54 sitios de agencias digitales y estudios de software en México, tomados de directorios públicos del sector. Esto es lo que vemos en las revisiones de Ortlex:

La muestra no es aleatoria ni representa a todo el país, pero sí dice algo: casi 4 de cada 10 agencias que construyen sitios para otros negocios tienen activas herramientas de medición o publicidad sin decirle nada al visitante.

Y no es solo un tema de cumplimiento. Si tu cliente te pregunta "¿mi sitio está bien?" y el tuyo no lo está, pierdes argumento.

¿Qué dice exactamente la regulación sobre cookies?

Hay tres piezas que conviene tener claras.

1. El Reglamento: avisar en el momento y explicar cómo desactivar

El Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF, 21 de diciembre de 2011) dice en su artículo 14 que, cuando uses tecnología que recabe datos de manera "automática y simultánea" mientras la persona interactúa, en ese momento debes informarle:

1. Que usas esas tecnologías.
2. Que a través de ellas se obtienen datos personales.
3. La forma en que se pueden deshabilitar.

2. Los Lineamientos del Aviso de Privacidad: un aviso visible

Los Lineamientos (DOF, 17 de enero de 2013) bajan esa regla a la práctica en su lineamiento trigésimo primero, titulado "Uso de cookies, web beacons u otras tecnologías similares". Piden un comunicado o advertencia en un lugar visible y que el aviso de privacidad integral detalle qué datos se obtienen así y para qué. La excepción: las tecnologías que sean necesarias por razones técnicas.

3. La ley de 2025: el aviso de privacidad sigue siendo el centro

La nueva ley, publicada el 20 de marzo de 2025, no menciona las cookies por nombre. Pero su artículo 15 fija lo que tu aviso debe contener, al menos:

• Quién eres y tu domicilio.
• Qué datos tratas, señalando los sensibles.
• Para qué los usas, distinguiendo lo que requiere consentimiento.
• Cómo limitar su uso o divulgación.
• Cómo ejercer los derechos ARCO.
• Cómo vas a avisar si el aviso cambia.

Si tu Meta Pixel arma audiencias para anuncios, esa es una finalidad. Si no está en tu aviso, el aviso está incompleto.

¿El Reglamento y los Lineamientos siguen aplicando?

Aquí hay que ser precisos. Ambos se expidieron con la ley anterior. La ley de 2025 le dio al Ejecutivo 90 días naturales para ajustar los reglamentos (transitorio décimo segundo), y a la fecha de este artículo no encontramos publicado un reglamento nuevo.

Mientras eso no pase, despachos y consultoras siguen usando el Reglamento de 2011 en lo que no contradiga a la ley nueva, y ECIJA México lo cita como la base para las cookies en un análisis de octubre de 2025. Nosotros tomamos la postura práctica: cumplir con lo que esos textos piden cuesta poco, y no hacerlo te deja sin defensa si alguien pregunta.

Otro dato útil del mismo análisis: un criterio del INAI de 2024 (consulta DGNC/131/2024) reconoce que las cookies pueden ser datos personales cuando permiten identificar a alguien, directa o indirectamente. Con Meta Pixel o Hotjar, eso suele pasar.

¿Necesito un banner que bloquee todo hasta que acepten?

En México, la regla general de la ley es el consentimiento tácito: si pusiste el aviso de privacidad a disposición y la persona no se opone, se entiende que consintió (artículo 7). La ley prevé casos en los que se necesita consentimiento expreso, así que si tratas datos sensibles o financieros conviene revisarlo por separado.

Por eso, para la mayoría de sitios de agencias y startups, lo que la regulación pide es:

• Un aviso visible al llegar, no escondido en el pie de página.
• Que diga que usas cookies y rastreadores, y que recogen datos.
• Cómo desactivarlos (desde el navegador o desde un panel en tu sitio).
• Un enlace a tu aviso de privacidad completo.

Un panel que deje aceptar o rechazar por tipo de cookie no es obligatorio en México, pero es buena práctica, sobre todo si tienes visitantes de Europa o California, donde las reglas son más estrictas.

¿Qué te puede costar no tenerlo?

La ley de 2025 considera infracción omitir en el aviso de privacidad alguno de los elementos del artículo 15 (artículo 58, fracción V). La multa va de 100 a 160,000 veces la UMA (artículo 59, fracción II). Con la UMA de 2026 en $117.31 diarios, eso es de $11,731 a poco más de $18.7 millones de pesos. Si la infracción se repite, puede sumarse otra multa de 100 a 320,000 UMA.

Hoy la autoridad es la Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones del INAI en marzo de 2025. Si tu aviso todavía manda a la gente al INAI, también toca actualizarlo (ya hablamos de eso en nuestra radiografía de 40 sitios de negocios digitales).

Paso a paso: qué revisar esta semana

1. Haz el inventario. Abre tu sitio en una ventana privada, entra a las herramientas de desarrollador (pestaña Aplicación o Almacenamiento) y anota qué cookies aparecen. Revisa también tu Google Tag Manager: ahí suelen esconderse píxeles que alguien instaló hace años.
2. Separa las técnicas de las de medición y publicidad. Las que hacen funcionar el sitio (sesión, carrito, seguridad) son técnicas. Analytics, Meta Pixel, Hotjar o LinkedIn Insight son de medición o publicidad.
3. Pon el aviso visible. Un aviso breve al entrar: qué usas, que recoge datos, cómo desactivarlo y un enlace a tu aviso de privacidad.
4. Actualiza tu aviso de privacidad. Agrega una sección de cookies y rastreadores con los datos que se obtienen y para qué. Revisa que tenga los seis elementos del artículo 15 y que no nombre al INAI.
5. Revisa los sitios de tus clientes. Si eres agencia, este es un servicio que puedes ofrecer y un riesgo que puedes evitarles.
6. Ponle fecha. Vuelve a revisar cada vez que agregues una herramienta nueva de medición o anuncios.

En corto

Usar Google Tag Manager o Meta Pixel no tiene nada de malo. Lo que la regulación mexicana pide es que lo digas en el momento, que expliques cómo apagarlo y que tu aviso de privacidad cuente la historia completa. Es de los arreglos más baratos que puede hacer un sitio, y en nuestras revisiones es de los que más faltan.

Si quieres saber cómo está el tuyo, mándanos la liga de tu sitio y te hacemos la revisión gratuita. Y si prefieres que lo dejemos todo en orden, aquí está nuestro servicio de sitio en regla.

Fuentes

• Cámara de Diputados. Ley Federal de Protección de Datos Personales en Posesión de los Particulares, artículos 7, 15, 58 y 59 y transitorio décimo segundo. Publicada en el DOF el 20 de marzo de 2025; última reforma DOF 14 de noviembre de 2025.
• Cámara de Diputados. Historial de reformas de la LFPDPPP.
• Diario Oficial de la Federación. Lineamientos del Aviso de Privacidad, lineamiento trigésimo primero. Publicados el 17 de enero de 2013.
• Hunton Andrews Kurth. Mexico Issues Cookie and Web Beacon Rules and Privacy Notice Requirements (12 de febrero de 2013).
• Reglamento de la LFPDPPP, artículo 14, último párrafo (DOF 21 de diciembre de 2011). Texto consultado en mley.mx.
• ECIJA México. Publicidad digital y privacidad: lo que las cookies revelan (y la ley aún no regula del todo) (31 de octubre de 2025).
• EY México. Law Flash: nueva LFPDPPP.
• Hogan Lovells. Mexico's new federal data protection law: what it means for companies.
• Basham, Ringe y Correa. Nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
• Sharkit. Nueva LFPDPPP: reglamento pendiente (julio de 2026).
• IDC Online. Valor UMA 2026: INEGI publica nuevos montos (9 de enero de 2026).
• Datos propios de Ortlex: revisión de 54 sitios de agencias digitales y estudios de software en México, tomados de directorios públicos del sector, entre el 10 y el 14 de octubre de 2026. Muestra no aleatoria; resultados agregados y anónimos.