La contratación de servicios externos es una práctica habitual entre las empresas. Desde el almacenamiento de información en plataformas digitales hasta la administración de bases de datos, estas relaciones comerciales pueden implicar que un proveedor tenga acceso a información personal de clientes, trabajadores o usuarios.
ÚNETE A IDC en nuestro canal de Whatsapp
Sin embargo, la entrega de datos personales a un proveedor no necesariamente exige el consentimiento de sus titulares. Para determinar las condiciones aplicables, debe considerarse la función que desempeña quien recibe la información.
Remisión de datos personales en las relaciones con proveedores
El artículo 2o., fracción IX, del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (RLFPDPPP) reconoce la figura de la remisión, que consiste en la comunicación de datos personales entre el responsable y el encargado, dentro o fuera del territorio nacional.
Existe una remisión cuando el proveedor trata los datos personales por cuenta de la empresa que lo contrató, sin asumir de manera independiente la determinación de las finalidades de su utilización.
Por ejemplo, una compañía que contrata una plataforma tecnológica para almacenar los expedientes de sus clientes puede proporcionar al prestador acceso a esa información. Si este únicamente la administra por cuenta de la contratante, su participación corresponde a la de un encargado.
El consentimiento no es exigible en todas las comunicaciones
Según el artículo 53 del RLFPDPPP, la remisión de datos personales no requiere consentimiento del titular.
No obstante, esta disposición no autoriza a proporcionar información indiscriminadamente a cualquier proveedor. Su aplicación depende de que exista una relación entre responsable y encargado, de acuerdo con las características reales del servicio contratado.
Antes de dar acceso a la información personal, se debe identificar si el proveedor actuará como encargado o si utilizará la información para sus propios fines, pues no todas las comunicaciones de datos reciben el mismo tratamiento jurídico.
Importancia de identificar al receptor de los datos
Determinar si un proveedor actúa como encargado es apenas uno de los aspectos que las empresas deben considerar al compartir información personal. La intervención de terceros independientes puede dar lugar a una figura distinta, con requisitos específicos que deben analizarse antes de efectuar la operación.
¿Cuáles son esas exigencias y cómo pueden las empresas acreditar su cumplimiento?
Para conocer las condiciones legales para comunicar información a terceros y se presenta un caso práctico acompañado de herramientas documentales para facilitar su aplicación, cómo construir la metodología y medir los riesgos, revisa la nota “Transferencia de datos personales: ¿Qué deben considerar las empresas?”, disponible en la revista digital 611 del 15 de octubre de 2026. Si aún no eres suscriptor, da clic aquí.
