1° de octubre 2026
En México, el interés legítimo todavía no opera como una base legal autónoma para el tratamiento de datos personales en posesión de particulares. Bajo la legislación vigente, el consentimiento sigue siendo la regla general, salvo en los supuestos de excepción expresamente previstos en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Sin embargo, las modificaciones institucionales y legislativas anunciadas por la Secretaría Anticorrupción y Buen Gobierno abren una oportunidad para modernizar la conversación: pasar de un modelo centrado casi exclusivamente en obtener consentimientos, a uno que permita justificar ciertos tratamientos razonables, necesarios y proporcionales bajo reglas claras. Para ello, la figura tendría que reconocerse expresamente en una reforma legal o en el desarrollo normativo correspondiente, con alcances y condiciones que den certeza tanto a las empresas como a las personas titulares.
La discusión no debería presentarse como una autorización para tratar datos “sin control” ni como una carga adicional para las empresas. Su valor estaría en ofrecer una base más clara para ciertos tratamientos que ya son ordinarios y necesarios en la operación de muchas organizaciones —por ejemplo, seguridad, prevención de fraude, mejora de servicios, cumplimiento interno, ciberseguridad o administración de una relación jurídica— y que no siempre encuentran una respuesta adecuada en consentimientos amplios, genéricos o poco informados. En esos casos, el interés legítimo podría aportar certeza jurídica, siempre que exista una justificación razonable entre la finalidad perseguida, la necesidad del tratamiento y las expectativas de la persona titular.
El referente europeo puede ser útil. El Reglamento General de Protección de Datos reconoce el interés legítimo como una base legal, pero no como una autorización automática: exige identificar el interés, demostrar la necesidad del tratamiento y ponderarlo frente a los derechos y libertades del titular. Para México, esto no supondría importar mecánicamente el modelo europeo, sino aprovechar una figura que podría dar mayor flexibilidad regulatoria, reducir la dependencia de consentimientos formales que muchas veces no reflejan una decisión real y acercar el régimen mexicano a estándares internacionales relevantes para los flujos transfronterizos de información.
Bien diseñado, el interés legítimo también podría ser positivo para la innovación responsable. En sectores intensivos en datos —incluyendo servicios digitales, fintech, comercio electrónico, publicidad, ciberseguridad e inteligencia artificial— existen tratamientos que permiten prevenir fraudes, proteger redes y sistemas, detectar incidentes, mejorar productos o administrar riesgos operativos. La clave estaría en contar con una base que permita operar con mayor claridad y confianza, sin perder de vista los derechos de las personas ni la necesidad de adoptar salvaguardas proporcionales al contexto y al riesgo del tratamiento.
El reto será encontrar un punto de equilibrio: evitar que el interés legítimo se convierta en una carta abierta para tratar datos personales sin consentimiento, pero también impedir que se regule con tal rigidez que pierda utilidad práctica. Una regulación razonable tendría que dejar claro que no sustituye al consentimiento cuando este sea necesario, que no debe utilizarse para legitimar tratamientos invasivos o desproporcionados, y que requiere especial cuidado frente a datos sensibles, niñas, niños y adolescentes, perfiles intensivos, decisiones automatizadas o tecnologías emergentes de mayor riesgo. Mientras tanto, las empresas pueden empezar por identificar los tratamientos que hoy descansan en consentimientos genéricos y evaluar si, en un futuro, podrían encontrar una base más adecuada bajo una lógica de interés legítimo. La oportunidad está en construir confianza: permitir innovación, ciberseguridad e inteligencia artificial responsable bajo reglas claras, verificables y centradas en las personas.
Nuestro equipo de Privacidad y Protección de Datos Personales queda a sus órdenes para cualquier duda o comentario.
Sincerely yours,
Adolfo Athié
aathie@basham.com.mx
Renata Bueron
rbueron@basham.com.mx