Vender boletos en México es tratar datos personales, y la norma que lo gobierna cambió hace año y medio. El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una ley nueva de protección de datos personales en posesión de los particulares, que abrogó la de 2010 y dejó la vigilancia en manos de la Secretaría Anticorrupción y Buen Gobierno.
Esta guía recorre lo que esa ley le pide a un organizador desde el checkout hasta la puerta: aviso de privacidad, consentimiento, transferencias al recinto y al patrocinador, derechos ARCO, filtraciones, publicidad y multas. Cada artículo y cada cifra llevan su fuente enlazada donde se usan.
¿Qué ley protege hoy los datos de tus compradores en México?
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente se expidió en el artículo Tercero de un decreto publicado el 20 de marzo de 2025. Su transitorio Primero la puso en vigor «al día siguiente de su publicación en el Diario Oficial de la Federación»: el 21 de marzo de 2025. El transitorio Segundo abroga, entre otras disposiciones, «la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 5 de julio de 2010».
El cambio de autoridad es el más visible. El artículo 2, fracción XV, define «Secretaría» como la Secretaría Anticorrupción y Buen Gobierno, y el artículo 39 le atribuye vigilar el cumplimiento, interpretar la ley en el ámbito administrativo, resolver los procedimientos de protección de derechos y de verificación e imponer las sanciones. El INAI desapareció con la reforma constitucional de simplificación orgánica; el propio portal de la Secretaría lo recoge en una línea: «La Protección de Datos Personales es ahora atribución de la Secretaría Anticorrupción y Buen Gobierno». En su comunicado del 21 de marzo de 2025, la dependencia dijo que esas funciones quedarían «bajo la responsabilidad directa de la propia Secretaría».
Quién queda sujeto: el artículo 2, fracción XVI, habla de «personas físicas o morales de carácter privado que lleven a cabo el tratamiento de datos personales». Un promotor, una sala, un festival y una boletera entran ahí. El artículo 1 solo exceptúa a las sociedades de información crediticia y a quien recolecta datos «para uso exclusivamente personal, y sin fines de divulgación o utilización comercial».
¿Qué datos personales trata quien vende boletos en México?
Más de los que parece, y con reglas distintas según el dato. El artículo 2, fracción V, define dato personal como «cualquier información concerniente a una persona identificada o identificable». El artículo 12 obliga a que el tratamiento sea «necesario, adecuado y relevante» respecto de las finalidades del aviso. Esta tabla resume el inventario típico de una venta de boletos y qué exige la ley para cada bloque.
| Dato | Para qué lo usas | Qué exige la LFPDPPP |
|---|---|---|
| Nombre y correo electrónico | Emitir y entregar el boleto | Art. 9, fr. IV: sin consentimiento, por la relación jurídica |
| Teléfono | Avisar de cambios de horario o sede | Art. 15, fr. III: la finalidad debe estar en el aviso |
| RFC, razón social y código postal | Emitir el CFDI | Art. 9, fr. I: lo ordena una disposición jurídica |
| Datos de la tarjeta y del cobro | Cobrar el boleto | Art. 7: datos financieros o patrimoniales, consentimiento expreso |
| Necesidad de asiento accesible | Asignar ubicación adaptada | Art. 8: dato de salud, consentimiento expreso y por escrito |
| Identificación en puerta | Validar boleto nominativo | Art. 12: solo lo necesario para esa finalidad |
El bloque fiscal se apoya en una obligación propia: el comprobante que exige el SAT. Cómo se emite ese comprobante y qué datos hay que pedirle al asistente está en la guía de facturación de boletos con CFDI, y el calendario de impuestos y permisos, en la de impuestos y permisos para vender boletos en México.
Un apunte sobre biometría, porque la puerta tienta. La ley no nombra los datos biométricos entre los sensibles: el artículo 2, fracción VI, enumera «de manera enunciativa más no limitativa» el origen racial o étnico, el estado de salud, la información genética, las creencias religiosas, las opiniones políticas y la preferencia sexual. Lectura nuestra, no del texto: al no ser una lista cerrada, quien monte reconocimiento facial en un acceso debería documentar antes por qué el dato es necesario y qué consentimiento recaba.
