Expediente inmobiliario: cumplir PLD no autoriza usar los datos para todo

Expediente inmobiliario: cumplir PLD no autoriza usar los datos para todo

Identificaciones, estados de cuenta, escrituras y documentos del Beneficiario Controlador pueden ser necesarios para una operación; su conservación obligatoria no convierte el expediente en una base comercial de libre uso.

Resumen ejecutivo

Una operación inmobiliaria suele concentrar más información personal de la que parece: identificaciones, CURP, RFC, domicilios, teléfonos, estados de cuenta, ingresos, régimen matrimonial, escrituras, firmas, datos de copropietarios, beneficiarios, referencias y rutas de pago. Cuando además existe una Actividad Vulnerable, el expediente puede incorporar documentos sobre la persona cliente, su representante, el Beneficiario Controlador y los análisis previos de la operación.

La necesidad de recabar y conservar esa información no elimina las obligaciones de protección de datos. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente exige licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. También obliga a establecer medidas administrativas, técnicas y físicas, mantener confidencialidad y atender los derechos de acceso, rectificación, cancelación y oposición.

La regla corporativa debe ser clara: cada dato necesita una finalidad, una base jurídica, un responsable, accesos definidos y un plazo de conservación. Cumplir PLD puede justificar determinados tratamientos y periodos de resguardo; no autoriza automáticamente campañas comerciales, transferencias entre intermediarios, copias personales en teléfonos ni circulación ilimitada por mensajería.

El expediente que nadie ve crecer

El prospecto comienza llenando un formulario para visitar una propiedad. Después envía su identificación por mensajería. El asesor la reenvía al propietario, quien la comparte con el abogado. Para acreditar solvencia se agregan recibos, estados de cuenta y referencias. Si la operación avanza, aparecen datos fiscales, escritura, poderes, régimen matrimonial, origen de recursos y Beneficiario Controlador.

Al final pueden existir copias en el teléfono del asesor, correo de la inmobiliaria, computadora personal del abogado, nube del propietario, CRM del franquiciatario y carpeta de la notaría. Si la operación no se celebra, nadie sabe quién debe eliminar qué. Si sí se celebra, tampoco siempre se distingue cuál copia integra el expediente legal y cuál quedó como duplicado sin control.

Ésta es una brecha de compliance: la organización puede contar con un aviso de privacidad formal y, al mismo tiempo, carecer de un mapa real de la información. La protección no se demuestra únicamente con un documento publicado en el sitio web. Debe observarse en la ruta completa del dato, desde la recolección hasta su bloqueo, cancelación o destrucción.

Qué cambió en el marco federal

La actual Ley Federal de Protección de Datos Personales en Posesión de los Particulares fue publicada el 20 de marzo de 2025 y el texto consultado reporta última reforma del 14 de noviembre de 2025. La ley abrogó el ordenamiento federal de 2010 y define a la Secretaría Anticorrupción y Buen Gobierno como la “Secretaría” competente para vigilar y verificar su cumplimiento, conocer procedimientos e imponer sanciones.

La nueva distribución institucional no reduce las obligaciones de empresas, despachos o personas físicas que tratan datos con fines profesionales o comerciales. El artículo 5 conserva los principios sustantivos que deben gobernar el tratamiento. El artículo 14 exige informar mediante el aviso de privacidad sus características principales y el artículo 15 establece su contenido mínimo.

Para el sector inmobiliario también resulta relevante la NOM-247-SE-2021 en los supuestos comprendidos por su campo de aplicación. Su numeral 4.3 exige a los proveedores tratar los datos conforme a los principios de privacidad y poner el aviso a disposición en los medios donde se recaban datos y, en su caso, en el portal y la oficina física. Esa norma fue expedida bajo la legislación e institucionalidad anteriores; sus referencias deben leerse en concordancia con la ley federal vigente y con la reasignación de competencias.

Tener el dato no significa poder hacer cualquier cosa con él

La ley define tratamiento de manera amplia: obtener, registrar, organizar, conservar, usar, comunicar, divulgar, transferir o disponer información personal. Por ello, varias acciones cotidianas son jurídicamente relevantes:

• Tomar una fotografía de una identificación.
• Subir documentos a una carpeta compartida.
• Agregar un teléfono al CRM.
• Enviar estados de cuenta al propietario.
• Reutilizar datos de una operación para promocionar otra.
• Conservar contactos de prospectos que no contrataron.
• Compartir el expediente con un valuador, investigador, abogado o proveedor tecnológico.

