Glosario · Protección de datos · México
LFPDPPP — datos personales en el sector privado mexicano
La LFPDPPP regula en México el tratamiento de datos personales por parte de particulares —empresas privadas, banca y seguros incluidos—. Lo que muchas guías siguen describiendo es la ley de 2010: la vigente se publicó en el DOF el 20 de marzo de 2025 y entró en vigor al día siguiente. Mantiene la arquitectura conocida —principios de tratamiento, derechos ARCO y aviso de privacidad— pero cambia quién vigila: el INAI se extingue y la competencia sobre datos en posesión de particulares pasa a la Secretaría Anticorrupción y Buen Gobierno. No es el RGPD, y conviene no tratarla como si lo fuera.
Qué exige
- Principios de tratamiento — licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad rigen cualquier tratamiento de datos personales.
- Aviso de privacidad — el responsable debe poner a disposición del titular un aviso que informe qué datos trata, con qué finalidades y cómo ejercer sus derechos.
- Derechos ARCO — acceso, rectificación, cancelación y oposición, con sus plazos y vías de ejercicio ante el responsable.
- Medidas de seguridad — administrativas, físicas y técnicas, proporcionales al tipo de dato y al riesgo del tratamiento.
- Nueva autoridad — con la ley de 2025 el INAI se extingue y sus funciones sobre datos en posesión de particulares se transfieren a la Secretaría Anticorrupción y Buen Gobierno.
Qué significa para banca y seguros
- Saber dónde vive el dato — antes que redactar el aviso de privacidad hay que poder responder qué datos personales y sensibles se tratan, en qué sistemas residen y con qué finalidad. En un core heredado esa respuesta rara vez está documentada.
- Atender ARCO con plazo — un derecho de acceso o cancelación exige localizar todas las copias del dato, incluidas las de entornos intermedios, respaldos y explotación analítica.
- Medidas proporcionales y demostrables — no basta con tener controles: hay que poder acreditar cuáles aplican a qué tratamiento y por qué son proporcionales al riesgo.
- Un cambio de interlocutor no es un cambio de exigencia — que la autoridad sea otra no relaja nada; obliga a revisar referencias, procedimientos y contactos que en muchas organizaciones siguen apuntando al INAI.
Cómo te ayudamos
Primero saber dónde está el dato; después, la política
Descubrimos y clasificamos los datos personales y sensibles en los sistemas que ya tienes —core, entornos intermedios, respaldos y analítica—, para que atender un ARCO o acreditar una medida de seguridad deje de ser un ejercicio de arqueología.
Ver protección de datos →Fuentes
Última actualización: 2026-09-11. Contenido editorial de Vermont Solutions con fines informativos; no constituye asesoramiento jurídico. La ley vigente es la publicada en el DOF el 20-03-2025; verificar el texto y su reglamentación en dof.gob.mx.