Protección de datos en México: guía de cumplimiento para empresas
Protección de datos en México: guía de cumplimiento para empresas
México cuenta con uno de los marcos de protección de datos más completos de América Latina. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), en vigor desde 2010, establece obligaciones concretas para toda empresa que maneje datos de personas físicas en territorio mexicano.
Dieciséis años después de su promulgación, el INAI intensifica su actividad fiscalizadora — y las sanciones son reales. Esta guía explica qué exige la ley, qué puede costarle el incumplimiento, y qué medidas técnicas debe poder demostrar ante la autoridad.
El marco legal: LFPDPPP y sus reglamentos
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares fue publicada el 5 de julio de 2010 en el Diario Oficial de la Federación (DOF). Entró en vigor al día siguiente. Su reglamento (publicado el 21 de diciembre de 2011) desarrolla las obligaciones operativas, y los Lineamientos del Aviso de Privacidad (publicados el 17 de enero de 2013) complementan la regulación para ese documento en particular.
Para el sector público existe una ley paralela: la Ley Federal de Protección de Datos Personales en Posesión de Sujetos Obligados (LFPDPPSO), publicada en 2017. Esta guía se enfoca en el ámbito privado (LFPDPPP), que aplica a empresas, personas físicas con actividad empresarial, asociaciones y cualquier entidad privada que trate datos personales.
Ámbito de aplicación
La LFPDPPP aplica a:
- Toda persona física o moral de carácter privado que trate datos personales en México
- Empresas extranjeras que procesen datos de personas ubicadas en México
- Personas físicas que traten datos con fines comerciales
Excepciones relevantes: el tratamiento de datos para uso exclusivamente personal (sin fines comerciales), los datos de personas morales, y el tratamiento con fines periodísticos, literarios o artísticos tienen un régimen diferenciado.
Tipos de datos protegidos
| Categoría | Ejemplos | Nivel de protección |
|---|---|---|
| Datos personales | Nombre, domicilio, RFC, CURP, correo electrónico | Protección estándar |
| Datos patrimoniales | Información bancaria, historial crediticio, ingresos | Protección reforzada |
| Datos sensibles | Origen racial o étnico, salud, vida sexual, datos genéticos, biométricos, creencias religiosas, afiliación sindical o política | Protección máxima + consentimiento expreso |
El artículo 3, fracción VI de la LFPDPPP define los datos sensibles. Su tratamiento requiere consentimiento expreso y por escrito del titular, y las sanciones por su manejo inadecuado son significativamente más altas.
La autoridad de control: INAI
El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) es el órgano constitucional autónomo encargado de supervisar el cumplimiento de la LFPDPPP en el sector privado.
Facultades del INAI
- Recibir y resolver procedimientos de protección de derechos (PPD) presentados por titulares
- Iniciar procedimientos de verificación de oficio o por denuncia
- Imponer sanciones administrativas (multas)
- Establecer criterios de interpretación de la ley
- Emitir recomendaciones y resoluciones vinculantes
- Ordenar el cese del tratamiento de datos ilegítimo
El INAI también publica criterios de resolución que sirven de referencia para identificar qué conductas considera infracciones y qué atenúa o agrava las sanciones. Consultar el micrositio de resoluciones del INAI es una práctica recomendada para los responsables de cumplimiento.
Principios y obligaciones centrales
La LFPDPPP establece en su artículo 6 los principios que rigen todo tratamiento de datos:
- Licitud: el tratamiento debe tener base legal (consentimiento u otra causa)
- Consentimiento: regla general; con excepciones tasadas en el artículo 10
- Información: mediante aviso de privacidad previo al tratamiento
- Calidad: los datos deben ser exactos, completos y actualizados
- Finalidad: solo se pueden tratar para los fines especificados en el aviso
- Lealtad: no obtener datos por medios engañosos o fraudulentos
- Proporcionalidad: recolectar solo los datos necesarios
- Responsabilidad: el responsable responde por el tratamiento, incluso cuando lo encarga a terceros
El aviso de privacidad
El aviso de privacidad es la pieza documental central del cumplimiento. El artículo 15 establece que debe contener:
- Identidad y domicilio del responsable
- Finalidades del tratamiento (distinguiendo las necesarias de las opcionales)
- Mecanismos para ejercer derechos ARCO
- Transferencias de datos previstas y su finalidad
- Procedimiento para revocar el consentimiento
- Uso de cookies y tecnologías de rastreo (si aplica)
La ley distingue entre aviso de privacidad integral, simplificado y corto según el contexto de recolección. La omisión o deficiencia del aviso es una de las infracciones más frecuentes detectadas por el INAI.
