La LFPDPPP es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la norma que regula cómo las empresas privadas en México tratan los datos personales. Cumplirla exige, en esencia: publicar un aviso de privacidad conforme, obtener el consentimiento adecuado a cada tipo de dato, respetar los principios de tratamiento, atender los derechos ARCO de los titulares, aplicar medidas de seguridad y controlar las transferencias. La nueva ley, en vigor desde marzo de 2025, trasladó la vigilancia del extinto INAI a la Secretaría Anticorrupción y Buen Gobierno.
En una frase. El cumplimiento de la LFPDPPP se sostiene en cinco pilares —aviso de privacidad, consentimiento, principios de tratamiento, derechos ARCO y medidas de seguridad— cuya omisión se sanciona con multas expresadas en UMA que se duplican cuando hay datos sensibles.
Puntos clave
- La nueva LFPDPPP entró en vigor el 21 de marzo de 2025, tras publicarse en el DOF el 20 de marzo.
- La autoridad ya no es el INAI: sus funciones pasaron a la Secretaría Anticorrupción y Buen Gobierno.
- Los derechos del titular son cuatro (ARCO): acceso, rectificación, cancelación y oposición, más la revocación del consentimiento.
- La ley se basa en el consentimiento (tácito, expreso o expreso y por escrito) según el tipo de dato.
- Las sanciones se calculan en UMA y pueden duplicarse cuando el tratamiento afecta a datos sensibles.
1. Ámbito de aplicación
La LFPDPPP se aplica a los responsables del sector privado —personas físicas o morales— que tratan datos personales, con algunas excepciones (sociedades de información crediticia, tratamientos exclusivamente personales). El titular es la persona física a quien pertenecen los datos. A diferencia del RGPD, cuyo alcance extraterritorial captura a empresas de todo el mundo que ofrecen bienes o servicios en la UE, la LFPDPPP se centra en el tratamiento vinculado al territorio mexicano. Las diferencias entre la LOPDGDD europea y el RGPD ilustran cómo una ley nacional complementa un marco general; en México, la LFPDPPP es la norma central.
2. Los principios del tratamiento
La ley impone principios que todo responsable debe respetar:
| Principio | Significado |
|---|---|
| Licitud | Tratar conforme a la ley |
| Consentimiento | Obtener la autorización del titular |
| Información | Poner a disposición el aviso de privacidad |
| Calidad | Datos exactos, completos y actualizados |
| Finalidad | Tratar solo para las finalidades del aviso |
| Lealtad | No tratar de forma engañosa o fraudulenta |
| Proporcionalidad | Tratar solo los datos necesarios |
| Responsabilidad | Velar y responder por el cumplimiento |
Estos principios recuerdan a los del art. 5 del RGPD, aunque el consentimiento tiene en México un peso mayor como base del tratamiento.
3. El aviso de privacidad y el consentimiento
El primer deber del responsable es poner a disposición del titular el aviso de privacidad en el momento de recabar los datos. El aviso sostiene el consentimiento, que se gradúa según el tipo de dato:
- Tácito: regla general; se entiende otorgado si, puesto el aviso a disposición, el titular no se opone.
- Expreso: para datos financieros o patrimoniales.
- Expreso y por escrito: para datos personales sensibles (salud, origen étnico, creencias, preferencia sexual, información genética, etc.).
El detalle de elementos, tipos (integral, simplificado y corto) y un modelo listo para adaptar están en nuestra guía del aviso de privacidad en México. Sobre la mecánica del consentimiento válido, el paralelo europeo se explica en consentimiento RGPD: ejemplos.
4. Los derechos ARCO
Los titulares tienen cuatro derechos, conocidos por sus siglas ARCO, más la revocación del consentimiento:
- Acceso: conocer qué datos suyos se tratan y con qué finalidad.
- Rectificación: corregir datos inexactos o incompletos.
- Cancelación: solicitar la supresión de los datos; la nueva ley aclara que abarca archivos, registros, expedientes y sistemas del responsable.
- Oposición: oponerse al tratamiento, incluido el que produce efectos jurídicos adversos o afecta significativamente a sus derechos mediante decisiones automatizadas.
El ejercicio es gratuito y puede solicitarse en cualquier momento. El responsable debe designar una persona o departamento de datos personales que atienda estas solicitudes y responder en los plazos legales. El concepto ARCO es común a varios ordenamientos iberoamericanos; su desarrollo se explica en derechos ARCO RGPD.
5. Medidas de seguridad y vulneraciones
El responsable debe establecer y mantener medidas de seguridad administrativas, físicas y técnicas que protejan los datos frente a daño, pérdida, alteración, destrucción o uso no autorizado. Ante una vulneración de seguridad que afecte de forma significativa a los derechos patrimoniales o morales de los titulares, el responsable debe informarles de forma inmediata para que tomen medidas. Este deber convive con la lógica de gestión de incidentes que en Europa articula el procedimiento de brecha de seguridad del RGPD, si bien el circuito y los plazos mexicanos son propios.
6. Transferencias de datos
La transferencia de datos a terceros —nacionales o extranjeros— exige, con carácter general, informar al titular en el aviso de privacidad y contar con su consentimiento, salvo las excepciones legales (transferencias a sociedades del mismo grupo bajo procesos comunes, cumplimiento de obligaciones, etc.). Cuando la transferencia es internacional, conviene documentar las garantías del receptor, como en el análisis europeo de transferencias internacionales de datos. La distinción entre responsable y encargado (quien trata por cuenta del responsable) es equivalente a la europea y aconseja contratos claros, en línea con las obligaciones del artículo 28 RGPD.
