Protección de datos en restaurantes México: guía LFPDPPP

Cada vez que un comensal hace una reserva por teléfono, le das su nombre, su número y a veces su correo electrónico a la persona que contesta. Cuando un socio de cava privada te confía 30 botellas de Château Margaux, le registras nombre completo, dirección, teléfono, preferencias de consumo y, en muchos casos, alergias alimentarias.

Esos datos tienen dueño. Y ese dueño tiene derechos que la ley mexicana protege con multas de hasta $36.2 millones de pesos.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) lleva vigente desde 2010. Aplica a todo negocio que recabe datos personales — y sí, eso incluye a tu restaurante. El problema: el 44% de las empresas mexicanas evaluadas no poseen el conocimiento necesario sobre esta ley. En el sector restaurantero, ese porcentaje es probablemente mayor.

Este artículo traduce la jerga legal en acciones concretas que tu restaurante puede implementar sin necesidad de un abogado de planta.

¿Por qué la LFPDPPP aplica a tu restaurante?

La LFPDPPP aplica a toda persona física o moral de carácter privado que trate datos personales. "Tratar" incluye: obtener, usar, divulgar, almacenar, acceder, manejar, aprovechar, transferir o disponer de datos personales.

¿Tu restaurante hace alguna de estas cosas?

• Recibe reservas por teléfono, correo o WhatsApp (nombre + teléfono + correo)
• Gestiona un programa de lealtad o cavas privadas (nombre + preferencias + historial de consumo)
• Procesa pagos con tarjeta (datos financieros)
• Registra alergias alimentarias de comensales (datos de salud = datos sensibles)
• Tiene empleados en nómina (CURP, RFC, NSS, cuenta bancaria)
• Usa cámaras de seguridad (imagen = dato personal)

Si respondiste sí a cualquiera — y todo restaurante responde sí a varias — la LFPDPPP te aplica. No hay excepción por tamaño, no hay "soy muy pequeño para que me aplique", no hay zona gris.

¿Qué tipos de datos captura un restaurante y cómo se clasifican?

No todos los datos son iguales ante la ley. La LFPDPPP distingue entre categorías que determinan el nivel de protección requerido:

Datos personales simples

• Nombre completo
• Teléfono
• Correo electrónico
• Dirección
• Fecha de nacimiento/aniversario

Datos financieros

• Número de tarjeta de crédito/débito
• Datos de facturación (RFC)
• Historial de pagos

Datos sensibles (protección MÁXIMA)

• Alergias alimentarias — son datos de salud
• Preferencias religiosas que afectan dieta (kosher, halal)
• Datos biométricos — si usas huella digital para control de acceso de empleados

La distinción importa porque las sanciones por mal manejo de datos sensibles se duplican. Si tu restaurante registra alergias de comensales (y debería, por seguridad alimentaria), está manejando datos sensibles.

La ley mexicana establece multas que van de 100 a 320,000 días de salario mínimo por incumplimiento, lo que equivale a un rango de $11,314 a $36.2 millones de pesos según valores actualizados de la UMA. Cuando el incumplimiento involucra datos personales sensibles — como las alergias alimentarias que todo restaurante debería registrar para proteger a sus comensales — las sanciones pueden duplicarse. Además, la LFPDPPP contempla penas de prisión de entre seis meses y cinco años para quienes traten datos personales de manera engañosa o se aprovechen del error del titular para obtener un beneficio económico. Esto no es teoría: el INAI ha impuesto sanciones millonarias a empresas de todos los tamaños.

¿Cuáles son las obligaciones legales concretas para restaurantes?