La primera pregunta no es si el dato resulta útil. Es si el tratamiento es necesario, adecuado y relevante para la finalidad informada. El artículo 12 establece ese criterio de proporcionalidad. Si una identificación se recabó para integrar una operación, no debe suponerse que también existe autorización para publicitar desarrollos futuros.

Cuando se pretende una finalidad sustancialmente distinta, la ley exige obtener nuevamente el consentimiento. La finalidad de debida diligencia, la de cumplimiento PLD, la ejecución contractual y la mercadotecnia deben distinguirse, aunque operativamente utilicen la misma plataforma.

Datos patrimoniales y financieros: consentimiento no intercambiable

La información inmobiliaria suele ser patrimonial. El artículo 7 dispone que los datos financieros o patrimoniales requieren consentimiento expreso, salvo las excepciones legales de los artículos 9 y 36.

Esto no significa que toda recolección dependa siempre del consentimiento. Puede existir una disposición jurídica que imponga el tratamiento o resultar necesario para ejercer un derecho o cumplir obligaciones de una relación jurídica. Pero la excepción debe vincularse con la finalidad concreta. La obligación de identificar a una persona cliente conforme a la LFPIORPI no justifica utilizar su estado de cuenta para construir un perfil publicitario.

También es necesario separar datos patrimoniales de datos sensibles. Estos últimos se relacionan con la esfera más íntima y pueden generar discriminación o un riesgo grave por uso indebido. Si se recaban, por ejemplo, datos de salud para adecuaciones de accesibilidad o biométricos para controles de ingreso, deben justificarse de forma específica y, por regla general, obtenerse consentimiento expreso y por escrito.

No todo expediente inmobiliario contiene datos sensibles. Calificar indiscriminadamente toda la información como sensible impide diseñar controles proporcionales. La clasificación debe hacerse por categoría, finalidad, riesgo y titular.

El punto de tensión: conservar diez años y no conservar para siempre

La LFPIORPI vigente exige que quienes realizan Actividades Vulnerables custodien, protejan y resguarden la información que soporta la operación. Incluye registros que permitan reconstruirla, correspondencia comercial, análisis previos y datos de identificación. Como regla general, el artículo 18 ordena conservar esa documentación al menos diez años desde la realización de la Actividad Vulnerable, sin perjuicio de otros ordenamientos.

Esa conservación es una obligación jurídica, no una licencia de reutilización. Durante el periodo aplicable, el acceso debe limitarse a las finalidades que justifican el resguardo y a las personas que realmente lo necesitan.

La ley de datos define el bloqueo como la identificación y conservación de información una vez cumplida la finalidad original, únicamente para determinar posibles responsabilidades hasta que transcurra el plazo legal o contractual. Durante el bloqueo, los datos no deben someterse a otros tratamientos; agotado el plazo, procede su cancelación en la base correspondiente.

Por tanto, conservación, bloqueo y uso activo son estados distintos:

• Uso activo: los datos se emplean para ejecutar la operación y cumplir finalidades vigentes.
• Conservación obligatoria o defensiva: se resguardan conforme a una obligación legal o para responsabilidades posibles, con acceso restringido.
• Cancelación o destrucción: procede cuando terminan las finalidades y plazos aplicables, salvo otra causa legítima de conservación.

Una política que diga “guardar todo por diez años” es insuficiente. Debe precisar qué expediente está sujeto a la LFPIORPI, desde qué fecha corre el plazo, qué otras obligaciones intervienen, cuándo se bloquea y qué copias deben eliminarse antes porque no forman parte del archivo requerido.

Siete grietas frecuentes en la operación

1. Aviso tardío

El aviso se presenta cuando el contrato ya está listo, aunque los datos comenzaron a recabarse en el formulario, la visita o la conversación de mensajería. La ley exige ponerlo a disposición desde la obtención conforme al medio utilizado. Cada punto de entrada necesita una solución congruente.

2. Finalidades genéricas

Frases como “para prestar nuestros servicios” no explican si habrá investigación, perfilamiento de solvencia, verificación PLD, envío a propietarios, publicidad o conservación posterior. Las finalidades deben permitir una decisión informada.

3. Consentimiento convertido en formalidad

Una casilla premarcada o un aviso que mezcla ejecución contractual con mercadotecnia puede impedir demostrar una voluntad libre, específica e informada. Para datos patrimoniales o financieros debe revisarse la exigencia de consentimiento expreso y sus excepciones.

4. Reenvío sin control

Enviar documentos a propietario, notaría, investigador o proveedor tecnológico puede implicar una relación con una persona encargada o una transferencia a un tercero. La clasificación depende de quién decide las finalidades y trata por cuenta de quién. No se resuelve llamando “colaborador” a todos.