Derechos ARCO
Los titulares tienen derecho a:
- Acceso: conocer los datos que la empresa tiene sobre ellos y el uso que les da
- Rectificación: corregir datos inexactos o incompletos
- Cancelación: solicitar la eliminación de sus datos cuando ya no sean necesarios
- Oposición: oponerse al tratamiento para fines específicos
El artículo 32 establece un plazo de 20 días hábiles para responder a una solicitud ARCO, prorrogable por otros 20 días en casos justificados. No responder en plazo es una infracción directamente sancionable.
Obligaciones de seguridad: el artículo 19 y el reglamento
El artículo 19 de la LFPDPPP es el corazón de las obligaciones técnicas:
"El responsable o encargado deberá establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado."
El reglamento (artículos 57 al 63) desarrolla este mandato:
Medidas de seguridad técnicas que la ley implica
- Cifrado de datos: en tránsito (TLS/HTTPS) y en reposo para datos sensibles y financieros
- Control de accesos: autenticación robusta, principio de mínimo privilegio, gestión de credenciales
- Segmentación de redes: sistemas que almacenan datos personales separados de redes expuestas a internet
- Monitoreo y logs: registro de accesos a bases de datos con datos personales, con trazabilidad de usuarios
- Gestión de vulnerabilidades: identificación y remediación periódica de debilidades técnicas
- Evaluaciones de seguridad: pruebas periódicas que demuestren la efectividad de las medidas adoptadas
- Gestión de incidentes: procedimientos documentados para detectar, contener y notificar brechas
Por qué el pentesting es cumplimiento técnico bajo la LFPDPPP
El INAI, en sus criterios de resolución, considera como factor atenuante significativo que el responsable realizó evaluaciones periódicas de seguridad y actuó sobre sus hallazgos. Una empresa que nunca ha sometido sus sistemas a pruebas técnicas no puede argumentar de forma creíble que adoptó "medidas de seguridad apropiadas".
El reglamento (artículo 61) señala explícitamente que las medidas de seguridad deben revisarse y actualizarse periódicamente. Un pentest anual — con retest posterior a la remediación — es la forma más documentada de cumplir con esta obligación y de contar con evidencia presentable ante el INAI.
Algunos proveedores especializados, como WhiteJaguars, generan reportes de pentest que mapean cada hallazgo directamente contra los artículos de la LFPDPPP y su reglamento, incluyendo evidencia técnica reproducible y un plan de remediación priorizado. Esto convierte el reporte en un documento de cumplimiento, no solo en un reporte técnico.
Notificación de brechas de seguridad
El artículo 20 de la LFPDPPP obliga al responsable a informar al titular de datos cuando ocurra una vulneración de seguridad que afecte significativamente sus derechos:
| Aspecto | Requisito legal |
|---|---|
| ¿Cuándo notificar? | Cuando la brecha afecte de forma significativa los derechos patrimoniales o morales del titular |
| Plazo | "A la brevedad posible" (la ley no fija horas; el criterio INAI apunta a 72 horas como referencia) |
| Contenido | Naturaleza del incidente, datos comprometidos, recomendaciones al titular, medidas correctivas adoptadas |
| Notificación al INAI | No es obligatoria por ley, pero es práctica recomendada y puede ser solicitada durante un procedimiento |
| Registro interno | Obligatorio documentar el incidente, independientemente de si se notifica a los titulares |
La falta de notificación — o la notificación tardía sin justificación — es considerada agravante en los procedimientos sancionatorios del INAI.
Sanciones: lo que realmente puede costar el incumplimiento
El artículo 64 de la LFPDPPP establece el catálogo de sanciones. Las multas se expresan en días de salario mínimo general vigente en el Distrito Federal (hoy Ciudad de México):
| Infracción | Multa |
|---|---|
| Omitir el aviso de privacidad o no contar con uno | De 100 a 160,000 días de salario mínimo |
| No atender solicitudes ARCO en plazo | De 100 a 160,000 días de salario mínimo |
| No adoptar medidas de seguridad adecuadas | De 200 a 320,000 días de salario mínimo |
| Transferir datos sin consentimiento o base legal | De 200 a 320,000 días de salario mínimo |
| Tratar datos sensibles sin consentimiento expreso | De 300 a 320,000 días de salario mínimo |
| Reincidencia | Hasta el doble de la sanción original |
En pesos mexicanos (2026): con el salario mínimo general vigente de $315,04 pesos diarios a partir del 1° de enero de 2026 (CONASAMI, incremento salarios mínimos 2026), las sanciones máximas superan los $100 millones de pesos para las infracciones más graves (320.000 días × $315,04 = ~$100,8 millones de MXN). Incluso la banda inferior — 100 días de salario — equivale a unos $31,504 pesos por infracción, y el INAI puede acumular sanciones por distintas conductas. Nota: la reforma constitucional de 2016 creó la UMA ($117,31 diarios en 2026) como referencia para fines no laborales; la LFPDPPP aún cita "días de salario mínimo", por lo que la interpretación aplicable puede variar según el criterio del INAI.