¿Qué tiene que decir tu aviso de privacidad?
Seis cosas, y están tasadas. El artículo 15 exige que el aviso contenga la identidad y el domicilio del responsable; «los datos personales que serán sometidos a tratamiento, identificando aquéllos que son sensibles»; las finalidades, «distinguiendo aquéllas que requieren el consentimiento de la persona titular»; las opciones y medios para limitar el uso o la divulgación; los mecanismos para ejercer los derechos ARCO; y el procedimiento por el cual se comunicarán los cambios al aviso.
El canal importa. El artículo 16, fracción II, permite que cuando los datos se obtengan por medios electrónicos el aviso se dé «en su modalidad simplificada», con al menos las cuatro primeras fracciones del artículo 15 y «el sitio donde se podrá consultar el aviso de privacidad integral». Traducido al checkout: un bloque corto junto al botón de pago y un enlace al aviso completo.
Omitir parte de ese contenido no es un descuido formal. El artículo 58, fracción V, tipifica como infracción «omitir en el aviso de privacidad, alguno o todos los elementos a que se refiere el artículo 15 de esta Ley». Si vienes del marco europeo, el esquema recuerda al de la guía de datos del comprador bajo el RGPD, pero los plazos, las bases y la autoridad son otros: no se traduce, se reescribe.
¿Cuándo necesitas consentimiento expreso para vender un boleto?
Para el dinero y para la salud. El artículo 7 establece que el consentimiento puede ser expreso o tácito, que «por regla general será válido el consentimiento tácito» cuando se ha puesto a disposición el aviso y el titular no manifiesta lo contrario, y que «los datos financieros o patrimoniales requerirán el consentimiento expreso de la persona titular», salvo las excepciones de los artículos 9 y 36.
Los datos sensibles suben un escalón: el artículo 8 pide consentimiento «expreso y por escrito», mediante firma autógrafa, firma electrónica «o cualquier mecanismo de autenticación que al efecto se establezca». Ahí cae la silla de ruedas, la dieta médica o cualquier dato de salud que pidas para acomodar a alguien.
La venta en sí no necesita una casilla aparte. El artículo 9, fracción IV, exceptúa del consentimiento los datos que «se requieran para ejercer un derecho o cumplir obligaciones derivadas de una relación jurídica entre la persona titular y el responsable», y la fracción I, los que trata por disposición jurídica. Lo que no puede hacerse es estirar esa base: el artículo 11 obliga a limitar el tratamiento a las finalidades del aviso y advierte que «si el responsable pretende tratar los datos para una finalidad distinta a las establecidas en el aviso de privacidad, se requerirá obtener nuevamente el consentimiento». Y el consentimiento se revoca: el mismo artículo 7 exige que el aviso explique los mecanismos y procedimientos para hacerlo.
¿Qué pasa si compartes la lista con el recinto o el patrocinador?
Hay que distinguir dos figuras que los organizadores mezclan. La «persona encargada» del artículo 2, fracción XII, es quien trata datos por cuenta del responsable: la plataforma que aloja la venta, la empresa que imprime acreditaciones. Eso no es una transferencia. La «transferencia» del artículo 2, fracción XX, es «toda comunicación de datos personales dentro o fuera del territorio mexicano, realizada a persona distinta de la titular, del responsable o de la persona encargada»: el patrocinador que pide la lista de asistentes está en esta casilla.
El artículo 35 pone dos condiciones a esa transferencia: comunicar al tercero el aviso de privacidad y las finalidades a las que el titular sujetó su tratamiento, e incluir en el aviso «una cláusula en la que se indique si la persona titular acepta o no la transferencia». El tercero receptor «asumirá las mismas obligaciones que correspondan al responsable». El artículo 36 lista los casos en que la transferencia no necesita consentimiento, entre ellos que esté prevista en una ley o tratado, que se haga entre sociedades del mismo grupo «que opere bajo los mismos procesos y políticas internas», o que sea necesaria «para el mantenimiento o cumplimiento de una relación jurídica entre el responsable y la persona titular».
