Derechos ARCO: qué son y cómo ejercerlos en México

Los derechos ARCO son la base de la protección de datos personales en buena parte de Latinoamérica, y entenderlos bien evita sorpresas tanto si eres titular de tus datos como si tu empresa los trata. El término aparece en leyes de México, España y varios países de la región, aunque con matices que conviene distinguir.

En este artículo explicaremos qué son, cuáles son los cuatro derechos que los componen, cómo funcionan específicamente en México (incluyendo un cambio de autoridad reciente que muchas guías todavía no reflejan), una mención breve a otros países de la región, y cómo presentar una solicitud paso a paso.

¿Qué son los derechos ARCO?

ARCO es un acrónimo que agrupa cuatro derechos: Acceso, Rectificación, Cancelación y Oposición. Son las herramientas legales que le permiten a cualquier persona controlar cómo una empresa u organización usa su información personal.

En términos simples, existen para que los datos personales sigan siendo tuyos, incluso después de que una empresa los recolecta para prestarte un servicio, procesar una compra o gestionar tu relación laboral.

Son personales, intransferibles y generalmente gratuitos. Cualquier persona física puede ejercer sus derechos ARCO directamente ante quien trate sus datos, sin necesidad de intermediarios.

Los 4 derechos ARCO explicados

Cada uno de los cuatro responde a una necesidad distinta frente al tratamiento de datos:

• Acceso. Permite saber qué datos personales tiene una organización sobre ti, con qué finalidad los usa y a quién se los ha compartido.
• Rectificación. Permite corregir datos que estén incompletos, desactualizados o sean inexactos.
• Cancelación. Permite solicitar que se eliminen tus datos de las bases de una organización cuando ya no exista una razón legítima para conservarlos.
• Oposición. Permite negarte a que tus datos se usen para una finalidad específica, incluso si en algún momento diste tu consentimiento.

La mayoría de las leyes de protección de datos en la región obligan a responder una solicitud dentro de un plazo definido, y a hacerlo de forma gratuita salvo excepciones puntuales. Este marco es la base sobre la que se construyen los distintos regímenes nacionales que revisamos a continuación.

Derechos ARCO México

En México, los derechos ARCO están regulados en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que aplica cuando quien trata tus datos es una empresa u organización privada. Si quieres profundizar en esta ley completa, tenemos una guía dedicada a la LFPDPPP.

Aquí hay un desarrollo reciente que vale la pena aclarar, porque buena parte del contenido disponible todavía no lo refleja: durante años, el INAI fue la autoridad encargada de vigilar su cumplimiento frente a particulares.

Eso cambió. El 20 de diciembre de 2024 se publicó en el Diario Oficial de la Federación el decreto que extinguió al INAI junto con otros seis organismos autónomos, como parte de una reforma de simplificación orgánica.

Como resultado, desde el 21 de marzo de 2025 entró en vigor una nueva LFPDPPP, y la vigilancia frente a particulares pasó a la Secretaría Anticorrupción y Buen Gobierno. Si tu empresa sigue mencionando al INAI en su aviso de privacidad o en sus procesos internos, es momento de actualizarlo.

En la práctica, esto no cambia los cuatro derechos en sí mismos, que siguen siendo Acceso, Rectificación, Cancelación y Oposición, pero sí cambia a quién acudir si una empresa no responde correctamente a tu solicitud.

Derechos ARCO en Chile y otros países de LATAM

Fuera de México, el mismo término también se usa en países como Chile, aunque ahí está en pleno proceso de transformación.

Bajo la Ley 19.628, todavía vigente, Chile reconoce los derechos ARCO clásicos. Pero con la Ley 21.719, que moderniza el marco chileno, esos derechos se amplían y pasan a conocerse como ARCOP+ o derechos ARSOPB, sumando la Portabilidad y el Bloqueo como derechos diferenciados.

Si te interesa el caso chileno, incluyendo las fechas de vigencia y el estado del proyecto que busca postergarla, puedes revisar nuestro artículo sobre la Ley 21719 [enlace pendiente hasta su publicación en el sitio].

En otros países de la región, como Colombia y Perú, la terminología varía (por ejemplo, «habeas data»), aunque el espíritu suele ser el mismo: acceso, corrección y control sobre el propio dato.

Solicitud de derechos ARCO: ejemplo

Presentar una solicitud no requiere abogado ni trámites complicados. En general, debe incluir:

• Tu nombre y un medio de contacto para recibir la respuesta.
• Una descripción clara del derecho que ejerces (acceso, rectificación, cancelación u oposición).
• Documentos que acrediten tu identidad, cuando la organización los solicite.
• Cualquier dato que facilite localizar tu información (por ejemplo, tu número de cliente).

Un ejemplo breve podría redactarse así:

«Por medio de la presente, solicito el ejercicio de mi derecho de Acceso conforme a la LFPDPPP. Solicito se me informe qué datos tienen registrados a mi nombre, con qué fin los tratan y con quién los han compartido. Adjunto copia de mi identificación oficial para acreditar mi identidad.»

La organización debe confirmar la recepción de tu solicitud y responder dentro del plazo que marque la ley aplicable, que en México suele ser de 20 días hábiles para dar respuesta.

FAQ

Derechos ARCO: significado, ¿qué significa cada letra?

A de Acceso, R de Rectificación, C de Cancelación y O de Oposición.

Qué significa para tu empresa, más allá del titular

Significa una obligación operativa: recibir, clasificar y responder solicitudes dentro de un plazo legal, con evidencia de que se hizo correctamente.

¿Cuánto cuesta ejercerlos?

En general es gratuito la primera vez que se ejerce en un periodo de 12 meses; ejercicios adicionales pueden tener un costo de reproducción de materiales, según la ley aplicable y el volumen de información solicitada.

¿Qué pasa si una empresa no responde a tiempo a mi solicitud?

Puedes presentar una queja ante la autoridad correspondiente. En México, actualmente esa autoridad es la Secretaría Anticorrupción y Buen Gobierno.

¿Aplican a empresas de cualquier tamaño?

Sí. La ley no distingue por tamaño de empresa: cualquier organización que trate datos personales, grande o pequeña, debe atender las solicitudes que reciba.

Mindsec simplifica la gestión de solicitudes de derechos ARCO

Derechos ARCO: qué significa en el día a día de tu equipo, no solo en la ley. Responder a mano, por correo electrónico y hojas de cálculo dispersas, es fácil de perder de vista cuando el volumen crece. El software de Mindsec centraliza la recepción, el seguimiento y los plazos de cada solicitud, para que ninguna se quede sin respuesta a tiempo.

Con Mindsec, puedes:

• Tener una lista de controles, requisitos y evidencias pre-definidas para cumplir con más de una docena de certificaciones y frameworks de seguridad de la información.
• Generar más de una docena políticas de seguridad y descargos de responsabilidad pre-escritas y pre-aprobadas por abogados y auditores.
• Llevar un control del riesgo interno y riesgo de proveedores y terceros con herramientas de auto-evaluación y seguimiento.
• Recibir y clasificar solicitudes de destrucción de datos desde un solo lugar
• Dar seguimiento automático a los plazos legales de respuesta
• Mantener evidencia documentada y centralizada para cada solicitud atendida

Agenda un demo de 15 minutos para descubrir cómo Mindsec puede ayudarte a gestionar tus solicitudes sin perder ninguna en el camino.