Protección de datos personales en mi negocio: ¿qué es obligatorio?

Sí es obligatorio (Ley Federal de Protección de Datos Personales). Mínimo necesitas:

1. Aviso de privacidad publicado donde recopiles datos (web, formulario, físico).
2. Designar un responsable de protección de datos (puedes ser tú).
3. Cumplir derechos ARCO (acceso, rectificación, cancelación, oposición).

Las multas reales empiezan en ~$100k pesos pero la INAI suele dar aviso primero. El riesgo grande no es la multa, son las demandas de particulares que se enojaron porque les seguiste mandando emails después de pedir baja.