LFPDPPP México: protección de datos personales para empresas en 2025
La Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP), vigente en México desde el 21 de marzo de 2025 tras sustituir a la ley homónima de 2010, es el marco legal que regula cómo las empresas privadas recopilan, usan y protegen los datos personales de sus usuarios y clientes. Su cumplimiento es obligatorio para toda persona física o moral que trate datos personales, y su incumplimiento puede generar sanciones económicas significativas que alcanzan millones de pesos.
En 2025, las autoridades mexicanas han intensificado la supervisión y las empresas deben actualizar sus prácticas para mantenerse en cumplimiento.
¿Qué es la LFPDPPP? Ley Federal de Protección de Datos Personales en Posesión de Particulares (2025)
La LFPDPPP original fue promulgada en 2010, pero el Congreso mexicano expidió una nueva LFPDPPP, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, que abrogó la ley de 2010 a partir del día siguiente de su publicación. El cambio responde a la reforma constitucional de simplificación orgánica de diciembre de 2024, que extinguió al INAI como órgano autónomo. La ley vigente es administrada y supervisada por la Secretaría Anticorrupción y Buen Gobierno, que absorbió las funciones del INAI en materia de protección de datos en posesión de particulares y tiene facultades para investigar, apercibir y sancionar a las organizaciones que incumplan la ley.
La ley aplica a todos los particulares (personas físicas o morales) que realicen tratamiento de datos personales en territorio mexicano. Se entiende por tratamiento cualquier operación realizada con datos personales: obtención, uso, divulgación, almacenamiento, acceso, manejo, aprovechamiento, transferencia o disposición de datos.
Los datos personales protegidos incluyen nombre, domicilio, CURP, RFC, correo electrónico, teléfono, datos financieros, datos biométricos y cualquier información que permita identificar directa o indirectamente a una persona física.
Garantías de privacidad y sanciones en millones de pesos por incumplimiento
La LFPDPPP establece los derechos ARCO como garantías fundamentales de privacidad para los titulares de datos:
- Acceso: El titular tiene derecho a conocer qué datos tiene la empresa sobre él y para qué se usan.
- Rectificación: Puede solicitar la corrección de datos incorrectos o desactualizados.
- Cancelación: Puede pedir la eliminación de sus datos cuando ya no sean necesarios para la finalidad original.
- Oposición: Puede oponerse al tratamiento de sus datos para finalidades específicas, incluyendo fines comerciales o publicitarios.
Las empresas tienen un plazo máximo de veinte días hábiles para comunicar al titular la respuesta a una solicitud ARCO (artículo 31 de la LFPDPPP) y deben contar con un procedimiento documentado y accesible para gestionarlas.
El incumplimiento de la LFPDPPP puede derivar en sanciones económicas significativas en millones de pesos mexicanos, impuestas por la Secretaría Anticorrupción y Buen Gobierno. El artículo 59 de la ley establece multas de 100 a 160,000 veces la Unidad de Medida y Actualización (UMA) para la mayoría de las infracciones, y de 200 a 320,000 veces la UMA para las más graves —entre ellas el tratamiento de datos sin consentimiento, la falta de aviso de privacidad y la transferencia no autorizada de datos a terceros—, montos que pueden duplicarse cuando la infracción involucra datos sensibles. Antes de imponer una multa, la Secretaría puede apercibir al responsable para que corrija el tratamiento irregular de los datos.
CNBV Disposiciones de Carácter General — regulación de ciberseguridad en transacciones
Para las empresas del sector financiero sujetas a supervisión de la Comisión Nacional Bancaria y de Valores (CNBV), las obligaciones de protección de datos se complementan con las Disposiciones de Carácter General Aplicables a Instituciones de Crédito, que regulan específicamente la ciberseguridad en las transacciones financieras.
Estas disposiciones exigen protocolos de seguridad avanzados para el tratamiento de datos en operaciones financieras:
- Controles de acceso con autenticación robusta para sistemas que procesan datos personales financieros.
- Cifrado de datos en tránsito y en reposo para todas las operaciones que involucren información de clientes.
- Gestión de incidentes de seguridad con reportes obligatorios ante la CNBV cuando se produzcan brechas que afecten datos de usuarios.
- Auditorías periódicas de los sistemas de tratamiento de datos para verificar la vigencia de los controles implementados.
El hacking ético es una práctica clave para verificar que los controles técnicos exigidos por la CNBV funcionan correctamente y que los datos de los usuarios están realmente protegidos ante intentos de acceso no autorizado.
Estrategia de Ciberseguridad del Banco de México: política de seguridad de la información
El Banco de México (Banxico) ha desarrollado su propia Estrategia de Ciberseguridad, que establece una política de seguridad de la información aplicable a las entidades bajo su supervisión. Esta estrategia define requisitos mínimos de seguridad para los sistemas de pago y las plataformas que operan activos virtuales en México.
Para las empresas fintech y las instituciones financieras no bancarias, la Estrategia de Ciberseguridad de Banxico complementa las exigencias de la LFPDPPP al elevar el nivel técnico requerido para proteger los datos que circulan a través de los sistemas de pago nacionales.
La ciberseguridad corporativa integrada, que combina cumplimiento legal con controles técnicos reales, es la única forma de satisfacer simultáneamente las exigencias de la LFPDPPP, la CNBV y Banxico.
Qué datos protege la LFPDPPP, obligaciones para empresas y documentación del cumplimiento
Para cumplir con la LFPDPPP en 2025, toda empresa que trate datos personales debe:
Aviso de privacidad: Informar a los titulares, antes o en el momento de recopilar sus datos, sobre la identidad del responsable, las finalidades del tratamiento, las transferencias previstas y los mecanismos para ejercer derechos ARCO. El aviso debe ser claro, accesible y estar disponible en el punto de recopilación de datos.
Consentimiento: Obtener el consentimiento explícito del titular para el tratamiento de datos sensibles (salud, biométricos, ideología, vida sexual, datos financieros). Para datos no sensibles, el consentimiento puede ser tácito siempre que el aviso de privacidad se haya puesto a disposición del titular.
Medidas de seguridad: Implementar medidas técnicas, administrativas y físicas para proteger los datos personales contra pérdida, robo, uso no autorizado, acceso, divulgación o alteración. Las medidas deben ser proporcionales al riesgo y al tipo de datos tratados.
Documentación del cumplimiento: Mantener un registro actualizado de los tratamientos realizados, las medidas de seguridad implementadas, las solicitudes ARCO recibidas y su respuesta, y los incidentes de seguridad gestionados. Esta documentación es la evidencia que la Secretaría Anticorrupción y Buen Gobierno revisará en caso de una investigación.
La cultura de ciberseguridad organizacional es el factor que determina si los controles documentados se aplican realmente en el día a día. Sin formación y concienciación del equipo, las políticas de privacidad quedan en papel.
Adoptar el NIST Cybersecurity Framework como referencia técnica permite a las empresas mexicanas estructurar sus programas de seguridad de forma alineada con las exigencias de la LFPDPPP, la CNBV y los requisitos internacionales de privacidad.
¿Tu empresa necesita revisar o implementar su programa de cumplimiento de la LFPDPPP? WhiteJaguars ofrece servicios de evaluación de seguridad y asesoría para empresas mexicanas bajo supervisión de la Secretaría Anticorrupción y Buen Gobierno y la CNBV. También puedes leer sobre los requisitos de ciberseguridad de la Ley Fintech mexicana.