7. La autoridad tras la desaparición del INAI
La reforma de organismos autónomos extinguió el INAI. En materia de datos personales del sector privado, sus funciones pasaron a la Secretaría Anticorrupción y Buen Gobierno, que las ejerce a través de una dirección general especializada. La Secretaría instruye los procedimientos de verificación y de imposición de sanciones. Frente a sus resoluciones, la nueva ley abre la vía del juicio de amparo ante jueces y tribunales especializados, en sustitución del juicio de nulidad ante el Tribunal Federal de Justicia Administrativa. El marco y las publicaciones oficiales están en el Diario Oficial de la Federación.
8. Diferencias clave con el RGPD
| Aspecto | LFPDPPP (México) | RGPD (UE) |
|---|---|---|
| Base principal | Consentimiento (tácito/expreso) | Seis bases de licitud del art. 6 |
| Derechos | ARCO (4) + revocación | Acceso, rectificación, supresión, limitación, portabilidad, oposición, decisiones automatizadas |
| Autoridad | Secretaría Anticorrupción y Buen Gobierno | Autoridades nacionales de control |
| Sanciones | En UMA, se duplican con datos sensibles | Hasta 20 M EUR o 4 % de facturación mundial |
| Alcance | Vinculado al territorio mexicano | Extraterritorial |
| Notificación a la autoridad | No hay deber general de notificar la brecha a la autoridad | Notificación a la autoridad en 72 h |
Para las empresas que operan a ambos lados del Atlántico, la buena noticia es que un programa maduro conforme al RGPD cubre gran parte de las exigencias mexicanas; la mala, que la terminología, el papel del consentimiento y el régimen sancionador son distintos y no deben trasladarse mecánicamente.
9. Sanciones en UMA
La ley expresa las multas en Unidades de Medida y Actualización (UMA), no en salarios mínimos:
- Multas de 100 a 160.000 UMA para determinadas infracciones.
- Multas de 200 a 320.000 UMA para las infracciones más graves.
- Multas adicionales de 100 a 320.000 UMA en caso de que la infracción persista.
- Los importes pueden duplicarse cuando el tratamiento afecta a datos personales sensibles.
Para dimensionar la cifra: con el valor de la UMA diaria de 2025 (113,14 pesos), 320.000 UMA equivalen a unos 36 millones de pesos, cantidad que se duplica en el supuesto de datos sensibles. Entre las conductas sancionables figuran omitir el aviso de privacidad, incumplir las solicitudes ARCO sin causa justificada, tratar los datos en contravención de los principios de la ley o actuar con dolo o negligencia. El INAI, cuando ejercía la vigilancia, impuso históricamente algunas de las multas más elevadas de América Latina en protección de datos; la Secretaría hereda esa facultad sancionadora.
10. Cómo cumplir la LFPDPPP: checklist
- Elaborar el aviso de privacidad integral, simplificado y corto, y enlazarlo desde cada punto de recolección.
- Inventariar los datos que se tratan, de quién y para qué (equivalente al registro de actividades).
- Ajustar el consentimiento a cada tipo de dato (tácito, expreso, expreso y por escrito).
- Designar a la persona o departamento de datos personales y montar el procedimiento ARCO.
- Implantar medidas de seguridad proporcionales y un protocolo de vulneraciones.
- Regular las transferencias y firmar contratos con los encargados.
- Documentar todo para acreditar el principio de responsabilidad.
Mantener el aviso, el inventario, los procedimientos ARCO y los contratos al día es el tipo de trabajo documental que una plataforma como Legiscope automatiza; para comparar herramientas de cumplimiento, ver software de cumplimiento.
Preguntas frecuentes
¿Qué obligaciones básicas impone la LFPDPPP a una empresa?
Publicar un aviso de privacidad, obtener el consentimiento adecuado a cada tipo de dato, respetar los principios de tratamiento, atender los derechos ARCO, aplicar medidas de seguridad, controlar las transferencias y designar a la persona o departamento de datos personales.
¿Cuáles son los derechos ARCO y cuánto cuesta ejercerlos?
Acceso, rectificación, cancelación y oposición, más la revocación del consentimiento. Su ejercicio es gratuito; el titular solo asume, en su caso, gastos justificados de envío o reproducción de copias.
¿Quién sanciona el incumplimiento tras la desaparición del INAI?
La Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones del extinto INAI en el sector privado. Frente a sus resoluciones cabe el juicio de amparo ante tribunales especializados.
¿Cuánto puede costar incumplir la LFPDPPP?
Las multas van de 100 a 320.000 UMA según la infracción, con importes adicionales si persiste y la posibilidad de duplicarse cuando hay datos sensibles. Con el valor de la UMA de 2025, el tope ronda los 36 millones de pesos, que se duplican en el caso de datos sensibles.
Conclusión
Cumplir la LFPDPPP en 2026 significa dominar cinco pilares —aviso de privacidad, consentimiento graduado, principios de tratamiento, derechos ARCO y seguridad— bajo la vigilancia de la nueva autoridad, la Secretaría Anticorrupción y Buen Gobierno, tras la desaparición del INAI. Aunque comparte objetivos con el RGPD europeo, la ley mexicana tiene su propia terminología, su régimen de consentimiento y sus sanciones en UMA, que se duplican ante datos sensibles. Un responsable que documenta su aviso, su inventario de datos y sus procedimientos de derechos convierte una obligación legal en una ventaja de confianza frente a sus clientes.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial