Normativas / LFPDPPP
LFPDPPP 2025: implementa las obligaciones técnicas en tu infraestructura
La nueva Ley Federal de Protección de Datos entró en vigor el 21 de marzo de 2025, abrogó la ley de 2010 y trasladó la supervisión del INAI, ya extinto, a la Secretaría Anticorrupción y Buen Gobierno. Traducimos sus exigencias técnicas en controles concretos para tu equipo de ingeniería.
Qué cambió con la nueva LFPDPPP 2025
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación un decreto que expidió una ley completamente nueva. Entró en vigor al día siguiente y abrogó la ley de 2010.
Nueva autoridad reguladora
El INAI fue disuelto mediante reforma constitucional publicada el 20 de diciembre de 2024, que eliminó varios organismos autónomos. La nueva autoridad para datos personales del sector privado es la Secretaría Anticorrupción y Buen Gobierno (SABG), que depende del Ejecutivo Federal.
Mismo nombre, texto nuevo
La ley conserva las siglas LFPDPPP pero es un texto completamente diferente. Si una guía menciona al INAI como autoridad vigente, describe la norma abrogada. El nombre igual genera confusión en muchos recursos publicados antes de 2025.
Reglamento
El decreto ordenó al Ejecutivo Federal adecuar los reglamentos en un plazo de 90 días desde la entrada en vigor. Antes de tomar decisiones de detalle, revisa con tu asesor legal qué disposiciones reglamentarias están vigentes.
La ley tuvo una reforma publicada en el Diario Oficial el 14 de noviembre de 2025. Consulta siempre el texto vigente.
Artículo 18: las tres capas de seguridad que exige la ley
El artículo 18 obliga a todo responsable a establecer y mantener medidas de seguridad administrativas, técnicas y físicas, proporcionales al riesgo y a la sensibilidad de los datos tratados. Las medidas no pueden ser menores a las que la empresa aplica a su propia información.
Medidas administrativas
Política de seguridad documentada, procedimientos de acceso y control, cláusulas de confidencialidad para empleados y terceros, designación de una persona o departamento de datos personales (art. 29), registros del tratamiento de datos personales.
Medidas técnicas
Cifrado en reposo y en tránsito con gestión de llaves y rotación, control de identidades y accesos con mínimo privilegio, autenticación multifactor, gestión de vulnerabilidades, monitoreo continuo y correlación de eventos, detección de intrusiones (IDS/IPS).
Medidas físicas
Controles de acceso a instalaciones donde se tratan datos, protección de servidores y centros de datos, destrucción segura de soportes físicos al final de su vida útil, videovigilancia donde proceda.
La ley adopta un enfoque basado en riesgos: no prescribe tecnologías concretas. Las medidas deben ser proporcionales a la sensibilidad de los datos y al estado del arte. En cloud, esto implica revisar configuraciones, permisos, logging y segmentación en cada proveedor. Una auditoría de infraestructura es el punto de partida habitual.
Obligaciones que inciden directamente en tu infraestructura
Cuatro áreas de la ley requieren trabajo técnico además del jurídico: la gestión de vulneraciones, los derechos ARCO, las obligaciones del encargado y las transferencias internacionales.
Vulneración de datos (Art. 19)
Cuando una vulneración afecte de forma significativa los derechos patrimoniales o morales del titular, el responsable debe informarle de forma inmediata. La ley no fija un plazo en días ni obliga a notificar a la SABG; esto difiere del RGPD europeo, que exige informar a la autoridad en 72 horas. Cumplir este artículo requiere capacidad de detección, determinación del alcance, documentación del incidente y un proceso de comunicación a titulares.
Derechos ARCO (Arts. 21-26)
El titular puede ejercer los derechos de Acceso, Rectificación, Cancelación y Oposición. El responsable debe responder en 20 días (ampliables por el mismo período una vez) y ejecutar la resolución en 15 días adicionales. En infraestructura esto significa saber en qué sistemas, bases de datos, buckets, logs y backups viven los datos de cada titular para poder atender la solicitud dentro del plazo.
Obligaciones del encargado
Los proveedores de nube, herramientas SaaS y cualquier tercero que trate datos por instrucciones del responsable son encargados. El responsable debe establecer obligaciones de seguridad equivalentes a las propias en los contratos con estos terceros (DPA). Esto implica revisar los Data Processing Agreements con proveedores cloud y SaaS, y verificar que los datos no se usen para fines distintos a los acordados.