Para datos sensibles, la práctica regulatoria del INAI considera el tipo de datos involucrados como factor agravante en la determinación de la sanción concreta dentro de los rangos establecidos por el artículo 64.
Transferencias internacionales de datos
El artículo 37 permite transferir datos sin consentimiento en ciertos casos tasados (obligación legal, contrato en interés del titular, etc.). Fuera de esas excepciones, se requiere consentimiento y que el receptor asuma las mismas obligaciones de la LFPDPPP mediante cláusulas contractuales.
Las transferencias a procesadores (encargados del tratamiento) deben formalizarse en un contrato que establezca:
- Las instrucciones bajo las cuales el encargado tratará los datos
- Las medidas de seguridad que debe implementar
- La prohibición de tratamiento para fines propios
- Las obligaciones de confidencialidad
No formalizar estas relaciones contractuales es una de las brechas de cumplimiento más comunes detectadas en auditorías.
Sectores de mayor riesgo en México
1. Sector financiero: bancos, aseguradoras, SOFOMES y fintechs bajo regulación de CNBV y BANXICO manejan datos financieros y patrimoniales a gran escala, con una doble exposición regulatoria (LFPDPPP + normativas sectoriales). Para un análisis detallado de ese régimen paralelo, véanse las regulaciones del sector financiero en México.
2. Salud: clínicas, hospitales privados, laboratorios, aseguradoras de gastos médicos. Los datos de salud son datos sensibles: consentimiento expreso obligatorio, protección reforzada y sanciones agravadas.
3. Recursos humanos y headhunting: datos de candidatos (incluyendo salud, antecedentes, biométricos para acceso) con obligaciones de retención y eliminación muy específicas.
4. E-commerce y retail: procesamiento masivo de datos de clientes, patrones de compra, datos de tarjetas (con obligación adicional de cumplimiento PCI DSS).
5. Tecnología y SaaS: empresas mexicanas que ofrecen plataformas a clientes en la región actúan como encargadas del tratamiento y asumen responsabilidades contractuales directas.
Hoja de ruta de cumplimiento LFPDPPP
| Plazo | Acción |
|---|---|
| Semana 1–2 | Inventario de bases de datos y mapeo de flujos de datos personales |
| Semana 3–4 | Revisión o redacción del aviso de privacidad (integral y simplificado) |
| Mes 2 | Implementar procedimiento ARCO con tiempos documentados |
| Mes 2–3 | Pentest inicial: identificar brechas técnicas en sistemas con datos personales |
| Mes 3 | Formalizar contratos con encargados del tratamiento (proveedores cloud, outsourcing) |
| Mes 4 | Implementar controles técnicos derivados de hallazgos del pentest |
| Mes 5 | Retest: validar que las remediaciones fueron efectivas |
| Mes 5–6 | Capacitar al personal en obligaciones y procedimientos ARCO |
| Mes 6 | Documentar el programa de seguridad y archivar evidencia de cumplimiento |
| Anual | Pentest de seguimiento + revisión del aviso de privacidad |
Preguntas frecuentes
¿La LFPDPPP aplica a mi empresa aunque sea pequeña?
Sí. La ley no establece umbrales de tamaño. Una pyme con una base de datos de clientes tiene las mismas obligaciones que una corporación. La diferencia es la proporcionalidad de las medidas de seguridad, que deben ser adecuadas al volumen y sensibilidad de los datos tratados.
¿El INAI puede iniciar una investigación aunque no haya denuncia?
Sí. El INAI puede iniciar procedimientos de verificación de oficio. Noticias de brechas de datos, patrones de incumplimiento detectados en auditorías de sector, o señales de alerta en sus sistemas de monitoreo pueden desencadenar una investigación sin que un titular haya presentado denuncia.
¿El pentesting protege a mi empresa de sanciones?
No garantiza inmunidad, pero es la evidencia más sólida de que se adoptaron medidas de seguridad técnicas apropiadas. El INAI lo reconoce como factor atenuante en sus criterios de resolución. Sin evidencia de evaluaciones técnicas periódicas, defender que se cumplió con el artículo 19 es considerablemente más difícil.
¿Qué pasa si uno de mis proveedores cloud sufre una brecha?
Usted sigue siendo responsable ante los titulares. La ley establece que el responsable del tratamiento responde incluso cuando encarga el procesamiento a terceros. Por ello, el contrato con el proveedor cloud debe incluir cláusulas de seguridad, notificación de incidentes y obligaciones de cumplimiento de la LFPDPPP.
Para más información sobre proveedores disponibles para empresas mexicanas, ver el ranking de mejores empresas de pentesting en México.
¿Buscas un proveedor de pentesting confiable?
Consulta nuestra guía comparativa con los criterios clave para evaluar proveedores: certificaciones verificables, metodología, SLAs, reportes y soporte. Toma una decisión informada.
Análisis independiente · Sin patrocinio comercial · Basado en criterios verificables