Con motivo de la publicación el 20 de marzo de 2025 en el Diario Oficial de la Federación (DOF) de la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPP), que abroga el cuerpo normativo del mismo nombre publicado el 5 de julio de 2010, hemos elaborado el presente manual para que las empresas puedan comprender el impacto que genera su entrada en vigor.
A. Tabla resumida de modificaciones
Para una mejor comprensión de los cambios detectados, a continuación se incluye una tabla comparativa de los cambios principales entre ambos ordenamientos.
| Capítulo | LFPDPP 2010 / Art. | LFPDPP 2025 / Art. | Observaciones |
|---|---|---|---|
| Definiciones / glosario | Arts. 2–3 | Arts. 2 (definiciones) / 5–7 (principios) | Se actualizan y amplían definiciones (aviso de privacidad, bases de datos, consentimiento, fuente de acceso público, transferencia), con lenguaje más detallado. |
| Autoridad regulatoria | Cap. VI: Instituto (INAI) — Arts. 38–44 | Nueva asignación de funciones y referencia a la Secretaría Anticorrupción y Buen Gobierno | Sustitución institucional: funciones, recursos y atribuciones del Instituto pasan a la Secretaría. Transitorios abrogan referencias al INAI. |
| Principios de protección | Arts. 6–14 (licitud, consentimiento, información, calidad, finalidad, proporcionalidad, responsabilidad) | Arts. 5–14 (se reenumeran y precisan) | Mismo núcleo principista con mayor precisión; se incorpora “expectativa razonable de privacidad” y se explicita el consentimiento libre, específico e informado. |
| Consentimiento | Art. 8; Art. 9 (sensibles: expreso y por escrito) | Arts. 7–9: tácito como regla general, salvo excepciones; expreso obligatorio para datos financieros/patrimoniales y sensibles | Cambia el énfasis operativo: se reconoce tácito por regla, pero delimita cuándo exige expreso y obliga a registrar mecanismos de revocación. |
| Aviso de privacidad | Arts. 15–17 (contenido mínimo: identidad, finalidades, ARCO, transferencias, cambios) | Arts. 14–17 (hoy Art. 15): obliga además a indicar categorías de datos, identificar sensibles, distinguir finalidades que requieren consentimiento | Se regula aviso simplificado en medios electrónicos y contenido reforzado del aviso integral. |
| Derechos ARCO | Arts. 22–26 | Arts. 22 y ss.: mismos derechos con plazos ajustados y canales electrónicos | Se mantiene el catálogo ARCO con énfasis en gratuidad, sencillez de ejercicio y respuesta oportuna. |
| Transferencias y encargados | Arts. 36–37 | Arts. 36 y ss.: requisitos para transferencias nacionales e internacionales | Se precisan garantías contractuales (cláusulas tipo) y obligaciones del encargado respecto al responsable. |
| Medidas de seguridad y brechas | Arts. 19–20 | Arts. 19 y ss.: deber activo de implementar controles y notificar vulneraciones | Se enfatiza notificación a titulares y autoridad en caso de incidentes que afecten derechos patrimoniales o morales. |
| Sanciones | Arts. 63–66 | Arts. 63 y ss.: multas actualizadas y tipificaciones más detalladas | Se incrementan montos y se tipifican conductas específicas como la omisión de medidas de seguridad o tratamiento sin consentimiento. |
B. Principales impactos operativos para empresas
- Revisar y actualizar los avisos de privacidad para incluir categorías de datos tratados, identificación de sensibles, finalidades que requieren consentimiento expreso y mecanismos de revocación.
- Documentar el consentimiento, especialmente el expreso para datos financieros, patrimoniales y sensibles; mantener evidencia auditable.
- Actualizar políticas y contratos con encargados del tratamiento (cláusulas tipo, obligaciones de seguridad, subtratamientos).
- Reforzar medidas de seguridad y contar con procedimientos internos para detección, contención, notificación y remediación de vulneraciones.
- Capacitar al personal que interactúa con datos personales y designar responsables (oficiales de protección de datos donde aplique).
- Mapear flujos transfronterizos de datos y garantizar que las transferencias cuenten con la base jurídica y los contratos requeridos.
C. Acompañamiento
Desde Wolff, Arias & Charua recomendamos iniciar de inmediato un diagnóstico de brecha frente a la nueva LFPDPP y diseñar un plan de implementación por fases. Nuestro equipo de datos personales está disponible para acompañarles en el rediseño de avisos, contratos, políticas internas, protocolos de incidentes y programas de capacitación.