Puntos clave
- Desde el 21 de marzo de 2025 rige una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, y la autoridad ya no es el INAI sino la Secretaría Anticorrupción y Buen Gobierno.
- Toda empresa que trate datos personales debe cumplir ocho principios: licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad.
- El aviso de privacidad es obligatorio y debe entregarse al titular antes o en el momento de recabar sus datos.
- Las sanciones por incumplimiento llegan a cientos de miles de UMA y pueden duplicarse cuando hay datos sensibles de por medio.
- El 95% de la seguridad recae en la prevención: medidas administrativas, técnicas y físicas documentadas son su mejor defensa legal y operativa.
Si su empresa guarda nombres, correos, RFC, expedientes médicos o datos de clientes, la ley le obliga a protegerlos y a decirle a cada persona qué hace con su información. La protección de datos personales en México cambió de raíz en 2025: una nueva ley sustituyó a la de 2010 y el INAI, que todos conocíamos como la autoridad en la materia, desapareció. Hoy quien vigila el cumplimiento es la Secretaría Anticorrupción y Buen Gobierno. Si usted creía que estas obligaciones eran solo para los bancos o las grandes corporaciones, permítame platicarle por qué también son para su PYME.
Les comparto algo que en RealNet vemos seguido. Nos acercamos a un empresario, a quien llamaremos don Roberto, dueño de una distribuidora. Tenía una base de datos de clientes construida a lo largo de años, con direcciones, teléfonos y hasta datos de facturación. Nunca había firmado un aviso de privacidad, no sabía quién tenía acceso a esa información y, cuando le preguntamos dónde estaba el respaldo, nos miró en silencio. Gran problema. Ese silencio es el que termina costando caro, y no solo en multas.
Nosotros llevamos desde 1993 como empresa y desde 1997 metidos de lleno en temas de ciberseguridad. Hemos visto de todo. Y una cosa le digo de entrada: no hay nada 100% seguro. Quien le prometa seguridad absoluta, que se lo firme con sangre. Lo que sí existe, y es realista, es que el 95% de la seguridad recae en la prevención. Cumplir la ley es, precisamente, una forma de prevenir.
Qué exige la ley mexicana de protección de datos personales
Empecemos por lo básico, porque aquí es donde muchos empresarios se pierden. El marco cambió y conviene que lo tenga claro.
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la famosa LFPDPPP. Entró en vigor al día siguiente, el 21 de marzo de 2025, y con ella quedó abrogada la ley de 2010 que habíamos usado por tres lustros. No fue una reforma ni un parche: es una ley completamente nueva, con 12 capítulos y 64 artículos, según documenta el análisis legal de Garrigues.
El otro cambio grande, y este sí movió el tablero, fue la desaparición del INAI. Tras la reforma constitucional, las funciones de vigilancia pasaron a la Secretaría Anticorrupción y Buen Gobierno, encabezada por Raquel Buenrostro. Es decir, la autoridad en materia de protección de datos ya no es un organismo autónomo, sino una dependencia del Ejecutivo federal. Para usted, como empresario, lo práctico es sencillo: hay una nueva ley, hay una nueva autoridad, y las obligaciones siguen ahí, igual o más estrictas.
¿A quién le aplica? A toda persona física o moral que trate datos personales. No importa si usted tiene una ferretería con tres empleados o una clínica con doscientos pacientes. Si guarda datos de otras personas, la ley le habla a usted.
Principios de tratamiento de datos personales
La ley no le dice solamente "cuide los datos". Le marca ocho principios que deben gobernar la forma en que usted recaba, usa y guarda la información. Se los dejo en lista, como a mí me gusta explicarlos:
1.- Licitud. El tratamiento debe ajustarse a lo que marca la ley. Nada de obtener datos por fuera o con engaños.
2.- Consentimiento. Necesita la autorización del titular para usar sus datos. Si son datos sensibles, como información de salud, el consentimiento debe ser expreso.
3.- Información. Debe decirle a la persona qué datos le pide y para qué. De ahí nace el aviso de privacidad.