Transferencias internacionales
Transferir datos a terceros en el extranjero requiere, por regla general, informar al titular en el aviso de privacidad y obtener su consentimiento, salvo las excepciones legales. Para transferencias a encargados en otros países se recomienda documentar cláusulas contractuales que garanticen un nivel de protección equivalente. En cloud, identificar las regiones donde se procesan datos personales y documentar la base legal de esa transferencia es parte del cumplimiento.
De la obligación legal al control técnico
| Obligación (LFPDPPP 2025) | Control técnico | Qué revisa Sereno |
|---|---|---|
| Medidas de seguridad proporcionales al riesgo (Art. 18) | IAM, MFA, cifrado, segmentación de red, gestión de parches | Revisión de configuraciones en AWS, GCP o Azure, Kubernetes y pipelines CI/CD |
| Detección y notificación de vulneraciones (Art. 19) | Logging centralizado, alertas sobre accesos anómalos, plan de respuesta a incidentes | Configuración de logging y alertas con herramientas open source |
| Atención de solicitudes ARCO (Arts. 21-26) | Inventario de datos, mapeo de sistemas, registros de tratamiento | Mapeo de dónde viven los datos en bases, buckets, logs y backups |
| Obligaciones del encargado | Revisión de DPA, configuración de retención, restricción de acceso por proveedor | Revisión de DPA con proveedores cloud y SaaS, políticas de retención |
| Transferencias internacionales | Mapa de flujos de datos y regiones, cláusulas contractuales, controles de salida | Mapa de regiones cloud donde se procesan datos personales |
Lista de verificación técnica
Puntos mínimos para que tu equipo de ingeniería tenga una base de cumplimiento técnico bajo la LFPDPPP 2025.
- Inventario de datos personales: qué datos se tratan, en qué sistemas, con qué finalidad.
- Cifrado en reposo y en tránsito habilitado en bases de datos, buckets y tráfico interno.
- Control de accesos con mínimo privilegio y MFA en todos los accesos a datos personales.
- Logging centralizado con retención suficiente para soportar una investigación de incidentes.
- Alertas sobre accesos anómalos o exportaciones masivas de datos.
- Plan de respuesta a incidentes documentado y probado, con procedimiento de notificación al titular.
- Procedimiento interno para atender solicitudes ARCO con tiempo de respuesta de 20 días.
- Contratos con proveedores cloud y SaaS que incluyan cláusulas de seguridad y confidencialidad equivalentes a las propias.
- Identificación de regiones cloud donde se procesan datos personales y documentación de la base legal de cada transferencia.
- Revisión periódica de configuraciones y vulnerabilidades en la infraestructura que procesa datos personales.
Algunas obligaciones de detalle dependen de las disposiciones reglamentarias que emita el Ejecutivo Federal. Revisa el texto vigente con tu asesor legal.
Sanciones: rangos y criterios
El artículo 59 establece las sanciones en Unidades de Medida y Actualización (UMA). Cuando se trata de datos sensibles, los montos pueden aumentar hasta el doble.
| Tipo de infracción | Rango de sanción |
|---|---|
| Infracciones de las fracciones II a VII del artículo 58 (por ejemplo, negligencia o dolo al tramitar solicitudes ARCO) | 100 a 160,000 UMA |
| Infracciones de las fracciones VIII a XVIII del artículo 58 (por ejemplo, incumplir el deber de confidencialidad) | 200 a 320,000 UMA |
| No cese de la conducta infractora | Sanción adicional de 100 a 320,000 UMA |
| Cuando se involucran datos sensibles | Los montos pueden aumentar hasta el doble |
Con el valor de la UMA en 2025 (113.14 pesos diarios), el tope de 320,000 UMA equivale a aproximadamente 36 millones de pesos; con datos sensibles puede llegar al doble. El artículo 62 establece además sanciones penales de 3 meses a 3 años de prisión para quien, con ánimo de lucro y estando autorizado para tratar datos, provoque una vulneración a las bases de datos bajo su custodia. Las UMA se actualizan cada febrero; verifica el valor vigente con tu asesor legal.
Qué hace Sereno en la parte técnica
Sereno no es un despacho jurídico: trabajamos junto a tu asesor legal y nos encargamos de la parte técnica. Todos los ingenieros tienen más de 10 años de experiencia. Comenzamos con acceso de solo lectura, MFA, mínimo privilegio y NDA firmado.