El Reglamento de la ley, publicado el 21 de diciembre de 2011, añade una regla que conviene tener presente antes de firmar con nadie: su artículo 69 coloca la carga de probar que la transferencia se hizo conforme a derecho «en todos los casos, en el responsable que transfiere y en el receptor de los datos personales». Si el patrocinador usa mal la lista, el expediente llega también a tu puerta. Transferir sin comunicar el aviso es infracción expresa del artículo 58, fracción X.
¿Cuánto tiempo tienes para responder un derecho ARCO?
Veinte días hábiles para decidir y quince más para ejecutar. El artículo 31 obliga a comunicar la determinación «en un plazo máximo de veinte días, contados desde la fecha en que se recibió la solicitud», y a hacerla efectiva «dentro de los quince días siguientes a la fecha en que se comunica la respuesta». Los dos plazos «podrán ser ampliados una sola vez por un periodo igual», con justificación. El artículo 2, fracción VIII, zanja la duda habitual: los días son hábiles.
| Trámite | Plazo | Artículo |
|---|---|---|
| Comunicar la determinación sobre una solicitud ARCO | 20 días hábiles | Art. 31 LFPDPPP |
| Hacer efectiva la respuesta | 15 días hábiles | Art. 31 LFPDPPP |
| Ampliación de cualquiera de los dos | Una vez, por periodo igual | Art. 31 LFPDPPP |
| Acudir a la Secretaría tras la respuesta | 15 días | Art. 40 LFPDPPP |
| Resolución de la Secretaría | 50 días, ampliables una vez | Art. 42 LFPDPPP |
El ejercicio es gratuito. El artículo 34 solo permite cobrar «los costos de reproducción, copias o envío», y si el mismo titular reitera la solicitud en menos de doce meses, el cobro no puede superar «tres veces la Unidad de Medida y Actualización vigente». Con la UMA de 2026, que el INEGI fijó en 117,31 pesos diarios desde el 1 de febrero, ese tope son 351,93 pesos: cálculo propio, no una cifra publicada por la autoridad.
Dos obligaciones de estructura que se olvidan. El artículo 29 exige que todo responsable designe «a una persona, o departamento de datos personales» que dé trámite a las solicitudes. Y el artículo 40 abre la vía de queja: si no contestas, el titular puede presentar su solicitud de protección de datos ante la Secretaría en cuanto venza tu plazo.
Un detalle que hay que mirar con lupa, y es lectura nuestra: el Reglamento de 2011 sigue remitiendo a los artículos de la ley abrogada —habla de «los plazos establecidos en el artículo 32 de la Ley» cuando hoy esos plazos están en el artículo 31—, y el decreto de 2025 no lo abrogó en su transitorio Segundo. Mientras no se publique un reglamento nuevo, conviene citar los plazos por la ley vigente y usar el Reglamento para el detalle procedimental.
¿Qué hacer si se filtra la base de asistentes?
Avisar al afectado, y rápido. El artículo 19 de la ley dice que las vulneraciones «que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares le serán informadas de forma inmediata por el responsable, a fin de que pueda tomar las medidas correspondientes a la defensa de sus derechos».
El Reglamento concreta. Su artículo 63 define cuatro tipos de vulneración: pérdida o destrucción no autorizada; robo, extravío o copia no autorizada; uso, acceso o tratamiento no autorizado; y daño, alteración o modificación no autorizada. El artículo 64 exige informar «sin dilación alguna» una vez confirmada la vulneración. El artículo 65 fija el contenido mínimo del aviso al titular: la naturaleza del incidente, los datos personales comprometidos, las recomendaciones para proteger sus intereses, las acciones correctivas realizadas de forma inmediata y los medios donde obtener más información. El artículo 66 cierra el ciclo: analizar causas e implementar medidas «a efecto de evitar que la vulneración se repita».
La prevención también está escrita. El artículo 61 del Reglamento pide inventario de datos y sistemas, análisis de riesgos, análisis de brecha entre las medidas existentes y las necesarias, plan de trabajo, revisiones o auditorías y capacitación del personal. Una diferencia con Europa que conviene no importar: la ley mexicana no fija un plazo de 72 horas ni ordena expresamente notificar la filtración a la autoridad; el artículo 19 habla de informar a la persona titular. Es lectura nuestra del texto, y es el motivo por el que el contrato con tu plataforma debe decir en cuántas horas te avisa a ti.