5. Accesos acumulativos

Quien cambia de puesto, termina la exclusiva o concluye la relación laboral conserva ligas, contraseñas o archivos descargados. El artículo 20 exige confidencialidad incluso después de finalizar la relación. Deben revocarse accesos y verificarse devoluciones o eliminaciones.

6. Copias personales y mensajería

El repositorio corporativo puede estar protegido, pero la misma identificación permanece en teléfonos, descargas y chats. Las medidas de seguridad deben abarcar la práctica real, no sólo el servidor principal.

7. Incidente sin protocolo

Cuando un enlace queda abierto o se envía un expediente al destinatario equivocado, el equipo improvisa. El artículo 19 exige informar inmediatamente a las personas titulares cuando una vulneración afecte significativamente sus derechos patrimoniales o morales. Antes debe existir un mecanismo para detectar, contener, evaluar, documentar y decidir la notificación.

Deconstruir el cumplimiento: siete controles verificables

1. Inventario de datos y recorridos

Debe identificarse qué datos ingresan, por qué canal, en qué sistema se almacenan, quién accede, con quién se comparten y cuándo salen. El mapa incluye formularios web, CRM, correo, mensajería, dispositivos, carpetas físicas y plataformas de terceros.

2. Matriz de finalidades y bases jurídicas

Cada categoría debe vincularse con una finalidad primaria o secundaria y con su base: consentimiento, obligación jurídica, relación contractual u otra excepción válida. La matriz debe separar prospectos, clientes, representantes, propietarios, arrendatarios, beneficiarios y referencias.

3. Avisos por momento y canal

El aviso integral no elimina la necesidad de colocarlo donde se recaban datos. Formularios, portales, visitas, expedientes físicos y canales digitales requieren puntos de información trazables y versiones controladas. Debe poder demostrarse qué versión se puso a disposición y cuándo.

4. Gobierno de terceros

Contratos y órdenes de servicio deben definir instrucciones, confidencialidad, seguridad, subcontratación, devolución, eliminación y atención de incidentes. Si existe transferencia, deben revisarse aviso, consentimiento o excepción y obligaciones del receptor. Compartir por comodidad no es una finalidad.

5. Acceso por necesidad

El área comercial no necesita todos los documentos PLD; el proveedor de fotografía no necesita estados de cuenta; el propietario no necesariamente requiere copias completas de cada prospecto. Los permisos deben responder a funciones, etapa y riesgo, con autenticación y bitácoras razonables.

6. Calendario de conservación y bloqueo

Debe distinguirse entre operación celebrada, prospecto descartado, expediente PLD, reclamación, relación contractual y copia auxiliar. Para cada conjunto se define detonante, plazo, responsable, bloqueo, excepción por litigio y método de destrucción verificable.

7. Respuesta a titulares e incidentes

La organización debe designar una persona o departamento para tramitar derechos ARCO. La ley fija, como regla, veinte días para comunicar la determinación y quince días adicionales para hacerla efectiva si resulta procedente; ambos plazos pueden ampliarse una sola vez en los términos legales. El protocolo de incidentes debe operar en paralelo y preservar evidencia sin extender accesos innecesarios.

Qué puede reclamar la persona titular

La persona puede solicitar acceso, rectificación, cancelación u oposición. Si el responsable no responde o la respuesta es insuficiente, la ley prevé una solicitud de protección de datos ante la Secretaría. El procedimiento no debe confundirse con una reclamación de consumo, una denuncia penal o un litigio contractual, aunque un mismo hecho pueda generar rutas distintas.

La cancelación tampoco equivale siempre a borrado instantáneo. Puede ser improcedente total o parcialmente cuando exista un impedimento legal, derechos de terceros o una relación jurídica que requiera el tratamiento. La respuesta debe estar fundada, motivada y acompañada de la actuación que sí resulte procedente, incluido el bloqueo cuando corresponda.

La ley contempla verificaciones, infracciones, multas y responsabilidades adicionales. Su mera existencia no permite anticipar una sanción en un caso concreto: deben acreditarse conducta, imputación, circunstancias y procedimiento.

Implicaciones corporativas

El riesgo no pertenece únicamente al área jurídica. Ventas decide qué pedir; tecnología configura formularios y permisos; recursos humanos administra accesos; operaciones comparte expedientes; marketing reutiliza contactos; dirección contrata proveedores; y cumplimiento define conservación y respuesta.

Un aviso diseñado sin esos procesos puede ser correcto en apariencia e imposible de cumplir. El verdadero control consiste en que los sistemas y las personas hagan lo que la organización informó.

