Puntos clave
- La nueva LFPDPPP está en vigor desde el 21 de marzo de 2025 y sustituye a la ley de 2010.
- El INAI desaparece y la supervisión pasa a manos de la Secretaría Anticorrupción y Buen Gobierno.
- El consentimiento debe ser libre, específico e informado. El tácito sigue siendo válido por regla general, pero los datos sensibles exigen consentimiento expreso y por escrito.
- Las solicitudes ARCO se responden en 20 días hábiles y se ejecutan en otros 15. Ambos plazos se pueden ampliar una vez.
- Las multas llegan a 320.000 veces la UMA y pueden duplicarse si hay datos sensibles.
La LFPDPPP, que significa Ley Federal de Protección de Datos Personales en Posesión de los Particulares, es la ley mexicana que regula cómo las empresas y los particulares tratan datos personales. El 20 de marzo de 2025 se publicó una nueva versión en el Diario Oficial de la Federación (DOF) y entró en vigor al día siguiente para sustituir a la ley de 2010. La Secretaría Anticorrupción y Buen Gobierno se encarga de la supervisión de esta nueva ley, ya que el INAI desapareció.
Si tu empresa recoge datos de personas en México, esta ley te afecta. En este artículo vemos qué dice, qué ha cambiado y qué debes revisar en tu web o app.
Puedes echar un vistazo al documento completo.
¿Qué es la LFPDPPP y a quién se aplica?
La LFPDPPP protege los datos personales en manos de particulares. Su objetivo es que el tratamiento de datos sea legítimo, controlado e informado, y que las personas conserven el control sobre su información (el llamado derecho a la autodeterminación informativa).
La ley llama «responsable» a cualquier persona física o jurídica de carácter privado que trate datos personales. Eso incluye desde una tienda online hasta una multinacional con clientes en México. Las personas a quienes pertenecen los datos son las «personas titulares».
La ley tiene dos excepciones: las sociedades de información crediticia, que se rigen por su propia ley, y quien recoge datos para uso exclusivamente personal, sin fines de divulgación ni uso comercial.
Es una ley federal y se aplica en todo el territorio nacional. Para las entidades públicas existe otro régimen, distinto de este.
¿Qué cambió en 2025? La ley nueva frente a la de 2010
La estructura se parece a la anterior: principios, derechos ARCO, aviso de privacidad, transferencias y sanciones. Pero hay cambios que conviene conocer.
| Aspecto | Ley de 2010 | Ley de 2025 |
|---|---|---|
| Publicación y vigencia | DOF, 5 de julio de 2010 | DOF, 20 de marzo de 2025; en vigor desde el 21 de marzo |
| Autoridad | INAI (antes IFAI) | Secretaría Anticorrupción y Buen Gobierno |
| Datos personales | Información de una persona física identificada o identificable | Información de una persona identificada o identificable, directa o indirectamente |
| Consentimiento | Definido de forma más general | Debe ser libre, específico e informado |
| Oposición | Oposición por causa legítima | Se añade la oposición a decisiones automatizadas sin intervención humana |
| Reforma posterior | — | Ajuste del artículo 4 (normas supletorias) el 14 de noviembre de 2025 |
Tres cambios merecen atención especial:
- Definición de dato personal más amplia. Basta con que la persona sea identificable de forma directa o indirecta.
- Consentimiento con tres requisitos. Debe ser libre, específico e informado.
- Oposición a decisiones automatizadas. Si un tratamiento automatizado evalúa aspectos personales sin intervención humana y te afecta de forma significativa, puedes oponerte.
Un cambio institucional importante: el INAI se extinguió y sus funciones en protección de datos personales pasaron a la Secretaría Anticorrupción y Buen Gobierno. Los procedimientos que ya estaban abiertos continúan ante esta Secretaría.
¿Qué principios debe cumplir una empresa?
La ley enumera ocho principios (art. 5). Son la base de todo el tratamiento de datos:
Licitud
Recoger y tratar datos conforme a la ley, sin engaños ni fraudes.
Finalidad
Usar los datos solo para los fines indicados en el aviso de privacidad.
Lealtad
Respetar la expectativa razonable de privacidad de la persona titular.
Consentimiento
Contar con él salvo que la ley prevea una excepción.
Calidad
Mantener datos exactos, completos y actualizados.
Proporcionalidad
Tratar solo los datos necesarios, adecuados y relevantes.
Información
Explicar el tratamiento mediante el aviso de privacidad
Responsabilidad
Adoptar medidas para cumplir los principios y demostrarlo.
La ley añade dos obligaciones prácticas: aplicar medidas de seguridad administrativas, técnicas y físicas, y avisar de inmediato a las personas afectadas cuando una vulneración de seguridad afecte de forma significativa a sus derechos patrimoniales o morales.
¿Cómo funciona el consentimiento?
