La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) es la norma que regula cómo las empresas privadas en México recaban, usan, almacenan y transfieren los datos personales de las personas. Su objetivo es garantizar la privacidad y el derecho a la autodeterminación informativa, obligando a todo particular que trate datos a hacerlo de forma lícita, informada y con consentimiento. Aplica a cualquier persona física o moral del sector privado que trate datos personales en territorio mexicano, con muy pocas excepciones.
Lo que muchos responsables aún no tienen presente es que esta ley cambió por completo en 2025: el 20 de marzo de 2025 se publicó una nueva LFPDPPP que abrogó la histórica ley de 2010, eliminó al INAI como autoridad y trasladó la supervisión a la Secretaría Anticorrupción y Buen Gobierno. Si tu programa de privacidad sigue apuntando al INAI y a la ley anterior, está desactualizado.
Qué es la LFPDPPP
La LFPDPPP es la ley mexicana que rige el tratamiento de datos personales por parte de los particulares, es decir, empresas y personas del sector privado. Su finalidad, según su artículo 1, es proteger los datos personales en posesión de los particulares para regular su tratamiento legítimo, controlado e informado, garantizando la privacidad y el derecho a la autodeterminación informativa de las personas. Puedes consultar el texto vigente en el portal de la Cámara de Diputados.
En términos prácticos, la ley responde a una pregunta central: si tu organización guarda nombres, correos, teléfonos, datos financieros, información de salud o cualquier dato que identifique a una persona, ¿qué obligaciones tienes sobre esa información? La LFPDPPP fija las reglas del juego: obtener consentimiento, informar mediante un aviso de privacidad, tratar los datos solo para las finalidades declaradas, protegerlos con medidas de seguridad y respetar los derechos de las personas titulares.
La ley se complementa con su Reglamento y con las disposiciones que emita la autoridad. Distingue además entre dos figuras clave: el responsable —el sujeto regulado que decide sobre el tratamiento— y la persona encargada, que trata datos por cuenta del responsable. Esta distinción importa porque, con la reforma de 2025, el universo de obligados se amplió.
Novedades recientes: la nueva ley de 2025 y el fin del INAI
El cambio más importante en materia de protección de datos en México en más de una década ocurrió en 2025. El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva LFPDPPP que entró en vigor al día siguiente, el 21 de marzo de 2025, y que abrogó la ley homónima de 2010. No es una reforma parcial: es una ley nueva que sustituye por completo a la anterior.
Los cambios que un responsable debe conocer son concretos:
- Desaparece el INAI y cambia la autoridad: La supervisión, verificación y sanción en materia de datos personales del sector privado ya no está en manos del Instituto Nacional de Transparencia (INAI), sino de la Secretaría Anticorrupción y Buen Gobierno, una dependencia del Poder Ejecutivo. Todas las menciones al INAI en normas anteriores se entienden ahora hechas a esta Secretaría.
- Se amplía quién es "responsable": La nueva ley define como sujetos regulados a las personas físicas o morales de carácter privado que llevan a cabo el tratamiento de datos personales, e incorpora expresamente a la figura de la persona encargada. En la práctica, más actores de la cadena de tratamiento quedan sujetos a obligaciones.
- Cambia el medio de defensa: Frente a las resoluciones de la autoridad, los particulares ahora promueven juicio de amparo ante jueces y tribunales especializados, en sustitución del anterior juicio de nulidad ante el Tribunal Federal de Justicia Administrativa.
- Se mantiene la estructura sustantiva: Los conceptos de aviso de privacidad, consentimiento, datos sensibles y derechos ARCO permanecen en esencia como estaban, por lo que buena parte del andamiaje de cumplimiento sigue siendo válido. El riesgo no es rehacer todo, sino no actualizar las referencias a la autoridad y a los procedimientos.
Hay un matiz adicional de vigencia: la ley tuvo una reforma menor publicada en el DOF el 14 de noviembre de 2025, que ajustó el artículo 4 para armonizarlo con el Código Nacional de Procedimientos Civiles y Familiares. El texto vigente ya la incorpora.
A quién aplica la LFPDPPP
La ley aplica, como regla general, a todos los particulares —personas físicas o morales del sector privado— que traten datos personales. No importa el tamaño ni el sector: desde una startup que recolecta correos hasta un banco, un hospital privado o una cadena de retail. Si tratas datos personales de personas identificadas o identificables, estás dentro del ámbito de la ley.
La propia LFPDPPP establece solo dos excepciones expresas en su artículo 1:
Todo lo demás queda cubierto. Conviene subrayar que la ley aplica a los datos tratados en territorio mexicano y alcanza también las transferencias que un responsable haga a terceros dentro o fuera de México. El sector público, en cambio, se rige por una ley distinta —la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados—, no por la LFPDPPP.
