La nueva LFPDPPP: qué cambió y qué debe revisar su empresa

La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) está en vigor desde el 21 de marzo de 2025. Para las empresas, el cambio no es solo de texto: cambia también la autoridad ante la que responden.

Una nueva autoridad

La autoridad en la materia ahora es la Secretaría Anticorrupción y Buen Gobierno. Los procedimientos de verificación y sanción se seguirán ante ella.

Sanciones relevantes

Las multas llegan hasta 320,000 UMA por infracción (art. 59), pueden duplicarse cuando se trata de datos sensibles, y la reincidencia genera una multa adicional. Con la UMA de 2026 ($117.31), el tope ronda los $37.5 millones por infracción.

Tres cambios que suelen pasarse por alto

• Datos financieros o patrimoniales: ahora requieren consentimiento expreso de la persona titular, salvo las excepciones de ley (art. 7).
• Aviso de privacidad simplificado: cuando los datos se recaban por medios electrónicos, como un sitio web o una app, debe ponerse a disposición en su modalidad simplificada, indicando dónde consultar el integral (art. 16).
• Plazos ARCO: 20 días para responder y 15 para hacer efectiva la respuesta, ampliables una sola vez por un periodo igual (art. 31).

Qué revisar en su empresa

Estas son recomendaciones generales para empezar; cada organización debe evaluarlas según su operación:

• Inventario de datos: qué datos trata, para qué, dónde se guardan y quién accede.
• Aviso de privacidad: que refleje el tratamiento real y el marco vigente.
• Contratos con encargados: proveedores que tratan datos por cuenta de la empresa.
• Procedimiento ARCO: cómo recibir y responder solicitudes de los titulares.
• Protocolo de incidentes: qué hacer, quién decide y cómo documentar una vulneración.