LFPDPPP 2025 — la nueva ley de datos personales y el fin del INAI

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares regula cómo las empresas privadas pueden tratar datos personales. Su lógica de fondo no cambió: los datos son de la persona, no de quien los recopila, y quien los trata responde por ellos incluso cuando el tratamiento material lo hace un proveedor.

Lo que sí cambió, y mucho, es quién vigila y cómo te defiendes.

Qué pasó en marzo de 2025

Como consecuencia de la reforma constitucional que redujo la estructura institucional del Estado y desapareció el INAI, el Congreso expidió una ley nueva en lugar de reformar la existente. Se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor al día siguiente.

Tres consecuencias prácticas:

1. La autoridad ya no es el INAI. Es la Secretaría Anticorrupción y Buen Gobierno, que recibió los recursos del instituto extinto.
2. El medio de defensa cambió. Contra las resoluciones procede ahora amparo administrativo ante juzgados y tribunales especializados, en sustitución del juicio de nulidad ante el TFJA.
3. El reglamento está pendiente. El cumplimiento se acredita contra el texto de la ley, sin el nivel de detalle operativo que daba el reglamento de la ley anterior.

A quién aplica

• Toda persona física o moral del sector privado que trate datos personales
• Empresas de cualquier tamaño, sin umbral mínimo
• Responsables y encargados del tratamiento

Obligaciones clave para una empresa

• Poner a disposición un aviso de privacidad antes de recabar los datos
• Identificar expresamente en el aviso qué datos sensibles se tratan
• Obtener el consentimiento cuando la ley lo exige, y expreso si hay datos sensibles
• Habilitar un medio para recibir y atender solicitudes de derechos ARCO
• Adoptar y documentar medidas de seguridad administrativas, físicas y técnicas
• Designar responsable o departamento de datos personales
• Informar a los titulares las vulneraciones de seguridad que afecten sus derechos
• Documentar por contrato la relación con encargados que traten datos por tu cuenta

Qué revisar ahora mismo

Si tu empresa no ha tocado su documentación desde marzo de 2025, hay tres cosas que casi con seguridad están desactualizadas:

• El aviso de privacidad. La ley nueva exige detallar los datos que se tratarán identificando los sensibles. Un aviso escrito bajo la ley de 2010 no lo hace.
• Las referencias al INAI. Avisos, políticas internas y contratos que remiten al INAI señalan a una autoridad que ya no existe.
• La cláusula de medios de defensa, si la tienes documentada en tu política interna: el juicio de nulidad ya no es la vía.

Lo que no cambió

La estructura de fondo se conserva: el principio de que los datos son del titular, los derechos ARCO, la distinción entre responsable y encargado, la obligación de medidas de seguridad y el deber de informar vulneraciones. Quien ya cumplía en serio bajo la ley anterior tiene que ajustar documentos, no rehacer su programa completo.