La regla general es que todo tratamiento de datos requiere consentimiento, con excepciones (art. 7). Puede darse de dos formas:
- Expreso: la persona manifiesta su voluntad de forma verbal, por escrito, por medios electrónicos, mediante signos inequívocos o con cualquier otra tecnología.
- Tácito: la persona tiene el aviso de privacidad a su disposición y no manifiesta lo contrario.
Por regla general, el consentimiento tácito es válido. Hay dos excepciones claras:
- Datos financieros o patrimoniales: exigen consentimiento expreso.
- Datos sensibles: exigen consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica o un mecanismo de autenticación (art. 8). Son datos que afectan a la esfera más íntima de la persona, como origen étnico, salud, información genética, creencias, opiniones políticas o preferencia sexual.
Otras reglas que debes tener en cuenta:
- La persona puede revocar el consentimiento en cualquier momento, sin efectos retroactivos. El aviso de privacidad debe explicar cómo hacerlo.
- Si quieres usar los datos para una finalidad distinta de la del aviso, necesitas un nuevo consentimiento (art. 11).
- No siempre necesitas consentimiento. Hay excepciones, por ejemplo cuando una ley lo dispone, cuando los datos están en fuentes de acceso público, cuando se aplica disociación o cuando el tratamiento es necesario para cumplir una relación jurídica con la persona titular (art. 9).
¿Y las cookies?
La ley no menciona expresamente las cookies. Aun así, una cookie que identifica a un usuario o a su dispositivo puede ser un dato personal, y entonces se aplican las reglas generales.
En la práctica, esto significa que cuando recopilas datos por medios electrónicos debes ofrecer el aviso de privacidad en su versión simplificada, con enlace al aviso integral (art. 16). También debes ofrecer opciones para limitar el uso de los datos (art. 15). Un banner de cookies es una forma práctica de hacerlo y de dejar constancia.
Para entender el marco europeo, consulta nuestra guía sobre el RGPD.
El aviso de privacidad: qué debe contener
El aviso de privacidad es el documento con el que informas sobre el tratamiento de datos. Según el artículo 15, debe incluir como mínimo:
La identidad y el domicilio del responsable
Los datos personales que se tratan, indicando cuáles son sensibles
Las finalidades del tratamiento, distinguiendo las que requieren consentimiento
Las opciones para limitar el uso o la divulgación de los datos
Cómo ejercer los derechos ARCO
Cómo se comunicarán los cambios del aviso
El aviso debe contener también una cláusula que indique si la persona acepta o no la transferencia de sus datos (art. 35).
La ley prevé una versión simplificada para cuando los datos se recogen por medios electrónicos. Debe incluir al menos los puntos 1 a 4 y señalar dónde consultar el aviso integral. Omitir cualquiera de los elementos del artículo 15 es una infracción.
Derechos ARCO y plazos
Las personas titulares pueden ejercer cuatro derechos:
Conocer qué datos tiene la empresa y cómo los trata.
Corregir datos inexactos, incompletos o desactualizados.
Pedir que se eliminen. Primero hay un periodo de bloqueo, equivalente al plazo de prescripción de las acciones derivadas de la relación jurídica, y después se suprimen
Oponerse al tratamiento por causa legítima o cuando haya decisiones automatizadas que afecten de forma significativa a la persona.
Los plazos son estos (art. 31):
- 20 días hábiles para comunicar la decisión desde que recibes la solicitud.
- 15 días hábiles más para hacerla efectiva, si procede.
- Ambos plazos se pueden ampliar una sola vez por un periodo igual, si lo justifican las circunstancias.
Tres reglas prácticas más:
- El ejercicio de los derechos es gratuito. Solo puedes cobrar los costes de reproducción, copia o envío. Si la persona repite la solicitud en menos de doce meses, el coste no puede superar tres veces la UMA.
- Debes designar a una persona o un departamento que gestione las solicitudes (art. 29).
- Si rechazas la solicitud, debes explicar el motivo y responder por el mismo medio por el que llegó. La negativa puede ser parcial.
Transferencias de datos y personas encargadas
Si transfieres datos a un tercero, nacional o extranjero, debes comunicarle el aviso de privacidad y las finalidades que aceptó la persona titular. El tercero asume las mismas obligaciones que tú (art. 35).
No necesitas consentimiento para la transferencia en casos como estos (art. 36):
- Una ley o un tratado en el que México prevé dicha transferencia.
- Es necesaria para la atención sanitaria.
- Se hace a empresas del mismo grupo que operan con las mismas políticas internas.
- Es necesaria por un contrato en interés de la persona titular.
- Es necesaria para mantener o cumplir la relación jurídica entre la empresa y la persona.
Si usas proveedores que tratan datos por su cuenta (la ley los llama «personas encargadas»), revisa sus contratos.