4.- Calidad. Los datos deben ser exactos y estar actualizados. Un dato viejo o mal capturado también es un riesgo.
5.- Finalidad. Solo puede usar los datos para los fines que informó. Si los recabó para facturar, no los use para venderlos a un tercero.
6.- Lealtad. No vale el tratamiento engañoso ni abusivo.
7.- Proporcionalidad. Pida solo los datos que de verdad necesita. Si no requiere la CURP para dar un servicio, no la pida.
8.- Responsabilidad. Usted responde por el cuidado de los datos, aunque contrate a un tercero para procesarlos.
Ese último principio, el de responsabilidad, es el que más subestiman los dueños de negocio. Contratar un sistema en la nube o una agencia de marketing no lo libera de la obligación. Si ellos fallan, usted responde. Por eso, cuando alguien va a contratar un proveedor que tocará datos de clientes, siempre sugerimos revisar bien a quién se le entrega esa información. Escribimos una guía sobre cómo elegir un proveedor de ciberseguridad confiable justamente para esto.
Avisos de privacidad y consentimiento
El aviso de privacidad es el documento donde usted le dice al titular, con todas sus letras, qué hace con sus datos. Y ojo con esto: la ley obliga a ponerlo a disposición de la persona antes o en el mismo momento en que usted recaba la información. No después. No "cuando se acuerde". Antes.
Existen tres formatos y conviene conocerlos:
1.- Integral. El aviso completo, con todo el detalle. Es el que debe tener publicado y accesible.
2.- Simplificado. Una versión condensada, con lo esencial y una liga al integral.
3.- Corto. El mínimo, para cuando el espacio es limitado, como en una ventanilla o un formulario breve.
¿Qué debe decir su aviso integral? Como mínimo: quién es usted y su domicilio, qué categorías de datos recaba, con una alerta especial si recaba datos sensibles, para qué los va a usar, cómo puede la persona limitar ese uso, de qué forma puede ejercer sus derechos y cómo le avisará si cambia el aviso.
Aquí es donde entran los derechos ARCO, que son cuatro: Acceso, Rectificación, Cancelación y Oposición. En cristiano: toda persona puede pedirle que le diga qué datos suyos tiene, puede corregirlos si están mal, puede pedir que los elimine y puede oponerse a que los use. Usted tiene un plazo de 20 días para responder la solicitud y 15 días más para hacerla efectiva. Y el ejercicio de estos derechos es gratuito para el titular.
Medidas de seguridad mínimas requeridas
Aquí llegamos a mi tema favorito, porque es donde la ley y la ciberseguridad se dan la mano. La LFPDPPP le exige mantener medidas de seguridad de tres tipos: administrativas, técnicas y físicas. El objetivo es proteger los datos contra daño, pérdida, alteración, destrucción o uso no autorizado.
Se lo traduzco a la práctica:
1.- Administrativas. Políticas escritas, procedimientos claros y capacitación a su gente. Aquí entra la ciberconciencia, que su personal sepa reconocer un correo de phishing, por ejemplo. Puede revisar nuestros ejemplos de phishing y cómo detectarlo a tiempo para entrenar a su equipo.
2.- Técnicas. Cifrado de la información, controles de acceso, autenticación y respaldos. Un buen respaldo no es un lujo, es la diferencia entre sobrevivir a un incidente o irse a la era de casi piedra. En RealNet, servicios como BackupGuru cubren precisamente esa parte: respaldo y recuperación de servidores, en sitio y en la nube, para que un secuestro informático o una falla no le borren años de trabajo.
3.- Físicas. El resguardo del lugar y del equipo. De nada sirve el mejor firewall si cualquiera puede llevarse el servidor bajo el brazo.
Hay otra obligación que muchos ignoran: la notificación de brechas. Cuando ocurre una vulneración que afecta de forma significativa los derechos patrimoniales o morales de los titulares, usted debe comunicarlo de forma inmediata a las personas afectadas. Es decir, si le hackean y se filtran datos de sus clientes, está obligado a avisarles. Taparlo ya no es opción.
