En marketing solemos celebrar cuando una campaña “convierte”: más leads, más clics, más carritos recuperados, más audiencias parecidas y más listas segmentadas. Pero hay una pregunta incómoda que muchas veces llega tarde a la mesa porque o nos odian a los abogados o simplemente les vale lo que les recomendamos: ¿teníamos derecho a usar esos datos para hacer todo eso?
En México, la conversación no empieza en el seguimiento o en las pautas de la publicidad; empieza en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Esta ley exige que el tratamiento de datos personales sea legítimo, controlado e informado, y que la persona titular sepa quién recaba sus datos, para qué los usa, con quién los comparte y cómo puede ejercer sus derechos. Dicho en lenguaje de campaña: no basta con tener tráfico; hay que tener permiso, trazabilidad y propósito.
No todo mirón es utilizable
La base de datos es uno de los activos más valiosos de una marca, pero también uno de sus mayores focos de riesgo. Comprar listas, revivir bases antiguas, mezclar registros de eventos con formularios o usar contactos obtenidos para una finalidad distinta puede parecer una solución rápida para alimentar el embudo comercial. Legalmente, puede ser el inicio de un problema.
El punto clave es la finalidad, ya que si una persona dejó sus datos para recibir una cotización, no necesariamente autorizó recibir promociones permanentes, campañas de aliados comerciales o impactos, entendamos eso, por favor. El aviso de privacidad debe explicar con claridad las finalidades primarias y secundarias del tratamiento, y permitir que el titular limite el uso o divulgación de su información cuando corresponda.
Cookies, píxeles y remarketing: el consentimiento no es de adorno
Las cookies y tecnologías similares permiten reconocer preferencias, sesiones, hábitos de navegación y patrones de comportamiento. Los Lineamientos del Aviso de Privacidad en México incluso definen las cookies como archivos que se almacenan en el dispositivo del usuario y permiten intercambiar información con el sitio visitado. En una campaña digital, esto puede traducirse en audiencias personalizadas, frecuencia de impactos, abandono de carrito, automatizaciones y perfiles de consumo.
Por eso, el banner de cookies no debería ser un adorno molesto ni una frase genérica copiada de otro sitio. Debe explicar qué tecnologías se usan, para qué finalidades y cómo puede la persona aceptar, rechazar o configurar su consentimiento. En especial, cuando esas cookies sirven para generar publicidad personalizada para la persona que las marcas ya vieron con su click que les interesó el producto o servicio, la marca debe evitar la lógica de “si navega, acepta todo”. El consentimiento válido exige información suficiente y una decisión real.
Menos campos, menos riesgo
Un formulario en algunas páginas suele revelar la madurez legal de una campaña. Si se piden nombre, teléfono, correo, empresa, cargo, presupuesto, ubicación y preferencias sin justificar cada campo, la marca puede estar recolectando más datos de los necesarios. El principio práctico es simple: si no lo vas a usar para la finalidad informada, no lo pidas.
Además, el aviso de privacidad debe estar disponible desde el momento en que se recaban los datos. No escondido, no en una página rota, no detrás de una casilla premarcada. Si el usuario entrega información en un formulario, la marca debe facilitarle una ruta clara para conocer el tratamiento, ejercer derechos ARCO y oponerse a finalidades no necesarias, como envíos promocionales o transferencias comerciales.
No se agandallen los datos
Una mala práctica frecuente es tratar los datos personales como propiedad absoluta del anunciante. La legislación mexicana parte de una idea distinta: la persona conserva control sobre su información. La empresa responsable decide sobre el tratamiento, sí, pero debe hacerlo bajo principios de información, consentimiento, calidad, finalidad, lealtad, proporcionalidad y responsabilidad.
Esto importa especialmente cuando participan agencias, plataformas, etcétera. La campaña puede ser creativa, pero el flujo de datos debe ser ordenado: quién accede, quién procesa, dónde se almacena, con qué medidas de seguridad, bajo qué contrato y para qué finalidad.
Por ello es necesario: Verificar que la base de datos fue obtenida de forma lícita y para finalidades compatibles con la campaña; actualizar el aviso de privacidad y distinguir finalidades necesarias de finalidades de marketing; evitar casillas premarcadas para consentimientos promocionales o transferencias no indispensables; implementar un banner de cookies claro, configurable y coherente con las tecnologías realmente usadas; documentar proveedores, encargados, transferencias y medidas de seguridad; permitir bajas o cancelaciones sencillas y, sobre todo, conservar evidencia del consentimiento a través de buenos avisos