Sanciones
La Secretaría puede imponer estas sanciones (art. 59):
| Supuesto | Sanción |
|---|---|
| No atender una solicitud ARCO sin razón fundada | Apercibimiento |
| Negligencia en las solicitudes ARCO, declarar dolosamente que no existen datos, tratar datos contra los principios, omitir elementos del aviso, mantener datos inexactos | Multa de 100 a 160.000 veces la UMA |
| Incumplir la confidencialidad, cambiar la finalidad sin nuevo consentimiento, transferir datos fuera de los casos permitidos, vulnerar la seguridad por causa imputable al responsable, recoger datos de forma engañosa | Multa de 200 a 320.000 veces la UMA |
| Infracciones reiteradas | Multa adicional de 100 a 320.000 veces la UMA |
| Infracciones con datos sensibles | Hasta el doble de los montos anteriores |
La Secretaría tiene en cuenta la naturaleza del dato, la intencionalidad, la capacidad económica y la reincidencia. Las multas no excluyen la responsabilidad civil o penal.
La ley incluye además delitos: de tres meses a tres años de prisión por provocar, con ánimo de lucro, una vulneración de seguridad en bases de datos bajo tu custodia, y de seis meses a cinco años por tratar datos mediante engaño para obtener un lucro indebido. Las penas se duplican si los datos son sensibles.
Checklist de cumplimiento para sitios web y apps
Checklist de cumplimiento
Identifica qué datos recoges
Como formularios, cookies, analítica, publicidad y cuáles son sensibles
Publica un aviso de privacidad
Opta por uno integral y uno simplificado con enlace al integral en cada punto de recogida.
Distingue las finalidades
Diferencia entre las que requieren consentimiento de las que no.
Ofrece opciones para limitar el uso de datos
Por ejemplo con un banner de cookies que permita aceptar o rechazar por categorías.
Registra las decisiones
Mantén un registro de las decisiones de los usuarios para poder demostrarlas.
Pide consentimiento expreso
Y por escrito en datos financieros y sensibles cuando la ley lo exija.
Habilita un canal ARCO
Con responsable designado y respeta los plazos.
Revisa contratos.
Tanto con proveedores como con terceros a los que transfieres datos.
Define protocolos
Tanto de seguridad como de aviso ante vulneraciones.
Actualiza el aviso
Asegúrate de mantener el aviso actualizado cuando cambien las finalidades y comunica el cambio.
Una plataforma de gestión de consentimiento (CMP) como Usercentrics Web CMP te ayuda con los puntos 4 y 5: muestra el banner, recoge las decisiones y las conserva como prueba. Para el punto 1, un cookie scanner te ayuda a detectar las cookies y los rastreadores que ya hay en tu sitio, también si usas WordPress, Shopify o Google Tag Manager. Si tu web también se dirige a usuarios en España, esta guía del banner de cookies en España explica el caso europeo.
LFPDPPP frente a RGPD: diferencias clave
| Aspecto | LFPDPPP (México) | RGPD (UE) |
|---|---|---|
| Autoridad | Secretaría Anticorrupción y Buen Gobierno | Autoridades nacionales (AEPD en España) |
| Base principal | Consentimiento, con excepciones | Seis bases jurídicas, entre ellas el consentimiento y el interés legítimo |
| Consentimiento | Expreso o tácito; sensibles: expreso y por escrito | Libre, específico, informado e inequívoco; no vale el silencio |
| Derechos | ARCO (acceso, rectificación, cancelación, oposición) | Acceso, rectificación, supresión, limitación, portabilidad, oposición |
| Plazo de respuesta | 20 días hábiles + 15 para ejecutar, ampliables una vez | 1 mes, ampliable 2 meses más |
| Brechas de seguridad | Aviso inmediato a las personas afectadas | Notificación a la autoridad en 72 horas y, si hay alto riesgo, a las personas |
| Multas | Hasta 320.000 UMA por infracción (más recargos) | Hasta 20 millones de € o el 4 % de la facturación anual global |
La diferencia más relevante para tu web: en México, el consentimiento tácito suele ser válido, mientras que en la UE no basta con no haber dicho que no. Si operas en ambos mercados, necesitarás banners distintos según la ubicación del usuario.
Qué significa para tu web
En la práctica, la ley mexicana se traduce en tres tareas en tu sitio: informar con un aviso claro, ofrecer opciones sobre cookies y rastreadores, y guardar prueba de lo que decide cada usuario. Con Usercentrics CMP puedes hacerlo de forma automática y mostrar el banner adecuado según la ubicación de cada visitante, para cumplir en México y en la UE a la vez.
Si también te interesa la privacidad de datos, únete ahora a nuestra creciente comunidad. Suscríbete a la newsletter de Usercentrics y recibe las últimas novedades directamente en tu bandeja de entrada.