1. Aviso de privacidad

Es tu obligación número uno y la más visible. Necesitas dos versiones:

Aviso simplificado: Lo que el comensal ve al hacer una reserva o al entrar al programa de cavas. Debe incluir:

• Identidad del responsable (nombre del restaurante y datos de contacto)
• Finalidades del tratamiento (para qué usas sus datos)
• Mecanismo para conocer el aviso integral

Aviso integral: El documento completo, disponible en tu sitio web y en formato impreso si lo solicitan. Debe incluir todo lo anterior más:

• Datos personales que se recaban
• Transferencias de datos a terceros (procesador de pagos, sistema de reservas)
• Medios para ejercer derechos ARCO
• Procedimiento para notificar cambios al aviso

Ejemplo práctico: aviso simplificado para reservas por WhatsApp

Si tu restaurante recibe reservas por WhatsApp (como el 80% del fine dining en México), cada primera interacción debería incluir algo como:

"Restaurante [Nombre], con domicilio en [dirección], utiliza sus datos personales (nombre, teléfono, número de comensales, fecha) exclusivamente para gestionar su reserva. Aviso de privacidad integral en [URL]. Al confirmar su reserva, acepta el tratamiento de sus datos conforme a dicho aviso."

¿Cuántos restaurantes hacen esto? Prácticamente ninguno. ¿Es legalmente obligatorio? Sí.

2. Consentimiento

Para datos personales simples, el consentimiento puede ser tácito — si el comensal te da sus datos para una reserva y tú tienes un aviso de privacidad disponible, se entiende que consiente.

Para datos sensibles (alergias, preferencias religiosas), el consentimiento debe ser expreso y por escrito. Esto significa que necesitas un mecanismo documentable para que el comensal autorice el registro de sus alergias.

En la práctica para un programa de cavas privadas: el contrato de membresía debe incluir una cláusula específica de consentimiento para datos sensibles.

3. Medidas de seguridad

La ley exige medidas en tres categorías:

Administrativas:

• Designar a un responsable del tratamiento de datos (puede ser el gerente)
• Capacitar al personal que maneja datos
• Tener un procedimiento para atender solicitudes ARCO

Técnicas:

• Contraseñas en sistemas que almacenan datos personales
• Cifrado de datos sensibles
• Control de acceso por roles (no todo el personal necesita ver todos los datos)
• Backups regulares

Físicas:

• Acceso restringido a la oficina donde están las computadoras
• Documentos físicos con datos personales bajo llave
• Destrucción segura de documentos cuando ya no se necesitan

¿Cómo redactar un aviso de privacidad sin abogado?

No necesitas un documento de 20 páginas. Necesitas uno que sea claro, completo y honesto. Aquí tienes una estructura funcional:

Estructura mínima del aviso integral

1. Identidad del responsable: Razón social, domicilio, contacto del responsable de datos
2. Datos que se recaban: Lista específica (nombre, teléfono, correo, alergias, datos de pago)
3. Finalidades primarias: Gestión de reservas, servicio al comensal, gestión de cava privada
4. Finalidades secundarias: Marketing, encuestas de satisfacción, comunicación de eventos
5. Transferencias: A quién compartes datos (procesador de pagos, sistema de reservas, contador)
6. Derechos ARCO: Cómo ejercerlos, ante quién, plazo de respuesta
7. Cookies y tecnologías: Si tu sitio web usa cookies
8. Cambios al aviso: Cómo notificarás modificaciones

Dónde publicarlo

• Sitio web del restaurante (obligatorio si tienes sitio web)
• Link en la firma del correo de confirmación de reservas
• Código QR en la recepción del restaurante
• En el contrato de membresía de cava privada
• En los perfiles de redes sociales (link en bio)

¿Qué son los derechos ARCO y qué puede exigirte un cliente?

ARCO significa:

• Acceso: "Quiero saber qué datos míos tienes" — Debes responder en 20 días hábiles
• Rectificación: "Mi correo cambió, actualízalo" — Debes corregir en 15 días hábiles
• Cancelación: "Borra mis datos" — Debes eliminar (con ciertas excepciones legales como obligaciones fiscales)
• Oposición: "No quiero que uses mis datos para marketing" — Debes cesar ese uso

¿Cómo se ejerce?

El titular envía una solicitud (correo, carta, formato en tu sitio web) con:

• Nombre y datos de identificación
• Descripción clara de lo que solicita
• Documentos que acrediten identidad

Tu restaurante tiene 20 días hábiles para responder. Si no respondes o niegas sin justificación, el titular puede presentar queja ante el INAI — y ahí empiezan los problemas.

Caso práctico: socio de cava que se va

Un socio de cava privada decide no renovar su membresía y solicita la cancelación de todos sus datos. ¿Qué haces?

1. Verificas su identidad
2. Eliminas sus datos de marketing, preferencias y comunicaciones
3. Conservas los datos necesarios para cumplir obligaciones fiscales (facturas) y legales (contrato de custodia ya cumplido)
4. Le informas qué datos eliminaste y cuáles conservas con fundamento legal
5. Documentas todo el proceso

Si tu sistema de gestión de cavas no permite eliminar selectivamente datos de un cliente, tienes un problema técnico que se convierte en problema legal.

El 50% de las empresas mexicanas evaluadas no tiene el conocimiento necesario para atender solicitudes de derechos ARCO de manera adecuada. Para un restaurante con programa de cavas privadas, esto es particularmente riesgoso: cada socio es un cliente de alto poder adquisitivo con acceso a asesoría legal. Un socio insatisfecho que solicita acceso a sus datos y no recibe respuesta en 20 días hábiles puede escalar al INAI con un solo correo electrónico. La queja activa una investigación que no solo revisa el caso específico sino que audita tus prácticas generales de protección de datos, descubriendo posiblemente otros incumplimientos que ni sabías que tenías.

¿Cuáles son los errores más comunes de restaurantes mexicanos?

Estos son los incumplimientos que se repiten en el sector:

1. No tener aviso de privacidad — El error más básico y más común
2. Recibir reservas por WhatsApp sin aviso — Cada mensaje con datos personales sin aviso es un incumplimiento
3. Compartir datos con terceros sin informar — ¿Tu sistema de reservas envía datos a la nube? Eso es transferencia
4. Registrar alergias sin consentimiento expreso — Datos de salud = datos sensibles = consentimiento escrito
5. No tener responsable designado — Alguien en tu equipo debe ser el punto de contacto
6. No capacitar al personal — El mesero que anota alergias en una libreta está manejando datos sensibles
7. No poder borrar datos de un cliente — Si tu sistema no lo permite, incumples el derecho de cancelación

¿Cómo cumplir la LFPDPPP en 30 días?

Semana 1: Diagnóstico

• Haz un inventario de todos los datos personales que recabas
• Identifica dónde se almacenan (sistema, Excel, libretas, WhatsApp)
• Determina quién tiene acceso a qué datos

Semana 2: Documentación

• Redacta tu aviso de privacidad (simplificado + integral)
• Publica el integral en tu sitio web
• Incluye el simplificado en tu proceso de reservas

Semana 3: Implementación técnica

• Configura control de acceso por roles en tu sistema
• Activa cifrado de datos sensibles
• Verifica que tu sistema permite eliminar datos por solicitud
• Asegura backups cifrados

Semana 4: Personas y procesos

• Designa al responsable de datos (documéntalo)
• Capacita al personal que maneja datos (1 hora basta para lo básico)
• Establece el procedimiento para solicitudes ARCO
• Crea un formato de solicitud para tu sitio web

No es un proyecto de meses. Es un esfuerzo concentrado de 30 días que protege a tu negocio de multas millonarias y, más importante, protege la confianza de los clientes que son el corazón de tu restaurante.

---

¿Tu programa de cavas privadas maneja datos sensibles de clientes? Kavasoft fue diseñado con protección de datos desde su arquitectura: control de acceso por roles, cifrado de información sensible, capacidad de eliminación selectiva de datos y aviso de privacidad integrado al proceso de alta de socios. Cumple con la LFPDPPP sin que tengas que convertirte en experto legal.