Auditoría de infraestructura
Revisamos tu infraestructura cloud, Kubernetes y postura de seguridad en dos semanas: configuraciones de acceso, cifrado, logging, networking y controles del artículo 18. Informe con hallazgos y recomendaciones priorizadas. Desde USD 3.000. Ver auditoría
SOC 2 e ISO 27001
Implementamos los controles técnicos y generamos la evidencia que requieren SOC 2 Tipo II e ISO 27001, incluyendo los que se alinean con las obligaciones de seguridad de la LFPDPPP. Desde USD 10.000. Ver controles SOC 2 e ISO 27001
Equipo 24/7
Equipo mensual de plataforma y seguridad: operaciones, on-call, parchado, CI/CD seguro, IaC, gestión de secretos, detección SOC-lite con herramientas open source, backups y DR, reporte mensual. Desde USD 8.000 al mes. Ver equipo 24/7
Si tu empresa es una institución de tecnología financiera con autorización de la CNBV bajo la Ley para Regular las Instituciones de Tecnología Financiera (2018), también aplican obligaciones adicionales de seguridad de la información y reporte de incidentes ante la CNBV. Podemos apoyar la parte técnica de esas obligaciones junto con la de la LFPDPPP; confirma con tu asesor legal cuáles aplican a tu caso.
Preguntas frecuentes
¿Qué pasó con el INAI y quién regula ahora los datos personales del sector privado en México?
El INAI fue disuelto mediante una reforma constitucional publicada el 20 de diciembre de 2024. Con la nueva ley, vigente desde el 21 de marzo de 2025, sus funciones en materia de datos personales del sector privado pasaron a la Secretaría Anticorrupción y Buen Gobierno, que depende del Ejecutivo Federal.
¿Cuáles son las principales diferencias técnicas entre la LFPDPPP de 2010 y la de 2025?
La ley de 2025 es un texto nuevo, no una reforma. Para equipos técnicos, la base se mantiene: medidas de seguridad administrativas, técnicas y físicas (art. 18), aviso inmediato al titular ante vulneraciones que lo afecten de forma significativa (art. 19), atención de derechos ARCO en 20 días (art. 31) y la designación de una persona o departamento de datos personales (art. 29). El cambio más visible es la autoridad: ya no es el INAI sino la Secretaría Anticorrupción y Buen Gobierno.
¿A quién y en qué plazo hay que notificar una vulneración de datos personales?
El artículo 19 obliga al responsable a informar al titular de forma inmediata cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales. La ley no fija un plazo en días ni obliga a notificar a la autoridad, a diferencia del RGPD europeo, que exige avisar a la autoridad en 72 horas. Conviene dejar el proceso de aviso documentado en el plan de respuesta a incidentes.
¿Qué pasa con el reglamento de la LFPDPPP?
El decreto que expidió la ley de 2025 ordenó al Ejecutivo Federal adecuar los reglamentos en un plazo de 90 días naturales desde su entrada en vigor. Revisa con tu asesor legal qué disposiciones reglamentarias están vigentes antes de tomar decisiones de detalle.
¿Cuáles son las sanciones económicas por incumplir la LFPDPPP 2025?
El artículo 59 fija multas de 100 a 160,000 UMA para las infracciones de las fracciones II a VII del artículo 58, y de 200 a 320,000 UMA para las de las fracciones VIII a XVIII, más una multa adicional de 100 a 320,000 UMA si la conducta persiste. Con datos sensibles los montos pueden aumentar hasta el doble. Con la UMA de 2025 (113.14 pesos diarios), 320,000 UMA equivalen a unos 36 millones de pesos. El artículo 62 prevé además de 3 meses a 3 años de prisión para quien, estando autorizado para tratar datos y con ánimo de lucro, provoque una vulneración de seguridad.
¿Tiene mi empresa fintech obligaciones adicionales más allá de la LFPDPPP?
Las instituciones de tecnología financiera (ITF) con autorización de la CNBV bajo la Ley para Regular las Instituciones de Tecnología Financiera (Ley Fintech, 2018) tienen obligaciones adicionales de seguridad de la información supervisadas por la CNBV, incluido el reporte de incidentes de seguridad. Estas obligaciones se suman a las de la LFPDPPP, no las sustituyen. Si tu empresa tiene autorización de la CNBV como ITF, consulta con tu asesor legal cuáles aplican específicamente a tu caso.
Fuentes
Última revisión: 9 de noviembre de 2026. Las normas cambian: revisa siempre el texto oficial vigente con tu asesor legal.
Hablemos 20 minutos
Elige un horario en el calendario. Es una videollamada de 20 minutos por Google Meet, y en ella solo queremos entender tu contexto.
O escríbenos a hola@serenoops.com