Para construir estas medidas de forma ordenada, muchas empresas se apoyan en un estándar reconocido. Si le interesa el tema, tenemos una guía práctica de ISO 27001 para empresas en México que le ayuda a darle estructura a todo esto. Servicios de monitoreo como MDRGuru o de detección temprana como SensorGuru, que trabaja con señuelos o decoys para cachar al intruso, complementan la parte técnica que la ley le pide demostrar.
Y aquí vuelvo a mi mantra, porque es verdad: el 95% de la seguridad recae en la prevención. Las medidas de seguridad no son un trámite para la autoridad, son lo que evita que usted termine notificando una brecha y pagando una multa al mismo tiempo.
Sanciones por incumplimiento y cómo evitarlas
Vamos a la parte que duele en el bolsillo. Las sanciones de la nueva ley no son simbólicas.
Según el análisis de la ley que publica Legiscope, las infracciones medias se sancionan con multas de 100 a 160,000 UMA, mientras que las infracciones graves van de 200 a 320,000 UMA. Para que se dé una idea, con el valor de la UMA vigente eso significa multas que pueden escalar a decenas de millones de pesos. Y hay un agravante serio: cuando están de por medio datos personales sensibles, los montos pueden duplicarse. En los casos más graves, la ley contempla incluso penas de prisión para quien vulnere datos con ánimo de lucro.
¿Cómo se evita todo esto? No con suerte, sino con prevención ordenada. Nuestra sugerencia, después de atender muchas empresas por semana, es esta:
1.- Levante un inventario de qué datos personales tiene y dónde viven.
2.- Publique y entregue un aviso de privacidad en regla.
3.- Documente sus medidas de seguridad administrativas, técnicas y físicas. Documentar es clave: ante la autoridad, lo que no está escrito no existe.
4.- Defina quién atiende las solicitudes ARCO y en qué plazos.
5.- Prepare un plan para cuando algo salga mal. Tener un plan de respuesta a incidentes listo le permite reaccionar rápido y cumplir con la notificación de brechas sin improvisar.
A los empresarios nos cuesta mucho hacer una empresa. Verla en riesgo por no haber firmado un documento o por no tener un respaldo es de esas cosas que, cuando pasan, uno quisiera haber prevenido. Como dicen por ahí, no hay que tapar el pozo después del niño ahogado.
No espere a recibir una solicitud de la autoridad o, peor, a sufrir una brecha, para poner su casa en orden. Empiece hoy con lo más sencillo: revise si tiene un aviso de privacidad vigente y si sus datos están respaldados. Si al leer esto se dio cuenta de que le falta más de una cosa, acérquese a nosotros en realnet.com.mx. Llevamos desde 1993 ayudando a empresas mexicanas a protegerse, y una relación de este tipo solo funciona cuando los dos tienen la misma intención: crecer juntos.
Por favor, si este texto le sirvió, compártalo con otro empresario. Ojalá le ahorre a alguien el silencio incómodo de don Roberto.
#ciberseguridad #PYME #proteccionDeDatos #LFPDPPP #cumplimiento #RealNet
Preguntas frecuentes
¿Qué ley regula la protección de datos personales en México en 2026?
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada el 20 de marzo de 2025 y vigente desde el 21 de marzo de 2025. Abrogó a la ley de 2010.
¿Quién vigila la protección de datos ahora que desapareció el INAI?
La Secretaría Anticorrupción y Buen Gobierno asumió esas funciones tras la reforma constitucional. Es una dependencia del Ejecutivo federal, ya no un organismo autónomo.
¿Mi empresa necesita aviso de privacidad aunque sea pequeña?
Sí. Cualquier persona física o moral que trate datos personales debe poner un aviso de privacidad a disposición del titular, sin importar el tamaño del negocio.
¿Qué pasa si no cumplo con la ley de datos personales?
Las multas van de cientos a cientos de miles de UMA, pueden duplicarse cuando hay datos sensibles, y en ciertos casos existen penas de prisión para quien vulnera datos con ánimo de lucro.
