La lista de invitados: qué pasa con esos datos cuando llega al proveedor

¿Tú estás obligado por esta ley?

No, mientras la lista sea para tu boda y nada más. El artículo 1 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares exceptúa de su aplicación a las personas que llevan a cabo la recolección y almacenamiento de datos personales para uso exclusivamente personal y sin fines de divulgación o utilización comercial.

Esa es la ley nueva, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, con reforma del 14 de noviembre del mismo año. La excepción viene en su fracción II y es la que cubre a cualquier pareja que arma su lista en una hoja de cálculo.

Ojo con la segunda mitad de la frase: sin fines de divulgación. Publicar la lista completa con teléfonos en un grupo abierto, o subirla a una herramienta que la vuelve pública, sale de esa excepción por la puerta de atrás.

¿Y tu proveedor?

Ese sí. La ley define como sujetos regulados a las personas físicas o morales de carácter privado que llevan a cabo el tratamiento de datos personales, y tratamiento incluye obtener, usar, registrar, conservar, almacenar y transferir.

Un salón que recibe tu lista para el control de acceso, un banquete que la usa para el acomodo de mesas y un planner que la carga en su plataforma están tratando datos de terceros para una finalidad comercial. No importa que tú se los hayas dado con toda la confianza del mundo.

Consecuencia práctica: ellos deben tener aviso de privacidad. El artículo 16 obliga al responsable a ponerlo a disposición de las personas titulares, en formatos impresos, digitales, visuales, sonoros o cualquier otra tecnología. Pídeselo. Un proveedor que no sabe de qué le hablas te está diciendo bastante sobre cómo guarda ese archivo.

¿Por qué las alergias son datos sensibles?

Porque revelan estado de salud, y la ley pone eso en la categoría más protegida. El artículo 2 define como datos personales sensibles los que afectan la esfera más íntima de la persona o cuya utilización indebida pueda dar origen a discriminación, y menciona de manera enunciativa el estado de salud presente o futuro.

Una columna que dice celíaco, diabético, alérgico al marisco o embarazada es exactamente eso. Y no es un tecnicismo: esa columna existe en casi todas las listas de boda porque el banquete la pide.

El artículo 8 fija la consecuencia. Tratándose de datos personales sensibles, el responsable debe obtener el consentimiento expreso y por escrito de la persona titular, a través de firma autógrafa, firma electrónica o cualquier mecanismo de autenticación que se establezca. Ese mismo artículo prohíbe crear bases con datos sensibles sin una finalidad legítima, concreta y acorde con los fines del negocio.

¿Qué tiene que hacer el proveedor con el archivo?

Guardarlo bien y callarse, y las dos cosas están escritas. El artículo 18 obliga a todo responsable a establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales.

El artículo 20 va más lejos y es el que conviene citar en el contrato: obliga a establecer controles o mecanismos para que todas las personas que intervengan en cualquier fase del tratamiento guarden confidencialidad, y aclara que esa obligación subsiste aun después de terminar la relación.

Traducido a tu boda: el capitán de meseros que vio la lista sigue obligado a callar el lunes siguiente, y el proveedor sigue obligado a proteger el archivo cuando la boda ya pasó. Por eso tiene sentido pedir borrado o devolución en un plazo concreto después del evento.

Desliza la tabla para ver todas las columnas.

Elaborada con el texto vigente de la ley publicada el 20 de marzo de 2025, con última reforma del 14 de noviembre de 2025.

¿Qué puede pedir un invitado y en cuánto tiempo?

Puede pedir acceso, rectificación, cancelación u oposición, los llamados derechos ARCO, y hay plazos. El artículo 21 dice que cualquier persona titular o su representante legal puede ejercerlos, y que el ejercicio de uno no es requisito ni impedimento para otro.

El plazo está en el artículo 31: el responsable comunica la determinación en un máximo de veinte días contados desde que recibió la solicitud, y si procede la hace efectiva dentro de los quince días siguientes a esa respuesta. La propia ley aclara en sus definiciones que los días son hábiles.

En una boda esto casi nunca escala, pero pasa algo parecido con frecuencia: un invitado pide que le dejen de llegar mensajes del proveedor después del evento. Esa petición es una oposición al tratamiento, y el proveedor tiene que atenderla.

¿Qué cláusula se pide y cómo se manda la lista?

Una cláusula de tres renglones y una forma de envío que no sea un grupo de mensajería. Ninguna de las dos cuesta dinero.

La cláusula: que el proveedor declara contar con aviso de privacidad y lo entrega, que tratará los datos de la lista solo para la finalidad del evento, que mantiene la confidencialidad en los términos del artículo 20 y que devuelve o borra el archivo dentro de un plazo determinado después de la boda.

El envío: un solo archivo, a un solo destinatario nombrado, por un medio que puedas cerrar después. Mandar la lista completa a un grupo con doce personas de tres proveedores distintos es la manera más común de perder el control de un archivo con teléfonos y datos de salud de ciento cincuenta personas.

Y separa las columnas. El salón no necesita la de alergias, el banquete no necesita la de quién viene con quién. Entregar solo lo que cada proveedor necesita es la medida de seguridad más barata que existe y no requiere abogado.