Conceptos y principios clave de la ley
Para cumplir la LFPDPPP hay que dominar su vocabulario. Estos son los conceptos centrales:
- Datos personales: Cualquier información concerniente a una persona identificada o identificable.
- Datos personales sensibles: Aquellos que afectan la esfera más íntima o cuyo uso indebido puede generar discriminación o un riesgo grave: origen racial o étnico, estado de salud, información genética, creencias religiosas o filosóficas, opiniones políticas y preferencia sexual, entre otros. Estos exigen un nivel de protección reforzado.
- Tratamiento: Cualquier operación sobre los datos: obtención, uso, almacenamiento, transferencia, divulgación, etc.
- Aviso de privacidad: El documento con el que el responsable informa a la persona titular qué datos recaba y para qué.
- Consentimiento: La manifestación de voluntad libre, específica e informada con la que la persona acepta el tratamiento.
La ley obliga al responsable a observar ocho principios en todo tratamiento: licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. En la práctica, esto se traduce en reglas como que los datos deben recabarse de forma lícita y no engañosa, tratarse solo para las finalidades informadas en el aviso de privacidad, mantenerse exactos y actualizados, y suprimirse cuando dejan de ser necesarios.
El consentimiento tiene matices que conviene tener claros: como regla general es válido el consentimiento tácito (cuando, puesto a disposición el aviso de privacidad, la persona no se opone), pero los datos financieros o patrimoniales requieren consentimiento expreso, y los datos sensibles exigen consentimiento expreso y por escrito.
Los derechos ARCO y el aviso de privacidad
El corazón del cumplimiento operativo de la LFPDPPP son dos elementos: el aviso de privacidad y la atención de los derechos ARCO.
Los derechos ARCO son los derechos de las personas titulares sobre sus datos: Acceso (conocer qué datos tiene el responsable), Rectificación (corregir datos inexactos o incompletos), Cancelación (solicitar que se eliminen) y Oposición (oponerse a un tratamiento por causa legítima). El responsable debe habilitar mecanismos para ejercerlos y responder en un plazo máximo de veinte días a la solicitud, con quince días adicionales para hacerla efectiva si procede. El ejercicio de estos derechos es gratuito, salvo costos de reproducción o envío.
El aviso de privacidad, por su parte, debe ponerse a disposición de la persona desde el momento en que se recaban sus datos y contener, al menos, la identidad y domicilio del responsable, los datos que se tratarán (señalando los sensibles), las finalidades del tratamiento, las opciones para limitar su uso, los medios para ejercer los derechos ARCO y el procedimiento para comunicar cambios. Cuando los datos se obtienen por medios electrónicos, se admite un aviso en modalidad simplificada que remita al aviso integral.
A esto se suma una obligación transversal que suele subestimarse: el artículo 18 exige mantener medidas de seguridad administrativas, técnicas y físicas para proteger los datos contra daño, pérdida, alteración o acceso no autorizado. Y el artículo 19 obliga a comunicar a las personas titulares, de forma inmediata, las vulneraciones de seguridad que afecten significativamente sus derechos. Aquí la protección de datos se cruza de lleno con la seguridad de la información.
Sanciones, multas y delitos por incumplimiento
El incumplimiento de la LFPDPPP tiene consecuencias en dos planos: administrativo (multas) y penal (prisión). Las cifras no son menores y se calculan en Unidades de Medida y Actualización (UMA).
En el plano administrativo, el artículo 59 establece una escala de sanciones según la gravedad de la infracción:
Cuando las infracciones se cometen sobre datos personales sensibles, las sanciones pueden incrementarse hasta por el doble. Para dimensionar: en el rango más alto, las multas pueden escalar a cientos de millones de pesos, y la autoridad considera la naturaleza del dato, la intencionalidad, la capacidad económica del responsable y la reincidencia al fijar el monto.
Menos conocido, pero igual de relevante, es el capítulo de delitos. La ley prevé prisión de tres meses a tres años para quien, estando autorizado a tratar datos y con ánimo de lucro, provoque una vulneración de seguridad a las bases de datos bajo su custodia; y de seis meses a cinco años para quien trate datos mediante engaño con fin de lucro indebido. Tratándose de datos sensibles, estas penas se duplican.
Cómo cumplir con la LFPDPPP: enfoque práctico
Cumplir la LFPDPPP no es redactar un aviso de privacidad y olvidarse. Es sostener un programa de privacidad vivo. Estos pasos lo ordenan:
- Inventaría tus datos y tratamientos: Identifica qué datos personales tratas, dónde viven, con qué finalidad y quién los maneja. Sin este mapa, ninguna otra obligación se puede cumplir bien.
- Actualiza tu aviso de privacidad y tus bases de consentimiento: Verifica que el aviso cumpla el artículo 15 y que tengas el tipo de consentimiento correcto para cada dato (recuerda: expreso y por escrito para datos sensibles).