¿Puedes mandarle publicidad a quien te compró un boleto?
Depende de lo que diga tu aviso y de dos registros ajenos a la ley de datos. Dentro de la LFPDPPP, el camino es el artículo 11: una finalidad distinta a la del aviso exige consentimiento nuevo, y el artículo 15, fracción III, obliga a distinguir las finalidades que lo requieren. Si el aviso solo habla de «gestionar la venta y el acceso», el correo con el cartel del próximo festival no está cubierto.
Fuera de la ley de datos manda la Ley Federal de Protección al Consumidor, en el texto que publica Profeco. Su artículo 18 permite a la Procuraduría llevar «un registro público de consumidores que no deseen que su información sea utilizada para fines mercadotécnicos o publicitarios», y el artículo 18 BIS prohíbe «enviar publicidad a los consumidores que expresamente les hubieren manifestado su voluntad de no recibirla o que estén inscritos en el registro». El mismo artículo extiende la responsabilidad: «los proveedores que sean objeto de publicidad son corresponsables del manejo de la información de consumidores cuando dicha publicidad la envíen a través de terceros». Profeco explica en su ficha del REPEP, publicada el 13 de abril de 2018, que desde la inscripción corre «un periodo de 30 días para que sea obligatorio que los proveedores que publicitan sus bienes, productos o servicios dejen de llamarte». El ejemplar de la ley que difunde Profeco incorpora reformas hasta el 9 de abril de 2012: para una cláusula contractual conviene contrastar antes el texto vigente en la Cámara de Diputados.
Para la venta online hay una regla más, el artículo 76 BIS, fracción I: el proveedor «utilizará la información proporcionada por el consumidor en forma confidencial, por lo que no podrá difundirla o transmitirla a otros proveedores ajenos a la transacción, salvo autorización expresa del propio consumidor o por requerimiento de autoridad competente». La fracción VI obliga a respetar la decisión del consumidor «de no recibir avisos comerciales». Y el contexto regulatorio se ha endurecido: el 16 de febrero de 2026 Profeco anunció lineamientos para la venta de boletos de eventos masivos que obligan a publicar fecha, lugar, horarios, mapas y precio total al menos 24 horas antes del inicio de la venta, y prohíben preseleccionar servicios adicionales. Las reglas de reembolso cuando el evento se cae están en la guía de cancelación y bonificación en México.
Cuánto cuesta incumplir: multas en UMA y delitos
El artículo 58 lista diecinueve conductas infractoras. Las que más rozan a un organizador: omitir elementos del aviso (fr. V), cambiar sustancialmente la finalidad sin observar el artículo 11 (fr. IX), transferir a terceros sin comunicarles el aviso (fr. X), vulnerar la seguridad de bases de datos cuando sea imputable al responsable (fr. XI) y recabar o transferir sin el consentimiento expreso exigible (fr. XIII).
El artículo 59 pone precio. La conversión a pesos es cálculo propio sobre el valor diario de la UMA publicado por el INEGI para 2026.
| Supuesto | Multa en UMA | Equivalente en pesos (UMA 117,31) |
|---|---|---|
| Infracciones de las fracciones II a VII del art. 58 | 100 a 160.000 | 11.731 a 18.769.600 |
| Infracciones de las fracciones VIII a XVIII | 200 a 320.000 | 23.462 a 37.539.200 |
| Persistencia reiterada de las anteriores | 100 a 320.000 adicionales | 11.731 a 37.539.200 |
| Infracciones sobre datos sensibles | Hasta el doble | Hasta 75.078.400 |
Hay además un capítulo penal. El artículo 62 castiga con tres meses a tres años de prisión a quien, estando autorizado para tratar datos personales, «con ánimo de lucro, provoque una vulneración de seguridad a las bases de datos bajo su custodia». El artículo 63 sube a seis meses–cinco años el tratamiento mediante engaño con fin de lucro indebido, y el artículo 64 duplica las penas si se trata de datos sensibles. Son penas para personas, no para sociedades.
