LFPDPPP: qué te exige la ley de protección de datos de México

Si buscas la palabra «capacitación» en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) que rige en México desde marzo de 2025, aparece una sola vez. Está en el artículo 39, entre las atribuciones de la autoridad.

La ausencia llama la atención porque el reglamento que acompañaba a la ley anterior lo decía con todas las letras y pedía «un programa de capacitación, actualización y concientización del personal». La LFPDPPP vigente habla en otro registro. Exige medidas «necesarias y suficientes», medidas de seguridad administrativas y el deber de fomentar la protección de datos al interior de la organización. Ninguna de esas tres cosas se cumple sin personas que sepan qué hacer.

Este artículo recorre la ley desde esa capa, la de quien atiende una solicitud, carga un registro o da de alta a un proveedor. Y se detiene en lo que pasa si algo falla y en cómo se demuestra después que la organización preparó a su gente.

¿Qué es la LFPDPPP?

La LFPDPPP es la ley que regula el tratamiento de datos personales por parte de empresas y personas físicas del sector privado en México. Se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025, entró en vigor al día siguiente y abrogó la ley homónima de 2010, según sus artículos transitorios.

La continuidad pesa más que el cambio. El aviso de privacidad, los derechos ARCO (acceso, rectificación, cancelación y oposición), el deber de seguridad y el régimen de sanciones siguen en su lugar, y buena parte del articulado repite la redacción anterior. Quien ya cumplía con la ley de 2010 no parte de cero.

El artículo 5 establece ocho principios que todo responsable debe observar en el tratamiento de datos personales: licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. Son la base de todo el sistema y se desarrollan en los artículos 6 a 14. El principio de responsabilidad es el que más trabajo genera, porque el artículo 13 obliga a adoptar las medidas necesarias y suficientes para aplicar esos principios y para que el aviso de privacidad se respete en todo momento, también por los terceros con los que la organización mantiene una relación jurídica.

La ley distingue además los datos personales sensibles, que el artículo 2 define como los que afectan la esfera más íntima de la persona o cuyo uso indebido puede dar origen a discriminación o conllevar un riesgo grave. Entre ellos están los de salud, la información genética, las creencias y la preferencia sexual. Para tratarlos, el artículo 8 exige consentimiento expreso y por escrito.

¿Quién hace cumplir la LFPDPPP desde 2025?

La autoridad ya no es el INAI. La reforma constitucional de simplificación orgánica, publicada en diciembre de 2024, dispuso la extinción del instituto una vez vigente la nueva legislación. La LFPDPPP define como autoridad a la Secretaría Anticorrupción y Buen Gobierno, y sus transitorios trasladan a esa Secretaría los procedimientos que el INAI tenía abiertos en materia de datos personales.

El cambio tiene una consecuencia práctica inmediata. Un aviso de privacidad que todavía remite al INAI apunta a una autoridad que ya no existe. Al revisarlo, vale la pena verificar dos elementos que el artículo 15 sumó al contenido mínimo del aviso, que son identificar cuáles de los datos tratados son sensibles y distinguir las finalidades que requieren consentimiento de las que no.

¿La LFPDPPP obliga a capacitar al personal?

No de forma literal. La obligación expresa vivía en el Reglamento de 2011. Su artículo 48 pedía «poner en práctica un programa de capacitación, actualización y concientización del personal sobre las obligaciones en materia de protección de datos personales», y su artículo 61 incluía entre las acciones de seguridad capacitar al personal que efectúa el tratamiento.

Ese reglamento no fue derogado de forma expresa. La Cámara de Diputados lo sigue publicando como texto vigente y no encontramos en el Diario Oficial uno nuevo que lo reemplace, aunque la ley de 2025 tampoco dice que siga aplicando. Es una zona gris que resolverá la autoridad o un reglamento nuevo.

Mientras tanto, la ley sí exige tres cosas que se sostienen sobre la formación. El artículo 13 pide medidas necesarias y suficientes para cumplir los principios. El artículo 18 obliga a establecer y mantener medidas de seguridad administrativas, técnicas y físicas. Y el artículo 29 establece que todo responsable «fomentará la protección de datos personales al interior de la organización».

Una medida administrativa que las personas desconocen no protege ningún dato, y fomentar algo dentro de una organización sin enseñarlo es difícil de sostener frente a una verificación. Con o sin la palabra escrita en la ley, la capacitación registrada sigue siendo la forma más directa de demostrar esas medidas.

¿Qué le exige la ley a las personas de tu organización?

Cuatro obligaciones de la LFPDPPP terminan en el escritorio de alguien que no trabaja en el área legal.

Confidencialidad con controles. El artículo 20 obliga a establecer controles para que todas las personas que intervienen en cualquier fase del tratamiento guarden confidencialidad, una obligación que subsiste aun después de terminar la relación. La cláusula del contrato laboral es solo el comienzo del control. El resto es que cada persona sepa qué puede comentar, con quién y por qué canal.

Avisar de inmediato, sin un reloj en horas. El artículo 19 obliga a informar de forma inmediata a la persona titular las vulneraciones de seguridad que afecten de forma significativa sus derechos patrimoniales o morales. A diferencia del RGPD europeo o de la ley paraguaya de 2025, la ley mexicana no fija un plazo en horas ni pide en ese artículo avisar a la autoridad.

