¿Es obligatorio el aviso de cookies en México?

Respuesta corta: la ley mexicana no tiene un artículo sobre cookies, pero si tu sitio usa cookies que permiten identificar a una persona (Google Analytics, el pixel de Meta, Google Ads, un chat), tienes que informarlo antes y dar una forma de limitar ese uso. En la práctica, eso es un aviso de cookies visible desde la primera visita, con botón para rechazar y enlace a tu aviso de privacidad.

Lo que dice la ley, y lo que no dice

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) vigente se publicó el 20 de marzo de 2025. No menciona la palabra «cookie» ni tiene una regla específica para rastreadores, a diferencia de la directiva europea. Lo que sí hace es definir qué es un dato personal y qué obligaciones trae tratarlo:

Dato personal es cualquier información de una persona identificada o identificable, y una persona es identificable cuando su identidad puede determinarse directa o indirectamente a través de cualquier información (artículo 2, fracción V). Un identificador único en una cookie, ligado a la IP y al comportamiento de navegación, puede entrar ahí.
Todo tratamiento requiere consentimiento, que puede ser tácito: vale cuando pusiste el aviso de privacidad a disposición de la persona y ella no se opuso (artículo 7). Para que sea tácito, el aviso tiene que estar ahí antes.
El aviso debe ofrecer opciones para limitar el uso o la divulgación de los datos (artículo 15, fracción IV), y la persona puede revocar su consentimiento cuando quiera (artículo 7).
En medios electrónicos el aviso se da en modalidad simplificada, con enlace al integral (artículo 16, fracción II).

Entonces, ¿lo necesito?

Depende de qué cargue tu sitio. Abre tu página en una ventana privada y revisa qué servicios de terceros se cargan:

Sólo cookies técnicas (sesión, carrito de WooCommerce, idioma): no identifican a nadie fuera de tu sitio y sirven para que funcione. Basta con mencionarlas en tu aviso de privacidad.
Analítica, publicidad o redes sociales (Google Analytics, Meta Pixel, TikTok, Hotjar, Clarity): tratan datos de personas identificables y los comparten con terceros. Aquí sí necesitas informar antes y dar la opción de rechazar.

Y si recibes visitas de la Unión Europea, ahí aplica el RGPD, que sí exige consentimiento previo y explícito para las cookies no esenciales: nada se carga hasta que la persona acepta.

Lo que debe tener un aviso de cookies que cumpla

Aparece en la primera visita, antes de que cargue cualquier rastreador.
Tiene botón para rechazar, tan visible como el de aceptar. Sin opción, no hay forma de limitar el uso que pide el artículo 15.
Bloquea de verdad. Si Google Analytics carga aunque la persona diga que no, el aviso es decoración.
Enlaza a tu aviso de privacidad, donde explicas quién eres, qué datos tratas y para qué.
Permite cambiar la decisión después, porque el consentimiento se puede revocar en cualquier momento.
Guarda evidencia de cada decisión, por si algún día tienes que demostrar que la persona aceptó.

Qué pasa si no lo tengo

La ley sanciona, entre otras cosas, tratar datos sin el consentimiento que corresponde y omitir elementos del aviso de privacidad. Las multas se calculan en UMA y van de 100 a 160,000 UMA en las infracciones menores y de 200 a 320,000 UMA en las mayores (artículo 59). Con la UMA de 2026, el tope equivale a unos $37.5 millones de pesos. El detalle está en nuestra guía de la nueva LFPDPPP en WordPress.

Cómo ponerlo en WordPress

Cookie Rocket es gratuito en el directorio de WordPress y trae un modo LFPDPPP con sus propios textos. Bloquea Google Analytics, el pixel de Meta, Hotjar, Clarity, TikTok y otros hasta que la persona acepta, incluye botón de rechazo, Google Consent Mode v2 y un registro de consentimientos que se guarda en tu propia base de datos. El paso a paso está en Banner de cookies en WordPress.

Cookie Rocket Pro agrega lo que la ley pide fuera del banner: genera tu aviso de privacidad integral y simplificado, abre un canal ARCO en tu sitio y aplica la ley de cada visitante (LFPDPPP en México, RGPD en Europa, LGPD en Brasil, CCPA en Estados Unidos).

Esto no es asesoría legal. Resume la ley para que tomes decisiones informadas. Al cierre de esta guía no encontramos publicado en el DOF un reglamento nuevo para la ley de 2025; cuando se publique puede precisar reglas sobre tecnologías de rastreo.

Fuentes

Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto vigente publicado por la Cámara de Diputados (DOF 20-03-2025, última reforma DOF 14-11-2025): artículos 2, 7, 15, 16 y 59.
Valor de la Unidad de Medida y Actualización 2026, publicado por el INEGI en el DOF el 9 de enero de 2026.