Además, una filtración puede afectar la seguridad patrimonial. Una escritura, identificación y estado de cuenta reunidos en una misma carpeta pueden facilitar suplantaciones, fraude, ingeniería social o localización de activos. La prevención de datos y el blindaje patrimonial deben tratarse como capas complementarias.

Mitigación mediante BLINDAJE RAÍZ 360

BLINDAJE RAÍZ 360 puede incorporar la privacidad al expediente operativo mediante un diagnóstico acotado a procesos inmobiliarios:

• Inventario de datos, canales, sistemas y terceros.
• Matriz de finalidades, bases jurídicas y consentimientos.
• Revisión de avisos de privacidad y evidencia de puesta a disposición.
• Clasificación de responsables, personas encargadas y transferencias.
• Matriz de accesos y protocolo de alta, cambio y baja de usuarios.
• Calendario de conservación, bloqueo y destrucción.
• Ruta de respuesta ARCO y protocolo de incidentes.
• Concordancia con obligaciones PLD, contractuales y de consumo.

El diagnóstico no garantiza que nunca ocurra una vulneración ni sustituye la resolución de la autoridad. Su propósito es identificar brechas, asignar responsables y producir evidencia verificable de los controles adoptados.

Conclusión

El expediente inmobiliario no es sólo un conjunto de documentos para cerrar una operación. Es un sistema de tratamiento de datos con riesgos jurídicos, tecnológicos y patrimoniales.

Cumplir PLD puede exigir recopilar y conservar información durante diez años. Esa obligación debe ejecutarse con finalidad delimitada, acceso restringido, seguridad, bloqueo y eliminación de copias innecesarias. El dato legalmente conservado no queda disponible para cualquier uso.

Solicita un Diagnóstico 360 para revisar cómo ingresan, circulan, se comparten y se eliminan los datos dentro de tu operación inmobiliaria. La prevención comienza cuando el aviso, el contrato, los sistemas y la conducta del equipo cuentan la misma historia.

Referencias

Cámara de Diputados del H. Congreso de la Unión. (2025a). Ley Federal de Protección de Datos Personales en Posesión de los Particulares (nueva ley publicada el 20 de marzo de 2025; última reforma publicada el 14 de noviembre de 2025). https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf

Cámara de Diputados del H. Congreso de la Unión. (2025b). Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (última reforma publicada el 16 de julio de 2025). https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPIORPI.pdf

Secretaría de Economía. (2022, 22 de marzo). NOM-247-SE-2021, prácticas comerciales—requisitos de la información comercial y la publicidad de bienes inmuebles destinados a casa habitación y elementos mínimos que deben contener los contratos relacionados. Diario Oficial de la Federación. https://dof.gob.mx/nota_detalle_popup.php?codigo=5646251

Transparencia editorial

Hechos verificados

• La ley federal de datos personales consultada fue publicada el 20 de marzo de 2025 y reporta última reforma del 14 de noviembre de 2025.
• La ley define a la Secretaría Anticorrupción y Buen Gobierno como autoridad competente en el régimen federal para particulares.
• Los datos patrimoniales o financieros requieren consentimiento expreso, salvo excepciones legales.
• La ley exige medidas administrativas, técnicas y físicas, confidencialidad y atención de derechos ARCO.
• La LFPIORPI ordena conservar por al menos diez años la documentación que soporta una Actividad Vulnerable, en los términos y con las salvedades de su artículo 18.
• La NOM-247 contiene obligaciones sectoriales de privacidad para proveedores comprendidos en su campo de aplicación.

Interpretación editorial

• La conservación obligatoria no autoriza usos comerciales incompatibles con la finalidad que justificó la recolección.
• Separar uso activo, conservación y bloqueo reduce accesos innecesarios.
• La protección de datos también funciona como control contra fraude y suplantación patrimonial.
• El aviso sólo es eficaz cuando coincide con los procesos, sistemas y conductas reales.

Incertidumbres y límites

• La base jurídica, el consentimiento exigible y el plazo de conservación dependen del dato, la finalidad, el rol del participante y la operación concreta.
• No toda persona que interviene en una operación inmobiliaria realiza una Actividad Vulnerable ni queda sujeta al plazo de diez años.
• La NOM-247 fue emitida bajo la ley y arquitectura institucional anteriores; sus referencias deben interpretarse en concordancia con el marco vigente.
• La notificación de una vulneración depende de que la afectación sea significativa y exige evaluación del caso.
• Este contenido es informativo y no sustituye asesoría jurídica, tecnológica o de cumplimiento individual.

Javier Arias