El punto de partida, en cambio, es el mismo en todos los regímenes. Empieza en quien nota que un archivo salió al destinatario equivocado o que alguien pidió por teléfono los datos de un cliente con una historia convincente. Si esa persona no sabe que tiene que avisar, lo inmediato empieza tarde. Comparamos este criterio con otros marcos en notificación de brechas: las 72 horas comparadas.

Derechos con plazo en días hábiles. El artículo 31 da al responsable un máximo de veinte días hábiles para comunicar su respuesta a una solicitud de derechos ARCO y quince más para hacerla efectiva, ampliables una sola vez. El artículo 29 obliga a designar a una persona o departamento de datos personales que tramite esas solicitudes.

Quien las recibe primero casi nunca es ese departamento. Suele ser alguien de atención al cliente que lee «quiero que borren mi información» en medio de un reclamo, y de su reacción depende que el plazo empiece a correr con el expediente en la mesa correcta.

Proveedores que heredan el deber. El artículo 13 extiende el respeto al aviso de privacidad a los terceros con los que el responsable tiene relación jurídica, y el artículo 35 dispone que quien recibe una transferencia asume las mismas obligaciones que quien la hizo. La persona que da de alta a un proveedor o comparte una base de datos con una agencia está tomando una decisión de cumplimiento. Un cuestionario de seguridad a proveedores ordena esa decisión antes de firmar.

¿Qué pasa si no se cumple la LFPDPPP?

El artículo 58 enumera 19 infracciones, todas imputables al responsable. Varias describen errores de ejecución antes que decisiones de dirección, como incumplir el deber de confidencialidad, vulnerar la seguridad de bases de datos, locales, programas o equipos cuando sea imputable al responsable, o actuar con negligencia al tramitar una solicitud ARCO.

Las multas del artículo 59 se expresan en múltiplos de la Unidad de Medida y Actualización (UMA). Van de 100 a 160.000 UMA para un grupo de infracciones y de 200 a 320.000 para otro, que incluye las de confidencialidad y seguridad. Si las infracciones persisten de manera reiterada, se suma una multa adicional, y con datos sensibles las sanciones pueden incrementarse hasta por dos veces. Con el valor diario de la UMA para 2026, que el INEGI fijó en 117,31 pesos, el techo del tramo más alto ronda los 37,5 millones de pesos antes de ese incremento.

La ley tiene además un capítulo de delitos que alcanza a la persona y no solo a la organización. El artículo 62 prevé de tres meses a tres años de prisión para quien, estando autorizado a tratar datos personales, provoque con ánimo de lucro una vulneración de seguridad a las bases bajo su custodia. El artículo 64 duplica las penas cuando se trata de datos sensibles.

¿Cómo se demuestra el cumplimiento del componente humano?

Ante una verificación de la Secretaría, cuenta lo que la organización puede mostrar. En la capa humana eso se traduce en tres registros.

1. Quién recibió qué y cuándo. La organización lleva un registro por persona de los contenidos asignados y completados, con su fecha y con contenidos adaptados al rol, porque atención al cliente no necesita lo mismo que compras o la dirección. Incluye también a quien acaba de entrar, porque quien accede a los sistemas desde el primer día, antes de cualquier formación, trata datos sin haber recibido ninguna indicación, como desarrollamos en los primeros días de una persona nueva.
2. Qué entendió cada persona. Las evaluaciones asociadas a cada contenido muestran si el mensaje llegó.
3. Cómo reacciona ante un intento real. Las simulaciones de phishing, de ransomware o con códigos QR lo ponen a prueba, y la evolución de sus resultados mes a mes muestra si el comportamiento cambia.

Esos tres registros convierten el «fomentará» del artículo 29 en algo verificable. En nuestro webinar Ciberseguridad en hotelería: el eslabón humano ante la ley de datos personales en México recorrimos cómo se ve este esquema en un sector donde el dato pasa por reservas, recepción, cocina y proveedores en pocas horas. El mismo patrón aparece en otras leyes de la región, como en qué te exige la Ley 7593 de Paraguay y en qué te exige la Ley de Ciberseguridad de Ecuador.

Cómo acompaña SMARTFENSE a la LFPDPPP

SMARTFENSE es una plataforma de concientización en ciberseguridad con presencia en LATAM y Europa. Su componente de gestión de normativas, políticas y procedimientos permite cargar la LFPDPPP como normativa propia, junto con las políticas internas de la organización, y mapear sus artículos a los contenidos que se asignan.

Cada vez que una persona completa un contenido, queda registrado a qué artículo aportó, y los reportes muestran el porcentaje de cobertura por persona y por normativa. Una cobertura completa no equivale a cumplir la ley. Indica que esa persona interactuó con todos los contenidos vinculados, que es justamente la evidencia que la capa humana tiene que aportar. El detalle de cómo se presenta frente a un auditor está en cómo demostrar el cumplimiento en concientización.

La LFPDPPP de 2025 cambió de autoridad y dejó sin reescribir la parte que hablaba de capacitar. La Secretaría igual va a preguntar por medidas, y para quien verifica, las que dependen de personas solo existen si quedaron registradas.