El procedimiento sancionador da margen de defensa: el artículo 57 concede quince días para rendir pruebas y cinco para alegatos, y la Secretaría resuelve «dentro de los cincuenta días siguientes a la fecha en que inició el procedimiento sancionador», ampliables una vez.
Qué comprobar antes de abrir la venta en México
Siete comprobaciones. Ninguna depende de que se publique un reglamento nuevo.
Revisa que tu aviso tenga las seis fracciones del artículo 15. La más olvidada es la segunda: enumerar los datos que vas a tratar e identificar cuáles son sensibles.
Pon el aviso simplificado en el checkout, con enlace al integral. Es lo que pide el artículo 16, fracción II, para los medios electrónicos.
Separa en el aviso las finalidades necesarias de las de marketing. Sin esa distinción no puedes apoyarte en el artículo 11 para enviar la campaña del siguiente evento.
Recaba consentimiento expreso donde toca. Datos financieros, artículo 7; cualquier dato de salud, por escrito, artículo 8.
Define quién es encargado y quién es tercero. Tu plataforma suele ser encargada; el patrocinador que se lleva la lista es una transferencia del artículo 35, con cláusula en el aviso.
Designa a la persona o el área de datos personales. Lo exige el artículo 29 y es quien tiene que mover los veinte días del artículo 31.
Escribe el protocolo de filtración antes de necesitarlo. Con los cinco puntos del artículo 65 del Reglamento redactados de antemano y el plazo en el que tu proveedor se obliga a avisarte.
Y Futura Tickets, ¿qué papel tiene aquí?
El del encargado del tratamiento, no el del responsable: el organizador decide para qué se usan los datos y es quien responde ante la Secretaría. Lo que una plataforma puede aportar es acceso completo y salida limpia de la información. Con Futura Tickets la base de datos de asistentes es 100 % del organizador: emails y teléfonos se entregan íntegros, sin intermediación. Eso es lo que permite atender una solicitud de acceso o de cancelación en plazo, exportar lo que un titular pide y borrar lo que toca borrar. Pregunta lo mismo a cualquier proveedor que evalúes, y pide la respuesta por escrito en el contrato.
*Este artículo es informativo y no constituye asesoría legal. Las normas citadas corresponden a las fuentes enlazadas, consultadas el 16 de octubre de 2026.*
Fuentes
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, nueva ley publicada en el DOF el 20 de marzo de 2025 (texto vigente, Cámara de Diputados) — artículos 1, 2, 7, 8, 9, 11, 12, 15, 16, 19, 29, 31, 34, 35, 36, 39, 40, 42, 57, 58, 59, 62, 63 y 64, y transitorios Primero, Segundo y Cuarto.
- Copia del mismo texto vigente consultada el 16 de octubre de 2026 (Portal de Transparencia del Gobierno de Durango) — ejemplar de la edición de la Cámara de Diputados, 16 páginas, encabezado «Nueva Ley DOF 20-03-2025».
- Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicado en el DOF el 21 de diciembre de 2011 (edición de la Biblioteca Jurídica Virtual, UNAM) — artículos 61 a 70, 90 a 98 y 110 a 112.
- Ley Federal de Protección al Consumidor, texto publicado por Profeco — artículos 16, 17, 18, 18 BIS y 76 BIS; ejemplar con última reforma incorporada de 09-04-2012.
- Secretaría Anticorrupción y Buen Gobierno, portal institucional — «La Protección de Datos Personales es ahora atribución de la Secretaría Anticorrupción y Buen Gobierno».
- La Secretaría Anticorrupción y Buen Gobierno reafirma su compromiso con la transparencia y la protección de datos personales, 21 de marzo de 2025.
- Profeco anuncia lineamientos para la venta de boletos de eventos masivos, 16 de febrero de 2026.
- Profeco: «Líbrate de las llamadas y mensajes molestos de publicidad» (REPEP) — periodo de 30 días desde la inscripción.
- INEGI, comunicado de prensa 1/26: valor de la Unidad de Medida y Actualización para 2026, 8 de enero de 2026 (PDF) — 117,31 pesos diarios desde el 1 de febrero de 2026.