Reforma a la Ley de Protección de Datos Personales en México: Lo que las empresas deben saber (y hacer ya)

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que abroga por completo la versión anterior de 2010.

Desde el 21 de marzo está oficialmente en vigor y representa mucho más que una reforma: es un cambio estructural en cómo las empresas, organizaciones y profesionales deben manejar la información personal en México.

¿Qué cambia con esta reforma?

A continuación te explicamos los puntos clave —sin tecnicismos— para que entiendas cómo esta nueva ley impacta directamente a tu empresa:

1. Nueva autoridad reguladora

   El INAI desaparece como garante. Su lugar lo toma la Secretaría Anticorrupción y Buen Gobierno (SABG), que ahora es la responsable de vigilar y sancionar el cumplimiento de la ley.

   
   

2. Nace el organismo "Transparencia para el Pueblo"

   Algunas funciones del extinto INAI —como garantizar el derecho de acceso a la información pública— fueron transferidas a esta nueva institución, que inició funciones el 12 de mayo de 2025.

   
   

3. Las personas morales también son titulares de datos

   Una de las grandes sorpresas de la reforma: las personas morales ahora también son consideradas titulares de datos personales. Esto abre un debate jurídico interesante, pero para tu empresa significa una cosa clara: más obligaciones.

   
   

4. Seguridad de datos más estricta

   Las empresas deberán implementar medidas administrativas, técnicas y físicas más robustas para proteger los datos que manejan. No basta con tener un antivirus: se trata de blindar procesos completos.

   
   

5. Avisos de privacidad con mayor transparencia

   Ahora deben incluir:

   • Finalidades claras y específicas.
   • Mecanismos de revocación de consentimiento.
   • Procedimientos actualizados para ejercer derechos ARCO (Acceso, Rectificación, Cancelación y Oposición).
   
   

6. Nombramiento obligatorio de un responsable interno

   Toda organización deberá designar formalmente a un encargado de protección de datos personales y garantizar que el personal esté capacitado en esta materia.