Hay una prueba rápida que puedes hacer ahora mismo. Abre el aviso de privacidad de tu empresa y busca la palabra INAI.
Si aparece, tu documento remite a una autoridad que dejó de existir.
Qué pasó
Tras la reforma constitucional que redujo la estructura institucional del Estado y desapareció el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, el Congreso no reformó la ley de datos: expidió una nueva.
Se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor el 21 de marzo de 2025, abrogando la LFPDPPP de 2010.
Que la ley nueva se llame igual que la anterior ha contribuido a que muchas empresas no se enteren. No es una reforma con artículos modificados: es un texto distinto que sustituyó al anterior por completo.
Los tres cambios que sí te afectan
1. La autoridad es otra
La Secretaría Anticorrupción y Buen Gobierno asumió las funciones del INAI en materia de datos personales en posesión de particulares, y recibió sus recursos materiales y financieros.
Todo documento que remita al INAI —avisos de privacidad, políticas internas, cláusulas contractuales, procedimientos de atención de derechos ARCO— señala a un destinatario inexistente.
2. El medio de defensa cambió
Contra las resoluciones en la materia procede ahora amparo administrativo ante juzgados y tribunales especializados, en sustitución del juicio de nulidad ante el TFJA.
Es un cambio de fondo, no de forma: cambian los plazos, los requisitos y la estrategia de defensa. Si tu empresa tiene documentado un procedimiento interno de respuesta ante requerimientos de la autoridad, está apuntando a la vía equivocada.
3. El aviso de privacidad exige más
La ley nueva incorpora exigencias adicionales en el aviso integral. Entre ellas, detallar los datos personales que serán tratados identificando expresamente los sensibles.
Un aviso redactado bajo la ley de 2010 difícilmente cumple ese nivel de detalle, porque no se le exigía. Y aquí vuelve el problema de siempre: la mayoría de los avisos que circulan son plantillas copiadas que ni siquiera describían correctamente la operación bajo la ley anterior.
El reglamento sigue pendiente
Es la parte incómoda. La ley de 2010 tenía un reglamento que daba detalle operativo: cómo estructurar el aviso, qué plazos aplicar en ciertos supuestos, cómo documentar medidas de seguridad.
La ley nueva todavía no tiene el suyo. En la práctica, el cumplimiento se acredita contra el texto de la ley, y hay zonas donde no existe una respuesta reglamentaria clara.
La recomendación en ese escenario es simple y aburrida: documenta el criterio que adoptaste y por qué. Ante una eventual verificación, la diferencia entre una empresa que razonó su decisión y una que improvisó es sustancial.
Qué revisar, en orden
- Busca "INAI" en todos tus documentos. Aviso de privacidad en sus tres modalidades, políticas internas, contratos con encargados, formatos de respuesta ARCO.
- Contrasta tu aviso integral contra la exigencia nueva. ¿Identifica expresamente los datos sensibles que tratas? Si no sabes si tratas datos sensibles, ese es el primer problema.
- Actualiza el procedimiento de defensa. Amparo, no nulidad.
- Revisa las cláusulas con proveedores. Si mencionan la ley de 2010 por su fecha de publicación, hay que ajustarlas.
- Documenta tus criterios mientras no haya reglamento.
Lo que no cambió
Vale la pena decirlo para no generar alarma innecesaria: la estructura de fondo se conserva. Los datos siguen siendo del titular, los derechos ARCO siguen existiendo, la distinción entre responsable y encargado se mantiene, y las obligaciones de seguridad y de informar vulneraciones siguen ahí.
Quien ya cumplía en serio bajo la ley anterior tiene que ajustar documentos, no rehacer su programa desde cero. Quien no cumplía, tiene el mismo problema de antes con una autoridad nueva.
Fuentes
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, DOF, 20 de marzo de 2025
- Garrigues — La nueva LFPDPPP introduce conceptos como el aviso de privacidad y elimina el INAI
- EY México — Entrada en vigor de la nueva LFPDPPP