- Habilita un procedimiento ARCO: Designa a la persona o área de datos personales y establece un flujo claro para recibir y responder solicitudes dentro de los plazos legales.
- Implementa medidas de seguridad y un plan de respuesta a incidentes: Traduce el artículo 18 en controles concretos —administrativos, técnicos y físicos— y prepara el proceso de notificación de vulneraciones del artículo 19.
- Documenta todo y actualiza referencias: Mantén evidencia del cumplimiento y asegúrate de que tus políticas apunten a la ley de 2025 y a la Secretaría Anticorrupción y Buen Gobierno, no al marco derogado.
La diferencia entre gestionar la privacidad en documentos sueltos y hacerlo en un sistema especializado se nota justo cuando llega una solicitud ARCO urgente o una verificación de la autoridad:
De la obligación legal a la seguridad de la información
Un error común es tratar la LFPDPPP como un asunto puramente legal. Lo es en su origen, pero su cumplimiento real vive en la seguridad de la información. Las obligaciones de proteger los datos con medidas técnicas (art. 18) y de gestionar las vulneraciones (art. 19) son, en el fondo, exigencias de un sistema de gestión de seguridad de la información (SGSI).
Ahí es donde la lógica de la norma internacional ISO/IEC 27001 se vuelve el mejor aliado del cumplimiento legal: clasificar los activos de información (incluidos los datos personales) por su confidencialidad, integridad y disponibilidad; asociar riesgos y controles a cada activo; y gestionar incidentes de forma estructurada. Cumplir la LFPDPPP y avanzar hacia un SGSI conforme a ISO 27001 dejan de ser dos proyectos separados para convertirse en uno solo. Es la misma integración que Pirani propone al conectar la seguridad de la información con el cumplimiento normativo sobre una sola plataforma.
Cumple con la LFPDPPP usando ISMS y Compliance de Pirani
Proteger datos personales y demostrar cumplimiento ante la Secretaría Anticorrupción y Buen Gobierno es, sobre todo, un reto de organización, control y evidencia. Con el sistema ISMS de Pirani puedes inventariar y clasificar tus activos de información —incluidas las bases de datos personales—, identificar los riesgos a los que están expuestos, asociarles controles con responsables y evidencia, y reportar incidentes de seguridad de forma inmediata, tal como exige el artículo 19. Y con el sistema de Compliance de Pirani centralizas la LFPDPPP y el resto de tu marco normativo, monitoreas el estado de cumplimiento y programas alertas antes de cada fecha límite. Así es como hacemos simple la gestión de riesgos.
Pirani se adapta a las regulaciones mexicanas y a marcos como ISO 31000, ISO 27001 y las normativas de la CNBV, gestionando de forma integrada los riesgos de seguridad de la información, de cumplimiento, operacionales y de lavado de activos. Cuenta con el respaldo de certificaciones como ISO 27001, ISO 9001 y SOC 2 Type II.
Puedes empezar hoy: crea una cuenta gratis —no necesitas tarjeta de crédito— o agenda una demo con un asesor para ver cómo estructurar el cumplimiento de la LFPDPPP en tu organización.
Contenido relacionado: Cumple la Ley Federal de Protección de Datos Personales con Pirani
Preguntas frecuentes sobre la LFPDPPP
- ¿Qué es la LFPDPPP y qué protege? Es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Regula cómo las empresas privadas en México tratan los datos personales, con el fin de proteger la privacidad y el derecho de las personas a decidir sobre el uso de su información.
- ¿Cuál es la nueva Ley de Protección de Datos de 2025? El 20 de marzo de 2025 se publicó una nueva LFPDPPP que entró en vigor el 21 de marzo de 2025 y abrogó la ley de 2010. Su cambio más relevante es que eliminó al INAI como autoridad y trasladó la supervisión a la Secretaría Anticorrupción y Buen Gobierno.
- ¿Quién es la autoridad de protección de datos en México? Desde la entrada en vigor de la ley de 2025, la autoridad en materia de datos personales del sector privado es la Secretaría Anticorrupción y Buen Gobierno, que sustituyó al extinto INAI en estas funciones.
- ¿Qué son los derechos ARCO? Son los derechos de Acceso, Rectificación, Cancelación y Oposición que toda persona tiene sobre sus datos personales. El responsable debe atender las solicitudes en un plazo máximo de veinte días.
- ¿Qué multas impone la LFPDPPP por incumplimiento? Las multas van de 100 hasta 320,000 veces la UMA según la gravedad de la infracción, y pueden duplicarse cuando involucran datos sensibles. La ley también contempla penas de prisión para vulneraciones de seguridad cometidas con ánimo de lucro.
Todo sobre la regulación para retailers en México
Guía Completa de la Norma ISO 19011: Auditoría de Sistemas de Gestión
